Source: http://docplayer.es/7982331-Sistema-de-gestion-del-servicio-sgs-requisitos-generales-politica-de-seguridad-de-la-informacion.html
Timestamp: 2018-01-20 21:09:25
Document Index: 204172272

Matched Legal Cases: ['Artículo 10', 'Artículo 1', 'Artículo 2', 'Artículo 3', 'Artículo 4', 'Artículo 5', 'Artículo 6']

SISTEMA DE GESTIÓN DEL SERVICIO (SGS) REQUISITOS GENERALES POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN - PDF
Download "SISTEMA DE GESTIÓN DEL SERVICIO (SGS) REQUISITOS GENERALES POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN"
Gonzalo Palma Martin
1 SISTEMA DE GESTIÓN DEL SERVICIO (SGS) REQUISITOS GENERALES POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Vicerrectorado de TIC, Calidad e Innovación Centro de Informática y Comunicaciones
2 Título Entregable Nombre del Fichero Autor Requisitos Generales del SGS Política de Seguridad de la Información DOC_CIC_PoliticadeSeguridadInformación.doc Dirección CIC Versión/Edición v02r01 Fecha Versión 10/09/2012 Aprobado por Comisión de Garantía Interna de Calidad Fecha Aprobación 10/09/2012 Nº Total Páginas 10 CONTROL DE DISTRIBUCIÓN Nombre y Apellidos Cargo Área Comisión de Garantía Interna de Calidad Personal CIC CIC Alicia Troncoso Lora Vicerrectora TICCAL Política de Seguridad de la Información. DOC_CIC_PoliticadeSeguridadInformación.doc 2
3 1. Política de Seguridad. La Normativa de Uso de los Servicios y Recursos Informáticos y de Comunicación de la Universidad Pablo de Olavide, de Sevilla, aprobada por consejo de Gobierno de 31 de octubre de 2006 (BUPO nº: 5), faculta al responsable académico para emitir instrucciones específicas que desarrollen la definición y las condiciones de uso de los distintos servicios informáticos y de comunicaciones. En ejercicio de dicho encargo se emite la siguiente instrucción por la que se crea la Comisión de Seguridad de TI y se aprueba el Documento de Política de Seguridad de la Información de la Universidad Pablo de Olavide, de Sevilla. La información de cualquier organización y en particular la de la Universidad Pablo de Olavide, de Sevilla, es esencial para cumplir con los objetivos estratégicos y en consecuencia necesita ser protegida adecuadamente. La creciente globalización e interconectividad de las Tecnologías de la Información y las Comunicaciones ha originado que la información esté expuesta a un número cada vez mayor de amenazas y vulnerabilidades. Esta evolución está obligando a las organizaciones y entidades a crear medidas de emergencia, normativas, políticas y/o directrices para prevenir y contrarrestar estas amenazas y transgresiones. La gestión de la seguridad de los sistemas de información es un proceso complejo que incluye personas, tecnologías, normas y procedimientos. La Universidad Pablo de Olavide, de Sevilla viene desarrollando un conjunto de actuaciones dirigidas a establecer un sistema de gestión de la seguridad de la información (SGSI) ajustado a los marcos metodológicos vigentes (MAGERIT, Metodología de Análisis y Gestión de Riesgos para la Seguridad de los Sistemas de Información del Ministerio para las Administraciones Públicas; UNE-ISO/IEC y ) con el fin de abordar los aspectos de seguridad necesarios para la protección de sus sistemas de información y de las infraestructuras necesarias para el funcionamiento de estos sistemas. Para formalizar los objetivos de seguridad de la Universidad Pablo de Olavide, de Sevilla se ha desarrollado una política que recoge directrices básicas y duraderas de gestión de la seguridad de la información. Esta política está en consonancia con La Normativa de Uso de los Servicios y Recursos Informáticos y de Comunicación de la Universidad Pablo de Olavide, de Sevilla, aprobada por consejo de Gobierno de 31 de octubre de 2006 (BUPO nº: 5), en su Artículo 10. Instrucciones específicas. La autoridad académica responsable de los servicios y recursos establecerá las instrucciones específicas para el empleo de cada uno de ellos, de acuerdo con los principios de seguridad, eficacia y eficiencia, y garantizando en todo caso el respeto a las licencias de uso obtenidas por la Universidad y la protección de datos personales. A la vista de lo expuesto, resulta necesario dar a conocer a todos los colectivos implicados en la gestión y utilización de los sistemas de información de la Universidad el conjunto de medidas adoptadas y de establecer los mecanismos para el seguimiento y la mejora de los procedimientos establecidos. En ejercicio de dicho encargo se emite la siguiente instrucción. Artículo 1. Objeto y ámbito de aplicación. 1. La presente Instrucción tiene por objeto aprobar y dar a conocer a los usuarios de los sistemas de información de Universidad Pablo de Olavide, de Sevilla la Política de Seguridad de la Información incluida en el Anexo que figura en la presente Instrucción, así como crear la Comisión de Seguridad de TI de la Universidad Pablo de Olavide, de Sevilla. 2. La presente Instrucción resulta de aplicación para todo el personal de la Universidad Pablo de Olavide, de Sevilla y de las empresas que presten servicios a la Universidad. Artículo 2. Creación de la Comisión de Seguridad de TI. Política de Seguridad de la Información. DOC_CIC_PoliticadeSeguridadInformación.doc 3
