Logros en Implementación Sistema de Seguridad de la Información Ministerio de Educación Ricardo Cid Fuentes Encargado de seguridad de la Información

Temario Metas Propuestas Políticas de seguridad Organización de la Seguridad Gestión de activos Recursos Humanos Seguridad física y ambiental, Operaciones y comunicaciones. Controles de acceso. Desarrollo y mantenimiento de sistemas. Continuidad del servicio y cumplimiento Factores claves de éxito

Metas Propuestas en el ámbito de la seguridad de la Información Desarrollo de un Sistema de Seguridad de la Información en el contexto del cumplimiento del PMG SSI. Confidencialidad Integridad Disponibilidad Cumplimiento de normas vigentes. Mejorar las condiciones de seguridad de la información para planificar certificación ISO 27001 en proceso (s) crítico (s). Como lo hicimos? Nos basamos en la familia ISO 27000.

Políticas de seguridad

Organización de la Seguridad Comité de seguridad de la Información Listas de contacto (autoridades y grupos de interés) Acuerdos de confidencialidad para los funcionarios.

Activos VS Análisis de riesgos Gestión de activos Activos VS Análisis de riesgos Activos Riesgos R1 R2 R3 Ac 1 Ac 2 BCP Selección de procesos Identificación de activos Análisis de riesgos BIA BCP

Recursos Humanos Políticas de contratación, inducción, capacitación y difusión Disposiciones complementarias. Perfiles de usuarios claves. Inducción y capacitación Protector de pantalla Anécdota de implementación E-mineduc capacitación para todos los funcionarios (moodle), con meta inicial del 25%. Desarrollo por el área de seguridad. Cursos especializado de CISSP, BCP y DRP

Seguridad física y ambiental Operaciones y comunicaciones Análisis y mejora de Data Center Desarrollo de procedimientos. Externalización de cableado de datos. Unificación de contrato de Telefonía. Revisión de sistema de respaldos Interoperabilidad Disposiciones de seguridad física que considera acceso restringido a zonas críticas. Política de escritorio limpio y consumo de alimentos. Procedimientos de movimientos y bajas. Zonas seguras sin señalética. Externalización del datacenter definición de estándares de arquitectura de sistemas y proyectos. soporte para sistemas críticos. Procedimientos capacitación a los administradores. Externalización Cableado de datos telefonía fija y móvil.

Controles de acceso Control de acceso Active Directory SSO (Sistema único de acceso para usuarios externos) Active Directory (Gestión de usuarios internos) Bloqueo de sesiones inactivas VPN (Control de conexiones remotas) NAC (Control de Acceso a la red) Segmentación en la Red Controles al Sistema Operativo.

Desarrollo y mantenimiento de sistemas Desarrollo de sistemas Definiciones de seguridad para nuevos proyectos. QA (Revisión de aplicaciones antes de paso a producción) Ethical Hacking (Test de intrusión a plataformas) Monitoreo de sistemas. Arquitectura de sistemas

Continuidad del servicio y cumplimiento Procedimientos Normas aplicables Marco Jurídico Respaldos de sistemas y datos Respaldos de estaciones criticas BCP Auditorias Internas y externa

Factores claves del éxito Seguridad De la Información Compromiso Disposición al cambio Trabajo en equipo Metas objetivas Conocimiento.