RECOMENDACIONES PARA EL DESARROLLO DE UNA PLAN DE SEGURIDAD DE LA INFORMACIÓN

CENTRO DE EXCELENCIA DE SOFTWARE LIBRE DE CASTILLA-LA

MANCHA

JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA.

RECOMENDACIONES PARA EL

DESARROLLO DE UNA PLAN DE

SEGURIDAD DE LA INFORMACIÓN

Autor del documento:

Centro de Excelencia de Software Libre de Castilla-la Mancha de la Fundación Parque

Científico y Tecnológico de Albacete

Datos de contacto:

E-Mail: ceslcam@ceslcam.com

Página Web: www.ceslcam.com

Teléfono: 967 555 311

Versión del documento:

1.0

Fecha: 20-07-2011

Licencia del documento:

CopyRight © 2011, Junta de Comunidades de Castilla-La Mancha

Publicado bajo licencia Creative Commons By - Sa

Usted es libre de:

• Copiar, distribuir y comunicar públicamente la obra.

• Hacer obras derivadas

Bajo las condiciones siguientes:

• Reconocimiento. Debe reconocer los créditos de la obra de la manera

especificada por el autor o el licenciador (pero no de una manera que sugiera que

tiene su apoyo o apoyan el uso que hace de su obra).

• Compartir bajo la misma licencia. Si transforma o modifica esta obra para crear

una obra derivada, sólo puede distribuir la obra resultante bajo la misma licencia,

una similar o una compatible.

Al reutilizar o distribuir la obra, tiene que dejar bien claro los términos de la licencia de

esta obra.

Alguna de estas condiciones puede no aplicarse si se obtiene el permiso del titular de los

derechos de autor.

Nada en esta licencia menoscaba o restringe los derechos morales del autor.

Página 2 de 18

Índice de contenido

1 Contexto . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4

2 Política de Gestión de la Seguridad de la Información . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5

2.1 Gestión de los Activos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7

2.2 Seguridad Ligada a los Recursos Humanos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8

2.3 Seguridad Física y Ambiental . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9

2.4 Gestión de las Comunicaciones y Operaciones . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10

2.5 Control de Acceso Lógico . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12

2.6 Gestión de Incidencias de Seguridad . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14

2.7 Planes de Contingencia . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15

2.8 Cumplimiento Requisitos Legales . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17

3 Otras recomendaciones . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18

Página 3 de 18

1 Contexto

Este documento presenta algunas recomendaciones generales para ayudar a definir la política y

procedimientos adecuados para la gestión de la seguridad de la información de los sistemas de una

empresa.

El objetivo de la definición de este documentos es establecer las actividades y protocolos que

deben ejecutarse para asegurar la confidencialidad, integridad y disponibilidades de los sistemas

de información de la empresa.

El presente documento, al ser un modelo genérico, debe tenerse únicamente como referencia,

debiendo ser adaptado a la particularidad y necesidad de cada empresa. Por tanto, los elementos

descritos en el documento deben considerarse como una referencia no estricta.

Si se desea obtener un asesoramiento más personalizado se recomienda contactar directamente con

el Centro de Excelencia de Software Libre de Castilla-La Mancha.

Para la redacción de este documento se ha seguido las principales recomendaciones realizadas en el

marco de la norma ISO 27001.

Página 4 de 18

2 Política de Gestión de la Seguridad de la Información

La Política de Seguridad de la Información tiene como objetivo establecer las normas y requisitos

de seguridad que permitan garantizar la confidencialidad, integridad y disponibilidad de los

sistemas de información de la empresa.

La Política de Seguridad de la Información es un documento que denota el compromiso de la

gerencia con la seguridad de la información y debe contener la definición de la seguridad de la

información bajo el punto de vista de la entidad.

Los aspectos más importantes a tener en cuenta en la Política de Seguridad son:

• Garantizar la confidencialidad, integridad y disponibilidad de los sistemas de información

de la empresa

• Disponer de un responsable de seguridad encargado de la gestión de las seguridad de la

empresa.

• Cumplir los requisitos legales que sean aplicables en la empresa.

• Gestionar las incidencias de seguridad de forma adecuada.

• Disponer de un plan de contingencia que permita a la empresa recuperarse en caso de

desastre o discontinuidad de los sistemas.

• Informar a los empleados de sus obligaciones con respecto a la seguridad de los sistemas,

sus obligaciones y los procedimientos definidos que

...