Está en la página 1de 101

1

AUDITORIA DE SISTEMAS Y

DISEÑO DE POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN EN LA EMPRESA

EXTRA RÁPIDO LOS MOTILONES S.A.

MOISES RODRIGUEZ MORA

YESID MENDEZ

CORPORACIÓN UNIVERSITARIA REMINGTÓN CT CUCUTA

FACULTAD DE INGENIERÍA DE SISTEMAS

SAN JOSÉ DE CÚCUTA

2019

AUDITORIA DE SISTEMAS Y
2

DISEÑO DE POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN EN LA EMPRESA

EXTRA RÁPIDO LOS MOTILONES S.A.

JOSÉ GREGORIO GÓMEZ MARCIALES

RICHARD ORLANDO ACOSTA AREVALO

WALTER DAVID GUTIERREZ FUENTES

YOLANDA HOSTOS PALACIOS

Tutor

Ingeniero de Sistemas

CORPORACIÓN UNIVERSITARIA REMINGTÓN CT CUCUTA

FACULTAD DE INGENIERÍA DE SISTEMAS

SAN JOSÉ DE CÚCUTA

2019
3

Tabla de contenido

Pag

Introducción 9

1. El problema 11

1.1 Titulo 11

1.2 Formulación del Problema 11

1.3 Justificación 11

1.3.1 A nivel de la empresa Extra Rápido Los Motilones S.A. 13

1.3.2 A nivel de la carrera Ingeniería de Sistemas 13

1.3.3 A nivel personal 14

1.4 Objetivos 14

1.4.1 Objetivo general 14

1.4.2 Objetivos específicos 14

2. Marco referencial 15

2.1 Marco Teórico 15

2.2 Marco Histórico 16

2.2.1 Reseña Histórica 16

2.2.2 Misión 17

2.2.3 Visión 18

2.2.4 Valores 18

2.3 Marco Conceptual 19

2.4 Marco Legal 24


4

2.4.1 Estándares Normativos. Los estándares normativos más destacados para la

implementación de la seguridad informática están: 24

2.4.2 Leyes y Decretos Colombianos. Las leyes, resoluciones y circulares creadas en

Colombia en pro de la protección de los medios informáticos, la información y el comercio

electrónico, se destacan los siguientes: 25

3. Diseño metodológico preliminar 27

3.1 Tipo de Investigación 27

3.2 Población y Muestra 27

3.3 Técnicas de Recolección de Datos 29

3.3.1 Fuentes Primarias 29

3.3.2 Fuentes Secundarias 29

3.4 Técnicas de Análisis de la Información 29

3.4.1 Análisis Documental 30

4. Participantes en el proceso y recursos disponibles 31

4.1 Integrantes del proceso 31

4.2 Recursos Disponibles 31

4.2.1 Materiales. 31

4.2.2 Institucionales 31

4.2.3 Financieros 32

4.3 Cronograma de Actividades 32

5. Interpretación de resultados encuesta a empleados empresa extra rápido LOS MOTILONES S.A

33

6. Políticas de seguridad de la información 44


5

6.1 Objetivo 44

6.2 Alcance 44

6.3 Términos y definiciones 44

6.4 Descripción de las políticas 60

6.4.1 Política Global de Seguridad de la Información 60

6.4.2 Política No.1: acceso a la información 62

6.4.3 Política No.2: administración de hardware y software 65

6.4.4 Política No.3: seguridad de la información 66

6.4.5 Política No.4: seguridad de los servicios informáticos 67

6.4.6 Política No.5: seguridad de los sistemas de información 69

6.4.7 Política No.6: seguridad en las redes de comunicación 70

6.4.8 Política No.7: seguridad para usuarios terceros 72

6.4.9 Política No.8: software utilizado 73

6.4.10 Política No.9: actualización de hardware 75

6.4.11 Política No.10: copias de respaldo (backup). 75

6.4.12 Política No.11: auditoria. 76

6.4.13 Política No.12: seguridad física. 76

6.4.14 Política No.13: administración de seguridad. 78

Conclusiones 79

Bibliografía 81

Webgrafia 82

Anexos 83
6

Lista de figuras

Pag

Figura 1.Conocimientos sobre Amenaza Informática 33

Figura 2: Amenazas Informáticas Conocidas por los empleados de la empresa 34

Figura 3: Cultura sobre Prevención de un Ataque Informático 35

Figura 4 Responsabilidad de la Seguridad de la Información 36

Figura 5: Áreas de Trabajo Participantes en la encuesta. 37

Figura 6: Uso de medio de almacenamiento externo en equipos de la empresa 38

Figura 7: Ante quien se tramita solicitud de cambios en recursos informáticos 39

Figura 8: Solicita autorización para la entrega de información 40

Figura 9 En la red se comparten archivos en los diferentes equipos de la empresa 41

Figura 10: Seguridad aplicada por los empleados en lo equipos 41

Figura 11 Su equipo de trabajo cuenta con acceso a internet 42

Figura 12 Accede a internet por motivos laborales 43


7

Lista de tablas

Pag

Tabla 1.Población y Muestra 28

Tabla 2.Cronograma de actividades 32


8

Lista de anexos

Pag

Anexo 1. Formato Nro.1 Controles de seguridad Cuentas de usuario 84

Anexo 2. Formato Nro.2 Requerimientos de respaldos de información 87

Anexo 3. Formato Nro.3 Acceso Físico 91

Anexo 4 Formato Nro.4 Acta de Entrega, recepción de medios 92

Anexo 5. Formato Nro.5 Bitácora de restauración de respaldos 94

Anexo 6. Formato Nro. 6 Controles Contraseñas Segura 96

Anexo 7. Formato Nro. 7 Solicitud instalación Software 98

Anexo 8.Formato Nro. 8 Formato Encuesta Aplicada 100


9

Introducción

La ausencia de políticas y procedimientos en seguridad es uno de los problemas más graves que

confrontan las empresas en la actualidad en lo que se refiere a la protección de sus activos de

información frente a peligros externos e internos.

Las políticas de seguridad son esencialmente orientaciones e instrucciones que indican cómo

manejar los asuntos de seguridad y forman la base de un plan maestro para la implantación efectiva

de medidas de protección tales como: identificación y control de acceso, respaldo de datos, planes

de contingencia y detección de intrusos.

A menudo las políticas van acompañadas de normas, instrucciones, procedimientos y son

obligatorias, mientras que las recomendaciones o directrices son más bien opcionales. De

hecho, las declaraciones de políticas de seguridad pueden transformarse fácilmente en

recomendaciones.

El tratamiento de la información abarca aspectos que van desde el manejo de documentos en

medio físico como el proceso de almacenaje y recuperación conocido también como proceso de

gestión documental, hasta los sistemas de información que tenga la organización o sistemas

externos a los que esté obligada a reportar información, pasando por aspectos tan importantes como

la forma de almacenamiento de los datos digitales, modelos de respaldo de información y planes

de contingencia o de continuidad del negocio, si existen, claro está, incluyendo además los

sistemas físicos de protección y accesibilidad a sitios o áreas restringidas.


10

Los equipos de cómputo almacenan información, la procesan y la transmiten a través de redes

y canales de comunicación, abriendo nuevas posibilidades y facilidades a los usuarios, pero se

deben considerar nuevos paradigmas en estos modelos tecnológicos y tener muy claro que no

existen sistemas cien por ciento seguros, porque el costo de la seguridad total es muy alto (aunque

en la realidad no es alcanzable idealmente), y las organizaciones no están preparadas para hacer

este tipo de inversión.

Se tiene la falsa percepción de que la seguridad de la información es una tarea imposible de

aplicar, en realidad, con esfuerzo, el conocimiento necesario y el apoyo constante de las directivas

se puede alcanzar un nivel de seguridad razonable, capaz de satisfacer las expectativas de

seguridad propias.

Extra Rápido Los Motilones S.A. es una empresa en crecimiento que debe involucrar dentro de

sus procesos buenas prácticas encaminadas a la protección de la información; razón por la cual es

necesario el desarrollo del análisis de riesgo de la seguridad de la información aplicado a cada uno

de los activos.

El análisis de riesgo permite realizar un diagnóstico para conocer las debilidades y fortalezas

internas encaminadas en la generación de los controles adecuados y normalizados dentro de las

políticas de seguridad informática que hacen parte de un Sistema de Gestión de Seguridad de la

Información (SGSI), además de facilitar su continuo monitoreo a través de procesos de auditorías

y mejoras continuas.
11

1. El problema

1.1 Titulo

Diseño de Políticas de Seguridad de la Información en la empresa Extra Rápido Los Motilones

S.A.

1.2 Formulación del Problema

¿Cómo identificar y tratar los riesgos que afectan la información de la empresa Extra Rápido

Los Motilones S.A., con la finalidad de establecer las Políticas de Seguridad de la Información?

1.3 Justificación

La empresa Extra Rápido Los Motilones S.A., líder en el sector de Transporte de pasajeros,

encomiendas y giros, tiene enormes cantidades de información confidencial sobre sus empleados,

clientes, proveedores, contratistas. La cual es procesada, consolidada, gestionada y almacenada

para los requerimientos de la empresa.

La empresa tiene una infraestructura tecnológica en crecimiento, de la de la cual dependen

muchos de los procesos, dependencias y el funcionamiento tanto administrativo como operativo.

Gran parte de la información institucional, se encuentra en los equipos del personal administrativo,

operativo y en el servidor web de la empresa, también existe información en formato físico. Pero
12

se evidencia que no hay políticas de control que puedan proveer un adecuado tratamiento de este

valioso activo como es la información sensible de Extra Rápido Los Motilones S.A.

El sector del transporte al igual que las diversas actividades económicas de la nación, presentan

un aporte considerable al crecimiento económico y a la generación de empleo y por ello se deben

aplicar buenas prácticas y recomendaciones de seguridad informática ya que muy seguramente en

un futuro cercano podría ser víctima de delitos informáticos que obstaculicen su normal

funcionamiento como lo pueden ser intrusiones, modificación y/o robo de información,

denegación de servicios, entre otros que podrían llevar al caos empresarial.

Extra Rápido los Motilones S.A. no tiene unas Políticas de Seguridad en la Información que

permita a la gerencia, y/o directivos en determinado momento tomar decisiones relacionadas con

el flujo de esta información. Conscientes de la importancia que tiene para Extra Rápido Los

Motilones S.A., su actuación en el negocio del transporte de pasajeros y encomiendas, se busca a

través de la realización de este trabajo manejar e interpretar los comportamientos y tendencias de

este sector, y poder tomar medidas correctivas y preventivas, comprender esta dinámica constituye

una herramienta determinante en el desempeño de esta actividad.

Frecuentemente se escuchan los términos seguridad de la información, seguridad informática y

garantía de la información. El significado de dichas palabras es diferente, pero todos persiguen la

misma finalidad que es proteger la confidencialidad, la integridad y la disponibilidad de la

información sensible de la organización.


13

Se considera de gran importancia desarrollar el diseño de las políticas de seguridad de la

información para la empresa, con la plena certeza de que va a tener una excelente aceptación y que

los resultados esperados se darán a muy corto plazo. De la excelente aplicación de este diseño de

Políticas depende la obtención de los objetivos trazados.

1.3.1 A nivel de la empresa Extra Rápido Los Motilones S.A. El diseño de las Políticas de

Seguridad de la información, se convierte para la Empresa Extra Rápido Los Motilones S.A., En

una herramienta fundamental puesto que la gerencia y su directiva, como un estilo de dirección,

requiere de información confiable y oportuna que permita la toma de decisiones que garanticen un

rumbo acertado y controlado de las actividades de la empresa, utilizando de forma eficaz sus

ventajas comparativas y posicionamiento del mercado minimizando los riesgos a los que se pueda

exponer la información manejada por la empresa.

Conociendo la situación actual de la empresa, se podrá recomendar, fortalecer o conservar las

actuaciones encaminadas al aseguramiento de la información mediante el uso de las políticas de

seguridad informática y que podrá redundar en un mayor beneficio a la empresa.

1.3.2 A nivel de la carrera Ingeniería de Sistemas. Con la realización del presente trabajo de

grado, a través de sus estudiantes de la carrera de Ingeniería de Sistemas, la Corporación

Universitaria Remington tiene la oportunidad de cumplir con uno de sus principios como es el de

fundamentar el desarrollo del liderazgo y compromiso, con la solución de problemas, además de

servir como instrumento de extensión a la comunidad estudiantil y como parte de investigaciones

futuras.
14

1.3.3 A nivel personal. El desarrollo del diseño de las Políticas de Seguridad de la Información,

le permitirá en lo personal, a quienes lo realicen, como aspirantes a obtener el título de Ingenieros

de Sistemas, colocar en práctica los conocimientos adquiridos, de manera que se aplique integral

y sistemáticamente los conceptos, logrando así una experiencia enriquecedora que facilitará el

desempeño posterior en el campo laboral.

1.4 Objetivos

1.4.1 Objetivo general

Diseñar las políticas de seguridad informática para la empresa Extra Rápido Los Motilones S.A.

1.4.2 Objetivos específicos

Identificar los riesgos o fugas de información que presentan en la Empresa.

Construir un matriz de vulnerabilidades para diseñar las políticas que se requieran.

Analizar los riesgos y priorizarlos para el diseño de las políticas de seguridad de la información.
15

2. Marco referencial

2.1 Marco Teórico

En el tema de Seguridad de Información toda empresa debe estar a la expectativa de los

constantes cambios en los que se dispone de información continua, confiable y en tiempo, esto es

constituye una ventaja fundamental donde tener información es tener poder donde la información

se reconoce como: Importante, Crítica, indispensable para garantizar la continuidad operativa de

la empresa es un activo corporativo que tiene valor en sí mismo que debe ser conocida por las

personas que requieren los datos.

