Riesgos

falta de comunicación de políticas de seguridad

bajo

1

alto

3

33%

Tolerable

c1: informes  de las politicas de seguridad.                                

1

3

C2: Comunicar al correo las politicas de seguridad

1

3

33%

falta de revisar a intervalos planificados de las políticas de seguridad

bajo

1

alto

3

33%

Tolerable

c1: informes mensuales  de las politicas de seguridad.                                

1

3

C2: Comunicar al correo mensualmente  las politicas de seguridad

1

3

33%

no definir responsabilidades en la seguridad de la información

baja

1

alto

3

33%

Tolerable

c1: delegar a cada funcionario de la entidad responsabilidades sobre la seguridad de la informacion

1

3

c2: delegar responsabilidad de violacion de la inforacion al jefe de sistemas quien es encargado de la delegacion de responsabilidades.

1

2

22%

uso indebido de los activos de la organización

alta

3

medio

2

67%

inaceptable

c1: bloquear el acceso a paginas no admitidas por las organización

3

1

c2: delegar responsabilidad a quien este usando las herramientos por la perdida o mal utilizacion de esta

2

1

contactos con autoridades no pertinentes

alta

3

alta

3

100%

inaceptable

c1: esudio rigoroso de los contactos de la organización

2

3

67%

c2 : contratos de violacion de acuerdos entre organización y contacto

2

2

falta de foros con contactos apropiados

media

2

media

2

44%

tolerable

c1: recializacion de foros con diversas entidades a las diferentes areas de la organización

1

2

22%

c2: los foros deberan ser realizados por entidades certificadas

1

2

falta de seguridad de la información en los proyectos

alta

3

alta

3

100%

inaceptable

c1: accesos restringidos con usuario y contraseña  a los proyectos realizados por la organización

2

3

67%

c2: patentar los proyectos para evitar posibles fraudes

2

2

falta de medidas y seguridad, del soporte de dispositivos móviles

alta

3

media

2

67%

inaceptable

c1: realizacion de memorandos por el uso de dispositivos moviles de forma inapropiada

2

2

c2: firmar acuerdos de garantia por la implementacion de las aplicaciones en los dispositivos moviles

2

1

22%

falta de medidas de seguridad  del soporte de la información

bajo

1

alta

3

33%

Tolerable

c1: backups de la informacion mas importante de la organización

1

2

c2: delegar responsabilidad el jefe de sistemas por la perdida de la informacion

1

2

22%

falta de leyes y reglamentos en la contratación de empleados

alta

3

alta

3

100%

inaceptable

c1: delegar responsabilidades al encargado de recuersos humanos por la contratacion de personal no calificado

3

2

c2: evaluacion periodica de los procesos de contratacion

2

2

44%

falta de responsabilidades a contratistas y empleados

baja

1

alta

3

33%

Tolerable

c1: firma del contrato con las responsabilidades que le corresponde a cada empleado y contratista

1

3

c2: toma de medidas por falta de cumplimiento de responsabilidades por parte del empleado o contratista, estas deacuerdo a la gravedad.

1

2

falta de políticas y procedimientos en la seguridad de la información

media

2

alta

3

67%

inaceptable

c1: actualizacion periodica de las politicas y procedimientos de la seguridad de la informacion                      

1

3

33%

1

2

falta de educación y formación de los empleados

media

2

alta

3

67%

inaceptable

c1: capacitaciones anuales a los miembros de la organización

2

3

67%

c2: certificcion de los empleados en cada una de las areas necesarias

2

1

carencia de un proceso formal  en la violación de seguridad de los empleados

baja

1

alta

3

33%

Tolerable

c1: firma de contrato con acuerdos de confidencialidad.

1

3

33%

c2: toma de medidas por falta cumplimiento de los acuerdos de confidencialidad, estas deacuerdo a la gravedad de la falta.

1

2

falta de comunicación de la seguridad de la información al empleado

bajo

1

media

2

22%

Tolerable

c1: informes  de la de seguridad.                            

