=drð^=al`bkqb= qfqri^`flkbp=ab=j^pqbo=

Transcripción

1 =drð^=al`bkqb= qfqri^`flkbp=ab=j^pqbo= MASTER UNIVERSITARIO EN GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN CURSO 2014/2015 ASIGNATURA: OTRAS NORMATIVAS EN EL AMBITO DE LA SEGURIDAD DE LA INFORMACIÓN Nombre del Módulo al que pertenece la materia OTRAS NORMATIVAS EN EL AMBITO DE LA SEGURIDAD DE LA INFORMACIÓN ECTS Carácter Periodo Calendario Requisitos previos Totales Básica Obligatoria Optativa 1 er C 2ºC Semanas 6 X Idiomas en los que se imparte la asignatura Castellano X Valenciano Inglés Francés Departamento Departamento ciencias físicas, matemáticas y de la computación Área de Conocimiento Profesor/es responsable/s de la materia / asignatura Nombre y apellidos Despacho y Facultad dónde se ubica Correo electrónico y página web Horario de atención al alumnado Carlos López Cañas carloslopez@uchceu.es Disponible en la intranet OTRAS NORMATIVAS EN EL AMBITO DE LA SEGURIDAD DE LA INFORMACIÓN 1

2 Objetivos de la materia según Memoria de Grado verificada Competencias que se adquieren a través de la materia / asignatura según la Memoria de Grado verificada Competencias básicas: CB2, CB3, CB5 Competencias generales: CG1 Competencias específicas: CE3, CE4 Contenidos de la materia / asignatura Contenidos básicos: Esquema Nacional de Seguridad - ENS PCI-DSS ISO/IEC Gobierno de las TIC - COBIT Governance, Risk and Compliance - GRC Actividades Formativas de la materia / asignatura OTRAS NORMATIVAS EN EL AMBITO DE LA SEGURIDAD DE LA INFORMACIÓN 2

3 ESTIMACION DEL VOLUMEN DEL TRABAJO DEL ESTUDIANTE NOMBRE DE LA MATERIA Créditos ECTS: Volumen de trabajo del alumno Actividad Formativa CLASES MAGISTRALES Hora presencial (A) Presentación de la asignatura 1 Lección Magistral 11 Debates Comentarios y discusión de trabajos 2 Trabajo personal (B) Otros 60 Resolución de problemas Debates Comentarios y discusión de trabajos Simulaciones Laboratorio Prácticas en aula de informática Salidas Exposiciones de trabajos Otros SEMINARIOS CLASES PRÁCTICAS Resolución de Problemas 1 20 Debates Comentarios y discusión de trabajos 3 30 TALLERES Comentarios y discusión de trabajos Exposiciones orales TRABAJO DE SÍNTESIS Tiempo de realización del trabajo EVALUACIÓN Preparación de exámenes 20 Realización de exámenes 2 Otros. Volumen de trabajo (C) C = A + B TOTAL RELACION HORAS DE TRABAJO / ECTS (el resultado de la relación horas de trabajo / ECTS deberá ser igual a 25 horas. 25 OTRAS NORMATIVAS EN EL AMBITO DE LA SEGURIDAD DE LA INFORMACIÓN 3