4 Con la finalidad de asesorar a la Secretaría General en la toma de decisiones necesarias y realizar el seguimiento de las iniciativas en materia de seguridad de la información se crea la Comisión de seguridad de TI como órgano colegiado de propuesta y seguimiento en materia de seguridad de los sistemas de información en el ámbito de la Universidad Pablo de Olavide, de Sevilla. Artículo 3. Composición. 1. La Comisión de seguridad de TI estará integrado por: - El responsable académico en materia de Tecnologías de la Información y la Comunicación, que ejercerá de presidente. - El Secretario General o persona en quien delegue. - El Director del Centro de Informática y Comunicaciones. - El/la Jefe del Servicio de Informática. - El/la Jefe del Servicios de Aplicaciones Transversales y Grandes Sistemas. - La persona responsable de gestión de seguridad de la información, que ejercerá las funciones de Secretario de la Comisión. - Representantes de las áreas administrativas y académicas. 2. En la Comisión de Seguridad de TI se podrán integrar representantes de otras unidades y/ centros si así se requiere. 3. Asimismo, se podrá invitar a otros representantes o personas cuando su conocimiento o experiencia sean necesarios durante las reuniones. Artículo 4. Funciones. La Comisión de Seguridad de TI tendrá las siguientes funciones: 1. Identificar, revisar y proponer objetivos estratégicos en materia de seguridad de la información. 2. Proponer y revisar la política de seguridad y las normas de seguridad de ámbito global. 3. Asegurar la disponibilidad de los recursos necesarios para llevar a cabo los planes de acción relacionados con la seguridad de la información. 4. Proponer las iniciativas principales para mejorar la gestión de la seguridad de la información. 5. Realizar el seguimiento del nivel de seguridad de la información en base a unos indicadores definidos. 6. Conocer el resultado de los análisis de riesgos y aprobar los umbrales de riesgo residual. Artículo 5. Funcionamiento y método de trabajo. 1. Con objeto de ejercer un seguimiento periódico, la Comisión de Seguridad de TI se reunirá al menos una vez por trimestre. 2. Por razones de urgencia, la Comisión de Seguridad de TI se reunirá de forma extraordinaria cuando el presidente lo estime conveniente. 3. Como método de trabajo e intercomunicación de los distintos miembros de la Comisión de Seguridad de TI, se utilizarán preferentemente métodos telemáticos de transmisión de la información. De toda la documentación de funcionamiento de la Comisión existirá registro electrónico en el gestor documental del SGSI. Artículo 6. Régimen jurídico. Política de Seguridad de la Información. DOC_CIC_PoliticadeSeguridadInformación.doc 4
5 La Comisión de Seguridad de TI se regirá por el Capítulo II del Título II de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. Disposición Adicional Única. Constitución de la Comisión de Seguridad de TI. La primera reunión de la Comisión de Seguridad de TI tendrá como objeto la constitución de la propio Comisión y se celebrará en un plazo de diez días a partir del día siguiente al de la publicación de la presente Instrucción en el Boletín Oficial de la Universidad Pablo de Olavide, de Sevilla. Disposición Final Primera. Desarrollo y ejecución. Se faculta a la persona titular de la Secretaría General para dictar cuantas disposiciones sean necesarias para el desarrollo, difusión y ejecución de la presente Instrucción. Disposición Final Segunda. Entrada en vigor. La presente Instrucción entrará en vigor el día siguiente al de su publicación en el Boletín Oficial de la Universidad Pablo de Olavide, de Sevilla. ANEXO: POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN 1. Introducción. La amplitud de las competencias de la Universidad Pablo de Olavide, de Sevilla motiva que se gestione una gran cantidad de datos en los sistemas de información de la misma. Este