1

REPÚBLICA BOLIVARIANA DE VENEZUELA

MINISTERIO DEL PODER POPULAR PARA LA EDUCACIÓN UNIVERSITARIA
UNIVERSIDAD POLITECNICA TERRITORIAL DEL ESTADO ARAGUA
FEDERICO BRITO FIGUEROA
LA VICTORIA ESTADO ARAGUA

PLAN DIRECTO DE SEGURIDAD DE LA INFORMACION

Autor(es):

Carrillo Maria: CI: 29.708.999

Urbina Gisselle: CI: 27.240.850

Profesor:
Jackson Pérez

La Victoria, 20 de Marzo de 2024

 2

Introducción

La evolución de las tecnologías de la información y comunicación nos ha permitido

automatizar y optimizar muchas de las actividades que se llevan a cabo en nuestra
organización. Estas tecnologías han ido ocupando un lugar cada vez más importante,
hasta el punto de que hoy en día, sin ellas, muchos de nuestros procesos de negocio
no serían posibles. La información es un activo importante para las empresas, es
fundamental para el negocio: facturas, informes, bases de datos de clientes, pedidos,
etc. Podemos decir que las empresas basan su actividad en sistemas de información
con soporte tecnológico (ordenadores, tabletas, página web,…) Por eso proteger los
sistemas de información es proteger el negocio. Para garantizar la seguridad de la
información del negocio se necesita llevar a cabo una gestión planificada de
actuaciones en materia de Ciberseguridad, tal y como se realiza en cualquier otro
proceso productivo de la organización.
 3

¿QUÉ ES UN PLAN DIRECTOR DE SEGURIDAD?

Un Plan Director de Seguridad consiste en la definición y priorización de un conjunto de

proyectos en materia de seguridad de la información con el objetivo de reducir los
riesgos a los que está expuesta la organización hasta unos niveles aceptables, A partir
de un análisis de la situación inicial. Es fundamental para la realización de un buen plan
Director de Seguridad, en adelante PDS, que se alinee con los objetivos estratégicos
de la empresa, incluya una definición del alcance e incorpore las obligaciones y buenas
prácticas de seguridad que deberán cumplir los trabajadores de la organización así
como terceros que colaboren con ésta.

IMPLANTANDO UN PLAN DIRECTOR DE SEGURIDAD

Los proyectos que componen el Plan Director de Seguridad varían en función de
diversos factores relacionados como:

 El tamaño de la organización
 El nivel de madurez en tecnología
 El sector al que pertenece la empresa
 El contexto legal que regula las actividades de la misma
 La naturaleza de la información que manejan:
 El alcance del proyecto
 Otros aspectos organizativos
Estos factores determinarán la magnitud y complejidad del Plan Director de Seguridad
resultante. No obstante, en general, para la elaboración y puesta en marcha de un Plan
Director de Seguridad se siguen las fases o etapas que muestra la ilustración.

 Conocer la situación actual

1. Fase: Implantación del PDS
2. Fase: Conocer La Estrategia de la organización.
 4

3. Fase: Aprobación por la dirección.

4. Fase: Definir proyectos e iniciativas.
5. Clasificación y priorización.
6. Ilustración implantando un Plan Director de Seguridad

CONOCER LA SITUACIÓN ACTUAL DE LA ORGANIZACIÓN (FASE 1)

La primera fase consiste en conocer la situación actual de nuestra empresa en materia
de ciberseguridad. Para ello se debe llevar a cabo distintos análisis considerando
aspectos técnicos, organizativos, regulatorios y normativos, entre otros. Esta es la fase
más importante y compleja de la elaboración del Plan Director de Seguridad, debido a
la participación de diferentes personas y a la importancia que tiene que la información
de la organización necesaria para conocer y evaluar su situación actual, sea fiable,
completa y actualizada. En esta fase es fundamental contar con el apoyo de la
dirección. Éste es un aspecto esencial para garantizar el éxito del plan director de
seguridad, dado que este respaldo garantizará no sólo que disponemos de suficientes
recursos, sino que el enfoque del proyecto está alineado con la filosofía y estrategia de
la empresa.

ACOTAR Y ESTABLECER EL ALCANCE

Es esencial definir claramente el alcance sobre el que vamos a desarrollar el PDS. Este
alcance determinará la magnitud de los trabajos y también cuál será el foco principal
de la mejora tras la aplicación del [Link] posibles alcances podemos escoger: un
único departamento (habitualmente el de TIC), un conjunto de procesos críticos, o unos
sistemas específicos. Lo recomendable es determinar aquellos activos y procesos de
negocio críticos, aquellos sin los que la empresa no puede subsistir, y utilizar éstos
como alcance del PDS. De esta manera, la ejecución del PDS tendrá un impacto más
positivo sobre la seguridad de la información de la organización. Si el proceso más
crítico de nuestra empresa está relacionado con el proceso de facturación, podemos
limitar el alcance a éste: sistemas y equipos implicados, personal, aplicaciones
necesarias, riesgos específicos, etc. Aunque las mejoras serán específicas dentro de
 5

este proceso, nos permitirá profundizar en el resultado y partir de un punto para

extenderlo a otros departamentos o procesos.

