Propuestas de ámbito tecnológico

7. Propuestas de proyecto

Proyecto 05 – Implementación de un plan de gestión de usuarios y permisos OBJETIVO

DIM. DE SEGURIDAD

CONTROLES ISO27002

PLAZO IMPLEMENTACIÓN

Proyecto 06 – Implementación de un plan de instalación de software

DIM. DE SEGURIDAD

CONTROLES ISO27002

PLAZO IMPLEMENTACIÓN

Proyecto 07 – Implementación de protección criptográfica de los datos OBJETIVO

DIM. DE SEGURIDAD

CONTROLES ISO27002

PLAZO IMPLEMENTACIÓN

Proyecto 08 – Mejoría de los controles de seguridad

DIM. DE SEGURIDAD

CONTROLES ISO27002

PLAZO IMPLEMENTACIÓN

Proyecto 09 – Plan de desarrollo de código seguro

DIM. DE SEGURIDAD

CONTROLES ISO27002

PLAZO IMPLEMENTACIÓN

Proyecto 10 – Plan de continuidad de negocio

DIM. DE SEGURIDAD

CONTROLES ISO27002

PLAZO IMPLEMENTACIÓN

Proyecto 11 – Control del estado de los UPS

DIM. DE SEGURIDAD

CONTROLES ISO27002

PLAZO IMPLEMENTACIÓN

7. Propuestas de proyecto

7.2 Propuestas de ámbito tecnológico

Establecer los derechos y permisos de cada usuario del sistema

(consultación y modificación de informaciones, instalación o utilización de software…)

Es necesario documentar los procesos informales que se utilizan para la gestión de usuarios y permisos, comprobar que todos tengan asignados solo los permisos mínimos que le sirven para sus tareas, que no puedan acceder a la información o instalar software sin autorización.

Es consecuentemente necesario establecer en el mismo plan un procedimiento para gestionar los cambios de roles y responsabilidades de los usuarios dentro la empresa, cambios que deben reflejarse en los cambios de autorizaciones.

[E.2] Errores del administrador [E.4] Errores de configuración [E.7] Deficiencias en la organización

Autenticidad, Confidencialidad, Integridad, Trazabilidad

Todos HW, SW, Datos

A.9.1, A.9.2, A.9.3, A.9.4

Responsable IT

Alta

1 mes

1500 € (coste del personal interno) 1000 € (coste del consultor)

10 - Accesos no autorizados 11 - Derechos de acceso

Todos los equipos deben tener solo software autorizado y actualizado.

Se deben establecer y documentar procedimientos y mecanismos de control para que solo los administradores puedan instalar software y lo actualicen, y para que todos los equipos dispongan de programas de seguridad (por ejemplo antivirus).

Además es necesario establecer mecanismos para comprobar si

existen nuevas actualizaciones de software utilizado, evaluarlas y

eventualmente instalarlas.

Jacopo Bianchi Porro 26

[E.2] Errores del administrador

[E.4] Errores de configuración [E.7] Deficiencias en la organización

[A.3] Manipulación de los registros de actividad (log) [A.4] Manipulación de la configuración

[A.5] Suplantación de la identidad del usuario [A.6] Abuso de privilegios de acceso

[A.7] Uso no previsto

[A.9] [Re-]encaminamiento de mensajes [A.10] Alteración de secuencia

[A.11] Acceso no autorizado

[A.14] Interceptación de información (escucha) [A.15] Modificación deliberada de la información [A.18] Destrucción de información

[A.19] Divulgación de información [A.22] Manipulación de programas [A.24] Denegación de servicio

Confidencialidad, Integridad, Disponibilidad

HW – todos

SW – todos D – todos P - todos

A.12.2, A.12.5, A.12.6

Responsable IT

Alta

1 mes

1500 € (coste del personal interno)

15 - Protección de los sistemas

16 - Software malicioso 18 - Software no autorizado

Cifrar los datos utilizados por las aplicaciones web y WinForm

Es necesario implantar controles criptográficos en los activos con

información confidencial (se trata de los servidores SQL y mySQL, del servidor del archivo de ficheros y de los laptop) para protegerla.

Se deberá establecer también el procedimiento para proteger los datos que deben ser transferidos. Finalmente se deberán establecer y documentar procedimientos para administrar las claves criptográficas y recuperar la información cifrada en caso de pérdida o daño de las mismas claves.

[E.19] Fugas de información [E.25] Pérdida de equipos [A.11] Acceso no autorizado [A.19] Divulgación de información [A.23] Manipulación de los equipos [A.25] Robo

Autenticidad, Confidencialidad, Integridad, Trazabilidad

[D01] - Datos de las empresas clientes

[D02] - Datos personales sensibles [D03] - Logs

[D04] - Copias de seguridad de las BD

[D05] - Archivos de documentación

Jacopo Bianchi Porro 27

A.10.1, A.12.2, A.13.2

Responsable IT

Alta

2 meses

4500 € (coste de los desarrolladores internos)

12 - Cifrado de la información sensible

Aunque unos controles son ya existentes, es necesario implementar nuevos después del análisis de riesgos hecho.

Se deben implementar nuevos controles relacionados con las criticidades que aparecen en el análisis de riesgos y que no eran gestionadas anteriormente, y comprobar la eficaz de aquellos ya existentes

[I.5] Avería de origen físico o lógico [I.6] Corte del suministro eléctrico

[I.7] Condiciones inadecuadas de temperatura o humedad [I.8] Fallo de servicios de comunicaciones

[I.9] Interrupción de otros servicios y suministros esenciales [E.4] Errores de configuración

[E.8] Difusión de software dañino

[E.20] Vulnerabilidades de los programas (software) [A.11] Acceso no autorizado

[A.22] Manipulación de programas [A.23] Manipulación de los equipos [A.24] Denegación de servicio [A.25] Robo

Autenticidad, Confidencialidad, Integridad, Disponibilidad, Trazabilidad

[L01] - Sala de servidores del proveedor [L02] - Sala de servidores de la empresa Hardware [HW] - Todos

Aplicación [SW] - Todas Datos [D] - Todos Servicios [S] - Todos

Equipamiento auxiliar [AUX] - Todos

A.12.2, A.12.5, A.12.6, A.13.1, A.14.1

Responsable SGSI

Media

2 meses

2.000 € Técnicos de la empresa

3.000 € Auditor externo

10 - Accesos no autorizados

11 - Derechos de acceso 13 - Protección física

14 - Interrupciones del suministro eléctrico 15 - Protección de los sistemas

16 - Software malicioso