El Sistema de Información debe ser el de preservar la Confidencialidad Asegurándose que la

información es accesible sólo a las personas autorizadas proteger la información contra accesos o

divulgación no autorizados la falta de confidencialidad puede darse por indiscreciones voluntarias

e involuntarias en cualquier tipo de soporte y su no preservación puede tener las siguientes

consecuencias

Al definir una política de seguridad se debe incluir el marco general y los objetivos de seguridad

de la información de la organización; considerar los requerimientos legales o contractuales

relativos a la seguridad de la información; esté alineada con el contexto estratégico de gestión de

riesgos de la organización en el que se establecerá y mantendrá el SGSI; establezca los criterios

con los que se va a evaluar el riesgo; esté aprobada por la dirección.


16

2.2 Marco Histórico

2.2.1 Reseña Histórica. Extra Rápido Los Motilones S.A. inició sus servicios en el municipio

de Pamplona (Norte de Santander) el 17 de octubre de 1956, al ver la necesidad que tenían las

personas de contar con un servicio de transporte organizado para trasladarse de una ciudad a otra

y así poder realizar más fácilmente aquellas actividades que requerían dicho desplazamiento.

Tras esta necesidad, varios de sus habitantes que contaban con vehículos aptos para el transporte

por carretera tipo bus, decidieron asociarse y conformar una empresa que reflejara estabilidad para

la ciudadanía y a la vez que para ellos se convirtiera en una fuente de ingresos, el cual la

denominaron ESTRELLITA DEL NORTE.

Inicialmente se prestaba el servicio de transporte de pasajeros y encomiendas entre los

municipios de Pamplona y Cúcuta, con un parque automotor de aproximadamente 15 carros tipo

Bus.

En el año 1966, debido a la acogida que tuvo la prestación de este servicio, se crea una Sociedad

Anónima conformada por 700 socios, constituida mediante Escritura Pública el día 26 de Julio de

1966, con su domicilio principal en la ciudad de San José de Cúcuta, denominándose EXTRA

RÁPIDO LOS MOTILONES S.A., nombre que actualmente la identifica.


17

En 1968, la empresa combinó su parque automotor incluyendo vehículos tipo RANCHERA y

empezó a cubrir la ruta a Bucaramanga con la aprobación del Instituto Nacional de Transporte.

Allí abrió una sucursal y contaba con 30 carros afiliados.

Posteriormente se logró conseguir las rutas a Barrancabermeja, Aguachica y El Banco

(Magdalena); afilió vehículos tipo AUTOMOVIL y desaparecieron los de tipo Ranchera. Se

abrieron agencias en esas ciudades y se incluyó el servicio de GIROS.

Actualmente Extra Rápido Los Motilones S.A. cuenta con 182 automóviles, 23 microbuses y

80 buses en el radio de Acción Nacional, 105 automóviles en el radio de acción Urbano (en la

ciudad de San José de Cúcuta) y 50 automóviles en el radio de acción Urbano del municipio de

Pamplona (Norte de Santander).

Se ha incluido también el servicio de expresos a cualquier parte del país y se mantienen

estrategias o convenios comerciales con otras transportadoras que prestan el servicio de

encomiendas locales. Extra Rápido Los Motilones S.A. tiene el reconocimiento de toda la región

del oriente colombiano y se destaca por su rapidez y responsabilidad en el servicio.

2.2.2 Misión

Extra Rápido Los Motilones S.A. busca los máximos estándares de servicio al cliente interno y

externo, brindando calidad, seguridad y bienestar, mediante la capacitación del talento humano,

innovación de servicios, tecnología y renovación constante de su parque automotor, coordinando


18

procesos de transporte y distribución de encomiendas, para estar siempre un paso adelante,

cumpliendo así con nuestro objetivo de ser los mejores y de obtener una rentabilidad que garantice

nuestra solidez y permanencia en el mercado.

El cumplimiento de esta Misión propicia, a partir de los valores y principios éticos tradicionales

de la organización, la prosperidad de los clientes, colaboradores, accionistas y de la comunidad en

general.

2.2.3 Visión

Queremos que Extra Rápido Los Motilones S.A. sea un modelo de empresa líder en servicios

de Transporte terrestre de pasajeros, Giros y Encomiendas, brindando un servicio exclusivo con

calidad, seguridad, oportunidad y cubrimiento en los Santanderes y EL RESTO DEL PAIS, con

presencia competitiva a nivel NACIONAL, para lograr así una rentabilidad empresarial y un

reconocimiento como la mejor empresa de transporte terrestre de pasajeros, GIROS Y

ENCOMIENDAS.

2.2.4 Valores

Estos definen aspectos importantes para la organización y deben ser compartidos por todos.

Por lo tanto, constituyen una norma de vida corporativa, el soporte de la cultura organizacional.
19

 La responsabilidad, la ética y honestidad con que los afiliados y conductores prestan el

servicio de transporte.

 El servicio a través de la entidad, actividad que realiza en cumplimiento de su misión,

garantizando la seguridad y comodidad de las personas.

 La participación activa y responsable de todos los funcionarios de la entidad en el momento

de transmitir los mensajes.

 Respeto que se tiene para con sus clientes internos y externos.

 Solidaridad.

2.3 Marco Conceptual

El activo más importante que tiene una empresa es la información y, por lo tanto, deben existir

parámetros claros que permitan su aseguramiento sin dejar de lado la seguridad física aplicada a

los equipos donde se encuentra almacenada.

Dichos lineamientos o técnicas están dadas por la seguridad lógica y aspectos de la seguridad

física que permite la creación de barreras y procedimientos que resguardan la información y

permiten el acceso a ella única y exclusivamente a personal autorizado.


20

La gestión de la seguridad debe ser planteada tanto en la parte lógica como física a través de

los planes de contingencia, políticas de seguridad y aplicación de normativas.

Características de un Sistema Seguro:

 Confidencialidad: Los componentes del sistema serán accesibles sólo por aquellos usuarios

autorizados.

 Integridad: Los componentes del sistema sólo pueden ser creados y modificados por los

usuarios autorizados.

 Disponibilidad: Los usuarios deben tener disponibles todos los componentes del sistema

cuando así lo deseen. De nada sirve la información si se encuentra intacta en el sistema, pero los

usuarios no pueden acceder a ella. La disponibilidad también se entiende como la capacidad de un

sistema para recuperarse rápidamente en caso de ocurrencia de algún problema.

Otras características y conceptos que se relacionan con el proyecto y deben ser tenidos en cuenta

por su composición teórica son los siguientes:

 Control de acceso a los recursos: Se entiende como la regulación de quién utiliza el sistema

o cualquiera de los recursos que ofrece y cómo lo hace.

 Auditoría: Son los mecanismos para poder determinar qué es lo que está ocurriendo en el

sistema, qué es lo que hace cada uno de los usuarios, los tiempos y fechas de dichas acciones.
21

 Metodología de auditoría: Permite de una manera adecuada presentar una guía

 Procedimental para que se efectúen tareas, actividades y tareas tendientes a realizar el

proceso de revisión preliminar, revisión de controles, diagnósticos y comparación de estados

actuales en materia de seguridad, finalizando con informes que presentan los resultados de la

aplicación metodológica.

 Magerit: Es un tipo de metodología que es una guía de referencia para realizar procesos de

análisis de riesgos al igual que provee lineamientos para la gestión de riesgos en sistemas

informáticos y todos los aspectos que giran alrededor de ellos en las organizaciones para lograr

muchas de las metas planteadas al interior de las mismas y buscando cumplir las políticas de buen

gobierno.

El proyecto en mención se basa en esta metodología para poder efectuar el proceso de análisis

de riesgos logrando identificar los activos, las amenazas, determinar tanto los riesgos como los

impactos potenciales y se recomiendan como proceder a elegir las salvaguardas o contra medidas

para minimizar los riesgos.

 Papeles de trabajo: Hacen referencia al material de evidencia que el auditor maneja para

recolectar datos o constancia escrita del trabajo que se está realizando, para este caso aplica la

utilización de formatos.
22

 SGSI: Un Sistema de gestión de la seguridad de la información, es como su nombre lo

expresa un sistema que se encarga de proveer una cantidad de mecanismos y herramientas basados

en la norma ISO 27001 y tiene por objetivo conocer al interior de la institución a los que puede

estar expuesta la información, define como se deben gestionar los riesgos y debe ser un marco de

referencia para la institución el cual debe ser conocido por todo el personal y debe estar sometido

a una revisión y a un proceso de mejora constante.

Los anteriores aspectos deben ser tenidos en cuenta al momento de elaborar las políticas y

procedimientos de una organización para evitar pasar por alto aspectos importantes para que así

los usuarios y los sistemas realicen sus procedimientos de la mejor manera posible, de forma

concreta y clara además se debe tener presente los derechos y límites de usuarios y

administradores. Sin embargo, antes de realizar cualquier acción para lograr garantizar estos

servicios, es necesario asegurarnos de que los usuarios conozcan las políticas para no generar un

ambiente de tensión y/o agresión.

La seguridad informática esta creada para velar y proteger los activos informáticos, en aras de

garantizar la integridad, disponibilidad y confidencialidad de los datos propios de una

organización, independiente de su tamaño, tipo o razón social.

 La información: Este elemento es el más importante dentro de una empresa. La seguridad

informática debe ser administrada según los criterios establecidos por los administradores y

personal capacitado, previendo que usuarios externos y no autorizados puedan acceder a ella sin

autorización. Evitando que corra el riesgo de que la información sea utilizada maliciosamente para
23

obtener ventajas de ella o que sea manipulada, llegando a obtener posteriormente datos erróneos e

incompletos. Se contempla en seguridad informática la accesibilidad y disponibilidad lo que al

permitir asegurar el acceso a la información y poder disponer de ella en el momento oportuno,

incluyendo los backups para que en caso de que se presenten daños o pérdida de datos, producto

de accidentes, atentados o desastres, se pueda subir una copia y evitar catástrofes organizacionales

o suspensión de servicios, que en ocasiones trae como consecuencia altas perdidas económicas.

 La infraestructura computacional: Parte esencial para gestionar, administrar y almacenar la

información indispensable dentro del normal funcionamiento de la Institución. El papel que

desempeña la seguridad informática en este punto es velar que el hardware (parte física) tengan un

óptimo funcionamiento y logre evitar problemas relacionados con robo, incendios, desastres

naturales, bloqueos, fallas en el suministro eléctrico, vandalismo, entre otros que lleguen a afectar

directamente la infraestructura informática.

 Los usuarios: Son las personas que están directamente involucradas con la infraestructura

tecnológica, comunicaciones y administradores de la información. La seguridad informática debe

establecer normas que minimicen los riesgos tanto de información como de su infraestructura,

dentro de dichas normas de debe contemplar, horarios de acceso, restricciones físicas y lógicas,

permisos, denegaciones, perfiles de usuario, planes de emergencia, protocolos y todo esto debe

estar regido por estándares y normas que minimicen los riesgos y el impacto en caso de llegar a

presentar un siniestro.
24

2.4 Marco Legal

Para el caso que estamos estudiando, se basa en los soportes teóricos y prácticos de estándares

normativos, metodologías y buenas practicas que establecen los principios para el uso eficaz,

eficiente y aceptable en las tecnologías de la información, ayudando a los encargados de esa parte,

a equilibrar riesgos y oportunidades con el único objetivo esencial de proteger la información de

la empresa para que no caiga en manos equivocadas o se pierda.

2.4.1 Estándares Normativos. Los estándares normativos más destacados para la

implementación de la seguridad informática están:

 ISO 27001-2005. Estándar Internacional proporciona un modelo para: establecer,

implementar, operar, monitorear, revisar, mantener y mejorar un Sistema de Gestión de Seguridad

de la Información (SGSI) en una compañía.

 ISO 27002. Recopilación de buenas prácticas para un SGSI en la compañía la cual contiene

recomendaciones sobre qué medidas tomar para asegurar los sistemas de información de una

compañía y describe los aspectos a analizar para garantizar la seguridad de la información y

especifica los controles y medidas recomendables a implementar.

 ISO 27005-2008. Establece las directrices para la gestión del riesgo en la seguridad de la

información. para lo cual previamente se debe tener conocimiento de los conceptos, modelos,

procesos y términos descritos en la norma ISO/IEC 27001 e ISO/IEC 27002, que es aplicable a
25

todo tipo de organizaciones que tienen la intención de gestionar los riesgos que puedan

comprometer la seguridad de la información.

2.4.2 Leyes y Decretos Colombianos. Las leyes, resoluciones y circulares creadas en Colombia

en pro de la protección de los medios informáticos, la información y el comercio electrónico, se

destacan los siguientes:

 Ley 527 de 1999 - COMERCIO ELECTRÓNICO Por medio de la cual se define y

reglamenta el acceso y uso de los mensajes de datos, del comercio electrónico y de las firmas

digitales, y se establecen las entidades de certificación y se dictan otras disposiciones”.

 Ley 962 de 2005. Con esta Ley invita a los organismos, que ejercen funciones públicas a

utilizar medios tecnológicos integrados con el apoyo del ministerio de comunicaciones, para

disminuir tiempos y costos en la realización de gestiones administrativas, aplicando los principios

de igualdad, economía, celeridad, imparcialidad, publicidad, moralidad y eficacia en la función

administrativa y deberá garantizar los principios de autenticidad, disponibilidad e integridad.

 Ley 1273 de 2009. Por medio de la cual se modifica el Código Penal, se crea un nuevo bien

jurídico tutelado denominado “de la protección de la información y de los datos” y se preservan

integralmente los sistemas que utilicen las tecnologías de la información y las comunicaciones,

entre otras disposiciones, como penas de prisión de 120 meses y multa de hasta 1500 salarios

mínimos legales mensuales vigentes.


