Ongei Sgsi PDF

Implementación del SGSI
Oficina Nacional de Gobierno Electrónico

e Informática - ONGEI
ONGEI2016
Ing. CIP Miguel Del Carpio Wong
Oficina Nacional de Gobierno Electrónico e Informática
Ing. Ronal Barrientos Deza
Jefe de la Oficina Nacional
de Gobierno Electrónico e Informática
• “Una Cadena es tan fuerte como el más débil de sus

eslabones” ***
*** Adoptado de un escrito del siglo XVIII por Thomas Reid titulado: “Ensayos en los Poderes
Intelectuales del Hombre y John C. Maxwell, autor de “LAS 17 LEYES INCUESTIONABLES
DEL TRABAJO EN EQUIPO” (2001) la menciona como la 5ta ley, La Ley de la cadena: “La
fortaleza del equipo se ve afectada por el eslabón más débil”
• Parte 1 : NORMATIVA
• Parte 2 : IMPLEMENTACIÓN
NORMATIVA
Norma Anterior
• RM N.° 129-2012-PCM (Mayo 2012).
✔
Aprueba uso obligatorio NTP-ISO/IEC 27001:2008 (Req. y Anexo A)
“NTP-ISO/IEC 27001:2008 EDI. Tecnología de la Información. Técnicas de Seguridad. Sistemas de
Gestión de Seguridad del a Información. Requisitos”.
✔
¿Quiénes? 71 Entidades. ¿Y las demás? Sólo Cronograma Fase 1.
✔
Controles deben ser implementados de acuerdo a la NTP-ISO/IEC
17799:2007 (Agosto 2007 – RM N.° 244-2007-PCM)
“NTP-ISO/IEC 17799:2007 EDI. Tecnología de la Información. Código de buenas prácticas para la
gestión de la Seguridad de la Información. 2da. Edición”
✔
Deja sin efecto la RM N.° 197-2011-PCM
(Ponía fecha límite [31Dic2012] para
implementar NTP-ISO/IEC 17799:2007)
Norma VIGENTE
• RM N.° 004-2016-PCM (Enero 2016).
✔
Aprueba uso obligatorio NTP-ISO/IEC 27001:2014.
“NTP-ISO/IEC 27001:2014 Tecnología de la Información. Técnicas de Seguridad. Sistemas de
Gestión de Seguridad del a Información. Requisitos. 2Da Edición”.
✔
¿Quiénes? Todas las Entidades Integrantes del Sistema Nacional de
Informática
✔
Presentar Cronograma: 60 días. ¿Lo Han Presentado?
✔
Implementación y/o Adecuación : 2 años. ¿Lo están trabajando?
Definir bien el Alcance en base a los recursos.
Actas, documentos, notas,...
✔
Pueden Certificar si lo desean con recursos propios. ¿Es bueno?
Norma VIGENTE
• RM N.° 004-2016-PCM (Enero 2016).
✔
El Comité de Gestión de Seguridad de la Información
✔
Titular de Entidad,
✔
Administración,
✔
Planificación,
✔
Informática,
✔
Legal,
✔
Oficial de Seguridad de la Información.
✔
Deja sin efecto la RM N.° 129-2012-PCM.
IMPLEMENTACIÓN
NTP-ISO/IEC 27001:2014
• Capítulo 04 : CONTEXTO DE LA ORGANIZACIÓN.
• Capítulo 05 : LIDERAZGO.
• Capítulo 06 : PLANIFICACIÓN.
• Capítulo 07 : SOPORTE.
• Capítulo 08 : OPERACIÓN.
• Capítulo 09 : EVALUACIÓN DE DESEMPEÑO.
• Capítulo 10 : MEJORAS.
• Anexo A : OBJETIVOS DE CONTROL Y CONTROLES DE

REFERENCIA.
Capítulo 04 : CONTEXTO DE LA ORGANIZACIÓN.
• Es comprender a la Organización y su contexto, tanto en los aspectos

internos como externos.
• CONOCER A LA ENTIDAD: Misión, Visión, Matriz FODA y las

Estrategias (Sec. 4.1). (Un Auditor leerá el documento y se enterá de la
Entidad).
• Los objetivos de la Seguridad de la Información deben alinearse con los

Objetivos Estratégicos.
• Es comprender las necesidad y expectativas de las partes interesadas:

(Plan-Do-Check-Act) al SGSI. Es parte de la mejora continua (Sec. 4.4).
• Veámos un ejemplo: Determinar el ALCANCE (Sec. 4.3).

