“Fase de análisis para la implementación de un Sis=
tema
de Gestión de Seguridad de la Información (S.G.S.I.) basado en ISO 27001.
Oriented to the
media”
|
1 |
Esteban Fernando Castillo Durán |
|
|
|
|
Maestría
en Ciberseguridad, Universidad Católica de Cuenca, Cuenca, Ecuador. |
||
|
2 |
Fernando
Illescas Peña |
|
|
|
|
Maestría
en Ciberseguridad, Universidad Católica de Cuenca, Cuenca, Ecuador. |
||
|
3 |
Andrés Seb=
astián
Quevedo Sacoto |
|
|
|
|
Maestría en Ciberseguridad, Universi=
dad
Católica de Cuenca, Cuenca, Ecuador. asquevedos@ucacue.edu.ec<=
/span> |
|
|
Artículo de Investigación Científica y Tecnológica Enviado: 16/07/2023 Revisado: 08/08/2023 Aceptado: 05/09/2023 Publicado:13/10/2023 DOI:
https://doi.org/10.33262/concienciadigital.v6i4.1.2725 |
|
|||||
|
<= o:p> <= /p> |
|
|
|||||
|
Cítese: |
Castillo Durán, E. F., Fernando Illescas Peña, F=
.,
& Quevedo Sacoto, A. S. (2023). Fase de
análisis para la implementación de un Sistema de Gestión de Seguridad de =
la
Información (S.G.S.I.) basado en ISO 27001. Orientado a los medios de
comunicación. ConcienciaDigital,
6(4.1), 6-25. https://doi.org/10.33262/concienciadigital.v6i4.1.2725 |
|
|||||
|
|
|
CONCIENCIA DIGITAL, =
es una r=
evista
multidisciplinar, trimestral, que se publicará en
soporte electrónico tiene como misión contribuir a
la formación de profesionales competentes con visión humaníst=
ica
y crítica que sean capaces de exponer sus resultados investigativos y
científicos en la misma medida que se promueva mediante su intervención
cambios positivos en la sociedad. https://concienciadigital.org<=
span
style=3D'mso-bookmark:_Hlk92353975'> |
|
||||
|
|
|
Esta r=
evista
está protegida bajo una licencia Creative Commons Attribution Non Commerc=
ial No
Derivatives 4.0 International. Copia de la licencia: http://=
creativecommons.org/licenses/by-nc-nd/4.0/ |
|
||||
|
S.G.S.I. ISO
27001; Modelo de madurez; Activos de información; Análisis de riesgos. |
|
Resumen Introducción: La falta de un plan de gestión de Seguridad de la Información S.I.=
en
la mayoría de las empresas, sumado al desconocimiento de la importancia q=
ue
tiene una adecuada gestión en seguridad de la información (S.I.) represen=
ta
un problema para las organizaciones. Objetivo: A través de este
estudio ofrecer una guía que permita a la directiva mejorar notablemente =
el
nivel de seguridad que posee la empresa. Metodología: Se ha optado=
por
la utilización de los controles propuestos por el estándar ISO 27001,
adoptando el marco de trabajo propuesto por MAGERIT para el análisis y pa=
ra
los controles basado en MITRE. Resultados: El estudio inicial<=
b> proporcionó
los valores preliminares de la situación actual de la empresa y se pu=
do
deducir que el nivel de madurez en S.I. es deficiente, se detalló en el
informe dirigido a gerencia con las recomendaciones sugeridas para=
la
mitigación de los riesgos derivados del análisis realizado. Conclusión=
. Quedó
evidenciada la necesidad de contar con un plan de gestión de S.l. que
comprenda todas las políticas necesarias para garantizar que el nivel de
madurez de la empresa se ajuste a los estándares establecidos en la ISO
27001. Área de estudio general: Tecnologías de la información. =
Área
de estudio específica: Ciberseguridad. |
|||||
|
Keywords: S.G.S.I. ISO
27001; Maturity Model Information |
=
|
Introduction=
: The lack of an IS Information Security managem=
ent
plan. In the majority of companies, added to the lack =
of
knowledge of the importance of adequate information security management (=
IS),
it represents a problem for organizations. Objective: Through this
study, offer a guide that allows management to significantly improve the
level of security that the company has. Methodology: It has been
decided to use the controls proposed by the ISO 27001 standard, adopting =
the
framework proposed by MAGERIT for the analysis and controls based on MITE=
R. Results:
The initial study provided preliminary values of the current situation of=
the
company with which, we can deduce that the level of maturity in I.S. is
deficient, this was detailed in the report addressed to management along =
with
the suggested recommendations for mitigating the risks. Conclusion=
. The
need to have a I.S. management plan was evident. that
understands all the necessary policies to ensure that the company's matur=
ity
level conforms to the standards established in ISO 27001. |
|||||
El presente documento comprende el estudio realiza=
do
en la empresa “Medio de comunicación de la ciudad de Cuenca” (El nombre =
de
la empresa en la cual se realizó este estudio, ha sido omitido en este
documento por razones de confidencialidad, y será referido de esta manera),=
el cual abarca la fase inicial de planificación para la implementación de un
sistema de gestión de seguridad de la información (S.G.S.I.), y sirve como =
base
a la directiva de la empresa para su posterior implementación, este proceso=
se
ha realizado bajo el estricto cumplimiento de las actividades comprendidas
dentro de la norma ISO 27001 y sus familias derivadas.
