Source: http://docplayer.es/1624683-Lineamientos-para-la-implementacion-del-modelo-de-seguridad-de-la-informacion-2-0.html
Timestamp: 2017-07-21 07:26:22+00:00

Document:
LINEAMIENTOS PARA LA IMPLEMENTACIÓN DEL MODELO DE SEGURIDAD DE LA INFORMACIÓN PDF
LINEAMIENTOS PARA LA IMPLEMENTACIÓN DEL MODELO DE SEGURIDAD DE LA INFORMACIÓN 2.0
Download "LINEAMIENTOS PARA LA IMPLEMENTACIÓN DEL MODELO DE SEGURIDAD DE LA INFORMACIÓN 2.0"
Elena Ortiz Morales
1 LINEAMIENTOS PARA LA IMPLEMENTACIÓN DEL MODELO DE SEGURIDAD DE LA INFORMACIÓN 2.02 LINEAMIENTOS PARA LA IMPLEMENTACIÓN DEL MODELO DE SEGURIDAD DE LA INFORMACIÓN 2.0. Ministerio de Tecnologías de la Información y las Comunicaciones Programa de Gobierno en línea Francisco Camargo Salas Gerente de Programa Ana Carolina Rodríguez Rivero Coordinadora Políticas y Evaluación Julio Cesar Mancipe Caicedo Líder de Seguridad Investigación, Derechos de Autor Ministerio de Tecnologías de la Información y las Comunicaciones Programa de Gobierno en línea Bogotá, D.C., Diciembre de 2011 Página 2 de 343 TABLA DE CONTENIDO 1. INTRODUCCIÓN Definiciones básicas NOTA IMPORTANTE PARA LA DIRECCIÓN Pre-requisitos Factores críticos de éxito Requisitos LINEAMIENTOS DE IMPLEMENTACIÓN Lineamiento: Identificar el Nivel de Madurez en Seguridad de la Entidad Objetivos lineamiento para identificar nivel de madurez en las entidades Actividades lineamiento para identificar nivel de madurez en las entidades Duración para la implementación del Lineamientos identificar nivel de madurez en las entidades Lineamiento: Llevar a la Entidad a un Nivel de Madurez Inicial en Seguridad Objetivos Lineamiento Nivel Inicial Actividades Lineamientos Nivel Inicial Duración para la implementación del Lineamientos Nivel Inicial Lineamiento: Llevar a la Entidad a un Nivel de Madurez Básico en Seguridad Objetivos Lineamiento Nivel Básico Actividades Lineamientos Nivel Básico Duración para la implementación del Lineamientos Nivel Básico Lineamiento: Llevar a la Entidad a un Nivel de Madurez Avanzado en Seguridad Objetivos Lineamiento Nivel Avanzado Actividades Lineamientos Nivel Avanzado Duración para la implementación del Lineamientos Nivel Avanzado Página 3 de 344 3.5 Lineamiento: Llevar a la Entidad a un Nivel de Madurez de Mejoramiento Permanente en Seguridad Objetivos Lineamiento Nivel Mejoramiento Permanente Actividades Lineamientos Nivel Mejoramiento Permanente Duración para la implementación del Lineamientos Mejoramiento Permanente DOCUMENTOS DE CONSULTA Página 4 de 345 1. INTRODUCCIÓN Este documento busca proveer a las Entidades del Estado un conjunto de lineamientos de seguridad de la información para que la alta dirección de las entidades conozca los requisitos y etapas para la implementación del Modelo de Seguridad para la Estrategia de Gobierno en línea 2.0, abordando aspectos que cubren la preparación de la entidad, la definición de las brechas, la alineación y la implementación del SGSI como modelo sostenible. 1.1 Definiciones básicas Para establecer un lenguaje común cuando se habla de seguridad de la información se recomienda adoptar los siguientes conceptos a los que hace referencia el presente documento. Información: se refiere a toda comunicación o representación de conocimiento, como datos, en cualquier forma, con inclusión de formas textuales, numéricas, gráficas, cartográficas, narrativas o audiovisuales, y en cualquier medio, ya sea digital, en papel, en pantallas de computadoras, audiovisual u otro. Sistema de información: se refiere a un conjunto independiente de recursos de información organizados para la recopilación, procesamiento, mantenimiento, transmisión y difusión de información según determinados procedimientos, tanto automatizados como manuales. Tecnología de la información: se refiere al hardware y software operado por la entidad o por un tercero que procese información en su nombre, para llevar a cabo una función propia de la entidad, sin tener en cuenta la tecnología utilizada, ya se trate de computación de datos, telecomunicaciones u otro tipo. Seguridad de la información: se entiende como la preservación de las siguientes características: Confidencialidad: garantiza que la información sea accesible sólo a aquellas personas autorizadas a tener acceso a la misma. Integridad: salvaguarda la exactitud y totalidad de la información y los métodos de procesamiento. Disponibilidad: garantiza que los usuarios autorizados tengan acceso a la información y a los recursos relacionados con la misma, toda vez que lo requieran. Autenticidad: busca asegurar la validez de la información en tiempo, forma y distribución. Asimismo, se garantiza el origen de la información, validando el emisor para evitar suplantación de identidades. Auditabilidad: define que todos los eventos de un sistema deben poder ser registrados para su control posterior. Protección a la duplicación: consiste en asegurar que una transacción sólo se realiza una vez, a menos que se especifique lo contrario. Impedir que se grabe una Página 5 de 346 transacción para luego reproducirla, con el objeto de simular múltiples peticiones del mismo remitente original. No repudio: se refiere a evitar que una entidad que haya enviado o recibido información alegue ante terceros que no la envió o recibió. Legalidad: referido al cumplimiento de las leyes, normas, reglamentaciones. disposiciones a las que está sujeto la entidad. SGSI: Sistema de gestión de Seguridad de la Información. SASIGEL: Sistema de Administración de Seguridad de la Información de Gobierno en Línea. Página 6 de 347 2. NOTA IMPORTANTE PARA LA DIRECCIÓN Es importante tener en cuenta que para la implementación exitosa del Modelo de Seguridad de la Información es necesario contar con algunos pre-requisitos y requisitos que van a garantizar la permanencia y sostenibilidad del mismo. 2.1 Pre-requisitos Antes de iniciar el proceso de implementación y adopción del modelo se hace necesario que la Entidad cuente con los siguientes requisitos: Contar con la estructura organizacional de Gobierno en línea. Para más detalle consultar el Anexo 1 del Modelo de Seguridad de la Información. Solicitar y recibir la capacitación para la implementación y reporte a SASIGEL descrita en el modelo en los numerales 4.5.1, 4.5.2, Realizar una aproximación de arriba-aabajo, es decir, contar con el compromiso por parte de directores y alta gerencia de la entidad para promover y soportar la implementación, la operación y los recursos del SGSI (la motivación, energía, apoyo y liderazgo debe partir de la dirección y luego extenderse hacia toda la entidad a todos sus niveles hasta convertirse en operaciones). Para que la Dirección tenga una alta participación se debe garantizar que los controles relacionados a los compromisos y responsabilidades de ella queden como obligatorios en la declaración de aplicabilidad de la entidad. Ver anexo 8. Cuando haya cambios en la dirección, comunicar la importancia de dar continuidad al SGSI y la aproximación de arriba-aabajo. Para las entidades que cuentan con otros sistemas de gestión implementados, reforzar sobre los elementos que son comunes a otros sistemas de gestión y su posibilidad de integración y apalancamiento. No se debe asignar la responsabilidad de manera exclusiva al equipo de tecnologías de información y comunicación. En el numeral del modelo se identifican los responsables que la entidad debe tener en el tema de seguridad de la información. 2.2 Factores críticos de éxito Los siguientes factores son fundamentales para que la entidad cuente con un sistema de gestión de seguridad de la información sostenible. Estos factores son componentes incluidos en el SGSI, que requieren ser considerados y abarcados para reflejar su impacto en la entidad: Soporte visible por parte de gerentes y coordinadores (amplia comunicación sobre su apoyo activo al SGSI dirigido a todos los Página 7 de 348 miembros mostrando su importancia para la entidad). La entidad debe contar con la política de seguridad, la cual debe estar alineadas con su misión y sus objetivos, se debe ajustar a la cultura corporativa, se debe articular con todas las áreas de la entidad para concertar sobre la definición del alcance, la creación y aplicación de políticas, procedimientos y aseguramiento de los procesos y servicios ofrecidos. Ver anexo 5 Formato Política SGSI. Requerimientos de seguridad claramente articulados con las necesidades de la entidad. Los cuales deben surgir después de la identificación y clasificación de sus activos de información. Ver anexo 7 Metodología de clasificación de activos. Realizar un análisis de riesgo que enlace los activos, su criticidad en términos de confidencialidad, integridad y disponibilidad, las amenazas, los riesgos, los requisitos normativos, legislativos y regulatorios, los controles implementados, los controles propuestos y el riesgo residual. Ver anexo 6 Metodología de gestión de riesgo. Aprobación de la alta gerencia del proceso de implementación. Definición de responsabilidades para cada rol del SGSI. Definición del grupo de trabajo transversal para la seguridad (Comité de seguridad). En el numeral del modelo se definen los perfiles de los responsables de la entidad para este comité. Realizar concientización, entrenamiento y educación. Establecimiento de métricas para la evaluación del desempeño del SGSI que además sirvan para reportar a SASIGEL. 