Politica de Seguridad

POLÍTICAS DE SEGURIDAD
POLÍTICA DE SEGURIDAD
La cultura organizacional de toda institución depende de

estándares y normas establecidas de acuerdo a su visión y misión,
es por ello que al momento de fomentar la seguridad informática
la organización debe contar con una política de seguridad
aprobada por la gerencia y trasmitida al personal interno o
externo que labore o tenga un vínculo con la empresa, con el fin
conservar las mejores prácticas dentro de la compañía y en pro de
sobreguarda la información.
Una política de seguridad, la constituyen un conjunto de
reglas y prácticas que orientan la forma de gestionar, proteger y
distribuir los recursos en una organización para llevar a cabo los
objetivos de seguridad. Su propósito es la implementación de
una serie de leyes, reglas, normas y prácticas que garanticen la
seguridad, confidencialidad y disponibilidad de la información, y
que éste propósito la entiendan y ejecuten por todos los miembros
de la organización, igualmente es importante que estas políticas
esten alineadas con la misión y visión de la organización.
CASO DE ESTUDIO
Con este caso de estudio se pretender dar una solución
tecnológica para la implementación de Políticas de Seguridad de
UNES, Núcleo Anzoátegui.
1. PLANTEAMIENTO DEL PROBLEMA
En éste caso de estudio se asume que la Univeridad

Nacional Experimental de la Seguridad (UNES), Núcleo
Anzoátegui, ha sido víctima de una serie de ataques a sus
1
sistemas, entre los que se destacan la elevación de privilegios, la

presencia de ransomware y la inyección de SQL en el aplicativo
web de la entidad. Esto evidencia debilidades en la seguridad
informática de la institución, y por lo tanto éste motivo debe
asumirse de manera planificada y racional para que los
mecanismos de protección sean eficaces.
A partir de los hallazgos en la exploración práctica de las
vulnerabilidades y la identificación de los activos de información
de la UNES Anzoátegui, se propone una serie de documentos base
para la posterior implementación de un Sistema de Gestión de la
Seguridad Informática (SGSI).
2. OBJETIVOS
2.1. Objetivo general
Analizar desde un enfoque técnico los ataques a los sistemas
de información registrados en el caso de estudio UNES,
Anzoátegui, con el fin de plantear, desde un enfoque
administrativo, un proyecto de diseño para la posterior
implementación de un sistema de gestión para la seguridad de la
información, basado en la norma ISO 27001, para dicha
universidad.
2.2. Objetivos específicos
2.3. Plantear un diseño de proyecto para la posterior
implementación de un SGSI, basado en la norma ISO 27001, en el
que se incluyan los objetivos de la seguridad de la información, la
metodología que se propone utilizar y el alcance del sistema.
2.4. Realizar un análisis de gestión de riesgos a todos los
procesos involucrados de la UNES, Anzoátegui. y establecer un
2
control interno de seguridad de la información.
3. METODOLOGÍA
Se han propuesto diferentes metodologías para lograr la

implementación de un SGSI, el enfoque que se propone en este
caso de estudio está basado en la norma ISO/IEC 27003:2010, el
cual logra disminuir la incertidumbre del resultado ya que este
enfoque permite abordar sistemáticamente el cumplimiento de
todos los elementos necesarios para un SGSI. Cinco fases
componen la metodología propuesta, las cuales deben ejecutarse
secuencialmente con la disposición de personal interno, tiempo y
recursos, y con el respaldo de la alta dirección, vital para lograr el
cumplimiento de los objetivos previstos.
Tabla 1. Fases de implementación de un SGSI y su relación

con los numerales de la norma ISO/IEC 27001:2013.
Fases Etapas Numerales de la ISO/IEC