La realidad latinoamericana en temas de cibersegur=
idad
refleja un déficit muy alto en comparación con otras regiones a nivel globa=
l,
concretamente en el caso del Ecuador, el tema de los ciberataques es consta=
nte,
tal como se detalla en investigaciones previamente realizadas Agencia AFP
(2019); Ortiz (2021), y de esta premisa nace la necesidad a nivel empresari=
al
de protegerse contra este tipo de amenazas, otra investigación reveló que
aproximadamente en el país se reportan un promedio de 10.000 denuncias de
delitos informáticos anualmente Salcedo (2021).
Según manifiesta
En el artículo de Arévalo et al. (2017), detalla q=
ue
existen varias metodologías que nos permiten realizar la evaluación de ries=
gos,
las cuales pueden ser aplicables, dependiendo de las características que po=
see
cada empresa, y a partir de esta poder realizar todo el proceso del análisi=
s,
la evaluación y posteriormente poder ofrecer los resultados deseados como
producto final, la implementación de un Sistema de Gestión de Seguridad de =
la
Información (SGSI) posee su propio cronograma de actividades y requiere tam=
bién
definir un presupuesto basado en el cálculo de costos de los elementos
necesarios (hardware, software, capacitación, etc) el mismo que forma parte=
de
otro informe técnico.
Los pasos comprendidos en este estudio, fueron
definidos mediante un cronograma desarrollado en un lapso de seis meses,
iniciado en enero de 2023, con el fin de dar cumplimiento a todas las activ=
idades
que se están planificadas, se ha utilizado principalmente le metodología
MAGERIT, ya que como lo señala en su documento Avila-Torres (2021)=
es apropiada para este tipo de estudios.
•&nb=
sp; =
Primer paso.
•&nb=
sp; =
Segundo paso. <=
span
style=3D'mso-bookmark:_Hlk81985521'>En la siguiente fase se procedió =
con
la ejecución de un análisis GAP mediante el cual se define el punto de part=
ida
del proyecto, el mismo que constatará la situación actual de la empresa en
materia de S.I. basado en la metodología MAGERIT v3 (realizado durante febr=
ero
2023).
• =
&nb=
sp;
Tercer paso.
•&nb=
sp; =
Cuarto paso. •&nb=
sp; =
Quinto paso. •&nb=
sp; =
Sexto paso. •&nb=
sp; =
Séptimo paso. <=
span
style=3D'mso-bookmark:_Hlk81985521'>Se revisaron los resultados de los
procesos realizados, con lo cual se tendrá una idea clara de las posibles s=
oluciones
a implementarse (realizado durante junio 2023). •&nb=
sp; =
Octavo paso. •&nb=
sp; =
Noveno y último paso. =
La etapa final consistió en la
elaboración del documento final entregable para la directiva, consta de dos
reportes: el primero es el informe ejecutivo, el cual contiene los resultad=
os
del estudio explicados de una manera fácil de entender para los directivos,
detallando las conclusiones y recomendaciones a implementarse, el segundo
documento es el informe técnico que contiene un registro detallado de todas=
las
actividades desarrolladas, y resultados obtenidos de cada una de las mismas
(realizado en julio 2023). Figura =
1
Delimitando el alcance del proyec=
to
Modelo de madurez inicial
Se planteó realizar un análisis de brechas (Anális=
is
GAP) preliminar que sirvió como punto de partida para todo el proyecto y
posteriormente de acuerdo con el cronograma de actividades definido
previamente, se ejecutaron las tareas correspondientes a los siguientes pas=
os
comprendidos en la fase de planificación de acuerdo a los parámetros
establecidos en la norma ISO 27001.
