Ministerio de Relaciones Exteriores República de Colombia

Transcripción

1 Página 1 de 8 Fecha de Vigencia: 30 / 09 / 15 VERSIÓN 1 Adopción del procedimiento HISTORIAL DE CAMBIOS NATURALEZA DEL CAMBIO CONTROL DE REVISIONES ELABORÓ CARGO FECHA Hilda Lucy Pabón Benítez Coordinadora de Servicios Tecnológicos 24/09/15 REVISÓ CARGO FECHA Martha Lucia Jiménez Medina Directora DIGIT 24/09/15 APROBÓ METODOLÓGICAMENTE CARGO FECHA Liz Alexi Jerez Araque Jefe Oficina Asesora de Planeación y Desarrollo Organizacional 30/09/15

2 Página 2 de 8 1. OBJETIVO Establecer la secuencia de actividades requeridas para otorgar permisos de acceso a los servicios de TI a los usuarios autorizados y negar permisos a los usuarios no autorizados. 2. ALCANCE Inicia con la solicitud de acceso, verificación y monitoreo de identidad del usuario, registro y asignación de permisos y termina con la eliminación de las credenciales, de acuerdo con lo establecido en el Manual Seguridad de la Información. 3. BASE LEGAL Decreto 2573 de 12 de diciembre del 2014, Por el cual se establecen los lineamientos generales da la estrategia de Gobierno en línea de la. Decreto 3355 de 2009, Articulo 19, en el cual se establecen las funciones de la Dirección de Gestión de Información y Tecnología del Ministerio de Relaciones Exteriores. Resolución 5813 de 2011, por la cual se crean Grupos Internos de Trabajo de Ministerio de Relaciones Exteriores. 4. DEFINICIONES Acceso: Es el nivel de extensión de funcionalidades de un servicio de TI o información que un usuario es autorizado a usar. Directorio Activo DA (por sus siglas en ingles Active Directory): Aplicación mediante la cual se gestionan y administran los usuarios de la Entidad. Identificación: Un único nombre que es usado para identificar un usuario, persona, rol. Indicador clave de desempeño o KPI (por sus siglas en ingles key performance indicator): Métrica que se utiliza para ayudar a gestionar un proceso. Matriz RACI: Modelo útil para la asignación de responsabilidades en la ejecución de tareas o actividades, RACI por las iniciales de los tipos de responsabilidad (R. Responsable; A. Dueño; C. Consulta; I. Informado). La asignación de responsabilidades de la gestión de acceso a los servicios de TI se detallan en el Anexo 1 Matriz RACI para el proceso de gestión de acceso a los servicios de TI Permisos: Privilegios o autorización otorgados a un usuario perfil o rol.

3 Página 3 de 8 5. DOCUMENTOS ASOCIADOS GR-MA-01 Manual de Seguridad de la Información DE-MA-01 Manual de Calidad GR-PT-33 Gestión de catálogo y niveles de servicios de TI GR-GS-02 Guía de condiciones y uso del servicio de correo electrónico Manual de gobierno en línea ISO Sistema gestión de servicios de TI ITIL Foundation Gestión de servicios TI 6. REGISTROS Base de datos del Directorio Activo (Aplicativo) GR-FO-07 Conexión VPN Usuarios Externos GR-FO-010 Accesos a servicios TI Informe de evaluación de gestión de acceso a servicios de TI 7. POLÍTICAS DE OPERACIÓN Las solicitudes de creación, modificación de permisos y eliminación de usuarios deben ser realizadas por Directores y/o coordinadores de Área y Jefes de Misiones, mediante formato GR-FO-010 Accesos a servicios TI. La solicitud realizada por el Jefe inmediato deberá incluir los permisos a las aplicaciones del negocio que el funcionario, pasante o contratista podrá ingresar o la eliminación de permisos a las aplicaciones en caso de modificación o eliminación. El manejo de las cuentas de usuario y contraseña son de carácter personal e intransferible, por lo tanto las operaciones que pongan en riesgo los intereses del Ministerio de Relaciones Exteriores o del Fondo Rotatorio serán de entera responsabilidad del usuario o funcionario. La inactivación de una cuenta de usuarios podrá ser solicitada por Director y/o Coordinador de área y Jefes de Misión que reporte la ausencia definitiva o temporal del funcionario a través del formato GR-FO-010 Accesos a servicios TI. El monitoreo y validación de acceso a servicios de TI a los usuarios será responsabilidad del Gestor de Acceso a Servicios de TI, las cuales se detallan en el Anexo 2 Rol del gestor de acceso a servicios de TI. El informe de evaluación es el documento que contiene las estadísticas del número de usuarios creados, deshabilitados y eliminados mensualmente. Su contenido se detalla en el Anexo 3 Estructura del informe de evaluación de gestión de acceso a servicios de TI.

