Source: https://www.scribd.com/doc/216463412/Manual-SGSI-Aplicada-a-La-Gestion-de-Activos
Timestamp: 2018-12-15 16:01:48+00:00

Document:
Uploaded by Sofia Camargo
ESCUELA DE DISEÑO Y COMUNICACIÓN VISUAL PROYECTO DE GRADUACIÓN PREVIO A LA OBTENCIÓN DEL TÍTULO DE: ANALISTA DE SISTEMAS TEMA: “IMPLANTACIÓN DE UN SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN APLICADA AL DOMINIO GESTIÓN DE ACTIVOS PARA LA EMPRESA PLÁSTICOS INTERNACIONALES PLASINCA C.A.”
AUTORES: ALEJANDRA EUGENIO RIVAS MIGUEL PARRALES ESPINOZA PAÚL SABANDO SUDARIO
DIRECTOR: MBA. VÍCTOR MUÑOZ CHACHAPOLLA
A Dios, a nuestros padres por todo su apoyo incondicional y confianza, y a todas las personas que nos ayudaron a culminar nuestra carrera. A nuestro Director de Tesis por su gran ayuda y colaboración.
A nuestras familias y todos nuestros amigos quienes siempre de alguna manera nos ayudaron y apoyaron incondicionalmente.
me corresponde exclusivamente. y el patrimonio intelectual de la misma a la ESCUELA SUPERIOR POLITÉCNICA DEL LITORAL (Reglamento de Graduación de Pregrado de la ESPOL).DECLARACIÓN EXPRESA La responsabilidad del contenido de este Trabajo Final de Graduación. .
FIRMA DEL DIRECTOR DEL PROYECTO Y DE LOS MIEMBROS DEL TRIBUNAL ___________________________________ Mba. Víctor Muñoz Chachapolla Director del Proyecto ___________________________________ Delegado .
FIRMAS DE LOS AUTORES DEL PROYECTO DE GRADUACIÓN ___________________________________ Alejandra Eugenio Rivas ___________________________________ Miguel Parrales Espinoza ___________________________________ Paúl Sabando Sudario .
ya sean existentes o latentes y determina la vulnerabilidad a la que están expuestos. identificar los riesgos en el entorno de trabajo. Permitiendo a la organización. recomendando las medidas apropiadas que deberían adoptarse para conocer. El aseguramiento de dicha información y de los sistemas que la procesan. aplicado al dominio Gestión de Activos. documentada y basada en objetivos claros de seguridad y una evaluación de los riesgos a los que está sometida la información de la organización. ISO 27001 e ISO 27002. es necesario implantar un sistema que aborde esta tarea de una forma metódica. las cuales proporcionan medidas de apoyo necesarias para proteger y mantener segura la información. por lo tanto este documento propone implementar un Sistema de Gestión de Seguridad de información (SGSI). impedir y controlar los riesgos identificados y así reducir al mínimo sus perjuicios. prevenir. . Basado en las normas ISO 27000. Para la adecuada gestión de la seguridad de la información.RESUMEN La información es un activo vital para la continuidad y el éxito en el mercado de cualquier organización.
................2.................................................................... 38 VIII ..................................4 II...................................................4...............................................4 IDENTIFICAR IMPACTOS ............................................................3......... 32 II...........................2.. 24 CRITERIOS DE VALORACIÓN.......1 DEFINICIÓN .........2 IDENTIFICACIÓN Y VALORACIÓN DE ACTIVOS ....... 15 VISIÓN ........................................ 15 I......................................................................5 FUNCIONAMIENTO POR ÁREA ........2 SITUACIÓN ACTUAL ................. 20 II......... 15 I........................................................................ 14 I................ 16 I....5 IDENTIFICACIÓN DE ACTIVOS ......................................................3 ESTRUCTURA ORGANIZACIONAL ........................................ 35 II....................2......................... 33 II....... 17 I.................................................................................. 20 II................... 33 II............................................................................ÍNDICE GENERAL CAPÍTULO I I....2 I.................1 II.................................................................................3............................3 II.... 15 POLÍTICAS DE CALIDAD .........................................1 METODOLOGÍA DE EVALUACIÓN DE RIESGOS ......3 IDENTIFICAR AMENAZAS Y VULNERABILIDADES .............4 DIAGRAMA DE PLANTA .............2 II............... 23 DIMENSIONES DE VALORACIÓN ..3 I.............................................. 25 VALORACIÓN DE ACTIVOS ........ 14 I.......................................................................................................... 18 CAPÍTULO II II.......................... INTRODUCCIÓN ................................ 21 II.......................3............................................................................................1 IMPACTO POR AMENAZA ............................1 AMENAZAS POR ACTIVO .......... 14 I..................3........ 36 II........................... 15 POLÍTICAS DE SEGURIDAD .................................................................4 MISIÓN ....6 ORGANIGRAMA .......................................................................3...... 21 AGRUPACIÓN DE ACTIVOS .............................................................. PLANEACIÓN DEL SGSI ....................................................................................................1 I............5 ANÁLISIS Y EVALUACIÓN DE RIESGOS ..........................................2........2......
.........9..........1 DECLARACIÓN DE APLICABILIDAD (SOA) .... 65 IV............4 SELECCIÓN DE CONTROLES Y SOA . 63 IV...........4...................5 MODELO A SEGUIR: PDCA ..................... EJECUCIÓN DEL SGSI .....3............................................ 68 ASPECTOS DE LA SEGURIDAD DE LA INFORMACIÓN DE LA GESTIÓN DE LA CONTINUIDAD DEL NEGOCIO (14...........2............................................................1 DEFINICIÓN DE SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN ....................................6 METODOLOGÍA: MAGERIT ........4) .........................................1 III..............1...................9....3 CERTIFICACIÓN ...........3 IV...............2 CONTROLES Y POLÍTICAS DE SEGURIDAD ............................................................................ 47 III................. 46 III...... 41 III...................................................... 63 IV.................2.... 41 III. 66 IV............ 41 III....................... 69 IX ........................................ 64 IV...4 UBICACIÓN Y PROTECCIÓN DEL EQUIPO (9.......................................................... ANEXO ............. 57 III.........................3...........................................2 CONTROLES SELECCIONADOS DE LA NORMA ISO 27002 .........................1 III.................................................................................................................................2) ..................1 IV...................................1 DEFINIR PLAN DE TRATAMIENTO DE RIESGO ...................................................................5.... 58 III........2....... 67 SERVICIOS PÚBLICOS DE SOPORTE (9.................4 LA SERIE ISO 27000 ..... OBJETIVOS DE CONTROL Y CONTROLES .............................. 65 IV.............. 65 IV........3 IMPLEMENTAR LOS CONTROLES .....2 IMPLANTACIÓN .................9 DEFINICIÓN DE POLÍTICAS DE SEGURIDAD........7 DOMINIO..................................................................1) ........... 48 III.......2 IMPLEMENTAR PLAN DE TRATAMIENTO DE RIESGO ..........2......2................... 43 III.......................................................1 OPCIONES PARA EL TRATAMIENTO DEL RIESGO .1 CAPACITACIÓN ....................... 61 CAPÍTULO IV IV..................9... 61 III....... 66 MANTENIMIENTO DE EQUIPO (9..........................................CAPÍTULO III III.................................................................................. 63 IV.......................................................................8 DEFINICIÓN DEL ALCANCE DEL SGSI .............1).......2 IV....................................................... 63 IV..............9....................5 FORMACIÓN Y CONCIENCIACIÓN .............. 47 DEFINICIÓN DE POLÍTICAS DE SEGURIDAD INFORMÁTICA.................... 44 SALVAGUARDAS ... 63 IV....................................................
.3) ..1) ....15 DERECHOS DE PROPIEDAD INTELECTUAL (15.............................9...............2.............1) ..............................9.....................2.................2) ......2) ............. 86 IV..........9 PROTECCIÓN CONTRA EL CÓDIGO MALICIOSO Y MÓVIL (10........ 87 IV..........9...1) ..17 RESPONSABILIDAD POR LOS ACTIVOS (7....1...........2) .....13 DOCUMENTO DE LA POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN (5..............14 CUMPLIMIENTO DE LOS REQUERIMIENTOS LEGALES (15........................................2) ......4)......2...............9........... 70 IV............14 DIFERENTES PROBLEMAS ENCONTRADOS EN LA EMPRESA CON RESPECTO A LA SEGURIDAD INFORMÁTICA ................................................ EDUCACIÓN Y CAPACITACIÓN EN SEGURIDAD DE LA INFORMACIÓN (8......2) ..................108 IV...............................................................109 IV..1....9..........................................9.....7 RESPONSABILIDADES Y PROCEDIMIENTOS (13...........................11 REPORTE DE LOS EVENTOS Y DEBILIDADES DE LA SEGURIDAD DE LA INFORMACIÓN (13.18 INVENTARIO DE LOS ACTIVOS (7..............9......................... 80 IV............... 89 IV.......2..3) ... 76 IV................................................ 79 IV.....20 USO ACEPTABLE DE LOS ACTIVOS (7.........9......................12 POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN (5..............IV..............11 INVENTARIO GENERAL DE PLASTICOS INTERNACIONALES C..........9....4.......................9..........111 X .................. 85 IV.................................... 89 IV........1.........8 CONOCIMIENTO............................................................... 90 IV........ 72 IV. 77 IV............. 74 IV.... 95 IV..........................................10 CONTROLES CONTRA CÓDIGOS MALICIOSOS (10...9................................ 92 IV............................12 FOTOS DE LA EMPRESA ....1) ....10 TIPOS DE AMENAZAS .....21 CLASIFICACIÓN DE LA INFORMACIÓN (7..1) ........ 77 IV..1........................................9.16 PROTECCIÓN DE LA DATA Y PRIVACIDAD DE LA INFORMACIÓN PERSONAL (15..1.....1)....5 DESARROLLAR E IMPLEMENTAR LOS PLANES DE CONTINUIDAD INCLUYENDO LA SEGURIDAD DE LA INFORMACIÓN (14...................1) ..... 82 IV..............................9......1........ 80 IV........1) .....A .13 DIFERENTES INSTALACIONES DE LA EMPRESA....1.5) ........................... MANTENIMIENTO Y RE-EVALUACIÓN DE LOS PLANES DE CONTINUIDAD DEL NEGOCIO (14...............9.19 PROPIEDAD DE LOS ACTIVOS (7........................6 PRUEBA..23 ETIQUETADO Y MANEJO DE LA INFORMACIÓN (7..... 84 IV............4) ....22 LINEAMIENTOS DE CLASIFICACIÓN (7............... 88 IV............................1) ............................................... 82 IV..9.....9....9.....1...9...9..............
..ÍNDICE DE FIGURA FIGURA .............................................6 ÁREA DE COMPUTACIÓN ....................................................17 ÁREA DE EXTRUSIÓN ..................... 110 FIGURA ...............................................................................................................................................................19 SELLADO ......... 109 FIGURA .....14 RECEPCIÓN 1 ................................................................................................................10 ÁREA DE PRODUCCIÓN ........................................................9 ÁREA DE PRODUCCIÓN ............................................. 110 FIGURA ......................................... 108 FIGURA ..................................13 ÁREA DE CONTABILIDAD .............16 BODEGA 1 ....................... 110 FIGURA .. 110 FIGURA ..........................................4 MODELO PDCA .................... 110 FIGURA .................. 14 FIGURA .............. 109 FIGURA ........... 18 FIGURA ....... 109 FIGURA ......................................11 ÁREA DE CONTABILIDAD ...........................1 LOGO DE LA EMPRESA ....15 RECEPCIÓN 2 ...............................................3 ORGANIGRAMA DE LA EMPRESA ........................................................................................................ 109 FIGURA ..................................................................... 16 FIGURA ..... 64 FIGURA .......... 110 FIGURA ........................................................... 111 XI ..................................2 ESTRUCTURA DE LA EMPRESA ..........................8 ÁREA DE ASISTENTE DE PRODUCCIÓN ........................................................................... 109 FIGURA .....12 ÁREA DE CONTABILIDAD ........................................ 110 FIGURA ........................................... 109 FIGURA ....... 110 FIGURA ..............................18 IMPRESIÓN .7 ÁREA DE PRODUCCIÓN .................................................................................................................................5 LA EMPRESA ......20 DIFERENTES PROBLEMAS ENCONTRADOS ........................................................................................................................
.......................FRECUENCIA .......................................................................................... 37 TABLA 9 .INVENTARIO DE ACTIVOS ........................................................................................................ 54 TABLA 16 ..................................... 32 TABLA 6 ................JUSTIFICACIÓN ..PLAN DE MANTENIMIENTO ANUAL .......... 57 TABLA 17 .......IDENTIFICACIÓN DE ACTIVOS ....................... 38 TABLA 10 ......................................................... 34 TABLA 7 ........................................ 60 TABLA 18 ...............FORMATO DE INVENTARIO .............................................................................AMENAZA POR ACTIVOS ..............................................FUNCIONAMIENTO POR ÁREA .......IMPACTO POR AMENAZA ........ 107 XII ..............................ANÁLISIS Y EVALUACIÓN DE RIESGO...........................DECLARACIÓN DE APLICABILIDAD (SOA) ............................................................................................................................. 39 TABLA 12 ...........................................................................ESCALA DE VALORES .............. 50 TABLA 15 ..................................................CONTROL DE SELECCIONES DE LA NORMA ISO 27002 ........... SOFTWARE..............................................IMPACTOS . 38 TABLA 11 .......IMPACTO .......................................................... INFORMACIÓN 94 TABLA 19 .......... 17 TABLA 2 .............. 25 TABLA 4 .....................................VALORACIÓN DE ACTIVOS........................................................................................ 46 TABLA 14 ........................................CONTROLES Y RAZONES ....................... 35 TABLA 8 ..............................AMENAZA SOBRE LOS ACTIVOS HARDWARE.......... 43 TABLA 13 ............................ 23 TABLA 3 ...........................IMPLEMENTAR PLAN DE TRATAMIENTO DE RIESGO ............. 31 TABLA 5 .......ÍNDICE DE TABLAS TABLA 1 .....................
que se encarga de la contabilidad.2 SITUACIÓN ACTUAL En los actuales momentos cuenta con dos sistemas informáticos: uno de producción. A continuación detallaremos los principales inconvenientes que presenta la empresa: La empresa no cuenta con un inventario actualizado.A. es una empresa dedicada a la fabricación de empaques flexibles para el sector Agro Exportador y de Consumo. Solo existe un encargado en el Área de Sistemas. INTRODUCCIÓN I. Algunos computadores no tienen la climatización necesaria. 10 ½ Expogranos.1 DEFINICIÓN Plásticos Internacionales Plasinca C. de la vía a Daule. La empresa no cuenta con un Sistema de Gestión de Seguridad de la Información.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos I. la cual perjudicaría funcionamiento de las actividades que realizan. Los computadores no tienen establecidos responsables. por lo tanto están expuestos a pérdidas de activo muy valiosos.1 Logo de la empresa I. Hay equipos que no cuentan con un debido regulador de energía. la cual se deben mantener segura tomando medidas o políticas de seguridad para salvaguardar su información. Las laptops no están apropiadamente aseguradas a algo rígido. La planta industrial y oficinas se encuentran ubicadas en el Km. EDCOM Capítulo I . Lotización Figura .14 ESPOL . que se encarga de llevar el manejo de la fabricación de productos y otro para la administración llamado Bi-moneda. Estos sistemas informáticos generan una gran cantidad de información.
logrando satisfacer sus necesidades establecidas. cumpliendo con los requisitos de sus clientes.2 VISIÓN Ser reconocida como una empresa Líder en el mercado de los productos de su género a nivel nacional y asegurar una competitividad sostenible y rentable permanentemente.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos I. I. I. reducir y/o eliminar los riesgos.1 MISIÓN Proveer a sus clientes productos y servicios que excedan sus expectativas. EDCOM Capítulo I . de tal forma que represente un ahorro en materia económica y una ventaja en términos de calidad.3.A.3 ESTRUCTURA ORGANIZACIONAL I. peligros.3. está enfocada a la producción de material de empaque primario y secundario seguros y de calidad.3. a través de la aplicación de programas de mejora continua para prevenir.3.15 ESPOL . I. buscando su satisfacción mediante el aumento del desempeño de la seguridad alimentaria.3 POLÍTICAS DE CALIDAD Está orientada a implementar y mantener la mejora continua de los procesos del sistema de gestión de calidad y de su talento humano con lo cual garantizan la completa satisfacción del cliente interno y externo.4 POLÍTICAS DE SEGURIDAD Plásticos Internacionales C. a un costo competitivo en el mercado. aspectos e impactos asociados a la seguridad alimentaria y el ambiente.
