ANÁLISIS DE UN

CASO EN UNA
ORGANIZACIÓN
TÍPICA
1. LA INVERSIÓN. ¿JUAN DEBERÁ ESPERAR QUE
SUCEDA OTRO INCIDENTE DE SEGURIDAD PARA QUE SE
APRUEBEN NUEVAS INVERSIONES?

Juan debería de plantear una solución a gerencia donde se aborden los

problemas encontrados y que se plantee soluciones de aplicación inmediata
y a futuro.

• Es crucial tener un enfoque proactivo en lugar de reactivo ante incidentes.

• Las amenazas cibernéticas evolucionan rápidamente, por lo que esperar a un incidente puede ser
demasiado tarde.
• Juan debe presentar un análisis de riesgos sólido, alineado con los objetivos del negocio, para
justificar las inversiones necesarias.
• Los costos de un incidente grave (pérdida de datos, interrupción de operaciones, daños a la
reputación) suelen ser mucho más altos que invertir en prevención.
2. ¿QUÉ ES LO QUE DEBEMOS PROTEGER? ¿QUIÉN TIENE L A
RESPONSABILIDAD DE DEFINIR QUÉ INFORMACIÓN ES CRÍTICA Y
SENSIBLE Y DEFINIR SUS ACCESOS? ¿QUIÉN ES REALMENTE EL DUEÑO DE
LOS DATOS?

Se debe de proteger el acceso y almacenamiento seguro de los datos, así mismo el

delegado debe de definir la información crítica, sensible y definir el acceso a los datos
por parte de Juan (Seguridad Informática). Mientras los datos sean generados por la
empresa, y cualquier otra actividad que se desarrolle en está, estos pertenecen a la
misma empresa.

• Es fundamental definir claramente qué información se considera crítica, sensible o pública.

• Los propietarios de los datos (áreas/departamentos) deben participar activamente en esta clasificación.
• Se deben establecer políticas formales de control de accesos basadas en el principio de "mínimo privilegio
necesario".
• La alta dirección debe respaldar y supervisar estos esfuerzos para garantizar el cumplimiento en toda la
organización.
3. ¿DEBERÍA PERMITIR EL USO LIBRE DE INTERNET? ¿EN QUÉ
CONDICIONES? ¿DEBE PERMITIRSE EL USO DEL CHAT Y DEL CORREO
ELECTRÓNICO PERSONAL?

No se debe de permitir la navegación libre en internet, ya que te enfrentarías a riesgos

los cuales comprometerían la integridad de los datos de la empresa. Bajo condiciones
estrictas o normas que existan dentro de la empresa. Finalmente, el uso de chats y de
correos o de cualquier otro medio similar debe de ser prohibido, debería de estar
regulado bajo excepciones muy puntuales.

• Es recomendable implementar controles y monitoreo sobre el uso de estos servicios para fines laborales
únicamente.
• El uso personal puede representar riesgos de fuga de información, malware, pérdida de productividad, entre otros.
• Se pueden establecer excepciones limitadas y controladas, pero siempre priorizando la seguridad de la
información.
• La concientización y capacitación a los empleados sobre el uso adecuado de estos servicios es fundamental.
4. SOFT WARE Y LICENCIA DE USO. ¿DEBERÍA VOLVER ATRÁS CON L A
DESINSTAL ACIÓN DE LOS PROGRAMAS? ¿CÓMO DEBE HACER FRENTE A
TODAS L AS CRÍTICAS?

Si los programas o software están instaladas con licencias piratas se deben de

remover de todos los dispositivos de la empresa ya que se corre el riesgo de
perdida de datos. En solución, se comprará la licencia original del software
correspondiente. Se debe concientizar sobre las vulnerabilidades a las que la
empresa se pueda enfrentar si se sigue actuando de esta manera.

• El uso de software sin licencias autorizadas puede implicar sanciones legales y multas significativas.
• Además, el software no autorizado suele carecer de actualizaciones de seguridad, aumentando los
riesgos.
• Juan debe presentar un plan de remediación y adquisición de licencias legítimas.
• Es crucial contar con procesos sólidos para gestionar y controlar el software aprobado en la empresa.
5. LOS DISPOSITIVOS REMOVIBLES. ¿DEBERÍA PERMITIR EL USO DE
MEDIOS REMOVIBLES?

Si porque la empresa deberá de contratar servicios en la nube y plantear

procesos sobre ella. Así se protegería de los malware que se transmiten por
medios removibles y estos se volverían obsoletos.

• Los medios removibles (USB, discos externos, etc.) son un vector común de malware y fuga de
información.
• La migración a servicios en la nube y el uso de herramientas de colaboración en línea puede
reducir la necesidad de estos dispositivos.
• Si son necesarios, se deben establecer políticas estrictas de uso, como el escaneo obligatorio de
contenido malicioso.
• La concientización a los empleados sobre los riesgos asociados es fundamental.
6. L AS CL AVES DE ACCESO. ¿CÓMO DEBERÍA CAPACITAR A LOS
EMPLEADOS EN ESTE ASPECTO? ¿DE QUIÉN ES L A RESPONSABILIDAD DE
L A CONFIDENCIALIDAD DE L AS CL AVES?

Se deberá de entregar las claves de acceso (correo) y que posteriormente se

cambien por los mismos usuarios de manera obligatoria, y recalcar la importancia
de estos en la empresa. La responsabilidad recae sobre los empleados que
tengan una.

• Las contraseñas son la primera línea de defensa contra accesos no autorizados.

• Se deben establecer políticas sólidas de gestión de contraseñas (complejidad, caducidad, bloqueo de
cuentas, etc.).
• La capacitación y concientización a los empleados sobre la importancia de proteger las credenciales es
crucial.
• Se pueden implementar soluciones de gestión de contraseñas para facilitar el cumplimiento de las políticas.
7. CONFLICTO DE INTERESES. ¿QUÉ ORGANISMO, ÁREA , UNIDAD
ORGANIZ ATIVA SE DEBERÍA CREAR? ¿QUÉ NIVEL DE JERARQUÍA DEBERÍA
TENER?

Se deberá de crear el área de Soporte Informático, el cual deberá de tener una

jerarquía solo por debajo de Gerencia y al mismo nivel del área administrativa.

• Es recomendable crear un área específica de seguridad informática con un nivel jerárquico adecuado.
• Esta área debe reportar directamente a la alta dirección y tener autoridad suficiente para implementar
controles y políticas.
• Puede formarse un comité de seguridad con representantes de todas las áreas para alinear esfuerzos y
prioridades.
• La colaboración entre áreas técnicas y de negocio es fundamental para una estrategia de seguridad
efectiva.