ENTREGABLES 3, 4, 5 y 6: INFORME FINAL – MODELO DE

ENTREGABLES 3, 4, 5 y 6: INFORME FINAL – MODELO DE SEGURIDAD DE
LA INFORMACIÓN – SISTEMA SANSI - SGSI MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA ESTRATEGIA DE
GOBIERNO EN LÍNEA
ÁREA DE INVESTIGACIÓN Y PLANEACIÓN
© República de Colombia - Derechos Reservados
Bogotá, D.C., Diciembre de 2008
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
FORMATO PRELIMINAR AL DOCUMENTO
Título:
INFORME FINAL –MODELO DE SEGURIDAD DE LA INFORMACIÓN –
SISTEMA SANSI – SGSI -MODELO DE SEGURIDAD DE LA
INFORMACIÓN PARA LA ESTRATEGIA DE GOBIERNO EN LÍNEA
Fecha elaboración
aaaa-mm-dd:
26 – Diciembre – 2008
Sumario:
Palabras Claves:
CORRESPONDE A LOS ENTREGABLES 3, 4, 5 y 6: SISTEMA DE
GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN - DISEÑO DEL
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA ESTRATEGIA
DE GOBIERNO EN LÍNEA
Sistema Administrativo, Modelo de Seguridad, Arquitectura Institucional,
Ciclo PHVA, C-SIRT, Gestión de Seguridad Informática, SGSI, mejores
prácticas, ISO, CobIT, madurez
Formato:
Dependencia:
Código:
Lenguaje:
Castellano
Investigación y Planeación
Versión:
3
Estado:
Categoría:
Autor (es):
Equipo consultoría Digiware
Revisó:
Juan Carlos Alarcon
Aprobó:
Ing. Hugo Sin Triana
Firmas:
Información Adicional:
Ubicación:
Página 2 de 207
Documento para
revisión por parte del
Supervisor del
contrato
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
CONTROL DE CAMBIOS
VERSIÓN
0
1
FECHA
02/12/2008
04/12/2008
No. SOLICITUD
RESPONSABLE
Ing. Jairo Pantoja M.
Equipo del proyecto
2
17/12/2008
Ing. Jairo Pantoja M.
3
26/12/2008
Ing. Fabiola Parra
DESCRIPCIÓN
Sistema SANSI para el Modelo de Seguridad de la Información
Revisión interna conjunta equipo consultoría Digiware
Actualización según discusiones internas del equipo de trabajo en
cuanto a las funciones de los entes participadores del SANSI
Modelo SGSI para el Sistema SANSI –Controles
Página 3 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
TABLA DE CONTENIDO
1.
AUDIENCIA ...............................................................................................................................................................10
2.
INTRODUCCIÓN........................................................................................................................................................11
3.
MARCO DE REFERENCIA -SISTEMA DE GESTIÓN EN SEGURIDAD DE LA INFORMACIÓN -SGSI ...............................12
3.1. SEGURIDAD DE LA INFORMACIÓN .................................................................................................................................12
3.2. ISO (INTERNATIONAL ORGANIZATION FOR STANDARDIZATION).........................................................................................12
3.3. ESTÁNDAR ................................................................................................................................................................13
3.4. ICONTEC...................................................................................................................................................................13
3.5. NORMA ISO27001 ...................................................................................................................................................14
3.5.1. SERIE ISO27000 ...................................................................................................................................................14
3.5.2. RELACIÓN DE LA NORMA ISO27001 CON OTROS ESTÁNDARES DE SEGURIDAD DE LA INFORMACIÓN ....................................15
3.6. SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN -SGSI..................................................................................15
3.6.1. BENEFICIOS DE LA IMPLANTACIÓN DE UN SGSI ............................................................................................................16
3.6.2. JUSTIFICACIÓN DE LA IMPLEMENTACIÓN DE UN SGSI....................................................................................................16
4.
COMPONENTES PRINCIPALES DE UN SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN –SGSI .......18
5.
ESTRUCTURA INSTITUCIONAL..................................................................................................................................21
5.1. INTRODUCCIÓN .........................................................................................................................................................21
5.2. SISTEMA ADMINISTRATIVO NACIONAL DE SEGURIDAD DE LA INFORMACIÓN -SANSI.............................................................22
5.3. COMISIÓN NACIONAL DE SEGURIDAD DE LA INFORMACIÓN ..............................................................................................24
5.4. GRUPO TÉCNICO DE APOYO ........................................................................................................................................30
5.4.1. DIRECCIÓN NACIONAL DE SEGURIDAD DE LA INFORMACIÓN ..........................................................................................31
5.5. RELACIONES DE DESARROLLO EMPRESARIAL CON ENTIDADES PÚBLICAS Y PRIVADAS .............................................................35
5.6. FUNCIONES DE LOS ACTORES DEL SANSI -ENFOQUE BASADO EN EL PROCESO PHVA.............................................................35
5.6.2. MEJORA DEL SGSI..................................................................................................................................................49
5.7. SEGURIDAD APLICADA A LA COMUNIDAD – HIGIENE EN SEGURIDAD ...................................................................................49
6.
6.1.
6.2.
6.3.
MODELO DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN SGSI .........................................................................51
ALCANCE Y LÍMITES DEL SISTEMA..................................................................................................................................51
OBJETIVOS DEL SISTEMA .............................................................................................................................................53
POLÍTICA DEL SISTEMA DE GESTIÓN. .............................................................................................................................53
Página 4 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
6.4. POLÍTICAS Y OBJETIVOS DE SEGURIDAD DE LA INFORMACIÓN ............................................................................................54
6.4.1. PS1 – POLÍTICA DE CONTROL DE ACCESO ...................................................................................................................54
6.4.2. PS2 - POLÍTICA DE NO REPUDIACIÓN.........................................................................................................................56
6.4.3. PS3 - POLÍTICA DE SERVICIOS CONFIABLES ..................................................................................................................56
6.4.4. PS4 – POLÍTICA DE PRIVACIDAD Y CONFIDENCIALIDAD .................................................................................................57
6.4.5. PS5 - POLÍTICA DE INTEGRIDAD ................................................................................................................................57
6.4.6. PS6 – POLÍTICA DE DISPONIBILIDAD DEL SERVICIO .......................................................................................................58
6.4.7. PS7 – POLÍTICA DE DISPONIBILIDAD DE LA INFORMACIÓN .............................................................................................58
6.4.8. PS8 – POLÍTICA DE PROTECCIÓN DEL SERVICIO............................................................................................................59
6.4.9. PS9 - POLÍTICA DE REGISTRO Y AUDITORIA .................................................................................................................59
6.4.10. ALINEAMIENTO DE LAS POLÍTICAS DE SEGURIDAD CON NORMAS Y MEJORES PRÁCTICAS DE LA INDUSTRIA .............................60
6.5. CLASIFICACIONES DE SEGURIDAD DEL MODELO SGSI .......................................................................................................67
6.5.1. CLASIFICACIÓN DE ENTIDADES POR GRUPO O NATURALEZA DEL SERVICIO..........................................................................67
6.5.2. NIVELES DE MADUREZ DE LOS CONTROLES DE SEGURIDAD RECOMENDADOS .....................................................................69
6.5.3. REGISTRO DE SEGURIDAD DE LA INFORMACIÓN RSI - GRADUACIÓN ................................................................................70
6.5.4. CONTROLES DE DE SEGURIDAD DE LA INFORMACIÓN RECOMENDADOS POR GRUPO ...........................................................74
6.6. METODOLOGÍA DE CLASIFICACIÓN Y CONTROL DE ACTIVOS. ...........................................................................................198
6.7. ENFOQUE PARA LA GESTIÓN DEL RIESGO. ....................................................................................................................198
6.8. RECOMENDACIONES GENERALES PARA LA GESTIÓN DE CONTINUIDAD DEL NEGOCIO...........................................................198
6.9. DEFINICIÓN DEL SISTEMA DE GESTIÓN DOCUMENTAL ....................................................................................................198
6.10. RECOMENDACIONES PARA LA IMPLEMENTACIÓN DEL MODELO DE SEGURIDAD DE LA INFORMACIÓN .....................................201
6.10.1. APOYO POR PARTE DE LA ALTA DIRECCIÓN .............................................................................................................201
6.10.2. COMPROMISO DE LA ALTA DIRECCIÓN ...................................................................................................................201
6.10.3. FORMACIÓN Y SENSIBILIZACIÓN ............................................................................................................................202
6.10.4. REVISIÓN (AUDITORIAS) DEL SGSI ........................................................................................................................203
Página 5 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
LISTA DE FIGURAS
ILUSTRACIÓN 1: RELACIÓN ENTRE AMENAZAS – ACTIVOS – RIESGOS – CONTROLES .......................................................................................... 17
ILUSTRACIÓN 2: PUNTOS IMPORTANTES PARA LA DECLARACIÓN DE APLICABILIDAD -SOA. TOMADO DE ESTRATEGIAS CLAVE PARA LA IMPLANTACIÓN DE
ISO 27001, POR KK MOOKHEY Y KHUSHBU JITHRA. ........................................................................................................................... 19
ILUSTRACIÓN 3: PRINCIPALES COMPONENTES DE UN SGSI. DERECHOS RESERVADOS ANDRÉS VELÁSQUEZ.
[email protected] ............................................................................................................................................... 20
ILUSTRACIÓN 4: SISTEMA ADMINISTRATIVO NACIONAL DE SEGURIDAD DE LA INFORMACIÓN -SANSI....................................................... 23
ILUSTRACIÓN 5: COMISIÓN NACIONAL DE SEGURIDAD DE LA INFORMACIÓN ............................................................................................. 24
ILUSTRACIÓN 6: ESTRUCTURA GRUPO TÉCNICO DE APOYO............................................................................................................................. 31
ILUSTRACIÓN 7: CICLO DE VIDA PHVA PARA EL SISTEMA ADMINISTRATIVO NACIONAL DE SEGURIDAD DE LA INFORMACIÓN Y SUS ACTORES
................................................................................................................................................................................................. 36
ILUSTRACIÓN 8: CICLO P-H-V-A. IMPLANTACIÓN Y GESTIÓN DE UN SISTEMA SGSI. COPYRIGHT © 2007 ISECT LTD. WWW.ISO27001SECURITY.COM . 37
ILUSTRACIÓN 9: GESTIÓN DE RIESGOS........................................................................................................................................................ 42
ILUSTRACIÓN 10: ESTRUCTURA DEL MODELO DE SEGURIDAD ......................................................................................................................... 44
ILUSTRACIÓN 11: CMM NIVELES DE MADUREZ. COBIT 4.0. IT GOVERNANCE INSTITUTE................................................................................. 70
Página 6 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
LISTA DE TABLAS
TABLA 1: RELACIÓN DE LAS POLÍTICAS Y OBJETIVOS DE CONTROL DEL MODELO DE SEGURIDAD SGSI PARA LA ESTRATEGIA DE GOBIERNO EN LÍNEA CON LAS
NORMAS Y MEJORES PRÁCTICAS DE LA INDUSTRIA. ............................................................................................................................... 67
TABLA 2: CLASIFICACIÓN DE GRUPOS SEGÚN LA NATURALEZA DE LA ENTIDAD..................................................................................................... 68
TABLA 3: CLASIFICACIÓN DE CONTROLES SEGÚN EL GRUPO AL QUE PERTENEZCA LA ENTIDAD................................................................................. 68
TABLA 4: CONTROLES DE SEGURIDAD RECOMENDADOS PARA LAS ENTIDADES DEL GRUPO 1.................................................................................. 76
TABLA 5: CONTROLES DE SEGURIDAD RECOMENDADOS PARA EL GRUPO 2. ..................................................................................................... 129
TABLA 6: CONTROLES DE SEGURIDAD RECOMENDADOS PARA LAS ENTIDADES DEL GRUPO 3................................................................................ 197
Página 7 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
DERECHOS DE AUTOR
Este documento pertenece a la Estrategia de Gobierno en Línea del Ministerio de Comunicaciones de
Colombia, esta prohibida la reproducción total o parcial del contenido de este documento sin la
autorización expresa de la Estrategia de Gobierno en Línea.
Todas las referencias con derechos reservados.
Página 8 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
CRÉDITOS
Este documento fue generado a partir de los resultados de la consultoría llevada a cabo para el diseño del
modelo de seguridad de la información para la Estrategia de Gobierno en Línea. El desarrollo del proyecto
estuvo a cargo del grupo de consultores contratados por Gobierno en Línea y el aporte de los
responsables de la supervisión del contrato y demás grupos asesores de la Estrategia de Gobierno en
Línea.
Página 9 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
1. AUDIENCIA
La Dirección del Proyecto, entidades públicas de orden nacional y territorial y entidades privadas,
proveedores de servicios de Gobierno en Línea y la comunidad académica en general, que contribuirán con
sus comentarios, observaciones y retro-alimentación a este documento cuyo propósito es plantear las
mejores prácticas y recomendaciones para la creación del Modelo de Seguridad de la Información acorde
con los objetivos y lineamientos de la Estrategia de Gobierno en Línea.
Página 10 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
2. INTRODUCCIÓN
En esta versión final del documento, se plantea la estructura institucional recomendada que deberá tener
el modelo de seguridad de la información para la estrategia de Gobierno en Línea respaldado por los
instrumentos normativos que le permitan tener vida y ser aplicado por las diferentes entidades públicas y
privadas, incluyendo los proveedores que pertenezcan a la cadena de prestación de servicios de Gobierno
en Línea (ver documento “Instrumentos normativos proyectados”).
Como se verá en el capítulo 5, el modelo de seguridad se apoyará en un Sistema Administrativo Nacional
de Seguridad de la Información –SANSI, para que sus diferentes componentes, realicen tareas y
actividades relacionadas con el ciclo de vida propuesto para el modelo, incentiven su implementación y
mejora continua cuando sea adoptado por las entidades destinatarias.
Parte fundamental de la arquitectura institucional planteada, es la creación de un CSIRT Colombiano, para
el cual, en este proyecto, se tienen propuestos tres diferentes modelos según la naturaleza del CSIRT a
implementar: a) público -dependiendo del Ministerio de Comunicaciones, b) como Asociación sin ánimo de
lucro del sector público y c) como Asociación sin ánimo de lucro con participación Mixta (ver documento
“Diseño de un CSIRT Colombiano”).
Finalmente, este documento detalla el Modelo de gestión de seguridad de la información SGSI propiamente
dicho, que será parte de la estructura planteada y que se integrará al ciclo de vida PHVA para que, además
de ser un mecanismo de cumplimiento del modelo, le permita a las diferentes entidades destinatarias
ceñirse a sus políticas, objetivos de control y controles planteados, y de esta forma, mejorar su nivel de
seguridad de la información, para que sean competitivas y al mismo tiempo, provean mayor confianza a los
ciudadanos que hagan uso de sus productos y servicios.
Página 11 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
3. Marco de Referencia -Sistema de Gestión en Seguridad de la
Información -SGSI
3.1. Seguridad de la Información
La seguridad de la información es la preservación de los principios básicos de la confidencialidad,
integridad y disponibilidad de la misma y de los sistemas implicados en su tratamiento. Estos tres pilares se
definen1 como:
•
Confidencialidad: Acceso a la información por parte únicamente de quienes estén autorizados.
•
Integridad: Mantenimiento de la exactitud y completitud de la información y sus métodos de
proceso.
•
Disponibilidad: Acceso a la información y los sistemas de tratamiento de la misma por parte de
los usuarios autorizados cuando lo requieran.
En la seguridad de la información, no solo intervienen los aspectos tecnológicos, sino también los procesos,
los ambientes (centro de cómputo, ubicación de oficinas) y principalmente las personas.
3.2. ISO (International Organization for Standardization)
La ISO es una federación internacional con sede en Ginebra (Suiza) de los institutos de normalización de
157 países (uno por cada país). Es una organización no gubernamental (sus miembros no son delegados
de gobiernos nacionales), puesto que el origen de los institutos de normalización nacionales es diferente en
cada país (entidad pública, privada).
1 Tomado de
“Preguntas más Frecuentes, doc_faq_all.pdf pág. 9”, www.iso27000.es.
Página 12 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
La ISO desarrolla estándares requeridos por el mercado que representan un consenso de sus miembros
(previo consenso nacional entre industrias, expertos, gobierno, usuarios, consumidores) acerca de
productos, tecnologías, sistemas y métodos de gestión, entre otros. Estos estándares, por naturaleza, son
de aplicación voluntaria, ya que el carácter no gubernamental de ISO no le da autoridad legal para forzar
su implantación. Sólo en aquellos casos en los que un país ha decidido adoptar un determinado estándar
como parte de su legislación, puede convertirse en obligatorio.
La ISO garantiza un marco de amplia aceptación mundial a través de sus 3.000 grupos técnicos y más de
50.000 expertos que colaboran en el desarrollo de estándares.
3.3. Estándar
Publicación que recoge el trabajo en común de los comités de fabricantes, usuarios, organizaciones,
departamentos de gobierno y consumidores, que contiene las especificaciones técnicas y mejores prácticas
en la experiencia profesional con el objeto de ser utilizada como regulación, guía o definición para las
necesidades demandadas por la sociedad y tecnología.
3.4. Icontec2
El Instituto Colombiano de Normas Técnicas y Certificación (ICONTEC), es un organismo de carácter
privado, sin ánimo de lucro, que trabaja para fomentar la normalización, la certificación, la metrología y la
gestión de la calidad en Colombia. Está conformado por la vinculación voluntaria de representantes del
Gobierno Nacional, de los sectores privados de la producción, distribución y consumo, el sector tecnológico
en sus diferentes ramas y por todas aquellas personas jurídicas y naturales que tengan interés en
pertenecer a él.
En el campo de la normalización, la misión del Instituto es promover, desarrollar y guiar la aplicación de
Normas Técnicas Colombianas (NTC) y otros documentos normativos, con el fin de alcanzar una economía
óptima de conjunto, el mejoramiento de la calidad y también facilitar las relaciones cliente-proveedor, en el
ámbito empresarial nacional o internacional.
ICONTEC, como Organismo Nacional de Normalización (ONN) representa a Colombia ante organismos de
normalización internacionales y regionales como la Organización Internacional de Normalización (ISO), la
2 Tomado de www.icontec.org “Quienes Somos”.
Página 13 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
Comisión Electrotécnica Internacional (IEC), y la Comisión Panamericana de Normas de la Cuenca del
Pacífico (COPANT).
3.5. Norma ISO27001
Es un estándar ISO que proporciona un modelo para establecer, implementar, utilizar, monitorizar, revisar,
mantener y mejorar un Sistema de Gestión de Seguridad de la Información (SGSI). Se basa en el ciclo de
vida PDCA (Planear-Hacer-Verificar-Actuar; o ciclo de Deming) de mejora continua, al igual que otras
normas de sistemas de gestión (ISO 9001 para calidad, ISO 14001 para medio ambiente, etc.).
Este estándar es certificable, es decir, cualquier organización que tenga implantado un SGSI según este
modelo, puede solicitar una auditoria externa por parte de una entidad acreditada y, tras superar con éxito
la misma, recibir la certificación en ISO 27001.
El origen de la Norma ISO27001 está en el estándar británico BSI (British Standards Institution) BS7799Parte 2, estándar que fue publicado en 1998 y era certificable desde entonces. Tras la adaptación
pertinente, ISO 27001 fue publicada el 15 de Octubre de 2005.
Puede consultar la historia de ISO27001 en el siguiente link:
http://www.iso27000.es/download/HistoriaISO27001.pps
3.5.1. Serie ISO27000
ISO ha reservado la serie de numeración 27000 para las normas relacionadas con sistemas de gestión de
seguridad de la información. En el 2005 incluyó en ella la primera de la serie (ISO 27001), las demás son:
•
ISO27000 (términos y definiciones),
•
ISO27002 (objetivos de control y controles),
•
ISO27003 (guía de implantación de un SGSI),
•
ISO27004 (métricas y técnicas de medida de la efectividad de un SGSI),
•
ISO27005 (guía para la gestión del riesgo de seguridad de la información) y
•
ISO27006 (proceso de acreditación de entidades de certificación y el registro de SGSI).
Página 14 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
3.5.2. Relación de la Norma ISO27001 con otros estándares de seguridad de la
Información
Existen otros estándares internacionalmente aceptados relacionados con seguridad de la información
(COBIT3, NIST4, AS/NZ43605, entre otros), que la enfocan desde diferentes puntos de vista como controles
de seguridad, buen gobierno, gestión de riesgo etc. Para este particular, se ha realizado un informe de
interrelación de estándares de seguridad recomendados y se incluye un mapa que detalla estas relaciones
tomando como pivote la mencionada norma ISO27001. Ver “Anexo 1 -Mapa de Interrelación de Estándares
de Seguridad de la Información”.
3.6. Sistema de Gestión de la Seguridad de la Información -SGSI
Un SGSI es un Sistema de Gestión de la Seguridad de la Información o ISMS por sus siglas en inglés
(Information Security Management System). Este sistema consiste de una serie de actividades de gestión
que deben realizarse mediante procesos sistemáticos, documentados y conocidos por una organización o
entidad.
3 COBIT: Los Objetivos de Control para la Información y la Tecnología relacionada (COBIT®) brindan buenas prácticas a través de un marco de trabajo de
dominios y procesos, y presenta las actividades en una estructura manejable y lógica. Las buenas prácticas de COBIT representan el consenso de los
expertos. Están enfocadas fuertemente en el control y menos en la ejecución. Estas prácticas ayudarán a optimizar las inversiones facilitadas por la TI,
asegurarán la entrega del servicio y brindarán una medida contra la cual juzgar cuando las cosas no vayan bien. El Instituto ITGI Governance Institute
(www.itgi.org) diseñó y creó esta publicación titulada COBIT® como un recurso educacional para los directores ejecutivos de información, para la dirección
general, y para los profesionales de administración y control de TI. Más información en la página www.itgi.org
4 NIST: National Institute of Standards and Technology, Elabora y promueve patrones de medición, estándares y tecnología con el fin de realzar la
productividad, facilitar el comercio y mejorar la calidad de vida. Destinados principalmente para el Gobierno de EE.UU. las fuerzas militares y el sector
comercial, pero pueden ser adaptados a cualquier contexto. Las publicaciones del NIST, son estándares concisos y claros, disponibles de forma gratuita. NIST
tiene una división especial destinada para publicaciones relacionadas en seguridad de la información: Computer Security Division –Resource Center
http://csrc.nist.gov/
5 AS/NZ4360: Norma Australiana – Neocelandesa que suministra orientaciones genéricas para la gestión de riesgos. Puede aplicarse a una gran variedad de
actividades, decisiones u operaciones de cualquier entidad pública, privada o comunitaria, grupos o individuos. Se trata de una instrucción amplia pero que
permite la definición de objetivos específicos de acuerdo con las necesidades de cada implementación. La aplicación de la norma AS/NZS 4360, le garantiza a
la organización una base sólida para la aplicación de cualquier otra norma o metodología de gestión de riesgos específica para un determinado segmento. Ver
más información en: http://www.riskmanagement.com.au/
Página 15 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
El propósito6 de un sistema de gestión de la seguridad de la información no es garantizar la seguridad –
que nunca podrá ser absoluta- sino garantizar que los riesgos de la seguridad de la información son
conocidos, asumidos, gestionados y minimizados por la organización de una forma documentada,
sistemática, estructurada, continua, repetible, eficiente y adaptada a los cambios que se produzcan en la
organización, los riesgos, el entorno y las tecnologías.
El SGSI protege los activos de información de una organización, independientemente del medio en que se
encuentren; p. ej., correos electrónicos, informes, escritos relevantes, páginas web, imágenes,
documentos, hojas de cálculo, faxes, presentaciones, contratos, registros de clientes, información
confidencial de trabajadores y colaboradores, entre otros.
3.6.1. Beneficios de la implantación de un SGSI
Aplica una arquitectura de gestión de la seguridad que identifica y evalúa los riesgos que afectan al
negocio, con el objetivo de implantar contramedidas, procesos y procedimientos para su apropiado control,
tratamiento y mejora continua.
Ayuda a las empresas a gestionar de una forma eficaz la seguridad de la información, evitando las
inversiones innecesarias, ineficientes o mal dirigidas que se producen por contrarrestar amenazas sin una
evaluación previa, por desestimar riesgos, por la falta de contramedidas, por implantar controles
desproporcionados y de un costo más elevado del necesario, por el retraso en las medidas de seguridad en
relación a la dinámica de cambio interno de la propia organización y del entorno, por la falta de claridad en
la asignación de funciones y responsabilidades sobre los activos de información, por la ausencia de
procedimientos que garanticen la respuesta puntual y adecuada ante incidencias o la propia continuidad
del negocio, etc.
3.6.2. Justificación de la implementación de un SGSI
La información, junto a los procesos, personas y sistemas que hacen uso de ella, son activos muy
importantes dentro de una organización. La confidencialidad, integridad y disponibilidad de información
sensitiva son elementos esenciales para mantener los niveles de competitividad, rentabilidad, conformidad
legal e imagen empresarial necesarios para lograr los objetivos de la organización y asegurar beneficios
económicos.
Las organizaciones y sus sistemas de información están expuestos a un número cada vez más elevado de
amenazas que, aprovechando cualquiera de las vulnerabilidades existentes –inherentes a los activos,
pueden someter a los mismos a diversas formas de fraude, espionaje, sabotaje o vandalismo, entre
otros. Los virus informáticos, el “hacking” o los ataques de negación de servicio son algunos ejemplos
comunes y conocidos, pero también se deben considerar los riesgos de sufrir incidentes de seguridad
causados voluntaria o involuntariamente desde dentro de la propia organización o aquellos provocados
accidentalmente por catástrofes naturales y fallas técnicos.
6 Tomado de
“Preguntas más Frecuentes, doc_faq_all pág. 8”, www.iso27000.es
Página 16 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
El cumplimiento de la legalidad, la adaptación dinámica y puntual a las condiciones variables del
entorno, la protección adecuada de los objetivos de negocio para asegurar el máximo beneficio o
el aprovechamiento de nuevas oportunidades de negocio, son algunos de los aspectos
fundamentales en los que el SGSI es una herramienta de gran utilidad y de importante
ayuda para la gestión de las organizaciones.
El nivel de seguridad alcanzado por medios y controles técnicos es limitado e insuficiente. En la gestión
efectiva de la seguridad, debe tomar parte activa toda la organización apoyada por la Alta Dirección,
tomando en consideración también a clientes y proveedores de bienes y servicios. El modelo de
gestión de la seguridad debe contemplar políticas y procedimientos adecuados y la planificación e
implantación de controles de seguridad basados en una evaluación de riesgos y en una medición de la
eficacia de los mismos.
Ilustración 1: Relación entre amenazas – activos – riesgos – controles
El Modelo de gestión de seguridad de la información (SGSI) ayuda a establecer estas políticas y
procedimientos en relación a los objetivos de negocio de la organización, con objeto de mantener un nivel
de exposición siempre menor al nivel de riesgo que la propia organización ha decidido asumir.
Con un sistema SGSI, la organización conoce los riesgos a los que está sometida su información y
activos y los asume, minimiza, transfiere o controla mediante una metodología definida,
documentada y conocida por todos, que se revisa y mejora constantemente.
Página 17 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
4. Componentes Principales de un Sistema de Gestión de la Seguridad
de la Información –SGSI
De manera específica, ISO 27001 indica que un SGSI debe estar formado por los siguientes
documentos (en cualquier formato o tipo de medio):
•
Alcance del SGSI: ámbito de la organización que queda sometido al SGSI, incluyendo una
identificación clara de las dependencias, relaciones y límites que existen entre el alcance y aquellas
partes que no hayan sido consideradas (en aquellos casos en los que el ámbito de influencia del
SGSI considere un subconjunto de la organización como delegaciones, divisiones, áreas, procesos,
sistemas o tareas concretas).
•
Política y objetivos de seguridad: documento de contenido genérico que establece el
compromiso de la Alta Dirección y el enfoque de la organización en la gestión de la seguridad de la
información.
•
Estándares, Procedimientos, y Guías que soportan el SGSI: aquellos documentos y
mecanismos que regulan el propio funcionamiento del SGSI. Documentación necesaria para
asegurar la planificación, operación y control de los procesos de seguridad de la información, así
como para la medida de la eficacia de los controles implantados -Métricas.
•
Metodología de Evaluación de riesgos: descripción de la metodología a emplear (cómo se
realizará la evaluación de las amenazas, vulnerabilidades, probabilidades de ocurrencia e impactos
en relación a los activos de información contenidos dentro del alcance seleccionado), tratamiento y
desarrollo de criterios de aceptación de riesgo y fijación de niveles de riesgo aceptables.
•
Informe de evaluación de riesgos –Risk Assessment: estudio resultante de aplicar la
metodología de evaluación anteriormente mencionada a los activos de información de la
organización.
•
Plan de tratamiento de riesgos: documento que identifica las acciones de la Alta Dirección, los
recursos, las responsabilidades y las prioridades para gestionar los riesgos de seguridad de la
información, en función de las conclusiones obtenidas de la evaluación de riesgos, de los objetivos
de control identificados, de los recursos disponibles, etc.
Página 18 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
•
Registros: documentos que proporcionan evidencias de la conformidad con los requisitos y del
funcionamiento eficaz del SGSI.
•
Declaración de aplicabilidad: (SOA -Statement of Applicability-, en sus siglas en inglés);
documento que contiene los objetivos de control y los controles contemplados por el SGSI, basado
en los resultados de los procesos de evaluación y tratamiento de riesgos, justificando inclusiones y
exclusiones.
Ilustración 2: Puntos importantes para la Declaración de Aplicabilidad -SOA. Tomado de Estrategias clave
para la implantación de ISO 27001, por Kk Mookhey y Khushbu Jithra.
•
Control de la documentación: Para los documentos generados y que hacen parte del sistema
SGSI se debe establecer, documentar, implantar y mantener un procedimiento que defina las
acciones de gestión necesarias para:
La Alta Dirección debe aprobar documentos antes de su publicación.
Revisar y actualizar documentos cuando sea necesario y renovar su validez.
Garantizar que los cambios y el estado actual de revisión de los documentos están
identificados.
Garantizar que las versiones relevantes de documentos vigentes están disponibles en los
lugares de empleo.
Garantizar que los documentos se mantienen legibles y fácilmente identificables.
Página 19 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
Garantizar que los documentos permanecen disponibles para aquellas personas que los
necesiten y que son transmitidos, almacenados y finalmente destruidos acorde con los
procedimientos aplicables según su clasificación.
Garantizar que los documentos procedentes del exterior están identificados.
Garantizar que la distribución de documentos está controlada.
Prevenir la utilización de documentos obsoletos.
Aplicar la identificación apropiada a documentos que son retenidos con algún propósito.
Ilustración 3: Principales componentes de un SGSI. Derechos reservados Andrés Velásquez.
[email protected]
Página 20 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
5. ESTRUCTURA INSTITUCIONAL
5.1. Introducción
Gobierno en Línea es una estrategia del Ministerio de Comunicaciones de Colombia7 establecido como una
política de estado, dirigida a contribuir con un sector productivo más competitivo, un estado moderno y
una comunidad con mayores oportunidades para el desarrollo, al aprovechar las ventajas que las nuevas
tecnologías ofrecen. La estrategia de Gobierno en Línea contribuye mediante el aprovechamiento de las
Tecnologías de la Información y las Comunicaciones -TIC, a la construcción de un Estado más eficiente,
más transparente, más participativo y en el que se presten mejores servicios a los ciudadanos y a las
empresas.
En este sentido, la Estrategia Gobierno en Línea persigue tres objetivos estratégicos:
•
Mejorar la provisión de servicios a los ciudadanos y a las empresas
•
Fortalecer la transparencia del Estado y la participación ciudadana
•
Mejorar la eficiencia del Estado
Para dar cumplimiento a sus objetivos estratégicos, la Estrategia de Gobierno en Línea está organizado por
los procesos necesarios para promover en la administración pública el aprovechamiento de las TIC, a fin de
desarrollar conjuntamente con las instituciones, y de manera gradual, servicios electrónicos dirigidos a la
ciudadanía, las empresas y el Estado.
7
Tomado de: http://www.gobiernoenlinea.gov.co/home_principal.aspx. Fecha de acceso: 2008/10/10. Publicado por el Ministerio de
Comunicaciones. Autor: No determinado.
Página 21 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
Estos tres últimos aspectos se definen de la siguiente manera8;
•
Comunidad: Fomentar el uso de las Tecnologías de la Información para mejorar la calidad de vida de
la comunidad, ofreciendo un acceso equitativo a las oportunidades de educación, trabajo, justicia,
cultura, recreación, entre otros.
•
Sector Productivo: Fomentar el uso de las tecnologías de la información y las comunicaciones como
soporte al crecimiento y aumento de la competitividad, el acceso a mercados para el sector productivo,
y como refuerzo a la política de generación de empleo.
•
Estado: Proveer al Estado la conectividad que facilite la gestión de los organismos gubernamentales y
apoye la función de servicio al ciudadano.
A través de este programa, el Gobierno Nacional brindará en primera instancia, la información necesaria
para difundir el conocimiento e incentivar la apropiación de las tecnologías de la información hacia las
comunidades, de tal forma que estas, al ser quienes mejor conocen sus necesidades, intereses y
perspectivas, participen activamente en el proceso mediante la formulación de requerimientos puntuales
aplicables para su propio progreso.
5.2. Sistema Administrativo Nacional de Seguridad de la Información -SANSI
El Modelo de Seguridad de la Información para la Estrategia de Gobierno en Línea, se apoya en la creación
del Sistema Administrativo Nacional de Seguridad de la Información –SANSI, institución que le da la
facultad al Presidente de la República de conformar la Comisión Nacional de Seguridad de la Información
para tomar acciones estratégicas y definir los lineamientos que permitan la implementación, seguimiento y
mantenimiento de las políticas y controles del Modelo de Seguridad9 en cada una de las entidades públicas
de orden nacional y territorial y en las entidades privadas que pertenezcan a la cadena de prestación de
8Tomado
de: Agenda de Conectividad, CONPES 3072.
9 Modelo de Seguridad: Cabe aclarar que existen dos connotaciones para el término dentro de este documento. En los capítulos 1, 2 y 3, se hace
referencia al modelo en cuanto a que el objetivo de la consultoría es definir un modelo de seguridad como “un todo” para la estrategia de gobierno
en línea. A partir del numeral 3.2; se hace referencia al “modelo de seguridad” como un producto del sistema SANSI, entendiendo el modelo en su
definición técnica como el conjunto de políticas estratégicas que soportan los objetivos de Gobierno en Línea; estas políticas a su vez, son
soportadas por controles. Este conjunto de políticas y controles que conforman el modelo de seguridad, deberá ser implementado por cada una de
las entidades objetivo, convirtiendo a este modelo en un sistema de gestión SGSI. Para mayor información del modelo de seguridad técnico,
remitirse al capítulo número 6. Modelo SGSI.
Página 22 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
servicios de Gobierno en Línea y en las entidades privadas que provean acceso a Internet a los ciudadanos
que ingresen a los servicios de Gobierno en Línea.
Gracias a mecanismos normativos que se están planteando en el marco de esta consultoría, se podrán
sentar las herramientas para la creación del Sistema Administrativo Nacional de Seguridad de la
Información, lo cual constituye un paso muy importante para el cumplimiento de los principios definidos en
la Estrategia de Gobierno en Línea que corresponden a la "Protección de la información del individuo" y la
"Credibilidad y confianza en el Gobierno en Línea".
En particular, para lograr el cumplimiento de estos principios, se requiere que tanto los Servicios de
Gobierno en Línea como la Intranet Gubernamental y las entidades que participen en la cadena de
prestación de los servicios de Gobierno en Línea cumplan con los tres elementos fundamentales de la
Seguridad de la Información a saber: disponibilidad de la información y los servicios; integridad de la
información y los datos; y, confidencialidad de la información. Para la correcta administración de la
Seguridad de la Información, se deben establecer y mantener programas y mecanismos que busquen
cumplir con los tres requerimientos mencionados.
Es así, como producto de esta consultoría, se propone la creación del Sistema Administrativo Nacional de
Seguridad de la Información (SANSI), cuyo eje central es la Comisión Nacional de seguridad de la
Información (CNSI) (ver Ilustración 4). El SANSI surge, entonces, como un sistema institucional que reúne
a todos los actores públicos, privados, la academia y la sociedad civil involucrados en la seguridad nacional
de la información. Así mismo, incorpora el conjunto de reglas y normas que rigen las interacciones entre
estos actores.
En este sentido, el SANSI coordinará las actividades relacionadas con la formulación, ejecución,
seguimiento y mantenimiento de las políticas y lineamientos necesarios para fortalecer la adecuada gestión
de la seguridad de la información nacional:
Ilustración 4: Sistema Administrativo Nacional de Seguridad de la Información -SANSI
Página 23 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
Finalmente, el Sistema Administrativo Nacional de Seguridad de la Información -SANSI, es el conjunto
sistematizado de Lineamientos, Políticas, Normas, Procesos e Instituciones que proveen y promueven la
puesta en marcha, supervisión y control del modelo de Seguridad de la Información para la Estrategia de
Gobierno en Línea.
A continuación, se detallan cada una de las características de cada uno de los actores que componen el
sistema SANSI:
5.3. Comisión Nacional de Seguridad de la Información
La Comisión Nacional de Seguridad de la Información (CNSI) es el órgano asesor del Gobierno
Nacional y de concertación entre éste, las entidades destinatarias y la sociedad civil en temas relacionados
con la seguridad de la información del país y de sus territorios, con el fin de generar credibilidad y
confianza en Gobierno en Línea protegiendo la información de las entidades y de los ciudadanos. La
Comisión apoyará al Presidente de la República en la dirección del SANSI.
Como se puede observar en la ilustración 5, el componente principal del sistema SANSI es la Comisión
Nacional de Seguridad de la Información, la cual, provee un espacio de encuentro de todos los actores
involucrados en temas de Seguridad Nacional para aprobar las políticas en materia de seguridad de
información nacional, definir el curso de acciones a seguir y hacer seguimiento para asegurar su
cumplimiento y su mantenimiento:
Ilustración 5: Comisión Nacional de Seguridad de la Información
Página 24 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
El modelo de seguridad de la información planteado obedece las directrices establecidas por la Comisión
Nacional de Seguridad de la Información, compuesta por representantes de los diferentes sectores
responsables e interesados en la seguridad nacional y cuya función es asesorar al Presidente de la
República y al Gobierno Nacional en la formulación y adopción de los lineamientos del Modelo de Seguridad
de la Información, en concordancia con los planes y programas de la Estrategia de Gobierno en Línea.
La Comisión Nacional de Seguridad de la Información, está compuesta por los siguientes miembros que
tendrán voz y voto10:
o
El Presidente de la República, quien la presidirá.
Justificación: Es el jefe de Estado, jefe del gobierno y suprema autoridad
administrativa, tiene las competencias para tomar decisiones estratégicas
relacionadas con la seguridad de la información nacional. Aprueba leyes, decretos y
actos jurídicos para dar soporte y cumplimiento al sistema SANSI.
o
El Ministro de Comunicaciones, quien ejercerá la coordinación general.
Justificación: Dado que el sistema SANSI y sus diferentes componentes son adscritos
al Ministerio de Comunicaciones, este último coordinará las actividades al interior de
la Comisión. Junto con el Director Nacional de Seguridad de la Información,
presentará los informes, las políticas, los controles y resultados del modelo de
seguridad, y sus ajustes propuestos, para que sean estudiados y sometidos a
aprobación por parte de la Comisión. Los ajustes del modelo de seguridad
aprobados por la Comisión, serán incluidos en la nueva versión del modelo a ser
implementado en el siguiente ciclo de vida del sistema SANSI.
o
El Ministro del Interior y de Justicia, como representante del gobierno.
Justificación: Jefe superior de las entidades del gobierno y legales adscritas al
ministerio. Actúa en representación del Presidente de la República en las funciones
que el le delegue o la ley le confiera. Participa en la orientación, coordinación y
control de las entidades adscritas y vinculadas pertenecientes al Sector
Administrativo del Interior y de Justicia. Formula las políticas sectoriales, planes
generales, programas y proyectos del Sector Administrativo del Interior y de
Justicia, bajo la dirección del Presidente de la República. Representa, en los asuntos
de su competencia, al Gobierno Nacional en la ejecución de tratados y convenios
10 Para la justificación de cada miembro de la Comisión, se tomaron algunas funciones que aparecen publicadas en las páginas Internet oficiales de cada
entidad.
Página 25 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
internacionales, de acuerdo con las normas legales sobre la materia. Coordina la
actividad del Ministerio, en lo relacionado con su misión y objetivos, con las
Entidades Públicas del orden nacional y descentralizado territorialmente y por
servicios, el Congreso de la República, la Rama Judicial, la Registraduría Nacional
del Estado Civil y los organismos de control. Imparte instrucciones a la Policía
Nacional para la conservación y el restablecimiento del orden público interno en
aquellos asuntos cuya dirección no corresponda al Ministro de Defensa Nacional.
Planea, coordina, formula políticas y traza directrices que orienten los rumbos del
sistema jurídico del país y del sistema de justicia. Prepara e impulsa proyectos de
ley y actos legislativos ante el Congreso de la República. Promueve dentro de las
instancias respectivas y con la colaboración de las entidades estatales competentes,
la cooperación internacional en los asuntos de su competencia.
o
El Ministro de Defensa Nacional, como responsable de la Seguridad Nacional.
Justificación: Participa en la definición, desarrollo y ejecución de las políticas de
defensa y seguridad nacionales, para garantizar la soberanía nacional, la
independencia, la integridad territorial y el orden constitucional, el mantenimiento
de las condiciones necesarias para el ejercicio y el derecho de libertades públicas, y
para asegurar que los habitantes de Colombia convivan en paz. Contribuye con los
demás organismos del Estado para alcanzar las condiciones necesarias para el
ejercicio de los derechos, obligaciones y libertades públicas. Coadyuva al
mantenimiento de la paz y la tranquilidad de los colombianos en procura de la
seguridad que facilite el desarrollo económico, la protección y conservación de los
recursos naturales y la promoción y protección de los Derechos Humanos. Orienta,
coordina y controla, en la forma contemplada por las respectivas leyes y estructuras
orgánicas, las superintendencias, las entidades descentralizadas y las sociedades de
economía mixta que a cada uno de ellos estén adscritas o vinculadas.
o
El Ministro de Comercio, Industria y Turismo, rector del desarrollo empresarial y
normalización del país, además lidera el tema de competitividad.
Justificación: Participa en la formulación de la política, los planes y programas de
desarrollo económico y social. Formula la política en materia de desarrollo
económico y social del país relacionada con la competitividad, integración y
desarrollo de los sectores productivos de bienes y servicios de tecnología para la
micro, pequeña y mediana empresa, el comercio interno y el comercio exterior.
Formula las políticas para la regulación del mercado, la normalización, evaluación de
la conformidad, calidad, promoción de la competencia, protección del consumidor y
propiedad industrial. Desarrolla la estrategia de desarrollo empresarial, de
productividad y competitividad, de Mipymes y regulación, de conformidad con los
lineamientos señalados por los Consejos Superiores de Micro y de Pequeña y
Mediana Empresa y el Ministro. Establece mecanismos permanentes y eficaces que
garanticen la coordinación y la mayor participación del sector privado. Formula y
adopta la política, los planes, programas y reglamentos de normalización. Ejerce la
coordinación necesaria para mejorar el clima para la inversión tanto nacional como
extranjera en el país y para incrementar la competitividad de los bienes y servicios
colombianos. Formula dentro del marco de su competencia las políticas relacionadas
Página 26 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
con los instrumentos que promuevan la productividad, la competitividad y el
comercio exterior.
o
El Ministro de Relaciones Exteriores, para garantizar el cumplimiento de acuerdos
internacionales.
Justificación: Dirige y coordina la estrategia de comunicación que promueva la
generación de una cultura corporativa en pro del desarrollo de la misión institucional
y que brinde apoyo y asistencia técnica en materia de comunicaciones a todas las
dependencias del Ministerio que lo requieran.
o
El Departamento Nacional de Planeación, encargado de la implantación de las
políticas, ente rector de la planeación del país.
Justificación: Coordina a todas las entidades y organismos públicos para garantizar el
debido cumplimiento y ejecución de las políticas, los programas y los proyectos
contenidos en el Plan Nacional de Desarrollo. Promueve, elabora y coordina estudios
e investigaciones atinentes a la modernización y tecnificación de la macro-estructura
del Estado. Participa en el diseño de la política para la prestación de servicios
públicos domiciliarios, a través de las Comisiones de Regulación, y promueve su
adopción por parte de las empresas de servicios públicos. Traza las políticas
generales y desarrolla la planeación de las estrategias de control y vigilancia, para la
adecuada y eficiente prestación de los servicios públicos domiciliarios. Participa en el
diseño, seguimiento y evaluación de la política para el desarrollo de la ciencia, la
tecnología y la innovación.
o
El Departamento Administrativo de Seguridad DAS, Seguridad Nacional.
