SGSI y MAS Implantación en el M.H..

Presentación del tema: "SGSI y MAS Implantación en el M.H.."— Transcripción de la presentación:

1 SGSI y MAS Implantación en el M.H.

2 ¿QUÉ ES LA SEGURIDAD DE LA INFORMACIÓN?
La seguridad de la información es preservar su:

3 Información: Sistemas automatizados: Sistemas manuales
Soportes Magnéticos Sistemas manuales Soportes físicos (papel)

4 Sistema de Gestión de Seguridad de la Información (SGSI)
Comprende la Política, el Manual, la Estructura Organizativa, los Procesos y los recursos necesarios para implantar la gestión de la Seguridad de la Información

5 Jerarquía Documental NTCI (Corte de Cuentas)
NTCIE (Corte de Cuentas – MH) MAPO (Capítulo 7) SGSI el cual contiene: Manual de Seguridad (MAS) Procedimientos Normativos (PRSN) Procedimientos Operativos (PRSO) Fichas de Proceso Otros documentos (Metodologías, guías, etc.)

6 Codificación Utilizada en algunos documentos
SGSI: Sistema de Gestión de Seguridad de la Información MAS: Manual de Seguridad de la Información PRSN: Procedimiento Normativo de Seguridad PRSO: Procedimiento Operativo de Seguridad GTS: Guías de Trabajo de Seguridad FDPS: Fichas de Proceso de Seguridad

7 Adopción de Estándares Internacionales
ISO/IEC 27001:2005 “Especificaciones para los Sistemas de Gestión de Seguridad de la Información” ISO/IEC 17799:2005 “Código de Buenas Practicas para la Gestión de la Seguridad de la Información”

8 CICLO DE DESARROLLO, MANTENIMIENTO Y MEJORA DEL SGSI
Rol de la DINAFI Definir el alcance del SGSI Definir la política del SGSI Identificar los riesgos Gestionar los riesgos Seleccionar los controles Preparar la relación de controles Establecer el SGSI planificar actuar hacer Mantener y mejorar el SGSI Implantar y operar el SGSI Rol de la DINAFI y DIRECCIONES Definir plan de gestión de riesgos Implantar plan de gestión de riesgos Implantar controles seleccionados verificar Monitorear y revisar el SGSI Rol de las Unidades Organizativas del MH Implantar las mejoras Adoptar acciones preventivas y correctivas Comunicar acciones y resultados Verificar que las mejoras cumplen su objetivo Rol de la UGC y DINAFI Desarrollar procedimientos de monitoreo Revisar regularmente el SGSI Revisar los niveles de riesgo Auditar internamente el SGSI ->

9 Manual de Seguridad de la Información del MH
Secciones 1 - 8: Requisitos del SGSI según estándar ISO/IEC 27001:2005 Sección 9: Controles seleccionados del estándar ISO/IEC 17799:2005 Sección 10: Sanciones Sección 11: Correspondencia con Calidad

10 Sección 1: Introducción y Alcance del SGSI
Objetivos Base legal Alcance Proceso de Seguridad

11

12 Sección 2 Referencias

13 Sección 3 Términos y Definiciones

14 Sección 4: SGSI Requisitos Generales
Establecimiento y Gestión del SGSI (FASES) Requisitos de la Documentación (Control de Documentos y Registros)

15 Sección 5: Responsabilidades
Compromiso de la Dirección Titulares DINAFI Directores Encargados de Seguridad Propietarios, Custodios y Usuarios Gestión de los Recursos Provisión de Recursos Formación, Concientización y Competencia

16 Sección 6: Auditorias del SGSI
Se realizarán para todo el SGSI por la Unidad de Gestión de la Calidad de SEDE

17 Sección 7: Revisión del SGSI
Información para la revisión: Resultado de auditorias y monitoreo Estado de las acciones preventivas y correctivas Resultados de la revisión Mejorar los procesos Actualización del Análisis de Riesgos Las necesidades de recursos

18 Sección 8: Mejora Continua
Acciones Correctivas Eliminar las causas de las no conformidades detectadas y evitar su repetición. Acciones Preventivas Identificar y eliminar las causas de No conformidades Potenciales detectadas y prevenir que ocurran.

19 Sección 9: Lineamientos
Organización de la Seguridad de la Información Gestión de Activos Seguridad de los Recursos Humanos Seguridad Física y Ambiental Gestión de Comunicaciones y Operaciones Control de Accesos Adquisición, Desarrollo y Mantenimiento de Sistemas de Información Gestión de Incidentes de Seguridad de la Información Gestión de Continuidad del Negocio Conformidad

20 9.1 Organización de la Seguridad
Controles para facilitar la gestión de la seguridad de la información en el seno de la Institución. Recursos y funciones definidas. Trato con terceros

21 9.2 Gestión de Activos Controles para catalogar los activos y protegerlos eficazmente. Identificar, clasificar y marcar la información ¿Qué es lo que tengo? ¿Es confidencial o no? ¿Se maneja adecuadamente?

22 9.3 Seguridad de los Recursos Humanos
Controles para reducir los riesgos de error humano, robo, fraude y utilización abusiva de los activos o equipos. Capacitación y conocimiento sobre seguridad.

23 9.4 Seguridad Física y Ambiental
Controles para impedir la violación, el deterioro y la perturbación de las instalaciones y datos ¿Está mi información o los equipos protegidos contra accesos no autorizados y desastres (fuego, inundación, etc) ¿Poseo mantenimientos correctivos o preventivos de mis equipos?

24 9.5 Gestión de Comunicaciones y Operaciones
Controles para garantizar un funcionamiento seguro y adecuado de los dispositivos de tratamiento de la información

25 9.6 Control de Accesos La autenticación, autorización y el registro del acceso a la información. ¿Quién es? ¿Tiene los privilegios para el acceso? ¿Qué hizo?

26 9.7 Adquisición, Desarrollo y Mantenimiento de Sistemas
Controles para garantizar que la seguridad esté incorporada a los sistemas de información

27 9.8 Gestión de Incidentes de Seguridad
Controles para gestionar las incidencias que afectan a la seguridad de la información. ¿Qué sucedió? ¿Cuántas veces ha sucedido? ¿Fue grave o no? ¿Se toman las acciones para evitar que suceda nuevamente?

28 9.9 Gestión de Continuidad del Negocio
Controles para reducir los efectos de las interrupciones de actividad y proteger los procesos esenciales de la empresa contra averías y siniestros mayores.

29 9.10 Conformidad Controles para prevenir los incumplimientos de las leyes penales o civiles, de las obligaciones reglamentarias o contractuales y de las exigencias de seguridad

30 Acciones requeridas por dirección a mediano - largo plazo
Inventario y gestión de activos de los sistemas de información Análisis de riesgo Plan de Seguridad de la Información Plan de contingencia y continuidad Clasificación de la información Elaboración de Procedimientos Operativos Monitoreo

31 Acciones requeridas por dirección a corto plazo
Se requiere que los encargados de Seguridad divulguen el SGSI y el MAS al interior de cada Dirección, presentando a más tardar una copia de los formularios de inducción completados, el 1 de Noviembre.

32 Documentos del SGSI Disponibles a través de la Intranet del M.H. en o

33 Área de Seguridad de la Información
Salvador E. Monterrosa Ext. 3144, David Edgardo Sandoval Ext. 3167, Carlos Eduardo Delgado Ext. 3167,

34 GRACIAS POR SU ATENCIÓN