RESPONSABLE DE LA GESTIÓN DE LOS ACTIVOS

Los activos de la organización son todos aquellos que tienen valor para ella. Así los
activos de información son todos los procesos, personas, equipos, instalaciones,
software o ficheros de todo tipo que la contienen, procesan o manejan de alguna forma.
Por ello es importante definir las responsabilidades sobre los activos de la
organización: equipos informáticos, dispositivos móviles, aplicaciones, instalaciones
(CPD), servicios e información. Esto nos facilitará hacer un seguimiento de la ejecución
de las iniciativas implantadas, así como del análisis y recogida de la información.
Dichas responsabilidades deben estar asociadas a perfiles específicos, ya sea una
persona o un comité formado por varias personas. En el caso de empresas de pequeño
tamaño, varios de estos roles pueden ser asumidos por la misma persona (el
propietario del activo en cuestión). Al menos, se deben definir los siguientes perfiles.

 Responsable de Seguridad, con la finalidad de hacer un seguimiento y coordinar

todas las iniciativas puestas en marcha por la organización en materia de
Seguridad de la Información.
 Responsable de Información, especialmente cuando tratamos con información
específica que es gestionada a través de diferentes entornos.
 Responsables de ámbito, en el caso de que pongamos en marcha iniciativas en
el ámbito lógico, físico, legal y organizativo.

VALORACIÓN INICIAL
Un buen comienzo implica realizar una valoración preliminar de la situación actual de la
organización para determinar los controles y requisitos que son de aplicación. En la
Gestión de la Seguridad se llaman controles a las medidas de todo tipo (técnico, legal u
organizativo) que se implementan para contrarrestar los riesgos de seguridad.
 6

ANÁLISIS TÉCNICO DE SEGURIDAD

Queda cubierto mediante la valoración del grado de implantación y madurez de los
controles más relacionados con los sistemas de información empleados por la
organización para almacenar y gestionar su información. Además de temas de gestión
y de evaluación de controles en base a entrevistas y percepciones, la realidad del
estado de seguridad de una organización se evidencia mediante la comprobación y
valoración de aspecto tales como:
 Si disponemos de antivirus y cortafuegos.
 Si nuestra página web es segura.
 Si la red está correctamente segmentada, que impida por ejemplo que desde
Internet sean visibles los equipos de los usuarios o los servidores internos.
 Si existen controles de acceso físicos a las áreas con información sensible:
salas de servidores, despachos, área de recursos Humanos, etc.

ANALISIS DE CUMPLIMIENTO
1. Realizar reuniones con el personal de los distintos departamentos de la
organización para evaluar el cumplimiento de los controles de seguridad
implantados.
2. Los estándares y normas internacionales en materia de seguridad de la
información incluyen requisitos para implantar medidas de control de acceso
físico y seguridad medio ambiental. Por lo tanto, también será necesario llevar a
cabo una inspección in-situ de las instalaciones.
3. Registrar todos los problemas y evidencias que vayamos detectando, en relación
a los requisitos de seguridad de aplicación y que están prefijados, en
documentos que luego podamos contrastar y consultar. Por norma general, es
muy útil emplear formularios y listas de verificación (checklists) que incluyen los
aspectos a revisar y comprobar.

ANÁLISIS DE RIESGOS
Como resultado de este análisis de riesgos, obtendremos el conjunto de amenazas a
las que estamos expuestos.
 7

1. Identificación de los activos susceptible de sufrir una amenaza que pueden

afectar a los activos
2. Valoración de los activos críticos de la organización
3. Consecuencias que puede sufrir un activo y probabilidad de que eso ocurra
4. Riesgos residuales a los que la organización está expuesta

CONOCER LA SITUACIÓN ACTUAL DE LA ORGANIZACIÓN (FASE 2)

Consiste en conocer la estrategia corporativa de nuestra organización. Esto implica
considerar los proyectos en curso y futuros, previsiones de crecimiento, cambios en la
organización debido a reorganizaciones, etc. También es importante tener en cuenta si
la organización opta por una estrategia de centralización de servicios, por la
externalización de los servicios TIC, si forma parte de un grupo empresarial mayor o si
va a iniciar la actividad en algún sector distinto del actual que pueda generar requisitos
legales adicionales. Todos estos factores pueden afectar a la orientación de las
medidas y al peso de cada una de ellas. Aunque en términos de esfuerzo y coste
temporal, esta fase tiene menos peso que las restantes, su importancia es fundamental
ya que nos permitirá implantar medidas de seguridad acordes a la naturaleza de
nuestra organización. Esta fase permite alinear la estrategia de seguridad no sólo con
la estrategia TIC, sino también con la estrategia general de negocio de la organización.
Para el correcto desarrollo de esta fase, se recomienda analizar la estrategia de la
organización con los responsables de los departamentos implicados y por supuesto,
con la dirección. Se obtienen así dos objetivos. En primer lugar, se les hace partícipes
en el proyecto y, en segundo lugar, conseguiremos tener una visión objetiva y global de
la estrategia de negocio.

