Source: http://docplayer.es/1147732-Guia-de-buenas-practicas.html
Timestamp: 2017-06-23 21:21:35+00:00

Document:
GUÍA DE BUENAS PRÁCTICAS - PDF
Download "GUÍA DE BUENAS PRÁCTICAS"
Ramón Caballero Aranda
1 SECRETARÍA DE ESTADO GABINETE DE COORDINACIÓN Y ESTUDIOS GUÍA DE BUENAS PRÁCTICAS PLAN DEL OPERADOR (PSO)2 MINISTERIO DEL INTERIOR SECRETARÍA DE ESTADO DE SEGURIDAD GABINETE DE COORDINACIÓN Y ESTUDIOS 1. INTRODUCCIÓN Base legal Objetivo de este documento Protección de la información POLÍTICA GENERAL DEL OPERADOR Y MARCO DE GOBIERNO Política General de Seguridad del Operador Objeto Ámbito o Alcance Compromiso de la Alta Dirección Carácter Integral de la Seguridad Actualización Marco de Gobierno de seguridad Organización de seguridad Formación y Concienciación Modelo de gestión aplicado RELACIÓN DE SERVICIOS ESENCIALES PRESTADOS POR EL OPERADOR CRÍTICO Identificación de los servicios esenciales Mantenimiento del inventario de servicios esenciales Estudio y Consecuencias de la Interrupción del Servicio Esencial Interdependencias METODOLOGÍA DE ANÁLISIS DE RIESGOS Descripción de la metodología de análisis Identificación y valoración de los activos que soportan los servicios esenciales Identificación y evaluación de amenazas Valoración y Gestión de riesgos CRITERIOS DE APLICACIÓN DE MEDIDAS INTEGRAL DOCUMENTACIÓN COMPLEMENTARIA Normativa, Buenas Prácticas y Regulatoria Coordinación con Otros Planes ANEXO 1: EJEMPLOS Política de Seguridad Matriz RACI Designación de Responsables ANEXO 2: RELACIÓN DE ESTÁNDARES Y MEJORES PRÁCTICAS Estándares y mejores prácticas nacionales Sistemas SCADA y Esquema Nacional de Seguridad Seguridad Física Estándares y mejores prácticas internacionales Gobernanza y Gestión de TI incluida la calidad y la cadena de suministro Seguridad de TI Desastre y Recuperación Métricas e Indicadores Auditoría y Control Gestión de Riesgos Seguridad Laboral Certificación y Acreditación Coordinación y Respuesta3 1. INTRODUCCIÓN 1.1 BASE LEGAL El normal funcionamiento de los servicios esenciales que se prestan a la ciudadanía descansa sobre una serie de infraestructuras de gestión tanto pública como privada cuyo funcionamiento es indispensable y no permiten soluciones alternativas: las denominadas infraestructuras críticas. Por ello, se hace necesario el diseño de una política de seguridad homogénea e integral en el seno de las organizaciones que esté específicamente dirigida al ámbito de las infraestructuras críticas, en la cual se definan los subsistemas de seguridad que se van a implantar para la protección de las mismas con el objetivo de impedir la destrucción, interrupción o perturbación que perjudiquen la prestación de los servicios esenciales a la ciudadanía y asegure la continuidad de los mismos. En este sentido, la Ley 8/2011, de 28 de abril por el que se establecen medidas para la protección de las infraestructuras críticas tiene como objeto el establecer las estrategias y las estructuras organizativas adecuadas que permitan dirigir y coordinar las actuaciones de los distintos órganos de las administraciones públicas en materia de protección de infraestructuras críticas, previa identificación y designación de las mismas, impulsando además la colaboración e implicación de los organismos y empresas gestoras y propietarias (operadores críticos) de dichas infraestructuras, a fin de optimizar el grado de protección de éstas contra ataques deliberados tanto físicos como lógicos, que puedan afectar a la prestación de los servicios esenciales. Dicha Ley tiene su desarrollo mediante el Real Decreto 704/2011 de 20 de mayo, por el que aprueba el Reglamento de medidas para la protección de las infraestructuras críticas. Del art. 13 de esta Ley se derivan una serie de compromisos para los operadores públicos y privados, entre los que se encuentran la elaboración de un Plan de Seguridad del Operador (en adelante PSO) y Planes de Protección Específicos (en adelante PPE). Respecto a los contenidos del PSO, según se recoge en el artículo 22.4 del Real Decreto 704/2011, el Secretario de Estado de Seguridad estableció, mediante Resolución de fecha 15 de noviembre de 2011 y su modificación con Resolución de fecha 29 de noviembre de 2011, los Contenidos Mínimos con los que debe contar todo PSO, así como el modelo en el que basar la elaboración de los mismos. 34 1.2 OBJETIVO DE ESTE DOCUMENTO Con el presente documento se pretende orientar a aquellos operadores designados como críticos en la elaboración de su PSO, sirviendo como complemento a las Resoluciones del Secretario de Estado de Seguridad sobre Contenidos Mínimos del PSO. Por lo tanto, se trata de un documento de carácter voluntario que no incluye requisitos adicionales a los establecidos por la legislación vigente o por las Resoluciones mencionadas previamente. En esta guía se incluyen una serie de Anexos (ejemplos, relación de estándares y buenas prácticas, etc.) que podrán ser de ayuda a los operadores críticos para la confección de alguno de los puntos de los contenidos mínimos del Plan de Seguridad del Operador. 1.3 PROTECCIÓN DE LA INFORMACIÓN Tras la aprobación del PSO, su grado de clasificación será de Difusión Limitada, debiendo el Operador Crítico (en adelante OC) definir sus procedimientos de gestión y tratamiento de la información conforme a unos estándares de seguridad que garanticen una adecuada y eficaz protección de dicha información. Para ello, el OC tomará como referencia las orientaciones dictadas por la Autoridad Nacional de Seguridad, para la Protección de la Información clasificada con grado de difusión limitada entre las que cabe destacar 1 : Seguridad documental o OR-ASIP Orientaciones para el Manejo de Información Clasificada con Grado de Difusión Limitada. Seguridad en el personal o OR-ASIP Instrucción de Seguridad del Personal para acceso a Información Clasificada. Seguridad física o OR-ASIP Orientaciones para el Plan de Protección de una Zona de Acceso Restringido. o OR-ASIP Orientaciones para la Constitución de Zonas de Acceso Restringido. 1 Los documentos mencionados pueden consultarse en la dirección: 45 2. POLÍTICA GENERAL DEL OPERADOR Y MARCO DE GOBIERNO 2.1 POLÍTICA GENERAL DEL OPERADOR El marco normativo de cualquier organización estará compuesto, habitualmente, por un conjunto de políticas de alto nivel, normas o estándares de desarrollo y procedimientos operativos o instrucciones de trabajo. La Política de Seguridad 2 a la que se refiere el PSO se trata del documento de mayor nivel de este conjunto mencionado que debería reunir una serie de requisitos que detallaremos a continuación. Esta Política de Seguridad puede adoptar formas diversas, todas ellas, igualmente válidas: Documento en papel, manifestación en la Intranet de la Organización y, en general, cualquier soporte que permita comprobar los aspectos recogidos en los apartados siguientes Objeto El objeto de la Política marca de manera fundamental todo el desarrollo posterior del cuerpo normativo, la organización de la función y las actividades relacionadas con la seguridad, así como, de manera muy clara, qué indicadores se utilizarán para medir la eficacia y eficiencia de las medidas implantadas. Este objeto es la estrategia de la función de seguridad, por lo que debería recoger cuál es su misión y su visión en el contexto de la estrategia global de la organización, aunque también podría adoptar otras formas (declaración de objetivos, etc.). Normalmente, la estrategia de seguridad reflejará la intención de la organización de cumplir sus objetivos a largo plazo minimizando los riesgos, cumpliendo las normas de seguridad que le sean aplicables y previniendo y anticipando los incidentes que pudieran afectar a dichos objetivos organizativos. Dado que la seguridad absoluta no es factible, es lógico que se asuma en el objeto que van a existir incidentes y que se realizará una gestión de los mismos que permita minimizar su impacto en la consecución de los objetivos de la organización. El objeto de la política debería resaltar la protección de las infraestructuras críticas (IICC) especialmente frente a ataques deliberados. Dado que este tipo de amenazas presentan un perfil de baja probabilidad y alto impacto, su protección no responde a los parámetros habituales de eficacia y eficiencia. Por lo tanto, se debería 2 Ver Anexo 1, apartado 7.1 56 recoger en esta política para la protección de las IICC qué criterios se aplicarán para responder adecuadamente a la materialización de estas amenazas de alto impacto de forma que se minimice el daño sobre las personas, el medio o el servicio esencial que se provee Ámbito o alcance La Política de Seguridad puede tener un alcance limitado en distintos ejes: geográficos (países, regiones ), ámbitos de aplicación (físico, lógico ), organizativos (unidades, filiales ), etc. Lógicamente, cada operador puede decidir cuál es la mejor forma para organizarse y no existen, a priori, modelos mejores o peores. En cualquier caso, para que la política de seguridad sea relevante para el PSO debería incluir en su alcance los servicios esenciales y las IICC operadas por la organización. Los requisitos que existen en este sentido es que la(s) política(s) de seguridad debe(n) cubrir exhaustivamente todas las IICC operadas por la organización incluyendo la protección de las personas, los procesos y la tecnología (enfoque integral de la seguridad). En relación con el alcance de la política, se debería prestar atención especial a aspectos tales como los siguientes: Consideración integral de la seguridad incluyendo los aspectos lógicos y físicos. Inclusión, tanto de los sistemas de información TIC de gestión, como de los sistemas de información para el control de los procesos industriales. Aplicación a los servicios esenciales y a las localizaciones y ubicaciones consideradas como críticas. Inclusión de las relaciones de dependencia como, por ejemplo, las empresas filiales que operen los servicios esenciales y las IICC Compromiso de la alta dirección El compromiso de la Alta Dirección es un factor esencial para garantizar la aplicación de medidas de seguridad en una organización, por lo que debería implicarse, desde el inicio, en el propio proceso de definición de la Política. Dicho compromiso puede adoptar formas diversas, pero normalmente, el más habitual es la sanción por el máximo órgano directivo de la Política de Seguridad que se va a aplicar, idealmente, con la firma del documento. 