2.3 Requisitos Los requisitos de seguridad con los cuales la entidad debe cumplir de acuerdo con el Manual de Gobierno en línea 3.0 y dónde puede consultar la implementación de dichos requisitos, se encuentran a continuación: Tabla 1- Requisitos de Seguridad según el Manual de Gobierno en línea 3.0. Nivel Requisito Consultar Plan de Seguridad Nivel Inicial La entidad debe definir una política de seguridad que garantice la protección de la información, los datos personales y los activos de información con que cuenta. Para ello, deberá implementar las siguientes acciones: Identificar el nivel de conocimiento al interior, en temas de seguridad de la información y seguridad informática Definir la política de seguridad a ser implementada. Anexo 5 del modelo. "Formato de política de seguridad" Numeral del modelo Anexo 5 del modelo. "Formato de política de seguridad" Página 8 de 349 Nivel Requisito Consultar Plan de Seguridad Nivel Inicial Plan de Seguridad Nivel básico Divulgar la política de seguridad al interior de la misma Conformar un comité de seguridad o asignar las funciones de seguridad al comité GEL. Identificar los activos de información en los procesos, incluyendo los activos documentales (records), de acuerdo con el análisis de procesos realizado. Identificar los riesgos y su evaluación, en dichos procesos Definir el plan de acción con los controles y políticas que se implementarán para mitigar los riesgos identificados. Con base en el análisis de procesos realizados en el nivel inicial y la política o plan de seguridad definido, la entidad inicia la ejecución de dicho plan de seguridad para implementar los controles que mitigarán los riesgos identificados, lo cual implica que la entidad presenta avances en la implementación de tales controles. De acuerdo con el plan de capacitación definido por la entidad en el nivel inicial, esta ejecuta las acciones de capacitación en seguridad, con los responsables de los controles y procesos con los cuales se inicia la ejecución del plan. Numerales 4.5.1, y del modelo Numeral del modelo Anexo 7 del modelo. "Metodología de clasificación de activos" Anexo 6 del modelo. "Metodología de gestión de riesgos" Numerales y del modelo Numeral del modelo Numeral del modelo Plan de Seguridad Nivel avanzado La entidad inicia la documentación de políticas y procedimientos de seguridad, de acuerdo con el plan definido. La entidad culmina la implementación de controles definidos en el nivel inicial La entidad documenta la totalidad de políticas y procedimientos de seguridad La entidad ejecuta las actividades de capacitación en temas de seguridad, con todos los servidores públicos La entidad define el plan de verificación periódica de los controles, procedimientos y políticas de seguridad La entidad reporta los avances del cumplimiento del plan Revisar el modelo de seguridad donde indica que actividades la entidad debe documentar. Numeral del modelo Revisar el modelo de seguridad donde indica que actividades la entidad debe documentar. Numerales 4.5.1, y del modelo Numeral del modelo Numeral y del modelo Página 9 de 3410 Nivel Requisito Consultar Plan de Seguridad Nivel de mejoramiento permanente La entidad refuerza la divulgación de las políticas de seguridad La entidad ejecuta los procedimientos y políticas de seguridad, de manera repetitiva La entidad realiza la revisión periódica interna de los riesgos inicialmente detectados, políticas, procedimientos y controles La entidad evalúa sus políticas de seguridad e implementa acciones para mejorarlas Numerales 4.5.1, y del modelo Numeral del modelo Numeral del modelo Numeral del modelo Página 10 de 3411 3. LINEAMIENTOS DE IMPLEMENTACIÓN Para garantizar una adecuada implementación del Modelo de Seguridad de la Información en las entidades del Estado se plantea una estrategia de trabajo que está estructurada en cinco (5) lineamientos básicos de la implementación del modelo, los cuales están alineados con los niveles de madurez del Manual GEL 3.0. El plan de implementación se enfoca en que las entidades deben identificar el nivel actual de madurez que han desarrollado en cuanto a seguridad de la información y a partir de esta identificación, iniciar un ciclo PHVA sostenible, tal como muestra la figura 1. Figura 1 - Plan de Implementación del Sistema de Gestión de Seguridad de la Información en las entidades Página 11 de 3412 3.1 Lineamiento: Identificar el Nivel de Madurez en Seguridad de la Entidad. Antes de iniciar la implementación del Modelo de seguridad propuesto por Gobierno en línea se hace necesario que las entidades identifiquen el nivel de madurez en el cual se encuentran, para ello se definen objetivos, actividades y duración, tal como se desarrolla a continuación Objetivos lineamiento para identificar nivel de madurez en las entidades Los objetivos para que la entidad identifique el nivel de madurez de seguridad en que se encuentra son los siguientes: Sensibilizar a la entidad en cuanto a la importancia de la seguridad de la información. Conocer los perfiles y responsabilidades de la seguridad de cada personaje al grupo de trabajo. Identificar las personas idóneas para desempeñar los roles de seguridad. Definir la situación actual de la entidad en cuanto a seguridad de la información. Alinear la entidad al Sistema de Gestión de Seguridad de la Información propuesto por el modelo Actividades lineamiento para identificar nivel de madurez en las entidades. Las actividades tenidas en cuenta para que la entidad identifique su nivel actual de madurez en seguridad son las siguientes: preparación, análisis de la situación actual y brechas y alineación con el SGSI, las cuales conllevan a que la entidad entre en la etapa de gestión del SGSI sostenible basado en el ciclo PHVA, monitoreado por SASIGEL, a través del seguimiento y control. Consultar capítulo 3 del modelo Preparación Las etapas previas a la implementación del SGSI son fundamentales para lograr una adecuada sensibilización, motivación y compromiso por parte de la entidad y sus funcionarios. Como se describe en el capítulo 3, es responsabilidad de SASIGEL que las entidades cuenten con las siguientes actividades completadas, para iniciar con esta etapa. Las actividades son: Formación de Capacitadores descrita en la sección del modelo, Campaña de Sensibilización a las entidades públicas y privadas descrita en la sección del modelo y Página 12 de 3413 Plan de capacitación para las entidades públicas descrita en la sección del modelo, definidas en el alcance del SASIGEL. responsables al final del ejercicio: dar a conocer el perfil y responsabilidades de los responsables. Para una correcta aproximación e implementación del SGSI la entidad debe haber completado dicha sensibilización y capacitación para continuar con las siguientes actividades: Involucrando y sensibilizando a la alta dirección Revisar con la alta dirección y acordar el compromiso con el cumplimiento y preparación de los pre-requisitos para iniciar la implementación del SGSI, y así mismo de los requisitos (ver tabla 1) los cuales la entidad debe cumplir de acuerdo con el Manual GEL 3.0, una vez el SGSI está implementado y en operación Identificación de los responsables Uno de los factores críticos de éxito es el adecuado soporte por parte de representantes de alto nivel de la entidad para soportar y dar visibilidad a la iniciativa permanente para la implementación del modelo. Los representantes de alto nivel de la entidad deben realizar los siguientes pasos en el orden planteado para contar con la lista de Perfiles y responsabilidades Se deben dar a conocer los perfiles y responsabilidades de cada personaje al grupo de trabajo e identificar las personas idóneas para tomar cada rol. Consultar el Anexo No. 1 - Organigrama modelo y SASIGEL., el numeral 3.7 Equipo de gestión al interior de cada una de las entidades del modelo de seguridad de la Información de Gobierno en línea donde se encuentran definidas las responsabilidades. El sistema cuenta con la interacción los siguientes perfiles y su interrelación es mostrada en la figura 1: Comité de seguridad. Las funciones de este comité pueden ser tomadas por