2 Estructura de la empresa EDCOM Capítulo I .Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos I.16 ESPOL .4 DIAGRAMA DE PLANTA Figura .
Se centra en la elaboración de fundas e ingresos a producción. validación de reportes y despachos. Lleva el control de la producción y de las ventas. también realiza funciones de ventas. con la utilización de nóminas. Verifica que los productos lleguen en condiciones adecuadas a los clientes.Funcionamiento por Área Contabilidad Recepción Producción Recursos Humanos Sub-Gerencia Extrusión Sellado Impresión Calidad Bodega EDCOM Capítulo I . Realiza las órdenes de pedido. también controla la manufactura de las aéreas anteriores y además el seguimiento de las devoluciones. Hacen parte de la facturación y llevan el control de las ventas. Elaboración de reportes de la fabricación de royos impresos. etc. Inspección y monitoreo de los empleados. programa órdenes para el área de planta. laminados e ingresos a producción.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos I. Tabla 1 .17 ESPOL .5 FUNCIONAMIENTO POR ÁREA Es el encargado de realizar los Balances Generales. seguimientos de las transferencias y verifica que los despachos lleguen al cliente de manera correcta. Encargado de la elaboración de reportes y de salvaguardar las mezclas para la fabricación de los productos. Control de las existencias. Administración de Finanzas y acuerdos con los bancos. Control de Impuestos. fichas empleados.
3 Organigrama de la empresa EDCOM Capítulo I .6 ORGANIGRAMA Figura .Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos I.18 ESPOL .
CAPÍTULO II PLANEACIÓN DEL SGSI .
impedir. que son: EDCOM Capítulo II . para llegar a un nivel tolerable de los mismos. los cuales se podrían transformar en un impacto desfavorable para la organización. la cual nos recomendará las medidas apropiadas para controlar los activos.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos II. con el cual se podrá evaluar y posteriormente determinar la vulnerabilidad de estos equipos. Esta técnica nos proveerá la mejor funcionalidad. identificar los riesgos en el entorno de trabajo. La metodología Magerit nos muestra el grado de protección que tienen los activos con respecto al ambiente en que se encuentran y cómo interactúan con este.1 PLANEACIÓN DEL SGSI METODOLOGÍA DE EVALUACIÓN DE RIESGOS En este caso específico usaremos el método de investigación de riesgos denominado Magerit. adecuada para reconocer las dependencias entre los activos más importantes por medio de un análisis algorítmico y un método que implica el reconocimiento de los riesgos y su valoración. Permite a la organización. que nos aclara la forma de trabajar en este ámbito. Además de la implantación de controles para mejorar la manipulación y en lo posible tratar de disminuir la ocurrencia de los factores maliciosos. II. y controlar los riesgos identificados y así reducir al mínimo sus perjuicios. ya sean existentes o latentes y determina la vulnerabilidad a la que están expuestos. Con un esquema que nos ayudará a concienciar a los responsables de los activos de la existencia de los riesgos a la cual están expuestos. prevenir. recomienda las medidas apropiadas que deberían adoptarse para conocer.20 ESPOL . Está compuesta de cuatro etapas.
2.A. 1 ACTIVO WRKS-REC-001 USUARIO Jennifer Rodríguez FUNCIÓN Elabora pedidos. La Gestión de riesgos identifica las funciones y servicios de salvaguardas que sirven para reducir el riesgo e implantar restricciones para el uso de los activos. Cálculos de precio de pedido. 2 WRKS-REC-002 Mabel Arévalo Control de órdenes de Pedido. En el análisis de riesgos.21 ESPOL . Valida reportes.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos La Planificación se considera como el comienzo del proyecto y es donde se define lo que se va a cumplir. Seleccionar las salvaguardas que incluyen el plan de implantación y los procedimientos de seguimiento. EDCOM Capítulo II . Los activos de la empresa Plásticos Internacionales C. son: NO. y se obtienen los resultados finales a diversos niveles. 3 4 WRKS-PRE-003 WRKS-RRHH-004 No asignado Maritza Naranjo Exposiciones de charlas educativas Contratación de Personal.1 IDENTIFICACIÓN DE ACTIVOS Para la identificación de los activos se utilizaron los datos proporcionados por el Administrador de Sistemas.2 IDENTIFICACIÓN Y VALORACIÓN DE ACTIVOS II. se identifican y se cuantifica los activos. correspondientes al Inventario. obteniendo una estimación deseable que se pueda controlar. Control de despachos. II.
Elaboración de importaciones. cuadros formularios de de Administrar la contabilidad. Elaborar cotizaciones. Administrar bancarios. Pago de Impuestos. ESPOL 12 WRKS-PRO-012 Luis Valle 13 EDCOM WRKS-PRO-024 Javier Zambrano Capítulo II . 6 WRKS-CON-006 Verónica Plaza Elaboración de transferencia. 10 WRKS-PRO-010 Pedro Azules externas de los movimientos 8 WRKS-PRO-008 Silvia Sarmiento Realizar órdenes de mantenimiento de maquinaria. Realizar compras materia prima. Flujos de caja. el proceso de 11 WRKS-PRO-011 Jaime Rodríguez Validar Reportes. Elaboración de cuadros de costos. Programar tareas de producción. Proveeduría. Control de las importaciones de materia prima. 9 WRKS-PRO-009 Carlos Stagg Elaborar reporte de ventas. Inventario de materia prima.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Elaboración de cuadros de amortizaciones y depreciaciones. Realizar órdenes de producción. Administrar producción. Realizar liquidaciones.22 . Cobranzas. 7 WRKS-CON-007 Adriana Serrano Girar cheques. 5 WRKS-CON-005 Víctor Reyes Cuadro de obligaciones bancarias.
2. Aprobar productos terminados. Realizar cuadros de inventario de productos terminados.Identificación de Activos II. Administrar etiquetado productos terminados.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Realizar órdenes de extrusión. Realizar órdenes de sellado.23 ESPOL .2 AGRUPACIÓN DE ACTIVOS La tarea clasifica los Activos identificados en las tipologías ofrecidas por Magerit y los agrupa según: PC / Laptop Servidores Información / Datos Aplicaciones (Software) EDCOM Capítulo II . 14 15 16 17 18 19 20 21 22 23 WRKS-PRO-013 WRKS-SEL-014 WRKS-IMP-015 WRKS-CAL-017 WRKS-EXT-016 WRKS-CAL-018 WRKS-BOD-019 WRKS-BOD-020 WRKS-SIS-022 WRKS-SIS-023 Silvana Quinde Víctor Cevallos Enrique Valle María del Carmen No asignado Andrés Cepeda Carlos Bailón José Bravo José Rivera José Rivera Control de estado de maquinarias. Administrar el proceso de sellado. Base de datos de los sistemas. Realizar cuadros de despachos. Respaldo de los pasos de datos. el proceso de de Realizar proceso de calidad. Tabla 2 . Administrar extrusión. Realizar fórmulas de producción.
Contra la confidencialidad o secreto pueden darse fugas y filtraciones de información.. La integridad afecta directamente al correcto desempeño de las funciones de una Organización. pudiendo minar la confianza de los demás en la organización que no es diligente en el mantenimiento del secreto. así como accesos no autorizados.2. La confidencialidad es una propiedad de difícil recuperación. Contra la integridad.. Integridad [I]. Las dimensiones se utilizan para valorar las consecuencias de la materialización de una amenaza. La carencia de disponibilidad supone una interrupción del servicio.Mantenimiento de las características de completitud y corrección de los datos..3 DIMENSIONES DE VALORACIÓN Son las características o atributos que hacen valioso un activo. EDCOM Capítulo II . La disponibilidad afecta directamente a la productividad de las organizaciones. la información puede aparecer manipulada. Una dimensión es una faceta o aspecto de un activo. y pudiendo suponer el incumplimiento de leyes y compromisos contractuales relativos a la custodia de los datos.24 ESPOL .Disposición de los servicios a ser usados cuando sea necesario. corrupta o incompleta. La valoración que recibe un activo en cierta dimensión es la medida del perjuicio para la organización si el activo se ve dañado con respecto a dicho aspecto. Confidencialidad [C]. Disponibilidad [D].Que la información llegue solamente a las personas autorizadas.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos II. independiente de otras.
Escala logarítmica.4 CRITERIOS DE VALORACIÓN Para valorar los activos. en la que las consecuencias varían dependiendo del tiempo que dure la interrupción. Criterio homogéneo que permita comparar análisis realizados por separado.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos II.25 ESPOL .2.Escala de Valores Lo más normal es que un activo reciba una simple valoración en cada dimensión en la que es preciso. Muy alto Alto Medio Bajo Ninguno 7a9 4a6 1a3 0 Tabla 3 . Daño importante a la organización. sino tantas como escalones se hayan considerado relevantes. Daño grave a la organización. dejando en valor 0 como determinante de lo que sería un valor sin relevancia alguna: ESCALAS DE VALORES VALOR 10 CRITERIO Daño muy grave a la organización. Se ha elegido una escala detallada de diez valores. como es el caso de la disponibilidad. la siguiente escala de valores nos ofrece los siguientes aspectos: Escala común para todas las dimensiones. centrada en diferencias relativas de valor. pudiendo variar el motivo: EDCOM Capítulo II . la dimensión no recibe una única calificación. Este planteamiento puede y debe ser enriquecido en el caso de dimensiones más complejas. En estos casos. Irrelevante a efectos prácticos. Daño menor a la organización. permitiendo comparar riesgos. Los criterios que siguen se aplican en cada escalón.
Probablemente cause daños excepcionalmente graves a misiones extremadamente importantes de inteligencia o información. Probablemente causaría una publicidad negativa generalizada por afectar de forma excepcionalmente grave a las relaciones. Probablemente cause una interrupción excepcionalmente seria de las actividades propias de la Organización.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos CRITERIOS DE VALORIZACIÓN VALOR [olm] CRITERIO Probablemente cause un daño excepcionalmente serio a la eficacia o seguridad de la misión operativa o logística. Probablemente cause un impacto excepcionalmente grave en las relaciones internacionales.a] De enorme interés para la competencia. Probablemente cause serios daños a misiones muy importantes de inteligencia o información. pudiendo llegar a su cierre. 9 [lg. Seguridad: Probablemente sea causa de un incidente excepcionalmente serio de seguridad o dificulte la investigación de incidentes excepcionalmente serios. Datos clasificados como secretos.b] Las relaciones con otros países. [cei.a] Las relaciones con otras organizaciones.26 ESPOL . [iio] 10 [si] [ir] [lbl] [da] [adm] [lg] [lg. Administración y gestión: Probablemente impediría seriamente la operación efectiva de la organización. [olm] Probablemente cause un daño serio a la eficacia o seguridad de la misión operativa o logística. Intereses comerciales o económico: [iio] [cei] [cei.b] De muy elevado valor comercial. EDCOM Capítulo II .
Intereses comerciales o económico: [adm] [olm] [iio] 7 [cei] [cei. [cei. [cei. 8 [lbl] [da] Datos clasificados como confidenciales. Probablemente cause serios daños a misiones importantes de inteligencia o información. [crm] Impida la investigación de delitos graves o facilite su comisión. Constituye un incumplimiento excepcionalmente grave de las obligaciones [cei.c] Causa de pérdidas económicas excepcionalmente elevadas.27 ESPOL .c] Causa de pérdidas económicas excepcionalmente elevadas.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos [cei.e] contractuales relativas a la seguridad de la información proporcionada por terceros. Probablemente cause una interrupción seria de las actividades propias de la Organización con un impacto significativo en otras organizaciones. Probablemente perjudique la eficacia o seguridad de la misión operativa o logística. un incumplimiento [si] [ir] [lbl] Seguridad: Probablemente sea causa de un serio incidente de seguridad o dificulte la investigación de incidentes serios. EDCOM Capítulo II .d] Causa de muy significativas ganancias o ventajas para individuos u organizaciones. Probablemente cause un serio impacto en las relaciones internacionales. Datos clasificados como reservados. [cei.a] De enorme interés para la competencia. Administración y gestión: probablemente impediría la operación efectiva de la organización. [lro] Obligaciones legales: Probablemente cause excepcionalmente grave de una ley o regulación.d] Causa de muy significativas ganancias o ventajas para individuos u organizaciones. [cei.b] De muy elevado valor comercial.
Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Constituye un incumplimiento excepcionalmente grave de las obligaciones [cei. [lro] Obligaciones legales: Probablemente cause un incumplimiento grave de una ley o regulación. Probablemente cause un impacto significativo en las relaciones internacionales. Administración y gestión: probablemente impediría la operación efectiva de más de una parte de la organización. Información personal: Probablemente quebrante seriamente la ley o algún reglamento de protección de información personal. Probablemente dañe a misiones importantes de inteligencia o información. Datos clasificados como de difusión limitada. Orden público: probablemente cause manifestaciones. [si] [ir] [lbl] [pi1] [pi2] 6 [ps] [po] [lbl] [da] [adm] [lg] 5 [lg. Capítulo II . restringidos a un individuo. Probablemente cause la interrupción de actividades propias de la Organización con impacto en otras organizaciones.a] Por afectar negativamente a las relaciones con otras organizaciones.28 ESPOL EDCOM . Seguridad: Probablemente sea causa de un grave incidente de seguridad o dificulte la investigación de incidentes graves. o presiones significativas. [lg. Seguridad de las personas: probablemente cause daños de cierta consideración. [olm] [iio] Probablemente merme la eficacia o seguridad de la misión operativa o logística más allá del ámbito local. Probablemente sea causa una cierta publicidad negativa. Información personal: Probablemente afecte gravemente a un grupo de individuos. Datos clasificados como confidenciales.b] Por afectar negativamente a las relaciones con el público.e] contractuales relativas a la seguridad de la información proporcionada por terceros.
