Oficina de Gerencia de Proyectos Gerencia de Proyectos aplicada a proyectos de seguridad de la información

Transcripción

1 Oficina de Gerencia de Proyectos Gerencia de Proyectos aplicada a proyectos de seguridad de la información Jaime Zuluaga PMP, CISM, CISA, ABCP, ITSM Director de Innovación NewNet S.A.

2 Agenda Introducción Elementos de la gerencia de proyectos Consideraciones de seguridad de la información Identificación de interesados como una extensión de acuerdo a los productos Consideraciones especiales de seguridad para la gerencia de proyectos Consideraciones finales 3 Introducción

3 La teoría es asesinada tarde o temprano por la experiencia 5 Situaciones Reales de un Proyecto Como lo describió el consultor Como lo explicó el cliente Como lo entendió el comercial Como lo diseñó el preventa Que fue lo que se entregó Como el proyecto fue documentado Cuánto se le cobró al cliente Que necesitaba realmente el cliente 6

4 Mensajes Iniciales No por hacer las cosas bien, como siempre las hemos hecho las estamos haciendo como deben ser Si sigues haciendo lo que estás haciendo seguirás consiguiendo lo que estás consiguiendo Nunca hay tiempo para hacer las cosas bien pero siempre hay tiempo para repetirlas 7 Elementos de la Gerencia de Proyectos

5 Trabajos en las Compañías Misión Operación Permanente Repetitivo Estrategia Dirección Tareas Visión Proyectos Temporal Único C o m p a ñ í a Proyecto? Un proyecto es un esfuerzo temporal comprometido para crear un producto o servicio único.* La gerencia de proyecto es la planificación, programación y control de las actividades del proyecto para lograr el rendimiento y el costo, en el tiempo planeado, dentro de un alcance del trabajo acordado, usando los recursos eficientemente y eficazmente.* * Tomado del pmicolombia

6 El PMI y la Gerencia de Proyectos Procesos de Seguimiento y control Procesos de planeación Ingreso Fase/ Inicio proyecto Procesos de inicio Procesos de cierre Salida Fase/ Fin proyecto Procesos de ejecución Grupos de procesos de la gerencia de proyectos * Tomado del pmbok versión 4 (junio de 2009) Grupos de la dirección de proyectos Inicio Gestión de la integración (4.1. Desarrollo del Project charter) Gestión de las comunicaciones (10.1 Identificación de stackeholders) Grupo del Proceso de Iniciación * Tomado del pmbok versión 4 (junio de 2009)

7 Grupos de la dirección de proyectos Planeación Gestión del tiempo Gestión del alcance (5.1. recolectar requerimientos 5.2. Definir el alcance 5.3. crear WBS) (6.1. definir actividades 6.2. secuenciar actividades 6.3. estimar recursos para las actividades 6.4. estimar duración de las actividades 6.5. Desarrollar el cronograma) Gestión de costos (7.1 estimar costos 7.2. Determinar presupuesto) Gestión de adquisiciones (12.1 plan de adquisiciones) Gestión de la Integración (4.2. Desarrollo del plan del proyecto) Gestión de calidad (8.1 Plan de calidad) Gestión del riesgo (11.1. planear la gestión del riesgo identificar riesgos Realizar análisis cualitativo del riesgo Realizar análisis cuantitativo del riesgo planear la respuesta al riesgo) Gestión de las comunicaciones (10.2 Plan de Comunicaciones) Gestión de los recursos humanos del proyecto (9.1 Plan de RRHH) Grupo del Proceso de Planeación * Tomado del pmbok versión 4 (junio de 2009) Grupos de la dirección de proyectos Ejecución Gestión de calidad Gestión de los recursos humanos (8.2 realizar el Aseguramiento de calidad) (9.2 Adquirir el equipo de proyecto 9.3. desarrollar el equipo 9.4. gestionar el equipo ) Gestión de la integración (4.3. dirección y gestión de la ejecución del ) Gestión de Adquisiciones del proyecto (12.2. conducir las adquisiciones) Gestión de las comunicaciones del proyecto (10.3 Distribuir Información Gestionar las Expectativas de los interesados) Grupo del Proceso de Ejecución * Tomado del pmbok versión 4 (junio de 2009)

8 Grupos de la dirección de proyectos Control Gestión del alcance (5.4. verificar el alcance 5.5. Control del alcance) Gestión del tiempo (6.6. Controlar el el cronogramas) Gestión de costos (7.3. Control de costos) Gestión de adquisiciones (12.3 gestionar las adquisiciones) Gestión de la integración (4.4. Monitoreo y control del trabajo 4.5. Realizar el control integrado de cambios) Gestión de la calidad (8.3 Realizar control de calidad) Gestión del riesgo (11.6 Monitoreo y control del riesgo) Gestión de las comunicaciones (10.5. Reportes de desempeño) Grupo del Proceso de Seguimiento y Control * Tomado del pmbok versión 4 (junio de 2009) Grupos de la dirección de proyectos Cierrre Gestión de la integración (4.6. Cerrar el proyecto o fase) Gestión de las adquisiciones (10.1 Cierre de adquisiciones) Grupo del Proceso de Cierre * Tomado del pmbok versión 4 (junio de 2009)

9 Consideraciones de Seguridad de la Información Seguridad de la Información La seguridad de la información se define como la preservación de las siguientes características: SI Integridad 18

