Diagnostico Seguridad de La Informacion

GICA Virtual

Implementación y Certificación del Sistema de Gestión de la Seguridad de la Información bajo la Norma ISO 27001:2013 para la Empresa GICA Virtual

Contenido 1- Alcance del Proyecto ................................................................................................................. ................................................................................................................. 2 2- Objetivos ..................................................................... .................................................................................................................................... ............................................................... 2 3- Justificación ............................................................................................................. ............................................................................................................................... .................. 3 4- Análisis de Aplicabilidad de la Norma ISO 27001:2013 ............................................................. 4 5- Descripción de los Sistemas ............................................................. .................................................................................................... ....................................... 10 5.1- SISCERT (Sistema de Certificación) ......................................................................................... ....................................................................................................... .............. 10 5.2- Pagos en Línea – Gica Virtual ............................................................... ............................................................................................................... ................................................ 10 5.3- Aula Virtual Moodle ............................................................................................................... ............................................................................................................................. .............. 11 6- Gestión del Riesgo .............................................................................................................. ................................................................................................................... ..... 11 6.1- Identificación de Activos ...................................................................................................................... ...................................................................................................................... 12 6.2- Identificación de Riesgos ........................................................... ...................................................................................................................... ........................................................... 13 6.3- Análisis de Riesgos ...................................................................... ................................................................................................................................ .......................................................... 14 6.4- Evaluación y Tratamiento de Riesgos ............................................................... ................................................................................................... .................................... 16 7- Ley de Protección de Datos Personales................................................................... Personales ................................................................................... ................ 17 7.1-Datos Personales: ......................................................................................................... .................................................................................................................................. ......................... 17 7.2-Aplicación de la Ley: .......................................................................................... .............................................................................................................................. .................................... 17

1- Alcance del Proyecto El alcance abarca todos los procesos de la empresa; procesos de Diseño y Desarrollo de Esquemas de Certificación y Evaluación por Competencias, Gestión Comercial y Ventas, Gestión Técnica de Certificaciones (Admisión, Inducción, Evaluación y Certificación), Las certificaciones que Gica Virtual brinda a los clientes son: Auditor Interno ISO 17024:2012 Sistema de Certificación de Personas, Auditor Interno ISO 9001:2015 Sistema de Gestión de la Calidad, Auditor Interno ISO 31000:2009 Sistema de Gestión del Riesgo, Auditor Interno ISO 27001:2013 Sistema de Gestión de Seguridad de la Información, Auditor Interno ISO 55001:2014 Sistema de Gestión de Activos, Auditor Interno ISO 14001:2015 Sistema de Gestión Ambiental, Auditor Interno ISO 50000:2010 Sistema de Gestión Energética, Auditor Interno ISO 17020:2012 Sistema de Certificación de Inspección, Analista de Lubricantes de Maquinarias ISO 18436-4 Nivel 1, Certificación Profesional en Sistemas Sistemas Oleohidráulicos Móviles Móviles e Industriales CETOP H1 , Certificación Profesional en Sistemas Neumáticos CETOP P1 , Certificación de Operador de Grúas ASME B30.5, Certificación de Operador de Cargador Frontal ISO 7130:2013, Ensayos No Destructivos ISO 9712 Operador de Líquidos Penetrantes Nivel 1

Gica Virtual trabaja bajo 2 principios: Gestión Basada en Procesos (BPM) y Gestión de Calidad Educativa basada en Competencias. Por ello desde el año 2015 se inició con el desarrollo de un Sistema de Certificación para que soporte los procesos de negocios a través Sistemas de Tecnología de Información; en la actualidad cuenta con las siguientes herramientas: SISCERT (Sistema de Certificación), Aula Virtual, Sistema de E-mailing, , Pasarela de Pagos en Banco y Pagos Online.