comité de GEL, de acuerdo al Manual GEL 3.0. Líder de proyecto: Líder de Gobierno en Línea. Oficial de Seguridad de la información o líder de seguridad. En aquellas entidades que así lo justifiquen, por ejemplo con insuficiencia de recursos técnicos o experticia, se recomienda la definición de un oficial de seguridad que responda simultáneamente para un conjunto de entidades que acuerden agruparse. Personal de seguridad de la información. Un representante del área de tecnología. Un representante del control interno. Un representante del área de planeación. Un representante de sistemas de gestión de calidad. Funcionarios, proveedores, y ciudadanos. Página 13 de 3414 Figura 2 Actores SGSI Análisis de la situación actual y definición de brechas Esta actividad se enfoca en tener un conocimiento inicial de la situación que presenta la entidad frente al modelo de seguridad y los lineamientos del manual GEL 3.0, según el alcance definido por la clasificación en la que se encuentre. Con respecto a lo determinado en el punto anterior (responsables y estratificación). Las tareas a realizar por el equipo definido son: aplicar la encuesta, definir el nivel de madurez, definición de brechas y definición de cronograma para reducir la brecha Aplicar la encuesta La encuesta se plantea para realizar el diagnóstico actual de la entidad. Para esta actividad, consultar y aplicar el documento de encuesta del Anexo No. 2 - Encuesta de seguridad. Los resultados serán utilizados para la definición de brecha Definir nivel de madurez De acuerdo a los lineamientos del Manual GEL 3.0, cada entidad tiene un nivel de madurez inicial y una ruta a seguir, con unos requerimientos para cada nivel. La tabla 1 contiene los requerimientos transversales de seguridad presentes en el Manual. Se debe realizar la autoevaluación con respecto a los niveles de seguridad transversales definidos en el Manual GEL 3.0, utilizando los formatos del Anexo No. 4 - Autoevaluación definición de brecha, del modelo. Página 14 de 3415 Definición de brechas Alineación con el SGSI Una brecha es la ausencia total o parcial en la estructura, las políticas, los controles, directrices, procesos y/o procedimientos existentes al interior de la entidad, al ser comparadas con las requeridas por el Manual GEL 3.0, para cada etapa de madurez. Mediante esta actividad, la entidad podrá comparar su desempeño actual contra su desempeño propuesto y optimizado, la eficacia de su gestión de la seguridad de la información y planear su ruta para cerrar la brecha. Son actividades que pertenecen a esta etapa: Revisión de estructura organizacional. Comparar la estructura, visibilidad y funciones existentes con la estructura propuesta en la actividad de este documento. Revisión por niveles de madurez de acuerdo a los requisitos definidos en la tabla 1. Revisión de controles de seguridad de la información, tanto los existentes como los ausentes. Del listado de controles existentes, revisar su presencia y nivel de eficacia de la implementación y operación actual de cada uno de los controles. o o o o Revisión de políticas. Revisión de existencia de controles. Revisión de existencia de métricas. Revisión de mejoramiento continuo. Esta actividad debe estar alineada con la estrategia de seguridad de la entidad para la implementación de un SGSI, que dependiendo del nivel de madurez identificado estarán cubiertos y serán validados y homologados, o deberán ser trabajados para cubrir la brecha y alinearse con el estándar. Una vez la entidad ha sido alineada con los requisitos del Manual GEL 3.0, entra en el ciclo PHVA del SGSI. Dependiendo de su madurez, es posible que la entidad se encuentre en las siguientes fases: Si el nivel de madurez es inicial, la entidad entrará directamente a la fase planear. Si el nivel de madurez es básico y la brecha se ha cerrado, la entidad entrará directamente a la fase hacer. Si el nivel de madurez es avanzado la entidad entrará directamente a la fase verificar. Si el nivel de madurez es de mejora continua la entidad entrará directamente a la fase actuar Ejecución del programa para la reducción de la brecha. El equipo de seguridad de la información llevará a cabo la implementación del plan para la reducir la brecha con respecto al nivel de madurez identificado, tal como la entidad lo define en la actividad definición de brechas Definición del plan o cronograma a seguir para disminuir la brecha, el cual debe darse a conocer al líder del nivel central. Como resultado, la entidad contará con la alineación de su sistema, con los requisitos del Página 15 de 3416 Manual GEL 3.0 y entrará en el ciclo PHVA del SGSI Duración para la implementación del Lineamientos identificar nivel de madurez en las entidades Las entidades deben identificar el nivel de madurez en seguridad en un periodo no mayor a 2 meses. 3.2 Lineamiento: Llevar a la Entidad a un Nivel de Madurez Inicial en Seguridad. Dependiendo del nivel de madurez en seguridad identificado por la entidad, ésta entrará a la fase planear. Para este escenario, se define este lineamiento que consta de objetivos, actividades y duración que llevarán a la entidad a completar un nivel de madurez básico, tal como se desarrolla a continuación Objetivos Lineamiento Nivel Inicial Los objetivos para llevar a la entidad a un nivel de madurez inicial en seguridad, según los requisitos del manual GEL 3.0 son los siguientes: Definir la política de seguridad a ser implementada. Divulgar la política de seguridad al interior de la misma. Conformar un comité de seguridad o asignar las funciones de seguridad al comité GEL. Identificar los activos de información en los procesos, incluyendo los activos documentales (records), de acuerdo con el análisis de procesos realizado. Identificar los riesgos y su evaluación, en dichos procesos. Definir el plan de acción con los controles y políticas que se implementarán para mitigar los riesgos identificados. Página 16 de 3417 3.2.2 Actividades Lineamientos Nivel Inicial Este lineamiento detalla cómo llegar al nivel de madurez inicial propuesto por el Manual GEL 3.0, para ello es necesario que las entidades recorran un camino en donde comiencen por definir el alcance del SGSI y terminen con la preparación del plan de acción en cuanto a seguridad de la información de la entidad, tal como lo muestra la figura 3. Los elementos cubiertos por las áreas sombreadas generalmente son comunes a otros sistemas de gestión y pueden ser integrados para apalancarse y unir esfuerzos, por lo tanto la entidad puede basarse de otros sistemas de gestión en dichas actividades. Las actividades que tienen relacionadas documentos en la figura 3, la entidad debe documentarlos y realizarles actualizaciones periódicas, ya que son formales y son el insumo para las auditorías internas y externas, y para el mejoramiento continuo del SGSI. Figura 3 Actividades para la fase Planear Nivel Inicial de Madurez Definir el alcance del SGSI El alcance es una manera de acotar los límites del SGSI en términos de las características organizacionales tales como las sedes, las funciones claves de negocio, los activos clave y las tecnologías que estarán cubiertas por el SGSI. En organizaciones grandes y diversas, es posible definir múltiples SGSI agrupados por funciones o ubicaciones para mantenerlos manejables Definir la política del SGSI La política del SGSI es un documento de alto nivel que aborda la necesidad de un sistema de Página 17 de 3418 gestión para la seguridad de la información. Esta intenta transmitir el quién, qué, por qué, cuándo y cómo, alrededor de la intención de la política del SGSI. Una buena política en concisa, fácil de leer y comprender, flexible y fácil de hacer cumplir para todos aquellos dentro del alcance sin excepción. Son cortas, y enmarca los principios que guían las actividades dentro de la entidad. El Modelo de seguridad de la información en su anexo 5, propone un ejemplo de política de seguridad; de ser adoptada por la entidad, debe adaptarse a las condiciones específicas y particulares de ella según corresponda, para que sean aprobadas por la entidad (cuando se habla de aprobación por la entidad, se debe garantizar que la dirección y la alta gerencia firmen este documento y se comprometan con lo que esta política conlleva). Evaluar el riesgo basado en los niveles de confidencialidad, integridad y disponibilidad. Definir los objetivos para reducir el riesgo a un nivel aceptable. Evaluar las opciones de tratamiento del riesgo. Si la entidad no cuenta con una metodología para la gestión del riesgo, puede consultar y utilizar la metodología existente en el Este documento presenta una plantilla de política de seguridad de la información que las entidades pueden adaptar según sus objetivos estratégicos. Anexo