Check-List De Seguridad de Lógica y Física

Nº

Criterios a Evaluar.

Si

No

Tiene la red eléctrica protección contra sobrecargas Si se utilizan baterías de reserva, existe la ventilación adecuada necesaria

Existe una o varias UPS's que soporten la carga eléctrica del área de servidores

Existe una fuente de alimentación alterna para casos de falla de la alimentación normal

Se realizan mantenimientos periódicos a esta fuente de alimentación alterna

Está el cableado de datos debidamente canalizado e identificado Se encuentran todos las canalizaciones protegidas de accesos ilícitos

Cuenta el área de servidores con CCTV

Se encuentra el centro de administración del CCTV fuera del área de servidores

Cuentan las puertas de área de servidores con cerraduras de seguridad adecuadas

Están las personas de limpieza capacitadas para realizar las funciones de aseo dentro del área de servidores

Cuenta el área de servidores con un proceso adecuado de desecho de papelería

¿Se encuentra el sistema en una superficie sólida y estable lo más cerca del suelo posible?

¿Realizan mantenimiento preventivo al equipo de cómputo?  

¿La velocidad del procesador es el adecuado para los programas que son utilizados en los equipos?  

¿Está el aula  a salvo de la luz solar excesiva, viento, polvo, agua o temperaturas extremas de frío / calor?

¿Está el aula o edificio  situado en un sitio donde pueda tener un seguimiento, aislado y con poco tráfico humano?

¿Están las puertas cerradas con llave y las alarmas activadas fuera de horario de oficina?

¿El auditorio esta  bloqueado para evitar que alguien por casualidad pase por el auditorio  y lo use (aunque sólo sea por unos segundos)? 

¿Están todos los usuarios desconectados del terminal?

¿Están los interruptores del terminal bloqueados o protegidos?

¿Existen dispositivos de entrada al auditorio no asegurados / deshabilitados: unidades de disco bloqueadas / deshabilitadas? 

¿Están los puertos paralelo / serie / infrarrojo / USB / SCSI asegurados o deshabilitados? 

¿Existen discos duros conectados físicamente al sistema sin bloquear?

¿La organización ha definido un documento con la política de seguridad de la información?

¿La política de seguridad de la información se revisa periódicamente?

¿Existe un Comité de Seguridad encargado de la gestión de los temas relativos a la seguridad de la información?

¿Se dispone de un inventario de activos?

¿Se ha definido quien es el responsable de los activos?

¿Los equipos TIC críticos de la organización están ubicados en salas de CPD (centro de procesamiento de datos)?

¿Se verifica regularmente la correcta realización de las copias se seguridad?

¿Se registran las actividades de los administradores y operadores de sistema?

¿Se ha definido, documentado e implantado un proceso formal para la asignación de contraseñas?

¿Se controla la instalación de software en sistemas en producción?

¿Existe un proceso formal para la gestión de las vulnerabilidades técnicas de los sistemas en uso?

¿Se verifican los sistemas de información regularmente para comprobar su adecuación a los estándares de seguridad implementados?

¿Existe un administrador de sistemas que controle las cuentas de los usuarios?

¿Las contraseñas cuentan con letras, números y símbolos?

¿La escuela cuenta con un proceso para dar mantenimiento preventivo  al software?

¿Se tienen software antivirus instalados en los equipos de cómputo?

¿Se tienen instalados anti malware en los equipos de cómputo?

¿Existe un proceso para mantener las licencias actualizadas?

¿Se sanciona al integrante del departamento si instala software no permitido?

¿El cableado del edificio es accesible para una revisión física?

¿Los cables de los equipos se encuentran debidamente aislados del paso de personas?

El área de servidores contiene solamente el equipo relacionado directamente con informática y sus sistemas de ayudas ambientales

Está el área de servidores situado lejos de interferencias electromagnéticas

La carga sobre el piso del área de servidores está en el margen permitido por la capacidad de peso del edificio

Tiene el área de servidores el área mínima establecida según la cantidad de áreas de trabajo que soporta para garantizar que los equipos tengan la debida ventilación y acceso Tiene el área de servidores un sistema de control del ambiente apropiado

Está el sistema de control del ambiente conectado a una fuente de alimentación alterna en caso de que falle el fluido electric

Se mantiene el área de servidores en un rango de temperaturas permitidas Se mantiene el área de servidores con una humedad relativa permitida

Los materiales con que está construido el piso del área de servidores poseen características antiestáticas