2- Objetivos 









Obj-6: Aumentar la cantidad de candidatos a certificarse en temas relacionados a gestión de activos, proyectos y mantenimiento en las áreas de minería sistemas integrados de gestión. Con la certificación ISO 27001:2013 la empresa se encontrará mejor posicionada en el mercado y podrá aumentar la cantidad y calidad en sus servicios académicos (certificaciones). Obj-4: Identificar los riesgos que conllevan a disminuir los problemas en cuanto a la continuidad del negocio en la empresa. En efecto, esto dará como resultado la minimización de costos debido a que los incidentes de seguridad se verán disminuidos y no afectarán a los procesos principales de la empresa. Obj-2: Identificar los principales riesgos en materia del software implementado internamente y establecer controles para gestionar y eliminar dichos riesgos, además clasificar los riesgos en función de su gravedad y posibilidades reales de que se lleguen a producir. Mitigar los riesgos de los sistemas SISCERT y Aula Virtual que utiliza la empresa es una prioridad debido a que soportan los procesos principales de la empresa y están orientados al cliente externo. Obj-1: Mejorar la confianza de los clientes estableciendo una política interna de protección de datos, esto conlleva a que sus datos personales y su información es gestionada de manera segura y no es transferida a terceros. Esto en base a la aplicabilidad de la Ley de Protección de Datos Personales, la cual se hace referencia en algunos dominios de la Norma ISO 27001:2013. Obj-3: Concientizar a los trabajadores de la empresa sobre la importancia que implica la seguridad de la información dentro de la empresa y que es el principal activo con el que cuenta la organización para el desarrollo de las certificaciones en modalidad virtual





Obj-5: Aumentar la brecha de diferenciación del resto de empresas que brindan certificaciones en modalidad virtual con la implementación de la Norma ISO 27001:2013, ya que esto mejorará la imagen y dará más confianza a potenciales candidatos para que puedan certificar sus competencias laborales.

Obj-7: Disminución de incidentes de seguridad debido a caídas de servicios de los proveedores externos como Telefonía, TI e Internet en la empresa.

3- Justificación La empresa Gica Virtual tiene posee como principal activo dentro de la organización a la información, con el paso de los 17 años que tiene la organización; los procesos estratégicos, primarios y de apoyo han ido madurando y a la vez el mercado laboral en el rubro de Maquinaria Pesada, Lubricación, y Sistemas Integrados de Gestión (ISO 9001, ISO 27001, ISO 17024, ISO 14001) ha mostrado una expansión creciente, con el objetivo de alinearse a dicha expansión en Gica Virtual se brindan servicios de evaluación de competencias laborales en base a esquemas de certificación internacional. La información de las partes interesadas externas e internas es el flujo principal de Gica Virtual, es por ello que se tiene la necesidad de establecer una certificación que avale la gestión de la información de manera correcta y que sea mostrada hacia las partes interesadas. La Norma ISO 27001 es la Norma que provee dominios y controles los cuales brindan una serie de requisitos aplicables a las empresas para que se muestre una conformidad en cuanto a la implementación de un Sistema de Gestión de Seguridad S eguridad de la Información. Existen beneficios que se tienen previstos con la aplicación de la certificación de la Norma ISO 27001:2013 







o

En el aspecto interno de la empresa, el beneficio es que se asegura la gestión de la información de manera correcta y se asegura que los trabajadores cumplan con lo que establece la Norma, además que establece un estándar en el tratamiento de la información. Esto conlleva a una disminución en los tiempos y por ende una mejora en la productividad. En el aspecto legal, la empresa Gica Virtual tendrá el beneficio de contar con una Norma de nivel internacional y leyes peruanas que avalen la conformidad de los procesos. Esto conlleva a no tener las sanciones por la no aplicabilidad de las leyes que son obligatorias. En el aspecto funcional, Gica Virtual en conjunto con la implementación de la Norma ISO 27001 podrá mitigar los riesgos que posee en todos los aspectos de la organización. En el aspecto comercial, los clientes tendrán una mayor credibilidad para con la empresa, debido a la implantación de la Ley de Protección de Datos Personales, y esta ley en relación a la Norma ISO 27001 se han identificado los siguientes dominios contenidos en esta. Dominio A-8: Gestión de Activos Clasificación de la Información A-8.2.1 La información debería estar clasificada de acuerdo a los requisitos legales, críticos, sensibles respecto a la divulgación o acceso no autorizado. Dominio A-13: Seguridad de las Comunicaciones Transferencia de Información A-13.2.1 Deberían existir y aplicar políticas, procedimientos y controles de transferencia formales para proteger la transferencia de información A-13.2.2 Deberían existir acuerdos para dirigir la transferencia transferencia segura de información del negocio y clientes entre la organización y partes externas 



o













A-13.2.3 La información involucrada en mensajería electrónica debería debería estar protegida apropiadamente A-13.2.4 Los requisitos para los acuerdos de confidencialidad o no divulgación que reflejan las necesidades de la organización para la protección de la información debe ser identificada y revisada regularmente.

