Casos de estudio PS

PERSPECTIVA DE SEGURIDAD

Juan Carlos Cubillos Pinzón

John Victoria

Esteban vega

1.    Identificar recursos sensibles

Básicamente se debe recomponer toda la estructura del la empresa ya que si se sigue pensando en solucionar la seguridad de a pocos es muy difícil que se tomen decisiones verdaderas y claras, por lo anterior se identifica en el problema:

Integridad. Es necesario asegurar que los datos no sufran cambios no autorizados, la pérdida de integridad puede acabar en fraudes, decisiones erróneas o como paso a otros ataques. El sistema contiene información que debe se protegida de modificaciones imprevistas, no autorizas o accidentales, como información de censo o sistemas de transacciones financieras.

Disponibilidad. La continuidad operativa de la entidad, la pérdida de disponibilidad puede implicar, la pérdida de productividad o de credibilidad de la entidad. El sistema contiene información o proporciona servicios que deben estar disponibles a tiempo para satisfacer requisitos o evitar pérdidas importantes, como sistemas esenciales de seguridad y protección de la vida.   

Confidencialidad. La protección de datos frente a la difusión no autorizada, la pérdida de confidencialidad puede resultar en problemas legales, pérdida del negocio o de credibilidad. El sistema contiene información que necesita protección contra la divulgación no autorizada, como información parcial de informes, información personal o información comercial patentada

2. Definir políticas se seguridad

Para la definición de políticas de seguridad se tendrán en cuenta:

La política: La directriz de alto nivel en la cual se expresan  valores y objetivos de la organización para proporcionar dirección y soporte a la alta gerencia en  los temas relacionados con seguridad informática. 

Estandarización de la solución: Requisitos de obligatorio cumplimiento, que especifican tecnologías y  métodos, para implementar las políticas de seguridad informática expuestas por la alta gerencia,  establecen un marco de acción coordinado que busca alinear los esfuerzos de la organización para  procurar los fundamentos de la seguridad informática.   

Procedimiento: El conjunto de pasos operacionales específicos sugeridos para efectuar  una labor particular, que se puede modificar en respuesta a los cambios en la dinámica del  negocio y la tecnología. P.e Procedimiento para toma de respaldos.   En términos generales, este mecanismo apoya todos los fundamentos de seguridad informática 

3. Identificar las amenazas del sistema (Árbol de ataque) 

4. Diseñar implementación de seguridad

Una vez la política ha sido aprobada formalmente, se pasa a la fase de implementación.

Comunicación: La comunicación de la política es la primera etapa que se realiza en esta fase. La política debe ser inicialmente difundida a los empleados del banco o a quienes sean afectados directamente por la política (contratistas, proveedores, usuarios de cierto servicio, etc.). Esta etapa implica determinar el alcance y el método inicial de distribución de la política. Debe planificarse esta etapa con el fin de determinar los recursos necesarios y el enfoque que debe ser seguido para mejorar la visibilidad de la política.

Cumplimiento: Implementar la política. La etapa de cumplimiento incluye actividades relacionadas con la ejecución de la política. Implica trabajar con otras personas del  banco, directores, jefes de departamentos, directores de grupo (de división o de sección) para interpretar cuál es la mejor manera de implementar la política en diversas situaciones y oficinas; asegurando que la política es entendida por aquellos que requieren implementarla, monitorearla, hacerle seguimiento, reportar regularmente su cumplimiento y medir el impacto inmediato de la política en las actividades operativas. Dentro de estas actividades está la elaboración de informes a la administración del estado de la implementación de la política.

Excepciones: Gestionar las situaciones donde la implementación no es posible Debido a problemas de coordinación, falta de personal y otros requerimientos operacionales, no todas las políticas pueden ser cumplidas de la manera que se pensó al comienzo. Por esto, cuando los casos lo ameriten, es probable que se requieran excepciones a la política para permitir a ciertas oficinas o personas el no cumplimiento de la política. Debe establecerse un proceso para garantizar que las solicitudes de excepciones son registradas, seguidas, evaluadas, enviadas para aprobación o desaprobación, documentadas y vigiladas a través del periodo de tiempo establecido para la excepción. El proceso también debe permitir excepciones permanentes a la política al igual que la no aplicación temporal por circunstancias de corta duración. 

5. Evaluar los riesgos.

Tipo de Riesgo	Factor
Robo de hardware	Alto
Robo de información	Alto
Vandalismo     Medio	Medio
Fallas en los equipos	Medio
Virus Informáticos	Medio
Equivocaciones	Medio
Accesos no autorizados	Medio
Fraude	Bajo
Fuego	Muy Bajo
Terremotos	Muy Bajo