Tiene el área de servidores una altura mínima adecuada Tiene el área de servidores una salida de emergencia identificada

Existe una alarma para detectar ingreso de materiales magnéticos

Se ha prohibido a los operadores el consumo de alimentos y bebidas en el interior del área de servidores para evitar daños al equipo

Está el área de servidores protegido de la luz solar directa

Está el centro de cómputo libre de ventanas hacia el exterior

Tiene el área de servidores una iluminación mínima adecuada

Se encuentran todos los elementos de iluminación a una altura adecuada Cuenta el área de servidores con las luces de emergencia mínimas necesarias

Se encuentran los interruptores de iluminación en un sitio adecuado

Están separados los circuitos eléctricos de iluminación de los circuitos que alimentan los equipos

Están separados los circuitos eléctricos de iluminación de los circuitos que alimentan los equipos

Está instalada una alarma para detectar fuego (calor o humo) en forma automática? La cantidad de estaciones manuales para comunicar la presencia de fuego es la adecuada

La cantidad y tipo de extintores automáticos en el área de servidores es la adecuada Si es que existen extintores automáticos son activados por detectores automáticos de fuego Existe un lapso de tiempo suficiente, antes de que funcionen los extintores automáticos para que el personal corte la acción de los extintores por tratarse de falsas alarmas

Existe un lapso de tiempo suficiente, antes de que funcionen los extintores automáticos para que el personal pueda cortar la energía eléctrica

En caso de que los extintores sean a base de gas, existe un lapso de tiempo suficiente, antes de que funcionen los extintores automáticos para que el personal pueda abandonar el local sin peligro de intoxicación

La cantidad de extintores manuales en el área de servidores es la adecuada

El personal del área de servidores ha recibido capacitación del uso de extintores manuales

Los extintores manuales o automáticos utilizados utilizan un agente que no dañe los equipos

Se le da mantenimiento preventivo al sistema de extintores automáticos de manera periódica y programada

Se verifica cada cierto tiempo que los extintores manuales estén cargados y funcionando correctamente

Existe un procedimiento establecido de acción en caso de una emergencia ocasionada por fuego

Nº

Criterios a Evaluar.

Si

No

¿Los manuales están a la mano del personal?

¿Es correcto el uso que se le da al sistema?

¿El sistema tiene la capacidad de procesamiento eficiente?

¿La configuración del sistema está ligada a las políticas de seguridad de información de la empresa?

¿El mantenimiento se realiza de manera periódica?

¿Las fallas que ha tenido el sistema han sido corregidas de manera exitosa?

¿El sistema cuenta con licencia original?

¿El sistema fue construido a la medida de la organización?

¿Es compatible con dispositivos móviles como PDA?

¿Es sencillo re-estructurar la base de datos del sistema?

¿Se envía información como  tips y guías rápidas a los usuarios, de las actividades cotidianas?

¿Se cuenta con procedimientos definidos para la adquisición de nuevos equipos?

¿Existen lugares de acceso restringido?

¿Se mantienen copias de los archivos y programas

Importantes en otro lugar a prueba de fuego?

¿Está controlado el acceso de personas a la sala del  equipo computacional?

¿Manejas algún sistema de Acciones Correctivas o Preventivas?

¿Se tienenlugares de accesorestringido?

¿Se poseenmecanismos de seguridadpara el accesoaestoslugares?

¿A estemecanismo de seguridad se le handetectadodebilidades?

¿Tienemedidasimplementadas ante la falla del sistema de seguridad?

¿Con cuanta frecuencia se actualizar las claves o credenciales de acceso?

¿Se tiene un registro de las personas queingresan a lasinstalaciones?

Administración de los Centros de Procesamiento de Datos

Grabación de Datos

Planeaciónestratégica de sistemas.

Interventora de proyectos de sistemas

Planeación de Contingencias en Sistemas de Información.

Análisis y Diseño de Sistemas.

Programación de aplicaciones.

Mantenimiento de Software Aplicativo

Administración y soportetécnico en Telecomunicaciones.

QualityAssurance (Aseguramiento de calidad).

Seguridad en Sistemas de Información.

¿Los manuales están a la mano del personal?

¿Es correcto el uso que se le da al sistema?

¿El sistema tiene la capacidad de procesamiento eficiente?

¿La configuración del sistema está ligada a las políticas de seguridad de información de la empresa?

¿El mantenimiento se realiza de manera periódica?

¿Las fallas que ha tenido el sistema han sido corregidas de manera exitosa?

