PROYECTO DE SEGURIDAD DE LA INFORMACIÓN

UNIVERSIDAD NACIONAL DE INGENIERÍA  FIIS                                                         [pic 1]

Ingeniería de Sistemas                                                                         

SEGURIDAD DE LA INFORMACIÓN

ST 215 – V

PROYECTO DE SEGURIDAD DE LA INFORMACIÓN

Contenido

1.        MAPEO DEL PROCESO DE NEGOCIO        2

PROCESO:        2

SUB PROCESOS:        2

DESCRIPCIÓN DEL PROCESO        2

2.        INFORME DE NECESIDAD        2

3.        INFORME DE ENTREVISTAS        4

1. MAPEO DEL PROCESO DE NEGOCIO

A continuación, se presentará el mapeo del proceso.

PROCESO:

Envío electrónico y generación digital de los EECC del Banco Ripley, realizado por Dataimágenes (DI).

SUB PROCESOS:

• Validar la cantidad de archivos depositados en el SFTP

• Procesar los spools

• Enviar muestras de correo al cliente

• Disparar el envío masivo

• Generar los EECC digitales (pdf)

• Generar los archivos para la carga al webservice

• Verificar cantidad de envío vs digitales.

• Realizar informe de incidencia (en caso ocurriese).

• Realizar reporte de cantidades del corte.

DESCRIPCIÓN DEL PROCESO

[pic 2]^[a]

Fuente: Propia

El proceso inicia cuando el operador de Banco Ripley deposita los spools zipeados y lo notifica a DI. Es aquí donde el operador de DI toma estos archivos, los descomprime y coloca en la ruta inicial; acto seguido programa la hora en la que correrá el Autómata.

El Autómata enviará pruebas de correo al cliente en copia al área de Operaciones DI, si el cliente da su confirmación de aprobación se procederá con el envío masivo por parte nuestra. De lo contrario, se revisaría la posible causa de la inconsistencia y volverá a generar muestras.

Una vez terminado el envío, comienza la generación de los EECC Digitales y su posterior subida y transferencia para su disposición desde el web service Ripley. Cuando esto finaliza, se cotejan las cantidades de todo el proceso, estas deberían coincidir. Finalmente, cuando pasen 15 días los digitales pdf’s serán transferidos a un espacio en la nube y almacenados ahí por 10 años.

1. INFORME DE NECESIDAD^[b]

En base a la información conseguida, se plantean las siguientes necesidades de seguridad de información.

• Actualización de software de seguridad

Utilización de software con licencia y actualizarlos periódicamente. Se debe hacer énfasis en los antivirus y utilizar un firewall mucho más potente. De este modo, por ejemplo, se puede evitar los problemas ocurridos por correos masivos.

• Búsquedas de correlación en tiempo real

Detección de anomalías que permitan identificar y alertar sobre algún fraude o error interno, así la empresa puede actuar para prevenir que el fraude se materialice, para evitar problemas como mostrar un EECC errado a un usuario, lo cual genera cuantiosas penalidades.

• Accesos restringidos

Si bien existen medidas, ya que hay cada fotocheck te permite ingresar solo pro determinadas puertas de acuerdo al alcance que tenga el cargo del personal de las diversas áreas, bastaría que un usuario utilice un fotocheck ajeno (sea que se lo presten o lo tome sin autorización) para ingresar donde no debe. Por ello, es necesario un control más exhaustivo en este aspecto.

Además, el personal de la seguridad en la entrada no verifica los datos de identificación de los empleados ni lo compara con el aspecto del trabajador, basta con que muestran el fotocheck de empleados para su ingreso.

• Política de escritorios limpios

Si bien existen lineamientos a seguir en la empresa. muebles para guardar las laptops, cajones y casilleros con llaves, algunos empleados olvidan o desconocen la política de escritorios limpios (cada vez que un trabajador deba ausentarse de su puesto de trabajo debe asegurarse de guardar documentos y medios que contengan información confidencial o de uso interno). Se debe profundizar en este tema, a través de concientización o reforzamientos mediante correos o afiches.

• Capacitación en Seguridad de la Información

Dar conocimiento y concientizar al personal sobre las Políticas de Seguridad que pueda y debe adoptar la empresa de manera más continua, en vista de que la política actual de hacerlo aproximadamente cada 4 meses, no parece ser suficiente.

• Actualización de la política de seguridad

Modificar la política actual de seguridad para así adaptarla a cambios legislativos o regulaciones internas. Siempre considerando que la misma será debidamente anunciada a los usuarios con la antelación correspondiente.

• Establecer políticas de actualización continua en relación a la información recibida y la transferencia de data entre los operadores del Banco Ripley y Dataimágenes

Si bien los operadores de Banco Ripley envían o depositan todos los archivos necesarios para procesar los cortes de cada mes, si la información de algún dato no es correcta, está incompleta, dañada o errada, esto puede generar retrasos o errores en la generación y envío habitual. Por ende, es necesario establecer políticas de actualización sobre el flujo del manejo de data entre ambas empresas.

...