La Gestión de la Seguridad de los Sistemas de Información

Transcripción

1 La Gestión de la Seguridad de los Sistemas de Información en el extinto Ministerio de Agricultura, Pesca y Alimentación ( ) Subdirección General de Informática y Comunicaciones Manuel Ruiz del Corral Jefe de Área de Seguridad Informática 1

2 El Área de Seguridad de SSII Antecedentes y Competencias Hasta 2005: Modelo Técnico Descentralizado Medidas Técnicas de Seguridad desde cada Área Funcional. Insostenible: Crecimiento de la informática. Crecimiento de las amenazas y su complejidad. Lo Técnico no es suficiente Actualidad: Modelo de Gestión Centralizada (Área de Seguridad), de acuerdo con los estándares de referencia. 2

3 Antecedentes y Competencias Funciones del Área de Seguridad Informática Gestionar la implantación del Plan Director de Seguridad Informática ( ). Auditoría, Control y Normativa Informática. Dirección de Proyectos Técnicos de Seguridad, preventivos y correctivos. Cumplimiento Legal en sus aspectos técnicos (LOPD, LSSI). Divulgar y Concienciar al personal del MAPA en materia de Seguridad Informática. 3

4 Estrategia de Gestión Marco Teórico ESTRATÉGICA TÁCTICA SEGURIDAD GESTIONADA - SGSI MÉTRICAS DE SEGURIDAD INDICADORES DE ALTO NIVEL EVOLUCIÓN DE LA ORGANIZACIÓN CUERPO NORMATIVO TÉCNICO PROCESOS ESTÁNDARES MADUREZ OPERATIVA GESTIÓN DE LA INFORMACIÓN SEG SEG SEG SEG SEG 4

5 Proyectos Destacados Gestión de Activos de Información Construcción de un Inventario de Activos de Información. Soporte de Herramientas Automáticas y Normativas de Gestión de la Configuración. Procesos de Control de Calidad de Datos. Procesos de Control de la Seguridad de los Activos. Creación y Divulgación del Cuerpo Normativo de Seguridad Informática Jerárquico: Políticas, Normativas y Procedimientos. Marco de Actuación y Evasión de la Arbitrariedad. Dirección de múltiples Auditorías. Infraestructuras y Procesos. Auditorías LOPD. 5

6 Proyectos Destacados Implantación de Procesos de Calidad Internos (Área) Procesos de Control, Revisión y Cuadros de Mando. Normativa de Documentación Interna (nuestro principal activo es la documentación). Dirección del Plan de Modernización de la Red Segmentación y Securización de la Red. Nueva Infraestructura de Seguridad. Gestión de Identidades Normalización de Conexiones y Servicios con Terceros Grupo TRAGSA, Redes Interadministrativas. Impulso de la Normalización de Procesos en la Subdirección (Pasos a Producción) Marco: ITIL 6

7 Proyectos Destacados Construcción n de un Cuadro de Mando SGSI C C C C ENTRADAS Cuerpo Normativo Estándares Herramientas XML XML CONTROLES DE SEGURIDAD Gestión de Vulnerabilidades Seguridad Perimetral Acceso Físico Malware Bastionado Hacking Ético, Aplicaciones Incidencias LOPD Pruebas en PreProducción Independencia Escalabilidad Flexibilidad Dinamismo Normativa Específica NORMALIZACIÓN MODELIZACIÓN (Datos e Indicadores) XML INDICADORES Parametrización del Riesgo Proactividad en la Gestión Valor Añadido a la Dirección EXPLOTACIÓN DE INFORMACIÓN (Herramienta Cuadro Mando) 7

8 Proyectos Destacados Prototipo Cuadro de Mando SGSI 8

9 Momento Actual - Análisis DAFO Debilidades Cultura de Gestión Burocracia Administrativa Carencias Estratégicas Comité de Seguridad Fortalezas Jerarquía Área de Seguridad Presupuesto e Inversión Equipo Humano y Motivación Amenazas Fusión n Ministerial Tecnología Procesos Alcance Oportunidades Fusión n Ministerial Importancia Mercado Seguridad Seguridad como Proceso de Madurez Leyes y Certificaciones 9

10 Responsabilidad Reflexiones Datos a disposición de las AAPP (más allá de la LOPD) Superar el nunca ha pasado nada. Valorar las certificaciones, sin que sean preceptivas. Modernizar Invertir en Servicios, superando el enfoque meramente técnico. Invertir en Conocimiento => Auditorías, Consultorías Invertir en Imagen => Certificaciones ante el ciudadano. Cultura y Divulgación Creación de grupos de trabajo entre Administraciones. Fomento de la cultura de Seguridad en los niveles predirectivos y directivos. 10

11 GRACIAS Manuel Ruiz del Corral Paseo Infanta Isabel, Madrid Despacho B-53 manuel.ruiz@marm.es