[cei. [crm] Dificulte la investigación o facilite la comisión de delitos. Probablemente cause la interrupción de actividades propias de la Organización.b] De cierto valor comercial. Administración y gestión: Probablemente impediría la operación efectiva de una parte de la organización.a] De cierto interés para la competencia. [lbl] [da] Datos clasificados como de difusión limitada. Datos clasificados como de difusión limitada. [lro] [ir] [lbl] [pi1] Información personal: Probablemente afecte a un grupo de individuos. Probablemente cause algún daño menor a misiones importantes de inteligencia o información. Probablemente tenga impacto en las relaciones internacionales. Intereses comerciales o económicos: [adm] [lg] [olm] 3 [iio] [cei] [cei. [pi2] Información personal: Probablemente quebrante leyes o regulaciones.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos [pi1] Información personal: Probablemente afecte gravemente a un individuo. Probablemente merme la eficacia o seguridad de la misión operativa o logística (alcance local). EDCOM Capítulo II . [cei.c] Causa de pérdidas financieras o merma de ingresos. Obligaciones legales: Probablemente sea causa de incumplimiento de una ley o regulación. 4 [ps] Seguridad de las personas: Probablemente cause daños menores a varios individuos.29 ESPOL . Probablemente afecte negativamente a las relaciones internas de la Organización. [pi2] Información personal: Probablemente quebrante seriamente leyes o regulaciones.
[cei. Intereses comerciales o económicos: [lro] [si] [ps] [po] [ir] [lbl] [lg] [cei] [cei. Probablemente cause una pérdida menor de la confianza dentro de la Organización.a] De bajo interés para la competencia. Seguridad: Probablemente sea causa de una merma en la seguridad o dificulte la investigación de un incidente. Obligaciones legales: Probablemente sea causa de incumplimiento leve o técnico de una ley o regulación. Pudiera causar la interrupción de actividades propias de la Organización. Seguridad de las personas: Probablemente cause daños menores a un individuo. [pi1] Información personal: Probablemente afecte a un individuo.e] Constituye un incumplimiento leve de obligaciones contractuales para mantener la seguridad de la información proporcionada por terceros. [ps] [lbl] 1 [da] EDCOM Capítulo II . Seguridad de las personas: Pudiera causar daño menor a varios individuos. [cei. 2 [pi1] Información personal: Pudiera causar molestias a un individuo. Orden público: Causa de protestas puntuales. [pi2] Información personal: Pudiera quebrantar de forma leve leyes o regulaciones. [pi2] Información personal: Probablemente suponga el incumplimiento de una ley o regulación. Datos sin clasificar.b] De bajo valor comercial. Probablemente cause un impacto leve en las relaciones internacionales.30 ESPOL .d] Facilita ventajas desproporcionadas a individuos u organizaciones. Datos clasificados como de difusión limitada.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos [cei.
31 ESPOL . No afectaría a la seguridad de las personas. Datos clasificados como sin clasificar. [lro] Obligaciones legales: Pudiera causar el incumplimiento leve o técnico de una ley o regulación. [cei.Justificación [si] [ir] [lbl] [1] [2] 0 [3] [4] EDCOM Capítulo II . Pudiera causar algún daño menor a misiones importantes de inteligencia o información. Seguridad: Pudiera causar una perjuicio en la seguridad o dificultar la investigación de un incidente. Supondría pérdidas económicas mínimas. Intereses comerciales o económicos: [lg] [olm] [iio] [cei] [cei. Pudiera mermar la eficacia o seguridad de la misión operativa o logística (alcance local). Sería causa de inconveniencias mínimas a las partes afectadas. Pudiera tener un impacto leve en las relaciones internacionales. Pudiera causar una pérdida menor de la confianza dentro de la Organización. Tabla 4 . [pi1] Información personal: Pudiera causar molestias a un individuo.a] De pequeño interés para la competencia. No supondría daño a la reputación o buena imagen de las personas u organizaciones.b] De pequeño valor comercial.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos [adm] Administración y gestión: Pudiera impedir la operación efectiva de una parte de la organización.
Valoración de Activos EDCOM Capítulo II . [da] 9 5 2 7 10 10 10 10 10 10 10 10 7 10 10 10 5 5 7 8 5 10 3 [adm] [olm] [lg] [adm] [iio] [iio] [iio] [iio] [iio] [iio] [iio] [iio] [adm] [iio] [iio] [iio] [olm] [olm] [adm] [crm] [olm] [iio] [iio].5 VALORACIÓN DE ACTIVOS Nombre del Activo WRKS-REC-001 WRKS-REC-002 WRKS-PRE-003 WRKS-RHH-004 WRKS-CON-005 WRKS-CON-006 WRKS-CON-007 WRKS-PRO-008 WRKS-PRO-009 WRKS-PRO-010 WRKS-PRO-011 WRKS-PRO-012 WRKS-PRO-024 WRKS-PRO-013 WRKS-SEL-014 WRKS-IMP-015 WRKS-CAL-017 WRKS-EXT-016 WRKS-CAL-018 WRKS-BOD-019 WRKS-BOD-020 WRKS-SIS-022 WRKS-SIS-023 Disponibilidad Integridad Confidencialidad Valor Valor Justificación Valor Justificación Valor Justificación Total 8 10 3 7 10 8 10 10 6 10 10 8 7 10 10 10 6 5 5 10 5 10 3 [crm] [olm] [adm]. [da] [adm] [olm] [adm]. [crm] [lbl] [lbl] [lbl] [lbl] [lbl].Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos II. [olm] 8 6 0 8 8 10 10 10 9 8 10 10 7 3 4 10 8 5 3 10 5 10 3 [lbl].2. [crm] [lbl]. [crm] [lbl] [4] [lbl]. [crm] [lbl] [lbl] [lbl] [lbl] [lbl] [lbl] 8 7 2 7 9 9 10 10 8 9 10 9 7 8 8 10 6 5 5 9 5 10 3 Tabla 5 . [crm] [lbl] [lbl] [lbl] [lbl] [lbl] [lbl] [lbl]. [da] [da] [olm] [crm] [olm] [olm] [pi1] [olm] [olm] [crm] [da] [olm] [olm] [olm] [pi1] [adm]. [da] [olm] [adm].32 ESPOL .
los riesgos evolucionan y las conexiones se hacen menos seguras cada vez. fronteras de privilegios y árboles de amenazas.6] temperatura y/o humedad. PC / LAPTOP Contaminación mecánica. Funcionamiento no confiable del UPS. Corte del suministro [I. Avería de origen físico. disponibilidad.33 Vulnerabilidad Falta de protección contra fuego. Falta de mantenimiento.1] Incendios. Es importante considerar que las amenazas permanecen siempre latentes y las vulnerabilidades no desaparecerán en su totalidad.4] EDCOM . [N.3] Otro desastre natural. ESPOL [I. confidencialidad y autenticidad de los datos e información con técnicas tales como: el reconocimiento de puntos de entrada. se pueden identificar estrategias para mitigar las posibles amenazas. producto de un daño sobre los elementos de un sistema.1 AMENAZAS POR ACTIVO Activo Amenaza [N. Errores de mantenimiento [E. [N. no obstante.5] eléctrico. ya sea a la integridad. por lo que los niveles de inversión en el área de seguridad en cualquier empresa deberán ir acorde a la importancia de la información en riesgo. con la adopción de nuevos medios tecnológicos y de comunicación.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos II. Falta de control. Condiciones inadecuadas de [I. las cuales pueden afectar. Falta de protección física adecuada. Funcionamiento no adecuado del aire acondicionado.3 IDENTIFICAR AMENAZAS Y VULNERABILIDADES Se denomina vulnerabilidad a la exposición latente a un riesgo en el área de informática.3. como físico. II.3] [I. Condiciones locales donde los recursos son fácilmente afectados por desastres. Capítulo II .15] /Actualización de equipos (hardware). Falta de mantenimiento. de los cuales podrían ser del tipo lógica. La definición de amenaza está dada como un evento que puede ocurrir.2] Inundaciones.
9] APLICACIONES (SOFTWARE) Errores del administrador. Falta de conocimiento para el uso de la aplicación. [A. Falta de control.9] Difusión de software dañino. Avería de origen físico.2] Inundaciones. Funcionamiento no confiable del UPS.17] Robo. Degradación de la [E.5] [I.17] Robo. Funcionamiento no adecuado del aire acondicionado. [A. Falta de conocimiento para el uso de la aplicación. [E.2] [E. [E. Incapacidad de la aplicación. Errores de monitorización (log).6] Contaminación mecánica.34 ESPOL . Errores de mantenimiento [E. Falta de protección física. Falta de mantenimiento. [N.1] Incendios.16] Denegación de servicio. Falta de mantenimiento. [A.15] /Actualización de equipos (hardware). Tabla 6 . Errores de mantenimiento / [E. Falta de capacitación del administrador del sistema. Falta de control.3] [I. [I. Falta de protección contra fuego. Introducción de información incorrecta.14] actualización de programas (software).Amenaza por activos EDCOM Capítulo II . Condiciones inadecuadas de temperatura y/o humedad. Respaldo inadecuado.1] [E. Falta de protección física.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos [A. Falta de procedimientos aprobados. [N. Desconocimiento de la aplicación.16] Caída del sistema por agotamiento de recursos. Falta de control. Falta de protección física adecuada.13] Destrucción la información.4] SERVIDOR [I.10] información.5] INFORMACIÓN / DATOS [E. [N.3] [E.3] Otro desastre natural. Corte del suministro eléctrico. Incapacidad para distinguir una petición real de una petición falsificada. Errores de los usuarios. Introducción de información incorrecta. Sobrecarga en la utilización de la aplicación. Condiciones locales donde los recursos son fácilmente afectados por desastres. [E.
Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos II. aplicando una tabla que nos cuantificará las incidencias. disponibilidad e integridad. Además de identificar los impactos. en nuestro caso específicamente a los activos físicos y toda la información que almacenan. hay que clasificarlos dependiendo el tipo de consecuencias que las amenazas pueden producir en los activos: IMPACTOS CON CONSECUENCIAS CUANTITATIVAS C1 C2 C3 Pérdidas económicas Pérdidas inmateriales Responsabilidad legal. Estableciendo las prioridades a las diversas situaciones. se deben asignar valores a los sistemas que pueden ser afectados por las potenciales amenazas. como son la confidencialidad. provocó algún tipo de repercusión importante (sobre todo negativa) en la funcionalidad de alguna parte de la organización.35 ESPOL . civil o penal IMPACTOS CON CONSECUENCIAS CUALITATIVAS ORGÁNICAS L1 L2 L3 L4 Pérdida de fondos patrimoniales Incumplimiento de obligaciones legales Perturbación o situación embarazosa político-administrativa Daño a las personas IMPACTOS CON CONSECUENCIAS CUALITATIVAS FUNCIONALES [C] [I] [D] Confidencialidad Integridad Disponibilidad Tabla 7 – Impactos EDCOM Capítulo II . Habrá que analizar todos los criterios de valorización. en base a esto se pueden determinar cuáles deberían ser atendidas inmediatamente.4 IDENTIFICAR IMPACTOS Se considera impacto a todo hecho que se presentó y que resuelto o no.
4] PC / LAPTOP [I.2] [N. C2 C1. C2 C1.5] C1.2] [N.1] [N. C2 C1.C3 C1.3] [I. [C] [D] [D] [D] [D] [D] [D] EDCOM FUNCIONAL ESPOL .1 IMPACTO POR AMENAZA TIPOS DE CONSECUENCIAS CUANTITATIVA CUALITATIVA L4 L4 L4 L4 L4 L4 L4 L4 L4 L4 - ACTIVO AMENAZA IMPACTO [N. C2 C1. C2 [D] [D] [D] [D] [D] [D] [I. C2 C1.4] [I. C2 [D].36 Reduce la disponibilidad Reduce la disponibilidad Reduce la disponibilidad Reduce la disponibilidad Reduce la disponibilidad Reduce la disponibilidad Reduce la disponibilidad C1.1] [N.3] SERVIDOR [I. C2 C1.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos II. C2 C1.4. C2 .3] [I. confidencialidad Reduce la disponibilidad Reduce la disponibilidad Reduce la disponibilidad Reduce la disponibilidad Reduce la disponibilidad Reduce la disponibilidad C1. C2 C1. C2 C1. C2 [D] [E. C2 [D] [A. C2 C1.6] C1.5] Incendios Inundaciones Otro desastre natural Contaminación mecánica Avería de origen físico Corte del suministro eléctrico Condiciones inadecuadas de temperatura y/o humedad Errores de mantenimiento / actualización de equipos (hardware) Robo Incendios Inundaciones Otro desastre natural Contaminación mecánica Avería de origen físico Corte del suministro eléctrico Capítulo II .3] [I.15] Reduce la disponibilidad Reduce la disponibilidad.17] [N.
16] agotamiento de C1.37 ESPOL . [I] [E.14] disponibilidad e C2 actualización de integridad programas (software) Caída del sistema por Reduce la [E. C2 disponibilidad Reduce la [E. L3 - [D] [D] EDCOM Capítulo II .Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos [I. [C].9] [A. [I] [C] [I] L3 [D]. C2 confidencialidad e integridad Reduce la integridad C1. C2 - [D] [A. [E. [C] L1 [D].10] C2 integridad Reduce la Errores del disponibilidad.1] C2 administrador confidencialidad e integridad Reduce la [E.6] Condiciones inadecuadas de temperatura y/o humedad Errores de mantenimiento / actualización de equipos (hardware) Robo Reduce la disponibilidad C1.3] C2 monitorización (log) confidencialidad Introducción de Reduce la APLICACIONES [E.15] Reduce la disponibilidad C1. [C]. [I] L1. . C2 disponibilidad.5] INFORMACIÓN / DATOS Difusión de software dañino Introducción de información incorrecta Destrucción la información Degradación de la información Reduce la C1.Impacto por amenaza L3 L3 [D].C3 confidencialidad Reduce la disponibilidad.9] C1. C2 disponibilidad recursos Reduce la [A. [I] [I] [D] [I] [D].13] L3 L1 L1 Reduce la C1.C2 L4 [D]. C2 L4 [D] [E.16] Denegación de servicio C2 disponibilidad Tabla 8 .2] Errores de los usuarios disponibilidad e C2 integridad Errores de Reduce la [E.17] [E. C2 información incorrecta integridad (SOFTWARE) Errores de Reduce la mantenimiento / [E.
vulnerabilidades y riesgos a los que están expuestos los equipos. Las dimensiones de valoración están dadas en base a la fuente de la amenaza. y posteriormente generar un plan de implementación de los controles que aseguren un ambiente informático seguro. su capacidad y la naturaleza de la vulnerabilidad. es necesario identificar los riesgos en todas las instalaciones de la empresa y determinar una evaluación de éstos en función a las consecuencias que puedan ocasionar.38 ESPOL . confidencialidad e integridad de la información. sobre el entorno de trabajo y tecnológico de la organización. bajo los criterios de disponibilidad.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos II.5 ANÁLISIS Y EVALUACIÓN DE RIESGOS Se dedica a identificar las amenazas.: Los criterios de valoración de Frecuencia son los siguientes: Frecuencia Casi nunca Algunas veces A menudo Casi siempre Siempre 1 2 3 4 5 Tabla 9 – Frecuencia Los criterios de valoración del Impacto son los siguientes: Impacto Muy Bajo Bajo Medio Alta Muy alto 1 2 3 4 5 Tabla 10 .A.Impacto EDCOM Capítulo II . Con la finalidad de poder establecer las medidas preventivas a aplicarse. Es siguiente cuadro muestra nos muestra más detallado un análisis y evaluación de Riesgo de la empresa Plásticos Internaciones C.