¿El sistema cuenta con licencia original?

¿El sistema fue construido a la medida de la organización?

¿Es compatible con dispositivos móviles como PDA?

¿Es sencillo re-estructurar la base de datos del sistema?

¿Se envía información como  tips y guías rápidas a los usuarios, de las actividades cotidianas?

¿Se cuenta con procedimientos definidos para la adquisición de nuevos equipos?

¿Existen lugares de acceso restringido?

¿Se mantienen copias de los archivos y programas

Importantes en otro lugar a prueba de fuego?

¿Está controlado el acceso de personas a la sala del  equipo computacional?

¿Manejas algún sistema de Acciones Correctivas o Preventivas?

¿Se tienenlugares de accesorestringido?

¿Se asegura el servicio continuo del sistema?

¿El sistema controla a los usuarios mediante autentificación y cuenta de usuario creada?

¿El sistema funciona en base al detalle de requisitos?

¿El sistema responde en tiempo real?

¿El sistemasoportamodificaciones?

¿Existe una persona que se encarga de llevar a cabo dichas modificaciones?

¿Se cuenta con manual de usuario?

¿Se cuenta con manual de operaciones?

¿Se cuenta con manual de mantenimiento?

¿Proporciona un marco para la gestión de la seguridad de la información?

¿Proporciona un enfoque sistemático para la seguridad de la información (realización de copias de seguridad)?

¿Los administradores encargados de realizar las modificaciones tienen la formación y conocimientos adecuados?

¿La informaciónestádisponible?

¿Se realiza mantenimiento periódico a la BD?

¿Se pueden modificar los registros o campos del sistema?

¿El sistema funciona en diferentes sistemas operativos?

¿Se realizan pruebas a los módulos antes de liberarlos?

¿El sistema realiza los procesos y operaciones de forma segura?

¿Se cuenta con diferentes perfiles para el sistema?

¿En caso de una modificación accidental se puede recuperar el registro modificado?

Nº

Criterios a Evaluar.

Si

No

¿En caso de que existan redes implementadas con fibra óptica estas van de acuerdo al estándar 802.3?

Para la protección de equipos de cómputo ¿Se toma en cuenta la norma oficial mexicana NOM-016-SCFI-1993 para la prevención de riesgos en los equipos de telecomunicaciones?

¿La red cuenta con los requerimientos mínimos para el cableado localizado dentro del ambiente de oficina, como lo marca el estándar ANSI/TIA/EIA 607?

¿El cableado implementado sigue todos los lineamientos de acuerdo al estándar ANSI/TIA/EIA-606?

¿La red inalámbrica proporciona velocidades de transmisión de 54Mbps en distancias cortas?

¿Se tiene plenamente identificada cada estación de trabajo dentro de la empresa?

¿Los servicios de seguridad utilizados se implementan de acuerdo al estándar 802.10?

¿La administración de la infraestructura del edificio para ampliación de la red va de acuerdo al estándar ANSI/TIA/EIA-606-A-2002?

¿Existe fibra óptica en algún punto específico de la red para el mejor rendimiento de un área?

¿La topología establecida se puede actualizar de tal manera que no ocurra ninguna anomalía dentro de la red?

¿Se tiene implementado un sistema de control de acceso a los dispositivos?

¿Los equipos se encuentran instalados en áreas con temperaturas adecuadas para su funcionamiento?

¿La empresa posee como mínimo 2 enlaces de Internet y un número igual de direcciones IP Publicas para que con esto tenga la factibilidad de redundancia en casos de falla?

¿Los Access Point cuentan con una encriptación de 256 bits?

¿Se cuenta con SSID en  los dispositivos Access Point para proporcionar mayor seguridad?

Si se cuenta con red inalámbrica ¿La señal cubre a las áreas debidas?

¿El ancho de banda de la red inalámbrica es suficiente para soportar el tráfico de datos?

¿Cuenta con un registro de los usuarios que acceden a la red?

¿La red cuenta con cableado horizontal y vertical según el tipo de topología?

¿Los cables de los equipos se encuentran en buen estado?

¿Esta implementado un modelo de QoS en la red?

¿El TGB (TelecommunicationsGroundingBusbar) cuenta con los requerimientos mínimos del estándar ANSI-J-STD-607-A?

¿La red cuenta con los equipos  y aplicaciones (protección) necesarias para tener una mayor resguardo de intrusos activos (hackers)?

¿Los enlaces de la red se testean frecuentemente?

