Source: http://docplayer.es/6456453-Procedimiento-de-gestion-de-incidencias-de-seguridad-elaborado-por-revisado-por-aprobado-por.html
Timestamp: 2018-03-24 07:04:32+00:00

Document:
PROCEDIMIENTO DE GESTIÓN DE INCIDENCIAS DE SEGURIDAD ELABORADO POR: REVISADO POR: APROBADO POR: - PDF
Download "PROCEDIMIENTO DE GESTIÓN DE INCIDENCIAS DE SEGURIDAD ELABORADO POR: REVISADO POR: APROBADO POR:"
María Isabel Mendoza Navarrete
1 DE GESTIÓN DE INCIDENCIAS DE SEGURIDAD ELABORADO POR: REVISADO POR: APROBADO POR: 19/10/2015 Audedatos Josema Gil
2 Nº edición: 01 Nº revisión: 01 Página 2 de 14 Fecha Edición Revisión Cambios Realizados Versión inicial Revisión para adaptación al Ayuntamiento de Bétera
3 Nº edición: 01 Nº revisión: 01 Página 3 de 14 ÍNDICE DE CONTENIDOS 1. Objeto Ámbito de aplicación Actualización del documento Referencias Roles y Responsabilidades Contenido Comunicación de las incidencias de seguridad Registro y categorización de las incidencias de seguridad Resolución de las incidencias de seguridad Aprendizaje de las incidencias de seguridad Proceso disciplinario Ejemplos de incidencias de seguridad Incidencias que afectan a la confidencialidad Incidencias que afectan a la integridad Incidencias que afectan a la disponibilidad Incidencias que afectan a la autenticación Registros habilitados... 14
4 Nº edición: 01 Nº revisión: 01 Página 4 de Objeto El objeto del presente documento es la definición del Procedimiento aplicable a la gestión de incidencias de seguridad del Ayuntamiento de Bétera, dentro del alcance señalado en el Esquema Nacional de Seguridad, con el fin de minimizar los daños provocados por incidentes de seguridad y por el mal funcionamiento, controlándolos y aprendiendo de ellos. Se ha implantado el presente Procedimiento atendiendo al nivel de seguridad de la información y los servicios prestados, y la categoría de los sistemas del Ayuntamiento de Bétera, que resulten de la aplicación de las previsiones contempladas en los Anexos I y II del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la administración electrónica (ENS). 2. Ámbito de aplicación Este Procedimiento es de aplicación a todo el ámbito de actuación del Ayuntamiento de Bétera, y sus contenidos traen causa de las directrices de carácter más general definidas en el ordenamiento jurídico vigente, en la Política de Seguridad de la Información y en las Normas de Seguridad del Ayuntamiento de Bétera. En concreto, el presente procedimiento se aplicará a todas las incidencias de seguridad que afecten o puedan afectar a la seguridad de los activos incluidos en el alcance del Sistema de Gestión de la Seguridad de la Información, y que han sido registrados en el Inventario de Activos. El procedimiento también será de aplicación a las incidencias de seguridad ocurridas sobre los Sistemas de Información que gestionan los ficheros jurídicos declarados ante la Agencia Española de Protección de Datos y que constan en el Registro de Ficheros mantenido, independientemente del nivel de seguridad establecido: básico, medio, alto. El presente Procedimiento es de aplicación y de obligado cumplimiento para todo el personal que, de manera permanente o eventual, preste sus servicios en el Ayuntamiento de Bétera, especialmente, los responsables de Sistemas de Información y los propios usuarios, como actores ambos, en sus respectivas competencias, de la notificación y gestión de las incidencias de seguridad, incluyendo, en su caso, el personal de proveedores externos, cuando proceda y sean usuarios de los Sistemas de Información del Ayuntamiento de Bétera. En el ámbito del presente Procedimiento, se entiende por usuario cualquier empleado público perteneciente o ajeno al Ayuntamiento de Bétera, así como personal de organizaciones privadas externas, entidades colaboradoras o cualquier otro con algún tipo de vinculación con el Ayuntamiento de Bétera y que utilice o posea acceso a sus Sistemas de Información.