Análisis y evaluación de riesgo EDCOM Capítulo II .39 ESPOL .Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Tabla 11 .
CAPÍTULO III EJECUCIÓN DEL SGSI .
el ambiente.1. Aceptación del Riesgo Es probable que a la empresa se le presente situaciones donde no se pueden encontrar controles ni tampoco es viable diseñarlos o el costo de implantar el control es mayor que las consecuencias del riesgo. La selección de cualquiera de estas maneras para controlar los riesgos dependerá de una serie de factores. y vivir con las consecuencias si el riesgo ocurriese. reaccionando o recuperándose de ellos. EDCOM Capítulo III. Los controles pueden reducir los riesgos valorados en varias maneras: Reduciendo la posibilidad de que la vulnerabilidad sea explotada por las amenazas.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos III. EJECUCIÓN DEL SGSI III.1 OPCIONES PARA EL TRATAMIENTO DEL RIESGO Para el tratamiento del riesgo existen cuatro estrategias: Reducción del Riesgo Se deben implementar los apropiados controles para disminuirlos a los niveles de aceptación previamente identificados por la empresa. III. con el fin de poder modificar el riesgo para evitar los daños intrínsecos al factor de riesgo. En estas circunstancias una decisión razonable pudiera ser la de inclinarse por la aceptación del riesgo. o bien aprovechar las ventajas que pueda reportarnos. tales como: requerimientos comerciales de la organización.1 DEFINIR PLAN DE TRATAMIENTO DE RIESGO El Plan de Tratamiento de Riesgos (PTR) consiste en seleccionar y aplicar las medidas más adecuadas. Reduciendo la posibilidad de impacto si el riesgo ocurre detectando eventos no deseados. y las circunstancias en que la firma requiere operar.41 ESPOL .
que con las empresas aseguradoras. tanto técnica como económicamente para la organización llevar al riesgo a un nivel aceptable. o las maneras de conducir la gestión comercial del negocio. La transferencia del riesgo por lo tanto. transferir el riesgo a una aseguradora. el riesgo residual no se delega. describe cualquier acción donde las actividades del negocio. es que al tercerizar servicios. se modifican. cuando es muy difícil. las cuales se aplicarán dependiendo del tipo de ocurrencia. para así poder evitar la ocurrencia del riesgo. En estas circunstancias podría ser económicamente factible. Lo que debe estar claro. La decisión por la opción de “evitar el riesgo” debe ser balanceada contra las necesidades financieras y comerciales de la empresa. EDCOM Capítulo III. Decidir no procesar cierto tipo de información si no se consigue la protección adecuada. bajo la cual no se provee una indemnización. Desplazar activos de información de un área riesgosa a otra.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Transferencia del Riesgo Es una opción para la empresa. Evitar el Riesgo La opción de evitar el riesgo. siempre existe un elemento de riesgo residual. Hay que tomar en cuenta. Las maneras habituales para implementar esta opción son: Dejar de conducir ciertas actividades. es responsabilidad de la empresa. Siempre existen condiciones con las aseguradoras de exclusiones.42 ESPOL . debe ser muy bien analizada para así poder identificar con precisión. cuánto del riesgo actual está siendo transferido.
3] Contaminación mecánica Corte del suministro eléctrico Difusión de software dañino SERVIDORES [I. El riesgo residual es aquel riesgo que queda en la empresa después de un arduo análisis de seguridad a través de un PTR.3] PC / LAPTOP [I.Implementar plan de tratamiento de riesgo Reducción Reducción Ya realizado el PTR sobre la organización.5] INFORMACIÓN / DATOS [E. se deberá de reconocer que por más eficiente que sea el PTR.2] Errores de los usuarios para el uso de la aplicación Falta de conocimiento Introducción de información [E. El riesgo residual no tiene proporciones ni estándares.9] para el uso de la incorrecta aplicación Tabla 12 .15] actualización de equipos (hardware) [I. EDCOM Capítulo III.13] Destrucción la información Anti-Virus actualizada Falta de capacitación [E.2 IMPLEMENTAR PLAN DE TRATAMIENTO DE RIESGO Los controles seleccionados basados en Gestión de Activos son los siguientes: ACTIVO [I.5] AMENAZA Contaminación mecánica VULNERABILIDAD Falta de mantenimiento Funcionamiento no confiable del UPS Falta de control Falta de mantenimiento Funcionamiento no confiable del UPS Falta de control PTR Reducción Reducción Reducción Reducción Reducción Reducción Reducción Reducción Reducción Corte del suministro eléctrico Errores de mantenimiento / [E.43 ESPOL . existirá siempre un riesgo residual.5] [E.1] Errores del administrador del administrador del sistema Falta de conocimiento [E.9] APLICACIONES (SOFTWARE) Introducción de información Desconocimiento de la incorrecta aplicación Falta de Protección [A.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos III. es un estimado que está en función del PTR que lleva la empresa para salvar su información.
15] Errores de mantenimiento / actualización de equipos (hardware) [I. [I. 9.2.44 .9. 9.3 Uso aceptable de los equipos.3] Contaminación mecánica Falta de mantenimiento 7.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos III.2.9.2. Falta de mantenimiento 9. 14.3 Desarrollar e confiable del UPS implementar los planes de continuidad incluyendo la seguridad de la información.2 Servicios de Suministro. [I.2.1 CONTROLES SELECCIONADOS DE LA NORMA ISO 27002 La norma ISO 27002 nos ofrece los controles más apropiados para reducir todos estos riesgos excesivos identificados.5 Prueba.3] [I. mantenimiento y reevaluación de los planes de continuidad del negocio.5] EDCOM Contaminación mecánica Corte del Funcionamiento no 9.1.1 Ubicación y protección de los equipos. [E.2. 9.1.2. 14. educación y capacitación en seguridad de la información.2 Conocimiento.5] PC / Laptop Corte del suministro eléctrico Funcionamiento no 14.2.2 Servicios de ESPOL Capítulo III.4 Mantenimiento de equipos. Los controles seleccionados son los siguientes: ACTIVO AMENAZA VULNERABILIDAD PTR 9.4 Mantenimiento de equipos.2.4 Mantenimiento de equipos.1 Aspectos de la seguridad de la información de la gestión de la continuidad del negocio.2.1.1 Responsabilidades y procedimientos Falta de control 8. 13.
13] Destrucción la información EDCOM Capítulo III. 13.1 Reporte de los eventos y debilidades de la seguridad de la información.5 Respaldo o Back-Up. educación y capacitación en seguridad de la información. Falta de control 8.1. educación y capacitación en seguridad de la información.2.4.2 Conocimiento. [E.1 Controles contra códigos maliciosos.5 Prueba.2 Controles contra software dañino desactualización códigos móviles.1 Aspectos de la seguridad de la información de la gestión de la continuidad del negocio.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos suministro eléctrico confiable del UPS Suministro. Introducción de información incorrecta 8. 14. 14.9] Desconocimiento de la aplicación [A.2. 13.4. 10.1 Reporte de los eventos y debilidades de la seguridad de la información.1.45 ESPOL .5] Difusión de Falta de Antivirus o 10.2 Conocimiento. 14.1 Roles y responsabilidades. 10. Información / Datos [E. mantenimiento y reevaluación de los planes de continuidad del negocio.1. 8.3 Desarrollar e implementar los planes de continuidad incluyendo la seguridad de la información.
46 ESPOL .1 Cumplimiento con los requisitos legales.2] Errores de los usuarios [E. que pueden ser: EDCOM Capítulo III. Aplicaciones (Software) [E. a veces bastan procedimientos.4 Protección de los conocimiento para datos y de la privacidad de la el uso de la información personal.1] Errores del administrador Falta de capacitación del 13.1.Control de Selecciones de la norma ISO 27002 III.2. 5. Se requieren procedimientos tanto para la operación de las salvaguardas preventivas como para la gestión de incidencias y la recuperación tras las mismas. pero otras veces son un componente de una salvaguarda más compleja. 15.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos [E. Soluciones técnicas: Frecuentes en el entorno de las tecnologías de la información. Hay diferentes aspectos en los cuales puede actuar una salvaguarda para alcanzar sus objetivos de limitación del impacto y/o mitigación del riesgo: Procedimientos: Que siempre son necesarios. Política de personal: Que es necesaria cuando se consideran sistemas atendidos por personal. sistema 13.1 Reporte de los eventos y debilidades de la seguridad de la información. conocimiento para el uso de la 5.2.2 SALVAGUARDAS Las salvaguardas permiten hacer frente a las amenazas.1 Documento de política aplicación de seguridad de la información. aplicación Tabla 13 .1.9] Introducción de información incorrecta Falta de 15.1 Responsabilidades y administrador del procedimientos.1 Política de seguridad de Falta de la información.
lo cual puede ocasionar serios problemas a los bienes.47 ESPOL . las políticas de seguridad informática definidas partiendo desde el análisis de los riesgos a los que se encuentra propensa la compañía surgen como una herramienta organizacional para concienciar a los colaboradores de la organización sobre la importancia y sensibilidad de la información. agudeza técnica para establecer fallas y debilidades EDCOM Capítulo III. y servicios críticos que permiten a la empresa crecer y mantenerse competitiva. Ante esta situación. Estos riesgos que se enfrentan han llevado a que se desarrolle un documento de Políticas de Seguridad que orienten el uso adecuado de estas destrezas tecnológicas y recomendaciones para obtener el mayor provecho de estas ventajas. En este sentido. servicios y operaciones de la compañía Plásticos Internacionales C. de los locales y áreas de trabajo III. lo cual lógicamente ha traído consigo la aparición de nuevas amenazas para los sistemas de información.3 IMPLEMENTAR LOS CONTROLES Una vez seleccionado los controles procedemos a su implementación: III. el proponer nuestra política de seguridad requiere un alto compromiso con la organización. La posibilidad de interconectarse a través de redes ha abierto nuevos horizontes a las empresas para mejorar su productividad y poder explorar más en el ambiente internacional.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Aplicaciones (software) Dispositivos físicos Protección de las comunicaciones Seguridad física.A. y evitar el uso indebido de la mismas. debido a las nuevas plataformas tecnológicas disponibles.1 CONTROLES Y POLÍTICAS DE SEGURIDAD GENERALIDADES La seguridad informática ha tenido un gran incremento.3.
DISPOSICIONES GENERALES Artículo 1º El presente ordenamiento tiene por objeto estandarizar y contribuir al desarrollo informático de las diferentes áreas de la compañía. por consiguiente el alcance de estas políticas.2 DEFINICIÓN DE POLÍTICAS DE SEGURIDAD INFORMÁTICA En esta sección del documento se presenta una propuesta de políticas de seguridad. organizar. así como resguardar los activos de la empresa".Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos en su aplicación. ALCANCE DE LAS POLÍTICAS Este manual de políticas de seguridad es elaborado de acuerdo al análisis de riesgos y de vulnerabilidades encontradas a lo largo del estudio.3. Todos los empleados se convierten en interventores del SGSI. Que la prestación del servicio de seguridad gane en calidad. y constancia para renovar y actualizar dicha política en función del dinámico ambiente que rodea la compañía. III. OBJETIVOS Desarrollar un sistema de seguridad significa "planear. como un recurso para mitigar los riesgos a los que la compañía se ve expuesta. se encuentra sujeto a la empresa. Compromiso de todo el personal de la compañía con el proceso de seguridad. agilizando la aplicación de los controles con dinamismo y armonía. Los objetivos que se desean alcanzar luego de implantar nuestro sistema de seguridad son los siguientes: Establecer un esquema de seguridad con perfecta claridad y transparencia bajo la responsabilidad de la compañía en la administración del riesgo. dirigir y controlar las actividades para mantener y garantizar la integridad física de los recursos informáticos. Para los efectos de este instrumento se entenderá por: EDCOM Capítulo III.48 ESPOL .
las cuales son responsables de: Velar por el funcionamiento de la tecnología informática que se utilice en las diferentes áreas.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos COMITÉ Al equipo integrado por la Gerencia. Establecimiento de estándares de la Compañía Plásticos Internacionales tanto de hardware como de software. los Jefes de área y el personal administrativo (ocasionalmente) convocado para fines específicos como: Adquisiciones de Hardware y software. Administración de informática. Controlar la calidad del servicio brindado. tomando las medidas preventivas y correctivas para que se cumplan. que deben observar los Jefes de Sistemas responsables del hardware y software existente en la compañía. Establecimiento de lineamientos para concursos de ofertas.49 ESPOL . Está integrada por la Gerencia y Jefes de área. Velar por el cumplimiento de las Políticas y Procedimientos establecidos. Establecimiento de la Arquitectura Tecnológica. Definir estrategias y objetivos a corto. mediano y largo plazo. Artículo 2º Las Políticas en Informática son el conjunto de ordenamientos y lineamientos enmarcados en el ámbito jurídico y administrativo. Para los efectos de este documento. al conjunto de reglas obligatorias. se entiende por Políticas en Informática. vigilar su estricto cumplimiento en el ámbito de su competencia. Estas normas inciden en la EDCOM Capítulo III. Mantener el Inventario actualizado de los recursos informáticos. Elaborar y efectuar seguimiento del Plan Maestro de Informática. siendo responsabilidad de la Administración de Informática. Mantener la Arquitectura tecnológica.
Marca Memoria RAM Disco Duro Procesador Sistema Operativo Observación Tabla 14 . - EDCOM Capítulo III.50 ESPOL . las cuales se deberán de acatar invariablemente. por aquellas instancias que intervengan directa y/o indirectamente en ello. en el que recaiga la administración de los Bienes y Servicios. para luego elaborar un inventario con dicha información .Formato de Inventario - Monitor Mouse Teclado Impresora Serie No. Artículo 3º La compañía deberá contar con un Jefe o responsable. Marca Modelo No. que vigilará la correcta aplicación de los ordenamientos establecidos por el Comité y demás disposiciones aplicables. sus respectivos propietarios. IDENTIFICACIÓN DE LOS EQUIPOS DE CÓMPUTO Artículo 4º Se identificarán los activos importantes asociados a cada sistema de información. La identificación de los activos físicos de la empresa se los realizará en el siguiente formato: Área Responsable Cargo Nombre del Equipo CPU Serie No.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos adquisición y el uso de los Bienes y Servicios Informáticos.
y libres de cualquier interferencia eléctrica o magnética.51 ESPOL . Las instalaciones eléctricas y de comunicaciones. La supervisión y control de las instalaciones se llevará a cabo en los plazos y mediante los mecanismos que establezca el Comité. lejos de polvo y tráfico de personas. EDCOM Capítulo III.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos INSTALACIONES DE LOS EQUIPOS DE CÓMPUTO Artículo 5º La instalación del equipo de cómputo. estarán de preferencia fija o en su defecto resguardadas del paso de personas o máquinas. La Administración de Informática. cuidando las especificaciones del cableado y de los circuitos de protección necesarios. FUNCIONAMIENTO DE LOS EQUIPOS DE CÓMPUTO Artículo 6º Es obligación de la Administración de Informática vigilar que el equipo de cómputo se use bajo las condiciones especificadas por el proveedor y de acuerdo a las funciones del área a la que se asigne. así como las áreas operativas deberán contar con un croquis actualizado de las instalaciones eléctricas y de comunicaciones del equipo de cómputo en red. Las instalaciones se apegarán estrictamente a los requerimientos de los equipos. quedará sujeta a los siguientes lineamientos: Los equipos para uso interno se instalarán en lugares adecuados. En ningún caso se permitirán instalaciones improvisadas o sobrecargadas.