Justificación: Produce la inteligencia de Estado que requiere el Gobierno Nacional y
formula políticas del sector administrativo en materia de inteligencia para garantizar
la seguridad nacional interna y externa del Estado colombiano. Participa en el
desarrollo de las políticas diseñadas por el Gobierno Nacional en materia de
seguridad. Obtiene y procesa información en los ámbitos nacional e internacional,
sobre asuntos relacionados con la seguridad nacional, con el fin de producir
inteligencia de Estado, para apoyar al Presidente de la República en la formulación
de políticas y la toma de decisiones. Coordina el intercambio de información y
cooperación con otros organismos nacionales e internacionales que cumplan
funciones afines.
o
La Superintendencia Financiera, por la Ley de Habeas Data y la inspección y control del
sector financiero.
Justificación: Propone las políticas y mecanismos que propendan por el desarrollo y el
fortalecimiento del mercado de activos financieros y la protección al consumidor
financiero. Instruye a las instituciones vigiladas y controladas sobre la manera como
deben cumplirse las disposiciones que regulan su actividad, fija los criterios técnicos
Página 27 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
y jurídicos que faciliten el cumplimiento de tales normas y señala los procedimientos
para su cabal aplicación, así como instruye a las instituciones vigiladas sobre la
manera como deben administrar los riesgos implícitos en sus actividades.
o
La Superintendencia de Industria y Comercio, Salvaguarda la Ley de Habeas Data.
Justificación: Vela por la observancia de las disposiciones sobre protección al
consumidor. Impone, previas explicaciones, de acuerdo con el procedimiento
aplicable, las sanciones que sean pertinentes por violación de las normas sobre
protección al consumidor, así como por la inobservancia de las instrucciones
impartidas por la Superintendencia. Fija el término de la garantía mínima presunta
para bienes o servicios. Fija requisitos mínimos de calidad e idoneidad para
determinados bienes y servicios. Asesora al Gobierno Nacional y participa en la
formulación de las políticas en todas aquellas materias que tengan que ver con la
protección al consumidor, la promoción de la competencia y la propiedad industrial
y en las demás áreas propias de sus funciones. Realiza las actividades de
verificación de cumplimiento de las normas técnicas obligatorias o reglamentos
técnicos sometidos a su control. Salvaguarda la ley de Habeas Data: Ley 1266 del
31 de diciembre de 2008.
o
Comisión de Regulación de las Telecomunicaciones –CRT, como ente regulador del
sector.
Justificación: Promueve la competencia en el sector de las telecomunicaciones.
Define los criterios de eficiencia y desarrolla los indicadores y modelos para evaluar
la gestión financiera, técnica y administrativa de las empresas de
telecomunicaciones. Prepara proyectos de ley para presentar ante el Congreso
Nacional relacionados con la prestación del servicio de telecomunicaciones. Fija las
normas de calidad que deben cumplir las empresas que prestan el servicio.
Adicionalmente, la Comisión Nacional de Seguridad de la Información podrá convocar a los
siguientes organismos para participar en las sesiones de la Comisión, cuando su presencia sea
requerida en función de los temas a tratar, los cuales tendrán voz pero no voto:
o
Fiscalía General de la Nación, como representante de la Rama Judicial y unidad
especializada en delitos de telecomunicaciones y la administración pública. Posee la
Dirección Nacional del Cuerpo Técnico de Investigación –CTI.
Justificación: Investiga los delitos, califica los procesos y acusa ante los jueces y
tribunales competentes, a los presuntos infractores de la ley penal, ya sea de oficio
o por denuncia. Posee la Dirección Nacional del Cuerpo Técnico de Investigación –
CTI, que asesora al Fiscal General en la definición de políticas y estrategias
asociadas con las funciones de Policía Judicial, en los temas de investigación
criminal, servicios forenses, de genética y en la administración de la información
técnica y judicial que sea útil para la investigación penal. Además, planea, organiza,
dirige, controla y ejecuta las funciones de Policía Judicial de la Fiscalía, organiza y
controla el cumplimiento de las políticas y estrategias de investigación, servicios
Página 28 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
forenses, de genética y de administración de la información útil para la investigación
penal en el CTI. Asesora al Fiscal General en el diseño y planeación de estrategias y
procedimientos en materia de seguridad y de comunicaciones requeridos en los
distintos niveles territoriales de la Entidad, así como también promover el
intercambio de información entre los distintos organismos de seguridad del Estado,
para la programación y el desarrollo de operaciones contra la delincuencia.
o
Procuraduría General de la Nación, como entidad de vigilancia, control y protección de
los derechos de los ciudadanos.
Justificación: La función preventiva, empeñada en “prevenir antes que sancionar”,
vigila el actuar de los servidores públicos y advierte cualquier hecho que pueda ser
violatorio de las normas vigentes, sin que ello implique coadministración o
intromisión en la gestión de las entidades estatales. La función de intervención, en
la que interviene ante las jurisdicciones Contencioso Administrativa, Constitucional y
ante las diferentes instancias de las jurisdicciones penal, penal militar, civil,
ambiental y agraria, de familia, laboral, ante el Consejo Superior de la Judicatura y
las autoridades administrativas y de policía. La intervención es imperativa y se
desarrolla de forma selectiva cuando el Procurador General de la Nación lo
considere necesario y cobra trascendencia siempre que se desarrolle en defensa de
los derechos y las garantías fundamentales de los ciudadanos. La función
disciplinaria, inicia, adelanta y falla las investigaciones que por faltas disciplinarias
se adelanten contra los servidores públicos y contra los particulares que ejercen
funciones públicas o manejan dineros del estado.
o
Superintendencia de Servicios Públicos Domiciliarios, que vela por la adecuada
prestación de los servicios a los ciudadanos.
Justificación: Vigila y controla el cumplimiento de las leyes y actos administrativos a
los que estén sujetos quienes presten servicios públicos, en cuanto el cumplimiento
afecte en forma directa e inmediata a usuarios determinados y sancionar sus
violaciones. Adelanta las investigaciones cuando las Comisiones de Regulación se lo
soliciten. Señala, de conformidad con la Constitución y la ley, los requisitos y
condiciones para que los usuarios puedan solicitar y obtener información completa,
precisa y oportuna, sobre todas las actividades y operaciones directas o indirectas
que se realicen para la prestación de los servicios públicos. Da concepto a las
Comisiones de Regulación y a los Ministerios sobre las medidas que se estudien en
relación con los servicios públicos. Efectúa recomendaciones a las Comisiones de
Regulación en cuanto a la regulación y promoción del balance de los mecanismos de
control y en cuanto a las bases para efectuar la evaluación de la gestión y
resultados de las personas prestadoras de los servicios públicos sujetos a su control,
inspección y vigilancia. Proporciona a las autoridades territoriales el apoyo técnico
necesario, la tecnología, la capacitación, la orientación y los elementos de difusión
necesarios para la promoción de la participación de la comunidad en las tareas de
vigilancia.
Página 29 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
o
Registraduría Nacional del Estado Civil, Entidad encargada de la identificación de las
personas.
Justificación: Atiende el manejo, clasificación, archivo y recuperación de la
información relacionada con el registro civil. Responde a las solicitudes de personas
naturales o jurídicas y organismos de seguridad del Estado o de la rama judicial en
cuanto a identificación, identificación de necrodactilias y demás requerimientos.
Atiende todo lo relativo al manejo de la información, las bases de datos, el Archivo
Nacional de Identificación y los documentos necesarios par el proceso técnico de la
identificación de los ciudadanos. Adopta las políticas y procedimientos para el
manejo del Registro del Estado Civil en Colombia, asegurando la inscripción
confiable y efectiva de los hechos, actos y providencias sujetos a registro.
Las funciones de la Comisión Nacional de Seguridad de la información están orientadas hacia una
metodología basada en el proceso Planear – Hacer – Verificar – Actuar de un sistema de
gestión. Para ver la información sobre las funciones de esta Comisión, remitirse al numeral 5.6.1.1.1.
5.4. Grupo Técnico de Apoyo
La Comisión Nacional de Seguridad de la información, es asesorada por el Grupo Técnico de Apoyo,
(ilustración 8), cuya función principal es definir y mantener el Modelo de Seguridad de la información a
nivel táctico y técnico especificando las políticas, objetivos de control y controles propuestos para que sean
implementados por cada una de las entidades destinatarias. El Grupo Técnico de Apoyo, somete a
consideración de la Comisión, la aprobación del Modelo de Seguridad de la Información y sus ajustes
posteriores. De esta forma, el Modelo de Seguridad de la Información para la Estrategia de Gobierno en
Línea, servirá a las entidades que no han implementado aún un Sistema de Gestión en Seguridad de la
información –SGSI basado en las mejores prácticas y estándares internacionales; y como referente para
aquellas entidades que ya cuentan con un SGSI implementado y que necesitará ser ajustado para apoyar
los servicios de la Estrategia de Gobierno en Línea.
Es el Grupo encargado de la preparación de los documentos, políticas, lineamientos y controles
recomendados que son avalados por la Comisión. Asesora a las Entidades en su implementación y
proporciona apoyo técnico y jurídico para la operatividad del modelo. Además, coordina las actividades del
portafolio de servicios en seguridad de la información (soporte especializado, capacitación, concienciación)
realizadas por el grupo CSIRT (ver documento “Diseño de un CSIRT Colombiano”).
Página 30 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
Ilustración 6: Estructura Grupo Técnico de Apoyo
Las funciones del Grupo Técnico de Apoyo están orientadas hacia una metodología basada en el proceso
Planear – Hacer – Verificar – Actuar de un sistema de gestión. Para ver la información sobre las
funciones de este Grupo, remitirse a los numerales 5.6.1.1.2 (Funciones Planear) y 5.6.1.4. (Funciones
Actuar) del presente documento.
5.4.1. Dirección Nacional de Seguridad de la Información
Encabeza el Grupo Técnico de Apoyo y depende del Ministerio de Comunicaciones. Articula la Comisión
Nacional de Seguridad de la Información con el Grupo Técnico de Apoyo. Coordina las acciones tanto a
nivel técnico como jurídico, los entes policivos y lo concerniente al grupo CSIRT (ver documento “Diseño de
un CSIRT Colombiano”).
5.4.1.1.
•
Funciones de la Dirección Nacional de Seguridad de la Información
Aprobar y publicar el reporte anual de seguridad de la información en Colombia (estadísticas,
métricas, indicadores, etc.).
Página 31 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
•
Convocar expertos técnicos en seguridad de la información pertenecientes a la academia y al sector
privado, con el objeto de plantear mejoras para el modelo de seguridad de la información (MSI).
•
Coordinar acuerdos de cooperación con los entes policivos competentes para la provisión de
servicios de asistencia ante incidentes de Seguridad de la Información en las entidades. Las
siguientes son las entidades policivas contempladas:
La Policía Nacional, como parte integrante de las autoridades de la República.
Recomienda las políticas del estado en materia de seguridad de la comunidad,
estableciendo planes y responsabilidades entre las diferentes entidades comprometidas.
DAS (ver numeral 5.3. de este documento).
La Fiscalía General de la Nación –CTI (ver numeral 5.3. de este documento).
DIJIN -Dirección de Investigación Criminal, contribuye a la seguridad y convivencia
ciudadana, mediante el desarrollo efectivo de la investigación criminal judicial,
criminalística, criminológica y el manejo de la información delincuencial orientada a brindar
el apoyo oportuno a la administración de justicia.
DIPOL – Dirección de Inteligencia Policial, unidad especializada que tiene la misión de
recolectar información y producir inteligencia en relación con los actores y factores de
perturbación del orden público, la defensa y la seguridad nacional.
•
Proponer ante la Comisión, los cambios y mejoras al modelo de seguridad de la información.
•
Realizar la presentación ejecutiva anual ante la Comisión Nacional de Seguridad, con los resultados
y la evolución del modelo de seguridad en las Entidades.
•
Coordinar esfuerzos y acuerdos de cooperación con otros grupos CSIRT tanto públicos como
privados.
•
Coordinar esfuerzos y acuerdos de cooperación con las entidades de Vigilancia y Control para
realización de verificaciones y auditorias en las entidades que deban cumplir con el Modelo de
Seguridad de la Información.
•
Coordinar esfuerzos y acuerdos de cooperación con entes de certificación que verifiquen el
cumplimiento adecuado del Modelo de Seguridad de la Información en las entidades.
5.4.1.2.
Grupo de Estudios Técnicos
Define los lineamientos y la política de seguridad, prepara estudios técnicos, realiza presentaciones
ejecutivas ante la Comisión, prepara el documento del Modelo de Seguridad, recibe información a nivel
de seguridad proveniente del Grupo CSIRT entre otras funciones se encuentran:
Página 32 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
•
Definir lineamientos, políticas y controles que forman parte del modelo de seguridad de la
información, los cuales deberán ser cumplidos por las Entidades (Nivel Estratégico).
•
Elaborar y publicar estudios e informes propios en materia de seguridad de la Información en
Colombia (principales amenazas, probabilidades e impactos), basados en estadísticas, métricas,
indicadores, provistos por el Grupo CSIRT y otras fuentes.
•
Analizar los reportes estregados por el Grupo CSIRT, para determinar nuevas acciones a proponer a
la Comisión Nacional de Seguridad.
5.4.1.3.
Grupo Técnico - Jurídico
Define los lineamientos normativos requeridos para la gestión de la política de seguridad de la
información. Apoyo experto en respuesta a incidentes, delito informático y ciencias forenses. Otras
Funciones:
•
Asesorar a la Dirección Nacional de Seguridad de la Información, en temas legales y técnico –
jurídicos relacionados con seguridad de la información.
•
Gestionar y aplicar el conocimiento legal en materia de Seguridad de la Información, derecho
informático, Habeas Data y ciencias forenses.
•
Proveer soporte técnico - jurídico en temas relacionados con la recopilación de pruebas forenses,
primer respondiente, capacitación y entrenamiento.
•
Diseñar el catálogo de términos de seguridad de la información, guías legales y modelos
contractuales en materia de derecho informático.
5.4.1.4.
CSIRT
El grupo CSIRT es un pilar decisivo dentro del Sistema Administrativo de Seguridad de la Información SANSI, ya que es el ente que permite dar operatividad al Modelo de Seguridad, proporcionando un
completo portafolio de servicios especializados en seguridad de la información centrado en el soporte y la
asistencia a las entidades tanto públicas como privadas, así como también, recopilando estadísticas,
indicadores y métricas en seguridad de la información para su posterior análisis y toma de decisiones por
parte de la Dirección Nacional de Seguridad de la Información.
Para mayor información concerniente al CSIRT, ver documento “Diseño de un CSIRT Colombiano”.
5.4.1.5.
Relación con otros Órganos Técnicos
5.4.1.5.1. Autoridades de Vigilancia y Control
Tanto para el sector público como para el sector privado, la Contraloría, las
Superintendencias, la Fiscalía, la Procuraduría y los entes policivos, ejercerán
Página 33 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
las labores de vigilancia (auditoria) y validación de la implantación de las
disposiciones, lineamientos, políticas y controles relacionados con seguridad
de la información plasmada en el Modelo. Estas autoridades forman parte de
la fase VERIFICAR del ciclo PHVA del Sistema. Más información en el
numeral 5.3. de este documento.
5.4.1.5.2. Organismos de Certificación
Los organismos de certificación, son personas jurídicas (o morales) que tienen
por objeto realizar tareas de certificación: evaluar que un producto, proceso,
sistema, servicio, establecimiento o persona se ajusta a las normas,
lineamientos o reconocimientos de organismos dedicados a la normalización
nacionales o internacionales. En este caso, los organizamos verificarán que las
entidades cumplan con el Modelo de seguridad de la Información. Estos
organismos, formarán parte de la fase VERIFICAR del ciclo PHVA del
Sistema. Más información en el numeral 5.3. de este documento. Estas
Autoridades, adicionalmente, tendrán las siguientes funciones:
o
Establecer acuerdos de cooperación con el SANSI a través del Grupo Técnico
de Apoyo.
o
Realizar auditorias de cumplimiento del Modelo de Seguridad en las
entidades que lo soliciten.
o
Informar a la Dirección Nacional de Seguridad de la Información sobre las no
conformidades y observaciones relacionadas con el cumplimiento del Modelo
de Seguridad de la Información en las entidades auditadas.
5.4.1.5.3. Proveedores de Servicios Relacionados con la Seguridad de la
Información
El CSIRT como órgano coordinador de los procesos de incidentes relacionados
con la seguridad de la información, demanda la permanente relación con los
proveedores tanto nacionales como internacionales de los servicios
relacionados con la seguridad de la información, manteniendo una base de
datos actualizada y un estrecho relacionamiento para garantizar la oportuna
actuación y prevención en incidentes relacionados con la seguridad de la
información en las entidades.
5.4.1.5.4. La Academia
Definitivamente la academia deberá estar incluida no solo en los procesos de
diseño e implementación del CSIRT, sino que debe ser tenida en cuenta para
asesorar al Grupo Técnico de Apoyo y en general al Sistema SANSI ya que
son entes que poseen un amplio conocimiento y disponibilidad de
Página 34 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
información, lo cual puede permitir tener oportunidades de mejora del
sistema, sus políticas, lineamientos y controles.
5.5. Relaciones de Desarrollo Empresarial con Entidades Públicas y Privadas
Las relaciones con la industria deberán partir de una sola filosofía, promover su desarrollo, dando
visibilidad a la industria de seguridad de la información mediante un espacio (medios técnicos y humanos
altamente especializados) en el que puedan ponerse en contacto la oferta y la demanda y en el que se
colabora a impulsar la innovación del sector privado en seguridad de la información. Se da visibilidad tanto
nacional como internacional a la industria de seguridad de la información en Colombia, se analiza la
demanda y la oferta de productos/servicios de seguridad disponibles y se sensibiliza por ejemplo a la PYME
en el uso de esos servicios y productos, dinamizando de este modo la demanda.
5.6. Funciones de los actores del SANSI -Enfoque basado en el proceso PHVA
El Sistema Administrativo Nacional de Seguridad de la Información -SANSI, adopta un enfoque basado en
procesos, para establecer, implementar, operar, hacer seguimiento, mantener y mejorar el Modelo de
Seguridad de la Información para la Estrategia de Gobierno en Línea, pero esta vez no orientado hacia una
organización en particular sino a todos los actores y entidades involucradas:
Página 35 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
Ilustración 7: Ciclo de Vida PHVA para el Sistema Administrativo Nacional de Seguridad de la Información y
sus Actores
Como se puede observar en la ilustración 7, se propone enfocar el Sistema Administrativo Nacional de
Seguridad de la Información SANSI hacia un sistema de Gestión auto-sostenible, que funcione eficazmente
y que tome como entradas al sistema:
•
Los instrumentos normativos para apoyar la implementación del Modelo de Seguridad,
•
Los lineamientos, requerimientos y la política del modelo de seguridad de la información para la
estrategia de Gobierno en Línea que plasmen las expectativas de seguridad de la información.
Como todo Sistema de Gestión, se recomienda que el SGSI a ser diseñado e implementado por cada una
de las entidades participantes en la cadena de prestación de servicios de Gobierno en Línea se fundamente
con base en la ISO 27001, por medio del uso del ciclo continuo PHVA (Planear – Hacer – Verificar –
Actuar):
Página 36 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
Ilustración 8: Ciclo P-H-V-A. Implantación y Gestión de un sistema SGSI. Copyright © 2007 IsecT Ltd.
www.ISO27001security.com
•
Planear: establecer el SGSI.
•
Hacer: implementar y utilizar el SGSI.
•
Verificar: monitorear y revisar el SGSI.
•
Actuar: mantener y mejorar el SGSI.
A continuación, se detallan las funciones a realizar para cada uno de los actores del sistema SANSI, tanto a
alto nivel (Comisión y Grupo Técnico de Apoyo), como para las entidades destinatarias al implementar el
modelo SGSI:
Página 37 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
5.6.1.1.
FASE PLANEAR CICLO PHVA - COMISIÓN NACIONAL DE SEGURIDAD DE LA
INFORMACIÓN Y GRUPO TÉCNICO DE APOYO
A ALTO NIVEL –SANSI:
5.6.1.1.1. Funciones de la Comisión Nacional de Seguridad de la Información:
La Comisión es la máxima autoridad Nacional de Seguridad de la Información y se convierte en el
escenario ideal para que los responsables por la Seguridad Nacional discutan y articulen los planes y
estrategias de acción para garantizar adecuadamente la seguridad de la información nacional a través
del Modelo de Seguridad para la Estrategia de Gobierno en Línea. Así mismo, permitirá la aprobación
de políticas, acciones y controles a ser implementados por las entidades destinatarias para fortalecer su
postura en seguridad de la información, permitiendo de esta forma, generar confianza y proteger
adecuadamente la información de los ciudadanos.
Reuniones: Por convocatoria del Ministro de Comunicaciones que actuará como Coordinador General,
la Comisión, sesionará de manera ordinaria una (1) vez al año, y de manera extraordinaria con la
frecuencia necesaria para el cabal cumplimiento de su agenda de trabajo.
Funciones Fase Planear Ciclo PHVA:
•
Apoyar y divulgar a alto nivel la seguridad de la información nacional, el modelo de seguridad, sus
políticas y controles
•
Aprobar y generar los instrumentos normativos pertinentes para viabilizar la implementación del
modelo de seguridad en las entidades destinatarias
•
Tomar decisiones estratégicas para el SANSI y el modelo de seguridad
•
Impulsar, mantener y mejorar el SANSI y el modelo de seguridad
•
Estudiar los cambios y ajustes propuestos para el modelo de seguridad
•
Presentar propuestas al Gobierno Nacional para la adopción de medidas relacionadas con el
mejoramiento de la seguridad de la información
•
Asesorarse de grupos técnicos de apoyo para tener una adecuada coherencia a nivel técnico de los
temas de seguridad de la información y en consecuencia, mejorar el desempeño de sus
responsabilidades.
La Comisión Nacional de Seguridad de la Información ejercerá adicionalmente las siguientes funciones:
Página 38 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
•
Establecer los lineamientos del Sistema Administrativo Nacional de Seguridad de la Información y
aprobar el Modelo de Seguridad de la Información en concordancia con los planes y programas de
desarrollo tecnológico del país y de la Estrategia de Gobierno en Línea.
•
Apoyar la articulación de las iniciativas y acciones que se adelanten en las diferentes entidades
públicas y privadas relacionadas con Seguridad de la Información.
•
Aprobar el Modelo de Seguridad de la Información (MSI) que incluya las políticas, objetivos y
controles; la metodología de medición y seguimiento de Indicadores de seguridad; la revisión
periódica del estado de cumplimiento del Modelo.
•
Aprobar los mecanismos normativos recomendados por el Grupo Técnico de Apoyo a través del
Grupo Técnico - Jurídico, los cuales permitan el cumplimiento e implementación del modelo por
parte de la Entidades.
•
Aprobar las nuevas versiones del modelo de seguridad de la información (MSI) para la Estrategia
de Gobierno en Línea, a ser cumplido por parte de las Entidades destinatarias.
•
Presentar propuestas al Gobierno Nacional para la adopción de medidas tendientes a lograr el
mejoramiento de la seguridad de la información a nivel nacional en el sector público y privado.
•
Estudiar los temas que propongan sus miembros en relación con los objetivos de la Comisión.
•
Crear los comités técnicos de apoyo que considere necesarios para el mejor desempeño de sus
responsabilidades.
•
Disponer la formación de comités consultivos o técnicos, integrados por el número de miembros
que determine, para que asesoren técnicamente a la Comisión Nacional de Seguridad de la
Información en determinados asuntos.
•
Presentar propuestas al Gobierno Nacional para la adopción de medidas tendientes a lograr el
mejoramiento de la seguridad de la información del país, de las entidades y de los ciudadanos.
•
Proponer acciones para la modernización de las entidades destinatarias y generar normas que
mejoren el estado actual de la seguridad de la información.
•
Propender por el desarrollo de una cultura e higiene de seguridad de la información como factor
determinante para mejorar el estado actual de la seguridad de la información de las entidades y de
los ciudadanos.
•
Las demás inherentes al cumplimiento de los objetivos del Sistema Administrativo Nacional de
Seguridad de la Información.
Página 39 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
5.6.1.1.2.
Funciones del Grupo Técnico de Apoyo
Fase Planear Ciclo PHVA:
•
Plantear las políticas y controles que componen el Modelo de Seguridad de la información
•
Coordinar tareas al interior del grupo relacionadas con acuerdos de cooperación con diferentes
entidades.
•
Proveer el soporte técnico para asesorar adecuadamente a la Comisión.
A NIVEL DE LAS ENTIDADES DESTINATARIAS –SGSI (ver ilustración 8):
Funciones Fase Planear Ciclo PHVA:
1. Obtener Soporte de la Alta Dirección: El apoyo de la Alta Dirección – Gerencia de la entidad es
vital para el éxito de la implementación del sistema SGSI.
2. Establecimiento del SGSI: La alta dirección debe definir el alcance y límites del SGSI en términos
de la estrategia de Gobierno en Línea: procesos de negocio, áreas, servicios. No es necesario
que el SGSI abarque toda la organización, puede empezar por un proceso o área y avanzar
paulatinamente cubriendo mas procesos o áreas.
3. Realizar un inventario de activos: La organización debe realizar un levantamiento de información
orientado a los activos que soportan los procesos de negocio que componen el alcance del
SGSI, es decir, que activos soportan los sistemas de información y aplicaciones, que a su vez,
soportan los procesos de negocio de la entidad.
La herramienta de Autoevaluación11, presenta un formulario de ingreso de información para que
el responsable por parte de la entidad, identifique los activos que están dentro del alcance del
SGSI y a sus responsables directos, denominados propietarios. Adicionalmente, calificará el
grado de criticidad o importancia de cada activo en relación con el apoyo al modelo de
seguridad de la información para la Estrategia de Gobierno en Línea. Esta calificación la
11 Ver mayor información de la herramienta de auto-evaluación en el documento: “Entregable 7 –Sistema Autoevaluación”.
Página 40 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
realizará la entidad en la herramienta seleccionando en un rango de 1 a 5 donde 1 es una
criticidad muy baja, 2 criticidad baja, 3 criticidad media, 4 criticidad alta y 5 criticidad muy alta.
4. Realizar la evaluación del riesgo en seguridad: Una vez el levantamiento de información de los
activos parte del alcance del SGSI está realizado, se debe hacer la evaluación del riesgo
asociado a dichos activos, especificando las áreas de preocupación, amenazas, vulnerabilidades,
escenarios de riesgo, probabilidad de ocurrencia de la amenaza e impacto si llega a
materializarse la amenaza a los activos que soportan los sistemas de información, aplicaciones y
en consecuencia, los procesos de negocio o áreas parte del alcance. La entidad puede hacer uso
de cualquier metodología de gestión, evaluación y análisis del riesgo que considere conveniente,
no hay necesidad de usar una específica, lo importante es que tenga los elementos
recomendados en la norma ISO27001. Como parte de la presente consultoría, se entrega un
documento con la metodología de evaluación del riesgo propuesta. Ver documento “Entregable
4 - Anexo 2: Metodología de gestión del riesgo”. De igual forma, existen metodologías de
gestión del riesgo recomendadas como la AS/NZ4360, la ISO27005:2008 y la SP800-30 (del
instituto NIST http://csrc.nist.gov/publications/nistpubs/800-30/sp800-30.pdf).
5.a. Preparar y elaborar la Declaración de Aplicabilidad (o en sus términos en inglés: Statement of
Agreement –SOA): Cada entidad, según su naturaleza, y objetivos de negocio, seleccionará cuales
de los dominios y objetivos de control de las normas ISO27001/27002 aplican y no aplican para su
entidad. Para los seleccionados como “No Aplica”, la entidad deberá justificar detalladamente la
exclusión; además, deberá tener en cuenta:
•
Los objetivos de control y controles seleccionados y los motivos para su elección;
•
Los objetivos de control y controles que actualmente ya están implantados;
•
La exclusión de cualquier objetivo de control y controles deberán estar
justificados apropiadamente.
El modelo de Seguridad para la Estrategia de Gobierno en Línea, propone un listado de políticas,
objetivos de control y controles, producto de un análisis detallado de las normas internacionales
recomendadas como la (ISO27001/27002, CobIT, NIST, AS/NZ4360)12 y que en un mayor grado,
apoyan los objetivos de la Estrategia de Gobierno en Línea. Ver numeral 6.5. de este documento
para mayor información.
Por medio de la Herramienta de Auto-evaluación, el usuario designado por cada entidad revisará los
dominios y objetivos de control propuestos en la interfaz de la herramienta para que luego de un
análisis interno con la Alta Dirección de su Entidad, seleccione cuales aplica y cuáles no. Para los
que excluya, deberá digitar y adjuntar (la herramienta podrá permitir ingresar anexos) toda la
12 Para mayor información ver numeral 3.5.2. de este documento.
Página 41 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
información relevante y detallada justificando el por qué de esta decisión. Al finalizar, deberá
aceptar que la aplicación envíe el informe de “Declaración de Aplicabilidad” a Gobierno en Línea.
Con esta información, Gobierno en Línea o quién esta delegue, analizará la información, verificará si
las justificaciones cumplen y para cualquier inquietud, se comunicará con el encargado de cada
entidad para obtener aclaraciones con respecto a la Declaración de Aplicabilidad de la entidad. Una
vez este proceso se haya cumplido, Gobierno en Línea activará la aplicación para que el encargado
diligencie la información relacionada con los controles. El proceso de validación del SOA por parte
de Gobierno en Línea es un mecanismo que permitirá detectar posibles omisiones involuntarias/no
justificadas con suficiencia. Ver mayor información de la herramienta de auto-evaluación en el
documento: “Entregable 7 –Sistema Autoevaluación”.
5.b. Preparar y realizar el Plan de Tratamiento del Riesgo: Una vez la entidad ha definido el alcance
del SGSI, y la Declaración de Aplicabilidad (SOA); a través de la herramienta de autoevaluación,
deberá revisar los controles propuestos y responder si los tiene implementados y en que grado de
madurez. Si no los tiene implementados, a través de la herramienta, la entidad especificará las
acciones, prioridades, recursos, responsables y fecha de compromiso para la implementación de los
controles, lo que consistirá en el Plan de Tratamiento del Riesgo, ya que la entidad se compromete
a mitigar los riesgos en seguridad de la información implementando dichos controles
recomendados. La entidad también podrá elegir si trasfiere el riesgo a terceros (p. ej., compañías
aseguradoras o proveedores de outsourcing) o lo asume, en cuyo caso, deberá dejar constancia de
la alta dirección justificando esta decisión, lo cual deberá también estar detallado en la herramienta
para que Gobierno en Línea sea notificado de esta decisión.
Ilustración 9: Gestión de Riesgos
Página 42 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
5.6.1.2.
FASE HACER CICLO PHVA – ENTIDADES DESTINATARIAS
Las Entidades públicas y privadas, y las Organizaciones que hagan parte de la cadena de prestación
de servicios en Línea, deberán implementar y operar (fase HACER del ciclo PHVA) la política, las
recomendaciones y los controles definidos en el modelo para dar cumplimiento a la normatividad, a
los requerimientos y expectativas definidos, elementos que a su vez, les permitirán ser más
competitivos y ofrecer mejores y más seguros servicios para proveer mayor confianza a los
ciudadanos que hagan uso de sus servicios y productos. Deberán tener las siguientes funciones:
•
Tomar el Modelo de Seguridad de la Información como Referente.
•
Establecer comunicación con el CSIRT y los entes policivos para efectos de obtener soporte en
el manejo de incidentes de seguridad de la información.
•
Acorde con la naturaleza de los servicios provistos por la entidad, clasificarse en uno de los
grupos de entidades destinatarias en los que se divide el Modelo SGSI para la estrategia de
Gobierno en Línea. Ver numeral 6.5. de este documento para mayor información.
•
Implementar y operar la política, los objetivos de control y los controles recomendados de
acuerdo con grupo en el que se encuentre la entidad para dar cumplimiento al Modelo SGSI, ver
mayor información en el numeral 6.5 del presente documento.
•
Alimentar, actualizar y usar las recomendaciones e indicadores generados por la herramienta de
auto-evaluación13 para mejorar su nivel de cumplimiento con el Modelo y por ende, su postura
en seguridad de la información.
Funciones Fase HACER – Entidades destinatarias – Modelo SGSI (ver ilustración 8):
Con relación a las actividades puntuales de implementación del Modelo SGSI, las entidades
destinatarias deberán:
13 La herramienta de auto-evaluación, se provee como un sub-producto de la presente consultoría. El objetivo de esta herramienta, es ayudar a las entidades a
implementar el Modelo de Seguridad, presentándoles, según el grupo en el que la entidad de clasifique, las políticas y controles recomendados para que sean
implementados en caso que no existan. Al final, la herramienta realizará cálculos de indicadores de seguridad basándose en los controles alimentados por la
entidad, permitiéndole a esta última, conocer el estado actual de cumplimiento del modelo y comparar su estado con el de otras entidades del mismo grupo.
Para mayor información sobre la herramienta de auto-evaluación, favor remitirse a documento “Entregable 7 –Sistema de Auto-evaluación”.
Página 43 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
6 y 7. Implementar el Modelo SGSI: Las entidades deberán implementar las políticas, objetivos de
control y controles relacionados en el Plan de Tratamiento del riesgo aprobado por parte de la alta
dirección de cada entidad según las fechas estipuladas en el plan. Cualquier cambio o modificación
al plan, deberá ser notificado a Gobierno en Línea a través de la herramienta de autoevaluación.
8 y 9. Definir una política de seguridad que apoye los objetivos estratégicos de Gobierno en Línea,
ver numeral 6.3. Política del Sistema de Gestión. A su vez, esta política deberá ser apoyada por:
•
Políticas y Objetivos de Seguridad de la Información, ver numeral 6.4. de este
documento.
•
Esté aprobada por la alta dirección.
•
La política de seguridad tendrá la siguiente estructura básica:
Políticas
Objetivos de Control
Controles
Justificación
Ilustración 10: Estructura del Modelo de Seguridad
Es decir, la política de seguridad que apoya la Estrategia de Gobierno en Línea, es respaldada por
objetivos de control, que son las áreas de cumplimiento a las que las entidades destinatarias deben
ceñirse. Para materializar este cumplimiento al interior de cada entidad, se han definido una serie
de controles asociados a cada objetivo de control para que las entidades los verifiquen e
implementen si no lo han hecho. En caso que la entidad decida no implementarlo (por que no es su
naturaleza, por presupuesto, etc.), deberá justificar detalladamente la excepción. Ver mayor
información en el numeral 6.4. de este documento.
La Estrategia de Gobierno en Línea apoyará simultáneamente a las entidades en cuanto a:
•
Implementar programas de formación y sensibilización en relación a la seguridad de la información
para las entidades destinatarias y para la comunidad en general.
•
A través del Grupo Técnico de Apoyo, Gobierno en Línea gestionará las operaciones del Modelo de
Seguridad SGSI a través de la interfaz de la herramienta de auto evaluación (en modo de
administración). Este administrador, apoyará a las entidades y aclarará sus dudas con respecto al
modelo y su implementación, entre otras funciones.
•
Gobierno en Línea implantará procedimientos y controles que permitan una rápida detección y
respuesta a los incidentes de seguridad en las entidades a través del portafolio de servicios del
CSIRT y su modelo de negocios (ver documento “Diseño de un CSIRT Colombiano”).
Página 44 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
5.6.1.3.
FASE VERIFICAR – Entidades destinatarias, Organismos de certificación y
autoridades de vigilancia y control
En la fase VERIFICAR del ciclo PHVA, en el que se realizará la revisión y seguimiento de la
implementación y cumplimiento del Modelo de Seguridad tomarán parte:
A ALTO NIVEL –SANSI:
•
Los Organismos de certificación que promoverán el cumplimiento del modelo de seguridad
otorgando certificaciones para incentivar a las entidades que evidencien una gestión efectiva del
mismo, realizando los correctivos y mejoras propuestos por el sistema y la revisión del mismo.
Estos Organismos, podrán ser llamados por las entidades para que realicen dichas auditorias. Los
organismos de certificación tendrán que ser proveedores autorizados por el SANSI para prestar
servicios de auditoria y certificación del modelo de seguridad.
•
Las autoridades de vigilancia y control como la Contraloría, así como también las
Superintendencias y comisiones auditarán y revisarán el cumplimiento del modelo de seguridad
SGSI por parte de las entidades. Estas autoridades:
o
Determinarán si las acciones realizadas para resolver las brechas de seguridad de
la información encintradas fueron efectivas.
o
Revisar regularmente la efectividad del Modelo SGSI, atendiendo al cumplimiento
de la política, objetivos y revisión de los controles de seguridad, los resultados de
auditorias de seguridad – herramientas de vulnerabilidad automatizadas,
incidentes, resultados de los indicadores, sugerencias y observaciones de todas
las partes implicadas.
o
Medir la efectividad de los controles para verificar que se cumple con los
requisitos de seguridad, para esto se tendrá una visión orientada a niveles de
madurez.
o
Revisar regularmente en intervalos/periodos planificados, los riesgos residuales y
sus niveles aceptables, teniendo en cuenta los posibles cambios que hayan
podido producirse en las entidades, la tecnología, los objetivos y procesos
misionales, las amenazas identificadas, la efectividad de los controles
implementados y el ambiente -requerimientos legales y obligaciones
contractuales, entre otros.
o
Realizar periódicamente auditorias del Modelo SGSI en intervalos planificados.
Las siguientes son entidades con competencias para realizar las revisiones:
Contraloría General de la República, máximo órgano de control fiscal del Estado. Como tal,
tiene la misión de procurar el buen uso de los recursos y bienes públicos y contribuir a la
Página 45 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
modernización del Estado, mediante acciones de mejoramiento continuo en las distintas
entidades públicas.
Superintendencia financiera (ver numeral 5.3. de este documento).
Superintendencia de industria y comercio (ver numeral 5.3. de este documento).
Superintendencia de servicios públicos domiciliarios (ver numeral 5.3. de este documento).
Comisión de Regulación de Telecomunicaciones (ver numeral 5.3. de este documento).
A NIVEL DE LAS ENTIDADES DESTINATARIAS – Modelo SGSI (ver ilustración 8):
10. Las entidades Públicas y Privadas realizarán su auto-evaluación del nivel de cumplimiento del
modelo a través de la herramienta de Autoevaluación:
•
Realizar periódicamente auditorias y verificaciones internas de cumplimiento del Modelo de
Seguridad.
•
Apoyarse en organismos de certificación que acrediten el cumplimiento del Modelo de
Seguridad (opcional).
•
Someterse a la auditoria a realizar por parte de las autoridades de vigilancia y control.
•
Cada entidad deberá revisar periódicamente el Modelo SGSI implementado para garantizar
que el alcance definido sigue siendo el adecuado y que las mejoras en el proceso del SGSI
son evidentes.
•
Cada entidad deberá actualizar sus planes de seguridad en función de las conclusiones y
nuevos hallazgos encontrados durante las actividades de seguimiento y revisión.
•
Con relación a la herramienta de autoevaluación:
La herramienta de autoevaluación, mostrará el porcentaje de cumplimiento a partir de
los controles implementados, los porcentajes de riesgo a partir de los controles no
implementados, el porcentaje de aceptación del riesgo a partir de los controles no
tratados, fecha de implementación – periodo y responsable de implementación.
Cada control podrá ser calificado de la siguiente forma:
o
Existe -> Nivel de madurez del control (calificación 1-5)
Página 46 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
o
No existe -> Fecha de implementación y responsable (calificación = 0)
Los porcentajes serán calculados usando métodos cuantitativos para generar el nivel
de cumplimiento o % riesgo de la Entidad a partir de los controles implementados y no
implementados de la siguiente forma:
o
Porcentaje de cumplimiento = [(Sumatoria niveles de madurez de los Controles
implementados) / (sumatoria total de Controles aplicables en nivel 5 de
madurez)] x 100%
o
Porcentaje de riesgo = [(# Controles no implementados) / (# Total Controles
aplicables)] x 100%
La herramienta puede de igual forma, mostrar el nivel de cumplimiento y el nivel de
riesgo de forma cualitativa por medio de una tabla de equivalencia que clasificará a la
entidad en los siguientes niveles:
o
Porcentaje alto de cumplimiento -> nivel bajo de riesgo
o
Porcentaje medio de cumplimiento -> nivel medio de riesgo
o
Porcentaje bajo de cumplimiento -> nivel alto de riesgo
La herramienta utilizará colores para una fácil identificación y comparación de entidades
dependiendo de la calificación a nivel cualitativo con respecto al cumplimiento del
modelo y con respecto a las demás entidades.
Adicionalmente, la herramienta proporcionará gráficos generados de forma automática que
medirán la evolución o involución del modelo de seguridad de una entidad de acuerdo con las
calificaciones del periodo inmediatamente anterior, las entidades podrán ver estas gráficas,
compararse con el modelo y compararse entre ellas mismas.
5.6.1.4.
FUNCIONES FASE ACTUAR CICLO PHVA - GRUPO TÉCNICO DE APOYO –
ENTIDADES DESTINATARIAS
Finalmente, en la fase ACTUAR del ciclo PHVA, en el que se realizarán mejoras al modelo, tomarán
parte no solo las entidades destinatarias que deberán ejecutar acciones de mejora ante la autoevaluación realizada y/o las auditorias externas e internas para implementar controles de seguridad
que permitan mejorar su nivel de cumplimiento del modelo de seguridad y por ende, su postura en
seguridad de la información, sino también, tomará parte el Grupo Técnico de Apoyo para evidenciar
ajustes, nuevos controles, procesos, lineamientos y políticas que serán puestos a consideración y
aprobación por parte de la Comisión Nacional de Seguridad de la Información para que sean
parte de la nueva versión del Modelo a ser implementado en el siguiente ciclo de vida del sistema:
A ALTO NIVEL –SANSI:
Página 47 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
•
Analizar, consolidar y publicar los indicadores, métricas y estadísticas del Sistema y del
Modelo de Seguridad implementado en las entidades.
•
Proponer ante la Comisión los ajustes al Modelo de Seguridad acorde con su evolución e
implementación en las entidades destinatarias.
•
Coordinar las actividades del portafolio de servicios en seguridad de la información (soporte
especializado, capacitación, sensibilización) realizadas por el grupo CSIRT (ver documento
“Diseño de un CSIRT Colombiano”).
A NIVEL DE LAS ENTIDADES DESTINATARIAS –Modelo SGSI (ver Ilustración 8):
11. Acciones Correctivas: Mantener y mejorar el SGSI:
Las entidades destinatarias deberán regularmente:
•
Actualizar los planes de seguridad en función de las conclusiones y nuevos hallazgos
encontrados durante las actividades de seguimiento y revisión.
•
Verificar que el modelo SGSI se implanta con las mejoras identificadas.
•
Emprender acciones preventivas y correctivas adecuadas según los resultados de las
auditorias, los resultados de la revisión por la dirección y de las lecciones aprendidas de
experiencias propias y de otras entidades para lograr la mejora continúa del SGSI.
•
Asegurarse que las mejoras introducidas alcanzan los objetivos previstos.
•
Comunicar las acciones y mejoras a las partes interesadas
•
Resolver los hallazgos encontrados tanto en las auditorias internas como en las externas.
•
Mejorar los indicadores y métricas del Modelo de Seguridad de la Información, apoyándose
en la herramienta de auto-evaluación (ver documento “Entregable 7 –Sistema
Autoevaluación”, aumentando la madurez de los controles recomendadas por el Modelo de
seguridad, que son mostrados por la herramienta de auto-evaluación (ver numeral 6.5. de
este documento). Lo anterior, permitirá que las entidades evolucionen y maduren el Modelo
de Seguridad de la información, mejorando su nivel de seguridad de la información
permitiéndoles tener ventajas competitivas, entre otros beneficios.
El ciclo PHVA es un ciclo de vida continuo, lo cual quiere decir que la fase de Actuar lleva de
nuevo a la fase de Planear para iniciar un nuevo ciclo de cuatro fases. Téngase en cuenta que no es
necesario llevar una secuencia estricta de las fases, sino que, pueden haber actividades de implantación
que ya se lleven a cabo cuando otras de planificación aún no han finalizado; o que se monitoreen
controles que aún no están implantados en su totalidad.
Página 48 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
5.6.2. Mejora del SGSI:
•
El sistema SANSI y sus diferentes actores, deben mejorar continuamente la eficacia del modelo
SGSI mediante el uso de una política de seguridad de la información estratégica y orientada a los
servicios de Gobierno en Línea, los objetivos, los resultados de los análisis y resultados obtenidos
por medio de la herramienta de auto valoración, el análisis de los eventos e incidentes a los que les
ha hecho seguimiento, las acciones correctivas y preventivas y las revisiones por la Alta Dirección.
•
Ejecutar acciones correctivas para eliminar la causa de las no conformidades asociadas con los
requisitos del modelo SGSI en las entidades, con el fin de prevenir que ocurran nuevamente.
•
Ejecutar acciones preventivas para eliminar la causa de no conformidades potenciales con los
requisitos del modelo SGSI y evitar que ocurran. Las acciones preventivas tomadas deben estar
acorde con el impacto de los problemas potenciales.
5.7. Seguridad aplicada a la Comunidad – Higiene en Seguridad
El Modelo de Seguridad de la Información para la Estrategia de Gobierno en Línea apoyado a alto nivel por
el Sistema Nacional de Seguridad – SANSI, servirá como referente a las entidades destinatarias (tanto
públicas como privadas) para mejorar la seguridad de sus servicios y en consecuencia, lograr que el
ciudadano y la comunidad tengan mayor confianza al momento de realizar trámites y usar los servicios y
sistemas de las entidades del Estado y de Gobierno en Línea.