27003:2010 27001:2013
Fase 1: ● Establecimiento de las 4.1 Conocimiento de la
Obtener la prioridades de la organización y de suContexto.
aprobación de organización para
la Dirección desarrollar un SGSI. 4.2 Comprensión de las
para iniciar el necesidades y expectativas de
proyecto ● Definir el alcance las partes interesadas.
preliminar del SGSI.
5.1 Liderazgo y Compromiso
● Creación del plan del
proyecto para ser 7.1 Recursos
aprobado por la Dirección
Fase 2: ● Definir el alcance y los 4.3 Determinación del alcance
Definir el límites del SGSI del SGSI
alcance, los
límites y la ● Definir el alcance y los 5.1 Liderazgo y compromiso
política del límites de las Tecnologías
SGSI de la Información y 5.2 Política
Comunicaciones
6.2 Objetivos de seguridad de la
● Definir el alcance y los información y planes para
límites físicos mejorarlos
●Desarrollar la política del

SGSI y obtener la
3
aprobación de la Dirección
Fase 2: ● Definición de roles y 5.3 Roles, responsabilidades y

Definir el responsabilidades del SGSI autoridades en la organización
alcance, los
límites y la 7.2 Competencias
política del
SGSI 7.3 Toma de conciencia
● Definir los requisitos de 4.2 La organización debe
Fase 3: la información para los determinar los requisitos de las
Análisis de procesos del SGSI partes interesadas pertinentes a
los requisitos la seguridad de la información.
de la seguridad ● Identificar los activos
de la dentro del alcance del SGSI 6.1.2 Valoración de riesgos de
información seguridad de la información
● Realizar una evaluación
de la seguridad de la
información
Fase 4: ● Realizar la valoración de 6.1.2 Valoración de riesgos de
Valoración de riesgos seguridad de la información
riesgos y
planificar el ● Seleccionar los objetivos 6.1.3 Tratamiento de riegos de
tratamiento de de control y los controles la seguridad de la información
riesgos
● Obtener la autorización 6.2 Objetivos de seguridad de la
de la Dirección para información y planes para
implementar y operar el lograrlo
SGS
5.1 Liderazgo y compromiso
Fase 5: ● Diseñar la seguridad de 7.4 Comunicación
Diseñar el SGSI la información de la
organización 7.5 Información documentada
● Diseñar la seguridad 8.1 Planificación y control

física y de las Tecnologías Operacional
de la Información y
Comunicaciones 8.2 Valoración de riesgos de
seguridad de la información
● Diseñar la seguridad
específica de un SGSI 8.3 Tratamiento de riesgos
de seguridad de la
● Producir el plan del Información
proyecto final del SGSI
9.1 Seguimiento, medición,
análisis y evaluación
9.2 Auditoria interna
9.3 Revisión por la Dirección
FASE 1: OBTENER LA APROBACIÓN DE LA DIRECCIÓN PARA

INICIAR EL PROYECTO
Es de vital importancia que toda la compañía, y en especial la
alta dirección, esté involucrada con todo el ciclo de vida del SGSI:
la planeación, el hacer, la verificación y el actuar. Por ello es que se
4
deben establecer las prioridades de la organización para

desarrollar el SGSI, se deben concretar los objetivos estratégicos
de la organización, enfocadas en la seguridad de la información y
se debe tener claridad sobre los requisitos normativos o de
terceros frente a la seguridad de la información y conciencia sobre
los diferentes sistemas de gestión existentes.
En esta fase también se debe definir el alcance preliminar del
SGSI, el plan de proyecto para su implementación, aprobado por la
alta dirección, y los compromisos de ésta para con los procesos y
actividades relacionados al establecimiento, implementación,
operación, monitoreo, evaluación y mantenimiento permanente
del SGSI (clausula 5 de la norma ISO 27001:2013).
FASE 2: DEFINIR EL ALCANCE, LOS LÍMITES Y LA POLÍTICA
DEL SGSI
Se definen los siguientes elementos:
Alcance del SGSI

Su objetivo de delimitar el proceso de gestión de riesgos y
debe establecerse en función al quehacer del negocio, abarcando
uno o varios de los procesos de la universidad, así como varios de
sus servicios. Es importante que sea factible en términos de
tiempo y recursos. La propuesta del alcance sería el siguiente:
El alcance del SGSI de UNES, Anzoátegui, debe abarcar sólo el

proceso de Gestión de Sistemas de la organización, que involucra
la gestión y mantenimiento de activos informáticos, la gestión de
usuarios y contraseñas y los procesos de apoyo tecnológico a las
dependencias.
5
Política del SGSI

