1. 2. 3. 4.
Nombre del aprendiz: EDGAR FRANCISCO GAITAN MARTINEZ Número de identificación: 79.147.352 Nombre del Tutor: JUAN FERNADO HURTADO RIVERA Ciudad y Fecha: Bogotá D.C., 7 de junio de 2016
Una vez tenga diligenciada la plantilla con el ejemplo presentado, tome una empresa como referente y estudie la situación actual de la organización haciendo un análisis objetivo donde exponga un plan de mejora enfatizando en aquellos dominios que considere son claves y redundan en el cumplimiento de sus tareas como administrador de bases de datos.
“Plásticos Calidad ” es una empresa ubicada en la ciudad de Bogotá, D. C., dedicada a la elaboración de productos plásticos cuya actividad principal es la elaboración y comercialización de bolsas plásticas y empaques tetra pack para diferentes productos, considerada entre las empresas de tamaño mediado por tener un total del 150 empleados entre operarios y administrativos.
Con el fin de mejorar las prácticas de seguridad de la información de la empresa “Plásticos Calidad ” se evalúa la situación actual de dicha empresa encontrando algunas deficiencias en este ámbito, por lo cual se elaboran diferentes propuestas de mejoramiento encaminadas a estandarizar y corregir las falencias detectadas teniendo en cuenta la norma ISO 27002.
Al evaluar evaluar la situación situación actual actual de la empresa “Plásticos “Plásticos Calidad” se evidencian evidencian algunas falencias en las políticas de seguridad de la información que conllevan a crear 5 propuestas de mejora sobre los dominios claves para la administración de información
en dicha empresa. Los dominios relacionados con las propuestas hechas son los siguiente: Dominios Propuesta 1 Propuesta 2 Propuesta 3 Propuesta 4 Propuesta 5
Política de Seguridad Clasificación y Control de Activos Activos Seguridad Física y del Entorno Gestión de Comunicaciones y Operaciones Control de Accesos
Nota: Para la presentación de las propuestas se ha utilizado el formato de la Universidad de la Coruña sugerido por el tutor.
Dominio
Política de seguridad
Este plan de mejora se desarrolla teniendo en cuenta que actualmente la empresa presenta falencias evidenciadas en el desconocimiento por parte de sus empleados de las políticas de seguridad de la información existentes en la compañía y que actualmente no se encuentran divulgadas correctamente a los empleados. Denominación de la propuesta de Desarrollo de actividades para dar a conocer la política mejora de seguridad de la información Punto débil detectado Al ingresar un nuevo empleado no se capacita adecuadamente sobre el cumplimiento de las políticas de seguridad Los empleados y servicios tercerizados que acceden a la información no firman ningún acuerdo de confidencialidad Falta de difusión de las políticas establecidas en toda la organización Falta de compromiso en la aplicación de las políticas de seguridad Ámbito de aplicación X Gestión de procesos X Recursos X Información, comunicación, participación Responsable de su aplicación Recursos Humanos Planificación de la acción Objetivos específicos de la acción Incluir un procedimiento de capacitación para nuevos empleados sobre las políticas de seguridad de la información
Denominación de la propuesta de Desarrollo de actividades para dar a conocer la política mejora de seguridad de la información Realizar el proceso para la creación del documento “Acuerdo de Confidencialidad” de acuerdo a la ley Desarrollar herramientas que permitan difundir las políticas de seguridad a todos los miembros de la organización Publicar las actualizaciones de las políticas de seguridad Implantación de acciones de mejora Actuaciones a desarrollar Revisión y modificación del procedimiento establecido para la inducción del nuevo personal Gestionar la creación del documento de “Acuerdo de Confiabilidad” y la firma de todos los empleados Creación de cartilla con las políticas de seguridad Establecer cronograma de capacitación sobre las políticas de seguridad, para las diferentes áreas de la organización Enviar correos informativos cuando surjan actualizaciones de las políticas (Actualización de la cartilla) Desarrollo de propuesta para la creación de un video institucional en el que se hable y resalte la importancia del cumplimiento de las políticas de seguridad establecidas. Evaluación de la efectividad de las medidas tomadas Periodo de ejecución previsto 6 meses Recursos, financiación necesaria Gastos 500.000 (Cartillas, Instructivos, Documentos, etc) Horas extras N/A Indicadores de ejecución acción Evaluaciones de seguimiento Responsable de su seguimiento Recursos humanos, jefe del área se sistemas Nivel de cumplimiento de la acción Total Resultados obtenidos/Acción Análisis de las evaluaciones de seguimiento Grado de satisfacción Alto Observaciones N/A
Dominio
Clasificación y control de activos
Este plan de mejora se desarrolla teniendo en cuenta que actualmente la empresa no cuenta con ningún sistema de gestión de inventarios actualizado y por tal motivo no se realiza un uso adecuado de los activos de la empresa.