26

 Ley 1341 de 2009. La presente ley, determina el marco general para la formulación de las

políticas públicas que regirán el sector de las Tecnologías de la Información y las Comunicaciones,

su ordenamiento general, el régimen de competencia, la protección al usuario, así como lo

concerniente a la cobertura, la calidad del servicio, la promoción de la inversión en el sector y el

desarrollo de estas tecnologías.

 Ley 1581de 2012. La presente ley tiene por objeto desarrollar el derecho constitucional que

tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido

sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías

constitucionales a que se refiere el artículo 15 de la Constitución Política; así como el derecho a la

información consagrado en el artículo 20 de la misma.


27

3. Diseño metodológico preliminar

3.1 Tipo de Investigación

La empresa Extra Rápido Los Motilones objeto de estudio permite que la investigación sea de

tipo documental, la misma no cuenta con sistemas de control real y eficiente del manejo de la

información.

No han establecido indicadores de gestión en cuanto a la seguridad de la información y

documentos en los que puedan verificar los procesos relacionados, responsables, quienes manejan

su información.

El diseño de las políticas de seguridad de la información es descriptivo ya que desarrolla

cualidades, características específicas, dentro de la empresa objeto de estudio, lo cual hace que la

investigación sea descriptiva, de campo y de caso y de tendencias de desarrollo, porque la

información que se suministra para la elaboración del estudio podrá ser aprovechada y

maximizarse en un futuro para mejorare múltiples aspectos organizacionales dentro de la empresa.

3.2 Población y Muestra

La población está compuesta por el recurso humano existente en la empresa, se determina como

muestra para el presente estudio el 100% de la población, considerando el bajo número de la

misma, garantizando un margen de error mínimo en el desarrollo del estudio.


28

Población: La investigación está dirigida a la empresa Extra Rápido Los Motilones S.A.;

ubicada en Cúcuta con su domicilio principal está en la Avenida 6 N° 1-39 piso 2, en su personal

directivo, administrativo y auxiliar operativo.

Tabla 1.Población y Muestra

Descripción Cargo Hombre Mujer Total


Directivo
Junta directiva 4 0 4
Administrativo
Gerente 0 1 1
Jefe de Personal 1 0 1
Directos Administrativo 1 0 1
Jefe de Rutas 1 0 1
Secretaria de Gerencias 0 1 1
Revisor Fiscal 1 0 1
Contador 0 1 1
Asesor Jurídico 0 1 1
Secretaria Operativa 0 1 1
Auxiliar Contable 1 5 6
Aprendiz Sena 0 1 1
Operativo
Jefe de Oficina Bucaramanga 1 0 1
Jefe de Oficina Barrancabermeja 0 1 1
Jefe de Oficina Pamplona 1 0 1
Oficinistas Bucaramanga 6 4 10
Oficinistas Cúcuta 6 1 7
Oficinistas Pamplona 0 3 3
Oficinistas Los Patios 1 0 1
Servicios Generales 0 2 2
Mensajero 1 0 1
Total 25 22 47
Fuente: Archivos de Talento Humano de la empresa Extra Rápido Los Motilones S.A.

Muestra: Considerando que el tamaño del universo objeto de estudio, es reducido se tomará

como referencia el 100% del mismo.


29

3.3 Técnicas de Recolección de Datos

Para la consecución de la información de las fuentes primarias, los autores de investigación

usarán fundamentalmente la observación directa al área administrativa de la Empresa objeto de

estudio, igualmente se aplicará en el sitio de trabajo los cuestionarios previamente diseñados y las

entrevistas al personal que labora en el respectivo departamento.

La captura de información de las fuentes secundarias (bibliotecas, libros, folletos, etc.) será

realizada directamente por los autores de la investigación.

3.3.1 Fuentes Primarias. Para asegurar la veracidad de la información requerida se emplea como

medio de recolección de datos la entrevista, y el cuestionario, aplicado al área encargada del

manejo de la información.

3.3.2 Fuentes Secundarias. Se observarán, y analizarán los procesos utilizados, los soportes

que se guarden en el proceso de seguimiento y control de la diversa información, para

complementar la investigación a desarrollar se acudirá a estudios similares, literatura disponible,

legislación actual respectiva.

3.4 Técnicas de Análisis de la Información

Se aplicarán las técnicas estadísticamente válidas como son:


30

3.4.1 Análisis Documental. Una vez recibida la información para su estudio, se procede a

organizarla para su posterior codificación en forma descriptiva y lógica, observando sus falencias.
31

4. Participantes en el proceso y recursos disponibles

4.1 Integrantes del proceso

Los siguientes estudiantes de Ingeniería de Sistemas de la Universidad Remington CT Cúcuta

desarrollaran las políticas de seguridad para la empresa Extra Rápido Los Motilones S.A.:

 JOSÉ GREGORIO GÓMEZ MARCIALES

 RICHARD ORLANDO ACOSTA AREVALO

 WALTER DAVID GUTIERREZ FUENTES

 YOLANDA HOSTOS PALACIOS

4.2 Recursos Disponibles

4.2.1 Materiales. La empresa cuenta con bienes tangibles e insumos propiedad de la

organización como computadores e impresoras, huelleros los cuales se encuentran divididos en

área administrativa, área operativa, atención al público en atención a remesas, giros y pasajes,

donde se almacena la información.

4.2.2 Institucionales. La empresa provee para el desarrollo de este proyecto en las Políticas de

Seguridad de la información un espacio físico para la retroalimentación y conocimiento de la

empresa, autorización para dialogar con personal requerido en el tema, la papelería física donde

reposa información como procesos, directrices y demás, etc.


32

4.2.3 Financieros. En cuanto a la parte de los recursos monetarios, de los que se dispone para

ejecutar las decisiones o tareas del proyecto en su financiación; este solo cuenta con los aportes

económicos propios de los autores del mismo.

4.3 Cronograma de Actividades

Tabla 2.Cronograma de actividades


33

5. Interpretación de resultados encuesta a empleados empresa extra rápido LOS

MOTILONES S.A

En el desarrollo de la presente investigación en la aplicación de fuentes de información se aplica

encuesta a los empleados de las diferentes sucursales de la empresa Extra Rápido Los Motilones

S.A., sobre esta los autores del estudio han concluido:

A. ¿Tiene conocimientos generales sobre que es una amenaza informática?

Considerando el concepto de que amenaza informática es toda circunstancia, evento o persona

que tiene el potencial de causar daño a un sistema en forma de robo, destrucción, divulgación,

modificación de datos o negación de servicio, es importante para la empresa Extra Rápido Los

Motilones S.A., la obtención de los resultados en la encuesta aplicada a sus empleados:

Conocimientos sobre Amenaza Informática

40%
60%

Si No

Figura 1.Conocimientos sobre Amenaza Informática


34

Se obtiene como resultado que un 60% de los empleados consideran o tienen conocimiento

sobre que es una amenaza informática y el 40% no lo sabe, lo cual coloca a la empresa en un

riesgo elevado por cuanto, no sabría este personal en forma preventiva como accionar.

B. Si su respuesta anterior es si, favor responder la siguiente pregunta de lo contrario pasar

a siguiente pregunta. ¿Qué amenazas informáticas conoce?

Amenazas Informáticas Conocidas por los empleados de la


empresa

45%
40%
35%
30%
25%
20%
15%
10%
5%
0%
Ingreso de terceros no autorizados Virus
troyanos, gusanos Hackers
Caballos de Troya Acceder a nuestros correos
No responde

Figura 2: Amenazas Informáticas Conocidas por los empleados de la empresa

Del 60% que manifiesta tener conocimiento sobre amenaza informática, identifica como

amenazas el ingreso de terceros no autorizados, troyanos, virus y hackers y quienes no responde

son las personas que no conocen sobre el tema, el 40% restante fue el personal que no responde

esta pregunta por cuanto la pregunta anterior fue negativa.


35

C. ¿Tiene conocimientos sobre cómo prevenir un ataque informático?

Figura 3: Cultura sobre Prevención de un Ataque Informático

Al indagar sobre la cultura que mantienen los empleados sobre prevenir un ataque informático

se establece que un 45% no maneja esta cultura así que algún empleado podría por ejemplo hacer

clic en enlaces que resulten sospechosos, no tener cuidado con lo que se descarga y otras acciones

que afecten la empresa, situación que la empresa deberá tener especial atención ya que es un factor

crítico en la misma. Mientras que un 55% de los empleados es precavido en el tema, lo que da

una tranquilidad sobre el manejo de los ataques informáticos.


36

D. ¿Conoce de quién depende la responsabilidad en la seguridad de la información de la

empresa?

Responsable de la Seguridad de la
Información
4% 4%

92%

Area de Sistemas
Todo el personal de la empresa
cada área

Figura 4 Responsabilidad de la Seguridad de la Información

El manejo de información es un proceso que exige informarse e informar. Es decir, exige

construir, primero, una representación de una determinada realidad con los datos que adquirimos

de ella para poder darla a conocer, disponiendo esa representación al alcance de los demás o

comunicarla. El manejo de la información, es sin duda un factor letal que debe considerar el

usuario a la hora de navegar en la red.


37

El 92% de los participantes cree que el responsable del manejo de la información es el área de

sistemas, el 4% todo el personal de la empresa y un 4% cada una de las áreas de trabajo de la

empresa. Las empresas siempre están en constante búsqueda de la privacidad, y por más que se

intente sigue habiendo problemas e inseguridad.

Se observa que no es clara la responsabilidad para el personal, sobre quien o quienes son los

responsables del manejo de información porque en la pregunta no se menciona seguridad

informática si no seguridad de la información.

E. ¿Usted a que área de trabajo depende dentro de la empresa?

Areas de Trabajo Participantes en la


encuesta
8%

área de control
46% 23%
área de nivel ejecutivo
área contable
Otros

23%

Figura 5: Áreas de Trabajo Participantes en la encuesta.


38

Las áreas de trabajo que conforman el desarrollo de la encuesta son el 8% área de control,

23% área de nivel ejecutivo, 23% área contable y un 46% de otras áreas de la empresa.

F. ¿Usted usa o ha usado medios de almacenamiento externos tales como USB, celulares,

discos externos en su sitio de trabajo con fines laborales o personales?

Uso de Medios de Almacenamiento externo


en equipos de la empresa.

75%
80%
70%
60%
50%
40% 25%
30%
20%
10%
0%

Si No

Figura 6: Uso de medio de almacenamiento externo en equipos de la empresa

El 75% de los empleados usa o ha usado medios de almacenamiento externo como celulares,

USB lo que califica en un riesgo alto la seguridad de la información de la empresa por cuando por

este medio podría afectarse gravemente la información interna de la empresa. El 25% no ha

realizado este uso de medios externos en su trabajo.


39

G. ¿Al solicitar cambios de hardware o software que afecte los recursos informáticos, quien

o que área solicita estos requerimientos?

Ante quien se tramita solicitud de cambios


en recursos Informáticos
38.5%
40.0%
30.0% 23.1%
20.0%
15.4% 15.4%
7.7%
10.0%
0.0%

Figura 7: Ante quien se tramita solicitud de cambios en recursos informáticos

El 7.7% hace esta solicitud a gerencia, el 23% ante subgerente, el 15.4% al área de sistemas, el

38.5% al jefe inmediato, el 15.4% considera que no hay definido la persona específica para este

fin.
40

H. Si usted es requerido para entregar algún tipo de información a un tercero. ¿Solicita

autorización?

92%
100%

80%

60% Si
No
40%
8%
20%

0%
Si No

Figura 8: Solicita autorización para la entrega de información

EL 92% de los empleados solicita autorización para hacer entrega de información de la empresa

a un tercero, pero el 8% no lo solicita.

Este es un punto crítico donde se deben establecer claramente los procedimientos a seguir al

momento de entregar información, aunque sea solo un 8% del personal que no lo solicite porque

es indispensable que el flujo de información se transmita a los interesados, pero debidamente

autorizados.
41

I. ¿En la red se comparten archivos en los diferentes equipos de la empresa?

En la red se comparten archivos en los


diferentes equipos de la empresa

Si
No
100%

Figura 9 En la red se comparten archivos en los diferentes equipos de la empresa

Se tiene que el 100% de los archivos se comparten en la red.

J. ¿Tienen algún tipo de seguridad?

8% 8% 8% Antivirús
7%
Bloqueo de carpetas
Con clave de acceso
69% No tiene seguridad
Algunos documentos

Figura 10: Seguridad aplicada por los empleados en lo equipos


42

El 69% de los equipos no cuenta con medidas de seguridad de ningún tipo, el 8% cuenta con

antivirus, el 8% bloquea carpetas, el 7% restringe con claves de acceso, otros solo seleccionan

algunos documentos para aplicarles seguridad. Es de destacar que todos los equipos de la empresa

cuentan con antivirus, pero el personal entrevistado no lo considero como un tipo de seguridad en

el desarrollo de esta pregunta.

K. ¿Tiene acceso directo a internet su puesto de trabajo?

Tiene acceso a internet en equipo de trabajo

Si

100%
No

Figura 11 Su equipo de trabajo cuenta con acceso a internet

Se evidencia que la exposición es máxima ya que el 100% de los equipos cuentan con internet.

Si la respuesta anterior es afirmativa, responder la siguiente pregunta.


43

L. ¿Normalmente accede en internet por razones laborales?

Si
100% No

Figura 12 Accede a internet por motivos laborales

El 100% de los empleados dice que accede a internet por razones laborales.
44

6. Políticas de seguridad de la información

6.1 Objetivo

Proteger y salvaguardar la información generada en los procesos de la empresa evitando su

posible pérdida mediante exposición a amenazas latentes en el entorno, como acceso,

manipulación o deterioro la información.

6.2 Alcance

Las políticas de seguridad de la información, definidas en el presente documento aplican para

todos los funcionarios y contratista de la empresa, y a toda la información que se requiera en los

procesos, mediante el uso y/o utilización del recurso informático de la empresa Extra Rápido Los

Motilones S.A.

