Estudio de la Seguridad de la información bajo la normatividad ISO 27000



Estudio de la Seguridad de la información bajo la normatividad ISO 27000 con plan de auditoria, creación de políticas y la implementación SGSI en el departamento TIC de la USTA Tunja

Castillo Huertas, Fredy Alexander

fredy.castilloh@santoto.edu.co.

Universidad Santo Tomas – Facultad de Electrónica

Abstract. In this proposal we want to raise awareness of the information is a resource that like other assets, has value to the university community and therefore must be adequately protected, ensuring continuity of information systems, minimizing the risk of damage and thus contributing to a better management of the University. In this case at first instance in the ICT department.

For these policy principles of information security to be effective, it is necessary to implement a Security Policy Information that is part of the organizational culture of the ICT department of the University, which implies that the manifest must be available commitment of all employees in one way or another related to the management, to contribute to the diffusion, consolidation and compliance with information security.

As a result it has taken the initiative to propose to undertake an internal audit of the information systems in order to implement their own policies for information security based on ISO 27000 and the regulations to implement the first three regulations as it is the 27001 which concerns on safety management system of information. Continuing this we find the parameters responsible for the audit on ISO 27002 and this regulation controls in ISO 27003.

Keywords. ISO 27000, ISO 27001, ISO 27002, ISO 27003, security, management, information, risks, ICT, policies, assets, audit.

Resumen— Con esta propuesta se quiere crear conciencia sobre la información, que es un recurso que como el resto de los activos, tiene valor para la comunidad universitaria y por consiguiente debe ser debidamente protegida, garantizando la continuidad de los sistemas de información, minimizando los riesgos de daño y contribuyendo de esta manera, a una mejor gestión de la Universidad. En este caso en primera instancia en el departamento TIC.

Para que los principios de la Política de Seguridad de la Información sean efectivos, es necesario incluirlos en la cultura organizacional del departamento TIC de la Universidad, lo que implica que debe contarse con el manifiesto compromiso de todos los trabajadores de una manera u otra vinculados a la gestión, para contribuir a la difusión, consolidación y cumplimiento de la seguridad de la información.

Como consecuencia se ha tomado la iniciativa de proponer la realización de una auditoria interna en sistemas de la información con el fin de implementar sus propias políticas de seguridad de la información, basándose en la normatividad ISO 27000 y poder poner en práctica las tres primeras reglamentaciones, como lo es la 27001 que concierne en sistemas de gestión de seguridad de la información. Continua a esta encontramos la encargada de los parámetros de la auditoria en la ISO 27002 y los controles de esta normatividad en la ISO 27003.

Índice de Términos— ISO 27000, ISO 27001, ISO 27002, ISO 27003, seguridad, gestión, información, riesgos, TIC, políticas, activos, auditoria.

I. INTRODUCCIÓN

El presente proyecto se refiere al tema de la seguridad de los sistemas de información, se puede definir como la importancia que tiene la información en toda empresa u organización, esta debe ser una prioridad por lo tanto también los sistemas de gestión de la seguridad de la información (SGSI), ya que la información es una actividad constante en las labores de la Universidad Santo Tomas Tunja y aún más importante en el departamento TIC.

Debido al uso de Internet permanente en que se encuentra toda la institución y su sistema de control de la información interno, cada vez se permite más a los usuarios acceder a todos nuestros sistemas de información. Por lo tanto, es fundamental saber qué recursos de la universidad e inicialmente del departamento TIC necesitan protección para así controlar el acceso al sistema y los derechos de los usuarios del sistema de información. Los mismos procedimientos se aplican cuando se permite el acceso a diferentes y extraños usuarios por medio de Internet.

En este aspecto de los sistemas y el internet, se puede decir que los empleados pueden conectarse a los sistemas de información casi desde cualquier lugar, se pide a los empleados que lleven consigo parte del sistema de información fuera de la infraestructura segura de la institución, siendo un aspecto importante para la seguridad de dicha información. Ya que está expuesta a pérdida, manipulación inadecuada y factores de riesgo para la información que solo concierne a la universidad.

Para analizar esta problemática es necesario mencionar sus causas. Una de ellas son los mismos trabajadores, los usuarios, todo personal u organización, que pueda tener contacto con nuestro sistema. Los riesgos, en términos de seguridad, se pueden reducir a las amenazas, que representan el tipo de acción que tiende a ser dañina, mientras que la vulnerabilidad se representa en el grado de exposición a las amenazas en un contexto particular. Finalmente, se debe tener una contramedida que representa todas las acciones que se implementan para prevenir las amenazas.