Se utilizó la matriz planteada en la ISO 27002
conocida también como Anexo A de la ISO 27001, la cual presenta un formular=
io
de preguntas que comprenden los dominios desde el A5 hasta el A18 y sus
respectivos subdominios, comprende: el análisis diferencial, el cuestionario
GAP, los controles, la matriz de responsabilidades; los resultados obtenidos
indican un valor muy bajo, esto era predecible ya que, no existe un estudio
previo, ni políticas o controles establecidos en la mayoría de los dominios
analizados, la Figura siguiente refleja gráficamente los resultados obtenid=
os.
Figura
2
Resultados del modelo=
de
madurez inicial=
Nota: Representación gráf=
ica
de los valores obtenidos al aplicar los controles de la ISO27001.
En
el siguiente paso se realizó una comparación en función del Modelo de Madur=
ez
de la Capacidad de Ciberseguridad (CMM), el cual según indica
1.&n=
bsp;
Inicial. En la cual no existen ni contro=
les,
ni políticas.
2.&n=
bsp;
Formativa. Los controles o políticas son m=
uy
básicos o no se encuentran claramente detallados.
3.&n=
bsp;
Consolidada. Los controles y las políticas se
encuentran definidos e implementados.
4.&n=
bsp;
Estratégica. Refleja la toma de decisiones de
los indicadores considerados clave para la empresa y su evolución.
5.&n=
bsp;
Dinámica. Existen políticas y procedimien=
tos
para alterar las estrategias a seguir dependiendo de las capacidades y los
intereses de la empresa, la toma de decisiones y asignación de recursos son
clave en esta etapa.
Escenario
actual versus escenario deseado
De
acuerdo a esta escala de valores, podemos determinar que la empresa se encu=
entra
en un punto entre la etapa 1 y la etapa 2 (1.8), ya que, en algunos aspecto=
s no
posee madurez de manera generalizada, existen otros en los cuales hay contr=
oles
y procesos con un nivel de cumplimiento, los resultados se muestran en la
siguiente Figura.
Figura =
3
Nivel
de Madurez (actual vs. deseado)
Inventario
de activos de información
La
metodología empleada para la clasificación de los activos fue MAGERIT v3, ya
que con ella se puede clasificar de una manera clara y simplificada los
diferentes tipos de activos de tal manera que la información pueda tabularse
ordenadamente dentro de una matriz, se procedió a llenar la matriz en Excel=
y
se obtuvieron los siguientes resultados:
Tabla 1
Activos de informació=
n de
la empresa
|
Total Activos: |
32 |
|
Total Activos (ALTO): |
13 |
|
Total Activos (MEDIO): |
10 |
|
Total Activos (BAJO): |
9 |
Nota: Total de los activos de información inventariados.=
Selección de los activos críticos
Luego
de obtener la matriz de los activos, procedemos a determinar de entre todos
ellos cuales son considerados activos críticos, se los clasificó utilizando=
la
metodología MAGERIT de la siguiente manera: valores de 0 a 1.9 son consider=
ados
como importancia “BAJO”, valore=
s de 2
a 2.5 su importancia se etiquetó como “MED=
IO”,
y valores de 2.6 a 3 son considerados como “AL=
TO”,
estos valores se encuentran en la columna denominada “Importancia A.I.”
de la matriz general de activos, y se obtuvo una tabla con 13 activos y la
podemos ver a continuación.
Tabla =
2
Activos
críticos
|
=
Activo |
=
Tipo |
|
Centro de Datos |
Instalaciones |
|
Servidor de aplicaciones |
Equipos Informáticos |
|
Servidor Web |
Equipos Informáticos |
|
Servidor de correo Institucional |
Equipos Informáticos |
|
Base de Datos Aplicaciones |
Datos o Información |
|
Base de Datos Suscriptores |
Datos o Información |
|
Firewall |
Redes de Comunicación |
|
Servidor para Pre Prensa |
Equipos Informáticos |
|
Equipo CTP (Copiado Directo a Planch=
a) |
Equipos Informáticos |
|
Sistema de gestión empresarial E.M.<= o:p> |
Aplicaciones de Software |
|
Agencia Centro |
Instalaciones |
|
Agencia El Vergel |
Instalaciones |
|
Agencia El Arenal |
Instalaciones |
|
Total
Activos Críticos: |
=
13 |
|
|
=
4 |
|
|
=
5 |
|
|
=
2 |
|
|
=
1 |
|
|
1 |
Nota: Detalle de activos críticos.