67 Además de este aspecto formal, el compromiso de la Dirección tiene otras formas de reflejarse en relación a la seguridad: Aspectos organizativos: Si existe un compromiso de la Dirección con la seguridad, la función responsable de la misma debería ser independiente de la operación / producción de manera que se pudiera producir un sano conflicto de intereses entre operatividad y seguridad. Por ejemplo, el responsable de seguridad de la información no dependería del responsable de sistemas de información. Por otra parte, la Dirección fomentaría y participaría en los Comités / Grupos de Trabajo que se establecieran para una adecuada toma de decisiones y gestión de la seguridad en conjunto con las áreas productivas y de soporte de la organización. Dotación de recursos: La Dirección aportaría los medios suficientes, dentro de las posibilidades de la organización, para implementar, operar y mantener los mecanismos de seguridad que se definan en línea con el objeto de la función de seguridad. Concienciación: La Dirección apoyaría, participaría e impulsaría las actividades relacionadas con la sensibilización en materia de seguridad para los empleados y usuarios externos implicados en la seguridad, en particular, de las infraestructuras críticas. Relaciones con terceros : La Dirección facilitaría el establecimiento de relaciones con otras organizaciones, privadas o públicas, que contribuyan a la seguridad (CERTs, FFCCS, etc.) Carácter integral de la seguridad Con independencia de cómo se organice la seguridad en otros ámbitos del operador, es esencial abordar la protección de las IICC con un enfoque integral (es decir, tener una visión única de las amenazas físicas y cibernéticas sobre las mismas y diseñar e implementar una estrategia de protección que integre medidas físicas, informáticas, operativas y del personal). Este enfoque integral no presupone que se deba implementar una organización única de seguridad (aunque sería recomendable pues simplificaría los procesos de integración) sino que deberían existir mecanismos para abordar una protección con un enfoque integral (de hecho, una organización unificada de seguridad no garantiza que no persista un enfoque dual de la protección). 78 En este sentido, el operador deberá indicar las medidas que garantizan este enfoque integral como, por ejemplo: Existencia de una organización unificada con objetivos, procesos y medios unificados. Procedimientos de trabajo (reuniones, elaboración de procedimientos, mecanismos de monitorización conjuntos ) enfocados a dotarse de una visión global. Existencia de órganos de coordinación Actualización La Política de Seguridad debe ser un documento vivo que recoja las variaciones del entorno, de las infraestructuras y, también, del propio operador. Por tanto, la organización debería indiciar los mecanismos de actualización de dicha política lo que, normalmente, se debería traducir en un procedimiento de revisión bienal (en línea con lo establecido en el RD) que establezca la responsabilidad para la realización de dicha revisión, los aspectos a analizar, los mecanismos de propuesta de modificaciones, así como la aprobación, publicación y difusión de los cambios (incluyendo, para el ámbito de la protección de las IICC, la pertinente comunicación con el CNPIC). Dado que existe la posibilidad de que el proceso de revisión concluya sin cambios, el procedimiento existente debería generar las evidencias necesarias para poder verificar que la revisión ha tenido lugar (actas de reuniones, punto en el orden del día del Comité de Seguridad, etc.), aunque finalmente no hubiera generado modificaciones en la Política. 2.2 MARCO DE GOBIERNO Organización de Seguridad La Dirección de la Organización deberá formalizar los nombramientos del responsable y delegado/s de seguridad de acuerdo a sus procedimientos internos. La función de seguridad, en particular, debería permitir dar cobertura de manera transversal a toda la Organización, para que se puedan cumplir los requerimientos establecidos. Además de la documentación que se debería aportar sobre la organización de la seguridad, básicamente, organigrama del operador y de la función de seguridad donde 89 se pueda comprobar el nivel jerárquico de los distintos roles y los comités existentes en materia de seguridad, existen dos aspectos que también deberían ser considerados. Por una parte, el operador debería reflejar cómo la organización propuesta permite suficientemente la aplicación y el cumplimiento de la Política. En este sentido, hay que considerar que existen funciones dentro de las organizaciones que colaboran en la implantación de medidas de seguridad, como por ejemplo, la función de auditoría interna que, en muchas organizaciones, tienen una responsabilidad clara en asegurar que se cumplen las políticas internas y los marcos normativos de aplicación a la organización. Por este motivo, se debería considerar su inclusión en los organigramas mencionados anteriormente. Por otra parte, existen herramientas que pueden ayudar a demostrar la suficiencia requerida. Por ejemplo, se pueden utilizar matrices RACI 3 para la clarificación de roles y responsabilidades dado que permiten reflejar, precisamente, quién se responsabiliza y encarga de cada tarea en una organización. Estas matrices se construyen indicando las distintas responsabilidades que existen (en este caso, se trataría de tareas relacionadas con la aplicación y comprobación de la Política de Seguridad) en filas y, en columnas, las funciones (los puestos) que existen dentro de la organización. Finalmente, las intersecciones se utilizan para indicar, donde aplique, el rol de una función en la ejecución de una determinada tarea. Los roles que se utilizan son los que dan nombre a la matriz (por su inicial en inglés): R Responsable (responsable) A Autorizador (accountable) C Consultado (consulted) I Informado (informed) Para construir dichas matrices hay que considerar algunas reglas muy simples: Solo puede existir una A (un autorizador) por cada tarea / responsabilidad. Pueden dejarse celdas en blanco, indicando que determinada función no interviene en la ejecución de una tarea. Todos los actores deben aprobar la matriz RACI que se elabore. Finalmente, en caso de que se subcontraten algunas tareas en un tercero, en primer lugar, dicho tercero debería figurar en la matriz RACI con su correspondiente rol para las tareas asignadas y, por otra parte, se deberían indicar los compromisos existentes. 3 Ver Anexo 1, apartado10 Normalmente, la manera más adecuada de recoger esta información es en el contrato de prestación de servicios aunque existen otras opciones: Puede existir un catálogo de servicios que recoja el encargo al proveedor o proveedores. Para los compromisos existentes, se pueden utilizar acuerdos de nivel de servicio como mecanismos de control y seguimiento del desempeño del proveedor (métricas que deberían incluir también elementos de seguridad). En cualquier caso, el operador debería recoger los mecanismos que utiliza para controlar el cumplimiento de los compromisos existentes con el proveedor y, en particular, cómo gestiona la subcontratación de tareas por el propio proveedor y la notificación de incidentes. En el caso de que exista un Comité de Seguridad dentro de la Organización de Seguridad, sería recomendable que, al menos un miembro o representante de la Dirección, perteneciera a dicho Comité, de forma que las decisiones que se adopten en el, cuenten implícitamente con el respaldo de la Dirección. Responsable de Seguridad y Enlace / Delegado de Seguridad 4 El operador debe aportar la información solicitada en este apartado y adicionalmente, también podría informar de los mecanismos de contingencia y continuidad adoptados para garantizar la comunicación con el Responsable de Seguridad y Enlace en caso de incidentes o que dicha persona se vea afectada por cualquier tipo de suceso adverso que no le permitan estar accesible Formación y Concienciación El plan de Formación y Concienciación aportado por el operador debería estar alineado con el objeto de la Política de Seguridad. Dicho plan, deberá recoger la información solicitada además de la información habitual de cualquier plan de este tipo: Duración. Normalmente los planes de formación y concienciación se realizan a lo largo de períodos plurianuales. Objetivos. Es decir, las mejoras en la capacitación y concienciación que se persigue obtener con la ejecución del plan. Público objetivo. Clasificación y segmentación de la audiencia a la que se dirige el plan. En este punto sería importante considerar los colectivos implicados 4 Ver Anexo 1, apartado11 en la protección de los servicios esenciales, tanto directa como indirectamente, y