Source: http://docplayer.es/1146754-Un-proceso-practico-de-analisis-de-riesgos-de-activos-de-informacion.html
Timestamp: 2017-01-21 14:21:27+00:00

Document:
⭐Un Proceso Práctico de Análisis de Riesgos de Activos de Información
Download "Un Proceso Práctico de Análisis de Riesgos de Activos de Información"
Inés Cruz Jiménez
1 Un Proceso Práctico de Análisis de Riesgos de Activos de Información Mg. Marcos Sotelo Bedón 1,2, José Torres Utrilla 3, Juan Rivera Ortega 4 1 Gerencia de Tecnologías de Información, Banco Central de Reserva de Perú (BCRP) 2 Universidad Nacional Mayor de San Marcos (UNMSM) 3 Universidad Nacional de Ingeniería (UNI) 4 Universidad de San Martin de Porres (USMP) Resumen: El artículo presenta un proceso de análisis de riesgos de activos de información, en el contexto de un Sistema de Gestión de Seguridad de Información (SGSI) alineado al estándar ISO/IEC 27001:2005 y un software (prototipo) que le brinda soporte, aunado a un portal cuyo contenido tiene por finalidad sensibilizar en gestión de riesgos y seguridad de información. Este proceso sigue los lineamientos de los principales estándares y buenas prácticas en gestión de riesgos y seguridad de la información, y viene siendo aplicado en el país en los últimos cinco años. El presente proceso utiliza el marco referencial Magerit (Metodología de Análisis y Gestión de Riesgos de Tecnologías de Información) como eje de la propuesta, no obstante cabe mencionar que a diferencia de este marco, el proceso en mención incorpora el Análisis de Impacto de Negocio(BIA), el cual tiene por objetivo evaluar el impacto sobre los procesos de negocio, debido a la no disponibilidad de los servicios de tecnologías de información, lo que posteriormente se deriva en la obtención del nivel de criticidad para cada activo de información, lo cual es indispensable para establecer el nivel de riesgo de los mismos. Abstract: Te article presents a process of risk analysis of information assets, in te context of a System of Information Security Management (ISMS) aligned to ISO / IEC 27001:2005, and software (prototype) tat supports it. Tis process follows te guidelines of te major standards and best practices in risk management and information security, and as been applied in te country over te past five years, tis process uses te frame of reference Magerit (Handbook of Risk Management Information Tecnology) as te core of te proposal, owever it is noteworty tat unlike tis framework, te process in question incorporates te Business Impact Analysis (BIA), wic aims to assess te impact on business processes, due to te unavailability of information tecnology services, wic subsequently leads to obtaining te level of criticality for eac information asset, wic is essential to establis te level of risk for tem. Palabras clave: Gestión de riesgos; análisis de riesgos de activos de información; gestión de seguridad de la información; activos de información. 1. Introducción La incorporación acelerada de las tecnologías de información en las entidades privadas y públicas a dado paso a nuevos retos, siendo uno de los relevantes la gestión de la seguridad de sus activos de información, toda vez que son críticos para su competitividad o supervivencia [1]. En una gestión por procesos, las organizaciones son representadas por un conjunto de procesos (estratégicos, tácticos y operativos), los cuales son asistidos por diversos activos de información, tales como los Servicios TI, constituidos por un conjunto de activos TI, como se aprecia en la Figura 1. En estos procesos, la información es uno de los recursos más importantes, por lo que su gestión eficiente constituye un factor crítico para el desempeño empresarial, debido a ello, requiere una adecuada protección. Una estrategia para darle esa protección es implantando un sistema de gestión de seguridad de información (SGSI), alineado al estándar ISO/IEC [2], es decir, un proceso sistemático, documentado y conocido por toda la organización. Para el éxito de estos proyectos es fundamental la participación de la alta dirección y el desarrollo de una cultura de seguridad de la información [3]. En mucas organizaciones existe un compromiso intrínseco de implantar un sistema SGSI. En el caso del sector público, la reciente aprobación de la Norma Técnico Peruana NTP-ISO/IEC 27001:2008 EDI Tecnología de la Información. Técnicas de Seguridad. Figura 1. Procesos asistidos por Servicios TI. Fuente: Elaboración propia. Sistemas de Gestión de Seguridad de la Información. Requisitos mediante la Resolución Ministerial N PCM [4] establece su implementación obligatoria en las Instituciones Públicas, siendo la Oficina Nacional de Gobierno Electrónico e Informática (ONGEI) el 1212 organismo encargado de supervisar dica implementación; ello origina la disyuntiva de cómo iniciar un proceso que permita su implementación exitosa. Es en este contexto que surge la propuesta, el cual pretende contribuir en la solución de dico problema, a través de la descripción de un proceso de análisis de riesgos de activos de información. En líneas generales, implantar un SGSI comprende los procesos o actividades ilustradas en la Figura 2, que pueden descomponerse en: 1. Identificar los objetivos del negocio. 2. Obtener el patrocinio de la alta dirección. 3. Establecer el alcance (algunos procesos del negocio). 4. Realizar un diagnóstico (Gap Analysis). 5. Asignar recursos y capacitar al equipo. 6. Analizar los riesgos de activos de información. 7. Elaborar y ejecutar un plan de tratamiento de riesgos. 8. Establecer la normativa para controlar el riesgo. 9. Monitorizar la implantación del SGSI. 10. Prepararse para la auditoría de certificación. 11. Llevar a cabo auditorías internas periódicas. Figura 2. Actividades del SGSI. Fuente: Elaboración propia. Siendo uno de los más relevantes el proceso de Análisis de Riesgos, que comprende la identificación, estimación y evaluación de riesgos. Es por ello que este artículo presenta un proceso de análisis de riesgos de activos de información y un software (prototipo) que lo asiste. La estructura del artículo comienza con una breve introducción, en la cual se describe el problema y la propuesta de solución, consistente en la formulación de un proceso de Análisis de Riesgos de activos de Información. En la sección 2, se ace un recuento breve de trabajos relacionados y de los estándares de Gestión de Riesgos y Seguridad de Información, para luego pasar a detallar el proceso propuesto, continuando con el análisis de resultados y las posteriores conclusiones. 2. Trabajos Previos En el contexto local, casi no existen publicaciones relacionadas con la propuesta. La mayoría de información concerniente al tema es abordada por los estándares y manuales de buenas prácticas en Gestión de Riesgos y seguridad de la información, sin embargo un estudio denominado ISRAM: Information security risk analysis metod [5] brinda un enfoque cuantitativo de Análisis de Riesgos de Información. La gestión integral de riesgos a ganado impulso en los últimos años, especialmente a partir de la década de los noventa, lo que a conllevado la aparición de Modelos de Gestión de Riesgos, algunos de ellos de carácter general, como los estándares Australiano /neozelandés (AS/NZS 4630) e ISO/IEC 31000, y otros de carácter más específico, tales como: Commitee of Sponsoring Organizations (COSO), ISO 14000, ISO 22000, ISO y Occupational Healt and Safety Advisory Services (OHSAS). a. Estándar Australiano / neozelandés (AS/NZS 4360:2004) El proceso de gestión de riesgos propuesto por la norma AS/NZS 4360:2004 [6] contempla los siguientes subprocesos: Establecimiento del contexto. Identificación de riesgos. Análisis de riesgos. Evaluación de riesgos. Tratamiento de los riesgos. b. ISO 31000:2009 Este estándar propone unas pautas genéricas sobre cómo gestionar los riesgos de forma sistemática y transparente. El enfoque está estructurado en tres elementos claves para una efectiva gestión de riesgos: Los principios para la gestión de riesgos. La estructura de soporte. El proceso de gestión de riesgos. c. ISO/IEC 27005:2008 El estándar ISO/IEC 27005:2008, define las directrices para elaborar el proceso de análisis de riesgos. Éste forma parte de la familia ISO 27000, y sirve de complemento a las dos primeras normas de la familia, ISO/IEC 27001:2005 e ISO/IEC 27002:2005. La propuesta es similar al AS/NZS y contempla los siguientes subprocesos: Establecimiento del contexto. Valoración de riesgos. Tratamiento de riesgos. Aceptación de riesgos. Comunicación de riesgos. Monitorización y revisión de riesgos. d. Métodos de Análisis y Gestión de Riesgos de Tecnologías de Información (MAGERIT) El método MAGERIT [7], desarrollado por el Consejo Superior de Administración Electrónica, y publicado por el Ministerio de Administraciones Públicas de España, comprende dos grandes procesos: El análisis de riesgos y la gestión de riesgos. 