EDCOM Capítulo III.52 ESPOL .Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Artículo 7º Los colaboradores de la empresa al usar el equipo de cómputo. Por consiguiente. excepto en casos emergentes que la Dirección autorice. Debe ser un producto totalmente legal (con licencia o Software libre). Artículo 9º En ningún caso se autorizará la utilización de dispositivos ajenos a los procesos informáticos del área. No deben usarse memorias extraíbles u otros medios de almacenamiento en cualquier computadora de la empresa a menos que se haya previamente verificado que están libres de virus u otros agentes dañinos. se prohíbe el ingreso y/o instalación de hardware y software particular. ANTIVIRUS Artículo 10º En todos los equipos de la empresa se debe instalar y correr el antivirus actualizado. Artículo 8º Mantener pólizas de seguros de los recursos informáticos en funcionamiento. el mismo que debería cumplir con lo siguiente: Detectar y controlar cualquier acción intentada por un software viral en tiempo real. Periódicamente ejecutar el Análisis para detectar software viral almacenado en la estación de trabajo. fumar o realizar actos que perjudiquen el funcionamiento del mismo o deterioren la información almacenada. Deberá existir un procedimiento formal a seguir en caso que se detecte un virus en algún equipo del sistema. Hacer una revisión al menos diaria para actualizar la definición del software antivirus. se abstendrán de consumir alimentos. es decir que no sea propiedad de la compañía.
el centro de cómputos deberá contar con uno propio ubicado en la habitación de los servidores. quiénes deben estar adecuadamente capacitados. Deberán existir procedimientos detallados a seguir por el personal en caso de emergencias. supply) deberá existir al menos un UPS en el centro de cómputos que atienda a los servidores.53 ESPOL . EDCOM Capítulo III. además de contar con protección física. RESPALDOS Artículo 12º Se deberá asegurar la existencia de un procedimiento aprobado para la generación de copias de resguardo sobre toda la información necesaria para las operaciones de la organización. Matafuegos: deberán ser dispositivos químicos y manuales que cumplan las especificaciones para extinguir incendios en equipos eléctricos de computación. donde se especifique la periodicidad y el lugar físico donde se deben mantener las copias generadas.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos DISPOSITIVOS DE SOPORTE Artículo 11º Deberán existir los siguientes dispositivos de soporte en la empresa: Aire acondicionado: en el centro de cómputos la temperatura debe mantenerse entre 19º C y 20º C. Luz de emergencia: deberá existir una luz de emergencia que se active automáticamente ante una contingencia. UPS: (Uninterruptible. indicando responsables. con tiempo suficiente para que se apaguen de forma segura. deberán estar instalados en lugares estratégicos de la empresa. power. Los archivos de respaldos deben tener un control de acceso lógico de acuerdo a la sensibilidad de sus datos.
documentando las modificaciones realizadas para identificar las distintas versiones. Registrar todas las fallas supuestas o reales y todo el mantenimiento preventivo y correctivo realizado. incluyendo el hardware. A continuación se indica el período aconsejable para realizar los mantenimientos de los activos: EQUIPO FRECUENCIA DE MANTENIMIENTO PERSONAL AUTORIZADO SERVIDORES 3 meses Jefe de Sistemas ESTACIONES DE TRABAJO 6 meses Jefe de Sistemas IMPRESORAS 6 meses Jefe de Sistemas Tabla 15 .54 ESPOL . el software. Establecer que sólo el personal de mantenimiento autorizado puede brindar mantenimiento y llevar a cabo reparaciones en el equipamiento. El responsable del área informática mantendrá listado actualizado del equipamiento con el detalle de la frecuencia en que se realizará el mantenimiento preventivo. Se deberá generar una copia de respaldo de toda la documentación del centro de cómputos.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Deben generarse copias de respaldo de las configuraciones de los servidores. la cual deberá ser de acceso restringido y estar físicamente en un lugar distinto a los centros de procesamiento. Se deberá establecer un procedimiento de emergencia para dejar sin efecto los cambios efectuados y poder recuperar las versiones autorizadas anteriores. para ello se debe considerar: Someter el equipamiento a tareas de mantenimiento preventivo.Plan de Mantenimiento anual EDCOM Capítulo III. MANTENIMIENTO DE EQUIPOS Artículo 13º Se realizará el mantenimiento del equipamiento para asegurar su disponibilidad e integridad permanentes.
sea filtrado y controlado por un firewall prohibiendo el pasaje de todo el tráfico que no se encuentre expresamente autorizado. EDCOM Capítulo III.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos USO APROPIADO DE LOS RECURSOS Artículo 14º Los Recursos Informáticos están disponibles exclusivamente para cumplir las obligaciones y propósito para lo que fueron diseñados e implantados. el correo de voz. Todo el personal usuario de dichos recursos debe saber que no tiene el derecho de confidencialidad en su uso. Todas las conexiones a Internet de la empresa deben traspasar un servidor Proxy una vez que han traspasado el firewall. PROPIEDAD DE LA INFORMACIÓN Artículo 16º Con el fin de mejorar la productividad. el correo electrónico. Debe asegurarse que la totalidad del tráfico entrante y saliente de la red interna.55 ESPOL . Plásticos Internacionales promueve el uso responsable de las comunicaciones en forma electrónica. Los sistemas de comunicación y los mensajes generados y procesados por tales sistemas. en particular el teléfono. incluyendo las copias de respaldo. CONEXIONES EXTERNAS Artículo 15º La conectividad a Internet será otorgada para propósitos relacionados con el negocio y mediante una autorización de la Gerencia. y el fax. se deben considerar como propiedad de la empresa y no propiedad de los usuarios de los servicios de comunicación.
virus. EDCOM Capítulo III. controles ActiveX o cualquier otro dispositivo lógico o secuencia de caracteres que causen o sean susceptibles de causar cualquier tipo de alteración o daño en los Recursos Informáticos. applets.56 ESPOL . Artículo 19º Introducir voluntariamente programas. equipos o aplicaciones que no estén directamente especificados dentro de los Estándares de los Recursos Informáticos propios la compañía. Artículo 18º Las actividades.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos QUEDA PROHIBIDO Artículo 17º El uso de estos recursos para actividades no relacionadas con el propósito de la compañía.
Recursos necesarios (humanos. Requerimientos de Negocio/Adoptar las mejores prácticas. de acuerdo con el plan establecido para la implementación de controles: Planificar la implantación de los controles seleccionados. tecnológicos y económicos). Definir el nivel de participación necesario de las diferentes áreas. tiene como objetivo proteger toda la información de relevancia en un sistema. Obligaciones Contractuales. Desarrollar un Plan de Formación y Concienciación de usuarios. los cuales el SGSI. Prioridad de implantación. Diseño de un Plan de Implantación: Medidas a adoptar. Tabla 16 – Controles y Razones EDCOM Capítulo III.57 ESPOL .Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos III. Responsable de la implantación. CONTROLES Y RAZONES DE SELECCIÓN LR: CO: BR / BP: RRA: Requerimientos Legales. Costos de implantación.4 SELECCIÓN DE CONTROLES Y SOA Cada día surgen nuevas formas de delitos informáticos. Resultados de la evaluación de riesgos. Fecha de implantación.
Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos III.4.1 DECLARACIÓN DE APLICABILIDAD (SOA) EDCOM Capítulo III.58 ESPOL .
59 ESPOL .Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos EDCOM Capítulo III.
60 ESPOL .Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Tabla 17 .Declaración de Aplicabilidad (SOA) EDCOM Capítulo III.
los usuarios externos y los terceros que desempeñen funciones en la empresa deberán recibir una adecuada capacitación y actualización periódica en materia de la política de seguridad. a fin de garantizar la continuidad de los sistemas de información.5 FORMACIÓN Y CONCIENCIACIÓN Las Políticas de Seguridad de la Información protegen de una amplia gama de amenazas. Para esto. se debe asegurar un compromiso manifiesto de las máximas Autoridades del Organismo y de los titulares de Unidades Organizativas para la difusión. a fin de evaluar la pertinencia de su actualización. El responsable del área de Recursos Humanos será el encargado de coordinar las acciones de capacitación que surjan de la Política. El personal que ingrese a la Corporación recibirá el material. EDCOM Capítulo III. todos los empleados de la empresa. Esto comprende los requerimientos de seguridad y las responsabilidades legales. Además se otorgará una guía de usuario para que tengan un mejor conocimiento con respecto a las amenazas informáticas y sus posibles consecuencias dentro de la Corporación de tal manera que se llegue a concienciar y crear una cultura de seguridad de la información. Cada 6 meses se revisará el material correspondiente a la capacitación. III. y cuando sea necesario.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos III. de acuerdo al estado del arte de ese momento.61 ESPOL . indicándosele el comportamiento esperado en lo que respecta a la seguridad de la información. normas y procedimientos.5. antes de serle otorgados los privilegios de acceso a los sistemas que correspondan.1 CAPACITACIÓN Para la eficacia de las Políticas de Seguridad de la Información. consolidación y cumplimiento de la presente Política. Es importante que los principios de la Política de Seguridad sean parte de la cultura organizacional. así como la capacitación referida al uso correcto de las instalaciones de procesamiento de información y el uso correcto de los recursos en general.
IV. IV. emite el correspondiente certificado.2 IMPLANTACIÓN La implantación de ISO/IEC 27001 en una organización es un proyecto que suele tener una duración entre 6 y 12 meses. IV.3 CERTIFICACIÓN La certificación de un SGSI es el proceso mediante el cual una entidad de certificación externa.1 ANEXO DEFINICIÓN DE SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN Es un conjunto de políticas de administración de la información. dependiendo del grado de madurez en seguridad de la información.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos IV. mantener y mejorar un Sistema de Gestión de la Seguridad de la Información (SGSI) utilizando la estrategia de mejora continua de calidad PDCA. determinando su conformidad con ISO/IEC 27001.4 LA SERIE ISO 27000 La seguridad de la información tiene asignada la serie 27000 dentro de los estándares ISO/IEC: EDCOM Capítulo IV . especifica los requisitos necesarios para establecer. El equipo de proyecto de implantación debe estar formado por representantes de todas las áreas de la organización que se vean afectadas por el SGSI. independiente y acreditada audita el sistema. liderado por la dirección y asesorado por consultores externos especializados en seguridad informática.63 ESPOL . IV. en caso positivo. su grado de implantación real y su eficacia y. implantar.
en esta fase se realizan cambios cuando sea necesario para llevar de vuelta el SGSI a máximo rendimiento.. ACT (MEJORAR).5 MODELO A SEGUIR: PDCA PDCA (Plan. Requisitos”. Es la norma principal de requisitos de un Sistema de Gestión de Seguridad de la Información.es una fase que envuelve la implantación y operación de los controles. Figura .es una fase que tiene como objetivo revisar y evaluar el desempeño (eficiencia y eficacia) del SGSI.4 Modelo PDCA EDCOM Capítulo IV . es una estrategia de mejora continua de la calidad en cuatro pasos: PLAN (PLANIFICAR)..64 ESPOL .. DO (HACER).. realizando la evaluación de riesgos de seguridad de la información y la selección de controles adecuados. Do. En su Anexo A.. Act).“Sistemas de Gestión de la Seguridad de la Información (SGSI). 39 objetivos de control y 133 controles.Contiene la descripción general y vocabulario a ser empleado en toda la serie 27000. ISO 27002. también conocido como "Círculo de Deming o círculo de Gabo". contempla una lista con los objetivos de control y controles que desarrolla la ISO 27002. ISO 27001.es una fase de diseño del SGSI. CHECK (VERIFICAR).Guía de buenas prácticas que describe los objetivos de control y controles recomendables en cuanto a seguridad de la información con 11 dominios. Check.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos ISO 27000.. Se puede utilizar para tener un entendimiento más claro de la serie y la relación entre los diferentes documentos que la conforman.. IV.
enfocada a las Administraciones Públicas. Responsable de los activos. IV. OBJETIVOS DE CONTROL Y CONTROLES Gestión de activos. Responsabilidad sobre los activos. Acuerdos sobre el uso aceptable de los activos. IV.65 ESPOL . Inventario de activos. Identificándolos y teniendo asignado un propietario responsable que estará a cargo del cuidado del activo. Marcado y tratamiento de la información. Clasificación de la información Directrices de clasificación.8 DEFINICIÓN DEL ALCANCE DEL SGSI El documento propone alcanzar y mantener una protección adecuada de los activos (Hardware y software que contengan información) de la organización.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos IV. MAGERIT ofrece una aplicación. maximizando su ciclo de vida.7 DOMINIO. pilar para el análisis y gestión de riesgos de un Sistema de Información.6 METODOLOGÍA: MAGERIT Es una metodología de análisis y gestión de riesgos de los Sistemas de Información elaborada por el Consejo Superior de Administración Electrónica para minimizar los riesgos de la implantación y uso de las Tecnologías de la Información. EDCOM Capítulo IV .
Lineamiento de implementación Se debieran considerar los siguientes lineamientos para la protección del equipo: El equipo se debiera ubicar de manera que se minimice el acceso innecesario a las áreas de trabajo.2. polvo.9 DEFINICIÓN DE POLÍTICAS DE SEGURIDAD IV. tales como temperatura y humedad. por ejemplo. que pudiera afectar adversamente la operación de los medios de procesamiento de la información. explosivos. fuego. Se debieran aislar los ítems que requieren protección especial para reducir el nivel general de la protección requerida. radiación electromagnética y vandalismo. interferencia en las comunicaciones. Se debieran adoptar controles para minimizar el riesgo de amenazas potenciales. beber y fumar en la proximidad de los medios de procesamiento de información. agua (o falla en el suministro de agua). Se debieran monitorear las condiciones ambientales.9. vibración.acceso no-autorizado. robo. humo.1 UBICACIÓN Y PROTECCIÓN DEL EQUIPO (9. EDCOM Capítulo IV . Se debieran establecer lineamientos sobre comer.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos IV. efectos químicos.66 ESPOL .1) Control Se debiera ubicar o proteger el equipo para reducir las amenazas y peligros ambientales y oportunidades para . Los medios de procesamiento de la información que manejan data confidencia debieran ubicarse de manera que se restrinja el ángulo de visión para reducir el riesgo que la información sea vista por personas no autorizadas durante su uso. interferencias en el suministro eléctrico. y se debieran asegurar los medios de almacenaje para evitar el acceso no autorizado.