4 Sistemas y criterios de evaluación Exámenes teórico-prácticos parciales y finales (50%) Realización de trabajos.(40%) Participación activa en foros y en clases amgistrales.(10%) En los exámenes se evalúan las competencias teóricas y prácticas adquiridas, ya que todos los exámenes llevan incluidos una solución de un caso práctico (valor del 35% del total). La evaluación de las competencias prácticas además se evalúan tras la solución, realización y presentación de trabajos individuales prácticos, que suponen un esfuerzo del alumno de un crédito ECTS. En las diferentes materias existen trabajos establecidos sobre diferentes ámbitos tratados. CONVOCATORIA ORDINARIA. EVALUACIÓN CONTINUA: Los objetivos de conocimiento de cada materia, se valorarán mediante trabajos obligatorios, que deben ser enviados a los tutores o profesores asociados por correo electrónico; además de un examen escrito, compuesto por cuestiones tipo test, preguntas de desarrollo razonado y un problema de aplicación o caso práctico. Examen y Trabajos: El alumno podrá presentarse, en una de las cuatro fechas indicadas, a un único examen parcial de cada materia, es decir, el alumno no podrá repetir el examen de una misma materia dentro de las convocatorias parciales. En caso de suspender dicho parcial, obligatoriamente deberá presentarse al examen ordinario en la fecha correspondiente al mismo. Es necesario obtener una nota mínima de 4,0 en el examen para tener la posibilidad de compensar la nota por media ponderada con la obtenida en los trabajos enviados, y así, aprobar la materia en evaluación continua. De no entregarse previamente los trabajos preceptivos, la calificación del examen no tendrá validez y se considerará como NO PRESENTADO en la calificación final de la convocatoria ordinaria. La calificación final ordinaria se calculará por media ponderada asignando un 50% a la nota obtenida en el examen y un 40% a la nota obtenida en los trabajos y un 10% de la participación activa en clases magistrales, foros, etc. La valoración promediada de examen y trabajos debe ser igual o mayor de 5 para considerar la materia superada. CONVOCATORIA EXTRAORDINARIA: El alumno que no supere una materia en la convocatoria ordinaria, deberá presentarse al examen final en la convocatoria extraordinaria, que abarcará todo el contenido de dicha materia. El examen extraordinario podrá incluir preguntas relativas a los trabajos que se han realizado durante el curso. OTRAS NORMATIVAS EN EL AMBITO DE LA SEGURIDAD DE LA INFORMACIÓN 4

5 Programa / temario TEMA I. ESQUEMA NACIONAL DE SEGURIDAD- ENS TEMA II. PCI-DSS TEMA III. ISO/IEC TEMA IV. GOBIERNO DE LAS TIC-COBIT TEMA V. GOBERNANCE, RISK AND COMPLIANCE-GRC Contenido detallado de la asignatura y cronograma de impartición TEMA 1. Esquema nacional de seguridad III. TERMINOS Y DEFINICIONES IV. EL ESQUEMA NACIONAL DE SEGURIDAD 4.1. Estructura del Esquema Nacional de Seguridad 4.2. Principios básicos 4.3. Implantación del ENS TEMA 2. PCI DSS II. APLICABILIDAD III. RELACIÓN ENTRE PA-DSS Y PCI-DSS IV. ALCANCE DE LA EVALUACIÓN DEL CUMPLIMIENTO DE LOS REQUISITOS DE LAS PCI-DSS 4.1. Segmentación de red 4.2. Medios inalámbricos 4.3. Niveles de comercios 4.4. Terceros 4.5. Muestreo de instalaciones de negocios/componentes de sistemas 4.6. Controles de compensación V. INSTRUCCIONES Y CONTENIDO DEL INFORME DE CUMPLIMIENTO 5.1. Contenido y formato del informe 5.2. Revalidación de puntos sujetos a control 5.3. Pasos para completar el cumplimiento de las PCI DSS VI. REQUISITOS DE LAS PCI DSS Y PROCEDIMIENTOS DE EVALUACIÓN DE SEGURIDAD 6.1. Desarrollar y mantener una red segura 6.2. Proteger los datos del titular de la tarjeta 6.3. Mantener un programa de administración de vulnerabilidad 6.4. Implementar medidas sólidas de control de acceso 6.5. Supervisar y evaluar las redes con regularidad 6.6. Mantener una política de seguridad de información VII. AUTOEVALUACIÓN DE LAS PCI DSS VIII. DESCRIPCIÓN GENERAL DEL SAQ IX. SELECCIÓN DEL SAQ Y LA DECLARACIÓN QUE MEJOR SE APLICA A SU ORGANIZACIÓN 9.1. SAQ A Comerciantes con tarjetas ausentes; todas las funciones que impliquen el manejo de datos del titular de la tarjeta, subcontratadas 9.2. SAQ B Comerciantes que usan solamente máquinas impresoras o que tienen terminales independientes con discado externo. Sin almacenamiento electrónico de datos de titulares de tarjetas 9.3. SAQ C-VT Comerciantes con terminales independientes con discado externo sin almacenamiento OTRAS NORMATIVAS EN EL AMBITO DE LA SEGURIDAD DE LA INFORMACIÓN 5