Riesgos
y Amenazas
Partiendo
del hecho que un riesgo es la exposición a una circunstancia adversa que
debemos afrontar, en este caso enfocado a los activos de información de la
empresa; es necesario para este caso de estudio, determinar el grado de
exposición al cual están expuestos los activos analizados de tal manera que
posteriormente se pueda elaborar un plan para su mitigación y de esta manera
protegerlos de una manera más adecuada y se muestran a continuación.
Tabla =
3
Matriz
de identificación de riesgos
|
Causa<=
span
lang=3Des-419 style=3D'font-size:10.0pt;font-family:"Times New Roman",ser=
if;
mso-font-kerning:1.0pt;mso-ligatures:standardcontextual;mso-ansi-language:
#580A'> |
Riesgo o Amenaza |
|
Desastres naturales y/o provocados |
Terremotos, inundaciones, guerras, manifestaciones, pandemias, |
|
Eventos externos a la empresa |
Falla de proveedores de servicios (energía eléctrica, ISP, servici=
os
básicos), falla de proveedores de suministros (materia prima, bobinas, ti=
nta,
planchas, etc.) ataques externos. |
|
Eventos internos |
Problemas técnicos en la infraestructura de la empresa, fallas en =
el
proceso de producción, ataques internos, fallas de seguridad. |
|
Acciones fortuitas y/o deliberadas |
Errores humanos, fallos de hardware, fallos de software, fallos en=
los
equipos de oficina, incendios, |
|
Acciones humanas |
Personal con problemas labora=
les
pueden ocasionar accesos no autorizados, robo de información, fuga de dat=
os. |
Nota: Identificación de riesgos.
Matriz
de probabilidad.
Según
la propuesta de MAGERIT, a continuación, se debe realizar la matriz que per=
mita
identificar la probabilidad que los riesgos puedan ocurrir, para ello se han
detallado 5 niveles que son:
·&nb=
sp;
Improbable: indica una probabilidad casi nu=
la
que un riesgo pueda ocurrir.
·&nb=
sp;
Posible: indica que es muy poco probable=
que
un determinado riesgo pueda ocurrir.
·&nb=
sp;
Ocasional: indica que el riesgo puede
materializarse en cualquier momento.
·&nb=
sp;
Probable: un riesgo tiene una probabilidad
alta que pueda ocurrir.
·&nb=
sp;
Frecuente: el riesgo se presenta con una
frecuencia muy alta.
Tabla =
4
Matriz de valores de probabilidad=
|
Probabilidad |
Valor Asignado |
|
Improbable |
1 |
|
Posible |
2 |
|
Ocasional |
3 |
|
Probable |
4 |
|
Frecuente |
5 |
Nota: Valores asignados en reuniones con la directiva =
de
la empresa.
Matriz
de impacto
De la misma manera que la anterior, esta matriz se
encuentra elaborada en base a la misma metodología MAGERIT, y a diferencia =
de
la anterior, ésta indica el impacto que representa para la empresa si un ri=
esgo
llegara a materializarse, afectando directamente a la continuidad del negoc=
io,
y los niveles especificados son los siguientes:
·
Insignificante<=
span
style=3D'mso-bookmark:_Hlk81985521'>: El impacto de la materializació=
n de
un riesgo no representa problema para la empresa.
·&nb=
sp;
Menor: La ocurrencia de un riesgo
representa un impacto mínimo para la empresa.
·&nb=
sp;
Moderado: Un riesgo materializado represe=
nta
un impacto momentáneo pero considerable para la empresa.
·&nb=
sp;
Mayor: La materialización de un riesgo
representa un impacto alto tanto en la cadena de producción de la empresa, =
lo
cual se deriva en pérdidas económicas importantes.
·&nb=
sp;
Catastrófico
Tabla
5
Matriz
de valores de impacto
|
=
Impacto |
Valor asignado |
|
|
1 |
|
Menor<=
span
lang=3Des-419 style=3D'font-size:10.0pt;font-family:"Times New Roman",ser=
if;
mso-font-kerning:1.0pt;mso-ligatures:standardcontextual;mso-ansi-language:
#580A'> |
2 |
|
|
3 |
|
Mayor<=
span
lang=3Des-419 style=3D'font-size:10.0pt;font-family:"Times New Roman",ser=
if;
mso-font-kerning:1.0pt;mso-ligatures:standardcontextual;mso-ansi-language:
#580A'> |
4 |
|
|
5 |
Nota: Valores asignados en reuniones con la directiva =
de
la empresa.