Las contramedidas se deben implementar, no sólo como soluciones técnicas, sino también reflejan la capacitación y la toma de conciencia por parte de toda persona que pueda tener contacto con el sistema, además de políticas claramente definidas.

El presente proyecto tendrá tres etapas que marcaran su elaboración y sus resultados, como la necesidad de crear una metodología correcta, con el fin de realizar una auditoria interna para poder determinar en que partes se están realizando las cosas bien y en que se tienen falencias dentro del departamento TIC de la Universidad Santo Tomas.

Esta auditoria se debe planificar tomando en consideración el status e importancia de los procesos y el área a ser auditada. En primera instancia definiremos el criterio, alcance, frecuencia y métodos de auditoría. La realización de la auditoría debe asegurar la objetividad e imparcialidad del proceso. En este caso se realizara de forma investigativa para tener una mejora continua.

Como se mencionó anteriormente el siguiente objetivo o etapa será la introducción de unas políticas de seguridad de la información, ya que estás son de vital importancia, porque permiten la documentación adecuada de las directrices a seguir para tener un control del sistema de información y así lograr un nivel de seguridad efectivo. En primera instancia en el departamento de TIC.

Estableciendo los parámetros mencionados se documentara y propondrá la implementación de la normatividad ISO 27001 ya que esta da los parámetros para tener un SGSI, es decir un sistema de gestión de la seguridad de la información bajo todos sus objetivos y controles, mediante los cuatros grandes parámetros de su metodología de implementación PDCA:

1. Planificar

2. Hacer

3. Verificar

4. Actuar

Es importante decir que si se logra esto se tendrá la normatividad correcta para el manejo de la información de forma correcta y segura. Y así poder expandir el proyecto a toda la Universidad con el fin de lograr una seguridad total en nuestros sistemas de información y poder lograr una certificación en SGSI que debe ser prioridad para toda organización y a un más para una Universidad en constate evolución.

II. MARCO TEORICO

Los fundamentos teóricos en esta propuesta se basan en la normatividad de la serie ISO 27000.

La información es un activo vital para el éxito y la continuidad en el mercado de cualquier organización. El aseguramiento de dicha información y de los sistemas que la procesan es, por tanto, un objetivo de primer nivel para la organización.

Para la adecuada gestión de la seguridad de la información, es necesario implantar un sistema que aborde esta tarea de una forma metódica, documentada y basada en unos objetivos claros de seguridad y una evaluación de los riesgos a los que está sometida la información de la organización.

ISO/IEC 27000 es un conjunto de estándares desarrollados -o en fase de desarrollo por ISO (International Organization for Standardization) e IEC (International Electrotechnical Commission), que proporcionan un marco de gestión de la seguridad de la información utilizable por cualquier tipo de organización, pública o privada, grande o pequeña.

ISO 27001 es un estándar para la seguridad de la información ISO/IEC 27001(Information technology - Security techniques - Information security management systems - Requirements) fue aprobado y publicado como estándar internacional en octubre de 2005 por International Organization for Standardization y por la comisión International Electrotechnical Commission.

Especifica los requisitos necesarios para establecer, implantar, mantener y mejorar un Sistema de Gestión de la Seguridad de la Información (SGSI) según el conocido “Ciclo de Deming”: PDCA - acrónimo de Plan, Do, Check, Act (Planificar, Hacer, Verificar, Actuar).

Demuestra el compromiso de la cúpula directiva de su organización con la seguridad de la información.

La implantación de ISO/IEC 27001 en una organización es un proyecto que suele tener una duración entre 6 y 12 meses, dependiendo del grado de madurez en seguridad de la información y el alcance, entendiendo por alcance el ámbito de la organización que va a estar sometido al Sistema de Gestión de la Seguridad de la Información elegido.

ISO 27002 proporciona recomendaciones de las mejores prácticas en la gestión de la seguridad de la información a todos los interesados y responsables en iniciar, implantar o mantener sistemas de gestión de la seguridad de la información.

La seguridad de la información se define en el estándar como "la preservación de la confidencialidad (asegurando que sólo quienes estén autorizados pueden acceder a la información), integridad (asegurando que la información y sus métodos de proceso son exactos y completos) y disponibilidad (asegurando que los usuarios autorizados tienen acceso a la información y a sus activos asociados cuando lo requieran)".