La norma ISO/IEC 27001:2013, en su numeral 5.2 Política,
indica que la Alta Dirección de una organización debe definir una
política de seguridad de la información que esté acorde al que
hacer y los propósitos de cada organización, donde deben
establecerse los objetivos de seguridad de la información,
teniendo en cuenta las normativas vigentes relacionadas con
seguridad de la información y el compromiso de la mejora
continua por parte de la Alta Dirección. La siguiente es la
propuesta de política general del SGSI que se definió:
La UNES, Anzoátegui, en cumplimiento a su misión, visión y

objetivo estratégico, y para satisfacer las necesidades de sus
usuarios, externos e internos, de la comunidad y demás
interesados, instaura la función de Seguridad de la Información en
la Entidad, con el objetivo de:
√ Cumplir los requerimientos legales y reglamentarios aplicables
a la universidad y al SGSI
√ Asegurar la confidencialidad, integridad, disponibilidad y
confiabilidad de la información necesaria para la prestación de
los servicios ofrecidos por la UNES, Anzoátegui.
√ Gestionar los riesgos de la universidad a través de la aplicación
de controles y estándares enfocados en preservar la seguridad
de la información.
√ Aplicar medidas y procesos que fortalezcan tanto la seguridad
de la información como la seguridad informática de la
universidad.
6
√ Fortalecer la cultura de seguridad de la información en los

trabajadores de UNES, Anzoátegui.
√ Garantizar la continuidad de los servicios y la seguridad de la
Información.
Objetivos del SGSI

Los objetivos generales del SGSI deben estar articulados con
las políticas establecidas y dentro del alcance previsto. Un ejemplo
de objetivos generales para el caso de estudio UNES, Anzoátegui
son:
√ Mejorar el nivel de eficacia de los controles de la universidad e

implementar aquellos que hagan falta para mitigar los riesgos.
√ Garantizar la disponibilidad de la información de UNES,
Anzoátegui, de acuerdo con los criterios de seguridad que
establezca la organización y la normatividad vigente.
√ Proteger la integridad de la información de UNES, Anzoátegui,
teniendo en cuenta los requisitos de seguridad aplicables y los
resultados del análisis de riesgos, así como de los controles
que se establezcan.
√ Asegurar que la información de UNES, Anzoátegui, mantenga
los criterios de confidencialidad que la organización determine
para que estédisponible a los usuarios o procesos autorizados,
en el momento que así lo requieran.
Aprobación de la Dirección
Es importante que en esta fase la alta dirección esté
involucrada en la definición y aprobación del alcance, la política y
7
los objetivos que regirán el SGSI, de allí que la normativa ISO/IEC

27001:2013, en el numeral 5.1 establezca como parte del
compromiso de la dirección el hacer que la política y los objetivos
sean definidos acorde a la dirección estratégica de la universidad.
FASE 3: ANÁLISIS DE LOS REQUISITOS DE LA SEGURIDAD DE

LA INFORMACIÓN
De acuerdo a la norma ISO/IEC 27003:2010 principalmente se
deben identificar los activos de la información de la universidad.
La norma diferencia dos tipos de activos de información: primarios
y de soporte. Los procesos del negocio y la información de la
universidad son los activos primarios, mientras que los activos de
soporte son aquellos en los que se almacenan o de los que
dependen los activos primarios y se clasifican en: hardware,
software, redes, personal e infraestructura física.
Los activos se deben identificar y clasificar de acuerdo a los
requerimientos de seguridad y los niveles de criticidad que
implican para el negocio, a la vez que deben establecerse quién es
el propietario del activo y quién el responsable de su seguridad
FASE 4: VALORACIÓN DE RIESGOS Y PLANIFICAR EL