1

2

C2: Comunicar por medio del correo o en juntas directivas  la seguridad de la informacion

1

2

22%

falta de identificacion de activos relacionados con  informacion e instalacion de procesos

baja

1

alta

3

33%

Tolerable

c1: se debe llevar un registro de todos los procesos de instalacion de software

1

3

c2: hacer inventario periodico de la contidad de software instalado en la organización

1

3

33%

carencia de un propietario de los activos del inventario

baja

1

alta

3

33%

Tolerable

c1: se debe tener un cargo para la administracion de activos de la organización

1

2

c2: se debe tener un software  que lleve el registro de inventario de los activos de la organización

1

2

22%

falta de implementacion de reglas de uso de las instalaciones de procesamiento de informacion

alta

3

baja

1

33%

Tolerable

c1: dar a conocer por medio de unas politicas  enviadas al correo de cada empleado, las reglas de uso de las instalaciones de procesamiento de informacion.

2

1

c2: imponer un cargo de administrador de las instalaciones de procesamiento de informacion

1

1

no devolucion  de activos de la organizacion

alta

3

alta

3

100%

inaceptable

c1: poner sanciones al responsable por la perdida de un activo, deacuerdo a la gravedad de la falta

3

2

67%

c2: se debe tener un software  que lleve el registro de inventario de los activos de la organización

2

2

falta de requisitos legales en la clasificacion de la informacion

baja

1

baja

1

11%

aceptable

c1:se deben generar politicas para la clasificacion de la informacion

1

1

11%

c2: reportes semestrales de como se esta clasificando la informacion

1

1

carencia de etiquetado de la informacion

baja

1

baja

1

11%

aceptable

c1: se deben capacitar los empleados en el etiquetado de la informacion

1

1

11%

c2: implementacion de politicas de etiquetado de la informacion

1

1

no desarrollar ni implementar controles para el manejo de los activos

baja

1

alta

3

33%

Tolerable

c1: los activos deben tener unas politicas de uso

1

3

c2: se le aplicara accion correctiva a los responsables del mal uso de los activos.

1

2

22%

carencia de procedimientos de gestion en medios removibles

baja

1

baja

1

11%

aceptable

c1: medios removibles con informacion confidencial se les debe implementar un usurio y contraseña

1

1

c2: no se permite sacar en medios removibles informacion no autorizada de la organizacion

1

1

11%

dar de baja los medios de forma inadecuada

alta

3

alta

3

100%

inaceptable

c1: implementacion de procedimientos para la eliminacion de los activos

2

3

c2: al momento de eliminar cualquier tipo de activo se debe informar al jefe del area de dicha eliminacion

1

3

33%

carencia de proteccion contra acceso a medios de informacion

baja

1

alta

3

33%

Tolerable

c1: el acceso a informacion restringida debe ser con un usuario y contraseña

1

3

c2: generacion de politicas de confidencialidad de la informacion

1

3

no establecer ni documentar una politica de control de acceso para la seguridad de la informacion

baja

1

alta

3

33%

Tolerable

c1: formulacion de las politicas de seguridad

1

3

33%

c2:  actulizacion periodica de las politicas de seguridad

1

3

acceso por parte de cualquier usuario a los servicios de la red

alta

3

alta

3

100%

inaceptable

c1: implementacion de usuario y contraseña en el acceso a los servicios de red

2

3

67%

c2: backups de la informacion por posible perdida o modificacion mal intencionada

2

2

No implementar un proceso formal de registro y cancelacion de usuario

baja

1

baja

1

11%

aceptable

c1: los empleados no se eliminaran solo se inactivaran para evitarproblemas de normalizacion

1

1

11%

c2: los empleados seran registrados con un identificador unico (codigo empleado), para evitar problemas de identidad

1

1

no implementar un proceso de suministro de acceso de usuario

baja

1

baja

1

11%

aceptable

c1: al ingreso de un usuario a la organizacion se le debe ser asignado un usuario y contraseña

1

1

c2: dependiendo del area del empleado se le bloquearan las aplicaciones a las que no puede terner acceso

1

1

11%

No restringir ni controlar la asignacion  de los derechos de acceso por parte de los usuarios

baja

1

alta

3

33%

tolerable

c1: implementacion de politicas para la asignacion de accesos a la informacion devacuerdo a el area

1

3

c2:  uso de dispositvo lector de huellas para controlar el acceso del personal en areas no adminitdas

1

3

33%

falta de control formal en la asignacion de informacion secreta

alta

3

alta

3

100%

inaceptable

c1: implementacion de usuario y contraseña a las diferentes areas para tener acceso a informacion seleccionada

2

3

c2: backups de la informacion por posible perdida o modificacion mal intencionada

2

2

44%

falta de revision de los derechos de acceso a intervalos regulares por parte de los propietarios de los activos

baja

1

alta

3

33%

Tolerable

c1: la contraseña de los usurios debe ser cambiada cada 3 meses para evitarposibles fraudes.

1

3

c2: respaldo de la informacion en procesos con alto grado de importancia,  este respaldo debe ser en linea.

1

2

falta de retirar los derechos de acceso de los empleados al termino de su empleo

baja

1

alta

3

33%

Tolerable

c1: los empleados no se eliminaran solo se inactivaran para evitarproblemas de normalizacion

1

3

33%

c2: politicas de confidencialidad de la informacion al termino de los  contratos

1

3

falta de exigencia para cumplir las practicas de la organiacion en el uso de informacion secreta

 baja

1

alta

3

33%

Tolerable

c1: verificacion periodica del cumplimiento de las politicas de uso de la informacion secreta.

1

3

33%

c2: backups de la informacion por posible perdida o modificacion mal intencionada

1

3

falta de implementacion de politicas de acceso a las aplicaciones

baja

1

media

2

22%

aceptable

c1: las politicas de acceso a las aplicaciones deben ser implimentadas y debe exisitir una actualizacion anual de estas si es necesirio

1

2

22%

c2: bloqueo automatico de las aplicaciones en caso de acceso no identificado

1

1

no se implementan procesos de acceso seguro a las aplicaciones

baja

1

media

2

22%

aceptable

c1: el acceso a las aplicaciones es autorizado mediante el ingreso con usuario y contraseña al sistema de la organizacion

1

2

c2:  bloqueo de las aplicaciones, mientras no alla un acceso por parte de un empleado

1

1

11%

los sistemas de gestion de contraseñas no son interactivos

alta

3

alta

3

100%

inaceptable

c1: debe haber un cambio de contraseña cada 3 tres meses, si no,  el sistema automaticamente la cambia y la envia al correo del respectivo empleado

2

3

c1: las contraseñas deberan ser alfanumericas.

1

3

33%

falta de restriccion y control  de los programas utilitarios

baja

1

alta

3

33%

Tolerable

c1:  Se debe restringir y controlar el uso de programas utilitarios que podrían  anular el sistema

1

3

c2: para la instalacion de cualquier programa se le debe le debe perdir autorizacion H74 al jefe de sistemas

1

3

33%

No restringir el acceso al codigo fuente de los programas

medio

2

medio

2

44%

tolerable

c1:delegar al jefe de sistemas la autorizacion para acceder al codigo fuente

1

2

c2:determinar ciclo de aprobacion para quien requiera acceder al codigo fuente de los programas

1

2

22%

no implementar politicas de control para la proteccion de la informacion

medio

2

alto

3

67%

inaceptable

c1:la direccion debe de hacer revison de las politicas de control para la proteccion de la informacion una vez cada semestre

1

3

c2:realizar clausulas de divulgacion de la informacion a todos los empleados de la organizaciòn

1

2

22%

no desarrollar ni implementarpoliticas sobre tiempo de uso de las llaves criptograficas

medio

2

alto

3

67%

inaceptable

c1: capacitar a los empleados sobre el tiempo maximo de uso de las llaves criptograficas

2

2

c2:implementar un aviso en todos los sitemas que requieran de este tipo de llaves el cual de señal de que es momento de cambiar estas llaves

2

1

22%

no definir perimetros de seguridad  para proteger las areas que contengan informacon confidencial

bajo

1

alto

3

33%

Tolerable

c1:cada empleado tiene un tipo de perimso que le permite acceder hasta cierta parte de la informacion

