FACULTAD DE INGENIERÍA

DEPARTAMENTO DE OPERACIONES Y SISTEMAS

PROGRAMA DE INGENIERÍA INFORMÁTICA

LÍNEA SEGURIDAD INFORMÁTICA

PROPUESTA DE CASOS
Auditoría de sistemas
Por:
MIGUEL JOSÉ NAVAS JAIME
mjnavas@uao.edu.co

CONTINUACIÓN ANÁLISIS DE CASOS:

RESOLVER CASOS: 4, 5 Y 6

Determine cuales son los objetivos y controles que se incumplen, según la 27002 y la
27001, para los siguientes casos planteados.

NOTA:

1. Es necesario contar con las normas ISO 27002 e ISO 27001 para dar solución a los
casos.

Profesor Taller Auditoría del SGSI

Ing. Miguel José Navas Jaime
CASO 4.

Solución al Caso 4:
27002 27001
A.6.1 Objetivo: gestionar la seguridad de la
información dentro de la organización.
A.6.1.3 Asignación de responsabilidades
Para la seguridad de la información.
A.6.1.4 Proceso de autorización para los servicios de
procesamiento de información.
A.7 Objetivo: lograr y mantener la protección
adecuada de los activos organizacionales.
A.7.1.3 Uso aceptable de los activos
A.10.8 Objetivo: mantener la seguridad de la
información y del software que se intercambian
dentro de la organización y con cualquier entidad
externa.
A.10.8.5 Sistemas de información del negocio.
A.10.9 Objetivo: garantizar la seguridad de los
servicios de comercio electrónico, y su utilización
segura.
A.10.9.2 Transacciones en línea

Profesor Taller Auditoría del SGSI

Ing. Miguel José Navas Jaime
 A.10.10 Objetivo: detectar actividades de
procesamiento de la información no autorizadas.
A.10.10.4Registros del administrador y del operador
A.11 CONTROL DE ACCESO
A.11.4.7 Control de enrutamiento en la red.

Profesor Taller Auditoría del SGSI

Ing. Miguel José Navas Jaime
CASO 5.

Solución al Caso 5:
27002 27001
A.8.2 Objetivo: asegurar que todos los empleados,
contratistas y usuarios de terceras partes estén
conscientes de las amenazas y preocupaciones
respecto a la seguridad de la información, sus
responsabilidades y sus deberes, y que estén
equipados para apoyar la política de seguridad de
la organización en el transcurso de su trabajo
normal, al igual que reducir el riesgo de error
humano.
A.8.2.1Responsabilidades de la dirección
A.9.2 Objetivo: evitar pérdida, daño, robo o
puesta en peligro de los activos y la interrupción
de las actividades de la organización.
A.9.2.1Ubicación y protección de los equipos.

10.6 Objetivo: asegurar la protección de la

información en las redes y la protección de la
infraestructura de soporte.
A.10.6.1Controles de las redes.
A.10.6.2Seguridad de los servicios de la red.
A.10.8 Objetivo: mantener la seguridad de la
información y del software que se intercambian
dentro de la organización y con cualquier entidad
externa.
A.10.8.3 Medios físicos en tránsito.

Profesor Taller Auditoría del SGSI

Ing. Miguel José Navas Jaime
Profesor Taller Auditoría del SGSI
Ing. Miguel José Navas Jaime
 CASO CIBERATAQUES

Preguntas:

1. Identifique por lo menos cinco (5) controles del código de prácticas ISO/IEC 27002

2. Explique cuál sería el protocolo de actuación para estos casos de Ciberataques.

Profesor Taller Auditoría del SGSI

Ing. Miguel José Navas Jaime