GESTION DE RIESGOS Y SEGURIDAD DE

LA INFORMACIÓN

SEGURIDAD DE LA
INFORMACIÓN
Contenido
• Planteamiento del problema
• Marco Teórico, Mapa Conceptual
• Norma ISO 27002
• Causa-Efecto
• Objetivos:
– General
– Específicos
• Metas e Indicadores
• Actividades, Diagrama de Gantt
• Cuadro de Soluciones, Valoraciones
• Estudio Técnico - Económico
• Conclusiones y Recomendaciones
 Planteamiento del Problema

Formulación del Problema

No existen procesos ni
procedimientos definidos
para el manejo de la
información en la FCICN.
 Planteamiento del Problema

Situación Problemática
“En la FCICN no hay políticas ni controles efectivos sobre
la información de la organización, tampoco existe un plan
de procedimientos internos para custodiar los datos, ni
planes de acción para dar a entender la importancia del
uso y salvaguarda de la información”.
 ¿ Qué es la seguridad de la
información?

Seguridad de la información
Que la información, servicios y
recursos sean accesibles por las
entidades autorizadas cuando ellas lo
requieran.

“Es la preservación de la Información y de los Sistemas que la gestionan en

sus dimensiones de Confidencialidad, Integridad y Disponibilidad”.
 Marco Teórico

Análisis y Gestión del Riesgo

Uso sistemático de la información para identificar
amenazas y coordinar las actividades para dirigir y
controlar una organización con relación al riesgo.

Persigue identificar los sectores más vulnerables

de la organización y permitir concentrar los
esfuerzos de control en los lugares críticos.
 Marco Teórico

Activo: Cualquier cosa - tangible o no - que tenga valor para la

Análisis y Gestión del Riesgo

organización.
Vulnerabilidad: Debilidad de un activo que puede ser explotada
por una amenaza.

Terminología
Amenaza: Causa potencial de un incidente no deseado, que
podría dañar uno o más activos.
Control ó Salvaguarda: Medios para manejar el riesgo;
incluyendo políticas, procedimientos, lineamientos, prácticas o
estructuras organizacionales.
Riesgo: Combinación de la probabilidad de materialización de una
amenaza y el daño que produciría sobre un activo.
 Marco Teórico

Seguridad de la Información
Sistema de Gestión de la
Consiste en la planificación, ejecución, verificación y
mejora continua de un conjunto de controles que
permitan reducir el riesgo de sufrir incidentes de
seguridad
 Marco Teórico
Metodología que establece las especificaciones para

Norma ISO/IEC 27001:2005

un SGSI, con el fin de garantizar que los riesgos son
conocidos, asumidos, gestionados y minimizados, de
una forma documentada, sistemática, estructurada,
continua, repetible y eficiente.

Es un “Código de Buenas Prácticas” para la Seguridad

de la Información, que establece cientos de controles
y mecanismos de control, los cuales pueden ser
implementados y posteriormente chequeados por la
norma ISO/IEC 27001:2005
ISO 27001:2005 Fases
 Seguridad de la Información
Mapa Conceptual
Causa - Efecto

Diagrama
 Objetivos

Definir los procesos de uso y

salvaguarda de la información
de la FCICN con base a las

General
necesidades y capacidades de
la organización.
 Objetivos
1. Conocer la situación actual de la FCICN en relación al
manejo de la Información, evaluando su nivel actual.
2. Determinar la capacidad técnica, operativa y económica
para establecer procesos que mejores el manejo de la

Especificos
Información en la FCICN.
3. Generar informes sobre el tráfico de la información para
detectar las fallas que se presentan en el proceso y corregir
los errores que se presenten por mal manejo.
4. Implementar procedimientos de manejo de la Información
basados en estándares de normas internacionales
teniendo en cuenta las necesidades y capacidades de la
FCICN.
 Metas
Meta Objetivo Proceso Magnitud UM Descripción Jul. /12 Ago. Sep. Oct.
Especifico /12 /12 /12

1 1 Inventariar 175 Equipo Detalle de los equipos 175

de computo
existentes

Marco Metodológico
2 2 Instalar y/o Actualizar 175 Equipo Software antivirus y 88 87
S.O.
3 2 Instalar 1 Servidor Dominio control 1
acceso a usuarios en
la red.