con independencia de que se trate de personal propio o subcontratado. Medios - Mensajes. Para cada uno de los públicos objetivos anteriormente identificados, se debería reflejar el mensaje que se le desea transmitir, así como el medio que se utilizará para hacérselo llegar (formaciones presenciales, vídeos, cursos online, boletines periódicos, sección específica en la Intranet, campañas de comunicación interna ). Seguimiento. Es decir, los mecanismos de evaluación que se utilizarían para comprobar que las acciones que se han emprendido contribuyen a la consecución de los objetivos marcados por el plan (como, por ejemplo, métricas de adecuación y aprovechamiento, política de firma de los asistentes, celebración de pruebas de aprovechamiento, etc.). Asimismo, se podría incluir quién se encarga de recoger la información, la metodología que utilizará, la periodicidad de las acciones, así como las acciones correctivas previstas. Actualización. Como todo plan, el Plan de Formación y Concienciación tiene una duración temporal, por lo que debería ser actualizado periódicamente para revisar sus objetivos, mensajes, etc. El Plan debería incluir el procedimiento de revisión utilizado: responsable, elementos a revisar y mecanismo de aprobación y publicación y difusión de los cambios al mismo. En relación a la concienciación de los usuarios no hay que olvidar que no sólo los cursos y los elementos de difusión tienen un efecto sobre el nivel de concienciación de las personas, los elementos punitivos también tienen efecto sobre nuestras pautas de comportamiento, por lo que, los planes de concienciación también pueden incluir elementos como: Procedimientos sancionadores en caso de incumplimiento de la Política de Seguridad. Difusión de sanciones, incidentes relacionados con la seguridad. Publicación de información relativa a controles de monitorización implantados. Por último, no se debería olvidar la necesidad de compromiso de la Dirección mediante la disposición de los medios y recursos necesarios, pero también con muestras de apoyo público y notorio que ayudarán a desarrollar y garantizar el éxito de los planes establecidos Modelo de gestión aplicado El modelo de gestión de la seguridad empleado por la organización para asegurar la aplicación y cumplimiento de la Política de Seguridad incluye todos los elementos 1112 típicos de estos esquemas normalmente asociados a un ciclo de mejora continua PDCA (Plan Do Check Act) o ciclo de Deming con la particularidad, de que deberían considerar de manera concreta la protección de las IICC: Establecer el Sistema de Gestión (Planificar) o Establecer los objetivos y la política del sistema. o Crear los procesos y procedimientos necesarios para una adecuada gestión del riesgo. o Crear los mecanismos para el alineamiento de los objetivos del sistema con los objetivos del negocio. Implantar y operar el Sistema de Gestión y sus distintos componentes (Hacer) o Políticas y procedimientos. o Controles. o Procesos. Monitorizar y revisar el Sistema de Gestión (Comprobar). o Evaluar y, cuando sea posible, medir el funcionamiento de los procesos respecto a lo definido en la política y los objetivos del sistema. o Notificar los resultados de la evaluación a la Dirección para su revisión. o Realizar acciones preventivas. o Abordar acciones correctivas a partir de los resultados de revisiones y auditorías internas. Por lo que respecta a las propias medidas de seguridad, además del sistema de gestión anterior, deben cubrir todos los momentos en que son necesarias. Por ejemplo, se podrían clasificar en las siguientes categorías: Prevención y Detección o Responsabilidad sobre la seguridad. o Análisis y gestión de riesgos. Protección y Defensa o Controles de la Dirección. o Adquisición / aprovisionamiento de sistemas e infraestructuras. Alertas y Auditorias: Evaluación y cumplimiento normativo. Medición y mejora continúa. Coordinación y Respuesta: Relación entre la gestión de la seguridad y el resto de la organización. En este contexto, es de especial importancia todo lo relacionado con los mecanismos de seguimiento de implantación de medidas de seguridad, así como, las 1213 métricas de eficacia y eficiencia que se utilicen, sin el menoscabo de otros mecanismos de control como los llevados a cabo por las áreas de auditoría interna y/o cumplimiento. Por este motivo, la función de auditoría debería incluir en su planificación de trabajos, revisiones relacionadas con la protección de las IICC en todas sus dimensiones y sin olvidar elementos, como el software de control industrial. En esta misma línea, la consideración de la seguridad desde el inicio en la adquisición y el aprovisionamiento de nuevos sistemas e infraestructuras sería esencial para evitar errores derivados del diseño de las mismas. De esta forma, antes de que cualquier sistema o infraestructura esté operativa se debería verificar que cumple los requisitos de seguridad necesarios en función del Plan de Seguridad adoptado por la organización. 3. RELACIÓN DE SERVICIOS ESENCIALES PRESTADOS POR EL OPERADOR CRÍTICO El principal objetivo es que el operador pueda realizar una presentación y breve descripción de la compañía o grupo al que pertenece dicho operador, pudiendo tenerse en cuenta aspectos como: Razón Social y matriz. Desglose de la estructura societaria. Desglose de la composición accionarial y grado de participación. Sedes principales y ubicación geográfica. Sector/es al que pertenece en función de la actividad desarrollada. Subsector/es para cada actividad desarrollada. Actividad desarrollada. Proveedores necesarios para la prestación de los servicios esenciales identificados (incluyendo información como, por ejemplo, nombre de los proveedores y tipo de suministros prestados). Clientes finales de los servicios prestados identificado/s como esencial/es (incluyendo información como, por ejemplo, países, administraciones, empresas, particulares, etc.). 3.1 IDENTIFICACIÓN DE LOS SERVICIOS ESENCIALES El OC debe realizar una breve descripción de los servicios esenciales prestados a la ciudadanía en relación al concepto de servicio esencial recogido en el Art. 2 a) de la Ley, dentro del sector o subsector estratégico en el que se encuentra incluido. Para ello, podría aportar información como la siguiente: 1314 Identificación de los servicios y áreas de actividad que son o pueden ser esenciales para los ciudadanos. Tipología de los activos o infraestructuras críticas sobre las que descansa dicho servicio o área de actividad. Medios materiales, personales y recursos de los que dispone para la prestación del servicio. Ubicación geográfica en la que se presta el servicio identificado como esencial, (por ejemplo: país, comunidad autónoma, ciudad, etc.), identificando localidades y estimación del volumen de población en su área de influencia. Empresas con las que comparte la ubicación geográfica. 3.2 MANTENIMIENTO DEL INVENTARIO DE SERVICIOS ESENCIALES Se debería realizar una descripción del procedimiento de mantenimiento del inventario de los servicios identificados como esenciales como consecuencia de la evolución normal que cualquier empresa experimenta respecto a los servicios que ofrece. Se deberían describir las formas y procedimientos de identificación, mantenimiento, revisión y actualización, así como el órgano responsable encargado de los mismos. En dicho mantenimiento se debería tener en cuenta al menos: El ajuste de cartera de servicios, fusiones, adquisiciones, ventas de activos... La internalización de procesos operativos. Los periodos establecidos en el Plan conforme al punto 1.4 incluido en la guía de contenidos mínimos del PSO (la legislación establece períodos de actualización bienales o cuando se produzcan cambios significativos). 3.3 ESTUDIO Y CONSECUENCIAS DE LA INTERRUPCIÓN DEL SERVICIO ESENCIAL El estudio de consecuencias que debe llevar a cabo el OC, debe realizarse conforme a lo que se entiende en la legislación por interrupción que excede a la simple indisponibilidad del servicio ya que considera la no disponibilidad del servicio esencial [ ] motivado por alguna alteración o interrupción en el tiempo o una destrucción parcial o total de las infraestructuras que gestionan dicho servicio. Se debería realizar un análisis de los resultados del estudio de las consecuencias que supondría la interrupción y no disponibilidad para cada uno de los servicios identificados como esenciales en caso de: Alteración de su función. Interrupción en el tiempo. Destrucción parcial o total de la infraestructura que gestiona el servicio. Etc. 1415 Adicionalmente, se debería identificar claramente, para cada uno de los casos, la siguiente información: Extensión geográfica y número de personas que pueden verse afectadas. Efectos en el tiempo. Impacto económico. Impacto medioambiental. Impacto en la vida y salud de las personas. Efecto sobre operadores y servicios esenciales dependientes. Existencia de alternativas de prestación del servicio esencial o mecanismos de contingencia proporcionados por el propio operador y nivel de degradación que conllevan. 