Riesgo
inherente
Este
concepto hace referencia a todo riesgo que se encuentra intrínsecamente en =
los
procesos y tareas, se encuentra presente cuando no se han tomado las medidas
necesarias que permitan minimizar tanto la probabilidad como el impacto de =
los
riesgos identificados, por tanto no puede ser eliminado, es necesario darle=
un
valor numérico para poder tabular los resultados para el conjunto de valores
definidos tanto para la probabilidad como para el impacto, así pues, para la
probabilidad tenemos la siguiente distribución:
La
matriz para este caso se representa en la siguiente tabla y sus respectivos
valores fueron proporcionados por la directiva, la cual determinó dichos
valores en función de su criterio de acuerdo con la realidad de la empresa:=
Tabla =
6
Matriz
de riesgo inherente
|
Matriz de Riesgos |
||
|
|
|
|
|
1. Desast=
res
Naturales y/o provocados. |
Posible |
Catastróf=
ico |
|
|
Ocasional |
Mayor |
|
3. Eventos internos. |
Posible |
Mayor |
|
|
Ocasional |
Moderado |
|
5. Acciones humanas |
Posible |
=
Mayor |
Nota: Valores asignados en reuniones con la directiva =
de
la empresa.
Los valores del riesgo inherente son el resultado de la multiplicación del valo= r de la probabilidad por el impacto, y quedan definidos de la siguiente manera:<= o:p>
Tabla =
7
Cálculo
del riesgo inherente
|
|
Riesgo Inherente |
|
|
2x5=3D10 |
|
Riesgo 2 |
3x4=3D12 |
|
|
2x4=3D8 |
|
Riesgo 4 |
3x3=3D9 |
|
|
2x4=3D8 |
Nota: Los valores fueron expuestos a la directiva.
A
partir de estos datos, se deriva la matriz comparativa que representa la
relación entre probabilidad e impacto, quedando distribuida de la siguiente
manera en el mapa de calor.
Mapa
de calor
Derivado
de los riesgos inherentes, se presenta a continuación la matriz de calor so=
bre
la cual se analizan los riesgos y su ubicación dentro de la misma, a fin de
comprender mejor cuáles son aquellos sobre los cuales se debe tomar mayor
atención.
Tabla =
8
Mapa
de calor
|
FRECUENCIA |
IMPACTO |
||||
|
Insignificante |
Menor |
Moderado |
Mayor |
Catastrófico |
|
|
Frecuente |
|
|
|
|
|
|
Probable |
|
|
|
|
|
|
Ocasional |
|
|
Riesgo 4. |
Riesgo 2. |
|
|
Posible |
|
|
|
Riesgos 3. =
– 5. |
Riesgo 1. |
|
Improbable |
|
|
|
|
=
|
Nota: Representaci=
ón
gráfica del nivel de criticidad de los riesgos detectados.
Vulnerabilidades
Para
el análisis realizado en este punto, se tomó como base los datos obtenidos =
de
la encuesta realizada al personal de T.I. dentro de la empresa, pertenecien=
te
al departamento de Sistemas, mediante la cual permitió conocer entre otros
datos la manera en que está implementada la red, las versiones de software
instaladas en los activos, tales como servidores, equipos de los diferentes
departamentos, etc. con la finalidad de determinar las vulnerabilidades a l=
as
cuales se encuentran expuestos.
Se procedió a realizar una encuesta el jefe del departamento de sistemas de la empresa, y con la información proporcionada, se llenó la siguiente matriz.<= o:p>
Tabla =
9
Encuesta
al jefe del departamento de sistemas
|
¿Existe un manual de procesos interno en el departamento? |
SI |
NO |
|
¿existe distribución de funciones en el departamento? |
SI |
NO |
|
¿se entregan reportes de actividades a la directiva? |
SI |
NO |
|
¿existe documentación sobre los requerimientos realizados por los o=
tros
departamentos? |
SI |
NO |
|
¿existe un inventario de activos de información? |
SI |
NO |
|
¿está actualizado? (si
existe) |
SI |
NO |
|
¿existen procesos de control de acceso de los usuarios? |
SI |
NO |
|
¿está documentado? (si
existe) |
SI |
NO |
|
¿existen políticas de mantenimiento y control de la infraestructura=
de
red? |
SI |
NO |
|
¿existen políticas de mantenimiento y control de los equipos
informáticos? |
SI |
NO |
|
¿existen revisiones periódicas sobre las versiones de los sistemas =
implementados
en los distintos departamentos de la empresa? |
SI |
NO |
|
¿se realizan copias de seguridad periódicamente de la información
crítica del negocio? |
SI |
NO |
|
¿existen políticas que detallen los procesos de desarrollo de
aplicaciones? |
SI |
NO |
|
El acceso externo (terceros) tanto a la red, como a los sistemas de=
la
empresa, ¿es monitoreado? |
SI |
NO |
|
¿considera que la infraestructura de la empresa está preparada en c=
aso
de que un incidente de ciberseguridad ocurra? |
SI |
NO |
|
¿existe algún plan de contingencia en caso de que un ataque informá=
tico
llegue a afectar la infraestructura de la empresa? |
SI |
NO |
|
¿se encuentran los sistemas informáticos de la empresa preparados p=
ara
implementar los requerimientos detallados en la ley de protección de datos
personales? |
SI |
NO |
Nota: Las preguntas
realizadas, fueron revisadas y aprobadas por la directiva en reunión previa=
.
