Auditoría Interna en la Seguridad de la Información con base en las normas de la serie ISO/IEC 27000 Por: Roxana Fuentes

Informe Final de la Auditoría Interna en Seguridad de la Información ISO/IEC 27000

Dedicatoria Este trabajo de tesis está enteramente dedicado a mí familia: Jesús Fuentes, Rosa Colorado, Evangelina, León, Sergio y Jesús. Agradezco por todo lo que han hecho por mí; por su confianza, apoyarme en todos mis sueños y locuras. Ustedes son la base mí vida.

Agradecimientos A mi padre por mostrarme el camino, por estar conmigo aunque la distancia nos separe, a mi madre por su amor, dedicación, protegernos siempre con sus grandes enseñanzas y mis abuelos, Agripina y Pablo a quienes perdi en este periodo, me enseñaron que a pesar de las circunstancias siempre se puede decidir y que podemos crear más dinero pero nunca más tiempo.

A mis hermanos de sangre, Evangelina Evangelina por regalarnos la sonrisa de León y Jesús por traerme de regreso, y los hermanos que la vida me regaló, Sergio e Ismael por ayudarme incondicionalmente, incondicionalmente, en experimentos y sin importar el horario.

A mis mejores Amigos y compañeros de estudio, por todo lo vivido y los logros que seguramente nos esperan como profesionales.

A los maestros que han marcado mí vida para bien, no agrego nombres pues todos son importantes, ser parte de la primera generación de la UTCV me ha brindado la oportunidad de conocer grandes profesionales, que más que conocimiento me enseñaron a ser autodidacta. Gracias por las asesorías.

A la asesora académica académica ISC. Eira Leonor Leonor González por su seguimiento seguimiento y apoyo apoyo de la estadía y a Propaga, por las facilidades y darme la oportunidad.

Finalmente quiero agradecer a todas las personas que me han ayudado a llegar hasta este momento de mí vida. Y aun así a los que sirvieron como barreras, gracias por hacerme más fuerte.

Universidad Tecnológica del Centro de Veracruz Programa educativo de Tecnologías de la información Reporte para obtener título de Ingeniero en Tecnologías de la información Proyecto de estadía realizado en la empresa Propaga

Nombre del Proyecto: Auditoría Interna en la Seguridad de la Información con base en las normas de la serie ISO/IEC 27000 en la Empresa Propaga

Presenta: Roxana Fuentes Colorado Cuitláhuac Ver., a 07 de abril de 2014

Universidad Tecnológica del Centro de Veracruz Programa educativo de Tecnologías de la información Nombre del Asesor Industrial: Lic. Rubén Mejía Cosco Nombre del Asesor Académico: ISC. Eira Leonor Gonzáles Lucho

Presenta: Roxana Fuentes Colorado

ÍNDICE Introducción ............................................................................................................... 8 Resumen ..................................................................................................................... 9 Capítulo 1 Antecedentes ...........................................................................................11 1.1

Historia de la Empresa ................................................................................11

1.2

Misión ..........................................................................................................11

1.3

Visión ...........................................................................................................11

1.4

Valores .........................................................................................................11

Capítulo 2 Planteamiento del problema ..................................................................13 2.1

Justificación ................................................................................................14

2.2

Objetivo General .........................................................................................15

2.3

Objetivos Específicos .................................................................................15

2.4

Alcance ........................................................................................................16

2.5

Factibilidad financiera ................................................................................17

2.6

Factibilidad técnica .....................................................................................17

Capítulo 3 Metodología ...........................................................................................19 3.1 Planificación y estudio preliminar ..................................................................19 3.1.1 Visitas a la empresa ............................................................................................... 20 3.1.2 Elaboración de formatos para informe ................................................................ 20 3.1.3 Realización de checklist ........................................................................................ 21

3.2 Evaluación de riesgos en la seguridad de la información en: ......................21 3.2.1 Instalaciones físicas ............................................................................................... 21 3.2.2 Hardware ................................................................................................................. 21 3.2.3 Software ................................................................................................................... 22 3.2.4

3.3

Recursos humanos .......................................................................................... 22

Examen detallado de áreas criticas ...........................................................22

3.3.1 Reunión de evidencias .......................................................................................... 23 3.3.3 Identificación de vulnerabilidades en la seguridad de la información ............ 23

3.4

Resultados...................................................................................................24

3.1 Realización del informe final y recomendaciones ................................................ 24

3.2 Presentación del informe final ................................................................................. 24 3.3 Creación de material para capacitación de usuarios ........................................... 24

3.5 Cronograma de Actividades y producto ........................................................22

4

Capítulo Implementación de la auditoría ........................................................26 4.1 Planificación y estudio preliminar ..................................................................26 4.1.1 Visitas a la empresa .............................................................................................. 26 4.1.2 Elaboración de formatos para informe ................................................................ 27 4.1.2.1 Check-List Instalaciones físicas ................................................................... 31 4.1.2.2 Check-List Hardware ..................................................................................... 33 4.1.2.3 Check-List Software ........................................................................................ 35 4.1.2.4 Check-List Recursos Humanos .................................................................... 38

4.2

Evaluación de riesgos en la Seguridad de la Información .......................39

4.2.1 Instalaciones Físicas .............................................................................................. 40 4.2.2 Hardware ................................................................................................................. 43 4.2.3 Software ................................................................................................................... 46 4.2.4 Recursos Humanos ............................................................................................... 51

4.3 4.3

Examen detallado de áreas criticas ...........................................................54 Reunión de evidencias ........................................................................................ 55

4.3.3 Identificación de vulnerabilidades en la seguridad de la información ........... 56

4.4

Resultados...................................................................................................62

4.4.1 Realización del informe final y recomendaciones ............................................. 62 4.4.2 Presentación del informe final .............................................................................. 68

Bibliografía ................................................................................................................69 Referencias Web ....................................................................................................69 Glosario .....................................................................................................................70

Checklist 1 Instalaciones físicas. ______________________________________ 43 Checklist 2 Hardware. ________________________________________________ 46 Checklist 3 Software. ________________________________________________ 51 Checklist 4 Recursos Humanos. _______________________________________ 54 Cronograma de actividades y producto. ________________________________ 22 Diagrama 1 CRMR: Áreas de aplicación de la auditoría. ____________________ 20 Diagrama 2 Flujo de información. ______________________________________ 56

Diagrama 3 Croquis de evaluación física. _______________________________ 57 Formatos 1 Informe final. _____________________________________________ 30 Formatos 2 Checklist Instalaciones Físicas. _____________________________ 33 Formatos 3 Checklist Hardware. _______________________________________ 34 Formatos 4 Checklist Software. ________________________________________ 37 Formatos 5 Checklist Recursos Humanos. ______________________________ 39 Gráfica 1Resultados de auditoría en Instalaciones Físicas. _________________ 58 Gráfica 2 Resultado de Auditoría en Hardware. ___________________________ 59 Gráfica 3 Resultado de auditoría en Software. ____________________________ 60 Gráficas 4 Resultado de Auditoría en Recursos Humanos. _________________ 61 Informe Final _______________________________________________________ 67

Introducción Hace varias décadas se publicó el cuento No tengo boca y debo gritar (Ellison, 1967) el tema principal era un software que cobró conciencia de sí mismo y que vio en el hombre una gran amenaza (por la información que recibió), por lo que decidió eliminarlo. De hecho la película The Terminator basa gran parte de su trama en la ya mencionada obra, no es que ahora la tecnología se haya revelado contra el hombre, pero se debe aceptar que en esta época dependemos totalmente de herramientas informáticas, para hacer las operaciones más rápidas, donde uno de los protagonistas es la información pues es de acuerdo a esta determina las acciones a realizar de la maquina o software, sin importar si su función sea buena o negativa para los usuarios. La información es el motor de toda empresa, gracias a esta se puede conocer el mercado al que se dirige la organización, contactar con clientes potenciales, tomar decisiones que nos lleven a lograr los objetivos y contar con información íntegra conlleva a tener una gran ventaja sobre la competencia. Para las empresas la recolección de información es una oportunidad que se obtiene a través de proveedores, clientes y redes sociales, es tan importante como el dinero y vital para que la empresa se mantenga funcionando. En los últimos años se ha intensificado el robo de la información incluso en altos niveles corporativos, debido a la falta de seguridad en las redes y sistemas de información. En el presente documento se plantea una Auditoria Interna en Seguridad de la Información con base en las normas de la serie ISO/IEC 27000.