9.2.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Se debiera aplicar protección contra rayos a todos los edificios y se debieran adaptar filtros de protección contra rayos a todas las líneas de ingreso de energía y comunicaciones. Se debiera proteger el equipo que procesa la información confidencial para minimizar el riesgo de escape de información debido a emanación.4) Control Se debiera mantener correctamente el equipo para asegurar su continua disponibilidad e integridad. como membranas de teclado. Se debieran cumplir con todos los requerimientos impuestos por las pólizas de seguros. Se debieran mantener registros de todas las fallas sospechadas y reales. para el equipo en el ambiente industrial. Se debieran implementar los controles apropiados cuando se programa el equipo para mantenimiento. y todo mantenimiento preventivo y correctivo. EDCOM Capítulo IV . IV. tomando en cuenta si su mantenimiento es realizado por el personal en el local o fuera de la organización. Lineamiento de implementación Se debieran considerar los siguientes lineamientos para el mantenimiento de equipo: El equipo se debiera mantener en concordancia con los intervalos y especificaciones de servicio recomendados por el proveedor. Se debieran considerar el uso de métodos de protección. cuando sea necesario. Sólo el personal de mantenimiento autorizado debiera llevar a cabo las reparaciones y dar servicio al equipo.67 ESPOL . o se debiera verificar al personal de mantenimiento. se debiera revisar la información confidencial del equipo.2 MANTENIMIENTO DE EQUIPO (9.
se debiera considerar al uso de múltiples fuentes de energía.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos IV. Los servicios públicos de soporte debieran ser inspeccionados regularmente y. Se debiera tener disponible un adecuado suministro de combustible para asegurar que el generador pueda funcionar durante un período prolongado. Se debieran colocar interruptores de energía de emergencia cerca de las salidas de emergencia en las habitaciones donde se encuentra el equipo para facilitar el cierre del paso de corriente en caso de una emergencia.9. desagüe. si el local es grande. El equipo UPS y los generados se debieran chequear regularmente para asegurar que tengan la capacidad adecuada y para probar su concordancia con las recomendaciones del fabricante. calefacción/ventilación y aire acondicionado. probado para asegurar su adecuado funcionamiento y para reducir cualquier riesgo por un mal funcionamiento o falla. como electricidad.3 SERVICIOS PÚBLICOS DE SOPORTE (9. conforme sea apropiado.68 ESPOL . Se recomienda un dispositivo de suministro de energía ininterrumpido (UPS) para apagar o el funcionamiento continuo del equipo de soporta las operaciones comerciales críticas.2. Además. Se debiera considerar un generador de emergencia si se requiere que el procesamiento continué en el caso de una falla de energía prolongada.2) Control Se debiera proteger el equipo de fallas de energía y otras interrupciones causadas por fallas en los servicios públicos de soporte. una subestación de energía separada. Los planes de contingencia para la energía debieran abarcar la acción a tomarse en el caso de una falla de energía prolongada. Se debiera proveer un suministro eléctrico adecuado que esté de acuerdo a las especificaciones del fabricante del equipo. Lineamiento de implementación Todos los servicios públicos de soporte. suministro de agua. debieran ser adecuados para los sistemas que soportan. Se debiera EDCOM Capítulo IV .
desastres naturales. El equipo de telecomunicaciones se debiera conectar al proveedor del servicio mediante por lo menos dos rutas para evitar que la falla en una conexión evite el desempeño de los servicios de voz. por ejemplo. Este proceso debiera identificar los procesos comerciales críticos e integrar los requerimientos de gestión de EDCOM Capítulo IV . Se debiera implementar el proceso de gestión de la continuidad del negocio para minimizar el impacto sobre la organización y recuperarse de la pérdidas de activos de información (lo cual puede ser resultado de. si se requiere.1) Objetivo Contraatacar las interrupciones a las actividades comerciales y proteger los procesos comerciales críticos de los efectos de fallas importantes o desastres en los sistemas de información y asegurar su reanudación oportuna. Otra información Las opciones para lograr la continuidad de los suministros de energía incluyen múltiples alimentaciones para evitar que una falla en el suministro de energía. accidentes. El mal funcionamiento del sistema de suministro de agua pude dañar el equipo y evitar que el sistema contra-incendios funcione adecuadamente.9. fallas del equipo y acciones deliberadas) hasta un nivel aceptable a través de una combinación de controles preventivos y de recuperación.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos proporcionar iluminación de emergencia en caso de una falla en la fuente de energía principal. IV. Se debiera evaluar e instalar. Los servicios de voz debieran ser adecuados para cumplir con los requerimientos legales de las comunicaciones de emergencia. El suministro de energía debiera ser estable y adecuado para suministrar aire acondicionado.69 ESPOL .4 ASPECTOS DE LA SEGURIDAD DE LA INFORMACIÓN DE LA GESTIÓN DE LA CONTINUIDAD DEL NEGOCIO (14. equipo de humidificación y los sistemas contra-incendios (donde se utilicen). un sistema de alarma para detectar mal funcionamiento en los servicios públicos de soporte.
o falla. y otros procesos gerenciales dentro de la organización.5 DESARROLLAR E IMPLEMENTAR LOS PLANES DE CONTINUIDAD INCLUYENDO LA SEGURIDAD DE LA INFORMACIÓN (14.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos la seguridad de la información de la continuidad del negocio con otros requerimientos de continuidad relacionados con aspectos como operaciones. Las consecuencias de los desastres.9. materiales. Implementación de los procedimientos para permitir la recuperación y restauración de las operaciones comerciales y la disponibilidad de la EDCOM Capítulo IV . además del proceso general de evaluación de riesgos. de los procesos comerciales críticos. IV. debiera limitar las consecuencias de incidentes dañinos y asegurar que esté disponible la información requerida para los procesos comerciales.1.70 ESPOL . La seguridad de la información debiera ser una parte integral del proceso general de continuidad del negocio. pérdida del servicio y la disponibilidad del servicio debieran estar sujetas a un análisis del impacto comercial. personal. La gestión de la continuidad del negocio debiera incluir controles para identificar y reducir los riesgos.3) Control Se debieran desarrollar e implementar planes para mantener restaurar las operaciones y asegurar la disponibilidad de la información en el nivel requerido y en las escalas de tiempo requeridas después de la interrupción. transporte y medios. Lineamiento de implementación El proceso de planeación de la continuidad del negocio debiera considerar lo siguiente: Identificar y acordar todas las responsabilidades y los procedimientos de continuidad del negocio. fallas en la seguridad. Identificar la pérdida aceptable de la información y los servicios. Se debieran desarrollar e implementar planes para la continuidad del negocio para asegurar la reanudación oportuna de las operaciones esenciales.
Los planes de continuidad del negocio debieran tratar las vulnerabilidades organizacionales y. recursos de procesamiento no-información. El proceso de planeación debiera enfocarse en los objetivos comerciales requeridos. EDCOM Capítulo IV . La gerencia debiera asegurarse que las copias de los planes de continuidad del negocio estén actualizadas y protegidas con el mismo nivel de seguridad aplicado en el local principal.71 ESPOL . Otro material necesario para ejecutar los planes de continuidad también debiera almacenarse en el local remoto. Educación apropiada del personal en los procedimientos y procesos acordados. Prueba y actualización de los planes. se debiera prestar particular atención a la evaluación de las dependencias comerciales internas y externas y el establecimiento de los contratos debidos. así como los arreglos de contingencia para los medios de procesamiento de información. Las copias de los planes de continuidad del negocio se debieran almacenar en locales remotos. incluyendo la gestión de crisis. Los procedimientos operacionales a seguir dependiendo de la culminación de la recuperación y restauración. por ejemplo. o servicios de suscripción comercial. Documentación de los procesos y procedimientos acordados. por lo tanto. restaurar los servicios de comunicación específicos a los clientes en una cantidad de tiempo aceptable. Estos arreglos de contingencia pueden incluir acuerdos con terceros en la forma de acuerdos recíprocos.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos información en las escalas de tiempo requeridas. a una distancia suficiente para escapar de cualquier daño de un desastre en el local principal. pueden contener información confidencial que necesita protegerse apropiadamente. incluyendo personal. Se debieran identificar los servicios y los recursos que facilitan esto.
y que conozcan su papel cuando se invoque el plan. Lineamiento de implementación Las pruebas del plan de continuidad del negocio debieran asegurar que todos los miembros del equipo de recuperación y otro personal relevante estén al tanto de los planes y su responsabilidad con la continuidad del negocio y la seguridad de la información. Simulaciones (particularmente para capacitar a las personas en sus papeles en la gestión post-incidente/crisis). Cada elemento del(los) plan(es) debiera(n) ser probado(s) frecuentemente: Prueba flexible de simulación (table-top testing) de varios escenarios (discutiendo los acuerdos de recuperación comercial utilizando ejemplos de interrupciones). MANTENIMIENTO Y RE-EVALUACIÓN DE LOS PLANES DE CONTINUIDAD DEL NEGOCIO (14.6 PRUEBA. Prueba de recuperación técnica (asegurando que los sistemas de información puedan restaurarse de manera efectiva.9. El programa de pruebas para el(los) plan(es) de continuidad debieran indicar cómo y cuándo se debiera probar cada elemento del plan. IV. Otra información Se debiera notar que estos planes y actividades de gestión de crisis pueden ser diferentes a los de la gestión de la continuidad del negocio. es decir.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Si se utilizan ubicaciones temporales alternativas.1. el nivel de los controles de seguridad implementados en esos locales debiera ser equivalente al de los controles del local principal.5) Control Los planes de continuidad del negocio debieran ser probados y actualizados regularmente para asegurar que sean actuales y efectivos.72 ESPOL . puede ocurrir una crisis que puede ser acomodada por los procedimientos gerenciales normales. EDCOM Capítulo IV .
Pruebas de los medios y servicios del proveedor (asegurando que los servicios y productos provistos externamente cumplan con el compromiso contraído). Este proceso formal de control de cambios debiera asegurar que los planes de actualización sean distribuidos y reforzados mediante revisiones regulares del plan completo. Estas técnicas se pueden utilizar en cualquier organización. Los resultados de las pruebas debieran ser registradas y. personal. cuando sea necesario. Esto se debiera aplicar de una manera que sea relevante para el plan de recuperación específico. actualización de los sistemas y cambios en: Personal Direcciones o números de teléfonos Estrategia comercial Local. medios y recursos Legislación Contratistas. los nuevos o los eliminados EDCOM Capítulo IV . Los ejemplos de los cambios que se debieran considerar cuando se actualizan los planes de continuidad del negocio son la adquisición de equipo nuevo. se debieran tomar acciones para mejorar los planes.73 ESPOL .Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Prueba de recuperación en el local alternativo (corriendo los procesos comerciales en paralelo con las operaciones de recuperación lejos del local principal). proveedores y clientes claves Procesos. La identificación de los cambios en los acuerdos comerciales que aún no se reflejan en los planes de continuidad del negocio debiera realizarse mediante una actualización apropiada del plan. Ensayos completos (probando que la organización. medios y procesos puedan lidiar con las interrupciones). Se debiera asignar la responsabilidad de las revisiones regulares de cada plan de continuidad del negocio. equipo.
Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Riesgo (operacional y funcional) IV. Errores resultantes de data comercial incompleta o inexacta. Además de los planes de contingencia normales. alertas y vulnerabilidades para detectar los incidentes en la seguridad de la información. Contención.1) Control Se debieran establecer las responsabilidades y los procedimientos de la gerencia para asegurar una respuesta rápida. Mal uso de los sistemas de información. Violaciones de la confidencialidad e integridad.7 RESPONSABILIDADES Y PROCEDIMIENTOS (13. efectiva y metódica ante los incidentes de la seguridad de la información. incluyendo: Fallas del sistema de información y pérdida del servicio. Lineamiento de la implementación Además de reportar los eventos y debilidades en la seguridad de la. Planeación e implementación de la acción correctiva para evitar la recurrencia.9.2. Código malicioso. Se debieran considerar los siguientes lineamientos para los procedimientos de gestión de incidentes en la seguridad de la información: Se debieran establecer procedimientos para manejar los diferentes tipos de incidentes en la seguridad de la información. si fuese necesario. Negación del servicio. los procedimientos también debieran cubrir: Análisis e identificación de la causa del incidente. se debiera utilizar el monitoreo del sistema. EDCOM Capítulo IV .74 ESPOL .
Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Comunicaciones con aquellos afectados por o involucrados con la recuperación de un incidente. Análisis interno del problema. EDCOM Capítulo IV . Se debieran controlar formal y cuidadosamente las acciones para la recuperación de las violaciones de la seguridad y para corregir las fallas en el sistema. La acción de emergencia sea reportada a la gerencia y revisada de una manera adecuada. Se debiera recolectar y asegurar rastros de auditoría y evidencia similar. Negociación para la compensación de los proveedores del software y servicio. conforme sea apropiado para. y se debieran asegurar que aquellos responsables de la gestión de incidentes en la seguridad de la información entiendan las prioridades de la organización para el manejo de los incidentes en la seguridad de la información. por ejemplo. La integridad de los sistemas y controles comerciales sea confirmada con una demora mínima. Se debieran acordar con la gerencia los objetivos para la gestión de incidentes en la seguridad de la información.75 ESPOL . Reportar la acción a la autoridad apropiada. Se documenten en detalle todas las acciones de emergencia realizadas. bajo la legislación sobre el mal uso de computadoras o protección de data. los procedimientos debieran asegurar que: Sólo el personal claramente identificado y autorizado tengan acceso a los sistemas vivos y la data. Uso como evidencia forense en relación a una violación potencial del contrato o el requerimiento regulador o en el caso de una acción legal civil o criminal.
EDUCACIÓN Y CAPACITACIÓN EN SEGURIDAD DE LA INFORMACIÓN (8. uso de paquetes de software e información sobre los procesos disciplinarios. La capacitación constante debiera incluir los requerimientos de seguridad.76 ESPOL .Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Otra información Los incidentes en la seguridad de la información podrían trascender fuera de las fronteras organizacionales y nacionales. los contratistas y terceras personas debieran recibir una adecuada capacitación en seguridad y actualizaciones regulares sobre las políticas y procedimientos organizacionales conforme sea relevante para su función laboral.2. responsabilidades y capacidades de la persona.8 CONOCIMIENTO. conforme sea apropiado. educación y capacitación debieran ser adecuados y relevantes para el rol. EDCOM Capítulo IV . y debieran incluir información sobre amenazas conocidas. Otra información Las actividades de conocimiento. a quién contactar para mayor consultoría sobre seguridad y los canales apropiados para reportar los incidentes de seguridad de información.9. Para responder a estos incidentes se necesita cada vez más coordinar la respuesta y compartir información sobre estos incidentes con organizaciones externas. Lineamiento de implementación La capacitación y el conocimiento debieran comenzar con un proceso de inducción formal diseñado para introducir las políticas y expectativas de seguridad de la organización antes de otorgar acceso a la información o servicios. procedimiento de registro.2) Control Todos los empleados de la organización y. IV. así como la capacitación en el uso correcto de los medios de procesamiento de información. responsabilidades legales y controles comerciales. cuando sea relevante. por ejemplo.
y responder de acuerdo a las necesidades de su rol en el trabajo.1) Controles de detección. Los usuarios debieran estar al tanto de los peligros de los códigos maliciosos. El software y los medios de procesamiento de la información son vulnerables a la introducción de códigos maliciosos. Se debieran considerar los siguientes lineamientos: Establecer una política formal prohibiendo el uso de software no-autorizado. virus de red. Lineamiento de implementación La protección contra códigos maliciosos se debiera basar en la detección de códigos maliciosos y la reparación de software.9. Se requiere tomar precauciones para evitar y detectar la introducción de códigos maliciosos y códigos móviles no-autorizados.4. detectar y eliminar los códigos maliciosos y controlar los códigos móviles.4) Objetivo: Proteger la integridad del software y la integración.77 ESPOL . como virus cómputo. y los apropiados controles de acceso al sistema y gestión del cambio.9. Cuando sea apropiado. IV. conciencia de seguridad.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos La capacitación para aumentar la conciencia y conocimiento tiene como objetivo permitir a las personas reconocer los problemas e incidentes de la seguridad de la información. EDCOM Capítulo IV . caballos Troyanos y bombas lógicas.10 Control CONTROLES CONTRA CÓDIGOS MALICIOSOS (10. los gerentes debieran introducir controles para evitar.9 PROTECCIÓN CONTRA EL CÓDIGO MALICIOSO Y MÓVIL (10. IV. prevención y recuperación para proteger contra códigos maliciosos y se debieran implementar procedimientos para el apropiado conocimiento del usuario.
gestión. EDCOM Capítulo IV . incluyendo toda la data y respaldo (back-up) de software y procesos de recuperación. Implementar procedimiento para la recolección regular de información. procedimientos y responsabilidades para lidiar con la protección de códigos maliciosos en los sistemas. Chequear las páginas Web para detectar códigos maliciosos. los chequeos llevados a cabo debieran incluir: Chequeo de cualquier archivo en medios electrónicos u ópticos. como suscribirse a listas de correos y/o chequear Web Sites que dan información sobre códigos maliciosos nuevos. computadoras desktop y cuando se ingresa a la red de la organización. ya sea a través de redes externas o cualquier otro medio. capacitación en su uso.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Establecer una política formal para proteger contra riesgos asociados con la obtención de archivos. servidores de correo electrónico. Definición. reporte y recuperación de ataques de códigos maliciosos. Chequear los adjuntos y descargas de los correos electrónicos para detectar códigos maliciosos antes de utilizarlos. Preparar planes apropiados para la continuidad del negocio para recuperarse de ataques de códigos maliciosos. se debiera investigar formalmente la presencia de cualquier activo no-aprobado o enmiendas noautorizadas. por ejemplo. Realizar revisiones regulares del software y contenido de data de los sistemas que sostienen los procesos comerciales críticos. este chequeo debiera llevarse a cabo en lugares diferentes.78 ESPOL . indicando las medidas de protección a tomarse. La instalación y actualización regular de software para la detección o reparación de códigos maliciosos para revisar las computadoras y medios como un control preventivo o una medida rutinaria. y los archivos recibidos a través de la red para detectar códigos maliciosos antes de utilizarlo.