La
información recopilada permitió determinar las vulnerabilidades, siguiendo =
con
la metodología MAGERIT, pasan a ser catalogadas en tres niveles: Alto, Medi=
o,
Bajo en función de la relevancia que tiene su mitigación para que no afecte=
a
la continuidad del negocio, la siguiente tabla muestra los valores de las
vulnerabilidades detectadas.
Tabla =
10
Vulnerabilidades
encontradas
|
Vulnerabilidad |
Categoría |
|
Inventario de activos de información (A.I.) desactualizado. |
Medio |
|
No existe control de acceso a usuarios. |
Alto=
|
|
Mantenimiento de infraestructura de red tercerizado. |
Medio |
|
No hay monitoreo de actividad de usuarios ni de terceros. |
Alto=
|
|
No se cuenta con plan de contingencia en caso de incidentes |
Alto=
|
|
Servidores con sistemas operativos desactualizados |
Medio |
|
No contar con servicio de ISP de contingencia |
Alto=
|
|
No existen reportes a gerencia, de incidentes o actividades |
Medio |
|
Equipos de usuarios con sistemas operativos y software antiguos |
Medio |
|
No existen políticas de responsabilidad de usuario |
Alto=
|
|
Posible fuga de información |
Alto=
|
|
No existe segmentación de red |
Alto=
|
|
No hay un correcto manejo de credenciales por parte del personal |
Medio |
Nota: Matriz de valores otorgadas a las vulnerabilidad=
es
detectadas.
Plan
de tratamiento de riesgos, orientado a un medio de comunicación
Es
necesario que el proceso se complemente con un plan adecuado que permita el
correcto tratamiento de los riesgos a fin de mitigar el impacto que éstos
producen, de tal manera que el riesgo residual se reduzca drásticamente.
Esta
propuesta de plan se encuentra fundamentada en los controles indicados por =
la
ISO27001 en el Anexo A de la norma, que es sobre la cual se ha trabajado a =
lo
largo de este proyecto, y por lo tanto el cumplimiento obligatorio de la mi=
sma
va de la mano con los objetivos determinados inicialmente, definiendo
claramente los responsables para garantizar el cumplimiento de los mismos, =
toda
esta información se encuentra detallada en la tabla a continuación:
Tabla =
11
Controles
a aplicarse
|
Cláusula |
Controles |
Responsable |
|
A.5.1.1 |
Establecer
políticas para S.I. que regirán en la empresa. |
Gerente
General. |
|
A.5.1.2 |
Revisar las políticas
establecidas |
Gerente General. |
|
A.6.1.3 |
Establecer
reglas de gestión de roles, tareas, comunicación con la directiva |
Jefe Tale=
nto
Humano. |
|
A.7.2.2 |
Realizar programas de
capacitación tanto a personal como contratistas sobre las políticas de S.=
I.
implementadas por la empresa. |
Jefe Talento Humano. |
|
A.7.2.3 |
Socializar
con el personal y contratistas los procesos disciplinarios establecidos p=
or
la empresa, con la finalidad que todos los conozcan perfectamente. |
Gerente
General. |
|
A.8.1.1 |
Actualizar el inventario de A=
.I.