6.3 Términos y definiciones

Acción correctiva: Medida de tipo reactivo orientada a eliminar la causa de una no

conformidad asociada a la implementación y operación del SGSI con el fin de prevenir su

repetición.

Acción preventiva: Medida de tipo pro-activo orientada a prevenir potenciales no

conformidades asociadas a la implementación y operación del SGSI.


45

Aceptación del Riesgo: Decisión de aceptar un riesgo.

Activo: Según [ISO/lEC 13335-12004]: Cualquier cosa que tiene valor para la organización.

También se entiende por cualquier información o sistema relacionado con el tratamiento de la

misma que tenga valor para la organización. Es todo activo que contiene información, la cual posee

un valor y es necesaria para realizar los procesos misionales y operativos de Extra Rápido Los

Motilones S.A. Se pueden clasificar de la siguiente manera:

 Datos: Son todos aquellos elementos básicos de la información (en cualquier formato) que

se generan, recogen, gestionan, transmiten y destruyen en EXTRA RÁPIDO LOS MOTILONES

S.A. Ejemplo: archivo de Word “listado de empleados.docx”

 Aplicaciones: Es todo el software que se utiliza para la gestión de la información. Ejemplo:

Transporte.

 Personal: Son todos los empleados de EXTRA RÁPIDO LOS MOTILONES S.A,

contratistas, los clientes, usuarios y en general, todos aquellos que tengan acceso de una manera u

otra a los activos de información de EXTRA RÁPIDO LOS MOTILONES S.A. Ejemplo: Pepito

Pérez.

 Servicios: Son tanto los servicios internos, aquellos que una parte de la organización

suministra a otra, como los externos, aquellos que la organización suministra a clientes y usuarios.

 Ejemplo: Publicación de hojas de vida, solicitud de vacaciones.


46

 Tecnología: Son todos los equipos utilizados para gestionar la información y las

comunicaciones Ejemplo: equipo de cómputo, teléfonos, impresoras.

 Instalaciones: Son todos los lugares en los que se alojan los sistemas de información.

Ejemplo: Oficina de Pagos.

 Equipamiento auxiliar: Son todos aquellos activos que dan soporte a los sistemas de

información y que no se hallan en ninguno de los tipos anteriormente definidos. Ejemplo: Aire

acondicionado, destructora de papel.

Administración de riesgos: Gestión de riesgos, es un enfoque estructurado para manejar la

incertidumbre relativa a una amenaza, a través de una secuencia de actividades humanas que

incluyen evaluación de riesgo, estrategias de desarrollo para manejarlo y mitigación del riesgo

utilizando recursos gerenciales. Las estrategias incluyen transferir el riesgo a otra parte, evadir el

riesgo, reducir los efectos negativos del riesgo y aceptar algunas o todas las consecuencias de un

riesgo particular.

Administración de incidentes de seguridad: Un sistema de seguimiento de incidentes

(denominado en inglés como issue tracking system, trouble ticket system o incident ticket system)

es un paquete de software que administra y mantiene listas de incidentes, conforme son requeridos

por una institución. Los sistemas de este tipo son comúnmente usados en la central de llamadas de

servicio al cliente de una organización para crear, actualizar y resolver incidentes reportados por

usuarios, o inclusive incidentes reportados por otros funcionarios, contratistas, colaboradores de

la entidad o de terceras partes. Un sistema de seguimiento de incidencias también contiene una

base de conocimiento que contiene información de cada cliente, soluciones a problemas comunes
47

y otros datos relacionados. Un sistema de reportes de incidencias es similar a un Sistema de

seguimiento de errores (bugtracker) y, en algunas ocasiones, una entidad de software puede tener

ambos, y algunos bugtrackers pueden ser usados como un sistema de seguimiento de incidentes, y

viceversa.

Alcance: Ámbito de la organización que queda sometido al SGSI. Debe incluir la identificación

clara de las dependencias, interfaces y límites con el entorno, sobre todo si sólo incluye una parte

de la organización.

Alerta: Una notificación formal de que se ha producido un incidente relacionado con la

seguridad de la información que puede evolucionar hasta convertirse en desastre.

Amenaza: Según [ISO/lEC 13335-1:2004): causa potencial de un incidente no deseado, el cual

puede causar el daño a un sistema o la organización.

Análisis de riesgos: Según [ISO/lEC Guía 73:2002): Uso sistemático de la información para

identificar fuentes y estimar el riesgo.

Auditabilidad: Los activos de información deben tener controles que permitan su revisión.

Permitir la reconstrucción, revisión y análisis de la secuencia de eventos.

Auditor: Persona encargada de verificar, de manera independiente, la calidad e integridad del

trabajo que se ha realizado en un área particular.


48

Auditoría: Proceso planificado y sistemático en el cual un auditor obtiene evidencias objetivas

que le permitan emitir un juicio informado sobre el estado y efectividad del SGSI de una

organización.

Autenticación: Proceso que tiene por objetivo asegurar la identificación de una persona o

sistema.

Autenticidad: Los activos de información solo pueden estar disponibles verificando la

identidad de un sujeto o recurso, Propiedad que garantiza que la identidad de un sujeto o recurso

es la que declara, Se aplica a entidades tales como usuarios, procesos, sistemas de información.

Base de datos de gestión de configuraciones (CMDB, Configuration Management

Database): Es una base de datos que contiene toda la información pertinente acerca de los

componentes del sistema de información utilizado en una organización de servicios de TI y las

relaciones entre esos componentes. Una CMDB ofrece una vista organizada de los datos y una

forma de examinar los datos desde cualquier perspectiva que desee. En este contexto, los

componentes de un sistema de información se conocen como elementos de configuración (CI). Un

CI puede ser cualquier elemento imaginable de TI, incluyendo software, hardware, documentación

y personal, así como cualquier combinación de ellos. Los procesos de gestión de la configuración

tratan de especificar, controlar y realizar seguimiento de elementos de configuración y los cambios

introducidos en ellos de manera integral y sistemática.


49

B57799: Estándar británico de seguridad de la información, publicado por primera vez en 1995.

En 1998, fue publicada la segunda parte. La parte primera es un conjunto de buenas prácticas para

la gestión de la seguridad de la información –no es certificable- y la parte segunda especifica el

sistema de gestión de seguridad de la información -es certificable-o La parte primera es el origen

de ISO 17799 e ISO 27002 Y la parte segunda de ISO 27001. Como tal el estándar, ha sido

derogado ya, por la aparición de estos últimos.

Características de la Información: las principales características son la confidencialidad, la

disponibilidad y la integridad.

Checklist: Lista de apoyo para el auditor con los puntos a auditar, que ayuda a mantener claros

los objetivos de la auditoría, sirve de evidencia del plan de auditoría, asegura su continuidad y

profundidad y reduce los prejuicios del auditor y su carga de trabajo, Este tipo de listas también se

pueden utilizar durante la implantación del SGSI para facilitar su desarrollo.

CobiT - Control Objectives for Information and related Technology: Publicados y

mantenidos por ISACA. Su misión es investigar, desarrollar, publicar y promover un conjunto de

objetivos de control de Tecnología de Información rectores, actualizados, internacionales y

generalmente aceptados para ser empleados por gerentes de empresas y auditores.

Compromiso de la Dirección: Alineamiento firme de la Dirección de la organización con el

establecimiento, implementación, operación, monitorización, revisión, mantenimiento y mejora

del SGSI.
50

Cómputo forense: El cómputo forense, también llamado informática forense, computación

forense, análisis forense digital o exanimación forense digital es la aplicación de técnicas

científicas y analíticas especializadas a infraestructura tecnológica que permiten identificar,

preservar, analizar y presentar datos que sean válidos dentro de un proceso legal.

Confiabilidad: Se puede definir como la capacidad de un producto de realizar su función de la

manera prevista, De otra forma, la confiabilidad se puede definir también como la probabilidad en

que un producto realizará su función prevista sin incidentes por un período de tiempo especificado

y bajo condiciones indicadas.

Confidencialidad: Acceso a la información por parte únicamente de quienes estén autorizados,

Según [ISO/lEC13335-1:2004]:" característica/propiedad por la que la información no está

disponible o revelada a individuos, entidades, o procesos no autorizados.

Control: Las políticas, los procedimientos, las prácticas y las estructuras organizativas

concebidas para mantener los riesgos de seguridad de la información por debajo del nivel de riesgo

asumido, (Nota: Control es también utilizado como sinónimo de salvaguarda).

Control correctivo: Control que corrige un riesgo, error, omisión o acto deliberado antes de

que produzca pérdidas. Supone que la amenaza ya se ha materializado pero que se corrige.

Control detectivo: Control que detecta la aparición de un riesgo, error, omisión o acto

deliberado. Supone que la amenaza ya se ha materializado, pero por sí mismo no la corrige.


51

Control preventivo: Control que evita que se produzca un riesgo, error, omisión o acto

deliberado. Impide que una amenaza llegue siquiera a materializarse.

Declaración de aplicabilidad: Documento que enumera los controles aplicados por el SGSI

de la organización -tras el resultado de los procesos de evaluación y tratamiento de riesgos- además

de la justificación tanto de su selección como de la exclusión de controles incluidos en el anexo A

de la norma.

Denegación de servicios: Acción iniciada por una persona u otra causa que incapacite el

hardware o el software, o ambos y después niegue el servicio.

Desastre: Cualquier evento accidental, natural o malintencionado que interrumpe las

operaciones o servicios habituales de una organización durante el tiempo suficiente como para

verse la misma afectada de manera significativa.

Directiva: Según [ISO/lEC 13335-1: 2004): una descripción que clarifica qué debería ser hecho

y cómo, con el propósito de alcanzar los objetivos establecidos en las políticas.

Disponibilidad: Según [ISO/lEC 13335-1: 2004): característica o propiedad de permanecer

accesible y disponible para su uso cuando lo requiera una entidad autorizada.

Evaluación de riesgos: Según [ISO/lEC Guía 73:2002]: proceso de comparar el riesgo

estimado contra un criterio de riesgo dado con el objeto de determinar la importancia del riesgo.
52

Evento: Según [ISO/lEC TR 18044:2004]: Suceso identificado en un sistema, servicio o estado

de la red que indica una posible brecha en la política de seguridad de la información o fallo de las

salvaguardas, o una situación anterior desconocida que podría ser relevante para la seguridad.

Evidencia objetiva: Información, registro o declaración de hechos, cualitativa o cuantitativa,

verificable y basada en observación, medida o test, sobre aspectos relacionados con la

confidencialidad, integridad o disponibilidad de un proceso o servicio o con la existencia e

implementación de un elemento del sistema de seguridad de la información.

Gestión de claves: Controles referidos a la gestión de claves criptográficas.

Gestión de riesgos: Proceso de identificación, control y minimización o eliminación, a un coste

aceptable, de los riesgos que afecten a la información de la organización. Incluye la valoración de

riesgos y el tratamiento de riesgos. Según [ISO/lEC Guía 73:2002]: actividades coordinadas para

dirigir y controlar una organización con respecto al riesgo.

Gusanos: Es un programa de computador que tiene la capacidad de duplicarse a sí mismo. A

diferencia del virus, no precisa alterar los archivos de programas, sino que reside en la memoria y

se duplica a sí mismo. Siempre dañan la red (aunque sea simplemente consumiendo ancho de

banda).

Impacto: Resultado de un incidente de seguridad de la información.


53

Incidente: Según [ISO/lEC TR 18044:2004]: Evento único o serie de eventos de seguridad de

la información inesperados o no deseados que poseen una probabilidad significativa de

comprometer las operaciones del negocio y amenazar la seguridad de la información.

Información: La información constituye un importante activo, esencial para las actividades de

una organización y, en consecuencia, necesita una protección adecuada. La información puede

existir de muchas maneras. Puede estar impresa o escrita en papel, puede estar almacenada

electrónicamente, ser transmitida por correo o por medios electrónicos, se la puede mostrar en

videos, o exponer oralmente en conversaciones.

Ingeniería Social: En el campo de la seguridad informática, es la práctica de obtener

información confidencial a través de la manipulación de usuarios legítimos ganando su confianza

muchas veces. Es una técnica que pueden utilizar investigadores privados, criminales, delincuentes

computacionales (conocidos como cracker) para obtener información, acceso o privilegios en

sistemas de información que les permiten realizar algún acto que perjudique o exponga a la persona

o entidad a riesgos o abusos.

Integridad: Mantenimiento de la exactitud y completitud de la información y sus métodos de

proceso. Según [ISOIIEC 13335-1: 2004]: propiedad/característica de salvaguardar la exactitud y

completitud de los activos.


54

Inventario de activos: Lista de todos aquellos recursos (físicos, de información, software,

documentos, servicios, personas, reputación de la organización, etc.) dentro del alcance del SGSI,

que tengan valor para la organización y necesiten por tanto ser protegidos de potenciales riesgos.

IPS: Sistema de prevención de intrusos. Es un dispositivo que ejerce el control de acceso en

una red informática para proteger a los sistemas computacionales de ataques y abusos.

ISO: Organización Internacional de Normalización, con sede en Ginebra (Suiza). Es una

agrupación de organizaciones nacionales de normalización cuyo objetivo es establecer,

promocionar y gestionar estándares.

ISO 17799: Código de buenas prácticas en gestión de la seguridad de la información adoptado

por ISO transcribiendo la primera parte de BS7799. A su vez, da lugar a ISO 27002 por cambio

de nomenclatura el 1 de Julio de 2007. No es certificable.

ISO 19011: "Guidelines for quality and/or environmental management systems auditing". Guía

de utilidad para el desarrollo de las funciones de auditor interno para un SGSI.

ISO 27001: Estándar para sistemas de gestión de la seguridad de la información adoptado por

ISO transcribiendo la segunda parte de BS 7799. Es certificable. Primera publicación en 20005.


