Andrés Fabián Díaz, Gloria Isabel Collazos, Hermes Cortez Lozano, Leidy Johanna Ortiz 1, Gustavo Adolfo Herazo Pérez

Tamaño: px
Comenzar la demostración a partir de la página:

Download "Andrés Fabián Díaz, Gloria Isabel Collazos, Hermes Cortez Lozano, Leidy Johanna Ortiz 1, Gustavo Adolfo Herazo Pérez"

Transcripción

1 1 IMPLEMENTACION DE UN SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN (SGSI) EN LA COMUNIDAD NUESTRA SEÑORA DE GRACIA, ALINEADO TECNOLÓGICAMENTE CON LA NORMA ISO Andrés Fabián Díaz, Gloria Isabel Collazos, Hermes Cortez Lozano, Leidy Johanna Ortiz 1, Gustavo Adolfo Herazo Pérez Resumen Éste artículo es el resultado de un proyecto de investigación, adelantado por un grupo de estudiantes de ingeniería de sistemas con el fin de implementar un SGSI 2 en la Comunidad Nuestra Señora de Gracia. Este sistema se basa en las directrices indicadas en la norma ISO/IEC 27001, y en el marco del mismo se generó un análisis de gap 3, que permitió evidenciar un nivel de brechas significativo en la mencionada Comunidad, con base en el cual se establecieron políticas y controles de mejoramiento de los procesos de seguridad de la información y se definieron las declaraciones de aplicabilidad que fortalecieron todo el análisis de riesgos efectuado. Índice de Términos IEC: International Electrotechnical Commission. SOA: Declaración de aplicabilidad. I. INTRODUCCIÓN La cantidad y la complejidad de la información siguen teniendo un aumento considerable y los profesionales de TI 4 se enfrentan cada día a retos inimaginables para abordar las amenazas que persisten en la sociedad actual y que no muestran signos de desaceleración. Amenazas representativas, tales como el troyano Hydraq 5, se pueden seguir presentando indefinidamente en los ámbitos computacionales, causando pérdidas económicas significativas. [1] 1 2 Sistema de Información para el Control de Gestión de Seguridad de la Información 3 Un análisis de gap, permite comparar los procesos actuales que tiene la organización con los lineamientos de cumplimiento de la norma ISO/IEC y establecer en qué áreas o procesos se debe priorizar y enfocar el esfuerzo para permitir incrementar la seguridad de la información. (Fuente: 4 Technology Information, Tecnología de Información 5 Reportes de Symantec, uno de los principales representantes de soluciones para la seguridad de la información. Acerca de Hydraq disponible en:

2 2 Debido a esto, las empresas necesitan proteger y reforzar su activo más valioso: la información. Esta necesidad se ve agravada, debido a que los datos de una empresa y su complejidad de análisis crecen exponencialmente, razón por la cual se requiere establecer una disciplina de seguridad que determine un perímetro para las debilidades del negocio 6 [2]. Es claro que las organizaciones han sido conscientes que la certificación representa un instrumento para demostrar que sus organizaciones poseen un SGSI con el fin de asegurar y controlar sus procesos de negocios y de misión crítica 7. El trabajo descrito en el presente artículo fue desarrollado en la Comunidad Nuestra Señora de Gracia, de la ciudad de Bogotá, a la cual se realizó un proceso de diagnóstico, a partir del cual se determinó que no poseía los mecanismos, ni los procesos idóneos para proteger su información. Con base en esta situación, se decidió realizar un plan piloto para implementar políticas que se ajustaran a la norma ISO/IEC 27001, además de diseñar e implementar un sistema de información web que ayudara al equipo de stakeholders 8 al levantamiento inicial de información, al análisis de brechas y de gap; y que ayudara al auditor de la comunidad al seguimiento y gestión de cada uno de los procesos de la norma. II. METODO Desde el inicio del proyecto se utilizó una serie de pasos que permitieron una adecuada ejecución del SGSI y un resultado exitoso del mismo, los cuales se describen a continuación Programación del proyecto con el personal de la dirección de la Comunidad. Este proceso permitió que la alta gerencia de la Comunidad entendiera la importancia del proyecto piloto y la necesidad del apoyo del recurso humano, factor vital para el 6 METODOLOGÍA PARA LA INCORPORACIÓN DE MEDIDAS DE SEGURIDAD EN SISTEMAS DE INFORMACIÓN DE GRAN IMPLANTACIÓN Disponible en: 7 ENTREGABLES 3, 4, 5 y 6: INFORME FINAL MODELO DE SEGURIDAD DE LA INFORMACIÓN SISTEMA SANSI - SGSI - MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA ESTRATEGIA DE GOBIERNO EN LÍNEA. 8 Es importante resaltar que el término stakeholders representa aquellas personas o colectivos que tienen algún tipo de interés sobre la empresa con un fin en particular, generando diversos efectos en el mejoramiento de los procesos de negocios 9 CHECKLIST DE IMPLEMENTACIÓN DE ISO

3 3 inicio de la fase de levantamiento de información. Esta fase fue exitosa gracias a que se mostraron puntos tales como: cumplimiento y rendimiento de la inversión de una forma eficaz, haciéndoles entender que si una organización cumple con la normatividad sobre protección de datos sensibles, privacidad y control de TI, los resultados a futuro mejorarían de forma sustancial el impacto estratégico de la compañía, y aunque represente un gasto considerable, genera así mismo a futuro un ROI 10 y una ganancia financiera representados en incidentes o desastres informáticos. 2. Definir el alcance. Por la complejidad de la implementación de la norma, se recomendó a la Comunidad definir de manera sistemática el alcance del proyecto, en las áreas de CONTROL DE ACTIVOS y SEGURIDAD DE RECURSOS HUMANOS. a) Control de activos: para este punto se sugirió realizar un inventario de los activos para tener un control más riguroso de los mismos. Toda la información y activos asociados a los recursos para el tratamiento de la información, deberían tener un propietario y pertenecer a una parte designada de la Comunidad 11. Para realizar un análisis de riesgos se parte del inventario de activos. Para determinar cuál era la situación actual de la Comunidad, se realizó un análisis de gap, cuyos resultados se muestran en la figura 1, donde se puede apreciar que un 20% de los activos de la Comunidad no tienen un procedimiento implantado, lo cual representa un porcentaje bastante alto. Figura 1. Análisis gestión de activos 10 Retorno de la Inversión 11 De acuerdo con la norma ISO/IEC

4 4 b) Seguridad de los recursos humanos: Tuvo como objetivo asegurar que los empleados, contratistas y usuarios de terceras partes, entienden sus responsabilidades y son aptos para ejercer las funciones para las cuales están siendo considerados, con el fin reducir el riesgo de hurto, fraude o uso inadecuado de las instalaciones. Para el análisis del control de activos y de la seguridad de los recursos humanos se trabajó con la metodología MAGERIT 12y13 [2]. En la Comunidad se aplicaron los siguientes pasos de MAGERIT: Concientizar a los responsables de los SI 14 respecto a la existencia de riesgos Ofrecer un método sistemático para analizar los riesgos a los que se ve expuesta la información. Ayudar a descubrir y planificar las medidas oportunas para mantener los riesgos bajo control. Preparar a la organización para procesos de evaluación 15 Siguiendo con el alcance del proyecto, adicionalmente se trabajaron las siguientes capitulaciones: c) Análisis de vulnerabilidades a nivel de acceso lógico: La seguridad lógica concentra sus objetivos en la aplicación de procedimientos que resguarden el acceso a los datos y permisos a las personas autorizadas 16. Los procesos de esta capitulación se desarrollaron en el siguiente orden: Realizar un análisis de brechas con el fin de definir la declaración de aplicabilidad (SOA) Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información, que está directamente relacionada con la generalización del uso de las tecnologías de la información y que supone unos beneficios evidentes para los ciudadanos; pero también da lugar a ciertos riesgos que deben minimizarse con medidas de seguridad que generen confianza.(fuente: le/magerit-v2_i-metodo.pdf) 13 Directamente relacionada con el uso de los medios electrónicos, informáticos y telemáticos 14 SI: sistemas de información 15 Auditoría, certificación o acreditación, según corresponda en cada caso. 16 Velando para que la confidencialidad, integridad y disponibilidad 17 SOA(Statement Of Applicability, Traducido como declaración de aplicabilidad): referenciado en la cláusula 4.2.1j del estándar ISO es un documento que lista los objetivos y controles que se van a implementar en una Organización, así como las justificaciones de aquellos controles que no van a ser implementados.(fuente:

5 5 Definir políticas y procedimientos aplicados al cumplimiento de la norma ISO/IEC 27001, en sus dominios 10 y 11 de acuerdo a lo establecido en la Declaración de aplicabilidad. Aplicando la metodología OCTAVE 18, iniciar el proceso de análisis de riesgos, abarcando los procesos de valoración de activos, identificación de amenazas y vulnerabilidades, determinación de probabilidad de ocurrencia de una amenaza y valoración del riesgo intrínseco. 19 Entregar los resultados definitivos del análisis de riesgos, declaración de aplicabilidad, políticas y procedimientos. 3. Gestión y tratamiento de los riesgos, selección de los controles. La gestión de los riesgos es el proceso por el cual se controlan, minimizan o eliminan los riesgos que afectan a los activos de la organización. En este caso, luego de haber determinado los riesgos existentes en la organización, así como las medidas adecuadas para hacer frente a los mismos, se dispuso de varias alternativas para afrontar estos riesgos: Eliminar, Transferir, Asumir o Mitigar el riesgo. Todas las medidas implantadas se documentaron para permitir la gestión por parte de la organización. Una vez decididas las medidas que se aplicarían a los riesgos identificados, se realizó un nuevo análisis, el cual expondría el registro residual 20 de la organización. Se definieron dos tipos de controles que se complementan: técnicos y organizativos. Los controles técnicos tienen que quedar perfectamente documentados a través de procedimientos. Los controles organizativos pueden quedar documentados a través de procedimientos o políticas de seguridad. Los controles seleccionados por la Comunidad fueron organizados en el documento de declaración de aplicabilidad (SOA). El SOA relaciona qué controles aplican en la organización y cuáles no 21. Para aquellos controles que sí aplican, se debe incluir los 18 OCTAVE(Operationally Critical Threats Assets and Vulnerability Evaluation): Metodología de análisis de riesgos en seguridad de TI que permite dirigir y evaluar riesgos, tomar decisiones basándose en sus riesgos y proteger los activos claves de información (Fuente: 19 INTRODUCCIÓN A OCTAVE. Disponible en: IVJNSI.pdf 20 El nivel de riesgo aceptable por la organización bajo el cual estarán todos los riesgos de la misma 21 Para aquellos controles no seleccionados, porque simplemente no aplican, se debe indicar la razón de su exclusión de manera detallada. Este punto es muy importante, ya que en la fase de certificación del sistema será uno de los documentos a revisar por los auditores.

6 6 objetivos del control, la descripción, la razón para su selección, aplicación y la referencia al documento en el que se desarrolla su implementación. Se realizó una evaluación del análisis de brechas, que permitió evidenciar puntos críticos que se atacaron implementando control de riesgos, utilizando el estándar OCTAVE-S 22, cuyo énfasis está en proveer técnicas de apoyo en soluciones lógicas de acceso. [1] En la aplicación de OCTAVE en la Comunidad, el grupo de stakeholders participó integrando desde personal de áreas operativas y de negocios hasta el personal del departamento de TI, balanceando los tres aspectos: RIESGOS OPERATIVOS, PRÁCTICAS DE SEGURIDAD y PRÁCTICAS DE TECNOLOGÍA. Las fases desarrolladas utilizando OCTAVE fueron las siguientes: a) Enfoque Estratégico de la Comunidad, implementación de mejores prácticas y análisis de vulnerabilidades de la organización. b) Creación del modelo de vista tecnológica. c) Estrategias de protección y planes de mitigación Finalizando esta parte del proceso, se procedió a la elaboración y definición de los puntos de control de dominio de monitoreo para la capitulación de monitoreo, como se muestra en la tabla 1: Tabla 1. Definición de puntos de control del dominio de Monitoreo Para el análisis de riesgo asociado con el capítulo de control de acceso, se establecieron declaraciones de aplicabilidad como las que aparecen en la tabla Como herramienta aplicada para empresas pequeñas (menos de 100 empleados)

7 7 Tabla 2. Declaraciones de aplicabilidad para el Control de Acceso. Otros de los temas tratados dentro de la investigación fueron el control de acceso a la capa de aplicaciones y análisis de modelos criptográficos, y la capitulación de protección contra código malicioso y gestión de seguridad de las redes, cuyo soporte metodológico para el análisis de riesgos fue tratado con DLP 23 y simultáneamente con la norma NTC III. SOPORTE METODOLÓGICO DEL SISTEMA DE INFORMACIÓN. Como software de apoyo para todo el proceso anteriormente descrito se entregó a la Comunidad, un sistema informático web que facilita la gestión y el control del sistema de gestión de la seguridad de la información. Este sistema informático permite a los grupos de stakeholders y auditores desarrollar un esquema de trabajo basado en procesos, y enfatiza en las políticas y controles de seguridad por capa capitulación del compendio de ISO 27001, la definición de la metodología de la evaluación del riesgo y su respectiva evaluación, la declaración de aplicabilidad SOA y el plan del tratamiento del riesgo y medición de la eficacia de los controles establecidos. Las pantallas generales de este sistema de información se muestran en la figura Data Loss Prevention

8 8 Figura 2. Pantallas generales del sistema de información IV. RESULTADOS Gracias al proyecto desarrollado en la Comunidad Nuestra Señora de Gracia, se definieron principios y políticas de control de información y de comunicación de seguridad, los cuales produjeron los siguientes resultados: 1. Definición de roles y propuestas de asignación y estructura organizativa, políticas de control, planificación de actividades, responsabilidades, prácticas, procesos y recursos. (ver Figura 3).

9 9 Autenticarse <<include>> Reporte de eventos del AD Usuario Administrar eventos generados por AD <<include>> Sincronización de objetos con AD Usuario Administrar cambios de objetos de AD <<extend>> Administración de usuarios <<extend>> Administrador <<extend>> Generar reporte de incidentes de usuario <<extend>> Creación de usuario Creación de grupo Modificación de usuario Generar informe de cambios en objetos <<extend>> <<extend>> Modificación de grupo Eliminación de usuario Eliminación de grupo Figura 3. Roles y Actores descritos en el proyecto [3] 2. Propuesta de alineación tecnológica frente a los procesos estratégicos de la organización. 3. Entrega de un sistema de información para una mayor seguridad integral. 4. Propuesta de un plan de continuidad del negocio permitiendo que la empresa pueda recuperarse después de algún incidente que pudiese presentarse. 5. Capacitación y concientización al Departamento de Sistemas sobre el impacto favorable que tendría el establecimiento de una política en ISO Entrega y socialización de anexos donde se describen riesgos de inventarios de servidores y estaciones de trabajo, declaraciones de aplicabilidad y la respectiva matriz de riesgos, soportadas por su respectivo análisis de riesgos. Los riesgos identificados [4] y analizados de acuerdo a la norma para la Comunidad, se pueden revisar en la tabla 3 y 4, que se muestran a continuación.

10 1 0 Tabla 3. Identificación de riesgos de los activos de la Comunidad Tabla 4. Identificación de riesgos 7. Adicionalmente, se entregaron procedimientos de gestión de contraseñas, gestión de usuarios, políticas y establecimientos de gestión de monitoreo para la red LAN 24 [5], como para los enlaces dedicados con el proveedor de servicios de telecomunicaciones, políticas de control de acceso físico y lógico, recursos humanos, controles criptográficos y gestión de redes (se pueden apreciar en la figura 4). Figura 4. Diagrama de casos de usos para la gestión de red. V. CONCLUSIONES Actualmente en la sociedad de la información, es necesario que todas las organizaciones, sin tener en cuenta su tamaño, implementen mecanismos que permitan mantenerla segura, donde una se use la norma internacional ISO/IEC como un sistema basado en procesos que busca garantizar la seguridad de la 24 Se trabajó con Wireshark

11 1 1 información, siguiendo una serie de pautas y controles que de aplicarse, minimizan los riesgos a los cuales se ve expuesta. Se realizó un análisis de brechas donde se identificaron los puntos de control aplicables en la Comunidad, del cual se extrajo la Declaración de Aplicabilidad. De igual forma, se elaboraron las políticas y procedimientos necesarios para iniciar el proceso de implementación de controles del SGSI. Se logró identificar y adaptar un software libre que permite realizar los procesos y gestión de los objetivos de control de los dominios tratados en el desarrollo del proyecto. En el ambiente de la seguridad de la información ya existen normas y guías como MAGERIT y OCTAVE que proveen los elementos necesarios para realizar análisis de riesgo. Para la seguridad de los recursos humanos, se hizo necesario definir de forma clara y concisa a los colaboradores, detallar sus roles y responsabilidades, además de establecer unas clausulas dentro de los contratos respecto a la confidencialidad y responsabilidad de los activos y de la información. La implementación del SGSI es beneficioso para la Comunidad en cuanto a: seguridad efectiva en los sistemas de información; mejoras continuas en procesos de auditorías internas dentro de la Comunidad; incremento de la confianza en la Comunidad y mejora de su imagen. VI. REFERENCIAS [1] Instituto Colombiano de Normas Técnicas y Certificación (ICONTEC). Compendio: Sistema de Gestión de la Seguridad de La Información: SGSI. Bogotá [2] Alexander Marcombo. Diseño De Un Sistema De Seguridad Informática. Alfaomega. México, 2007.

