Maestría en: Ciberseguridad

Caso: Gestión de TI y Seguridad de la

Información

Nombre del estudiante: Ing. Andrés Erazo

SITUACION ACTUAL
Nombre de la empresa: XYZ CORP
Sector Retail
Matriz en Quito
Sucursales en Ambato y Manta
Sistema ERP ubicado en la matriz.
Infraestructura tecnológica, sistemas y aplicaciones
informáticas independientes.
Incidentes informáticos: Ataque DDoS que comprometió a
la disponibilidad del sistema ERP durante 8 horas.
OBJETIVOS

• Realizar un análisis en base a la gestión de riesgos

de la situación actual de la empresa.
• Proponer una estructura orgánica.
• Realizar un análisis de activos de la información.
• Formular una política de seguridad de la
información.
• Proponer un plan de acción.
METODOLOGIA
Metodología SGSI
RESULTADOS
1. Estructura orgánica de TI.
GERENTE GENERAL
(CEO)

ADMINISTRADOR
DE TI

AREA DE AREA DE SEGURIDAD DE LA AREA DE

DESARROLLO MANTENIMIENTO INFORMACION INFRAESTRUCTURA

COMITE DE ADMINISTRADOR
ANALISTA
TECNICO DE REDES SEGURIDAD DE LA DE SEGURIDAD
DISEÑADOR
INFORMACION INFORMATICA

TECNICO DE
PROGRAMADOR MANTENIMIENTO DBA
DE HARDWARE

ASISTENTE TECNICO
DE SOFTWARE
RESULTADOS
2. Matriz de Weill & Ross

ARQUETIPOS / Principios de TI Arquitectura de TI Infraestructura de TI Necesidad de Aplicaciones Inversiones de TI

DECISIONES

Aporta Info. Decisión Aporta Info. Decisión Aporta Info. Decisión Aporta Info. Decisión Aporta Info. Decisión

Monarquía del CIO

CEO CIO CEO CIO CEO CIO CEO CFO JGA
Negocio

Monarquía de TI CIO CIO CIO CIO CIO CIO CIO CIO CFO CIO
 RESULTADOS
3. Activos de información y Universo de vulnerabilidades y
amenazas.
Activos de Información

Amenazas Vulnerabilidades Servidor WEB del Base de datos del Equipos de red del Equipo servidor
sistema ERP sistema ERP sistema ERP nube del sistema
ERP

Espionaje remoto y escucha

encubierta Reglas de filtros y cortafuegos I C, I C, I, D C, D
deficientes
Falta de hardening en los
equipos.
Falla y mal funcionamiento
del equipo Manipulación incorrecta del I, D C, I, D D D
activo
Falta de actualizaciones.

Mal funcionamiento del

software Contaminación de equipo por I, D C, I, D I, D I, D
software malicioso.
Falta de pruebas de software.
RESULTADOS
4. Política de Seguridad de la Información.
El propósito de esta política es crear un marco común para
garantizar la seguridad, integridad y disponibilidad de la
información de XYZ Corp.
• Alcance
• Objetivos
• Sanciones
• Política de Seguridad de la Información.
• Resultados
• Definiciones
RESULTADOS 4. Plan de acción.
Conclusiones
GRACIAS