En el aspecto financiero la empresa al certificarse en la Norma ISO 27001 disminuirá los incidentes de seguridad y por ende las utilidades y beneficios aumentarán de manera significativa. Otro punto es que se podrá ver la relación de uso de los sistemas y su almacenamiento con el servicio de TI como Internet, Servidores Externos, Telefonía, Aula Virtual, etc. que se está financiando, es decir, ver si el uso y pago de los servicios tercerizados son los correctos en relación al uso que se les da. Por ejemplo con el crecimiento c recimiento de la empresa, existe un aumento de personal y por ende el número de activos como PC aumentan también. Y el flujo de información es mayor, haciendo que el uso de internet sea más limitado para la empresa y disminuya la productividad.

4- Análisis de Aplicabilidad de la Norma ISO 27001:2013

Aplicabilidad de la Norma ISO 27001:2013 en la Empresa Gica Virtual A5- Políticas de Seguridad de la Informació I nformación n A6- Organización de la 100.00% 100.00% A18- Cumplimiento Seguridad de la 90.00% Información 80.00% A17- Aspectos de 70.00% A7- Seguridad de los Seguridad de la 50.00% 60.00% Recursos Humanos 28.57%

Información en la…

A16- Gestión de Incidentes de Seguridad de la Información

50.00%

50.00%

40.00% 30.00%

16.67%

20.00%

14.29%

70.00%

A8- Gestión de Activos

10.00% 0.00%

A15- Relación con los Proveedores 80.00% A14- Adquisición, Desarrollo y

28.57%

57.14% A9- Control de Accesos

0.00%

53.85%

Mantenimiento de…

50.00%

60.00%

A13- Seguridad de las Comunicaciones

A10- Criptografía

A11- Seguridad Física y Ambiental A12- Seguridad de las Operaciones

5- Descripción de los Sistemas Actualmente, la empresa Gica Virtual ha implantado sistemas de información que soportan y automatizan procedimientos de los procesos bajo bajo los que se gestiona las unidades de negocio definidas: Diseño y Desarrollo de Esquemas de Certificación y Evaluación por Competencias, Gestión Comercial y Ventas, Gestión Técnica de Certificaciones (Admisión, Inducción, Evaluación y Certificación), y soportado por el proceso de Tecnología de Información.

Los sistemas implantados han sido diseñados bajo las necesidades de la empresa y teniendo en cuenta la escalabilidad de procesos mediano plazo, riesgos al corto plazo e ingreso autenticado. En adelante se detalla la potencialidad de cada sistema de información implantado:

5.1- SISCERT (Sistema de Certificación) SISCERT: http://siscert.gicacertification.com/Login.aspx?ReturnUrl=%2f Video Explicativo: https://vimeo.com/192980572

Los objetivos del sistema de certificación son lo s siguientes: Implementar una solución software que soporte las normativas adaptables a un proceso de automatización dentro de las fases que conforman la Norma ISO 10704 (Norma para Certificación de Personas) Aplicar un proceso normado de desarrollo de software garantizando métricas de calidad en su puesta en marcha. Garantizar la usabilidad y disponibilidad del servicio mediante la implementación del soporte de TI adecuado para el despliegue de la aplicación. Garantizar transparencia durante el proceso de certificación desde la promoción hasta la evaluación y registro de la certificación.

5.2- Pagos en Línea – Gica Virtual 

En Relación a los Procesos

Link de Pagos en Linea: http://pagosonline.gicaVirtual.com/Pages/Pagos/PagoOnline.aspx

Este sistema apoya la gestión administrativa en el procedimiento contable de las deudas por cobrar, además de ser un medio certificado por VISANET para llevar a cabo transacciones seguras en línea.