La versión de 2005 del estándar incluye las siguientes once secciones principales:

 Política de Seguridad de la Información.

 Organización de la Seguridad de la Información.

 Gestión de Activos de Información.

 Seguridad de los Recursos Humanos.

 Seguridad Física y Ambiental.

 Gestión de las Comunicaciones y Operaciones.

 Control de Accesos.

 Adquisición, Desarrollo y Mantenimiento de Sistemas de Información.

 Gestión de Incidentes en la Seguridad de la Información.

 Gestión de Continuidad del Negocio.

 Cumplimiento.

III. FORMULACION DEL PROBLEMA

Problemática:

El departamento TIC de la universidad santo tomas en este momento no se encuentra regido por ninguna normatividad respecto a la seguridad de la información y esto se considera una necesidad para el manejo adecuado de la información en el departamento TIC así analizando todos los riesgos que puedan y estén amenazando el sistema informático del departamento.

El departamento TIC es un lugar donde se manejan diferentes tipos de activos, como lo es la información que, como otros activos comerciales importantes, es esencial para el funcionamiento del departamento por lo tanto para la universidad y en consecuencia necesita ser protegido adecuadamente.

En el campo de las tecnologías de la información y comunicaciones se presentan perdidas de la información que se ven reflejadas en pérdidas económicas debido a los diferentes malos usos del sistema presente tanto de los servidores y usuarios y todo personal que tiene contacto con el sistema implementado. Por diferentes motivos se puede ser víctima de los peligros de perdida de la información.

Solución:

Por esta razón se desea crear un plan de investigación con fines aplicativos en el cual se realice una auditoría interna que nos permita determinar los objetos claros de que se pueden estar siendo víctima el sistema del departamento TIC así identificándolos, evaluándolos en una escala de riesgo y documentándolas. Para llevar a cabo la realización de unas políticas de seguridad bajo las condiciones que se encuentran en el departamento TIC y darle solución documentada a los problemas encontrados en la auditoria interna en SGSI. Y así realizar el estudio para la implementación de la normatividad ISO 27001. De esta forma presentar una solución que este siempre en actualización para mantener la información siempre segura.

Ya que la información y los procesos, sistemas y redes de apoyo son activos importantes, debemos definir, lograr, mantener y mejorar la seguridad de la información y así mantener una ventaja competitiva.

IV. OBJETIVOS DEL PROYECTO

GENERAL

Examinar el estado de la seguridad de la información en la organización y crear un plan para actualizar los sistemas de información. Mediante una auditoria interna y así poder crear un sistema documentado de políticas de seguridad adecuadas a las necesidades del departamento respecto a la gerencia y soporte para la seguridad y así tener una plataforma adecuada para la implementación de la normatividad iso 27001 en todos los parámetros referidos al sgsi.

ESPECIFICOS

1. presentar propuesta de auditoria interna en sistemas de la información.

2. hacer auditoria interna en seguridad de la información en el departamento tic.

3. concluir auditoria interna y obtener observación para mejorar la seguridad en los sistemas de la información.

4. crear políticas de seguridad de la información.

5. documentar las políticas de seguridad de la información.

6. implementar políticas de seguridad de la información.

7. realizar estudios adecuados para la organización con la normatividad iso 27001.

8. presentar la propuesta de implementación de la normatividad iso 27001.

9. actualizar constantemente el sgsi del departamento tic.

V. RESULTADOS ESPERADOS, ALCANCE

El presente proyecto le aportara al departamento de las TIC un sistema de evaluación ingenieril sobre la información en accionamientos de equipos, softwares y varios tipos de cargas o problemas que amenazan la información en las redes del departamento.

El proyecto generara un estado del arte sobre los criterios adecuados sobre la normatividad que se desea implantar de forma correcta para hacer el proceso de auditoría, creación de políticas y análisis de la implementación de la ISO 27001, de esta forma gestionando la seguridad de la información.

El objetivo o alcance es realizar todo lo propuesto a nivel de toda la universidad y así lograr una certificación en seguridad de la información.

El resultado esperado más importante y de mayor relevancia será el establecimiento y gestión del SGSI. Conducentes al fortalecimiento de la capacidad en seguridad TI.

Esto depara la formación adecuada en seguridad del equipo de trabajo del departamento TIC.