REPORTE DE LOS EVENTOS Y DEBILIDADES DE LA SEGURIDAD DE LA INFORMACIÓN (13. los gerentes debieran asegurar que se utilicen fuentes calificadas. Otra información El uso de dos o más productos de software para protegerse de códigos maliciosos a través del ambiente de procesamiento de la información de diferentes vendedores puede mejorar la efectividad de la protección contra códigos maliciosos. Todos los usuarios empleados contratistas y terceros debieran estar al tanto de los procedimientos para el reporte de los diferentes tipos de eventos y debilidades que podrían tener un impacto en la seguridad de los activos EDCOM Capítulo IV . los cuales pueden evadir los controles de protección contra códigos maliciosos normales. todos los usuarios debieran estar al tanto del problema de las bromas pesadas y qué hacer cuando se reciben.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Implementar procedimientos para verificar la información relacionada con el código malicioso y para asegurar que los boletines de advertencia sean exactos e informativos. periódicos acreditados.9.11 Objetivo: Asegurar que los eventos y debilidades de la seguridad de la información asociados con los sistemas de información sean comunicados de una manera que permita que se realice una acción correctiva oportuna.1) IV. este software se puede instalar en cada desktop para que realice chequeos automáticos. Se debieran establecer procedimientos formales de reporte y de la intensificación de un evento. por ejemplo. Se debiera tener cuidado de protegerse contra la introducción de códigos maliciosos durante el mantenimiento y procedimientos de emergencia.79 ESPOL . que diferencien entre bromas pesadas y códigos maliciosos reales. Se puede instalar software para protegerse de códigos maliciosos para proporcionar actualizaciones automáticas de archivos de definición y motores de lectura para asegurarse que la protección esté actualizada. sitios de Internet confiables o proveedores que producen software para protegerse de códigos maliciosos. Además.
12 POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN (5.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos organizacionales. El documento de la política debiera contener enunciados relacionados con: Una definición de seguridad de la información. Lineamiento de implementación El documento de la política de seguridad de la información debiera enunciar el compromiso de la gerencia y establecer el enfoque de la organización para manejar la seguridad de la información. y su compromiso con. La gerencia debiera establecer claramente la dirección de la política en línea con los objetivos comerciales y demostrar su apoyo.9.1) Objetivo: Proporcionar a la gerencia la dirección y soporte para la seguridad de la información en concordancia con los requerimientos comerciales y las leyes y regulaciones relevantes. DOCUMENTO DE LA POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN (5. EDCOM Capítulo IV .9. la seguridad de la información. y publicado y comunicado a todos los empleados y las partes externas relevantes. sus objetivos y alcance generales y la importancia de la seguridad como un mecanismo facilitador para intercambiar información (ver introducción). a través de la emisión y mantenimiento de una política de seguridad de la información en toda la organización. Se les debiera requerir que reporten cualquier evento y debilidad de la seguridad de la información lo más rápidamente posible en el punto de contacto designado IV.13 Control El documento de la política de seguridad de la información debiera ser aprobado por la gerencia.1.80 ESPOL .1) IV.
fundamentando sus objetivos y los principios de la seguridad de la información en línea con la estrategia y los objetivos comerciales. reguladores y restrictivos. Una explicación breve de las políticas. capacitación y conocimiento de seguridad. Consecuencias de las violaciones de la política de seguridad de la información. Esta política de seguridad de la información se debiera comunicar a través de toda la organización a los usuarios en una forma que sea relevante. Una definición de las responsabilidades generales y específicas para la gestión de la seguridad de la información incluyendo el reporte de incidentes de seguridad de la información. Educación. principios. Gestión de la continuidad del negocio. EDCOM Capítulo IV .81 ESPOL . accesible y entendible para el lector objetivo. Referencias a la documentación que fundamenta la política. Un marco referencial para establecer los objetivos de control y los controles. Conformidad con los requerimientos legislativos.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Un enunciado de la intención de la gerencia. estándares y requerimientos de conformidad de la seguridad de particular importancia para la organización. incluyendo. políticas y procedimientos de seguridad más detallados para sistemas de información específicos o reglas de seguridad que los usuarios debieran observar. por ejemplo. incluyendo la estructura de la evaluación del riesgo y la gestión de riesgo.
82 ESPOL . Si la política de seguridad de la información se distribuye fuera de la organización. IV. reguladora o contractual. Se puede encontrar mayor información en ISO/IEC 13335-1:2004. regulación estatutaria.14 Objetivo CUMPLIMIENTO DE LOS REQUERIMIENTOS LEGALES (15. se debiera tener cuidado de no divulgar información confidencial.2) Se debieran implementar los procedimientos apropiados para asegurar el cumplimiento de los requerimientos legislativos.9. Lineamiento de implementación Se debieran considerar los siguientes lineamientos para proteger cualquier material que se considere de propiedad intelectual: EDCOM Capítulo IV . IV. operación. y cualquier requerimiento de seguridad.1.15 Control DERECHOS DE PROPIEDAD INTELECTUAL (15.9.1) Evitar las violaciones a cualquier ley. uso y gestión de los sistemas de información pueden estar sujetos a requerimientos de seguridad estatutarios.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Otra información La política de seguridad de la información podría ser una parte del documento de política general. flujo de data inter-fronteras). Se debiera buscar la asesoría sobre los requerimientos legales específicos de los asesores legales de la organización o profesionales legales calificados adecuados. reguladores y contractuales. El diseño. reguladores y contractuales sobre el uso del material con respecto a los cuales puedan existir derechos de propiedad intelectual y sobre el uso de productos de software patentado. Los requerimientos legislativos varían de un país a otro y pueden variar para la información creada en un país que es transmitida a otro país (es decir.
Proporcionar una política para mantener las condiciones de licencias apropiadas. reportes u otros documentos. completamente o en parte. Implementar controles para asegurar que no se exceda el número máximo de usuarios permitidos. EDCOM Capítulo IV . libros. Sólo adquirir software a través de fuentes conocidos y acreditados para asegurar que no sean violados los derechos de autor. Proporcionar una política para eliminar o transferir el software a otros. discos maestros. e identificar todos los activos con los requerimientos para proteger los derechos de propiedad intelectual.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Una política de cumplimiento de los derechos de propiedad intelectual y publicación que defina el uso legal de los productos de software e información. etc.83 ESPOL . manuales. artículos. Mantener el conocimiento de las políticas para proteger los derechos de propiedad intelectual. No copiar. Mantener prueba y evidencia de la propiedad de las licencias. Utilizar las herramientas de auditoría apropiadas. No duplicar. Llevar a cabo chequeos para que sólo se instalen software autorizados y productos con licencia. y notificar de la voluntad de tomar una acción disciplinaria contra el personal que los viole. Cumplir con los términos y condiciones del software e información obtenida de redes públicas. aparte de aquellos permitidos por la ley de derechos de autor. convertir a otro formato o extraer de registros comerciales (audio. aparte de los permitidos por la ley de derechos de autor. Monitorear los registros de activos apropiados. vídeo).
regulaciones y. El cumplimiento de esta política y toda legislación y regulación de protección de data relevante requiere una apropiada estructura y control gerencial. limitando el uso de los productos a máquinas específicas o limitando el copiado sólo a la creación de copias de respaldo.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Otra información Los derechos de propiedad intelectual incluyen los derechos de autor. o que sea licenciado o provisto por un diseñador a la organización. lo cual puede involucrar los trámites judiciales. Con frecuencia esto se logra asignando a una persona como responsable. si fuesen aplicables. las cláusulas contractuales relevantes.1. Los requerimientos legislativos. ellos pueden requerir que sólo se pueda utilizar el material desarrollado por la organización.84 ESPOL . por ejemplo. En particular. derechos de diseño. PROTECCIÓN DE LA INFORMACIÓN PERSONAL (15. por ejemplo un funcionario de EDCOM Capítulo IV . Esta política debiera ser comunicada a todas las personas involucradas en el procesamiento de la información personal. marcas registradas.4) IV. Se necesita aclarar la situación IPR del software desarrollado por la organización con el personal. La violación de los derechos de autor puede llevar a una acción legal. Los productos de software patentados usualmente son suministrados mediante un contrato de licencia que especifica los términos y condiciones de las licencias.9.16 Control DATA Y PRIVACIDAD DE LA Se debiera asegurar la protección y privacidad de la data conforme lo requiera la legislación. patentes y licencias de código fuente de software o documentos. reguladores y contractuales pueden colocar restricciones sobre el copiado de material patentado. Lineamiento de implementación Se debiera desarrollar e implementar una política de protección y privacidad de la data.
1) Lograr y mantener una apropiada protección de los activos organizacionales. La responsabilidad por el manejo de la información personal y el reforzamiento del conocimiento de los principios de protección de data debieran ser tratados en concordancia con la legislación y las regulaciones relevantes. Todos los activos debieran ser inventariados y contar con un propietario nombrado. Se debieran implementar las apropiadas medidas técnicas y organizacionales para protección la información personal. Dependiendo de la legislación nacional respectiva. procesan y difunden información personal.17 Objetivo RESPONSABILIDAD POR LOS ACTIVOS (7.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos protección de data. La implementación de controles específicos puede ser delegada por el propietario conforme sea apropiado. pero el propietario sigue siendo responsable por la protección apropiada de los activos. procesamiento y transmisión de data personal (generalmente la información sobre personas vivas que pueden ser identificadas mediante esa información). Otra información Un número de países han introducido una legislación colocando controles sobre la recolección. y pueden restringir la capacidad para transferir la data a otros países. usuarios y proveedores de los servicios sobre sus responsabilidades individuales y los procedimientos específicos que debieran seguir. IV. quien debiera proporcionar lineamientos a los gerentes. Los propietarios debieran identificar todos los activos y se debiera asignar la responsabilidad por el mantenimiento de los controles apropiados.85 ESPOL . EDCOM Capítulo IV .9. dichos controles pueden imponer impuestos a aquellos que recolectan.
material de capacitación. formato.1. Basados en la importancia del activo. medios removibles y otro equipo. información de respaldo.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos IV.1) Se debieran identificar todos los activos y se debiera elaborar y mantener un inventario de todos los activos importantes.86 ESPOL . Lineamiento de implementación Una organización debiera identificar todos los activos y documentar la importancia de estos activos. información de licencias y un valor comercial. documentación del sistema. su valor comercial y su clasificación de seguridad. software del sistema. Otra información Existen muchos tipos de activos. ubicación. herramientas de desarrollo y utilidades. se debiera acordar y documentar la propiedad y la clasificación de la propiedad para cada uno de los activos.9. se debieran identificar los niveles de protección que se conmensuran con la importancia de los. Activos físicos: equipo de cómputo. El inventario no debiera duplicar innecesariamente otros inventarios. incluyendo el tipo de activo. El inventario de los activos debiera incluir toda la información necesaria para poder recuperarse de un desastre. acuerdos para contingencias. información de investigaciones. Además. Activos de software: software de aplicación. incluyendo: Información: bases de datos y archivos de data. equipo de comunicación. pero se debiera asegurar que el contenido esté alineado. contratos y acuerdos.18 Control INVENTARIO DE LOS ACTIVOS (7. EDCOM Capítulo IV . manuales del usuario. planes de continuidad del negocio. rastros de auditoría e información archivada. procedimientos operacionales o de soporte.
2) Toda la información y los activos asociados con los medios de procesamiento de información debieran ser propiedad de una parte designada de la organización. Lineamiento de implementación El propietario del activo debiera ser responsable de: Asegurar que la información y los activos asociados con los medios de procesamiento de la información sean clasificados apropiadamente. servicios generales. Definir y revisar periódicamente las restricciones y clasificaciones de acceso. como planes de salud y seguridad. IV. calefacción. y sus calificaciones. La propiedad puede ser asignada a: Un proceso comercial. tomando en cuenta las políticas de control de acceso aplicables. Un conjunto de actividades definido. Los inventarios de los activos ayudan a asegurar que se realice una protección efectiva de los activos. por ejemplo. EDCOM Capítulo IV .87 ESPOL . Personas.1. Intangibles. tales como la reputación y la imagen de la organización. capacidades y experiencia. y también puede requerir de otros propósitos comerciales. iluminación. Una aplicación.9. seguros o razones financieras (gestión de activos). energía y aire acondicionado. El proceso de compilar un inventario de activos es un pre-requisito importante de la gestión del riesgo. Un conjunto de data definido.19 Control PROPIEDAD DE LOS ACTIVOS (7.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Servicios: servicios de computación y comunicación.
Sistema de Gestión de Seguridad de la Información Gestión de Activos
IV.9.20 Control
USO ACEPTABLE DE LOS ACTIVOS (7.1.3)
Se debieran identificar, documentar e implementar reglas para el uso aceptable de la información y los activos asociados con los medios del procesamiento de la información.
Todos los empleados, contratistas y terceros debieran seguir las reglas para el uso aceptable de la información y los activos asociados con los medios del procesamiento de la información, incluyendo: Reglas para la utilización del correo electrónico e Internet. Lineamientos para el uso de dispositivos móviles, especialmente para el uso fuera del local de la organización. La gerencia relevante debiera proporcionar reglas o lineamientos específicos. Los empleados, contratistas y terceros que usan o tienen acceso a los activos de la organización debieran estar al tanto de los límites existentes para su uso de la información y los activos asociados con los medios y recursos del procesamiento de la información de la organización. Ellos debieran ser responsables por el uso que le den a cualquier recurso de procesamiento de información, y de cualquier uso realizado bajo su responsabilidad.