1223 El análisis de riesgos permite determinar qué tiene la organización y qué podría pasar. Para ello toma en consideración los elementos ilustrados en la Figura 3. Figura 3. Elementos en el análisis de riesgos [7]. Los sub-procesos comprendidos son: Identificar los activos a tratar, las relaciones entre ellos y la valoración que merecen. Identificar las amenazas significativas sobre aquellos activos y valorarlos en términos de frecuencia de ocurrencia y degradación que causan sobre el valor del activo afectado. Identificar las salvaguardas existentes y se valorar la eficacia de su implementación. Estimar el impacto y el riesgo al que están expuestos los activos del sistema. Interpretar el significado del impacto y el riesgo. La gestión de riesgos consiste en la estructuración de las acciones de seguridad para satisfacer las necesidades detectadas por el análisis. Comprende las actividades: Elegir una estrategia para mitigar el impacto y riesgo. Determinar las salvaguardas oportunas para el objetivo anterior. Determinar la calidad necesaria para dicas salvaguardas. Diseñar un plan de seguridad (plan de acción o plan director) para llevar el impacto y el riesgo a niveles aceptables. Llevar a cabo el plan de seguridad. e. National Institute of Standards and Tecnology Special Publication (NIST SP ): Guía de gestión de riesgos para sistemas de tecnologías de la información El National Institute of Standards and Tecnology (NIST) a dedicado una serie de publicaciones especiales a la seguridad de la información (SP 800). Esta serie incluye una metodología para el análisis y gestión de riesgos de seguridad de la información, NIST SP [8], que comprende los siguientes subprocesos: 1. Caracterización de Sistemas. 2. Identificación de amenazas. 3. Identificación de vulnerabilidades. 4. Análisis de controles. 5. Determinación de probabilidades. 6. Análisis de impacto. 7. Determinación del riesgo. 8. Recomendación de controles. 9. Documentación de resultados. 3. Proceso propuesto El proceso de análisis de riesgos de activos de información propuesto a sido elaborado con base en su aplicación en una Institución del sector público, obteniéndose resultados satisfactorios, lo cual a permitido su validación, aciendo a ésta factible de aplicar a las demás organizaciones del sector. El proceso se definió siguiendo los lineamientos de los estándares descritos en la sección anterior, especialmente MAGERIT, donde la diferencia principal radica en la forma de determinación del impacto, que en este caso se ace a través del Business Impact Analysis, BIA. El proceso comprende, la identificación, estimación y evaluación de riesgos, como se ilustra en la Figura 4. Éste asume que el contexto está establecido, y se complementa con el tratamiento, monitorización y comunicación de riesgos, para completar la gestión de riesgos. Figura 4. Análisis de riesgos de activos de información. Fuente: Adaptado del estándar ISO 31000: Establecimiento del contexto El análisis de riesgos se realiza en el marco de la gestión integral del riesgo institucional. En el ámbito del SGSI el alcance del análisis de riesgos es el del SGSI, es decir, un conjunto de activos de información (A i ), que asisten a los procesos institucionales (P k ), que constituyen el alcance del SGSI. En este proceso, el riesgo se determina en forma cualitativa, a partir de la Probabilidad, de que se materialice una amenaza, por el Impacto, que ocasione en la institución, a través de los procesos que asiste. La valoración de los dos factores se realiza con base en escalas de 5 valores, consignados en la Tabla 1 y Tabla 2. El riesgo resultante se clasifica en 4 niveles, como se ilustra en la Figura 5. Nivel de aceptación o tolerancia al riesgo Con base en el resultado del análisis de riesgos y lo consignado en la Tabla 3, los activos con riesgo extremo e intolerable deben ser llevados por lo menos al nivel tolerable, y aquellos activos críticos con nivel de riesgo tolerable deben ser llevados al nivel aceptable. 1234 2. Identificación de riesgos Comprende la identificación de los riesgos de los activos de información, por lo que demanda del inventario de estos activos [9], incluyendo su valor, determinado a partir de sus tres dimensiones de seguridad (Disponibilidad, Integridad y Confidencialidad) como mínimo. Para este proceso, los activos son agrupados en las categorías consignadas en la Tabla 4. Figura 5. Mapa de riesgos. Fuente: Elaboración propia. Probabilidad Valor Grado Descripción 1 Raro Puede ocurrir una vez cada 2 años 2 Muy baja Al año 3 Baja En 6 meses 4 Media Al mes 5 Alta A la semana Impacto Valor Nivel 1 Insignificante 2 Menor 3 Moderado 5 Mayor 8 Desastroso Descripción Impacta levemente en la operatividad del proceso Impacta en la operatividad del proceso Impacta en la operatividad del macro proceso Impacta en la operatividad de los procesos Impacta fuertemente en la operatividad de los procesos Tabla 2. Valoración del Impacto. Fuente: Elaboración propia. Aceptación/Tolerancia Valor Nivel Descripción 1 Aceptable Retenido 2 Tolerable Para activos no críticos, pero intolerable para críticos 3 Intolerable Atención inmediata y monitoreo permanente. 4 Extremo Tratado como intolerable, pero a nivel de Gerencia General. Tabla 3. Valoración del Nivel de Aceptación/Tolerancia. Fuente: Elaboración propia. Tabla 1. Valoración de la Probabilidad. Fuente: Elaboración propia. Categorías de Activos de Información Identificador Categoría Ejemplos STI Servicios TI Aplicación + infraestructura TI de soporte. SW Software / Aplicaciones Aplicaciones, sistemas operativos, erramientas de desarrollo y utilitarios HW Hardware / equipos Servidores (S.O.), PCs, routers, ubs, firewalls, medio magnético, gabinetes, cajas fuertes, salas, mobiliario, sistema de alarma, etc. SI Soportes de información SAN, discos, cintas, USB, CD, DVD. COM Redes de comunicaciones Medios de transporte que llevan datos de un sitio a otro DAT Datos / Información BD, arcivos de datos, contratos y acuerdos, documentación del sistema, información de investigación, manuales de usuario, material de entrenamiento, de operación, procedimientos de soporte, planes de continuidad y contingencia, acuerdos AUX INS PER SRV Equipamiento auxiliar Equipamiento de soporte a los sistemas de información (UPS, Generados, Aire acondicionado, cableado, etc.) Locales / Instalaciones Lugares donde se ospedan los sistemas de Información, registros vitales y comunicaciones Personal / RR.HH. Personas, calificaciones, experiencia y capacidades (usuarios, proveedores, personal de TI) Servicios generales Vigilancia, servicios de impresión, computación, telecomunicaciones, eléctrica, agua, etc. Tabla 4. Clasificación de Activos de Información. Fuente: Adaptado del estándar Magerit [7]. 