El Modelo de Seguridad contribuirá asimismo a mejorar la cultura en seguridad de la información de los
ciudadanos impulsando por medio de campañas y planes de capacitación y sensibilización, el uso correcto
de herramientas como Internet, los dispositivos y medios de almacenamiento, los computadores, entre
otros, y formulando recomendaciones, precauciones y buenos hábitos (higiene) que deben tener al hacer
uso de los mismos, dependiendo del entorno en el que se encuentren: hogar, oficina, cafés Internet, etc.
El plan de capacitación y sensibilización realizado como parte de esta consultoría (ver documento
Capacitación y sensibilización Modelo de Seguridad), refuerza los conceptos importantes a tener en cuenta
en una adecuada higiene en seguridad de la información centrándose en la comunidad y los ciudadanos:
•
Sensibilizar sobre los peligros y riesgos al hacer uso de Internet
•
Instalar software de fuentes no confiables que introduzcan vulnerabilidades a los computadores y a
los sistemas de información
•
Peligros ocasionados con el uso de sistemas operativos, navegadores de Internet y aplicaciones de
oficina desactualizados
Página 49 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
•
Carencia de controles de seguridad en los computadores que expongan al usuario a contenido
inapropiado como pornografía, racismo, etc.
•
Uso del computador de la casa para realizar asuntos laborales, lo que expone la información de las
organizaciones a nuevos riesgos
•
Exposición a robo de información personal o de trabajo a través de virus, spyware, spam, phising y
otros ataques.
Página 50 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
6. MODELO DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN SGSI
6.1. Alcance y límites del Sistema.
El Modelo de gestión de seguridad de la información para la estrategia de Gobierno en Línea se aplica a los
siguientes servicios y productos:
Servicios de Gobierno en Línea
o Información y servicios
o Portales de acceso
o Trámites en línea
o Sistemas sectoriales
o Compras públicas
o Sistemas transversales
Intranet Gubernamental
o Plataforma de inter-operabilidad (estándares y políticas, núcleo transaccional)
o Infraestructura tecnológica de comunicaciones (RAVEC)
o Infraestructura tecnológica de computación (Centro de Datos)
o Infraestructura tecnológica de contacto(Centro Interacción Multimedia)
Los participantes en la cadena de prestación de servicios de Gobierno en Línea los conforman:
o
o
o
o
o
o
o
o
o
Comité Nacional de Seguridad de la Información
Equipo Técnico de Apoyo
CSIRT
Proveedores de servicios de Gobierno en Línea(entidades públicas del orden nacional y territorial)
Proveedores de servicios de Internet (ISP)
Proveedores de servicios de acceso a Internet (Café internet, telecentros)
Proveedores de Servicios de la intranet gubernamental
Proveedores de servicios de seguridad
Clientes: Ciudadanos, funcionarios públicos, empresas
Página 51 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
El Modelo de gestión de seguridad de la información propuesto es lo suficientemente estratégico para
contemplar las diferentes fases de implementación de la Estrategia de Gobierno en Línea14:
o
o
o
o
o
Fase de Información en línea: Proveer información en línea con esquemas de búsqueda básica
(Entidades del orden nacional, EON: junio 2008, Entidades del orden territorial, EOT: noviembre
2008).
Fase de Interacción en línea: Habilitar comunicación entre ciudadanos, empresas y servidores
públicos (EON: diciembre 2008, EOT: diciembre 2009).
Fase de transacción en línea: Proveer transacciones electrónicas para la obtención de productos
y servicios (EON: diciembre 2009, EOT: diciembre 2010).
Fase de transformación en línea: Organizar servicios alrededor de necesidades de ciudadanos y
empresas a través de ventanillas únicas virtuales utilizando la intranet gubernamental (EON: junio
2010, EOT: diciembre 2011)
Fase de democracia en línea: Incentivar a la ciudadanía a participar de manera activa en la
toma de decisiones del Estado y la construcción de políticas públicas aprovechando las TIC´s (EON:
diciembre 2010, EOT: diciembre 2012).
14 Tomado de artículos 5 y 8 del decreto 1151 de 2008.
Página 52 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
6.2. Objetivos del Sistema
El objetivo principal del Modelo de gestión de seguridad de la información es mantener un ambiente
razonablemente seguro que permita proteger los activos de información que componen la estrategia de
Gobierno en Línea para asegurar credibilidad y confianza en los ciudadanos, en los funcionarios públicos,
terceras partes y en general, todos los que participan en la cadena de prestación de servicios de Gobierno
en Línea.
Como objetivos estratégicos del Modelo SGSI se plantean los siguientes:
•
Establecer una guía para manejar todos los aspectos de seguridad que afecten la estrategia de
Gobierno en Línea, su estructura de operación y gestión y todos los servicios que se derivan de la
estrategia.
•
Definir guías y lineamientos para asegurar que toda la información sensitiva que se pueda manejar
como parte de los servicios de Gobierno en Línea esté protegida contra el riesgo de divulgación
accidental o intencional, fraude, modificación, apropiación indebida, uso indebido, sabotaje o
espionaje.
•
Proteger al personal de exposiciones innecesarias en relación con el uso indebido de los recursos de
Gobierno en Línea durante el desempeño de sus funciones.
•
Proteger las operaciones de procesamiento de información de incidentes de hardware, software o
fallas de red como resultado de errores humanos por descuido o uso indebido accidental por falta
de entrenamiento y capacitación o uso indebido intencional de los sistemas y aspectos tecnológicos
que componen la infraestructura de servicios de Gobierno en Línea.
•
Asegurar la continuidad de los servicios de Gobierno en Línea mediante el establecimiento de
buenas prácticas de continuidad de negocio (ver documento “Entregable 4 - Anexo 3:
Recomendaciones generales de continuidad negocio”).
•
Proteger a las entidades del Estado que ofrecen sus servicios de Gobierno en Línea de posibles
demandas o sanciones ante un evento que comprometa la seguridad de los activos de información
o ante un desastre.
6.3. Política del Sistema de Gestión.
La Estrategia de Gobierno en Línea requiere que la información que se gestiona a través de los servicios y
trámites disponibles para los ciudadanos, funcionarios públicos y entidades públicas y privadas esté
adecuadamente asegurada con el fin de proteger los intereses públicos y nacionales, y preservar la
Página 53 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
privacidad personal (Ley 1266 de 2008 -Habeas data). Esta política, se enfoca a la protección de la
confidencialidad, integridad, disponibilidad y no repudiación de la información y servicios electrónicos que
ofrecen las entidades públicas del orden nacional y territorial en cumplimiento del decreto 1151 de 2008.
El representante legal de las entidades públicas y privadas que participan en la cadena de prestación de
servicios para la Estrategia de Gobierno en Línea, es responsable por implementar los requerimientos de
seguridad que se plantean en la política con el fin proteger la información y los activos que la procesan. El
nivel de seguridad que cada entidad debe implementar para proteger la información y los servicios de la
Estrategia de Gobierno en Línea, debe corresponder a un proceso de análisis y evaluación de riesgos.
La gestión del riesgo es un requerimiento del Modelo SGSI. Este proceso se ha fortalecido en las entidades
públicas como resultado de la implantación del sistema integrado de gestión y control MECI y del sistema
de gestión de la calidad NTC GP 1000:2004 para las entidades públicas.
El Modelo de gestión de seguridad de la información para la estrategia de Gobierno en Línea es
complementario con los sistemas de calidad, control interno y desarrollo administrativo. Es posible, para
una entidad, adaptar su(s) sistema(s) de gestión y control existente(s) para que cumplan con los requisitos
de este modelo. En la implementación del modelo de seguridad, se debe tener especial cuidado en la
identificación de los elementos comunes, para evitar que se dupliquen esfuerzos.
6.4. Políticas y Objetivos de Seguridad de la Información
Las políticas de seguridad que se plantean en este documento, se basan en un análisis estratégico acorde
con cada una de las fases de la Estrategia de Gobierno en Línea. Estas políticas representan directrices
generales de alto nivel que deben ser adoptadas por todos los participantes en la cadena de prestación de
servicios durante las fases de la evolución de la Estrategia de Gobierno en Línea.
Para asegurar el cumplimiento de las políticas de seguridad para Gobierno en Línea, se establecieron
objetivos de control asociados a cada política:
6.4.1. PS1 – Política de Control de Acceso
Las entidades que provean servicios de Gobierno en Línea que requieran mayor nivel de seguridad como
resultado de un análisis y evaluación del riesgo, deben implementar mecanismos y controles que aseguren
un efectivo registro, identificación y autenticación de los clientes y usuarios de dichos servicios. Así mismo,
deben implementar mecanismos y controles que aseguren el acceso bajo el principio del menor privilegio,
necesario para realizar únicamente las labores que a cada cliente o usuario de dichos servicios
corresponden. Igualmente, se deben implementar controles para realizar una efectiva administración de
usuarios y derechos de acceso.
Objetivos de Control:
Página 54 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS1.1 Otorgar acceso a servicios que requieren mayor nivel de seguridad o que involucran medios de
pago sólo para usuarios autorizados. Se requiere limitar el acceso solo para usuarios identificados
y autenticados apropiadamente.
PS1.2 Otorgar los mínimos privilegios de acceso a servicios que requieren mayor nivel de seguridad. Se
requiere minimizar el daño potencial causado por usuarios autorizados lo cual implica establecer
segregación de funciones para separar usuarios de los servicios y usuarios con roles
administrativos.
PS1.3 Otorgar acceso a servicios que requieren mayor nivel de seguridad condicionado a la presentación
de un token de acceso15 expedido por un tercero en representación de la entidad de gobierno
proveedora del servicio. Se debe fortalecer el control de acceso para las transacciones que
requieran mayor nivel de seguridad.
PS1.4 Otorgar acceso a servicios que requieren mayor nivel de seguridad condicionado a la presentación
de información que soporte la identidad del individuo que requiere el acceso y sus credenciales de
autenticación. Se debe implementar la autenticación personal más allá de la posesión del token.
PS1.5 Otorgar privilegios de acceso a servicios de Gobierno en Línea sólo cuando se satisfaga la
verdadera identidad del usuario, es decir que el usuario sea quien realmente dice que es y no esté
registrado bajo otra identidad con un acceso legítimo. Se debe prevenir la creación de múltiples
identidades. Un usuario puede tener múltiples roles con respecto a los servicios de Gobierno en
Línea pero solo puede poseer una única identidad.
PS1.6 Otorgar acceso a los usuarios sobre los servicios y o activos necesarios para soportar el servicio
específico requerido. Se deben fortalecer los controles de acceso a nivel de objeto o aplicación, de
manera que un usuario legítimo, una vez otorgado el acceso, no pueda alterar datos no requeridos
por el servicio solicitado.
PS1.7 Implementar una administración efectiva de los derechos de acceso de usuarios y asignar dicha
responsabilidad al personal apropiado (administradores de accesos).
PS1.8 Implementar la vigencia de los derechos de acceso y su revocación, una vez finalice el período
asignado, o haya pérdida de las credenciales, o se detecte uso indebido de los recursos por parte
de los usuarios. Las credenciales de acceso y los tokens deben quedar inválidos ante eventos de
revocación.
15 Token de acceso: es un medio físico que un usuario posee y/o controla y lo utiliza para autenticar su identidad.
Página 55 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
6.4.2. PS2 - Política de no repudiación
Las entidades que provean servicios de transacciones electrónicas, que requieran mayor nivel de
seguridad, deben garantizar la no repudiación de las transacciones implementando mecanismos de
seguridad que permitan crear un ambiente de confianza entre los clientes (ciudadanos, funcionarios
públicos, empresas), los proveedores de servicios, los organismos de certificación y la entidad estatal, con
relación a la autenticidad, trazabilidad y no repudiación de las transacciones electrónicas.
Objetivos de Control:
PS2.1 Proveer evidencia del origen y la integridad del mensaje, es decir, se deben implementar
mecanismos en el servicio para crear una prueba de origen de manera que se pueda evitar que
una de las partes (usuario o servicio de gobierno electrónico) niegue su responsabilidad en el
envío del mensaje. Así mismo, se deben implementar mecanismos para probar si el mensaje ha
sido alterado.
PS2.2 Proveer evidencia del acuse del mensaje, es decir, se deben implementar mecanismos en el
servicio para crear una prueba de recibo y almacenarla para su recuperación posterior en caso de
una disputa entre las partes (usuario y servicio de gobierno electrónico).
PS2.3 Proveer evidencia que el servicio es proporcionado realmente por una entidad pública. Se deben
implementar credenciales del servicio y ser presentadas al cliente para la autenticación del sistema
de acceso al cliente.
PS2.4 Proveer evidencia de la fecha y hora de la transacción electrónica efectuada a través del servicio.
6.4.3. PS3 - Política de servicios confiables
Las entidades que provean servicios de transacciones electrónicas que requieran mayor nivel de
seguridad, deben implementar mecanismos que aseguren a sus clientes que los compromisos realizados
no son vulnerables a robo o fraude. Además, se deben establecer acuerdos con los clientes para que
manejen con seguridad las credenciales 16y otra información personal relevante para el servicio.
16 Credencial: conjunto de información utilizada por un usuario para establecer una identidad electrónica como parte del proceso de autenticación.
Página 56 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
Objetivos de Control:
PS3.1 Asegurar que las tarjetas débito, crédito u otros instrumentos de compromiso de los clientes serán
protegidos por el servicio contra robo o fraude. Se deben implementar las tecnologías de
seguridad más apropiadas en el servicio según el nivel de seguridad requerido para conducir
transacciones electrónicas seguras.
PS3.2 Proveer evidencia de los compromisos ejecutados a través del servicio, de manera que en el
evento de una disputa, sea posible demostrar la historia de las transacciones a un auditor externo.
6.4.4. PS4 – Política de Privacidad y Confidencialidad
Los datos personales de los clientes, ciudadanos y demás información enviada a través de los servicios de
Gobierno en Línea, deben ser protegidos y manejados de manera responsable y segura.
Objetivos de Control:
PS4.1
Proveer protección adecuada de la información personal y privada contra divulgación no
autorizada cuando se transmite a través de redes vulnerables.
PS4.2 Proteger la información personal y privada de uso indebido y divulgación no autorizada cuando se
procesa y almacena dentro del dominio de implementación de los servicios de Gobierno en Línea.
6.4.5. PS5 - Política de Integridad
La información que se recibe o se envía a través de los servicios de Gobierno en Línea, debe conservar
los atributos de correcta y completa durante la transmisión, el procesamiento y el almacenamiento. Se
debe garantizar la integridad de la información.
Objetivos de Control:
PS5.1 Proteger la información que se transmite a través de redes públicas contra modificación, borrado o
repetición accidental o intencional. Se debe asegurar la fuerte integridad de las comunicaciones
para prevenir contra manipulación de datos en transito o contra pérdida y corrupción causada por
fallas de equipos y comunicaciones.
PS5.2 Proteger la información que se almacena en el dominio del cliente contra modificación accidental o
intencional. Se deben implementar mecanismos para prevenir que usuarios y atacantes manipulen
Página 57 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
la información del servicio almacenada en su estación de trabajo con el fin de obtener algún
beneficio.
PS5.3 Proteger la información almacenada dentro de los servicios de Gobierno en Línea contra
modificación o destrucción intencional por parte de atacantes externos. Se deben implementar
fuertes medidas para frustrar la alteración mal intencionada de los datos de usuarios o de
información de dominio público que puedan disminuir la confianza de los servicios. Los
proveedores de servicios tienen la obligación del debido cuidado (due care) para asegurar que la
información proporcionada a los clientes sea veraz.
PS5.4 Proteger la información trasmitida o almacenada dentro del servicio de Gobierno en Línea contra
pérdida o corrupción accidental. Se deben implementar procedimientos probados de respaldo y
recuperación de datos y asegurar que se mantienen las listas de usuarios y clientes autorizados.
6.4.6. PS6 – Política de Disponibilidad del Servicio
Las entidades que provean servicios de Gobierno en Línea deben asegurar la disponibilidad continua de
los servicios bajo su control.
Objetivos de Control:
PS6.1 Proteger los servicios de Gobierno en Línea contra daños o negación del servicio (DoS –Denial of
service) por parte de atacantes externos.
PS6.2 Proteger los servicios de Gobierno en Línea contra daños o provisión intermitente del servicio por
fallas internas de los equipos y/o redes. Se deben implementar mecanismos de redundancia y alta
disponibilidad acordes con la criticidad de la provisión continua del servicio y la capacidad para
realizar reparaciones rápidas.
PS6.3
Proteger los servicios de Gobierno en Línea contra pérdida de datos, pérdida de equipos y otros
eventos adversos. Se debe implementar un plan de continuidad del negocio (BCP –Business
Continuity Plan), para asegurar que se toman las medidas necesarias y evitar en lo posible, la
pérdida de información por ocurrencia de incidentes.
6.4.7. PS7 – Política de Disponibilidad de la Información
Las entidades que provean servicios de Gobierno en Línea, deben asegurar que los datos de los usuarios
y clientes se mantienen protegidos contra pérdida, alteración o divulgación por actos accidentales o
malintencionados, o por fallas de los equipos y/o redes.
Página 58 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
Objetivos de Control:
PS7.1 Recuperar los datos personales o críticos que han sido dañados, destruidos, alterados o
modificados por acciones malintencionadas o accidentales. Se deben implementar procedimientos
de copias de respaldo y recuperación, para asegurar que exista recuperación de los datos
sensitivos y que puedan ser restaurados en el evento de una falla. También se deben implementar
mecanismos para que los datos personales no sean divulgados sin autorización expresa del dueño
de la información.
PS7.2 Recuperar la información protegida en el evento que un cliente u otro usuario no puedan suministrar
las credenciales de acceso necesarias. Se deben implementar procedimientos para recuperar
datos de usuario en el evento que un token de acceso o la contraseña se pierdan. Esto permite
soportar investigaciones de posible uso indebido del sistema.
6.4.8. PS8 – Política de Protección del Servicio
Las entidades que provean servicios de Gobierno en Línea, deben asegurar que los servicios y sus activos
de información relacionados, estén adecuadamente protegidos contra ataques externos o internos.
Objetivo de Control:
PS8.1 Proteger los sistemas de información, equipos y redes que soportan los servicios de Gobierno en
Línea contra ataques a la provisión continua y segura del servicio. Se deben asegurar los equipos
y las redes implementando medidas tales como aseguramiento de servidores, implementación de
topologías seguras de red y escaneo de vulnerabilidades. Los sistemas de información y las
aplicaciones, deben ser diseñados e implementados de manera que se minimicen las
vulnerabilidades y los ataques externos e internos se reduzcan a un nivel aceptable.
6.4.9. PS9 - Política de Registro y Auditoria
Las entidades que provean servicios de Gobierno en Línea, deben mantener y proteger los registros de
las transacciones electrónicas como evidencia para los requerimientos de las auditorias (internas o
externas) y como mecanismo para establecer responsabilidades de los clientes y usuarios.
Objetivo de Control:
PS9.1 Mantener un registro de transacciones que pueda ser requerido después del análisis de eventos
y/o incidentes. Se deben mantener registros y pistas de auditoria con el fin de establecer
responsabilidad por las transacciones, reconstruir transacciones fallidas y suministrar registros
Página 59 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
apropiados en caso de conflictos o disputas por el servicio. Debe existir trazabilidad de los
registros de transacciones según sea apropiado.
6.4.10.
Alineamiento de las políticas de seguridad con normas y mejores prácticas de
la industria
Considerando que las entidades del estado como parte del proceso de modernización de la gestión
pública se encuentran implementado el sistema de gestión integrado de control interno MECI y el sistema
de gestión de calidad NTC GP 1000:2004, se hace necesario identificar donde sea aplicable, elementos de
dichos sistemas de gestión, que permitan o faciliten la implementación de los requerimientos de seguridad
de la información del Modelo de Seguridad SGSI propuesto por esta consultoría con el fin de evitar
duplicación de esfuerzos.
Igualmente, es necesario tener presente las iniciativas de las entidades públicas y privadas encaminadas a
implementar estándares y mejores prácticas tales como: Sistema de Gestión de Seguridad de la
Información SGSI (ISO27001), Gobierno de tecnología de la información (COBIT), Prestación de Servicios
de TI (ITIL) entre otros. En ese sentido, a continuación se identifica la alineación y armonización de los
requerimientos de seguridad del presente Modelo SANSI-SGSI con dichas mejores prácticas:
Política
MECI
NTC GP 1000
ISO27001
COBIT
ITIL
4.1 g)
Identificar y
diseñar puntos
de control
sobre los
riesgos
4.2.1
Establecimiento del
SGSI literales c) al
h)
AI1.2 Reporte de
análisis de riesgos
SO 4.5
Administración del
acceso
SANSI-SGSI
PS1 - Política de
Control de
Acceso
1.1 Ambiente de
control
1.3 Administración
del riesgo
2.1 Actividades de
Control
2.2.3 sistemas de
Información
5 Roles y
responsabilidades
5.6.2 h)
Riesgos
actualizados e
identificados
para la entidad
A11.1 Requisito del
negocio para el
control de acceso
A.11.2 Gestión del
acceso de usuarios
A.11.3
Responsabilidades
de los usuarios
A.11.4 Control de
DS5.2 Plan de
seguridad de TI
DS5.3
Administración de
identidad
DS5.4
Administración de
cuentas del
usuario
DS5.7 Protección
de la tecnología
SO 5.3
Administración de
mainframe
SO 5.4
Administración y
soporte de
servidores
SO 5.5
Administración de
la red
SO 5.7
Administración de
Página 60 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
acceso a las redes
de seguridad
bases de datos
A.11.5 Control de
acceso al sistema
operativo
DS5.8
Administración de
llaves
criptográficas
SO 5.8
Administración de
servicios de
directorio
DS5.10 Seguridad
de la red
SO 5.10
Administración del
middleware
A.11.6 Control de
acceso a las
aplicaciones y a la
información.
A.11.7 Computación
móvil y trabajo
remoto
DS5.11
Intercambio de
datos sensitivos
SO 5.11
Administración de
Internet y servicios
web
A.12.1 Requisitos
de seguridad de los
sistemas de
información
A.12.3 Controles
criptográficos
PS2 - Política de
no repudiación
1.3 Administración
del riesgo
2.2.3 sistemas de
Información
4.1 g)
Identificar y
diseñar puntos
de control
sobre los
riesgos
5.6.2 h)
Riesgos
actualizados e
identificados
para la entidad
4.2.1
Establecimiento del
SGSI, literales c)al
h)
A 10.9 Servicios de
comercio
electrónico
A12.1 Requisitos de
seguridad de los
sistemas de
información
A.12.3 Controles
criptográficos
AC6 Autenticidad
e integridad de las
transacciones
SO 5.10
Administración del
middleware
AI2.4 Seguridad y
disponibilidad de
las aplicaciones.
SD 3.6.1 Diseño
de las soluciones
del servicio
DS5.7 Protección
de tecnologías de
seguridad
SD 5.2
Administración de
información y
datos
DS5.8
Administración de
llaves
criptográficas
DS5.11
Intercambio de
datos sensitivos
DS11.6
Requerimientos de
seguridad para
administración de
datos
Página 61 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS3 - Política de
servicios
confiables
1.3 Administración
del riesgo
2.2.3 sistemas de
Información
4.1 literal g)
Identificar y
diseñar puntos
de control
sobre los
riesgos
5.6.2 h)
Riesgos
actualizados e
identificados
para la entidad
4.2.1
Establecimiento del
SGSI, literales c)al
h)
A 10.9 Servicios de
comercio
electrónico
A12.1 Requisitos de
seguridad de los
sistemas de
información
A.12.3 Controles
criptográficos
AC6 Autenticidad
e integridad de las
transacciones
SO 5.10
Administración del
middleware
AI2.4 Seguridad y
disponibilidad de
las aplicaciones.
SD 3.6.1 Diseño
de las soluciones
del servicio
DS5.7 Protección
de tecnologías de
seguridad
SD 5.2
Administración de
información y
datos
DS5.8
Administración de
llaves
criptográficas
DS5.11
Intercambio de
datos sensitivos
DS11.6
Requerimientos de
seguridad para
administración de
datos
PS4 - Política de
privacidad y
confidencialidad
1.1 Ambiente de
control
1.3 Administración
del riesgo
2.1 Actividades de
Control
2.2.3 sistemas de
Información
5 Roles y
responsabilidades
4.1 subnumeral
g) Identificar y
diseñar puntos
de control
sobre los
riesgos
5.6.2 h)
Riesgos
actualizados e
identificados
para la entidad
A.10.2 Gestión de la
prestación del
servicio por terceras
partes
A.10.6 Gestión de la
seguridad de las
redes
A.10.8 Intercambio
de la información
A10.9 Servicios de
Comercio
Electrónico
A.11.1 Requisito del
negocio para el
control de acceso
A.11.2 Gestión del
Página 62 de 207
AC6 Autenticidad
e integridad de las
transacciones
SO 4.5
Administración del
acceso
PO2.3 Esquema
de clasificación de
datos
SO 5.3
Administración de
mainframe
PO3.4 Estándares
tecnológicos
SO 5.4
Administración y
soporte de
servidores
PO6.2 Riesgo
Corporativo y
Marco de
Referencia de
Control Interno de
TI
AI1.2 Reporte de
análisis de riesgos
SO 5.5
Administración de
la red
SO 5.6
Almacenamiento y
archivo
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
acceso de usuarios
A.11.3
Responsabilidades
de los usuarios
A.11.4 Control de
acceso a las redes
A.11.5 Control de
acceso al sistema
operativo
A.11.6 Control de
acceso a las
aplicaciones y a la
información.
A.11.7 Computación
móvil y trabajo
remoto
A.12.1 Requisitos
de seguridad de los
sistemas de
información
A.12.3 Controles
criptográficos
AI2.3 Control y
auditabilidad de
las aplicaciones
SO 5.7
Administración de
bases de datos
AI2.4 Seguridad y
disponibilidad de
las aplicaciones.
SO 5.8
Administración de
servicios de
directorio
DS11.1
Requerimientos
del negocio para
administración de
datos
SO 5.10
Administración del
middleware
DS5.2 Plan de
seguridad de TI
SO 5.11
Administración de
Internet y servicios
web
DS5.3
Administración de
identidad
DS5.4
Administración de
cuentas del
usuario
DS5.7 Protección
de la tecnología
de seguridad
DS5.8
Administración de
llaves
criptográficas
DS5.10 Seguridad
de la red
DS5.11
Intercambio de
datos sensitivos
DS11.1
Requerimientos
del negocio para
administración de
datos
DS11.2 Acuerdos
de
almacenamiento y
conservación
DS11.3 Sistema
Página 63 de 207
SD 3.6.1 Diseño
de las soluciones
del servicio
SD 5.2
Administración de
información y
datos
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
de administración
de librerías de
medios
DS11.4
Eliminación
DS11.5 Backup y
restauración
DS11.6
Requerimientos de
seguridad para
administración de
datos
PS5 - Política de
integridad
1.3 Administración
del riesgo
2.2.3 sistemas de
Información
4.1 literal g)
Identificar y
diseñar puntos
de control
sobre los
riesgos
5.6.2 h)
Riesgos
actualizados e
identificados
para la entidad
4.2.1
Establecimiento del
SGSI, literales c)al
h)
AC4 Integridad y
validez del
procesamiento de
datos
A 10.9 Servicios de
comercio
electrónico
AC6 Autenticidad
e integridad de las
transacciones
A12.1 Requisitos de
seguridad de los
sistemas de
información
PO6.2 Riesgo
Corporativo y
Marco de
Referencia de
Control Interno de
TI
A.12.3 Controles
criptográficos
AI1.2 Reporte de
análisis de riesgos
AI2.3 Control y
auditabilidad de
las aplicaciones
AI2.4 Seguridad y
disponibilidad de
las aplicaciones.
DS11.1
Requerimientos
del negocio para
administración de
datos
DS5.2 Plan de
seguridad de TI
Página 64 de 207
SD 3.6.1 Diseño
de las soluciones
del servicio
SD 5.2
Administración de
información y
datos
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
DS5.8
Administración de
llaves
criptográficas
DS11.1
Requerimientos
del negocio para
administración de
datos
DS11.6
Requerimientos de
seguridad para
administración de
datos
PS6 - Política de
disponibilidad
del servicio
1.3 Administración
del riesgo
2.2.3 sistemas de
Información
4.1 literal g)
Identificar y
diseñar puntos
de control
sobre los
riesgos
5.6.2 h)
Riesgos
actualizados e
identificados
para la entidad
4.2.1
Establecimiento del
SGSI, literales c)al
h)
A.10.3
Planificación y
aceptación del
sistema
DS3 Administrar el
desempeño y la
capacidad
SO 4.1
Administración de
eventos
DS4 Garantizar la
continuidad del
servicio
SD 4.3
Administración de
la capacidad
SD 4.4
Administración de
la disponibilidad
A12.1 Requisitos de
seguridad de los
sistemas de
información
SD 4.4.5.2
Actividades de
administración de
la disponibilidad
A.14.1 Aspectos
de seguridad de la
información, de la
gestión de la
continuidad del
negocio.
SD 4.5
Administración de
la continuidad del
servicio
SO 5.2.3 Copia de
respaldo y
restauración
SD Apéndice K
Contenido de un
plan de
recuperación de
desastres
PS7 - Política de
disponibilidad
1.3 Administración
4.1 literal g)
Identificar y
diseñar puntos
4.2.1
Establecimiento del
SGSI, literales c)al
Página 65 de 207
DS4.9
Almacenamiento
de respaldos fuera
SO 5.2.3 Copia de
respaldo y
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
de la
información
del riesgo
2.2.3 sistemas de
Información
h)
de control
sobre los
riesgos
de las
instalaciones
A.10.5 Respaldo
DS11.2 Acuerdos
de
almacenamiento y
conservación
5.6.2 h)
Riesgos
actualizados e
identificados
para la entidad
restauración
SD 5.2
Administración de
información y
datos
DS11.5 Respaldo
y restauración
DS11.6
Requerimientos de
seguridad para la
administración de
datos
PS8 - Política de
protección del
servicio
1.3 Administración
del riesgo
2.2.3 sistemas de
Información
4.1 literal g)
Identificar y
diseñar puntos
de control
sobre los
riesgos
A.10.6 Gestión de la
seguridad de las
redes
5.6.2 h)
Riesgos
actualizados e
identificados
para la entidad
A.12.1 Requisitos
de seguridad de los
sistemas de
información
7.1
Planificación de
la realización
del producto o
prestación del
servicio
7.2 Procesos
relacionados
con el cliente
7.3 Diseño y
desarrollo
A.10.10 Monitoreo
A.12.5 Seguridad en
los procesos de
desarrollo y soporte
A.12.6 Gestión de la
vulnerabilidad
técnica
A.13.2 Gestión de
los incidentes y las
mejoras en la
seguridad de la
información
7.5 Producción
y prestación del
servicio
7.5.1 literal g)
Los riesgos de
mayor
probabilidad
Página 66 de 207
PO6.2 Riesgo
Corporativo y
Marco de
Referencia de
Control Interno de
TI
PO8.3 Estándares
de desarrollo y de
adquisición
AI1.2 Reporte de
análisis de riesgos
AI2 Adquirir y
mantener software
aplicativo
AI6 Administrar
cambios
DS2 Administrar
los servicios de
terceros
DS 5 Garantizar la
seguridad de los
sistemas
DS8 Administrar la
mesa de servicio y
los incidentes
SD 3.6.1
Diseñando
soluciones y
servicios
SO 4.1
Administración de
eventos
SO 4.2
Administración de
incidentes
SO 4.5
Administración del
acceso
SD 4.6
Administración de
la seguridad de la
información
SO5.13
Administración de
la seguridad de la
información y de la
operación de los
servicios
SO 5.5
Administración de
la red
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS8 - Política de
registro y
auditoria
3.1 Autoevaluación
3.2 Evaluación
independiente
3.3 Planes de
mejoramiento
7.5.2 Validación
de los procesos
de producción y
de la prestación
del servicio
8 Medición,
análisis y
mejora
A.10.10.1 Registro
de auditorias
A.10.10.4 Registros
del administrador y
del operador
A.10.10.5 Registro
de fallas
A.10.10.6
Sincronización de
relojes
AI2.3 Control y
auditabilidad de
las aplicaciones
DS5.5 Pruebas,
vigilancia y
monitoreo de la
seguridad
ME1.2 Definición y
recolección de
datos de
monitoreo
SO 5.1 Monitoreo
y control
CSI 4.1 Los siete
pasos del proceso
de mejoramiento
del servicio
CSI 8 Implementar
mejoramiento
continuo del
servicio
ME2.2 Revisiones
de Auditoria
ME2.5
Aseguramiento del
control interno
ME4.7
Aseguramiento
independiente.
Tabla 11: Relación de las políticas y objetivos de control del Modelo de seguridad SGSI para la Estrategia
de Gobierno en Línea con las normas y mejores prácticas de la industria.
6.5. Clasificaciones de seguridad del Modelo SGSI
6.5.1. Clasificación de entidades por grupo o naturaleza del servicio
El Modelo de Seguridad de la Información para la Estrategia de Gobierno en Línea, realmente consiste en
tres versiones del mismo, ya que las entidades no son similares en sus recursos, criticidad de su
información y los procesos de negocio, por lo que deben clasificarse en uno de los siguientes grupos que
están categorizados por la naturaleza del servicio que prestan. El Modelo de Seguridad, aplicará una
versión distinta en cuanto a los controles recomendados dependiendo del grupo al que pertenezca la
entidad.
Los siguientes son los grupos en los que se dividen las entidades destinatarias según su naturaleza del
servicio:
Página 67 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
GRUPO 1
Cafés Internet, Telecentros y Compartel
GRUPO 2
Entidades públicas de orden nacional y
territorial
GRUPO 3
Entidades privadas que pertenezcan a la
cadena de prestación de servicios de
Gobierno en Línea (como los ISP).
Tabla 12: Clasificación de grupos según la naturaleza de la entidad.
El Modelo de seguridad SGSI propuesto para la Estrategia de Gobierno en Línea, se presenta a las
entidades destinatarias en forma de políticas, objetivos de control y controles recomendados para su
implementación y mejoramiento. Las Políticas y objetivos de control, dado que son estratégicos y de
alto nivel, serán los mismos para todo el universo de entidades independiente del grupo al que
pertenezcan; los controles recomendados, si dependerán de la clasificación del grupo, es decir, las
entidades del grupo 1 tendrán que cumplir ciertos controles básicos, las del grupo 2 controles básicos
mas controles adicionales, y las del grupo 3, controles avanzados, asi:
GRUPO 1
Controles
básicos
Cafés Internet, Telecentros y Compartel
GRUPO 2
Entidades públicas de orden nacional y territorial
Controles
medios
GRUPO 3
Entidades privadas que pertenezcan a la cadena de prestación de servicios de
Gobierno en Línea (como los ISP).
Controles
avanzados
Tabla 13: Clasificación de controles según el grupo al que pertenezca la entidad.
Página 68 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
6.5.2. Niveles de madurez de los controles de seguridad recomendados
Independiente del grupo y de los controles que las entidades deban aplicar, cada control tiene un nivel
de madurez en seguridad de la información categorizado de 0 a 5, que la entidad deberá implementar
para evidenciar la mejora contínua del Modelo de seguridad SGSI para la Estrategia de Gobierno en
Línea. El Modelo fija niveles mínimos y óptimos de madurez para obtener los registros de seguridad de
la información –RSI que serán otorgados a las entidades que cumplan con estos niveles requeridos. Ver
mayor información relacionada con los registros RSI en el numeral 6.5.3. del presente documento.
Los niveles de madurez de la seguridad de la información de los controles recomendados por el Modelo
SGSI, son adaptados del Modelo CMM de CobIT versión 4.017, que los clasifican en los siguientes
niveles:
Nivel 0 No Existente: No hay políticas, procesos, procedimientos, o controles en seguridad
de la información. La entidad no reconoce los riesgos en seguridad de la información y por ende
la necesidad de su tratamiento.
Nivel 1 Inicial: La entidad reconoce que los riesgos en seguridad de la información deben ser
tratados/mitigados. No existen políticas ni procesos estandarizados sino procedimientos o
controles particulares aplicados a casos individuales.
Nivel 2 Repetible: Se desarrollan procesos y procedimientos en seguridad de la información
de forma intuitiva. No hay una comunicación ni entrenamiento formal y la responsabilidad de la
seguridad de la información recae en el sentido común de los empleados. Hay una excesiva
confianza en el conocimiento de los empleados, por tanto, los errores en seguridad de la
información son comunes.
Nivel 3 Definido: Los procesos y las políticas se definen, documentan y se comunican a través
de un entrenamiento formal. Es obligatorio el cumplimiento de los procesos y las políticas y por
tanto, la posibilidad de detectar desviaciones es alta. Los procedimientos por si mismos no son
sofisticados pero se formalizan las prácticas existentes.
Nivel 4 Administrado: Existen mediciones y monitoreo sobre el cumplimiento de los
procedimientos en seguridad de la información. Los procedimientos están bajo constante
17 Ver mayor información en www.isaca.org
http://www.isaca.org/Content/ContentGroups/Research1/Deliverables/COBIT_Mapping_Mapping_SEI’s_CMM_for_Software_With_COBIT_4_0.htm
Página 69 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
mejoramiento y proveen buenas
automatizadas para la medición.
practicas.
Normalmente
requiere
de
herramientas
Nivel 5 Optimizado: Los procesos, políticas y controles en seguridad de la información se
refinan a nivel de buenas prácticas con base en los resultados del mejoramiento continuo y los
modelos de madurez de otras empresas. Normalmente se cuenta con herramientas
automatizadas que apoyan a la gestión de la seguridad de la información.
La siguiente ilustración, muestra la representación gráfica de los modelos de madurez planteados
para el Modelo de Seguridad:
Ilustración 14: CMM Niveles de madurez. CobIT 4.0. IT Governance Institute.
6.5.3. Registro de Seguridad de la Información RSI - Graduación
El Modelo de Seguridad SGSI determina, de igual forma, la graduación de las entidades destinatarias
según el cumplimiento de los controles recomendados en los niveles de madurez requeridos, es decir,
independiente del grupo al que pertenezcan las entidades, podrán ser graduadas18 con registros de
18 Esta graduación la otorga el CSIRT como una de sus funciones. Para mayor información, ver el documento “Diseño de un CSIRT Colombiano, numeral 4.3.
Graduación”.
Página 70 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
seguridad de la información “RSI” en grados 1, 2 o 3, dependiendo de la madurez en la que se
encuentren implementados sus controles, así:
•
Entidades con controles en niveles de madurez 0 y 1: Registro RSI Grado 1,
•
Entidades con controles en niveles de madurez 2 y 3: Registro RSI Grado 2,
•
Entidades con controles en niveles de madurez 4 y 5: Registro RSI Grado 3.
La clasificación anterior se denomina “Graduación en el Sistema”. De tal forma, que si una entidad en
RSI 1 madura sus controles a nivel 3, podrá ser promocionada a RSI grado 2. Así mismo, el sistema
contempla la promoción de entidades de RSI 2 a RSI 3 si la madurez de los controles pasa a nivel 4 o
superior.
También se puede dar el caso que una entidad descuide los controles, por tanto, baje la madurez, y en
consecuencia, el sistema lo degrade a un grado RSI inferior o no genere el registro correspondiente.
En cuanto a la seguridad de la información, se puede hacer un diagnóstico de la situación actual según el
grado RSI de la entidad:
ESTADO DE LA SEGURIDAD DE LA INFORMACIÓN EN UNA ENTIDAD EN RSI GRADO 1:
Se identifican en forma general los activos de la organización.
Se observan eventos que atentan contra la seguridad de la información, los activos
y la continuidad del negocio, pero no se le da la debida importancia.
Los empleados no tienen conciencia de la seguridad de la información (prestan sus
claves, dejan sus equipos sin cerrar sesión, etc.).
Se responde reactivamente a las amenazas de intrusión, virus, robo de equipos y de
información.
ESTADO DE LA SEGURIDAD DE LA INFORMACIÓN EN UNA ENTIDAD EN RSI GRADO 2:
Se genera un inventario del hardware y software que hay en la organización a partir de
la identificación de los activos.
Página 71 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
Se identifican riesgos asociados con la información, los equipos de cómputo y las
aplicaciones, así mismo, se identifican vulnerabilidades por medio de trabajos no periódicos
en seguridad informática (pruebas de vulnerabilidad).
Se empiezan a elaborar informes de los incidentes de seguridad ocurridos.
Se tienen en cuenta algunos procedimientos de seguridad de la información (por ej.
creación de contraseñas seguras, administración segura de usuarios, clasificación de la
información, desarrollo seguro de software, etc.) pero aún no se han formalizado en los
sistemas de gestión documental o de calidad de la organización.
Se empieza a observar en los empleados una conciencia de la seguridad de la
información, pero aún no demuestran un compromiso con ella.
Se diseña e implementa el sistema de gestión de seguridad de la información SGSI.
Se definen las Políticas de Seguridad de la Información de la organización
basadas en la Norma ISO27001 debido a que se incrementa el interés por
buscar las causas
que
originaron
la
ocurrencia
de
los
eventos
que
atentaron contra la información, los activos y la continuidad del negocio.
Se divulgan las Políticas de Seguridad de la Información en toda la organización.
Se crean indicadores y métricas de seguridad para medir la evolución y mejora del sistema
SGSI.
Se realiza la clasificación de los activos y de la información de la entidad los equipos
aplicaciones, para así poder dar protección adecuada a cada uno de ellos.
y
Se cuentan con Planes de continuidad del negocio enfocados únicamente a la
infraestructura tecnológica (DRP – Planes de recuperación ante desastres), no obstante,
se dejan de lado los procesos críticos de la organización.
Se crean planes de acción y de tratamiento del riesgo con responsables y fechas de
cumplimiento.
Se incluyen dentro de los procesos de negocio de la organización, las normas de
seguridad de la información (por ej. mejores prácticas en centros de cómputo).
Se empieza a observar un compromiso de los empleados con la seguridad de la
información.
Se establecen controles y medidas básicas para disminuir los incidentes y prevenir su
ocurrencia en el futuro.
Página 72 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
Se cuenta con procedimientos que enseñan a los empleados
información y los equipos de cómputo en forma segura.
Se monitorea la red de la organización,
intrusiones, o infecciones de virus.
como
una
a manejar
la
medida preventiva contra
ESTADO DE LA SEGURIDAD DE LA INFORMACIÓN EN UNA ENTIDAD EN RSI GRADO 3:
Se realizan periódicamente auditorias internas al sistema SGSI.
Se crea el comité de seguridad interdisciplinario con el cuál se busca tratar temas
Seguridad de la Información que sean de interés para la organización.
de
Se analizan los indicadores y métricas para medir el cumplimiento del sistema SGSI con
relación a las normas internacionales en seguridad de la información para establecer si las
Políticas de Seguridad de la organización (incluyendo los contratos con empleados y
terceros), están siendo acatadas correctamente.
Los roles del área de Seguridad de la información están bien definidos y se lleva un
registro de las actividades que realiza cada rol.
Se
cuenta
con
Planes
de
continuidad
del
negocio (BCP) que contemplan
solo los procesos críticos del negocio (los que garantizan la continuidad del
mismo), no obstante se dejan otros procesos de la organización por fuera.
Se implementan los controles de seguridad técnicos y no técnicos recomendados en los
planes de acción.
Se monitorean periódicamente los activos de la organización.
Se realizan de manera sistemática pruebas a los controles, para determinar si están
funcionando correctamente.
Se hacen simulacros de incidentes de seguridad, para probar la efectividad de los
planes BCP – DRP y de respuesta a incidentes.
Se realizan pruebas a las aplicaciones, para verificar el cumplimiento de los
requisitos
de seguridad definidos en las políticas y controles de seguridad de la
organización.
Página 73 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
Se hacen pruebas de intrusión periódicas a los equipos críticos de la organización,
para detectar, claves débiles o fáciles de adivinar, y accesos a ciertos sistemas por
usuarios no autorizados.
El sistema SGSI evoluciona sus indicadores y métricas de seguridad, evidencia la
implementación de planes de mitigación del riesgo con la puesta en producción de controles
recomendados y realiza auditorias periódicas de cumplimiento.
Los empleados apoyan y
información en la organización.
contribuyen
al
mejoramiento
de
la seguridad de la
La organización aprende continuamente sobre los incidentes de seguridad presentados.
Se analizan las recomendaciones arrojadas por las auditorias y consultorías de seguridad
de la información para que se puedan definir acciones preventivas más efectivas.
Se incluyen todas las áreas y procesos de la organización
críticos), en los planes de continuidad y de respuesta a incidentes.
(críticos
y
no
En el documento “Diseño de un CSIRT Colombiano”, numeral 10 –Presupuesto preliminar de inversión y
funcionamiento, se puede obtener mayor información con respecto a las condiciones económicas
planteadas para la graduación de las entidades en el Modelo SGSI según su grado RSI.
