Diagnostico del ambiente de Tecnologías de la información para el apoyo de los procesos operativos

Diagnostico del ambiente de Tecnologías de la información para el apoyo de los procesos operativos

En primera instancia se desarrolla un diagnóstico del ambiente de Tecnologías de la información puesto que la mayoría de los procesos, todos los sistemas, ambiente de control automatizados y seguridad informática descansan tanto en la infraestructura tecnología como en las actividades de gobierno y control del área de informática. De esa cuenta vamos se realiza lo siguiente

1. Considerar las mejores prácticas y adopción de estándares de seguridad informática que sirvan de fundamento para el desarrollo tanto del diagnóstico inicial como posterior de la implementación de la estrategia.
2. Posterior al fundamento el desarrollo del diagnóstico se realizará en base a lo que se ha denominado Evaluación Continua del Riesgo, el cual considera en su fundamento como ya se ha mencionado las mejores prácticas y así también la evaluación de la madurez de los procesos. Esta evaluación se realiza conforme a lo descrito en los antecedentes del proyecto.

Adopción de Estándares de Seguridad Informática

A continuación, se presenta lo relacionado a considerar metodología y mejores prácticas que serán utilizadas no solamente para el desarrollo del diagnóstico inicial, sino que también en base a ellas y los resultados proponer la estrategia de mejora y remediación.

En relación con la adopción de estándares de Seguridad para el tratamiento de la información se realiza un análisis de las normas ISO Vigentes y aplicables

[pic 1]

La gestión de los riesgos tecnológicos es importante porque las organizaciones al usar tecnología en su actividad diaria y como parte de sus procesos de negocio se encuentran expuestas a este tipo de riesgos. Por ello pueden afectar su actividad y ser fuentes de pérdidas y daños considerables. De lo anterior los planes de seguridad deben enfatizar en crear conciencia en seguridad para prevenir riesgos y buscar estrategias para obtener el apoyo de la alta dirección con el fin de cumplir con los objetivos y asegurar la información crítica, adicional la gestión adecuada de los riesgos permite evitar en gran medida la ocurrencia de incidentes y con ello evitar la activación de planes de continuidad.

1. Seguridad de las Comunicaciones: Protección contra una amenaza a la infraestructura técnica de un sistema cibernético que pueda conducir a una alteración de sus características para llevar a cabo actividades no previstas por sus propietarios, diseñadores o usuarios.[pic 2]
2. Seguridad de las operaciones: Protección contra la corrupción prevista de procedimientos o flujos de trabajo que tendrán resultados que no fueron intencionados por sus propietarios, diseñadores o usuarios.
3. Seguridad de la Información: Protección contra la amenaza de robo, sustitución o alteración de los datos almacenados a transmitidos dentro de un Ciberespacio.
4. Seguridad Física: Protección contra amenazas físicas que pueden afectar o influir nuestro sistema en el Ciberespacio, por ejemplo Acceso físico a los servidores, colocar hardware malicioso en la red.
5. Seguridad Pública / Nacional: Protección contra una amenaza de Ciberespacio, para amenazar los bienes físicos o Cibernéticos con un beneficio político o estratégico para el atacante, por ejemplo, sistemas financieros, comunicaciones o infraestructuras públicas.

Los controles técnicos definidos en la Norma ISO27032 se basan en que las empresas cuentan con un buen conocimiento de las buenas prácticas de Ciberseguridad. El ISO 27032 introduce como complemento a los controles ya definidos los siguientes controles técnicos de Ciberseguridad:[pic 3]

• Ataques de ingeniería social.
• Hacking.
• Software malicioso (malware)
• Spyware.
• Otros programas no deseados.

[pic 4]

ISO 27035 explica un enfoque de mejores prácticas destinado a la gestión de la información de incidentes de la seguridad. Los controles de la seguridad de la información no son perfectos debido a que pueden fallar, pueden trabajar solo parcialmente o incluso a veces no están en funcionamiento. Debido a esto, los incidentes pasan porque los controles de prevención no son totalmente eficaces o fiables.

...