Plazo: Corto.

Indicador: Proyecto de investigación de pregrado.

Beneficiario: Departamento TIC, Comunidad Administrativa, docentes y estudiantes a futuro.

VI. INNOVACION Y DESARROLLO TECNCOLOGICO DE LA PROPUESTA

La importancia e innovación de esta propuesta se encuentra en el control adecuado de la información del departamento TIC con los siguientes parámetros:

 EFECTIVIDAD

La información debe ser relevante y pertinente para los procesos del negocio y debe ser proporcionada en forma oportuna, correcta, consistente y utilizable.

 EFICIENCIA

Se debe proveer información mediante el empleo óptimo de los recursos (la forma más productiva y económica).

 CONFIABILIDAD

Proveer la información apropiada para que la administración tome las decisiones adecuadas para manejar la empresa y cumplir con sus responsabilidades.

 CUMPLIMIENTO

De las leyes, regulaciones y compromisos contractuales con los cuales está comprometida el departamento TIC.

 CONFIDENCIALIDAD

Protección de la información sensible contra divulgación no autorizada.

 INTEGRIDAD

Refiere a lo exacto y completo de la información, así como a su validez de acuerdo con las expectativas de la empresa.

 DISPONIBILIDAD

Accesibilidad a la información cuando sea requerida por los procesos y la salvaguarda de los recursos y capacidades asociadas a la misma.

La prioridad en información manejada seria la siguiente:

 DATOS

Todos los objetos de información. Se considera información interna y externa, estructurada o no, gráficas, sonidos, etc.

 APLICACIONES

Entendidas como sistemas de información, que integran procedimientos manuales y sistematizados.

 TECNOLOGÍA

Incluye hardware y software básico, sistemas operativos, sistemas de administración de bases de datos, de redes, telecomunicaciones, multimedia, etc.

 INSTALACIONES

Incluye los recursos necesarios para alojar y dar soporte a los sistemas de información.

 RECURSO HUMANO

Por la habilidad, conciencia y productividad del personal para planear, adquirir, prestar servicios, dar soporte y monitorear los sistemas de Información, o de procesos de TI.

VII. PERTINENCIA E IMPACTO

La mayor motivación de la investigación para realizar este proyecto es introducir una nueva etapa necesaria a las tecnologías de la información y comunicaciones. Realizar la investigación dará un gran fortalecimiento a la adecuación de medias para la seguridad de la red de las TIC ya que se tendrá control en toda esta área de forma adecuada y pertinente al sistema de información en el departamento.

La auditoría expandirá los conocimientos del departamento TIC tanto a ingenieros como técnicos ya que se visualizara y analizarán los problemas vigentes respecto al tema tratado y documentaran estas medidas.

Con la creación de una documentación adecuada se podrá analizar la problemática en la que se encuentra el departamento, estudiando los resultados de la auditoria se crearan políticas de seguridad y por tanto un respaldo en documentación, que serán implementados por medio de capacitación al personal del departamento TIC.

Con el progreso de la investigación y adecuando todos los parámetros anteriormente mencionados se debe poder crear conciencia de la necesidad de la implementación de la iso 27001 en el departamento TIC, esto se realizara con la adecuada parametrizacion de los riesgos con los que cuenta el sistema actualmente y deben solucionarse y así dar arranque a las 4 etapas de la norma iso 27001.

Los resultados obtenidos servirán para introducir una mentalidad objetiva en la universidad Santo Tomas seccional Tunja de la importancia de la seguridad de su información crear planes de contingencia y preventivos sobre el sistema que se maneja y su fiabilidad de sus datos.

Con el resultado anterior se obtendrá la creación de las políticas de seguridad que estarán documentadas y en aplicación del sistema en el departamento TIC.

El resultado más importante es introducir la normatividad ISO 27001 al departamento TIC como lugar de estudio para una posible instalación en la Universidad Santo Tomas y así crear una política de seguridad en todos los ámbitos relacionados a la universidad.

La normatividad será implementada en PDCA que es la normatividad mínima de iso 27001 que se debe llevar en el cuidado de la información dentro del departamento TIC.

• Por qué se investiga:

La información, junto a los procesos y sistemas que hacen uso de ella, son activos muy importantes de una organización. La confidencialidad, integridad y disponibilidad de información sensible pueden llegar a ser esenciales para mantener los niveles de competitividad, rentabilidad, conformidad legal e imagen de la Universidad Santo Tomas Tunja necesarios para lograr los objetivos de la universidad y asegurar beneficios de datos y económicos.

