Norma de Control de Cambios

Transcripción

1 SERVICIO NACIONAL PARA LA PREVENCIÓN Y REHABILITACIÓN DEL CONSUMO DE DROGAS Y ALCOHOL Sistema de Gestión de la Seguridad de la Información Código: SSI Control: A Este documento es de propiedad exclusiva de SENDA y su uso debe estar ceñido a lo dispuesto en la clasificación del mismo, quedando prohibida la divulgación y/o reproducción total o parcial del contenido de éste, sin la debida autorización por parte del Comité de Seguridad de la Información. Su uso y distribución sólo está autorizado al interior de SENDA y por parte del personal debidamente habilitado.

2 Página 2 de 7 Control de versiones: VERSIÓN ELABORADO REVISADO APROBADO FECHA 1 Encargado de Seguridad de la Información Jefe de Tecnología e Informática Comité de Seguridad de la Información 26/11/2013

3 Página 3 de 7 Contenido 1. Introducción Objetivo Roles/Responsabilidades Alcance Requerimientos Referencias Cambios de Software Cambios al Hardware (Servidores Centrales, Equipos de Comunicaciones) Cambios en las Configuraciones Flujo Registros de Control Indicador de eficacia Sugerencias... 7

4 Página 4 de 7 1. Introducción Todo cambio al estado de la infraestructura tecnológica, debe ser efectuado sin afectar los servicios, ni la integridad de los mismos. 2. Objetivo Controlar todo cambio en la infraestructura tecnológica, garantizando que los niveles de Confidencialidad, Integridad y Disponibilidad no se vean afectados por actividades no planificadas adecuadamente. 3. Roles/Responsabilidades Área de Tecnología e Informática: Planificar y ejecutar la instalación de cambios al sistema operativo o software aplicativo. Aprobar excepciones al adquirir Software, donde no se cuente con el adecuado soporte del fabricante o de empresas calificadas. Planificar y solicitar a la unidad interna competente o a un tercero, los cambios al hardware (Servidores Centrales, Equipos de Comunicaciones) que se originen por mejoras o por reparación. 4. Alcance Esta Norma de Seguridad de Control de Cambios, afecta a todo cambio a efectuarse en la infraestructura tecnológica de información y comunicaciones, en el software y en el hardware. 5. Requerimientos Solicitud formal de cambios a la infraestructura tecnológica 6. Referencias SSI Los procedimientos SSI-10-06, SSI y SSI conforman la Procedimiento de cambios en la provisión de servicios críticos

5 Página 5 de 7 7. Cambios de Software El Área de Tecnología e Informática es responsable de planificar y ejecutar la instalación de cambios al sistema operativo o software. Todo Software adquirido o incorporado a la institución, debe contar con el adecuado soporte del fabricante o de empresas calificadas, las excepciones serán aprobadas por el Comité de Seguridad de la Información. Todos los cambios al sistema operativo se deben programar en horarios que no interfieran con el normal funcionamiento de la organización. Se debe planificar detalladamente las etapas de un cambio, incluyendo respaldos, recursos, conjunto de pruebas pre y post-instalación, criterio de aceptación del cambio y un plan de vuelta atrás. Todo indicado como checklist para su verificación y autorización. Antes de modificar software con parches o módulos adicionales, se debe: (1) Realizar una prueba de funcionamiento, instalando el software en un sistema aislado, (2) Respaldar dos veces el sistema completo y (3) Instalar los módulos de software desde una copia en buen estado. No se debe instalar parche o módulo alguno, sin verificar su autenticidad y su integridad. Inmediatamente después de modificar el software, se debe respaldar el disco donde éste reside. Si un parche o módulo modificado es recibido como código fuente, se debe compilar localmente y así generar el código ejecutable. Previo al proceso de cambios se debe habilitar el máximo de detalle en la función de registro de auditoria. Todo cambio en el Software debe ser registrado en bitácoras. 8. Cambios al Hardware (Servidores Centrales, Equipos de Comunicaciones) El Área de Tecnología e Informática es responsable de planificar y solicitar a la unidad interna competente o a un tercero, los cambios al hardware que se originen por mejoras o por reparación.

6 Página 6 de 7 Se debe planificar detalladamente las etapas de una mejora o actualización de hardware, incluyendo respaldos, recursos necesarios, conjunto de pruebas post-instalación, criterio de aceptación del cambio y un plan de vuelta atrás. Si el cambio al hardware se debe a mejoras o actualizaciones, se debe programar en horarios que no interfieran con el normal funcionamiento de la organización. Todo cambio debe quedar registrado en la bitácora del operador de turno. 9. Cambios en las Configuraciones El Área de Tecnología e Informática es responsable de planificar y ejecutar los cambios en las configuraciones de los software del equipamiento de HW. Todos los cambios de configuración se deben programar en horarios que no interfieran con el normal funcionamiento de la organización. Se debe planificar detalladamente las etapas de un cambio, incluyendo respaldos, recursos, conjunto de pruebas pre y post-instalación, criterio de aceptación del cambio y un plan de vuelta atrás. Todo indicado como checklist para su verificación y autorización. Antes de modificar las configuraciones se debe: (1) Realizar una prueba de funcionamiento, (2) Respaldar dos veces el sistema completo. No se debe realizar configuración alguna, sin la previa autorización del Área de Tecnología e Informática. Inmediatamente después de realizada y aprobada la configuración, se debe generar un respaldo de la configuración definitiva. Previo al proceso de cambios se debe habilitar el máximo de detalle en la función de registro de auditoria. Todo cambio en la configuración debe ser registrado en bitácoras. 10. Flujo N/A Norma

7 Página 7 de Registros de Control Requerimiento de recursos Descripción del desarrollo por la unidad solicitante (req_desarrollo_1..4) Requerimiento Inicial con formato (req_inicial.pdf) Carta Gantt (req_gantt.pdf) Log de errores (req_log_errores1..2) Formulario de Entrega (req_entrega.pdf) Formulario modificaciones (req_formulario_modificaciones.pdf), cuando se trata de modificar un modulo (distinto a crear un nuevo modulo) 12. Indicador de eficacia Cantidad de cambios realizados de acuerdo a los procedimientos definidos Corresponde a todos aquellos cambios realizados de acuerdo a los procedimientos de paso a producción definidos Evidencia: Requerimiento de recursos Descripción del desarrollo por la unidad solicitante (req_desarrollo_1..4) Requerimiento Inicial con formato (req_inicial.pdf) Carta Gantt (req_gantt.pdf) Log de errores (req_log_errores1..2) Formulario de Entrega (req_entrega.pdf) Formulario modificaciones (req_formulario_modificaciones.pdf), cuando se trata de modificar un modulo (distinto a crear un nuevo modulo). Frecuencia de medición: Trimestral 13. Sugerencias N/A