Denominación de la propuesta de mejora Actualización de inventarios Punto débil detectado Existe un registro de los activos de la empresa, pero este no se encuentra actualizado El inventario de activos no contempla los recursos informáticos ni los de software No se cuenta con una rotulación estandarizada No se realiza una asignación oficial de equipos No se realiza una entrega oficial de equipos Ámbito de aplicación X Gestión de procesos X Recursos X Información, comunicación, participación Responsable de su aplicación Jefe del área se sistemas, Jefe del área de almacén Planificación de la acción Objetivos específicos de la acción Actualización del inventario Estandarización de la rotulación de equipos Creación de formato de responsabilidad de equipos Creación de formato de entrega de equipos Actuaciones a desarrollar Elaborar un rotulo estándar para los equipos Elaborar un inventario de activos de información
Periodo de ejecución previsto Recursos, financiación necesaria Indicadores de ejecución acción Responsable de su seguimiento Nivel de cumplimiento de la acción Resultados obtenidos/Acción Grado de satisfacción Observaciones
Crear formato de responsabilidad de equipos Crear formato de devolución de equipos Realizar actualización del inventario 3 meses Lectora de código de barras $200.000 Rotulación (stiker) $100.000 Inventario general acorde a inventarios equipos en uso y en bodega Jefe del área se sistemas, Jefe del área de almacén Total Conocimiento total de activos y recursos Alto N/A
Dominio
Seguridad
física y del entorno
Este plan de mejora se desarrolla teniendo en cuenta que actualmente la empresa cuenta con un control de acceso a sus instalaciones que no garantiza la seguridad de la información y recursos y que debe ser modificado en su totalidad para garantizar el uso adecuado de los mismos por el personal autorizado. Denominación de la propuesta de mejora Aumento de la seguridad física física de las oficinas administrativas Punto débil detectado La seguridad de acceso existente de las oficinas administrativas puede ser violada con facilidad Falta de mantenimiento a las tomas eléctricas Falta de conciencia de los usuarias frente al reporte de riesgos reales o potenciales sobre el cableado, equipos de cómputo o de comunicaciones Falta de conocimiento de los usuarios sobre la responsabilidad que tienen de proteger las unidades de almacenamiento que se encuentren bajo su cargo Ámbito de aplicación Gestión de procesos X Recursos X Información, comunicación, participación Responsable de su aplicación Gerencia Planificación de la acción Objetivos específicos de la acción
Actuaciones a desarrollar
Aumentar la seguridad de acceso a las oficinas administrativas Revisión de todas las tomas eléctricas a las que están conectados equipos por parte de personal capacitado Cambio de las tomas t omas eléctricas defectuosas Aumentar la conciencia de responsabilidad de los usuarios frente a sus equipos y áreas de trabajo Cambiar puertas Establecer controles de acceso mediante carnets o registro biométrico Realizar mantenimiento de tomas eléctricas
Periodo de ejecución previsto Recursos, financiación necesaria
Indicadores de ejecución acción Responsable de su seguimiento Nivel de cumplimiento de la acción Resultados obtenidos/Acción Grado de satisfacción Observaciones
Dominio
Solicitar capacitación a la ARL sobre el papel del usuario en la construcción de áreas seguras de trabajo Realizar campaña de buenas prácticas para mantener el área de trabajo limpia 6 meses Cambios físicos en las $5.000.000 instalaciones Mejoramiento de la $2.000.000 infraestructura eléctrica Mano de obra $3.000.000 Carnetizacion empleados $4.000.000 Controles acceso óptimos Gerencia – Area de Seguridad y Sistemas Total Acceso a personal autorizado carnetizacion de los mismo Alto N/A
Gestión de comunicación y operaciones
Este plan de mejora se desarrolla teniendo en cuenta que actualmente la empresa no cuenta con un control de los manuales de procedimientos. Denominación de la propuesta de mejora Manejo adecuado adecuado de recursos y procedimientos para la gestión de la información Punto débil detectado Operación incorrecta de recursos de tratamiento de la información Procedimientos de seguridad de la información desactualizados Detección de software malicioso en algunos dispositivos Deficiencia en administración de copias de seguridad de los equipos y dispositivos Ámbito de aplicación X Gestión de procesos X Recursos X Información, comunicación, participación Responsable de su aplicación Área de Sistemas Planificación de la acción