ALCANCE
Requerimiento de la
Sección Estado Evidencia: ¿Cómo lo cumple?
ISO/IEC 27001:2013
4.3 Determinar el alcance del

sistema de gestión de
El Sistema de Gestión de Seguridad de la Información
aplica a los siguientes procesos:
seguridad de la información. (Ejemplos reales)
MIDIS
La organización debe • Los sistemas de información que sustentan los procesos
determinar los límites y la de negocio para la provisión del servicio de Data Center.
aplicabilidad del sistema de
gestión de seguridad de la OSIPTEL
CONFORME
información para establecer su • El sistema de gestión de seguridad de la información
alcance. para la Regulación del Mercado de Telecomunicaciones
mediante los procesos de emisión de normas,
regulación, solución de controversias, solución de
reclamos de usuarios, supervisión, fiscalización y
sanción. Atención y orientación a usuarios desde sus
oficinas de San Borja y San Isidro en Lima, según la
declaración de aplicabilidad vigente.
ALCANCE (si se desea certificar, también tener el alcance en inglés, la auditora lo pedirá.)
¿Qué hacer?
✔ Definir bien el alcance (procesos o sub procesos).
✔ Puede ser cambiado siempre y cuando existan las actas de reunión del
comité y por qué se cambió.
¿Cómo?
✔ Preguntarse:
✔ ¿Por qué implementas el SGSI?
✔ ¿Qué área debe ser cubierta por el SGSI?
✔ NO definir un Alcance MUY AMPLIO, pues tu análisis de riesgos
será mayor y puedes demorar mucho: presupuesto, tiempo,...
✔ Se debe comprender los problemas externos e internos de la Entidad.
Se recomienda hacer un DIAGRAMA DE CONTEXTO DE LA
ENTIDAD GUBERNAMENTAL.
Capítulo 05 : LIDERAZGO.
• Sabemos que el Comité de Seguridad de la Información debe estar formado

por el Titular de la Entidad.
• Si se tiene al Titular de la Entidad comprometido, entonces la tarea de

implementar un SGSI y CERTIFICAR será mucho más fácil.
• El Titular de la Entidad, debe mostrar liderazgo y compromiso respecto al

SGSI. Entonces, debe asegurar que las responsabilidades y la autoridad para
los roles relevantes a la Seguridad de la Información estén asignadas y
comunicadas.
• Por lo tanto, es necesario establecer:

●
Una Política de Seguridad de la Información, y
●
Los Objetivos de Seguridad de la Información.
POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN

Requerimiento de la ISO/IEC
Sección Estado Evidencia: ¿Cómo lo cumple?
27001:2013
5.2 Política. Existe la Política de Seguridad de la Información y se

ha evidenciado que está acorde al propósito de la
organización, incluye objetivos de Seguridad de la
Información (Sección 6.2) y está disponible y
CONFORME comunicada a toda la organización. Además que ha
sido aprobada por una Resolución de Alcaldía.
(Directoral, Ministerial,...)
La política de seguridad de la información debe:
f)Estar comunicada dentro de la

Se ha evidenciado que la Política de Seguridad de la
Información ha sido comunicada a toda la
organización; Organización vía correo electrónico. Así mismo está
CONFORME publicado en la Intranet. Además existen los cargos de
los documentos que han sido envíada a cada
dependencia de la organización.

¿Qué hacer?
✔ Hacer la Política de Seguridad de la Información.
¿Cómo?
✔ Modelos hay varios y usarlos sólo como referencia.
✔ Incluir al menos:
✔ Marco legal,
✔ Objetivos,
✔ Políticas,
✔ Definiciones,
✔ Responsabilidades,
✔ Sanciones por incumplimiento.
✔ IMPORTANTE respecto al documento:
Elaborado por, Revisado por, Aprobado por,
CARGO y NOMBRE. Versión, Fecha exacta.
• Sabemos que los usuarios, muchas veces no cumplen las políticas.