TRATAMIENTO DE RIESGOS
El eje principal del SGSI, el cual puede ser evaluado desde

diferentes metodologías, como la propuesta por la ISO/IEC 27005,
OCTAVE, CRAMM, NIST, MEHARI y MAGERIT, la cual será utilizada
en este documento para la evaluación de riegos del caso de
estudio UNES, Anzoátegui.
MAGERIT, es una metodología elaborada por el Consejo
8
Superior de Administración confidencialidad, Electrónica con el

fin garantizar la autenticidad, confidencialidad, disponibilidad,
trazabilidad e integridad de los activos informáticos de la
organización. Esta metodología define el proceso para el análisis y
gestión de riesgos, los enfoques para el análisis de riesgos y guías
de trabajo para tal fin. MAGERIT se enfoca especialmente en
conocer el estado de seguridad de los sistemas de información,
implementar medidas de seguridad, buscando que no queden
elementos por fuera para mitigar vulnerabilidades.
Para el desarrollo de esta fase se debe tener en cuenta
establecer el contexto, los parámetros de probabilidad, los
parámetros de impacto, la determinación de vulnerabilidades, los
criterios de aceptación del riesgo, la valoración del riesgo, la
identificación de los escenarios de riesgo, la estimación y la
evaluación del riesgo, con lo que se pueden extraer mapas de
riesgo o mapas de calor, y, como resultado final, establecer el
tratamiento de riesgos, en el cual se plantean las acciones
necesarias para llevar los riesgos identificados a un nivel aceptado
por la universidad.
Con la información teórica disponible para el caso de estudio
UNES, Anzoátegui, se desarrolla a manera de ejemplo el
levantamiento de activos de la información y su valoración
cuantitativa, teniendo presente la valoración de las dimensiones
en las que el activo es importante, las cuales son:
√ [D] Disponibilidad: Nivel de afectación en caso de que el
activo no estuviera disponible.
√ [I] Integridad de los datos: Nivel de afectación en caso de
que datos fueran modificados fuera de control.
9
√ [C] Confidencialidad de la información: Nivel de afectación en

caso de que los datos fueran conocidos por personas no
autorizadas.
√ [A] Autenticidad: Nivel de afectación en caso de que quien
accede al servicio no sea realmente quien debería, o que los
datos no fueran atribuibles a quien se cree.
√ [T] Trazabilidad: Nivel de afectación en caso de que no
quedara constancia fehaciente del uso del servicio ni
constancia del acceso a los datos.
Para la valoración de cada una de las dimensiones se toma

como referencia la siguiente escala de calificación; el riesgo
resultante es el promedio de todas las dimensiones, teniendo en
cuenta la misma escala:
Tabla 1: Escala de valoración del riesgo.

Categoría Valoración
Critico 21 a 25
Importante 16 a 20
Apreciable 10 a 15
Bajo 5a9
Despreciable 1a4
Fuente: Caso de Estudio para el Análisis de y Propuesta de Aseguramiento de la
Seguridad de la Información en la Infraestructura Tecnológica de la Empresa
NOSTRADAMUS S.A.S.
Tabla 2: Ejemplo de Valoración cuantitativa de los activos de

la UNES, Anzoáteguí.
Nombre [A] [T] [C] [I] [D] Riesgo

[AUX] Cableado 25 25 15 15 20 Importante
[HW] Equipos de cómputo 25 25 9 15 20 Importante
[SW] Página Web 20 25 25 25 25 Crítico
[D] Respaldo de la
información de los 25 4 9 15 20 Apreciables
sistemas
[COM] Servicio de Internet 9 9 9 9 9 Bajo
[HW] Switches Core cisco 25 23 20 20 25
Crítico
catalyst 4567HR+
Fuente: Autor
10
Para identificar los riesgos potenciales se evalúan las

vulnerabilidades que pueden llegar a materializarse como una
amenaza, valorando que tan alto sería su impacto y probabilidad.
Es importante identificar los distintos tipos de amenazas que
pueden llegar a materializarse.
Tabla 3: Tipo de amenazas MAGERIT.