3.4 INTERDEPENDENCIAS Se debería realizar una descripción de las posibles interdependencias entre servicios esenciales e infraestructuras críticas que los soportan, así como con las de otros operadores dentro del mismo sector o diferente, que deban ser consideradas en el análisis de riesgos. Algunos ejemplos de interdependencias a considerar serían los siguientes: Entre las propias instalaciones o servicios del operador. Con proveedores dentro de la cadena de suministros del propio operador. Con servicios esenciales prestados por otros operadores del mismo sector con una breve explicación del motivo que origina dichas interdependencias. Con servicios esenciales prestados a otros operadores de distinto sector. Con servicios esenciales prestados por operadores de otros países. Etc. 4. METODOLOGÍA DE ANÁLISIS DE RIESGOS El operador debe contar con una metodología de análisis de riesgos que permita identificar y gestionar los principales riesgos a los que se encuentran expuestos los servicios críticos derivados de cada operador. 4.1 DESCRIPCIÓN DE LA METODOLOGÍA DE ANÁLISIS Cualquiera de las metodologías internacionalmente reconocidas que los operadores quieran utilizar para la identificación y posterior gestión de sus riesgos debería tomar en consideración, al menos, las fases incluidas en los apartados siguientes. 1516 Un aspecto fundamental de las metodologías de análisis de riesgos es que los distintos valores que se utilizan y las estimaciones de los diferentes parámetros (vulnerabilidad, impacto ) sean repetibles y con un mismo criterio a lo largo del tiempo para poder obtener valores comparables. 4.2 IDENTIFICACIÓN Y VALORACIÓN DE LOS ACTIVOS QUE SOPORTAN LOS SERVICIOS ESENCIALES El nivel de detalle debería cubrir, al menos, lo siguiente: Servicios prestados; pudiéndose agrupar por clases uniformes a efectos de impacto en terceros. Dependencias de elementos que están redundados de forma que, en principio, no serían críticos para la prestación de los servicios, pero que se convertirían en críticos si fallara alguno de ellos. Dependencias de servicios de terceros, indicando la dependencia entre servicios y la posible complementariedad cuando un servicio puede reemplazar a otro (plan de contingencia). Instalaciones físicas, en particular edificios, recintos y canalizaciones susceptibles de ataques o incidentes. Equipos de personas con roles críticos. Sistemas de información de soporte, como sistema, sin entrar en componentes salvo que alguno sea singular. Sistemas de control industrial de instalaciones (Sistemas SCADA) La valoración de los activos estriba, principalmente, en la estimación de las consecuencias derivadas de la interrupción del servicio. Desde el punto de vista de los criterios para realizar esta valoración se deberá tener en consideración lo establecido por la ley 8/2011 en lo relativo a criterios horizontales de criticidad. Los OC y resto de agentes con un interés legítimo podrán dirigirse al CNPIC para obtener una modelización típica de activos que podrá ser utilizada a modo de guía para la realización de esta actividad. 4.3 IDENTIFICACIÓN Y EVALUACIÓN DE AMENAZAS A partir del listado de activos identificados, se debería realizar la identificación de amenazas que pudieran llegar a afectar a estos activos con el fin de tratar de cubrir el mayor número de potenciales situaciones de riesgo. 1617 Para realizar esta identificación se recomienda establecer una taxonomía con un código que identifique a cada tipo de amenaza y contar con una estructura jerárquica que pueda ser refinada según sea necesario. Ante cada posible amenaza que se considere, se debería establecer una escala de probabilidad de ocurrencia, a efectos de realizar el posterior análisis (ya sea este cualitativo o cuantitativo). Los OC y resto de agentes con un interés legítimo podrán dirigirse al CNPIC para obtener una modelización típica de amenazas que podrá ser utilizada a modo de guía para la realización de esta actividad. 4.4 VALORACIÓN Y GESTIÓN DE RIESGOS El objetivo de esta actividad es la identificación de las combinaciones de activos y amenazas que puedan afectar la prestación de los servicios críticos, precisándose dichas consecuencias, en general y especialmente sobre la disponibilidad de los servicios. Para cumplir con este objetivo, sería necesario estimar el impacto potencial que provocaría la materialización de cada amenaza sobre los activos identificados por el operador. El impacto potencial mide el posible daño, independientemente de que sea más o menos probable. Simplemente, se determina si es posible. Es posible que haya que definir niveles degradados de servicio que, sin prestar la calidad exigible en condiciones normales, faciliten un nivel de supervivencia. A partir de esta estimación se calculará el riesgo potencial como resultado de la combinación del impacto potencial con la probabilidad de que la amenaza se materialice en incidente o un ataque. De la totalidad de riesgos potenciales que se hayan identificado, será necesario proceder a la gestión de los mismos. Dicha gestión consiste en la identificación de las medidas de seguridad que reduzcan los riesgos potenciales. Serán de especial interés los controles en caso de incidentes. Los riesgos resultantes de la aplicación de estas medidas de control determinarán los riesgos residuales a los que está expuesto cada operador. En particular, dada la naturaleza de las amenazas de origen intencionado, el operador debe indicar el tratamiento que va a dar a las amenazas de baja probabilidad y alto impacto (en cualquiera de sus dimensiones de valoración). En este sentido, debería indicar la combinación de medidas de seguridad que va a aplicar para prevenir, detectar o actuar en caso de que se materialice alguna de dichas amenazas, como, por ejemplo: 1718 Sistema de detección de alerta temprana. Procedimientos de respuesta ante incidentes. Mecanismos de contingencia. Etc. Sería recomendable, como parte de la metodología de análisis de riesgos, indicar la forma en la que se plasmarán los resultados de dicho análisis y que recoja la información esencial para la evaluación posterior del mismo por el CNPIC. 5. CRITERIOS DE APLICACIÓN DE MEDIDAS INTEGRAL 5 Como buenas prácticas para la aplicación de medidas de seguridad integral, el Operador puede seleccionar las medidas de seguridad a implementar, por ejemplo, entre los estándares de seguridad reconocidos internacionalmente y en la legislación específica aplicable a su sector o con carácter general. En el ámbito de la seguridad lógica se establece como buena práctica, realizar la selección de los controles de seguridad a implementar y gestionar de la ISO 27002: Definir la Política de Seguridad Corporativa Organización de la seguridad de la información Gestión de Activos Seguridad de los RRHH Gestión de las comunicaciones y operaciones Control de Acceso Adquisición, desarrollo y mantenimiento de los sistemas de información Gestión de incidentes de seguridad Gestión de la continuidad del negocio Cumplimiento de la legislación aplicable Revisión y auditoría de sistema de gestión de la seguridad integral implantado. En el ámbito de la seguridad física no existe normativa referente al catálogo de medidas de seguridad previo, pero se deberá seguir lo especificado por la legislación de Seguridad Privada, especialmente lo recogido en la Orden Ministerial 316/2011 del Ministerio del Interior y su referencia a la normativa UNE/EN. 5 En el apartado 8. Anexo 2 Relación de Estándares y Mejores Prácticas se incluye una relación de documentación que puede ser utilizada como soporte para la identificación de medidas de seguridad integral. 1819 En este sentido, será especialmente útil seguir las recomendaciones de la norma UNE/CLC TS (Sistemas de alarma. Sistemas de alarma de intrusión. Parte 7. Guía de aplicación). Dado el enfoque integral que se pretende dar a las medidas de seguridad y conforme a la clasificación de medidas genérica establecida en el apartado 4.2 Medidas de Seguridad de la Guía de Contenidos Mínimos del PPE, sería recomendable reflejar los criterios de aplicación de las diferentes medidas recogidas en dicha clasificación y que reproducimos en la tabla siguiente con algunos detalles adicionales. Respecto a dichos criterios, resaltar una vez más que la prioridad debe ser aplicar dichas medidas en función del impacto que las amenazas puedan tener sobre los servicios esenciales (es decir, la probabilidad juega un papel secundario ya que el objetivo perseguido es la prevención y la protección de las infraestructuras críticas). Los OC y resto de agentes con un interés legítimo podrán dirigirse al CNPIC para obtener una modelización de árbol de salvaguardas que podrá ser utilizada a modo de guía para la realización de esta actividad. A continuación se muestra un registro de ejemplos de medidas de seguridad aplicadas a activos físicos y de seguridad de la información: 1920 Análisis de Riesgos Planificación ORGANIZATIVAS O DE GESTIÓN Definición de roles y responsabilidades Cuerpo normativo Cumplimiento normativo Certificación, acreditación y evaluación de seguridad OPERACIONALES O PROCEDIMENTALES Gestión de activos y de la configuración Formación y concienciación Planes de Contingencias Supervisión continua Seguridad del personal Gestión de acceso - Gestión de usuarios Gestión de acceso - Control de accesos temporales Gestión de acceso - Control de entradas y salidas 20 FÍSICOS ACTIVOS SISTEMAS DE INFORMACIÓN Evaluación y valoración de las amenazas, impactos y probabilidades para obtener un nivel de riesgo Identificación de objetivos y programación de las actividades para conseguirlos Asignación de responsabilidades en materia de seguridad Elaboración de políticas, estándares y procedimientos de seguridad Identificación de normativa aplicable y cumplimiento con las mismas Revisiones periódicas de los sistemas para evaluar su nivel de seguridad Identificación de activos, control de inventario Planes de formación y concienciación en seguridad Planes de Contingencias informáticas y físicas Evaluación / auditoría continua de los sistemas Procesos de selección, régimen interno, procedimientos de cese Altas, bajas y modificaciones Identificadores de usuario De personas, vehículos, temporales de los sistemas etc. (mantenimiento ) Paquetería, Soportes, equipos e correspondencia información (DLP, DRM ) Control de rondas de N/A seguridad Procedimientos operacionales del personal de seguridad Evacuación Plan de evacuación N/A DE PROTECCIÓN O TÉCNICAS Medidas de prevención y detección Anti-intrusión Control de accesos (incluye autenticación) Instalación y configuración segura Protección frente a malware Desarrollo seguro de aplicaciones Medidas de coordinación y monitorización Monitorización Coordinación (gestión de incidencias) Seguridad física y electrónica perimetral, sistemas de detección perimetral De personas, vehículos, paquetería y mercancías (medios humanos, tarjetas activas, lectores de tarjetas, lectores de matrículas, tornos, scanner, etc.) Firewalls, DMZs, IPSs, segmentación de redes, protección del puesto de trabajo, cifrado, VPNs Registro de usuarios, gestión de privilegios, gestión de claves secretas, revisión de derechos de acceso, identificadores de usuario acceso a SSII Configuración segura de los equipos y sistemas con carácter previo a su entrada en operación, mantenimiento de los equipos y control de los cambios. Aseguramiento de las condiciones ambientales para su operación (temperatura, humedad ) Instalación de sistemas antivirus, antispyware, etc. N/A* Desarrollo basado en N/A* mejores prácticas, auditorías preproducción Sistemas CCTV (cámaras, video vigilancia) Centro de Control, central de alarmas propia, sistemas de comunicación IDSs, sistemas de integridad de software y sistemas de monitorización y gestión de logs Creación de equipos de respuesta a incidentes (CSIRT), infraestructuras SOC Mostrar más
Política de Seguridad de la Información Índice 1 APROBACIÓN Y ENTRADA EN VIGOR... 3 2 OBJETIVOS Y MISIÓN DEL AYUNTAMIENTO... 3 3 OBJETIVOS Y MISIÓN DE LA POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN. 3 4 ALCANCE... Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN DE LA UAL
Ref. ENS/01. Política de Seguridad UPCT Revisión: 3 POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN 1. ENTRADA EN VIGOR Texto aprobado el día 13 de abril de 2011 por el Consejo de Gobierno de la Universidad Politécnica Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Y PLAN DE ADECUACIÓN AL ESQUEMA NACIONAL DE SEGURIDAD
POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN 1. ENTRADA EN VIGOR Esta Política de Seguridad de la Información entrará en vigor al día siguiente de su publicación en el BOUA, previa aprobación por el Consejo Más detalles SISTEMA DE GESTIÓN DEL SERVICIO (SGS) REQUISITOS GENERALES POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN
SISTEMA DE GESTIÓN DEL SERVICIO (SGS) REQUISITOS GENERALES POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Vicerrectorado de TIC, Calidad e Innovación Centro de Informática y Comunicaciones Título Entregable Nombre Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN DE LA UC
POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN DE LA UC Exposición de motivos La Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos establece el marco de relación entre Más detalles Sistema de Gestión de la Seguridad de la Información
Sistema de Gestión de la Seguridad de la Información 1 Contenidos 1. Qué es un SGSI? 2. Para qué sirve un SGSI? 3. Qué incluye un SGSI? 4. Cómo se implementa un SGSI? 5. Qué tareas tiene la Gerencia en Más detalles GUÍA DE IMPLANTACIÓN DE UN SISITEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN UNE ISO/IEC 27001:2007 CON LA HERRAMIENTA GLOBALSGSI
GUÍA DE IMPLANTACIÓN DE UN SISITEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN UNE ISO/IEC 27001:2007 CON LA HERRAMIENTA GLOBALSGSI POWERED BY AUDISEC www.audisec.es Febrero de 2010 ÍNDICE 1. PRESENTACIÓN... Más detalles DIA 21 Taller: Implantación ISO 27000 en el entorno empresarial PYME
DIA 21 Taller: Implantación ISO 27000 en el entorno empresarial PYME Ponencia: Gestión de incidentes de seguridad y planes de continuidad de negocio. Metodología y aspectos prácticos para implantación Más detalles SEGURIDAD INFORMATICA GENERALIDADES DE LA SEGURIDAD INFORMATICA
SEGURIDAD INFORMATICA GENERALIDADES DE LA SEGURIDAD INFORMATICA Seguridad de la información? Vs Seguridad? ISO/IEC 17799 ISO/IEC 2700 -> SGSI Organización de Estándares Internacionales/Comisión Electrotécnica Más detalles GUÍA TÉCNICA PARA LA ELABORACIÓN DEL PLAN DE PREVENCION Y PROCEDIMIENTOS DE GESTIÓN DE LA PREVENCIÓN DE RIESGOS LABORALES.
ADMINISTRACIÓN DE LA JUNTA DE ANDALUCÍA GUÍA TÉCNICA PARA LA ELABORACIÓN DEL PLAN DE PREVENCION Y PROCEDIMIENTOS DE GESTIÓN DE LA PREVENCIÓN. Edición: 1 Fecha: 13.11.2012 Página 1 de 37 GUÍA TÉCNICA PARA Más detalles SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN ÍNDICE. PreparaTIC 6 junio 09. Ponente: Leonardo Ramírez Peña. Versión B
SISTEMA DE GESTIÓN DE LA 1 SEGURIDAD DE LA INFORMACIÓN PreparaTIC 6 junio 09 Ponente: Leonardo Ramírez Peña Versión B ÍNDICE!! Fundamentos de la Gestión de la Seguridad de la Información!! Análisis y Gestión Más detalles HERRAMIENTA PILAR ESQUEMA NACIONAL DE SEGURIDAD
HERRAMIENTA PILAR ESQUEMA NACIONAL DE SEGURIDAD Madrid, Abril de 2010 Presentación FORO: VIII Foro de seguridad de Red IRIS SESIÓN: CCN MAGERIT- Herramienta PILAR. Ejemplo aplicación ENS OBJETIVO: Presentación Más detalles Elementos de Control Interno para la Autoevaluación del Sistema de Control Interno Institucional 2015
Elementos de Control Interno para la Autoevaluación del Sistema de Control Interno Institucional 2015 Índice Pág. Metodología para la Autoevaluación del Sistema de Control Interno Institucional. 2 Elementos Más detalles Implantación de un sistema de gestión de la seguridad de la información y certificación ISO 27001 en la Administración Pública
Implantación de un sistema de gestión de la seguridad de la información y certificación ISO 27001 en la Administración Pública TECNIMAP 2010 Manuel Cabrera Silva José María Vinagre Bachiller Paul Jabbour Más detalles MANUAL DE SEGURIDAD DE LA INFORMACIÓN
MANUAL DE SEGURIDAD DE LA INFORMACIÓN MINISTERIO DE AMBIENTE Y DESARROLLO SOSTENIBLE Bogotá D.C. Página 1 de 19 Contenido 1. INTRODUCCIÓN... 4 1. OBJETIVO... 4 2. ALCANCE DEL SISTEMA DE GESTIÓN DE SEGURIDAD Más detalles Gestión de Proyectos Software
Gestión de Proyectos Software Tema 5. Riesgos Riesgos de Seguridad - MAGERIT Carlos Blanco Universidad de Cantabria Objetivos Profundizar en la Ges0ón de Riesgos que afectan a la dimensión de Seguridad Más detalles MANUAL DE GESTIÓN DE LA CALIDAD, SEGURIDAD Y SALUD EN EL TRABAJO Y MEDIO AMBIENTE
REYSER AMARRE (Sede administrativa central) Muelle Evaristo Fernández, s/n. Planta 1ª Edificio Remolcadores 09039 BARCELONA Telf.: 93 223 58 38 Fax: 93 223 58 28 DE LA CALIDAD, SEGURIDAD Y SALUD EN EL Más detalles Implantación de un SGSI
Implantación de un SGSI con e-pulpo ÍNDICE 1 Introducción... 3 2 SGSI y normativas... 4 2.1 La serie 27000... 4 2.1 ISO/IEC 27001 (SGSI)... 5 2.2 ISO/IEC 27002... 6 2.3 Objetivos de control y controles... Más detalles PROYECTO METODOLOGIA PARA LA ELABORACION DEL PLAN DE SEGURIDAD INFORMATICA
PROYECTO METODOLOGIA PARA LA ELABORACION DEL PLAN DE SEGURIDAD INFORMATICA Propósitos de este documento El objetivo del presente documento es establecer una metodología para la elaboración del Plan de Más detalles BOLETÍN OFICIAL DEL ESTADO
PÁGINA Nº1 POLÍTICA DE DESARROLLO, MANTENCIÓN Y ADQUISICIÓN DE SISTEMAS DE INFORMACIÓN Versión 1.0 MINISTERIO DE OBRAS PÚBLICAS ELABORADO POR: Dirección General de Obras Públicas FECHA: 9/09/2012 REVISADO Más detalles MANUAL DE SEGURIDAD Y SALUD EN EL TRABAJO
EMPRESA DEL SECTOR DEL TRANPORTE MANUAL DE SEGURIDAD Y SALUD EN EL TRABAJO COPIA Nº ENTREGADO A: COPIA CONTROLADA COPIA NO CONTROLADA Revisión RR (MM-AA) 1 SECCIÓN 01. REQUISITOS GENERALES INDICE SEC. Más detalles MANUAL DE MEDIO AMBIENTE
Portada Revisión 01 Página 1 de 1 PORTADA MANUAL DE MEDIO AMBIENTE ELABORADO POR: REVISADO POR: APROBADO POR: Manel Sarquella Jefe de Calidad y Medio Ambiente Joan Vilella Director Técnico. Fernando Turró Más detalles Sistemas de Gestión Ambiental según la Norma UNE en ISO 14001 GUÍA DEL TALLER
Sistemas de Gestión Ambiental según la Norma UNE en ISO 14001 GUÍA DEL TALLER Ihobe, Noviembre 2008, Sociedad Pública del Departamento de Medio Ambiente y Ordenación del Território del Gobierno Vasco EDITA: Más detalles 12 JUNIO 2014. Rev.1: 07 Agosto 2014 Rev.2: 06 Octubre 2014 Rev.3: 05 Marzo 2015. 1 de 76. BN-MOF-2400-10-05 Rev.3 MOF DEPARTAMENTO DE INFORMÁTICA
Rev.1: 07 Agosto 2014 Rev.2: 06 Octubre 2014 : 05 Marzo 2015 MANUAL DE ORGANIZACIÓN Y FUNCIONES DEPARTAMENTO DE INFORMÁTICA Aprobado mediante Resolución de Gerencia General EF/92.2000 N 020-2014, de fecha Más detalles CONSEJERÍA DE EMPLEO. Secretaría General Técnica
PLIEGO DE PRESCRIPCIONES TÉCNICAS PARA EL APOYO A LA ADMINISTRACIÓN DE SERVIDORES DE BASE DE DATOS ORACLE Y MÁQUINAS SERVIDORAS CON SISTEMA OPERATIVO UNIX DE LA CONSEJERÍA DE EMPLEO DE LA JUNTA DE ANDALUCÍA Más detalles Sistema de Gestión de la Seguridad de la Información, UNE-ISO/IEC 27001
Sistema de Gestión de la Seguridad de la Información, UNE-ISO/IEC 27001 Aníbal Díaz Gines Auditor de SGSI Certificación de Sistemas Applus+ Sistema de Gestión de la Seguridad de la Información, UNE-ISO/IEC Más detalles 24 de junio de 2004. Madrid, junio de 2004 NIPO 326-04-044-9 Catálogo general de publicaciones oficiales http://publicaciones.administracion.
