RECOMENDACIONES PARA EL DESARROLLO DE UNA PLAN DE SEGURIDAD DE LA INFORMACIÓN

CENTRO DE EXCELENCIA DE SOFTWARE LIBRE DE CASTILLA-LA

MANCHA

JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA.

RECOMENDACIONES PARA EL

DESARROLLO DE UNA PLAN DE

SEGURIDAD DE LA INFORMACIÓN

Autor del documento:

Centro de Excelencia de Software Libre de Castilla-la Mancha de la Fundación Parque

Científico y Tecnológico de Albacete

Datos de contacto:

E-Mail: ceslcam@ceslcam.com

Página Web: www.ceslcam.com

Teléfono: 967 555 311

Versión del documento:

1.0

Fecha: 20-07-2011

Licencia del documento:

CopyRight © 2011, Junta de Comunidades de Castilla-La Mancha

Publicado bajo licencia Creative Commons By - Sa

Usted es libre de:

• Copiar, distribuir y comunicar públicamente la obra.

• Hacer obras derivadas

Bajo las condiciones siguientes:

• Reconocimiento. Debe reconocer los créditos de la obra de la manera

especificada por el autor o el licenciador (pero no de una manera que sugiera que

tiene su apoyo o apoyan el uso que hace de su obra).

• Compartir bajo la misma licencia. Si transforma o modifica esta obra para crear

una obra derivada, sólo puede distribuir la obra resultante bajo la misma licencia,

una similar o una compatible.

Al reutilizar o distribuir la obra, tiene que dejar bien claro los términos de la licencia de

esta obra.

Alguna de estas condiciones puede no aplicarse si se obtiene el permiso del titular de los

derechos de autor.

Nada en esta licencia menoscaba o restringe los derechos morales del autor.

Página 2 de 18

Índice de contenido

1 Contexto . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4

2 Política de Gestión de la Seguridad de la Información . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5

2.1 Gestión de los Activos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7

2.2 Seguridad Ligada a los Recursos Humanos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8

2.3 Seguridad Física y Ambiental . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9

2.4 Gestión de las Comunicaciones y Operaciones . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10

2.5 Control de Acceso Lógico . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12

2.6 Gestión de Incidencias de Seguridad . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14

2.7 Planes de Contingencia . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15

2.8 Cumplimiento Requisitos Legales . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17

3 Otras recomendaciones . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18

Página 3 de 18

1 Contexto

Este documento presenta algunas recomendaciones generales para ayudar a definir la política y

procedimientos adecuados para la gestión de la seguridad de la información de los sistemas de una

empresa.

El objetivo de la definición de este documentos es establecer las actividades y protocolos que

deben ejecutarse para asegurar la confidencialidad, integridad y disponibilidades de los sistemas

de información de la empresa.

El presente documento, al ser un modelo genérico, debe tenerse únicamente como referencia,

debiendo ser adaptado a la particularidad y necesidad de cada empresa. Por tanto, los elementos

descritos en el documento deben considerarse como una referencia no estricta.

Si se desea obtener un asesoramiento más personalizado se recomienda contactar directamente con

el Centro de Excelencia de Software Libre de Castilla-La Mancha.

Para la redacción de este documento se ha seguido las principales recomendaciones realizadas en el

marco de la norma ISO 27001.

Página 4 de 18

2 Política de Gestión de la Seguridad de la Información

La Política de Seguridad de la Información tiene como objetivo establecer las normas y requisitos

de seguridad que permitan garantizar la confidencialidad, integridad y disponibilidad de los

sistemas de información de la empresa.

La Política de Seguridad de la Información es un documento que denota el compromiso de la

gerencia con la seguridad de la información y debe contener la definición de la seguridad de la

información bajo el punto de vista de la entidad.

Los aspectos más importantes a tener en cuenta en la Política de Seguridad son:

• Garantizar la confidencialidad, integridad y disponibilidad de los sistemas de información

de la empresa

• Disponer de un responsable de seguridad encargado de la gestión de las seguridad de la

empresa.

• Cumplir los requisitos legales que sean aplicables en la empresa.

• Gestionar las incidencias de seguridad de forma adecuada.

• Disponer de un plan de contingencia que permita a la empresa recuperarse en caso de

desastre o discontinuidad de los sistemas.

• Informar a los empleados de sus obligaciones con respecto a la seguridad de los sistemas,

sus obligaciones y los procedimientos definidos que les afectan

• Formar a los empleados en los principales conceptos de la gestión de la seguridad de los

sistemas.

La Política de Seguridad está sustentada por el Manual de Seguridad que incluye un conjunto de

normas de seguridad y procedimientos. Este manual 1 puede estructurase de diversas formas. Una

de las propuestas más habituales es la utilizada en las certificaciones ISO 27001:

• Gestión de los activos.

• Seguridad ligada a los recursos humanos.

• Seguridad física y ambiental.

• Gestión de la comunicaciones y operaciones.

• Control de acceso lógico.

• Gestión de incidentes.

• Planes de contingencia

• Cumplimiento de requisitos legales

1 La Política de Seguridad debe recoger entre otros elementos una visión general del manual de seguridad de la

empresa.

Página 5 de 18

La Política de Seguridad debe ser:

• Compatibilizada con otras políticas dependientes de ésta, objetivos de seguridad, normas de

seguridad y procedimientos. Puede ser también un documento único o embebido en un

manual de seguridad.

• Asignada a un propietario que será el responsable de su mantenimiento y su actualización a

cualquier cambio que se requiera .

• Conocida y entendida por todos los empleados de la empresa2.

Aunque en los próximos epígrafes se incluye información más detalladas sobre los procedimientos

a implementar en el ámbito de la gestión de la seguridad, los elementos que no pueden olvidarse

son los siguientes 3:

• Gestión de las Comunicaciones y Operaciones.

• Gestión del Acceso Lógico.

• Gestión de la Continuidad.

A continuación se detallan los procedimientos que debe recoger el Manual de Seguridad.

2 No olvidar nunca que la política tiene que ser conocida por los empleados. Estos también deben conocer sus

responsabilidades en la gestión de la seguridad dentro de su entorno de trabajo, especialmente en la protección de

los activos de los que son propietarios, contraseñas de acceso a los sistemas y la documentación en uso.

3 Algunos de los elementos que influyen en la definición de una Política de Gestión de la Información más exhaustiva

son: el nº de empleados, el perfil de estos, la criticidad de la información gestionada y el grado de implantación TIC.

Página 6 de 18

2.1 Gestión de los Activos

El objetivo de la Gestión de Activos es asegurar que todos los activos de la empresa se encuentran

identificados y reciben el nivel de protección adecuado.

Dentro de este procedimiento es necesario definir:

• Inventario de los Activos y asignación de propietario/responsable.

• Clasificación de los Activos, según su

...