1245 Los activos están expuestos a amenazas, que pueden materializarse (explotando vulnerabilidades) con determinada frecuencia o probabilidad, dependiendo de la eficacia de los controles o salvaguardas vigentes. Para la determinación de riesgos, este proceso utiliza el catálogo de amenazas de MAGERIT, y las vulnerabilidades y controles identificados por los administradores de activos, con base en su experiencia e información de los fabricantes. Las amenazas están organizadas en las categorías consignadas en la Tabla 5, y pueden afectar a más de un tipo de activo. Identificador Tipo N I E A Categorías de Amenazas Desastres naturales De origen industrial Errores y fallos no intencionados Ataques intencionados Tabla 5. Clasificación de las Amenazas. Fuente: Adaptado del estándar Magerit [7]. 3. Estimación de riesgos El equipo de análisis de riesgos (especialistas en riesgos, en seguridad, y administradores de activos) determina el impacto y probabilidad, calcula el riesgo actual, establece los controles recomendados, y determina el riesgo residual, es decir, el riesgo resultante luego de que se implementen los controles establecidos. El resultado es el Informe de Análisis de Riesgos, que establece el modo de tratamiento y los controles recomendados. El Riesgo de un servicio de información S i, denominado riesgo repercutido (RR) [2], es obtenido a partir de sus activos por medio de una función, tal como promedio (simple o ponderado) o máximo Determinación del Impacto En este proceso, el impacto de un activo, I(A j ) es igual al impacto mayor de los servicios donde participa; a su vez, el impacto de un servicio I(S i ) es igual al impacto mayor de los procesos que asiste. El impacto de un proceso I(P k ) se determina en el proceso de análisis de impacto en el negocio (BIA - Business Impact Analysis). El proceso BIA permite determinar el impacto de los procesos Pk, y la criticidad de los Servicios TI Si, que lo asisten. Asimismo, los tiempos de recuperación objetivo (RTO-Recovery Time Objective) y el impacto asociado con la interrupción de los procesos por un determinado periodo. Este proceso se realiza con la participación de los dueños de procesos. El impacto de la interrupción de un proceso I(Pk), ocasionado por un incidente en uno de sus servicios Si, se determina a partir de tres (3) factores: a) El impacto de su macroproceso en el cumplimiento de los objetivos de la entidad; b) El nivel de dependencia del proceso P k, con relación a sus servicios S i. c) El impacto del proceso P k en función a los tiempos de recuperación objetivo (RTO-Recovery Time Objective). Para el factor (a), los dueños de macroprocesos asignan un valor de impacto (Alto, Medio, Bajo) para cada macroproceso. Para el factor (b), utilizando la matriz Procesos vs. Servicios, se asigna un valor de dependencia (Alto, Medio, Bajo). Para el factor (c), se trabaja con las áreas de impacto y valores de RTO consignados en las Tabla 6, asignándose los valores de impacto (con base en la Tabla 2) para cada una de las áreas. Este factor resulta de la sumatoria del producto del peso relativo de cada área por el impacto acumulado correspondiente. Áreas de Impacto N Áreas Peso Relativo 1 Objetivo Estratégicos / Funciones 30% 2 Financiero 20% 3 Objetivo y Metas del Proceso u otros Procesos Vinculados 10% 4 Reputación / Imagen / Credibilidad 30% 5 Situación y Bienestar del Personal 10% RTO TR 10' 30' Impacto 1 Tabla 6. Áreas de impacto y RTO. Fuente: Elaboración propia Determinación de la probabilidad Esta labor se realiza con el formato de trabajo ilustrado en la Figura 6, con base en el juicio experto del equipo. Sabiendo la probabilidad de una amenaza se decide qué medidas establecer para reducirlas, medidas que conllevan un coste [10]. La información obtenida en la identificación y la documentación de vulnerabilidades, incidentes y seguimiento de riesgos d 5 d 15 d 1256 4. Evaluación de riesgos Figura 6. Formato de análisis de riesgos de activos TI. Fuente: Elaboración propia. Con base en los resultados obtenidos en el análisis y la política de aceptación / tolerancia al riesgo, se procede a la evaluación. Para cada activo, si el nivel de riesgo es aceptable, el proceso concluye, caso contrario, se define la estrategia de tratamiento (evitar, transferir o mitigar) y se establecen los controles (salvaguardas) necesarios, pero los mismos no aseguran que el nivel de riesgo sea mínimo. La ejecución de simulaciones permite conocer el estado real de la implementación de los controles [11]. En el caso de mitigación, los controles pueden ser preventivos o correctivos, en el último caso, será necesario definir un Plan de Continuidad de Servicios TI (denominado tradicionalmente PRD - Plan de Recuperación ante Desastres). En esta actividad se concluye el Informe de Análisis de riesgos de activos de información, a partir del cual se elabora el Plan de Tratamiento de Riesgos (PTR). 5. Discusión de la Propuesta El proceso establece una secuencia metódica para realizar exitosamente el Análisis de Riesgos de activos de información. Éste a sido elaborado bajo las directrices de estándares y buenas prácticas en gestión de riesgos y seguridad de la información, especialmente MAGERIT. La diferencia entre la propuesta y dicos estándares se centra en que el proceso explica de manera detallada cómo realizar el análisis de riesgos (no sólo qué se debe acer), y éste viene siendo aplicado en una institución pública, observándose resultados favorables consistente en la obtención oportuna del Informe de Análisis de Riesgos de Activos de Información, a partir del cual se elabora el Plan de Tratamiento de Riesgos (PTR) para su posterior ejecución y seguimiento. Es importante precisar que la diferencia principal con MAGERIT radica en la determinación del impacto, que en este caso se realiza a través del proceso Business Impact Analysis, BIA, lo cual permite establecer una relación directa entre los activos TI y los procesos institucionales, quienes son los que en realidad causan el impacto en el cumplimiento de la misión. Considerando que este proceso puede tornarse laborioso cuando se tiene una cantidad relevante de activos (más de 500), se estimó conveniente el diseño y desarrollo de un software de análisis de riesgos, el que forma parte del proyecto Una Herramienta Peruana para la Gestión del Riesgo Operacional y Tecnológico, cuyo objetivo es contribuir a la generación de ventajas competitivas en las organizaciones. La idea de la elaboración del software yace sobre el concepto de soporte al proceso propuesto mediante la automatización de puntos operativos del proceso y proporcionando información relevante al especialista en riesgos, la misma que se sintetiza en un mapa de riesgos de activos de información. Esta erramienta se viene desarrollando con tecnología Java EE bajo una arquitectura distribuida. El componente que asiste al proceso de análisis de riesgos presentado está constituido por los módulos: a) Catálogo: Facilita la gestión de la información sobre los procesos, los servicios TI que los asisten y los activos TI que constituyen dicos servicios permitiendo la generación de reportes y consultas de dica información. b) Análisis de impacto: Asiste al subproceso de Análisis Impacto al Negocio (BIA) facilitando la solución de cuestionarios en línea, a partir de los cuales se determina el impacto de los procesos en el negocio y la criticidad de los servicios TI. 1267 c) Análisis de riesgos: Asiste al subproceso de análisis de riesgos de activos de información donde el especialista de TI asignado para el análisis de riesgos del activo, registra en línea su evaluación en el sistema a través de una interface de usuario. Con esta información se realiza la determinación del nivel de riesgo y se genera el Informe de análisis de riesgos. Tal como se mencionó en la introducción del artículo, la concepción del proceso responde a la necesidad creciente de las Organizaciones de implementar proyectos de Seguridad de Información en los cuales la actividad de Análisis de riesgos es fundamental y dónde la participación de la alta dirección es determinante, por consiguiente el inicio de un programa de sensibilización a través de la difusión de documentación relacionada se constituye de vital importancia, por ende el proceso propuesto se complementa con un portal [12] para facilitar sensibilizar e involucrar a todos los miembros de la Organización mediante publicaciones periódicas en materia de Gestión de riesgos y seguridad de información. 