6.1
Introducción
En este apartado se recopila la información relevante de este Plan Director de Seguridad para su presentación.
6.2
Objetivos
El objetivo principal de este apartado es la inclusión de la documentación dirigida, por una parte, a la Dirección de la empresa y por otra al personal involucrado en la gestión de la Seguridad de la Información para la comprensión del Plan Director de seguridad.
6.3
Entregables
La documentación que se entrega en este apartado es la que sigue:
• Resumen ejecutivo en PowerPoint con principales conclusiones del Plan Director de Seguridad.
• Presentación del proyecto en PowerPoint con resumen de las distintas fases del Plan Director de Seguridad
7
Conclusiones
7.1
Introducción
Tras haber realizado con éxito todas las fases anteriores, se puede concluir que se han cumplido los objetivos propuestos al inicio de este proyecto, es decir, mejorar la seguridad de la información de la organización gracias a la implementación de un Plan de Seguridad.
7.2
Objetivos conseguidos
• Se ha establecido el estado inicial de la seguridad de la información de la organización, así como los objetivos a alcanzar tras la implantación del SGSI.
• Se ha definido y desarrollado el esquema documental necesario para el cumplimiento normativo de la ISO 27001:2013.
• Se ha realizado el análisis de riesgos de la organización del que se ha obtenido la lista de todos los activos de la empresa, las amenazas posibles a las que está expuesta la organización así el impacto y el riesgo de todos los activos de la empresa que ha permitido identificar los activos más prioritarios en cuanto a seguridad de la información.
• Se han definido y completado con éxito una serie de proyectos para mejorar la seguridad de la información de la organización, teniendo en cuenta al análisis de riesgos obtenido.
• Se ha evaluado el nivel de madurez de la seguridad de la información de la organización respecto a la norma ISO 27002:2013.
• Se ha conseguido reducir el riesgo de los activos de la organización.
• Tras la realización de todas las fases, se ha conseguido mejorar significativamente el estado inicial de la seguridad de la información de la organización.
• Se ha logrado la concienciación y colaboración de los empleados en materia de seguridad de la información.
• Existe el compromiso de revisar y mejorar el estado de la seguridad de la información de la organización de manera periódica.
7.3
Futuribles
• Se deben implantar las mejoras propuestas en la fase de auditoría de cumplimiento.
• Una vez implantadas las mejoras propuestas se deberá intentar conseguir la certificación ISO 27001:2013 como se planteó al inicio del proyecto.
• Se debe seguir trabajando en la mejora del estado de la seguridad de la información de la organización con el objetivo de alcanzar el estado óptimo. Para ello, se deberán plantear nuevos proyectos para mejorar los controles que están menos maduros.
• Como se ha establecido en el Plan de Seguridad, se deben realizar revisiones periódicas al sistema de seguridad de la información de la organización.
• Como se ha establecido en el Plan de Seguridad, se deben realizar auditorías periódicas al sistema de seguridad de la información de la organización.
8
Glosario
Acción correctiva: Acción para eliminar la causa de una no conformidad y prevenir su repetición. Va más allá de la simple corrección.
Activo: Cualquier información o elemento relacionado con el tratamiento de la misma (sistemas, soportes, edificios, personas...) que tenga valor para la organización.
Alcance: Ámbito de la organización que queda sometido al SGSI.
Amenaza: Causa potencial de un incidente no deseado, que puede provocar daños a un sistema o a la organización.
Análisis de riesgos: Proceso para comprender la naturaleza del riesgo y determinar el nivel de riesgo.
Auditor: Persona encargada de verificar, de manera independiente, el cumplimiento de unos determinados requisitos.
Auditoría: Proceso sistemático, independiente y documentado para obtener evidencias de auditoría y evaluarlas objetivamente para determinar el grado en el que se cumplen los criterios de auditoría.
Autenticación: Provisión de una garantía de que una característica afirmada por una entidad es correcta.
Confidencialidad: Propiedad de la información de no ponerse a disposición o ser revelada a individuos, entidades o procesos no autorizados.
Control: Las políticas, los procedimientos, las prácticas y las estructuras organizativas concebidas para mantener los riesgos de seguridad de la información por debajo del nivel de riesgo asumido.
Declaración de aplicabilidad: Documento que enumera los controles aplicados por el SGSI de la organización y su justificación, así como la justificación de las exclusiones de controles.
Desastre: Cualquier evento accidental, natural o malintencionado que interrumpe las operaciones o servicios habituales de una organización durante el tiempo suficiente como para verse la misma afectada de manera significativa.
Directriz: Una descripción que clarifica qué debería ser hecho y cómo, con el propósito de alcanzar los objetivos establecidos en las políticas.
Disponibilidad: Propiedad de la información de estar accesible y utilizable cuando lo requiera una entidad autorizada.