Resumen Este trabajo de tesis se realizó con el objetivo de conocer el estado de la seguridad de la información (SI) en la empresa Propaga, con especial énfasis en el hardware, software, instalaciones físicas y recursos humanos. Se utilizó las normas de la serie ISO/IEC 27000 y CRMR. Los materiales utilizados fueron en hardware: Computadoras, cámara fotográfica, scanner y en software: Adobe Fireworks, editor de texto y Prezi. Las técnicas aplicadas fueron: la observación y checklist donde se investigó cuales eran los procesos de monitoreo, fallas, intercambio de información con externos, privilegios de usuarios, contraseñas, alarmas y demás características que puedan tener relación con alguna deficiencia en la SI. Con base a los resultados obtenidos mediante la presentación de la evidencia ante los criterios de la auditoría se recomienda: capacitar a los usuarios de forma permanente para que estos conozcan técnicas para salvaguardar la información y mejoren así su desempeño en la empresa. Así como crear los planes de contingencia y políticas de la SI enfocados a salvaguardar la información de clientes, con lo anterior mejorara la calidad y servicio de Propaga.

Capítulo 1 Antecedentes 1.1

Historia de la Empresa

Propaga es una empresa ubicada en la ciudad de Veracruz, inicio sus operaciones en el año 1990 en un concepto de startup 1 , su producto principal es la publicidad y promoción de la empresas en todo el estado, actualmente distribuye 80,000 ejemplares impresos por semana de sus clientes (siendo Soriana, Grupo Waldos, Bodega Aurrera y Ofix los clientes más importantes) y cuenta con 20 empleados, se enfoca a un mercado muy generalizado y tiene alianzas con empresas nacionales para mayor cobertura.

1.2

Misión

Propaga es una empresa comercial de diseño, publicidad y promoción a nivel estatal, creando valor para los clientes.

1.3

Visión

Ser una empresa líder en el mercado desarrollando e innovado servicios de diseño, publicidad y promoción.

1.4

Valores



Trabajo en equipo: Sumamos esfuerzos para maximizar resultados.



Compromiso: Creamos y obtenemos la satisfacción de nuestros clientes.



Orientación al Cliente: Nos relacionamos a largo plazo con nuestros clientes, que son nuestra razón de ser.

1

Start-up o incipiente es una empresa con una historia de funcionamiento limitado, que se distingue por su perfil de riesgo / recompensa y sus grandes posibilidades de crecimiento (escalabilidad).

Capítulo 2 Planteamiento del problema Propaga ha tenido una gran aceptación y crecimiento desde el aspecto económico hasta los recursos humanos, aunque esto también ha traído consigo una gran problemática: la falta de organización, control y políticas poco definidas, lo que ha originado pérdida de información publicitaria por parte del personal. En la primera entrevista con la encargado de recursos humanos se logró identificar que no existe un responsable de proteger la información, ni se cuenta con análisis de riesgos, los empleados pueden acceder directamente a la red y consultar cualquier archivo, sin que hasta ahora se tengan políticas de privacidad o privilegios de usuarios que permitan el acceso solo a personal autorizado. La mayoría de los empleados descargan archivos de las PC, computadoras portátiles y otros dispositivos sin contar con software de protección contra malware, incluyendo virus, troyanos, gusanos o programas espías. Otro punto importante es que la seguridad física de los equipos y dispositivos de almacenamiento no cuentan con respaldo alguno en discos duros externos o USB, convirtiéndose en una debilidad para la empresa, pues los datos de clientes podrían perderse en caso de algún accidente o desastre natural afectando de forma económica a la empresa. Los aspectos antes mencionados vuelven vulnerable a Propaga, pues él administrador ha detectado casos como fuga de clientes, proyectos y presupuestos, que conllevan a disminuir el crecimiento de la empresa. La empresa desea identificar áreas de oportunidad relacionadas a evitar el robo de información, virus, autentificación de autentificación de usuarios, privilegios de usuarios y tener bases en la creación de políticas de seguridad para salvaguardar su información.

2.1 Justificación La auditoria interna en la seguridad es el inicio de toda empresa para mejorar y asegurar la seguridad de la información. También es una herramienta útil para evaluar y monitorear los procesos que se ejecutan en la organización garantizando a los clientes la confidencialidad, disponibilidad e integridad de su publicidad. Para resolver esta problemática Propaga desea realizar una auditoria interna, con el objetivo principal de mantener el control en el Hardware, Software, seguridad física y recursos humanos. La auditoría interna a desarrollar será con base en las normas de la serie ISO/IEC 27000 2 que ayudarán a gestionar una mejor seguridad de la información, estas normas pueden adaptarse a cualquier empresa sin importar su tamaño, además de que son normas internacionales auditables que definen los requisitos para un sistema de gestión de la seguridad de la información

y cuenta un enfoque por

procesos para establecer, implantar, operar, supervisar, revisar, mantener y mejorar la seguridad en la información. A la par se ha establecido crear una capacitación básica por medio de cursos guiados (podrán ser usados por el personal existente y nuevas contrataciones), de esta forma se pretende que los usuarios comprendan el valor de la seguridad de la información desde sus puestos, conocer cuales son las nuevas políticas a seguir y así mejorar su desempeño laboral. El objetivo de la auditoría interna es tener el control en la seguridad de la información en Propaga, como una empresa tendrá un valor agregado, para los

2

La serie contiene las mejores prácticas recomendadas en Seguridad de la información para desarrollar, implementar y mantener especificaciones para los Sistemas de Gestión de la Seguridad de la Información (SGSI).

clientes es necesario que los encargados de su publicidad manejen confidencialidad y utilicen su información con responsabilidad sin intromisión de terceros. El presente proyecto tendrá un gran impacto de mediano a largo plazo, lo posibles beneficios serán los siguientes: 

Evitará la fuga de clientes.



Control sobre la usabilidad y disponibilidad de la información.



El personal utilizará de forma adecuada la información.



Eficacia en la gestión de la información.



Los dispositivos de almacenamiento contarán con respaldo.



Plan de contingencias contra la pérdida de información.



Las computadoras tendrán mayor protección en caso de virus u otros ataques.



Se contará con restricción por medio de usuarios y contraseñas para información privilegiada.

2.2 Objetivo General La alumna realizará una auditoría interna en la seguridad de la información en la empresa Propaga, con base en las normas de la serie ISO/IEC 27000, con el fin mejorar la gestión de información en el hardware, software y recursos humanos, en el periodo de estadía Enero-Abril 2014.

2.3 Objetivos Específicos 

Visitar a Propaga para realizar un estudio preliminar.



Crear un plan de trabajo para llevar a cabo la auditoría.



Creación de formatos para la evaluación de la auditoría (informes) y checklist.



Evaluación de instalaciones físicas para detectar posibles vulnerabilidades en la infraestructura de la empresa.



Evaluación del Hardware para conocer las características y estado físico del equipo de cómputo.



Evaluación del Software para determinar posibles faltas o fallos de seguridad.



Evaluación de los recursos humanos para determinar su necesidad de formación y proponer los cambios necesarios

del comportamiento,

actitud, habilidades, o conocimientos. 

Identificar la causa de problemáticas derivadas de la falta de control en la información para encontrar soluciones que ayuden a erradicarlas.



Recomendaciones generales para la creación de planes de contingencia y políticas de seguridad.



Documentar un informe final para incluir una propuesta de mejora.



Creación de material para capacitación de usuarios para que conozcan la importancia de la SI y sean implementadas las mejoras en la empresa.

2.4 Alcance El proyecto de estadía que será realizado el periodo de Enero-Abril del 2014 abarcará una auditoria informática interna en la seguridad de la información con base en las normas de la serie ISO/IEC 27000 en la empresa Propaga, con el objetivo de realizar recomendaciones de mejora las cuales se verán reflejados en posibles políticas de seguridad y plan de contingencias.

