SEGURIDAD DE LA INFORMACION: GESTION DE RIESGOS DE LA INFORMACION Y CUMPLIMIENTO NORMATIVO

Transcripción

1 SEGURIDAD DE LA INFORMACION: GESTION DE RIESGOS DE LA INFORMACION Y CUMPLIMIENTO NORMATIVO 1

2 Presentación La seguridad de la información nos afecta a todos, en especial Conoce como evaluar los la protección de nuestros datos más sensibles. Un ataque a los riesgos de la Seguridad de servicios informáticos de nuestro banco puede suponernos una la Información y cumplir la pérdida económica, un ataque a un servicio de internet del que normativa sobre seguridad seamos clientes puede llevar a que nuestras contraseñas o de la información números de tarjetas de crédito se conozcan, etc. En este curso se explica cómo las empresas deben llevar a cabo un análisis de los riesgos de su información y utilizar esta evaluación para articular su estrategia de seguridad de la información. Igualmente, de cara al cumplimiento legal y regulatorio, se analizan las obligaciones derivadas de las normas españolas en materia de seguridad de la información. La dependencia cada vez mayor de los sistemas informáticos por parte de todo tipo de organizaciones, tanto públicas como privadas, obliga a que éstas se tomen muy en serio la gestión de la seguridad con objeto de que la información que gestionen esté siempre disponible, no sea alterada y no sea conocida por aquellos que no debieran. Las organizaciones deben dotarse de un equipo de especialistas en seguridad de la información que articulen la estrategia de seguridad de la información. Entre estos profesionales destacan dos perfiles: los especialistas en el análisis de riesgos de la información y los responsables de cumplimiento legal y regulatorio. La gestión de riesgos es una tarea fundamental ya que todas las acciones de seguridad deben estar guiadas por el resultado de este análisis de riesgos. Por otro lado, tanto las pequeñas y medianas empresas como las grandes corporaciones tienen que cumplir estrictamente las normativas legales y regulatorias ya que de no ser así pueden exponerse a tener que pagar grandes multas o perder sus licencias de operación en mercados regulados. 2

3 El objetivo de este curso es formar en la gestión de los riesgos de la seguridad de la información (en cuyo resultado se basarán todas las decisiones de seguridad), así como asegurar el cumplimiento normativo en relación a la información en un entorno empresarial. Las empresas demandan expertos en seguridad de la información para asegurar la disponibilidad, la confidencialidad y la integridad de sus datos. Este curso profundiza en la tarea básica de la gestión de riesgos de la información y explica la normativa principal a cumplir en materia de seguridad de la información. Este curso proporciona las herramientas para dos figuras claves dentro del mudo laboral de la seguridad de la información: los analistas de riesgos y los responsables de cumplimiento. Estos dos roles están cada vez más demandados ante la creciente importancia de la seguridad de la información en las organizaciones. El curso ilustra los conceptos básicos de la gestión de riesgos de la seguridad de la información como motor fundamental para guiar todas las actividades de seguridad de la información. En el curso se detalla también la normativa en materia de seguridad de la información que deben cumplir las empresas. Objetivo del curso El objetivo es que el alumno conozca cómo se organiza el análisis de riesgos de la información de una organización y aprenda las distintas técnicas empleadas para evaluar dichos riesgos y articular la seguridad en torno a dicha evaluación. Igualmente, se repasa el marco normativo con las leyes en materia de seguridad informática que debe cumplir una empresa. El dominio de estas técnicas le permitirá integrarse o dirigir un equipo de seguridad de la información. Este curso está focalizado fundamentalmente en dos grupos de competencias que debe tener un responsable de seguridad de la información, perfil profesional cada vez más demandado ante la creciente importancia de la seguridad de la información en las organizaciones. 3

4 Por un lado, la gestión de riesgos de la información. En segundo lugar, el marco normativo en materia de seguridad de la información que las empresas deben de cumplir. El estudiante aprenderá como se debe organizar la gestión de la seguridad de la información desde el punto de vista de gestión empresarial, teniendo como objetivo principal maximizar los objetivos del negocio. Este curso no profundiza en aspectos técnicos sino en la gestión. Conocer los conceptos claves sobre gestión de riesgos de la información y cumplimiento. Aprender a realizar una evaluación de riesgos de la información en una organización. Conocer el detalle de la legislación española que es necesario cumplir en materia de seguridad de la información. Al finalizar el curso el estudiante será capaz de: Comprender la importancia creciente de la seguridad de la información Conocer las tareas asociadas a la gestión de riesgos de la información de una organización. Elaborar una evaluación de riesgos con la guía NIST Realizar un análisis de impacto en el negocio y su métrica asociada (RTO, RPO y DSO). Asesorar sobre como cumplir con la normativa legal en materia de seguridad de la información Cada estudiante aprenderá a: Este curso dotará al estudiante de las siguientes nuevas capacidades que le permitirá mejorar su actividad profesional: Conceptos y definiciones fundamentales de la gestión de riesgos de la información Marco de gestión de riesgos de la Información Cumplimiento normativo en materia de seguridad de la información. Conocer en qué consiste la gestión de riesgos de la información. 4