6. Conclusiones El número de implantaciones de SGSI alineados al estándar ISO en el país es muy bajo, y más aún las empresas que an alcanzado la certificación. Los pocos proyectos en el rubro tienden a fracasar usualmente debido a la falta de patrocinio, poca conciencia en seguridad de la información y adopción de estándares. El artículo pretende reducir esta breca dando los lineamientos generales para abordar un proyecto SGSI, y tratando en detalle el proceso clave de análisis de riesgos. El proceso propuesto a sido aplicado en una entidad pública obteniéndose resultados satisfactorios, lo cual nos permite inferir que el proceso en mención es factible de aplicarse en las demás organizaciones del sector, en un contexto donde existe la necesidad cada vez mayor de implantar un SGSI. El proceso manual o asistido con erramientas de ofimática puede tornarse engorroso para un número considerable de activos (más de 500). Frente a esta situación y considerando que las erramientas para este fin son escasas y costosas, se a iniciado el desarrollo de un software. La conducción de proyectos de implantación de SGSI requiere de facilitadores, los que no están disponibles o están fuera del alcance del presupuesto de nuestras empresas e instituciones. Con el proceso propuesto y la documentación divulgada a través del portal [12] se pretende prestar cierta ayuda. Referencias bibliográficas [1]. José M. Huidobro Moya, David Roldán Martínez; Seguridad en redes y sistemas informáticos editorial, Tomson Paraninfo, Madrid [2]. ISO27000.es: Portal de ISO en español. [3]. Alberto G. Alexander; Diseño y Gestión de un sistema de Seguridad de Información, óptica ISO 27001:2005, editorial: Alfaomega, [4]. Presidencia del Consejo de Ministros (PCM/ ONGEI), Resolución Ministerial N PCM [5]. Bilge Karabacaka, Ibraim Sogukpinarb; ISRAM: information security risk analysis metod, National Researc Institute of Electronics & Cryptology (UEKAE), P.O Box 74, Gebze, Kocaeli, Turkey; Gebze Institute of Tecnology, Gebze, Kocaeli, Turkey; July [6]. AS/NZS 4360:2004. Estándar Australiano / Neozelandés para la gestión de riesgos. [7]. Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información de las Administraciones Públicas MAGERIT. [8]. NIST - Risk Management Guide. [9]. Eduardo Fernández, Medina Patón; Roberto, Moya Quiles, Seguridad de las tecnologías de información, Construcción de la confianza para una sociedad conectada. Editorial: AENOR, Madrid, [10]. Vicente Aceituno Canal; Seguridad de la información, Expectativas, Riesgos y Técnicas de protección, Editorial Limusa, México [11]. Pedro Andrés, Morales Zamudio; Diseño de una solución de un sistema de seguridad informática en empresas estatales, Informe de Suficiencia profesional, Lima, [12]. Portal de difusión de la documentación del Proceso propuesto y de Seguridad de Información, 127 Documentos relacionados
SISTEMA DE GESTIÓN DE LA 1 SEGURIDAD DE LA INFORMACIÓN PreparaTIC 6 junio 09 Ponente: Leonardo Ramírez Peña Versión B ÍNDICE!! Fundamentos de la Gestión de la Seguridad de la Información!! Análisis y Gestión Más detalles Análisis del Riesgo y el Sistema de Gestión de Seguridad de Información: El Enfoque ISO 27001:2005
Librería Interamericana.com S.A.C. Av. La Encalada # 1587, Tienda A-215, C. C. El Polo Santiago de Surco, Lima, Perú Tlf. (511) 250 0773 Fax (511) 436 6144 www.libreriainteramericana.com Análisis del Riesgo Más detalles Certificación del Sistema de Gestión de la Seguridad de los SI. Carlos Manuel Fdez. AENOR. CISA, CISM Marzo-2005
Certificación del Sistema de Gestión de la Seguridad de los SI. Carlos Manuel Fdez. AENOR CISA, CISM Marzo-2005 Indice Quién es AENOR. Por qué el Certificado SGSI? Una aproximación al Certificado SGSI. Más detalles SEGURIDAD INFORMATICA GENERALIDADES DE LA SEGURIDAD INFORMATICA
SEGURIDAD INFORMATICA GENERALIDADES DE LA SEGURIDAD INFORMATICA Seguridad de la información? Vs Seguridad? ISO/IEC 17799 ISO/IEC 2700 -> SGSI Organización de Estándares Internacionales/Comisión Electrotécnica Más detalles Máster Interuniversitario en Seguridad de las TIC (MISTIC) Trabajo de final de máster
Máster Interuniversitario en Seguridad de las TIC (MISTIC) Trabajo de final de máster Elaboración de un plan de implementación de la Norma ISO/IEC 27001:2013 en una empresa prestadora de servicios de acueducto Más detalles Gestión de Proyectos Software
Gestión de Proyectos Software Tema 5. Riesgos Riesgos de Seguridad - MAGERIT Carlos Blanco Universidad de Cantabria Objetivos Profundizar en la Ges0ón de Riesgos que afectan a la dimensión de Seguridad Más detalles Tendencias metodológicas de gestión de riesgo informático y continuidad del negocio. Adela Garzón Bejarano Septiembre 1 de 2010
Tendencias metodológicas de gestión de riesgo informático y continuidad del negocio Adela Garzón Bejarano Septiembre 1 de 2010 Agenda 1. Riesgo en la banca electrónica Contexto Gestión de Riesgo en la Más detalles Gestión de Seguridad Informática
Gestión de Seguridad Informática La información es un activo que es esencial al negocio de una organización y requiere en consecuencia una protección adecuada. La información puede estar impresa o escrita Más detalles ISO 27001 Juan David Gutiérrez Giovanni Zuccardi 1
ISO-27001:2005 Giovanni Zuccardi Juan David Gutiérrez Septiembre de 2006 CONTENIDO Evolución del estándar Familia 2700x En que consiste 27001 ISO 27001 Juan David Gutiérrez Giovanni Zuccardi 1 ISO-27001:2005 Más detalles DRP y BCP: Continuidad Operativa
La capacidad para reestablecer las operaciones de TI y de negocio, ante eventos que pudieran interrumpir la habilidad de lograr sus objetivos estratégicos, es un elemento clave para las organizaciones Más detalles Su aliado Estratégico. José E. Quintero Forero CISM, CRISC
NORMA ISO/IEC 27001:2005 Modelo Para Establecer, Implementar Operar, Monitorear, Revisar, Mantener y Mejorar un ISMS (Information Security Management System) Ing. Jorge Ceballos (jceballos@iram.org.ar) Más detalles Na segurança da tecnologia da informação
Na segurança da tecnologia da informação... A tecnologia da informação a serviço do sistema financeiro Palestrante: José Ángel PEÑA IBARRA Vicepresidente Internacional de ISACA Vicepresidente del IT Governance Más detalles MANUAL DE SEGURIDAD DE LA INFORMACIÓN
MANUAL DE SEGURIDAD DE LA INFORMACIÓN MINISTERIO DE AMBIENTE Y DESARROLLO SOSTENIBLE Bogotá D.C. Página 1 de 19 Contenido 1. INTRODUCCIÓN... 4 1. OBJETIVO... 4 2. ALCANCE DEL SISTEMA DE GESTIÓN DE SEGURIDAD Más detalles COBIT - Control Objectives for Information and related Technology (Objetivos de Control para la Información y la Tecnología relacionada) Mayo de 2012
- Control Objectives for Information and related Technology (Objetivos de Control para la Información y la Tecnología relacionada) Mayo de 2012 Antecedentes Ante la necesidad de crear y fortalecer el ambiente Más detalles LINEAMIENTOS ADMINISTRACIÓN DEL RIESGO
LINEAMIENTOS ADMINISTRACIÓN DEL RIESGO Código: DG-D-008 - Versión: 03 - Fecha Emisión: 01/03/2013 1/14 Contenido 1. OBJETIVOS....3 2. ALCANCE....4 3. REFERENCIAS NORMATIVAS....4 4. TERMINOS Y DEFINICIONES...5 Más detalles METODOLOGÍA PARA EL DISEÑO DE UN PLAN DE RECUPERACIÓN ANTE DESASTRES O DRP
METODOLOGÍA PARA EL DISEÑO DE UN PLAN DE RECUPERACIÓN ANTE DESASTRES O DRP La metodología recomendada en este documento para el desarrollo de un plan de recuperación ante desastres o DRP para los sistemas Más detalles MANUAL DE ORGANIZACIÓN Y FUNCIONES GERENCIA DE INFORMÁTICA
MANUAL DE ORGANIZACIÓN Y FUNCIONES GERENCIA DE INFORMÁTICA Aprobando mediante Resolución de Gerencia General N 052-2015 de fecha 26 Junio 2015 ELABORADO POR: APROBADO POR: 1 de 82 ÍNDICE 1 INTRODUCCIÓN... Más detalles GESTIÓN DE RIESGO. Subdirección de Desarrollo Organizacional Agosto 09 de 2013 Bogotá D.C.