Evidencia: Información, registro o declaración de hechos, cualitativa o cuantitativa, verificable y basada en observación, medida o test, sobre aspectos relacionados con la confidencialidad, integridad o disponibilidad de un proceso o servicio o con la existencia e implementación de un elemento del sistema de gestión de seguridad de la información
Impacto: El coste para la empresa de un incidente, que puede o no ser medido en términos estrictamente financieros.
Incidente: Evento único o serie de eventos de seguridad de la información inesperados o no deseados que poseen una probabilidad significativa de comprometer las operaciones del negocio y amenazar la seguridad de la información.
ISO/IEC 27000: Revisión de los estándares de la serie 27000.
ISO/IEC 27001: Especificaciones para la implantación de un Sistema de Gestión de la Seguridad de la Información (SGSI).
ISO/IEC 27002: Código de buenas prácticas en la gestión de la seguridad de la información.
Integridad: Propiedad de la información relativa a su exactitud y completitud.
Inventario de activos: Lista de todos aquellos recursos (físicos, de información, software, documentos, servicios, personas, intangibles, etc.) dentro del alcance del SGSI, que tengan valor para la organización y necesiten ser protegidos de potenciales riesgos. MAGERIT: Metodología de Análisis y Gestión de Riesgos de los sistemas de información elaborada por el Consejo Superior de Administración Electrónica.
PDCA (plan-do-check-act): Método de mejora continua de la calidad. También conocido como ciclo Deming.
No repudio: Servicio de seguridad que previene que un emisor niegue haber remitido un mensaje (cuando realmente lo ha emitido) y que un receptor niegue su recepción (cuando realmente lo ha recibido).
Objetivo: Declaración del resultado o fin que se desea lograr mediante la implementación de procedimientos de control en una actividad determinada.
Plan de continuidad de negocio: Plan orientado a permitir la continuación de las principales funciones del negocio en el caso de un evento imprevisto que las ponga en peligro.
Proceso: Conjunto de actividades que transforman unas entradas en salidas.
Riesgo: Posibilidad de que una amenaza concreta pueda explotar una vulnerabilidad para causar una pérdida o daño en un activo de información.
Riesgo residual: El riesgo que permanece tras el tratamiento del riesgo.
Salvaguarda: Mecanismo de protección frente a las amenazas. Existen diferentes tipos dependiendo si se desea prevenir o corregir un incidente.
Segregación de tareas: Reparto de tareas sensibles entre distintos empleados para reducir el riesgo de un mal uso de los sistemas e informaciones deliberado o por negligencia.
Seguridad de la información: Preservación de la confidencialidad, integridad y disponibilidad de la información.
Selección de controles: Proceso de elección de los controles que aseguren la reducción de los riesgos a un nivel aceptable
SGSI: Sistema de Gestión de Seguridad de la Información. Conjunto de elementos que utiliza una organización para establecer una política y unos objetivos de seguridad de la información y alcanzar dichos objetivos, basándose en un enfoque de gestión del riesgo y de mejora continua.
Tratamiento de riesgos: Proceso de modificar el riesgo, mediante la implementación de controles.
Trazabilidad: Cualidad que permite que todas las acciones realizadas sobre la información o un sistema de tratamiento de la información sean asociadas de modo inequívoco a un individuo o entidad.
Vulnerabilidad: Debilidad de un activo o control que puede ser explotada por una amenaza
9
Bibliografía
• https://www.incibe.es/protege-tu-empresa/que-te-interesa/plan-director- seguridad • http://www.interior.gob.es/web/servicios-al-ciudadano/planes-de- prevencion/plan-director-para-la-convivencia-y-mejora-escolar • https://www.secureit.es/procesos-y-gobierno-it/planes-directores/ • http://openaccess.uoc.edu/webapps/o2/handle/10609/48466 • http://noticias.juridicas.com/base_datos/CCAA/ma-l8-2001.html • https://protejete.wordpress.com/gdr_principal/ • http://noticias.juridicas.com/base_datos/Penal/574083-directiva-2016-680-ue- de-27-abr-proteccion-personas-fisicas-respecto-al-tratamiento.html • https://www.welivesecurity.com/la-es/2013/12/12/iso-iec-27002-2013-cambios- dominios-control/ • https://advisera.com/27001academy/es/knowledgebase/diferencias-y- similitudes-entre-iso-27001-e-iso-27002/ • http://www.magazcitum.com.mx/?p=2397#.WTfPyesT7ct • http://secugest.blogspot.com.es/2007/09/diferencias-entre-iso-27001-e-iso- 27002.html • http://www.pmg-ssi.com/2015/08/norma-iso-27001-2013-estructura/ • https://es.slideshare.net/georgepereira01/ntc-isoiec-27001-jorge-h-gaviria-y- shernndra-ocampo • http://ciudadano-mundial.blogspot.com.es/2015/04/iso-27001-2013-espanol- anexoA.html • https://administracionelectronica.gob.es/pae_Home/pae_Documentacion/pae_ Metodolog/pae_Magerit.html• Material de la asignatura Auditoría Técnica
• Material de la asignatura Sistema de gestión de la seguridad