¿La longitud de los tramos de cableado horizontal no excede de los 90 metros?

¿El armado del patch panel cumple con los requerimientos básicos del estándar 568-A y 568-B?

¿El etiquetado implementado en la organización cuenta con un código de colores para facilitar su identificación?

¿Cuenta con un mapa arquitectónico para la verificación del sembrado de nodos?

¿El cable cuenta con los recorridos horizontales correctos  para el backbone y sus subsistemas?

¿Cuenta con mapas arquitectónicos de rutas de red para la implementación de un nuevo nodo?

¿Se tiene implementado el protocoló CSMA/CD para un mejor funcionamiento del sistema Ethernet?

¿El cableado estructurado del interior del edificio viaja dentro de canaleta o ducto?

¿Cuenta con dispositivo firewall físico para protección y aseguramiento de la red?

¿Cuenta con, configuraciones proxy en los equipos?

¿Las direcciones IP´S de los equipos de cómputo son implementadas de forma fija?

¿Cuentan con conmutadores en red, para la expansión de redes locales?

¿Cuenta con una memoria técnica de direccionamiento ip?

¿El rack donde se colocan los dispositivos cuenta con espacio libre para agregar más dispositivos?

¿Se tiene conexión a tierra física para protección de equipos ante posibles descargas eléctricas que puedan afectar?

¿Cuenta con dispositivos para la regulación del voltaje?

¿Cada Pc cuenta con un regulador de energía?

¿El cableado del edificio es accesible para la revisión física?

¿Los cables de los equipos se encuentran debidamente aislados del paso de personas?

¿Se cumple con el estándar de tierra física en cuanto a los requisitos establecidos en las normas bajo las cuales se rige?

¿Existe segmentación lógica de la red a la que pertenecen los equipos?

¿Existe segmentación física o por medio de redes VLAN para mejorar el control del acceso de la red?

¿Existe una DMZ o una forma de separar los servidores públicos de los privados?

¿Existe una separación logia de los servidores de prueba y los de producción?

¿Cuenta con firewall?

Los enlaces hacia clientes ¿Están protegidos con Firewall?

¿Cuenta con un firewall e IPS para proteger su salida a internet?

¿No existen reglas de “alowall” en la protección perimetral?

¿Cada zona está conectada a un puerto distinto o equipo indistinto?

El equipo que protege el perímetro ¿Cuenta con protección contra código malicioso?

El equipo que protege el perímetro ¿Cuenta con protección contra ataques de penetración?

El equipo que protege el perímetro ¿Cuenta con una protección contra ataques Do5 o DdoS?

¿Existen políticas establecidas de control de acceso físico y lógico al centro de cómputo?

¿Dentro de las políticas se encuentra definidas las responsabilidades de la seguridad física del centro de cómputo?

¿Existe un procedimiento de autorización  de acceso al centro de cómputo?

¿Existe una bitácora de acceso al centro de cómputo?

¿Existen bitácoras de personas autorizadas y personas que ingresen al centro de cómputo?

¿Existen cámaras que registren el ingreso al centro de cómputo?

¿Existen sensores y controles electrónicos que registren el ingreso al centro de cómputo?

¿Existen la supervisión de controles de acceso físico al centro de cómputo por una persona ajena a la administración del centro de cómputo?

¿Existe y se cumple una política de acceso a los servidores y BD conforme?

¿Existen y se cumplen los controles dentro de las políticas de acceso a servidores y BD?

¿Existe una política de autorización de acceso a servidores y BD?

¿Existe y se cumple los controles dentro de la política de autorización de acceso a servidores y BD?

¿Existen y se cumplen los controles de administración de usuarios?

¿Existe una definición de roles y perfiles de acceso de acuerdo a las políticas de acceso y considerando la segregación de funciones de las personas?

El centro de cómputo donde se encuentra la infraestructura que soporta la operación del sistema FACE. ¿Cuenta con las mejores prácticas aplicables?

¿Está construido con materiales resistentes a llamas?

¿Cumple con regulaciones y protecciones para eventos sísmicos e inundaciones?

¿Cuenta con ventanas que den acceso directo a las calles?

¿Los sistemas de control de acceso cumplen con los controles establecidos en la política de acceso?

¿El centro de cómputo cuenta con alarma antirrobo y de acceso no autorizado?

¿Las puertas del centro de cómputo son blindadas y contra incendios?

¿Cuenta con redundancia en los sistemas de control ambiental?

¿Cuenta con tierra física?