5 Nº edición: 01 Nº revisión: 01 Página 5 de Actualización del documento Cuando se produzca un cambio significativo en la estructura o en la operativa del Ayuntamiento de Bétera que afecte a este procedimiento, deberá producirse una modificación y actualización del mismo. Se notificará al Comité de Seguridad de los cambios y modificaciones identificados, y éstos serán incluidos en una nueva versión del documento así como en el apartado de control de cambios, como evidencia del proceso de actualización realizado y para mantener la trazabilidad entre distintas versiones. Será el Responsable de Seguridad la persona encargada de la custodia y divulgación de la versión aprobada de este documento. 4. Referencias Las referencias tenidas en cuenta para la redacción de este Procedimiento han sido: Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la administración electrónica. Ley 15/1999, de Protección de Datos de Carácter Personal (LOPD). Real Decreto 1720/2007, por el que se aprueba el Reglamento de desarrollo de la LOPD. Documentos y Guías CCN-STIC. 5. Roles y Responsabilidades - El Responsable de Seguridad es quien habilita y da efectividad al registro de incidencias, de acuerdo con la estructura orgánica y física de la organización. Valora el alcance de las incidencias con el fin de adoptar las medidas necesarias para reparar o minimizar los efectos evitando su repetición en el futuro. - El Responsable de Sistemas, junto con el equipo de Administradores de Sistemas, es el encargado de resolver las incidencias, de comprobar la resolución de las incidencias con el usuario final, y de gestionar, mantener, actualizar, organizar y tener disponible el Registro de Incidencias. - Los usuarios son las personas que, en el cumplimiento de sus funciones, tienen la obligación de notificar las incidencias de seguridad que detecten en el entorno de trabajo, o cualquier situación que pueda provocarlas.
6 Nº edición: 01 Nº revisión: 01 Página 6 de 14 - El Responsable de Recursos Humanos y el Responsable de los Servicios Jurídicos analizan los incidentes de seguridad causados por el personal, en el caso de que hayan sido graves o críticos, y decide el procedimiento disciplinario a aplicar en cada caso. 6. Contenido Se entiende por incidencia cualquier anomalía que afecte o pudiera afectar a la seguridad de los datos. Uno de los requisitos más importantes tanto del Reglamento de la LOPD como del ENS es la existencia en la organización de un procedimiento de notificación, gestión y respuesta ante las incidencias que afecten a los datos de carácter personal, así como la implantación de un registro de incidencias, con el fin de que quede debidamente registrada cualquier incidencia que al producirse haya puesto en peligro o haya dañado los ficheros de datos. En el Ayuntamiento de Bétera se da cumplimiento a dicho requisito a través del presente procedimiento. Todos los empleados, tanto internos como externos, que sean usuarios de los sistemas y servicios de información tienen la obligación de notificar al responsable correspondiente cualquier incidencia, anomalía o debilidad asociada a la seguridad de la información. Dicha comunicación se deberá realizar en el momento en que se produzca la incidencia o desde el momento en que se tenga conocimiento de la misma. El proceso de Gestión de Incidencias puede ser invocado de diversas formas: Notificación de incidencia por parte de un usuario o Responsable de Servicio. Apertura de incidencia por parte del personal de Sistemas. La generación alarmas en los sistemas de monitorización invocará este procedimiento al darse ciertas situaciones o superar determinados umbrales de algunas variables. El registro de incidencias se hace de tres formas diferentes:
7 Nº edición: 01 Nº revisión: 01 Página 7 de 14 Para ficheros de nivel bajo y medio: Apertura por Usuarios: Se ha dispuesto de una cuenta de correo electrónico donde los usuarios notifican cualquier incidencia de la que hayan tenido conocimiento. La cuenta de correo electrónico es compartida por el personal de sistemas, quien se encarga de solventar la incidencia. Apertura de incidencia por parte del personal de Sistemas: El personal informático dispone de una aplicación en access, para el registro de las incidencias y registro de las medidas correctoras adoptadas para corregir la incidencia. Para ficheros de nivel Alto: Se gestiona también a través del correo, pero adjuntado las fichas que se encuentran en la intranet de la web municipal, en el apartado de Resolución de incidencias de ficheros de nivel Alto automatizados. 6.1 Comunicación de las incidencias de seguridad 1. Cualquier usuario que observe o sospeche un incidente de seguridad deberá comunicar a la mayor brevedad posible a través del registro de incidencias, para minimizar al máximo el daño que pueda causar o que haya causado. 2. No es conveniente que los usuarios traten de probar las sospechas de debilidad en ninguna circunstancia. En caso contrario, dichas pruebas podrían ser consideradas como un posible mal uso del sistema. 3. En caso de ser un incidente de seguridad provocado por una aplicación, se deberían anotar los síntomas del problema y todo mensaje que aparezca en pantalla. 4. Los usuarios no deben intentar retirar, en su caso, el software sospechoso salvo autorización expresa. La recuperación se debe realizar por personal experimentado y debidamente formado. 5. En caso de que, por cualquier circunstancia, no se pueda tener acceso al registro de incidencias, la notificación deberá realizarse al Responsable de Seguridad de forma presencial, telefónicamente, por formulario web, por correo electrónico, o por cualquier otro medio, pero siempre asegurándose de que le ha sido comunicada al Responsable de Seguridad y a través el medio que facilite una comunicación más rápida al mismo.
8 Nº edición: 01 Nº revisión: 01 Página 8 de Registro y categorización de las incidencias de seguridad 6. El Responsable de Seguridad (o Responsable de Sistemas en su caso), nada más comunicado el incidente de seguridad, lo catalogará y especificará su detalle en el registro de incidencias, atendiendo a la gravedad del mismo, intentará solucionarlo a la mayor brevedad posible. 7. Al dar de alta la incidencia en el registro, se debe utilizar un campo de criticidad para clasificarla en función de su impacto, y establecer el nivel de prioridad en la resolución de cada incidencia. Se categorizan las incidencias en los siguientes términos: CRÍTICA, GRAVE, MODERADA, LEVE, para facilitar la ejecución de las acciones a tomar frente a la misma. En la tabla siguiente se muestra un ejemplo de categorización de incidencias, incluyendo ejemplos para cada una de las categorías definidas. Gravedad Definición Ejemplos CRÍTICA Incidentes con un impacto extremo en los servicios de la organización. - Accesos no autorizados con robo de información secreta o confidencial. - Fugas de información confidencial. GRAVE Incidentes con gran impacto en los servicios de la organización. MODERADA Incidentes con un impacto considerable. - Accesos no autorizados. - Infección masiva por virus. - Fuga de información. - Pérdida o degradación de servicio considerable en un sistema crítico. - Intentos de acceso no autorizado a recursos de la organización. - Degradación media de servicio en los sistemas del dominio protegible. LEVE Incidentes con un impacto bajo. - Análisis de red no autorizado por parte de personal interno. - Negación de acceso a entornos no críticos. - Olvido de contraseña por parte de un usuario.