4 8. DESARROLLO DEL PROCEDIMIENTO GESTION DE ACCESO A LOS SERVICIOS DE TI Página 4 de 8 ADMINISTRACIÓN DE USUARIOS OBSERVACIONES Inicio 1. Registro y creación del caso Mesa de Ayuda 2. Verificación y validación de identidad Gestor de Acceso a Servicios de TI 1.a. Registro de solicitud de acceso Se realiza a través de mesa de ayuda mediante formato. 1.b. La mesa de ayuda debe validar y asegurarse que el formato este debidamente diligenciado. La verificación y validación de identidad debe incluir: Identidad del usuario que solicita el acceso. Validación de la identidad del autorizador. Validez de los motivos para autorizar el acceso. 3. Devolver solicitud con justificación Gestor de Acceso a Servicios de TI NO Validación correcta de identidad? SI 3. Si la validez de identidad no es correcta se informa a la Mesa de Ayuda para que se notifique al solicitante y autorizador las razones por las cuales no cumple la solicitud, 4. Crear, actualizar privilegios y perfil de usuario 4. De acuerdo a la solicitud se envía al especialista encargado para que realice la creación, actualización de privilegios a los servicios de TI. Especialistas TICs 5. Monitorización de acceso a los servicios de TI Gestor de Acceso a Servicios de TI 6. Eliminación y restricción de derechos Especialistas TICs Informe de evaluación de gestión de acceso a servicios de TI Asegurar que los permisos otorgados se usan correctamente. 5.a. Documentar los acceso no autorizados como excepciones o vulnerabilidades a las normas de acceso detectados. 5.b Envió a gestión de Incidentes las evidencias y/o actividades sospechosas. 5.c. Los hallazgos encontrados deberán detallarse en el informe de acceso a los servicios de TI. Anexo 3. Los permisos pueden ser eliminados por: Desvinculación de la Entidad Cambio de rol o dependencia. Fin

5 9. PUNTOS DE CONTROL Página 5 de 8 PUNTOS DE CONTROL No. ACTIVIDAD DESCRIPCION DE LA ACTIVIDAD CRITICA O VULNERABLE DESCRIPCION DEL CONTROL FRECUENCIA RESPONSABLE REGISTRO 4 Privilegio de permisos vulnerados * Sensibilizar al usuario para reportar novedades de identidad o accesos. * Definir políticas para cancelar privilegios a usuarios. Bimensual Gestor de Acceso a Servicios de TI Informe de evaluación de gestión de acceso a servicios de TI

6 Página 6 de ANEXOS ANEXO 1 MATRIZ RACI PARA EL PROCESO DE GESTION DE ACCESO A LOS SERVICIOS DE TI Actividades Mesa de Ayuda Especialista TICs Gestor de Acceso a servicios de TI Coordinador de Servicios Tecnológicos y Director DIGIT Registro y creación del caso R A Verificación y validación de identidad I C R Devolución de solicitud I R C-I Creación, actualización de privilegios I R A Monitorización de acceso a servicios de TI C R-A C-I Eliminación y restricción de derechos I R A C-I R. Responsable A. Dueño C. Consulta I. Informado

7 Página 7 de 8 ANEXO 2 ROL DEL GESTOR DE ACCESO A SERVICIOS DE TI El gestor de Acceso a servicios de TI, es el responsable de asegurar que el procedimiento para gestión de acceso a servicios de TI se cumpla, dentro de sus responsabilidades se destaca: 1. Proponer e implementar acciones para garantizar que la gestión del acceso a servicios de TI sean registrados y se implementen de acuerdo a las solicitudes de los Directivos o Jefes. 2. Explicar el proceso a los equipos de trabajo y a los usuarios. 3. Verifica que la información de la gestión de acceso a servicios de TI sea completa y pertinente (de modo que pueda ser útil más tarde para búsquedas en la base de datos de conocimiento) 4. Verificar que las cuentas de acceso a los servicios de TI tengas los servicios solicitados de acuerdo a sus funciones y su uso sea el adecuado. 5. Identificar abusos en uso de privilegios o accesos no autorizados y reportarlos. 6. Asegurar la actualización de las cuentas de usuario 7. Elaborar informes de evaluación del proceso y proponer acciones de mejora continua. 8. Revisión y ajustes periódicos al proceso de gestión de acceso a los servicios de TI.

8 ANEXO 3 Página 8 de 8 ESTRUCTURA DEL INFORME DE EVALUACIÓN DE GESTIÓN DE ACCESO A SERVICIOS DE TI El informe de evaluación de la gestión de acceso a servicios de TI debe permitir evaluar el rendimiento del proceso y proveer información importante a otras áreas de gestión de TI. 1. Periodo evaluado Indica el rango de tiempo que se evalúa. La periodicidad será bimensual 2. Responsable de la generación del informe de gestión Nombre de la persona responsable de la elaboración del informe 3. Dirigido a Indicar el nombre y cargo de las personas a quienes el informe será presentado 4. Estadísticas del proceso Se incluirán las estadísticas en el período evaluado sobre: Número de usuarios creados en el periodo Número de usuarios deshabilitados y eliminados en el periodo Incidentes por configuración incorrecta de los accesos Incidentes de seguridad por accesos no autorizados 5. Hallazgos identificados a partir de los reportes Detallar hechos relevantes que deben ser comunicados a los interesados del proceso 6. Indicadores de gestión de KPI Para los indicadores de KPI los índices a medir son: Nombre KPI Valor Máximo Valor Mínimo Umbral Valor esperado Incidentes por configuración incorrecta de usuarios 5% 0% 5% > 0% 0% 7. Análisis y propuesta de mejora Realizar un análisis de las estadísticas e indicadores, identificando oportunidades de mejora y/o fortalezas. Con base a las oportunidades de mejora, se definen las acciones correctivas dentro del proceso