periódicamente o cada vez que se realiza la adquisición de un nuevo activ=
o. |
Jefe Sistemas. |
|
A.8.1.2 |
Documentar
los propietarios de cada activo que conste en el inventario. |
Gerente
Financiero. |
|
A.8.1.3 |
Establecer las reglas de uso =
para
cada uno de los activos, de tal manera que se garantice que los usuarios =
no
den un mal uso a los recursos disponibles en cada activo. |
Gerente Financiero. |
|
A.9.2 |
Definir un
esquema de control de acceso a cada recurso por parte del personal, en el
cual se incluya los permisos que tiene cada uno a los diferentes recursos=
con
los cuales desarrollan sus actividades. |
Jefe
Sistemas. |
|
A.9.3 |
Establecer una regla para la =
que
los usuarios gestionen correctamente sus credenciales de acceso a los
sistemas |
Jefe Sistemas. |
|
A.10.1 |
Definir un
algoritmo de encriptación de datos que sea robusto, así como la custodia =
de
las llaves públicas y privadas generadas para su uso. |
Jefe
Sistemas. |
|
A.11.2.8<= o:p> |
Establecer responsabilidades =
al
personal, sobre la correcta protección de sus equipos al ausentarse o
dejarlos desatendidos. |
Jefe Talento Humano. |
|
A.11.2.9<= o:p> |
Adoptar
políticas de escritorios y pantallas limpias y socializar su importancia =
con
todo el personal. |
Jefe Tale=
nto
Humano. |
|
A.12.4 |
Realizar un control y monitor=
eo
sobre los logs de eventos generados por los sistemas de la empresa con la
finalidad de establecer responsabilidades en caso de incidentes y poder
entregar reportes a la directiva. |
Jefe Sistemas. |
|
A.12.6 |
Documentar
las vulnerabilidades presentadas a partir de los incidentes suscitados, p=
ara
tener una bitácora y poder a partir de estos datos, ejecutar acciones de
mitigación. |
Jefe
Sistemas. |
|
A.12.7 |
Definir un calendario para la
ejecución de las auditorías, preferentemente fuera de horarios laborales a
fin de evitar retrasos en la cadena de producción. |
Jefe Sistemas. |
|
A.13.1.3<= o:p> |
Planifica=
r y
ejecutar un proceso de segregación de redes ya que es muy riesgoso que to=
da
la infraestructura esté expuesta en una sola red global |
Jefe
Sistemas. |
|
A.14.2 |
Definir una política que
garantice el desarrollo seguro de aplicaciones ya sean elaboradas
internamente o tercerizadas, acompañado de cláusulas en los contratos de
adquisición que garanticen el cumplimiento de la gestión de S.I. en su
desarrollo. |
Jefe Sistemas. |
|
A.16.1.1<= o:p> |
Dentro de=
las
políticas de S.I. definidas por la empresa, es necesario detallar el cont=
rol
de los incidentes, definiendo claramente, responsabilidades y acciones
realizadas luego de ocurrido un incidente. |
Gerente
General. |
|
A.17.1.2<= o:p> |
Establecer procedimientos
necesarios para garantizar la continuidad de los procesos en caso de
presentarse un incidente de seguridad poder evaluarlos mediante simulacio=
nes
y verificar su utilidad. |
Jefe Sistemas. |
|
A.18.2 |
Realizar =
una
verificación del cumplimiento de las políticas de S.I. establecidas por la
empresa |
Gerente General. |
Nota: Controles y
responsables de sus ejecuciones fueron revisados por la directiva.
Tiempos
estipulados
En caso de la directiva apruebe la ejecución del p=
lan
propuesto, se debería tomar en cuenta las siguientes consideraciones:
·&nb=
sp; =
En materia de actualización de
equipos, cambio de la arquitectura de red para adoptar la segregación, el
tiempo estipulado entre la solicitud, aprobación, implementación de cambios=
, y
pruebas, no debería superar los tres meses en total.
·&nb=
sp; =
En lo relacionado a la implementa=
ción
de las políticas de seguridad de la información, sí es necesario que, entre=
la
propuesta de las mismas, la aprobación por parte de la directiva, la
socialización, la puesta en marcha, exista un período de al menos seis m=
eses,
luego de lo cual se pueda realizar una primera evaluación.
Riesgo
residual proyectado.
Es
aquel que persiste a pesar de haber elaborado un plan de mitigación de ries=
gos,
sin lugar a duda los valores presentes en el mismo deben reflejar una dismi=
nución
muy significativa o casi total en comparación a los identificados inicialme=
nte
en la matriz de riesgos, el peso inherente ha sido reducido tras la aplicac=
ión
de los controles propuestos en un 25% de su valor original, por tanto, la
matriz a continuación presenta los valores actualizados.
Tabla =
12
Cálculo
del riesgo residual proyectado
|
Riesgo Residual |
|
|
|
1.75x3.75=3D6.56 |
|
Riesgo 2 |
2.25x3=3D6.75 |
|
|
1.75x3=3D5.25 |
|
Riesgo 4 |
2.25x2.25=3D5.06 |
|
|
1.75x3=3D5.25 |
Nota: Cálculo realizado en base a la aplicación de los
controles sobre los valores nulos iniciales.