4 3 Generar 20 Informe Sobre tráfico de 5 5 5 5

información y nivel de
buen uso

5 3 Detectar y corregir 120 Días Fallas de seguridad 30 30 30 30

en manejo de la
información

4 4 Capacitar 238 Persona Enseñar uso, custodia 60 85 63 30

de la información

5 4 Implementar 4 Acción Norma internacional 1 1 1 1

27001
 Indicadores
Nombre del Indicador Formula del Indicador Estado Inicial Valor Esperado Periodo

% de acciones (# de acciones implementadas/ total 0% no se había hecho antes 100% logrado de implementar 4 meses
implementadas de acciones) * 100 implementación de la norma ISO las acciones de la norma
27001

Marco Metodológico
% de equipos actualizados (# de equipos actualizados/ total de Se inicia con un 50% de los 100% de los equipos 4 meses
equipos) * 100 equipos actualizados actualizados e instalados

% de fallas corregidas (# fallas corregidas/ total fallas 0% no se había hecho esta 100% de las fallas importantes 4 meses
detectadas) * 100 medición antes sean corregidas

% de personas capacitadas (# personas que asisten a 0% no se había realizado estas 100% de las personas de la 4 meses
capacitación/ total de personas a capacitaciones nunca antes organización estén
capacitar) *100 capacitadas

Calificación promedio de la Suma de calificación de las 0 porque es la primera 4 puntos en una escala de 1 a 4 meses
evaluación evaluaciones/ # personas evaluación que se va a realizar 5 siendo 1 muy malo y 5
evaluadas excelente

% detecciones (# detecciones documentadas/ total 0% no se había realizado reporte 100% de detecciones 4 meses
documentadas detecciones) * 100 de detecciones ni su documentadas
documentación
Cuadro de Soluciones

Marco Metodológico
Estudio Técnico-Económico
Componente Unidad Medida Cantidad Costo Unitario Costo Total

Adecuación Equipos a instalar 175 $41.760 $7’308.000

Marco Metodológico
licencias

Administración Soporte Externo 12 $400.000 $4’800.000

mensual por un año

Personal de la
Capacitación organización y 238 $0 $0
encargados de Esta incluido en el
sistemas. soporte y licencias

Dotación Mejora de equipos 22 $1’400.000 $30’800.000

obsoletos
 Actividades
1. Apropiar el conocimiento en sistemas de gestión de seguridad de la
información y de los mecanismos existentes para la detección de intrusos.
2. Simular tipos de ataques más frecuentes que pongan en riesgo la seguridad

Marco Metodológico
de un sistema o una red a fin de tener mejores fundamentos en la creación
de políticas y procedimientos o en la mejora de ellos.
3. Aplicar los controles de la norma ISO que permitan administrar un sistema
de detección de fallas dentro de un sistema de gestión de seguridad de la
Información.
4. Evaluar las herramientas de software para sistemas gestión de seguridad
Informática existentes en el mercado actualmente.
5. Desarrollar módulos de software para la redacción, mejora y
almacenamiento persistente de políticas de seguridad de la información.
6. Elaborar la documentación que identifique los fundamentos básicos para el
desarrollo de estrategias de seguridad de la información, basado en las
normas internacionales y las necesidades de la organización.
 Diagrama de Gantt

Actividad Julio 2012 Agosto 2012 Septiembre 2012 Octubre 2012

Marco Metodológico
semanas 1 2 3 4 1 2 3 4 1 2 3 4 1 2 3 4

6
 Valoraciones
CRITERIO 1 2 3 4 5

Cualitativa y Cuantitativa
FISICO TECNICO COSTOS TIEMPO HUMANO TOTAL
SOLUCION
4 5 3 4 3 3.8
A
20% 30% 15% 20% 15% 100%