1

3

c2:tener bloqueos en todos los equipos que contengan informacion confidencial

1

2

22%

falta de proteccion de las areas seguras mediante controles de acceso

bajo

1

alto

3

33%

Tolerable

c1: Hacer inspecciòn de los controles presentes en las areas seguras y dar mantenimiento a estos

1

2

c2: Tener un mapa de las areas seguras que tienen y no tienen controles de acceso y determinar el tiempo para colocar los controles faltantes

1

2

22%

falta de  aplicar seguridad fisica a oficinas,recintos e instalaciones

bajo

1

medio

2

22%

Tolerable

c1: Asignar tipo de seguridad dependiendo del recinto o la instalaciòn

1

1

C2: Determinar los bloqueos de seguridad fisica requeridos en cada oficina

1

1

11%

no aplicar ni diseñar proteccion fisica a los activos de la organizacion contra desastres , ataques maliciosos o accidentales

bajo

1

alto

3

33%

Tolerable

C1: Implementar un sistema de protección fisica a los activos mas representativos

1

2

C2: Tener un resguardo de toda la informaciòn respecto a los activos representativos que tiene la organización

1

2

22%

falta de diseñar y aplicar procedimientos para trabajo en areas seguras

bajo

1

alto

3

33%

Tolerable

c1:hacer documentacion de los procedimientos que se deben llevar a cabo para el trabajo en las areas seguras de la organización

1

2

c2:establecer propuestas de mejora con respecto a los procedimientos que se estan aplicando a las areas seguras

1

1

11%

fala de control de acceso a las areas de despacho  donde se encuentra la informacion

medio

2

alto

3

67%

inaceptable

c1:aplicar medidas de seguridad en las areas de despacho donde se encuetra la informacion para no permitir el ingreso de personal no autorizado

1

3

c2: controlar el acceso a las areas de despacho por medio de herramientas electronicas que permiten identificar cualquier amenaza

1

2

22%

falta de ubicación y proteccion de los equipos

bajo

1

alto

3

33%

Tolerable

c1: los equipos deben de situarse en un lugar que cumpla las condiciones optimas para el funcionamiento de estos.

1

2

c2:implementar condiciones de seguridad para el ingreso a dichos equipos

1

2

22%

falta de proteccion contra fallos de energia de los equipos

medio

2

medio

2

44%

Tolerable

c1:implementar un sistema de alimentacion ininterrumpida que proporcione energia a los equipos si existe algun apagòn electrico

2

1

c2:la informacion que se esta generando en los equipos debe estar guardandose constatemente para prevenir perdidas en caso de interrupciones electricas

2

1

22%

falta de protecciòn contra intercepcion, interferencias o daños del cableado de energia electrica y telecomunicaciones

alta

3

medio

2

67%

inaceptable

c1:implementar dispositivos de protección a los cables que conectan entre sí los equipos que desvien la corriente y regulen los voltajes

2

2

c2:asegurarse de que las partes que esten generando intercepcion o interferencia a los equipos se encuentre a una buena distancia de estos

1

2

22%

falta de manteniminto de los equipos

media

3

alta

3

100%

inaceptable

c1 :estar pendiente del estado de los equipos

1

3

c2:hacer reparaciones periodicas a los equipos

1

3

33%

Retirar los equipos, la informacion, o software sin autorizacion previa

bajo

1

alto

3

33%

Tolerable

c1:hacer inventario cada que una persona hace uso de los equipos

1

3

c2:implentar un sistema de bloqueos que no permita el retiro de informacion, software o equipos de la organización

1

3

33%

no aplicar medidas de seguridad a los activos externos

bajo

1

alto

3

33%

Tolerable

c1:tener guardas de seguridad que velen por la seguridad de estos activos

1

3

c2:asegurar los activos externos mas importantes

1

2

22%

no verificar todos los elementos de equipos que contengan medios de almacenamiento

medio

2

alto

3

67%

inaceptable

c1:revisar constantemente los equipos para saber que elementos contienen medios de almacenamiento

1

3

c2:revisar que se este haciendo uso adecuado de los elementos de los equipos que contengan medios de almacenamiento