TIPO DE AMENAZA DESCRIPCIÓN
Sucesos que pueden ocurrir sin
[N] Desastres naturales Intervención de los seres humanos
como causa directa o indirecta.
Sucesos que pueden ocurrir de forma
accidental, derivados de la actividad
[I] De origen industrial humana de tipo industrial. Estas
Amenazas pueden darse de forma
accidental o deliberada.
Fallos no intencionales causados por
[E] Errores y fallos no intencionados
las personas.
Fallos deliberados causados por las
[A] Ataques intencionados
personas.
Fuente: Diseño del Sistema de Gestión de Seguridad de la Información para la Unidad de
Informática, Ingeniería de Sistemas y Telemática de la Universidad de Nariño Soportada
en los Estándares Magerit e Iso/Iec 27001 y 27002/2013.
Teniendo en cuenta esto, se identifican las amenazas

asociadas a cada uno de los activos, la vulnerabilidad asociada y
el control aplicado actualmente.
Tabla 4 de activos, amenazas.
Activo de
Id Amenazas Vulnerabilidad
información
R1 [AUX] Cableado [I8] Fallo de Sin auditoria del
servicios de cableado físico
comunicaciones Redes sin
mantenimiento
R2 [HW] Equipos de [E21] Errores de mantenimiento / Poca experiencia

cómputo actualización de programas en configuración
del equipo
11
R3 [A26] Ataque destructivo Saboteo interno
R4 [A11] Acceso no autorizado Captura de

usuario y
contraseñas,
Phishing,
Sesiones abiertas
R5 [A5] Suplantación de la identidad Suplantación de

del usuario Usuarios
R6 [E19] Fugas de información Suplantación de

usuarios, acceso
a información no
perfilada.
Transporte de
información
sensible visible
para todos.
R7 [A6] Abuso de privilegios de Acceso de

acceso personal no
autorizado.
R8 [SW] Página Web [I8] Fallo de servicios de Funcionamiento

comunicaciones solo conectado a
la red
R9 [D] Respaldo [A11] Acceso no autorizado Desconocimiento

de la información del desarrollo de
de los sistemas software
suplantación de
usuarios Perdida
de código fuente
R10 [COM] Servicio de [I8] Fallo de servicios de Sin auditoria del

Internet comunicaciones cableado físico,
Redes sin
mantenimiento
R11 [COM] Switches [I5] Avería de origen físico o UNES,Anzoátegui

Core cisco lógico al no contar con
catalyst 4567HR+ un sistema de
seguridad
biométrico o de
monitoreo que
permita tener
control sobre la
zona de sistemas.
R12 [I6] Corte del suministro Falla en la red

eléctrico eléctrica interna
Falla externa
Fuente: Autor
De acuerdo a la metodología MAGERIT, cuando un activo se ve

afectado por una amenaza es necesario establecer el nivel del
12
impacto que tiene sobre el activo, en decir, que tan perjudicado se

vio el activo por la materialización de la amenaza. De esto se
sugiere la siguiente tabla de impacto:
Tabla 5. Escala de valoración del impacto

Nomenclatura Categoría Valoración
MA Muy Alto 5
A Alto 4
M Medio 3
B Bajo 2
MB Muy Bajo 1
NOSTRADAMUS S.A.S.
Además del impacto, debe evaluarse la probabilidad de que

una amenaza se materialice; para ello Magerit también propone
una escala nominal con valores de frecuencia:
Tabla 6. Escala de probabilidad de ocurrencia

Nomenclatura Categoría Valoración
S Siempre 5
CS Casi siempre 4
M A menudo 3
AV Algunas Veces 2
CN Casi Nunca 1
NOSTRADAMUS S.A.S.
Teniendo en cuenta las escalas de valoración de impacto y

probabilidad de que una amenaza se materialice, es necesario
valorar cada uno de los activos en cuanto al impacto que cada una
de las amenazas pueda tener sobre el activo y la probabilidad de
que dicha amenaza se materialice. Es importante tener en cuenta
que la probabilidad de una vulnerabilidad depende de cada activo,
no de la vulnerabilidad en sí. Es justamente la calificación del
impacto de una amenaza y la probabilidad de que esta se
materialice lo que se denomina riesgo. A continuación, se
13
presentará la valoración de las amenazas, teniendo en cuenta el

identificador de amenaza utilizado en la Tabla de activos y
amenazas, calificando su probabilidad e impacto según la
naturaleza de la amenaza, descrita en la tabla 4:
Tabla 7. Tabla de activos y amenazas
Id Activo de información Amenazas Probabilidad Impacto