Objetivos específicos de la acción
Mejorar la operación de los recursos de tratamiento de la información Actualizar los procedimientos de seguridad de la información de acuerdo a las normas establecidas nacional e internacionalmente internacionalmente Revisión y actualización de software para detección de aplicaciones aplicaciones maliciosas Creación y ejecución de plan de manejo de copias de seguridad de los equipos y dispositivos con información crítica para la empresa
Actuaciones a desarrollar
Actualización de manuales y procedimientos que garanticen la seguridad de la información Programación de actualizaciones en línea de software para detección de vulnerabilidades en la red Establecer cronograma para crear copias de seguridad de equipos con información crítica para la estabilidad del negocio
Periodo de ejecución previsto Recursos, financiación necesaria
6 Meses Software( antivirus, $2.000.000 limpieza) Cintas y discos para copias $5.000.000 de seguridad
Indicadores de ejecución acción Responsable de su seguimiento Nivel de cumplimiento de la acción Resultados obtenidos/Acción
Grado de satisfacción Observaciones
Dominio
Área de Sistemas Total Obtención de un nivel apropiado de seguridad de la información minimizando el riesgo de fallos en los sistemas Alto N/A
Control de accesos
Este plan de mejora se desarrolla teniendo en cuenta que actualmente la empresa no cuenta con un control de acceso a las aplicaciones y equipos adecuado, ya que los privilegios de usuario no se encuentran bien definidos, y por tanto puede existir fuga de información de vital importancia.
Denominación de la propuesta de mejora Control de accesos accesos y aplicaciones Punto débil detectado No existen privilegios de acceso a equipos y aplicaciones definidos según el rol de cada empleado Los usuarios no aplican la política de escritorios y pantallas limpias El directorio activo de la empresa no se actualiza de acuerdo a los ingresos o salida de los empleados No existe una política de seguridad de contraseñas, que garantice el uso adecuado de recursos Ámbito de aplicación X Gestión de procesos X Recursos Información, comunicación, participación Responsable de su aplicación Área de Sistemas Planificación de la acción Objetivos específicos de la acción Establecer un control de privilegios basados en el rol que desempeña cada empleado y las aplicaciones que utiliza para cumplir sus funciones Realizar campañas periódicas de limpieza de escritorios en los equipos de cada usuario Revisión y actualización del directorio activo Crear una política de seguridad de contraseñas para compartir los dispositivos en la red de la compañía Actuaciones a desarrollar
Periodo de ejecución previsto Recursos, financiación necesaria Indicadores de ejecución acción Responsable de su seguimiento Nivel de cumplimiento de la acción
Creación de un documento en línea que registre el control de acceso y privilegios de los empleados Programación en línea de limpieza de escritorios periódicamente Creación de identificadores de usuario (ID) únicos y personalizados Actualización del directorio activo 3 Meses N/A Revisión de periódica de usuarios, permisos y recursos utilizados Área de Sistemas Total
Resultados obtenidos/Acción Grado de satisfacción Observaciones
Uso adecuado de la infraestructura tecnológica por parte de los usuarios Alto N/A
La norma ISO 27002 establece las pautas estandarizadas que toda organización debe seguir para garantizar la seguridad de su información y el uso adecuado de recursos. Los diferentes planes de mejora propuestos se realizaron teniendo en cuenta la situación actual de la empresa “ Plásticos Calidad ” y tienen como objetivo principal optimizar las tareas y funciones de los empleados en pro de garantizar el uso adecuado de la información y la seguridad de la misma. Las políticas y estándares de seguridad informática establecen una cultura de calidad al interior de las empresas que garantizan la operación adecuada de las mismas.
El portal de ISO 27002. (s.f.). Recuperado el 07 de 06 de 2016, de http://www.iso27000.es/iso27002.html Intenalco. (s.f.). Manual de políticas y estándares en seguridad informática . Recuperado el 07 de 06 de 2016, de http://www.intenalco.edu.co/ http://www.intenalco.edu.co/MP_V01.pdf MP_V01.pdf Universidad de la Coruña. (s.f.). Anexo 1 Plan de mejora. Recuperado el 07 de 06 de 2016, de https://www.udc.es/export/sites/udc https://www.udc.es/export/sites/udc/utc/_galeria_do /utc/_galeria_down/servizos/organizac wn/servizos/organizacion_academica/au ion_academica/autt oavaliacion_anexo1_terceiro_ciclo.pdf