Los puntos a auditar serán los siguientes: De las instalaciones físicas se evaluará: 

Instalaciones eléctricas y cableadas de la red de datos.



Sistemas de protección a dispositivos de almacenamiento.



Sistemas contra desastres naturales.



Control de accesos a las instalaciones.

De hardware se evaluará: 

Seguridad física del equipo de cómputo.

Inventarios.



De software se evaluará: 

Antivirus, antiespías y otros.



Cuentas de correo.

De recursos humanos se evaluará: 

Uso de la información.



Desempeño de su función.



Trabajo e interacción con los otros.



Nivel de conocimiento sobre seguridad informática.

2.5 Factibilidad financiera Se prevé que la auditoria informática interna en la seguridad de la información generará un mínimo costo de auditoria para la empresa, ya que es un proyecto de estadía como parte del proceso de titulación. No obstante la empresa está comprometida a cubrir los gastos que se generen en la realización del proyecto y otorgará una beca de apoyo para la alumna.

2.6 Factibilidad técnica La alumna cuenta con los conocimientos necesarios para llevar a cabo la auditoria informática interna en la seguridad de la información, así como también Propaga cuenta con los requisitos adecuados para facilitar este proceso.

Capítulo 3 Metodología En esta auditoría se identificarán las vulnerabilidades de la información en la empresa Propaga, para esto será necesario que el auditor conozca cuales son los puntos de amenaza, para el desarrollo de esta auditoria se utilizará la metodología CRMR (Computer resource management review) 3 especializada en la evaluación de recursos informáticos proporciona soluciones más rápidas a problemas concretos y notorios para auditar los riesgos de la empresa en aspectos como infraestructura, hardware, software y recursos humanos. Además las normas de la serie ISO/IEC 27000 serán retomadas para la creación de herramientas de evaluación como cuestionarios personalizados y checklist, derivados de estos se crearán diagramas de caso de uso, lo anterior dará la pauta para adaptarse en la auditoria interna en Propaga que tendrá como producto un informe final con recomendaciones y propuestas de mejora.

3.1 Planificación y estudio preliminar Es el primer acercamiento con la empresa, el auditor será responsable junto con el encargado de recursos humanos de ajustar la planeación, crear las herramientas de evaluación retomando las normas de la serie ISO/IEC 27000, lo siguiente es evaluar el entorno donde haya posible descontrol en el flujo de la información la metodología CRMR será también parte de la planeación, para esto es necesario contar con la mayor cantidad de información de Propaga.

3

Esta terminología quiere destacar la posibilidad de realizar una evaluación de eficiencia de utilización de los recursos por medio del management.

Diagram a 1 CRMR: Áreas de aplicación de la audito ría.

3.1.1 Visitas a la empresa El auditor visitará a la empresa para conocer más acerca del organigrama, infraestructura y flujos de información, con base en las normas de la serie ISO/IEC 27000 se identificarán las áreas de oportunidad, herramientas a utilizar como es el caso de cuestionarios personalizados y checklist para los diferentes departamentos, tres días son necesarios para esta actividad. Los recursos que se utilizarán son la computadora, cámara fotográfica y Word.

3.1.2 Elaboración de formatos para informe Se crearán los informes muy específicos para cada aspecto a evaluar, todo esto en base a la solución de problemáticas y observaciones que se llevaran a cabo en la auditoría. Lo anterior se realizará en dos días, se necesitará el apoyo del departamento de recursos humanos, el fin de esta actividad es crear las herramientas

que nos permitan mostrar las deficiencias en la seguridad de la información y será la pauta para saber que puntos se necesitan evaluar y abarcar en los checklist. Los recursos que se utilizarán son: el organigrama de la empresa, computadora y Word.

3.1.3 Realización de checklist El auditor deberán crear los checklists 4 para que el auditado responda clara y escuetamente. El objetivo de la aplicación de los anteriores es conocer acerca de la empresa, del puesto que desempeña el empleado, como utiliza la información, si utiliza algún tipo de seguridad para evitar la intromisión de terceros y si algunas de sus actividades son utilizadas para publicar información confidencial de la empresa, para esta actividad se tomaran dos semanas. Los cuestionarios serán digitales, formarán parte de las evidencias y también se podrán implementar entrevistas, se utilizará la computadora y Word.

3.2 Evaluación de riesgos en la seguridad de la información en: 3.2.1 Instalaciones físicas El auditor se respaldará en se utilizará la metodología CRMR para evaluar las instalaciones de Propaga, si cuenta con planes de contingencia, salidas de emergencia, revisar el cableado y ver si la empresa es vulnerable en este aspecto, todo lo anterior servirá para realizar reportes y será posible evidencia, el tiempo para esta actividad será de una semana. Los recursos que se utilizarán son los formatos de evaluación para instalaciones físicas, cámara fotográfica, computadora, entre otros.

3.2.2 Hardware

4

Checklist pueden ser contestadas oralmente, ya que superan en riqueza y generalización a cualquier otra forma.

En esta actividad será necesario contar con el inventario de la empresa, evaluar con que respaldos para contrarrestar posible extravió de información con base en se utilizará la metodología CRMR, todo lo anterior servirá para realizar reportes y generar evidencia, el tiempo para esta actividad será de una semana. Los recursos que se utilizarán son los formatos de evaluación para hardware, inventario de equipo de computo, cámara fotográfica, computadora, otros.

3.2.3 Software El auditor con base en se utilizará la metodología CRMR evaluará los antivirus, antiespías, navegadores, uso de redes sociales y correo. Esta actividad es de las más importantes pues este es uno de los principales medios de fuga en la información en el área de diseño, lo anterior servirá para realizar reportes y posible evidencia, el tiempo para esta actividad será de una semana. Los recursos que se utilizarán son los formatos de evaluación para software, Fireworks, computadora, otros.

3.2.4 Recursos humanos La actividad consistirá en evaluar cual es el uso de la información en el empleado con base en se utilizará la metodología CRMR 5 , de que forma desempeña su función, como interactúa interactú a con los otros y cual es su nivel de conocimiento sobre seguridad informática. La información recolectada servirá para realizar reportes y posible evidencia, el tiempo para esta actividad será de una semana. Los recursos que se utilizarán son reportes de recursos humanos, cámara fotográfica, organigrama, computadora, entre otros.

3.3 Examen detallado de áreas criticas El auditor deberá reunir de forma precisa las evidencias sobre la auditoria, la finalidad de esta etapa es conocer cuales son las vulnerabilidades de la empresa.

5

CRMR tiene como objetivo fundamental evaluar el grado de bondad o ineficiencia de los procedimientos y métodos

3.3.1 Reunión de evidencias En esta actividad el auditor realizará la recolección y selección de las evidencias que considere importantes, para esto se crearan diagramas de caso de uso. El resultado de la evaluación de riesgos mencionados en las anteriores actividades, el tiempo en desarrollarla es de cinco semanas. Los recursos que se utilizarán todas las evidencias recabadas en actividades anteriores como lo es fotografías, reportes, notas, computadora, otros.

3.3.2 Estudio y análisis profundo de evidencias Una de las actividades más relevantes es el análisis de la información donde se jerarquizará jerarquizará la importancia importancia de las evidencias, evidencias, aquí se empezará a definir cuales son las causas de la fuga de información, no se debe descartar ninguna evidencia, proporciona una visión para la actividad que precede, el tiempo de esta actividad será de dos semanas. Los recursos que se utilizarán las evidencias recabadas en actividades actividades anteriores como lo es fotografías, reportes, notas, computadora, otros.

3.3.3 Identificación de vulnerabilidades en la seguridad de la información En este punto es necesario redactar borradores, matriz de riesgos

6

e informes

parciales previos al informe final, los que son elementos de contraste entre opinión entre auditor y auditado. Esta actividad se pueden descubrir fallos de apreciación apreciación en el auditor quien puede validar sus evaluaciones en las evidencias obtenidas que mostrarán las vulnerabilidades en la seguridad de la información, el tiempo de esta actividad será de tres semanas. Los recursos que se utilizarán las evidencias específicas recabadas en actividades anteriores como lo es fotografías, reportes, notas, computadora, otros.

