Propuesta Para eficientar el involucramiento del personal del Banco Mexicano del Desarrollo hacia la protección de la información

Propuesta

Para eficientar el involucramiento del personal

del Banco Mexicano del Desarrollo

hacia la protección de la información.

Contenido

Resumen        3

Introducción        4

Propuesta        5

Proceso        5

Personal a involucrar        7

Objetivos        7

Fases        7

Políticas        8

Alcances        9

Métricas de evaluación        9

Duración de la implementación        10

Justificación        11

Bibliografía        12

Resumen

La presente propuesta tiene como finalidad eficientar el involucramiento del personal del Banco Mexicano del Desarrollo hacia la protección de la información, mediante la implementación, en primer lugar, de un sistema de gestión de la seguridad de la información, con políticas claras para la protección y cuidado de la misma; posteriormente políticas y controles para el involucramiento del personal y finalmente establecer métricas de medición para poder entrar a un proceso de Planificar, Hacer, Verificar y Actuar; todo esto con una duración de 5 meses.

Introducción

        Existen variados y diversos sistemas de gestión de seguridad de la información, unos más avanzados que otros, uno más complejos que otros, pero todos tienen como principio salvaguardar la información, para cumplir con los principios básicos de confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad para “garantizar el acceso y la conservación de la información”  (Rioja, 2017).  

        Para la implementar un SGSI tendremos que determinar las vulnerabilidades, el tamaño de la empresa, el personal que se involucrará, los procesos y servicios. Así como basarnos en estándares ya probados para garantizar una mayor probabilidad de éxito.

Propuesta

Proceso

Para el logro de nuestro objetivo iniciaremos con la implementación de un Sistema de Gestión de la Seguridad de la Información (SGSI) basado en la norma NORMA ISO/IEC 27001, que nos permitirá, de acuerdo a los objetivos del banco, analizar ordenadamente los sistemas de información y establecer políticas claras para la protección y cuidado de la misma.  (http://www.biomedica.uv.cl, s.f.)

“El análisis de riesgos tiene como objetivo establecer una priorización de los riesgos de los procesos y activos involucrados en el alcance del SGSI para su tratamiento posterior.”  (Alemán-Novoa, 2015)

Para el análisis consideraremos:

• Que información queremos proteger.
• Contra que o de quién la queremos proteger
• Que tan probable son las amenazas contra la información.
• Como la protegeremos.

Una vez realizado el análisis podremos determinar las políticas claras orientadas a la protección de la información, para lo cual se adoptará un enfoque basado en procesos tipo Planificar, Hacer, Verificar, Actuar (PHVA), que aplica a la norma.

[pic 1]

Nota: tomada de Metodología para la Gestión de la Seguridad Informática  (Oficina de Seguridad para las Redes Informáticas, 2013)

[pic 2]

Nota: tomada de Metodología para la Gestión de la Seguridad Informática

 (Oficina de Seguridad para las Redes Informáticas, 2013)

Personal a involucrar

Posteriormente involucraremos a todo el personal que tenga acceso a cualquier información que haya sido considerada para proteger y se le asignarán niveles de usuario de acuerdo al nivel de protección requerida, o bien al nivel de criticidad, de acuerdo a la siguiente tabla:

Objetivos

• Estipularemos políticas claras con respecto a la seguridad de la información.
• Organizaremos la seguridad de acuerdo a los roles y puestos del personal.
• Gestionaremos los activos de información.
• Nos aseguraremos que todo el personal involucrado con el manejo de la información conozca las políticas.
• Definiremos políticas sobre los accesos físicos a las áreas de la empresa y a la información misma.
• Llevaremos un control de todos los problemas que se presenten con el manejo de la información.
• Definiremos planes de acción para manejar los problemas con la seguridad de la información.

Fases

Planear

        En esta fase

• definiremos:

• el alcance
• las políticas de seguridad
• metodología para evaluar los riesgos.

• identificaremos:

• amenazas
• impactos
• vulnerabilidades
• activos

• evaluaremos riesgos

Hacer

        En esta fase

• definiremos como controlaremos los riesgos
• implementaremos nuestro plan de acción para manejar los problemas con la seguridad de la información.
• Implementaremos controles

Verificar

        En esta fase

• revisaremos nuestro sistema
• revisaremos que tan confiables son nuestros controles
• llevaremos registro de todas las actividades y eventos

Actuar

        En esta fase

• mejoraremos nuestro sistema
• aplicaremos medidas preventivas y correctivas
• verificaremos la eficacia de nuestro sistema

Políticas

Después estableceremos algunas políticas claras para nuestro sistema:

1. Los sistemas deberán ser confiables y proporcionar información igualmente confiable.
2. La información deberá ser eficaz.
3. La información deberá estar disponible.
4. Los procesos para obtener la información deberán ser óptimos.
5. Deberemos garantizar la integridad de la información.
6. La información no debe contener errores.
7. Deberemos cumplir con la normatividad legal tanto local como nacional e internacional.
8. Deberemos cumplir con los requisitos legales del manejo de la información.
9. Deberemos proteger físicamente la información sobre accesos no permitidos.

Alcances

Realizaremos los siguientes documentos dentro de nuestro Sistema de Gestión de la Seguridad de la Información:

• Manual general del SGSI
• Manual de procedimientos del SGSI
• Instructivos
• Formularios
• Listas de check

Métricas de evaluación

Finalmente, para verificar el nivel de cumplimiento de nuestro se  implementarán algunas métricas de evaluación que serán algunas de las siguientes:

1. Evaluación trimestral sobre la efectividad de nuestro SGSI.
2. Verificación y calificación trimestral por usuario del nivel de cumplimiento de los controles y políticas de seguridad (Mediante una lista de check diseñada para ello)
3. Medición trimestral de problemas detectados con el manejo de la información.
4. Medición trimestral de problemas relacionados con daños en la información.
5. Medición trimestral de contaminaciones y ataques informáticos (virus, negación de servicio, etc.)

Las mediciones y evaluaciones trimestrales se compararán con los trimestres anteriores y se llevará un tablero de control que me indique el nivel de involucramiento del personal, para entonces aplicar mi proceso Planear, Hacer, Verificar, Actuar.

...