Proyecto Integrador De Seguridad Informática

Nombre del curso:

Proyecto integrador de seguridad informática

Módulo:

Módulo 2. Administración de riesgos

Actividad:

Caso 1: Segunda parte

Bibliografía:

- ISACA. (2007). Manual de Preparación al Examen CISA 2007. ISACA. (ISBN: 1933284668)

Objetivo:

El objetivo de la actividad es aplicar los conocimientos adquiridos, hasta el momento, para el análisis, evaluación y tratamiento de riesgos asociados con la seguridad de la información de las empresas, en relación al área de TI.

Procedimiento:

• Investigación y revisión de la bibliografía relacionada con el tema, en las fuentes mencionadas en este trabajo.

• Investigación y revisión fuentes alternas de información en Internet como complemento al tema.

• Reflexión y comprensión el tema de la actividad. Esto me permitió contar con la información necesaria para realizar la actividad.

• Se realizó una lluvia de ideas y teniendo la información requerida responder a los puntos solicitados en esta actividad.

• De acuerdo a los resultados de la información consultada, se redactó los resultados y conclusión, la experiencia fue satisfactoria y exitosa.

Resultados:

Identificar los riesgos asociados

Activos Nivel

A/M/B Amenazas Nivel

A/M/B Vulnerabilidad Nivel

A/M/B Prioridad Controles

Información 3 1)Robo de información

2)modificación

3)Fraudes

4)accesos no autorizados 3 1)No se cuenta con antivirus actualizado

2)Mal respaldo de información

3)Falta de controles de accesos 2 18, Este activo es el que mayor prioridad tiene, por lo tanto la implementación de controles efectivos debe de ser rápida 1)Limitar el uso de computadoras a usuarios externos a la empresa

2)Determinar el acceso a la información que tiene cada empleado

3)Implementar uso de contraseñas en los accesos de información

4)eliminar cuentas de ex empleados de manera rápida

Servidores 2 1)Software malicioso (Virus, malware)

2)accesos no autorizados

3)denegación de servicios 2 1)Mal diseño del sistema de seguridad

2)Contraseñas débiles de acceso

3)Site mal designado(poca seguridad y mal acondicionado) 2 8, Prioridad media, es necesario la implementación de los controles y tener en cuenta las amenazas ya que tienen probabilidad de ocurrencia 1)implementación de políticas para el acceso a servidores

2)Limitar el acceso a solo personal autorizado

3)Implementación de antivirus, antispyware y firewalls y sus respectivas bitácoras de actualizaciones

Imagen de la empresa 3 1)Poco prestigio

2)Perdida de clientes

3)Perdidas económicas 1 1)Poca seguridad en sus sistemas

2)Mala reputación de empleados

3)Poca actualización en sus sistemas informáticos 2 6, Prioridad baja, las amenazas son de baja ocurrencia y poca probabilidad que las vulnerabilidades sean explotadas 1)verificar el correcto funcionamiento de los empleados

2)Implementar políticas de seguridad en los sistemas de la empresa

3)Políticas de servicio hacia los clientes

Metodología de evaluación de riesgos basada en la ALE.

La Ocurrencia Anual (ARO) es el riesgo que ocurra dentro de un año. En este escenario, nuestra fuente nos indica que ascenderá a 6% por algún ataque de virus o gusano típico, entones ARO = 6%.

La Expectativa de Pérdida Unica (SLE) es el costo ($) de la perdida que equivale el riesgo. En nuestro caso, son 100 equipos que se pueden infectar. El costo por equipo infectado es de $ 2,000, que es promedio de la mano de obra para la recuperación de un ataque de virus/gusano, más $3,000,

...