No. 6 Metodología de gestión del riesgo. Algunos ejemplos de metodologías son: ISO/IEC 13335, NIST SP , ISO/IEC Análisis de riesgo El modelo de seguridad de la información lo que busca es abordar la seguridad de la información mediante una aproximación del riesgo, reconociendo y reduciendo el riesgo existente a los activos de la entidad de una forma objetiva y alineada. A través de las siguientes etapas, se logra dicho objetivo Definir la aproximación para la gestión del riesgo. La gestión del riesgo requiere de la selección y aplicación de una metodología clara, sistemática, objetiva, repetible que se ajuste a la entidad. Independientemente del método seleccionado, este le permitirá: Identificación de activos Los activos incluyen las funciones de negocio clave, el personal clave, la infraestructura clave que soporta al personal clave (TI, edificios, propiedades, programas, equipos), información de valor para la entidad, reputación de la entidad. Si la entidad no cuenta con una metodología para clasificación de activos, puede consultar el Anexo No. 7 Metodología de clasificación de activos Identificar los riesgos La metodología adoptada por la entidad, sugeridas en el numeral , la guiará identificación de amenazas potenciales y vulnerabilidades para cada Página 18 de 3419 activo, y los niveles de confidencialidad, integridad y disponibilidad de los activos Analizar el riesgo, en contexto de los objetivos de la entidad y de las partes interesadas. La entidad debe asignar valores a los riegos para poder saber cuáles son los más relevantes, los más críticos, los más prioritarios y cuales se pueden tolerar de acuerdo a su impacto y otras métricas dependiendo de la metodología. Si no cuenta con una metodología para la gestión del riesgo, puede consultar la metodología de gestión de riesgos existente, en el Este documento presenta una plantilla de política de seguridad de la información que las entidades pueden adaptar según sus objetivos estratégicos. Anexo No. 6 o las sugeridas en el numeral Selección de controles Plan de tratamiento del riesgo. En esta actividad la entidad debe aprobar los objetivos de control y controles a implementar con el fin de tratar los riesgos identificados. En el documento resultante se debe contar con: El método aplicable para cada riesgo: aceptar, reducir, transferir o eliminar. Listado de controles actualmente implementados. Controles adicionales propuestos Espacio de tiempo en el cual los controles propuestos serán implementados. Los ajustes que considere necesarios, previos a la aprobación, se realizará por la dirección, quien será la responsable de la aceptación del riesgo residual y de suministrar los recursos para la implementación del plan de tratamiento del riesgo. Todas las metodologías para la gestión del riesgo, permiten orientar que los resultados permitan la selección de controles que ayuden a reducir el riesgo eficazmente. Es posible utilizar el conjunto de controles existente en el Anexo No. 8 Controles de seguridad, del modelo de seguridad, como el conjunto de controles disponibles para realizar esta actividad. Otros conjunto de controles adicionales existentes son ISO 27002, NIST SP Preparar declaración de aplicabilidad Este documento condensa el compromiso aceptado por la dirección con respecto a los controles que serán aplicados, respecto al total de controles existentes en el conjunto de controles utilizados y se justifica cada una de las excepciones. Este proceso ayuda a que la auditoría tenga un sólido punto de partida en la verificación de controles y de compromisos aceptados por la entidad y su dirección. Página 19 de 3420 3.2.3 Duración para la implementación del Lineamientos Nivel Inicial Las entidades deben implementar el lineamiento nivel inicial de madurez en seguridad en un periodo no mayor a 4 meses. 3.3 Lineamiento: Llevar a la Entidad a un Nivel de Madurez Básico en Seguridad. Dependiendo del nivel de madurez en seguridad identificado por la entidad, ésta entrará a la fase hacer. Para este escenario, se define este lineamiento que consta de objetivos, actividades y duración que llevarán a la entidad a completar un nivel de madurez básico, tal como se desarrolla a continuación Objetivos Lineamiento Nivel Básico Los objetivos para llevar a la entidad a un nivel de madurez básico en seguridad, según los requisitos del manual GEL 3.0 son los siguientes: Iniciar la ejecución del plan de seguridad definido por la entidad en el nivel inicial, para implementar los controles que mitigarán los riesgos identificados, lo cual implica que la entidad presenta avances en la implementación de tales controles. Ejecutar el plan de capacitación definido por la entidad en el nivel inicial. La entidad debe ejecutar las acciones de capacitación en seguridad, con los responsables de los controles y procesos con los cuales se inicia la ejecución del plan. Iniciar la documentación de políticas y procedimientos de seguridad, de acuerdo con el plan definido en el nivel inicial Actividades Lineamientos Nivel Básico Este lineamiento detalla cómo llegar al nivel de madurez básico propuesto por el Manual GEL 3.0, para ello es necesario que las entidades recorran un camino en donde comiencen por ejecutar el plan de tratamiento de riesgos y terminen con la implementación de los procedimientos, tal como lo muestra la figura 4. Los elementos cubiertos por las áreas sombreadas generalmente son comunes a otros sistemas de gestión y pueden ser integrados para apalancarse y unir esfuerzos, por lo tanto la entidad puede basarse de otros sistemas de gestión en dichas actividades. Las actividades que tienen relacionadas documentos en la figura 4, la entidad debe documentarlos y realizarles actualizaciones periódicas, ya que son formales y son el insumo para las auditorías internas y externas, y para el mejoramiento continuo del SGSI. Página 20 de 34 Mostrar más
SEGURIDAD PARA EL ACCESO A LA INFORMACIÓN DE LAS ENTIDADES DEL ESTADO Programa de Gobierno en Línea Oficina de Coordinación de Investigación, Política y Evaluación. RESUMEN La seguridad de la información Más detalles Modelo de Seguridad de la Información. Luis Mauricio Vergara Jiménez lvergara@mintic.gov.co @maovergara Enero de 2013
Modelo de Seguridad de la Información Luis Mauricio Vergara Jiménez lvergara@mintic.gov.co @maovergara Enero de 2013 AGENDA Modelo de Seguridad de la Información para la Estrategia de Gobierno en línea Más detalles Definición del Sistema de Gestión de Seguridad de la Información (SGSI) ALCALDÍA DE SANTA ROSA DE OSOS
Definición del Sistema de Gestión de Seguridad de la Información (SGSI) ALCALDÍA DE SANTA ROSA DE OSOS ALCANCE El alcance del SGSI se define como la manera en que la alcaldía municipal de Santa Rosa de Más detalles MANUAL DE SEGURIDAD DE LA INFORMACIÓN
MANUAL DE SEGURIDAD DE LA INFORMACIÓN MINISTERIO DE AMBIENTE Y DESARROLLO SOSTENIBLE Bogotá D.C. Página 1 de 19 Contenido 1. INTRODUCCIÓN... 4 1. OBJETIVO... 4 2. ALCANCE DEL SISTEMA DE GESTIÓN DE SEGURIDAD Más detalles Programa de Formación de Auditores
Programa de Formación de Auditores Sistemas de Gestión de la Calidad Módulo 2 Sistema de Gestión de la Calidad Requisitos Objetivo del módulo Comprender: Los requisitos de la norma ISO 9001:2008 para el Más detalles Política para la Gestión Integral de Riesgos
Política para la Gestión Integral de Riesgos MOTIVACIÓN Como empresa responsable, ISAGEN incorpora en su gestión las prácticas que permitan asegurar su sostenibilidad, preservando los recursos empresariales Más detalles PLAN DE IMPLEMENTACIÓN SGSI BASADO EN LA NORMA ISO 27001:2013 ISAGXXX 2014 TFM MISTIC UOC 2014-2015 ROBIN J.SALCEDO B.
PLAN DE IMPLEMENTACIÓN SGSI BASADO EN LA NORMA ISO 27001:2013 ISAGXXX 2014 TFM MISTIC UOC 2014-2015 ROBIN J.SALCEDO B. Agenda de la presentación PLAN DE IMPLEMENTACIÓN SGSI ISO 27001:2013 TFM MISTIC 2014-2015 Más detalles ESCUELA POLITECNICA NACIONAL
1 de 19 Tecnologías de la Información Técnicas de seguridad Sistemas de Gestión de la Seguridad de la Información Requisitos Objetivo Revisar los aspectos importantes sobre la norma ISO/EIC 27001 para Más detalles ANEXO 12: CORRESPONDENCIA DE ESTÁNDARES
Sistema de Gestión de la Seguridad de la Información 1 Contenidos 1. Qué es un SGSI? 2. Para qué sirve un SGSI? 3. Qué incluye un SGSI? 4. Cómo se implementa un SGSI? 5. Qué tareas tiene la Gerencia en Más detalles LINEAMIENTOS GENERALES PARA LA IMPLEMENTACIÓN DE PROCESOS ELECTRÓNICOS
LINEAMIENTOS GENERALES PARA LA IMPLEMENTACIÓN DE PROCESOS LINEAMIENTOS GENERALES PARA LA IMPLEMENTACIÓN DE PROCESOS Ministerio de Tecnologías de la Información y las Comunicaciones Programa de Gobierno Más detalles TEMA 39 Código de buenas prácticas para la Gestión de la Seguridad de la Información. Norma UNE-ISO 17799.