Capítulo IV - 88
IV.9.21 Objetivo
CLASIFICACIÓN DE LA INFORMACIÓN (7.2)
Asegurar que la información reciba un nivel de protección apropiado. La información debiera ser clasificada para indicar la necesidad, prioridades y grado de protección esperado cuando se maneja la información. La información tiene diversos grados de confidencialidad e importancia. Algunos ítems pueden requerir un nivel de protección adicional o manejo especial. Se debiera utilizar un esquema de clasificación de información para definir un conjunto apropiado de niveles de protección y comunicar la necesidad de medidas de uso especiales
IV.9.22 Control
LINEAMIENTOS DE CLASIFICACIÓN (7.2.1)
Se debiera clasificar la información en términos de su valor, requerimientos legales, sensibilidad y grado crítico para la organización.
Las clasificaciones y los controles de protección asociados para la información debieran tomar en cuenta las necesidades comerciales de intercambiar o restringir información y los impactos comerciales asociados con dichas necesidades. Los lineamientos de clasificación debieran incluir protocolos para la clasificación inicial y la reclasificación a lo largo del tiempo; en concordancia con alguna política predeterminada de control de acceso. Debiera ser responsabilidad del propietario del activo definir la clasificación de un activo, revisarla periódicamente y asegurarse que se mantenga actualizada y en el nivel apropiado. Se debiera tener en consideración el número de categorías de clasificación y los beneficios a obtenerse con su uso.
Capítulo IV - 89
Los esquemas demasiado complejos pueden volverse engorrosos y anti-económicos de utilizar o pueden volverse poco prácticos. Se debiera tener cuidado al interpretar los encabezados de la clasificación en los documentos de otras organizaciones, los cuales pueden tener definiciones diferentes para encabezados con el mismo nombre o nombre similares.
Se puede evaluar el nivel de protección analizando la confidencialidad, integridad y disponibilidad, y cualquier otro requerimiento para la información considerada. Con frecuencia, la información deja de ser sensible o crítica después de cierto período de tiempo, por ejemplo, cuando la información se ha hecho pública. Se debieran tomar en cuenta estos aspectos, ya que la sobre-clasificación puede llevar a la implementación de controles innecesarios resultando en un gasto adicional. Agrupar documentos con requerimientos de seguridad similares cuando se asignan niveles de clasificación podría ayudar a simplificar la tarea de clasificación. En general, la clasificación dada a la información es una manera rápida para determinar cómo se está manejando y protegiendo la información.
IV.9.23 Control
ETIQUETADO Y MANEJO DE LA INFORMACIÓN (7.2.2)
Se debiera desarrollar e implementar un conjunto apropiado de procedimientos para el etiquetado y manejo de la información en concordancia con el esquema de clasificación adoptado por la organización.
Los procedimientos para el etiquetado de la información necesitan abarcar los activos de información en formatos físicos y electrónicos. El output de los sistemas conteniendo información que es clasificada como sensible o crítica debiera llevar la etiqueta de clasificación apropiada (en el output). El etiquetado debiera reflejar la clasificación de acuerdo a las reglas establecidas en 7.2.1. Los ítems a considerarse
EDCOM Capítulo IV - 90 ESPOL
almacenaje. la etiqueta de notificación puede aparecer en la pantalla. EDCOM Capítulo IV . se debiera definir los procedimientos de manejo seguros.91 ESPOL . mediante procedimientos o meta-data. Esto también debiera incluir los procedimientos de la cadena de custodia y el registro de cualquier incidente de seguridad relevante. CDs). discos. Cuando no es factible el etiquetado. Para cada nivel de clasificación. incluyendo el procesamiento.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos incluyen reportes impresos. Sin embargo. algunos archivos de información. Los acuerdos con otras organizaciones que incluyen intercambio de información debieran incluir procedimientos para identificar la clasificación de esa información e interpretar las etiquetas de clasificación de otras organizaciones. de-clasificación y destrucción. Por ejemplo. se pueden aplicar otros medios para designar la clasificación de la información. como documentos en forma electrónica. transmisión. por ejemplo. presentaciones en pantalla. Las etiquetas físicas son una forma común de etiquetado. cintas. no pueden ser etiquetados físicamente y se necesitan medios electrónicos para el etiquetado. medios de grabación (por ejemplo. mensajes electrónicos y transferencia de archivos. Otra información El etiquetado y el manejo seguro de la información clasificada es un requerimiento clave para los acuerdos de intercambio de información.
Prácticamente todos los activos dependen de su [E. esta distinción no suele ser relevante.2] Posibilidad de que el agua acabe con los recursos del sistema. terremoto. encaminamiento. Errores de Inadecuado registro de actividades: falta de registros.5] Difusión de software dañino Propagación inocente de virus. Puede ser debida a un defecto de origen o sobrevenida durante el funcionamiento del sistema. espías (spyware). Capítulo IV . etc. flujos de actividades. registros incorrectamente fechados. [E. Estas amenazas pueden darse de forma accidental o deliberada. etc.1] administrador instalación y operación.4] Avería de origen físico consecuencias que se derivan. bombas lógicas. polvo. [N.92 ESPOL EDCOM . exceso de humedad. etc. [E. gusanos. Posibilidad de que otros incidentes tales como: rayo. etc. excesivo temperatura y/o frío. excediendo los inadecuadas de [I.2] Errores de los usuarios datos. eléctrico Condiciones Deficiencias en la aclimatación de los locales. DE ORIGEN INDUSTRIAL [I] Sucesos que pueden ocurrir de forma accidental. Posibilidad de que el fuego acabe con los recursos del [I. fugas. destruyan o dañen el activo. inundaciones Contaminación [I. Errores del Equivocaciones de personas con responsabilidades de [E.1] [N. Corte del suministro [I.4] Errores de configuración configuración y ésta de la diligencia del administrador: privilegios de acceso.2] [N.5] Cese de la alimentación de potencia. suciedad. troyanos. corrimiento de tierras. tormenta eléctrica.3] Incendios Inundaciones Otro desastre natural Posibilidad de que el fuego destruya o dañe el activo. Escapes.3] monitorización (log) registros incompletos. humedad ERRORES Y FALLOS NO INTENCIONADOS [E] Fallos no intencionales causados por las personas. registro de actividad.10 TIPOS DE AMENAZAS Se presenta a continuación un catálogo de amenazas posibles sobre los activos de un sistema de información: AMENAZAS SOBRE LOS ACTIVOS HARDWARE / SOFTWARE (APLICACIONES/DATOS/INFORMACIÓN) DESASTRES NATURALES [N] Sucesos que pueden ocurrir sin intervención de los seres humanos como causa directa o indirecta. [I. derivados de la actividad humana de tipo industrial.3] Vibraciones. Las [I. ciclones.6] márgenes de trabajo de los equipos: excesivo calor. [E. avalancha.1] Incendio sistema. Introducción de datos de configuración erróneos. Equivocaciones de las personas cuando usan los servicios.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos IV. mecánica Fallos en los equipos. Posibilidad de que el agua Destruya o dañe el activo.
9] Introducción de información incorrecta [E.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos La información llega accidentalmente al conocimiento de personas que no deberían tener conocimiento de ella. Inserción accidental de información incorrecta. flujos de actividades.2] propios. hay amenazas específicas. Esta amenaza sólo se identifica sobre datos en general. pues cuando la información está en algún soporte informático. sin que la información en sí misma se vea alterada.3] acceso de privilegios para realizar tareas que no son de su competencia. programas personales. consultas personales [A.13] Errores de Defectos en los procedimientos o controles de actualización mantenimiento / [E. Cuando un atacante consigue hacerse pasar por un usuario autorizado. (hardware) Caída del sistema por La carencia de recursos suficientes provoca la caída del [E. Revelación por indiscreción. hay amenazas específicas. Prácticamente todos los activos dependen de su Manipulación de la configuración y ésta de la diligencia del administrador: [A.10] Degradación de la información [E. registro de actividad.14] del código que permiten que sigan utilizándose programas actualización de con defectos conocidos y reparados por el fabricante. programas (software) Errores de Defectos en los procedimientos o controles de actualización mantenimiento / [E.16] agotamiento de recursos sistema cuando la carga de trabajo es desmesurada. [E. etc. Degradación accidental de la información. pues cuando la información está en algún soporte informático. Esta amenaza sólo se identifica sobre datos en general. Cada usuario disfruta de un nivel de privilegios para un Abuso de privilegios de determinado propósito. almacenamiento de datos personales.15] de los equipos que permiten que sigan utilizándose más allá actualización de equipos del tiempo nominal de uso. medios electrónicos. Defectos en el código que dan pie a una operación defectuosa sin intención por parte del usuario pero con consecuencias sobre la integridad de los datos o la capacidad misma de operar. pues cuando la información está en algún soporte informático. cuando un usuario abusa de su nivel [A. etc. etc.1] configuración privilegios de acceso.8] Alteración de la información [E. pues cuando la información está en algún soporte informático. soporte papel. Utilización de los recursos del sistema para fines no previstos. por personas ajenas a la Organización o por personal contratado temporalmente.93 ESPOL . típicamente de interés personal: juegos. Pérdida accidental de información. hay amenazas específicas. Esta amenaza puede ser perpetrada por personal identidad del usuario interno. Incontinencia verbal. hay amenazas específicas.12] [E. hay problemas. Esta amenaza sólo se identifica sobre datos en general.7] Escapes de información [E. bases de datos personales.4] Uso no previsto en Internet. EDCOM Capítulo IV . disfruta de los privilegios de este para sus fines Suplantación de la [A. encaminamiento. ATAQUES INTENCIONADOS [A] Fallos deliberados causados por las personas. Esta amenaza sólo se identifica sobre datos en general. Alteración accidental de la información.11] Destrucción de información Divulgación de información Vulnerabilidades de los programas (software) [E.
troyanos. Vandalismo. Alteración intencional de la información. pues cuando la información está en algún soporte informático. Cuando los locales han sido invadidos y se carece de control sobre los propios medios de trabajo. Eliminación intencional de información.10] Modificación de la información [A.12] Corrupción de la información [A. Esta amenaza sólo se identifica sobre datos en general. El atacante consigue acceder a los recursos del sistema sin tener autorización para ello. La carencia de recursos suficientes provoca la caída del sistema cuando la carga de trabajo es desmesurada. terrorismo. Revelación de información. pues cuando la información está en algún soporte informático.16] [A. típicamente.14] [A.94 ESPOL . Esta amenaza sólo se identifica sobre datos en general. hay amenazas específicas. pues cuando la información está en algún soporte informático. con ánimo de obtener un beneficio o causar un perjuicio. es decir una indisponibilidad. Esta amenaza sólo se identifica sobre datos en general. Degradación intencional de la información. Inserción interesada de información falsa. con ánimo de obtener un beneficio o causar un perjuicio. Software.5] [A. hay amenazas específicas.7] Sistema de Gestión de Seguridad de la Información Gestión de Activos Propagación intencionada de virus. Esta amenaza puede ser perpetrada por personal interno. personas ajenas a la Organización o personas contratadas de forma temporal.19] Ataque destructivo Ocupación enemiga Tabla 18 . por personas ajenas a la Organización o por personas contratadas de forma temporal. gusanos. Difusión de software dañino Acceso no autorizado [A. La sustracción de equipamiento provoca directamente la carencia de un medio para prestar los servicios. acción militar.18] [A.15] [A.Amenaza sobre los activos Hardware. bombas lógicas.17] Robo [A. etc. hay amenazas específicas. Esta amenaza sólo se identifica sobre datos en general. El robo puede realizarlo personal interno.13] Destrucción la información Divulgación de información Manipulación de programas Denegación de servicio [A. con ánimo de obtener un beneficio o causar un perjuicio. persiguiendo un beneficio indirecto cuando una persona autorizada lo utiliza. espías (spyware). con ánimo de obtener un beneficio o causar un perjuicio. hay amenazas específicas. Información EDCOM Capítulo IV .Proyecto de Graduación [A.11] Introducción de falsa información [A. pues cuando la información está en algún soporte informático. Alteración intencionada del funcionamiento de los programas.
11 INVENTARIO GENERAL DE PLASTICOS INTERNACIONALES C.Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos IV.95 ESPOL .A EDCOM Capítulo IV .
Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos EDCOM Capítulo IV .96 ESPOL .
Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos EDCOM Capítulo IV .97 ESPOL .
Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos EDCOM Capítulo IV .98 ESPOL .
99 ESPOL .Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos EDCOM Capítulo IV .
100 ESPOL .Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos EDCOM Capítulo IV .
Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos EDCOM Capítulo IV .101 ESPOL .
Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos EDCOM Capítulo IV .102 ESPOL .
Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos EDCOM Capítulo IV .103 ESPOL .
104 ESPOL .Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos EDCOM Capítulo IV .
105 ESPOL .Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos EQUIPOS MÓVILES EDCOM Capítulo IV .
Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos EDCOM Capítulo IV .106 ESPOL .
Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Tabla 19 .107 ESPOL .Inventario de activos EDCOM Capítulo IV .
5 La empresa EDCOM Capítulo IV .108 ESPOL .Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos IV.12 FOTOS DE LA EMPRESA Figura .
10 Área de Producción Figura .6 Área de Computación Figura .8 Área de Asistente de Producción EDCOM Capítulo IV .11 Área de Contabilidad Figura .9 Área de Producción Figura .13 DIFERENTES INSTALACIONES DE LA EMPRESA Figura .Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos IV.7 Área de Producción Figura .109 ESPOL .
16 Bodega 1 Figura .15 Recepción 2 Figura .Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos Figura .19 Sellado EDCOM Capítulo IV .12 Área de Contabilidad Figura .13 Área de Contabilidad Figura .18 Impresión Figura .17 Área de Extrusión Figura .14 Recepción 1 Figura .110 ESPOL .
Proyecto de Graduación Sistema de Gestión de Seguridad de la Información Gestión de Activos IV.14 DIFERENTES PROBLEMAS ENCONTRADOS EN LA EMPRESA CON RESPECTO A LA SEGURIDAD INFORMÁTICA Figura .20 Diferentes Problemas Encontrados EDCOM Capítulo IV .111 ESPOL .
Documents Similar To Manual SGSI Aplicada a La Gestion de Activos
Implementacion de Guia de Politica de Seguridad
More From Sofia Camargo
Modelo contrato de Teletrabajo sector privado.pdf
ARPSpoofing.pdf
Politíca de Gestión Documental V1 17022017
Professional Practices_SP_0215.pdf
Manual Politicas Seguridad Informacion
Sensibilizacion Seg Inf 2
Manual Anubis
ShodanandICSsystems (1)
Metodologia de La Investigación 5ta Edición - Capitulo 6
Dialnet-GestionDeRiesgosTecnologicosBasadaEnISO31000EISO27-4797252 (1).pdf

References: Artículo 1
 Artículo 2
 Artículo 3
 Artículo 4
 Artículo 5
 Artículo 6
 Artículo 7
 Artículo 9
 Artículo 10
 Artículo 8
 Artículo 12
 Artículo 11
 Artículo 13
 Artículo 14
 Artículo 16
 Artículo 15
 Artículo 19
 Artículo 18
 Artículo 17