MINISTERIO DE ADMINISTRACIONES PÚBLICAS SECRETARÍA GENERAL PARA LA ADMINISTRACIÓN PÚBLICA CONSEJO SUPERIOR DE INFORMÁTICA Y PARA EL IMPULSO DE LA ADMINISTRACIÓN ELECTRÓNICA Aplicaciones utilizadas para Más detalles CUALIFICACIÓN OPERACIÓN DE REDES DEPARTAMENTALES PROFESIONAL. Nivel 2. Versión 5 Situación RD 1201/2007 Actualización
Página 1 de 16 CUALIFICACIÓN OPERACIÓN DE REDES DEPARTAMENTALES PROFESIONAL Familia Profesional Informática y Comunicaciones Nivel 2 Código IFC299_2 Versión 5 Situación RD 1201/2007 Actualización Competencia Más detalles MANUAL DE REFERENCIA
GOBIERNO DE CHILE MINISTERIO DE HACIENDA Dirección de Presupuestos MANUAL DE REFERENCIA GUÍA PARA IMPLEMENTACIÓN ISO 9001:2000 SISTEMA DE AUDITORÍA INTERNA Versión 05 Diciembre 2008 INDICE Introducción... Más detalles Implantación de un Sistema de Gestión de Seguridad de la Información según la
Implantación de un Sistema de Gestión de Seguridad de la Información según la norma UNE 71502 Asesor Técnico - Seguridad Consejería de Educación - Junta de Andalucía Jefe de Sistemas de Información - Secretaría Más detalles ESCUELA POLITECNICA NACIONAL
1 de 19 Tecnologías de la Información Técnicas de seguridad Sistemas de Gestión de la Seguridad de la Información Requisitos Objetivo Revisar los aspectos importantes sobre la norma ISO/EIC 27001 para Más detalles 1. Disposiciones generales
Sevilla, 30 de noviembre 2010 BOJA núm. 234 Página núm. 7 1. Disposiciones generales CONSEJERÍA DE ECONOMÍA, INNOVACIÓN Y CIENCIA ACUERDO de 16 de noviembre de 2010, del Consejo de Gobierno, por el que Más detalles Guía: Controles de Seguridad y Privacidad de la Información
Guía: Controles de Seguridad y Privacidad de la Información Guía Técnica HISTORIA VERSIÓN FECHA CAMBIOS INTRODUCIDOS 1.0.0 15/12/2010 Versión inicial del documento 2.0.0 30/09/2011 Restructuración de forma Más detalles Política de Seguridad y Salud Ocupacional. Recursos. Humanos. Abril 2006
Endesa Chile Políticas de Índice 1. PRINCIPIOS 2. LINEAMIENTOS GENERALES 2.1 Organización 2.2 Identificación de Peligros y Evaluación de Riesgos 2.3 Planificación Preventiva 2.4 Control de la acción preventiva Más detalles IMPLANTACIÓN N DE SISTEMAS DE GESTIÓN N DE PREVENCIÓN N DE RIESGOS LABORALES. Organiza: Co financiamento de:
IMPLANTACIÓN N DE SISTEMAS DE GESTIÓN N DE PREVENCIÓN N DE RIESGOS LABORALES Organiza: INDICE 1. Marco legal básico de la gestión preventiva y elementos de gestión requeridos 2. La Norma OHSAS 18001:2007 Más detalles Estado: Aprobación Versión: 2.0 Fecha: 04/11/2009 Página 1 de 9 Documento: A5_Politica_Seguridad_V2
Estado: Aprobación Versión: 2.0 Fecha: 04/11/2009 Página 1 de 9 INDICE 1. DECLARACIÓN DE LA POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN... 3 2. POLÍTICA DE SEGURIDAD... 4 2.1. OBJETIVOS... 4 2.2. ALCANCE... Más detalles Director General de Recursos D. ANTONIO GALLART. Registros de aprobación en el Navegador de Normativa
norma general Manual del sistema integrado de gestión de calidad, medio ambiente, Código: NG.00002.GN Edición: 2 Elaborado Revisado Aprobado Responsable Dirección de Prevención, Salud, Medio Ambiente y Más detalles ISO 27000. Acceda directamente a las secciones de su interés o descargue en pdf el documento completo.
ISO 27000 La información es un activo vital para la continuidad y desarrollo de cualquier organización pero la implantación de controles y procedimientos de seguridad se realiza frecuentemente sin un criterio Más detalles CONTENIDO 1 OBJETIVO... 2 2 GLOSARIO... 2 3 DESCRIPCIÓN DE ACTIVIDADES Y RESPONSABILIDADES... 3
DE RIESGOS Página 1 de 21 CONTENIDO 1 OBJETIVO... 2 2 GLOSARIO... 2 3 DESCRIPCIÓN DE ACTIVIDADES Y RESPONSABILIDADES... 3 3.1 Metodología de Análisis de Riesgos... 3 3.2 Valoración de Activos... 6 3.3 Más detalles Normativa de seguridad y uso de los recursos informáticos en la UPCT
Normativa de seguridad y uso de los recursos informáticos en la UPCT Aprobada por: Consejo de Gobierno de la UPCT. Fecha: 7 de Noviembre de 2011. Resumen: La Política de Seguridad de la UPCT se aprobó Más detalles AUTORIDAD DE SUPERVISIÓN DEL SISTEMA FINANCIERO DIRECCION DE SUPERVISION DE VALORES CUESTIONARIO ÁREA TECNOLÓGICA
AUTORIDAD DE SUPERVIÓN DEL STEMA FINANCIERO DIRECCION DE SUPERVION DE VALORES CUESTIONARIO ÁREA TECLÓGICA ENTIDAD: 1. La entidad cuenta con un Plan Estratégico de Tecnologías de la Información (TI)? 2. Más detalles ANEXO CRITERIOS DE IMPLANTACIÓN, ORGANIZACIÓN Y USO DE LA FIRMA ELECTRÓNICA EN EL AYUNTAMIENTO DE MADRID
ANEXO CRITERIOS DE IMPLANTACIÓN, ORGANIZACIÓN Y USO DE LA FIRMA ELECTRÓNICA EN EL AYUNTAMIENTO DE MADRID 1 - Cuestiones generales: la firma electrónica en el Ayuntamiento de Madrid. 1.1 - Certificados Más detalles POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN EN CORPAC S.A.
CORPORACIÓN PERUANA DE AEROPUERTOS Y AVIACIÓN COMERCIAL SA POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN EN Elaborado y Visado Comité de Gestión de Seguridad de la Información Revisado Gerencia de Tecnología Más detalles La Empresa. Manual del Sistema de Gestión de la Seguridad y Salud en el Trabajo Norma OHSAS 18001:2007
5.2 Modelo de Manual del Sistema de Gestión de la Seguridad y Salud en el Trabajo Manual de la Seguridad y Salud en el Trabajo Capítulo 0.1 Portada Manual Página X de Y La Empresa Manual del Sistema de Más detalles Módulo 9: Gestión y tratamiento de los riesgos. Selección de los controles
Módulo 9: Gestión y tratamiento de los riesgos. Selección de los controles Este apartado describirá en qué consiste la gestión de riesgos, cómo se deben escoger los controles, se darán recomendaciones Más detalles Políticas de Seguridad de la información
2014 Políticas de Seguridad de la información JAIRO BRAVO MENDOZA POSITIVA S.A. Página No 1 de 9 Introducción 2 Políticas de seguridad de la información 2 a. Política de Seguridad de la Información 2 b. Más detalles 171/2004, de 30 de enero, por el que se desarrolla el artículo 24 de la Ley
REAL DECRETO 171/2004, de 30 de enero, por el que se desarrolla el artículo 24 de la Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales, en materia de coordinación de actividades empresariales. Más detalles CUALIFICACIÓN PROGRAMACIÓN DE SISTEMAS INFORMÁTICOS PROFESIONAL. Nivel 3. Versión 6. Actualización
Página 1 de 19 CUALIFICACIÓN PROGRAMACIÓN DE SISTEMAS INFORMÁTICOS PROFESIONAL Familia Profesional Informática y Comunicaciones Nivel 3 Código IFC303_3 Versión 6 Situación Contraste externo Actualización Más detalles GUÍA DE EVIDENCIA DE LA UNIDAD DE COMPETENCIA
MINISTERIO DE EDUCACIÓN, CULTURA Y DEPORTE SECRETARÍA DE ESTADO DE EDUCACIÓN, FORMACIÓN PROFESIONAL Y UNIVERSIDADES DIRECCIÓN GENERAL DE FORMACIÓN PROFESIONAL INSTITUTO NACIONAL DE LAS CUALIFICACIONES Más detalles Publicación bajo condiciones Creative Commons
Publicación bajo condiciones Creative Commons Diseño y maquetación: Departamento de Formación Diputación de Alicante Reproducción / Impresión: Imprenta Provincial Servicio de Reproducciones de la Diputación Más detalles Madrid, 26 de julio de 2001 NORMA TÉCNICA DE AUDITORÍA SOBRE CUMPLIMIENTO DE LA NORMATIVA APLICABLE A LA ENTIDAD AUDITADA.