GESTIÓN DE RIESGO Subdirección de Desarrollo Organizacional Agosto 09 de 2013 Bogotá D.C. MARCO NORMATIVO Con el propósito de desarrollar un sistema eficiente para la gestión de riesgos, el Ministerio Más detalles La gestión de la seguridad en la empresa:
EN PORTADA La gestión de la seguridad en la empresa: Introducción Vivimos en un mundo globalizado y cada vez más competitivo, en el que las empresas se encuentran con nuevos desafíos que hacen necesaria Más detalles Seguridad de la Información
Gestión de Riesgos ISO 27001/27005 & ISO 31000 Seguridad de la Información Germán Castro Arévalo CROSS BORDER TECHNOLOGY Abril 15, 2013 Agenda Introducción Conceptos básicos sobre seguridad de la información Más detalles LAFSA Latin America Financial Services Advisory
Metodología para la Gestión de la Continuidad del Negocio Por: Rodrigo Ferrer V. Año: 2015 Resumen Este artículo, busca exponer los pasos requeridos para diseñar e implementar un proceso de Gestión de Más detalles UNIVERSIDAD NACIONAL DE COLOMBIA SEDE MANIZALES ADMINISTRACIÓN DE SISTEMAS INFORMÁTICOS AUDITORIA DE SISTEMAS II
UNIVERSIDAD NACIONAL DE COLOMBIA SEDE MANIZALES ADMINISTRACIÓN DE SISTEMAS INFORMÁTICOS AUDITORIA DE SISTEMAS II TRABAJO: COMPILACIÓN BIBLIOGRÁFICA ESTÁNDARES Y DIRECTRICES DE AUDITORIA PRESENTADO POR: Más detalles Sistema de Gestión n de la Seguridad de la Información
Sistema de Gestión n de la Seguridad de la Información SGSI Ing: Rodrigo Ferrer V. CISSP, CISA, ABCP, COBIT f.c, CSSA, CST. Agenda Introducción al SGSI Evaluación de Riesgo. Implementación del SGSI Conclusiones Más detalles Andrés Fabián Díaz, Gloria Isabel Collazos, Hermes Cortez Lozano, Leidy Johanna Ortiz 1, Gustavo Adolfo Herazo Pérez
1 IMPLEMENTACION DE UN SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN (SGSI) EN LA COMUNIDAD NUESTRA SEÑORA DE GRACIA, ALINEADO TECNOLÓGICAMENTE CON LA NORMA ISO 27001 Andrés Fabián Díaz, Gloria Isabel Más detalles Universidad Ricardo Palma Facultad de Ingeniería
Universidad Ricardo Palma Facultad de Ingeniería Escuela Profesional de Ingeniería Informática Proyecto de Tesis: Sistema para Análisis y Gestión de Riesgos Presentado por: Antton Deyke Cavalcanti Garay Más detalles Estándares para la seguridad de la información.
Estándares para la seguridad de la información. Estructura de contenidos Mapa Conceptual Introducción 1. Marco Teórico 1.1 Historia 1.2 Línea de tiempo 2. Dominios de control de las Normas 2.1 Políticas Más detalles DE RIESGOS DE TI. GESTIÓN 1. INTRODUCCIÓN
GESTIÓN DE RIESGOS DE TI. 1. INTRODUCCIÓN Dentro de los modelos de gestión de TI soportados bajo el enfoque de procesos, gestión de riesgos y PHVA, se encuentran las normas ISO 27001, ISO 20000, ITIL y Más detalles Los Sistemas de Gestión de Seguridad de la Información. Un modelo a seguir. T21: Gestión de la Seguridad de las Organizaciones
Los Sistemas de Gestión de Seguridad de la Información. Un modelo a seguir. T21: Gestión de la Seguridad de las Organizaciones José Angel Valderrama Antón Gerente de Nuevas Tecnologías AENOR Índice 1. Más detalles ISO/IEC 27001. Normativa de seguridad IT. Hechos. Numero 2013/02
05/01/2013 Ingelan 934 302 989 Numero 2013/02 ISO/IEC 27001 Normativa de seguridad IT ISO/IEC 27001 (Information technology Information Security Management Systems Requirements) es una normativa estándar Más detalles 12 JUNIO 2014. Rev.1: 07 Agosto 2014 Rev.2: 06 Octubre 2014 Rev.3: 05 Marzo 2015. 1 de 76. BN-MOF-2400-10-05 Rev.3 MOF DEPARTAMENTO DE INFORMÁTICA
Rev.1: 07 Agosto 2014 Rev.2: 06 Octubre 2014 : 05 Marzo 2015 MANUAL DE ORGANIZACIÓN Y FUNCIONES DEPARTAMENTO DE INFORMÁTICA Aprobado mediante Resolución de Gerencia General EF/92.2000 N 020-2014, de fecha Más detalles En 2002, se revisó BS 7799-2 para adecuarse a la filosofía de normas ISO de sistemas de gestión.
