1. Objetivos
1.1. Minimizar y gestionar los riesgos y detectar los posibles problemas
1.2. Garantizar la adecuada utilización de los recursos
1.3. Limitar las perdidas y conseguir la adecuada recuperación del sistema
1.4. Cumplir con el marco legal y con los requisitos impuestos por los clientes
2. Gestión
2.1. SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN
2.1.1. Se define como aquella parte del sistema general de gestión que comprende la política, la estructura organizativa, los procedimientos, los recursos necesarios para implementar la gestión de la seguridad en una organización.
2.1.2. Es preciso contemplar toda una serie de tareas y procedimientos que permitan garantizar los niveles de seguridad
2.1.3. Las políticas de gestión de la seguridad de la Información están constituidas por el conjunto de normas reguladoras, procedimientos, reglas y buenas prácticas que determinan el modo en que todos los activos y recursos incluyendo información, son gestionados, protegidos y distribuidos dentro de una organización. Deben contemplar los recursos de los siguientes aspectos:
2.1.3.1. Formalizar la gestión de la seguridad de la información
2.1.3.2. Analizar y gestionar los riesgos
2.1.3.3. Establecer procesos de seguridad siguiendo la metodología PDCA
2.1.3.3.1. "PLAN": Selección y definición de medidas y procedimientos
2.1.3.3.2. "DO": Implantación de medidas y procedimientos de mejora
2.1.3.3.3. "CHECK": Comprobación y verificación de las medidas implantadas
2.1.3.3.4. "ACT": Actuación para corregir las diferencias detectadas en el sistema
3. PARA CUMPLIR CON ESTOS OBJETIVOS UNA ORGANIZACIÓN DEBE CONTEMPLAR 4 PLANOS DE ACTUACIÓN
3.1. Técnico: Tanto a nivel físico como a nivel lógico
3.2. Legal: Algunos países obligan por ley a que en determinados sectores implanten una serie de medidas de seguridad
3.3. Humano: Sensibilización y formación de empleados y directivos
3.4. Organizativo: Definición e implantación de políticas de seguridad, planes, normas, procedimientos y buenas practicas de actuación
4. Servicios
4.1. Confidencialidad: Se garantiza que cada mensaje transmitido o almacenado en un sistema informático solo podrá ser leído por el destinatario
4.2. Auntenticación: Garantiza que la identidad del creador de un mensaje o documento es legítima
4.3. Integridad: Se encarga de garantizar que un mensaje o fichero no ha sido modificado desde su creación
4.4. No repudiación: Consiste en implementar un mecanismo probatorio que permita demostrar la autoría y envió de un determinado mensaje
4.5. Disponibilidad: Es una cuestión de especial para garantizar el cumplimiento de su objetivo
4.6. Autorización: Se persigue controlar el acceso de los usuarios a los distintos equipos y servicios ofrecidos por el sistema
4.7. Auditabilidad: Permite registrar y monitorizar la utilización de los distintos recursos del sistema por parte de los usuarios que han sido previamente autenticados y autorizados
4.8. Reclamación de origen: Permite probar quien ha sido el creador de un determinado mensaje o documento
4.9. Reclamación de propiedad: Permite probar que un determinado documento o contenido digital protegido por derechos de autor permanecen a un determinado usuario
4.10. Anonimato en el uso de los servicios: Conserva el anonimato de los usuarios
4.11. Protección de replica: Impide la realización de "ataques de repetición" por parte de usuarios maliciosos
4.12. Confirmación de la presentación de un servicio o la realización de una transacción: Permite configurar la realización de una operación o transacción, reflejando los usuarios o entidades que han intervenido en esta
4.13. Referencia temporal: Se consigue demostrar el instante concreto que se ha enviado un mensaje
5. Consecuencias de la falta de seguridad
5.1. Procesos de Negocio de IGNEA
5.1.1. Macro procesos
5.2. A la hora de analizar las consecuencias de la ausencia o de unas deficientes medidas de seguridad informática, el impacto total puede resultar bastante difícil de evaluar ya que ademas de los posibles daños ocasionados a la información guardada y a los equipos y dispositivos de red, deberíamos tener en cuenta otros importantes perjuicios para la organización
5.2.1. Horas de trabajo invertidas en las reparaciones y re-configuraciones de los equipos y redes
5.2.2. Perdidas ocasionadas por la disponibilidad de diversas aplicaciones y servicios informáticos
5.2.3. Robo de información confidencialidad y su posible revelación a terceros no autorizados
5.2.4. Filtración de datos personales de usuarios registrados en el sistema
5.2.5. Posible mala imagen de la empresa ante terceros
5.2.6. Retraso en el proceso de producción perdidas de pedidos, impacto en la calidad del servicio, perdida de oportunidad de negocio
5.2.7. Pago de indemnizaciones por daños y perjuicios a terceros, teniendo que afrontar además posibles responsabilidades legales y la imposición de sanciones administrativas