5 Entender el modelo de gestión de riesgos y sus etapas. Aprender a realizar una evaluación de riesgos de seguridad de la información guiada por los objetivos de la organización. Conocer la normativa a cumplir en materia de seguridad de la información. Aprender los requerimientos del Reglamento de la Ley de protección de datos. Al finalizar el curso el estudiante será capaz de: Comprender la importancia creciente de la seguridad de la información Distinguir los riesgos de la información de una organización. Valorar los riesgos relacionados con la información empresarial. Conocer las normas de obligado cumplimiento en materia de seguridad de la información. Asesorar sobre como gestionar la seguridad de la información. Programa Módulo: Introducción a los temas: 1. Bases de la gestión de riesgos de la seguridad de la información: Conceptos y definiciones fundamentales: activos, amenazas, vulnerabilidades, riesgo, eventos. Tipos de riesgos. Tareas fundamentales de la gestión de los riesgos de la información y el cumplimiento. Modelo de riesgo. Programa de gestión de riesgos de la seguridad de la información 2. Marco de gestión de riesgos de la seguridad de la Información: Guía del NIST (instituto estadounidense de estándares y tecnología) para la realización de valoraciones de riesgos de la seguridad de la información. Etapas de la gestión de riesgos. Controles de la seguridad de la información. Integración de la gestión de riesgos en los procesos de ciclo de vida. Análisis de impacto en el negocio. Parámetros de resiliencia: RTO, RPO y SDO 3. Cumplimiento de la legislación española en materia de seguridad de la información: Ley Orgánica de Protección de Datos (LOPD) y reglamento RD1720/2007. Ley de Servicios de la 5

6 Sociedad de la Información y Comercio Electrónico (LSSI). Ley 59/2003 de Firma Electrónica. Ley de Propiedad Intelectual (LPI). Esquemas Nacionales de Seguridad e Interoperabilidad. Directivas europeas 2009/136/CE y 2009/140/CE Módulo 1. Bases de la gestión de riesgos de la seguridad de la información: Definiciones fundamentales en materia de gestión de riesgos de la información y cumplimiento: activos, amenazas, vulnerabilidades, riesgo, eventos, etc. - Tipos de riesgos. - Tareas fundamentales de la gestión de los riesgos de la información y el cumplimiento. - Modelo de riesgo. - Programa de gestión de riesgos de la seguridad de la información. Módulo 2. Marco de gestión de riesgos de la seguridad de la Información: Conocer los detalles prácticos para llevar a cabo una evaluación de riesgos de la información. - Guía del NIST (instituto estadounidense de estándares y tecnología) para la realización de valoraciones de riesgos de la seguridad de la información. - Etapas de la gestión de riesgos. - Controles de la seguridad de la información. - Integración de la gestión de riesgos en los procesos de ciclo de vida. - Análisis de impacto en el negocio. Parámetros de resiliencia: RTO, RPO y SDO. Módulo 3. Cumplimiento de la legislación española en materia de seguridad de la información: La legislación española y europea aplicable a la seguridad de la información. - Ley Orgánica de Protección de Datos (LOPD) y reglamento RD1720/ Ley de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). - Ley 59/2003 de Firma Electrónica. - Ley de Propiedad Intelectual (LPI). - Esquemas Nacionales de Seguridad e Interoperabilidad. - Directivas europeas 2009/136/CE y 2009/140/CE. 6

7 Metodología Este programa formativo es totalmente online. Se desarrollará a través de la plataforma Global Learning Campus, soporte para descargar el material docente y de trabajo, participar en foros de debate, plantear consultas al profesor, interactuar con otros alumnos, soporte para hospedar y/o descargar otros materiales relacionados con las materias abordadas a lo largo del curso. Realizar ejercicios individuales y en grupo. Test y evaluaciones. A lo largo del curso el estudiante participará en debates y actividades en foros en campus virtual. La creación de foros y debates potenciará el aprendizaje, aprenderá en un entono colaborativo de libre distribución de información y conocimiento, compartir experiencias entre todos los alumnos dinamizado por profesionales expertos que asumen el dejar de ser depositarios y transmisores para convertirse en guías del alumno en la búsqueda y asimilación de estos contenidos. Podrá seguirse el curso a través de dispositivos móviles para acceder a contenidos formativos. El equipo docente en este curso, asumen dejar de ser depositarios y trasmisores de contenidos para convertirse en guías del alumno en la búsqueda y asimilación de estos contenidos. Titulación requerida y requisitos previos No se requiere titulación previa. El estudiante de este curso tiene que tener nociones algo avanzadas sobre tecnologías de la información, sin llegar a los detalles técnicos. Por ejemplo, debería saber cuál es la misión de un cortafuego o un antivirus sin ser necesario que conozca los detalles técnicos de los mismos (por ejemplo configurar un cortafuego o instalar un antivirus en la red de una empresa). 7