55

ISO 27002: Código de buenas prácticas en gestión de la seguridad de la información

(transcripción de ISO 17799). No es certificable. Cambio oficial de nomenclatura de ISO

17799:20005 a ISO 27002:20005 el 1 de Julio de 2007.

ISO 9000: Normas de gestión y garantía de calidad definidas por la ISO.

ISO/lEC TR 13335-3: "Information technology. Guidelines for the management of IT Security

.Techniques for the management of IT Security." Guía de utilidad en la aplicación de metodologías

de evaluación del riesgo.

ISO/lEC TR 18044: "Information technology. Security techniques. Information security

incident management". Guía de utilidad para la gestión de incidentes de seguridad de la

información.

ITIL IT Infrastructure Library: Un marco de gestión de los servicios de tecnologías de la

información.

Keyloggers: Aplicaciones que registran el teclado efectuado por un usuario.

Legalidad: El principio de legalidad o Primacía de la ley es un principio fundamental del

Derecho público conforme al cual todo ejercicio del poder público debería estar sometido a la

voluntad de la ley de su jurisdicción y no a la voluntad de las personas (ej. el Estado sometido a la

constitución o al Imperio de la ley). Por esta razón se dice que el principio de legalidad establece
56

la seguridad jurídica, Seguridad de Información, Seguridad informática y garantía de la

información.

No conformidad: Situación aislada que, basada en evidencias objetivas, demuestra el

incumplimiento de algún aspecto de un requerimiento de control que permita dudar de la

adecuación de las medidas para preservar la confidencialidad, integridad o disponibilidad de

información sensible, o representa un riesgo menor.

No conformidad grave: Ausencia o fallo de uno o varios requerimientos de la ISO 27001 que,

basada en evidencias objetivas, permita dudar seriamente de la adecuación de las medidas para

preservar la confidencialidad, integridad o disponibilidad de información sensible, o representa un

riesgo inaceptable.

No repudio: Los activos de información deben tener la capacidad para probar que una acción

o un evento han tenido lugar, de modo que tal evento o acción no pueda ser negado posteriormente.

Phishing: Tipo de delito encuadrado dentro del ámbito de las estafas, que se comete mediante

el uso de un tipo de ingeniería social caracterizado por intentar adquirir información confidencial

de forma fraudulenta (como puede ser una contraseña o información detallada sobre tarjetas de

crédito u otra información bancaria).


57

Plan de continuidad del negocio (Bussines Continuity Plan): Plan orientado a permitir la

continuación de las principales funciones de la Entidad en el caso de un evento imprevisto que las

ponga en peligro.

Plan de tratamiento de riesgos (Risk treatment plan): Documento de gestión que define las

acciones para reducir, prevenir, transferir o asumir los riesgos de seguridad de la información

inaceptables e implantar los controles necesarios para proteger la misma.

Política de seguridad: Documento que establece el compromiso de la Dirección y el enfoque

de la organización en la gestión de la seguridad de la información. Según [ISO/lEC 27002:20005):

intención y dirección general expresada formalmente por la Dirección.

Política dé escritorio despejado: La política de la empresa que indica a los funcionarios,

contratista y demás colaboradores de EXTRA RÁPIDO LOS MOTILONES S.A, que deben dejar

su escritorio libre de cualquier tipo de informaciones susceptibles de mal uso al finalizar el día.

Protección a la duplicidad: La protección de copia, también conocida como prevención de

copia, es una medida técnica diseñada para prevenir la duplicación de información. La protección

de copia es a menudo tema de discusión y se piensa que en ocasiones puede violar los derechos de

copia de los usuarios, por ejemplo, el derecho a hacer copias de seguridad de una videocinta que

el usuario ha comprado de manera legal, el instalar un software de computadora en varias

computadoras, o el subir la música a reproductores de audio digital para facilitar el acceso y

escucharla.
58

Riesgo: Posibilidad de que una amenaza concreta pueda explotar una vulnerabilidad para causar

una pérdida o daño en un activo de información. Según [ISO Guía 73:2002]: combinación de la

probabilidad de un evento y sus consecuencias.

Riesgo Residual: Según [ISOIIEC Guía 73:2002] El riesgo que permanece tras el tratamiento

del riesgo.

Salvaguarda: Véase: Control.

Segregación de tareas: Separar tareas sensibles entre distintos funcionarios o contratistas para

reducir el riesgo de un mal uso de los sistemas e informaciones deliberado o por negligencia.

Seguridad de la información: Según [ISO/lEC 27002:20005]: Preservación de la

confidencialidad, integridad y disponibilidad de la información; además, otras propiedades como

autenticidad, responsabilidad, no repudio, trazabilidad y fiabilidad pueden ser también

consideradas.

Selección de controles: Proceso de elección de los controles que aseguren la reducción de los

riesgos a un nivel aceptable.

SGSI Sistema de Gestión de la Seguridad de la Información: Según [ISO/lEC 27001:

20005]: la parte de un sistema global de gestión que, basado en el análisis de riesgos, establece,

implementa, opera, monitoriza, revisa, mantiene y mejora la seguridad de la información. (Nota:


59

el sistema de gestión incluye una estructura de organización, políticas, planificación de

actividades, responsabilidades, procedimientos, procesos y recursos.)

Servicios de tratamiento de información: Según [ISO/lEC 27002:20005]: cualquier sistema,

servicio o infraestructura de tratamiento de información o ubicaciones físicas utilizados para su

alojamiento.

Spamming: Se llama spam, correo basura o sms basura a los mensajes no solicitados,

habitualmente de tipo publicitario, enviados en grandes cantidades (incluso masivas) que

perjudican de alguna o varias maneras al receptor. La acción de enviar dichos mensajes se

denomina spamming. La vía más usada es el correo electrónico.

Sniffers: Programa de captura de las tramas de red. Generalmente se usa para gestionar la red

con una finalidad docente o de control, aunque también puede ser utilizado con fines maliciosos.

Spoofing: Falsificación de la identidad origen en una sesión: la identidad es por una dirección

IP o Mac Address.

Tratamiento de riesgos: Según [ISO/IEC Guía 73:2002]: Proceso de selección e

implementación de medidas para modificar el riesgo.

Trazabilidad: Propiedad que garantiza que las acciones de una entidad se puede rastrear

únicamente hasta dicha entidad.


60

Troyano: Aplicación que aparenta tener un uso legítimo pero que tiene funciones ocultas

diseñadas para sobrepasar los sistemas de seguridad.

Usuario: en el presente documento se emplea para referirse a directivos, funcionarios,

contratistas, terceros y otros colaboradores de EXTRA RÁPIDO LOS MOTILONES S.A,

debidamente autorizados para usar equipos, sistemas o aplicativos informáticos disponibles en

la red de la empresa y a quienes se les otorga un nombre de usuario y una clave de acceso.

Valoración de riesgos: Según [ISO/lEC Guía 73:2002]: Proceso completo de análisis y

evaluación de riesgos.

Virus: tiene por objeto alterar el normal funcionamiento de la computadora, sin el permiso o

conocimiento del usuario.

Vulnerabilidad: Debilidad en la seguridad de la información de una organización que

potencialmente permite que una amenaza afecte a un activo. Según [ISOIlEC 13335-1:2004]:

debilidad de un activo o conjunto de activos que puede ser explotado por una amenaza.

6.4 Descripción de las políticas

6.4.1 Política Global de Seguridad de la Información. La información es un activo

fundamental para la prestación de los servicios y la toma de decisiones eficientes en la empresa

EXTRA RÁPIDO LOS MOTILONES S.A., razón por la cual existe un compromiso expreso de
61

protección de sus propiedades más significativas como parte de una estrategia orientada a la

continuidad del negocio, la administración de riesgos y la consolidación de una cultura de

seguridad.

Se diseña políticas de seguridad de la información como la herramienta que permite identificar

y minimizar los riesgos a los cuales se expone la información de la empresa, ayuda a la reducción

de costos operativos y financieros, establece una cultura de seguridad y garantiza cumplir los

requerimientos legales, contractuales, regulatorios y de negocio vigente.

La aplicación de esta política se extiende para los empleados, contratistas, proveedores y todos

aquellos que tengan responsabilidades sobre las fuentes, repositorios y recursos de procesamiento

de la información de EXTRA RÁPIDO LOS MOTILONES S.A., todos deben adoptar los

lineamientos contenidos en el presente documento y en los documentos relacionados con él,

garantizando la confidencialidad, la integridad y asegurar la disponibilidad de la información.

La Política Global de Seguridad de la Información de EXTRA RÁPIDO LOS MOTILONES

S.A., se encuentra soportada por políticas, normas y procedimientos específicos los cuales guiarán

el manejo adecuado de la información. Adicionalmente, se establecerán políticas específicas de

seguridad de la información las cuales se fundamentan en los dominios y objetivos de control del

Anexo A de la norma internacional ISO 27001:2013.


62

El Comité de Seguridad tendrá la potestad de modificar la Política Global o las Políticas

específicas de Seguridad de la Información de acuerdo con las necesidades de revisión establecidas

periódicamente o a la aplicabilidad de las mismas.

6.4.2 Política No.1: acceso a la información

Acceso a redes y recursos de red

El Área de Sistemas o quien haga sus veces bajo la autorización de Extra Rápido Los Motilones

S.A, como responsable de las redes de datos y los recursos de red de la empresa, debe propender

porque dichas redes sean debidamente protegidas contra accesos no autorizados a través de

mecanismos de control de acceso lógico.

 El responsable de TIC proporcionará los documentos necesarios (formatos, guías, etc.) para

el uso de los sistemas.

 Todo el personal o usuario informático nuevo de la Empresa deberá ser notificado a la oficina

de las TICS para asignarle los derechos correspondientes, equipo, creación de usuario para la red

y anulación o ser declarado inactivo en caso de retiro.

 Todos los empleados y contratistas que laboran para la empresa deben tener acceso sólo a la

información necesaria para el desarrollo de sus actividades. En el caso de personas ajenas a la


63

empresa, la Gerencia o a quien se delegue, debe autorizar sólo el acceso indispensable de acuerdo

con el trabajo realizado por estas personas, previa justificación.

 Para que un empleado o contratista tenga acceso a los servicios y recursos informáticos

dispuestos por la Empresa, se requiere que el jefe inmediato, coordinador que solicite a la Área

de Sistemas mediante un oficio escrito, la activación de dichos servicios con el perfil requerido

y las restricciones de algunos servicios.

 De acuerdo a la norma ISO/IEC 27001:2005 A.10.1.3: Todos y cada uno de los contratistas

y/o funcionarios, a estos el personal de TICS, les entregará su rol en el sistema, definiendo sus

privilegios. Por lo anterior, no es permitido que de un trabajador a otro se intercambien roles y/o

cuentas para accesos al sistema. El responsable de la Oficina de TICS, tendrá un listado actualizado

para velar por el cumplimiento.

 Cada vez que se recibe una computadora de escritorio o portátil para darle acceso a los

servicios tecnológicos que brinda la empresa a los usuarios, es necesario, requerido y obligatorio,

por parte de la Oficina de Mantenimiento de equipos de cómputo, entregar el equipo con todos los

servicios instalados, configurados y en operación. Esto es, como mínimo instalación, y

configuración de un antivirus, actualización al último programa y versión de la base de datos de

vacunas del antivirus, instalación y configuración del servicio de red inalámbrica, verificación

e instalación de herramienta para comprimir, verificación e instalación de herramienta para

gestionar archivos PDF, verificación e instalación del software como herramientas de trabajo.
64

 El otorgamiento de acceso a la información está regulado mediante las normas y

procedimientos definidos para tal fin.

 Todos los privilegios para el uso de los sistemas de información de la empresa deben

terminar inmediatamente después de que el trabajador, proveedor y/o contratista cesa de prestar

sus servicios a la misma.

 Para dar acceso a la información se tendrá en cuenta la clasificación de la misma al interior

de la empresa, la cual deberá realizarse de acuerdo con la importancia de la información en la

operación normal de la Empresa.

 Se debe hacer un seguimiento a los accesos realizados por los usuarios a la información de

la Empresa, con el objeto de minimizar el riesgo de pérdida de integridad de la información.

Cuando se presenten eventos que pongan en riesgo la integridad, veracidad y consistencia de la

información se deberán documentar y realizar las acciones tendientes a su solución.

 Los usuarios informáticos de Extra Rápido Los Motilones S.A., deben tratar los mensajes

y los archivos adjuntos como información de propiedad de la Empresa.

 No se deben utilizar cuentas de correo electrónico asignadas a otros usuarios, ni recibir

mensajes en cuentas de otros, si fuera necesario leer el correo de alguien más (mientras se

encuentra por fuera o de vacaciones) el usuario ausente debe re direccionar el correo a otra cuenta
65

de correo interno, quedando prohibido hacerlo a una dirección de correo electrónico externo a la

Empresa, a menos que cuente con una autorización de la oficina de TICS.

 El correo electrónico institucional es un servicio gratuito y la Empresa no se responsabiliza

por el mal uso que se dé.

 La configuración de enrutadores, switchs, firewalls, sistemas de detección y prevención de

intrusos y otros dispositivos de seguridad de red; debe ser documentada, respaldada por copia de

seguridad y mantenida por la administración de la red de datos o área encargada del proceso.

6.4.3 Política No.2: administración de hardware y software. Todo cambio en el hardware o

software que afecte los recursos informáticos, debe ser requerido por los usuarios responsables de

la información y del proceso y aprobado por los funcionarios del área de sistemas, con el visto

bueno y supervisión del jefe inmediato o a quienes estos formalmente deleguen.

Los Responsables de la administración de los accesos, en el área de Sistemas, tendrán la

facultad de aceptar o rechazar la solicitud. Bajo ninguna circunstancia un cambio de hardware o

software puede ser aprobado, realizado e implantado por la misma persona o área.