12 1 2 [3] Castro Alfonso Favián & Díaz Verano, Fabián A. Análisis De Vulnerabilidades A Nivel De Acceso Lógico Basado En La Norma ISO/IEC En La Comunidad Provincia De Nuestra Señora De Gracia De Colombia. Proyecto de Grado, Ingeniería de Sistemas, Fundación Universitaria Konrad Lorenz. Bogotá, Colombia [4] Ramírez Gaita, Andrés Camilo & Parra Amado, Gerardo. Control De Acceso A La Capa De Aplicaciones Y Análisis De Modelos Criptográficos Basados En La Norma ISO/IEC En La Comunidad Provincia De Nuestra Señora De Gracia De Colombia. Proyecto de Grado, Ingeniería de Sistemas, Fundación Universitaria Konrad Lorenz. Bogotá, Colombia 2010 [5] Collazos Muñoz, Gloria I. Protección Contra Código Malicioso Y Gestión De Seguridad De Las Redes Basado En La Norma ISO/IEC en La Empresa Provincia De Nuestra Señora De Gracia De Colombia. Proyecto de Grado, Ingeniería de Sistemas, Fundación Universitaria Konrad Lorenz. Bogotá, Colombia. 2010

SISTEMA DE GESTION DE LA SEGURIDAD CON ISO 27001:2005. Por: Gloria Stella Viveros Muriel

SISTEMA DE GESTION DE LA SEGURIDAD CON ISO 27001:2005. Por: Gloria Stella Viveros Muriel SISTEMA DE GESTION DE LA SEGURIDAD CON ISO 27001:2005 Por: Gloria Stella Viveros Muriel Sobre el autor: GLORIA STELLA VIVEROS MURIEL. Ingeniera de sistemas egresada Universidad Manuela Beltrán, especialista

Más detalles

Máster Interuniversitario en Seguridad de las TIC (MISTIC) Trabajo de final de máster

Máster Interuniversitario en Seguridad de las TIC (MISTIC) Trabajo de final de máster Máster Interuniversitario en Seguridad de las TIC (MISTIC) Trabajo de final de máster Elaboración de un plan de implementación de la Norma ISO/IEC 27001:2013 en una empresa prestadora de servicios de acueducto

Más detalles

SEGURIDAD INFORMATICA GENERALIDADES DE LA SEGURIDAD INFORMATICA

SEGURIDAD INFORMATICA GENERALIDADES DE LA SEGURIDAD INFORMATICA SEGURIDAD INFORMATICA GENERALIDADES DE LA SEGURIDAD INFORMATICA Seguridad de la información? Vs Seguridad? ISO/IEC 17799 ISO/IEC 2700 -> SGSI Organización de Estándares Internacionales/Comisión Electrotécnica

Más detalles

RESUMEN ANALÍTICO EN EDUCACIÓN - RAE - FACULTAD DE INGENIERÍA SISTEMAS ESPECIALIZACIÓN EN AUDITORÍA DE SISTEMAS DE INFORMACIÓN BOGOTÁ D.C.

RESUMEN ANALÍTICO EN EDUCACIÓN - RAE - FACULTAD DE INGENIERÍA SISTEMAS ESPECIALIZACIÓN EN AUDITORÍA DE SISTEMAS DE INFORMACIÓN BOGOTÁ D.C. FACULTAD DE INGENIERÍA SISTEMAS ESPECIALIZACIÓN EN AUDITORÍA DE SISTEMAS DE INFORMACIÓN BOGOTÁ D.C. LICENCIA CREATIVE COMMONS: Atribucion-nocomercial-sinderivadas AÑO DE ELABORACIÓN: 2015 TÍTULO: ANÁLISIS

Más detalles

MANUAL DE SEGURIDAD DE LA INFORMACIÓN

MANUAL DE SEGURIDAD DE LA INFORMACIÓN MANUAL DE SEGURIDAD DE LA INFORMACIÓN MINISTERIO DE AMBIENTE Y DESARROLLO SOSTENIBLE Bogotá D.C. Página 1 de 19 Contenido 1. INTRODUCCIÓN... 4 1. OBJETIVO... 4 2. ALCANCE DEL SISTEMA DE GESTIÓN DE SEGURIDAD

Más detalles

Sistema de Gestión de la Seguridad de la Información, UNE-ISO/IEC 27001

Sistema de Gestión de la Seguridad de la Información, UNE-ISO/IEC 27001 Sistema de Gestión de la Seguridad de la Información, UNE-ISO/IEC 27001 Aníbal Díaz Gines Auditor de SGSI Certificación de Sistemas Applus+ Sistema de Gestión de la Seguridad de la Información, UNE-ISO/IEC

Más detalles

Gestión de Seguridad Informática

Gestión de Seguridad Informática Gestión de Seguridad Informática La información es un activo que es esencial al negocio de una organización y requiere en consecuencia una protección adecuada. La información puede estar impresa o escrita

Más detalles

Boletín de Asesoría Gerencial* Aplicabilidad de estándares internacionales y mejores prácticas: CobiT, ITIL, Serie ISO / IEC 27000

Boletín de Asesoría Gerencial* Aplicabilidad de estándares internacionales y mejores prácticas: CobiT, ITIL, Serie ISO / IEC 27000 Espiñeira, Sheldon y Asociados * No. 3-2009 *connectedthinking Contenido Haga click en los enlaces para navegar a través del documento Haga click en los enlaces para llegar directamente a cada sección

Más detalles

POSTGRADO EN GESTIÓN Y AUDITORÍA DE SISTEMAS DE SEGURIDAD DE LA INFORMACIÓN ISO 27001

POSTGRADO EN GESTIÓN Y AUDITORÍA DE SISTEMAS DE SEGURIDAD DE LA INFORMACIÓN ISO 27001 Modalidad: Distancia Duración: 77 Horas Objetivos: La adecuada implantación de un Sistema de Gestión de Seguridad de la Información (SGSI) permite asegurar la continuidad del negocio, minimizar el riesgo

Más detalles

Estándares de Seguridad

Estándares de Seguridad Semana 4: Administración i ió De la Seguridad Estándares de Seguridad Aprendizajes esperados Contenidos: Estándares de Seguridad Problemas y Regulaciones de la privacidad Normas y Etá Estándares de Seguridad

Más detalles

Norma NTC-ISO/IEC 27001 Sistema de Gestión de Seguridad de Información

Norma NTC-ISO/IEC 27001 Sistema de Gestión de Seguridad de Información Norma NTC-ISO/IEC 27001 Sistema de Gestión de Seguridad de Información AGENDA SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN CONCEPTOS BÁSICOS QUÉ ES LA NORMA ISO/IEC 27001:2005? ORIGEN NORMA ISO/IEC

Más detalles

SEGURIDAD PARA EL ACCESO A LA INFORMACIÓN DE LAS ENTIDADES DEL ESTADO

SEGURIDAD PARA EL ACCESO A LA INFORMACIÓN DE LAS ENTIDADES DEL ESTADO SEGURIDAD PARA EL ACCESO A LA INFORMACIÓN DE LAS ENTIDADES DEL ESTADO Programa de Gobierno en Línea Oficina de Coordinación de Investigación, Política y Evaluación. RESUMEN La seguridad de la información

Más detalles

Políticas de Seguridad de la información

Políticas de Seguridad de la información 2014 Políticas de Seguridad de la información JAIRO BRAVO MENDOZA POSITIVA S.A. Página No 1 de 9 Introducción 2 Políticas de seguridad de la información 2 a. Política de Seguridad de la Información 2 b.