8 Herramientas de comunicación Durante todo el curso te comunicarás con la coordinadora, el equipo de docentes y expertos, así como con el resto de compañeros, a través de las siguientes herramientas: Correo electrónico interno de la plataforma: para realizar consultas de forma personalizada a los miembros del equipo docente. Foros: los mensajes que se escriben en los foros son públicos, por ello sirven para plantear temas de interés general. Sistema de Evaluación La evaluación constará de una parte continua, que supondrá el 60% de la nota del curso, y una evaluación final con la entrega de una práctica, que representará el 40% de la misma. Evaluación continúa A lo largo del curso el estudiante participará en actividades que se planteen en foros de forma individual y en grupos de trabajo. La participación activa o deficiente puede influir en la nota final. Evaluación final Cada estudiante realizará un ejercicio final respondiendo a un cuestionario basado en casos propuestos y soluciones posibles. Habiendo estudiado el material entregado en el curso de lectura obligatoria se obtiene la respuesta correcta. 8

9 A quién va dirigido Graduados o profesionales en el campo de la informática y las telecomunicaciones que quieran profundizar en la gestión de la seguridad de la información. Graduados o profesionales que, sin ser especialistas con formación técnica en informática o telecomunicaciones tengan un buen conocimiento de tecnologías de la información y quieran desarrollar una carrera en el campo de la seguridad de la información o en la organización empresarial. Empresarios, emprendedores o graduados en gestión de empresa que quieran conocer como mejorar la competitividad de una empresa mediante el aseguramiento de su seguridad de la información. Especialistas en gestión empresarial o en sistemas de gestión de calidad que quieran conocer como gestionar la seguridad de la información. 9

10 Equipo docente Jorge Navas. Director Licenciado en Informática por la Universidad Politécnica de Madrid. Máster en Tecnologías de la Información por la Universidad de Edimburgo. Máster en Gobernanza de TI por la Escuela de negocios Solvay (Universidad Libre de Bruselas). Formador en diversos cursos del Instituto Nacional de la Administración Pública. Ha trabajado en Atlantis Ibérica, en la Dirección General de Tráfico, en Telefónica, en el Ministerio del Interior y en la Comisión Europea. Ha sido ponente en Jornadas y Seminarios y autor de diversos artículos. Actualmente trabaja como coordinador del Equipo de Auditoría Informática de la Intervención General de la Administración del Estado. Joaquín Pérez Catalán. Profesor Ingeniero de Telecomunicación e Inspector de Datos de la Agencia Española de Protección de Datos. CISA, CISM y CGEIT - Ha desarrollado su carrera profesional durante más de veinte años en los entornos de seguridad y protección de datos tanto en España como en el extranjero. - Ha participado en la elaboración del reglamento español de medidas de seguridad sobre los datos de carácter personal - y ha sido Consejero de la UE para Israel y Bulgaria habiendo participado también en proyectos en Chequia, México, Croacia y Albania en materia de seguridad y protección de datos 10

11 José Miguel Vera Roa. Profesor Graduado en Ingeniería Informática por la Universidad de León. Profesor de Scrum y de Auditoría Informática en el Máster Social Media & Community Manager en la Universidad Complutense de Madrid. Auditor Jefe certificado (ISO 27001). Certified Ethical Hacker (CEH). Auditor Informático en el Ministerio de Hacienda y Administraciones Públicas Miguel Carrión. Jefe de estudios Fundador del Instituto de Activación Empresarial. Director del Curso Superior de Gestión de la Innovación de las Tecnologías de la Información y las Comunicaciones en la Administración Pública y del postgrado Global Margin Management. Experto en innovación y en dinamizar células innovadoras. Desarrollador de didáctica virtual. Fundador y presidente de USACD. 11

12 Matrícula e inscripción Próximas ediciones: 13 de Octubre a 23 de noviembre de de enero a 28 de febrero de de marzo a 11 de abril de 2015 Número de plazas requeridas para inicio del curso: 30 alumnos Precio: 225 para desempleados; 275 para trabajadores (bonificable) Podrás formalizar tu matrícula en la página oficial de la Fundación UNED El importe de la matrícula puede ser bonificado a través de la Fundación Tripartita para el empleo Para más información: amartinez@fundacion.uned.es Información académica Miguel Carrión- Alberto López. Tutores join@globallearningcampus.com URL Información matrícula Fundación UNED Tlfno jdolera@fundación.uned.es Información bonificación matrícula Adriana Martínez: amartinez@fundacion.uned.es

13 13