Para la administración de cambios en hardware y software se efectuará el procedimiento

correspondiente definido por la Empresa, de acuerdo con el tipo de cambio solicitado en los

recursos tecnológicos.
66

Cualquier tipo de cambio en el recurso tecnológico debe quedar formalmente documentado

desde su solicitud hasta su implantación. Este mecanismo proveerá herramientas para efectuar

seguimiento y garantizar el cumplimiento de los procedimientos definidos en la Empresa.

Todo cambio a un recurso informático relacionado con modificación de accesos, mantenimiento

de software o modificación de parámetros debe realizarse de tal forma que no ponga en riesgo la

seguridad existente.

6.4.4 Política No.3: seguridad de la información. Los empleados y/o contratistas de Extra

Rápido Los Motilones S.A., responsables de la información que manejan deberán cumplir los

lineamientos generales y especiales dados por la Empresa, por la Ley para protegerla, evitar

pérdidas, accesos no autorizados, exposición y utilización indebida de la misma.

Los empleados y/o contratistas no deben suministrar cualquier información de la Empresa

a ningún ente externo sin las autorizaciones respectivas.

Toda persona que utilice los equipos de cómputo y los servicios informáticos disponibles de la

Empresa, tiene la responsabilidad de velar por la integridad, confidencialidad, disponibilidad y

confiabilidad de la información que maneje, especialmente si dicha información está protegida

por reserva legal o ha sido clasificada como confidencial y/o crítica.

Después de que el empleado y/o contratista deja de prestar sus servicios a Extra Rápido Los

Motilones S.A., éste se compromete a entregar toda la información respectiva de su trabajo


67

realizado al Coordinador o jefe inmediato según sea el caso, y avala el recibido de la información

el paz y salvo del funcionario retirado. Una vez retirado el empleado y/o contratistas deben

comprometerse a no utilizar, comercializar o divulgar los productos o la información generada o

conocida durante la gestión en la entidad, directamente o través de terceros, así mismo, los

funcionarios que detecten el mal uso de la información, está en la obligación de reportar el hecho

al grupo de control interno disciplinario o coordinador, se sugiere uso de formato de

confidencialidad.

Como regla general, la información de políticas, normas y procedimientos de seguridad se

deben revelar únicamente a empleados y entes externos que lo requieran, de acuerdo con su

competencia y actividades a desarrollar según el caso respectivamente.

6.4.5 Política No.4: seguridad de los servicios informáticos. La propiedad intelectual

desarrollada o concebida mientras el empleado y/o contratista se encuentre en sitios de trabajo, es

propiedad exclusiva de la Empresa Extra Rápido Los Motilones S.A. Esta política incluye

patentes, derechos de reproducción, marca registrada y otros derechos de propiedad intelectual

según lo manifestado en memorandos, planes, estrategias, productos, investigaciones pagadas por

la Empresa, y de otros propósitos, programas de computación, códigos fuentes, documentación y

otros materiales.

Los empleados y/o contratistas que hayan recibido aprobación para tener acceso a Internet a

través de las estaciones de trabajo institucionales o computadoras portátiles personales, deberán


68

aceptar, respetar y aplicar las políticas y prácticas de uso de Internet implantadas por el área de

Sistemas y/o Gerencia.

El sistema de correo electrónico y servicios informáticos prestados por Extra Rápido Los

Motilones S.A., deben ser usados únicamente para el ejercicio de las funciones de competencia de

cada empleado y de las actividades contratadas en el caso de los contratistas.

La entidad se reserva el derecho de acceder y develar todos los mensajes enviados por medio

del sistema de correo electrónico para cualquier propósito. Para este efecto, el empleado y/o

contratista autorizará a la entidad para realizar las revisiones y/o auditorias respectivas

directamente o a través de terceros.

Extra Rápido Los Motilones S.A. prohíbe el servicio de Internet en la red de comunicaciones a

través de otras empresas Prestadoras de Servicio de Internet haciendo uso de dispositivos

inalámbricos diferentes al servicio disponible propio. Con el fin de minimizar el riesgo a la

integridad de la información y la seguridad de los sistemas de información institucionales.

En cualquier momento que un empleado y/o contratista publique un mensaje en un grupo de

discusión de Internet, en un boletín electrónico, o cualquier otro sistema de información público,

este mensaje debe ir acompañado de palabras que indiquen claramente que su contenido no

representa la posición de la entidad. Si los usuarios sospechan que hay infección por un virus,

deben inmediatamente comunicarse con área de Sistemas o la oficina de mantenimiento de

equipos de cómputo, no utilizar la computadora y desconectarla de la red.


69

6.4.6 Política No.5: seguridad de los sistemas de información. En la Empresa Extra Rápido

Los Motilones S.A, todos los Servicios Tecnológicos deben cumplir como mínimo con lo

siguiente:

Administración de usuarios: Constituye la forma como deben ser utilizadas las claves de

ingreso a los sistemas de información. Se dan los parámetros sobre la longitud mínima de las

contraseñas, la frecuencia con la que los usuarios deben cambiar su contraseña y los períodos de

vigencia de las mismas, entre otras.

Rol de Usuario: Los sistemas operacionales deben tener roles predefinidos o un módulo que

permita definir roles, definiendo las acciones permitidas por cada uno de estos, ya sea en bases de

datos y aplicativos. Deberán permitir la asignación a cada usuario de posibles y diferentes roles.

También deben permitir que un rol de usuario maneje el de la Administración de usuarios.

Logs de Operaciones: Debe mostrar pistas o registros de los sucesos relativos a la operación.

Las Puertas Traseras: Las puertas traseras son entradas no convencionales a los sistemas

operacionales, bases de datos y aplicativos. Es de suma importancia aceptar la existencia de las

mismas en la mayoría de los sistemas operacionales, bases de datos, aplicativos y efectuar las

tareas necesarias para contrarrestar la vulnerabilidad que ellas generan.

El control de acceso a todos los sistemas de computación de la empresa debe realizarse por

medio de códigos de identificación y palabras claves o contraseñas únicas para cada usuario, bien
70

sea controlado y administrado por un Directorio Activo o una herramienta similar que cumpla con

esta tarea. Las palabras claves o contraseñas de acceso a los sistemas de información, que

designen los funcionarios y/o contratistas son responsabilidad exclusiva de cada uno de ellos y no

deben ser divulgados a ninguna persona.

Los usuarios son responsables de todas las actividades llevadas a cabo con su cuenta

de identificación de usuario y sus claves personales.

Se prohíbe tener identificaciones de usuario genéricas basadas en sus funciones de trabajo. Las

identificaciones de usuario deben únicamente identificar individuos específicos.

6.4.7 Política No.6: seguridad en las redes de comunicación. Las direcciones internas,

topologías, configuraciones e información relacionada con el diseño de los sistemas de

comunicación, seguridad y cómputo de la Empresa, deberán ser considerados y tratados como

información confidencial.

Uso de Correo Electrónico

La Empresa, entendiendo la importancia del correo electrónico como herramienta para facilitar

la comunicación entre empleados y terceras partes, proporcionará un servicio idóneo y seguro para

la ejecución de las actividades que requieran el uso del correo electrónico, respetando siempre los

principios de confidencialidad, integridad, disponibilidad y autenticidad de quienes realizan las

comunicaciones a través de este medio.


71

La cuenta de correo electrónico asignada es de carácter individual; por consiguiente, ningún

empleado de la empresa o provisto por un tercero, bajo ninguna circunstancia debe utilizar una

cuenta de correo que no sea la suya.

Los mensajes y la información contenida en los correos electrónicos deben ser relacionados con

el desarrollo de las labores y funciones de cada usuario en apoyo al objetivo misional de la

Empresa. El correo institucional no debe ser utilizado para actividades personales.

Los mensajes y la información contenida en los buzones de correo son propiedad de Extra

Rápido Los Motilones S.A., y cada usuario, como responsable de su buzón, debe mantener

solamente los mensajes relacionados con el desarrollo de sus funciones.

El uso de servicios de mensajería instantánea y el acceso a redes sociales estarán autorizados

solo para un grupo reducido de usuarios, teniendo en cuenta sus funciones y para facilitar canales

de comunicación con la ciudadanía.

Los usuarios de correo electrónico institucional tienen prohibido él envió de cadenas de

mensajes de cualquier tipo, ya sea comercial, político, religioso, material audiovisual, contenido

discriminatorio, pornografía y demás condiciones que degraden la condición humana y resulten

ofensivas para los funcionarios de la empresa y el personal provisto por terceras partes.
72

6.4.8 Política No.7: seguridad para usuarios terceros. Los proveedores, personal externo o

personal que tenga algún tipo de relación con la empresa son considerados como usuarios terceros.

El acceso a terceros será limitado en cuanto a privilegios y tiempo de acceso a los sistemas de

información de la entidad.

Para suministrar permiso de acceso a usuarios externos o terceros, éste deberá presentar ante el

área de Sistemas el documento firmado de aceptación de confidencialidad, previamente

suministrado por la empresa.

Los usuarios considerados terceros deben acatar cada una de las disposiciones de las políticas

y normas de seguridad dispuestas internamente en la Empresa además de las exigidas

puntualmente dentro del contrato.

La conexión entre sistemas internos de la Empresa y otros de terceros debe ser aprobada y

certificada por el área de Sistemas con el fin de no comprometer la seguridad de la información

interna de la entidad.

Los equipos de usuarios terceros que deban estar conectados a la Red, deben cumplir con todas

las normas de seguridad informática vigentes en la empresa.

Como requisito para interconectar la red de la empresa con las de terceros, los sistemas de

comunicación de terceros deben cumplir con los requisitos establecidos por la Empresa. La entidad
73

se reserva el derecho de monitorear estos sistemas de terceros sin previo aviso para evaluar la

seguridad de los mismos. La entidad se reserva el derecho de cancelar y terminar la conexión a

sistemas de terceros que no cumplan con los requerimientos internos establecidos por Extra Rápido

Los Motilones S.A.

6.4.9 Política No.8: software utilizado. Extra Rápido Los Motilones S.A., a través del área de

sistemas, designará responsables y establecerá procedimientos para controlar la instalación de

software operativo, se cerciorará de contar con el soporte de los proveedores de dicho software y

asegurará la funcionalidad de los sistemas de información que operan sobre la plataforma

tecnológica cuando el software operativo es actualizado.

Todo software que utilice Extra Rápido Los Motilones S.A., será adquirido de acuerdo con las

normas vigentes y siguiendo los procedimientos específicos de la Empresa y/o reglamentos

internos.

Todo el software de manejo de datos que utilice la Empresa dentro de sus sistemas de

información, deberá contar con las técnicas más avanzadas de la industria para garantizar la

integridad de los datos.

El área de sistemas debe asegurarse que el software operativo instalado en la plataforma

tecnológica de la Empresa cuenta con soporte de los proveedores.


74

Debe existir una cultura tecnológica al interior de la Empresa que garantice el conocimiento

por parte de los empleados y contratistas de las implicaciones que tiene el instalar software ilegal

en las computadoras de la empresa.

El Área de Sistemas debe conceder accesos temporales y controlados a los proveedores para

realizar las actualizaciones sobre el software operativo, así como monitorear dichas

actualizaciones.

Los usuarios o funcionarios que requieran instalación de software deben justificar su uso,

indicando el equipo donde se instalará y el período de tiempo que será usado.

Existirá un inventario de las licencias de software de la Empresa que permita su adecuada

administración y control evitando posibles sanciones por instalación de software no licenciado.

Se considera una falta grave que los usuarios, instalen cualquier tipo de programa en sus

computadores, servidores, estación de trabajo u otros equipos conectados a la red de la empresa

que no esté autorizado por área de Sistemas. También se considera una falta grave el

almacenamiento de información personal, archivos de imágenes, audios (música y demás

relacionados) y documentos de texto en los equipos de Extra Rápido Los Motilones S.A.,

El Área de Sistemas debe validar los riesgos que genera la migración hacia nuevas versiones

del software operativo. Se debe asegurar el correcto funcionamiento de sistemas de información y


75

herramientas de software que se ejecutan sobre la plataforma tecnológica cuando el software

operativo es actualizado.

6.4.10 Política No.9: actualización de hardware. Cualquier cambio que se requiera realizar

en los equipos de cómputo de Extra Rápido Los Motilones S.A., (cambios de procesador, adición

de memoria, tarjetas, etc.) y la reparación técnica de los equipos, que implique la apertura de los

mismos, únicamente debe realizarlo exclusivamente un funcionario del área de Sistemas.

Los equipos Tecnológicos instalados (PC, servidores, LAN, Router, Antenas, etc.) no deben

moverse o reubicarse sin la inspección previa del área de Sistemas.

Las operaciones de mantenimiento y actualización se hacen de acuerdo a una programación

definida trimestralmente.

6.4.11 Política No.10: copias de respaldo (backup). La información que se tiene en la

infraestructura de tecnología informática de la Empresa deberá ser almacenada y respaldada de

acuerdo con las normas emitidas de tal forma que se garantice su disponibilidad.

Debe existir una definición formal de la estrategia de generación, retención y rotación de las

copias de respaldo o backups.

El almacenamiento de la información deberá realizarse interna y/o externamente a la Empresa,

esto de acuerdo con la importancia de la información para la operación de la empresa.


76

Los backups de información deberán ser contemplados para suplir cualquier tipo de incidente,

este procedimiento debe ser documentado y utilizado solo por personal autorizado.

La información será clasificada según el criterio del área de archivo y de acuerdo a esta

priorización se harán las atenciones a usuarios, personal administrativo y operativo de la Empresa.

6.4.12 Política No.11: auditoria. Todos los procesos y procedimientos generados en el área de

sistemas, estarán disponibles para revisión, evaluación y seguimiento en forma periódica y serán

susceptibles a modificación, adición o borrado en caso de tener hallazgos críticos, con el fin de

contribuir al mejoramiento continuo del proceso de calidad de Extra Rápido Los Motilones S.A.