6

Identificación de instituciones que requieren mayor atención y áreas críticas de riesgo.

3.4 Resultados Después del trabajo de auditoria en esta etapa el encargado de realizarla deberá redactar el informe final que incluyen las recomendaciones para mejorar el proceso de seguridad de la información, concluyendo con una capacitación para los recursos humanos.

3.1 Realización del informe final y recomendaciones Para esta actividad se requiere tener las bases suficientes pues es el reporte final, así como las posibles recomendaciones en base a los resultados de auditoría que serán básicamente para mejorar la seguridad de la información, el tiempo estimado es de tres semanas. Los Los recursos que se utilizarán: utilizarán: computadora, computadora, Word, Fireworks, entre otros.

3.2 Presentación del informe final El auditor presentará su informe final y recomendaciones de mejoras, se retroalimentara sobre la importancia de las auditorias, ventajas para la empresa si aplica las recomendaciones, dará la pauta para la creación de políticas de seguridad y capacitación de los empleados para un mejor rendimiento, todo lo anterior se realizará en un día. Los recursos que se utilizarán es el informe final, Prezi 7 , Fireworks, computadora, otros.

3.3 Creación de material para capacitación de usuarios El auditor junto con el encargado de recursos humanos creará el material necesario para la capacitación a los empleados, por área y en especial donde se haya detectado mayor vulnerabilidad, también servirá como introducción para nuevo personal futuro, para esto se realizará en una semana como máximo y con esto concluirá el trabajo del auditor. Los recursos que se utilizarán son: informe f inal, Prezi, computadora, otros. 7

Prezi es una aplicación multimedia para la creación de presentaciones similar a Microsoft Office PowerPoint o ó Impress de Libre Office pero de manera dinámica y original.

Es importante mencionar que el tiempo estimado es de dos semanas, pero puede variar dependiendo de las contingencias en la auditoría.

En el siguiente cronograma de actividades se muestran los tiempos etapas de la auditoria, actividades a realizar, tiempos, responsables y producto por actividad.


3.5 Cronograma de Actividades y producto

Cronograma de actividades y producto. 1


4

Capítulo Implementación de la auditoría

El inicio de la auditoría estuvo lleno de nuevas expectativas de encontrar deficiencias en la seguridad informática, el siguiente proceso muestra cuales fueron los pasos a seguir desde la planeación estratégica, continuando con la evaluación en los cuatro aspectos fundamentales (especificados en los objetivos específicos) para la empresa como lo son: instalaciones físicas, hardware, software y recursos humanos, la metodología CRMR (nivel medio)8 fue una gran herramienta de apoyo para identificar el proceso de auditoría y como se realizan la tareas que determinan la seguridad de la información en Propaga. 4.1 Planificación y estudio preliminar Durante este proceso se inicio la recopilación de información para conocer cual es el contexto en que se encontraba la empresa, el organigrama fue de mucha ayuda pues se logró identificar cuales eran los puestos estratégicos y de forma preliminar plantear los reactivos o cuestionamientos que deberían de incluir los cuestionarios y checklist, todo lo anterior fue basado en la norma ISO/ IEC 27002 la cual especifica los aspectos a evaluar e identificar las vulnerabilidades de SI. 4.1.1 Visitas a la empresa La auditora realizó las visitas previas para conocer sobre el funcionamiento de la empresa, los roles que desempeña cada trabajador, como se desplazan los flujos de información, si existen jerarquías y responsables por área.

8

En este caso el CRMR establecerá conclusiones y recomendaciones.

Auditoría Interna en la SI con base en las normas de la serie ISO/IEC 27000

26

Organig rama: Se mu estran lo s pu estos es traté gico s para Prop aga.

4.1.2 Elaboración de formatos para informe Para elaborar los formatos del informe final fue necesario conocer de que forma la norma ISO/ IEC 27000 era compatible con esta auditoría, en el siguiente cuadro se muestra algunos puntos básicos de la ya mencionada norma enfocado en 27002 donde se indican los aspectos a auditar y se utilizó para conocer que resultados se obtendrían, esto fue muy importante ya que es la base para crear los checklist.


27

ISO/IEC 1 27002 Referencia para la elaboración de chekclist.

Informe Final de la Auditoría Interna en Seguridad de la Información ISO/IEC 27000 No de Solicitud

Auditor

Periodo de auditoría

rea

Nombre de la organización Etapa

Criterios de Normas de la Serie ISO/IEC 27000 1

auditoría Objetivo

Alcance


28

Objetivos específicos

Herramientas a utilizar:

Personal contactado Nombre

Cargo

Revisión de los elementos de evaluación especificados en la norma ISO/IEC 27002 Criterio/ Actividad

Revisión

Resultado

5 política de seguridad 7 Gestión de activos 8 Seguridad ligada a recursos humanos 9 Seguridad física y del entorno 10

Gestión

de

comunicaciones

y

operaciones 11 Control de acceso 12

Adquisición,

mantenimiento

en

desarrollo

y

sistemas

de

información 13 Gestión de incidentes en la seguridad de la información


29

Revisión

Resultado

A: Aplica

NA: No aplica

C: Cumple NR: No Revisado NM: Necesita mejora

Conclusiones de la auditoría Grado de confianza que se le puede dar a la auditoría interna en la organización

Fortalezas

Necesidades de Mejora

Conclusiones y observaciones del grupo auditor

Disposiciones finales En caso de queja o apelación al auditor o comentarios al resultado de este informe, notifíquelo por escrito.

Firmas de recepción de este informe

Fecha Auditor

Gerente General Propaga Formatos 1 Informe final.


30

Este proceso se estará realizando durante las evaluaciones de riesgos en los SI 9. Para este proceso se identificaron las áreas más importantes a abarcar, quedando de la siguiente forma: 4.1.2.1 Check-List Instalaciones físicas

Con base en la norma ISO/ IEC 27002: 2005 No.

Tipo de seguridad a

Instalaciones Físicas

evaluar Responsable

Firma

Nombre del

Fecha de elaboración

Proyecto Áreas seguras Cumple

No. Característica Si 1

Perímetro de seguridad física

1.1

El espacio es suficiente para trabajar

2

Controles físicos de entrada

2.1

Las entradas y puertas de salida cuentan

Observaciones

No

con algún tipo de seguridad 2.2

Las entradas y puertas de salida se encuentran en perfecto funcionamiento

3

Seguridad de oficinas, despachos e

9

Seguridad de la Información.


31

instalaciones. 3.1

Las instalaciones cuentan con extintores estratégicos

3.2

Los pasillos son adecuados para cada área de trabajo

4

Protección contra las amenazas externas y de origen ambiental.

4.1

Las instalaciones son resistentes a fenómenos naturales

4.2

Existe un plan de contingencia que incluye señalamientos y rutas de evacuación

4.3

El edificio cuenta con seguro en caso de siniestros

5

Trabajo en áreas seguras.

5.1

El mobiliario se encuentra instalado estratégicamente para evitar perdida de información

5.2

El mobiliario se encuentra instalado estratégicamente para evitar caídas o derrumbes.

6

Áreas de acceso público y de carga y descarga.

6.1

El área de recepción es independiente a las oficinas


32

6.2

Existe estacionamiento para clientes y trabajadores Formatos 2 Checklist Instalaciones Físicas.

4.1.2.2 Check-List Hardware Con base en la norma ISO/ IEC 27002: 2005 No.

Tipo de seguridad a

Hardware

evaluar Responsable

Firma

Nombre del

Fecha de

Proyecto

elaboración Cumple


Responsabilidad sobre los activos.

1.1

Inventario de activos.

1.2

Propiedad de los activos.

1.3

Uso aceptable de los activos.

2

Seguridad de los equipos.

2.1

Emplazamiento y protección de equipos.

2.2

Instalaciones de suministro.

2.3

Seguridad del cableado.

