Situaciones Detectadas en la Entidad… La vulnerabilidad en la entidad es latente debido a que no posee un sistema de información para el manejo de la información administrativa, la cual está distribuida en cada uno de los equipos de trabajo de las oficinas y no tienen ninguna restricción en cuanto al acceso y uso por parte de los encargados del cargo. Fuera de ellos se desconocen o se ignoran totalmente los cuidados que se debe tener con el usuario externo que muchas veces tiene fácil acceso a los equipos de trabajo que manejan información de la entidad.

Amenazas que generan vulnerabilidad… Pero también existen otras amenazas que vulneran muy frecuentemente a las áreas de trabajo, son muy alarmantes y que se debe tomar en consideración Ataques de virus Falta de respaldo de datos Perdida de información por rotación, salida de personal Mal manejo de equipos y programas por parte de los usuarios internos Acceso no autorizado Todo lo anterior hace necesario pensar en la necesidad de Mejorar la Seguridad de los activos de Información.

Consecuencias de la carencia de un SGSI… Por ello, el carecer de un inventario de la clase de activos de información que se tiene o se maneja en cada cargo o dependencia, permite tener gran cantidad de información desordenada, duplicada, desactualizada en algunos puestos de trabajo, hecho que puede afectar los atributos de la información en cuanto al no cumplir a cabalidad con la confidencialidad, integridad y disponibilidad en un momento dado, generando esto un riesgo de no integralidad y perdida de información. Esta falla también permite que se produzcan deficiencia en la prestación del servicio al usuario externo cuando requiere algún tipo de información que puede no estar disponible en ese momento sea por ausencia del funcionario que la maneja, para lo cual se debe tener una respuesta oportuna de cualquier miembro del área de trabajo que informe y resuelva la solicitud del cliente y genere confianza hacia la entidad; o por daños físicos de los equipos o por inconvenientes técnicos de las herramientas de apoyo como las redes internas y el servicio de internet que suele ser deficiente en el municipio.

Acciones a aplicar… Lo descrito anteriormente podría controlarse un poco estableciendo mecanismos y formas de organización de la información, identificando el tipo y la clase de información, por medio de un inventario de la información, delegando responsabilidades a cada usuario encargado o responsable de la misma, el cual debe conocer y entregar a la hora de tomar o dejar el puesto de trabajo. Esto va a permitir tener un mayor control a la hora de realizar empalmes y a su vez el jefe de área, conoce que maneja cada persona su cargo y que debe entregar a la hora de dejar el mismo. También es necesario realizar trabajos de concientización al personal de la entidad enseñándoles la importancia y el manejo que debe hacerse con la información que está a su custodia y las responsabilidades legales que esto implica a la hora de manipular o dañar una información. Para ello será necesario la definición de unas políticas de seguridad de la información en el acceso, manejo y custodia de la información de cada funcionario

Camino hacia la implementación del SGSI… Además tomar muy en cuenta que la alta dirección debe ser consciente y sensibilizarse de los mecanismos y herramientas necesarios para garantizar de una manera responsable la seguridad que habría que manejar para proteger la información y los equipos de los ataques malintencionados tanto internos como externos en la entidad. Revisar y aprobar la política de seguridad de la información. Promover el cumplimiento de la política de seguridad de la información en la Entidad. Asignar los recursos necesarios planeados para la ejecución, el seguimiento y la mejora de la Seguridad de la Información de la Entidad Definir el alcance y los límites del SGSI en términos de la características del negocio, la organización, sus activos, tecnología. Definir la política del SGSI en términos de la características del negocio, la organización, sus activos, tecnología.

Deficiencias detectadas para Implementar SGSI… Poca Inversión en Tecnología… Nuestra entidad aquí tiene una falla enorme por la poca inversión que se ha hecho en tecnología e informática, implicando esto una afectación directa en la seguridad lógica para la información como activo importante de toda organización y en especial la nuestra; una manera de mejorar y dar posibles soluciones sería realizar inversiones y capacitaciones en elementos y mecanismos de seguridad informáticos tanto físicos como lógicos, de tal manera que permitan mitigar los riesgos que pueden presentarse por la acción de los diferentes actores en la entidad.  

Identificar Matriz de Riesgos… Para lograr todo lo anterior y minimizar los riesgos, se debe hacer una identificación de la matriz de riesgos de la entidad, identificarlos por prioridades y tomar controles para evitar su ocurrencia y desarrollar unos planes de contingencia para afrontar los mismos en caso de una eventual ocurrencia que permita una reacción oportuna y planificada frente al hecho ocurrido. Analizar y avaluar los riesgos, valorar el impacto, la posibilidad de ocurrencia, determinar la aceptación de los mismos. Identificar y evaluar las opciones para el tratamiento de los riesgos, Seleccionar los objetivos de control para el tratamiento del riesgo y obtener la aprobación y autorización de la dirección. logrando así convertirlo en un riesgo residual; todo ello aplicado bajo la concepción del ciclo PHVA (planear, Hacer, Verificar, Actuar)

Implementar el SGSI … realizando a cabalidad todas las actividades que implica cada fase para la implementación; y de forma responsable definir lo mejor posible cada elemento para cubrir todos las etapas a tener en cuenta en la desarrollo del SGSI. De esta manera concluir con éxito el sistema de seguridad y estar en permanente retroalimentación del ciclo y mantener actualizado y funcionando el SGSI en la entidad, el cual debe ir evolucionando de acuerdo a los cambios del entorno y estar preparado para afrontar cualquier incidente o taque sea de un cliente interno o externo de la entidad.

Seguimiento y revisión del SGSI Complementando este con el MECI y aplicando al máximo la teoría que enfatiza él mismo, “El Autocontrol” como mecanismo de un ser conscientes de los que se está haciendo en el proceso a cargo y del conocimiento que se debe tener al momento de realizar cada procedimiento para cumplir con las normas legales y la misión de la entidad. Implementar mejoras , emprender acciones correctivas y preventivas, comunicar acciones a las partes interesadas, asegurar el cumplimiento de los objetivos. Proteger y Controlar los documentos exigidos por el SGSI. Control de registros, ej: libros de visitas, informes de auditorias,, formatos de autorización de acceso. Documentar las decisiones de la alta dirección, que sean trazables y que los resultados registrados sean reproducibles. Definir la responsabilidad de la Alta dirección: Compromiso, gestión de Recursos.