EQUIPO DE TRABAJO DEL PLAN DE SEGURIDAD DOCUMENTAL DEL SIGC-SUA TUTORIAL PARA LA CUMPLIMENTACIÓN DE FICHAS DEL PLAN DE SEGURIDAD DOCUMENTAL DEL SIGC-SUA EQUIPO DE TRABAJO DEL PLAN DE SEGURIDAD DOCUMENTAL DEL SIGC-SUA Enero 2013

OBJETO DEL TUTORIAL Este tutorial pretende facilitar la cumplimentación de las fichas incluidas en el Plan de Seguridad Documental del SIGC-SUA para identificar los sistemas de seguridad que intervienen en la gestión de cada uno de los procesos incluidos en el sistema

Alcance de las fichas a cumplimentar Se identificarán los recursos utilizados para la documentación de cada proceso, cumplimentándose una ficha para cada documentación identificada

Información contenida en las fichas Acceso autorizado a: se indicarán los códigos RPT de las personas, unidades/servicios que acceden al sistema. Los códigos RPT se pueden obtener en la Relación de Puestos de Trabajos del PAS incluida en la web del Servicio de Personal y Organización Docente así como el Directorio disponible en el enlace “contacto” de la página principal de la Universidad. Tipo de formato: se indicará si se trata de papel o electrónico

Información contenida en las fichas Tipo de recurso y/o soporte: se indicará el nombre del soporte y si se estima oportuno una breve descripción del mismo. Este campo pretende describir someramente la herramienta informática que soporta el proceso o, si fuese en papel, el sistema de almacenamiento. En esta breve descripción se puede hacer referencia a la forma de almacenamiento del recurso, ya sea física o lógica. Por ejemplo, una base de datos tendrá un soporte físico (ordenador) y un soporte lógico (sistema de base de datos que podrá ser, por ejemplo, Access)

Información contenida en las fichas Responsable del recurso: se indicará el o los códigos RPT de la persona o personas con responsabilidades sobre el recurso, que normalmente serán quienes lo mantienen o gestionan. Ubicación del recurso: Se indicará la dependencia física donde el recurso se encuentra ubicado (ejemplo: B1-105) y si se dispone de él, también el número de inventario del equipo Para el caso de los sistemas de información gestionados por el Servicio de Informática, indicar “CPD”

Información contenida en las fichas Seguridad: Se indicarán los elementos de seguridad que velan por la integridad de los recursos. Por ejemplo, en el caso de un ordenador, por norma general, debería existir un antivirus instalado y actualizado en el PC que se deberá reflejar en la ficha. Además, se indicará si el equipo cuenta con una contraseña de acceso, pero no escribir la contraseña en la ficha. También, en el caso de que existieran otros elementos con sistemas de seguridad antes de llegar a acceder al dato, se harán constar aquí. En el caso de un documento en soporte papel, podría incluirse, si así fuese el caso, una cajonera bajo llave, caja fuerte, etc. Seguridad en redes: no habrá de rellenarse

Información contenida en las fichas Contraseñas: Se indicará el código RPT de la persona encargada de la generación, asignación y custodia de las contraseñas. No cumplimentar en caso de contraseñas generadas por el Servicio de Informática. Nivel de seguridad: Seguridad alta: Contraseñas de 15 o más caracteres y que contienen caracteres especiales (%, +, =, $, -, etc.) combinadas con mayúsculas, minúsculas y números Seguridad media: Contraseñas entre 8 y 14 caracteres Combinación de mayúsculas, minúsculas y números. Siempre que no sea la primera letra la única mayúscula (ghU4rK3Z) Seguridad Baja: Contraseña con menos de 8 caracteres Palabras que se puedan encontrar en un diccionario (español, inglés, etc.) Nombres de animales, mascotas, familiares, personajes de literatura, etc. Palabras muy frecuentes (secreto, password, clave, tequiero, etc.) Secuencias de palabras o números (123456, 12345678, abc123, número de teléfono, etc.) Abreviaturas de palabras (pwd, avda, etc.)   Información adaptada del documento de Política de Seguridad SANS ¡¡En la ficha no se escribirá ninguna contraseña!!

Información contenida en las fichas Copias de seguridad: Nombre de la fuente de datos: Se indicará la fuente de los datos de la copia de seguridad Responsable: Se indicará el código RPT del responsable de realización de las copias de seguridad Recurso: indicar el recurso (por ejemplo, disco duro externo) donde se encuentra la copia de seguridad. No indicar el recurso origen en el que realmente se encuentra el dato. Ubicación: dependencia física donde se encuentra la copia de seguridad Periodicidad: periodos de tiempo en los que se realiza la copia Registro de copias de seguridad: incorporar como ejemplo el documento EXCEL donde se relacionan las copias de seguridad. Aconsejable tener registro donde se indiquen las diferentes copias realizadas