La universidad y sus sistemas de información están expuestos a un número cada vez más elevado de amenazas que, aprovechando cualquiera de las vulnerabilidades existentes, pueden someter a activos críticos de información a diversas formas de fraude, espionaje, sabotaje o vandalismo.

Los virus informáticos, el “hacking” o los ataques de denegación de servicio, son algunos ejemplos comunes y conocidos, pero también se deben considerar los riesgos de sufrir incidentes de seguridad causados voluntaria o involuntariamente desde dentro de la propia universidad o aquellos provocados accidentalmente por catástrofes naturales y fallos técnicos.

VIII. METODOLOGIA

La presente investigación se basó en el análisis del enfoque conceptual y objetivos de control contenidos en la metodología Magerit y la normatividad ISO/IEC 27000:2005 respecto a esta y sus primeras tres series en las que se encuentran las normas de un correcto SGSI, la realización de una auditoria y los controles adecuados para seguridad de la información.

El enfoque metodológico propuesto integra el conocimiento aportado por las organizaciones que lideran el desarrollo de los estándares y mejores prácticas en el ámbito de las tecnologías de la información reconocidas a nivel internacional, entregando un marco referencial para realizar auditorías a las tecnologías de información centradas en los procesos y los sistemas de información que los soportan y sus actividades de control.

Magerit persigue los siguientes objetivos directos:

1. Concientizar a los responsables de los sistemas de información de la existencia de riesgos y de la necesidad de atajarlos a tiempo.

2. Ofrecer un método sistemático para analizar tales riesgos.

3. Ayudar a descubrir y planificar las medidas oportunas para mantener los riesgos bajo control.

Mientras los objetivos indirectos que persigue Magerit son:

4. Preparar a la organización para procesos de evaluación, auditoria, certificación o acreditación, según corresponda en cada caso.

Por lo tanto en nuestro proyecto buscamos la uniformidad en los siguientes aspectos para tener las respectivas conclusiones del proyecto en análisis y gestión de riesgos.

El Modelo de valor, es importante la caracterización del valor que representan los activos para la organización así como de las dependencias entre los diferentes activos.

El Mapa de riesgos, es la relación de las amenazas a que están expuestos los activos.

La Evaluación de salvaguardas, es la evaluación de la eficacia de las salvaguardas existentes en relación al riesgo que afrontan.

El Estado de riesgo, es la caracterización de los activos por su riesgo residual; es decir, por lo que puede pasar tomando en consideración las salvaguardas desplegadas.

El Informe de insuficiencias, es la ausencia o debilidad de las salvaguardas que aparecen como oportunas para reducir los riesgos sobre el sistema.

El Plan de seguridad, es el conjunto de programas de seguridad que permiten materializar las decisiones de gestión de riesgos.

Esto constituye una herramienta de apoyo que permite incorporar el uso del estándar Magerit de forma eficiente y la norma técnica ISO/IEC 27000 a la auditoría al departamento de las tecnologías de información y comunicaciones.

A continuación, se presentan las etapas que componen las estructuras del proyecto:

a) FASE I. Planificación de la auditoría

1. Plan de auditoría preliminar

2. Comprensión del departamento tic y sistemas

3. Definición del programa y alcance de la auditoría

4. lanzamiento del proyecto.

b) FASE II. Análisis de riesgos

4. Caracterización de los activos

5. Caracterización de las amenazas

6. Caracterización de las salvaguardas

7. Estimación del estado de riesgo

c) FASE III. Gestión de riesgos

8. Toma de decisiones

9. Elaboración del plan seguridad de la información

10. Ejecución del plan

d) FASE IV. Políticas de seguridad

11. Crear políticas.

12. Implementar políticas

13. Actualizar políticas.

IX. PLAN DE DESARROLLO, ACTIVIDADES Y PRODUCTOS METODOLOGICOS

En el departamento TIC es necesario llevar a cabo auditorías internas sobre seguridad de la información. Y determinar objetivos de control, controles, procesos y procedimientos.

En las actividades propuestas se darán las directrices de que se deben seguir y hacer para obtener los resultados esperados para documentar de forma correcta la auditoria, siguiendo los parámetros de la metodología y objetivos de control y controles de la SGSI.