5.3- Aula Virtual Moodle

Aula Virtual – Certificación Certificación de Auditor Interno ISO 17024 

En Relación a los Procesos Aula Virtual Gica Virtual: http://aulavirtual.gicavirtual.pe/

Este sistema apoya la gestión de certificación, brindando brindando un entorno amigable para el desarrollo de las evaluaciones de los alumnos. Está basado en una plataforma libre con soporte funcional continuo. 

En Relación al Cliente

El aula virtual de Gica Virtual provee al candidato todos los pasos para el proceso de evaluación de competencias de manera virtual. Es en esta plataforma en donde el candidato será inducido, capacitado y evaluado luego de haber pasado el proceso admisión y pago. Esta plataforma en un servicio desarrollado parcialmente por Gica Virtual en unión con Moodle (https://moodle.org/?lang=es https://moodle.org/?lang=es)), el cual es una plataforma de aprendizaje diseñada para proporcionarle a educadores, administradores y estudiantes un sistema integrado único , robusto y seguro para crear ambientes de aprendizaje personalizados. Este po ne a disposición sus “Web Services” (https://es.wikipedia.org/wiki/Servicio_web https://es.wikipedia.org/wiki/Servicio_web)) para que desarrolladores de cualquier software educativo usen su código como apoyo al desarrollo de los mismos. m ismos.

6- Gestión del Riesgo Gica Virtual, entiende la necesidad del uso de estas herramientas para la operatividad de sus procesos e identifica los riesgos de estos, teniendo en cuenta primeramente los activos principales y de mayor m ayor uso en la organización

