Taller de Sistemas.

[pic 2]

[pic 3][pic 4]

Tabla de Contenidos

Resumen Ejecutivo        

Proceso Empresa        

Análisis        

Política de Seguridad        

Conclusiones        

Resumen Ejecutivo

El uso de una buena política de seguridad depende directamente de la correcta declaración y levantamiento de los activos de la organización.

En base a esto, deben establecer cada activo con sus respectivas amenazas y vulnerabilidades con el fin de poder determinar su nivel de riesgo que puede ser bajo, medio o alto. Una vez determinado el riesgo, ya es posible poder generar un plan de mitigación y una política de seguridad altamente eficiente que ayude a mitigar los activos cuyo riesgo sea alto o extremo. Para esto se aplicarán los controles existentes en la ISO 27.001.

En este caso, se generará un análisis y se implementarán las políticas de seguridad para controlar las vulnerabilidades de los activos involucrados en el proceso de "venta de comida de mascotas" que es el Core definido en este proyecto.

El análisis especificará cada una de las vulnerabilidades de forma que pueda entenderse claramente con cuál de los controles se mitigará. Las políticas se basarán en los mismos análisis definidos.

Proceso Empresa

Hemos escogido el proceso más crítico de la empresa que es la venta de comida de perro por internet, ya que el core de la empresa es la venta de comida de perros; si este proceso llegara a fallar podría provocar pérdidas importantes para la empresa como el prestigio además de la venta de productos.

Análisis

La empresa posee información que debe proteger frente a riesgos y amenazas, y  debe asegurar el correcto funcionamiento de su negocio que es la venta de alimentos para mascotas online, el proceso más crítico es el proceso de ventas online, y en el cual este tipo de información es importante he imprescindible  para la empresa por lo que se han denominados los activos en los que se debe proteger.

EL objetivo es proteger los recursos de la empresa y la tecnología utilizada para su procesamiento, frente a amenazas internas, externas o  accidentales, con el fin de asegurar el cumplimiento de la confidencialidad, integridad y disponibilidad de la información, asegurando la implementación correcta de las medidas de seguridad comprendidas en los controles de la ISO 27001, hemos identificado los activos más importantes para el proceso de venta por internet, los cuales se pueden agrupar tipos de la siguiente manera:

• En el primer grupo está el stock de comida para mascotas y el camión repartidor.
• En el segundo grupo se encuentran los datos de información que se manipulan dentro de la empresa, en estos se encuentran los activos tales como: Factura de compras, Boletas, Boletas electrónicas,  bases de datos.  
• En el tercer grupo se encuentran las aplicaciones de software: software de pago, portal web de ventas.
• En el cuarto grupo están los equipos informáticos tales como: el computador o infra estructura informática de la empresa.
• El quinto grupo lo ocupa el personal de la empresa tales como el vendedor y el despachador.
• En sexto lugar están las comunicaciones que es el internet y red telefónica.
• En último lugar refieren a las instalaciones de la empresa Oficina Central.

Al analizar las amenazas de los activos detectamos los siguientes:

1. La mayor falencia esta en documentar los procedimientos como la labor que realiza cada trabajador y el uso de sus activos a cargo; al ser nuestra empresa pequeña este tipo de amenazas nos afecta profundamente en la operación logística por lo que nos podría causar una pérdida de imagen por el retraso en las entregas, clientes descontentos por lo ya mencionado o por entrega de información errónea lo que provoca la pérdida de  posibles ventas e incluso hasta la quiebra.

Otra falencia importante consiste en permitir el ingreso de personal no autorizado a la empresa y no disponer de un protocolo de seguridad de ingreso. Esto no sólo puede afectar al robo de información sino también a robos o daños en elementos físicos de la empresa sino también la comida para mascotas que es el producto principal de venta.

Se considera también, no disponer de una vía de entrega alternativa del producto que en este caso es la comida para mascotas. Puede suceder, y es totalmente factible que exista ya sea un fallo mecánico, accidentes de tránsito y/o un accidente directamente al camión repartidor que impedirá poder hacer el despacho del producto.

Por lo que el control que más aplicó para este tipo de amenazas es el A.12.01.01 procedimientos de operación documentados.

1. La segunda mayor falencia esta en no tener un registro del historial de lo que ocurre con los activos y no tener respaldo de ello al igual que un respaldo de los activos que son documentos por la pérdida o modificación de estos; lo que puede provocar lo mencionado en el punto anterior además de podría provocar un accidente e incluso la muerte por ejemplo por no tener un registro de las mantenciones del camión repartidor o por no tener un registro de la fecha de vencimiento de nuestros productos lo que es aún más grave. Por lo que el control que más aplicó para este tipo de amenazas es el A.18.01.03 protección de los registros.

1. La tercera mayor falencia esta en no tener un proveedor como segunda opción para los activos que son un servicio como el internet, el sistema de pago, factura electrónica y la comida para perros que es el activo más importante ya que somos una pequeña empresa que solo vende un tipo de producto, sin él no venderíamos nada y ese es nuestro core; por lo que puede provocar lo ya mencionado en el punto 1.

Una nueva falencia sería no disponer de otro sistema u otra forma de registrar las ventas emitiendo la boleta electrónica por indisponibilidad de este servicio.

El control que se aplicará para este caso es el A.12.06.01 que hace mención al control de las vulnerabilidades técnicas de los sistemas.

1. Otra falencia detectada es el hecho de no disponer de personal en caso de la ausencia de un trabajador. Si bien, la empresa se cataloga como pequeña, la ausencia de esta persona afectará directamente al negocio  perjudicando sus ventas y obviamente el la experiencia de compra del cliente. Para tales efectos, el control  que más aplica para esta situación es A.16.01.07 que trata sobre evidencias para efectos disciplinarios y de acción legal.

Estos son los controles que inicialmente influyen en la mayoría de nuestros activos declarados más riesgosos.

...