TEMA 39 Código de buenas prácticas para la Gestión de la Seguridad de la Información. Norma UNE-ISO 17799. Índice 1 Introducción... 1 2 La Norma UNED-ISO 27002... 2 2.1 Estructura de la norma...3 2.1.1 Más detalles POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN EN CORPAC S.A.
CORPORACIÓN PERUANA DE AEROPUERTOS Y AVIACIÓN COMERCIAL SA POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN EN Elaborado y Visado Comité de Gestión de Seguridad de la Información Revisado Gerencia de Tecnología Más detalles POLÍTICA PARA LA GESTIÓN INTEGRAL DE RIESGOS EN IBERPLAST
POLÍTICA PARA LA GESTIÓN INTEGRAL DE RIESGOS EN IBERPLAST VERSIÓN: 01 1. Presentación y Contexto El riesgo es una condición inherente en las organizaciones. Es por eso que, La Junta Directiva y el Comité Más detalles Planeación del Proyecto de Software:
Apéndice A. Cuestionarios del Sistema Evaluador Nivel2. Requerimientos de Administración: Goal 1: Los requerimientos del sistema asociados a software están bien controlados y existe un estándar para los Más detalles UNIVERSIDAD NACIONAL DE ASUNCIÓN FACULTAD DE CIENCIAS ECONOMICAS ESCUELA DE CONTABILIDAD AUDITORIA INFORMATICA
UNIVERSIDAD NACIONAL DE ASUNCIÓN FACULTAD DE CIENCIAS ECONOMICAS ESCUELA DE CONTABILIDAD AUDITORIA INFORMATICA TRABAJO PRÁCTICO DE AUDITORIA INFORMATICA Profesor: Lic. Marco Antonio Leiva Fernández 5to Más detalles MANUAL DE ORGANIZACIÓN Y FUNCIONES GERENCIA DE INFORMÁTICA
MANUAL DE ORGANIZACIÓN Y FUNCIONES GERENCIA DE INFORMÁTICA Aprobando mediante Resolución de Gerencia General N 052-2015 de fecha 26 Junio 2015 ELABORADO POR: APROBADO POR: 1 de 82 ÍNDICE 1 INTRODUCCIÓN... Más detalles Guía de indicadores de la gestión para la seguridad de la información. Guía Técnica
Guía de indicadores de la gestión para la seguridad de la información Guía Técnica 1 HISTORIA VERSIÓN FECHA CAMBIOS INTRODUCIDOS 2.0 11/30/2011 Documento del Modelo Anterior 3.0 25/05/2015 Ajustes por Más detalles PROGRAMA DE GESTIÓN DOCUMENTAL
PROGRAMA DE GESTIÓN DOCUMENTAL CÁMARA DE COMERCIO Bogotá, D.C.; Octubre de 2015 Versión 1.0 Tabla de contenido 1 INTRODUCCIÓN... 5 2 ALCANCE... 6 3 OBJETIVO GENERAL... 6 3.1 OBJETIVOS ESPECÍFICOS... 6 Más detalles AUDITORÍAS POR PROCESOS MP-22I-V1
AUDITORÍAS POR PROCESOS ISO 9000:2000 AUDITORÍAS POR PROCESOS Normas Aplicadas NTC ISO 190011 Duración 8 horas Objetivos Actualizar auditores en la metodología de planeación, ejecución verificación y control Más detalles Elementos de Control Interno para la Autoevaluación del Sistema de Control Interno Institucional 2015
Elementos de Control Interno para la Autoevaluación del Sistema de Control Interno Institucional 2015 Índice Pág. Metodología para la Autoevaluación del Sistema de Control Interno Institucional. 2 Elementos Más detalles La Seguridad Informática de las aplicaciones y el Control Interno.
La Seguridad Informática de las aplicaciones y el Control Interno. AUTORA: MSc. Concepción Casal González Especialista en Ciencias Computacionales Gerencia de Auditoria. Dirección de Control Corporativo. Más detalles INFORME PORMENORIZADO DEL ESTADO DEL CONTROL INTERNO. En cumplimiento de lo preceptuado en la ley 1474 de 2011, artículo 9.
INFORME PORMENORIZADO DEL ESTADO DEL CONTROL INTERNO A marzo 31 de 2015 En cumplimiento de lo preceptuado en la ley 1474 de 2011, artículo 9. Dirección de Control Interno (Auditoria Interna) 1 Contenido Más detalles COBIT - Control Objectives for Information and related Technology (Objetivos de Control para la Información y la Tecnología relacionada) Mayo de 2012
- Control Objectives for Information and related Technology (Objetivos de Control para la Información y la Tecnología relacionada) Mayo de 2012 Antecedentes Ante la necesidad de crear y fortalecer el ambiente Más detalles MANUAL DEL SISTEMA INTEGRADO DE GESTIÓN DE LA SECRETARÍA DISTRITAL DE SALUD
MANUAL DEL SISTEMA INTEGRADO DE DE LA SECRETARÍA DISTRITAL DE SALUD 2015 SISTEMA INTEGRADO DE MANUAL DEL SISTEMA INTEGRADO DE DE LA SECRETARÍA DISTRITAL DE SALUD 1 SISTEMA INTEGRADO DE CONTENIDO 1. INTRODUCCIÓN... Más detalles UNIVERSIDAD RAFAEL BELLOSO CHACIN MAESTRIA EN TELEMATICA
2009 UNIVERSIDAD RAFAEL BELLOSO CHACIN MAESTRIA EN TELEMATICA ESTANADRES COBIT, ITIL, ISO 27001 En este documento encontrar un artículo sobre los tres estándares mencionados. El cual contienen resumen, Más detalles Gestión de Seguridad Informática
Gestión de Seguridad Informática La información es un activo que es esencial al negocio de una organización y requiere en consecuencia una protección adecuada. La información puede estar impresa o escrita Más detalles 1.1. Sistema de Gestión de la Calidad
1.1. Sistema de Gestión de la Calidad ÁREA: GESTIÓN DE LA CALIDAD SISTEMA: GESTIÓN DE LA CALIDAD ETAPA I - OBJETIVOS REQUISITOS TÉCNICOS 2012 1. La institución realiza un diagnóstico del estado actual Más detalles 12 JUNIO 2014. Rev.1: 07 Agosto 2014 Rev.2: 06 Octubre 2014 Rev.3: 05 Marzo 2015. 1 de 76. BN-MOF-2400-10-05 Rev.3 MOF DEPARTAMENTO DE INFORMÁTICA
Rev.1: 07 Agosto 2014 Rev.2: 06 Octubre 2014 : 05 Marzo 2015 MANUAL DE ORGANIZACIÓN Y FUNCIONES DEPARTAMENTO DE INFORMÁTICA Aprobado mediante Resolución de Gerencia General EF/92.2000 N 020-2014, de fecha Más detalles Modelo de Negocios para la Seguridad de la Información.