9 Nº edición: 01 Nº revisión: 01 Página 9 de Resolución de las incidencias de seguridad 8. El Responsable de Seguridad (o el Responsable de Sistemas en su caso) determinará la Causa Raíz del incidente de seguridad, velando por que el incidente de seguridad notificado no esté encubriendo un incidente de seguridad de mayor gravedad que pueda afectar a un mayor número de activos o procesos. 9. El Responsable de Seguridad examinará si ya existe una respuesta predeterminada para ese tipo de incidentes de seguridad. 10. En caso de existir, actuará de acuerdo a lo previamente determinado. 11. Si no existe, estudiará la mejor forma de solucionarla. En caso de que estime que no tiene los conocimientos suficientes, podrá estimar necesaria la participación de otro personal del Ayuntamiento o Área municipal, o incluso personal ajeno a la misma especializado en la resolución de ese tipo de incidentes de seguridad. 12. En caso de que para la resolución del incidente de seguridad sea necesario recuperar datos de carácter personal, antes de restaurar se deberá obtener la autorización del Responsable de Fichero, si no tiene delegada esta autorización de forma expresa. 13. Durante la resolución de la misma, se intentará analizar e identificar el origen del incidente de seguridad. 14. En caso de que el sistema de información del fichero lo permita, se intentarán recoger pistas de auditoría y otras evidencias similares, consultando, entre otros, el registro de accesos al fichero en caso de estar disponible, junto a las últimas operaciones realizadas por los usuarios. 15. Se vigilará si se ha incurrido en irresponsabilidades por parte de alguno de los usuarios del sistema. 16. Se vigilará especialmente si se ha vulnerado alguna de las obligaciones impuestas por la Ley de Protección de Datos. 17. Deberemos asegurarnos que una vez finalizada la resolución del incidente de seguridad, la parte afectada se ha dejado con todas las medidas de seguridad que hayan sido establecidas para el mismo. 6.4 Aprendizaje de las incidencias de seguridad 18. El Registro de Incidencias de Seguridad estará actualizado y se habilitará los informes del mismo para obtener una relación detallada de las Incidencias de Seguridad.
10 Nº edición: 01 Nº revisión: 01 Página 10 de En caso de que haya sido necesaria la recuperación de datos, tanto desde copias de seguridad como manualmente, se informará debidamente el apartado correspondiente del registro de incidentes de seguridad y deberá constar expresamente la firma del Responsable de Fichero, o del Responsable de Seguridad por delegación, autorizando previamente a la restauración. 20. El Responsable de Seguridad tendrá especial cuidado en documentar todas las acciones de emergencia realizadas para la resolución del incidente de seguridad, con vistas a orientarnos sabiendo cómo actuar correctamente desde un principio en futuras apariciones de esa misma incidente de seguridad. 21. Se evaluará si es necesaria la adopción de nuevas medidas para evitar la repetición del incidente de seguridad. 22. Se mantendrán reuniones periódicas de análisis de incidencias y seguimiento de los trabajos efectuados en la resolución de las mismas, levantando actas de dichas reuniones. A las reuniones asistirá el Responsable de Seguridad, el Responsable de Sistemas y personal adscrito a ambos, y si es requerido los Responsables de Servicios que se determine. 23. El Responsable de Seguridad trasladará al Responsable de la Información toda la información relacionada con el incidente de seguridad para su notificación y revisión. 24. Se dispondrá de Bases de Conocimiento en las que se incluirán los protocolos documentados de resolución de las diversas incidencias que se hayan producido, de forma que incidentes similares puedan ya ser resueltos en base a la información almacenada de la resolución de tareas anteriores. 6.5 Proceso disciplinario Todo aquel personal de la organización, tanto interno como externo, que viole o trate de violar la Política de Seguridad o cualesquiera controles asociados a la misma, queda expuesto al procedimiento disciplinario que el Área de Recursos Humanos estime conveniente tras analizar el caso. Para los aspectos más técnicos de la situación, el Servicio de Seguridad, Sistemas y Comunicaciones asesora al Área de Recursos Humanos, con objeto de garantizar un tratamiento adecuado y justo del caso, así como trabajar en la valoración del incidente por si de él pudieran derivarse acciones judiciales de forma que se recojan aquellos registros y trazas que permitan posteriormente aportar las evidencias digitales que pudieran ser necesarias y relevantes.
11 Nº edición: 01 Nº revisión: 01 Página 11 de 14 En el caso de violaciones continuadas de la seguridad de la organización o de intentos de violación repetidos de la misma, así como en el caso de violaciones de seguridad especialmente graves, el procedimiento disciplinario aplicable puede ir acompañado de cualesquiera medidas legales recomendadas desde los Servicios Jurídicos.
