SISTEMATIZACIÓN DE LA GESTIÓN DE RIESGOS DE SEGURIDAD DE LA INFORMACIÓN EN LA RED DE LA...

UNIVERSIDAD CENTROCCIDENTAL “LISANDRO ALVARADO”

DECANATO DE CIENCIAS Y TECNOLOGÍADIRECCION DE POSTGRADO

BARQUISIMETO • ESTADO LARA.

Barquisimeto, Junio de 2011

AGENDAEl Problema.Marco Teórico.Marco Metodológico.Presentación de los Resultados.Conclusiones y Recomendaciones.Propuesta del Estudio.

DEL PROBLEMA

PLANTEAMIENTO

RedUCLA

CAUSA

DEL PROBLEMA

PLANTEAMIENTO

Políticas que permita controlar el uso o implementación de los sistemas y servicios apoyados en la red.

Mecanismos para la adecuada gestión de riesgos de seguridad de la información.

CONSECUENCIA

DEL PROBLEMA

PLANTEAMIENTO

Uso no adecuado de los recursos de la red.

Infecciones de virus. Asociados a la Seguridad.

DISEÑOCOMPONENTES

PROCESOINTERROGANTES¿Cuál es el proceso actual de la Gestión de Riesgos de Seguridad de la Información en la RedUCLA?

1¿Cuáles son los componentes necesarios para diseñar el proceso de Sistematización de la Gestión de Riesgos de Seguridad de la Información en la RedUCLA?

¿Cómo será el diseño del proceso de sistematización?

23

Sistematizar la Gestión de Riesgos de Seguridad de la información en la Red de la Universidad

Centroccidental “Lisandro Alvarado”

GENERAL DE LA INVESTIGACIÓN

OBJETIVO

21

3

ESPECÍFICOSOBJETIVOS

El proceso actual de la Gestión de Riesgos de Seguridad de la Información en la Red de la Universidad Centroccidental “Lisandro Alvarado”

DIAGNOSTICAR

Los componentes para diseñar el proceso para la Sistematización de la Gestión de Riesgos de Seguridad de la Información en la Red de la Universidad Centroccidental “Lisandro Alvarado”

IDENTIFICAR

PRESENTAREl diseño del proceso para la Sistematización de la Gestión de Riesgos de Seguridad de la Información en la Red de la Universidad Centroccidental “Lisandro Alvarado”

E IMPORTANCIA

JUSTIFICACIÓN

Permitir la detección a tiempo de las amenazas y vulnerabilidades en la plataforma tecnológica

E IMPORTANCIA

JUSTIFICACIÓN

Administrar los incidentes de seguridad que se puedan presentar.

ALCANCEPresentar el diseño de la

Sistematización de la Gestión de Riesgos de Seguridad de la

Información en la Red de la Universidad “Lisandro

Alvarado”

LA INVESTIGACIÓN

ANTECEDENTES DE

TEÓRICOMARCO

LEGALESBASES

Normas de Seguridad Informática y de Telecomunicaciones de la UCLA

Ley Orgánica de Ciencia, Tecnología e InnovaciónLey Especial Contra los Delitos InformáticosLey Sobre Mensajes De Datos y Firmas ElectrónicasLey Orgánica de Telecomunicaciones

ISO/IEC 27001:2005

Estándares Internacionales

Leyes Nacionales

Normativa Interna

DE LAS VARIABLESOPERACIONALIZACIÓN

Investigación de campo,de tipo descriptivo.

No Experimental

TIPO DE INVESTIGACIÓN

METODOLÓGICO

MARCO

DISEÑO

11

5

MUESTRA POBLACIONAL

METODOLÓGICO

MARCO

Todos los empleados de la Universidad de la Dirección de Telecomunicaciones

Profesores expertos en el área de seguridad de la información adscrito al DCYT-UCLA

MUESTRA INTENCIONAL

METODOLÓGICO

MARCO

EntrevistaCuestionario

METODOLÓGICO

MARCO

Juicio de expertos

Ítems en escala de likert,

Alpha Cronbach α= 0.92Ítems de tipo dicotómicas,kuder Richardson r20=0.82

METODOLÓGICO

MARCO

1.Estadística descriptiva, estadísticos de frecuencias absolutas y porcentuadas.

2. Matriz de análisis de contenido.

ANALÍSIS

Normas de Seguridad Informática y de telecomunicaciones de la UCLA basada en la ISO/IEC 17799.

La norma contempla regulación de los riesgos a nivel lógico.

ENTREVISTAS

Los planes de contingencias se basan en las experiencias de los administradores.

Los usuarios desconocen los riesgos que puedan implicar el uso inadecuado de los servicios de la red.

PERSONAL

DIRECTIVODE RESULTADOS

DE RESULTADOSANALÍSIS

Políticas de Seguridad:

Item 1 Item 2 Item 3 Item 4

100 %86 %

14 %00

14 %

86 %100 %

SI NO

CUESTIONARIOS

Item 6 Item 7 Item 8

57 %

86 % 86 %

43 %

14% 14 %

SI NO

ANALÍSIS

Activos de informática:

CUESTIONARIOS

DE RESULTADOS

% siempre % casi siempre % algunas veces % casi nunca % nunca

42 %

29 % 29 %

57 %

29 %

14 %

86 %

14 %

71 %

29 %

Infección por virus In-formático

Acceso no autorizado

Sustraccion de infor-macion por terceros

Perdida de información por accidente

Negacion de servicio

ANALÍSIS

Incidentes de Seguridad:

CUESTIONARIOS

DE RESULTADOS

% Muy Bajo % Bajo % Medio % Alto % Muy Alto

ANALÍSIS

Disponibilidad:

CUESTIONARIOS

DE RESULTADOS

POLITICAS DE SEGURIDAD

GESTIÓN DE RIESGO

CONCLUSIONES

Las políticas de seguridad de la información son de vital importancia para el funcionamiento de la estructura de seguridad de las Organizaciones.El análisis y gestión de riesgos, proporciona información de donde residen los problemas actuales de seguridad de la información..