3 5 4 4 3 3.8
B
15% 30% 20% 20% 15% 100%

4 5 3 4 3 3.8
C
20% 30% 10% 20% 20% 100%

5 5 3 3 5 4.2
D
20% 20% 15% 15% 30% 100%

Escala de Valoración Cuantitativa:

1 Deficiente 3 Intermedio 5 Superior

2 Bajo 4 Alto
Conclusiones
 Actualmente en la sociedad de la información es necesario que todas las
organizaciones sin tener en cuenta su tamaño implementen mecanismos
que permitan mantenerla segura, donde se usen normas internacionales
como un sistema principal basado en procesos que busca garantizar la
seguridad de la información.
 La metodología de un Sistema de Gestión de Seguridad de la Información
SGSI permite descubrir los puntos vulnerables de una organización y provee
herramientas valiosas para diseñar procesos y procedimientos de seguridad
eficaces.
 Es de vital importancia involucrar a todas y cada una de las personas que
conforman el recurso humano de la organización en todos los procesos de la
implementación del plan de Seguridad de la Información y que conozcan los
beneficios del buen manejo y aplicación de ellos en sus labores.
 Con una herramienta de análisis y gestión del riego AGR sólida y bien
implementada se pueden producir resultados comparables y repetibles en el
tiempo para evitar futuras fallas en el sistema de seguridad de la
información que se haya adoptado por parte de la organización.
Recomendaciones
 Profundizar en el desarrollo de herramientas de análisis y gestión de
riesgos AGR utilizando sistemas expertos, estudiando de políticas,
metas, indicadores y técnicas para la determinación de la eficacia de
los procesos y procedimientos adoptados para el manejo de la
información.

 Continuar con la realización de las auditorias constantes para hacer el

seguimiento al manejo de la información, además de brindar al área
de sistemas los recursos necesarios que permitan mantener en un
alto nivel de seguridad en la organización en cuanto a informática se
refiere.

 Continuar con las capacitaciones y la concientización de todas las

personas de la organización para que se sientan comprometidos y
continúen involucrados con el desarrollo y aplicación de los procesos
sugeridos en el plan de seguridad de la información.
Recomendaciones
 Se deben tomar acciones inmediatas para gestionar los riesgos
que existen en el manejo de la información, además de disponer
de planes de contingencia ante incidentes que se presenten fuera
de lo previsto ya que todas las acciones deben ser proactivas y no
reactivas.

 Establecer formalmente un plan propuesto para comenzar a

corregir las fallas en el manejo de la información y designar una
persona que esté a la cabeza y encargada de la seguridad de la
información del FCICN.

 Implementar los planes y proyectos para el tratamiento de los

riesgos detectados en el manejo de la información, para que una
vez ganada la experiencia, no se deje decaer la aplicación en
ninguna de las unidades de la organización.
Referencias
[1] Network Working Group, “Site Security Handbook” , Request for Comments 2196,
Septiembre 1997.
[2] Instituto Argentino de Normalización, “Código de práctica para la administración de
la seguridad de la información”, IRAM-ISO IEC 17799, Buenos Aires, febrero 2002.
[3] Coordinación de Emergencia en Redes Teleinformáticas de la Administración
Pública Argentina, Manual de Seguridad en Redes.
[4] Jesús Herney Cifuentes, César Augusto Narváez, Manual de detección de
vulnerabilidades de sistemas operativos UNIX en redes TCP/IP, Universidad del Valle
2004.
[5] Charles Davis, Eric Lakin, “Hasta las Pymes son Hacheadas”, Exposición en el
Congreso Internacional en Seguridad TI Informática H@cker Halted 2005.
[6] Monografías online, “CGI Master”, disponible en: [Link]/cgi/chap0
[7] WOOD,Charles Cresson. Políticas de Seguridad Informática, CISA – CISSP, 2004.
Segunda Edición. [Link] IEEE, Norma ISO 17799 versión 2000.
[8] ISO27001:2005 “ Information Security Management- Specifications for an ISM”
[9] INFORMATION SYSTEMS AUDIT AND CONTROL ASSOCIATION Estándares de
Seguridad, ISACA, IEC/ISO [Link]
No existe la seguridad total sino
una seguridad gestionada.