Modelo de Negocios para la Seguridad de la Información. El Modelo de Negocios de Seguridad de la Información (BMIS, Business Model for Information Security) se originó en el Institute for Critical Information Más detalles Norma NTC-ISO/IEC 27001 Sistema de Gestión de Seguridad de Información
Norma NTC-ISO/IEC 27001 Sistema de Gestión de Seguridad de Información AGENDA SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN CONCEPTOS BÁSICOS QUÉ ES LA NORMA ISO/IEC 27001:2005? ORIGEN NORMA ISO/IEC Más detalles POLÍTICAS DE CALIDAD, SEGURIDAD, MEDIO AMBIENTE Y SALUD DE PETROBRAS CHILE
POLÍTICAS DE CALIDAD, SEGURIDAD, MEDIO AMBIENTE Y SALUD DE PETROBRAS CHILE POLÍTICA DE CALIDAD Petrobras Chile asume el compromiso de suministrar productos y servicios de calidad, con un estilo innovador Más detalles Hoja Informativa ISO 9001 Comprendiendo los cambios
Revisiones ISO Hoja Informativa ISO 9001 Comprendiendo los cambios Cambios que se aproximan ISO 9001 de un vistazo Cómo funciona ISO 9001? ISO 9001 puede ser aplicado a todo tipo de organizaciones de cualquier Más detalles OFICINA ASESORA DE PLANEACIÓN, Junio 2013. Elaborado por : Carlos Fernando Campos Sosa CONTENIDO
OFICINA ASESORA DE PLANEACIÓN, Junio 2013 Elaborado por : Carlos Fernando Campos Sosa CONTENIDO QUÉ ES EL SISTEMA INTEGRADO DE GESTIÓN?... 1 POR QUÉ ES ÚTIL EL SIG?... 3 CÓMO CONTRIBUIMOS A IMPLEMENTAR Más detalles SEGURIDAD INFORMATICA GENERALIDADES DE LA SEGURIDAD INFORMATICA
SEGURIDAD INFORMATICA GENERALIDADES DE LA SEGURIDAD INFORMATICA Seguridad de la información? Vs Seguridad? ISO/IEC 17799 ISO/IEC 2700 -> SGSI Organización de Estándares Internacionales/Comisión Electrotécnica Más detalles INFORME PORMENORIZADO DEL ESTADO DEL CONTROL INTERNO Noviembre de 2014 a febrero de 2015 1. MÓDULO DE CONTROL DE PLANEACIÓN Y GESTIÓN
INFORME PORMENORIZADO DEL ESTADO DEL CONTROL INTERNO Noviembre de 2014 a febrero de 2015 En cumplimiento de lo dispuesto en al artículo 9 de la Ley 1474 de 2011, a continuación se presenta el informe del Más detalles MANUAL DE REFERENCIA
GOBIERNO DE CHILE MINISTERIO DE HACIENDA Dirección de Presupuestos MANUAL DE REFERENCIA GUÍA PARA IMPLEMENTACIÓN ISO 9001:2000 SISTEMA DE CAPACITACIÓN Versión 05 Diciembre 2008 INDICE Introducción... 3 Más detalles Nomenclador de cargos
Nomenclador de cargos ROLES Áreas de I T Definición de módulos y roles Versión: 1.0 Pagina 1 Módulos interactuantes en un área de IT 1. Infraestructura Tecnológica 2. Producción de Software 3. Asistencia Más detalles CAPÍTULO V RESULTADOS DE LA AUDITORÍA Y PROPUESTA DE ACCIONES CORRECTIVAS
CAPÍTULO V RESULTADOS DE LA AUDITORÍA Y PROPUESTA DE ACCIONES CORRECTIVAS Una vez realizada la auditoría a los directivos y a los gerentes de la Agencia de Conferencistas Divulga, se encontró una serie Más detalles Desarrollo del enfoque de gestión por procesos en el Sistema de Aseguramiento de la Calidad de la UPCH Versión 1.0
Desarrollo del enfoque de gestión por procesos en el Sistema de Aseguramiento de la Calidad de la UPCH Versión 1.0 Preparado por: Ing. Alberto Fernández Bringas Asesor de la DUGEC, Docente UPCH Revisado Más detalles Introducción. Enfoque de Control de CobiT Los Procesos del Modelo Mapeo de los Procesos
CobiT 75.46 Administración i ió y Control de Proyectos II Abril de 2008 Agenda Presentación Introducción Pi Principios ii dl del Modelo dl Enfoque de Control de CobiT Los Procesos del Modelo Mapeo de los Más detalles ESTÁNDAR ISO/IEC INTERNACIONAL 27001
ESTÁNDAR ISO/IEC INTERNACIONAL 27001 Primera Edicion 2005-10 - 15 Tecnología de la Información Técnicas de seguridad Sistemas de gestión de seguridad de la información Requerimientos Numero de Referencia Más detalles Plan de Mejora Regulatoria RACSA 2015. Código:DAP-PM-01 Versión: 1 Página 1 de 12
Código:DAP-PM-01 Versión: 1 Página 1 de 12 PLAN DE MEJORA REGULATORIA RACSA 2015 1 Código: DAP-PM-001 Versión: 1 Página 2 de 12 Contenido 1. INTRODUCCIÓN... 3 2. MARCO LEGAL... 3 3. MARCO DE REFERENCIA Más detalles MANUAL DE REFERENCIA
GOBIERNO DE CHILE MINISTERIO DE HACIENDA Dirección de Presupuestos MANUAL DE REFERENCIA GUÍA PARA IMPLEMENTACIÓN ISO 9001:2000 SISTEMA DE AUDITORÍA INTERNA Versión 05 Diciembre 2008 INDICE Introducción... Más detalles ARMONIZACIÓN MECI-CALIDAD
ANTES DE INICIAR ARMONIZACIÓN MECI-CALIDAD CONTENIDO 1. Objetivos de la Sesión 2. Marco Legal para ambos sistemas 3. Generalidades 4. Conceptualización sobre la armonización 5. Elementos de articulación Más detalles ESCUELA POLITÉCNICA NACIONAL
ESCUELA POLITÉCNICA NACIONAL FACULTAD DE INGENIERÍA EVALUACIÓN DEL NIVEL DE MADUREZ DE LA GESTIÓN DE LAS TIC s EN LA EMPRESA ASTAP PROYECTO PREVIO A LA OBTENCIÓN DEL TITULO DE INGENIERO EN SISTEMAS INFORMÁTICOS Más detalles NORMA ISO INTERNACIONAL 19011. Directrices para la auditoría de Sistemas de Gestión ISO 19011:2011(E) Segunda edición 2011-11-15
NORMA ISO INTERNACIONAL 19011 Segunda edición 2011-11-15 Directrices para la auditoría de Sistemas de Gestión Número de Referencia ISO 19011:2011 (E) DOCUMENTO PROTEGIDO POR DERECHOS DE AUTOR ISO 2011 Más detalles ISO/IEC 27001. Normativa de seguridad IT. Hechos. Numero 2013/02
05/01/2013 Ingelan 934 302 989 Numero 2013/02 ISO/IEC 27001 Normativa de seguridad IT ISO/IEC 27001 (Information technology Information Security Management Systems Requirements) es una normativa estándar Más detalles Coordinación de Operación y Desarrollo Programa Agenda de Conectividad Estrategia de Gobierno en línea República de Colombia - Derechos Reservados
ANEXO 3: CORRESPONDENCIA DE ESTÁNDARES - ESTRATEGIA DE GOBIERNO EN LÍNEA Coordinación de Operación y Desarrollo Programa Agenda de Conectividad Estrategia de Gobierno en línea República de Colombia - Derechos Más detalles Introducción. ISO /IEC 27001: Gestión de la seguridad. Actualización ISO/IEC27001 2005 -> 2013
Introducción ISO /IEC 27001: Gestión de la seguridad Desde la publicación inicial de norma internacional ISO/IEC 27001 en el año 2005 el número de implantaciones de los Sistemas para la Gestión de la Seguridad Más detalles Políticas de Seguridad de la información
Máster Interuniversitario en Seguridad de las TIC (MISTIC) Trabajo de final de máster Elaboración de un plan de implementación de la Norma ISO/IEC 27001:2013 en una empresa prestadora de servicios de acueducto Más detalles Gobernabilidad de TI. Elsa Estevez Departamento de Ciencias e Ingeniería de la Computación Universidad Nacional del Sur. 2do.
Gobernabilidad de TI COBIT Elsa Estevez Departamento de Ciencias e Ingeniería de la Computación Universidad Nacional del Sur 2do. Cuatrimestre 2010 T. 2 Contenido Introducción a la Gobernabilidad de TI Más detalles ESTRATEGIAS PARA LA IMPLEMENTACION DE ISO 20000 E ISO 27001 EN UNA UNIVERSIDAD PÚBLICA COLOMBIANA. Diana Rocio Plata Arango Diana.plata@uptc.edu.