hecho, y el uso extensivo de tecnologías de la información en la Universidad, hace necesario definir una política de seguridad de la información, con el objetivo de establecer directrices básicas y duraderas para una protección eficaz de los sistemas gestionados por la Universidad y de la información almacenada en los mismos. La presente política de seguridad de la información es el marco de referencia para establecer el Sistema de Gestión de la Seguridad de la Información (SGSI) de la Universidad Pablo de Olavide, de Sevilla. El enfoque para la gestión de la seguridad adoptado en el SGSI se basa en el recomendado por la norma UNE- ISO/IEC («Sistemas de Gestión de la Seguridad - Requisitos»). Las directrices recogidas en este documento han sido elegidas de acuerdo con el estándar UNE-ISO/IEC («Código de buenas prácticas para la Gestión de la Seguridad de la Información»), que establece un marco de referencia de seguridad respaldado y reconocido Internacionalmente. Este marco tecnológico, organizativo y procedimental de seguridad se soporta en un conjunto de normas, estándares, procedimientos y herramientas de seguridad para la protección de la información, entre ellos la metodología MAGERIT de análisis y gestión de riesgos. La aprobación de esta política manifiesta el interés de Universidad Pablo de Olavide, de Sevilla en la gestión de la seguridad de la información y en la mejora continua del SGSI. Con ella se establecen los objetivos y las responsabilidades necesarias para proteger los activos de información (informaciones de interés para la Universidad, junto con los medios que se usen para procesarlas), garantizando la integridad, disponibilidad y confidencialidad de los mismos, cumpliendo con el marco legal vigente y respetando las directrices, normas y procedimientos que oportunamente se establezcan. La Universidad Pablo de Olavide, de Sevilla establecerá las medidas técnicas, organizativas y de control que garanticen la consecución de estos objetivos. 2. Ámbito de aplicación. Política de Seguridad de la Información. DOC_CIC_PoliticadeSeguridadInformación.doc 5
6 El alcance de la política de seguridad incluye todas los Centros, Departamentos, áreas y unidades administrativas, Personal de Administración de Servicios (PAS) y Personal Docente e Investigación (PDI) y estudiantes que acceden a los sistemas de información de la Universidad Pablo de Olavide, de Sevilla, así como organismos o empresas colaboradoras. La política de seguridad es aplicable a todos los sistemas de información de la Universidad Pablo de Olavide, de Sevilla y/o que den soporte a sus procesos y afecta a todos los activos de información sustentados en ellos. La política de seguridad se encuentra enmarcada en el sistema de gestión de la seguridad de la información (SGSI) de la Universidad Pablo de Olavide, de Sevilla establecido desde el Vicerrectorado de Tecnologías de la Información y la Comunicación. 3. Normativa de seguridad. El sistema de gestión de la seguridad de la información (SGSI) queda formalmente establecido mediante una normativa de seguridad, formada por la presente política y las normas, estándares y procedimientos operativos que la desarrollan. La unidad responsable de seguridad se encarga de la gestión de los documentos de la normativa, debiendo asegurar que ésta sea completa y proporcione información suficiente para definir las necesidades de protección de la información y los activos asociados a la misma en el ámbito de la Universidad Pablo de Olavide, de Sevilla. Los documentos de la normativa de seguridad serán publicados y divulgados con el objetivo de que sean conocidos y aplicados por todos los usuarios afectados. 4. Organización y gestión de la seguridad Responsabilidad general. Todos y cada uno de los usuarios de los sistemas de información de la Universidad Pablo de Olavide, de Sevilla son responsables de la seguridad de los activos informáticos mediante un uso correcto los mismos, siempre de acuerdo con sus atribuciones profesionales Responsabilidad específica. La gestión de los procesos de seguridad recogidos en el SGSI de la Universidad Pablo de Olavide, de Sevilla es responsabilidad de un conjunto de personas con funciones concretas, definidas y documentadas. El personal que desempeñe tareas específicas relacionadas con seguridad de la información recibirá la formación adecuada que se ajuste a sus funciones y nivel de responsabilidad. Para una mejor respuesta ante incidentes de seguridad, Universidad Pablo de Olavide, de Sevilla mantendrá relaciones de cooperación en materia de seguridad con las autoridades competentes, proveedores de servicios informáticos o de comunicación, así como organismos públicos o privados dedicados a promover la seguridad de los sistemas de información. 