CAPITULO I: TEMA 1.1. Título del Tema Sistema para Análisis y Gestión de Riesgos 1.2. Planteamiento del Problema 1.2.1. Antecedentes Desde 1901, y como primera entidad de normalización a nivel mundial, Más detalles Taller de Gestión de Riesgos. Ing. CIP Maurice Frayssinet Delgado LI 27001, LA 27001 Oficina Nacional de Gobierno Electrónico e Informática
Taller de Gestión de Riesgos Ing. CIP Maurice Frayssinet Delgado LI 27001, LA 27001 Oficina Nacional de Gobierno Electrónico e Informática Agenda www.ongei.gob.pe Introducción Definiciones Enfoque a procesos Más detalles TITULO. Gobernabilidad de TI & Seguridad de la Información
TITULO Temas Gobernabilidad de TI & Seguridad de la Información Guillermo Angarita Morris CISA, CISSP La gobernabilidad de TI: Una responsabilidad y reto para los directivos de TI Objetivo Identificar Más detalles DESCRIPCIÓN DEL PROCESO DE RIESGO OPERACIONAL
DESCRIPCIÓN DEL PROCESO DE RIESGO Julio 10, de 2012 INDICE Proceso Riesgo Operacional... 1 Objetivo General... 1 Objetivos Específicos... 1 I. Identificación del Riesgo.... 1 II. Medición y Mitigación Más detalles Recuperación y Continuidad del Negocio
Recuperación y Continuidad del Negocio CONTENIDO ANTECEDENTES ALGUNAS EXPERIENCIAS REVISION DE CONCEPTOS GENERALES METODOLOGIA CONCLUSIONES QUE ES UN DESASTRE? Cualquier EVENTO MAYOR que afecte el funcionamiento Más detalles Anexo 1: Glosario. Página 1 de 11 1 [ISO/IEC 27002:2005] 2 [ITIL:2007] 3 [ISO Guide73: 2002]
ANEXOS DISEÑO DE RECOMENDACIONES DE SEGURIDAD INFORMÁTICA SOBRE LOS ACTIVOS DE INFORMACIÓN CRÍTICOS DE LA EMPRESA GRAN TIERRA ENERGY COLOMBIA- SECCIONAL BOGOTÁ. Anexo 1 Glosario Anexo 1: Glosario Activos: Más detalles PLAN DE IMPLEMENTACIÓN SGSI BASADO EN LA NORMA ISO 27001:2013 ISAGXXX 2014 TFM MISTIC UOC 2014-2015 ROBIN J.SALCEDO B.
PLAN DE IMPLEMENTACIÓN SGSI BASADO EN LA NORMA ISO 27001:2013 ISAGXXX 2014 TFM MISTIC UOC 2014-2015 ROBIN J.SALCEDO B. Agenda de la presentación PLAN DE IMPLEMENTACIÓN SGSI ISO 27001:2013 TFM MISTIC 2014-2015 Más detalles Seguridad de la Información. Seguridad. Ing. Max Lazaro Oficina Nacional de Gobierno Electrónico e Informática
Seguridad De la Información Ing. Max Lazaro Oficina Nacional de Gobierno Electrónico e Informática Nuevos Escenarios: Seguridad de la Información Qué se debe asegurar? La información debe considerarse Más detalles Cómo afrontar con éxito la Certif icación ISO 27001:2005. Valencia, octubre 2010. Juan Carlos Serrano Antón
Cómo afrontar con éxito la Certif icación ISO 27001:2005 Juan Carlos Serrano Antón Responsable Técnico de Esquema Lead Auditor ISO 27001, ISO 20000, ISO 9001 Valencia, octubre 2010 Conceptos y Definiciones Más detalles Webinar Febrero 2013 Cómo aprovechar la nueva regulación de la SBP en beneficio de su Banco?
Webinar Febrero 2013 Cómo aprovechar la nueva regulación de la SBP en beneficio de su Banco? Presentado por: Sergio Quiroz, CISSP CISM CISA CRISC CEH CFI, Asesor Principal en Gestión de Riesgo de las TI Más detalles Basado en la ISO 27001:2013. Seguridad de la Información
Basado en la ISO 27001:2013 Agenda Gobierno de Organización del Proyecto Alineando el negocio con la Gestión de Riesgos Indicadores de gestión Mejora Continua Gobierno de Gobierno de Seguridad de la Información Más detalles Modelo de Arquitectura de Seguridad de la Información (MASI)
Modelo de Arquitectura de Seguridad de la Información (MASI) Angélica Flórez Abril, MSc. Universidad Pontificia Bolivariana Bucaramanga, Colombia Octubre, 2010 Introducción Contenido IT Governance, Risk Más detalles Sistema de Gestión de la Seguridad de la Información
CORPORACIÓN PERUANA DE AEROPUERTOS Y AVIACIÓN COMERCIAL SA POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN EN Elaborado y Visado Comité de Gestión de Seguridad de la Información Revisado Gerencia de Tecnología Más detalles Información. Ing. Max Lazaro. Electrónico e Informática
Plan de Contingencia Para la Unidad de Sistemas y Tecnología de Información del Gobierno Autónomo Descentralizado Antonio Ante en Base a la Norma Iso/Iec 27002. Luis D. Narváez, Karina A. Méndez ldnarvaez@utn.edu.ec., Más detalles XXII CONGRESO NACIONAL Tribunales de Cuentas. Órganos y organismos Públicos De Control Externo de la República Argentina
XXII CONGRESO NACIONAL Tribunales de Cuentas. Órganos y organismos Públicos De Control Externo de la República Argentina 18-19 y 20 de Septiembre de 2013 La Rioja - Argentina El uso de sistemas electrónicos Más detalles La Seguridad Informática de las aplicaciones y el Control Interno.
La Seguridad Informática de las aplicaciones y el Control Interno. AUTORA: MSc. Concepción Casal González Especialista en Ciencias Computacionales Gerencia de Auditoria. Dirección de Control Corporativo. Más detalles PLAN DE CONTINGENCIA SISTEMAS DE INFORMACION ALCALDÍA MAYOR DE BOGOTÁ INSTITUTO PARA LA INVESTIGACIÓN EDUCATIVA Y EL DESARROLLO PEDAGÓGICO (IDEP)
Seguridad Informática Necesidad del Uso de Estándares IIMV Quito, Ecuador Agenda Introducción. Obstáculos para implementar Seguridad Informática Administración de la Seguridad Informática Ciclo de vida Más detalles LINEAMIENTOS PARA LA IMPLEMENTACIÓN DEL MODELO DE SEGURIDAD DE LA INFORMACIÓN 2.0
LINEAMIENTOS PARA LA IMPLEMENTACIÓN DEL MODELO DE SEGURIDAD DE LA INFORMACIÓN 2.0 LINEAMIENTOS PARA LA IMPLEMENTACIÓN DEL MODELO DE SEGURIDAD DE LA INFORMACIÓN 2.0. Ministerio de Tecnologías de la Información Más detalles Seguridad Informática.
Seguridad Informática. ISO/IEC 27001:2005 Barcelona, febrero de 2008 Auditoría.Fiscal y Legal.Consultoría.Asesoramiento Financiero. 1 2007 Deloitte Contenido Introducción Motivaciones para certificarse Más detalles Sistema de Administración del Riesgos Empresariales
Sistema de Administración del Riesgos Empresariales Si tomas riesgos podrías fallar. Si no tomas riesgos, seguramente fallarás. El riesgo mayor de todos es no hacer nada Roberto Goizueta CEO Coca-Cola Más detalles CAS-CHILE S.A. DE I. 2013
CAS-CHILE S.A. DE I. 2013 LA INFORMACIÓN ES UN VALIOSO ACTIVO DEL QUE DEPENDE EL BUEN FUNCIONAMIENTO DE UNA ORGANIZACIÓN. MANTENER SU INTEGRIDAD, CONFIDENCIALIDAD Y DISPONIBILIDAD ES ESENCIAL PARA ALCANZAR Más detalles UNIVERSIDAD RAFAEL BELLOSO CHACIN MAESTRIA EN TELEMATICA
2009 UNIVERSIDAD RAFAEL BELLOSO CHACIN MAESTRIA EN TELEMATICA ESTANADRES COBIT, ITIL, ISO 27001 En este documento encontrar un artículo sobre los tres estándares mencionados. El cual contienen resumen, Más detalles Condiciones para que la Gerencia de Seguridad de. permanezca vigente.