ESTRATEGIAS PARA LA IMPLEMENTACION DE ISO 20000 E ISO 27001 EN UNA UNIVERSIDAD PÚBLICA COLOMBIANA. Diana Rocio Plata Arango Diana.plata@uptc.edu.co Por qué es Importante?? La Gestión de Servicios de Tecnología Más detalles CAPITULO PLANIFICACION INSTITUCIONAL DE LA AUDITORIA
CAPITULO II PLANIFICACION INSTITUCIONAL DE LA AUDITORIA 1. Generalidades La Contraloría General del Estado inmersa en el proceso estratégico de cambio que tiende a mejorar los servicios de auditoría que Más detalles Datos P oc o eso I f n or o ma m ció i n
Como ayuda la ISO/IEC 27001 a la seguridad de información Ing. Evelyn Antón CISA, CISM, CGEIT ISACA Capítulo Montevideo URUGUAY Agenda Introducción Datos de actualidad Norma ISO/IEC 27001 Catálogo de Controles Más detalles RESUMEN DE COBIT 4.1. Los recursos de TI identificados en COBIT se pueden definir como sigue [2]:
RESUMEN DE COBIT 4.1 COBIT es un marco de trabajo y un conjunto de herramientas de Gobierno de Tecnología de Información (TI) que permite a la Gerencia cerrar la brecha entre los requerimientos de control, Más detalles PROCESO DE AUDITORÍA
PROCESO DE AUDITORÍA Cartilla básica para auditores AUDITORÍAS AL SISTEMA DE GESTIÓN INTEGRAL Dentro de los nuevos contextos, la actividad de la auditoría integral a los Sistemas de Gestión se ha convertido Más detalles Taxonomía de los Sistemas de Gestión
Taxonomía de los Sistemas de Gestión Carlos Rivera Orozco, Rosario Rodríguez Báez Bufete de Ingenieros Industriales, S. C. Pimentel 4104 B, Las Granjas, 31160, Chihuahua, México. carlos@bii.com.mx RESUMEN Más detalles La Gestión por Procesos en las Organizaciones La forma en la que los resultados se logran
La Gestión por Procesos en las Organizaciones La forma en la que los resultados se logran Deloitte S.C. 2014 Reflexiones Aplicando la Gestión por Procesos en nuestras organizaciones Por qué adoptar un Más detalles Estándares de Información Primaria, Secundaria, Sistemas de Información. Estándares de Macroprocesos, Procesos y Procedimientos Diseñados.
GUÍA 43 Diagnóstico Comunicación Institucional Descripción La comunicación Institucional se da al interior de la entidad y se orienta al cumplimiento de los principios de economía, eficiencia y eficacia, Más detalles Diseño e Implementación de un Sistema de Gestión de Calidad Integrado
Operación DR-L1053 Apoyo al Programa de Protección Social y el Sector Salud PROYECTO Diseño e Implementación de un Sistema de Gestión de Calidad Integrado Santo Domingo, R. D. Enero, 2015 Índice 1. Información Más detalles INFORME DE GESTIÓN SOBRE EL SISTEMA DE CONTROL INTERNO
INFORME DE GESTIÓN SOBRE EL SISTEMA DE CONTROL INTERNO TEXTO DEL INFORME QUE LA PRESIDENCIA DE DECEVAL PONE A CONSIDERACIÓN DE LA JUNTA DIRECTIVA Y QUE DEBE INCLUIRSE EN EL INFORME ANUAL DE GESTIÓN El Más detalles Boletín de Asesoría Gerencial* Aplicabilidad de estándares internacionales y mejores prácticas: CobiT, ITIL, Serie ISO / IEC 27000
Espiñeira, Sheldon y Asociados * No. 3-2009 *connectedthinking Contenido Haga click en los enlaces para navegar a través del documento Haga click en los enlaces para llegar directamente a cada sección Más detalles DOCUMENTO TECNICO PROGRAMA DE MEJORAMIENTO DE LA GESTIÓN (PMG) PROGRAMA MARCO AÑO 2013
DOCUMENTO TECNICO PROGRAMA DE MEJORAMIENTO DE LA GESTIÓN (PMG) PROGRAMA MARCO AÑO 2013 Agosto 2012 VERSIÓN N 01- PMB 2013 AGOSTO 2012 1 de 18 DOCUMENTO ELABORADO POR EL DEPTO. DE GESTIÓN DE LA DIVISIÓN Más detalles Taller de Implementación de la norma ISO 27001 Ing. Maurice Frayssinet Delgado mfrayssinet@pcm.gob.pe www.ongei.gob.pe
Taller de Implementación de la norma ISO 27001 Ing. Maurice Frayssinet Delgado mfrayssinet@pcm.gob.pe www.ongei.gob.pe Oficina Nacional de Gobierno Electrónico e Informática Agenda Sección 1: Principios Más detalles DISEÑO DE UN SISTEMA DE GESTION DE SEGURIDAD DE LA INFORMACION PARA UNA ENTIDAD FINANCIERA DE SEGUNDO PISO
DISEÑO DE UN SISTEMA DE GESTION DE SEGURIDAD DE LA INFORMACION PARA UNA ENTIDAD FINANCIERA DE SEGUNDO PISO TRABAJO DE GRADO CARLOS ALBERTO GUZMAN SILVA COD. 1412010642 INSTITUCIÓN UNIVERSITARIA POLITÉCNICO Más detalles Ejemplo Manual de la Calidad
Ejemplo Manual de la Calidad www.casproyectos.com ELABORADO POR: REPRESENTANTE DE LA DIRECCION APROBADO POR: GERENTE GENERAL 1. INTRODUCCIÓN Nuestra organización, nació en el año XXXXXXXXX, dedicada a Más detalles INTRODUCCIÓN. El presente proyecto se ha elaborado como propuesta apara el Programa de Gestión de Calidad SISO 9000:2000
INTRODUCCIÓN El presente proyecto se ha elaborado como propuesta apara el Programa de Gestión de Calidad SISO 9000:2000 Este documento muestra los objetivos del proyecto, la metodología de trabajo para Más detalles DOCUMENTO DE REFERENCIA MECI Y CALIDAD SISTEMA INTEGRADO DE GESTIÓN CONTENIDO INTRODUCCIÓN... 2
CONTENIDO INTRODUCCIÓN... 2 COMPATIBILIDAD ENTRE EL SISTEMA DE GESTIÒN DE LA CALIDAD DEL CENTRO DE GESTIÓN ADMINISTRATIVA, NORMA TÈCNICA DE CALIDAD EN LA GESTIÓN PÚBLICA (NTCGP 1000:2009)... 3 2. Objeto Más detalles SISTEMA DE GESTIÓN DEL SERVICIO (SGS) REQUISITOS GENERALES POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN
SISTEMA DE GESTIÓN DEL SERVICIO (SGS) REQUISITOS GENERALES POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Vicerrectorado de TIC, Calidad e Innovación Centro de Informática y Comunicaciones Título Entregable Nombre Más detalles PROCEDIMIENTO DE AUDITORIA INTERNA
VERSIÓN: 2.0 Página 1 de 17 INDICE Página INDICE...1 1. OBJETIVO DEL PROCEDIMIENTO...3 2. DESARROLLO DE LA AUDITORÍA INTERNA...3 2.1 OBJETIVO GENERAL...3 2.2 OBJETIVOS ESPECÍFICOS...3 2.3 FASES...4 2. Más detalles MANUAL DE CALIDAD ISO 9001:2008
Página 1 de 21 MANUAL DE CALIDAD ISO 9001:2008 EMPRESA DE DISTRIBUCION DE ALUMINIO Y VIDRIO ELABORADO POR: APROBADO POR: REPRESENTANTE DE LA ALTA DIRECCIÓN GERENTE PROPIETARIO Página 2 de 21 CONTENIDO Más detalles ETAPAS DE LA IMPLEMENTACIÓN DEL SISTEMA INTEGRADO DE GESTIÓN
ETAPAS DE LA IMPLEMENTACIÓN DEL SISTEMA INTEGRADO DE GESTIÓN Fase I: Evaluación Preliminar La Evaluación Preliminar permite realizar una identificación adecuada de cómo se encuentra la organización en Más detalles RIESGO OPERACIONAL. LA VISION DE LA GERENCIA CON APOYO DEL COMITÉ DE AUDITORíA. José Manuel Taveras Lay Contralor BANCO CENTRAL DE LA REP. DOM.