Resolución de 26 de julio de 2001, del Instituto de Contabilidad y Auditoría de Cuentas, por la que se publica la Norma Técnica de Auditoría sobre "Cumplimiento de la normativa aplicable a la entidad auditada". Más detalles Figura 1: Monitor de Gestión (Entorno principal del Sistema)
4. GESTIÓN LABORAL Es una gestión por proceso como conjunto de actividades de planificación, organización y control para lograr una finalidad: materializar la gestión laboral de empresas y trabajadores. Más detalles ANEXO I ESTABLECIMIENTO DE DIRECTRICES PARA LA EFICAZ INTEGRACIÓN DE LA PREVENCIÓN DE RIESGOS LABORALES EN LA UNIVERSIDAD.
ACUERDO DEL PLENO DEL CONSEJO DE UNIVERSIDADES, EN LA SESIÓN CELEBRADA EL 22 DE SEPTIEMBRE DE 2011, POR EL QUE ESTABLECEN DIRECTRICES PARA LA ADAPTACIÓN DE LA LEGISLACIÓN DE PREVENCIÓN DE RIESGOS LABORALES Más detalles PROCEDIMIENTO DE GESTIÓN DE INCIDENCIAS DE SEGURIDAD ELABORADO POR: REVISADO POR: APROBADO POR:
DE GESTIÓN DE INCIDENCIAS DE SEGURIDAD ELABORADO POR: REVISADO POR: APROBADO POR: 19/10/2015 Audedatos Josema Gil Nº edición: 01 Nº revisión: 01 Página 2 de 14 Fecha Edición Revisión Cambios Realizados Más detalles PLIEGO DE PRESCRIPCIONES TÉCNICAS PARTICULARES PARA LA CONTRATACIÓN DE
VICECONSEJERÍA DE PRESUPUESTOS Y ADMINISTRACIÓN PÚBLICA PLIEGO DE PRESCRIPCIONES TÉCNICAS PARTICULARES PARA LA CONTRATACIÓN DE LA ADECUACIÓN A LA LEY ORGÁNICA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL Más detalles Protección de Datos Personales y. Seguridad de la Información. Certificado ISO 27001. Seguridad de la Información
Certificado ISO 27001 Seguridad de la Información Protección de Datos Personales y Seguridad de la Información 1 sumario 1. ALARO AVANT 1.1. Estructura 1.2. Servicios 1.3. Equipo 1.4. Credenciales 1.5. Más detalles INTEGRACIÓN EFECTIVA DE LA PREVENCIÓN DE RIESGOS LABORALES EN LAS ENTIDADES LOCALES
. INTEGRACIÓN EFECTIVA DE LA PREVENCIÓN DE RIESGOS LABORALES EN LAS ENTIDADES LOCALES Campaña de promoción de la PRL por parte de la ITSS Contenidos del Sistema de Gestión de Prevención de Riesgos Laborales Más detalles Borrador nº 1 (08/05/2015) CONSEJERÍA DE AGRICULTURA, PESCA Y DESARROLLO RURAL PREÁMBULO
Borrador nº 1 (08/05/2015) CONSEJERÍA DE AGRICULTURA, PESCA Orden por la que se crea el Comité de Seguridad de las Tecnologías de la Información y las Comunicaciones (TIC) de la Consejería de Agricultura, Más detalles GUÍA de Seguridad de Datos 1
GUÍA de Seguridad de Datos 1 Indice GUÍA MODELO DEL DOCUMENTO DE SEGURIDAD INTRODUCCIÓN MODELO DE DOCUMENTO DE SEGURIDAD 1. ÁMBITO DE APLICACIÓN DEL DOCUMENTO 2. MEDIDAS, NORMAS, PROCEDIMIENTOS, REGLAS Más detalles Norma de seguridad de datos de la Industria de tarjetas de pago (PCI)
Norma de seguridad de datos de la Industria de tarjetas de pago (PCI) Resumen de los cambios de la a la 3.0 de las PCI DSS (Normas de seguridad de datos de la Industria de tarjetas de pago) Noviembre de Más detalles ANEXO A. (Normativo) OBJETIVOS DE CONTROL Y CONTROLES DE REFERENCIA. Tabla A.1. Objetivos de control y controles. Aplica. aplica
ANEO A (rmativo) OBJETIVOS DE CONTROL Y CONTROLES DE REFERENCIA Tabla A.1. Objetivos de control y controles A.5 POLÍTICAS DE LA SEGURIDAD DE LA INFORMACIÓN A.5.1 Orientación de la dirección para la gestión Más detalles Introducción. ISO /IEC 27001: Gestión de la seguridad. Actualización ISO/IEC27001 2005 -> 2013
Introducción ISO /IEC 27001: Gestión de la seguridad Desde la publicación inicial de norma internacional ISO/IEC 27001 en el año 2005 el número de implantaciones de los Sistemas para la Gestión de la Seguridad Más detalles RECOMENDACIONES PARA SOFTWARE E INFRAESTRUCTURA SEGURA
RECOMENDACIONES PARA SOFTWARE E INFRAESTRUCTURA SEGURA Rodrigo Ferrer CISSP rodrigo.ferrer@sisteseg.com Bogotá Colombia www.sisteseg.com El objetivo primordial de la elaboración de este documento, se relaciona Más detalles NORMA BÁSICA DE AUDITORÍA INTERNA
NORMA BÁSICA DE AUDITORÍA INTERNA IBERDROLA, S.A. Y SOCIEDADES DE SU GRUPO Aprobada por el Presidente del Consejo de Administración de Iberdrola, de acuerdo con el Presidente de la Comisión de Auditoría Más detalles Análisis de la Norma BCRA A 4609
Análisis de la Norma BCRA A 4609 Seguridad Informática y Continuidad de Procesamiento Módulo I: Fase Teórica Lic. Raúl Castellanos rcastellanos@cybsec.com 5 de Junio de 2007 Buenos Aires - ARGENTINA Agenda Más detalles POLÍTICA DE SEGURIDAD DE INFORMACIÓN EN EL IIAP
Biodiversidad Amazónica - BIOINFO 2013 POLÍTICA DE SEGURIDAD DE INFORMACIÓN EN EL IIAP (Aprobada en sesión Ordinaria de Directorio N 584 del 26 de Noviembre del 2013) Iquitos, Noviembre 2013 Programa de Más detalles SEGURIDAD INFORMÁTICA: CONCEPTOS ESENCIALES PARA DIRECTIVOS. Índice 1. EXPECTATIVAS Y CONTEXTOS DE SEGURIDAD... 2 2. GESTIÓN DEL RIESGO...
Índice 1. EXPECTATIVAS Y CONTEXTOS DE SEGURIDAD... 2 2. GESTIÓN DEL RIESGO... 3 3. AMENAZAS A LA INFORMACIÓN... 5 4. GESTIÓN DE LA SEGURIDAD... 5 5. PLANIFICACIÓN DE LA SEGURIDAD... 6 6. POLÍTICAS DE SEGURIDAD Más detalles PLAN DE PREVENCIÓN DE RIESGOS LABORALES
PLAN DE PREVENCIÓN DE RIESGOS LABORALES Departamento de Prevención de Riesgos Laborales AYUNTAMIENTO DE SEVILLA. Presentación del plan de prevención de riesgos laborales del Ayuntamiento de Sevilla. Presentación Más detalles INICIO PLANIFICACIÓN EJECUCIÓN SEGUIMIENTO Y CONTROL CIERRE. Etapas de un proyecto. Conoce las 5 etapas por las que todo proyecto debe pasar.