12 Nº edición: 01 Nº revisión: 01 Página 12 de Ejemplos de incidencias de seguridad Con el objeto de que los usuarios puedan identificar y catalogar las incidencias que afectan a datos de carácter personal, se detallan a continuación algunos ejemplos: 7.1. Incidencias que afectan a la confidencialidad. - Acceso o lectura no autorizada de información contenida en ficheros o sistemas de información, tanto automatizados como no automatizados (soporte papel). - Copia no autorizada de la información. - Error en la distribución: entrega de informes, soportes, correspondencia, etc. a personas distintas de sus destinatarios. Existencia de documentos en impresoras, fotocopiadoras, escáneres, faxes, etc. que contienen datos personales y no han sido retirados. - Pérdida o sustracción de soportes informatizados, entre ellos dispositivos móviles (portátiles, teléfonos, discos duros externos, smartphones, CDs, DVDs, llaves USB, PDAs, etc.), y de documentos en papel que contienen información de carácter personal. - Almacenamiento de datos personales en dispositivos móviles que no se encuentran cifrados. - Obtención de información desde soportes o documentos desechados. - Obtención de información desde equipos o soportes destinados a su reutilización. - Descifrado de la información o de las claves de acceso (contraseñas). - Pérdida o sustracción de llave de acceso a archivo, armario, etc. - Accesos no autorizados a despachos, archivos, armarios, etc. - Accesos no autorizados a dependencias en las que residen sistemas de información: CPDs, salas, etc. - Uso indebido de las cuentas y contraseñas de usuario. - Uso indebido de las llaves de acceso. - Realización de trabajos por parte de empresa prestadora de servicios sin haber formalizado contrato de acceso a datos Incidencias que afectan a la integridad. - Modificación o alteración de datos no autorizada. - Imposibilidad de reconstruir los datos partiendo de las copias de respaldo. - Alteración de la información durante su tratamiento, ocasionada por fallos en la aplicación. - Infección o sospecha de infección de ficheros por virus. - Uso indebido de las llaves de acceso a armarios. - Deterioro de soportes y documentos, armarios, archivos, etc.
13 Nº edición: 01 Nº revisión: 01 Página 13 de Incidencias que afectan a la disponibilidad. - Modificaciones no autorizadas de permisos de acceso de los usuarios a los ficheros. - Borrado accidental de ficheros. - Borrado no autorizado de la información. - Pérdida de datos por mal uso de las aplicaciones o por fallos de éstas. - Recepción masiva de correos electrónicos. - Deterioro de soportes, documentos, armarios, archivadores, etc. - Destrucción parcial o total de la información debida a fallos o averías en equipos y sistemas. - Destrucción parcial o total de la información debida a incendios, inundaciones, tormentas, terremotos, etc. - Imposibilidad o limitación del uso de las instalaciones debido a fenómenos meteorológicos, huelgas, manifestaciones, etc. - Imposibilidad de acceso a los sistemas por averías y fallos en software, hardware y/o comunicaciones. - Ataques a la red corporativa Incidencias que afectan a la autenticación. - Suplantación o sospecha de suplantación de un usuario autorizado por uno no autorizado: o Por cesión de la clave de acceso. o Por conocimiento de la clave de acceso. o Por violación de los controles de acceso. - Olvido de contraseña. - Bloqueo de cuenta por exceso de intentos fallidos de acceso. - Fallos en las aplicaciones o dispositivos de control de acceso lógico. - Credenciales de acceso no otorgadas a usuario incorporado recientemente a la organización, o a usuario que ha cambiado de puesto de trabajo y necesita permisos de acceso a otros aplicativos. - Usuario que ya no trabaja en la organización, o que ha cambiado de puesto de trabajo, y continúa teniendo credenciales de acceso a los aplicativos. - Autorizaciones de acceso improcedentes.
14 Nº edición: 01 Nº revisión: 01 Página 14 de Registros habilitados Nombre Responsable Contenido Periodo de Conservación Ubicación Registro de Responsable de Incidentes de Sistemas seguridad Registro de autorizaciones de recuperaciones de datos Responsable Seguridad de

References: Resolución 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 resolución 
 Resolución 
 resolución 
 Resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución