implantación y control de un modelo de gestión

José Manuel Ballester Fernández IEEE, MBA, CISA, CISMJosé Manuel Ballester Fernández IEEE, MBA, CISA, CISM

Director Red SeguridadDirector Red Seguridad

IMPLANTACIÓN Y CONTROL DE UN MODELO DE GESTIÓN

Madrid 22 de Febrero 2006

INTRODUCCIÓN


EL QUE NO APLIQUE NUEVOS REMEDIOS, DEBE ESPERAR NUEVOS MALESEL QUE NO APLIQUE NUEVOS REMEDIOS, DEBE ESPERAR NUEVOS MALES

PORQUE EL TIEMPO ES EL MÁXIMO INNOVADORPORQUE EL TIEMPO ES EL MÁXIMO INNOVADOR

Francis Bacon (1561-1626) Francis Bacon (1561-1626)

REFLEXIÓN INICIAL


1 - INICIO DE PROYECTO

2 - DEFINICIÓN DEL SISTEMA DE GESTIÓN

3 – GESTIÓN DEL RIESGO

4 - FORMACIÓN Y CONCIENCIACIÓN

5 - MEJORA CONTINUA Y CONTROL

FASES DE IMPLANTACIÓN Y CONTROL


1.1 - APOYO DE LA DIRECCIÓN

1.2 - EQUIPO DE PLANIFICACIÓN DEL PROYECTO

1 - INICIO DEL PROYECTO


1.2- EQUIPO DE PLANIFICACIÓN DEL PROYECTO


2- DEFINICIÓN DEL SISTEMA DE GESTIÓN


META / OBJETIVO COMO PASO INICIAL, SE DEBE TOMAR UNA CLARA DECISIÓN RESPECTO A LAS NORMAS

ALCANCE ¿QUÉ UNIDADES OPERATIVAS Y ACTIVIDADES ESTARÁN CUBIERTAS POR EL ENTORNO DE SEGURIDAD DE LA INFORMACIÓN? LA RESPUESTA OFRECE UNA CLARA REPRESENTACIÓN DE LAS ACTIVIDADES MÁS IMPORTANTES DE LA ORGANIZACIÓN.

LÍMITES / LIMITACIONESLOS LÍMITES DEL ALCANCE DEL SE DEFINEN DE ACUERDO A: LAS CARACTERÍSTICAS ESPECÍFICAS DE LA ORGANIZACIÓN (TAMAÑO, CAMPO DE ACCIÓN, ETC.).UBICACIÓN DE LA ORGANIZACIÓN.ACTIVOS (INVENTARIO DE TODOS LOS DATOS CRÍTICOS).TECNOLOGÍA.

INTERFACES LA ORGANIZACIÓN DEBE TENER EN CUENTA LAS RELACIONES CON OTROS SISTEMAS, OTRAS ORGANIZACIONES Y PROVEEDORES EXTERNOS.

DEPENDENCIAS ESTOS REQUISITOS PUEDEN SER DE NATURALEZA LEGAL Y/O DE NEGOCIO.

EXCLUSIONES Y JUSTIFICACIÓN DE ÉSTAS DEBEN ESTAR IDENTIFICADOS Y LAS RAZONES PARA SU EXCLUSIÓN CLARAMENTE JUSTIFICADAS.

CONTEXTO ESTRATÉGICO LAS MEDIDAS DE SEGURIDAD PLANIFICADAS DEBEN TENER EN CUENTA LA POSICIÓN ACTUAL Y FUTURA DE LA ORGANIZACIÓN PARA ALCANZAR LAS METAS FIJADAS POR LA DIRECCIÓN GENERAL. LA ADQUISICIÓN DE UNA NUEVA COMPAÑÍA, LA FUSIÓN DE INFRAESTRUCTURAS EXISTENTES O LA DECISIÓN DE CONTRATAR SISTEMAS DE INFORMACIÓN A UN TERCERO, SON EJEMPLOS DE ESTOS OBJETIVOS.

CONTEXTO ORGANIZATIVO EL ENTORNO ORGANIZATIVO AFECTA A LAS MEDIDAS IMPLANTADAS PARA CONSEGUIR LOS OBJETIVOS DE CONTROL FIJADOS POR LA DIRECCIÓN. POR EJEMPLO, LAS PROPUESTAS RELATIVAS AL ACCESO REMOTO A SERVIDORES DE LA COMPAÑÍA PARA EL TELETRABAJO REQUIEREN MEDIDAS DE SEGURIDAD ESPECÍFICAS.



META / OBJETIVO COMO PASO INICIAL, SE DEBE TOMAR UNA CLARA DECISIÓN RESPECTO A LAS NORMAS Y ESTANDARES



ALCANCE ¿QUÉ UNIDADES OPERATIVAS Y ACTIVIDADES ESTARÁN CUBIERTAS POR EL ENTORNO QUE QUEREMOS IMPLANTAR? LA RESPUESTA OFRECE UNA REPRESENTACIÓN DE LAS ACTIVIDADES MÁS IMPORTANTES DE LA ORGANIZACIÓN.



LÍMITES / LIMITACIONES LOS LÍMITES DEL ALCANCE DEL SE DEFINEN DE ACUERDO A: • LAS CARACTERÍSTICAS ESPECÍFICAS DE LA ORGANIZACIÓN.• UBICACIÓN DE LA ORGANIZACIÓN.• ACTIVOS (INVENTARIO DE TODOS LOS DATOS CRÍTICOS• TECNOLOGÍA.



INTERFACES LA ORGANIZACIÓN DEBE TENER EN CUENTA LAS RELACIONES CON OTROS SISTEMAS, OTRAS ORGANIZACIONES Y PROVEEDORES EXTERNOS.



DEPENDENCIAS ESTOS REQUISITOS PUEDEN SER DE NATURALEZA LEGAL Y/O DE NEGOCIO.



EXCLUSIONES Y JUSTIFICACIÓN DE ÉSTAS

DEBEN ESTAR IDENTIFICADOS Y LAS RAZONES PARA SU EXCLUSIÓN CLARAMENTE JUSTIFICADAS.



CONTEXTO ESTRATÉGICO

LAS MEDIDAS PLANIFICADAS DEBEN TENER EN CUENTA LA POSICIÓN ACTUAL Y FUTURA DE LA ORGANIZACIÓN PARA ALCANZAR LAS METAS FIJADAS POR LA DIRECCIÓN GENERAL. LA ADQUISICIÓN DE UNA NUEVA COMPAÑÍA, LA FUSIÓN DE INFRAESTRUCTURAS EXISTENTES O LA DECISIÓN DE CONTRATAR SISTEMAS DE INFORMACIÓN A UN TERCERO, SON EJEMPLOS DE ESTOS OBJETIVOS.



CONTEXTO ORGANIZATIVO

EL ENTORNO ORGANIZATIVO AFECTA A LAS MEDIDAS IMPLANTADAS PARA CONSEGUIR LOS OBJETIVOS DE CONTROL FIJADOS POR LA DIRECCIÓN. POR EJEMPLO, LAS PROPUESTAS RELATIVAS AL ACCESO REMOTO A SERVIDORES DE LA COMPAÑÍA PARA EL TELETRABAJO REQUIEREN MEDIDAS DE SEGURIDAD ESPECÍFICAS.

3 - GESTIÓN DEL RIESGO


A) ANÁLISIS DE RIESGOS A.1) ESTRATÉGICO A.2) TÁCTICO

B) TRATAMIENTO DE RIESGOS

B.1) OPCIONES PARA TRATAMIENTO DE RIESGOS B.2) IMPLEMENTACIÓN DE CONTROLES

3.A – ANÁLISIS DEL RIESGO


3.A.1) ESTRATÉGICA

- ENTENDIMIENTO DEL NEGOCIO- PROCESOS DE NEGOCIO- ORGANIGRAMA- RESPONSABLES, ANTE QUIEN REPORTAN LOS ANÁLISIS- FRECUENCIA DE REVISIÓN- DIAGNÓSTICO PREVIO DEL GRADO DE CUMPLIMIENTO- CLASIFICACIÓN DE ACTIVOS- SISTEMA DE VALORACIÓN

3.A – ANÁLISIS DEL RIESGO


3.A.2) TÁCTICA

- INVENTARIO DE ACTIVOS- AGRUPAMIENTO DE ACTIVOS- SELECCIÓN Y VALORACIÓN DE AMENAZAS POR ACTIVO- SELECCIÓN Y VALORACIÓN DE VULNERABILIDADES POR AMENAZA- SELECCIÓN Y VALORACIÓN DE LA PROBABILIDAD DE OCURRENCIA - CÁLCULO DEL RIESGO

3.B - TRATAMIENTO DE RIESGOS


3.B.1) OPCIONES PARA TRATAMIENTO DE RIESGOS

- SELECCIÓN DE LOS CONTROLES - SELECCIÓN DEL NIVEL DE RIESGO ACEPTABLE (RIESGO RESIDUAL)- PLAN PARA TRATAMIENTO DEL RIESGO


3.B.2) IMPLEMENTACIÓN DE CONTROLES

- ADMINISTRATIVOS- TÉCNICOS O LÓGICOS- FÍSICOS

3.B - TRATAMIENTO DE RIESGOS


3.B.2 – IMPLEMENTACIÓN DE CONTROLES

CONTROLES COMPONENTES MEDIDAS*

ADMINISTRATIVOS

POLÍTICAS Y PROCEDIMIENTOS.SUPERVISIÓN DEL PERSONAL.CONCIENCIACIÓN Y FORMACIÓN.PRUEBAS.

POLÍTICAS, NORMAS, PROCEDIMIENTOS, GUÍAS DE ACCIÓN, PROCEDIMIENTOS DE SELECCIÓN DEL PERSONAL, PROCEDIMIENTOS DE FINALIZACIÓN DE CONTRATOS, CLASIFICACIÓN Y ETIQUETADO DE ACTIVOS, PROGRAMA DE CONCIENCIACIÓN EN MATERIA DE SEGURIDAD.

TÉCNICOS O LÓGICOS

ACCESOS AL SISTEMA.ACCESOS A LAS REDES.PROTOCOLOS DE CIFRADO.ÁREAS DE CONTROL.AUDITORIA Y VERIFICACIÓN.

CONTROLES DE ACCESO LÓGICO, CIFRADO, PROGRAMAS ANTIVIRUS, TARJETAS INTELIGENTES, PROCEDIMIENTO DE RELLAMADA, CORTAFUEGOS, ROUTERS, SISTEMAS DE DETECCIÓN DE INTRUSIÓN (IDS).

FÍSICOS

SEPARACIÓN DE REDES.PERÍMETROS DE SEGURIDAD.AISLAMIENTO DE LAS ÁREAS DE PRODUCCIÓN.ORDENADORES DE RESPALDO.CABLEADO.

PUERTAS, CANDADOS, SISTEMAS DE VIGILANCIA, CONTROLES DEL ENTORNO, DETECCIÓN DE INTRUSIÓN O MOVIMIENTO, ALARMAS, TARJETAS DE IDENTIFICACIÓN, MEDIDAS BIOMÉTRICAS.

4 – FORMACIÓN Y CONCIENCIACIÓN


SENSIBLIZACIÓN FORMACIÓN CONCIENCIACIÓNATRIBUTO « QUÉ » « CÓMO » « POR QUÉ »NIVEL INFORMACIÓN CONOCIMIENTO ENTENDIMIENTO

OBJETIVO IDENTIFICAR Y RECONOCER EL OBJETIVO DE LA SEGURIDAD

DESARROLLAR LAS HABILIDADES PARA RESOLVER LOS PROBLEMAS DE SEGURIDAD

ENTENDER POR QUÉ ES IMPORTANTE LA SEGURIDAD

MÉTODO DE APRENDIZAJE

MEDIOS-BOLETÍN-VIDEOS-PÓSTERS-DOCUMENTO IMPRESO-CURSOS-SEMINARIOS

INSTRUCCIONES PRÁCTICAS-DOCUMENTO IMPRESO-CASOS EJEMPLO Y CASOS PRÁCTICOS-CONSEJOS Y RECOMENDACIONES

INSTRUCCIONES TEÓRICAS-DEBATES-SEMINARIOS-DOCUMENTOS ESCRITOS SOBRE EL TEMA-CURSOS

VERIFICACIONES -COMPRENSIÓN-ENTREVISTAS-ESTUDIO DE CASOS

-RESOLUCIÓN DE PROBLEMAS (APLICAR CUANDO YA SE HAYA APRENDIDO)-ACTIVIDADES DE REFUERZO

EXAMEN ESCRITO, ENSAYO, TRABAJO ESCRITO (INTERPRETACIÓN DE LO QUE SE HA APRENDIDO)

TIEMPO REQUERIDO

A CORTO PLAZO A MEDIO PLAZO A LARGO PLAZO

4 – FORMACIÓN Y CONCIENCIACIÓN


DESPUÉS DEL PROGRAMA DE CONCIENCIACIÓN:

• EVALUAR EL NIVEL DE SATISFACCIÓN RESPECTO A LA FORMACIÓN• EVALUAR EL NIVEL DE LA FORMACIÓN (EVOLUCIÓN)• ASEGURAR LA TRANSFERENCIA DE CONOCIMIENTO• ACTUALIZAR SIEMPRE QUE HAYA CAMBIOS Y NUEVOS ELEMENTOS

5 – MEJORA CONTINUA Y CONTROL


5 – MEJORA CONTINUA Y CONTROL


A) SEGUIMIENTO Y MEJORA CONTINUA

B) REVISIÓN DE LA GESTIÓN

C) AUDITORIA DEL CONTROL INTERNO

D) MEJORA DE GESTIÓN

5.A – SEGUIMIENTO


5.A.1) LLEVAR A CABO PROCEDIMIENTOS Y OTROS CONTROLES DE SEGUIMIENTO PARA:

• DETECTAR LOS ERRORES EN LOS RESULTADOS LO ANTES POSIBLE,• IDENTIFICAR LAS INCIDENCIAS LO ANTES POSIBLE,• CAPACITAR A LA DIRECCIÓN PARA DETERMINAR SI LAS ACTIVIDADES IMPLEMENTADAS O

DELEGADAS SE ESTÁN LLEVANDO A CABO COMO SE ESPERA,• DETERMINAR LAS ACCIONES A REALIZAR PARA SOLUCIONAR LAS INCIDENCIAS EN

FUNCIÓN DE LAS PRIORIDADES DEL NEGOCIO

5.A – SEGUIMIENTO


5.A.2) REALIZAR REVISIONES REGULARES DE LA EFICIENCIA (INCLUYENDO POLÍTICA, OBJETIVOS Y CONTROLES ) TENIENDO EN CUENTA LOS RESULTADOS DE LAS AUDITORIAS, INCIDENCIAS, SUGERENCIAS E INFORMACIÓN RECOGIDA DE TODAS LAS PARTES IMPLICADAS

5.A – SEGUIMIENTO


5.A.3) REVISAR LOS NIVELES DE ACEPTACIÓN DE RIESGOS Y LOS RIESGOS RESIDUALES, CONSIDERANDO LOS CAMBIOS EN:

• LA ORGANIZACIÓN.• LA TECNOLOGÍA.• LOS OBJETIVOS Y PROCESOS DEL NEGOCIO.• LAS AMENAZAS IDENTIFICADAS.• LOS SUCESOS EXTERNOS, COMO CAMBIOS EN LA LEGISLACIÓN

5.A – SEGUIMIENTO


5.A.4) REALIZAR AUDITORIAS INTERNAS

5.A – SEGUIMIENTO


5.A.5) LLEVAR A CABO UNA REVISIÓN DE LA GESTIÓN DE UNA MANERA PERIÓDICA (AL MENOS UNA VEZ AL AÑO) PARA GARANTIZAR QUE EL ALCANCE CONTINUA SIENDO

ADECUADO Y QUE LAS MEJORAS EN LOS PROCESOS SE HAN IDENTIFICADO. FOMENTAR UNA CORRECTA DOCUMENTACIÓN DE LAS REVISIONES DE LA GESTIÓN

5.A – SEGUIMIENTO


5.A.6) REGISTRAR LAS ACCIONES Y SITUACIONES QUE PUEDEN REPRESENTAR UN IMPACTO EN LA EFICIENCIA O EL RENDIMIENTO

5.A) – MEJORA CONTINUA


• IMPLEMENTAR LAS MEJORAS IDENTIFICADAS.

• LLEVAR A CABO LAS ACCIONES CORRECTIVAS Y PREVENTIVAS ADECUADAS.

• APLICAR LAS LECCIONES APRENDIDAS DE LAS EXPERIENCIAS PROPIAS O DE OTRAS ORGANIZACIONES.

• DOCUMENTAR LAS MEJORAS.

• COMUNICAR LOS RESULTADOS Y LAS ACCIONES Y LLEGAR A ACUERDOS CON TODAS LAS PARTES IMPLICADAS.

• GARANTIZAR QUE LAS MEJORAS CONSIGUEN LOS OBJETIVOS PROPUESTOS.

5.B) – REVISIÓN DE LA GESTIÓN


REVISIÓN DE LAS ENTRADAS

LA ENTRADA PARA LA REVISIÓN DE LA GESTIÓN DEBERÁ INCLUIR INFORMACIÓN SOBRE:

• RESULTADOS DE LAS AUDITORIAS Y REVISIONES.• FEEDBACK DE LAS PARTES INTERESADAS.• TÉCNICAS, PRODUCTOS O PROCEDIMIENTOS QUE PODRÍAN UTILIZARSE EN LA

ORGANIZACIÓN PARA MEJORAR LA PLANIFICACIÓN Y EFICACIA.• ESTADO DE LAS ACCIONES PREVENTIVAS Y CORRECTIVAS.• VULNERABILIDADES O AMENAZAS NO TRATADAS EN LOS PLANES DE GESTIÓN DEL

RIESGO PREVIOS.• ACCIONES DE SEGUIMIENTO INDICADAS EN REVISIONES PREVIAS.• CAMBIOS QUE PODRÍAN AFECTAR.• RECOMENDACIONES PARA LA MEJORA.

5.B) – REVISIÓN DE LA GESTIÓN


REVISIÓN DE LA SALIDA

EL RESULTADO DE LA REVISIÓN DE LA GESTIÓN DEBERÁ INCLUIR TODAS LAS DECISIONES Y ACCIONES RELATIVAS A LO SIGUIENTE:

1) MEJORA DE LA EFECTIVIDAD.

2) MODIFICACIONES DE LOS PROCEDIMIENTOS QUE AFECTEN A LA GESTIÓN CUANDO ESTOS SEAN NECESARIOS PARA PODER RESPONDER ANTE SUCESOS, TANTO INTERNOS COMO EXTERNOS.

SE INCLUIRÁN LOS CAMBIOS EN:

• REQUISITOS, DE NEGOCIO.• REQUISITOS DE SEGURIDAD.• PROCESOS DE NEGOCIO QUE AFECTEN A LOS REQUISITOS DE NEGOCIO EXISTENTES.• ENTORNOS LEGALES O NORMATIVOS.• NIVELES DE RIESGO Y/O NIVELES DE ACEPTABILIDAD DE ÉSTOS.

3) NECESIDADES RELATIVAS A LOS RECURSOS.

5.C – AUDITORIA DEL CONTROL INTERNO


• CUMPLEN LOS REQUERIMIENTOS DE ESTA NORMA Y LA LEGISLACIÓN Y NORMATIVA APLICABLE.

• CUMPLEN LOS REQUISITOS IDENTIFICADOS.• ESTÁN IMPLEMENTADOS Y SON MANTENIDOS EFICIENTEMENTE.• FUNCIONA DE LA MANERA ESPERADA.

5.D – MEJORA DE GESTIÓN


ACCIÓN CORRECTIVA

• IDENTIFICAR LAS DEFICIENCIAS DE LA IMPLEMENTACIÓN Y O LA OPERATIVIDAD.• IDENTIFICAR LAS CAUSAS DE LAS DEFICIENCIAS.• EVALUAR LA NECESIDAD DE ACCIONES PARA GARANTIZAR QUE LAS DEFICIENCIAS NO

SON RECURRENTES.• IDENTIFICAR E IMPLEMENTAR LAS ACCIONES CORRECTIVAS NECESARIAS.• REGISTRAR LOS RESULTADOS DE LAS ACCIONES REALIZADAS .• REVISAR LAS ACCIONES CORRECTIVAS LLEVADAS A CABO.



ACCIÓN PREVENTIVA

• IDENTIFICAR LAS POTENCIALES DEFICIENCIAS Y SUS CAUSAS.• DETERMINAR E IMPLEMENTAR LAS ACCIONES PREVENTIVAS NECESARIAS.• REGISTRAR LOS RESULTADOS DE LAS ACCIONES REALIZADAS.• REVISAR LAS ACCIONES PREVENTIVAS REALIZADAS.• IDENTIFICAR LOS CAMBIOS EN LOS RIESGOS Y GARANTIZAR QUE SE TIENEN EN CUENTA



CONTROL DE REGISTROS

SE ESTABLECERÁN Y MANTENDRÁN LOS REGISTROS PARA PROPORCIONAR EVIDENCIA DEL CUMPLIMIENTO DE LOS REQUISITOS Y LA EFICIENCIA OPERATIVA.

LAS IDEAS NO DURAN MUCHO. HAY QUE HACER ALGO CON ELLASLAS IDEAS NO DURAN MUCHO. HAY QUE HACER ALGO CON ELLAS

Santiago Ramón y Cajal (1854-1934Santiago Ramón y Cajal (1854-1934) )

REFLEXIÓN FINAL


[email protected]@borrmart.es

MUCHAS GRACIAS


Attribution. You must give the original author credit.

For any reuse or distribution, you must make clear to others the license terms of this work.

Any of these conditions can be waived if you get permission from the author.

Your fair use and other rights are in no way affected by the above.

This work is licensed under the Creative Commons Attribution-NoDerivs License. To view a copy of this license, visit http://creativecommons.org/licenses/by-nd/2.0/ or send a letter to Creative Commons, 559 Nathan Abbott Way, Stanford, California 94305, USA.

Creative Commons Attribution-NoDerivs 2.0

You are free:

•to copy, distribute, display, and perform this work

•to make commercial use of this work

Under the following conditions:

No Derivative Works. You may not alter, transform, or build upon this work.

implantación y control de un modelo de gestión

Technology