Definición del Sistema de Gestión de Seguridad de la Información (SGSI) ALCALDÍA DE SANTA ROSA DE OSOS ALCANCE El alcance del SGSI se define como la manera en que la alcaldía municipal de Santa Rosa de Osos, diseña, implanta y da mantenimiento a un conjunto de procesos para gestionar eficientemente la accesibilidad a la información, buscando asegurar la confidencialidad, integridad y disponibilidad de los activos de información minimizando a la vez los riesgos de seguridad de la información. DEFINICIÓN DE TIPOS DE INFORMACIÓN El SGSI se define en los siguientes tipos de información: información Este se define como toda aquella forma de comunicación o representación de conocimiento, como datos, en cualquier forma, con inclusión de formas textuales, numéricas, gráficas, cartográficas, narrativas o audiovisuales, y en cualquier medio, ya sea digital, en papel, en pantallas de computadoras, audiovisual u otro. Sistema de Información Se refiere a un conjunto independiente de recursos de información organizados para la recopilación, procesamiento, mantenimiento, transmisión y difusión de información según determinados procedimientos, tanto automatizados como manuales.
Tecnología de la información Se refiere al hardware y software operado por la entidad o por un tercero que procese información en su nombre, para llevar a cabo una función propia de la entidad, sin tener en cuenta la tecnología utilizada, ya se trate de computación de datos, telecomunicaciones u otro tipo. POLÍTICAS DE INFORMACIÓN Se entiende como la preservación de las siguientes características: Confidencialidad: garantiza que la información sea accesible sólo a aquellas personas autorizadas a tener acceso a la misma. Integridad: salvaguarda la exactitud y totalidad de la información y los métodos de procesamiento. Disponibilidad: garantiza que los usuarios autorizados tengan acceso a la información y a los recursos relacionados con la misma, toda vez que lo requieran. Autenticidad: busca asegurar la validez de la información en tiempo, forma y distribución. Asimismo, se garantiza el origen de la información, validando el emisor para evitar suplantación de identidades. Auditabilidad: define que todos los eventos de un sistema deben poder ser registrados para su control posterior. Protección a la duplicación: consiste en asegurar que una transacción sólo se realiza una vez, a menos que se especifique lo contrario. Impedir que se grabe una transacción para luego reproducirla, con el objeto de simular múltiples peticiones del mismo remitente original. No repudio: se refiere a evitar que una entidad que haya enviado o recibido información alegue ante terceros que no la envió o recibió. Legalidad: referido al cumplimiento de las leyes, normas, reglamentaciones.
INVENTARIO DE ACTIVOS DE INFORMACIÓN Este consiste en reconocer y determinar que activos de información harán parte del inventario y clasificación de activos de información. Para esto se determina y clasifica toda la información en la organización para determinar su relevancia o valor en el negocio y así identificar cuales harán parte y cuales no del inventario y activos de información. Esta clasificación debe hacer en cada proceso y procedimiento de las reglas del negocio para identificar e incluir estos nuevos datos de información al inventario de activos de la alcaldía de Santa Rosa de Osos. Se tomara toda aquella información relevante para la administración, procesos o actividades como necesarios a pertenecer en el inventario de activos. Para la definición del inventario de activos debe definirse los siguientes roles en los procesos y actividades de la alcaldía de la administración: Líder del proceso: define el director, autor o líder responsable de un proceso o grupo de procesos, indicando sus actividades, responsabilidades y los activos de información de mayor relevancia para la correcta ejecución de sus actividades. Definición de tecnología de información: el líder de cada proyecto define el tipo al cual pertenece el activo y lo clasifica según su tecnología o presentación. Información: corresponden a este tipo bases de datos y archivos de datos, contratos y acuerdos, documentación del sistema, información sobre investigación, manuales de usuario, procedimientos operativos o de soporte, planes para la continuidad del negocio, acuerdos sobre retiro, pruebas de auditoria e información archivadas, físicas o electrónicamente. Software: software de aplicación, software del sistema, herramientas de desarrollo y utilidades. Físico: equipos de cómputo, equipos de comunicaciones, medios removibles y otros medios. Servicios: Servicios de computación y comunicaciones (Acceso a internet, aplicativos Web, acceso a red, etc.) Valor de la información: se define la calidad e importancia de la información y se categoriza en un rango desde muy bajo hasta muy alto. Este valor nos indica la
importancia que tiene el dato en determinado proceso o a la entidad como tal y nos ayuda a determinar si este hará parte del inventario de activos. Muy Alto: apoya el cumplimiento de los objetivos misionales de la administración. Alta: apoya el cumplimiento de los objetivos misionales del proceso o Bajo: Apoya levemente los objetivos misionales del proceso o Muy Bajo: No apoya el cumplimiento de los objetivos. Confidencialidad: aquí es donde se define qué nivel de acceso tiene la información y que implicaciones tiene su libre acceso, para esto también se categoriza el dato en el siguiente rango: Muy Alto: información disponible solo para un pequeño grupo de individuos, la divulgación de dicha información podría impactar negativamente la administración o alguno de sus integrantes. Alta: Información disponible solo a nivel institucional, su divulgación podría impactar negativamente la ejecución o desarrollo del proceso o la Bajo: la divulgación de esta información podría impactar levemente el proceso o la Muy Bajo: la divulgación de esta información no impacta el proceso o la Integridad: define la veracidad, integridad y calidad de la información y su impacto frente a una pérdida o inexactitud de información. Se categoriza en el siguiente rango:
Muy Alto: la inexactitud de la información impacta negativamente la administración o alguno de sus individuos. Alto: la inexactitud de la información impacta negativamente el proceso o Bajo: la inexactitud de la información impacta levemente el proceso o la Muy Bajo: La inexactitud de la información no afecta el proceso o la Disponibilidad: define disponibilidad de la información para un determinado usuario o proceso. Se categoriza en el siguiente rango: Muy Alto: la falta de la información impacta negativamente a la administración. Alto: la falta de la información impacta negativamente el proceso o Bajo: la falta de la información impacta levemente el proceso o la Muy Bajo: la falta de la información no afecta el proceso o la ANÁLISIS DEL RIESGO Es la consideración sistemática del daño probable que pueda causarse en la administración, ante un fallo en la seguridad de la información, con las consecuencias potenciales de pérdida de confidencialidad, integridad y disponibilidad de la información.
Para el análisis de riesgo tenemos los siguientes componentes: RIESGOS: Es la posibilidad de que se produzca un impacto sobre algún activo y se incurra en la pérdida del mismo. AMENAZAS: son los eventos que pueden desencadenar un incidente en la organización, produciendo daños materiales o perdidas inmateriales en sus activos. Las consecuencias de las amenazas si se materializan, es un incidente que modifica el estado de seguridad de los activos amenazados. Además de esto los activos están expuestos a muchas clases de amenazas que pueden explotar sus vulnerabilidades. VULNERABILIDADES: también llamada debilidad, agujero, falla o error en la seguridad del sistema de información. En si misma no causa daño, es una condición o un conjunto de condiciones que pueden permitir a una amenaza afectar a un activo. IMPACTO: es la consecuencia sobre un activo de la materialización de una amenaza, el impacto mide la diferencia entre el estado de seguridad de un activo. RIESGO INTRÍNSECO: es el estudio que se realiza sin tener en consideración las diferentes medidas de seguridad que ya están implantadas en una organización.
RIESGO RESIDUAL: es el estudio que se realiza teniendo en consideración las medidas de seguridad que la organización ya tiene implantadas.