6.1- Identificación de Activos Clasificación

N°

Código

Activo

Características

Tipología

id g rn

Ubicación Física a ci

2

3

4

5

6

7

8

9

10

11

12

COM-CPU-02

COM-CPU-03

COM-CPU-04

COM-CPU-05

COM-CPU-06

COM-CPU-07

COM-CPU-08

COM-CPU-09

COM-CPU-10

COM-CPU-11

COM-CPU-12

a

e

e D so

l n

n

a a

n n

su ni

m S Q

u

d c r

idl

ia

i

e

di bi

n

vi

g n

e et idf E o

N o ps

In n

U

l

a

v M

a

l

e e

d

di

Responsable ut

c e

a

l a

ai R

U

l

r ts

os P

COM-CPU-01

oi

nI b

l a

inr te

l

Criticidad d

o o

u

1

Frecuencia de Uso

i D

C

Computadora

Windows 7 Ultimate Intel Core i3 - 4130, 3.5 Ghz, 16 Gb

Hardware

Área Académica

x

x

Coordinador Externo de TI

5

4

4

5

Computadora


Hardware

Área Académica

x

x

Coordinador Académico

3

4

4

4

Computadora


Hardware

Área Académica

x

x

Coordinador de Sistemas

3

3

3

3

Computadora


Hardware

Área Académica

x

x

Coordinador de Diseño Web

4

4

4

4

Computadora


Hardware

Área Académica

x

x

Tutor Académico

3

2

2

3

Computadora


Hardware

Área Académica

x

x


3

2

2

3

Computadora


Hardware

Área Ventas

x

x

Coordinador de Logística

2

2

2

2

Computadora

Windows 7 Ultimate Intel Corei3 - 4150, 3.5 Ghz, 8Gb

Hardware

Área Ventas

x

x

Coordinador de Ventas

3

3

3

3

Computadora

Windows 7 Ultimate Intel Corei3 - 2400, 3.1 Ghz, 8Gb

Hardware

Área Ventas

x

x


3

3

3

3

Computadora


Hardware

Área Ventas

x

x


3

3

3

3

Computadora


Hardware

Área Ventas

x

x

Coordinador Administrativo

3

2

2

3

Computadora


Hardware

Área Ventas

x

x

Coordinador Contable y Financiero

5

4

4

5

Hardware

Área Académica

x

x

Gerente General

5

5

5

5

13

LAP-CPU-01

Laptop

Windows 7 Intel Core i3 Laptop Lenovo G-570 8 Gb

14

IMP-MUL-01

Impresora Multifuncional

HP Laserjet 4250 ON

Hardware

Área Ventas

x

x

Área Administrativa y Financiera

2

2

2

2

15

IMP-MULT-02


HP Photosmart

Hardware

Área Logística

x

x

Área Logística

2

2

2

2

16

IMP-MULT-03


HP Photosmart

Hardware

Área Académica

x

x

Área Académica

2

2

2

2

17

MEZ-SON-01 MEZ-SON-01

Mezcladora

Soundcraft MPM

Hardware

Área Logística

x

Área Académica

1

1

2

2

x

18

SIS-GV-01

SISCERT

Sistema de Certificación

Software

Servidor IIS Microsoft

x

x

21

SIS-GI-03

Servidor Interno

Servidor Interno de Documentación CRM

Servicio

Servidor Interno

x

x

22

SIS-GI-04

Aula Virtual

Sistema de Aula Virtual - MOODLE

Servicio

Servidor Externo

x

x

23

SIS-GI-05

Pagos Online

Sistema de Pagos Online - VISANET

Servicio

Servidor Externo

24

SIS-GI-06

Emailing

Servicio

Servidor Externo

x

25

SIS-GI-07

Anymeething

Servicio

Servidor Externo

x

26

SER-GI-01

Internet

Servicio de Internet

Servicio

Organización

x

27

SER-GI-02

Telefonía

Servicio de Telefonía Fija

Servicio

Organización

x

28

SER-GI-03

Movil

Servicio de Telefonía Móvil

Servicio

Área Ventas

x

29

SER-GI-04

Luz

Servicio de Electricidad

Servicio

Organización

x

30

SER-GI-05

Teletransfer

Servicio de Pagos BCP

Servicio

Área Contabilidad

x

Sistema de Envío de Correos Masivos Sistema de Videoconferencias Online (Webinarios)

Todas las Áreas

3

3

3

3

x

Todas las Áreas

4

5

4

5

x

Áreas Solicitantes y Clientes

4

4

5

5

x

x

x

Gerente General y Área Contable

5

4

4

5

x

x


4

4

4

4

x


3

3

4

4

Todas las Áreas

4

4

5

5

x

Áreas Solicitantes

3

3

3

3

x

Áreas Solicitantes

3

3

4

4

Todas las Areas

4

5

5

5

Gerente General y Area Contable

5

4

4

5

x

x

x

Fuente: Elaboración Propia

Escala

Valoración

1 2 3 4 5

Muy Bajo Bajo Medio Alto Muy Alto

6.2- Identificación de Riesgos Proceso

Riesgo

Descripción del Riesgo

Agente Generador

Causa

Efecto

Activo Afectado

Gestión Estratégica

Filtración de información sensible y estratégica de la organización.

El gerente general posee información estratégica de la empresa, la cual es el eje central que la empresa necesita.

Agentes Externos o Internos a la Empresa

- Descuido de los activos que poseen información sensible

Pérdida económica

Laptops Computadoras Información

Diseño y Desarrollo de Competencias Laborales

Filtración de Información

En la parte de diseño y desarrollo de competencias laborales se tienen exámenes y bancos de preguntas para ser brindada a los clientes. Esta información puede ser filtrada y copiada sin autorización. Manipulación de datos personales por parte de agentes internos a la organización

Coordinador de Diseño y Desarrollo de Competencias Laborales

- Descuido de los activos que poseen información sensible

Pérdida económica

Información

Filtración de los datos personales de candidatos. Mala

Si se realiza una mala inscripción inscrip ción

Boicot por parte del personal interno de la empresa

Falta de experiencia

Pérdida económica Mala imagen de la empresa Pérdida

Clientes Información de clientes Imagen de la empresa Información de

Gestión Comercial y Ventas

inscripción de candidatos

Falta de información sobre la protección de los datos personales de los clientes

Admisión, Inducción y Certificación

Filtración de Información Académica Caída de servicio eléctrico

Logística y Mantenimiento

Robo de Equipos Extraíbles de a Empresa Fallas en los equipos informáticos

Caída de Servicio de Internet

Filtración de Código Fuente

Tecnologías de Información

de los candidatos, sus datos personales no serán almacenados correctamente en la base de datos.