6.5.4. Controles de de Seguridad de la información recomendados por Grupo
Dado que las políticas estratégicas de seguridad planteadas en este documento, necesitan ser aplicadas
por las entidades destinatarias según su agrupación dentro del Modelo de seguridad, se proponen una
serie de controles de seguridad de la información clasificados en diferentes niveles según el grupo al
que pertenezca la entidad, para lo cual, se ha establecido la siguiente tabla de controles, que serán
verificados por cada una de las entidades a través de la herramienta de auto-evaluación:
Página 74 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
6.5.4.1.
Controles para entidades clasificadas en Grupo 1 (Cafés Internet, Telecentros
y Compartel):
# Control
1
2
3
Control
Planeación
Identificación de la
legislación aplicable
Gestión de riesgos
Políticas
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
Inventario de activos
Conciencia en
seguridad de
información
Descripción
Elaborar y documentar los planes para mantener y mejorar
el servicio
Identificar la reglamentación existente para el servicio
ofrecido
Elaborar y mantener actualizado un mapa de riesgos
Establecer políticas para el uso adecuado de los recursos,
protección de derechos de autor y protección contra
pornografía infantil
Elaborar y mantener un inventario actualizado de los
activos
Entrenar al administrador y al personal de apoyo del
centro de servicios (café Internet, Telecentro) en
fundamentos básicos de seguridad. Preparar y comunicar
guías básicas para clientes sobre Internet seguro y uso
aceptable de servicios ofrecidos
Servicios de suministro Proteger los equipos contra fallas en el suministro de
energía
Seguridad del
Proteger el cableado de energía y de red contra daños
cableado
Protección contra
Suministrar equipo apropiado contra incendios
incendios
Seguridad de oficinas, Tener presente los reglamentos y normas sobre seguridad
recintos e instalaciones y salud (por ejemplo, ergonomía en el sitio de trabajo,
limpieza)
Mantenimiento de los
equipos
Proteger contra código
malicioso
Registro de fallas
Sincronización de
relojes
Derechos de propiedad
intelectual
Uso de firewall
Estándar de
configuración
Programar mantenimiento preventivo y correctivo de los
equipos
Instalar software antivirus y mantenerlo actualizado
Registrar y analizar las fallas de los equipos
Sincronizar los relojes de los equipos con la hora
establecida en la página de la SIC
Usar software protegido con las debidas licencias
Instalar un firewall personal en cada estación de trabajo
Definir e implementar un estándar para configurar los
equipos del centro de servicios de manera que controle la
descarga e instalación de software y los cambios en la
configuración del sistema
Respaldo
Mantener copias de respaldo de la configuración de
equipos y de la red local
Seguridad de oficinas, Tener presente los reglamentos y normas sobre seguridad
recintos e instalaciones y salud (por ejemplo, ergonomía en el sitio de trabajo,
limpieza)
Página 75 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
Monitoreo y control de
recursos
Administrar parches
20
21
Control de acceso
Acuerdos de servicio
22
23
Evaluación del servicio
24
Controlar uso de los recursos del centro de servicios
Implementar procedimiento para instalar parches de los
sistema operativos
Controlar el ingreso y salida de personal
Establecer acuerdos de servicio con proveedores (ISP,
proveedores de equipos y software, mantenimiento de
equipos, etc.).
Programar encuestas entre los usuarios para evaluar el
servicio
Tabla 15: Controles de seguridad recomendados para las entidades del Grupo 1
6.5.4.2.
Política
Controles para entidades clasificadas en Grupo 2 (Entidades públicas de orden
nacional y territorial):
Objetivo de
Control
# Control
Nombre del
Control
Descripción
Control de
Acceso
PS1
PS1.1-PS1.8
AC-1
Política y
procedimientos
de control de
acceso
Página 76 de 207
Control: La entidad desarrolla, divulga, revisa
y actualiza periódicamente: (i) una política de
control de acceso formal y documentada, que
incluye el propósito, alcance, roles,
responsabilidades, compromiso de la
administración, coordinación entre entidades
organizacionales y cumplimiento. (ii)
procedimientos formales, documentados para
facilitar la implementación de la política de
control de acceso y controles asociados.
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS1
PS1.1, PS1.7
AC-2
Administración de Control: La entidad administra las cuentas de
cuentas
acceso a los sistemas de información y
servicios de TI e incluye el establecer, activar,
modificar, revisar, desactivar y remover
cuentas. La entidad revisa las cuentas de los
sistemas de información según una
frecuencia definida, por lo menos cada 6
meses.
Mejoras en el control:
(1)
La entidad utiliza mecanismos automatizados
para apoyar la administración de cuentas del
sistema de información y servicios de TI.
(2)
Se desactivan automáticamente las cuentas
temporales y de emergencia después de un
periodo de tiempo definido para cada tipo de
cuenta.
(3)
Se desactivan automáticamente las cuentas
inactivas después de un período de tiempo
establecido.
(4)
La entidad utiliza mecanismos automatizados
para auditar las acciones de creación,
modificación, desactivación y terminación de
cuentas y notifica a los usuarios en la medida
en que se requiera.
PS1
PS1.2
AC-3
Forzar el acceso
Control: Se establecen las autorizaciones
asignadas para controlar el acceso al sistema
según la política aplicable.
Mejoras en el control:
(1)
Se restringe el acceso a funciones
privilegiadas (instaladas en el hardware,
software y firmware) y a la información de
seguridad importante al personal autorizado.
PS1
PS8.1
AC-4
Restringir el flujo
de información
Control: Se establecen las autorizaciones
asignadas para controlar el flujo de
información dentro del sistema y entre
sistemas interconectados de acuerdo con la
política aplicable.
PS1
PS1.2
AC-5
Segregación de
funciones
Página 77 de 207
Control: Se establece segregación de
funciones a través de autorizaciones de
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
acceso asignadas.
PS1
PS1.2, PS1.6
AC-6
Principio del
mínimo privilegio
Control: Se establece el conjunto de
derechos y privilegios más restrictivo o los
accesos mínimos necesarios de los
usuarios(o procesos actuando en
representación de los usuarios) para el
desempeño de las tareas específicas.
PS1
PS1.8
AC-7
Intentos de login
fallidos
Control: Se establece un número límite de
intentos de acceso fallidos durante un periodo
de tiempo. Automáticamente se bloquea la
cuenta por sobrepasar el límite de intentos de
acceso fallidos durante un periodo de tiempo
definido.
PS1
PS1.8
AC-8
Notificación de
uso del sistema
Control: Se despliega un mensaje de
notificación de uso del sistema antes de
autorizar el acceso informando al usuario
potencial: (i)que el usuario está accesando un
servicio o trámite de Gobierno en Línea; (ii) el
uso del sistema puede ser monitoreado,
grabado, y sujeto a auditoria; (iii) que el uso
no autorizado del sistema está prohibido y
sujeto a acción penal y civil; y (iv) que el uso
del sistema indica que hay consenso para
monitorear y grabar. El sistema que usa
mensajes de notificación proporciona alertas
de privacidad y seguridad apropiadas y
permanecen desplegadas en la pantalla hasta
que el usuario ingresa al sistema.
PS1
PS1.8
AC-9
Notificación de
logon previos
Control: Se notifica al usuario, la fecha y la
hora del último ingreso exitoso, y el número
de intentos de ingreso fallidos desde el último
logon exitoso.
PS1
PS1.8
AC-10
Control de
sesiones
concurrentes
Control: Se limita el número de sesiones
concurrentes para cada usuario según un
número establecido por la entidad.
Página 78 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS1
PS1.8
AC-11
Bloqueo de la
sesión
PS1
PS1.8
AC-12
Terminación de la Control: El sistema de información
sesión
automáticamente termina una sesión remota
después de un período de tiempo de
inactividad establecido por la entidad.
Mejoras al control:
(1)
La terminación automática de la sesión aplica
para sesiones locales y remotas.
PS1
PS1.1, PS1.2
AC-13
Control: La entidad supervisa y revisa las
Supervisión y
revisión del
actividades de los usuarios con respecto a
control de acceso reforzar y usar los controles de acceso del
sistema de información y servicios de TI.
Mejoras al control:
(1)
Las entidad utiliza mecanismos
automatizados para facilitar la revisión de las
actividades de los usuarios.
PS1
PS1.1
AC-14
Acciones
permitidas sin
identificación o
autenticación
Control: La entidad identifica y documenta
las acciones específicas del usuario que
pueden ser desarrolladas en el sistema de
información sin identificación o autenticación.
Mejoras al control:
(1)
La entidad permite que se ejecuten algunas
acciones sin identificación o autenticación
sólo bajo autorización y bajo el principio de
necesidad de conocer, es decir, lo mínimo
necesario para el cumplimiento de una labor.
PS4
PS4.1, PS4.2
AC-15
Marcación
automatizada
Control: El sistema de información marca las
salidas de información usando convenciones
de nombres estándar para identificar
instrucciones de divulgación, manejo o
distribución especial.
Página 79 de 207
Control: Después de un período de tiempo
de inactividad se bloquea la sesión y se obliga
a iniciar una nueva sesión. El bloqueo
permanece hasta que el usuario se identifique
y autentique nuevamente.
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS1
PS1.1, PS1.2,PS8.1 AC-17
Acceso remoto
Control: La entidad autoriza, monitorea y
controla todos los métodos de acceso remoto
al sistema de información.
Mejoras al control:
(1)
La entidad utiliza mecanismos automatizados
para facilitar el monitoreo y control de los
métodos de acceso remoto.
(2)
La entidad utiliza criptografía para proteger la
confidencialidad e integridad de las sesiones
de acceso remoto.
(3)
La entidad controla todos los acceso remotos
mediante un número limitado de puntos de
control de acceso administrados.
(4)
La entidad permite acceso remoto para
funciones privilegiadas solo para necesidades
operacionales y se documenta y justifica tal
acceso en el plan de seguridad del sistema de
información.
PS1
PS1.1,PS1.2,PS8.1
Restricciones de
acceso
inalámbrico
Control: La entidad: (i) establece restricciones
de uso y guías de implementación para
tecnologías inalámbricas y (ii) autoriza,
monitorea y controla el acceso inalámbrico al
sistema de información.
Mejoras al control:
(1)
La entidad utiliza autenticación y encripción
para proteger el acceso inalámbrico al
sistema de información.
(2)
La entidad escanea los puntos de acceso
inalámbrico no autorizados con una
frecuencia establecida y toma las acciones
apropiadas en caso de encontrar tales puntos
de acceso.
PS1
PS1.1,PS1.2, PS8.1 AC-19
Control de acceso
para dispositivos
móviles y
portátiles.
Control: La entidad: (i) establece
restricciones para el uso y una guía de
implementación para los dispositivos móviles
y portátiles; y (ii) autoriza, monitorea y
controla el acceso de los dispositivos móviles
a los sistemas de información.
AC-18
Página 80 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS1
PS1.1,PS1.2, PS8.1 AC-20
Uso de sistemas
de información
externos
Control: La entidad establece términos y
condiciones para usuarios autorizados al: (i)
acceder el sistema de información desde un
sistema de información externo; y (ii)
procesar, almacenar y /o transmitir
información controlada por la organización
mediante un sistema de información externo.
Mejoras al control:
(1)
La entidad prohíbe a los usuarios autorizados
por el sistema de información externo acceder
el sistema de información interno o procesar,
almacenar, o transmitir información controlada
por la organización excepto en situaciones
donde la entidad: (i) pueda verificar el empleo
de controles de seguridad requeridos en el
sistema externo según lo especificado en la
política de seguridad de la información de la
entidad y en el plan de seguridad de
sistemas; o (ii) ha aprobado la conexión al
sistema de información o acuerdos de
procesamiento con la entidad que hospeda el
sistema de información externo.
Identificac
ión y
autenticac
ión
PS1
PS1.3, PS1.4,
PS1.5
IA-1
Política y
procedimientos
de identificación y
autenticación
Página 81 de 207
Control: La entidad desarrolla, divulga y
revisa o actualiza periódicamente: (i) una
política formal, documentada de identificación
y autenticación que incluye el el propósito,
alcance, roles, responsabilidades,
compromiso de la administración,
coordinación entre entidades
organizacionales y cumplimiento; y (ii)
procedimientos formales y documentados
para facilitar la implementación de la política
de identificación y autenticación y los
controles asociados.
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS1
PS1.3, PS1.4,PS1.5 IA-2
Identificación y
autenticación de
usuarios
Control: Se identifican y autentican usuarios
únicos (o procesos actuando en nombre de
usuarios).
Mejoras al control:
(1)
Se emplea en los sistemas de información el
factor de autenticación múltiple nivel 3 o 4
para acceso remoto al sistema, según la
publicación NIST 800-63.
(2)
Se emplea en los sistemas de información el
factor de autenticación múltiple nivel 3 o 4
para acceso local al sistema, según la
publicación NIST 800-63.
(3)
Se emplea en los sistemas de información el
factor de autenticación múltiple nivel 4 para
acceso remoto al sistema, según la
publicación NIST 800-63.
PS1
PS1.3, PS1.4,PS1.5 IA-3
Dispositivos de
identificación y
autenticación
Control: Se identifican y autentican los
dispositivos específicos antes de establecer
una conexión.
PS1
PS1.4,PS1.5,PS1.7
IA-4
Gestión de
identificadores
Control: La entidad administra los
identificadores de usuario mediante:
(i)identificación único de usuario; (ii)
verificando la identidad de cada usuario; (iii)
recibiendo autorización para emitir
identificador de usuario de un ente oficial
aprobado; (iv) entrega del identificador de
usuario a la parte interesada; (v) deshabilitar
el identificador de usuario después de un
periodo de inactividad y (vi) archivar los
identificadores de usuario deshabilitados.
PS1
PS1.4,PS1.5,PS1.7
IA-5
Gestión de
autenticadores
Control: La entidad administra los
autenticadores de los sistemas de información
: (i) definiendo un contenido inicial del
autenticador; (ii) estableciendo
procedimientos administrativos para
distribución del autenticador inicial , en caso
de pérdida, compromiso o daño del
autenticador o para revocar los
autenticadores; (iii) cambiar los
autenticadores default después de la
instalación del sistema de información ; y (iv)
Página 82 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
cambiar los autenticadores periódicamente.
PS1
PS1.4,PS1.5
IA-6
Ocultamiento del
autenticador
Control: La información de autenticación no
es visible durante el proceso de autenticación
para evitar posible acceso no autorizado.
PS1
PS1.4,PS1.5
IA-7
Autenticación con Control: Se emplean métodos de
módulo
autenticación que reúnen los requerimientos
criptográfico
de políticas, regulaciones, estándares y guías
para autenticar con un módulo criptográfico.
Concienci
ay
entrenami
ento
PS4,PS6 PS4.1,
AT-1
,PS7
PS4.2,PS6.1,PS6.2,
PS6.3,PS7.1,PS7.2
Política y
procedimientos
en conciencia y
entrenamiento en
seguridad
Control: La entidad desarrolla, divulga, revisa
y actualiza periódicamente : (i) una política
formal y documentada de conciencia y
entrenamiento en seguridad de la información
que incluye el propósito, el alcance, roles,
responsabilidades , compromiso de la
administración, coordinación entre entidades
organizacionales y cumplimiento; y (ii)
procedimientos formales y documentados
para facilitar la implementación de la política
de conciencia y entrenamiento en seguridad y
los controles asociados.
PS4,PS6 PS4.1,
AT-2
,PS7
PS4.2,PS6.1,PS6.2,
PS6.3,PS7.1,PS7.2
Conciencia en
seguridad
Control: La entidad suministra entrenamiento
básico en conciencia de seguridad a todos los
usuarios de los sistemas de información
(incluyendo administradores y ejecutivos
senior) antes de autorizar el acceso al
sistema, cuando se requiera por cambios en
el sistema o regularmente según un período
establecido.
Página 83 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS8
PS8.1
AT-3
Entrenamiento en Control: La entidad identifica al personal que
seguridad
tiene roles y responsabilidades de seguridad
de los sistemas de información durante el
ciclo de desarrollo del sistema, documenta
dichos roles y responsabilidades y suministra
apropiado entrenamiento en seguridad de la
información: (i) antes de autorizar el acceso a
los sistemas y antes de ejecutar las funciones
asignadas; (ii) cuando se requiera por
cambios en el sistema; y (iii) regularmente
con una periodicidad establecida.
PS9
PS9.1
AT-4
Registros de
entrenamiento en
seguridad
Control: La entidad documenta y monitorea
las actividades de entrenamiento en
seguridad del sistema de información
incluyendo entrenamiento básico y especifico.
PS8
PS8.1
AT-5
Contactos con
grupos de interés
y asociaciones de
seguridad
Control: La entidad establece y mantiene
contacto con grupos de interés especiales,
foros especializados, asociaciones
profesionales, grupos de seguridad,
profesionales de seguridad y organizaciones
similares para mantenerse actualizado con las
últimas prácticas o técnicas y tecnologías de
seguridad y compartir información relacionada
con seguridad incluyendo amenazas,
vulnerabilidades e incidentes.
Auditoria
y
rendición
de
cuentas
Página 84 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS9
PS9.1
AU-1
Política y
procedimientos
de auditoria y
rendición de
cuentas
Control: La entidad desarrolla, divulga, revisa
y actualiza periódicamente: (i) una política
formal y documentada de auditoria y rendición
de cuentas que incluye el propósito, alcance,
roles y responsabilidades, compromiso de la
administración, coordinación entre entidades
organizacionales y cumplimiento; y (ii)
procedimientos formales y documentados
para facilitar la implementación de la política y
los controles asociados.
PS9
PS9.1
AU-2
Eventos
auditables
Control: Se generan registros de auditoria de
los siguientes eventos:
Mejoras al control:
(1)
El sistema de información suministra la
capacidad de compilar los registros de
auditoria a partir de múltiples componentes
del sistema en un archivo de auditoria
correlacionado con el tiempo.
(2)
El sistema de información provee la
capacidad de administrar la selección de
eventos a ser auditados.
(3)
La entidad revisa y actualiza periódicamente
la lista de eventos auditables de la
organización.
PS9
PS9.1
AU-3
Contenido de los
registros de
auditoria
Control: Los registros de auditoria generados
por el sistema de información contienen la
información suficiente para establecer qué
eventos ocurrieron, las fuentes de los eventos
y los consecuencias de los eventos.
Mejoras al control:
(1)
La entidad provee la capacidad de incluir
información más detallada en los registros de
auditoria para eventos identificados por tipo,
ubicación o sujeto.
(2)
El sistema de información provee la
capacidad para administrar centralizadamente
el contenido de los registros de auditoria
generados por componentes individuales a
través del sistema.
Página 85 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS6,PS9 PS6.2, PS9.1
AU-4
Capacidad de
almacenamiento
de la auditoria
Control: La entidad asigna suficiente
capacidad de almacenamiento para los
registros de auditoria y configura la auditoria
de manera que se reduzca la probabilidad de
que se exceda tal capacidad.
PS9
PS9.1
AU-5
Respuesta a
fallas en la
auditoria al
procesamiento
Control: El sistema de información alerta al
responsable apropiado en el evento de una
falla de procesamiento y ejecuta las posibles
acciones siguientes: shutdown, sobre escribe
el registro de auditoria más viejo, para la
generación de los registros de auditoria).
Mejoras al control:
(1)
El sistema de información despliega una
alerta cuando el volumen de almacenamiento
de los registros de auditoria llega a la
capacidad máxima definida.
(2)
El sistema de información genera una alerta
en tiempo real cuando los eventos de falla de
auditoria ocurren.
PS9
PS9.1
AU-6
Monitoreo,
análisis y reporte
de auditoria
Control: La entidad revisa y analiza
regularmente los registros de auditoria de los
sistemas de información para obtener
indicaciones de actividad no usual o
inapropiada, investigar actividad sospechosa
o violaciones a la seguridad, reporta hallazgos
al personal apropiado y ejecuta las acciones
pertinentes.
Mejoras al control:
(1)
La entidad utiliza mecanismos automáticos
para integrar el monitoreo de auditoria, el
análisis y el reporte en un proceso global
para investigación y respuesta ante
actividades sospechosas.
(2)
La entidad utiliza mecanismos automáticos
para alertar al personal de seguridad de las
actividades inapropiadas o inusuales.
Página 86 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS9
PS9.1
AU-7
Parametrización
de la auditoria y
generación de
reporte
Control: El sistema de información permite
disminuir los parámetros de auditoria y
generar reporte.
Mejoras al control:
(1)
El sistema de información provee la
capacidad para procesar automáticamente los
registros de auditoria para eventos de interés
basados en criterios seleccionables.
PS9
PS9.1
AU-8
Estampación
electrónica
Control: El sistema de información provee
estampación electrónica en la generación de
los registros de auditoria.
Mejoras al control:
(1)
La entidad sincroniza los relojes internos de
los sistemas de información con una
frecuencia establecida.
PS9
PS9.1
AU-9
Protección de la
información de
auditoria
Control: Se protege la información y las
herramientas de auditoria contra acceso no
autorizado, modificación o borrado.
PS9
PS9.1
AU-10
No repudiación
Control: El sistema de información provee la
capacidad para determinar si un usuario en
particular ejecuta una acción específica.
PS9
PS9.1
AU-11
Retención de
registros de
auditoria
Control: La entidad define un periodo de
retención de los registros de auditoria para
proporcionar soporte ante investigaciones de
incidentes de seguridad y cumplir con los
requerimientos regulatorios de retención de la
información organizacional.
Certificaci
ón,
acreditaci
ón y
evaluacio
nes de
Página 87 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
seguridad
PS9
PS9.1
CA-1
Certificación,
acreditación y
seguridad
Control: La entidad desarrolla, divulga, revisa
y actualiza periódicamente: (i) políticas
formales y documentadas de certificación,
acreditación y evaluación de seguridad de la
información que incluye el propósito, alcance,
roles y responsabilidades, compromiso de la
administración, coordinación entre entidades
organizacionales y cumplimiento; y (ii)
procedimientos formales y documentados
para facilitar la implementación de las
políticas y sus controles asociados.
PS9
PS9.1
CA-2
Evaluaciones de
seguridad
Control: La entidad lleva a cabo evaluación
de los controles de seguridad del sistema de
información con una frecuencia establecida
(por lo menos una vez al año) para determinar
si los controles están implementados
correctamente, son efectivos y producen los
resultados deseados con respecto a reunir los
requisitos de seguridad para el sistema.
PS9
PS9.1
CA-3
Interfaces del
sistema de
información
Control: La entidad autoriza todas las
conexiones del sistema de información con
otros sistemas externos mediante el uso de
acuerdos de conexión a sistemas y monitoreo
y control de las conexiones de manera
continúa.
PS9
PS9.1
CA-4
Certificación de
seguridad
Control: La entidad lleva a cabo una
evaluación de los controles de seguridad en el
sistema de información para determinar si
están implementados correctamente según
los requisitos de seguridad del sistema.
Mejoras al control:
(1)
La entidad se apoya en una entidad o equipo
de certificación independiente para conducir
una evaluación de los controles de seguridad
en el sistema de información.
Página 88 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS9
PS9.1
CA-5
Plan de acción y
puntos de control
Control: La entidad desarrolla y actualiza un
plan de acción y los puntos de control para el
sistema de información y documenta las
acciones de remediación planeadas,
implementadas y evaluadas para corregir las
deficiencias encontradas durante la
evaluación de los controles de seguridad y
reducir o eliminar las vulnerabilidades
conocidas en el sistema.
PS9
PS9.1
CA-6
Acreditación de
seguridad
Control: La entidad acredita al sistema de
información antes de su entrada en operación
y actualiza la autorización en un periodo
establecido o cuando surjan cambios
significativos. Un oficial senior de la entidad
firma y aprueba la acreditación de seguridad.
PS9
PS9.1
CA-7
Monitoreo
continuo
Control: La entidad monitorea los controles
de seguridad en el sistema de información de
manera periódica.
Administr
ación de
la
configura
ción
PS8
PS8.1
CM-1
Política y
procedimientos
de administración
de configuración
Página 89 de 207
Control: La entidad desarrolla, divulga,
revisa y actualiza periódicamente: (i) una
política formal y documentada de
administración de la configuración e incluye el
propósito, alcance, roles, responsabilidades,
compromiso de la administración,
coordinación entre entidades
organizacionales y cumplimiento; y (ii)
procedimientos formales y documentados
para facilitar la implementación de la política y
los controles asociados.
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS8
PS8.1
CM-2
Configuración
básica
Control: La entidad desarrolla, documenta y
mantiene una configuración básica del
sistema de información.
Mejoras al control:
(1)
La entidad actualiza la configuración básica
del sistema de información con parte integral
de la instalación de los componentes del
sistema de información.
(2)
La entidad utiliza mecanismos automáticos
para mantener actualizada, completa, exacta
y disponible la configuración básica del
sistema de información.
PS8
PS8.1
CM-3
Control de
cambios a la
configuración
Control: La entidad autoriza, documenta y
controla los cambios al sistema de
información.
Mejoras al control:
(1)
Le entidad utiliza mecanismos automáticos
para: (i) documentar los cambios propuestos
al sistema de información; (ii) notificar a la
administración responsable de aprobación
apropiada; (iii) Alertar sobre las aprobaciones
que no se han recibido de manera oportuna;
(iv) posponer los cambios hasta que se
reciban las aprobaciones necesarias; y (v)
documentar los cambios al sistema de
información.
PS8
PS8.1
CM-4
Monitorear los
cambios a la
configuración
Control: La entidad monitorea los cambios al
sistema de información y conduce un análisis
de impacto a la seguridad para determinar los
efectos de los cambios.
PS8
PS8.1
CM-5
Restricciones de
acceso para
cambios
Control: La entidad: (i) aprueba los privilegios
de acceso individuales y establece
restricciones de acceso lógico y físico
asociados con cambios al sistema de
información; y (ii) genera, retiene y revisa los
registros que reflejan todos los cambios.
Mejoras al control:
(1)
La entidad utiliza mecanismos automáticos
para forzar restricciones de acceso y soportar
la auditoria de las acciones.
Página 90 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS8
PS8.1
CM-6
Estándares de
configuración
Control: La entidad (i) establece estándares
de configuración obligatorios para los
productos de TI utilizados en el sistema de
información; (ii) configura los estándares de
seguridad al modo mas restrictivo posible
según los requisitos operacionales; (iii)
documenta los estándares de configuración;
y (iv) forza los estándares de configuración
en todos los componentes del sistema de
información.
Mejoras al control:
(1)
La entidad utiliza mecanismos automáticos
para administrar centralizadamente, aplicar y
verificar los estándares de configuración.
PS8
PS8.1
CM-7
Mínima
funcionalidad
Control: La entidad configura el sistema de
información para proveer solo las
capacidades esenciales y prohíbe o restringe
el uso de funciones, puertos, protocolos, y o
servicios adicionales.
Mejoras al control:
(1)
Le entidad revisa periódicamente el sistema
de información para identificar y eliminar
funciones, puertos, protocolos, y o servicios
innecesarios.
PS8
PS8.1
CM-8
Inventario de
componentes del
sistema de
información
Control: La entidad desarrolla, documenta y
mantiene un inventario actualizado de los
componentes del sistema de información y la
información relevante de los dueños.
Mejoras al control:
(1)
La entidad actualiza el inventario de los
componentes del sistema de información
como parte de las instalaciones de los
componentes del sistema.
(2)
La entidad utiliza mecanismos automáticos
para ayudar a mantener actualizado,
completo, exacto y disponible el inventario de
componentes del sistema de información.
Plan de
contingen
Página 91 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
cias
PS6
PS6.1, PS6.2,
PS6.3
CP-1
Política y
procedimientos
del plan de
contingencias
Control: La entidad desarrolla, divulga, revisa
y actualiza periódicamente: (i) una política
formal y documentada de planeación de
contingencias que incluye el propósito,
alcance, roles, responsabilidades,
compromiso de la administración,
coordinación entre entidades
organizacionales y cumplimiento; y (ii)
procedimientos formales y documentados
para facilitar la implementación de la política
del plan de contingencia y los controles
asociados.
PS6
PS6.3
CP-2
Plan de
contingencias
Control: La entidad desarrolla e implementa
un plan de contingencias para el sistema de
información que incluye roles y
responsabilidades, personal asignado con
información de contacto y actividades
asociadas con la restauración del sistema
después de una interrupción o falla. Se
nombra a los coordinadores del plan dentro
de la entidad encargados de revisar y aprobar
el plan y distribuir las copias al personal clave
de contingencias.
Mejoras al control:
(1)
La entidad coordina el desarrollo del plan de
contingencias con las áreas responsables de
los planes relacionados.
(2)
La entidad conduce una planeación de la
capacidad de manera que se asegure la
existencia de la capacidad necesaria para el
procesamiento de la información, las
telecomunicaciones y el soporte ambiental
durante las situaciones de crisis.
Página 92 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS6
PS6.3
CP-3
Entrenamiento en Control: La entidad entrena al personal en
contingencias
los roles y responsabilidades de contingencia
con relación al sistema de información y
provee capacitación por lo menos
anualmente.
Mejoras al control:
(1)
La entidad incorpora eventos simulados en
entrenamiento de contingencias para facilitar
respuesta efectiva por el personal en
situaciones de crisis.
(2)
La entidad utiliza mecanismos automáticos
para proveer un ambiente de entrenamiento
más real.
PS6
PS6.3
CP-4
Pruebas y
simulacros del
plan de
contingencias
Página 93 de 207
Control: La entidad: (i) prueba y /o realiza
simulacros del plan de contingencias para el
sistema de información por lo menos
anualmente. y (ii) revisa los resultados de las
pruebas al plan y las acciones correctivas
pertinentes.
Mejoras al control:
(1)
La entidad coordina las pruebas al plan de
contingencias con el personal de las áreas
responsables por los planes relacionados.
Ejemplos de planes relacionados son: los
planes de continuidad de negocio, plan de
recuperación de desastres, plan de
continuidad de las operaciones, plan de
recuperación del negocio, plan de respuesta a
incidentes y plan de acción de emergencias.
(2)
La entidad prueba el plan de contingencias en
un sitio de procesamiento alterno para
familiarizar al personal de contingencias con
las instalaciones y los recursos disponibles y
evaluar las capacidades del sitio para
soportar las operaciones de contingencia.
(3)
La entidad emplea mecanismos automáticos
para realizar pruebas efectivas al plan de
contingencias y proveer un cubrimiento más
completo a los ambientes y escenarios de
pruebas.
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS6
PS6.3
CP-5
Actualización del
plan de
contingencias
Control: La entidad revisa el plan de
contingencias para el sistema de información
por lo menos anualmente para incluir los
cambios al sistema o cambios en la
organización o problemas encontrados
durante la implementación, ejecución o
pruebas al plan.
PS6
PS6.3
CP-6
Sitio de
almacenamiento
alterno
Control: La entidad identifica un sitio de
almacenamiento alterno e inicia los acuerdos
necesarios para permitir almacenamiento de
los backups del sistema de información.
Mejoras al control:
(1)
La entidad identifica un sitio de
almacenamiento alterno que está
geográficamente separado del sitio de
almacenamiento primario de manera que no
esté expuesto a las mismas amenazas.
(2)
La entidad configura el sitio de
almacenamiento alterno para facilitar la
oportuna y efectiva operación de
recuperación.
(3)
La entidad identifica problemas potenciales de
acceso al sitio de almacenamiento alterno en
el evento de una interrupción o desastre y
define acciones de mitigación.
Página 94 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS6
PS6.3
CP-7
Sitio de
procesamiento
alterno
Página 95 de 207
Control: La entidad identifica un sitio de
procesamiento alterno e inicia los acuerdos
necesarios para permitir la restauración de las
operaciones del sistema de información para
las funciones de misión crítica dentro de un
periodo establecido cuando la capacidad
primaria de procesamiento no está disponible.
Mejoras al control:
(1)
La entidad identifica un sitio de procesamiento
alterno que está geográficamente separado
del sito de procesamiento primario de manera
que no esté expuesto a las mismas
amenazas.
(2)
La entidad identifica problemas potenciales de
acceso al sitio de procesamiento alterno en el
evento de una interrupción o desastre y
establece las acciones de mitigación.
(3)
La entidad desarrolla acuerdos para el sitio de
procesamiento alterno que contienen
prioridad en la provisión del servicio de
acuerdo con los requisitos de disponibilidad
de la entidad.
(4)
La entidad realiza una configuración completa
del sitio de procesamiento alterno de manera
que esté listo para ser usado como el sitio de
soporte operacional según la mínima
capacidad operacional requerida.
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS6
PS6.1,PS6.2
CP-8
Servicios de
telecomunicacion
es
Página 96 de 207
Control: La entidad identifica servicios de
telecomunicaciones primarias y alternas para
soportar el sistema de información y los
acuerdos necesarios para restaurar las
operaciones para las funciones de misión
crítica en un periodo definido cuando la
capacidad de las telecomunicaciones
primarias no está disponible.
Mejoras al control:
(1)
La entidad desarrolla acuerdos de servicios
de telecomunicaciones primarios y alternos
que priorizan la provisión del servicio de
acuerdo con los requisitos de disponibilidad
de la entidad.
(2)
La entidad obtiene servicios de comunicación
alterna que no comparten el mismo punto de
falla con los servicios de telecomunicaciones
primarias.
(3)
La entidad acuerda con los proveedores de
servicios de telecomunicaciones alterno de
manera que estén separados suficientemente
de los proveedores de servicio de
telecomunicaciones primario de manera que
no estén expuestos a las mismas amenazas.
(4)
La entidad solicita a los proveedores de
servicio de telecomunicaciones primaria y
alterna que tengan planes de contingencia
apropiados.
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS6
PS6.3
CP-9
Backup del
sistema de
información
Control: La entidad realiza backup periódicos
a nivel del usuario y a nivel del sistema y
protege la información de backups en el sitio
de almacenamiento.
Mejoras al control:
(1)
La entidad prueba periódicamente las copias
para verificar la confiabilidad de la media y la
integridad de la información almacenada.
(2)
La entidad utiliza selectivamente los backups
en la restauración de las funciones del
sistema de información como parte de las
pruebas al plan de contingencias.
(3)
La entidad almacena las copias del backup
del sistema operacional y otros sistemas de
información críticos en un ambiente separado
o en un contenedor independiente del
software operacional.
(4)
La entidad protege los backups de
modificación no autorizada.
PS6
PS6.3
CP-10
Recuperación del
sistema de
información
Control: La entidad utiliza mecanismos con
procedimientos de soporte que permitan
recuperar el sistema de información y sea
restablecido a un estado conocido seguro
después de la interrupción o falla.
Mejoras al control:
(1)
La entidad incluye una restauración completa
y restablecimiento del sistema de información
como parte de las pruebas al plan de
contingencias.
Respuesta
a
incidentes
Página 97 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS8
PS8.1
IR-1
Política y
procedimientos
de respuesta a
incidentes
PS8
PS8.1
IR-2
Entrenamiento en Control: La entidad entrena al personal en
respuesta a
los roles y responsabilidades de respuesta a
incidentes
incidentes con respecto al sistema de
información y provee re entrenamiento con
una periodicidad establecida.
Mejoras al control:
(1)
Las entidad incorpora simulación de eventos
en el entrenamiento de respuesta a incidentes
para facilitar una respuesta efectiva del
personal en situaciones de crisis.
(2)
La entidad utiliza mecanismos automatizados
para proveer un ambiente de entrenamiento
más ajustado a la realidad.
PS8
PS8.1
IR-3
Pruebas y
simulacros de
respuesta a
incidentes
Página 98 de 207
Control: La entidad, desarrolla, divulga,
revisa y actualiza periódicamente: (i) una
política formal y documentada de respuesta a
incidentes que incluye el propósito, roles,
responsabilidades, compromiso de la
administración, coordinación entre entidades
organizacionales y cumplimiento; y (ii)
procedimientos formales y documentados
para facilitar la implementación de la política
de respuesta a incidentes y los controles
asociados.
Control: La entidad prueba periódicamente
(por lo menos una vez al año), la capacidad
de respuesta a incidentes del sistema de
información para determinar la efectividad de
la respuesta al incidente y documenta los
resultados.
Mejoras al control:
(1)
La entidad utiliza mecanismos automáticos
para probar la capacidad de respuesta a los
incidentes.
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS8
PS8.1
IR-4
Manejo de
incidentes
Control: La entidad implementa una
capacidad de manejo de incidentes para
incidentes de seguridad de manera que
incluya: preparación, detección, análisis,
contención, erradicación y recuperación.
Mejoras al control:
(1)
La entidad emplea mecanismos automáticos
para apoyar el proceso de manejo de
incidentes.
PS8
PS8.1
IR-5
Monitoreo de
incidentes
Control: La entidad registra y documenta los
incidentes de seguridad de la información de
manera continua.
Mejoras al control:
(1)
La entidad utiliza mecanismos automáticos
para apoyar en el registro de los incidentes de
seguridad y en la colección y análisis de la
información del incidente.
PS8
PS8.1
IR-6
Reporte de
incidentes
Control: La entidad dispone de un función de
soporte de respuesta a incidentes que presta
soporte y asistencia a los usuarios del
sistema de información para el reporte y
manejo de los incidentes de seguridad.
Mejoras al control:
(1)
La entidad emplea mecanismos automáticos
para incrementar la disponibilidad de la
información de respuesta a incidentes
relacionados y el soporte.
PS8
PS8.1
IR-7
Asistencia en
respuesta a
incidentes
Control: La entidad reporta oportunamente la
información del incidente a los niveles
apropiados.
Mejoras al control:
(1)
La entidad utiliza mecanismos automáticos
para incrementar la disponibilidad de la
información de respuesta a incidentes
relacionados y el soporte.
Mantenimi
Página 99 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
ento
PS6,PS8 PS6.2,PS8.1
MA-1
Control: La entidad desarrolla, divulga, revisa
Política y
procedimientos
y actualiza periódicamente: (i) una política
de mantenimiento formal y documentada de mantenimiento del
sistema de información que incluye el
propósito, alcance, roles, responsabilidades,
compromiso de la administración,
coordinación entre entidades
organizacionales y cumplimiento; y (ii)
procedimientos formales y documentados
para facilitar la implementación de la política
de mantenimiento del sistema de información
y los controles relacionados.
PS6,PS8 PS6.2,PS8.1
MA-2
Mantenimiento
controlado
Página 100 de 207
Control: La entidad programa, desarrolla,
documenta, y revisa los registros de las
rutinas de mantenimiento preventivo y
correctivo de los componentes del sistema de
información según las especificaciones del
fabricante o vendedor y los requisitos de la
entidad.
Mejoras al control:
(1)
La entidad mantiene registros de
mantenimiento para el sistema de información
que incluyen: (i) fecha y hora del
mantenimiento; (ii) nombre de quien realiza el
mantenimiento; (iii) nombre de quien lo
escolta, si aplica; (iv) una descripción del
mantenimiento realizado; y (v) una lista de
equipos retirados o reemplazados (incluyendo
número de identificación si aplica).
(2)
La entidad utiliza mecanismos automáticos
para programar y conducir el mantenimiento
requerido y mantener actualizados, exactos,
completos y disponibles los registros de todas
las acciones de mantenimiento realizadas.
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS6,PS8 PS6.2,PS8.1
MA-3
Herramientas de
mantenimiento
Página 101 de 207
Control: La entidad aprueba, controla y
monitorea el uso de las herramientas de
mantenimiento del sistema de información de
manera continua.
Mejoras al control:
(1)
La entidad inspecciona todas las
herramientas de mantenimiento que están
bajo custodia del personal de mantenimiento
para identificar modificación inapropiada.
(2)
La entidad chequea contra código malicioso
todos los programas de prueba y diagnóstico
antes de ser utilizados para el mantenimiento
del sistema.
(3)
La entidad chequea todo el equipo en
mantenimiento y su capacidad de retención
de información de manera que la información
de la empresa sea saneada; si el equipo no
puede ser saneado, éste permanece en las
instalaciones o es destruido a menos que
haya una autorización expresa de no hacerlo.
(4)
La entidad emplea mecanismos automáticos
para restringir el uso de herramientas de
mantenimiento sólo al personal autorizado.
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS6,PS8 PS6.2,PS8.1
MA-4
Mantenimiento
remoto
Control: La entidad autoriza, monitorea y
controla las actividades de mantenimiento y
diagnóstico remotas.
Mejoras al control:
(1)
La entidad audita todas las sesiones de
mantenimiento y diagnóstico remoto y el
personal apropiado de la entidad revisa los
registros de mantenimiento de las sesiones
remotas.
(2)
La entidad incluye la instalación y uso de
mantenimiento remoto y links de diagnóstico
en el plan de seguridad para el sistema de
información.
(3)
La entidad no permite servicios de
mantenimiento o diagnostico remoto de un
proveedor de servicios que no implemente en
su propio sistema de información un nivel de
seguridad igual o superior al implementado en
el sistema de información sujeto a
mantenimiento, a menos que los
componentes del sistema de información que
contengan información organizacional sean
removidos o saneados(eliminar información
organizacional y cheque de software
malicioso) antes de la ejecución del servicio y
sean saneados antes de ser reconectados al
sistema de información.
PS6
PS6.2,PS8.1
MA-5
Personal de
mantenimiento
Control: La entidad solo permite que el
personal autorizado realice el mantenimiento
al sistema de información.
PS6
PS6.2
MA-6
Mantenimiento
oportuno
Control: La entidad establece acuerdos con
el proveedor para el mantenimiento y
reemplazo de las componentes del sistema
en un período de tiempo establecido.
Protecció
n de los
medios
Página 102 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS4
PS4.2
MP-1
Política y
procedimientos
de protección de
los medios
Control: La entidad desarrolla, divulga, revisa
y actualiza periódicamente: (i) una política
formal y documentada que incluya el
propósito, alcance, roles, responsabilidades,
compromiso de la administración,
coordinación entre entidades
organizacionales y cumplimiento; y (ii)
procedimientos formales y documentados
para facilitar la implementación de la política
de protección de los medios y los controles
relacionados.
PS4
PS4.2
MP-2
Acceso a los
medios
Control: La entidad restringe el acceso a los
medios del sistema de información a personal
autorizado.
Mejoras al control:
(1)
La entidad utiliza mecanismos automáticos
para restringir el acceso a las áreas de
almacenamiento de los medios y audita los
intentos de acceso y los accesos otorgados.
PS4
PS4.2
MP-3
Etiquetado de los
medios
Control: La entidad : (i) coloca etiquetas
externas para los medios removibles del
sistema de información y la información de
salida indicando limitaciones en la
distribución, en el manejo de advertencias y
marcas de seguridad si aplica; y (ii)una lista
de tipos de medios o hardware exento de
etiquetas mientras permanecen en un
ambiente protegido.
PS4
PS4.2
MP-4
Almacenamiento
de los medios
Control: La entidad controla físicamente y
almacena seguramente los medios del
sistema de información dentro de áreas
controladas.
Página 103 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS4
PS4.1,PS4.2
MP-5
Transporte de los
medios
PS4
PS4.2
MP-6
Control: La entidad sanea los medios del
Saneamiento y
eliminación de los sistema de información antes de su
medios
eliminación o reutilización.
Mejoras al control:
(1)
La entidad registra, documenta y verifica las
acciones de saneamiento y eliminación de los
medios.
(2)
La entidad prueba periódicamente el
saneamiento de los equipos y los
procedimientos para verificar su correcto
desempeño.
Protecció
n física y
ambiental
Página 104 de 207
Control: La entidad protege y controla los
medios del sistema de información durante el
transporte fuera de las áreas controladas y
restringe las actividades relacionadas con el
transporte de los medios sólo al personal
autorizado.
Mejoras al control:
(1)
La entidad protege los medios durante el
transporte fueras de las áreas controladas
utilizando mecanismos tales como:
contenedores asegurados, o mecanismos de
criptografía.
(2)
La entidad documenta las actividades
asociadas con el transporte de los medios del
sistema de información.
(3)
La entidad utiliza un custodio identificado para
las actividades de transporte de los medios
del sistema de información.
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS6
PE-1
Política y
procedimientos
de protección
física y ambiental
Control: La entidad desarrolla, divulga, revisa
y actualiza periódicamente: (i) una política
formal y documentada de protección física y
ambiental que incluye el propósito, alcance,
roles, responsabilidades, compromiso de la
administración, coordinación entre entidades
organizacionales y cumplimiento; y (ii)
procedimientos formales y documentados
para facilitar la implementación de la política
de protección física y ambiental y los
controles relacionados.
PS4,PS8 PS4.2,PS8.1
PE-2
Autorización de
acceso físico
Control: La entidad desarrolla y mantiene
una lista actualizada del personal con
autorización de acceso a las instalaciones
donde reside el sistema de información y de
las credenciales de autorización. Los oficiales
de seguridad autorizados revisan y aprueban
las listas de acceso y las credenciales de
autorización.
PS4,PS5 PS4.2,PS5.2,PS8.1
,PS8
PE-3
Control de acceso Control: La entidad controla todos los puntos
físico
de acceso físico a las instalaciones donde
reside el sistema de información y verifica las
autorizaciones individuales antes de otorgar
el acceso a las instalaciones.
Mejoras al control:
(1)
La entidad controla el acceso físico al sistema
de información independiente de los controles
de acceso físico a las instalaciones.