10 Objetivo de un SGSI? Garantizar que los riesgos de la seguridad de la información son conocidos, asumidos, minimizados y gestionados por la organización de una forma documentada, sistemática, estructurada, continua, repetible, eficiente y adaptada a los cambios que se produzcan en la organización, los riesgos, el entorno y las tecnologías. 19 Estructura de la ISO/IEC Estratégico Táctico Operativo Gestión de Incidentes 20

11 Qué Requerimos para tener Seguridad de la Información? Un marco del comportamiento aceptable (Políticas apropiadas, procedimientos, reglas, regulaciones ) Conocimiento del marco aceptable (Por todo aquel que lo debe seguir) Deseo por comportarse de acuerdo al marco de comportamiento (Compromiso y Motivación Intrínseca vs Acatamiento) 21 Identificación de interesados como extensión de acuerdo a los productos

12 Grupos de la dirección de proyectos Inicio Gestión de la integración (4.1. Desarrollo del Project charter) Gestión de las comunicaciones (10.1 Identificación de stackeholders) Grupo del Proceso de Iniciación * Tomado del pmbok versión 4 junio de 2009 Identificar los interesados? La gestión de la seguridad de la información es necesariamente un proceso transversal en la organización e incluye las interacciones con otras organizaciones. Los Interesados en el proyecto estarán en todas las áreas de la organización, en todas sus sedes, las sedes de los contratistas, sus clientes, la sociedad. entonces el proyecto serán todos los empleados, funcionarios, contratistas, clientes, etc.? 24

13 Consideraciones especiales de Seguridad de la Información para la Gerencia de proyectos Consideraciones especiales de Seguridad de la Información para la Gerencia de proyectos Metodología de Inventario y Clasificación de los Activos de Información Procedimientos de Tratamiento de la información Metodología de Gestión de Riesgos de los Activos de Información Planes de tratamiento de Riesgos Políticas de Seguridad de la Información (Administradores y Usuarios) Diccionarios de Competencias Directrices de seguridad Manual del Sistema Cada proyecto debe poderse ver como un ejemplo de utilización de los productos a entregar para evitar que estos sean vistos como de difícil apropiación al interior de la organización 26

14 Logre y mantenga una Visión Unificada en su equipo de proyecto Consideraciones especiales de Seguridad de la Información para la Gerencia de proyectos Todo el equipo de proyecto debe actuar responsable con la seguridad y debe tener firmados los acuerdos de confidencialidad Identifique los stakeholders claramente, no solo el equipo Metodología de Inventario y Clasificación de los Activos de Información Procedimientos de Tratamiento de la información Metodología de Gestión de Riesgos de los Activos de Información Planes de tratamiento de Riesgos Políticas de Seguridad de la Información (Administradores y Usuarios) Diccionarios de Competencias Directrices de seguridad Manual del Sistema 27 Consideraciones especiales de Seguridad de la Información para la Gerencia de proyectos Las memorias y elementos de apoyo se deben conservar acorde a los acuerdos preestablecidos y los procedimientos de tratamiento de información Metodología de Inventario y Clasificación de los Activos de Información Procedimientos de Tratamiento de la información Metodología de Gestión de Riesgos de los Activos de Información Planes de tratamiento de Riesgos Políticas de Seguridad de la Información (Administradores y Usuarios) Diccionarios de Competencias Directrices de seguridad Manual del Sistema Al analizar los riesgos, sea claro sobre los alcances e involucre si es el caso riesgos asociados a la información del proyecto. 28

15 Consideraciones especiales de Seguridad de la Información para la Gerencia de proyectos El equipo lidera e inicia la sensibilización al interior de la compañía. (debe estar preparado y dar ejemplo) La alineación estratégica por encima de la seguridad (La misión se debe garantizar) Cada documento debe estar adecuadamente clasificado Metodología de Inventario y Clasificación de los Activos de Información Procedimientos de Tratamiento de la información Metodología de Gestión de Riesgos de los Activos de Información Planes de tratamiento de Riesgos Políticas de Seguridad de la Información (Administradores y Usuarios) Diccionarios de Competencias Directrices de seguridad Manual del Sistema 29 Consideraciones especiales de Seguridad de la Información para la Gerencia de proyectos Aclare las diferencias y la terminología (genere un glosario) Metodología de Inventario y Clasificación de los Activos de Información Procedimientos de Tratamiento de la información Metodología de Gestión de Riesgos de los Activos de Información Planes de tratamiento de Riesgos Políticas de Seguridad de la Información (Administradores y Usuarios) Diccionarios de Competencias Directrices de seguridad Manual del Sistema Aunque se debe llegar a todos los interesados, se debe tener el control en el equipo. Se requiere la aprobación de la alta gerencia, así su participación sea delegada. 30

16 Consideraciones Finales La Gestión de la Seguridad de la Información no garantiza la seguridad de la información Una gestión adecuada minimiza los riesgos asociados. La ausencia de gestión, potencia la materialización de los riesgos asociados 32

17 La gerencia de proyectos no garantiza el éxito de ningún proyecto Una gerencia adecuada, maximiza la probabilidad de éxito de los proyectos La ausencia de gerencia potencia la probabilidad de fracaso 33 Gracias Diagonal (Calle) 16 No Teléfono: Fax: BOGOTA DC Carrera 49 No Of. 406 Teléfono: Fax: MEDELLIN Calle 18 No Of. 406 Teléfono: Fax: PEREIRA Calle 23N No. 3N-33 Piso 6 Teléfono: Fax: CALI