ACTIVIDAD DE APRENDIZAJE 4

CASO SIMON PARTE III

PRESENTADO POR:

Álvaro Andrés Millán Cortes

GESTION DE LA SEGURIDAD INFORMATICA

Informe: Análisis de caso: Simón PARTE III

Teniendo en cuanta los activos de información mencionados en el anterior plan de

trabajo, primero debemos de conocer los conceptos relacionados con el ‘análisis
de riesgos’ y la ‘seguridad en la información’:

Amenaza: Es la causa potencial de un daño a un activo.

Vulnerabilidad: Debilidad de un activo que puede ser aprovechada por una

amenaza.

Impacto: consecuencias de que la amenaza ocurra.

Riesgo intrínseco: cálculo del daño probable a un activo si se encontrara

desprotegido.

Salvaguarda: Medida técnica u organizativa que ayuda a disminuir el riesgo.

Riesgo residual: Riesgo remanente tras la aplicación de salvaguardas

Inventario de la organización mencionado en la actividad anterior:

Metodología de Magerit:
Magerit es una metodología de análisis y gestión de riesgos de los Sistemas de
Información elaborada por el Consejo Superior de Administración Electrónica del
gobierno español para minimizar los riesgos de la implantación y uso de las
Tecnologías de la Información, enfocada a las Administraciones Públicas.
información en la organización de Simón:

Para realizar este tipo de inventarios podemos utilizar herramientas como PILAR,
los cuales contienen interfaces agiles y fáciles de utilizar y proporcionar
capacidades útiles en este proceso:

Valoración cuantitativa: Dinero

Valoración cualitativa: bajo, Medio, Alto o de 0 a 10. Basados en un criterio se

puede utilizar características principales de la información: Integridad,
Confidencialidad y disponibilidad.
Existen muchas formas de valorar activos: La entrevista y La encuesta son los
más utilizados, seleccionando un muestreo del personal de la organización.

Se puede abordar el análisis de riesgos con varios enfoques dependiendo del

grado de profundidad con el que se quiera o pueda realizar el análisis:

1. Enfoque de Mínimos:
Se escoge un conjunto mínimo de activos y se hace un análisis conjunto, de
manera que se emplean una cantidad mínima de recursos, consumiendo poco
tiempo y por lo tanto tiene el coste es menor.

2. Enfoque informal:
Con este enfoque, no se necesita formación especial para realizarlo ni necesita de
tantos recursos de tiempo y personal como el análisis detallado.

3. Enfoque detallado:
Con este enfoque se consigue una idea muy exacta y objetiva de los riesgos a los
que se enfrenta la organización.

4. Enfoque combinado:
Con un enfoque de alto nivel al principio, permite determinar cuáles son los activos
en los que habrá que invertir más antes de utilizar muchos recursos en el análisis.

Identificar amenazas

Una vez identificado los activos de la organización podemos definir cuáles son las
vulnerabilidades de los activos:

Atendiendo a su origen, existen dos tipos de amenazas:

Externas: Que son las causadas por alguien (hackers, proveedores, clientes, etc.)
o algo que no pertenece a la organización. Ejemplos de amenazas de este tipo
son los virus y las tormentas:

ACTIVOS VULNERABLE VALORACION

DATOS INFORMACION MUY FUERTE
APLICACIÓN DE SOFTWARE FRECUENTE
EQUIPOS INFORMATICOS FRECUENTE
PERSONAS MUY FRECUENTE
REDES DE COMUNICACIÓN QUE DAN
SOPORTE A LA ORANIZACION NADA FRECUENTE
SOPORTE DE LA ORANIZACION MUY FRECUENTE
INSTALACIONES NADA FRECUENTE
IMAEN DE LA EMPRESA POCO FRECUENTE

Internas: Estas amenazas son causadas por alguien que pertenece a la

organización, por ejemplo, errores de usuario o errores de configuración.

Normatividad de la seguridad informática en la empresa de Simón:

Lo primero que se debe de hacer es determinar con la junta directiva que la

seguridad informática de su organización debe de hacer parte de sus procesos y
procedimientos, esto aumentara la efectividad del proceso de SGSI determinando
que los objetivos marcados se cumplan y que se minimicen el impacto de los
riesgos que pueda correr la organización:

Como normas a implantar tenemos:

ISO: Organización internacional de normalización

IEC: Comisión Electrotécnica Internacional

ISO/IEC 27001: Estas normas permiten:

Establecer
Implementar
Operar
Supervisar
Revisar
Mantener
Mejorar

Admitiendo de esta forma certificar a la empresa de Simón en el cumplimiento de

sus características marcadas en la norma.

Según las normas de la información en Colombia estas son: Ley 527/1999, Dec
2364/2012, Ley 1273/2009, Ley 1581/2012, Dec 1377/2013 y Ley 1341/2009.