Más detalles

Basado en la ISO 27001:2013. Seguridad de la Información

Basado en la ISO 27001:2013. Seguridad de la Información Basado en la ISO 27001:2013 Agenda Gobierno de Organización del Proyecto Alineando el negocio con la Gestión de Riesgos Indicadores de gestión Mejora Continua Gobierno de Gobierno de Seguridad de la Información

Más detalles

Sistemas de Gestión de Seguridad de la Información. Ana Cecilia Vargas Alonso Castro Mattei

Sistemas de Gestión de Seguridad de la Información. Ana Cecilia Vargas Alonso Castro Mattei Sistemas de Gestión de Seguridad de la Información Ana Cecilia Vargas Alonso Castro Mattei Indice Conceptos básicos SGSI ISO/IEC 27000 Implementaciones de ISO/IEC 27000 La seguridad del lado del usuario.

Más detalles

TRABAJO DE GRADO PARTICIPANTES WILSON ARENALES GONZALEZ CÓD. 1412010614 LEIDY JOHANNA AVENDAÑO ROMERO CÓD. 1412010501

TRABAJO DE GRADO PARTICIPANTES WILSON ARENALES GONZALEZ CÓD. 1412010614 LEIDY JOHANNA AVENDAÑO ROMERO CÓD. 1412010501 DISEÑO DE UN MODELO DE ANÁLISIS Y DIAGNOSTICO DEL NIVEL DE MADUREZ EN SI PARA EN MIPYMES DE ASESORIA LEGAL Y OFICINAS DE ABOGADOS, COMO BASE PARA LA IMPLEMENTACION DE LA NORMA ISO27002. TRABAJO DE GRADO

Más detalles

UNIVERSIDAD RAFAEL BELLOSO CHACIN MAESTRIA EN TELEMATICA

UNIVERSIDAD RAFAEL BELLOSO CHACIN MAESTRIA EN TELEMATICA 2009 UNIVERSIDAD RAFAEL BELLOSO CHACIN MAESTRIA EN TELEMATICA ESTANADRES COBIT, ITIL, ISO 27001 En este documento encontrar un artículo sobre los tres estándares mencionados. El cual contienen resumen,

Más detalles

Sistema de Gestión de la Seguridad de la Información

Sistema de Gestión de la Seguridad de la Información Sistema de Gestión de la Seguridad de la Información 1 Contenidos 1. Qué es un SGSI? 2. Para qué sirve un SGSI? 3. Qué incluye un SGSI? 4. Cómo se implementa un SGSI? 5. Qué tareas tiene la Gerencia en

Más detalles

DECLARACIÓN DE APLICABILIDAD SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN

DECLARACIÓN DE APLICABILIDAD SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN DECLARACIÓN DE APLICABILIDAD SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACION RESPONSABILIDAD Y AUTORIDAD REVISADO POR: LEIDA MARIA RAMIREZ GIL SUBGERENTE GENERAL FECHA 30/10/2014 APROBADO POR: GERARDO

Más detalles

CONTENIDO 1 OBJETIVO... 2 2 GLOSARIO... 2 3 DESCRIPCIÓN DE ACTIVIDADES Y RESPONSABILIDADES... 3

CONTENIDO 1 OBJETIVO... 2 2 GLOSARIO... 2 3 DESCRIPCIÓN DE ACTIVIDADES Y RESPONSABILIDADES... 3 DE RIESGOS Página 1 de 21 CONTENIDO 1 OBJETIVO... 2 2 GLOSARIO... 2 3 DESCRIPCIÓN DE ACTIVIDADES Y RESPONSABILIDADES... 3 3.1 Metodología de Análisis de Riesgos... 3 3.2 Valoración de Activos... 6 3.3

Más detalles

CAS-CHILE S.A. DE I. 2013

CAS-CHILE S.A. DE I. 2013 CAS-CHILE S.A. DE I. 2013 LA INFORMACIÓN ES UN VALIOSO ACTIVO DEL QUE DEPENDE EL BUEN FUNCIONAMIENTO DE UNA ORGANIZACIÓN. MANTENER SU INTEGRIDAD, CONFIDENCIALIDAD Y DISPONIBILIDAD ES ESENCIAL PARA ALCANZAR

Más detalles

Guía: Controles de Seguridad y Privacidad de la Información

Guía: Controles de Seguridad y Privacidad de la Información Guía: Controles de Seguridad y Privacidad de la Información Guía Técnica HISTORIA VERSIÓN FECHA CAMBIOS INTRODUCIDOS 1.0.0 15/12/2010 Versión inicial del documento 2.0.0 30/09/2011 Restructuración de forma

Más detalles

DIAGNOSTICO Y MEJORAS DE LA SITUACIÓN ACTUAL AL PROCESO: GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN DE LA UNIVERSIDAD AUTÓNOMA DE OCCIDENTE

DIAGNOSTICO Y MEJORAS DE LA SITUACIÓN ACTUAL AL PROCESO: GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN DE LA UNIVERSIDAD AUTÓNOMA DE OCCIDENTE DIAGNOSTICO Y MEJORAS DE LA SITUACIÓN ACTUAL AL PROCESO: GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN DE LA UNIVERSIDAD AUTÓNOMA DE OCCIDENTE KAREN DAJANA PERAFÁN MONTENEGRO UNIVERSIDAD AUTÓNOMA DE OCCIDENTE

Más detalles

Códigos de buenas prácticas de seguridad. UNE-ISO/IEC 17799. Antonio Villalón Huerta Grupo S2

Códigos de buenas prácticas de seguridad. UNE-ISO/IEC 17799. Antonio Villalón Huerta Grupo S2 Códigos de buenas prácticas de seguridad. UNE-ISO/IEC 17799 Antonio Villalón Huerta Grupo S2 Contenidos Introducción. Problemática de seguridad. Qué es ISO 17799? Historia Estructura de la norma. Dominios

Más detalles

Implementación efectiva de un SGSI ISO 27001.

Implementación efectiva de un SGSI ISO 27001. MÉXICO COSTA RICA PANAMÁ COLOMBIA ECUADOR PERÚ BRASIL URUGUAY CHILE ARGENTINA Implementación efectiva de un SGSI ISO 27001. Rodrigo Baldecchi Q. Gerente Corporativo de Calidad 04-SEP-14 ÍNDICE 1. Encuadre

Más detalles

Políticas de Seguridad

Políticas de Seguridad Políticas de Seguridad IRAM-ISO/IEC 17799 Código de práctica para la gestión de la seguridad de la información Serie ISO 27000 1 Introducción Qué es la seguridad de la información? Preservación de: Confidencialidad

Más detalles

ESCUELA POLITECNICA NACIONAL

ESCUELA POLITECNICA NACIONAL 1 de 19 Tecnologías de la Información Técnicas de seguridad Sistemas de Gestión de la Seguridad de la Información Requisitos Objetivo Revisar los aspectos importantes sobre la norma ISO/EIC 27001 para

Más detalles

Seguridad de la Información & Norma ISO27001

Seguridad de la Información & Norma ISO27001 Seguridad de la Información & Norma ISO27001 Karen Vanessa Urbina Albarracín & Jonathan Smith Suárez Rodríguez Auditoría de Sistemas Seguridad de la Información La seguridad informática comprende procesos

Más detalles

Estándares para la seguridad de la información.

Estándares para la seguridad de la información. Estándares para la seguridad de la información. Estructura de contenidos Mapa Conceptual Introducción 1. Marco Teórico 1.1 Historia 1.2 Línea de tiempo 2. Dominios de control de las Normas 2.1 Políticas

Más detalles

Estado: Aprobación Versión: 2.0 Fecha: 04/11/2009 Página 1 de 9 Documento: A5_Politica_Seguridad_V2

Estado: Aprobación Versión: 2.0 Fecha: 04/11/2009 Página 1 de 9 Documento: A5_Politica_Seguridad_V2 Estado: Aprobación Versión: 2.0 Fecha: 04/11/2009 Página 1 de 9 INDICE 1. DECLARACIÓN DE LA POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN... 3 2. POLÍTICA DE SEGURIDAD... 4 2.1. OBJETIVOS... 4 2.2. ALCANCE...

