EPE - Ingeniería Sistemas Gerencia de Proyectos

PLAN DE GESTIÓN DE REQUERIMIENTOS

CÓDIGO PL03
versión 2019.01
PROYECTO Diseño e Implementación de una arquitectura de red segura basada en
el modelo de defensa en profundidad del dominio 7 seguridad física,
CBK del CISSP:ISC²
PREPARADO POR: XXX, Jefe del proyecto FECHA 15 05 20
REVISADO POR: XXX, Gerente de proyecto (XXX) FECHA 18 05 20
APROBADO POR: XXX, Gerente de proyecto (XXX) FECHA 19 05 20

1. RECOPILACIÓN Y PRIORIZACIÓN DE REQUERIMIENTOS

Cómo se va a realizar la recopilación de requerimientos, cómo se planifica la recopilación. Cómo se va a realizar la priorización de
requerimientos
Los requerimientos se elaborarán de la siguiente forma:

-Reuniones de trabajo con los representantes por parte del cliente (XXX) el Gerente de TI,
Gerente de Finanzas, Gerente de operaciones, Gerente de servicio al cliente, y el Gerente
General; por parte de nuestra empresa se apersonarán el Gerente del proyecto , ingenieros de
redes y comunicaciones e ingenieros de seguridad, y el jefe del proyecto (PM).

En las reuniones de trabajo se desarrollarán y priorizarán los requerimientos de acuerdo con su

justificación de importancia e impacto en el proyecto. El Gerente del proyecto definirá las
fechas de entrevista con los usuarios clave (área de TI, operaciones, finanzas, y servicio al
cliente)

A la finalización de cada reunión, se procederá con la firma de las actas de reunión que
serán los outputs en las cuales se indicará los puntos tratados y los detalles acordados. Estas
actas son firmadas por las personas presentes y participantes de la reunión.

2. PRINCIPALES REQUERIMIENTOS
(Describir los principales requerimientos, por ejemplo: funcionales, no funcionales, de calidad etc. según el proyecto)

enticación de huella digital y un medio físico de autenticación.

ontra amenazas volumen de 35 Gbps mínimo. También debe tener la opción de exportar logs en formatos Excel y pdf de por lo menos
e fuera de la red corporativa y debe hacerse mediante el uso de un protocolo seguro (VPN) que autentique, valide, permita, controle, li
es desde fuera de la red.

Plan de Gestión de Requerimientos Gestión del Alcance Página 1

1.5El IPS/IDS debe tener la capacidad de responder con una acción de block ante un tráfico
malicioso o desconocido de manera automática, y debe ser compatible de trabajar con otras
marcas y emitir alertas y reportes incluso a nivel de smtp (correo).
1.6Se considerará realizar un análisis de vulnerabilidades dos veces al año, el cual será
especificado en las políticas de seguridad de la organización.
1.7Le implementará controles de seguridad a nivel de host con el antivirus corporativo actual
(endpoint).
2. Requerimientos no funcionales.

2.1Los controles y/o mecanismos de seguridad estarán en función a lo contemplado en la

política de seguridad de TI de la organización.

2.2Los procedimientos, guías y manuales serán complementarios a la política de manera más

específica.

2.3La tasa de operatividad de los sistemas de seguridad como lectores biométricos será de
99.99% y de los perimetrales y de red LAN al 99.999% al año, 365 días (53 y 5.3 minutos).

2.4Debe haber una garantía post implementación de soporte técnico sin costo por 4 meses a
24x7.

2.5Las capacitaciones al personal de la empresa deberán ser en horario diurnos entre las 9 am
hasta las 5:00 pm. entre lunes y sábado; y será mínimo de 8 horas.

2.6El modelo debe ser abierto y compatible con otros estándares, tecnologías y marcas.

3. Requerimientos de calidad.

3.1La solución por implementar debe estar basada en tecnologías modernas que permitan un
adecuado manejo de la calidad del servicio.

3. MATRIZ DE TRAZABILIDAD
Definición de los atributos de los requerimientos que serán empleados para confirmar su cumplimiento.

Ver plantilla 04
 4. GESTIÓN DE LA CONFIGURACIÓN
Descripción de cómo los requerimientos pueden ser cambiados, incluyendo una evaluación del impacto y el proceso de aceptación

Cualquier Stakeholder puede presentar la Solicitud de cambio, donde se detalla el porqué

del cambio solicitado.
-El comité de control de cambios evaluará el impacto en el proyecto (a nivel de costos,
tiempos y alcance) de las solicitudes de cambios presentadas, y reportará si estas son
aprobadas o no al equipo de gestión del proyecto.
Si el cambio ha sido aprobado, se implementará el cambio.
-Se hará un seguimiento del cambio, para ver los efectos positivos o negativos que tenga en el
proyecto.
-Cuando se genera una solicitud de cambio, en primer lugar, debe ser identificada y evaluada
su importancia y relevancia.
Los interesados aprobaran o rechazaran el cambio solicitado por ellos, revisando el impacto
que implica.
-Finalmente, si el cambio se aprueba, se realizan las acciones para integrarlo en el proyecto. El
entregable en esta etapa es el documento de Solicitud de cambio

5. VERIFICACIÓN DE REQUERIMIENTOS
Método para cada requerimiento, incluyendo las métricas para su medición.

penetración de caja negra desde fuera de la red para verificar la operatividad del firewall y sus reglas, así como de manera interna para
de la DMZ. Los Firewalls deben bloquear todo tipo de trafico malicioso y no autorizado así
como las DMZ solo debe permitir acceso a los servidores de acuerdo a las reglas de las listas
de acceso.

El método de medición para el requerimiento de control al centro de datos se medirá

mediante los logs de acceso y denegación que nos brindas el dispositivo que contiene los
registros de los usuarios permitidos.

Se realizarán pruebas al IDS/IPS ingresando tráfico malicioso lo que nos debe dar como
resultados alertos, reportes y emitir es un mensaje a nivel smtp.

Se deberá obtener un reporte de análisis de vulnerabilidades que reflejen el detalle de las

vulnerabilidades nuevas que presente nuestra red en un rango de tiempo de 6 meses.

Se realizará una lista de comprobación de los controles de seguridad implementados nivel de

host desde el servidor.

Se realizará una lista de comprobación de los controles y/o mecanismos de seguridad que
estén trabajando en función a lo contemplado en la política de seguridad de TI de la
organización.

Se realizará una evaluación de tiempos de operatividad de los sistemas de seguridad como

lectores biométricos, perimetrales y red LAN una vez al año para saber el % de disponibilidad
que se mantuvo como también se contrastara con el sistema de reportes de incidencias.

Se realizará una comprobación de datos (días, cantidad de horas impartidas, asistencias, hora
de inicio y final) las capacitaciones brindadas.