Auditoría de seguridad. Plan de auditoría técnica de seguridad
Enviado por Yediael C. Martínez • 18 de Julio de 2023 • Tareas • 2.437 Palabras (10 Páginas) • 39 Visitas
Asignatura | Actividad Grupal | Fecha |
Auditoría de seguridad | Plan de auditoría técnica de seguridad | 17/07/2023 |
Hoja de control de actividad grupal
Cada integrante debe llenar e incluir al final de su documento el siguiente registro.
Hoja de control de actividad grupal | |||
Marcar con una X lo que proceda | |||
Asistencia a reuniones de equipo | Asistencia a una sesión o ninguna | Asistencia a dos sesiones | Asistencia a tres sesiones[pic 1] |
José Alberto Audiffred Valadez | X | X | X |
María Concepción Pérez Alonso | X | X | X |
Víctor Manuel Guerrero Segura | X | X | X |
Yediael Ceja Martínez | X | X | X |
Ytzel Álvarez Juárez | X | X | X |
Tareas o entregas a realizadas | Ninguna o una tarea | Dos tareas | Tres tareas |
José Alberto Audiffred Valadez | X | X | X |
María Concepción Pérez Alonso | X | X | X |
Víctor Manuel Guerrero Segura | X | X | X |
Yediael Ceja Martínez | X | X | X |
Ytzel Álvarez Juárez | X | X | X |
Introducción
Con base en los sucesos en la empresa Librería On-Line S.A. (en adelante la organización o cliente) que afecto parte de su infraestructura, así como información de sus clientes, y una afectación reputacional en su giro. Se decidió contratar los servicios de la empresa InfoSecurity, la cual ofrece servicios de consultoría y auditorías técnicas basadas en los estándares internacionales ISO, entre los que destacan el estándar ISO/IEC 27001:2022.
Preparándonos para la auditoria es importante identificar los recursos tecnológicos con los que cuenta la organización, para contar con una mayor visibilidad de lo que se necesita evaluar en la auditoría de seguridad, es por esto por lo que el cliente nos compartió a detalle el diagrama de red con el que cuenta, el cual es el siguiente:
[pic 2]
Propósito de la auditoría
El servicio proporcionado por InfoSecurity, se basa en una auditoría técnica la cual se enfocará en identificar las brechas de seguridad en la infraestructura del cliente, para así definir los controles de seguridad a implementar de acuerdo con los hallazgos encontrados en esta.
Para realizar estas actividades se considerará como criterio el estándar ISO/IEC 27001:2022, en especifico su anexo A y dentro del mismo el punto A.8 Controles tecnológicos y la Ley Federal de Protección de Datos Personales en Posesión de Particulares (LFPDPPP).
Objetivos de la auditoría
- Identificar las brechas de seguridad dentro de los accesos lógicos de la organización.
- Identificar las brechas de seguridad dentro de los dispositivos de seguridad y red de la organización.
- Identificar las brechas de seguridad dentro del procesamiento de datos de la organización.
- Identificar las brechas de seguridad dentro de los sistemas y aplicaciones de la organización.
- Identificación de riesgos de acuerdo con los hallazgos.
- Identificar la madurez de los controles de seguridad implementados actualmente.
- Fomentar el apego a la Ley Federal de Protección de Datos Personales en Posesión de Particulares (LFPDPPP).
- Tener la visibilidad real de la seguridad con la que cuenta la organización, así como los mecanismos de seguridad que deben ser implementados.
Alcance de la auditoría técnica de seguridad (identificar las limitaciones)
El alcance establecido para la auditoría técnica de seguridad tomará en cuenta a la Dirección de General de Tecnologías de la Información y Comunicaciones, así como la infraestructura compartida en el diagrama de red por el cliente.
Así como los controles establecidos por el estándar ISO/IEC 27001:2022 en su Anexo A punto A.8 Controles tecnológicos y siguiendo el TOP 10 de vulnerabilidades OWASP en los sistemas, aplicaciones, bases de datos, etc.
Metodologías que se utilizarán
Las metodologías utilizadas para realizar la auditoría técnica de seguridad se basarán en los siguientes estándares y leyes (de acuerdo con el país del cliente o internacionales).:
- ISO 19011:2018 Directrices para la auditoría de los sistemas de gestión
- ISO/IEC 27002:2022 Information security, cybersecurity and privacy protection — Information security controls
- ISO/IEC 27005:2022 Information security, cybersecurity and privacy protection — Guidance on managing information security risks.
- OWASP (Open Web Application Security Project)
- LEY FEDERAL DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE LOS
- PARTICULARES — Nueva Ley publicada en el Diario Oficial de la Federación el 5 de julio de 2010 — México
Plan de recolección y análisis de datos (incluir las herramientas a utilizar)
La empresa InfoSecurity, cuenta con consultores de seguridad calificados y certificados en el ámbito de la seguridad de la información y ciberseguridad, es por ello por lo que para la recolección de datos y su análisis se hará de forma manual y autónoma considerando lo siguiente:
...