Más detalles

Introduction to Risk Assessment

Introduction to Risk Assessment Introduction to Risk Assessment Agenda Riesgos de Seguridad de la Información Gestión de Riesgos Modelo Pragmático de Riesgo Mitigación de Riesgos y sus componentes Activos Componentes de Riesgos Identificación

Más detalles

SERIE DE NORMAS ISO 27000 E ISO 31000: IMPLICANCIAS PARA EL AUDITOR INTERNO GUBERNAMENTAL

SERIE DE NORMAS ISO 27000 E ISO 31000: IMPLICANCIAS PARA EL AUDITOR INTERNO GUBERNAMENTAL VII JORNADAS RIOPLATENSES DE AUDITORIA INTERNA 2011 MONTEVIDEO - URUGUAY SERIE DE NORMAS ISO 27000 E ISO 31000: IMPLICANCIAS PARA EL AUDITOR INTERNO GUBERNAMENTAL Ricardo Correa F. - CIA, CGAP, CCSA, MCAG

Más detalles

Orientación Técnica y Metodológicas Compromisos de Gestión

Orientación Técnica y Metodológicas Compromisos de Gestión Orientación Técnica y Metodológicas Compromisos de Gestión 2014 La finalidad de este documento es dar a conocer los principales aspectos técnicos y las directrices a través de los cuáles será evaluado

Más detalles

Taller de transición de la norma ISO/IEC 27001:2005 a la ISO/IEC 27001:2013

Taller de transición de la norma ISO/IEC 27001:2005 a la ISO/IEC 27001:2013 Taller de transición de la norma ISO/IEC 27001:2005 a la ISO/IEC 27001:2013 Ing. CIP Maurice Frayssinet Delgado mfrayssinet@gmail.com www.ongei.gob.pe Oficina Nacional de Gobierno Electrónico e Informática

Más detalles

TEMA: PONENTE: PROEXPORT (Colombia) Miguel

TEMA: PONENTE: PROEXPORT (Colombia) Miguel TEMA: PONENTE: PROEXPORT (Colombia) Miguel Angel Arévalo Q. Ingeniero de sistemas y computación, y Especialista en Construcción n de software experiencia en seguridad de la información n en ETB, CertificadoCISSP

Más detalles

Taller de Implementación de la norma ISO 27001 Ing. Maurice Frayssinet Delgado mfrayssinet@pcm.gob.pe www.ongei.gob.pe

Taller de Implementación de la norma ISO 27001 Ing. Maurice Frayssinet Delgado mfrayssinet@pcm.gob.pe www.ongei.gob.pe Taller de Implementación de la norma ISO 27001 Ing. Maurice Frayssinet Delgado mfrayssinet@pcm.gob.pe www.ongei.gob.pe Oficina Nacional de Gobierno Electrónico e Informática Agenda Sección 1: Principios

Más detalles

Seguridad Informática.

Seguridad Informática. Seguridad Informática. ISO/IEC 27001:2005 Barcelona, febrero de 2008 Auditoría.Fiscal y Legal.Consultoría.Asesoramiento Financiero. 1 2007 Deloitte Contenido Introducción Motivaciones para certificarse

Más detalles

ESTRATEGIAS PARA LA IMPLEMENTACION DE ISO 20000 E ISO 27001 EN UNA UNIVERSIDAD PÚBLICA COLOMBIANA. Diana Rocio Plata Arango Diana.plata@uptc.edu.

ESTRATEGIAS PARA LA IMPLEMENTACION DE ISO 20000 E ISO 27001 EN UNA UNIVERSIDAD PÚBLICA COLOMBIANA. Diana Rocio Plata Arango Diana.plata@uptc.edu. ESTRATEGIAS PARA LA IMPLEMENTACION DE ISO 20000 E ISO 27001 EN UNA UNIVERSIDAD PÚBLICA COLOMBIANA. Diana Rocio Plata Arango Diana.plata@uptc.edu.co Por qué es Importante?? La Gestión de Servicios de Tecnología

Más detalles

SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN ÍNDICE. PreparaTIC 6 junio 09. Ponente: Leonardo Ramírez Peña. Versión B

SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN ÍNDICE. PreparaTIC 6 junio 09. Ponente: Leonardo Ramírez Peña. Versión B SISTEMA DE GESTIÓN DE LA 1 SEGURIDAD DE LA INFORMACIÓN PreparaTIC 6 junio 09 Ponente: Leonardo Ramírez Peña Versión B ÍNDICE!! Fundamentos de la Gestión de la Seguridad de la Información!! Análisis y Gestión

Más detalles

Resumen Norma ISO-27001.

Resumen Norma ISO-27001. Resumen Norma ISO-27001. Introducción: generalidades e introducción al método PDCA. Objeto y campo de aplicación: se especifica el objetivo, la aplicación y el tratamiento de exclusiones. Normas para consulta:

Más detalles

Información. Ing. Max Lazaro. Electrónico e Informática

Información. Ing. Max Lazaro. Electrónico e Informática Seguridad De la Información Ing. Max Lazaro Oficina Nacional de Gobierno Electrónico e Informática Nuevos Escenarios: Seguridad de la Información Qué se debe asegurar? La información debe considerarse

Más detalles

Auditoría de Seguridad de Organizaciones, fortalezas y debilidades de la Norma ISO 17799

Auditoría de Seguridad de Organizaciones, fortalezas y debilidades de la Norma ISO 17799 Auditoría de Seguridad de Organizaciones, fortalezas y debilidades de la Norma ISO 17799 Lic. Javier F. Diaz [jdiaz@info.unlp.edu.ar] CC. Viviana Harari [vharari@info.unlp.edu.ar] Lic. Paula Venosa [pvenosa@info.unlp.edu.ar]

Más detalles

Datos P oc o eso I f n or o ma m ció i n

Datos P oc o eso I f n or o ma m ció i n Como ayuda la ISO/IEC 27001 a la seguridad de información Ing. Evelyn Antón CISA, CISM, CGEIT ISACA Capítulo Montevideo URUGUAY Agenda Introducción Datos de actualidad Norma ISO/IEC 27001 Catálogo de Controles

Más detalles

PAUL ROSEMBERG ENRIQUEZ ESPINOSA

PAUL ROSEMBERG ENRIQUEZ ESPINOSA IMPLEMENTACIÓN DE LOS CONTROLES ASIGNADOS AL DOMINIO GESTIÓN DE ACTIVOS, BAJO LOS LINEAMIENTOS ESTABLECIDOS POR LA NORMA ISO/27001 ANEXO A, PARA LAS EMPRESAS MUNICIPALES DE CALI, EMCALI E.I.C.E-ESP. PAUL

Más detalles

Seguridad y Competencias Profesionales Tema 3: Legislación y Normas en Materia de Seguridad Informática

Seguridad y Competencias Profesionales Tema 3: Legislación y Normas en Materia de Seguridad Informática Seguridad y Competencias Profesionales Tema 3: Legislación y Normas en Materia de Seguridad Curso 2012 2013 Departamento de Ingeniería Universidad de Cádiz Cádiz, 15 de octubre de 2012 Índice 1 2 Sistema

Más detalles

SEGURIDAD DE LA INFORMACIÓN

SEGURIDAD DE LA INFORMACIÓN SEGURIDAD DE LA INFORMACIÓN La información es el principal activo de muchas organizaciones por lo que es necesario protegerla adecuadamente frente a amenazas que puedan poner en peligro la continuidad

Más detalles

Norma Técnica Peruana:

Norma Técnica Peruana: Norma Técnica Peruana: NTP ISO/IEC 17799:2004 EDI. TECNOLOGIA DE LA INFORMACIÓN. CODIGO DE BUENAS PRACTICAS PARA LA GESTION DE LA SEGURIDAD DE LA INFORMACION. 1ª EDICIÓN ANTECEDENTES De conformidad con

Más detalles

ISO/IEC 27001. Normativa de seguridad IT. Hechos. Numero 2013/02

ISO/IEC 27001. Normativa de seguridad IT. Hechos. Numero 2013/02 05/01/2013 Ingelan 934 302 989 Numero 2013/02 ISO/IEC 27001 Normativa de seguridad IT ISO/IEC 27001 (Information technology Information Security Management Systems Requirements) es una normativa estándar

Más detalles

ISO 27000. Acceda directamente a las secciones de su interés o descargue en pdf el documento completo.