PS6.3
PS4,PS5 PS4.1,PS5.1, PS8.1 PE-4
,PS8
Control de acceso Control: La entidad controla el acceso físico
al medio de
a las líneas de transmisión y distribución de
transmisión
datos del sistema de información dentro de
las instalaciones de la entidad.
PS4,PS5 PS4.2, PS5.3
Control de acceso Control: La entidad controla el acceso físico
al medio de
a los dispositivos que despliegan información
despliegue.
del Sistema para prevenir que personas no
autorizadas observen el despliegue de las
salidas.
PE-5
Página 105 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS4,PS5 PS4.2,PS5.3
PE-6
Monitoreo de
acceso físico
Control: La entidad monitorea el acceso
físico al sistema de información para detectar
y responder a incidentes de seguridad física.
Mejoras al control:
(1)
La entidad monitorea alarmas de intrusión
física en tiempo real y equipos de vigilancia.
(2)
La entidad emplea mecanismos automáticos
para reconocer intrusiones potenciales e
iniciar acciones de respuesta apropiadas.
PS4,PS5 PS4.2,PS5.3
PE-7
Control de
visitantes
Control: La entidad controla el acceso físico
al sistema de información autenticando a los
visitantes antes de autorizar el acceso a las
instalaciones controladas donde reside el
sistema de información.
Mejoras al control:
(1)
La entidad escolta a los visitantes y monitorea
las actividades de estos cuando se requiera.
PS4,PS5 PS4.2,PS5.3
PE-8
Registros de
acceso
Control: La entidad mantiene registros de
acceso de visitantes a las instalaciones
controladas donde reside el sistema de
información que incluyen: (i) nombre y
empresa del visitante; (ii) firma del visitante;
(iii) forma de identificación; (iv) fecha de
acceso; (v) hora de entrada y salida; (vi)
propósito de la visita; y (vii) nombre y
empresa de la persona visitada. Las personas
designadas revisan periódicamente los
registros de acceso de los visitantes.
Mejoras al control:
(1)
La entidad emplea mecanismos automáticos
para facilitar el mantenimiento y revisión de
los registros de acceso.
(2)
La entidad mantiene un registro del acceso
físico de visitantes y personal autorizado.
PS6
PE-9
Equipo de
suministro de
energía y
cableado de
energía.
PS6.3
Página 106 de 207
Control: La entidad protege el equipo de
suministro de energía y el cableado de
energía para el sistema de información contra
daño y destrucción.
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS6
PS6.2
PE-10
Apagado de
emergencia
PS6
PS6.2
PE-11
Suministro alterno Control: La entidad dispone de una UPS para
de energía
facilitar el apagado ordenado del sistema de
información en el evento de una pérdida de la
fuente primaria de energía.
Mejoras al control:
(1)
La entidad dispone de una fuente alterna de
energía de larga duración para el sistema de
información que permita una capacidad
mínima operacional requerida en el evento de
una pérdida prolongada de la fuente primaria
de energía.
PS6
PS6.2
PE-12
Luces de
emergencia
Página 107 de 207
Control: La entidad provee capacidad de
apagado remoto de cualquier componente del
sistema de información que pueda estar
funcionando incorrectamente o esté
amenazado.
Mejoras al control:
(1)
La entidad protege la capacidad de apagado
de emergencia de activación accidental o no
autorizada.
Control: La entidad utiliza y mantiene un
sistema automático de luces de emergencia
que se activan en el evento de una
interrupción de energía y cubre salidas de
emergencia y rutas de evacuación.
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS6
PE6.3
PE-13
Protección contra
incendios
Control: La entidad utiliza y mantiene
sistemas de detección y extinción de
incendios que pueden ser activados en caso
de incendio.
Mejoras al control:
(1)
La entidad utiliza sistemas de detección de
fuego que se activan automáticamente y
notifican a la entidad y al equipo de respuesta
a emergencias.
(2)
La entidad utiliza sistemas de extinción de
incendios que suministran notificación
automática de cualquier activación a la
entidad y al equipo de respuesta a
emergencias.
(3)
La entidad dispone de capacidad automática
de extinción de incendios en las instalaciones
donde no hay frecuente disponibilidad de
personal.
PS6
PE6.3
PE-14
Controles de
humedad y
temperatura
Control: La entidad monitorea y mantiene
dentro de niveles aceptables la temperatura y
humedad dentro de las instalaciones donde
reside el sistema de información.
PS6
PE6.3
PE-15
Protección contra
fugas de agua
Control: La entidad protege el sistema de
información contra daños ocasionados por el
agua resultante de tuberías rotas u otras
fuentes de escape de agua manteniendo
válvulas maestras que son accesibles,
trabajan adecuadamente y son conocidas por
el personal clave.
Mejoras al control:
(1)
La entidad utiliza mecanismos automáticos
que protegen el sistema de información de
daños ocasionados por fugas de agua
significativas.
PS4
PS4.2
PE-16
Ingreso y retiro
Control: La entidad autoriza y controla el
ingreso y salida de los ítems relacionados con
el sistema de información dentro de las
instalaciones y mantiene registros apropiados
de dichos eventos.
Página 108 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS6
PS6.3
PE-17
Sitio de trabajo
alterno
Control: La entidad mantiene controles
administrativos, operacionales y técnicos del
sistema de información en el sitio alterno.
PS6
PS6.3
PE-18
Ubicación de los
componentes del
sistema de
información
Control: La entidad ubica de manera segura
los componentes del sistema de información
para minimizar el daño potencial de
amenazas físicas y ambientales y acceso no
autorizado.
Mejoras al control:
(1)
La entidad planea las condiciones de
seguridad del sitio de ubicación del sistema
de información considerando las amenazas
físicas y ambientales y actualiza su estrategia
de mitigación del riesgo.
Planeació
n
PS1-PS9 PS1.1 - PS9.1
PL-1
Política y
procedimientos
de planeación de
la seguridad
PS1-PS9 PS1.1 - PS9.1
PL-2
Plan de seguridad Control: La entidad desarrolla e implementa
del sistema
un plan de seguridad para el sistema de
información que incluye una revisión de los
requisitos de seguridad para el sistema y una
descripción de los controles de seguridad
implementados o planeados para reunir los
requerimientos. Nombra al personal
encargado de revisar y aprobar el plan.
Página 109 de 207
Control: La entidad desarrolla, divulga,
revisa y actualiza periódicamente: (i) una
política formal y documentada de planeación
de la seguridad que incluye el propósito,
alcance, roles , responsabilidades,
compromiso de la administración,
coordinación entre entidades
organizacionales y cumplimiento; y (ii)
procedimientos formales y documentados
para facilitar la implementación de la política y
los controles relacionados.
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS1-PS9 PS1.1 - PS9.1
PL-3
Actualización del Control: La entidad revisa por lo menos
plan de seguridad anualmente, el plan de seguridad del sistema
de información para identificar necesidades
de cambio organizacional o del sistema
durante la implementación del plan o en las
evaluaciones de seguridad.
PS1
PS1.1
PL-4
Reglas de
comportamiento
Control: La entidad establece y divulga un
conjunto de reglas que describen las
responsabilidades y comportamiento
esperado con relación a la información y al
uso del sistema de información. Los usuarios
firman un documento de compromiso que
indica que han leído, que entienden y que
están de acuerdo con las reglas de
comportamiento antes de autorizar el acceso
al sistema de información.
PS4
PS4.1,PS4.2
PL-5
Evaluación del
impacto a la
privacidad
Control: La entidad lleva a cabo una
evaluación del impacto a la privacidad en el
sistema de información según la ley de
habeas data (Ley 1266 31 diciembre de 2008)
PS8
PS8.1
PL-6
Planeación de las
actividades
relacionadas con
la seguridad
Control: La entidad planea y coordina las
actividades relacionadas con la seguridad que
afectan el sistema de información antes de
ejecutar dichas actividades con el fin de
reducir el impacto en las operaciones, en los
activos de información y en las personas.
Seguridad
del
personal
Página 110 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS1-PS9 PS1.1 - PS9.1
PS-1
Política y
procedimientos
para seguridad
del personal
Control: La entidad desarrolla, divulga, revisa
y actualiza periódicamente: (i) una política
formal y documentada de seguridad del
personal que incluye: propósito, alcance,
roles, responsabilidades, compromiso de la
administración, coordinación entre áreas
organizacionales, y cumplimiento; y (ii)
procedimientos formales y documentados
para facilitar la implementación de la política
de seguridad del personal y los controles
relacionados.
PS1-PS9 PS1.1 - PS9.1
PS-2
Categorización
del cargo
Control: La entidad define riesgos de los
cargos y establece criterios para la selección
y contratación del personal para dichos
cargos. La entidad revisa dichos cargos con
una frecuencia establecida.
PS1-PS9 PS1.1 - PS9.1
PS-3
Verificación del
personal
Control: La entidad realiza revisiones de
verificación del personal que requiere acceso
a la información empresarial y a los sistemas
de información antes de autorizar el acceso.
PS1-PS9 PS1.1 - PS9.1
PS-4
Terminación del
contrato laboral
Control: La entidad retira el acceso a los
sistemas de información antes de la
terminación del contrato laboral, realiza
entrevistas de retiro, gestiona la devolución
de activos y autoriza al personal apropiado
para revisar los registros creados en el
sistema de información por parte del personal
que se retira.
PS1-PS9 PS1.1 - PS9.1
PS-5
Transferencia del
personal
Control: La entidad revisa las autorizaciones
de acceso al sistema de información cada vez
que se presenta una reasignación o
transferencia del personal a otro cargo.
PS1-PS9 PS1.1 - PS9.1
PS-6
Acuerdos de
confidencialidad
Control: La entidad establece acuerdos de
confidencialidad firmados por los usuarios que
requieren acceder la información
organizacional y los sistemas de información
antes de autorizar su acceso y efectúa
revisiones periódicas a dichos acuerdos.
Página 111 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS1-PS9 PS1.1 - PS9.1
PS-7
Seguridad del
personal de
terceras partes
Control: La entidad establece requerimientos
de seguridad del personal incluyendo roles y
responsabilidades para contratistas y
proveedores y monitorea su cumplimiento.
PS1-PS9 PS1.1 - PS9.1
PS-8
Sanciones al
personal
Control: La entidad adopta un proceso
disciplinario formal para el personal que viole
el cumplimiento de las políticas y
procedimientos de seguridad de la
información.
Evaluació
n del
riesgo
PS1-PS9 PS1.1 - PS9.1
RA-1
Política y
procedimientos
de evaluación del
riesgo
Control: La entidad desarrolla, divulga, revisa
y actualiza periódicamente: (i) una política
formal y documentada de evaluación del
riesgo que incluya el propósito, alcance, roles,
responsabilidades, compromiso de la
gerencia, coordinación entre áreas
organizacionales y cumplimiento; y (ii)
procedimientos formales y documentados
para facilitar la implementación de la política
de evaluación del riesgo y los controles
relacionados.
PS1-PS9 PS1.1 - PS9.1
RA-2
Categorías de
seguridad
Control: La entidad categoriza el sistema de
información y la información procesada,
almacenada o transmitida por el sistema de
acuerdo con la reglamentación, políticas,
estándares y guías aplicables y documenta
los resultados en el plan de seguridad del
sistema. Designa a personal apropiado para
revisar las categorías de seguridad.
PS1-PS9 PS1.1 - PS9.1
RA-3
Evaluación del
riesgo
Control: La entidad realiza evaluaciones del
riesgo y análisis de impacto del daño
resultante de acceso, uso, revelación,
interrupción, modificación, destrucción no
autorizada de la información y de los sistemas
de información que soportan los servicios de
Página 112 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
gobierno en línea.
PS1-PS9 PS1.1 - PS9.1
RA-4
Actualización de
la evaluación del
riesgo
Control: La entidad revisa periódicamente la
evaluación de riesgos o siempre que se
efectúen cambios significativos en los
sistemas de información, las instalaciones
donde reside el sistema o que existan otras
condiciones que pueden impactar la
seguridad o el estado de acreditación del
sistema.
PS8
RA-5
Escaneo de
vulnerabilidades
Control: La entidad escanea periódicamente
las vulnerabilidades del sistema de
información o siempre que se identifiquen y
reporten nuevas amenazas que puedan
impactar el sistema.
Mejoras al control:
(1)
La entidad utiliza herramientas de escaneo de
vulnerabilidades que incluyen capacidad para
actualizar la lista de vulnerabilidades
escaneadas.
(2)
La entidad actualiza periódicamente la lista de
vulnerabilidades escaneadas o cuando
nuevas vulnerabilidades son identificadas y
reportadas.
(3)
La entidad implementa procedimientos de
escaneo de vulnerabilidades que pueden
demostrar la cobertura y profundidad del
escaneo incluyendo el checkeo de
vulnerabilidades a los componentes de
sistema de información.
PS8.1
Adquisici
ón de
sistemas
y
servicios
Página 113 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS1-PS9 PS1.1 - PS9.1
SA-1
Política y
procedimientos
de adquisición de
sistemas y
servicios
Control: La entidad desarrolla, divulga,
revisa y actualiza periódicamente: (i) una
política formal y documentada de adquisición
de sistemas y servicios que contempla
consideraciones de seguridad de la
información y que incluye el propósito,
alcance, roles, responsabilidades,
compromiso de la gerencia, coordinación
entre áreas de la entidad y cumplimiento; y (ii)
procedimientos formales y documentados
para facilitar la implementación de la política
de adquisición de sistemas y servicios y los
controles relacionados.
PS1-PS9 PS1.1 - PS9.1
SA-2
Distribución de
recursos
Control: La entidad determina, documenta y
distribuye como parte de la planeación y
control de inversiones los recursos
requeridos para proteger adecuadamente el
sistema de información.
PS8
SA-3
Ciclo de vida del
soporte
Control: La entidad administra el sistema de
información adoptando una metodología para
el ciclo de desarrollo de los sistemas de
información que incluye consideraciones de
seguridad de la información.
SA-4
Adquisiciones
Control: La entidad incluye las
especificaciones de seguridad en los
contratos de adquisición de los sistemas de
información basados en un proceso de
evaluación del riesgo y conforme a las
regulaciones, políticas y estándares
aplicables.
Mejoras al control:
(1)
La entidad solicita la documentación que
describa en detalle la funcionalidad de los
controles de seguridad del sistema de
información para permitir analizar y probar
dichos controles.
(2)
La entidad solicita la documentación detallada
del diseño y detalles de implementación de
los controles de seguridad del sistema para
permitir analizar y probar dichos controles
(incluyendo interfaces entre componentes).
PS8.1
PS1-PS9 PS1.1 - PS9.1
Página 114 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS8
PS8.1
SA-5
Documentación
de los sistemas
de información
Control: La entidad obtiene, protege y
mantiene disponible al personal autorizado la
documentación del sistema de información.
Mejoras al control:
(1)
La entidad obtiene además de las guías del
usuario y del administrador, la
documentación detallada de la funcionalidad
de los controles de seguridad del sistema de
información para permitir análisis y prueba de
los controles.
(2)
La entidad obtiene además de las guías de
usuario y del administrador, la documentación
detallada del diseño de los controles de
seguridad del sistema de información para
permitir análisis y prueba de los controles.
PS8
PS8.1
SA-6
Restricciones de
uso del software
Control: La entidad cumple con las
restricciones de uso del software.
PS8
PS8.1
SA-7
Software
instalado por los
usuarios
Control: La entidad forza al cumplimiento de
reglas explicitas que gobiernan la instalación
de software por parte de los usuarios.
PS8
PS8.1
SA-8
Principios de
ingeniería de
seguridad
Control: La entidad designa e implementa el
sistema de información utilizando principios
de ingeniería de seguridad.
PS8
PS8.1
SA-9
Servicios de
desarrollo,
mantenimiento y
soporte externo
del sistema de
información
Control: La entidad: (i) requiere que los
proveedores de servicio adopten controles de
seguridad de conformidad con la
reglamentación, políticas y estándares
aplicables y según los ANS establecidos; y
(ii) monitoree el cumplimiento de los controles
de seguridad.
PS8
PS8.1
SA-10
Administración de Control: La entidad exige a los
la configuración
desarrolladores del sistema de información
del desarrollador crear e implementar un plan de configuración
que controle los cambios al sistema durante el
desarrollo, rastree las fallas de seguridad y
documente el plan y su implementación.
Página 115 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS8
PS8.1
SA-11
Pruebas de
seguridad del
desarrollador
Control: La entidad exige al desarrollador del
sistema crear un plan de evaluación y
pruebas de seguridad, implementar el plan, y
documentar los resultados.
Protecció
n del
sistema y
las
comunica
ciones
PS8
PS8.1
PS1,PS8 PS1.2,PS8.1
SC-1
Política y
procedimientos
de protección del
sistema y las
comunicaciones
Control: La entidad desarrolla, divulga, revisa
y actualiza periódicamente: (i) una política
formal y documentada de protección del
sistema y las comunicaciones que incluye: el
propósito, alcance, roles, responsabilidades,
compromiso de la gerencia, coordinación
entre áreas de la entidad y cumplimiento; y (ii)
procedimientos formales y documentados
para facilitar la implementación de la política
de protección del sistema y las
comunicaciones y los controles relacionados.
SC-2
Particionar la
aplicación
Control: Las funciones del usuario y las
funciones administrativas del sistema se
encuentran separadas en el sistema de
información.
Página 116 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS1,PS8 PS1.2,PS8.1
SC-3
Aislamiento de la
función de
seguridad
Control: Se aíslan en el sistema de
información las funciones de seguridad de las
otras funciones.
Mejoras al control:
(1)
En el sistema de información se utilizan
mecanismos de separación del hardware para
facilitar el aislamiento de la función de
seguridad.
(2)
En el sistema de información se aíslan las
funciones de seguridad críticas (por ejemplo:
control de acceso y control del flujo de
información) de las funciones de seguridad y
demás funciones.
(3)
En el sistema de información es mínimo el
número de funciones que no son de
seguridad incluidas en la frontera de
aislamiento que contiene las funciones de
seguridad.
(4)
En el sistema de información las funciones de
seguridad se implementan como módulos
independientes grandes de manera que
eviten interacciones innecesarias entre
módulos.
(5)
En el sistema de información se implementan
las funciones de seguridad con una estructura
de capas de manera que minimice las
interacciones entre capas del diseño evitando
dependencia funcional de capas más bajas o
correcciones en las capas más altas.
PS4
SC-4
Revelación de
información
Control: el sistema de información previene
de transferencia no autorizada de información
a través de recursos del sistema compartidos.
PS4.1,PS4.2
Página 117 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS6,PS8 PS6.1,PS8.1
SC-5
Protección contra
denegación del
servicio
Control: El sistema de información protege o
limita los efectos de los ataques de
denegación.
Mejora al control:
(1)
Se restringe en el sistema de información la
capacidad de los usuarios para generar
ataques de denegación del servicio contra
otros sistemas de información o redes.
(2)
Se gestiona en el sistema el exceso de
capacidad, ancho de banda u otra
redundancia para limitar los efectos de
ataques de denegación del servicio.
PS8
SC-7
Protección de
fronteras
Control: En el sistema de información se
monitorean y controlan las comunicaciones
entre las fronteras externas del sistema y las
fronteras internas.
Mejoras al control:
(1)
La entidad físicamente distribuye los
componentes del sistema accesibles para
separar las subredes de las interfaces de red
físicas.
(2)
La entidad previene de acceso público en las
redes internas de la entidad con excepciones
plenamente justificadas.
(3)
La entidad limita el número de puntos de
acceso al sistema de información para
permitir un mejor monitoreo del tráfico
entrante y saliente de la red.
(4)
La entidad implementa una interfase
administrada a través de un servicio de
telecomunicaciones externas, implementando
controles apropiados para proteger la
integridad y la confidencialidad de la
información a ser transmitida.
(5)
El sistema de información restringe el tráfico
de red por default y permite el tráfico de red
por excepción.
(6)
La entidad previene de la salida no autorizada
de información fuera de las fronteras del
sistema de información cuando existe una
falla de los mecanismos de protección de
fronteras.
PS8.1
Página 118 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS5
PS5.1
SC-8
Integridad de la
transmisión
Control: El sistema de información protege la
integridad de la información transmitida.
Mejoras al control:
(1)
La entidad emplea mecanismos criptográficos
para reconocer cambios a la información
durante la transmisión a menos que existan
otros mecanismos físicos alternos de
protección.
PS4
PS4.1
SC-9
Confidencialidad
de la transmisión
Control: El sistema de información protege la
confidencialidad de la información transmitida.
Mejoras al control:
(1)
La entidad utiliza mecanismos criptográficos
para prevenir de revelación no autorizada de
información durante la transmisión a menos
que existan mecanismos físicos alternos de
protección.
PS8
PS8.1
SC-10
Desconexión de
la red
Control: El sistema de información finaliza
una conexión de red al final de la sesión o
después de un periodo de tiempo de
inactividad.
PS3,PS8 PS3.1, PS8.1
SC-12
Gestión de llaves
criptográficas
Control: La entidad establece y gestiona las
llaves criptográficas mediante mecanismos
automáticos y la implementación de
procedimientos.
PS4
SC-13
Uso de
criptografía
Control: El sistema de información
implementa mecanismos criptográficos que
cumplen con la reglamentación, políticas,
estándares y guías aplicables.
Protección del
acceso público
Control: El sistema de información protege la
integridad y disponibilidad de la información y
aplicaciones públicamente disponibles.
PS4.2
PS4,PS5 PS4.2,PS5.3, PS8.1 SC-14
,PS8
Página 119 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS8
PS8.1
SC-15
Computación
colaborativa
Control: el sistema de información prohíbe la
activación remota de mecanismos de
computación colaborativa y provee una
indicación clara de uso solo para usuarios
locales.
Mejoras al control:
(1)
El sistema de información suministra
desconexión física de cámaras y micrófonos
de manera que soporte facilidad de uso.
PS2
PS2.1 - PS2.4
SC-17
Certificados de
infraestructura de
clave pública
Control: La entidad emite certificados de
clave pública mediante una política de
certificados apropiada u obtiene certificados
de clave pública a través de un proveedor de
servicios aprobado.
PS8
PS8.1
SC-18
Código Móvil
Control: La entidad : (i) establece
restricciones de uso y guía de implementación
para las tecnologías de código móvil basadas
en el potencial para causar daño al sistema
de información si se usa inadecuadamente; y
(ii) autoriza, monitorea y controla el uso de
código móvil dentro del sistema de
información.
PS8
PS8.1
SC-19
Protocolos de voz Control: La entidad (i) establece restricciones
sobre Internet
de uso y guía de implementación para
tecnologías de protocolos de voz sobre
Internet (VoIP) basadas en el potencial para
causar daño al sistema de información si se
usan indebidamente y (ii) autoriza, monitorea
y controla el uso VoIP dentro del sistema de
información.
PS8
PS8.1
SC-20
Servicios de
resolución de
nombres y
direcciones
(fuente
autorizada)
Página 120 de 207
Control: El sistema de información
proporciona servicios de resolución de
nombres además del dato de origen y el
artefacto de integridad junto con el dato de
respuesta a la resolución de los queries (ver
más detalle en SP 800-81).
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS8
PS8.1
SC-21
Servicios de
resolución de
nombres y
direcciones(Resol
ución recursiva o
de Caché)
PS8
PS8.1
SC-22
Arquitectura y
prestación de los
servicios de
resolución de
nombres y
direcciones
PS2
PS2.1 - PS2.4
SC-23
Autenticidad de
las sesiones
Integridad
del
sistema y
de la
informaci
ón
Página 121 de 207
Control: El sistema de información provee
servicios de resolución de nombres y
direcciones para clientes locales y desarrolla
autenticación del origen de datos y
verificación de la integridad de los datos en
las respuestas de resolución que recibe de
fuentes autorizadas cuando son requeridas
por los clientes del sistema.
Mejoras al control:
(1)
El sistema de información desarrolla
autenticación del origen del dato y verificación
de la integridad de la información en todas las
respuestas de resolución ya sean o no
clientes locales que requieren explícitamente
el servicio.
Control: El sistema de información que
provee servicios de resolución de nombres y
direcciones son tolerantes a fallas e
implementan separación de roles.
Control: El sistema de información provee
mecanismos para proteger la autenticidad de
las sesiones.
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS5
PS5.1 - PS5.4
SI-1
Política y
procedimientos
de integridad del
sistema y de la
información
Control: La entidad desarrolla, divulga,
revisa y actualiza periódicamente: (i) una
política formal y documentada de integridad
del sistema y de la información que incluya el
propósito, alcance, roles, responsabilidades,
compromiso de la gerencia, coordinación
entre áreas de la entidad y cumplimiento; y (ii)
procedimientos formales y documentados que
faciliten la implementación de la política y los
controles relacionados.
PS8
PS8.1
SI-2
Corrección de
errores
Control: La entidad identifica, reporta y corrige
los errores en el sistema de información.
Mejoras al control:
(1)
La entidad administra centralizadamente el
proceso de corrección de errores e instala
automáticamente las versiones de
actualización.
(2)
La entidad utiliza mecanismos automáticos
para determinar periódicamente o por
demanda, el estado de los componentes del
sistema de información con relación a la
corrección de los errores.
PS8
PS8.1
SI-3
Protección contra
código malicioso
Control: El sistema de información tiene
implementado protección contra código
malicioso.
Mejoras al control:
(1)
La entidad administra centralizadamente los
mecanismos de protección contra código
malicioso.
(2)
el sistema de información actualiza
automáticamente los mecanismos de
protección contra código malicioso.
Página 122 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS8,PS9 PS8.1, PS9.1
SI-4
Herramientas y
técnicas de
monitoreo del
sistema de
información
Control: La entidad utiliza herramientas y
técnicas para monitorear los eventos en el
sistema de información, detectar ataques, y
proveer identificación de uso no autorizado
del sistema.Mejoras al control:(1)La entidad
interconecta y configura las herramientas de
detección de intrusión individual con el
sistema de detección e intrusión general de la
entidad utilizando protocolos comunes.(2)La
entidad utiliza herramientas automáticas para
soportar análisis de eventos en tiempo real.
(3)La entidad utiliza herramientas automáticas
para integrar las herramientas de detección
de intrusión con los mecanismos de control de
acceso y control de flujo de información para
una rápida respuesta ante ataques
permitiendo la reconfiguración de estos
mecanismos para aislar y eliminar los
ataques.(4)El sistema de información
monitorea las comunicaciones entrantes y
salientes para detectar actividades o
condiciones inusuales o no autorizadas.(5)El
sistema de información suministra alertas en
tiempo real cuando ocurre un compromiso de
la seguridad.
PS8
PS8.1
SI-5
Control: la entidad recibe continuamente
Alertas de
seguridad y
reportes de alertas y recomendaciones de
recomendaciones seguridad y los envía al personal apropiado
para que se tomen las acciones pertinentes.
Mejoras al control:
(1)
La entidad utiliza mecanismos automáticos
para hacer que las alertas y recomendaciones
de seguridad estén disponibles para toda la
entidad en la medida en que se requieran.
Página 123 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS8
PS8.1
PS5,PS8 PS5.3, PS8.1
PS8
PS8.1
SI-6
Verificación de la
funcionalidad de
la seguridad
SI-7
Integridad del
software y de la
información
SI-8
Protección contra
spam
Página 124 de 207
El sistema de información verifica
periódicamente la operación correcta de las
funciones de seguridad (Ej.: start y restart y
comandos de usuarios con privilegio
apropiado) y ejecuta una lista de acciones
posibles tales como: notificar al administrador
del sistema, apagar el sistema o reiniciar el
sistema cuando se detectan anomalías.
Mejoras al control:
(1)
La entidad utiliza mecanismos automáticos
que notifican las fallas en las pruebas de
seguridad.
(2)
La entidad utiliza mecanismos automáticos
para soportar la administración de las pruebas
de seguridad distribuidas.
Control: El sistema de información detecta y
protege contra cambios no autorizados al
software y a la información.
Mejoras al control:
(1)
La entidad evalúa periódicamente la
integridad del software y de la información
mediante escanéos de integridad del sistema.
(2)
La entidad utiliza herramientas automatizadas
para notificar al personal apropiado sobre las
discrepancias identificadas durante la
verificación de la integridad.
(3)
La entidad utiliza administración centralizada
de las herramientas de verificación de
integridad.
Control: El sistema de información tiene
implementado protección contra spam.
Mejoras al control:
(1)
La entidad administra centralizadamente los
mecanismos de protección contra spam.
(2)
El sistema de información actualiza
automáticamente los mecanismos de
protección contra spam.
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS8
PS8.1
SI-9
Restricciones en
el ingreso de
datos
PS8
PS8.1
SI-10
Chequeo de
Control: El sistema de información chequea
información
exacta, completa, que la información sea exacta, completa
válida y auténtica valida y auténtica.
PS8
PS8.1
SI-11
Manejo de
errores
Control: El sistema de información identifica
y maneja las condiciones de error de manera
sencilla sin suministrar información adicional
que pueda ser aprovechada por atacantes.
SI-12
Manejo y
retención de las
salidas de
información
Control: La entidad maneja y retiene las
salidas del sistema de acuerdo con la
reglamentación, políticas, estándares, guías
aplicables y los requerimientos operacionales.
PS4,PS5 PS4.2,PS5.4
PS8
PS8
Control: La entidad limita la capacidad de
entrada de datos al sistema de información
sólo al personal autorizado.
Proteger
las
comunica
ciones
electrónic
as
PS8.1
CE-1
Política y
procedimientos
de uso aceptable
de las
comunicaciones
electrónicas
Página 125 de 207
Control: La entidad desarrolla, divulga,
revisa y actualiza periódicamente: (i) una
política formal y documentada de uso
aceptable y protección de las comunicaciones
electrónicas que incluya el propósito, alcance,
roles, responsabilidades, compromiso de la
gerencia, coordinación entre áreas de la
entidad y cumplimiento; y (ii) procedimientos
formales y documentados que faciliten la
implementación de la política y los controles
relacionados.
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS8
PS8.1
CE-2
Aprobación de
uso
Control: Exigir aprobación del uso de las
comunicaciones electrónicas (correo
electrónico, la mensajería instantánea, el
acceso a Internet, red de VoIP, acceso
inalámbrico) por el nivel de autoridad
apropiado
PS8
PS8.1
CE-3
Guías de uso de
correo
Control: Incluir en el procedimiento o guía
para el uso del correo electrónico lo siguiente:
a) el uso de correo para el desempeño de las
funciones asignadas y prohibir el uso para
fines personales
b) identificar los tipos de correo permitidos
(por ejemplo, servicios corporativos tales
como Lotus Notes o Microsoft Exchange)
c) guías de uso aceptable del correo (por
ejemplo, prohibir el uso de declaraciones
ofensivas, )
d) incluir en las guías una lista de
prohibiciones (por ejemplo, prohibir el uso del
Web mail, propaganda no autorizada, abril
archivos adjuntos de fuentes desconocidas,
encripción privada de correos o archivos
adjuntos, reenvió automático de correos
internos a direcciones de correo externas)
d)dar detalles de las actividades de monitoreo
que se realizan
e) el correo personal debe estar etiquetado
como "personal" y debe estar sujeto a los
acuerdos de uso establecidos
f) dar pautas sobre cómo proteger la
confidencialidad e integridad de los
mensajes(por ejemplo, mediante el uso de
encriptación, certificados digitales y firmas
digitales).
Página 126 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS8
PS8.1
CE-4
Guías de uso de
mensajería
instantánea
Página 127 de 207
Control: Incluir en el procedimiento o guía
para el uso de la mensajería instantánea lo
siguiente:
a) el uso de mensajería para el desempeño
de las funciones asignadas y prohibir el uso
para fines personales
b) identificar los tipos de mensajería
permitidos (por ejemplo, servicios públicos
tales como AOL, Google Talk, Windows
Messenger y !Yahoo o servicios internos tales
como Lotus Sametime, Windows Meeting
Space, WebEx y Jabber)
c) usar guías de uso aceptable (por ejemplo,
prohibir el uso de declaraciones ofensivas )
d) dar detalles de las actividades de
monitoreo que se realizan
e) el uso personal de la mensajería debe
estar etiquetado como "personal" y debe estar
sujeto a los acuerdos de uso establecidos
f) dar pautas sobre cómo proteger la
confidencialidad e integridad de los
mensajes(por ejemplo, mediante el uso de
encriptación, certificados digitales y firmas
digitales).
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS8
PS8.1
CE-5
Guías de uso
seguro de
Internet
Página 128 de 207
Control: Definir estándares para el acceso a
Internet (por ejemplo, web browser de Mozilla,
Firefox, Microsoft Internet Explorer, Opera or
Apple Safari) y generar guías que incluyan lo
siguiente:
a) protección de estaciones de trabajo con
acceso a Internet (por ejemplo, control de
acceso, protección de malware, firewall
personal y copias de respaldo)
b) identificar los tipos de servicios de Internet
permitidos
c) usar guías de uso aceptable (por ejemplo,
prohibir el uso de declaraciones ofensivas y
prohibir para uso personal)
d) dar detalles de las actividades de
monitoreo que se realizan
e) aplicar actualizaciones del software rápida
y eficientemente
f) restringir la descarga de código móvil (por
ejemplo, excluir las categorías de software
ejecutable usando un firewall personal o
equivalente)
g) usar firewall personal
h) instalar software de detección e intrusión
de host (HIDS)
i) Advertir a los usuarios sobre las siguientes
amenazas:
- peligros de descargar código móvil (por
ejemplo, Java applets, MS ActiveX,
JavaScripts, VBScript)
- implicaciones de aceptar o rechazar
‘cookies’
- abrir archivos descargados de Internet
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
PS8
PS8.1
CE-6
Guías de uso de
redes de voz
sobre IP
Control: Definir estándares para los servicios
VoIP(por ejemplo, la aplicación e
infraestructura de soporte) y generar guías
que incluyan lo siguiente:
a) guías para el uso del negocio y uso
personal (por ejemplo, usarlo para uso
personal fuera del horario laboral)
b) identificar los tipos de servicios de VoIP
permitidos (por ejemplo servicios tales como
Skype y Google Talk o servicios internos de
proveedores tales como Avaya, Cisco y
3Com)
c) usar guías de uso aceptable (por ejemplo,
voice-mail, servicios de conferencias y
mensajería unificada)
d) dar detalles de las actividades de
monitoreo que se realizan
e) Advertir a los usuarios sobre los riesgos
específicos del software de VoIP
PS8
PS8.1
CE-7
Guías de acceso
inalámbrico
Control: Definir estándares para el acceso
inalámbrico (por ejemplo, el software y la
infraestructura de soporte) y generar guías
que incluyan lo siguiente:
a) guías para el uso sólo en el desempeño de
las funciones y prohibirlo para uso personal
b) identificar los tipos de servicios de acceso
permitidos (por ejemplo, permitir conexión a
puntos de acceso inalámbrico corporativo o
conectarse a la red corporativa usando VPN
cuando se trabaje en sitios remotos)
c) usar guías de uso aceptable (por ejemplo,
prohibir conectarse desde equipos personales
o no autorizados)
d) dar detalles de las actividades de
monitoreo que se realizan
e) advertir a los usuarios sobre:
- las amenazas asociadas con el acceso
inalámbrico (por ejemplo, monitoreo de tráfico
de red, romper claves de encripción
inalámbricas, interceptación e interferencia)
- los pasos para minimizar los riesgos
asociados con el acceso inalámbrico (por
ejemplo, activar la tarjeta de interfase de red
inalámbrica cuando se requiera, usar
encripción tal como WPA o WPA2 y proteger
los detalles de autenticación tales como la
encripción de claves, contraseñas y tokens)
Tabla 16: Controles de seguridad recomendados para el Grupo 2.
Página 129 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
6.5.4.3.
Controles para entidades clasificadas en Grupo 3 (Entidades privadas que
pertenezcan a la cadena de prestación de servicios de Gobierno en Línea):
#
Nombre del Control
Control
Descripción
GESTIÓN DE
SEGURIDAD DE LA
INFORMACIÓN
SM1
Direccionamiento
estratégico
SM1.1
SM1.1.1
Compromiso de la dirección
SM1.1.2
Control: La dirección debe tener un alto nivel de
compromiso para:
a) Alcanzar altos estándares de gobierno corporativo
b) enfocar la seguridad de la información como un
asunto de la empresa
c) crear un entorno positivo de seguridad
d) demostrar a terceros que la empresa se ocupa de la
seguridad de la información de manera profesional.
Control: La dirección debe tener un alto nivel de
compromiso con la aplicación de los principios
fundamentales, que incluyen:
a) asumir la responsabilidad de los controles internos de
la organización
b) garantizar que los controles sobre la información y los
sistemas son proporcionales al riesgo
c) asignar la responsabilidad para identificar, clasificar y
salvaguardar la información y los sistemas a propietarios
individuales
d) garantizar el acceso a la información y los sistemas de
acuerdo con criterios explícitos.
Página 130 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM1.1.3
Control: La dirección debe demostrar su compromiso
con la seguridad de la información para:
a) asignar la responsabilidad general de la seguridad de
la información a un órgano de nivel ejecutivo o
equivalente (por ejemplo, un Oficial de Seguridad de la
Información)
b) compartir aspectos claves de seguridad de la
información con grupos de trabajo, comités o su
equivalente
c) monitorear las condiciones de seguridad de la
información de la organización
d) asignar recursos suficientes para la seguridad de la
información.
SM1.1.4
Control: La dirección debe demostrar su compromiso
aprobando la documentación de alto nivel que incluye:
a) la estrategia para la seguridad de la información
b) la política de seguridad de la información
c) la arquitectura de seguridad para la organización
SM1.2
Política de seguridad de la
información
SM1.2.1
Control: Se debe documentar y aprobar el documento
de la política de seguridad de la información para ser
aplicada en toda la empresa. Se debe asignar la
responsabilidad por el mantenimiento de la política.
SM1.2.2
Control: La política de seguridad de la información debe
definir las responsabilidades asociadas con la seguridad
de la información y los principios de seguridad que debe
seguir todo el personal.
SM1.2.3
Control: La política de seguridad de la información debe
exigir que:
a) se clasifique la información de manera que indique la
importancia para la organización
b) se nombre a los dueños de la información y sistemas
críticos (por lo general son las personas encargadas de
los procesos de negocio que dependen de la información
y los sistemas)
c) se realice un análisis de riesgos sobre la información y
los sistemas de manera periódica
d) el personal adquiera conciencia en seguridad de la
información
e) se cumpla con el licenciamiento de software y con
otras disposiciones legales, reglamentarias y
contractuales
f) se comunican las brechas de seguridad de la
información y la sospecha de debilidades de seguridad
de la información
g) se protege la información en términos de los requisitos
de confidencialidad, integridad y disponibilidad
Página 131 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM1.2.4
Control: La política de seguridad de la información debe:
a) estar alineada con otras políticas de alto nivel (por
ejemplo, las relativas a los recursos humanos, la salud y
la seguridad, las finanzas y la
tecnología de la información)
b) ser comunicada a todos los funcionarios y personas
externas con acceso a la información o a los sistemas de
la organización y revisarse periódicamente según un
proceso de revisión determinado
c) ser revisada para que se tenga en cuenta los cambios
en el entorno (por ejemplo, nuevas amenazas,
vulnerabilidades y riesgos, la reorganización de la
empresa, los cambios contractuales, legales y los
requisitos reglamentarios, o cambios en la infraestructura
de TI).
SM1.2.5
Control: La política de seguridad de la información
debería:
a) ser apoyada por métodos para evaluar el
cumplimiento
b) advertir que se pueden tomar las acciones
disciplinarias contra las personas que violen sus
disposiciones.
Control: La política debería instruir a los usuarios para:
a) asegurar los medios removibles y la documentación
que contenga información privada cuando no esté en uso
b) salir o bloquear la sesión del sistema cuando se deja
la Terminal abandonada
SM1.2.6
SM1.2.6
Control: La política de seguridad debería prohibir:
a) el uso no autorizado de la información y los sistemas
de la empresa
b) la utilización de la información y los sistemas para
fines diferentes a los laborales
c) la discriminación sexual, racista u otras declaraciones
que sean ofensivas (por ejemplo, al utilizar el correo
electrónico, la mensajería instantánea, el Internet o el
teléfono)
hacer obsceno, discriminatorio o de acoso declaraciones,
que puede ser ilegal (por ejemplo, al utilizar el correo
electrónico, al instante
mensajería, Internet o teléfono)
d) la descarga de material ilegal (por ejemplo, con
contenido obsceno o discriminatorio)
e) el retiro de información o equipos fuera de las
instalaciones sin la debida autorización
f) usar sin autorización software, equipos y dispositivos
removibles( por ejemplo, software de terceros, USB y
otros dispositivos removibles)
g) la copia no autorizada de información o software
h) la revelación de contraseñas
i) la utilización de información de identificación personal
a menos que exista una autorización expresa
j) comentar sobre la información de la empresa en sitios
públicos
k) manipular la evidencia en el caso de incidentes de
Página 132 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
seguridad de la información que requieran una
investigación forense.
SM1.3
SM1.3.1
Acuerdos con el personal
Control: Las responsabilidades de seguridad de la
información para todo el personal de la empresa debe
estar especificado en las descripciones del puesto y en
los términos y condiciones del empleo (por ejemplo, en el
contrato de trabajo).
SM1.3.2
Control: Los términos y condiciones del empleo
deberían:
a) declarar que las responsabilidades de seguridad de la
información se extienden fuera de las horas normales de
trabajo y continúan después de la terminación del
empleo.
b) explicar las responsabilidades legales y derechos del
empleado incluyendo la cláusula de confidencialidad y no
revelación.
SM1.3.3
Control: Los empleados, contratistas y personal de
terceros deberían aceptar y firmar los acuerdos de
confidencialidad.
SM1.3.4
Control: Debería establecerse un requisito documentado
para revocar inmediatamente los privilegios de acceso
cuando un usuario autorizado ya no requiere el acceso a
la información o a los sistemas como parte de su trabajo,
o cuando se retira de la empresa.
SM1.3.5
Control: Se deben verificar los antecedentes de los
aspirantes a ser empleados, contratistas o usuarios de
terceros antes de la contratación laboral.
SM1.3.6
Control: Los documentos del personal clave tales como
las políticas o las descripciones del puesto, deben ser
revisados por un especialista en seguridad de la
información y aprobados por la dirección y mantenerse
actualizados.
SM1.3.7
Control: Al terminar la contratación laboral, los
empleados y el personal de terceros debería documentar
la información relacionada con los procesos que maneja
y que son críticos para la empresa y devolver:
a) el equipo que pertenece a la empresa
b) la información importante ya sea en formato
electrónico o en copia dura
c) el software
d) el hardware de autenticación (por ejemplo, las
smartcards y tokens)
SM2
Organización de
seguridad
SM2.1
SM2.1.1
Control de Alto nivel
Control: Se debería asignar la responsabilidad general
por la seguridad de la información a un ejecutivo de alto
nivel o su equivalente.
Página 133 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM2.1.2
Control: Se debería establecer un grupo de trabajo de
alto nivel técnico o un comité u organismo equivalente
para coordinar las actividades de seguridad en toda la
organización. El grupo debería reunirse de forma
periódica (por ejemplo, tres o más veces al año) y
documentar las acciones acordadas en las reuniones.
SM2.1.3
Control: El grupo coordinador de la seguridad debería
estar conformado por:
a) un miembro de la dirección
b) uno o más dueños de aplicaciones y procesos
c) el jefe de seguridad de la información, o su
equivalente (por ejemplo, el Oficial Jefe de Seguridad de
la Información)
d) representantes de otras funciones relacionadas con la
seguridad (por ejemplo, accesoria legal, riesgo
operacional, auditoria interna, seguros, recursos
humanos y seguridad física)
e) el jefe de tecnología de la información (o equivalente).
SM2.1.4
Control: El grupo coordinador de la seguridad debe ser
responsable de:
a) considerar la seguridad de la información en toda la
empresa
b) asegurar que la seguridad de la información se enfoca
de manera coherente y consistente
c) aprobar las políticas de seguridad de la información
así como las normas y procedimientos
d) monitorear la exposición de la empresa a amenazas
de seguridad de la información
e) Monitorear el desempeño de la seguridad de la
información (por ejemplo, analizar el actual estado de
seguridad, manejo de incidentes de seguridad de la
información, y los costos)
f) aprobar y dar prioridad a las actividades de mejora de
seguridad de la información
g) garantizar que la seguridad de la información se
enfoca en los procesos de planeación de Ti de la
empresa
h) enfatizar la importancia de la seguridad de la
información en la organización.