2.4

Mantenimiento de los equipos.

2.5

Seguridad de los equipos fuera de las

Observaciones

No

instalaciones.


33

2.6

Reutilización o retirada segura de equipos.

2.7

Retirada de materiales propiedad de la empresa.

3

Gestión de la seguridad de las redes.

3.1

Controles de red.

3.2

Seguridad de los servicios de red.

4

Control de acceso a la red.

4.1

Política de uso de los servicios en red.

4.2 Autenticación de usuario para conexiones externas. 4.3

Identificación de los equipos en las redes.

4.4

Protección de los puertos de diagnóstico y configuración remotos

5

Copias de seguridad

5.1

Respaldo físico

5.2

Respaldo en la nube

6

Seguridad en caso de desastres naturales y accidentes

6.1

Seguro de activos

7

Control de acceso al código fuente de los programas.

7.1

Control de las vulnerabilidades técnicas. Formatos 3 Checklist Hardware.


34

4.1.2.3 Check-List Software Con base en la norma ISO/ IEC 27002: 2005 No.

Tipo de seguridad

Responsable

Firma

Nombre del


Software

Proyecto No.

Característica

Cumple Si

Observaciones No

GESTIÓN DE COMUNICACIONES Y OPERACIONES 1

Protección contra el código malicioso y descargable.

1.1

Controles contra el código malicioso.

1.2

Controles contra el código descargado en el cliente.

2

Intercambio de información

2.1

Políticas y procedimientos de intercambio de información.

2.2

Acuerdos de intercambio.

2.3

Soportes físicos en tránsito.

2.4

Mensajería electrónica.

2.5

Sistemas de información empresariales.

3

Servicios de comercio electrónico.

3.1

Comercio electrónico.

3.2

Transacciones en línea.


35

3.3

Información públicamente disponible.

CONTROL DE ACCESO. 4

Gestión de acceso de usuario.

4.1

Registro de usuario

4.2

Gestión de privilegios

4.3

Gestión de contraseñas de usuario

4.4

Revisión de los derechos de acceso de usuario.

5


5.1

Segregación de las redes.

5.2

Control de la conexión a la red.

5.3

Control de encaminamiento (routing) de red.

6

Control de acceso al sistema operativo.

6.1

Procedimientos seguros de inicio de sesión.

6.2

Identificación y autenticación de usuario.

6.3

Sistema de gestión de contraseñas.

6.4

Uso de los recursos del sistema.

6.5

Desconexión automática de sesión.

6.6

Limitación del tiempo de conexión.

7

Control de acceso a las aplicaciones y a la información.

7.1

Restricción del acceso a la información.

7.2

Aislamiento de sistemas sensibles.


36

8

Ordenadores portátiles y teletrabajo.

8.1

Ordenadores portátiles y comunicaciones móviles.

8.2

Teletrabajo.

ADQUISICIÓN, DESARROLLO Y MANTENIMIENTO DE SISTEMAS DE INFORMACIÓN. 9

Tratamiento correcto de las aplicaciones.

9.1

Validación de los datos de entrada.

9.2

Control del procesamiento interno.

9.3

Integridad de los mensajes.

9.4

Validación de los datos de salida.

10

Controles criptográficos.

10.1 Política de uso de los controles criptográficos. 10.2 Gestión de claves. 11

Seguridad de los archivos de sistema. Control del software en explotación.

11.1 Protección de los datos de prueba del sistema. 11.2 Control de acceso al código fuente de los programas. Formatos 4 Checklist Software.


37

4.1.2.4 Check-List Recursos Humanos Con base en la norma ISO/ IEC 27002: 2005 No.

Tipo de seguridad

Recursos Humanos

Responsable

Firma

Nombre del


Proyecto No.

Característica

Cumple Si

Observaciones

No

SEGURIDAD LIGADA A LOS RECURSOS HUMANOS 1

Antes del empleo

1.1

Funciones y responsabilidades.

1.2

Investigación de antecedentes.

1.3

Términos y condiciones de contratación.

2

Durante el empleo.

2.1

Responsabilidades de la Dirección.

2.2

Concienciación, formación y capacitación en seguridad de la información.

2.3

Proceso disciplinario.

3

Cese del empleo o cambio de puesto de trabajo.

3.1

Responsabilidad del cese o cambio.

3.2

Devolución de activos.


38

3.3

Retirada de los derechos de acceso.

GESTIÓN DE COMUNICACIONES Y OPERACIONES 4

Responsabilidades y procedimientos de operación.

4.1

Documentación de los procedimientos de operación.

4.2

Gestión de cambios.

4.3

Segregación de tareas.

4.4

Separación de los recursos de desarrollo, prueba y operación.

GESTIÓN DE INCIDENTES EN LA SEGURIDAD DE LA INFORMACIÓN 5

Notificación de eventos y puntos débiles de seguridad de la información.

5.1

Notificación de los eventos de seguridad de la información.

5.2

Notificación de puntos débiles de seguridad.

6

Gestión de incidentes y mejoras de seguridad de la información.

6.1

Responsabilidades y procedimientos.

6.2 Aprendizaje de los incidentes de seguridad de la información. 6.3

Recopilación de evidencias. Formatos 5 Checklist Recursos Humanos.

4.2 Evaluación de riesgos en la Seguridad de la Información En esta parte de la auditoria lo primordial es conocer e identificar las vulnerabilidades de la SI. Para esto nos apoyaremos en los checklist creados, también se tendrá como apoyo


39

evidencias registradas por medio de la observación, siendo en la evaluación de recursos humanos donde hay mas posibilidades de interactuar con los empleados, es en ésta fase donde se recopilará la mayor información posible.

4.2.1 Instalaciones Físicas Check-List Instalaciones físicas, en la Empresa PROPAGA, con base en la norma ISO/ IEC 27002: 2005. No.

1

Tipo de seguridad a


evaluar Responsable

Roxana Fuentes

Firma


Nombre del

Auditoria


20/01/14

Proyecto

Informática

Áreas seguras Cumple


Observaciones

No

Perímetro de seguridad física

Existen algunos fallos en

x

la seguridad de las instalaciones

1.1

El espacio es suficiente para trabajar

Cada empleado cuenta

x

con un área de trabajo específica

2

Controles físicos de entrada

No existe un vigilante y en

X

ocasiones la recepción se encuentra sin vigilancia


40

2.1

Las entradas y puertas de salida cuentan

La entrada cuenta con una

con algún tipo de seguridad

reja que impide que terceras personas acceder

x

de forma directa, las salidas secundarias se encuentran cerradas 2.2

3

3.1

Las entradas y puertas de salida se

Las entradas y salidas son

x

encuentran en perfecto funcionamiento

funcionales en su totalidad

Seguridad de oficinas, despachos e

Alarmas contra

x

instalaciones.

introducción de terceros

Las instalaciones cuentan con extintores

Los extintores se

estratégicos

encuentran en la parte de

x

la recepción y en el estacionamiento de la empresa

3.2

Los pasillos son adecuados para cada área de trabajo

Existe una armonía y

x

espacios razonables para cada trabajador

4

4.1

Protección contra las amenazas externas

X

La empresa no cuenta con

y de origen ambiental.

un plan de contingencias

Las instalaciones son resistentes a

Por la zona geográfica

fenómenos naturales

cabe destacar que las

x

instalaciones son seguras en su construcción y acabado de pisos


41

4.2

Existe un plan de contingencia que

No existe plan de

incluye señalamientos y rutas de

X

evacuación

contingencias pues hasta la fecha no se ha registrado algún percance

4.3

El edificio cuenta con seguro en caso de

No existe un seguro para

X

siniestros

cubrir el pago de inmuebles

X

5

Trabajo en áreas seguras.

5.1

El mobiliario se encuentra instalado

La copiadora se encuentra

estratégicamente para evitar perdida de

en área de recepción,

X

información

donde un tercero podría tener acceso a la información

5.2

El mobiliario se encuentra instalado estratégicamente para evitar caídas o

El mobiliario se encuentra

x

derrumbes.

estratégicamente ubicado para evitar daños y accidentes

6

Áreas de acceso público y de carga y descarga.

