Trabajo Final De Seguridad De La Información

Trabajo Final de Ramo de Seguridad de la Información / MTI

El trabajo consiste en un informe "real" asociado a una Consultora externa de Seguridad que entrega los

resultados a cierta empresa solicitante de una evaluación de Riesgos en Seguridad de la Información y Plan de

Mitigación en un ámbito delimitado de la misma.

La consultora -que debe tener nombre- la componen los alumnos participantes de cada grupo y se asocia a una

misma empresa -real o ficticia- como cliente de cada grupo.

Las secciones “mínimas”; que serán evaluadas en el informe, que estará dirigido a la empresa contratante (NO es

una tarea MTI; es un informe al cliente!!), consideran:

 Presentación de la Consultora y sus integrantes

 Resumen Ejecutivo -del informe de Riesgo-

 Descripción general de la empresa en estudio

 Selección y tipificación de los procesos TI (basados en CobIT 4.1), describiendo su relación con el/los

procesos de negocio que soportan.

o Se debe incluir al menos un Proceso TI (CobIT) por cada integrante del grupo.

o Ej.: Dominio CobIT Planear y Organizar; Proceso TI: PO10 - Administrar Proyectos TI.

 Para cada proceso TI seleccionado

o Relevamiento Activos de Información

o Identificación de Amenazas

o Caracterización de Vulnerabilidades

o Determinación de Impactos asociados

o Relación de Amenaza,Vulnerabilidad e Impacto para cualificación del Riesgo, relacionado.

o Propuesta de Nivel de riesgo aceptable

o Selección de Controles de mitigación (según ISO 27002:2013).

 Para el conjunto de controles de mitigación identificados, proponer un Plan de mitigación, que considere

recomendaciones de priorización, basadas, por ejemplo, en esfuerzo necesario, costo, riesgo asociado.

 Conclusiones y recomendaciones finales.

Observaciones adicionales:

 La empresa cliente es una por grupo. Los procesos TI a considerar; uno por cada integrante.

 Los procesos TI, corresponden a los agrupados en cuatro dominios o áreas (PO, AI, DS y ME); Por ejemplo:

"ME1: Monitorear y Evaluar el Desempeño TI".

 Evidenciar cómo se obtiene la "Propuesta de Nivel de riesgo aceptable".

 Justificar la selección de cada control propuesto en base a la evaluación de riesgo previa, NO sólo listar (o

Copy/Paste) de controles ISO. Interesa más su justificación e implementación práctica.

 El Plan de Mitigación propuesto, no es SOLO una lista de mitigaciones; es una propuesta priorizada,

justificada y jerarquizada.

 El informe "hacia el cliente" debe DESTACAR los riesgos más relevantes; No sólo un número.

...