SM2.2
SM2.2.1
Función de seguridad de la
información
Control: La organización debe estar apoyada por una
función de seguridad de la información (o equivalente),
que tiene la responsabilidad
para la promoción de buenas prácticas en seguridad de
la información en toda la empresa. El jefe de la función
de seguridad de la información
debería tener dedicación de tiempo completo a la
seguridad de la información
Página 134 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM2.2.2
SM2.2.3
Control: La función de seguridad de la información
debería:
a) desarrollar y mantener una estrategia de seguridad de
la información
b) coordinar la seguridad de la información a través de la
organización
c) definir un conjunto de servicios de seguridad (por
ejemplo, servicios de identidad, servicios de
autenticación, cifrado de servicios), que
proporcionan una gama coherente de capacidades de
seguridad
d) desarrollar normas, procedimientos y guías de
seguridad de la información
e) proveer consejo especializado en todos los aspectos
de la seguridad de la información (por ejemplo,
información de análisis de riesgos, la seguridad de la
información, administración de incidentes y protección
contra malware)
f) supervisar la gestión de incidentes de seguridad de la
información
g) ejecutar uno o más programas de sensibilización
sobre la seguridad de la información y desarrollar
habilidades en seguridad para todo el personal de la
empresa
h) evaluar las implicaciones de seguridad de las
iniciativas de negocio especializadas (por ejemplo, la
subcontratación, iniciativas de comercio electrónico y de
intercambio de información)
i) supervisar la eficacia de los acuerdos de seguridad de
la información
Control: La función de seguridad de la información
debería proveer soporte para:
a) las actividades de análisis de riesgos de información
b) importantes proyectos relacionados con la seguridad
c) los requisitos de seguridad de los principales
proyectos de TI
d) auditorias y revisiones de seguridad
e) clasificar la información y los sistemas de acuerdo con
su importancia para la organización
f) el uso de la criptografía
g) la inclusión de los requisitos de seguridad de la
información en los documentos de acuerdos(por ejemplo,
contratos o acuerdos de niveles de servicios)
i) el desarrollo de planes de continuidad de negocio
Página 135 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM2.2.4
Control: La función de seguridad de la información
debería monitorear:
a) las tendencias generales de los negocios (por
ejemplo, las perspectivas de crecimiento, la
internacionalización, el comercio electrónico y la
contratación externa)
b) los avances tecnológicos (por ejemplo, la tecnología
basada en la web, arquitectura orientada a servicios
(SOA) y Voz sobre IP)
c) las amenazas nuevas y emergentes (por ejemplo, el
robo de identidad, ataques de phishing y Bluetooth)
d) nuevas vulnerabilidades en los principales sistemas
operativos, aplicaciones y otros programas (por ejemplo,
utilizando los sitios web de proveedores y listas de
correo)
e) nuevas soluciones de seguridad de la información (por
ejemplo, la gestión de derechos digitales y de prevención
de intrusiones)
f) los estándares emergentes de la industria relacionadas
con la seguridad de la información (por ejemplo, las
Normas de Buenas Prácticas
ISO / IEC 27002 (17799), y COBIT v4.1)
g) las nuevas leyes o reglamentación relacionada con la
seguridad de la información (por ejemplo, los
relacionados con la privacidad de los datos,
digital signatures and industry-specific standards such as
Basel II 1998 and the Payment Card Industry (PCI)
Estándar de seguridad de datos).
Control: La función de seguridad de la información
debería:
a) contar con recursos suficientes con respecto al
número de personas, su rango y nivel de habilidades,
herramientas o
técnicas (por ejemplo, información de metodologías de
análisis de riesgos, software de investigación forense y
una arquitectura de seguridad empresarial)
b) tener suficiente impacto en la organización y un fuerte
apoyo de la dirección, de los gerentes de negocio y
gerentes de TI.
y los administradores de TI
c) mantener el contacto con sus homólogos en el mundo
comercial, el gobierno, las entidades de control y los
expertos en seguridad informática / empresas de
software y proveedores de servicios
d) ser revisado de forma periódica
SM2.2.5
SM2.3
SM2.3.1
Coordinación local de
seguridad
Control: Se debe asignar la responsabilidad por la
seguridad de la información a cada jefe de unidad de
negocio o departamento.
Página 136 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM2.3.2
Control: Los coordinadores locales de seguridad de la
información deben ser designados para coordinar la
seguridad de la información en la empresa incluyendo
las aplicaciones comerciales, de instalaciones de
computación, los ambientes de red, las actividades de
desarrollo del sistema y ambientes de usuario final.
SM2.3.3
Control: Los coordinadores locales de seguridad de la
información deben tener:
a) una clara comprensión de sus roles y
responsabilidades
b) suficientes conocimientos técnicos, tiempo,
herramientas necesarias (por ejemplo, listas de
verificación y especialistas en productos de software) y la
autoridad para llevar a cabo sus funciones asignadas
c) acceso a expertos internos o externos en seguridad de
la información
d) normas y procedimientos documentados para apoyar
el día a día las actividades de seguridad de la
información
e) información actualizada sobre técnicas (por ejemplo,
información de metodologías de análisis de riesgos, de
investigación forense, arquitectura de seguridad
empresarial) relacionados con la seguridad de la
información.
SM2.3.4
Control: La información acerca de la condición de
seguridad de la información debería ser:
a) reportada al jefe de la función de seguridad de la
información
b) presentada periódicamente de manera consistente
SM2.4
SM2.4.1
Conciencia de seguridad
Control: Se deben desarrollar actividades específicas
para promover conciencia de seguridad en toda la
empresa. Estas actividades deben
ser:
a) aprobadas por la dirección
b) responsabilidad de una persona en particular, de una
unidad de la organización, de un grupo de trabajo o
comité
c) apoyado por un conjunto de objetivos documentado
d) entregadas como parte de un programa de conciencia
en seguridad
e) sujetas a disciplinas de gestión de proyectos
f) mantenerse actualizadas con las prácticas y requisitos
actuales
g) basadas en los resultados de un análisis de riesgos de
información documentado
h) orientadas a reducir la frecuencia y magnitud de los
incidentes de seguridad de la información
i) medibles.
Página 137 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM2.4.2
Control: La conciencia de seguridad debe ser
promovida:
a) por la dirección, los gerentes, el personal de TI y
asesores externos
b) en conjunto con el entrenamiento en seguridad (por
ejemplo, utilizando técnicas tales como presentaciones y
entrenamiento basado en computadores (CBT))
c) mediante el suministro de material de sensibilización,
tales como folletos, fichas, carteles y documentos
electrónicos en la intranet.
Control: Se debería entregar al personal guías que le
ayuden a comprender:
a) el significado de seguridad de la información (es decir,
la protección de la confidencialidad, integridad y
disponibilidad
de información)
b) la importancia de cumplir con las políticas de
seguridad de la información y la aplicación de las
correspondientes normas y procedimientos
c) sus responsabilidades personales por la seguridad de
la información (por ejemplo, la presentación de reportes
sobre incidentes de seguridad de la información)
SM2.4.3
SM2.4.4
Control: Se debe monitorear la efectividad de la
conciencia en seguridad:
a) midiendo el nivel de conciencia de seguridad del
personal
b) revisar periódicamente el nivel de conciencia de
seguridad de la información
c) midiendo los beneficios de las actividades de
sensibilización (por ejemplo, monitorear la frecuencia y
magnitud de los
incidentes de seguridad de la información).
SM2.4.5
Control: El comportamiento positivo en seguridad
debería ser promovido por:
a) entrenamiento obligatorio en toma de conciencia en
seguridad
b) divulgación de los éxitos y fallas de seguridad en toda
la organización
c) vincular la seguridad a los objetivos de desempeño y
evaluaciones del personal
SM2.5
SM2.5.1
Educación y entrenamiento en
seguridad
Control: La educación y entrenamiento en seguridad
debería proporcionar al personal las habilidades que
necesitan para:
a) evaluar los requisitos de seguridad
b) proponer los controles de seguridad de la información
c) garantizar que los controles de seguridad funcionan de
manera eficaz en los ambientes en los que se aplican
Página 138 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM2.5.2
Control: La educación y el entrenamiento en seguridad
debería proporcionar a los usuarios las habilidades
necesarias para:
a) usar correctamente los sistemas
b) aplicar los controles de seguridad de la información
SM2.5.3
Control: La educación y entrenamiento en seguridad
debería proporcionar al personal de TI las habilidades
que necesitan para:
a) diseñar y desarrollar los controles de seguridad de los
sistemas de manera disciplinada
b) aplicar controles de seguridad de la información
c) operar correctamente las instalaciones de TI y aplicar
de manera efectiva los controles de seguridad
d) operar correctamente las redes y aplicar los controles
de seguridad requeridos
SM2.5.4
Control: La educación y entrenamiento en seguridad
debería ser proporcionada para permitir a especialistas
de seguridad de la información:
a) comprender el entorno empresarial
b) ejecutar proyectos relacionados con la seguridad
c) comunicarse de manera eficaz (por ejemplo, hacer
presentaciones, facilitar o influir en la gestión de
reuniones)
d) realizar actiivdades especiales de seguridad (por
ejemplo, análisis de riesgos de información, investigación
forense y planeación de continuidad del negocio)
SM3
Requerimientos de
seguridad
SM3.1
SM3.1.1
Clasificación de información
SM3.1.2
Control: Se debería aplicar un sistema de clasificación
de la información en toda la empresa que:
a) tenga en cuenta el impacto potencial en el negocio
ante la pérdida de confidencialidad de la información
b) se utiliza para determinar distintos niveles de
confidencialidad de la información (por ejemplo, top
secret, en confianza y pública)
Control: El sistema de clasificación de la información
que se establezca debe clasificar:
a) la información almacenada en papel (por ejemplo,
contratos, planos y documentación sobre el sistema,
celebrada en forma impresa)
b) la información almacenada en formato electrónico
(archivos creados en bases de datos, procesadores de
palabra, hojas de cálculo, etc.)
c) las comunicaciones electrónicas (por ejemplo, los
mensajes enviados por e-mail, mensajería instantánea)
Página 139 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM3.1.3
Control: El esquema de clasificación de la información
debería exigir:
a) que la información esté protegida de conformidad con
su clasificación de información
b) que sea aprobada por el dueño del negocio la
clasificación asignada a la información
c) que las clasificaciones se revisen y actualicen
periódicamente y cuando surjan cambios
SM3.1.4
Control: El esquema de clasificación de la información
debería:
a) proporcionar orientación sobre los requisitos de
manejo de cada clasificación (por ejemplo, cuando se
copia, almacena y destruye la información)
b) explicar cómo resolver los conflictos de las
clasificaciones
SM3.1.5
Control: El sistema de clasificación de la información
debería aplicarse a la información asociada con:
a)aplicaciones de negocio
b) instalaciones informáticas
c) redes
d) sistemas en desarrollo
e) entornos de usuario final
SM3.1.6
Control: Se deben aprobar los métodos de etiquetado
de la información clasificada para:
a) la información almacenada en papel (por ejemplo,
utilizando sellos de goma de tinta, etiquetas adhesivas,
hologramas)
b) la información almacenada en formato electrónico (por
ejemplo, marcas de agua electrónicas, etiquetas de
encabezados y pies de página, uso de convenciones
para nombres de archivo)
c) comunicaciones electrónicas (por ejemplo, utilizando
la firma digital e identificando claramente la clasificación
en las cabeceras de los mensajes de correo electrónico)
SM3.1.7
Control: Se debería mantener un inventario de los
detalles de las clasificaciones de la información (por
ejemplo, en una base de datos, mediante un software
especializado, o en papel)
SM3.1.8
Control: Los detalles de la clasificación de información
registrada deben incluir:
a) la clasificación de la información
b) la identidad del propietario de la información
c) una breve descripción de la información clasificada.
SM3.2
SM3.2.1
Propiedad
Control: Se debe asignar la propiedad de los sistemas y
la información crítica y documentar las responsabilidades
de los propietarios. Se deben comunicar las
responsabilidades para proteger la información y los
sistemas a los propietarios y ser aceptadas por ellos
Página 140 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM3.2.2
Control: Las responsabilidades de los propietarios
deberían incluir:
a) identificar los requisitos del negocio (incluyendo la
seguridad de la información) y aprobarlos
b) garantizar la protección de la información y los
sistemas de conformidad con la importancia para la
organización
c) la definición de los acuerdos de intercambio de
información (o equivalente)
d) el desarrollo de acuerdos de nivel de servicio (SLA)
e) autorizar nuevos o significativos cambios en los
sistemas
f) participar en auditorias y revisiones de seguridad
SM3.2.3
Control: Las responsabilidades de los propietarios
deberían involucrar:
a) determinar cuales usuarios son autorizados para
acceder la información y los sistemas bajo su control
b) aprobar los privilegios de acceso para casa usuario o
grupo de usuarios
c) asegurar que los usuarios sean concientes de sus
responsabilidades con respecto a la seguridad y las
asuman
SM3.2.4
Control: Se debería establecer un proceso para:
a) proveer a los propietarios de los conocimientos
necesarios, las herramientas, el personal y la autoridad
para cumplir con sus responsabilidades
b) asignar responsabilidades para la protección de los
sistemas y la información cuando el propietario no esté
disponible
c) reasignar la propiedad cuando un propietario cambia o
deja sus funciones
SM3.3
SM3.3.1
Administrar el análisis de
riesgos de la información
Control: Quienes toman las decisiones (incluida la
dirección, los jefes de unidades de negocio y
departamentos, y los propietarios de las aplicaciones del
negocio, de las instalaciones informáticas, las redes, los
sistemas en desarrollo y los entornos de usuario final)
deberían
ser conscientes de la necesidad de aplicar el análisis de
riesgos de información para entornos críticos dentro de
la organización.
Página 141 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM3.3.2
Control: Las normas y procedimientos para realizar
análisis de riesgos de información deberán ser
documentados. Se debería exigir que los riesgos sean
analizados para:
a) la información y los sistemas que son importantes
para la organización
b) los sistemas en una fase temprana de su desarrollo
c) los sistemas sujetos a importantes cambios, en una
fase temprana en el proceso de cambio
d) la introducción de nuevas tecnologías (por ejemplo,
redes inalámbricas, la mensajería instantánea y voz
sobre IP)
e) las solicitudes para permitir el acceso desde sitios
externos
f) las solicitudes para permitir el acceso a los sistemas y
a la información para personas externas a la
organización (por ejemplo, consultores, contratistas, y
personal de terceros)
SM3.3.3
Control: Las normas y procedimientos deberían
especificar que el análisis de riesgos:
a) se lleve a cabo periódicamente
b) involucre a los dueños de los negocios, los
especialistas en TI, los principales representantes de los
usuarios, los expertos en análisis de riesgos y los
especialistas en seguridad de la información
SM3.3.4
Control: Los resultados del análisis de riesgos deben
ser:
a) reportados a la dirección
b) utilizados para ayudar a determinar programas de
trabajo en seguridad de la información (por ejemplo, la
acciones correctivas y las nuevas
iniciativas en materia de seguridad)
c) integrados con otras actividades de gestión del riesgo
(por ejemplo, la gestión de riesgo operativo)
SM3.4
SM3.4.1
Metodologías de análisis de
riesgos de información
Control: Los riesgos asociados con la información y los
sistemas de la organización deben ser analizados
utilizando metodologías estructuradas de análisis de
riesgos información
Página 142 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM3.4.2
Control: Las metodología de análisis de riesgos debería
ser:
a) documentada
b) aprobada por la dirección
c) consistente en toda la organización
d) automatizado (por ejemplo, utilizando herramientas de
software especializado)
e) revisarse periódicamente para garantizar que cumplen
las necesidades del negocio
f) aplicable a sistemas de diferentes tamaños y tipos
g) comprensible para los representantes de las unidades
negocio.
SM3.4.3
Control: La metodología de análisis de riesgos de
información debe exigir que todos los análisis de riesgo
tengan un alcance claramente definido.
SM3.4.4
Control: La metodología de análisis de riesgos de
información debe determinar el riesgo evaluando:
a) el impacto potencial para el negocio asociadas con el
sistema, la red, o las instalaciones de computación
b) las amenazas intencionales a la confidencialidad,
integridad y disponibilidad de la información y los
sistemas (por ejemplo, llevar a cabo
ataques de denegación de servicio, el malware, la
instalación de software no autorizado, mal uso de los
sistemas para cometer un fraude)
c) las amenazas accidentales a la confidencialidad,
integridad y disponibilidad de la información y los
sistemas (por ejemplo, la interrupción del suministro de
energía, mal funcionamiento del sistema o del software)
d) las vulnerabilidades ocasionadas por deficiencias de
control
e) las vulnerabilidades debidas a situaciones que
aumentan la probabilidad de ocurrencia de un grave
incidente de seguridad de la información
(por ejemplo, el uso de Internet, permitir el acceso a
terceros o la ubicación de un servidor en una zona
propensa a terremotos o inundaciones)
SM3.4.5
Control: La metodología de análisis de riesgos debería
tener en cuenta:
a) los requisitos de cumplimiento (por ejemplo, con la
legislación, la reglamentación, las cláusulas
contractuales, las normas de la industria y
políticas internas)
b) los objetivos de la organización
c) los requisitos de clasificación de la información
d) el análisis de riesgos previo de la aplicación, la red o
la instalación de computo que se está evaluando
e) las características del ambiente operativo de la
aplicación, la red o la instalación de computo que se está
evaluando
Página 143 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM3.4.6
Control: La metodología de análisis de riesgos debe
asegurar que los resultados del análisis de riesgos se
documenten e incluyan:
a) una clara identificación de los principales riesgos
b) una evaluación del impacto potencial de cada riesgo
para el negocio
c) acciones recomendadas para reducir el riesgo a un
nivel aceptable
SM3.4.7
Control: La metodología de análisis de riesgos debería
ser utilizada para ayudar:
a) a seleccionar los controles de seguridad que reduzcan
la probabilidad de ocurrencia de graves incidentes de
seguridad de la información
b) a seleccionar los controles de seguridad que
satisfagan los requisitos de cumplimiento
c) a evaluar las fortalezas y debilidades de los controles
de seguridad
d) a determinar los costos de la aplicación de controles
de seguridad (por ejemplo, los costos relacionados con:
diseño, compra,
aplicación y seguimiento de los controles de hardware y
software, formación, gastos generales, tales como
instalaciones;
y honorarios de consultoría)
e) a identificar controles de seguridad especializados
requeridos por los ambientes (por ejemplo, el cifrado de
datos o fuerte
autenticación)
SM3.4.8
Control: La metodología de análisis de riesgos debería
asegurar que los resultados del análisis sea:
a) comunicado a los dueños de los procesos o de la
información o de los sistemas
b) aprobado por los dueños
c) comparado con el análisis de riesgos realizado en
otras áreas de la organización
SM3.5
SM3.5.1
Cumplimiento legal y
regulatorio
Control: Los requisitos legales y regulatorios que
afectan la seguridad de la información deben ser
reconocidos por:
a) la dirección
b) los dueños de los negocios
c) el jefe de seguridad de la información (o equivalente)
d) los representantes de otras funciones relacionadas
con la seguridad (por ejemplo, accesoria legal, el riesgo
operacional, la auditoria interna, seguros, recursos
humanos y la seguridad física)
Página 144 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM3.5.2
Control: Se debe establecer un proceso para asegurar
cumplimiento con los requisitos legales y regulatorios
que afectan la seguridad de la información y debe
considerar:
a) la legislación específica sobre seguridad de la
información (por ejemplo, la ley de delitos informáticos,
ley de habeas data, ley de comercio electrónico)
b) la legislación general que tiene implicaciones para la
seguridad (por ejemplo, la constitución nacional, la ley de
habeas data, la ley de propiedad intelectual, etc.)
c)las regulaciones (por ejemplo, la circular 052 de la
Superfinanciera, el lavado de activos, la regulación
ambiental, regulación de la industria de tarjetas de pago
(PCI), etc.).
SM3.5.3
Control: El proceso de cumplimiento debe permitir a
quienes toman decisiones:
a) descubrir las leyes y reglamentos que afectan la
seguridad de la información
b) interpretar las implicaciones de seguridad de la
información de estas leyes y reglamentos
c) identificar el posible incumplimiento legal y
reglamentario
d) determinar acciones sobre el posible incumplimiento
SM3.5.4
Control: El proceso de cumplimiento debe ser
documentado, aprobado por la dirección, y mantenerse
actualizado
SM3.5.5
Control: Una revisión del cumplimiento de los requisitos
legales y reglamentarios debe ser:
a) realizado periódicamente o cuando nueva legislación
o requisitos reglamentarios entren en vigencia
b) llevada a cabo por representantes de las principales
áreas de la organización (por ejemplo, la dirección, los
propietarios de los negocios, el departamento legal, la
administración de TI, y la función de seguridad de la
información)
SM3.5.6
Control: Se debe considerar la actualización de las
normas y procedimientos de seguridad de la información
como resultado de la revisión del cumplimiento legal y
regulatorio
SM4
Ambiente seguro
SM4.1
SM4.1.1
Arquitectura de Seguridad
Control: Se debe establecer una arquitectura de
seguridad integrada con la arquitectura empresarial de la
organización (o su equivalente)
Página 145 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM4.1.2
Control: El desarrollo de la arquitectura de seguridad
debería involucrar:
a) una evaluación de los requisitos de seguridad para el
negocio
b) el uso de un modelo de arquitectura de seguridad en
capas (por ejemplo, las capas conceptual, lógica y física)
c) la definición de los principios de la arquitectura de
seguridad
d) la identificación de los componentes de seguridad que
pueden incluirse en la arquitectura de seguridad (por
ejemplo, los controles de seguridad, los servicios de
seguridad y tecnologías de seguridad)
e) el desarrollo de herramientas y recursos que se
utilizarán para ayudar a administrar la arquitectura de
seguridad (por ejemplo,
repositorios de soluciones, patrones de diseño, ejemplos
de código y de interfaces de programación de
aplicaciones (API))
SM4.1.3
Control: El desarrollo de la arquitectura de seguridad
debería incluir:
a) el aporte de especialistas internos pertinentes (por
ejemplo, un arquitecto de seguridad, arquitecto técnico o
especialista en seguridad de la información)
b) uso de un especialista externo en arquitectura de
seguridad
c) la capacitación de las personas que necesitan utilizar
la arquitectura de seguridad (por ejemplo, especialistas
en seguridad de la información, desarrolladores de
software e implementadores de TI)
d) la introducción de un método para medir la adopción
de la arquitectura de seguridad en toda la organización
SM4.1.4
Control: La arquitectura de seguridad debería ser
aplicada para:
a) el desarrollo de aplicaciones de negocio (por ejemplo,
para ayudar a administrar la complejidad y escala, tomar
decisiones efectivas de diseño y mejorar la calidad y la
seguridad de las aplicaciones de negocio)
b) ayudar a gestionar la infraestructura de TI (por
ejemplo, para ayudar en el desarrollo de una
infraestructura de TI segura, y ayudar en la
revisión y análisis de la actual infraestructura de TI)
c) los principales proyectos de TI (por ejemplo, para
ayudar a hacer frente a la complejidad, los nuevos
riesgos de información y ambientes de gran escala)
Página 146 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM4.1.5
Control: La arquitectura de seguridad debería ser :
a) documentada (por ejemplo en forma de blueprints,
diseños, diagramas, tablas o modelos)
b) aprobada por el negocio, por la TI y por los
administradores de seguridad de la información
c) asignada a un propietario (por ejemplo, un arquitecto o
un grupo de alto nivel, tales como una Junta de
Arquitectura, o equivalente)
d) mejorada (por ejemplo, mediante revisiones, manejo
de excepciones y administración de cambios)
SM4.1.6
Control: Debe haber un proceso para implementar de
manera coherente y consistente los servicios de
seguridad (por ejemplo, servicios de identidad, servicios
de autenticación y servicios de cifrado) y el
establecimiento de interfaces de usuario y de
programación de aplicaciones (API).
SM4.1.7
Control: Se deben establecer acuerdos a nivel empresa
para:
a) minimizar la diversidad de hardware y software
utilizado
b) proporcionar la funcionalidad de seguridad coherente
a través de las diferentes plataformas de hardware y
software
c) integrar los controles de seguridad en la aplicación, en
el ambiente del computador y en la red
d) aplicar técnicas criptográficas consistentes
e) implementar convenciones de nomenclatura común
f) segregar los ambientes con diferentes requisitos de
seguridad (por ejemplo, mediante la creación de
dominios de seguridad "confiables" y "no confiables")
g) controlar el flujo de información entre los diferentes
ambientes
SM4.2
SM4.2.1
SM4.2.2
Privacidad de la información
Control: Se debe establecer un comité directivo que
será responsable por la gestión de privacidad de la
información y debe designarse a una persona que
coordine la actividad de privacidad de la información (por
ejemplo, un Oficial de Privacidad o un administrador de
protección de datos)
Control: El comité directivo debería ser conciente de:
a) la ubicación (s) de la información de identificación
personal de las personas
b) cómo y cuándo usar la información de identificación
personal
Página 147 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM4.2.3
Control: Se deben establecer procedimientos para
manejar la privacidad de la información el cual cubre:
a) uso aceptable de la información de identificación
personal
b) los derechos de las personas sobre los cuales se tiene
la información de identificación personal
c) la evaluación de la privacidad, los programas de
conciencia y cumplimiento
d) los requerimientos legales y regulatorios para la
privacidad
SM4.2.4
Control: En caso de que la información de identificación
personal se almacene o transforme, deben existir
procesos para asegurar que ésta es:
a) adecuada, pertinente y no excesiva para los fines
para los que se recolecta
b) exacta (es decir, registrada correctamente y
actualizada)
c) mantenerse confidencial, procesada legalmente y
utilizada sólo para los propósitos explícitos y legítimos
especificados
d) manejada en un formato que permita la identificación
de personas sólo por el tiempo necesario
e) sólo entregada a terceros, siempre que éstos puedan
demostrar el cumplimiento de requerimientos legales y
regulatorios para
el manejo de la información de identificación personal
f) recuperable en el caso de una solicitud legítima de
acceso
SM4.2.5
Control: A las personas dueñas de la información de
identificación personal se les debería:
a) solicitar su probación antes de que la información sea
recogida, almacenada, procesada o revelada a terceros
b) informar de cómo se utilizará esta información,
permitir que se compruebe su exactitud y tener sus
registros
corregidos o eliminados
Control: La información de identificación personal debe
ser tratada de conformidad con la legislación vigente
Control: Se debe designar a una persona o un grupo
para:
a) realizar una evaluación de la privacidad (por ejemplo,
para determinar el nivel de cumplimiento con la
legislación pertinente y las políticas internas)
b) implementar un programa de cumplimiento de la
privacidad
c) hacer que el personal y los terceros (por ejemplo,
clientes, clientes y proveedores), sean conscientes de la
importancia de la privacidad de la información
SM4.2.6
SM4.2.7
SM4.3
Gestión de activos
Página 148 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM4.3.1
Control: Deberían existir procedimientos documentados
para la gestión de activos, que incluyan:
a) la adquisición de software y hardware
b) el licenciamiento de software
c) el registro de activos en un inventario (o equivalente)
d) el archivo de la información importante
SM4.3.2
Control: Cuando se adquiera hardware y software se
debería:
a) seleccionar una lista de proveedores aprobados
b) considerar los requisitos de seguridad
c) debe darse alta prioridad a la confiabilidad
d) acordar los términos contractuales con los
proveedores.
SM4.3.3
Control: Se debe reducir el riesgo de debilidades de
seguridad del hardware y software mediante:
a) la obtención de las evaluaciones externas por parte
de fuentes de confianza
b) la identificación de las deficiencias de seguridad (por
ejemplo, inspección detallada, la referencia a las fuentes
publicadas, o mediante la participación de los usuarios
o grupos de discusión)
c) considerar métodos alternativos para proporcionar el
nivel necesario de seguridad
SM4.3.4
Control: La adquisición de hardware y software debe ser
revisado por el personal que tenga las habilidades
necesarias para evaluar el proceso y se debe contar con
la aprobación del representante del negocio apropiado.
SM4.3.5
Control: Se deben cumplir con los requisitos de
licenciamiento para el uso previsto del software y el
suministro de prueba de propiedad del software
SM4.3.6
Control: El Hardware y software (incluyendo
aplicaciones de escritorio críticas) se deben registrar en
los inventarios que especifican una única descripción de
hardware / software en uso, junto con su versión y la
ubicación.
Control: El inventario de Hardware y software debería
ser:
a) protegido contra cambios no autorizados
b) verificado periódicamente contra los activos físicos
c) mantenido al día
d) revisado independientemente.
Control: La información importante debería ser retenida
de conformidad con los requisitos jurídico y
reglamentarios
SM4.3.7
SM4.3.8
SM4.4
SM4.4.1
SM4.4.2
Gestión de identidad y de
acceso
Control: Se deben establecer procesos de gestión de
identidad y de acceso en toda la empresa
Control: Se deben establecer acuerdos para la gestión
de identidad y acceso y ser incorporados en una solución
empresarial y estos acuerdos deben aplicarse para
nuevas aplicaciones.
Página 149 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM4.4.3
Control: Los acuerdos de gestión de identidad y acceso
deben:
a) incluir un método de validación de las identidades de
los usuarios antes de activar las cuentas de usuario
b) mantener un número mínimo de cuentas de usuario
para inicio de sesión
SM4.4.4
Control: Los acuerdos de gestión de identidad y acceso
deben proveer un conjunto consistente de métodos para:
a) la identificación de los usuarios (por ejemplo,
utilizando únicas user ID).
Autenticación de usuarios (por ejemplo, utilizando
contraseñas, fichas o datos biométricos)
el usuario de inicio de sesión en proceso
se autoriza a los usuarios privilegios de acceso
administrar los privilegios de acceso de usuario.
SM4.4.5
Control: Se deben desarrollar acuerdos de
administración de identidad y de acceso para mejorar la
integridad de la información del usuario para:
a) que la información esté disponible para que sea
validada por lo usuarios
b) permitir a los usuarios corregir sus propia información
c) mantener un número limitado de almacenamientos de
identidad(es decir, el lugar donde la información de
autenticación de usuario se almacena, como una base
de datos, X500 / servicio de directorio Lightweight
Directory Access Protocol (LDAP), o productos
comerciales de gestión de identidad y acceso)
d) utilizar un sistema automatizado de dotación (en virtud
del cual se crean cuentas de usuario para todos los
sistemas, siguiendo la creación de una entrada inicial de
un usuario en una aplicación central de gestión de
identidad y acceso)
e) utilizar un sistema centralizado de gestión del cambio
SM4.4.6
Control: Los acuerdos de gestión de identidad y acceso
deben permitir:
a) que los derechos de acceso sean rápida y fácilmente
concedidos, modificado o eliminados para un gran
número de usuarios (por ejemplo, instalando derechos
de acceso basado en roles)
b) que la gestión de privilegios de acceso de los usuarios
sea realizada por los propietarios de los sistema
SM4.5
SM4.5.1
Protección Física
Control: Deben existir normas y procedimientos para la
protección física en las zonas donde se alojan los
servicios de TI críticos dentro de la organización
Página 150 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM4.5.2
Control: Los estándares y procedimientos deben cubrir
la protección de:
a) edificios contra el acceso no autorizado (por ejemplo,
mediante el uso de candados, los guardias de seguridad
y vigilancia por vídeo)
b) documentos importantes y medios de almacenamiento
removible (por ejemplo CD, DVD y USB de memoria)
contra el robo o copiado
c) áreas de almacenamiento (por ejemplo, que podrían
ser utilizados para almacenar los activos de la
organización, equipo y medios de almacenamiento o
documentos importantes en papel)
d) personal vulnerables a la intimidación por parte de
terceros malintencionados
SM4.5.3
Control: Se deben proteger los edificios que albergan
las instalaciones de TI críticas contra acceso no
autorizado mediante:
a)suministro de cerraduras, tornillos (o equivalente) en
puertas y ventanas vulnerables
b) el empleo de guardias de seguridad
c) la instalación de un circuito cerrado de televisión
(CCTV), o su equivalente
SM4.5.4
Control: Se deben proteger los documentos
importantes y medios de almacenamiento extraíbles (por
ejemplo CD, DVD y USB de memoria) contra robo o
copiado mediante:
a) almacenamiento de material sensitivo en gabinetes
bajo llave (o similar) cuando no están en uso (por
ejemplo, mediante la aplicación de una política de
escritorio limpio)
b) la restricción del acceso físico a importantes puntos
post o de fax
c) la localización de equipos usados para material
sensitivo impreso en áreas físicas seguras
Control: El personal debe estar protegido contra la
intimidación por parte de terceros malintencionados
proporcionando alarmas de coacción en
áreas públicas susceptibles y estableciendo un proceso
para responder a situaciones de emergencia.
SM4.5.5
SM4.6
SM4.6.1
Gestión de incidentes de
seguridad de la información
Control: Se debe establecer capacidad para el gobierno
de la gestión de incidentes de seguridad de la
información que comprometan la confidencialidad,
integridad o disponibilidad de la información
Página 151 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM4.6.2
Control: La gestión de incidentes de seguridad de la
información debe ser respaldada por normas y
procedimientos documentados los cuales deben:
a) cubrir la participación de los interesados pertinentes
(por ejemplo, departamento legal, relaciones públicas,
recursos humanos, los organismos de control, los
reguladores de la industria)
b) detallar los tipos de información necesarios para
apoyar la gestión de incidentes de seguridad de la
información (por ejemplo, los registros de eventos de
seguridad, los diagramas de configuración de la red y los
detalles de clasificación de la información)
c) especificar las herramientas necesarias para apoyar la
gestión de incidentes de seguridad de la información (por
ejemplo, listas de chequeo, formatos y plantillas, los
analizadores de logs, software de seguimiento de
incidentes y software de análisis forense)
SM4.6.3
Control: Las normas y procedimientos de gestión de
incidentes de seguridad de la información deben ser:
a) aprobados por la dirección
b) revisados periódicamente
c) mantenidos al día
SM4.6.4
Control: Debe haber un proceso para la gestión de los
incidentes de seguridad de la información, que incluya:
a) la identificación de incidentes de seguridad de la
información (por ejemplo, la recepción de informes de
incidentes de seguridad de la información, la evaluación
del impacto sobre el negocio, la categorización y
clasificación de los incidentes de seguridad de la
información, y el registro de la información sobre el
incidente de seguridad de la información)
b) la respuesta a los incidentes de seguridad de la
información (por ejemplo, el escalamiento al equipo de
gestión de incidentes de seguridad de la información, la
investigación, contención y erradicación de la causa del
incidente de seguridad de la información)
c) la recuperación después de un incidente de seguridad
de la información (por ejemplo, la reconstrucción de los
sistemas y la restauración de datos, y el cierre del
incidente de seguridad de la información)
d) el seguimiento de los incidentes de seguridad de la
información (por ejemplo, las actividades posteriores a
los incidentes, tales como el análisis de causa raíz, la
investigación forense y la presentación de informes al
negocio)
Página 152 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM4.6.5
Control: Debe existir una persona o equipo responsable
de la gestión de incidentes de seguridad de la
información, que
tenga:
a) sus funciones y responsabilidades definidas
b) suficientes competencias y experiencia en la gestión
de incidentes de seguridad de la información
c) autoridad para tomar decisiones críticas para negocio
d) métodos para involucrar a los interesados directos
internos y externos (por ejemplo, departamento legal,
relaciones públicas, recursos humanos, los organismos
de control y los reguladores de la industria)
SM4.6.6
Control: La información pertinente para la gestión de
incidentes de seguridad de la información (por ejemplo,
diagramas de red, los registros de sucesos, los procesos
de los negocios y los informes de auditoria de seguridad)
debe estar disponible para ayudar al personal a seguir, y
tomar decisiones importantes durante el proceso de
gestión de incidentes de seguridad de la información
SM4.6.7
Control: Las personas responsables de la gestión de
incidentes de seguridad de la información se deben
apoyar en herramientas (por ejemplo, software para la
gestión de seguridad de la información, el manejo de
evidencia, las copias de respaldo y recuperación, y la
investigación forense) para ayudar a completar cada
etapa del proceso de gestión de incidentes de seguridad
SM4.7
SM4.7.1
Continuidad del negocio
Control: Deben existir normas y procedimientos para
desarrollar planes de continuidad de negocios que
especifiquen que los planes son:
a) suministrados a todas las partes críticas de la
organización
b) basados en los resultados de un análisis de riesgos de
información documentado
c) distribuidos a las personas que lo requieran en caso
de emergencia
d) mantenidos al día y sujetos a prácticas de
administración de cambios
e) sujetos a copias de respaldo y las copias
almacenadas fuera del sitio
Página 153 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM4.7.2
Control: Los planes de continuidad del negocio deben
incluir:
a) las guías para garantizar la seguridad de las personas
b) una lista de los servicios y la información que debe
recuperarse, en orden de prioridad
c) un programa de tareas y actividades que se llevarán a
cabo, la identificación de responsabilidades para cada
tarea
d) las guías a seguir en la realización de tareas y
actividades, incluyendo procedimientos de emergencia,
y procedimientos de reanudación
e) suficiente detalle para que puedan ser seguidas por
personas que no suelen llevarlos a cabo
f) detalle de las tareas que se emprenderán después de
la recuperación y restauración (por ejemplo, comprobar
que los sistemas se restauren al mismo estado que
tenían antes de que el plan de continuidad fuera
invocado)
SM4.7.3
Control: Se deben documentar las normas y
procedimientos para los acuerdos de continuidad del
negocio (por ejemplo
instalaciones de procesamiento separadas, acuerdos de
reciprocidad con otra organización o un contrato con un
proveedor especialista
en acuerdos de continuidad del negocio)
SM4.7.4
Control: Los acuerdos de continuidad del negocio deben
cubrir la indisponibilidad prolongada de:
a) personas clave (por ejemplo, debido a enfermedad,
lesiones, vacaciones o viaje)
b) ingreso a las oficinas (por ejemplo, debido a acciones
de la policía, el ejército o las acciones terroristas,
desastres naturales, o retiro de los
servicios de transporte)
c) los sistemas o software de aplicaciones
d) la información del negocio (en papel o en formato
electrónico)
e) el computador, las comunicaciones y los equipos de
control ambiental
f) los servicios de red (por ejemplo, debido a la pérdida
de voz, datos u otras comunicaciones
g) los servicios esenciales (por ejemplo, electricidad, gas
o agua).
SM4.7.5
Control: Los acuerdos de continuidad del negocio deben
cubrir:
a) aplicaciones del negocio
b) las áreas del negocio (por ejemplo, centros de control
de procesos y centros de llamadas)
Página 154 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM4.7.6
Control: Los acuerdos de continuidad del negocio deben
ser probados periódicamente, utilizando simulaciones
realistas (que implican tanto a los usuarios como al
personal de TI), para demostrar si el personal es capaz
de recuperar la información crítica y los sistemas dentro
de escalas de tiempo críticas.
SM4.7.7
Control: Los acuerdos de continuidad del negocio
deben exigir que el personal apropiado esté informado
sobre las responsabilidades en la continuidad del
negocio y esté entrenado para asumirlas
SM5
Ataques maliciosos
SM5.1
Protección general contra
malware
SM5.1.1
Control: Deben existir normas y procedimientos
documentados los cuales:
a) proporcionan a los usuarios información sobre los
programas maliciosos
b) adviertan a los usuarios la manera de reducir el riesgo
de infección de malware
SM5.1.2
Control; Los usuarios deberían ser:
a) advertidos sobre la prevalencia de los programas
maliciosos y los peligros que plantea
b) educados con respecto a la forma en que el malware
puede instalarse en las estaciones de trabajo
c) informados de los síntomas más comunes de los
programas maliciosos (por ejemplo, pobre rendimiento
del sistema, comportamiento inesperado de la aplicación,
terminación repentina de una aplicación)
d) notificados rápidamente de nuevos e importantes
riesgos relacionados con el malware (por ejemplo, por
correo electrónico o a través de una intranet)
e) instruidos para reportar programas maliciosos a un
único punto de contacto para soporte (por ejemplo, un
servicio de mesa de ayuda )
f) apoyados por especialistas de soporte técnico las
veces que sea necesario (por ejemplo, las 24 horas del
día, 365 días al año)
SM5.1.3
Control: El riesgo de infección por virus debería
reducirse alertando a los usuarios para no:
a) instalar el software de fuentes no confiables
b) abrir archivos adjuntos no confiables
c) hacer clic en enlaces dentro de correos electrónicos o
documentos
d) intentar resolver manualmente problemas de malware
Página 155 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM5.1.4
SM5.2
Control: La protección contra virus debería incluir:
a) la aplicación de procedimientos de emergencia para
hacer frente a incidentes relacionados con programas
maliciosos
b) el monitoreo de fuentes externas para obtener
conocimiento sobre nuevas amenazas de malware
c) informar a los terceros sobre las normas y
procedimientos de protección contra malware
Software de protección contra
el malware (por ejemplo: virus,
gusanos, caballos troyanos,
spyware, adware, código móvil
malicioso)
SM5.2.1
Control: Deben existir normas y procedimientos
documentados relacionados con la protección contra
software malicioso que especifiquen:
a) los métodos para instalar y configurar el software de
protección contra programas maliciosos (por ejemplo,
software de protección antivirus, software antispyware)
b) los mecanismos para la actualización de software de
protección contra programas maliciosos (incluyendo
actualizaciones automáticas).
SM5.2.2
Control: Se debe instalar el software de protección
contra el malware en sistemas que son susceptibles a
los programas maliciosos como son:
a) los servidores (por ejemplo, los servidores de
archivos, servidores de impresión, servidores de
aplicaciones, servidores web y servidores de bases de
datos)
b) gateways de mensajería (por ejemplo, los que
exploran el tráfico de la red y mensajes electrónicos en
tiempo real)
c) computadores de escritorio (desktop computers)
d) computadores portátiles (laptop computers)
e) dispositivos de computación manuales (hand-held)
(por ejemplo, teléfonos móviles basados en WAP,
teléfonos inteligentes y asistentes digitales personales
(PDA)).
Control: El software de protección contra el malware
debe distribuirse automáticamente, y dentro de los
plazos definidos con el fin de reducir el riesgo de
exposición al malware más reciente (incluidos los que
están asociados con ataques del "Día cero" )
SM5.2.3
SM5.2.4
Control: El software de protección contra el malware
debe proteger contra todas las modalidades de
programas maliciosos (por ejemplo, virus informáticos,
gusanos, caballos de troya, spyware, adware y código
malicioso móvil)
Página 156 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM5.2.5
Control: El software de protección contra el malware
debe estar configurado para escanear o explorar:
a) la memoria del computador
b) los archivos ejecutables (incluidos las macros del
software de oficina)
c) los archivos protegidos (por ejemplo, los archivos
comprimidos y los protegidos con contraseña)
d) los medios de almacenamiento extraíbles (por ejemplo
CD, DVD y dispositivos de almacenamiento USB)
e) el tráfico entrante de la red corporativa (incluyendo el
correo electrónico y descargas de Internet)
f) el tráfico saliente de la red corporativa (incluyendo el
correo electrónico)
SM5.2.6
Control: El software de protección contra el malware
debe estar configurado para:
a) estar activo en todo momento
b) proporcionar una notificación cuando se identifique
malware sospechoso (por ejemplo, producir un log de
eventos de entrada y el suministro de alertas)
c) dejar en cuarentena los archivos sospechosos de
contener malware (por ejemplo, para una investigación
posterior)
d) eliminar el malware y los archivos asociados o
restablecer la configuración del sistema
e) garantizar que la configuración no se pueda desactivar
o reducir al mínimo la funcionalidad.
SM5.2.7
Control: Se deben efectuar revisiones periódicas de los
servidores, computadoras de escritorio, computadoras
portátiles y dispositivos de computación manuales para
garantizar que:
a) el software de protección contra el malware no ha
sido desactivado
b) la configuración del software de protección contra el
malware es correcta
c) las actualizaciones se aplican dentro de los plazos
definidos
d) se han establecido los procedimientos de emergencia
para manejar los incidentes relacionados con el malware
Página 157 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM5.2.8
SM5.3
SM5.3.1
Control: Se debe reducir el riesgo de descargar malware
mediante:
a) la restricción de las fuentes donde se pueda descargar
el código móvil (por ejemplo, proporcionando una lista
negra de sitios web prohibidos)
b) la prevención de descarga de determinados tipos de
código móvil (por ejemplo, los relacionados con
vulnerabilidades conocidas tales como controles ActiveX,
JavaScript y objetos de ayuda del navegador)
c) la configuración de los navegadores web para que los
usuarios se les pregunte si desean instalar el código
móvil
d) la descarga de código móvil confiable (es decir,
firmado con un certificado digital de confianza)
e) la ejecución de código móvil en un entorno protegido
(por ejemplo, un área de cuarentena, tales como Java
'sandbox' o un servidor proxy en una "zona
desmilitarizada" (DMZ))
Detección de intrusos
Control: Deben emplearse mecanismos de detección de
intrusos para redes y sistemas críticos con el fin de
identificar previamente los nuevos tipos de ataque.
SM5.3.2
Control: Deben existir normas y procedimientos
documentados para detección de intrusos que incluyan:
a) métodos de identificación de la actividad no autorizada
b) análisis de las intrusiones sospechosas
c) respuesta apropiada a los distintos tipos de ataque
(por ejemplo, mediante un proceso de gestión de
incidentes de seguridad de la información)
SM5.3.3
Control: Los métodos de detección de intrusos deben
identificar:
a) el acceso no autorizado a los sistemas y a la
información
b) el comportamiento inesperado del usuario o de la
aplicación
c) la terminación no planeada de los procesos o
aplicaciones
d) la actividad típicamente asociada con el malware
SM5.3.4
Control: Se debe contar con software especializado
para la detección de intrusos tales como host de
sistemas de detección de intrusiones
(HIDS) y sistemas de detección de intrusiones de red
(NIDS). Este software debe ser evaluado antes de la
compra.
