TALLER

GESTION DE SEGURIDAD INFORMATICA

JUAN PABLO GUERRA CADENA
 GESTIÓN SEGURIDAD INFORMÁTICA
TALLER
LEY 1273 del 5 de enero de 2009
“Protección de la Información y de los Datos"·

Nombre del estudiante:

Actividad: Análisis de caso

1. Lea y analice el siguiente caso, identifique si existe alguna violación
de la Información o de los Datos y justifique su respuesta teniendo en
cuenta los Artículos de la Ley 1273/5enero/2009:

Pedro Luis Hernández es empleado de la empresa La Granja desde hace 10

años. El día 03 de Febrero de 2016, él debe terminar y presentar un informe de
manera urgente, pero manifiesta que su equipo de cómputo (PC) presenta daños
en el sistema operativo, por tal motivo y debido a la confianza por los años de
experiencia en la empresa, su Jefe (Gerente) el Señor Hermes Giraldo lo
autorizaba para que realice los informes desde el equipo de cómputo de la
gerencia; aprovechando la oportunidad Pedro Luis instala un software malicioso
para que desde su casa pueda recibir toda la información y transacciones que
realiza su Jefe. En los siguientes días al Señor Hermes Giraldo le cambian su
contraseña del correo empresarial y en su cuenta de la tarjeta de crédito existe
reportadas unas compras que él no realizó.

Posteriormente el Señor Hermes Giraldo ordena realizar una auditoría en las

redes informáticas de la empresa y en vista de esto, Pedro Luis eliminó
información importante de la empresa desde su usuario y la información localizada
en su computador.

ARTICULO:

Articulo 269H. Circunstancias de agravación punitiva: 3. Aprovechando la

confianza depositada por el poseedor de la información o por quien tuviere un
vínculo contractual con este.

 JUSTIFICACION: Pedro Luis quien había laborado desde hace 10 años en

la empresa en la granja debido a los años de experiencia en la empresa se
aprovecha de esto para que su jefe lo deje aparentemente presentar un
informe de manera urgente.
Articulo 269E. uso de software malicioso. El que, sin estar facultado para ello,
produzca, trafique, adquiera, distribuya, venda, envié, introduzca o extraiga
programas de efectos dañinos.

 JUSTIFICACION: Pedro Luis Hernández instala en el computador de su

jefe el señor Hermes Giraldo un software malicioso para que desde su casa
pueda recibir toda la información y transacciones que realiza su jefe.

Articulo 269f. Violación de datos personales. El que sin estar facultado para ello
con provecho propio o de un tercero sustraiga, obtenga, divulgue o modifique
datos personales o medios semejantes.

 JUSTIFICACION: desde su casa el señor pedro Luis Hernández obtiene

información personal de su jefe como los movimientos de sus tarjetas
bancarias.

Artículo 269A. Acceso abusivo a un sistema informático el que sin autorización o

por fuera de lo acordado, acceda en todo parte a un sistema informático protegido
o no con una medida de seguridad.

 JUSTIFICACION: Pedro Luis Hernández días después de obtener la

información de su jefe como de instalar un software malicioso en los
equipos de computo posteriormente cambia la contraseña del correo
empresarial de su jefe.

Articulo 269J. Transferencia no consentida de activos. El que con ánimo de lucro y

valiéndose de alguna manipulación informática o artífico semejante, consiga la
transferencia no consentida.

 JUSTIFICACION: En la cuenta de tarjeta de crédito se reportaron compras

con sus activos que el no hizo.

Articulo 269D. Daño informático. El que, sin estar facultado para ello, destruya,
dañe, borre, deteriore, altere o suprima datos informáticos.

 JUSTIFICACION: Al realizar una auditoria en las redes informáticas de la

empresa pedro Luis elimina información de la empresa desde su usuario y
desde el de su jefe.
 2. Teniendo en cuenta el caso anteriormente mencionado, identifique
qué controles de la ISO 27001 considera usted se debe ejecutar o
tener en cuenta para prevenir estos tipos de situaciones
problemáticas que ponen en riesgo la información:

Ahora son varias cosas necesarias para la ISO 27001 estas son las siguientes:

 POLITICAS DE SEGURIDAD.
 DIRECTRICES DE LA DIRECCION EN SEGURIDAD DE LA INFORMACION.
 SEGURIDAD LIGADA ALOS RECURSOS HUMANOS.
 INVESTIGACION DE LOS ANTECEDENTES.
 CONCIENCIACION, EDUCACION Y CAPACITACION EN SEGURIDAD.
 PROCESO DISCIPLINARIO.
 CONTROL DE ACCESOS.
 GESTION DE ACCESO DE USUARIO.
 REQUISITOS DE NEGOCIO PARA EL CONTROL DE ACCESOS.
 CONTROL DE ACCESO A SISTEMAS Y APLICACIONES.
 CIFRADO.
 CONTROLES CRIPTOGRAFICOS.
 CLAVES