Coordinadores Gestión Comercial y Ventas

La ley de protección de datos personales se ha establecido en la empresa, es por ello que el área de ventas tiene la obligación de informar a los clientes que sus datos están resguardados para que terceros no tengan acceso a ellos. La información puede ser filtrada por parte de agentes externos a la organización y por parte de trabajadores de la empresa El servicio eléctrico al ser un servicio externo a la organización puede verse afectado por errores ajenos a esta afectando los procesos de la empresa. Existen activos que salen de la empresa, los cuales existe un riesgo de ser r obados.

Coordinador de Admisión Inducción y Certificación, Certificación, Agentes Externos

Coordinador de Logística y Mantenimiento

El servicio de internet es un activo importante en la empresa, si este servicio cae los procesos internos se verán afectados considerablemente. Replicación Replicación de Código Fuente por Parte de Agentes Externos Manipulación Manipulación de Información Información por parte de Agentes Externos o Internos a la organización.

Fallas de Seguridad en el Software Fallas en la Escritura del Código Fuente Borrado Accidental de la Información Caída de Disponibilidad de Servicio de TI

Errores no previstos en la etapa de pruebas que se muestra en la etapa de ejecución del SW. Posibles errores en la etapa de la programación de módulos del software. Borrado de Información no Previsto por el Agente Generador Los servicios de TI son tercerizados tercerizados y no se tienen un control interno por parte de la empresa

económica

Clientes

Reclamos y quejas Quejas y reclamos Candidatos Denuncias legales

Los equipos informáticos como PC, servidor, equipos de sonido, etc están en riesgo de fallos inminentes.

Robo de Información

y conocimiento por parte de las personas que inscriben a los clientes. Desconocimiento de coordinadores de ventas.

Coordinador de TI

Boicot por parte del personal interno de la empresa

- Fallas en el servicio externo - Pago del servicio fuera de la fecha indicada. Falta de medidas de seguridad en el espacio físico de la empresa. - Mal manejo de los equipos por parte de los trabajadores de la empresa. - Falta de mantenimiento de los equipos. - Fallas en el servicio externo - Pago del servicio fuera de la fecha indicada. Mala Administración Administración de Accesos Mala Administración Administración de Accesos Controles deficientes Falta de Experiencia de Programadores Programadores

Agente Externo de TI

Descuido de la persona que maneja la Información Fallas en el servicio externo de TI

Clientes insatisfechos Pérdida económica Mala imagen de la empresa Pérdidas Económicas

Pérdidas Económicas

Perdidas Económicas

Información Académica

Computadoras Servidores Espacio Físico Clientes Computadoras Servidores Espacio Físico Clientes Computadoras Servidores

Pérdidas Económicas

Computadoras Servidores Espacio Físico Clientes

Pérdida Económica

Clientes SI SISCERT Computadoras Servidores Clientes SISCERT Clientes Internos SISCERT

Pérdida Económica

Ingresos no Autorizados al Software. Errores Registro de Datos Pérdida Económica Servicio de TI inactivo Pérdidas

SISCERT

SISCERT

SISCERT Emailing Aula Virtual

6.3- Análisis de Riesgos Una vez identificados todos los riesgos de la organización, lo que se busca es calificar cada uno de ellos otorgándoles una ponderación para determinar su gravedad, definiendo la frecuencia si es alta o baja, si su impacto es leve o grave etc. allí se plasmaran los criterios de calificación con que la empresa contara para establecer los riesgos que están dispuestos a asumir y cuáles no.

TABLA DE FRECUENCIAS DE LOS RIESGOS CALIFICACIÓN DE FRECUENCIA FRECUENCIA DESCRIPCION BAJA 1 evento en un año o menos MEDIA Entre 2 a 5 eventos en un año ALTA Entre 6 a 10 eventos en un año MUY ALTA Más de 10 eventos en un año