5. Clasificación y Control de Activos. Los recursos informáticos y la información de la Universidad Pablo de Olavide, de Sevilla se encontrarán inventariados, con un responsable asociado y, en caso de ser necesario, un custodio de los mismos. Los inventarios se mantendrán actualizados para asegurar su validez. Los activos de información estarán clasificados de acuerdo a su sensibilidad y criticidad para el desarrollo de la actividad de la Universidad, en función de la cual se establecerán las medidas de seguridad exigidas para su protección. 6. Seguridad física y ambiental. Política de Seguridad de la Información. DOC_CIC_PoliticadeSeguridadInformación.doc 6
7 Los sistemas de información serán emplazados en áreas seguras protegidas con controles de acceso físicos adecuados al nivel de criticidad de los mismos. Los sistemas y la información que soportan estarán adecuadamente protegidos frente a amenazas físicas o ambientales, sean éstas intencionadas o accidentales. 7. Gestión de sistemas, operaciones y comunicaciones. La Universidad Pablo de Olavide, de Sevilla asegurará la correcta gestión y operación de los sistemas de información estableciendo estándares de seguridad y adoptando las mejores prácticas en materia de seguridad (configuración, mecanismos de protección, actualización, monitorización, detección de vulnerabilidades, respaldo de información, etc.). Las incidencias relacionadas con seguridad de la información serán registradas, notificadas y resueltas a la mayor brevedad posible por el personal asignado para ello. Los entornos de desarrollo y pruebas estarán separados y serán independientes de los entornos productivos con el fin de mantener la seguridad de los datos reales de producción y el rendimiento de los servicios. Toda información que se transmita a través de redes de comunicaciones deberá ser adecuadamente protegida mediante mecanismos que garanticen su seguridad. El almacenamiento, manipulación, transporte, destrucción o desecho de cualquier activo que soporte información de la Universidad Pablo de Olavide, de Sevilla garantizará la imposibilidad de acceso o recuperación de su contenido por parte de personal no autorizado. 8. Control de acceso. La Universidad Pablo de Olavide, de Sevilla pone a disposición de sus usuarios la capacidad de acceder a sus sistemas de información y visualizar o modificar la información que procesan y almacenan. Los permisos de acceso a las redes, sistemas y a la propia información serán otorgados mediante un proceso formal de aprobación que asegure que los usuarios tengan acceso únicamente a los recursos e información necesarios para el desempeño de sus funciones en la Universidad. Todos los empleados y personal externo, así como entidades colaboradoras que accedan a los sistemas de información de la Universidad Pablo de Olavide, de Sevilla, quedarán registrados y dispondrán de credenciales personales e intransferibles. Toda persona registrada que disponga de credenciales de acceso será responsable de mantener su confidencialidad y asegurar su correcto uso. 9. Desarrollo y mantenimiento de sistemas. Las aplicaciones que se desarrollen para la Universidad Pablo de Olavide, de Sevilla deberán contemplar aspectos de seguridad de la información en todas las fases del ciclo de vida de desarrollo, desde la toma de requisitos hasta la realización de pruebas y el paso a producción. 10. Gestión de continuidad de actividad. La Universidad Pablo de Olavide, de Sevilla dispone de un plan para mantener la continuidad de los procesos y sistemas críticos y garantizar su recuperación en caso de desastre. La finalidad de este plan es reducir el tiempo de indisponibilidad a niveles aceptables mediante la combinación de controles de carácter organizativo, tecnológico y procedimental tanto preventivos como de recuperación. 11. Conformidad. La Universidad Pablo de Olavide, de Sevilla adoptará las medidas técnicas y organizativas necesarias para mantener sus sistemas de información adaptados a la normativa legal vigente, y especialmente a aquellas regulaciones legales relativas al tratamiento de los datos de carácter personal. Política de Seguridad de la Información. DOC_CIC_PoliticadeSeguridadInformación.doc 7