·&nb=
sp;
Primera. El nivel de madurez de la empresa=
se
encuentra por debajo de lo deseado, hace falta mucho trabajo para colocarla=
en
niveles apropiados que permitan ofrecer parámetros mínimos para garantizar =
un
adecuado manejo en temas de S.I.
·&nb=
sp;
Segunda. La infraestructura de la compañía=
se
encuentra vulnerable a ataques e incidentes ya que presenta equipos y siste=
mas
obsoletos en gran medida.
·&nb=
sp;
Tercera. No existen políticas de control en
múltiples aspectos de la compañía, esto sumado al desconocimiento del perso=
nal
en temas de seguridad de la información, representan un reto muy grande par=
a la
gerencia de la empresa.
·&nb=
sp;
Cuarta. Es necesario realizar una inversi=
ón en
modernizar infraestructura, puede implicar el realizar un estudio económico
preliminar para determinar un orden de prioridades para que el impacto
económico sea manejable para la empresa.
·&nb=
sp;
Quinta. La directiva debe elaborar, apro=
bar
y revisar a detalle un “plan de gestión de seguridad de la información”<=
/b>,
el mismo que debe contener:
Ø&nb=
sp; Las
políticas internas de la empresa.
Ø&nb=
sp; Designar
un oficial de seguridad de la información.
Ø&nb=
sp; Establecer
plan de respuesta a incidentes.
Ø&nb=
sp; Agendar
un ciclo de simulación y pruebas de ataques en un ambiente controlado.
Ø&nb=
sp; Establecer
un cronograma para revisión de cumplimiento, a través de auditorías.
·&nb=
sp;
Agencia AFP (2019). Ecuador denuncia 40 millones de
ciberataques tras retiro de asilo a Assange. El Comercio. https://w=
ww.elcomercio.com/actualidad/seguridad/ecuador-denuncia-millones-ciberataqu=
es-assange.html
Arévalo, F. M., Cedillo, I. P., &
Moscoso, S. A. (2017). Metodología Ágil para la Gestión de Riesgos Informát=
icos
Agile Methodology for Computer Risk Management.=
Revista
Killkana Técnica, 1(2), 31–42.
https://gc.scalahed.com/recursos/=
files/r161r/w25610w/O1TI307_S2_R1.pdf
Ortiz, D. (2021, julio 29). Ecuador está entre los
países con más ciberataques en América Latina. El Comercio. https://w=
ww.elcomercio.com/tendencias/tecnologia/ecuador-ciberataques-america-latina=
-hacker.html
Moran Maldonado, N. M.
(2021). Estado de la ciberseguridad en las empresas del sector público del
Ecuador: una revisión sistemática. Universidad Politécnica Salesiana,
Guayaquil, Ecuador, 1–17. https://n9.cl/gwnhsb=
Revista Seguridad360 (2022). El modelo de madurez =
de
la capacidad de ciberseguridad. Revista Seguridad
360. https://r=
evistaseguridad360.com/noticias/capacidad-de-ciberseguridad/
Salcedo, J. S. (2021). ¿Qué revela el ata=
que
informático a la CNT sobre la seguridad de datos en Ecuador? - Canal News
Ecuador.
<=
span
lang=3DES style=3D'font-size:12.0pt;line-height:150%;font-family:"Times New=
Roman",serif;
mso-fareast-font-family:"Times New Roman";color:black;mso-themecolor:text1;
text-decoration:none;text-underline:none'>MAGERIT V.3 : Metodología de
análisis y Gestión de Riesgos de los sistemas de información. (2012).
https://administracionelectronica.gob.es/pae_Home/pae_Documentacion/pae_Met=
odolog/pae_Magerit.html
Avila Torres,
R. A. (2021). Análisis y evaluación de riesgos: aplicado a EMAPAL-EP, basad=
o en
la metodología de MAGERIT versión 3.0. www.dominiodelasciencias.com. https://doi.org/10.23857/dc.v7i4.2425<=
/span>
El artículo que se
publica es de exclusiva responsabilidad de los autores y no necesariamente
reflejan el pensamiento de la Revi=
sta
Conciencia Digital.
El artículo queda en
propiedad de la revista y, por tanto, su publicación parcial y/o total en o=
tro
medio tiene que ser autorizado por el director de la Revista Conciencia Digital.
www=
.concienciadigital.org