Buenas Prácticas en Ciberseguridad

Los ejemplos aquí enunciados no pretenden abarcar todas las situaciones.

Es necesario que se realice un análisis y se determine la mejor práctica de
acuerdo con cada organización.

Práctica SI NO N/A

La organización cuenta con políticas y

procedimientos en ciberseguridad, que incluyen
los sistemas y dispositivos.

Tener y actualizar las políticas para el

almacenamiento, custodia y destrucción de la
información.

Cumplir con las normas de cada geografía frente

ciberseguridad.

Alinear los objetivos de la organización con los

objetivos de seguridad de la información.

Establecer un programa orientado a la

ciberseguridad, tanto desde la operación actual
como de las nuevas necesidades de la operación.

Establecer un Comité conformado por los

miembros de la Alta Gerencia, responsables de
gestionar el programa de ciberseguridad, de
acuerdo con los riesgos y controles de la
organización.

Los miembros del Comité responsable de

gestionar el programa de ciberseguridad
cuentan con la formación y conocimientos
necesarios en el modelo de negocio, IT,
seguridad y finanzas, entre otros.
 Práctica SI NO N/A

Vincular asesores expertos en ciberseguridad

de forma periódica.

Entregar informes periódicos sobre la situación

en ciberseguridad de la organización al Comité
de Auditoría.

Tener en la organización un oficial en

ciberseguridad.

Asignar un presupuesto de acuerdo con la estrategia

establecida en ciberseguridad, para su ejecución.

Los programas de ciberseguridad son desarrollados

desde los principios de confidencialidad, integridad
y disponibilidad de la información, así como para
custodiar la información de los clientes.

Realizar periódicamente un inventario de la

información que se administra según su clasificación
y ubicación, así como de las redes, software y
aplicaciones utilizadas en la organización.

Realizar un perfil de seguridad de la organización,

partiendo tanto del análisis de riesgos, así como
incluyendo variables externas e internas de la
organización, tales como proveedores, clientes y
accionistas.

Incluir dentro del mapa de riesgos, los riesgos

asociados por compartir información de los
clientes y proveedores con terceros.
 Práctica SI NO N/A

El riesgo de ciberseguridad es compartido con toda

la organización, y por tanto deja de ser un problema
exclusivo de IT, involucrando a cada uno de los
procesos, colaboradores y sistemas de apoyo para la
operación.

Conocer los efectos legales de la materialización de

los riesgos asociados a ciberseguridad.

Realizar consultas con abogados externos

especializados en ciberseguridad, para definir
claramente las responsabilidades y controles que
permitan mitigar las consecuencias legales frente a
la materialización del riesgo.

Realizar evaluaciones de vulnerabilidad en

ciberseguridad tanto en equipos como en redes.

Establecer un registro de las amenazas en

ciberseguridad que son reportadas, así como de una
evaluación de su posible impacto, para le
implementación de planes de acción que las
mitiguen antes de su materialización.

Evaluar la aplicación de controles, de tal forma

que los mismos sean actualizados de acuerdo con
los riesgos emergentes.

Monitorear los cargos con mayor nivel de exposición

a materializar un riesgo en ciberseguridad.

Verificar la segregación de funciones y el control de

accesos de los colaboradores.
 Práctica SI NO N/A

Revisar los programas de formación en ética y su

periodicidad.

Desarrollar un plan de formación y entrenamiento

en ciberseguridad.

Formar en cada cargo frente a la responsabilidad en

ciberseguridad y sus consecuencias
laborales y/o sanciones, frente al incumplimiento
de las acciones que se deben desarrollar desde la
perspectiva de ciberseguridad.

Evaluar los procesos de selección de personal, frente

al análisis de riesgos en ciberseguridad.

Monitorear los colaboradores con actitudes y/o

comportamientos que no corresponden a lo
habitual.

Establecer que las claves de acceso deben ser

modificadas de manera obligatoria, periódicamente.

Limitar el acceso a dispositivos inalámbricos

externos, requiriendo para su uso autenticación.

Los accesos remotos se realizan por medio de VPN,

así como requiere la autenticación de los usuarios
con dos registros de confirmación.

Realizar un monitoreo de los accesos remotos.

Cerrar todas las sesiones de trabajo al finalizar la

jornada y/o cuando registran tiempo sin utilizar.
 Práctica SI NO N/A

Contar con protección en antivirus y filtración de

sitios web maliciosos actualizados.

Definir la metodología y los medios para el

desarrollo de copias de seguridad.

Verificar periódicamente la restauración de las

copias de seguridad.

Implementar accesos biométricos.

Definir los niveles de seguridad para el internet de

las cosas.