R1 [AUX] Cableado [I8] 2 4
R2 [HW] Equipos de cómputo [E21] 2 4

R3 [HW] Equipos de cómputo [A26] 2 4
R6 [HW] Equipos de cómputo [E19] 2 4
R8 [SW] Página Web [I8] 2 5
R9 [D] Respaldo de la [A11] 4 3

información de los sistemas
R10 [COM] Servicio de Internet [I8] 2 2
R11 [COM] Switches Core cisco

catalyst 4567HR+ [I5] 2 3
R12 [COM] Switches Core cisco
catalyst 4567HR+ [I6] 2 3
Fuente: Autor
Una vez evaluada la probabilidad de ocurrencia y el impacto de

cada una de las amenazas, se puede utilizar un mapa de calor,
señalada en el libro 3 de técnicas de Magerit, como una
herramienta visual y amigable que permite visualizar de manera
rápida los valores de impacto y probabilidad de las amenazas. A
continuación, se mostrará el mapa de calor resultante para el
riesgo:
Tabla 8. Mapa de calor del riesgo
Muy Alta
PROBABILIDAD
Alta R9
Media R7
Baja R1, R2, R3,
R10 R11, R12 R8
R4, R5, R6
14
Muy Baja
RIESGO Muy Baja Baja Media Alta Muy Alta

IMPACTO
Fuente: Autor
Luego de evaluar y visualizar la criticidad de los riesgos, es

necesario realizar el tratamiento adecuado para mitigar cada
riesgo al máximo, teniendo en cuenta que estos nunca
desaparecen totalmente, pero puede disminuirse el daño al activo
o la frecuencia de materialización de las amenazas, teniendo
como resultado un riesgo residual que sea más fácil de controlar y
predecir.
FASE 5: DISEÑAR EL SGSI

Son tres los componentes básicos para el diseño de un SGSI: La
documentación obligatoria que debe tener el sistema, la
implementación de los controles establecidos en el plan de
tratamiento de riesgos y el monitoreo constante de la seguridad
de la información.
Documentación del sistema

Los documentos que exige la norma ISO/IEC 27001 son el
resultado de las fases ya mencionadas.
Implementar el plan de tratamiento de riesgos

La alta dirección debe aprobar tanto el plan de tratamiento de
riesgos, así como los recursos para llevarlo a cabo, así como el
mantenimiento de los controles existentes, con el fin de que los
riesgos se mantengan en el nivel de riesgo aceptado por la
empresa. Por esta razón debe existir un monitoreo permanente
sobre los controles y los nuevos escenarios de riesgos que puedan
15
surgir con el pasar del tiempo.
Monitoreo de la seguridad de la información

La norma ISO/IEC 27001:2013, numeral 9, establece que la
evaluación del desempeño del SGSI se debe realizar a través de la
supervisión, medición, análisis y evaluación del sistema por medio
de auditorías periódicas, por las personas denominadas para tal
fin, y revisión de la alta dirección. Esto se mide con la definición de
indicadores, desarrollados a nivel general del SGSI y la gestión de
riesgos, que sirven para medir la eficacia y eficiencia de los
controles establecidos. Se deben tener en cuenta tres normas al
momento de establecer las auditorias: ISO 19022:2011, ISO/IEC
27007:2011, ISO/IEC TR-27008.
REFERENCIAS BIBLIOGRAFICAS
Magerit versión 3.0: Metodología de análisis y gestión de riesgos

de los Sistemas de Información. Libro III: Guía de Técnicas», s. f.
Mejia A. (2020). Caso de Estudio para el Análisis de Vulnerabilidad

y Propuesta de Aseguramiento de la Seguridad de la
Información en la Infraestructura Tecnológica de la Empresa
NOSTRADAMUS S.A.S., Universidad Nacional Abierta y a
16
Distancia - Unad, Escuela De Ciencias Básicas, Tecnología E

Ingeniería – Ecbti, Especialización En Seguridad Informática,
Bogota, Colombia.
Guerrero Y. (2020). Diseño del Sistema de Gestión de Seguridad de

la Información para la Unidad de Informática, Ingeniería de
Sistemas y Telemática de la Universidad de Nariño Soportada
en los Estándares Magerit e Iso/Iec 27001 y 27002/2013.
Universidad Nacional Abierta y a Distancia Especialización En
Seguridad Informática, Pasto, Colombia.
17