ISO 27000. Acceda directamente a las secciones de su interés o descargue en pdf el documento completo. ISO 27000 La información es un activo vital para la continuidad y desarrollo de cualquier organización pero la implantación de controles y procedimientos de seguridad se realiza frecuentemente sin un criterio

Más detalles

I INTRODUCCIÓN. 1.1 Objetivos

I INTRODUCCIÓN. 1.1 Objetivos I INTRODUCCIÓN 1.1 Objetivos En el mundo de la informática, la auditoría no siempre es aplicada en todos las empresas, en algunos de los casos son aplicadas por ser impuestas por alguna entidad reguladora,

Más detalles

DISEÑO DE UN SISTEMA DE GESTION DE SEGURIDAD DE LA INFORMACION PARA UNA ENTIDAD FINANCIERA DE SEGUNDO PISO

DISEÑO DE UN SISTEMA DE GESTION DE SEGURIDAD DE LA INFORMACION PARA UNA ENTIDAD FINANCIERA DE SEGUNDO PISO DISEÑO DE UN SISTEMA DE GESTION DE SEGURIDAD DE LA INFORMACION PARA UNA ENTIDAD FINANCIERA DE SEGUNDO PISO TRABAJO DE GRADO CARLOS ALBERTO GUZMAN SILVA COD. 1412010642 INSTITUCIÓN UNIVERSITARIA POLITÉCNICO

Más detalles

TEMA 39 Código de buenas prácticas para la Gestión de la Seguridad de la Información. Norma UNE-ISO 17799.

TEMA 39 Código de buenas prácticas para la Gestión de la Seguridad de la Información. Norma UNE-ISO 17799. TEMA 39 Código de buenas prácticas para la Gestión de la Seguridad de la Información. Norma UNE-ISO 17799. Índice 1 Introducción... 1 2 La Norma UNED-ISO 27002... 2 2.1 Estructura de la norma...3 2.1.1

Más detalles

Implantación de un SGSI

Implantación de un SGSI Implantación de un SGSI con e-pulpo ÍNDICE 1 Introducción... 3 2 SGSI y normativas... 4 2.1 La serie 27000... 4 2.1 ISO/IEC 27001 (SGSI)... 5 2.2 ISO/IEC 27002... 6 2.3 Objetivos de control y controles...

Más detalles

NORMA ISO/IEC 27001:2005

NORMA ISO/IEC 27001:2005 NORMA ISO/IEC 27001:2005 Modelo Para Establecer, Implementar Operar, Monitorear, Revisar, Mantener y Mejorar un ISMS (Information Security Management System) Ing. Jorge Ceballos (jceballos@iram.org.ar)

Más detalles

Visión de los beneficios de implementar servicios de TI, con estándares como ISO 20000 e ISE 27001 en una universidad pública colombiana

Visión de los beneficios de implementar servicios de TI, con estándares como ISO 20000 e ISE 27001 en una universidad pública colombiana Visión de los beneficios de implementar servicios de TI, con estándares como ISO 20000 e ISE 27001 en una universidad pública colombiana a Diana Rocio Plata Arango 1, b Fabian Andrés Medina Becerra 2 a

Más detalles

ISO 27001 Juan David Gutiérrez Giovanni Zuccardi 1

ISO 27001 Juan David Gutiérrez Giovanni Zuccardi 1 ISO-27001:2005 Giovanni Zuccardi Juan David Gutiérrez Septiembre de 2006 CONTENIDO Evolución del estándar Familia 2700x En que consiste 27001 ISO 27001 Juan David Gutiérrez Giovanni Zuccardi 1 ISO-27001:2005

Más detalles

Certificación del Sistema de Gestión de la Seguridad de los SI. Carlos Manuel Fdez. AENOR. CISA, CISM Marzo-2005

Certificación del Sistema de Gestión de la Seguridad de los SI. Carlos Manuel Fdez. AENOR. CISA, CISM Marzo-2005 Certificación del Sistema de Gestión de la Seguridad de los SI. Carlos Manuel Fdez. AENOR CISA, CISM Marzo-2005 Indice Quién es AENOR. Por qué el Certificado SGSI? Una aproximación al Certificado SGSI.

Más detalles

Implantación de Gobierno de TI (Tecnologías de la Información) Resumen Ejecutivo.

Implantación de Gobierno de TI (Tecnologías de la Información) Resumen Ejecutivo. Implantación de Gobierno de TI (Tecnologías de la Información) Resumen Ejecutivo. ÍNDICE 1. INTRODUCCIÓN...3 2. LA NECESIDAD DEL CAMBIO DEL ROL DE TI...5 3. NECESIDAD DE GOBIERNO DE TI...6 4. COBIT Y GOBIERNO

Más detalles

MEMORIA PLAN DE IMPLEMENTACIÓN DE LA ISO/IEC 27001: 2005 PRESENTADO POR: CAREM GYSSELL NIETO GARCÍA TUTOR ASIGNADO: ANTONIO JOSE SEGOVIA HENARES

MEMORIA PLAN DE IMPLEMENTACIÓN DE LA ISO/IEC 27001: 2005 PRESENTADO POR: CAREM GYSSELL NIETO GARCÍA TUTOR ASIGNADO: ANTONIO JOSE SEGOVIA HENARES MEMORIA PLAN DE IMPLEMENTACIÓN DE LA ISO/IEC 27001: 2005 PRESENTADO POR: CAREM GYSSELL NIETO GARCÍA TUTOR ASIGNADO: ANTONIO JOSE SEGOVIA HENARES UNIVERSIDAD OBERTA DE CATALUNYA MASTER INTERINSTITUCIONAL

Más detalles

Sistema de Administración del Riesgos Empresariales

Sistema de Administración del Riesgos Empresariales Sistema de Administración del Riesgos Empresariales Si tomas riesgos podrías fallar. Si no tomas riesgos, seguramente fallarás. El riesgo mayor de todos es no hacer nada Roberto Goizueta CEO Coca-Cola

Más detalles

Introducción. ISO /IEC 27001: Gestión de la seguridad. Actualización ISO/IEC27001 2005 -> 2013

Introducción. ISO /IEC 27001: Gestión de la seguridad. Actualización ISO/IEC27001 2005 -> 2013 Introducción ISO /IEC 27001: Gestión de la seguridad Desde la publicación inicial de norma internacional ISO/IEC 27001 en el año 2005 el número de implantaciones de los Sistemas para la Gestión de la Seguridad

Más detalles

DE ISO 20000 e ISO 27001 LA EVOLUCIÓN HACIA UN MODELO DE GOBERNANZA EMPRESARIAL DE TI? Diana Rocio Plata Arango Diana.plata@uptc.edu.

DE ISO 20000 e ISO 27001 LA EVOLUCIÓN HACIA UN MODELO DE GOBERNANZA EMPRESARIAL DE TI? Diana Rocio Plata Arango Diana.plata@uptc.edu. DE ISO 20000 e ISO 27001 LA EVOLUCIÓN HACIA UN MODELO DE GOBERNANZA EMPRESARIAL DE TI? Diana Rocio Plata Arango Diana.plata@uptc.edu.co AGENDA INTRODUCCION CARACTERISTICAS DE UPTC CONCEPTOS GOBERNANZA

Más detalles

Taller de Gestión de Riesgos. Ing. CIP Maurice Frayssinet Delgado LI 27001, LA 27001 Oficina Nacional de Gobierno Electrónico e Informática

Taller de Gestión de Riesgos. Ing. CIP Maurice Frayssinet Delgado LI 27001, LA 27001 Oficina Nacional de Gobierno Electrónico e Informática Taller de Gestión de Riesgos Ing. CIP Maurice Frayssinet Delgado LI 27001, LA 27001 Oficina Nacional de Gobierno Electrónico e Informática Agenda www.ongei.gob.pe Introducción Definiciones Enfoque a procesos

Más detalles

ANÁLISIS DE RIESGOS EN LA GESTIÓN DE PROYECTOS. Los riesgos son eventos o condiciones inciertas que, si se producen, tienen un

ANÁLISIS DE RIESGOS EN LA GESTIÓN DE PROYECTOS. Los riesgos son eventos o condiciones inciertas que, si se producen, tienen un ANÁLISIS DE RIESGOS EN LA GESTIÓN DE PROYECTOS Los riesgos son eventos o condiciones inciertas que, si se producen, tienen un efecto positivo o negativo sobre al menos un objetivo del proyecto, como tiempo,

Más detalles

CURSO DE ESQUEMA NACIONAL DE SEGURIDAD

CURSO DE ESQUEMA NACIONAL DE SEGURIDAD CURSO DE ESQUEMA NACIONAL DE SEGURIDAD Objetivos Generales Al finalizar este curso el alumno será capaz de: Comprender los principios básicos recogidos en el Esquema Nacional de Seguridad (ENS). Conocer

Más detalles

Diseño e Implementación de un Sistema de Gestión de Calidad Integrado

Diseño e Implementación de un Sistema de Gestión de Calidad Integrado Operación DR-L1053 Apoyo al Programa de Protección Social y el Sector Salud PROYECTO Diseño e Implementación de un Sistema de Gestión de Calidad Integrado Santo Domingo, R. D. Enero, 2015 Índice 1. Información

Más detalles

ISO 27000. Contenidos WWW.ISO27000.ES. 1. Origen. 2. La serie 27000. 3. Contenido. 4. Beneficios. 5. Cómo adaptarse? 6. Aspectos Clave.