8 Es responsabilidad de todas las áreas conocer y cumplir la legislación vigente de aplicación en sus ámbitos de actuación, incluyendo especialmente las áreas responsables de desarrollo de servicios y sistemas de información. Las contrataciones y acuerdos de nivel de servicios que se establezcan con terceros incluirán cláusulas y garantías de cumplimiento de los requisitos de seguridad que exija la Universidad Pablo de Olavide, de Sevilla y la normativa legal vigente. Con carácter periódico se realizarán auditorías que comprueben el grado de conformidad con la política y la legislación, y revisiones que determinen el grado de cumplimiento de los objetivos de seguridad establecidos y la eficacia de los controles establecidos. Los resultados obtenidos determinarán las líneas de actuación a seguir y las posibles modificaciones a realizar sobre los controles y la normativa de seguridad. Política de Seguridad de la Información. DOC_CIC_PoliticadeSeguridadInformación.doc 8
9 ANEXO I Glosario Activo. Componente o funcionalidad de un sistema de información susceptible de ser atacado deliberada o accidentalmente con consecuencias para la organización. Incluye: información, datos, servicios, aplicaciones (software), equipos (hardware), comunicaciones, recursos administrativos, recursos físicos y recursos humanos. Autenticación. Procedimiento de comprobación de la identidad de un usuario como medida de seguridad frente a posibles operaciones fraudulentas a través de la Red. La finalidad que persigue esta medida de seguridad es servir de salvaguarda para comprobar que los usuarios con los que se está interactuando son realmente quienes dicen ser. Este proceso constituye una funcionalidad característica para una comunicación segura en la Red. Confidencialidad. Propiedad o atributo consistente en proporcionar acceso a los sistemas de información únicamente a aquellos usuarios autorizados, en tiempo y forma determinados, y negar el acceso a terceros no autorizados. Disponibilidad. Se trata de la capacidad de un servicio, de unos datos o de un sistema, a ser accesible y utilizable por los usuarios (o procesos) autorizados cuando estos lo requieran. Documento de seguridad. Se trata de un documento elaborado por el responsable del fichero o tratamiento en el que se recogen las medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información. Integridad. Conjunto de medidas de seguridad que se incluyen en un sistema de información, que garantizan la exactitud de los datos transportados o almacenados, evitando su alteración, pérdida o destrucción, ya sea de forma accidental, por fallos de software o hardware, por condiciones medioambientales o bien, por intervención de terceros con fines fraudulentos. Manual de seguridad: Se trata del documento que inspira y dirige todo el sistema, el que expone y determina las intenciones, alcance, objetivos, responsabilidades, políticas y directrices principales, etc., del Sistema de Gestión de Seguridad de la Información (SGSI). Incluye la política que se define como Política de seguridad. Medidas de seguridad. Conjunto de disposiciones encaminadas a protegerse de los riesgos posibles sobre el sistema de información, con el fin de asegurar sus objetivos de seguridad. Puede tratarse de medidas de prevención, de disuasión, de protección, de detección y reacción, o de recuperación. Política de seguridad. Conjunto de directrices plasmadas en documento escrito, que rigen la forma en que una organización gestiona y protege la información y los servicios que considera críticos. Sistema de gestión de la seguridad de la información (SGSI). Sistema de gestión que, basado en el estudio de los riesgos, se establece para crear, implementar, hacer funcionar, supervisar, revisar, mantener y mejorar la seguridad de la información. El sistema de gestión incluye la estructura organizativa, las políticas, las actividades de planificación, las responsabilidades, las prácticas, los procedimientos, los procesos y los recursos. Resoluciones Rectorales NOTA 1: El Consejo de Gobierno de la Universidad, en sesión de 28 de junio de 2010 acuerda. Crear la Comisión de Seguridad de Tecnologías de la Información (en adelante Comisión de Seguridad de TI) como órgano colegiado de propuesta y seguimiento en materia de seguridad de los sistemas de información Política de Seguridad de la Información. DOC_CIC_PoliticadeSeguridadInformación.doc 9
10 NOTA 2: Resolución Rectoral de 22 de febrero de 2011, por la que se hace pública la Política de Seguridad de la Información de la Universidad Pablo de Olavide, de Sevilla, aprobada por el Consejo de Dirección en su sesión del 8 de febrero de Política de Seguridad de la Información. DOC_CIC_PoliticadeSeguridadInformación.doc 10