Actividad 1 Gestion de la seguridad ITIL

[pic 1][pic 2][pic 3]

[pic 4]

Contenido

1.        Introducción        2

2.        Estándares base        3

3.        Descripción de la empresa        4

4.        Descripción del proyecto        5

5.        Categorización de activos        7

6.        Análisis de controles        9

a.        [A.5] - Políticas de Seguridad de la información,        9

b.        [A.6] - Organización de la seguridad de la información        9

c.        [A.7] - Seguridad ligada a los recursos humanos        9

d.        [A.8] - Gestión de activos        10

e.        [A.9] - Control de acceso        11

f.        [A.10] - Criptografía        11

7.        Análisis del SOA        13

a.        [A.5] - Políticas de Seguridad de la información        13

b.        [A.6] - Organización de la seguridad de la información        13

c.        [A.7] - Seguridad ligada a los recursos humanos        13

d.        [A.8] - Gestión de activos        13

e.        [A.9] - Control de acceso        13

f.        [A.10] - Criptografía        14

8.        Conclusiones        15

9.        Bibliografía        16

1. Introducción

En esta actividad simulamos la práctica de una pre-auditoría del nivel de cumplimiento de gestión de la seguridad de una compañía con la herramienta eMarisma, en la cual nos registramos con el correo de UNIR y comenzaremos a simular que hacemos una auditoria a una empresa sobre el Sistema de Gestión de la Seguridad de la Información en base a la ISO 27001

1. Estándares base

La empresa sigue las buenas prácticas de ITIL, además algunos de sus miembros están certificados.

Como administración pública debe cumplir el Esquema Nacional de Seguridad.

Además se usa Magerit para el Análisis y Gestión de Riesgos.

La empresa sigue un Modelo Gobierno Corporativo según ISO38500

Además de la ISO 27000 que se pretende conseguir, la empresa ha recibido recientemente la certificación de la ISO 9000 referente a Calidad, y está en proceso de la ISO 22301 sobre respuesta a Incidentes de Seguridad que afecten a la continuidad del negocio.

Todos estos estándares, normativa y buenas prácticas, nos servirán para tener cumplidos algunos de los controles que requiere esta auditoría.

1. Descripción de la empresa

Para la realización de esta actividad en e-marisma se ha pensado que somos una empresa auditora de la ISO 27000, y vamos a auditar en base a esta norma a una  Empresa ficticia llamada Master Seguridad Informática, que representaba inicialmente una Universidad como  UNIR, pero que al ir evolucionando la actividad, y desconocer algunos procedimientos internos, a falta de imaginación, se ha pensado en la empresa en la que trabajo, el  Servicio Murciano de Salud de la Comunidad Autónoma de la Región de Murcia.

Así pues su cometido es la formación  online, pero con una estructura, en ocasiones, similar a un servicio de salud autonómico.

1. Descripción del proyecto

Se crea un proyecto con el nombre de la empresa, para realizar sobre el la auditoría.

[pic 5]

[pic 6]

Sobre el proyecto de la empresa en cuestión, se le asigna la política de seguridad que le aplica. Al ser una administración pública sin política de seguridad propia, le aplica la del organismo superior.

[pic 7]

Igualmente adjuntamos la metodología de análisis y gestión de riesgos de los Sistemas de Información para las Administraciones Públicas, compuesta de:

•  Libro I: Método
•  Libro II: Catálogo de Elementos
•  Libro III: Guía de Técnicas

[pic 8]

1. Categorización de activos

Para la definición y categorización de activos se ha pensado en la vertiente de Universidad a Distancia de la empresa, así como se explica en Magerit, en un sistema de información hay 2 cosas esenciales:

• la información que maneja
• y los servicios que presta

En base a esto hemos se han identificado y valorado como activos más importantes el Servicio de Campus Virtual, y justo un nivel inferior la aplicación de Adobe Connect, la Base de Datos Académica, y el Personal Docente, pues esta información y estos servicios son los estratégicos del negocio que hacen que se lleve a cabo la misión docente de la Universidad.

El resto de activos con valor Medio y Bajo son sobre los que se sustentan los anteriores (PCs, redes, servidores, PAS…). Destacar por ejemplo la diferencia entre PCs portátiles con valor Alto y PCs de sobremesa con Valor Medio, esto es así ya que los portátiles son de uso personal por el profesor y su herramienta fundamental para dar clase, y los equipos de sobremesa son una herramienta de sustitución o para tareas administrativas.

Finalmente quedan con nivel muy bajo otros activos como las impresoras, totalmente prescindibles para la formación online.

...