• Podría incluirse como parte de las sanciones por incumplimiento lo siguiente o
vía alguna comunicación de la Alta Dirección:
“La Entidad se reserva el derecho de tomar medidas

disciplinarias del personal que incumpla con los dispuesto
en la Política de Seguridad de la Información conforme a
las disposiciones señaladas en los documentos normativos
de la institución, sin prejuicio de las acciones civiles y/o
penales que pudieran corresponder.”
Capítulo 06 : PLANIFICACIÓN.
6.1 Acciones para tratar los riesgos y oportunidades

6.1.1 Generalidades ...
Evidencia:
Sección Requerimiento de la ISO/IEC 27001:2013 Estado
¿Cómo lo cumple?
6.1.2 Valoración del riesgo de seguridad de la información. Se tiene un procedimiento

para la Gestión de Riesgos
La organización debe definir y aplicar un proceso de CONFORME de Seguridad de la
valoración del riesgo de seguridad de la información que: Información.
c) identifique los riesgos de seguridad de la información:

1)Aplicando el proceso de valoración de riesgos de Se cuenta con una
metodología de Gestión de
seguridad de la información para identificar riesgos Riesgos de Seguridad de la
asociados con la pérdida de confidencialidad, integridad Información y está en
y disponibilidad para la información dentro del alcance CONFORME
conjunto con el Manual de
del sistema de gestión de seguridad de la información. Gestión de Seguridad de la
Información.

6.1.1 Generalidades
6.1.2 Valoración del riesgo de seguridad de la información.
¿Qué hacer?
✔ Procedimiento para la gestión de riesgos de seguridad de la
información.
¿Cómo?
✔ Elegir tu metodología de gestión de riesgos,
✔ Usa ISO 31000,
✔ Usa ISO 27002,
✔ Usa ITIL, COBIT, COSO,
✔ Usa MAGERIT (española – 3 libros)

6.1.1 Generalidades
6.1.2 Valoración del riesgo de seguridad de la información.
Consideraciones
✔ Identificar los riesgos de seguridad de la información:
✔ Aplicar el proceso de valoración de riesgos: MATRIZ DE CALOR.
✔ Se debe hacer un Inventario de Activos y considerar la valoración
para la Confidencialidad, Integridad, Disponibilidad, lo cual da
origen a la Matriz de Calor.
✔ Identificar a los propietarios de los riesgos y obtener su aprobación
para tratar los riesgos.
✔ Analizar los riesgos de seguridad de la información.
✔ Establecer la Declaración de Aplicabilidad.
✔ Determinar todos los controles necesarios.
✔ Formular un plan de tratamiento de riesgos.
De la misma manera trabajarlo para los siguientes capítulos:

●
Capítulo 07 : SOPORTE.
●
Capítulo 08 : OPERACIÓN.
●
Capítulo 09 : EVALUACIÓN DE DESEMPEÑO.
●
Capítulo 10 : MEJORAS.
Anexo A :
OBJETIVOS DE CONTROL Y CONTROLES DE REFERENCIA.
A.9 Control de acceso
A.9.1 Requisitos de la empresa para el control de acceso.
Objetivo: Limitar el acceso a la información y a las instalaciones de
procesamiento de la información
Control del Anexo A de la Evidencia:
Sección Estado
ISO/IEC 27001:2013 ¿Cómo se ha implementado?
A.9.1.2 Acceso a redes y servicios

de red.
El acceso a los servidores se
realiza mediante los perfiles
establecidos. El acceso a Internet
Control: Los usuarios es sólo para los usuarios
deben tener acceso institucionales, además que la red
solamente a la red y a IMPLEMENTADO
se encuentra segmentada y el
servicios de red que hayan acceso inalámbrico a Internet para
sido específicamente los invitados está en una red
autorizados a usar. aislada. También se dispone de una
política de contraseñas.
Anexo A :
A.9 Control de acceso
A.9.4 Control de acceso a sistema y aplicación.
Objetivo: Prevenir el acceso no autorizado a los sistemas y
aplicaciones.
Sección Estado
A.9.4.5 Control de acceso al código

fuente de los programas.
Para el alcance establecido no hay
Desarrollo de Software.
Control: El acceso al
código fuente de los NO APLICA
programas debe ser
restringido.
Anexo A :
A.6 Organización de la seguridad de la información
A.6.1 Organización interna.
Objetivo: Establecer un marco de referencia de gestión para iniciar y
controlar la implementación y operación de la seguridad de la
información dentro de la organización.
Sección Estado
A.6.1.3 Contacto
autoridades.
con las Se cuenta con una lista para
establecer contacto rápido con las
partes involucradas y se evidencia
Control: Contactos con que se ha comunicado a todos.
autoridades relevantes IMPLEMENTADO
deben ser mantenidos.
Anexo A :
A.6 Organización de la seguridad de la información
A.6.1 Organización interna.
Objetivo: Establecer un marco de referencia de gestión para iniciar y
controlar la implementación y operación de la seguridad de la
información dentro de la organización.
Sección Estado
A.6.1.2 Segregación de funciones. La Entidad dispone de un Manual de