VALOR 1 2 3 4

TABLA DE CALIFICACION DEL IMPACTO VALOR

IMPACTO

ECONOMICO

TECNOLOGICO

CLIENTE

1

LEVE

Pérdidas hasta por 1000 soles

Sin pérdida de datos o daño en la plataforma tecnológica

Pérdida de Clientes en un 2 % en relación al año anterior y/o insatisfacción del cliente Pérdida de Clientes en un 3 % respecto al año anterior y/o insatisfacción del cliente Pérdida de Clientes en un 10% respecto al año anterior e insatisfacción del cliente

2

MODERADO

3

SEVERO

Pérdidas hasta por 2000 soles Pérdidas hasta por 5000 soles

4

CATASTROFICO

Pérdidas hasta por 10000 soles

Datos recuperables o daños moderados sobre la plataforma tecnológica Pérdida parcial de datos y/o daños severos sobre los sistemas tecnológicos que soportan los procesos de la organización Pérdida total de datos y/o daños catastróficos sobre la plataforma tecnológica

Pérdida de Clientes en un 15% respecto al año anterior y/o insatisfacción del cliente

Fuente: adaptada de: ACOSTA, Cruz. Cristian Adolfo. Implementación del método Risicar para la administración de riesgos en una empresa pequeña de la ciudad de Bogotá.

Con base en la ubicación que posea cada riesgo, se definirá la gravedad y las medidas de tratamiento correspondientes, es decir, se determinara la clasificación de los riesgos según su aceptabilidad y se catalogaran en aceptables, tolerables, graves e inaceptables y con base en ellos se establecerán las medidas correspondientes. Con los valores anteriores se tienen tienen los valores de la magnitud del impacto impacto con la frecuencia o magnitud del daño aplicamos la siguiente formula que cuantifica el riesgo RIESGO = FRECUENCIA x IMPACTO IMPACTO

AI

MUY ALTA (4) ALTA (3) U

E

N

C

MEDIA (2) E

C F

R

BAJA (1)

Tolerable 4 Tolerable 3 Aceptable 2 Aceptable 1 LEVE (1)

Grave 8 Tolerable 6 Tolerable 4 Aceptable 2

Inaceptable 12 Grave 9 Tolerable 6 Tolerable 3

Inaceptable 16 Inaceptable 12 Grave 8 Tolerable 4

MODERADO (2) SEVERO (3) CATASTROFICO(4) IMPACTO Fuente: Elaboración Propia – Matriz Matriz de Riesgos en la l a Seguridad de la Información

INTERPRETACION

COLOR

Riesgo Inaceptable

CONTROLES

Eliminar la actividad, prevenir el riesgo, proteger la empresa o transferir el riesgo Prevenir el riesgo y/o transferir el riesgo Transferir el riesgo Aceptar el riesgo

Riesgo Grave Riesgo Tolerable Riesgo Aceptable

6.4- Evaluación y Tratamiento de Riesgos

n

ai c

p

ói

n

ot c

Proceso

Riesgo

a u mI F

Diseño y Desarrollo de Competencias Laborales

Gestión Comercial y Ventas Admisión, Inducción y Certificación

Logística y Mantenimiento

Tecnologías de Información

a

e er

Gestión Estratégica

c c ci

Evaluación

Controles

8

Grave

Implementar controles de acceso más seguros a los activos que posean información estratégica y financiera

fi l a C

Filtración de información información sensible y estratégica de la organización.

2

4

Filtración de Información

2

3

6

Tolerable

Filtración de los datos personales de candidatos.

2

3

6

Tolerable

Mala inscripción de candidatos

3

2

6

Tolerable

Falta de información sobre la protección de los datos personales de los clientes

2

2

4

Tolerable

Encriptación Encriptación de información sensible de clientes

2

2

4

Tolerable

Realización y desarrollo de sistema de información académica de los alumnos.

Caída de servicio eléctrico

2

3

6

Tolerable

Servicio de sistema de motor de electricidad electricidad alterna en la empresa.

Robo de Equipos Extraíbles de a Empresa

1

3

3

Tolerable

Fallas en los equipos informáticos

2

1

2

Aceptable

Medidas de Seguridad de acceso físico a la parte interna de la empresa en donde se encuentran los activos más sensibles de. Plan de mantenimiento de equipos informáticos.

