SERVICIO NACIONAL DE APRENDIZAJE – SENA

Especialización:
GESTION Y SEGURIDAD DE BASE DE DATOS

Instructor:
ALEXANDRA MARCELA VILLAMIL LOPEZ

Aprendiz:
MANUEL ALEJANDRO ARIZA MARTINEZ

Actividad:
AA1-Ev5- Plantilla ISO 27002 y plan de mejora en seguridad

CIMITARRA – SANTANDER
2019
 INTRODUCCION

La seguridad de la información es un tema que ha ganado cuerpo en los últimos

años, obteniendo espacio en los medios y convirtiéndose en «commodity», en
empresas de los más variados portes y segmentos. En contrapartida es importante
subrayar que la popularización del término SI (Seguridad de la Información) fue
motivada por la elevación en el número de incidentes de seguridad, ocurridos a nivel
mundial. Los trastornos generados por esos incidentes son variados, generando
daños a la imagen del negocio o fuga de informaciones críticas, lo que puede
resultar en pérdidas financieras sustanciales.

El aumento del número de ocurrencias influye en la percepción de valor sobre

inversiones en SI y hacen que las empresas busquen la estructuración de procesos
para garantizar que sus negocios estén protegidos contra los más variados tipos de
amenazas virtuales.

En medio de este escenario surgió la norma internacional ISO/IEC 27002, que se

centra en las buenas prácticas para gestión de la seguridad de la información. En
los días de hoy esa es fundamental para la consolidación de un Sistema de Gestión
de Seguridad de la Información (SGSI), garantizando la continuidad y el
mantenimiento de los procesos de seguridad, alineados a los objetivos estratégicos
de la organización.
 OBJETIVO

Fiscalía General de la Nación, con sede en el municipio de Cimitarra Santander,

tiene como alcance el Sistema de Gestión de Seguridad de la Información (SGSI),
aplicando la normativa ISO 27002.
RESULTADOS DE ANALISIS MINUCIOSO:

• Se pudo identificar que la empresa cuenta con una política de seguridad

sólida, contando con documentos que soportan la seguridad de la
información, al igual que las revisiones de estas.

• La estructura organizativa para la seguridad se encuentra bien constituida en

lo correspondiente a la organización interna y lo relacionado con las terceras.

• La empresa cuenta con el inventario de los activos que posee, sus

propietarios y uso aceptable. Además, cuenta con una clasificación
organizada, incluyendo las guías de clasificación, etiquetado y manejo de la
información.

• Durante la auditoria se pudo identificar que los procedimientos y

responsabilidades se encuentran bien definidos y documentados, al igual que
la administración de los servicios de terceras partes, monitoreando y
revisando sus servicios.

• Los controles de seguridad contra software malicioso se encuentran bien

soportados, empleando controles en las redes y seguridad de sus servicios.

• Se identifican sólidos controles de accesos, empleando políticas de control

de accesos, registrando usuarios y administrando sus privilegios y
contraseñas. También se ejerce fuerte control de acceso a las redes, por
medio de autenticación para usuarios con conexiones externas.
 CONCLUSION

• Se logró evidenciar que no se encuentra bien definido un comité relacionado

sobre la seguridad de la información.

• No se soporta los riesgos identificados por el acceso de terceras personas.

• No se tienen claras las políticas de copias de seguridad de la información.

ANALISIS DE MEJORA

DOMINIO ASPECTO OBSERVACION

- Organización interna: Se considera necesario que se
6 Comité de seguridad de la conformen o definan un comité de
Estructura información seguridad de la información, esto
Organizativa permitirá una estructura
para la organizativa más sólida para la
Seguridad empresa con sede en los
municipios correspondientes.
- Copias de seguridad: Se deben documentar y soportar
10 Respaldo de información las copias de seguridad con el fin
Gestión de de obtener mejores prestaciones
comunicaciones en la persistencia de los datos y
y operaciones obteniendo a su vez mejor
gestión de comunicaciones y
operaciones.

DESARROLLO PLAN DE MEJORA

MES
DOMINIO ACTIVIDAD 1 2 3 4
Norma ISO
27002
6
Estructura Comité de seguridad de la información
Organizativa
para la
Seguridad
10 Información de Copias de Seguridad
Gestión de
comunicaciones
y operaciones