Organización y Funciones (MOF) en el cual
Control: Las funciones y áreas está definido los cargos.
de responsabilidad en conflicto
deben ser segregadas para IMPLE- También se cuenta con los Contratos
reducir oportunidades de MENTADO Administrativos de Servicios (CAS) de
modificación no autorizada o aquellos trabajadores que brindan servicios
no intencional o mal uso de los bajo dicha modalidad, en donde se definen
activos de la organización las responsabilidades de los mismos.
ISO 27003
Estándar Internacional usada como:

GUÍA PARA LA IMPLANTACIÓN
DE UN SGSI
Muchas Gracias...!!!
http://www.ongei.gob.pe
mdelcarpio@pcm.gob.pe
migueldelcarpiowong@gmail.com
+51 1 219 7000 Anexo 5111
+51 997 401 747

Ongei Sgsi PDF

Cargado por

Información del documento

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Ongei Sgsi PDF

Cargado por

Copyright:

Formatos disponibles

Implementación del SGSI

Oficina Nacional de Gobierno Electrónico

Implementación del SGSI

• “Una Cadena es tan fuerte como el más débil de sus

Implementación del SGSI

Implementación del SGSI

Implementación del SGSI

• RM N.° 129-2012-PCM (Mayo 2012).

Implementación del SGSI

• RM N.° 004-2016-PCM (Enero 2016).

Implementación del SGSI

• RM N.° 004-2016-PCM (Enero 2016).

Implementación del SGSI

Implementación del SGSI

• Anexo A : OBJETIVOS DE CONTROL Y CONTROLES DE

Implementación del SGSI

Capítulo 04 : CONTEXTO DE LA ORGANIZACIÓN.

• Es comprender a la Organización y su contexto, tanto en los aspectos

• CONOCER A LA ENTIDAD: Misión, Visión, Matriz FODA y las

• Los objetivos de la Seguridad de la Información deben alinearse con los

• Es comprender las necesidad y expectativas de las partes interesadas:

• Veámos un ejemplo: Determinar el ALCANCE (Sec. 4.3).

Implementación del SGSI

Capítulo 04 : CONTEXTO DE LA ORGANIZACIÓN.

4.3 Determinar el alcance del

Implementación del SGSI

Capítulo 04 : CONTEXTO DE LA ORGANIZACIÓN.

Implementación del SGSI

• Sabemos que el Comité de Seguridad de la Información debe estar formado

• Si se tiene al Titular de la Entidad comprometido, entonces la tarea de

• El Titular de la Entidad, debe mostrar liderazgo y compromiso respecto al

• Por lo tanto, es necesario establecer:

Implementación del SGSI

POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN

5.2 Política. Existe la Política de Seguridad de la Información y se

La política de seguridad de la información debe:

f)Estar comunicada dentro de la

Implementación del SGSI

POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN

Implementación del SGSI

POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN

• Sabemos que los usuarios, muchas veces no cumplen las políticas.

“La Entidad se reserva el derecho de tomar medidas

Implementación del SGSI

6.1 Acciones para tratar los riesgos y oportunidades

6.1.2 Valoración del riesgo de seguridad de la información. Se tiene un procedimiento

c) identifique los riesgos de seguridad de la información:

Implementación del SGSI

6.1 Acciones para tratar los riesgos y oportunidades

Implementación del SGSI

6.1 Acciones para tratar los riesgos y oportunidades

Implementación del SGSI

De la misma manera trabajarlo para los siguientes capítulos:

Implementación del SGSI

A.9.1.2 Acceso a redes y servicios

Implementación del SGSI

A.9.4.5 Control de acceso al código

Implementación del SGSI

Implementación del SGSI

A.6.1.2 Segregación de funciones. La Entidad dispone de un Manual de

Implementación del SGSI

Estándar Internacional usada como:

También podría gustarte