SM5.3.5
Control: Se deben proteger los sensores de detección
de intrusión en la red (es decir, hardware especializado
que sirve para identificar la actividad no autorizada en el
tráfico de la red) contra ataques (por ejemplo, limitando
la transmisión de cualquier tráfico de red externo,
o mediante un dispositivo de red, network tap, para
ocultar la presencia del sensor).
Página 158 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM5.3.6
Control: El software de detección de intrusos debe ser:
a) actualizado automáticamente y dentro de plazos
definidos (por ejemplo, la distribución de archivos de
firmas de ataque para los
sensores de detección de intrusos a través de una
consola de administración central)
b) configurado para proporcionar alertas cuando se
detectan actividades sospechosas (por ejemplo, a través
de una consola de administración, mensajes de correo
electrónico o mensajes de texto SMS para teléfonos
móviles)
SM5.3.7
Control: Se deben realizar revisiones periódicas para
asegurar que:
a) la configuración del software de detección de intrusión
cumple las normas internas
b) el software de detección de intrusiones no ha sido
desactivado
c) las actualizaciones se han aplicado dentro de los
plazos definidos
SM5.3.8
Control: Se deben analizar las intrusiones sospechosas
y evaluar el impacto potencial para el negocio. El análisis
debe incluir:
a) confirmar si un ataque se está produciendo realmente
(por ejemplo, mediante la eliminación de falsos positivos)
b) determinar el tipo de ataque (por ejemplo, los
gusanos, los ataques por desbordamiento de búfer o de
denegación del servicio)
c) identificar el punto de origen de un ataque
d) cuantificar el impacto de un posible ataque.
SM5.3.9
Control: Se debe evaluar el estado de un ataque en
términos de:
a) el tiempo transcurrido desde el inicio del ataque y
desde la detección del ataque
b) la escala (por ejemplo, sistemas y redes afectadas)
SM5.3.10
Control: Se deben documentar los métodos para
reportar los ataques serios (por ejemplo, para un equipo
de respuesta a emergencias)
SM5.4
SM5.4.1
SM5.4.2
Respuesta a emergencias
Control: Debe existir un proceso de respuesta a
emergencias para manejar ataques serios
Control: El proceso de respuesta a emergencias debe
ser apoyado por un equipo de alto nivel que incluya a
personas calificadas para responder a los ataques
graves y además a un representante de la dirección
Página 159 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM5.4.3
Control: El proceso de respuesta a los ataques graves
debe incluir:
a) una definición de la situación de emergencia
b) la asignación de funciones y responsabilidades
c) la definición de un método para que se tomen
decisiones crítica lo más rápidamente posible
d) la definición clara de los pasos que deben tomarse en
situaciones de emergencia
e) la ejecución de los pasos
f) los detalles de contacto de las personas claves
(incluso los relacionados con los terceros)
g) los métodos de tratar con terceros
SM5.4.4
Control: El proceso debe incluir métodos para:
a) permitir a los investigadores reaccionar rápidamente
en caso de emergencia
b) obtener la aprobación de las medidas recomendadas
dentro de un plazo de tiempo crítico
SM5.4.5
Control: El proceso debe asegurar que después de la
ocurrencia de un ataque:
a) los computadores afectados por el ataque se les hace
una labor de limpieza (por ejemplo, los programas
maliciosos y los archivos relacionados son removidos del
computador)
b) se minimiza la probabilidad de ataques similares
c) se revisan los controles de seguridad
SM5.5
SM5.5.1
SM5.5.2
Investigaciones forenses
Control: Se debe establecer un proceso para manejar
incidentes de seguridad de la información que puedan
requerir investigación forense
Control: Deben existir normas y procedimientos
documentados para manejar los incidentes de seguridad
de la información que requieran la investigación forense,
los cuales deben cubrir:
a) la protección inmediata de las pruebas ante un
incidente de seguridad de la información
b) cumplir con la norma o código de práctica para la
recuperación de la evidencia admisible
c) mantener un registro de las pruebas recuperadas y los
procesos de investigación emprendidas
d) la necesidad de buscar asesoría jurídico sobre la
evidencia que se recuperó
e) las acciones que deben ser objeto de seguimiento
durante la investigación
Página 160 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM5.5.3
Control: La evidencia debe ser recolectada:
a) con la intención de posibles acciones legales
b) con el respeto por la privacidad de los individuos y los
derechos humanos
c) a partir de fuentes de TI relevantes para el incidente
de seguridad de la información (por ejemplo, archivos
activos, temporales y borrados, los archivos eliminados,
el uso del correo electrónico o uso de Internet, memoria
cachés y registros de la red)
d) a partir de fuentes diferentes de TI que sean
relevantes para el incidente de seguridad de la
información (por ejemplo, grabaciones de CCTV, los
registros de acceso a las instalaciones, las revelaciones
de testigos)
SM5.5.4
Control: Durante una investigación forense se deben
seguir pasos para:
a) establecer y documentar una secuencia cronológica
de eventos
b) registrar las acciones de investigación
c) demostrar que la evidencia apropiada se ha recogido,
preservado y que no ha sido modificada
d) proteger los equipos informáticos contra el acceso no
autorizado y la posible manipulación de las pruebas
e) analizar las pruebas en un ambiente controlado (por
ejemplo, utilizando una copia o "imagen" de la
computadora para evitar la corrupción del original)
f) examinar las pruebas por un experto independiente e
imparcial que cumple con los requisitos legales y
reglamentarios
g) garantizar que los procesos utilizados para crear y
preservar las pruebas se puede repetir por una tercera
parte independiente
h) limitar la información sobre una investigación a unos
pocas personas asignadas y garantizar que la
información se mantiene confidencial
SM5.5.5
Control: Los resultados de una investigación forense se
deben comunicar a la gerencia apropiada (por ejemplo,
la dirección y los jefes de las unidades de negocio) y a
los organismos judiciales y regulatorios apropiados.
SM5.6
SM5.6.1
Gestión de parches
Control: Deben existir normas y procedimientos
documentados para gestión de parches que indiquen:
a) los requisitos para parchar los equipos, las
aplicaciones de negocio, los sistemas operativos, el
software y los componentes de la red
b) el enfoque de la organización para la gestión de e
parches
c) los requisitos de pruebas
d) la revisión de los métodos de distribución de parches
Página 161 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM5.6.2
Control: Las normas y procedimientos para parches
deben incluir un método para:
a) la definición de roles y responsabilidades en la gestión
de parches
b) determinar la importancia de los sistemas (por
ejemplo, sobre la base de la información que se maneja,
los procesos de negocio
soportados y los ambientes en los que se utilizan)
c) registrar los parches que se han aplicado (por
ejemplo, utilizando un inventario de los activos que
incluya las versiones de los parches)
SM5.6.3
Control: Se debe establecer un proceso de gestión de
parches para regular la aplicación de parches en el día a
día. El proceso debe estar documentado y aprobado por
la gerencia correspondiente, y se debe asignar un dueño
de este proceso.
SM5.6.4
Control: El proceso de gestión de parches debería:
a) determinar los métodos de obtención de los parches
b) especificar los métodos de validación de los parches
(por ejemplo, garantizando que el parche es de una
fuente autorizada)
c) identificar las vulnerabilidades que son aplicables a las
aplicaciones y sistemas utilizados por la organización
d) evaluar el impacto que tiene para la empresa la
aplicación de parches (o la no aplicación de un parche
específico)
e) garantizar que los parches se prueban contra criterios
conocidos
f) describir los métodos de instalar los parches (por
ejemplo, utilizando las herramientas de distribución de
software)
g) informar sobre el estado de instalación de parches en
toda la organización
h) incluir la aplicación de métodos para manejar las fallas
en la instalación de un parche
SM5.6.5
Control: Se deben establecer métodos para proteger la
información y los sistemas si no hay parches disponibles
para vulnerabilidades identificadas (por ejemplo, la
desactivación de servicios y agregar controles de acceso
adicionales)
SM6
Tópicos especiales
SM6.1
Soluciones criptográficas
Página 162 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM6.1.1
Control: La criptografía debe ser utilizada en toda la
empresa para:
a) proteger la confidencialidad de la información sensible
(por ejemplo, mediante el uso de la codificación)
b) determinar si la información crítica se ha modificado
(por ejemplo, mediante la realización de funciones de
hash)
c) proporcionar autenticación fuerte para los usuarios de
sistemas y aplicaciones (por ejemplo, utilizando
certificados digitales y
tarjetas inteligentes)
d) permitir la prueba de la identidad del autor de la
información crítica (por ejemplo, utilizando la firma digital
para no-repudio.
SM6.1.2
Control: Se deben establecer y documentar las normas
y procedimientos para criptografía que cubran:
a) la definición de las circunstancias en que se debe
utilizar la criptografía (por ejemplo, para transacciones de
alto valor que involucran organismos externos o para
transmitir información confidencial a través de redes
abiertas tales como Internet)
b) la selección de algoritmos criptográficos aprobados
(por ejemplo, Advanced Encryption Standard (AES) para
confidencialidad,
y SHA-1 o MD5 para la integridad)
c) la gestión (incluida la protección), de claves
criptográficas
d) las restricciones en el uso de soluciones de cifrado
e) la idoneidad de las soluciones de cifrado utilizadas
(incluidos los algoritmos y longitudes de claves de
encriptación)
SM6.1.3
Control: Se deben definir claramente las
responsabilidades para la gestión de claves
criptográficas y la gestión de licencias
asociadas con el uso de soluciones criptográficas
internacionales
SM6.1.4
Control: Los directivos apropiados deben tener acceso
a:
a) consejo de expertos técnicos y asesoría jurídica sobre
la utilización de la criptografía
b) una lista de soluciones criptográficas
c) un inventario actualizado (o equivalente) donde se
detallan las soluciones criptográficas que se aplican en
la organización
SM6.2
Infraestructura de clave pública
Página 163 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM6.2.1
Control: La organización que hace uso de una
infraestructura de clave pública (PKI), debe establecer y
documentar normas y procedimientos que definan:
a) el proceso necesario para la gestión de claves
criptográficas y certificados digitales dentro de la PKI
b) los métodos necesarios para el funcionamiento del
PKI
c) las medidas que deben adoptarse en caso de un
compromiso o una sospecha de compromiso de la PKI
Control: Los usuarios de PKI deben ser conscientes del
propósito y función de la PKI, y su responsabilidad para
proteger las claves privadas y para utilizar la firma digital
SM6.2.2
SM6.2.3
Control: Una Autoridad de Certificación (CA) está
compuesto por las personas, los procesos y las
herramientas que son responsables de la creación,
generación y administración de los certificados de clave
pública que se utilizan dentro de una PKI. Donde una
PKI es soportada por una CA interna la cual debe estar
protegida por:
a) la restricción de acceso a personas autorizadas (por
ejemplo, utilizando mecanismos de control de acceso y
autenticación fuerte)
b) el aseguramiento del sistema operativo que lo soporta
(por ejemplo, mediante la eliminación de todas las
vulnerabilidades conocidas)
c) el empleo de otros controles generales (por ejemplo,
la gestión de cambios) de manera organizada
SM6.2.4
Control: Los planes de contingencia para las
aplicaciones que se soportan en PKI deberían incluir los
métodos para la recuperación de la PKI en
el evento de un desastre
SM6.3
SM6.3.1
Correo electrónico
Control: Se deben establecer y documentar normas y
procedimientos para la provisión y uso del correo
electrónico, los cuales deben especificar métodos para:
a) configurar los servidores de correo (por ejemplo, para
limitar el tamaño de los mensajes o buzones de usuario)
b) escanear los mensajes de correo electrónico (por
ejemplo, para el malware, cadenas de mensajes o el
contenido ofensivo)
c) mejorar la seguridad de los mensajes de correo
electrónico (por ejemplo, mediante la utilización de
descargos de responsabilidad, algoritmos de hashing,
cifrado o técnicas de no-repudio)
d) hacer que los usuarios sean más conscientes de las
consecuencias de sus acciones al utilizar el correo
electrónico
Página 164 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM6.3.2
Control: Los servidores de correo deben estar
configurados para prevenir que el sistema de mensajería
está sobrecargado estableciendo limites en el tamaño de
los mensajes o los buzones de usuario, restringiendo el
uso de grandes listas de distribución e identificando y
cancelando automáticamente los loops del correo
electrónico
SM6.3.3
Control: Los sistemas de correo electrónico deben
revisarse periódicamente para garantizar que se
satisfacen los requisitos de oportunidad y disponibilidad
futura
SM6.3.4
Control: Los mensajes de correo electrónico deben
escanear:
a) los archivos adjuntos que pueden contener código
malicioso (por ejemplo, el código malicioso oculto en el
auto-extracción de archivos zip o videoclips MPEG)
b) las palabras prohibidas (por ejemplo, palabras que
son racistas, ofensivas, difamatorias u obscenas)
c) las frases asociadas con el malware (por ejemplo, las
de uso común en los virus hoax o cadenas de mensajes)
SM6.3.5
Control: Los sistemas de correo electrónico deben
suministrar protección mediante:
a) el bloqueo de los mensajes considerados indeseables
b) el uso de firmas digitales para determinar si los
mensajes de correo electrónico han sido modificados en
el tránsito, y la encriptación de los mensajes de correo
sensitivos o confidenciales
c) la garantía de no repudio de origen para los mensajes
de correo más importantes (por ejemplo, utilizando la
firma digital)
d) el suministro de no repudio en el recibo de mensajes
importantes
SM6.3.6
Control: Se debe proteger la integridad mediante:
a) la inserción de información legal y detalles de la
dirección de retorno para el correo empresarial
b) la advertencia a los usuarios que el contenido de los
mensajes de correo electrónico pueden ser contractual y
jurídicamente vinculantes y que el uso del correo
electrónico puede ser monitoreado
SM6.3.7
Control: La organización debe prohibir:
a) el uso del correo de los sitios web
b) el desvío automático de correo electrónico a
direcciones externas
c) la publicidad no autorizada
d) la encriptación privada del correo electrónico o
archivos adjuntos
e) la apertura de archivos adjuntos de fuentes
desconocidas o no confiables
Página 165 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM6.3.8
SM6.4
SM4.6.1
Control: El uso personal del correo electrónico de la
empresa debe estar claramente etiquetado como
personal y sujeto a los términos de los acuerdos para
usuarios de correo
Trabajo remoto
Control: El trabajo remoto debe estar soportado por
normas y procedimientos que cubran:
a) los requisitos de seguridad asociados con el trabajo
remoto
b) los tipos de dispositivo que pueden ser utilizados por
el personal que trabaja en lugares remotos (por ejemplo,
computadores portátiles, dispositivos manuales como el
PDA, los teléfonos inteligentes)
c) la implementación y mantenimiento de equipos
remotos
d) el suministro de software para proteger las estaciones
de trabajo (por ejemplo, herramientas de administración
de sistemas, mecanismos de control de acceso, software
de protección contra el malware y las capacidades de
cifrado)
e) la configuración del software
f) la protección contra código móvil malicioso (por
ejemplo, los applets de Java, ActiveX, JavaScript o
VBScript que se han escrito deliberadamente para
realizar funciones no autorizadas)
g) la autorización de un representante del nivel
apropiado para la persona que requiere trabajar
remotamente
SM4.6.2
Control: Al personal que requiere trabajar remotamente
se le debe suministrar computadores que sean:
a) adquiridos a partir de proveedores aprobados
b) soportados por acuerdos de mantenimiento
c) protegidos por controles físicos (por ejemplo,
cerraduras, alarmas y marcas indelebles)
SM4.6.3
Control: Los computadores utilizados por el personal
que trabaja en lugares remotos se les debe instalar o
aplicar:
a) configuraciones técnicas estándar
b) un conjunto completo de herramientas de
administración del sistema (por ejemplo, utilidades de
mantenimiento y copias de respaldo)
c) mecanismos de control de acceso para restringir el
acceso al equipo remoto
d) el software de protección contra malware, para
proteger contra virus, gusanos, troyanos, software espía
y adware
e) el software de encriptación para proteger la
información almacenada en el computador (por ejemplo,
utilizando cifrado del discos duro)
o transmitida por el equipo (por ejemplo, utilizando una
red privada virtual (VPN) para conectarse a la red de la
organización)
Página 166 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM4.6.4
Control: Se debe restringir el acceso a las
computadoras utilizadas en lugares remotos mediante la
encriptación de contraseñas y la prevención de acceso
lógico a la capacidad de las computadoras personales
desatendidas (por ejemplo, mediante el bloqueo de clave
o contraseña)
SM4.6.5
Control: El personal que trabaja en ubicaciones
remotas, incluidas las zonas públicas (por ejemplo,
hoteles, trenes, aeropuertos y cafés de Internet) o en el
hogar, debe estar:
a) autorizado para trabajar sólo en determinadas
localidades
b) equipados con las destrezas necesarias para realizar
tareas de seguridad necesarias (por ejemplo, restringir el
acceso, sacar copias de respaldo y la encriptación de
archivos de claves)
c) consciente de los riesgos adicionales relacionados con
el trabajo remoto (incluido el aumento de la probabilidad
de robo de los equipos o revelación de información
confidencial)
d) apoyado con soporte técnico adecuado (por ejemplo,
a través de un servicio de mesa de ayuda)
e) en cumplimiento con los requisitos legales y
reglamentarios
f) respaldado con acuerdos de trabajo alternativos en
caso de emergencia
SM4.6.6
Control: Los computadores y dispositivos portátiles
deben estar protegidos contra robo mediante:
a) el suministro a los usuarios con candados físicos o
dispositivos de seguridad equivalente
b) etiquetas de identificación
c) el uso de marcas indelebles
SM4.6.7
Control: Se deben implementar controles adicionales
que deben aplicarse en las estaciones de trabajo con la
capacidad de conectarse a la
Internet mediante:
a) el uso de navegadores web con una configuración
estándar
b) la prevención de los usuarios con la desactivación o
modificación de las opciones de seguridad en los
navegadores web
c) la aplicación de las actualizaciones del software de
navegador web con rapidez y eficacia
d) la utilización de software tal como un firewall personal
y protección contra malware
e) la advertencia a los usuarios de los peligros de
descargar código móvil y las consecuencias de aceptar o
rechazar "Cookies"
f) la restricción de descarga de código móvil para
bloquear determinados tipos de ejecutables
SM6.5
Acceso a terceros
Página 167 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM6.5.1
Control: La prestación de acceso a terceros debe ser
apoyado por las normas y procedimientos documentados
que especifican
que, antes de la conexión:
a) se deben evaluar los riesgos del negocio asociados
con el acceso a terceros
b) se asigne la responsabilidad para la autorización de
acceso a terceros al personal apropiado
c) se realice la debida diligencia y se implementen los
controles de seguridad acordados
d) se efectúen pruebas
e) se formalicen los acuerdos en los contratos
SM6.5.2
Control: Se deben aplicar métodos para:
a) garantizar que los controles de terceros sean
proporcionales a los riesgos del negocio
b) proteger los intereses de la organización en relación
con la propiedad de la información y los sistemas
c) limitar los pasivos de la organización a terceros (por
ejemplo, mediante el uso de las condiciones
contractuales y advertencias que aparecen en la
pantalla)
d) cumplir con las obligaciones legales
e) hacer responsables a los terceros por sus acciones
Control: Cuando se trata de conexiones individuales a
terceros, se debe establecer un proceso para:
a) lograr la compatibilidad técnica
b) proteger la información sensible almacenada en los
sistemas o en su tránsito hacia instalaciones de terceros
c) mantener registros de actividades (por ejemplo, para
ayudar a rastrear las transacciones individuales y hacer
cumplir la rendición de cuentas)
d) proporcionar un único punto de contacto para la
atención de problemas (por ejemplo, un servicio de mesa
de ayuda o centro de llamadas)
SM6.5.3
SM6.5.4
Control: El acceso de terceros a través de las
conexiones debe ser administrado mediante:
a) la restricción de métodos de conexión (por ejemplo,
define los puntos de entrada sólo a través de firewalls)
b) la autenticación de usuarios alineado con la función
que desempeñan
c) la restricción de los tipos de acceso permitido (es
decir, en términos de información, capacidades de la
aplicación y privilegios de acceso)
d) el otorgamiento de acceso a la información y los
sistemas de la organización bajo el principio de "el
mínimo acceso"
e) la terminación de conexiones cuando no se necesitan
SM6.5.5
Control: Las conexiones que proporcionan el acceso a
terceros se deben identificar individualmente, deben ser
aprobadas por el dueño del negocio, deben ser
registradas y acordadas por las partes en un contrato
documentado
Página 168 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM6.5.6
SM6.6
SM6.6.1
Control: Las personas responsables por la
administración de conexiones a terceros deben tener
acceso a:
a) la información sobre los riesgos asociados con el
acceso a terceros
b) las normas y procedimientos que ilustran las medidas
que se deben adoptar para lograr conexiones seguras
c) las herramientas de soporte (por ejemplo, listas de
chequeo, muestras de contratos y acuerdos de niveles
de servicio)
d) las fuentes de conocimiento para obtener consejo y
accesoria de especialistas (por ejemplo, la función de
seguridad de la información)
Comercio electrónico
Control: Se debe responsabilizar a un gerente de alto
nivel para todo lo relacionado con las iniciativas de
comercio electrónico
SM6.6.2
Control: Se debe establecer un comité directivo o grupo
directivo para coordinar las iniciativas de comercio
electrónico que incluya representantes de las áreas
claves de la organización que participan en las iniciativas
de comercio electrónico (por ejemplo, la alta dirección,
los propietarios de negocio, el departamento jurídico, la
administración de TI, y la función de seguridad de la
información)
SM6.6.3
Control: Los riesgos asociados con iniciativas de
comercio electrónico deben ser objeto de un análisis de
riesgos de información
SM6.6.4
Control: Se deben establecer y documentar normas y
procedimientos para administrar las iniciativas de
comercio electrónico las cuales requieren que:
a) las buenas prácticas de seguridad de la información
no se sacrifiquen en aras de la velocidad de entrega
b) las iniciativas estén impulsadas por los requerimientos
del negocio
c) se minimice la dependencia de la tecnología inmadura
d) se evalúen las implicaciones de seguridad al
implementar las soluciones de proveedores
SM6.6.5
Control: Se debe establecer un proceso para asegurar
que los tomadores de decisiones:
a) comprendan las necesidades de seguridad de los
clientes
b) sean conscientes de los riesgos asociados con el
comercio electrónico y no pasen por alto las principales
amenazas técnicas
c) aprueban los riesgos residuales
d) identifican las competencias necesarias de seguridad
para apoyar las iniciativas de comercio electrónico y
emplean al personal suficiente con las habilidades
necesarias (por ejemplo, utilizando terceros que sean
expertos o capacitando al personal interno)
Página 169 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM6.6.6
Control: Antes de instalarse en producción, las
iniciativas de comercio electrónico deben ser
rigurosamente probadas, revisadas por un especialista
en seguridad de la información y aprobadas por la
dirección
Control: Debe existir un proceso que garantice que:
a) los registros importantes de nombres de dominio son
renovados (por ejemplo, cada dos años)
b) los nombres de dominio que pueden ser utilizado para
ocultar la organización son registrados por la
organización
c) se monitorean los sitios web que pueden haber sido
instalados usando los nombres de dominio similares a
los utilizados por la organización
d) los sitios web ilegítimos son cerrados con la mayor
rapidez posible
e) las relaciones con los proveedores de servicios de
Internet están cubiertos por acuerdos de niveles de
servicio (SLA)
SM6.6.7
SM6.7
SM6.7.1
Outsourcing
Control: Se debe establecer un procedimiento
documentado para regular la selección de proveedores
de outsourcing y la transferencia de las actividades hacia
ellos
SM6.7.2
Control: Al determinar los requisitos para el outsourcing,
la organización debería:
a) evaluar los riesgos de información asociados con los
acuerdos de outsourcing y las funciones de la empresa
que pueden ser contratadas
b) Identificar los ambientes sensitivos o críticos
c) evaluar las prácticas y normas de seguridad de la
información de los posibles proveedores de outsourcing
d) considerar las interdependencias entre la función a ser
contratada y las otras funciones del negocio
e) desarrollar estrategias para finalizar las relaciones
ante la eventualidad de una terminación anticipada de
los acuerdos
SM6.7.3
Control: Antes de transferir la administración de un
ambiente particular, el dueño del negocio debe aprobar
la transferencia y se deben acordar los controles de
seguridad de la información con el proveedor de
outsourcing.
Página 170 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM6.7.4
Control: Se deben establecer y documentar los
acuerdos que obligan a los proveedores a :
a) cumplir con las buenas prácticas para la seguridad de
la información
b) facilitar información sobre incidentes de seguridad de
la información
c) mantener la confidencialidad de la información
obtenida a través del contrato de outsourcing
d) proteger la integridad de la información utilizada en el
desempeño de los trabajos
e) garantizar la disponibilidad de la información y los
sistemas
SM6.7.5
Control: Los acuerdos deben exigir que los
proveedores:
a) limiten el acceso a los activos de la organización sólo
para el personal autorizado
b) protejan la información de identificación personal
c) proporcionen los acuerdos de continuidad del negocio
d) cumplan con los requisitos legales y reglamentarios
e) garanticen la calidad y exactitud del trabajo realizado
f) devolver o destruir la información, el software o equipo
en una fecha convenida, o previa solicitud
g) definir la forma en que el proveedor se le permite
contratar con terceros
h) seguir un proceso de gestión del cambio
i) proporcionar una eficaz gestión de incidentes de
seguridad de la información
SM6.7.6
Control: Se debe establecer un proceso para hacer
frente a los problemas de seguridad mediante unos
puntos de contacto del proveedor de outsourcing
SM6.7.7
Control: Los acuerdos deben especificar: el derecho a
auditar las actividades del proveedor, los detalles de los
acuerdos de licenciamiento y la propiedad de la
información y de los derechos de propiedad intelectual
SM6.7.8
Control: Se deben implementar las medidas de
contingencia para administrar los ambientes contratados
en el evento en que el proveedor no esté disponible (por
ejemplo, debido a un desastre o conflicto)
SM6.8
SM6.8.1
Mensajería instantánea
Control: Se deben establecer y documentar normas y
procedimientos para los servicios de mensajería
instantánea que incluyan:
a) guías para el uso en el trabajo y el uso personal
b) los tipos de servicios de mensajería instantánea
permitidos (por ejemplo, los servicios públicos, como
AOL, Google Talk, Windows Messenger y Yahoo!, O los
servicios internos tales como Lotus Sametime, Windows
Meeting Space, Webex y Jabber)
c) guías para usuarios sobre el uso aceptable (por
ejemplo, la prohibición de las declaraciones ofensivas)
d) detalles de cualquier actividad de seguimiento a
realizar
Página 171 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM6.8.2
Control: Se debe mejorar la seguridad de las
aplicaciones de mensajería instantánea mediante:
a) la desactivación de características no adecuadas (por
ejemplo, el uso compartido de archivos, video y audio)
b) el uso de la encriptación para proteger el contenido de
los mensajes sensibles
c) el chequeo de malware en las estaciones de trabajo
d) el registro de eventos claves
e) dirigir el tráfico de mensajería instantánea a través de
un filtro de contenido
SM6.8.3
Control: Se debe proteger la mensajería instantánea
mediante:
a) el empleo de un estándar de configuración del cliente
para la aplicación de mensajería instantánea
b) el aseguramiento de los servidores de mensajería
instantánea
c) la configuración de firewall para bloquear el tráfico no
autorizado de mensajes instantáneos
SM7
Revisión de la
Gerencia
SM7.1
Revisión y auditoria de
seguridad
SM7.1.1
Control: Se deben realizar periódicamente revisiones y
auditorias de seguridad para ambientes críticos de la
organización, que incluyan:
a) aplicaciones de negocio
b) instalaciones de computación y redes
c) actividades de desarrollo de sistemas
d) actividades de seguridad claves para la empresa (por
ejemplo, la gestión de una arquitectura de seguridad,
ejecutar programas de sensibilización o la supervisión de
los acuerdos de seguridad de la información)
e) entornos de usuario final
Página 172 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM7.1.2
Control: Las auditorias y revisiones de seguridad deben
ser:
a) acordadas con los dueños de los ambientes sujetos a
revisión
b) realizadas por personas que poseen las habilidades y
conocimiento técnico suficiente en seguridad de la
información
c) llevadas a cabo a profundidad (en términos de alcance
y magnitud) para garantizar que los controles de
seguridad funcionan como se espera
d) orientadas a comprobar que los controles son lo
suficientemente efectivos para reducir el riesgo a un nivel
aceptable
e) apoyadas por el uso automatizado de herramientas de
software
f) validados por las personas competentes
g) complementada por revisiones realizados por terceros
independientes.
SM7.1.3
Control: Las revisiones y auditorias de seguridad deben
ser administradas por:
para acordar los requisitos especiales o rutinas de
procesamiento de las pruebas (por ejemplo, pruebas de
penetración) con los propietarios de la
ambientes que se examina
restringir el acceso a los sistemas de auditoria y los
equipos
seguimiento y registro de las actividades de auditoria y
los equipos
la eliminación de la copia de información empresarial a
los efectos de las auditorias y exámenes tan pronto
como ya no es
requerido
protección de software de herramientas utilizadas en la
realización de auditorias y exámenes (por ejemplo, por
mantenerlos separados de los instrumentos /
los servicios públicos utilizados en el entorno, y la
celebración en las instalaciones de almacenamiento
seguro, como Restringido
bibliotecas de software).
SM7.1.4
Control: Las recomendaciones de seguridad que
resulten de las revisiones o auditorias deben ser
acordadas con los dueños de los ambientes sujetos a
revisión y ser reportadas a la dirección
SM7.2
SM7.2.1
Monitoreo de seguridad
Control: Se deben establecer acuerdos documentados
con la dirección para el monitoreo de la seguridad de la
información en la organización. Los monitoreos deben
realizarse periódicamente.
Página 173 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM7.2.2
Control: El análisis desarrollado como parte de los
acuerdos de monitoreo de la seguridad debe ser:
a) basado en métricas de seguridad cuantitativas (por
ejemplo, el número, la frecuencia y el impacto para el
negocio de los incidentes de seguridad de la información,
los hallazgos de la auditoria, las estadísticas de
seguridad operacional, los costos asociados con las
pérdidas financieras, multas, fraude etc.).
b) presentados en un formato estándar (por ejemplo, el
tablero balanceado de gestión u otra herramienta de
gestión)
SM7.2.3
Control: La información recopilada como parte de las
medidas de vigilancia de seguridad deberá incluir
detalles sobre todos los aspectos de los riesgos de
información (por ejemplo, la criticidad de la información,
las vulnerabilidades identificadas y el nivel de las
amenazas, el impacto potencial para el negocio y el
estado de los controles de seguridad implementados)
SM7.2.4
Control: Se debe informar sobre la condición de
seguridad de la organización a los principales tomadores
de decisiones (incluida la
la dirección, los miembros del comité directivo de
seguridad, y los órganos externos)
SM7.2.5
Control: Los acuerdos de monitoreo de las seguridad
deberían proporcionar a los tomadores de decisiones
una visión de:
a) la eficacia y la eficiencia de los acuerdos de seguridad
de la información
b) las áreas donde se requiere mejorar
c) la información y los sistemas que están en un nivel
inaceptable de riesgo
d) el desempeño cuantitativo frente a los objetivos
propuestos
e) las medidas necesarias para ayudar a minimizar el
riesgo
SM7.2.6
Control: Los acuerdos para monitorear la seguridad
deben proporcionar a los tomadores de decisiones
información financiera que incluya:
a) el costo de los controles de seguridad
b) el impacto financiero de los incidentes de seguridad
de la información
c) el retorno de la inversión en seguridad (ROSI), de los
controles implementados (por ejemplo, los beneficios no
financieros, los beneficios financieros y los costos)
Página 174 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM7.2.7
Control: Los acuerdos para monitorear la seguridad
deben permitir a los tomadores de decisiones:
a) gestionar los riesgos de información de manera
efectiva
b) relacionar los riesgos de información con los riesgos
operacionales y del negocio
c) demostrar el cumplimiento de requisitos legales y
reglamentarios, y las normas y procedimientos internos
de seguridad de la información
Control: La información generada como resultado del
monitoreo de las condiciones de seguridad de la
información de la organización debe ser
utilizada para medir la eficacia de la estrategia, de la
política y de la arquitectura de seguridad de la
información
SM7.2.8
NW1
NW1.1
NW1.1.1
NW1.1.2
SEGURIDAD DE LA
RED
Administración de
la Red
Roles y responsabilidades
Control: Se debe designar un dueño para gestionar la
red. Las responsabilidades por las principales tareas de
gestión de red
deben ser claramente asignados a una o más personas
capaces, que deben aceptar las responsabilidades
(incluidas las
los de la seguridad de la información) relacionadas con
estas funciones.
Control: El personal de la red debería ser:
a) competente para operar la red en condiciones
normales
b) capacitado para hacer frente a errores, las
condiciones de excepción y de emergencia
c) en número suficiente para manejar la carga normal y
los picos de trabajo
Página 175 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW1.1.3
Control: Se debe reducir el riesgo de que el personal
interrumpa el funcionamiento de la red, ya sea por error
o por mala intención mediante:
a) la separación de funciones del personal que opera la
red de las funciones del personal que diseña y desarrolla
la red
b) garantizar que el personal interno (por ejemplo, los
operadores y administradores de la red) y las personas
externas (por ejemplo, consultores,
contratistas, ingenieros) firmen los acuerdos de
confidencialidad y no divulgación
c) minimizar la dependencia de personas clave (por
ejemplo, mediante la automatización de procesos,
garantizar que la documentación de apoyo esté completa
y exacta, y las contingencias para cubrir los puestos
clave)
d) la organización de funciones de manera que se
reduzca al mínimo el riesgo de robo, fraude, error y
cambios no autorizados a la información
e) la investigación de antecedentes de los solicitantes
para puestos de operación y administración de la red
NW1.1.4
Control: Se deben implementar y documentar las
normas y procedimientos a ser aplicados en la red, los
cuales deben ser:
a) consistentes con las políticas de seguridad de la
información que se aplican en toda la empresa
b) comunicados al personal internos y externos que
participa en la gestión de la red
c) aprobados por un representante del negocio,
revisados periódicamente y actualizados a la fecha
NW1.1.5
Control: Las actividades de las personas que operan y
administran la red deben ser controladas (por ejemplo,
proporcionar supervisión, registrar las actividades y
mantener las pistas de auditoria)
NW1.2
NW1.2.1
Diseño de la red
Control: El diseño de la red debe estar apoyado en
normas y procedimientos que requieren:
a) que el diseño tenga en cuenta los requisitos de los
usuarios de los servicios (por ejemplo, tal como se
definen los acuerdos de niveles del servicio)
b) que la red sea compatible con otras redes utilizados
por la organización
c) que la red esté configurada para hacer frente a la
evolución previsible del uso de las TI en la organización
Página 176 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW1.2.2
NW1.3.1
NW1.3.1
NW1.3.2
Control: El diseño de la red deberia:
a) incorporar un conjunto integrado y coherente de
normas técnicas
b) apoyarse en convenciones de nomenclatura
coherente (por ejemplo, cuando se asignan las
direcciones IP)
c) incorporar el uso de dominios de seguridad para
separar los sistemas de los requisitos de seguridad
d) emplear firewalls de manera que impidan que sean
pasados por alto
e) minimizar los puntos de falla (por ejemplo,
proporcionando balance de carga, duplicar o mantener
redundancia en dispositivos críticos de la red
f) restringir el número de puntos de entrada a la red
g) permitir la gestión de red de extremo a extremo desde
una ubicación principal
h) permitir que la red se pueda configurar remotamente,
y monitoreada automáticamente frente a los umbrales
predefinidos
i) permitir que los informes de gestión de la red y los
registros de auditoria se mantengan
j) cumplir con la reglamentación legal y las regulaciones
de la industria
k) evitar que los dispositivos no autorizados sean
conectados a la red (por ejemplo, forzando la
autenticación a nivel de la red)
l) incluir el cifrado del acceso administrativo a los
dispositivos de red (por ejemplo, firewalls y sensores de
detección de intrusos)
Resiliencia de la red
Control: Se deben identificar las instalaciones de la red
que son críticas para el funcionamiento de la red
Control: Los puntos simples de falla deben ser
minimizados mediante:
a) re-enrutamiento automático del tráfico de la red
cuando los nodos críticos o los enlaces fallan
b) la provisión de sitios alternos a partir de los cuales se
puede administrar la red
c) la instalación de redundancia en los equipos de
comunicaciones críticas tales como: firewall, filtros de
tráfico de la red, switches principales, y las fuentes de
suministro de energía
f) crítica a los equipos de comunicaciones
g) acuerdos con proveedores de servicios externos para
disponer de puntos de conexión y enlaces alternos
Página 177 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW1.3.3
Control: Se deben reducir los riesgos de mal
funcionamiento de los equipos de comunicaciones
críticas, el software, enlaces y servicios para :
a) dar alta prioridad a la fiabilidad, compatibilidad y
capacidad en el proceso de adquisición
b) garantizar el cumplimiento de las normas comunes o
de la industria
c) utilizando equipos, software, enlaces y servicios
probados y actualizados
d) manteniendo versiones consistentes de equipos y
software a través de la red
e) garantizando que los principales componentes de la
red puedan ser reemplazados dentro de los plazos
críticos
NW1.3.4
Control: Se debe proteger la disponibilidad de los
servicios de red externos mediante:
a) el suministro de puntos de conexión duplicados o
alternos para los transportadores de las comunicaciones
externas
b) el enrutamiento de enlaces críticos a más de un centro
de intercambio o switcheo externo
c) acuerdos para el uso de un carrier de comunicaciones
alterno
NW1.3.5
Control: Se debe implementar un proceso para tratar las
vulnerabilidades de los firewalls que incluya:
a) monitoreo de vulnerabilidades en los firewalls
b) la elaboración de guías para el personal de red sobre
las medidas que deben adoptarse en caso de falla de
algún firewall
c) el re-enrutamiento automático del tráfico de la red a
otro firewall alterno
d) las pruebas a los parches para los firewalls y su
aplicación en el momento oportuno
NW1.4
NW1.4.1
NW1.4.2
Documentación de la red
Control: Se deben implementar normas y
procedimientos para la red que incluyan la
documentación de:
a) la configuración de la red, incluyendo todos los nodos
y conexiones
b) los equipo, el software, los enlaces y servicios de
comunicaciones
c) el cableado de red
Control: La documentación de la red debe incluir:
a) los diagramas de configuración de la red con los
nodos y conexiones
b) un inventario de equipos de comunicaciones, software
y servicios suministrados por terceros
c) uno o más diagramas de cableado de la red
Página 178 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW1.4.3
Control: La documentación de la red debe ser:
a) actualizada
b) fácilmente accesible a las personas autorizadas
c) sujeta a revisiones supervisadas
d) generada automáticamente, utilizando herramientas
de software
NW1.4.4
Control: Se deben colocar etiquetas de identificación a
los equipos y cables de comunicaciones
NW1.5
NW1.5.1
Proveedores de servicios
Control: Se deben establecer acuerdos documentados
con todos los proveedores de servicios internos y
externos
NW1.5.2
Control: Los acuerdos con los proveedores de servicios
deben especificar:
a) las personas responsables del servicio dentro de las
dos partes en el acuerdo
b) los requisitos de capacidad, fechas y horarios de los
servicios de red que son requeridos y los plazos de
tiempo críticos de la red
c) las restricciones en los métodos de conexión y el
acceso a determinados servicios
NW1.5.3
Control: Los acuerdos con los proveedores de servicios
deben especificar los requisitos para:
a) garantizar la continuidad del servicio
b) el parcheo de los dispositivos de red
c) la protección de la información confidencial en tránsito
d) la separación de los componentes de la red, tales
como líneas dedicadas para el tráfico de red sensitivo
e) el desempeño de la gestión de cambios y la gestión
de incidentes de seguridad de la información
f) la detección de interrupciones de servicio y la
recuperación de los mismos
g) las actividades de instalación y mantenimiento de las
actividades relacionadas con la red
NW1.5.4
Control: Las condiciones de los acuerdos con los
proveedores de servicios deben ser aplicadas y
revisadas periódicamente
NW1.5.5
Control: Se deberían adoptar medidas con el proveedor
de servicios (s) para hacer frente a problemas de
seguridad de la información a través de un punto de
contacto definido y de una persona que sea competente
para tratar los problemas de seguridad de manera eficaz
NW1.5.6
Control: Se deben establecer acuerdos para:
a) restringir el uso de los servicios aprobados a los
proveedores de la red
b) obtener una confirmación independiente de los
controles de seguridad aplicados por los proveedores de
servicios
Página 179 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW2
Administración del
tráfico
NW2.1
NW2.1.1
Configurar dispositivos de red
Control: Se deben implementar normas y
procedimientos para configurar los dispositivos de red los
cuales deben cubrir:
a) la gestión de cambios de las tablas de enrutamiento y
la configuración de dispositivos de red
b) la restricción del acceso a los dispositivos de red
c) la prevención de actualizaciones no autorizadas o
incorrectas a las tablas de enrutamiento
d) la revisión periódica de la configuración de
dispositivos de red
NW2.1.2
Control: Los dispositivos de red deben ser configurados
para:
a) negar el tráfico de red por defecto
b) alertar sobre la sobrecarga de la red o las condiciones
de excepción cuando se producen
c) registrar los eventos en una forma adecuada para su
revisión y grabarlos en sistemas separados
d) copiar la información de control (por ejemplo, los
registros de eventos y tablas) a medios de
almacenamiento extraíbles (por ejemplo, CD o cinta
magnética)
e) integrar con mecanismos de control de acceso en
otros dispositivos (por ejemplo, para proporcionar fuerte
autenticación)
f) usar una configuración segura predefinida antes de su
puesta en operación
g) cambiar los parámetros por defecto suministrados por
los proveedores
h) garantizar que las contraseñas no son enviadas en
forma de texto claro
i) desactivar el enrutamiento de origen (para mantener el
control en los dispositivos de envío de paquetes)
j) desactivar los servicios que no son necesarios para el
funcionamiento normal de la red (por ejemplo, RPC,
rlogin, rsh, rexec y NetBIOS)
NW2.1.3
Control: Se debe restringir los dispositivos de red al
personal autorizado utilizando los controles de acceso
que soportan la contabilidad individual y la protección
contra acceso no autorizado
NW2.1.4
Control: Se deben configurar los routers para prevenir
actualizaciones no autorizadas o incorrectas
Control: Se deben revisar periódicamente los
dispositivos de red para verificar los parámetros de
configuración (por ejemplo, tablas y parámetros de
enrutamiento) y evaluar las actividades realizadas a
través de los dispositivos de red
NW2.1.5
NW2.2
Firewall
Página 180 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW2.2.1
NW2.2.2
NW2.2.3
NW2.2.4
Control: La red debe ser protegida de otras redes o subredes (internas o externas) mediante uno o más firewalls
Control: Se deben establecer normas y procedimientos
para administrar firewalls que cubran:
a) el filtrado de tipos específicos o fuentes de tráfico de
la red (por ejemplo, direcciones IP, puertos TCP o
información sobre el estado de las comunicaciones y los
usuarios)
b) el bloqueo o la restricción de determinados tipos u
otras fuentes de tráfico de la red
c) el desarrollo de normas predefinidas (o tablas) para
filtrar el tráfico de la red
d) la protección de firewalls contra ataques o fallas
e) limitar la revelación de información acerca de la red
Control: Los firewalls deben ser utilizados para
chequear:
a) las direcciones de destino y los puertos
b) la información sobre el estado de las comunicaciones
asociadas
c) la información sobre el estado de los usuarios
d) la validez de un servicio de red
Control: Los firewalls deben ser configurados para:
a) negar el tráfico de red por defecto
b) proteger los protocolos de comunicación que son
propensos a los abusos (por ejemplo, DNS, FTP, NNTP,
RIP, SMTP, Telnet, UUCP)
c) bloquear los paquetes de red usados para la ejecutar
ataques de "denegación del servicio"
d) negar el tráfico entrante para la dirección fuente que
ha sido suplantada
e) negar el tráfico saliente para la dirección que han sido
suplantada
NW2.2.5
Control: Los firewalls debe configurarse para bloquear o
restringir las comunicaciones basadas en una fuente o
destino especifico (por ejemplo, direcciones IP o puertos
tales como: 20 y 21 para FTP, 23 para Telnet)
NW2.2.6
Control: El filtrado del tráfico de la red debe basarse en
reglas predefinidas que:
a) han sido desarrollados por personal de confianza y
están sujetas a revisión
b) se basan en el principio del "mínimo acceso"
c) se documentan y se mantienen actualizadas
d) son tenidas en cuenta en una política de seguridad de
la información, en las normas y procedimientos de la red
y en los requisitos de los usuarios
NW2.2.7
Control: Antes que se apliquen nuevas reglas o se
cambien otras, se debe verificar si son fuertes y
correctas y deben ser aprobadas por el dueño de la red
Página 181 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW2.2.8
NW2.3
NW2.3.1
Control: La revelación de información sobre la red se
debe limitar:
a) a nivel de la red mediante el uso de traslación de
direcciones de red (NAT)
b) a nivel de aplicación mediante el uso de la traslación
de direcciones de puerto (PAT)
Acceso externo
Control: Se deben documentar normas y procedimientos
para controlar el acceso externo a la red, los cuales
especifican:
a) que se deben identificar las conexiones externas
b) que se debe configurar la red para restringir el acceso
c) que sólo se permiten los tipos de dispositivos de
conexión de acceso remoto autorizados
d) que se deben documentar los detalles de las
conexiones externas
e) que se deben remover las conexiones externas
cuando no sean necesarias
NW2.3.2
Control: Las conexiones externas se deben identificar
individualmente y ser aprobadas por el propietario de la
red
NW2.3.3
Control: Se debe mantener un registro de las
conexiones externas que incluya:
a) detalles de las personas externas autorizadas
b) áreas de la infraestructura de TI a disposición de los
usuarios externos
NW2.3.4
Control: La red debe ser diseñada para:
a) ocultar los nombres de red y topologías a partes
externas
b) restringir el tráfico de la red externa a sólo
determinadas partes de la red
c) restringir las conexiones a los puntos de entrada
definidos
d) verificar el origen de las conexiones externas
NW2.3.5
Control: Se deben identificar las conexiones externas no
autorizadas mediante:
a) el desarrollo de auditorias de los equipos de la red y la
documentación para identificar discrepancias con los
registros de conexiones externas conocidas
b) el uso de herramientas de gestión y de diagnóstico de
la red
c) el control de los registros contables de las facturas
pagadas a los proveedores de telecomunicaciones y
conciliación con las conexiones conocidas.