ISO 27000. Contenidos WWW.ISO27000.ES. 1. Origen. 2. La serie 27000. 3. Contenido. 4. Beneficios. 5. Cómo adaptarse? 6. Aspectos Clave. ISO 27000 Contenidos 1. Origen 2. La serie 27000 3. Contenido 4. Beneficios 5. Cómo adaptarse? 6. Aspectos Clave. La información es un activo vital para el éxito y la continuidad en el mercado de cualquier

Más detalles

Nuevo Estándar en Sistemas de Gestión de Seguridad de la Información ISO/IEC 27001:2013

Nuevo Estándar en Sistemas de Gestión de Seguridad de la Información ISO/IEC 27001:2013 EFICIENCIA GERENCIAL Y PRODUCTIVIDAD S.A.C. Nuevo Estándar en Sistemas de Gestión de Seguridad de la ISO/IEC 27001:2013 Introducción El modelo de Gestión de la Seguridad de, el ISO 27001:2005, que fue

Más detalles

Gobierno de Seguridad de la Información

Gobierno de Seguridad de la Información Gobierno de Seguridad de la Información Paul Ochoa Arévalo, MSIA, MBA, CISA Auditor de Sistemas, Banco del Austro S.A Catedrático, U. de Cuenca - U. del Azuay Conferencista Biografía Paúl Ochoa, Auditor

Más detalles

NTP - ISO/IEC 27001:2008

NTP - ISO/IEC 27001:2008 NTP - ISO/IEC 27001:2008 EDI. Tecnología de la Información. Técnicas de Seguridad. Sistemas de Gestion de Seguridad de la Información. Requisitos Enero 2014 Información Agenda? La información es un activo

Más detalles

Condiciones para que la Gerencia de Seguridad de. permanezca vigente.

Condiciones para que la Gerencia de Seguridad de. permanezca vigente. Condiciones para que la Gerencia de Seguridad de la Información permanezca vigente. AGENDA 1. Foco metodológico. 2. Modelo de Seguridad. 3. Ubicación de la Seguridad de la Información en la organización.

Más detalles

ANEXO 12: CORRESPONDENCIA DE ESTÁNDARES

ANEXO 12: CORRESPONDENCIA DE ESTÁNDARES ANEXO 12: CORRESPONDENCIA DE ESTÁNDARES - ESTRATEGIA DE GOBIERNO EN LÍNEA 2.0 Coordinación de Investigación, Políticas y Evaluación Programa Agenda de Conectividad Estrategia de Gobierno en línea República

Más detalles

GUÍA DE IMPLANTACIÓN DE UN SISITEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN UNE ISO/IEC 27001:2007 CON LA HERRAMIENTA GLOBALSGSI

GUÍA DE IMPLANTACIÓN DE UN SISITEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN UNE ISO/IEC 27001:2007 CON LA HERRAMIENTA GLOBALSGSI GUÍA DE IMPLANTACIÓN DE UN SISITEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN UNE ISO/IEC 27001:2007 CON LA HERRAMIENTA GLOBALSGSI POWERED BY AUDISEC www.audisec.es Febrero de 2010 ÍNDICE 1. PRESENTACIÓN...

Más detalles

Construyendo la seguridad de la información: Principios, Políticas y Procedimientos

Construyendo la seguridad de la información: Principios, Políticas y Procedimientos Construyendo la seguridad de la información: Principios, Políticas y Procedimientos Patricia Prandini Posgrado en Seguridad Informática Universidad de Buenos Aires Agenda I. Porqué necesitamos un marco

Más detalles

La ventaja competitiva de certificarse en seguridad

La ventaja competitiva de certificarse en seguridad especial informática La ventaja competitiva de certificarse en seguridad Certificarse en una norma ISO supone para las empresas una apuesta de futuro que, además de una garantía de calidad en la gestión

Más detalles

METODOLOGIAS DE LA SEGURIDAD INFORMATICA Integrantes: Doris Mera Liliana Arteaga Carlos Villamarin Roberth Sosa

METODOLOGIAS DE LA SEGURIDAD INFORMATICA Integrantes: Doris Mera Liliana Arteaga Carlos Villamarin Roberth Sosa METODOLOGIAS DE LA SEGURIDAD INFORMATICA Integrantes: Doris Mera Liliana Arteaga Carlos Villamarin Roberth Sosa Introducción DORIS La seguridad informática es el área de la informática que se enfoca en

Más detalles

En 2002, se revisó BS 7799-2 para adecuarse a la filosofía de normas ISO de sistemas de gestión.

En 2002, se revisó BS 7799-2 para adecuarse a la filosofía de normas ISO de sistemas de gestión. CAPITULO I: TEMA 1.1. Título del Tema Sistema para Análisis y Gestión de Riesgos 1.2. Planteamiento del Problema 1.2.1. Antecedentes Desde 1901, y como primera entidad de normalización a nivel mundial,

Más detalles

Técnico Profesional en Sistema de Gestión de Seguridad de la Información UNE-ISO/IEC 27001:2014

Técnico Profesional en Sistema de Gestión de Seguridad de la Información UNE-ISO/IEC 27001:2014 Técnico Profesional en Sistema de Gestión de Seguridad de la Información UNE-ISO/IEC Titulación certificada por EUROINNOVA BUSINESS SCHOOL Técnico Profesional en Sistema de Gestión de Seguridad de la Información

Más detalles

XXII CONGRESO NACIONAL Tribunales de Cuentas. Órganos y organismos Públicos De Control Externo de la República Argentina

XXII CONGRESO NACIONAL Tribunales de Cuentas. Órganos y organismos Públicos De Control Externo de la República Argentina XXII CONGRESO NACIONAL Tribunales de Cuentas. Órganos y organismos Públicos De Control Externo de la República Argentina 18-19 y 20 de Septiembre de 2013 La Rioja - Argentina El uso de sistemas electrónicos

Más detalles

Cómo afrontar con éxito la Certif icación ISO 27001:2005. Valencia, octubre 2010. Juan Carlos Serrano Antón

Cómo afrontar con éxito la Certif icación ISO 27001:2005. Valencia, octubre 2010. Juan Carlos Serrano Antón Cómo afrontar con éxito la Certif icación ISO 27001:2005 Juan Carlos Serrano Antón Responsable Técnico de Esquema Lead Auditor ISO 27001, ISO 20000, ISO 9001 Valencia, octubre 2010 Conceptos y Definiciones

Más detalles

Universidad Ricardo Palma Facultad de Ingeniería

Universidad Ricardo Palma Facultad de Ingeniería Universidad Ricardo Palma Facultad de Ingeniería Escuela Profesional de Ingeniería Informática Proyecto de Tesis: Sistema para Análisis y Gestión de Riesgos Presentado por: Antton Deyke Cavalcanti Garay

Más detalles

ANEXO 18 GLOSARIO FONDO FINANCIERO DE PROYECTOS DE DESARROLLO FONADE

ANEXO 18 GLOSARIO FONDO FINANCIERO DE PROYECTOS DE DESARROLLO FONADE ANEXO 18 GLOSARIO FONDO FINANCIERO DE PROYECTOS DE DESARROLLO FONADE FONDO DE TECNOLOGIAS DE LA INFORMACIÓN Y LAS COMUNICACIONES: PROGRAMA AGENDA DE CONECTIVIDAD ESTRATEGIA DE GOBIERNO EN LÍNEA CONVENIO

Más detalles

PLAN DE IMPLEMENTACIÓN SGSI BASADO EN LA NORMA ISO 27001:2013 ISAGXXX 2014 TFM MISTIC UOC 2014-2015 ROBIN J.SALCEDO B.