6.4.13 Política No.12: seguridad física. Extra Rápido Los Motilones S.A., deberá contar con

los mecanismos de seguridad tales como sistemas de control y sistema de alarmas en las

dependencias que la empresa considere críticas.

En cuanto a los equipos de cómputo, de comunicaciones, medio de almacenamiento y

herramientas que no sean propiedad de la empresa deberá reportar y registrar al momento de la

entrada, en el área de recepción,

Las personas que son visitantes temporales de la empresa deben ser acompañados durante el

tiempo que estén dentro de la misma, este acompañamiento debe hacerlo un empleado autorizado,

asesor o contratista, esto donde se conserva información o en un área y hasta que este mismo

visitante sale del área controlada.


77

Los particulares en general, entre ellos, los familiares de los empleados, no están autorizados

para utilizar los servicios y recursos informáticos de la Empresa, salvo previa autorización del área

ejecutiva.

El área de Sistemas, el Centro de Comunicaciones y las áreas que la empresa considere críticas,

deben ser lugares de acceso restringido y cualquier persona que ingrese a ellos deberá registrar el

motivo del acceso y estar acompañada permanentemente por el personal que labora cotidianamente

en estos lugares.

Toda persona que se encuentre dentro de la entidad deberá portar su identificación en lugar

visible.

Los equipos de cómputo no deben moverse o reubicarse sin la aprobación previa del personal

encargado de la coordinación de los mismos.

Los empleados se comprometen a NO utilizar a la red regulada de energía (tomas naranjas

de canaleta) para conectar equipos eléctricos diferentes a su equipo de cómputo (CPU, monitor

o Equipo Portátil), como impresoras, plotters, cargadores de celulares, grabadoras,

electrodomésticos, fotocopiadoras, parlantes, secadores de cabello, aires acondicionados,

ventiladores, taladros, cámaras fotográficas, de video y en general cualquier equipo que genere

caídas de energía.
78

6.4.14 Política No.13: administración de seguridad. Si un empleado detecta una brecha de

seguridad o sospecha en la mala utilización en la Internet, la red corporativa o Intranet, los servicios

y recursos informáticos de cualquier nivel (local o institucional) deberá ser comunicada por él, en

forma inmediata y confidencial al área de Sistemas.

Los empleados y/o contratistas encargados de la administración de los servicios informáticos

son responsables por la implementación, permanencia y administración de los controles sobre

los Recursos Computacionales. La implementación debe ser consistente con las prácticas

establecidas por la división de sistemas.

La gerencia será el encargado de coordinar la divulgación, las políticas, estándares y

procedimientos en materia de seguridad informática. Efectuará el seguimiento al cumplimiento

de las políticas de seguridad y reportará a la Gerencia de la Empresa, los casos de incumplimiento

con copia a las oficinas de control interno.


79

Conclusiones

Para EXTRA RAPIDO LOS MOTILONES S.A., es evidente la necesidad de analizar las

políticas de seguridad de la información para cubrir virtualmente todo lo que sucede en dicho

campo.

La Empresa comprende la importancia de su aplicabilidad; porque en su entorno existen

proyectos que dependen de manera crítica de un sistema con reglas claramente articuladas. Sin

este tipo de políticas de seguridad de la información, no se pueden garantizar que los sistemas

informáticos sean operados de manera segura.

Se podría definir como seguridad de la información a un estado específico de la misma sin

importar su formato, que nos indica un nivel o un determinado grado de seguridad de información,

por ejemplo, que está libre de peligro, daño o riesgo, o por el contrario que es vulnerable y puede

ser objeto de materialización de una amenaza.

La vulnerabilidad, el riesgo o el daño de la misma es todo aquello que pueda afectar su

funcionamiento directo y la esencia en sí de la información, o en su defecto los resultados que se

obtienen de la consulta, administración o procesamiento de ella. En muchísimos casos la mejor

herramienta de seguridad somos nosotros mismos y nuestro sentido común, ya que se ha podido

comprobar que los descuidos o imprudencias son la principal fuente de las brechas de seguridad,

tanto del punto de vista del usuario personal como de las empresas.
80

También es evidente que se debe pensar en la forma de castigar dichos abusos en contra de la

seguridad de la información, algo mucho más importante es cómo lograr comprobar dicho abuso

y este sigue siendo el principal inconveniente.

Es necesario que el personal reciba capacitación sobre el tema, para que éste pueda tomar un

papel activo dentro de la empresa de manera que aplique este conocimiento en las diversas

actividades que realiza dentro y fuera de la empresa con el propósito de proteger de una forma

adecuada la información que se le confía, así como la propia.


81

Bibliografía

COLOMBIA. ICONTEC. Compendio: Sistema de gestión de la seguridad de la información

(SGSI) Norma Técnica Colombiana, 2009.

NORMAS ISO, Iso 27001:2013.

Ministerio de la Tecnología a Información Mintic. Guía para la elaboración de políticas de

seguridad de la información.
82

Webgrafia

htpp://www.gogle.com.co/search?q=imágenes+de+seguridad+de+la+informacion spv=2tb

iw=1366tbih=623Ettbm=ischEtbo=u

http://yudithdelcastillo.blogspot.com.co/2010/05/webgrafia.html

https://sites.google.com/site/enriqueqginformatica/home/webgrafia-2

https://informaticalegal.wordpress.com/2009/12/13/los-5-pasos-para-protegerse-del-software-

espia/
83

ANEXOS
84

Anexo 1. Formato Nro.1 Controles de seguridad Cuentas de usuario

Controles de seguridad Cuentas de usuario

Introducción

Cualquier persona que haga uso de los sistemas de información de la empresa debe contar con
usuario. El usuario al identificarse obtiene acceso al sistema, administración de recursos, niveles
de autorización etc., dicha identificación se realiza por medio de una cuenta o usuario,
generalmente asociados a una contraseña.

Usuario Activo

Los usuarios activos son aquellos que actualmente tienen derecho de acceso a los sistemas de
información de la Empresa.

Usuario Inactivo

Los usuarios inactivos son aquellos que se han desactivado en los sistemas de información y ya no
pueden ingresar al mismo.

Usuario Habilitado

Los usuarios habilitados son aquellos que de acuerdo a su perfil poseen permisos para realizar
operaciones sobre los sistemas de información

Usuario Deshabilitado
85

Los usuarios deshabilitados son aquellos que temporal o permanentemente no tienen derechos de
acceso para realizar operaciones en los sistemas de información.

Usuario Eliminado

Los usuarios eliminados son aquellos que se borran definitivamente de los sistemas de
información.

Eventos que inactivan un usuario.

•Por retiro definitivo de la Empresa, traslado o cambio de funciones; para el traslado o cambio de
funciones siempre y cuando el usuario no necesite ingresar al sistema de información.
•Por solicitud del Jefe de Área, o la unidad de informática.

Condiciones Generales

Identificar todas las funciones laborales, la especificación del grupo de privilegios, y las
restricciones que debe tener cada cuenta.

Asignar los permisos estrictamente necesarios para que cumpla con sus funciones laborales de
acuerdo a su rol dentro de la Empresa.

Documentar los roles y privilegios de acceso a la información de acuerdo al perfil y funciones del
usuario.

Mantener un registro de las creaciones, modificaciones, eliminación y desactivaciones de las


cuentas de los usuarios.

Por traslado o cambio de funciones cuando los permisos de accesos a los sistemas de información
son distintos a los que ya tenía en el cargo anterior, se deshabilitan los del perfil anterior y se
habilitan los nuevos permiso
86

Controles por dominio según la 27001 / 2013

A 8.1.3 uso aceptable de los activos


A 9.1.1 Política de control de acceso
A 9.2.3 Gestión de derechos de acceso privilegiado
A 9.2.5 Revisión de los derechos de acceso de usuario
A 9.2.6 Retiro o ajuste de los derechos de acceso
A 9.3.1 Uso de información de autenticación secreta
A 9.4.2 Procedimiento de ingreso seguro
A 9.4.3 Sistemas de gestión de contraseñas
A 12.4.1 Registro de eventos
A 12.4.2 Protección de la información de registro
A 12.4.3 Registros del administrador y del operador
87

Anexo 2. Formato Nro.2 Requerimientos de respaldos de información

4D Browser

Es el navegador blindado de Bit4id. Basado en el navegador estándar Mozilla Firefox y totalmente


rediseñado para logra una total portabilidad, con cero configuración, con integración del chip
criptográfico y de la firma electrónica y todo con la máxima seguridad.

A2 PCI DSS

PCI Data Security Standard es un estándar de seguridad desarrollado con el objetivo de reducir el
fraude relacionado con tarjetas de crédito e incrementar la seguridad de los datos almacenados en
las mismas. A2SECURE le guía en el proceso de cumplimiento de esta normativa..

Abastor Replicado

Abastor puede trabajar en entornos de backup de dos modos diferentes, el primero como parte de
un entorno de backup ya operativo sobre NDMP o como servidor de backup propio. Su
configuración en este último modo es flexible, ya que permite Virtual Tapes y puede controlar
dispositivos de backup.

Acceso remoto seguro

Mediante el uso de Linux, Software Libre y una plataforma hardware adecuada se implanta un
servidor de redes privadas virtuales (VPN) que permita el acceso seguro a la infraestructura interna
de la empresa desde cualquier punto del mundo..
Soluciones de acceso Remoto SSL, L2TP, IPsec
88

ACCESS Enterprise

Es un sistema de gestión de dispositivos de seguridad portátiles. El apoyo a la amplia gama de


dispositivos portátiles de seguridad Imation, Enterprise Access es la solución ideal para el control
de dispositivos USB seguros.

ACCESS Enterprise Antivirus Scanner

Previene que el malware se copia en las unidades USB, permitiendo a los usuarios para mantener
la comodidad de almacenamiento portátil, mientras que la protección de los dispositivos, sus datos
y los sistemas que se enfrentan contra el malware.

Acronis

Principal proveedor de soluciones de recuperación de desastres y protección de datos de fácil


gestión e implementación tanto en entornos físicos, virtuales como en el Cloud.

Acronis Backup & Recovery® 11 Server for Linux

Simplifica y automatiza los procesos de copia de seguridad y recuperación de desastres de


servidores Linux, minimizando el tiempo de inactividad y aumentando la productividad de TI.

Acronis Backup & Recovery® 11 Server for Windows

Acronis Backup & Recovery 11 Server for Windows proporciona copias de seguridad basadas en
disco y recuperación de desastres para servidores Windows individuales y está diseñado para
satisfacer las necesidades de las pequeñas empresas, en las que la gestión remota y centralizada no
es necesaria.
89

Acronis Backup & Recovery® 11 Workstation

Acronis Backup & Recovery 11 Workstation proporciona copias de seguridad basadas en disco y
recuperación de desastres para estaciones de trabajo Windows y está diseñado para satisfacer las
necesidades de las pequeñas empresas, en las que la gestión remota y centralizada no es necesaria.

ActiveRoles Server

ActiveRoles Server ofrece una administración predefinida de cuentas de usuario y de grupo,


seguridad estricta basada en roles, administración de identidad diaria y auditoría e informes
integrados para entornos con base en Windows.

Acunetix Web Vulnerability Scanner

Con Acunetix Web Vulnerability Scanner puede estar seguro que su página web es segura frente
a los ataques web. Chequea automáticamente vulnerabilidades que aparentemente no son
detectadas como tales aportando informes de auditoría de seguridad web.

Acunetix WVS

Verificador de vulnerabilidades en el servidor web, ataques via SQL y scripts. Si Vd. es


distribuidor de informática, puede tener acceso a la ZONA DE DISTRIBUIDORES. Debe
solicitarlo enviando un mail a: comercial@satinfo.es.

Acunetix WVS

Realiza automáticamente auditorías de sus aplicaciones web comprobando vulnerabilidades de


Inyección SQL, Cross site scripting y otras vulnerabilidades que puedan ser explotadas por
hackers.
90

Adaman

Adaman BSD, es el software que permite realizar con facilidad el borrado seguro e inmediato de
archivos, carpetas y unidades lógicas completas, así como del contenido de la papelera de reciclaje.
Es de uso obligatorio en equipos de la Administración Pública que manejen información
clasificada.

adAS

adAS (Advanced Authentication Server) es un Servidor de Autenticación Avanzado que realiza


funciones de Proveedor de Identidad ofreciendo a su vez un entorno gráfico de configuración.

Además, es multiprotocolo, siendo compatible con PAPI v1, SAML 1.1/Shibboleth 1.3 y SAML
2.0/Shibboleth 2.0.

Adbackup Enterprise

Adbackup Enterprise, la solución de backup para bases de datos y entornos complejos. Con el
backup de varias decenas de miles de puestos y el backup que han realizado algunos clientes de
varias decenas de Tb.
91

Anexo 3. Formato Nro.3 Acceso Físico

Extra Rápido Los Motilones S.A.

SGSI

FORMATO UNICO DE INVENTARIO DE ACTIVOS DE LA INFORMACIÓN

HOJA No. ___________ DE ______________

Nombre del proceso: _________________________________ REGISTRO DE ENTRADA

Nombre del responsable: _____________________________ AÑO MES DIA N.T.

N.T.= Número de Transferencia

No. De Responsable del Fecha de Ingreso Hora Fecha de Salida


Nombres y apellidos Nombre Empresa Hora Salida Actividad Realizada Firma
Identificación Acompañamiento Ingreso
D M A D M A

Elaborado por: __________________________________ Entregado por: _________________________ Recibido por : _____________________________________________


Cargo: ________________________________________ Cargo: ________________________________ Cargo: ______________________________________________

Firma: __________________________________________ Firma: ________________________________ Firma: ______________________________________________


Lugar __________________ Fecha: __________________ Lugar _____________ Fecha: _____________ Lugar: ____________________
Fecha: __________________

www.ramajudicial.gov.co
92

Extra Rápido Los Motilones S.A.