DEFINICIÓN DE PROYECTOS E INICIATIVAS (FASE 3)

Las acciones, iniciativas y proyectos necesarios para alcanzar el nivel de seguridad que
nuestra organización requiere. Dado que el análisis realizado incluye diferentes ámbitos
como recursos humanos, dirección, mantenimiento, jurídico, etc., las iniciativas para
subsanar las deficiencias detectadas también serán de distinta índole:
 8

1. Definiremos las iniciativas dirigidas a mejorar los métodos de trabajo actuales,

para que contemplen los controles establecidos por el marco normativo y
regulatorio.
2. Pondremos en marcha un conjunto de acciones relacionadas con los controles
técnicos y físicos cuya ausencia o insuficiencia hemos detectado.
3. La estrategia a seguir así como los proyectos más adecuados para gestionar los
riesgos por encima de nuestro riesgo aceptable.
En la medida de lo posible, debemos estimar el coste de las iniciativas propuestas en
términos temporales y económicos, contemplando los recursos materiales como
humanos necesarios, tanto a nivel interno como externo.

CLASIFICAR Y PRIORIZAR LOS PROYECTOS A REALIZAR (FASE 4)

Una vez identificadas las acciones, iniciativas y proyectos, debemos clasificarlas y
priorizarlas. El detalle y granularidad de las acciones a llevar a cabo puede ser muy
variado. Ante esta situación, es recomendable agrupar las iniciativas o dividir las
propuestas para homogeneizar el conjunto de proyectos que hemos definido. A la hora
de clasificar las iniciativas podemos considerar como criterio el origen de las mismas
(es decir, derivadas de la evaluación del cumplimiento normativo y regulatorio, análisis
técnico o análisis de riesgos); el tipo de acción (técnica, organizativa, regulatoria,
etc.).Sin embargo, con independencia de que consideremos estos criterios, es
conveniente organizar los proyectos atendiendo al esfuerzo que requieren y a su coste
temporal. De este modo se establecen proyectos a corto, medio y largo plazo.

APROBAR EL PLAN DIRECTOR DE SEGURIDAD (FASE 5)

En este punto, ya disponen de una versión preliminar del Plan Director de Seguridad.
Este plan debe revisarlo y aprobarlo la dirección, es posible que al revisar el Plan
director de seguridad haya que modificar su alcance, duración o la prioridad de algunos
proyectos. Si fuera preciso, el proceso de revisión se repetirá cíclicamente hasta
disponer de una versión final aprobada formalmente por la dirección. Una vez
disponible la versión final aprobada por la Dirección, es conveniente que esta traslade a
todos los empleados de la organización (mediante reunión del director con todos los
 9

empleados o mediante correo electrónico) el respaldo al Plan Director de Seguridad, y

la importancia del deber de colaborar de toda la organización en la implantación del
mismo.
PUESTA EN MARCHA (FASE 6)
Una vez aprobado por la dirección, el plan director de Seguridad marca el camino a
seguir para alcanzar el nivel de seguridad que nuestra organización necesita. Como si
de un proyecto más se tratara, cada organización puede emplear la metodología de
gestión de proyectos que considere oportuno para llevarlo a cabo.
Se indican una serie de aspectos cuya consideración favorecerá el éxito del proyecto y
la consecución de los objetivos establecidos:
 Al inicio del proyecto, debemos llevar a cabo una presentación general del
proyecto a las personas implicadas, haciéndoles partícipes del mismo e
informándoles de cuáles son los trabajos y los resultados que se persiguen.
 Asignar Responsables / coordinadores de proyecto a cada uno de los proyectos
establecidos y dotarlo de los recursos necesarios. Dependiendo de la
envergadura del proyecto, puede ser necesario formar un comité de gestión que
se encargue de la supervisión del mismo.
 Establecer la periodicidad con la que se debe llevar a cabo el seguimiento
individual de los proyectos así como el seguimiento conjunto del plan director de
Seguridad. Al respecto, cabe señalar que aquellos cambios en la organización o
en el entorno de la misma que puedan modificar el enfoque estratégico,
requerirán que revisemos igualmente el Plan Director de Seguridad, a fin de
confirmar que sigue siendo válido y consecuente con la estrategia general de la
organización.
 A medida que vayamos alcanzado los hitos previstos, debemos confirmar que
las deficiencias identificadas en las auditorías o en el análisis de riesgos han
sido subsanadas.