Página 182 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW2.3.6
Control: Las conexiones de acceso telefónico deben ser
protegidas mediante el uso de seguridad dial-back la
cual debe implementarse mediante:
a) la configuración dial-back obligatoria para todas las
cuentas autorizadas a conectarse a través de un punto
de acceso
b) la desconexión de la línea en el host, en lugar de la
del cliente
c) desactivar el reenvío de llamadas para la línea dialback
Control: El acceso externo debe ser suministrado
utilizando un servidor de acceso remoto dedicado el cual:
a) proporciona autenticación completa y confiable para
las conexiones externas (por ejemplo, utilizando un
sistema de autenticación tal como el Radius o
TACACS+)
b) proporciona información para solución de problemas
c) registra todas las conexiones y sesiones incluyendo
detalles de los tiempos de inicio y finalización de la
llamada, duración, y seguimiento a usuarios
d) ayuda a identificar posibles brechas de seguridad de
la información
NW2.3.7
NW2.3.8
NW2.4
NW2.4.1
Control: Las conexiones externas se deben eliminar
cuando ya no se requieran y sus componentes deben
desactivarse o eliminarse
Acceso inalámbrico
Control: El acceso inalámbrico a la red debe estar sujeto
a un análisis de riesgos de información y ser aprobado
por el dueño de la red antes de su implementación
NW2.4.2
Control: Se deben establecer y documentar normas y
procedimientos para controlar el acceso inalámbrico a la
red los cuales incluyen:
a) implementar métodos para limitar el acceso a usuarios
autorizados en el proceso de instalación y configuración
de los puntos de acceso inalámbrico
b) usar la encriptación ( por ejemplo, WEP, WPA, WPA2)
para proteger la información en tránsito
c) la detección de puntos de acceso y dispositivos
inalámbricos no autorizados
NW2.4.3
Control: Los puntos de acceso inalámbrico deben ser:
a) configurados al más bajo poder para limitar el rango
b) instalados en sitios que minimicen el riesgo de
interferencia
c) configurados y administrados centralizadamente
d) asignados a un conjunto de identificadores de servicio
único (unique Service Set Identifier SSID)
NW2.4.4
Control: Se debe proteger la red contra acceso
inalámbrico no autorizado usando un dispositivo de
filtrado (por ejemplo, un firewall o un edge server)
Página 183 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW2.4.5
Control: El acceso inalámbrico debe estar protegido
mediante el uso de:
a) control de acceso a la red (por ejemplo, IEEE 802.1X)
b) autenticación de dispositivo (por ejemplo, EAP-TLS)
c) autenticación de usuario
NW2.4.6
Control: El acceso inalámbrico debe estar protegido por:
a) el uso de encriptación (por ejemplo, WEP, WPA y
WPA2) entre dispositivos de computación puntos de
acceso inalámbrico
b) el cambio periódico de las claves de encriptación
NW2.4.7
Control: Las conexiones de acceso inalámbrico críticas
deben estar sujetas a controles de seguridad adicionales
tales como redes virtuales privadas, VPNs
NW3
Operación de la red
NW3.1
NW3.1.1
Monitoreo de la red
Control: El desempeño de la red debe ser monitoreado:
a) frente a los objetivos acordados
b) revisando la utilización actual de las facilidades de red
en periodos normales y periodos pico o de mayor
demanda
c) usando software automatizado de monitoreo de red
d) revisando periódicamente los registros de actividad de
la red
e) investigando problemas tales como cuellos de botella
o sobrecarga
NW3.1.2
Control: Se deben llevar a cabo actividades de
planeación de la capacidad para permitir capacidad extra
de la red antes de que ocurran incidentes como cuellos
de botella y sobrecarga
NW3.1.3
Control: Las actividades de monitoreo deben ser
periódicas y debe incluir:
a) el escaneo de vulnerabilidades para servidores y
dispositivos de red usando productos especializados (por
ejemplo, Nessus, Pingware o SATAN)
b) la verificación de desactivación en los dispositivos de
red de los comandos y utilitarios innecesarios
c) la verificación de la existencia de redes inalámbricas
no autorizadas (por ejemplo, usando productos de
terceros tales como Netstumbler, KISMET y Airsnort)
d) el descubrimiento de la existencia de sistemas no
autorizados
NW3.1.4
Control: Se deben utilizar mecanismos de detección e
intrusión de manera que cubran:
a) la detección de características de ataques conocidas
b) un proceso para desarrollar actualizaciones periódicas
al software de detección de intrusos
c) la protección de los mecanismos de detección de
intrusos contra ataques
Página 184 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW3.1.5
Control: El uso de herramientas para análisis y
monitoreo de la red debe estar restringido a personas
autorizadas
NW3.1.6
Control: Se deben revisar los reportes enviados por los
proveedores de servicios para descubrir uso inusual de
la red u otras facilidades de red
NW3.1.7
Control: El dueño de la red debe revisar los resultados
de las actividades de monitoreo y comunicarlos a los
dueños de las aplicaciones e instalaciones para quienes
se prestan los servicios
NW3.2
NW3.2.1
Administración de cambios
Control: Se debe establecer un proceso de gestión de
cambios que cubra todos los tipos de cambios en la red
(por ejemplo, actualizaciones de equipos de
comunicaciones y software, la introducción de nuevos
servicios de los proveedores de servicios y
ajustes temporales o de emergencia a la red)
NW3.2.2
Control: El proceso de gestión de cambios debe estar
documentado e incluir:
a) la aprobación de los cambios y las pruebas para
asegurarse de que no pongan en peligro los controles de
seguridad
b) la realización de cambios y su aprobación para
asegurarse de que se realizan correctamente y de forma
segura
c) la revisión de los cambios realizados para garantizar
que no se aplican cambios no autorizados
NW3.2.3
Control: Antes de que sean aplicados los cambios al
ambiente productivo de la red se debe considerar:
a) la documentación de las solicitudes de cambio y la
aceptación por parte de las personas autorizadas
b) los cambios deben ser aprobados por el representante
del negocio apropiado
c) se debe evaluar el impacto potencial para el negocio
de los cambios a ser realizados
d) los cambios deben ser probados
e) los cambios deben ser revisados para garantizar que
no comprometan los controles de seguridad
f) se debe realizar un copia de respaldo de manera que
se pueda restaurar la red después de cambios fallidos o
resultados inesperados
NW3.2.4
Control: Los cambios en la red deben ser:
a) realizados por personal capacitado y competente
b) supervisados por un especialista de la red
c) aprobados por el representante del negocio apropiado
Página 185 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW3.2.5
NW3.3
NW3.3.1
NW3.3.2
Control: Se deben establecer acuerdos para garantizar
que una vez se apliquen los cambios:
a) se mantiene un control de versiones
b) se lleva un registro de los cambios que muestra lo que
fue cambiado, cuándo y por quién
c) se comunican los detalles de los cambios a las
personas pertinentes
d) se realizan verificaciones para confirmar que sólo se
han hecho cambios autorizados
e) se actualiza la documentación de la red
Administración de incidentes
de seguridad de la información
Control: Se debe establecer y documentar un proceso
de gestión de incidentes de seguridad para la red
Control: El proceso de gestión de incidentes de
seguridad debe incluir
a) la identificación de incidentes de seguridad de la
información
b) la respuesta a los incidentes de seguridad de la
información
c) la recuperación de los incidentes de seguridad de la
información
d) el seguimiento de los incidentes de seguridad de la
información.
NW3.3.3
Control: Los incidentes de seguridad de la información
deberían ser:
a) reportados previamente a un contacto (por ejemplo,
un servicio de asistencia, línea telefónica o equipo de
especialistas de TI)
b) grabados en un registro, o equivalente
c) categorizados y clasificados
NW3.3.4
Control: el impacto de los incidentes graves de
seguridad relacionados con la red debe ser evaluado por
parte de especialistas de la red, de los dueños de la red,
de los dueños de las aplicaciones soportadas por la red y
por parte de especialistas de seguridad de la información
NW3.3.5
Control: La respuesta a incidentes de seguridad de la
información relacionados con la red debe incluir:
a) el análisis de la información disponible
b) el manejo seguro de la evidencia necesaria
c) la investigación de las causas del incidente de
seguridad de la información
d) la contención y erradicación del incidente de
seguridad de la información
Página 186 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW3.3.6
Control: La recuperación de los incidentes de seguridad
relacionados con la red debe involucrar:
a) la reconstrucción de las redes a un estado seguro
antes conocido (es decir, el mismo estado que
se encontraban antes del incidente de seguridad de la
información)
b) la restauración a partir de la información que no ha
sido comprometida por el incidente de seguridad de la
información
c) el cierre del incidente de seguridad de la información
NW3.3.7
Control: Después de la recuperación del incidente de
seguridad de la información relacionada con la red se
debe:
a) investigar la causa y el efecto del incidente de
seguridad y las correspondientes medidas de
recuperación
b) realizar la investigación forense si es necesario
c) revisar los controles de seguridad para determinar si
son adecuados
d) se deben emprender las acciones correctivas para
reducir al mínimo la probabilidad de ocurrencia de
incidentes similares
e) se deben documentar los detalles de los incidentes de
seguridad de la información en un informe posterior al
incidente
NW3.4
NW3.4.1
Seguridad fisica
Control: Se debe restringir el acceso físico a las áreas
críticas de la red sólo a personas autorizadas. El
personal externo (por ejemplo, consultores, contratistas,
ingenieros) debe ser supervisado cuando tiene acceso a
equipos de comunicaciones
NW3.4.2
Control: Se debe proteger el acceso a las áreas críticas
de la red de:
a) las amenazas naturales (por ejemplo, incendios e
inundaciones)
b) las fallas de suministro de energía (por ejemplo,
mediante el uso de sistemas de alimentación
ininterrumpida (UPS) y baterías)
c) los intrusos (por ejemplo, mediante la instalación de
cerraduras en las puertas y persianas en las ventanas).
NW3.4.3
Control: Los cables de red deben ser protegidos
mediante:
a) su instalación oculta
b) sus conductos blindados
c) inspecciones bloqueadas y puntos de terminación
d) el enrutamiento
e) evitar las rutas a través de zonas de acceso público
Página 187 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW3.4.4
NW3.5
NW3.5.1
Control: Los puntos de acceso a la red deben ser
protegidos mediante:
a) la ubicación en entornos seguros
b) la desactivación en el dispositivo de red hasta que se
requiera
Copias de respaldo
Control: Las copias de respaldo de la información y el
software importante se deben realizar con la frecuencia
necesaria para satisfacer los requerimientos del negocio
NW3.5.2
Control: Las copias de respaldo deben ser:
a) realizadas utilizando un software de administración de
copias para reforzar la seguridad de la información
b) cifradadas para proteger la información importante
c) grabados en un registro (o equivalente), que incluye
detalles acerca de los datos contenidos en la copia de
seguridad, la fecha y hora, y el medio utilizado
d) verificadas para comprobar su restauración exitosa
NW3.5.3
Control: Los acuerdos para las copias de seguridad
deben permitir que la red sea restaurada dentro de los
plazos críticos
NW3.5.4
Control: Las copias de respaldo deben ser protegidas
contra pérdida, daño y acceso no autorizado mediante:
a) su almacenamiento en sitios seguros a prueba de
fuego
b) la disposición de copias alternas fuera de las
instalaciones
c) la restricción de acceso a personas autorizadas
NW3.6
NW3.6.1
NW3.6.2
Continuidad del servicio
Control: Se debe verificar si la continuidad de los
servicios de red se incluye en los planes de contingencia
de TI y en los pñanes de continuidad del negocio
relacionados con las actividades apoyadas por los
servicios de red
Control: Se deben adoptar medidas para asegurar la
prestación continua de los servicios críticos de la red en
caso de una prolongada
falta de disponibilidad de:
a) el centro de operaciones de la red (s)
b) los equipos de red críticos
c) los enlaces de red en las instalaciones de la empresa
d) el software de comunicaciones, los datos de control y
la documentación
e) el personal de la red
f) los edificios, salas de equipo, energía y otros servicios
vitales
Página 188 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW3.6.3
Control: Los acuerdos de continuidad del servicio deben
ser:
a) documentados
b) revisados por los representantes de los usuarios
c) aprobados por el propietario de la red
d) sujetos a un proceso de gestión del cambio
e) probados periódicamente utilizando simulaciones
realistas, y con la participación de personal de la red
f) actualizados después de cambios importantes
NW3.6.4
Control: Los generadores de copias de respaldo deben:
a) estar disponibles para manejar una interrupción
prolongada de energía en los equipos de
comunicaciones críticas
b) ser probados periódicamente
NW3.7
NW3.7.1
Mantenimiento remoto
Control: El acceso a la red de personas externas para
fines de mantenimiento remoto debe ser administrado de
manera que incluya:
a) definir y acordar los objetivos y el alcance de trabajo
previsto
b) autorizar sesiones individuales
c) restringir los derechos de acceso al mínimo necesario
de acuerdo con los objetivos y el alcance del trabajo
planeado
d) registrar todas las actividades realizadas
e) revocar los derechos de acceso y el cambio de
contraseñas inmediatamente después de completar las
tareas de mantenimiento
f) desarrollar una revisión independiente de las
actividades de mantenimiento remoto
NW3.7.2
Control: Se deben proteger los puertos de diagnostico
de la red implementando controles de acceso
NW4
Administración de
la seguridad local
NW4.1
NW4.1.1
Coordinación
Control: El propietario de la red debe tener la
responsabilidad general de la seguridad de la
información en relación con la red.
Se debe nombrar uno más coordinadores locales de
seguridad de la información, quienes son responsables
de coordinar los acuerdos de seguridad de la información
para la red y actuar como un único punto de contacto en
asuntos sobre seguridad de la información
Página 189 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW4.1.2
Control: Los coordinadores locales de seguridad deben
tener:
a) una buena comprensión de los roles y
responsabilidades de la seguridad de la información
b) suficientes conocimientos técnicos, el tiempo, las
herramientas y la autoridad para llevar a cabo su rol
asignado
c) acceso a expertos internos o externos en seguridad de
la información
d) procedimientos y normas documentadas para apoyar
las actividades diarias de seguridad
e) información actualizada relacionada con seguridad de
la información
f) un canal de comunicación con la función de seguridad
de la información
NW4.1.3
Control: El coordinador local de la seguridad de la
información debe reunirse periódicamente con el
propietario de la red para examinar la situación de
seguridad de la información y acordar las actividades de
seguridad a ser desarrolladas
NW4.2
NW4.2.1
Conciencia de seguridad
Control: Se debe establecer una política de seguridad
de la información para la red. El personal de la red debe
ser consciente y cumplir con la política de seguridad de
la información.
NW4.2.2
Control: El personal de la red debe:
a) participar en un programa de sensibilización de
seguridad
b) estar capacitado y entrenado en seguridad de la
información
c) ser dotado con material de sensibilización en
seguridad
NW4.2.3
Control: El personal de la red debe ser conciente de:
a) el significado de la seguridad de la información
b) la necesidad de la seguridad de la información para
proteger la red
c) la importancia de cumplir con las políticas de
seguridad de la información y la aplicación de las
correspondientes normas y procedimientos
d) sus responsabilidades con relación a la seguridad de
la información
Página 190 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW4.2.4
Control: El personal de la red debe ser consciente de
que está prohibido:
a) el uso no autorizado de cualquier parte de la red
b) el uso de la red para fines que no están relacionados
con el trabajo
c) hacer declaraciones sexuales, racistas que pueden
ser ofensivos (por ejemplo, al utilizar el correo
electrónico, mensajería instantánea, la
Internet o el teléfono)
d) hacer declaraciones obscenas, discriminatorias, o de
acoso
e) la descarga de material ilegal
f) la utilización no autorizada de los componentes de la
red (por ejemplo, utilizando software de terceros no
autorizados o módems)
g) la copia no autorizada de información o software
h) la revelación de información confidencial a personas
no autorizadas
i) comprometer las contraseñas
j) utilizar la información de identificación personal a
menos que sea explícitamente autorizada
k) la manipulación de evidencia en el caso de incidentes
de seguridad de la información que puedan requerir la
investigación forense
NW4.2.5
Control: El personal de la red debe estar advertido de
los peligros de ser escuchados cuando se discute sobre
la información del negocio por teléfono o en lugares
públicos
NW4.3
NW4.3.1
NW4.3.2
NW4.3.3
Clasificación de información
Control: La información transmitida sobre la red debe
ser objeto de un método de clasificación de la
información
Control: El método de clasificación de la información
debe:
a) tener en cuenta el impacto potencial para la empresa
de la pérdida de confidencialidad de la información
b) ser utilizado para determinar distintos niveles de
confidencialidad de la información
Control: El método de clasificación de la información
debe ser usado para clasificar:
a) la información almacenada en papel (por ejemplo,
contratos, planos y documentación del sistema,
celebrada en forma impresa)
b) la información transmitida a través de la red (por
ejemplo, las transacciones comerciales, financieras, el
diseño de productos detalles de clientes y archivos)
c) la comunicación electrónica (por ejemplo, correo
electrónico y mensajería instantánea)
Página 191 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW4.3.4
Control: Las clasificaciones de la información asociadas
con la red deben:
a) aprobados por un representante del negocio
b) revisadas periódicamente y cuando se realizan
cambios a la red
NW4.3.5
Control: Los detalles de clasificación de la información
asociadas con la red deben ser registrados en:
a) un inventario, o equivalente (por ejemplo, una base de
datos, software especializado, o en papel)
b) acuerdos con los proveedores de servicios (por
ejemplo, acuerdos de nivel de servicio).
NW4.3.6
Control: Los detalles de la clasificación de información
deben incluir:
a) la clasificación de la información (por ejemplo,
altamente secreta, en confianza y pública)
b) la identidad del propietario de la información
c) una breve descripción de la información clasificada
NW4.4
Análisis de riesgos de
información
NW4.4.1
Control: La red debe estar sujeta a un análisis de
riesgos de información desarrollado según las normas y
procedimientos para análisis de riesgos de la empresa y
utilizando una metodología de análisis de riesgos
NW4.4.2
Control: El análisis de riesgos de información debe
tomar en consideración las aplicaciones críticas de
negocio soportadas por la red y los acuerdos de nivel de
servicio asociados
NW4.4.3
Control: El análisis de riesgos debe involucrar:
a) los propietarios de las aplicaciones críticas de negocio
soportadas en la red
b) el propietario de la red
c) los especialistas de la red
d) los principales representantes de los usuarios
e) un experto en análisis de riesgos
f) un especialista en seguridad de la información
NW4.4.4
Control: El análisis de riesgos debe determinar los
riesgos evaluando:
a) el nivel del impacto potencial de las amenazas
asociadas con la red
b) las amenazas accidentales y deliberadas a la
confidencialidad, integridad y disponibilidad de la
información
c) las vulnerabilidades debidas a deficiencias de control
d) las vulnerabilidades debidas a las circunstancias que
aumentan la probabilidad de ocurrencia de un grave
incidente de seguridad de la información
Página 192 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW4.4.5
Control: El análisis de riesgos de seguridad de la
información debe tener en cuenta:
a) el cumplimiento de requisitos
b) los objetivos de la organización
c) los requisitos de clasificación de la información
d) el análisis de riesgos realizado en las instalación de
computación a ser evaluados
e) las características del entorno operativo de la
aplicación y las instalaciones de computación y de la red
a ser evaluadas
NW4.4.6
Control: Se deben documentar los resultados del
análisis de riesgos de información e incluir:
a) una clara identificación de los principales riesgos
b) una evaluación del impacto potencial para la empresa
de cada riesgo
c) las recomendaciones para las acciones requeridas
para reducir los riesgos a un nivel aceptable.
NW4.4.7
Control: El análisis de riesgos de información debe ser
utilizado para ayudar:
a) a seleccionar los controles de seguridad la
información que reduzcan la probabilidad de ocurrencia
de graves incidentes de seguridad de la información
b) a seleccionar los controles de seguridad de la
información que satisfagan los requisitos de
cumplimiento
c) a determinar los costos de la aplicación de controles
de seguridad
d) a evaluar las fortalezas y debilidades de los controles
de seguridad
e) a identificar los controles de seguridad especializados
requeridos por la red
NW4.4.8
Control: Los resultados del análisis de riesgos de
información deberían ser:
a) comunicados al dueño de la red y a la dirección
b) aprobados por un representante del negocio
NW4.4.9
Control: El análisis de riesgos de Información de la red
debe realizarse periódicamente y antes de introducir
cambios importantes en la red
NW4.5
NW4.5.1
NW4.5.2
Revisiones de auditoria de
seguridad
Control: Las auditorias y revisiones de seguridad de la
red deben ser independientes y realizarse
periódicamente
Control: Las auditorias y revisiones de seguridad de la
red deben:
a) evaluar los riesgos de negocio asociados con la red
b) considerar los requisitos de seguridad de la
información de las aplicaciones de negocios soportados
por la red
Página 193 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW4.5.3
Control: Las auditorias y revisiones de seguridad de la
red deben evaluar la situación de los acuerdos de
seguridad de la información en áreas claves (por
ejemplo, la gestión de la red, gestión del tráfico,
operaciones de red y gestión de la seguridad local)
NW4.5.4
Control: Las revisiones y auditorias de seguridad deben
ser:
a) acordadas con el propietario de la red
b) definidas en su alcance y documentadas
c) realizadas por personas competentes y con las el
suficiente conocimiento y habilidades técnicas en
seguridad de la información
d) llevadas a cabo con frecuencia y en profundidad (en
términos de alcance y magnitud) para garantizar que los
controles de seguridad
funcionan según lo dispuesto
e) centradas en garantizar que los controles son lo
suficientemente efectivos para reducir los riesgos a
niveles aceptables
f) complementados por el uso de herramientas
automatizadas de software
g) validados por las personas competentes
h) complementada por revisiones realizados por terceros
independientes
NW4.5.5
Control: Las auditorias y revisiones de seguridad deben
ser administradas para:
a)acordar con el dueño de la red los requisitos
especiales para las pruebas o rutinas de procesamiento
especial
b) restringir el acceso a la red para el equipo de auditoria
c) hacer seguimiento y registro de las actividades del
equipo de auditoria
d) la eliminación de la información copiada para
propósitos de la auditoria tan pronto como ya no sea
necesario
e) la protección de las herramientas de software
utilizadas en la ejecución de las auditorias
f) la protección de documentos y archivos del sistema
relacionados con la auditoria
NW4.5.6
Control: Las recomendaciones resultantes de las
revisiones y auditorias de seguridad de la red deben ser
acordadas con el propietario de la red e informadas a la
dirección
NW5
Redes de voz
NW5.1
Documentación de las redes de
voz
Página 194 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW5.1.1
Control: Se deben establecer normas y procedimientos
para las redes de voz que cubran:
a) el uso de los teléfonos de la empresa
b) los movimientos y cambios de los teléfonos de los
usuarios
c) registro y autenticación de usuarios con acceso al
buzón de voz
d) manejo de llamadas telefónicas amenazantes y
abusivas
e) protección del sistema de correo de voz contra el
acceso no autorizado
NW5.1.2
Control: La configuración y ajustes para el intercambio
de teléfonos internos deben ser soportados por
documentación exacta y completa
NW5.1.3
Control: Teléfonos de cable e inalámbricos deben estar
documentados en un inventario actualizado
NW5.2
NW5.2.1
Resiliencia de las redes de voz
Control: El intercambio telefónico debe tener:
a) suficiente capacidad para hacer frente a picos de
trabajo
b) las capacidades de expansión y actualización para
hacer frente a la demanda proyectada
c) las fuentes de alimentación alternativas, como las
baterías para hacer frente a las breves cortes de energía
d) un mecanismo de control y de seguimiento capaz de
proporcionar informes sobre estadísticas de uso y el
tráfico
NW5.2.2
Control: El intercambio telefónico debe ser protegido
para:
a) duplicación de los procesadores y tarjetas de función
b) bypass de emergencia, a fin de que puedan regresar a
las llamadas directas
c) duplicar grupos de intercambio de líneas
el acceso a intercambios principales alternos operados
por los proveedores de servicios
f) una fuente de poder capaz de hacer frente a fallas
prolongadas del suministro eléctrico
NW5.2.3
Control: Se debe asegurar en los contratos de
mantenimiento la reparación oportuna para los switches
telefónicos, consolas de operador y los teléfonos de
cableado e inalámbricos
NW5.2.4
Control: Los switches críticos y las consolas de
operador debe ser alojados en ambientes físicamente
seguros
NW5.2.5
Control: El cableado telefónico e inalámbrico debe ser
etiquetado y protegido de daño accidental o
interceptación
Página 195 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW5.2.6
NW5.3
NW5.3.1
Control: Se deben llevar a cabo revisiones para
garantizar que la continuidad de las comunicaciones de
voz esté contempladas en:
a) Los planes de contingencia de TI y los acuerdos
relacionados con las instalaciones de TI accesibles por la
red
b) los planes de continuidad del negocio y los acuerdos
asociados con las actividades de negocio apoyadas por
la red
Controles para las redes de voz
Control: El acceso a las consolas de operador
asociados con los switches debe ser restringido
mediante el uso de contraseñas las cuales deben ser:
a) cambiados en la instalación, para garantizar que las
contraseñas por defecto establecidas por el proveedor
no pueden ser explotadas por
personas no autorizadas
b) aplicados a los puertos de acceso utilizado para el
diagnóstico remoto
NW5.3.2
Control: Los cambios a la configuración de los switches
telefónicos deben ser realizadas por personas
autorizadas
NW5.3.3
Control: Los patrones de uso del teléfono deben ser
monitoreados para determinar lo adecuado de la
capacidad de la central telefónica y los requisitos de
personal para evitar sobrecargas del operador
NW5.3.4
Control: Las facturas para las redes de voz facturas
deben ser inspeccionadas para identificar patrones
inusuales de uso lo que puede indicar fraude
comportamiento impropio
NW5.4
NW5.4.1
Redes de voz sobre IP
Control: Se deben establecer y documentar normas y
procedimientos para las redes de VoIP, que:
a) cubran los controles generales de la red para VoIP
b) Incluyan controles específicos para VoIP (por
ejemplo, la separación de tráfico de voz utilizando redes
virtuales de área local (LAN), el aseguramiento de
dispositivos de VoIP, tales como teléfonos IP, IP PBX y
routers, redes de exploración de vulnerabilidades de
VoIP, encriptación
sensibles del tráfico de VoIP, VoIP y monitoreo a
registros de eventos de VoIP
c) prohíban el uso no autorizado de la tecnología VoIP
(por ejemplo, las conexiones no autorizadas a los
servicios de VoIP externos, tales
como Skype, utilizando un software telefónico)
Página 196 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
NW5.4.2
Control: Los controles generales para la seguridad de
VoIP deben incluir:
a) el monitoreo del ancho de banda utilizando
herramientas que son capaces de reconocer el tráfico de
VoIP
b) instalar los componentes de la red para proporcionar
resistencia y redundancia
c) implementar firewalls que pueden filtrar el tráfico de
VoIP
d) restringir el acceso a la red VoIP a dispositivos
autorizados
NW5.4.3
Control: Los controles específicos de VoIP deben incluir:
a) la separación de tráfico de voz utilizando redes
virtuales de área local (VLAN)
b) el aseguramiento de los dispositivos de VoIP (por
ejemplo, teléfonos IP, IP PBX y routers)
c) la exploración de vulnerabilidades de redes VoIP
d) la encriptación de tráfico VoIP sensitivo
e) el monitoreo de los registros de eventos de VoIP
Tabla 17: Controles de seguridad recomendados para las entidades del Grupo 3.
Página 197 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
6.6. Metodología de Clasificación y Control de Activos.
La consultoría elaboró el documento Metodología de Clasificación de Activos, ver documento “Entregable 3
- Anexo 1: Metodología de Clasificación de Activos”, el cual puede ser adoptado por las entidades
proveedoras de servicios para la Estrategia de Gobierno en Línea.
6.7. Enfoque para la Gestión del Riesgo.
La gestión del riesgo es un proceso fundamental en todo el ciclo de gestión de la seguridad de la
información. Las entidades del estado, mediante la implantación del sistema integrado de gestión y control
han logrado mejorar el proceso. Por lo tanto, cada entidad puede aplicar la metodología que tiene
establecida. La consultoría sin embargo, elaboró una Metodología de Gestión de Riesgos propuesta, ver
documento “Entregable 4 - Anexo 2: Metodología de Gestión del riesgo”, el cual puede ser utilizado por las
entidades que lo requieran.
6.8. Recomendaciones Generales para la Gestión de Continuidad del Negocio.
Asegurar la continuidad de los servicios de Gobierno en Línea es un requerimiento del presente Modelo de
seguridad SGSI, por lo tanto, la consultoría elaboró una Guía para la Gestión de Continuidad del Negocio,
ver documento “Entregable 4 - Anexo 3: recomendaciones generales continuidad negocio para las
entidades del estado”. Adicionalmente, el ICONTEC generó la guía técnica GTC 176, Sistema de Gestión
de Continuidad del Negocio, para establecer, implementar, operar, hacer seguimiento, revisar, mantener y
mejorar, un sistema de gestión de la continuidad del negocio (SGCN). Estas guías se constituyen en apoyo
y consejo para asegurar la continuidad de los servicios y trámites de Gobierno en Línea en las entidades
públicas y privadas.
6.9. Definición del Sistema de Gestión Documental
Para orientar a las entidades en la implementación de la gestión documental para el Modelo de seguridad
de la información SGSI, se elaboró el siguiente cuadro resumen, basado en los requisitos de
documentación de la Norma Técnica Colombiana NTC-ISO/IEC 27001 y de la Norma Técnica de Calidad
para la Gestión Pública NTCGP 1000:2004:
Página 198 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
CONTENIDO DEL SGSI
La documentación del Modelo SGSI debe incluir:
•
El alcance del SGSI
•
La declaración documentada de la política y objetivos del SGSI
•
Los procedimientos y controles que apoyan el SGSI
•
La descripción de la metodología de evaluación de riesgos
•
El informe de evaluación de riesgos resultante de aplicar la metodología de evaluación de riesgos a
los activos de información de los servicios de Gobierno en Línea
•
El plan de tratamiento de riesgos
•
Los registros del SGSI (tener en cuenta el requisito 4.2.4 de la norma NTCGP 1000:2004)
•
La declaración de aplicabilidad (SOA) que contiene los objetivos de control y los controles
contemplados por el SGSI, basado en los resultados de los procesos de evaluación y tratamiento
de riesgos, justificando inclusiones y exclusiones.
CONTROL DE DOCUMENTOS
Se debe establecer un procedimiento que defina las acciones de gestión necesarias para:
•
Aprobar los documentos antes de su publicación.
•
Revisar y actualizar los documentos cuando sea necesario y aprobarlos nuevamente.
•
Asegurar que se identifican los cambios y el estado de revisión actual de los documentos.
•
Asegurar que las versiones más recientes de los documentos pertinentes están disponibles en los
puntos de uso.
Página 199 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
•
Asegurar que los documentos permanecen legibles y fácilmente identificables.
•
Asegurar que los documentos estén disponibles para quienes los necesiten y que se apliquen los
procedimientos pertinentes de acuerdo con su clasificación, para su transferencia, almacenamiento
y disposición final.
•
Asegurar que los documentos de origen externo estén identificados.
•
Asegurar que la distribución de documentos esté controlada.
•
Prevenir el uso no intencionado de documentos obsoletos y aplicarles una identificación adecuada
en el caso de que se mantengan por cualquier razón.
•
Identificar e implementar las disposiciones legales aplicables sobre el control de documentos (Ley
594 de 2000).
CONTROL DE REGISTROS
Se deben controlar los registros de acuerdo con los siguientes requisitos:
•
Los registros deben establecerse y mantenerse para proporcionar evidencia de la conformidad con
los requisitos así como de la operación eficaz, eficiente y efectiva del SGSI
•
Los registros deben permanecer legibles, fácilmente identificables y recuperables.
•
Se debe establecer un procedimiento documentado para la identificación, almacenamiento,
protección, recuperación, tiempo de retención y disposición de los registros acorde con las
disposiciones legales vigentes sobre la materia, por ejemplo, la Ley 594 de 2000.
•
Se deben llevar registros del desempeño de los procesos, y de todos los casos de incidentes de
seguridad significativos relacionados con el SGSI.
Página 200 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
6.10. Recomendaciones para la Implementación del Modelo de Seguridad de la
Información
Para una efectiva implementación del modelo de seguridad de la información para la Estrategia de
Gobierno en Línea, se recomienda tener en cuenta los siguientes factores críticos de éxito que plantea la
norma ISO27002, los cuales son aplicables para este contexto y se presentan a continuación:
6.10.1.
Apoyo por parte de la Alta Dirección
La Alta Dirección de la entidad es quién debe liderar el proceso de implantación y mejora continua del SGSI
en cada entidad. Teniendo en cuenta que los riesgos que se intentan minimizar mediante un SGSI son, en
primera instancia, riesgos para el negocio, es la Alta Dirección quien debe tomar decisiones sobre estos y
su tratamiento o aceptación. Además, la implantación del modelo SGSI implicará cambios de mentalidad,
de sensibilización, de procedimientos y planes de acción a corto, mediano y largo plazo. La Alta Dirección
es la única responsable de apoyar y facilitar la implementación, gestión y mejora del Modelo SGSI en la
entidad.
Sin el apoyo decidido de la Alta Dirección, no es posible la implantación exitosa del Modelo de Seguridad
de la Información para la Estrategia de Gobierno en Línea en la entidad.
6.10.2.
Compromiso de la Alta Dirección
La Alta Dirección de cada entidad debe comprometerse con el establecimiento, implementación,
operación, monitoreo, revisión, mantenimiento y mejora del modelo SGSI propuesto. Para ello, debe tomar
las siguientes iniciativas:
•
Establecer y apoyar la política de seguridad de la información.
•
Asegurarse de que se establecen objetivos y planes del SGSI en su entidad.
•
Establecer roles y responsabilidades de seguridad de la información.
•
Comunicar a la organización tanto la importancia de lograr los objetivos de seguridad de la
información y de cumplir con la política de seguridad, como sus responsabilidades legales,
contractuales y la necesidad de mejora continua.
•
Asignar suficientes recursos al Modelo SGSI en todas sus fases.
•
Decidir los criterios de aceptación de riesgos y sus correspondientes niveles.
Página 201 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
•
Asegurar que se realizan auditorias internas (seguimiento) y externas (autoridades de vigilancia y
control).
•
Realizar revisiones periódicas al Modelo SGSI.
•
Asignación de recursos: Para el correcto desarrollo de todas las actividades relacionadas con
el Modelo SGSI, es imprescindible la asignación de recursos. Es responsabilidad de la alta
dirección garantizar que se asignan los suficientes para:
6.10.3.
o
Establecer, implementar, operar, monitorear, revisar, mantener y mejorar el Modelo SGSI.
o
Garantizar que los procedimientos de seguridad de la información apoyan los requerimientos
de seguridad para la Estrategia de Gobierno en Línea.
o
Identificar y tratar todos los requerimientos legales y normativos, así como las obligaciones
contractuales de seguridad.
o
Aplicar correctamente todos los controles implementados, manteniendo de esa forma la
seguridad adecuada.
o
Realizar revisiones cuando sea necesario y actuar adecuadamente según los resultados de
las mismas.
o
Mejorar la eficacia del SGSI donde sea necesario.
Formación y sensibilización
La formación y la sensibilización en seguridad de la información son elementos básicos para el
éxito del Modelo SGSI para la Estrategia de Gobierno en Línea. Por ello, la alta dirección de cada
entidad deberá asegurar que todo el personal de su organización, al que se le asignen
responsabilidades definidas en el Modelo SGSI, esté suficientemente capacitado y culturizado. Se deberá:
•
Determinar las competencias necesarias para el personal que realiza tareas en la implementación
del Modelo SGSI.
•
Satisfacer dichas necesidades por medio de formación o de otras acciones como, p. ej.,
contratación de personal ya capacitado.
•
Evaluar la eficacia de las acciones realizadas.
•
Mantener registros de estudios, formación, habilidades, experiencia y calificación. Además, la alta
dirección debe asegurar que todo el personal relevante esté sensibilizado de la importancia de
Página 202 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
sus actividades para la seguridad de la información y de cómo contribuye a la consecución de
los objetivos del Modelo SGSI y por ende, a los de la organización.
6.10.4.
Revisión (Auditorias) del SGSI
A la alta dirección de la organización se le asigna también la tarea de, al menos una vez al año, revisar el
Modelo SGSI, para asegurar que continúe siendo adecuado y eficaz y demuestre evolución. Para ello, debe
recibir una serie de informaciones, que le ayuden a tomar decisiones, entre las que se pueden enumerar:
•
Resultados de auditorias y revisiones del Modelo SGSI.
•
Observaciones de las partes interesadas.
•
Técnicas, productos o procedimientos que pudieran ser útiles para mejorar el rendimiento y eficacia
del SGSI.
•
Información sobre el estado de acciones preventivas y correctivas.
•
Vulnerabilidades o amenazas que no fueran tratadas adecuadamente en evaluaciones de riesgos
anteriores.
•
Resultados de las mediciones de eficacia / métricas de seguridad.
•
Estado de las acciones iniciadas a raíz de revisiones anteriores de la alta dirección.
•
Cualquier cambio que pueda afectar al SGSI.
•
Recomendaciones de mejora.
Basándose en toda esta información, la alta dirección debe revisar el cumplimiento actual del Modelo
SGSI y tomar decisiones y acciones relativas a:
•
Mejora de la eficacia del SGSI –mejora de la madurez de los controles.
•
Actualización de la evaluación de riesgos y del plan de tratamiento de riesgos.
•
Modificación de los procedimientos y controles que afecten a la seguridad de la información, en
respuesta a cambios internos o externos en los requisitos normativos, requerimientos de seguridad,
procesos de negocio, marco legal, obligaciones contractuales, niveles de riesgo y criterios de
aceptación de riesgos.
Página 203 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
•
Necesidades de recursos, implementación de controles recomendados.
•
Apoyar la implementación del plan de acción.
•
Disponer de políticas, objetivos y actividades de seguridad que reflejen la función misional de las
entidades.
•
Disponer de un enfoque y un marco de trabajo para implementar, mantener, monitorear y mejorar
la seguridad de la información, que sean consistentes con la cultura de la organización. Apoyarse
en el software de auto-evaluación para identificar aspectos por mejorar.
•
Asegurar soporte y compromiso visibles en toda la organización.
•
Asegurar un buen entendimiento de los requisitos de seguridad de la información apoyándose en
metodologías para gestión de riesgos. Las entidades del estado disponen de la Guía de
Administración de Riesgos del DAFP. Existe la norma técnica NTC 5244 Gestión del riesgo.
Adicionalmente, la presente consultoría pone a disposición el documento: “Entregable 4, Anexo 2:
Metodología de gestión del riesgo”. En el documento “Diagnóstico de la Situación Actual” se
identifican otros documentos que se relacionan con la gestión de riesgos.
•
Realizar un mercadeo eficaz de la seguridad de la información para todos los directores, empleados
y otras partes para lograr la sensibilización adecuada.
•
Distribuir guías sobre la política y las normas de seguridad de la información para todos los
directores, empleados y otras partes.
•
Obtener provisión de fondos para las actividades de gestión de seguridad de la información.
•
Mantener programas continuos y adecuados de formación, educación y sensibilización. Apoyarse en
el material de capacitación y sensibilización entregado por la presente consultoría (ver documento
“Capacitación y sensibilización para el Modelo de Seguridad”.
•
Establecer un proceso eficaz para la gestión de incidentes de seguridad de la información. Se
dispone de la guía técnica GTC 169 Gestión de Incidentes de Seguridad de la Información. Así
mismo, apoyarse en el CSIRT para una efectiva respuesta a incidentes (ver documento “Diseño de
un CSIRT Colombiano”).
•
Implementar un sistema de medición para evaluar el desempeño en la gestión de seguridad de la
información y retroalimentar sugerencias para la mejora. Apoyarse en el software de autoevaluación, así como en guías internacionales tales como el documento NIST SP 800-55
Performance Measuring Guide For Information Security.
Por otra parte, la implementación de la seguridad de la información en los servicios de Gobierno en
Línea requiere que se contemplen los requisitos de seguridad desde la fase de inicio de la concepción
Página 204 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
del servicio. Se recomienda tener en cuenta los siguientes pasos, adoptados del documento eGovernment Strategy Framework Policy and Guidelines19:
•
Desarrollo del concepto del servicio. Se identifican los elementos claves del servicio y cómo se
va a prestar el servicio. Se identifican los dominios de seguridad que intervienen en la prestación
del servicio (dominio del cliente, dominio de los servicio de Gobierno en Línea, dominio del
prestador de servicios de Internet, etc.). Se identifican los requisitos de seguridad para el servicio
basado en un análisis y evaluación de riesgos. Se evalúa si el concepto de servicio es posible desde
la perspectiva de seguridad. Se considera qué tan bien trabajará el servicio con otros servicios de
Gobierno en Línea.
•
Especificación de los requisitos del servicio y revisión del cumplimiento. La revisión
detallada de los requisitos de seguridad se realiza paralelamente con el desarrollo y revisión de las
especificaciones del servicio. Esta fase incluye un examen detallado de la información y la
prestación de servicios activos, y un análisis de las amenazas y las vulnerabilidades. Los niveles de
riesgo se determinan mediante la evaluación del impacto de amenazas tales como: la apropiación
indebida de identidad del mundo real20; la apropiación indebida de identidad electrónica21 o
credenciales de acceso; el incumplimiento de los compromisos contraídos; la divulgación de
información privada; las fallas accidentales del servicio y / o de infraestructura; un ataque
electrónico malicioso o involuntario. Se deben incluir requisitos para la retención y almacenamiento
seguro de la información y cumplimiento de reglamentación vigente.
•
Diseño, implementación y pruebas del servicio. El diseño, la implementación y prueba de los
requisitos de seguridad se realiza paralelamente al diseño, implementación y prueba del servicio. El
diseño de la seguridad debe tener en cuenta la mitigación de riesgos seleccionando los controles
más apropiados, limitando la arquitectura de manera que cubra sólo los servicios requeridos, se
evalúe el riesgo residual y se consideren más controles hasta que el riesgo residual sea aceptable.
La implementación del servicio incluye: el desarrollo y configuración de las medidas de seguridad, el
establecimiento de los procesos de seguridad para el funcionamiento y la gestión del servicio
incluyendo la auditoria y rendición de cuentas, el desarrollo y aprobación de la documentación de
seguridad, la elaboración y aprobación de las guías para el manejo de la información asociada con
el servicio específico, el desarrollo de declaraciones de seguridad y consejo para los clientes del
19 http://www.govtalk.gov.uk/policydocs/policydocs_document.asp?docnum=649 último acceso 08/12/05
20 Identidad del mundo real: conjunto de atributos (nombre, fecha de nacimiento, cedula de ciudadanía) que permite identificación única entre usuarios.
21 Identidad electrónica: conjunto de atributos (nombre de usuario, identificador de certificado digital) que identifica a un único usuario en un sistema de
computador.
Página 205 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
servicio. Las pruebas de seguridad incluyen la comprobación de que la configuración del sistema es
compatible con la política de seguridad.
•
Aceptación del servicio. Paralelo a la aceptación del servicio se realiza una acreditación de
seguridad.
•
Prestación del servicio. Se debe garantizar la fiabilidad y disponibilidad del servicio en el
mantenimiento rutinario del software. Se deben realizar auditorias periódicas para evaluar la
efectividad de los controles e implementar las mejoras solicitadas. Se debe garantizar que se tenga
en cuenta la seguridad en los cambios incrementales en el servicio.
•
Cierre del servicio. Se debe asegurar que los activos de información se transfieren a un nuevo
servicio o se destruyen o se almacenan de forma segura de conformidad con las políticas
específicas del servicio.
Página 206 de 207
INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
7. ANEXOS
Página 207 de 207