PLAN DE IMPLEMENTACIÓN SGSI BASADO EN LA NORMA ISO 27001:2013 ISAGXXX 2014 TFM MISTIC UOC 2014-2015 ROBIN J.SALCEDO B. PLAN DE IMPLEMENTACIÓN SGSI BASADO EN LA NORMA ISO 27001:2013 ISAGXXX 2014 TFM MISTIC UOC 2014-2015 ROBIN J.SALCEDO B. Agenda de la presentación PLAN DE IMPLEMENTACIÓN SGSI ISO 27001:2013 TFM MISTIC 2014-2015

Más detalles

Análisis del Riesgo y el Sistema de Gestión de Seguridad de Información: El Enfoque ISO 27001:2005

Análisis del Riesgo y el Sistema de Gestión de Seguridad de Información: El Enfoque ISO 27001:2005 Librería Interamericana.com S.A.C. Av. La Encalada # 1587, Tienda A-215, C. C. El Polo Santiago de Surco, Lima, Perú Tlf. (511) 250 0773 Fax (511) 436 6144 www.libreriainteramericana.com Análisis del Riesgo

Más detalles

Taller Nacional Sistema de Seguridad de la Información. Departamento de Gestión Sectorial TIC

Taller Nacional Sistema de Seguridad de la Información. Departamento de Gestión Sectorial TIC Taller Nacional Sistema de Seguridad de la Información Departamento de Gestión Sectorial TIC Octubre 2014 TALLER SISTEMA DE SEGURIDAD DE LA INFORMACION Agenda 1. Introducción, fundamentos y definiciones

Más detalles

Guía de indicadores de la gestión para la seguridad de la información. Guía Técnica

Guía de indicadores de la gestión para la seguridad de la información. Guía Técnica Guía de indicadores de la gestión para la seguridad de la información Guía Técnica 1 HISTORIA VERSIÓN FECHA CAMBIOS INTRODUCIDOS 2.0 11/30/2011 Documento del Modelo Anterior 3.0 25/05/2015 Ajustes por

Más detalles

Propuesta de guía de implementación de mejores prácticas en gestión de riesgos de tecnologías de información en universidades privadas

Propuesta de guía de implementación de mejores prácticas en gestión de riesgos de tecnologías de información en universidades privadas Propuesta de guía de implementación de mejores prácticas en gestión de riesgos de tecnologías de información en universidades privadas PROYECTO DE GRADO Andrés Mauricio Posada Brícoli Sergio Gómez Collazos

Más detalles

Coordinación de Operación y Desarrollo Programa Agenda de Conectividad Estrategia de Gobierno en línea República de Colombia - Derechos Reservados

Coordinación de Operación y Desarrollo Programa Agenda de Conectividad Estrategia de Gobierno en línea República de Colombia - Derechos Reservados ANEXO 3: CORRESPONDENCIA DE ESTÁNDARES - ESTRATEGIA DE GOBIERNO EN LÍNEA Coordinación de Operación y Desarrollo Programa Agenda de Conectividad Estrategia de Gobierno en línea República de Colombia - Derechos

Más detalles

Principales Novedades de la ISO 27001/ISO 27002

Principales Novedades de la ISO 27001/ISO 27002 Jornadas Técnicas 2013 Dibujando el nuevo escenario normativo en el siglo XXI Principales Novedades de la ISO 27001/ISO 27002 Paloma Garcia Lopez Business Standards Development Manager AENOR, Dirección

Más detalles

Seguridad Informática

Seguridad Informática Seguridad Informática Necesidad del Uso de Estándares IIMV Quito, Ecuador Agenda Introducción. Obstáculos para implementar Seguridad Informática Administración de la Seguridad Informática Ciclo de vida

Más detalles

Lista de verificación norma ISO 17799 (Realizada con base en la lista de chequeo del instituto SANS, la cual fue elaborada por Val Thiagarajan)

Lista de verificación norma ISO 17799 (Realizada con base en la lista de chequeo del instituto SANS, la cual fue elaborada por Val Thiagarajan) Lista de verificación norma ISO 17799 (Realizada con base en la lista de chequeo del instituto SANS, la cual fue elaborada por Val Thiagarajan) 3. Política de seguridad 3.1. Política de seguridad de la

Más detalles

POLÍTICA DE DESARROLLO, MANTENCIÓN Y ADQUISICIÓN DE SISTEMAS DE INFORMACIÓN

POLÍTICA DE DESARROLLO, MANTENCIÓN Y ADQUISICIÓN DE SISTEMAS DE INFORMACIÓN PÁGINA Nº1 POLÍTICA DE DESARROLLO, MANTENCIÓN Y ADQUISICIÓN DE SISTEMAS DE INFORMACIÓN Versión 1.0 MINISTERIO DE OBRAS PÚBLICAS ELABORADO POR: Dirección General de Obras Públicas FECHA: 9/09/2012 REVISADO

Más detalles

BS ISO/IEC 27001:2005 SGSI SISTEMAS DE GESTION DE LA SEGURIDAD DE LA INFORMACION. Junio de 2008

BS ISO/IEC 27001:2005 SGSI SISTEMAS DE GESTION DE LA SEGURIDAD DE LA INFORMACION. Junio de 2008 BS ISO/IEC 27001:2005 SGSI SISTEMAS DE GESTION DE LA SEGURIDAD DE LA INFORMACION Junio de 2008 Falta de Seguridad de la Información Compartir passwords Acceso a sitios no autorizados Uso indebido de equipo

Más detalles

Su aliado Estratégico. José E. Quintero Forero CISM, CRISC

Su aliado Estratégico. José E. Quintero Forero CISM, CRISC Su aliado Estratégico José E. Quintero Forero CISM, CRISC Abril 27 de 2011 Entorno de Negocios. Gobierno de Seguridad de la Información. Seguridad de la Información. Gestión de Riesgos. Portafolio de Servicios

Más detalles

INSTRODUCCION. Toda organización puede mejorar su manera de trabajar, lo cual significa un

INSTRODUCCION. Toda organización puede mejorar su manera de trabajar, lo cual significa un INSTRODUCCION Toda organización puede mejorar su manera de trabajar, lo cual significa un incremento de sus clientes y gestionar el riesgo de la mejor manera posible, reduciendo costes y mejorando la calidad

Más detalles

Trabajo final de Máster

Trabajo final de Máster MÁSTER INTERUNIVERSITARIO EN SEGURIDAD DE LAS TIC Trabajo final de Máster Actualización del Sistema de Gestión de Seguridad de la Información de una empresa a la norma ISO/IEC Fase 5 Auditoria de cumplimiento

Más detalles

POLÍTICA PARA LA GESTIÓN INTEGRAL DE RIESGOS EN IBERPLAST

POLÍTICA PARA LA GESTIÓN INTEGRAL DE RIESGOS EN IBERPLAST POLÍTICA PARA LA GESTIÓN INTEGRAL DE RIESGOS EN IBERPLAST VERSIÓN: 01 1. Presentación y Contexto El riesgo es una condición inherente en las organizaciones. Es por eso que, La Junta Directiva y el Comité

Más detalles

POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN PARA LOS ORGANISMOS DE LA ADMINISTRACIÓN PÚBLICA PROVINCIAL

POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN PARA LOS ORGANISMOS DE LA ADMINISTRACIÓN PÚBLICA PROVINCIAL POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN PARA LOS ORGANISMOS DE LA ADMINISTRACIÓN PÚBLICA PROVINCIAL Osvaldo G. Marinetti Política Provincial de Seguridad de la Información Alineada con el Plan Maestro

Más detalles

Webinar Febrero 2013 Cómo aprovechar la nueva regulación de la SBP en beneficio de su Banco?

Webinar Febrero 2013 Cómo aprovechar la nueva regulación de la SBP en beneficio de su Banco? Webinar Febrero 2013 Cómo aprovechar la nueva regulación de la SBP en beneficio de su Banco? Presentado por: Sergio Quiroz, CISSP CISM CISA CRISC CEH CFI, Asesor Principal en Gestión de Riesgo de las TI

Más detalles