Politica de Seguridad

Cargado por

Información del documento

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Politica de Seguridad

Cargado por

Copyright:

Formatos disponibles

POLÍTICAS DE SEGURIDAD

La cultura organizacional de toda institución depende de

1. PLANTEAMIENTO DEL PROBLEMA

En éste caso de estudio se asume que la Univeridad

sistemas, entre los que se destacan la elevación de privilegios, la

control interno de seguridad de la información.

Se han propuesto diferentes metodologías para lograr la

Tabla 1. Fases de implementación de un SGSI y su relación

Fases Etapas Numerales de la ISO/IEC

●Desarrollar la política del

Fase 2: ● Definición de roles y 5.3 Roles, responsabilidades y

● Diseñar la seguridad 8.1 Planificación y control

9.2 Auditoria interna

9.3 Revisión por la Dirección

FASE 1: OBTENER LA APROBACIÓN DE LA DIRECCIÓN PARA

deben establecer las prioridades de la organización para

Alcance del SGSI

El alcance del SGSI de UNES, Anzoátegui, debe abarcar sólo el

Política del SGSI

La UNES, Anzoátegui, en cumplimiento a su misión, visión y

√ Fortalecer la cultura de seguridad de la información en los

Objetivos del SGSI

√ Mejorar el nivel de eficacia de los controles de la universidad e

los objetivos que regirán el SGSI, de allí que la normativa ISO/IEC

FASE 3: ANÁLISIS DE LOS REQUISITOS DE LA SEGURIDAD DE

FASE 4: VALORACIÓN DE RIESGOS Y PLANIFICAR EL

El eje principal del SGSI, el cual puede ser evaluado desde

MAGERIT, es una metodología elaborada por el Consejo

Superior de Administración confidencialidad, Electrónica con el

√ [C] Confidencialidad de la información: Nivel de afectación en

Para la valoración de cada una de las dimensiones se toma

Tabla 1: Escala de valoración del riesgo.

Tabla 2: Ejemplo de Valoración cuantitativa de los activos de

Nombre [A] [T] [C] [I] [D] Riesgo

Para identificar los riesgos potenciales se evalúan las

Tabla 3: Tipo de amenazas MAGERIT.

Teniendo en cuenta esto, se identifican las amenazas

Tabla 4 de activos, amenazas.

R2 [HW] Equipos de [E21] Errores de mantenimiento / Poca experiencia

R3 [A26] Ataque destructivo Saboteo interno

R4 [A11] Acceso no autorizado Captura de

R5 [A5] Suplantación de la identidad Suplantación de

R6 [E19] Fugas de información Suplantación de

R7 [A6] Abuso de privilegios de Acceso de

R8 [SW] Página Web [I8] Fallo de servicios de Funcionamiento

R9 [D] Respaldo [A11] Acceso no autorizado Desconocimiento

R10 [COM] Servicio de [I8] Fallo de servicios de Sin auditoria del

R11 [COM] Switches [I5] Avería de origen físico o UNES,Anzoátegui

R12 [I6] Corte del suministro Falla en la red

De acuerdo a la metodología MAGERIT, cuando un activo se ve

impacto que tiene sobre el activo, en decir, que tan perjudicado se

Tabla 5. Escala de valoración del impacto

Además del impacto, debe evaluarse la probabilidad de que

Tabla 6. Escala de probabilidad de ocurrencia

Teniendo en cuenta las escalas de valoración de impacto y

presentará la valoración de las amenazas, teniendo en cuenta el

Id Activo de información Amenazas Probabilidad Impacto

R2 [HW] Equipos de cómputo [E21] 2 4

R8 [SW] Página Web [I8] 2 5

R9 [D] Respaldo de la [A11] 4 3

R10 [COM] Servicio de Internet [I8] 2 2

R11 [COM] Switches Core cisco

Una vez evaluada la probabilidad de ocurrencia y el impacto de

RIESGO Muy Baja Baja Media Alta Muy Alta