CASO PRACTICO SIG

Caso práctico[pic 1]

Trabajo: KHC Abogados

En la actualidad, la información ha pasado a ser uno de los activos más valiosos para las Organizaciones. De una buena gestión de la información dependerá, en gran medida, el buen funcionamiento de la empresa.

Tras un problema en sus servidores, que ha provocado la pérdida de parte de la información confidencial manejada, KHC Abogados, que hasta entonces no había tenido en cuenta la seguridad de la información, convierte la misma en uno de los objetivos estratégicos para el próximo año. Para ello decide implantar y certificar un Sistema de Gestión de la Seguridad de la Información en base a la Norma ISO/IEC 27001 y te nombra responsable del SGSI.

• Antes de comenzar con la implantación y como responsable del Sistema, debes plantearte estas cuestiones ¿Qué debe hacer KHC Abogados? ¿Qué NO debe hacer KHC Abogados? Cumplimenta la siguiente tabla.

• ¿Cuáles serían los pasos a seguir por KHC Abogados para llevar a cabo la evaluación de riesgos?

1. Identificar los activos de la organización (responsables y todo aquello que tiene valor para la organización).
2. Identificar los propietarios de los activos (incluyendo respaldos físicos, intelectuales o informativos).
3. Identificar las amenazas bajo las que operan estos activos.
4. Identificar la probabilidad de que se materialice una amenaza.-aquello que pueda afectar la información mediante desastre natural, o ataques informáticos entre otros.
5. Realizar valoraciones conforme a la confidencialidad, integridad y disponibilidad de la información.
6. Establecer un método de cálculo para el riesgo.- se lo realiza a partir de la probabilidad de ocurrencia  de riesgo y el impacto que este tiene sobre la organización.
7. Analizar los impactos para la organización de la materialización de las amenazas. (Zubieta, 2018).

• ¿Qué información documentada derivaría de la implantación del SGSI en base a la Norma ISO/IEC 27001?

La Norma ISO 27001 en su desarrollo establece el sistema documental derivado de la implantación  de un SGSI, tales como:

• Proceso de apreciación de riesgos de seguridad de la información.
• Proceso de tratamiento de riesgos de seguridad de la información.
• Objetivos de seguridad de la información.
• Competencia de los integrantes de la organización.
• Planificación, implantación y control de los procesos.
• Resultados de las apreciaciones de riesgos de seguridad de la información.
• Resultados del tratamiento de los riesgos de seguridad de la información.
• Resultados del seguimiento, medición, análisis y mejora.
• Resultados de la auditoria interna.
• Implementación del programa de auditoria.
• Resultados de las recisiones por la dirección.
• No conformidades.
• Resultados acciones correctivas.  (Zubieta, 2018).

• ¿Qué política seguirías para controlar los accesos externos a la red interna?

Para poder establecer un control de los accesos externos a la red interna, iniciaría de la siguiente manera:

• Restricción de actualización o eliminación a través de un usuario y/o contraseña, en donde, solo las personas que se encuentren identificados o que lo soliciten a través de una autorización, podrán acceder a obtener dicha información y se informará al usuario de la acción que se tomará en caso de incumplimiento de la norma.
• Revisión de manera periódica el estado de los equipos y de las amenazas que pueden afectar al sistema.
• Los cambios a generarse deberán ser solicitados mediante una solicitud, dando a conocer del proceso o archivo que se haya guardado con error y el fundamento técnico que lo origino.
• Realizar una capacitación y evaluación periódica al usuario en el manejo de la información.

Bibliografía

AENOR. (2017). NORMA UNE-EN ISO/IEC 27001- Sistemas de Gestión de la Seguridad de la Información (SGSI). Madrid: AENOR.

Zubieta, J. (2018). Gestión de I+D+i; Gestión de la Seguridad de la Información: ISO 27000 y 27001; ISO 20000-1:2011 Gestión del Servicio. Logroño: UNIR.

...