En casos de carga y

x

descarga de materiales existe un área específica

6.1

El área de recepción es independiente a las oficinas

Las oficinas donde se

x

lleva la contabilidad, facturación, almacén y creación de campañas


42

publicitarias se encuentran lejos de la recepción 6.2

Existe estacionamiento para clientes y

La empresa cuenta con

trabajadores

espacios para

x

estacionamiento de clientes o proveedores Check list 1 Ins talacion es f ísicas.

4.2.2 Hardware

No.

1

Tipo de seguridad a

Hardware

evaluar Responsable

Roxana Fuentes

Nombre del

Auditoria Informática Fecha de

Proyecto

Firma

elaboración Cumple


Responsabilidad sobre los activos.

05/02/14

Observaciones

No

x

La administradora es la encargada de los activos

1.1

Inventario de activos.

x

Existe un inventario desactualizado

1.2

Propiedad de los activos.

x

Los activos son propiedad de Propaga


43

1.3

Uso aceptable de los activos.

Los activos se encuentran

x

funcionado en áreas estratégicas

2

Seguridad de los equipos.

La información en los

x

equipos puede ser de fácil acceso para terceros

2.1

Emplazamiento y protección de equipos.

Existe una protección

x

básica 2.2

Instalaciones de suministro.

Los equipos cuentan con

x

suministros 2.3

Seguridad del cableado.

El cableado se encuentra

x

sin las especificaciones TIA/EIA-568

2.4

Mantenimiento de los equipos.

x

Los equipos no reciben un mantenimiento periódico

2.5

2.6

Seguridad de los equipos fuera de las

x

Los equipos cuentan con

instalaciones.

alarmas

Reutilización o retirada segura de

Los equipos son utilizados

equipos.

hasta su merma, siempre

x

que sean funcionales y no pongan en peligro a los usuarios o instalaciones

2.7

Retirada de materiales propiedad de la

x

empresa.


Los materiales y cableado no se almacenan

44

3

Gestión de la seguridad de las redes.

x

Las redes no cuentan con algún sistema de seguridad

3.1

Controles de red.

No existen los controles

x

necesarios para evitar la infiltración de terceros en la información

3.2

Seguridad de los servicios de red.

Los servicios de red no

x

cuentan con seguridad en sus conexiones

4


x

No existen privilegios o jerarquía de usuarios

4.1

Política de uso de los servicios en red.

No existen políticas o reglas

x

de acceso a los servicios de red

4.2 Autenticación de usuario para conexiones externas.

Existen restricciones para

x

evitar las conexiones externas

4.3

Identificación de los equipos en las redes.

Los equipos son

x

identificados entre los usuarios de la red

4.4

Protección de los puertos de diagnóstico

x

y configuración remotos 5

Copias de seguridad

No existe un control establecido

x

No existe un respaldo de información


45

5.1

Respaldo físico

x

5.2

Respaldo en la nube

x

6

Seguridad en caso de desastres

No se cuenta con algún

x

naturales y accidentes

plan de contingencias en caso de desastres naturales

6.1

Seguro de activos

x

No se cuenta con algún seguro

7

Control de acceso al código fuente de

El código del software

x

los programas.

utilizado es controlado por empresas externas

7.1

Control de las vulnerabilidades técnicas.

Las vulnerabilidades

x

técnicas se encuentran sin control

Checklist 2 Hardware.

4.2.3 Software No.

1

Tipo de seguridad

Responsable

Roxana Fuentes

Firma

Nombre del

Auditoria


Proyecto

Informática

No.

Característica

Cumple Si

Software

12/02/14

Observaciones No

GESTIÓN DE COMUNICACIONES Y OPERACIONES


46

1

Protección contra el código malicioso y

x

Utiliza una suite de

descargable.

antivirus avast versión de pago

1.1

Controles contra el código malicioso.

x

Existe un software dedicado

1.2

Controles contra el código descargado

x

Existe un software

en el cliente. 2

dedicado

x

Intercambio de información

No existen reglas de intercambio de archivos

2.1

x

Políticas y procedimientos de intercambio de información.

2.2

Acuerdos de intercambio.

x

2.3

Soportes físicos en tránsito.

x

Nunca se instalo algún soporte físico

2.4

Mensajería electrónica.

x

La mayoría de la información se transfiere por correo electrónico

2.5

Sistemas de información empresariales.

x

La empresa cuenta con sistemas online dedicados

3

Servicios de comercio electrónico.

x

3.1

Comercio electrónico.

X


En proceso de creación

47

3.2

Transacciones en línea.

3.3

Información públicamente disponible.

X x

Existe información en directorios, redes sociales y más

CONTROL DE ACCESO. 4

x

Gestión de acceso de usuario.

No existe un control de usuarios

4.1

x

Registro de usuario

Ningún usuario se encuentra registrado

4.2

x

Gestión de privilegios

No existen privilegios por usuarios

4.3

x

Gestión de contraseñas de usuario

Las contraseñas de usuario solo aplican para aplicaciones online

4.4

x

Revisión de los derechos de acceso de usuario.

5

Todos los usuarios tienen acceso

x


No existe un software o dispositivo que controle la seguridad en la red

5.1

Segregación de las redes.

5.2

Control de la conexión a la red.

x x

No se configuro

Solo por la contraseña del proveedor de Internet


48

5.3

x

Control de encaminamiento (routing) de

No se configuro

red. 6

Control de acceso al sistema operativo.

x

De forma Básica

6.1

Procedimientos seguros de inicio de

x

Contraseñas básicas de

sesión. 6.2

inicio de sesión

x

Identificación y autenticación de usuario.

No existe la autentificación

6.3

x

Sistema de gestión de contraseñas.

Las contraseñas son gestionadas por los usuarios de forma independiente

6.4

Uso de los recursos del sistema.

x

Si se utilizan varios sistemas de intercambio de información

6.5

x

Desconexión automática de sesión.

Solo existe desconexión cuando el usuario lo requiere

6.6

Limitación del tiempo de conexión.

7

Control de acceso a las aplicaciones y a

x

No existen limitantes

x

la información. 7.1

Restricción del acceso a la información.

x

Filtro básico

7.2

Aislamiento de sistemas sensibles.

x

Los sistemas tienen contraseñas


49

8

Ordenadores portátiles y teletrabajo.

x

Si aplica

8.1

Ordenadores portátiles y

x

Son varios los

comunicaciones móviles.

dispositivos utilizados en el intercambio de información

8.2

Teletrabajo.

x

En mantenimiento

ADQUISICIÓN, DESARROLLO Y MANTENIMIENTO DE SISTEMAS DE INFORMACIÓN. 9

Tratamiento correcto de las

x

Las aplicaciones cuentan

aplicaciones.

con candados de seguridad

9.1

Validación de los datos de entrada.

x

Solo datos reales tienen acceso al usuario

9.2

Control del procesamiento interno.

x

Existe un control de nivel medio

9.3

Integridad de los mensajes.

x

Los mensajes llegan de forma integra, hasta la fecha no se han registrado casos

9.4

Validación de los datos de salida.

x

Los datos son rectificados de forma personal por el usuario remitente

10

Controles criptográficos.


x

No existen

50

x

10.1 Política de uso de los controles criptográficos.

No conocen acerca de este tipo de políticas

x

10.2 Gestión de claves.

Las claves son a nivel bajo-medio no son gestionadas

11

x

Seguridad de los archivos de sistema.

En cuanto al sistema la seguridad depende de

x

Control del software en explotación.

terceros que son los encargados de mantener

x

11.1 Protección de los datos de prueba del sistema.

en funcionamiento los sistemas online

x

11.2 Control de acceso al código fuente de los programas. Checklist 3 Software.

4.2.4 Recursos Humanos No.

1

Tipo de seguridad

Responsable

Roxana Fuentes

Firma

Nombre del

Auditoria


Proyecto

Informática

No.

Característica

Cumple Si

Recursos Humanos

20/02/14

Observaciones

No

SEGURIDAD LIGADA A LOS RECURSOS HUMANOS 1

Antes del empleo


51

1.1

Funciones y responsabilidades.