Eliminación segura de medios de almacenamiento removibles

Anexo 4 Formato Nro.4 Acta de Entrega, recepción de medios

Eliminación segura de medios de almacenamiento removibles

Introducción.

La Política para la eliminación y destrucción de medios de la Empresa requiere que se realice la


eliminación, destrucción o borrado en de forma segura de cualquier software licenciado y datos
sensibles de medios de almacenamiento y equipos informáticos que se den de baja, se donen, o
trasladen de área. La eliminación segura de información en medios es un mecanismo de control
para prevenir la divulgación de información clasificada como reservada.

Métodos para eliminación segura.

Para la eliminación segura de medios se pueden emplear diversos tipos de mecanismos como:
Sobreescritura segura y sucesiva del medio
Desmagnetización del medio
Destrucción física del medio

Que no es borrado seguro

Utilidades del sistema operacional como FORMAT sólo crean nuevas tablas FAT y ROOT,
dejando todos los datos anteriores sobre el disco intacto y recuperable. Por otra parte, una imagen
de las tablas de FAT y ROOT sustituidos se almacena, de manera que el comando UNFORMAT
se puede utilizar para restaurar ellos. Otras utilidades como FDISK simplemente limpian la tabla
de particiones (ubicado en el primer sector de la unidad) y no se limpia o borrar cualquier otra
cosa. Para un borrador completamente seguro se requiere el uso de una utilidad de la destrucción
de datos que borre los datos mediante la sobrescritura de todas las ubicaciones direccionables en
el disco con datos aleatorios.
93

Sobreescritura segura y sucesiva del medio

Desmagnetización del medio

En los casos en los que no se puede aplicar la sobreescritura segura y sucesiva del medio, puede
ser necesaria la utilización de equipo especializado de desmagnetizador que esté en capacidad de
borrar mediante campo magnético de alta intensidad cualquier dato incluidas partículas de óxido
y metal de cintas de almacenamiento o cassettes. En dichos casos particulares y muy específicos
se debe solicitar el apoyo técnico de la Unidad de informática de la Empresa para determinar si
amerita la contratación del servicio de desmagnetización de un medio o es preferible su destrucción
física cumpliendo con procedimientos de protección del medio ambiente.

Destrucción física del medio

La destrucción física del medio CD, USB, cinta disco duro u otros soporte de almacenamiento
digital consiste la ruptura, polverización o rayado total de la superficie del medio, ya que este
procedimiento impedirá la posterior utilización del medio solo es recomendable en los casos en
que se confirma que el medio ya no es necesario bajo ninguna circunstancia. La destrucción de
medios y la disposición final de los residuos debe seguir las directrices de la Empresa para la
preservación del medio ambiente.

Recursos

Remover datos sensitivos

http://kb.mit.edu/confluence/display/istcontrib/Removing+Sensitive+Data
Directrices para eliminación segura de medios de almacenamiento
http://csrc.nist.gov/publications/drafts/800-88-rev1/sp800_88_r1_draft.pdf
Software de eliminación segura de medios

Eraser
http://eraser.heidi.ie/
94

Anexo 5. Formato Nro.5 Bitácora de restauración de respaldos

LISTADO HERRAMIENTAS DE BORRADO SEGURO


Útiles gratuitos para Borrado seguro

Tipo
Complejidad Producto
usuarios

Entidades Black Hole


Media
Usuarios Temas: Borrado seguro , Limpieza de trazas, Privacidad

Entidades Comodo System Cleaner


Media
Usuarios Temas: Borrado seguro , Privacidad ,Limpieza de trazas

Entidades Eraser
Baja
Usuarios Temas: Borrado seguro

Entidades MyGPG
Media
Usuarios Temas: Borrado seguro , Cifrado/Codificado, Firma digital

Redo Backup & Recovery


Usuarios
Media Temas: Recuperación de datos , Copias de seguridad , Borrado
Entidades
seguro , Imagen de disco

Usuarios Sophos Free Encryption


Media
Entidades Temas: Borrado seguro , Cifrado/Codificado

Windows Sysinternals
Entidades Temas: Análisis de ficheros , Análisis de
Media
Usuarios protocolos , Antirootkit , Recuperación de datos , Herramientas
de test , Copias de seguridad , Borrado seguro , Monitorización
95

Listado de Productos
Listado de Soluciones con cumplimiento legal y normativo
Solución Descripción Empresa
ADAMAN Adaman BSD, es el software que permite realizar con Recovery
facilidad el borrado seguro e inmediato de archivos, Labs
carpetas y unidades lógicas completas, así como del
contenido de la papelera de reciclaje. Es de uso
obligatorio en equipos de la Administración Pública
que manejen información clasificada.
Desmagnetizador Gracias a sus reducidas dimensiones, su intimus
Intimus 8000 funcionamiento silencioso y sus ciclos de 60 segundos, International
el intimus 8000 puede instalarse perfectamente en un Spain, S.L.
escritorio. Rápido, seguro y borrado completo en una
sola pasada Certificados: CESG (UK) | NSM
(Noruega)
Desmagnetizador La intensidad de campo del desmagnetizador intimus intimus
Intimus 9000 junto con el campo magnético que genera garantiza International
que los datos no son recuperables mediante Spain, S.L.
operaciones informáticas o de laboratorio. Borrado
rápido, seguro y en una sola pasada Certificados:
CESG (UK) | NSM (Noruega)
deintimus La Intimus Hammer SES incorpora un comando de intimus
Hammer SES borrado seguro basado en firmware que permite purgar International
completamente todos los datos de las unidades de Spain, S.L.
disco duro. Este dispositivo sencillo y fácil de usar
permite conectar con hasta 30 discos duros.
96

Anexo 6. Formato Nro. 6 Controles Contraseñas Segura

GESTION CUENTAS DE USUARIOS, CONTRASEÑAS

INFORMACIÓN GENERAL
FECHA: ____ ____ ____
DÍA MES AÑO

PARA SER COMPLETADO POR EL DIRECTOR /JEFE DE ÁREA

NOMBRE DEL FUNCIONARIO: ________________________________________________________________________________

AREA A LA QUE PERTENECE: _______________________________________________________________________________

TIPO DE SOLICITUD: Creación de Modificación Eliminación


cuenta de cuenta de cuenta

(Si la solicitud es de modificación o eliminación complete aquí)

Salida o retiro Cambio de Vacaciones


definitivo cargo

APLICACIONES SOLICITADAS:

________ ________ ________ ________

________ ________ ________ ________

PRIVILEGIOS A ASIGNAR/MODIFICAR/ELIMINAR:
______________________________________________________________________________

______________________________________________________________________________

SERVICIOS SOLICITADOS:

Internet Acceso red Correo Red inalámbrica


electrónico

Acceso remoto Impresoras

SI LA SOLICITUD ES DE CREACIÓN DE CUENTA, ¿ÉSTA ES TEMPORAL?

SI NO Si la respuesta es SI, complete: ___________________________


Fecha caducidad cuenta

SOLICITADO POR:

____________________________________________________ ___________________________________________________
NOMBRE DE RESPOSABLE Teléfono ó Correo Electrónico

PARA SER COMPLETADO POR EL RESPONSABLE DE INFORMÁTICA (para creación de cuenta)

NOMBRE DE USUARIO (ID):


97

____________________________________________________ ___________________________________________________
NOMBRE PROFESIONAL DE INFORMÁTICA Teléfono ó Correo Electrónico

HOJA DE RUTA (Debe ser diligenciada por cada administrador para cada una de las aplicaciones que se requieran en esta solicitud, y que por lo tanto
la solicitud ya haya sido ejecutada).

NOMBRE
APLICACIÓN REQUERIDA Nro de aprobación
ADMINISTRADOR
98

PROCEDIMIENTO DE GESTION DE VULNERABILIDADES DE LA


INFRAESTRUCTURA TECNOLOGICA

Anexo 7. Formato Nro. 7 Solicitud instalación Software


1. OBJETIVO

Establecer el método para identificar, analizar, priorizar y remediar las vulnerabilidades tecnológicas presentes en
las diferentes áreas y componentes tecnológicos que soportan los procesos del negocio de Extra Rápido Los
Motilones S.A., minimizando los riesgos a los que está expuesta la información. Así mismo, cumplir con los
requerimientos regulatorios aplicables a la organización.

2. ALCANCE

El alcance de este procedimiento aplica para todos los componentes de infraestructura tecnológica de Extra Rápido
Los Motilones S.A.,. Asimismo, este procedimiento debe ser aplicado por todos los funcionarios y terceros que
tengan acceso a la administración de los activos tecnológicos de la organización.

3. RESPONSABLE
El responsable de proceso, área o sistema de información debe garantizar la adecuada implementación del presente
procedimiento de gestión de cambios
4. DEFINICIONES

 Sistema de información
Cualquier equipo de cómputo o telecomunicaciones, sistema o subsistema interconectado o no conectado
usado para la adquisición, almacenamiento, manipulación, gestión, movimiento, control, despliegue,
conmutación, intercambio, transmisión o recepción de voz, datos, vídeo en formas análogas o digitales así
como el software, firmware o hardware que forme parte del sistema.

 Software
Programa de computador

 Solución de errores conocidos.


Serie de pasos previamente establecidos que permiten resolver un problema en un equipo tecnológico o
un Software

 Activo
Componente físico o lógico relacionado con la información y sus procesos de tratamiento, y que tiene
valor para la empresa. La entidad asigna un valor a cada activo que representa el nivel de importancia que
tiene el activo en el proceso del negocio.

 Vulnerabilidad
99

Debilidad o defecto en las Tecnologías de Información que hace que la seguridad (en términos de
Confidencialidad, Integridad y Disponibilidad) de un activo sea susceptible de ser comprometida.

 Vulnerabilidades Potenciales
Vulnerabilidades potenciales incluyen todas las vulnerabilidades que no podemos confirmar existir. La
única manera de verificar la existencia de estas vulnerabilidades sería llevar a cabo una exploración
intrusiva en su red, lo que podría resultar en una denegación de servicio. Esto está totalmente en contra de
nuestra política.

 Amenaza
Un agente representa una amenaza para un sistema cuando dicho sistema tiene una vulnerabilidad que un
atacante puede explotar para obtener un beneficio.

 Riesgo
Probable ocurrencia de que un atacante explote un fallo de seguridad en un activo determinado, en base a
las amenazas existentes y al impacto potencial que representaría para el negocio de la compañía.

 Confidencialidad
Garantía de que únicamente accederán a la información los elementos autorizados para ello, y que dichos
elementos no van a convertir esa información en disponible para otras entidades.

 Integridad
Garantía de que la información únicamente puede ser modificada por elementos autorizados asegurando
métodos de proceso exactos y completos.

 Disponibilidad
Garantía de que la información y los activos relacionados deben estar accesibles a elementos autorizados
en tiempo, modo y lugar adecuado.

5. NORMATIVIDAD

Norma Técnica Colombiana NTC ISO/IEC 27001:2013 Anexo A12.1.2 Se deben controlar los cambios en la
organización, en los procesos de negocio, en las instalaciones y en los sistemas de procesamiento de información
que afecten la seguridad de la información.

Manual Políticas seguridad de la información de Extra Rápido Los Motilones S.A.

Se debe dar cumplimiento a la “POLÍTICA GESTIÓN DE VULNERABILIDADES EN LOS COMPONENTE


DE INFRAESTRUCTURA TECNOLÓGICA”

Norma técnica Colombiana NTC ISO/IEC 20000-2 primera edición del 15 de diciembre de 2005 Sistemas de
Gestión de Información y Tecnología, sección 9 gestión de cambios
100

Anexo 8.Formato Nro. 8 Formato Encuesta Aplicada

ENCUESTA

Objetivo: Conocer cómo la empresa Extra Rápido Los Motilones S.A., conserva, salvaguarda y
protege la información evitando su posible pérdida mediante exposición a amenazas latentes en
el entorno, como acceso, manipulación o deteriorar la información.

1. Tiene conocimientos generales sobre que es una amenaza informática?.


Si ____ No ____

2. Si su respuesta anterior es si, favor responder la siguiente pregunta de lo contrario pasar a


siguiente pregunta.

¿Que amenazas informáticas conoce?

________________________________________________

3. ¿Tiene conocimientos sobre cómo prevenir un ataque informático?


Si ____ No ____

4. Está informado acerca de los procedimientos a realizar si ocurre un ataque informático?.


Si ____ No ____

5. Conoce de quién depende la responsabilidad en la seguridad de la información de la empresa?

________________________________________________

6. Usted a que área de trabajo depende dentro de la empresa?


___ área de tecnología
___ área de seguridad de la información
___ área de control
___ área de nivel ejecutivo

7. Usted usa o ha usado medios de almacenamiento externos tales como UBS, celulares, discos
externos en su sitio de trabajo con fines laborales o personales?
Si ____ No ____
101

8. Al solicitar cambios de hardware o software que afecte los recursos informáticos, quien o que
área solicita estos requerimientos?

_______________________________________________________
_______________________________________________________

9. Si usted es requerido para entregar algún tipo de información a un tercero. Solicita


autorización?
Si ____ No ____

10. En la red se comparten archivos en los diferentes equipos de la empresa?


Si ____ No ____

Tienen algún tipo de seguridad? Cual ____________________________


11. Tiene acceso directo a internet su puesto de trabajo?
Si ____ No ____

Si la respuesta anterior es afirmativa, responder la siguiente pregunta.

12. Normalmente accede en internet por razones laborales?


Si ____ No ____

Su aporte es importante, si desea agregar alguna observación:


______________________________________________________________________________
______________________________________________________________________________
________________________________________________________________