APLICAR TECNICAS

SEGURIDAD DE INFORMACIÓN

CONCLUSIONES

Las metodologías para el análisis de riesgos conllevan de una manera sistemática, a aplicar técnicas y métodos adecuados.

La seguridad de la información protege a la información desde tres aspectos importantes: confidencialidad, integridad y disponibilidad.

IDENTIFICAR AMEZAS

MEDIDAS DE SEGURIDAD

CONCLUSIONES

Las medidas de seguridad para proteger la información deben ser lógicas, físicas, legales, organizativas.

Las valoraciones de riesgo permite identificar las amenazas que pueden comprometer los activos.

RECOMENDACIONESActualización del documento de políticas de seguridad de la UCLA.Diseñar un plan de concientizaciónDiseñar y ejecutar un plan de contingencia

Analizar los principales activos de información Orientar a los usuarios Promover el establecimiento de la normas ISO 27001:2007.

RECOMENDACIONES

RECOMENDACIONESPoner en práctica la propuesta planteada

PROPUESTADISEÑO DE LA

PROPUESTA

1.Fundamentación Teórica.2.Objetivos de la Propuesta.3.Desarrollo de la Propuesta.4.Fases de la Propuesta.

ESTRUCTURA DE LA

PROPUESTAFUNDAMENTACIÓN TEÓRICA

1Norma ISO/IEC 27001:2005

Modelo de ProcesosPlanificar-Hacer-Verificar-Actuar (PHVA)

Norma ISO/IEC 27002:2005Objetivos de Control.

Norma ISO/IEC 27005:2007Gestión de Riesgos.

DISEÑO DE LA

PROPUESTAOBJETIVO DE

LAPROPUESTA

2

General:Diseñar el proceso para la sistematización de la gestión de

riesgos de seguridad de la información en la red de la

Universidad Centroccidental “Lisandro Alvarado”

DISEÑO DE LA

PROPUESTAOBJETIVO DE

LAPROPUESTA

2

Específicos:1. Definir el proceso de gestión de riesgos de seguridad de la información.

2. Describir las fases para el proceso de gestión de riesgos de seguridad de la información

3. Presentar la Sistematización de la gestión de riesgos de seguridad de la información en la red de la Universidad Centroccidental “Lisandro Alvarado.

DISEÑO DE LA

PROPUESTADISEÑO DE LA

DESARROLLO DE LA

PROPUESTA

3

Fases del proceso de gestión de riesgos de seguridad de la información

Gestión de Riesgos

PROPUESTAFASES DE LA

4Determinar el ContextoIdentificarAnalizarEvaluarTratarMonitorear y RevisarComunicar y Consultar

Fase I:Fase II:Fase III:Fase IV:Fase V:Fase VI:Fase VII:

IDENTIFICAR ANALIZAR EVALUAR TRATARDETERMINAR EL CONTEXTO

FASE II FASE III FASE IV FASE VFASE I

PROPUESTADISEÑO DE LA

DefinirAlcanceObjetivosMetodologías

ANALIZAR EVALUAR TRATARDETERMINAR EL CONTEXTO

FASE III FASE IV FASE VFASE I

IDENTIFICARFASE II

PROPUESTADISEÑO DE LA

Identificación

ActivosAmenazasVulnerabilidades

IDENTIFICAR EVALUAR TRATARDETERMINAR EL CONTEXTO

FASE II FASE IV FASE VFASE I

ANALIZARFASE III

PROPUESTADISEÑO DE LA

ValoraciónActivosAmenazasVulnerabilidades

IDENTIFICAR ANALIZAR TRATARDETERMINAR EL CONTEXTO

FASE II FASE III FASE VFASE I

EVALUARFASE IV

PROPUESTADISEÑO DE LA

DecidirTratamiento

IDENTIFICAR ANALIZAR EVALUARDETERMINAR EL CONTEXTO

FASE II FASE III FASE IVFASE I

TRATARFASE V

PROPUESTADISEÑO DE LA

TratarMitigarAsumirTransferirEliminar

PROPUESTADISEÑO DE LA

MONITOREAR Y REVISAR TODO EL PROCESO

ValoraciónDefinir

AlcanceObjetivos

Metodologías

Identificación

Vulnerabilidades Activos Amenazas

Decidir

Tratamiento

TratarMitigarAsumir

TransferirEliminar

COMUNICAR Y CONSULTAR

FASE VI

FASE VII

IDENTIFICAR ANALIZAR EVALUAR TRATARDETERMINAR EL CONTEXTO

RIESGO

MONITOREAR Y REVISAR TODO EL PROCESO

ValoraciónDefinir

AlcanceObjetivos

Metodologías

Identificación

Vulnerabilidades Activos Amenazas

Decidir

Tratamiento

TratarMitigarAsumir

TransferirEliminar

COMUNICAR Y CONSULTAR

FASE II FASE III FASE IV FASE VFASE I

FASE VI

PROPUESTADISEÑO DE LA

FASE VII

  "!Estudia! No para saber una cosa mas, sino para saberla

mejor."Lucio Anneo Séneca

GRACIAS por su ATENCIÓN