X

Los usuarios conocen sobre cuales serán sus responsabilidades dentro de la empresa antes de ser contratados

1.2

Investigación de antecedentes.

X

No existe un amplia investigación en la mayoría de los candidatos, solo cartas de recomendación

1.3

Términos y condiciones de

X

Antes empezar a laborar el

contratación.

empleado y el encargado de recursos humanos firman un contrato para establecer las responsabilidades de trabajador y obligaciones de la empresa

2 2.1

Durante el empleo. Responsabilidades de la Dirección.

X

La dirección es responsable de las funciones dentro de la empresa

2.2

2.3

x

Concienciación, formación y

La capacitación referente a

capacitación en seguridad de la

seguridad de la información no

información.

es aplicada

Proceso disciplinario.

X

Los empleados son disciplinados y enfocados a cumplir con la misión de Propaga

3

Cese del empleo o cambio de puesto de trabajo.


52

3.1

Responsabilidad del cese o cambio.

X

En la mayoría de los casos los empleados cambian de ciudad

3.2

Devolución de activos.

X

Los empleados están obligados por el contrato a devolver cualquier información o insumo de la empresa

3.3

Retirada de los derechos de acceso.

X

Las contraseñas son cambiadas, se retiran las credenciales y el exempleado ya no tendrá acceso de forma directa a la empresa

GESTIÓN DE COMUNICACIONES Y OPERACIONES 4 4.1

Responsabilidades y procedimientos de operación. Documentación de los procedimientos

X

de operación.

Existe un plan de trabajo para cumplir con sus actividades según el área y puesto del empleado

4.2

Gestión de cambios.

X

Dependiendo de la carga de trabajo, los empleados conocen

4.3

Segregación de tareas.

X

las tareas de la semana, clientes y proveedores.

4.4

Separación de los recursos de

X

desarrollo, prueba y operación. GESTIÓN DE INCIDENTES EN LA SEGURIDAD DE LA INFORMACIÓN 5

Notificación de eventos y puntos débiles de seguridad de la información.


53

5.1

Notificación de los eventos de

x

No de forma directa

x

No se tienen la herramientas

seguridad de la información. 5.2

Notificación de puntos débiles de seguridad.

6 6.1

para identificarlos Gestión de incidentes y mejoras de seguridad de la información.

Responsabilidades y procedimientos.

X

Los empleados saben que parte de su trabajo es cuidar la información privada

6.2 Aprendizaje de los incidentes de

x

seguridad de la información. 6.3

Recopilación de evidencias.

No se recopilaron, ni se cuenta con plan para enfrentar

x

incidentes en la SI

Checklist 4 Recursos Hum anos.

4.3

Examen detallado de áreas criticas

Durante la auditoría se identificaron varias áreas que podrían significar un alto riesgo en la seguridad de la información: Las instalaciones físicas, software, hardware y recursos humanos dentro de la evaluación se enfoco en encontrar donde esta fallando el resguardo de la información, la norma 27000 nos indica los aspectos a evaluar, para esto se realizaron las siguientes actividades extras: Se analizó los sistemas de información operados por la administración. 

Las garantías y nivel de funcionalidad de los antivirus.



Revisión del SO y correo electrónico.


54

4.3



Las entradas y salidas de la empresa.



Funcionalidad de extintores.



Funcionalidad de las alarmas de las instalaciones.



Cableado y configuración de redes inalámbricas.



Contrato con proveedor de telefonía e internet.



Funcionalidad de los equipos de cómputo.



Formatos de contratación de empleados.

Reunión de evidencias

Después de evaluar a la empresa se reunió las evidencias retomando las más importantes y desechando las que no sean relevantes para la norma ISO/IEC 27000, por disposición de la empresa existen evidencias confidenciales y no podrán ser mostradas en el presente protocolo, a continuación se hace un listado de las evidencias reunidas: 

Checklist de Instalaciones físicas, hardware, software y recursos humanos.

Fotografías.



Organigrama.





Testimonios de empleados.



Diagramas de actividades.



Contratos e informes de la empresa.

4.3.2 Estudio y análisis profundo de evidencias Este proceso ha tenido como objetivo adentrase en las funciones de la empresa, conocer cual es el flujo de la información, responsables, mejoras que se podrían aplicar en los procesos para hacer más efectiva la seguridad de la información. Mismo que se detalla a continuación:


55

Diagrama 2 Flujo de info rmación.

4.3.3 Identificación de vulnerabilidades en la seguridad de la información En las instalaciones físicas de obtuvieron los siguientes resultados:


56

Diagram a 3 Cro qui s d e evaluac ión física.


57

Gráfic a 1Res ult ado s de a ud ito ría en Inst alacio nes Físic as.


58

La evaluación del software arrojo lo siguiente:

Gráfic a 2 Resu ltad o d e Au dit oría en H ardw are.


59

El hardware cuenta con vulnerabilidades mostradas en la siguiente grafica:

Gráfic a 3 Resu ltad o d e aud ito ría en So ftw are.


60

En los recursos humanos se encontró las siguientes vulnerabilidades:

Gráficas 4 Result ado de A udit oría en Recurso s Hu mano s.


61

4.4 Resultados En esta ultima fase de la auditoría los interesados conocen los resultados, es importante mencionar que se realizó un informe final que incluye las vulnerabilidades, fortalezas y áreas de oportunidad de mejora para la empresa.

4.4.1 Realización del informe final y recomendaciones El informe final incluye un resumen de todos los aspectos evaluados, es el resultado final de todo el proceso de auditoría y da la pausa para crear nuevas políticas y planes de contingencia para bien de la empresa.

Informe Final de la Auditoría Interna en Seguridad de la Información ISO/IEC 27000 No de Solicitud

1

Auditor

Periodo de auditoría

Enero-Abril

rea

Nombre de la organización

Roxana Fuentes

General

Propaga

Criterios de Normas de la Serie ISO/IEC 27000

Etapa 1

auditoría Objetivo Realizar una auditoría interna en la seguridad de la información en la empresa Propaga, con base en las normas de la serie ISO/IEC 27000, con el fin mejorar la gestión de información en la infraestructura, hardware, software y recursos humanos.

Alcance El proyecto de estadía que será realizado el periodo de Enero-Abril del 2014 abarcará una auditoria informática interna en la seguridad de la información con base en las


62

normas de la serie ISO/IEC 27000 en la empresa Propaga, con el objetivo de realizar recomendaciones de mejora las cuales se verán reflejados en posibles políticas de seguridad y plan de contingencias. Los puntos a auditar serán los siguientes: De las instalaciones físicas se evaluará: 

Instalaciones eléctricas y cableadas de la red de datos.



Sistemas de protección a dispositivos de almacenamiento.



Sistemas contra desastres naturales.



Control de accesos a las instalaciones.

De hardware se evaluará: 

Seguridad física del equipo de cómputo.

Inventarios.



De software se evaluará: 

Antivirus, antiespías y otros.

Navegadores.





Uso de redes sociales.

Correo.



De recursos humanos se evaluará: 

Uso de la información.



Desempeño de su función.



Trabajo e interacción con los otros.



Nivel de conocimiento sobre seguridad informática.

Objetivos específicos 

Visitar a Propaga para realizar un estudio preliminar.



Crear un plan de trabajo para llevar a cabo la auditoría.


63



Creación de formatos para la evaluación de la auditoría (informes) y cheklist.



Evaluación de instalaciones físicas para detectar posibles vulnerabilidades en la infraestructura de la empresa.



Evaluación del Hardware para conocer las características y estado físico del equipo de cómputo.



Evaluación del Software para determinar posibles faltas o fallos de seguridad.



Evaluación de los recursos humanos para determinar su necesidad de formación y proponer los cambios necesarios del comportamiento,

actitud, habilidades, o

conocimientos. 

Identificar la causa de problemáticas derivadas de la falta de control en la información para encontrar soluciones que ayuden a erradicarlas.



Recomendaciones generales para la creación de planes de contingencia y políticas de seguridad.