6 Contenido detallado de la asignatura y cronograma de impartición electrónico de datos de los titulares de tarjetas 9.4. SAQ C Comerciantes con sistemas de aplicaciones de pago conectados a Internet, sin almacenamiento electrónico de datos de titulares de tarjetas 9.5. SAQ D Todos los demás comerciantes y todos los proveedores de servicio definidos por una marca de tarjeta de pago como elegible para completar un SAQ 9.6. Guía de no aplicabilidad X. ANEXOS DE PCI DSS Anexo A: Requisitos de las PCI DSS adicionales para proveedores de hosting compartido Anexo B: Controles de compensación Anexo C: Hoja de trabajo de controles de compensación Hoja de trabajo de controles de compensación Ejemplo completo ANEXO D: Diagramas de flujo para segmentación y muestreo TEMA 3. ISO/IEC III. EL ESTÁNDAR INTERNACIONAL ISO/IEC 20000:SISTEMAS DE GESTIÓN DE SERVICIOS DE TI 3.1. Information Technology Infrastructure Library: ITIL, como fundamento del estándar ISO/IEC Estructura del estándar ISO/IEC La certificación ISO/IEC para Sistemas de Gestión de Servicios de TI (SGSTI) 3.4. Aplicación del Ciclo PDCA (Plan, Do, Check, Act) 3.5. Definición del alcance de un SGSTI 3.6. Requisitos generales del SGSTI 3.7. Diseño y transición de nuevos servicios o modificados 3.8. Procesos de la provisión del servicio 3.9. Procesos de relaciones Procesos de resolución Procesos de control TEMA 4. Gobierno de las TIC-COBIT III. CONCEPTOS IV. BUEN GOBIERNO DE LAS TIC 4.1. Introducción 4.2. Normas y estándares de referencia 4.3. Áreas clave 4.4. Participantes y responsabilidades en el gobierno de TI V. COBIT 5.1. Antecedentes 5.2. Cumplimiento de las necesidades de negocio 5.3. Orientación a procesos 5.4. Planificación y Organización (PO) 5.5. Adquirir e Implementar (AI) 5.6. Entregar y dar Soporte (ES) 5.7. Evaluar y Monitorizar (EM) 5.8. Componentes e interrelaciones en COBIT 5.9. Estudio de un proceso V COBIT 5 VII. IMPLEMENTACIÓN DEL GOBIERNO DE LAS TIC 7.1. Identificación de necesidades 7.2. Prever la solución 7.3. Planificar la solución 7.4. Implementar la solución 7.5. Mantenimiento y construir sostenibilidad TEMA 5. Gobernance, Risk and Compliance-GRD III. CONCEPTOS OTRAS NORMATIVAS EN EL AMBITO DE LA SEGURIDAD DE LA INFORMACIÓN 6

7 Contenido detallado de la asignatura y cronograma de impartición IV. COSO I 4.1. Introducción 4.2. Elementos de COSO I V. COSO II-ENTERPRISE RISK MANAGEMENT 5.1. Introducción 5.2. ERM Gestión de Riesgos Corporativos 5.3. Norma ISO VI. GRC 6.1. Framework 6.2. Tipología de GRC 6.3. Necesidad del GRC 6.4. Implantación 6.5. Sostenibilidad de GRC 6.6. Modelo de madurez Bibliografía Básica Bibliografía complementaria Recomendaciones a los estudiantes para cursar la materia Seguir el calendario programado de actividades, lecturas obligatorias y complementarias, realización del trabajo/s correspondientes y completar las autoevaluaciones. Repercusión líneas de investigación Asignatura Básica Repercusión actividad profesional Asignatura Básica OTRAS NORMATIVAS EN EL AMBITO DE LA SEGURIDAD DE LA INFORMACIÓN 7