Caída de Servicio de Internet

2

3

6

Tolerable

Filtración de Código Fuente Robo de Información

2

4

8

Grave

2

4

8

Grave

Fallas de Seguridad en el Software

2

4

8

Grave

Filtración de Información Académica

Ordenar y realizar backups de la información reutilizable de la información de los cursos y diplomados en la empresa. Implementar respaldos respaldos en la nube o discos externos que guarden la información de los datos de los clientes. Brindar asesoramiento a coordinadores coordinadores de ventas.

Servicio alterno de servicio de internet. Tener en cuenta Cronograma de pagos del servicio. Backups semanales de código fuente de los sistemas de la empresa. Backups de información sensible de la empresa. Métodos de acceso mas seguros en acceso a los sistemas de información y a los servidores externos de la empresa.

Fallas en la Escritura del Código Fuente

2

6

6

Tolerable

Borrado Accidental de la Información

3

3

9

Grave

Caída de Disponibilidad de Servicio de TI

3

3

9

Grave

Mejorar capacitaciones capacitaciones y selección de personal de desarrollo de software. Uso de metodologías de desarrollo de software. Backups de Información sensible. Servicio alterno de servidores para respaldos de información. información. Aumentar almacenamiento de servidores de acuerdo al aumento de clientes y crecimiento de la empresa.

Fuente: adaptada de: ACOSTA, Cruz. Cristian Adolfo. Implementación del método Risicar para la administración de riesgos en una empresa pequeña de la ciudad de Bogotá.

7- Ley de Protección de Datos Personales 7.1-Datos Personales: - Según la Ley de Protección de Datos Personales, se define como dato personal toda información sobre una persona natural que la identifica o la hace identificable a través de medios que pueden ser razonablemente utilizados.

7.2-Aplicación de la Ley: En Gica Virtual los datos personales de los candidatos son un flujo de información que posee la empresa para realizar la segmentación y la realización del marketing por contenidos. Los potenciales clientes y candidatos a certificarse han ido en aumento con el transcurrir de los años debido a la demanda y competitividad laboral en el mercado. Es por ello que la empresa se encuentra obligada a cumplir la Ley Nº 29733 la cual fue promulgada en el año 2011 y entró en vigencia el 7 de Mayo del año 2015. Esta ley se centra en 3 puntos importantes que toda empresa debe cumplir, los cuales son: 

En primer lugar, toda empresa debe obtener el consentimiento y aceptación por parte par te de los clientes externos e internos, proveedores, administrativos, etc. De gestionar sus datos personales de manera que la persona que brinda sus datos (generalmente los clientes externos) sepa qué es lo que se hará con su información personal. En Gica Virtual los datos personales son recopilados mediante links de registro y de clases demostrativas las cuales se les pide a los interesados ingresar su información con el fin de otorgarle contenido de acuerdo a sus intereses, no sin antes pedir el consentimiento respectivo para la gestión de los datos.



Ver Políticas de Privacidad de Datos: http://www.gicaVirtual.com/politicasprivacidad.html

Consentimiento de Protección de Datos Personales – Gica Gica Virtual 



En segundo lugar toda empresa que obtenga los datos personales de personas externas a la empresa, tiene la obligación de informar informar los datos que ha obtenido a al Registro Nacional de Protección de Datos Personales, unidad que depende de la Autoridad Nacional de Protección de Datos Personales (ANPDP) del Ministerio de Justicia. Gica Virtual se encuentra en proceso de informar a esta entidad toda la información necesaria. En tercer lugar, la empresa tiene la obligación de interpelar cualquier pedido del cliente que ha brindado sus datos personales a la organización que está gestionando su información. Esto debido a que la Ley establece que el titular de los datos personales puede pedir eliminar, actualizar y agregar su información. Estos derechos se denominan ARCO: acceso, rectificación, r ectificación, cancelación de datos personales, y de oposición al tratamiento de los mismos. De no hacerlo, podrían ser auditadas y sancionadas, no sólo en el ámbito administrativo sino también en el judicial (tanto en el campo civil como penal). La empresa Gica Virtual debe establecer una política ARCO las cuales deben ser brindadas a disposición del cliente con el fin de informarles sobre la gestión de sus datos personales dentro de la organización.

Diagnostico Seguridad de La Informacion

Recommend Documents