Documentar un informe final para incluir una propuesta de mejora.



Creación de material para capacitación de usuarios.

Herramientas a utilizar:

Computadora, información de la empresa, otros.

Personal contactado10 Nombre

Cargo

Rocío Rodríguez M.

Directora General

Rubén Mejía Cosco

Gerente General

Edith Coleman Hernández

Administración

Citlalli Blanco Valerio

Secretaria Operativa

Bladimir Mejía Mariscal

Supervisor

10

Solo se entrevisto a personal estratégico.


64

Antonio Montes Domínguez

Transporte

Pedro Herrera Romero

Mensajero

Valentín Girón Miramontes

Mensajero

Revisión de los elementos de evaluación especificados en la norma ISO/IEC 27002 Criterio/ Actividad

Revisión

Resultado

5 Política de seguridad

A

NM

7 Gestión de activos

A

C

8 Seguridad ligada a recursos humanos

A

C

9 Seguridad física y del entorno

A

NM

A

C

A

NM

A

NM

A

NM

10

Gestión

de

comunicaciones

y

operaciones 11 Control de acceso 12

Adquisición,

mantenimiento

en

desarrollo

y

sistemas

de

información 13 Gestión de incidentes en la seguridad de la información

Revisión A: Aplica

Resultado NA: No aplica

C: Cumple NR: No Revisado NM: Necesita mejora

Conclusiones de la auditoría Grado de confianza que se le puede dar a la auditoría interna en la organización Satisfactorio


65

Fortalezas 

Propaga cuenta con un gran espacio para realizar sus actividades, por este motivo es menos propenso a recibir perdidas causa de desastres naturales.



Utiliza extintores en caso de incendio.



Existen alarmas en puertas.



La empresa utiliza sus activos de forma idónea.



Se utiliza software especializado para evitar perdidas de información por causa de código malicioso o virus.



Se utilizan contraseñas para tener acceso al correo electrónico, sistemas de información, redes sociales y otras aplicaciones.



Los recursos humanos son contratados bajo un contrato y conociendo las obligaciones y responsabilidades del trabajador y Propaga.



Ante la baja de algún empleado se toman las acciones correspondientes para evitar la fuga de información o mal uso de esta.



El personal utiliza identificaciones para evitar robo de identidad.

Necesidades de Mejora 

En descargas de software en administración y recepción.



Aplicar políticas de seguridad de la información de la red interna.



Control sobre acceso y configuración de red.



Las PC necesitan mayor ventilación e iluminación.



Los cables de los equipos de cómputo se encuentran sueltos.



El cableado de datos no se encuentra instalado de acuerdo a la norma de tendido de cable de datos.



Instalar un sistema puesto a tierra (basado en algún estándar).



Respaldar la información como protección fuera de la empresa o por medio de la


66

nube. 

Crear manuales para implementar software, actualizaciones, para cada equipo de cómputo.



Plan de contingencias en caso de accidentes o desastres naturales, creando una ruta de evacuación y señalamientos.

Conclusiones y observaciones del auditor Con base a los resultados obtenidos mediante la presentación de la evidencia ante los criterios de la auditoría se recomienda:



Capacitar a los usuarios de forma permanente para que estos conozcan técnicas para salvaguardar la información y mejoren así su desempeño en la empresa.



Crear los planes de contingencia y políticas de la SI enfocados a salvaguardar la información de clientes, con lo anterior mejorara la calidad y servicio de Propaga.

Disposiciones finales En caso de queja o apelación al auditor o comentarios al resultado de este informe, notifíquelo por escrito.

Firmas de recepción de este informe

Fecha Auditor

Representante de Propaga Informe Final 1


67

4.4.2 Presentación del informe final Durante el proceso de la auditoría se encontraron varios aspectos positivos dentro de la SI, los sistemas de vigilancia y algunos otros controles han logrado mantener hasta cierto punto la privacidad en información confidencial. La tecnología y las nuevas aplicaciones traen consigo nuevos retos para Propaga, implementar las mejoras mencionadas en el informe final es necesario pues de lo contrario dentro de algunos años nuevos competidores podrían a provechar la falta de seguridad informática, sobre todo en el aspecto de contraseñas y redes. Se acordó realizar las mejoras y crear las políticas de seguridad dentro de la empresa, para esto se utilizarán los resultados y recomendaciones del informe final.

4.4.3 Creación del material para capacitación de usuarios Para tener un mejor desempeño y buenos resultados en un plazo medio, fue creado un material que ayudará al personal y nuevas contrataciones, a realizar su trabajo en base a la seguridad informática y políticas de la empresa. El gerente general ha incluido dentro del plan de próximas contrataciones partes de la norma ISO/IEC 27000 (incluidas en el checklist de recursos humanos).


68

Bibliografía

Domínguez, H. (2010). El puente hacia el futuro. Logística y Operaciones , 32. José Antonio Echenique García (2005) Auditoria en Informática Segunda edición, Capitulo 1. Págs. 21-22. José Antonio Echenique García (2005) Auditoria en Informática Segunda edición, Capitulo 3. Págs. 58-86. Expansión, Control Interno, Auditoría y Seguridad Informática. (1996)Tomos II-IV. Piattini, M., E. Del Peso, Auditoría Informática: un enfoque práctico (1997), Ra-Ma, Capitulo 4. Págs. 96-127.

Referencias Web

(2013, 11). An Introduction to ISO 27001, ISO 27002....ISO 27008. The ISO 27000 Directory. Recuperado 01, 2014, de http://www.27000.org/ (2012, 11). Portal de soluciones técnicas y organizativas a los controles de ISO/IEC 27002 ISO/IEC 27002 ES. Recuperado 11, 2013, de http://www.iso27002.es/


69

Glosario Alcance (Inglés: Scope). Ámbito de la organización que queda sometido al SGSI. Debe incluir la identificación clara de las dependencias, interfaces y límites con el entorno, sobre todo si sólo incluye una parte de la organización. Amenaza (Inglés: Threat). Según [ISO/IEC 13335-1:2004]: causa potencial de un incidente no deseado, el cual puede causar el daño a un sistema o la organización. Auditor (Inglés: Auditor). Persona encargada de verificar, de manera independiente, la calidad e integridad del trabajo que se ha realizado en un área particular. Auditoría (Inglés: Audit). Proceso planificado y sistemático en el cual un auditor obtiene evidencias objetivas que le permitan emitir un juicio informado sobre el estado y efectividad del SGSI de una organización. Checklist Lista de apoyo para el auditor con los puntos a auditar, que ayuda a mantener claros los objetivos de la auditoría, sirve de evidencia del plan de auditoría, asegura su continuidad y profundidad y reduce los prejuicios del auditor y su carga de trabajo. Este tipo de listas también se pueden utilizar durante la implantación del SGSI para facilitar su desarrollo.


70

Desastre (Inglés: Disaster). Cualquier evento accidental, natural o malintencionado que interrumpe las operaciones o servicios habituales de una organización durante el tiempo suficiente como para verse la misma afectada de manera significativa. ISO 27001 Estándar para sistemas de gestión de la seguridad de la información adoptado por ISO transcribiendo la segunda parte de BS 7799. Es certificable. Primera publicación en 2005. ISO 27002 Código de buenas prácticas en gestión de la seguridad de la información (transcripción de ISO 17799). No es certificable. Cambio de oficial de nomenclatura de ISO 17799:2005 a ISO 27002:2005 el 1 de Julio de 2007. Política de seguridad (Inglés: Security policy). Documento que establece el compromiso de la Dirección y el enfoque de la organización en la gestión de la seguridad de la información. Según [ISO/IEC 27002:2005]: intención y dirección general expresada formalmente por la Dirección. Riesgo (Inglés: Risk). Posibilidad de que una amenaza concreta pueda explotar una vulnerabilidad para causar una pérdida o daño en un activo de información. Según [ISO Guía 73:2002]: combinación de la probabilidad de un evento y sus consecuencias.


71

Auditoría Interna en la Seguridad de la Información con base en las normas de la serie ISO/IEC 27000 Por: Roxana Fuentes

Recommend Documents