Teniendo todo lo anterior se obtendrá el orden correcto de que se debe tener, los controles mínimos para poder implementar la normatividad ISO 27001 de forma correcta y eficiente en el departamento TIC.

Todo esto se encontrara en el Anexo A.

Se contara con la creación de políticas de seguridad y como deben ser determinadas. Esto se encontrara en el Anexo B.

X. RECURSOS DISPONIBLES

Para el desarrollo del proyecto se contara con la dirección del ingeniero Fabián Chaparro por parte de la universidad y del ingeniero Nelson forero por parte de la empresa. Para la revisión bibliográfica se cuenta con todos los recursos de la nube e información dotada por el ingeniero Nelson forero.

Referencias

[1]. CARVAJAL, LIZARDO. METODOLOGÍA DE LA INVESTIGACIÓN CIENTÍFICA. CURSO GENERAL YAPLICADO. 12º- ED. CALI: F.A.I.D., 1998. 139 P.

[2]. COBO BEJARANO, HÉCTOR. GLOSARIO DE METODOLOGÍA. 8ª. ED. CALI: IMPRETEC, 1998. 50 P.

[3]. INSTITUTO COLOMBIANO DE NORMAS TECNICAS Y CERTIFICACIÓN COMPENDIO DE NORMAS TÉCNICAS COLOMBIANAS SOBRE DOCUMENTACIÓN, TESIS Y OTROS TRABAJOS DE GRADO. SANTAFÉ DE BOGOTÁ: ICONTEC, 1996.

[4]. ORTIZ, N.A. 2002 LA ELABORACIÓN DE LOS PROYECTOS DE INVESTIGACIÓN. HTTP://WWW.MONOGRAFIAS.COM PP. 8. DOC.

[5]. PÉREZ, J.G. 2002 NORMATIVIDAD PARA LA ELABORACIÓN DE PROPUESTA DE PROYECTO DE INVESTIGACIÓN. HTTP://WWW.MONOGRAFIAS.COM PP. 7. DOC.

Publicación de estándares :

(1) ISO 9001:2000, Sistemas de gestión de calidad - Requerimientos

(2) ISO/IEC 13335-1:204, Tecnología de la información – Técnicas de seguridad – Gestión de seguridad en tecnología de información y comunicaciones – Parte 1: Conceptos y modelos para la gestión de seguridad en la tecnología de la información y comunicaciones

(3) ISO/IEC TR 13335-3:1998, Lineamientos para la Gestión de Seguridad TI – Parte 3: Técnicas para la gestión de la seguridad TI

(4) ISO/IEC 13335-4:2000, Lineamientos para la Gestión de la Seguridad TI – Parte 4: Selección de

salvaguardas

(5) ISO 14001:2004, Sistemas de gestión ambiental – Requerimientos con lineamiento para su uso

(6) ISO/IEC TR 18044:2004, Tecnología de la información – Técnicas de seguridad – Gestión de incidentes en la seguridad de la información

(7) ISO/IEC 19011:2002, Lineamientos para la auditoría de sistemas de auditoría y/o gestión ambiental

(8) ISO/IEC Guía 62:1996, Requerimientos generales para los organismos que operan la evaluación y certificación/registro de sistemas de calidad.

(9) ISO/IEC Guía 73:2002, Gestión de riesgo –Vocabulario – Lineamientos para el uso en estándares

(10) ISO/IEC 27000 :2005 serie de la normatividad.

(11) ISO/IEC 27001 :2005 tecnologia de la informacion – tecnicas de seguridad – sistemas de seguridad de la informacion – requirimientos

Otras publicaciones

(1) OECD, Lineamientos OECD para la Seguridad de los Sistemas y Redes de Información – Hacia una Cultura de Seguridad. Paris: OECD, Julio 2002, www.oecd.org

(2) NIST SP 800-30, Guía de Gestión de Riesgo para los Sistemas de Tecnología de la Información

(3) Deming, W.E., Fuera de la Crisis, Cambridge, Mass:MIT, Centro de Estudios de Ingeniería Avanzada, 1986.

Autor

Fredy Alexander Castillo Huertas Nacido el 11 de agosto de 1992 en Tunja Boyacá, estudiante técnico en electrónica Colegio San Jerónimo Emiliani Tunja promoción 2008, Actualmente estudiante ingeniería electrónica de decimo semestre en la universidad santo tomas Tunja.

...