Preservación de seguridad de la información (PSI)

Abstract

El proyecto Preservación de Seguridad de la Información identifica que el proceso comercial de iUTUM es uno de los más importantes entre la jerarquía de procesos de la organización, y no cuenta con una definición de procedimientos y políticas que garanticen la continuidad del negocio. Por tal motivo, esta investigación tiene como objetivo diseñar un Sistema de Gestión de Seguridad de la Información para el proceso mencionado, basándose en los lineamientos establecidos en las normas ISO/IEC 27001 e ISO/IEC 27002, con la finalidad de proteger y garantizar que los activos de información cuentan con los controles de seguridad adecuados. Para llevar a cabo el desarrollo del proyecto, se requiere tener un acercamiento al contexto organizacional de iUTUM con el fin de comprender su funcionamiento, sus procesos y los actores que intervienen en cada de ellos. Es por esto, que se hace necesario identificar sus objetivos estratégicos, misión, visión, estructura jerárquica, roles, responsabilidades, procesos de cotización, compras y ventas. La información obtenida a partir del contexto de la organización, sirve como insumo para el análisis GAP o análisis de brechas, que permite evaluar el estado actual del proceso comercial frente al marco de referencia ISO 27002:2013; para luego identificar el nivel de cumplimiento de la organización con respecto a los controles de seguridad de la información que allí se mencionan. Aunque los resultados obtenidos del análisis GAP brindan un acercamiento a la realidad que enfrenta iUTUM en aspectos relacionados a la seguridad de la información, la identificación de activos junto al análisis de impacto potencial, amenazas y riesgos potenciales, muestran a mayor profundidad las debilidades presentes al interior de la organización; lo que impulsa a determinar medidas y recursos necesarios para el tratamiento de los riesgos evaluados. Es en este punto donde la declaración de aplicabilidad (SoA), juega un papel importante en la justificación de inclusión o exclusión de los controles relacionados en el Anexo A. de la norma ISO 27001:2013, ya que busca mantener el registro y control de las medidas de seguridad que puedan ser aplicadas para el tratamiento de dichos riesgos. Por último, se encuentra la elaboración de políticas y procedimientos, cuyo propósito es integrar las normas y actividades que se deben realizar como fundamento del trabajo de seguridad de la información dentro la organización. La política de seguridad de la información documenta la posición estratégica de la organización con respecto a los objetivos de seguridad de la información de toda la organización. Se redacta con base en información y conocimiento. Por su parte, los procedimientos definen específicamente como las políticas, estándares, mejores prácticas y guías serán implementadas en una situación dada.