Condiciones para que la Gerencia de Seguridad de la Información permanezca vigente. AGENDA 1. Foco metodológico. 2. Modelo de Seguridad. 3. Ubicación de la Seguridad de la Información en la organización. Más detalles 140 Horas académicas
DIPLOMADO GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN Y AUDITORÍA DE SISTEMAS 140 Horas académicas MÓDULO I - SEGURIDAD INFORMÁTICA EMPRESARIAL (20 horas: teoría interactiva) Contenido Introducción a la Más detalles CONTENIDO 1 OBJETIVO... 2 2 GLOSARIO... 2 3 DESCRIPCIÓN DE ACTIVIDADES Y RESPONSABILIDADES... 3
DE RIESGOS Página 1 de 21 CONTENIDO 1 OBJETIVO... 2 2 GLOSARIO... 2 3 DESCRIPCIÓN DE ACTIVIDADES Y RESPONSABILIDADES... 3 3.1 Metodología de Análisis de Riesgos... 3 3.2 Valoración de Activos... 6 3.3 Más detalles POLITICA DE ADMINISTRACION DEL RIESGO
POLITICA DE ADMINISTRACION DEL RIESGO 2014 POLÍTICA DE ADMINISTRACIÓN DEL RIESGO DE LA COMISIÓN DE REGULACIÓN DE ENERGÍA Y GAS -CREG- La Comisión de Regulación de Energía y Gas, CREG, implementa como Política Más detalles SERIE DE NORMAS ISO 27000 E ISO 31000: IMPLICANCIAS PARA EL AUDITOR INTERNO GUBERNAMENTAL
VII JORNADAS RIOPLATENSES DE AUDITORIA INTERNA 2011 MONTEVIDEO - URUGUAY SERIE DE NORMAS ISO 27000 E ISO 31000: IMPLICANCIAS PARA EL AUDITOR INTERNO GUBERNAMENTAL Ricardo Correa F. - CIA, CGAP, CCSA, MCAG Más detalles ESTRATEGIAS PARA LA IMPLEMENTACION DE ISO 20000 E ISO 27001 EN UNA UNIVERSIDAD PÚBLICA COLOMBIANA. Diana Rocio Plata Arango Diana.plata@uptc.edu.
ESTRATEGIAS PARA LA IMPLEMENTACION DE ISO 20000 E ISO 27001 EN UNA UNIVERSIDAD PÚBLICA COLOMBIANA. Diana Rocio Plata Arango Diana.plata@uptc.edu.co Por qué es Importante?? La Gestión de Servicios de Tecnología Más detalles PLANES Y POLÍTICAS AREA DE SISTEMAS
PLANES Y POLÍTICAS AREA DE SISTEMAS ELABORACIÓN REVISIÓN APROBACIÓN Elaborado por: Revisado por: Aprobado por: Patricia Eugenia Gómez Escobar Rafael López Hoyos Rafael López Hoyos Cargo: Cargo: Secretario Más detalles Estándar para la Elaboración del Proceso Administración de Elementos de Configuración
Seguridad del documento La clasificación de seguridad de la información de este documento, se ha establecido como bajo. Se ha creado y organizado con la expectativa de que esté a disposición de las unidades Más detalles TEMA 39 Código de buenas prácticas para la Gestión de la Seguridad de la Información. Norma UNE-ISO 17799.
TEMA 39 Código de buenas prácticas para la Gestión de la Seguridad de la Información. Norma UNE-ISO 17799. Índice 1 Introducción... 1 2 La Norma UNED-ISO 27002... 2 2.1 Estructura de la norma...3 2.1.1 Más detalles Resumen General del Manual de Organización y Funciones
Gerencia de Tecnologías de Información Resumen General del Manual de Organización y Funciones (El original del Manual de Organización y Funciones fue aprobado por Resolución Administrativa SBS Nº 574-2009, Más detalles Importancia de la administración de riesgos
Importancia de la administración de riesgos Una de las definiciones más interesantes acerca de esta teoría es la presentada por McConnell (1997), quien se refiere a la administración de riesgos de la siguiente Más detalles BS ISO/IEC 27001:2005 SGSI SISTEMAS DE GESTION DE LA SEGURIDAD DE LA INFORMACION. Junio de 2008
BS ISO/IEC 27001:2005 SGSI SISTEMAS DE GESTION DE LA SEGURIDAD DE LA INFORMACION Junio de 2008 Falta de Seguridad de la Información Compartir passwords Acceso a sitios no autorizados Uso indebido de equipo Más detalles Resumen General del Manual de Organización y Funciones
Gerencia de Tecnologías de Información Resumen General del Manual de Organización y Funciones (El Manual de Organización y Funciones fue aprobado por Resolución Administrativa SBS N 354-2011, del 17 de Más detalles ITIL MOF COBIT A QUIEN ESTA DIRIGIDO
DESCRIPCION La Biblioteca de Infraestructura de Tecnologías de Información, frecuentemente abreviada ITIL (del inglés Information Technology Infrastructure Library), es un marco de trabajo de las buenas Más detalles SEGURIDAD PARA EL ACCESO A LA INFORMACIÓN DE LAS ENTIDADES DEL ESTADO
SEGURIDAD PARA EL ACCESO A LA INFORMACIÓN DE LAS ENTIDADES DEL ESTADO Programa de Gobierno en Línea Oficina de Coordinación de Investigación, Política y Evaluación. RESUMEN La seguridad de la información Más detalles PROGRAMA GESTIÓN DE TECNOLOGÍAS DE LA INFORMACIÓN
PROGRAMA GESTIÓN DE TECNOLOGÍAS DE LA INFORMACIÓN PROMOCIÓN I LUGAR: Guayaquil / Centro de Educación Continua / Malecón 100 y Loja, Bloque A Of. 104, / ESPOL Campus Las Peñas Módulo Duración Fecha Horarios Más detalles Alfredo Zayas. Gestión del Riesgo Operativo
Alfredo Zayas Gestión del Riesgo Operativo Agenda 1. Objetivos 2. Fundamentos y Conceptos 3. Gestión del Riesgo Operativo 4. Estándares 5. Ejemplo de Modelo de Riesgo Operativo 6. Beneficios 7. Conclusiones Más detalles Palabras Clave Amenazas, Vulnerabilidades, Redes Inalámbricas, Seguridad de la Información, Usuarios SoHo, Análisis y Gestión de Riesgos.
RESUMEN Este artículo explica el estudio que se realizó para proporcionar a los Usuarios SoHo(Small Office, Home Officce) una herramienta que mide el nivel de riesgo que puede tener una red inalámbrica Más detalles Modelo de Negocios para la Seguridad de la Información.
Modelo de Negocios para la Seguridad de la Información. El Modelo de Negocios de Seguridad de la Información (BMIS, Business Model for Information Security) se originó en el Institute for Critical Information Más detalles DISEÑO DE UN SISTEMA DE GESTIÓN EN CONTROL Y SEGURIDAD BASADO EN LA NORMA BASC PARA LA EMPRESA TRANSPORTES Y SERVICIOS ASOCIADOS SYTSA CÍA. LTDA.