¿Cuenta con suministro eléctrico adecuado?

¿Los equipos de protección y apoyo cuentan con un contrato de mantenimiento preventivo?

Nº

Criterios a Evaluar.

Si

No

Sistema de Calidad (Información General)

¿Tiene implantado un Sistema de Calidad que garantice la calidad de sus productos?

¿Dispone la empresa de productos homologados por algún organismo acreditado?

¿Tiene la empresa establecido algún contrato de calidad concertada dentro del sector?

¿Tiene la empresa certificación relacionada con la soldadura de acuerdo a las normas UNE EN ISO 3834 y/o EN/5086?

¿Tienen un procedimiento de control de la documentación para garantizar la fabricación?

¿Han definido claramente planes de inversión para afrontar incrementos de demanda por parte de sus clientes, previendo saturar su capacidad instalada o en su caso como planes de mejora continua?

Información Especifica (Definición de Producto o Proceso)

¿Poseen especificaciones técnicas escritas de los productos que fabrican?

¿Elaboran Planes de Calidad, Plan de Control, Programa Puntos de Inspección?

¿Disponen de WPS Homologados según EN ISO 15607-04 y EN ISO 15609-1?

¿Disponen de Instrucciones de Soldadura?

¿Cuentan con procedimientos de análisis y gestión de riesgos para el cumplimiento de de los procesos industriales?

¿Cuentan con un sistema de control para gestionar los cambios de las demandas de los clientes, de cara a reajustar sus capacidades productivas (inventarios, recursos humanos, materiales)?

¿Cuentan con software y/o hardware capaz de integrarse a los sistemas de cliente, para establecer comunicación electrónica entre ambos?

¿Cuentan con sistemas de control y planificación de los procesos de fabricación de pre-series, su traslado a producción en serie, sus recursos materiales y humanos?

Compras

¿Existen procedimientos de homologación y evaluación de proveedores?

¿Evalúan a sus proveedores antes de adquirirles algún suministro y los reevalúan periódicamente?

¿Cuentan con procedimientos para la medición del nivel servicio de sus proveedores?

En base a las mediciones y control continuo de proveedores, ¿analizan las no conformidades exigiendo las acciones correctivas oportunas?

¿Existen especificaciones técnicas del material a comprar?

¿Realizan inspecciones y ensayos de recepción del material comprado dejando constancia escrita?

¿Cuentan con un procedimiento documentado para el control de pedidos enlazándolos con la planificación de la producción y compras?

¿Cuentan con procedimientos para el control de la documentación técnica de los nuevos productos y/o cambios de ingeniería?

Inspección y Ensayo

¿Existen procedimientos de inspección para recepción, en proceso y el producto final?

¿Están definidos por escrito los criterios de aceptación y rechazo?

¿Se calibran periódicamente los equipos de medida?

¿Existe algún procedimiento para el tratamiento de los productos no conformes?

Producción

¿Existen métodos de identificación y trazabilidad de los productos?

¿Realizan inspecciones y ensayos durante la fabricación dejando constancia escrita?

¿Existe un plan de mantenimiento de las máquinas y/o equipos de soldadura? ¿Y de los utillajes de fabricación?

¿Las instrucciones y métodos de trabajo están disponibles en cada puesto de trabajo?

¿Tienen documentado el proceso de producción completo desde la recepción de materia prima hasta la entrega a los clientes?

¿Cuentan con un sistema de planificación y control de la producción?

¿Ante aumentos de la demanda u otras incidencias, nunca contratan personal y/o servicios externos que puedan afectar a actividades de riesgo para la calidad de los productos?

¿Si la respuesta a la pregunta anterior es afirmativa, cuentan con procedimientos de planificación, control, formación y supervisión especial para el personal externo y/o empresas externas?

¿Cuentan con planes de contingencia ante paradas de producción que puedan afectar el cumplimiento de las órdenes de producción en curso o planeadas?

Manipulación y Almacenaje

¿Existen procedimientos que recojan el criterio de identificación y clasificación de los materiales en Almacén?

¿Se revisan periódicamente los productos almacenados para comprobar que siguen siendo aptos para su utilización o envío al cliente?

¿Están establecidos criterios de conservación, entrega, embalaje y marcado? Por ejemplo en el caso de los hilos de aporte debidamente protegidos, etc.

¿Tienen definidas políticas de stock de materias primas, productos en proceso y productos terminados?

¿Cuentan con equipos automáticos de movimiento y manipulación de materiales en sus instalaciones?