1

3

33%

falta de  asegurarse de darles una proteccion protestada alos equipos

bajo

1

medio

2

22%

aceptable

c1: delegar al jefe de sistemas la proteccion de los equipos

1

2

c2: monitorear constantemente los equipos para brindarles la proteccion adeacuada cuando lo requieran

1

1

11%

no adoptar una politica de pantalla limpia en las instalaciones de procesamiento de informacion

medio

2

alto

3

67%

inaceptable

c1: guardar la informacion en una parte que sea restringida para persnal no autorizado

1

3

c2: implementa un  sistema que cierre sesion automaticamente en los equipos despues de un determinado tiempo de que no se esten utilizando

1

2

22%

no comunicar ni poner a disposicion de los usuarios los procedimientos de operación

medio

2

medio

2

44%

tolerable

c1: informar a los usuarios los procedimientos de operación que se estan llevando a cabo

2

1

c2: monitorear que los usuarios que estan pidiendo informacion de la organización si sea para hacer un buen uso de esta

2

1

22%

carencia de control de cambios afectando la seguridad de la informacion

alto

3

alto

3

100%

inaceptable

c1:se debe estar preparado para cualquier cambio repentino que pueda suceder en la organización

3

2

c2: capacitar al personal que esta trabajando con la informacion de la organización para que cuando esta sufra algun cambio la informacion no se vea  afectada

3

1

33%

falta de un seguimiento de uso de los recursos

bajo

1

medio

2

22%

aceptable

c1: hacer informes detallados de como se estan utilizando los recursos

1

1

c2: monitorear que los recursos se esten usando de la manera adecuada

1

1

11%

inadecuada separacion de los  ambientes de desarrollo prueba y operacion

bajo

1

alto

3

33%

Tolerable

c1:establecer procedimientos que aseguren la calidad de los procesos que se implementen en el ámbito operativo

1

2

c2:establecer criterios para la adecuada separacion de los abientes desarrollo, prueba y operacion

1

1

11%

falta de controles de deteccion de codigos malicioso  por parte de los usuarios

alta

3

alta

3

100%

inaceptable

c1: implementar bloqueos en los equipos que no permitan la  colocacion de codigos por arte de los usuarios

2

3

c2: establecer criterios de implementacion de codigo por parte de los usuarios para evitar cualquier tipo de amenazas.

2

2

44%

falta de copias deacuerdo a las politicas de respaldo de software e imagenes

bajo

1

alto

3

33%

Tolerable

c1:establecer copias que respalden las politicas de software e imágenes

1

2

c2:delegar a un empleado para que se encargue de hacer las copias de las politicas

1

2

22%

falta de conservacion de registros acerca de actividades del usuario

medio

2

medio

2

44%

tolerable

c1:tener una base de datos con los usuarios que tengan todas las actividades que estos han realizado

2

1

c2:hacer informes que queden registrados cada que un usuario hace alguna actividad

1

1

11%

falta de proteccion contra acceso no autorizado  a las instalaciones e informacion de registro

bajo

1

alto

3

33%

tolerable

c1:realizar un programa para detectar que el personal que ingrese a las instalaciones sea perteneciente a la organización

1

3

c2:realizacion de planillas sobre la entrada y salida de cadapersona

1

3

33%

falta de registro de las actividades del administrador y el operador

medio

2

medio

2

44%

Tolerable

c1:realizacion de informes donde queden plasmandas las actividades realizadas porparte del administrador y el operador

1

2

c2:realizacion de las actas de instrucción donde se compromete al administrador y al operador sobre el resgistro de las actividades

1

2

22%

no sincronizar los relojes con una unica fuente de referencia de tiempo

bajo

1

alto

3

33%

tolerable

c1:estar pendientes de que todos los relojes esten sincronizados

1

3

tolerable

c2: tener un reloj en la oficina para que todo el personal se referencie de la misma hora

1

2

22%

se carece de la mplementacion de procedimientos en la instlacion del software

bajo

1

alto

3

33%

Tolerable

c1:realizar formatos donde se especifique todo lo relacionado con el software

1

2

c2:realizar listas de chequeos para que losprocedimientos de instalacion del software sean los indicados y necesarios para laorganizacion

1

1

11%