RIESGO OPERACIONAL. LA VISION DE LA GERENCIA CON APOYO DEL COMITÉ DE AUDITORíA José Manuel Taveras Lay Contralor BANCO CENTRAL DE LA REP. DOM. Introducción Antecedentes CONTENIDO Evolución de la Gestión Más detalles RELACIÓN ENTRE ADMINISTRACIÓN DE RIESGO Y AUDITORÍA INTERNA
RELACIÓN ENTRE ADMINISTRACIÓN DE RIESGO Y AUDITORÍA INTERNA José Manuel Taveras Lay Contralor BANCO CENTRAL DE LA REP. DOM. CONTENIDO Introducción Antecedentes Evolución de la Gestión de Riesgo Gestión Más detalles Auditoría de procesos con alto grado de automatización*
Auditoría de procesos con alto grado de automatización* *connectedthinking PwC Agenda Ambiente tecnológico Mapeo de procesos Identificación de riesgos Identificación de controles Pruebas de controles Ambiente Más detalles Guía: Controles de Seguridad y Privacidad de la Información
Guía: Controles de Seguridad y Privacidad de la Información Guía Técnica HISTORIA VERSIÓN FECHA CAMBIOS INTRODUCIDOS 1.0.0 15/12/2010 Versión inicial del documento 2.0.0 30/09/2011 Restructuración de forma Más detalles Unidad 4 Sistema Integrado de Gestión
Unidad 4 Sistema Integrado de Gestión 4.1 Componentes del Sistema Integrado de Gestión Un sistema integrado de gestión es aquel que reúne un conjunto de actividades relacionadas entre sí que tiene por Más detalles 1 PRINCIPIOS GENERALES DE AUDITORÍA DE SEGURIDAD VIAL. 3 2 PROCEDIMIENTOS DE AUDITORÍA. 7
LINEAMIENTOS GENERALES PARA LA ESTRUCTURACIÓN DE UN DOCUMENTO PARA EL ASEGURAMIENTO DE LA CALIDAD EN LA APLICACIÓN DE LAS AUDITORÍAS DE SEGURIDAD VIAL EN COLOMBIA 1 PRINCIPIOS GENERALES DE AUDITORÍA DE Más detalles QM SISTEMAS DE GESTIÓN DE LA CALIDAD
CURSO AUDITOR LÍDER, RABQSA TPECS Unidad de Competencia: QM QM SISTEMAS DE GESTIÓN DE LA CALIDAD COTECNA QUALITY RESOURCES, CQR INC. QM (TPECS) V 3, Mar, 2012/p.1 OBJETIVOS DEL CURSO 1. Entender la aplicación Más detalles Encuestas para la autoevaluación del Sistema de Control Interno Institucional
Encuestas para la autoevaluación del Sistema de Control Interno Institucional 2014 Tabla de contenido Metodología para la Autoevaluación del Sistema de Control Interno Institucional 2 Encuesta para la Más detalles MANUAL SGSI SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN
MANUAL SGSI SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN 1 TABLA DE CONTENIDO 1. OBJETIVO... 3 2. PRESENTACIÓN DE LA EMPRESA... 3 3. ALCANCE... 4 4. POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN... 5 4.1 Más detalles Figura 3.1 Implementación de ITIL
C apí t u l o III IMPLEMENTACIÓN DE ITIL Existen distintos métodos para la implementación de ITIL, sin embargo cualquier organización puede alinearse a este marco de trabajo sin importar su tamaño o complejidad. Más detalles Proceso: AI2 Adquirir y mantener software aplicativo
Proceso: AI2 Adquirir y mantener software aplicativo Se busca conocer los estándares y métodos utilizados en la adquisición de y mantenimiento del software. Determinar cuál es proceso llevado a cabo para Más detalles [Guía de auditoría AudiLacteos]
[Guía de auditoría AudiLacteos] La siguiente es una guía para realizar la auditoria a la empresa AudiLacteos en procesos de CobiT. Los procesos contemplados en esta guía son: Adquirir y mantener software Más detalles Sinopsis de la gestión de programas de acuerdo con el estándar del Project Management Institute 1
Sinopsis de la gestión de s de acuerdo con el estándar del Project Management Institute Conceptos básicos Qué es un? Es un grupo de proyectos gestionados de modo coordinado para obtener beneficios y el Más detalles Resumen General del Manual de Organización y Funciones
Gerencia de Tecnologías de Información Resumen General del Manual de Organización y Funciones (El Manual de Organización y Funciones fue aprobado por Resolución Administrativa SBS N 354-2011, del 17 de Más detalles Política S y SO documentada Saber quien o quienes es la alta gerencia, organigrama) Evidencia de autorización por la alta gerencia
SISTEMAS DE GESTIÓN EN SEGURIDAD Y SALUD OCUPACIONAL Fuentes Probables Evidencia Requisitos OHSAS 18001 Preguntas de Auditoría Objetiva 4.2 Política de Seguridad y Salud Ocupacional Conclusiones Debe existir Más detalles MANUAL DE SEGURIDAD DE LA INFORMACIÓN PARA LT GEOPERFORACIONES Y MINERIA LTDA LEIDY ZULIETH BONILLA MAHECHA
MANUAL DE SEGURIDAD DE LA INFORMACIÓN PARA LT GEOPERFORACIONES Y MINERIA LTDA LEIDY ZULIETH BONILLA MAHECHA UNIVERSIDAD DEL TOLIMA INSTITUTO DE EDUCACIÓN A DISTANCIA-IDEAD PROGRAMA DE INGENIERÍA DE SISTEMAS Más detalles Guía para implementar mejores prácticas ambientales en organizaciones
Guía para implementar en organizaciones Contenido Presentación... 2 Qué son las Mejores Prácticas Ambientales... 3 Características principales de las MPA... 4 Dimensiones de las Mejores Prácticas Ambientales... Más detalles NORMAS TÉCNICAS PARA LA GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN Versión para comentarios 30-06-2015
El COMITÉ DE NORMAS DEL BANCO CENTRAL DE RESERVA DE EL SALVADOR, CONSIDERANDO: I. Que de conformidad al artículo 2, inciso segundo de la Ley de Supervisión y Regulación del Sistema Financiero, para el Más detalles SEGUIMIENTO INSTITUCIONAL Bucaramanga
SEGUIMIENTO INSTITUCIONAL Bucaramanga Enero de 2015 Revisó Director Control Interno y Evaluación de Gestión Aprobó: Rector Página: 2 de 20 Fecha de Aprobación: Marzo 11 de 2009 Resolución Nº 370 CONTENIDO Más detalles DEFINICIÓN DE LA POLÍTICA AMBIENTAL DE LA ORGANIZACIÓN
Centro Nacional de Producción Más Limpia Curso para responsables y auditores ambientales DEFINICIÓN DE LA POLÍTICA AMBIENTAL DE LA ORGANIZACIÓN ÍNDICE 1. Qué dice la norma...1 2. Qué se debe cumplir...2 Más detalles INTERNACIONAL 19011. Directrices para la auditoría de Sistemas de Gestión ISO 19011:2011(E) Segunda edición 2011-11-15
NORMA ISO INTERNACIONAL 19011 Segunda edición 2011-11-15 Directrices para la auditoría de Sistemas de Gestión Número de Referencia ISO 19011:2011 (E) DOCUMENTO PROTEGIDO POR DERECHOS DE AUTOR ISO 2011 Más detalles GUÍA DE IMPLANTACIÓN DE UN SISITEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN UNE ISO/IEC 27001:2007 CON LA HERRAMIENTA GLOBALSGSI
GUÍA DE IMPLANTACIÓN DE UN SISITEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN UNE ISO/IEC 27001:2007 CON LA HERRAMIENTA GLOBALSGSI POWERED BY AUDISEC www.audisec.es Febrero de 2010 ÍNDICE 1. PRESENTACIÓN... Más detalles INFORME DE GESTIÓN SOBRE EL SISTEMA DE CONTROL INTERNO
INFORME DE GESTIÓN SOBRE EL SISTEMA DE CONTROL INTERNO TEXTO DEL INFORME QUE LA PRESIDENCIA DE DECEVAL PONE A CONSIDERACIÓN DE LA JUNTA DIRECTIVA Y QUE DEBE INCLUIRSE EN EL INFORME ANUAL DE GESTIÓN El Más detalles COMITÉ TECNICO DE NORMALIZACION DE GESTION Y ASEGURAMIENTO DE LA CALIDAD
COMISION DE REGLAMENTOS TECNICOS - CRT COMITÉ TECNICO DE NORMALIZACION DE GESTION Y ASEGURAMIENTO DE LA CALIDAD SUB COMITÉ SECTOR EDUCACION NORMAS APROBADAS NTP 833.920-2003 Guía de aplicación de la Norma Más detalles Andrés Fabián Díaz, Gloria Isabel Collazos, Hermes Cortez Lozano, Leidy Johanna Ortiz 1, Gustavo Adolfo Herazo Pérez
1 IMPLEMENTACION DE UN SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN (SGSI) EN LA COMUNIDAD NUESTRA SEÑORA DE GRACIA, ALINEADO TECNOLÓGICAMENTE CON LA NORMA ISO 27001 Andrés Fabián Díaz, Gloria Isabel Más detalles TEMA: PONENTE: PROEXPORT (Colombia) Miguel
TEMA: PONENTE: PROEXPORT (Colombia) Miguel Angel Arévalo Q. Ingeniero de sistemas y computación, y Especialista en Construcción n de software experiencia en seguridad de la información n en ETB, CertificadoCISSP Más detalles 2017 © DocPlayer.es Política de privacidad | Condiciones del servicio | Feedback

References: Resolución 
 artículo 9
 artículo 9
 Resolución 
 artículo 9
 Resolución 
 artículo 2
 Resolución