DISEÑO DE UN SISTEMA DE GESTIÓN EN CONTROL Y SEGURIDAD BASADO EN LA NORMA BASC PARA LA EMPRESA TRANSPORTES Y SERVICIOS ASOCIADOS SYTSA CÍA. LTDA. Erika Moncayo, Mauricio Campaña, Fernando Solís 1 Universidad Más detalles Boletín de Asesoría Gerencial* Aplicabilidad de estándares internacionales y mejores prácticas: CobiT, ITIL, Serie ISO / IEC 27000
Espiñeira, Sheldon y Asociados * No. 3-2009 *connectedthinking Contenido Haga click en los enlaces para navegar a través del documento Haga click en los enlaces para llegar directamente a cada sección Más detalles ESCUELA POLITECNICA NACIONAL
1 de 19 Tecnologías de la Información Técnicas de seguridad Sistemas de Gestión de la Seguridad de la Información Requisitos Objetivo Revisar los aspectos importantes sobre la norma ISO/EIC 27001 para Más detalles Entendiendo mi ambiente de Control
Riesgos y controles de TI, Entendiendo mi ambiente de Control Victor Vasquez AGENDA Agenda Retos de TI Gobierno de TI Concepto riesgo Control Cobit 3 Objetivo Objetivo Lograr que los participantes entiendan Más detalles ARTÍCULO: Validación de un método ágil para el análisis de riesgos de la información digital. AUTOR: Ing. Elvin Suarez Sekimoto
ARTÍCULO: Validación de un método ágil para el análisis de riesgos de la información digital AUTOR: Ing. Elvin Suarez Sekimoto Email: peluka_chino@hotmail.com U.A.P.-I.T.P.R. CARRERA CONTABILIDAD PUERTO Más detalles ANALISIS Y RECOMENDACIONES ANTE LA FALLA DEL SERVIDOR PATHFINDER
ANALISIS Y RECOMENDACIONES ANTE LA FALLA DEL SERVIDOR PATHFINDER El GIT de Control Interno en su función de analizar y evaluar, en coordinación con las dependencias de la entidad, los criterios, métodos, Más detalles Implantación de un sistema de gestión de la seguridad de la información y certificación ISO 27001 en la Administración Pública
Implantación de un sistema de gestión de la seguridad de la información y certificación ISO 27001 en la Administración Pública TECNIMAP 2010 Manuel Cabrera Silva José María Vinagre Bachiller Paul Jabbour Más detalles Lecciones aprendidas en auditorías BCP
Lecciones aprendidas en auditorías BCP Nelson Valero Ortega MBCP, CISA, CISM, CGEIT, CRISC Agenda Introducción Protección total de activos Lecciones aprendidas Conclusiones Agenda Introducción Protección Más detalles Introducción. Enfoque de Control de CobiT Los Procesos del Modelo Mapeo de los Procesos
ANEXO 18 GLOSARIO FONDO FINANCIERO DE PROYECTOS DE DESARROLLO FONADE FONDO DE TECNOLOGIAS DE LA INFORMACIÓN Y LAS COMUNICACIONES: PROGRAMA AGENDA DE CONECTIVIDAD ESTRATEGIA DE GOBIERNO EN LÍNEA CONVENIO Más detalles Norma Técnica Peruana:
Norma Técnica Peruana: NTP ISO/IEC 17799:2004 EDI. TECNOLOGIA DE LA INFORMACIÓN. CODIGO DE BUENAS PRACTICAS PARA LA GESTION DE LA SEGURIDAD DE LA INFORMACION. 1ª EDICIÓN ANTECEDENTES De conformidad con Más detalles POLÍTICA PARA LA GESTIÓN INTEGRAL DE RIESGOS EN IBERPLAST
POLÍTICA PARA LA GESTIÓN INTEGRAL DE RIESGOS EN IBERPLAST VERSIÓN: 01 1. Presentación y Contexto El riesgo es una condición inherente en las organizaciones. Es por eso que, La Junta Directiva y el Comité Más detalles POLÍTICA DE SEGURIDAD DE INFORMACIÓN EN EL IIAP
Biodiversidad Amazónica - BIOINFO 2013 POLÍTICA DE SEGURIDAD DE INFORMACIÓN EN EL IIAP (Aprobada en sesión Ordinaria de Directorio N 584 del 26 de Noviembre del 2013) Iquitos, Noviembre 2013 Programa de Más detalles LINEAMIENTOS GENERALES PARA LA IMPLEMENTACIÓN DE PROCESOS ELECTRÓNICOS
LINEAMIENTOS GENERALES PARA LA IMPLEMENTACIÓN DE PROCESOS LINEAMIENTOS GENERALES PARA LA IMPLEMENTACIÓN DE PROCESOS Ministerio de Tecnologías de la Información y las Comunicaciones Programa de Gobierno Más detalles METODOLOGIA DE ANALISIS DE RIESGO. 1.1 Entrevistas. 1.2 Evaluación de Riesgo. Autor: Rodrigo Ferrer CISSP SISTESEG.
METODOLOGIA DE ANALISIS DE RIESGO Autor: Rodrigo Ferrer CISSP Bogotá Colombia A continuación haremos una descripción detallada de los pasos con que cuenta nuestra metodología de análisis de riesgo, la Más detalles Guía para realizar el Análisis de Impacto de Negocios BIA
Guía para realizar el Análisis de Impacto de Negocios BIA Guía Técnica HISTORIA VERSIÓN FECHA CAMBIOS INTRODUCIDOS 1.0.0 19/01/2015 2.0.0 12/05/2015 Versión inicial del documento Versión ajustada del documento Más detalles Análisis y Evaluación del Riesgo de Información: Un Caso en la Banca Aplicación del ISO 27001:2005
nálisis y Evaluación del Riesgo de Información: Un Caso en la anca plicación del ISO 27001:2005 Por lberto G. lexander, Ph.D. Director Centro para la Excelencia Empresarial www.centrum.pucp.edu.pe/excelencia Más detalles ANEXO TÉCNICO No. 2 SERVICIOS DE SEGURIDAD DE LA INFORMACION PARA LA SOLUCIÓN PROVISTA
ANEXO TÉCNICO No. 2 SERVICIOS DE SEGURIDAD DE LA INFORMACION PARA LA SOLUCIÓN PROVISTA 1.1. INTRODUCCION. De acuerdo con la definición del ITGI 1 se entiende por Gobierno de Tecnología como la: Responsabilidad Más detalles SISTEMA DE GESTION DE LA SEGURIDAD CON ISO 27001:2005. Por: Gloria Stella Viveros Muriel
SISTEMA DE GESTION DE LA SEGURIDAD CON ISO 27001:2005 Por: Gloria Stella Viveros Muriel Sobre el autor: GLORIA STELLA VIVEROS MURIEL. Ingeniera de sistemas egresada Universidad Manuela Beltrán, especialista Más detalles Introduction to Risk Assessment
Norma NTC-ISO/IEC 27001 Sistema de Gestión de Seguridad de Información AGENDA SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN CONCEPTOS BÁSICOS QUÉ ES LA NORMA ISO/IEC 27001:2005? ORIGEN NORMA ISO/IEC Más detalles Cómo Asegurar la Calidad de Servicios de TI?
Cómo Asegurar la Calidad de Servicios de TI? Martín Ugarteche Crosby Southern Peru Copper Corporation Cuales son los pasos para construir un Sistema de Gestión de Servicios de TI? 1. Voluntad de querer Más detalles TITULO. Integrando ITIL, COBIT e ISO 27002 como parte de un marco de Gobierno y Control de TI
Temas TITULO Integrando ITIL, COBIT e ISO 27002 como parte de un marco de Gobierno y Control de TI Roberto C. Arbeláez, M.Sc, CISSP, CISA Roberto.Arbelaez@microsoft.com La gobernabilidad de TI: Una responsabilidad Más detalles FICHAS DE DESCRIPCIÓN DE FUNCIONES Y COMPETENCIAS LABORALES

References: Resolución 
 Resolución 
 Resolución 
 Resolución 
 Resolución 
 Resolución