“ISO 27001 - Liderazgo y Compromiso”
Enviado por Bryan Carrión • 25 de Octubre de 2021 • Resúmenes • 958 Palabras (4 Páginas) • 178 Visitas
UNIVERSIDAD CENTRAL DEL ECUADOR[pic 1][pic 2]
FACULTAD DE CIENCIAS ADMINISTRATIVAS
CONTABILIDAD Y AUDITORÍA
AUDITORÍA DE SISTEMAS INFORMÁTICOS
Tema:
“ISO 27001 - Liderazgo y Compromiso”
Estudiante:
Carrión Navarrete Bryan Sebastián
Paralelo:
CA 9-1
Docente:
Dra. Susana Cadena Vela
Liderazgo y Compromiso
De acuerdo a la ISO 27001-“Sistemas de Gestión de Riesgos y Seguridad” menciona que dentro de una entidad es muy importante la participación activa y comprometida de la alta dirección de la organización en acciones de revisión, por lo que es de vital importancia involucrar a la alta gerencia dentro del sistema de gestión de seguridad de la información para poder asegurar que las acciones de gobierno de la organización se encuentren bien delimitadas con el marco de gestión de la seguridad de la información.
¿Qué es?
Corresponde a una de las secciones correspondientes a la ISO 27001, en la cual nos indica cómo liderar la organización y qué aprobaciones se requieren para implementar un sistema de gestión de seguridad de la información. Este compromiso de la alta dirección debe ser comprobable y, además exige establecer una política de acuerdo con la seguridad de la información. Esta política debe documentarse y ser comunicada dentro de la organización y a las partes interesadas.
¿Cuál es el alcance?
Es muy significativo que todos los empleados mantengan una actitud de responsabilidad con todas las actividades designadas dentro de la organización, pero es de vital importancia que la alta gerencia mantenga un plan de seguridad de la información, en la cual existan personas delegadas que demuestren tener una actitud ejemplar y comprometida para dicha responsabilidad y tengan presente:
- Compromiso: “A mayor jerarquía mayor exigencia" que demuestre la incorporación de los valores éticos y de compromiso con la seguridad desde el más alto nivel
- Políticas: una política y una dirección bien diseñadas.
- Enfoque basado en el riesgo: Asegurarse de que todos sepan la importancia del enfoque basado en el proceso y el pensamiento basado en el riesgo.
El resultado de contar con un personal con esta mentalidad debería ser una organización donde la seguridad de la información quede arraigada como parte de su cultura. Además podrá:
- Asegurar que los recursos para el SGSI están disponibles
- Garantizar que se comunica correctamente a todos la importancia del SGSI
- Establecer objetivos sobre la seguridad de la información
- Asegurar que se establezcan la política de la seguridad de la información y los objetivos de la seguridad de la información, y que estos sean compatibles con la dirección estratégica de la empresa
- Combinar la importancia de una gestión de la seguridad de la información eficaz y de la conformidad con los requisitos del Sistema de Gestión de Seguridad de la Información
- Asegurar de que el Sistema de Gestión de la Seguridad de la Información logre los resultados previstos
- Dirigir y apoyar a las personas, para contribuir a la eficiencia del SGSI
- Promover la mejora continua
- Apoyar otros roles pertinentes de la dirección
Ejemplo Práctico
El Preuniversitario Hawking realiza la contratación de nuevo personal para el área de ventas, los cuales tendrán un contrato temporal de 6 meses. Debido a este corto lapso de tiempo, los supervisores estarán encargados de capacitar al nuevo personal y proporcionarles de la información y recursos necesarios para realizar su actividad, teniendo presente que dicho personal no divulgue, comparta o venda las diferentes bases de datos o información relevante de la entidad.
Cuestionario de Control
[pic 3] | PREUNIVERSITARIO HAWKING Auditoría de Sistemas Semestre: del 01 de julio al 31 de diciembre del 2020 COSO 1 CONTROL DE LIDERAZGO Y COMPROMISO | CI 1/4 | ||||||
COMPONENTES | PREGUNTA | RESPUESTA | PONDERACIÓN | OBSERVACIÓN | ||||
1 | Ambiente de Control | ¿Los supervisores cuentan con manuales de capacitación actualizados? | SI | NO | N/A | PO | C | Los supervisores cuentan con los manuales pero no todos están actualizados. |
X | 10 | 3 | ||||||
¿Los supervisores dan a conocer a los nuevos empleados las políticas y normas de la entidad? | X | 10 | 6 | La gran mayoría de los empleados conocen lo correspondiente a las políticas y normas, pero no saben a qué se refiere exactamente. | ||||
¿Los perfiles del personal contratado están de acuerdo con las funciones a realizar? | X | 10 | 3 | Muchas de las personas contratadas no cuentan con los perfiles o conocimientos necesarios para cumplir a cabalidad con su labor. | ||||
2 | Evaluación de Riesgo | ¿Se promueve un buen ambiente laboral entre todos los miembros del área? | X | 10 | 6 | Se busca que todos los miembros del área trabajen en armonía aunque en ocasiones existen ciertos desacuerdos. | ||
¿Las principales actividades que se deben realizar cuentan con un manual de procesos? | X | 10 | 3 | No todas las actividades cuentan con su determinado manual. | ||||
¿Se documenta la evaluación de riesgos de las principales actividades? | X | 10 | 5 | Algunas actividades no cuentan con esta evaluación. | ||||
¿Las principales actividades cuentan con planes de contingencia? | X | 10 | 4 | Muy pocas actividades cuentan con planes de contingencia. | ||||
3 | Actividades de Control | ¿Los controles implementados apoyan a un mayor desempeño en las actividades principales a realizar? | X | 10 | 7 | Son adecuados, pero se podrían mejorar. | ||
¿El procedimiento a realizar en los controles implementados en las principales actividades está documentados? | X | 10 | 1 | No todos los procedimientos se encuentran documentados. | ||||
¿Las actividades de capacitación y control están soportados en sistemas de información? | X | 10 | 6 | Cada proceso cuenta con su respectivo respaldo de información en el sistema, pero no mantiene un orden adecuado. | ||||
4 | Informacion y Comunicación | ¿Los sistemas de información implementados aseguran la calidad, pertinencia, veracidad, oportunidad, accesibilidad, transparencia, objetividad e independencia de la información? | X | 10 | 3 | Los sistemas de información que se encuentran en el área no permiten designar un ámbito de información a todos los empleados. | ||
¿Cumple con los principios Institucionales de Seguridad de la información? | X | 10 | 8 | Cada uno de los procesos cumple con esta disposición. | ||||
¿Se evalúa periódicamente la efectividad de las líneas de comunicación e información entre vendedores? | X | 10 | 7 | Los procesos son evaluados periódicamente pero aun así no son concurrentes a las necesidades de cada línea de comunicación. | ||||
5 | Supervisión o monitoreo | ¿Se comunica las deficiencias de control interno de forma oportuna a los supervisores para aplicar medidas correctivas? | X | 10 | 7 | Las deficiencias que se encuentran son comunicados de forma oportuna a cada supervisor, pero no es totalmente clara. | ||
¿Se asegura que sean atendidas las recomendaciones en materia de control interno? | X | 10 | 1 | No todas las recomendaciones han sido tomadas en cuenta. | ||||
TOTAL | 150 | 70 |
...