1 2 Etapas de un proyecto Conoce las 5 etapas por las que todo proyecto debe pasar. Etapas de un proyecto Todo lo que debes saber INICIO para gestionarlas de manera eficiente PLANIFICACIÓN 3 4 5 EJECUCIÓN Más detalles PLIEGO DE CARACTERÍSTICAS TÉCNICAS CONTRATACIÓN DEL SERVICIO DE SOPORTE TÉCNICO Y WEBMASTER PARA LA FUNDACIÓN EOI
PLIEGO DE CARACTERÍSTICAS TÉCNICAS CONTRATACIÓN DEL SERVICIO DE SOPORTE TÉCNICO Y WEBMASTER PARA LA FUNDACIÓN EOI Número de Expediente: PS20150611_WEBMASTER. 1. INTRODUCCIÓN La Fundación EOI desea contratar Más detalles 1. Seguridad, Respaldo, Continuidad Informática y Alta Disponibilidad ante Desastres
Seguridad, Respaldo, Continuidad y Alta Disponibilidad en el ámbito de la Administración Electrónica: Diseño del Centro de Respaldo y Hospedaje de la Junta de Andalucía José F. Quesada Gabinete de Sistemas Más detalles MODELO DOCUMENTO DE SEGURIDAD
MODELO DOCUMENTO DE SEGURIDAD Responsable del Fichero...... Nombre del Fichero...... Nº de Inscripción... Nº de la Versión... Fecha... ÍNDICE 1. Objeto del documento 2. Ámbito de aplicación 3. Recursos Más detalles NOMBRE DE LA EMPRESA MANUAL DE CALIDAD. Código: MC Nº de rev: XX Fecha: XX-XX-XX Página 1 de 47 MANUAL DE CALIDAD (EMPRESA)
Código: MC Nº de rev: XX Fecha: XX-XX-XX Página 1 de 47 DE (EMPRESA) DE CONFORMIDAD CON LA NORMA ISO 9001:2008 Elaborado / revisado por: XXXXXXXXXXXXXXXX Responsable de calidad Fecha Aprobado por: XXXXXXXXXXXXXXXX Más detalles MODELOS DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN MADRID, 27 DE MAYO DE 2013
1 MODELOS DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN MADRID, 27 DE MAYO DE 2013 Qué es la Seguridad de la 2 Información? La información es un activo que, como otros activos importantes del negocio, tiene Más detalles Implantación de un Sistema de Gestión en Prevención de Riesgos Laborales (SGPRL).
PROCEDIMIENTOS BASADOS EN LAS NORMAS OSHAS 18000 PARA SU IMPLANTACION EN PYMES DEL SUBSECTOR FABRICACIÓN DE PRODUCTOS METÁLICOS. Implantación de un Sistema de Gestión en Prevención de Riesgos Laborales Más detalles MANUAL DE REFERENCIA
GOBIERNO DE CHILE MINISTERIO DE HACIENDA Dirección de Presupuestos MANUAL DE REFERENCIA GUÍA PARA IMPLEMENTACIÓN ISO 9001:2000 SISTEMA DE EVALUACIÓN DE DESEMPEÑO Versión 05 Diciembre 2008 INDICE 1 Definición Más detalles Información. Ing. Max Lazaro. Electrónico e Informática
Seguridad De la Información Ing. Max Lazaro Oficina Nacional de Gobierno Electrónico e Informática Nuevos Escenarios: Seguridad de la Información Qué se debe asegurar? La información debe considerarse Más detalles Encuestas para la autoevaluación del Sistema de Control Interno Institucional
Encuestas para la autoevaluación del Sistema de Control Interno Institucional 2014 Tabla de contenido Metodología para la Autoevaluación del Sistema de Control Interno Institucional 2 Encuesta para la Más detalles En el artículo del mes pasado,
144 UNE ISO/IEC 27001: 2005 & LOPD (II) EN ESTE NÚMERO PRESENTAMOS LA TABLA COMPLETA, EN LA CUAL SE RELACIONAN TODOS LOS S DE ESTE NUEVO REGLAMENTO Alejandro Corletti DIRECTOR DIVISIÓN SEGURIDAD INFORMÁTICA Más detalles REGLAMENTO SOBRE SEGURIDAD INFORMATICA
Códigos de buenas prácticas de seguridad. UNE-ISO/IEC 17799 Antonio Villalón Huerta Grupo S2 Contenidos Introducción. Problemática de seguridad. Qué es ISO 17799? Historia Estructura de la norma. Dominios Más detalles FUNCIONES DE LOS PUESTOS DE TRABAJO
FUNCIONES DE LOS PUESTOS DE TRABAJO GERENTE. - Ejercer la dirección del personal de administración y servicios por delegación del Rector. - Dirigir la elaboración de los Planes Estratégicos Sectoriales Más detalles MANUAL DE REFERENCIA
GOBIERNO DE CHILE MINISTERIO DE HACIENDA Dirección de Presupuestos MANUAL DE REFERENCIA GUÍA PARA IMPLEMENTACIÓN ISO 9001:2000 SISTEMA INTEGRAL DE ATENCIÓN A CLIENTE(A)S, USUARIO(A)S Y BENEFICIARIO(A)S Más detalles GUÍA ORIENTATIVA PARA LA IMPLANTACIÓN DE COORDINACIÓN EMPRESARIAL EN MATERIA DE SEGURIDAD Y SALUD LABORAL EN LAS UNIVERSIDADES
GUÍA ORIENTATIVA PARA LA IMPLANTACIÓN DE COORDINACIÓN EMPRESARIAL EN MATERIA DE SEGURIDAD Y SALUD LABORAL EN LAS UNIVERSIDADES Índice 1.- Estructura de coordinación 3 2.- Estudio de la tipología de empresas Más detalles UNIVERSIDAD NACIONAL DE ASUNCIÓN FACULTAD DE CIENCIAS ECONOMICAS ESCUELA DE CONTABILIDAD AUDITORIA INFORMATICA
UNIVERSIDAD NACIONAL DE ASUNCIÓN FACULTAD DE CIENCIAS ECONOMICAS ESCUELA DE CONTABILIDAD AUDITORIA INFORMATICA TRABAJO PRÁCTICO DE AUDITORIA INFORMATICA Profesor: Lic. Marco Antonio Leiva Fernández 5to Más detalles La ventaja competitiva de certificarse en seguridad
especial informática La ventaja competitiva de certificarse en seguridad Certificarse en una norma ISO supone para las empresas una apuesta de futuro que, además de una garantía de calidad en la gestión Más detalles 7th CANSO Latin America & Caribbean Conference
7th CANSO Latin America & Caribbean Conference Ing. José Manuel Peña Alcázar. Director Servicios Aeronáuticos. ECASA S.A 18-20 de Octubre 2015. Punta Cana. República Dominicana (AIDC) a la República Situación Más detalles MANUAL DE REFERENCIA
GOBIERNO DE CHILE MINISTERIO DE HACIENDA Dirección de Presupuestos MANUAL DE REFERENCIA GUÍA PARA IMPLEMENTACIÓN ISO 9001:2000 SISTEMA DE CAPACITACIÓN Versión 05 Diciembre 2008 INDICE Introducción... 3 Más detalles Módulo 7: Los activos de Seguridad de la Información
Módulo 7: Los activos de Seguridad de la Información Se explica en este tema cómo deben abordarse la elaboración de un inventario de activos que recoja los principales activos de información de la organización, Más detalles MANUAL DE ORGANIZACIÓN Y FUNCIONES GERENCIA DE INFORMÁTICA
MANUAL DE ORGANIZACIÓN Y FUNCIONES GERENCIA DE INFORMÁTICA Aprobando mediante Resolución de Gerencia General N 052-2015 de fecha 26 Junio 2015 ELABORADO POR: APROBADO POR: 1 de 82 ÍNDICE 1 INTRODUCCIÓN... Más detalles *[ Adecuación al Esquema Nacional de Seguridad: Un Enfoque Integral ]
*[ Adecuación al Esquema Nacional de Seguridad: Un Enfoque Integral ] Autor: Vanesa Gil Laredo Responsable Consultoría S21Sec CISA, CISM, CGEIT, Lead Auditor, QSA Fecha: 2 Junio 2011 Índice Servicio Integral Más detalles PROCEDIMIENTO DE EVALUACIÓN Y ACREDITACIÓN DE LAS COMPETENCIAS PROFESIONALES CUESTIONARIO DE AUTOEVALUACIÓN PARA LAS TRABAJADORAS Y TRABAJADORES
MINISTERIO DE EDUCACIÓN, CULTURA Y DEPORTE SECRETARÍA DE ESTADO DE EDUCACIÓN, FORMACIÓN PROFESIONAL Y UNIVERSIDADES DIRECCIÓN GENERAL DE FORMACIÓN PROFESIONAL INSTITUTO NACIONAL DE LAS CUALIFICACIONES Más detalles Norma Técnica Peruana:
DECLARACIÓN DE APLICABILIDAD SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACION RESPONSABILIDAD Y AUTORIDAD REVISADO POR: LEIDA MARIA RAMIREZ GIL SUBGERENTE GENERAL FECHA 30/10/2014 APROBADO POR: GERARDO Más detalles RD 1488-1998 de 10 de julio, (adapt de la legislación de prevención de riesgos laborales a la Admón Gral del Estado)
1 RD 1488-1998 de 10 de julio, (adapt de la legislación de prevención de riesgos laborales a la Admón Gral del Estado) Sumario: Artículo 1. Objeto. Artículo 2. Ámbito de aplicación. Artículo 3. Participación Más detalles Política General de Seguridad de la Información
COMISIÓN NACIONAL DE INVESTIGACIÓN CIENTÍFICA Y TECNOLÓGICA Documento Información del Documento HISTORIA DEL DOCUMENTO Nombre del Documento Preparado por Marcelo Iribarren Carmen Gorroño Elena Hernández Más detalles 2017 © DocPlayer.es Política de privacidad | Condiciones del servicio | Feedback

References: Real Decreto 
 artículo 22
 Real Decreto 
 Resolución 
 Resolución 
 Resolución 
 artículo 24

REAL DECRETO 
 artículo 24

Resolución 
 Resolución 
 Artículo 1
 Artículo 2
 Artículo 3