Diseño Del Esquema De Seguridad Informática

Diseño del Esquema de Seguridad Informática para Coomeva E.P.S

Juan Carlos Giraldo V. Departamento de Seguridad Informática, Coomeva E.P.S
e-mail: juanc_giraldo@coomeva.com.co

Febrero 2002

Resumen

En este documento se presentan las actividades realizadas con el fin de definir el esquema de seguridad sobre el aplicativo que soporta la operación de Coomeva E.P.S a nivel nacional,adicionalmente se presentan dos herramientas desarrolladas o adaptadas durante el proyecto que facilitan la administración de seguridad de todo tipo de aplicaciones desarrolladas en PowerBuilder y la activación optima de rastros de auditoria sobre bases de datos Oracle.

Palabras Clave
Seguridad, Oracle, PowerBuilder, PFC Auditoria, Rastros de Auditoria, Zentinella, Pentagono.

1. IntroducciónCon el fin de definir un nivel de seguridad adecuado a las necesidades de Coomeva E.P.S y tratándose de un desarrollo propio se definieron tres labores primordiales a ser desarrolladas :
- Definir un proceso de recolección de información que garantice una adecuada definición de perfiles de acceso a la aplicación a la medida de la organización.
- Buscar o desarrollar una herramienta quefacilitara la administración y asignación de los perfiles dideñados
- Buscar o desarrollar una herramienta que facilitara el control y seguimiento de las modificaciones realizadas sobre los datos.

2. Contenido
1. Definición de Perfiles.
Por ser Coomeva E.P.S una organización de carácter nacional cuenta con una estructura con sucursales y oficinas además las oficinas se clasifican en dos tiposde oficinas de acuerdo al tamaño de la población asignada. Por la anterior iguales cargos en distintas oficinas requerían de unos privilegios diferentes, se necesitaba entonces definir labores especificas de acuerdo al cargo y la oficina del funcionario.
1. Estandarización de los perfiles
Mediante la definición de los estándares del Sistema y en un trabajo multidisciplinario en el queintervinieron las áreas de Eficiencia y productividad, los lideres usuarios, auditoria interna y seguridad informática, se definieron todas las tareas soportadas por el sistema de información asignándole a cada una de ellas el cargo o cargos responsables de su ejecución de acuerdo al tipo de la oficina del funcionario. (en la figura 1 se presenta una muestra de la matriz que se definio para esta labor).Una vez definidas todas las actividades a realizarse en el sistema y asignados los responsables en cada sucursal u oficina se realizo la definición y unificación de los perfiles estándar de la organización.
Considerando los siguientes puntos como fundamentales para el desarrollo del trabajo:
- Existencia adecuada de seguridades físicas en cada uno de los puestos de trabajo
- Verificación decontroles Efectivos en los puntos vulnerables del sistema
- Existencia de una adecuada segregación funcional [1]

|Actividad-Cargo |Auditor Médico|Comité medico |Auxiliar |
| |Sucursal |Oficina l |Medico |
| | | |Oficina II |
|Marcar en el |X | | |
|Sistema la IPS por|| | |
|Auditor | | | |
|Consulta de |X |X |X |
|Auditor fechas e | | | |
|IPS asignadas para| | | |
|acreditación | | | |
|Consultar en |X| |X |
|Sistema datos para| | | |
|acreditación | | | |
|Registrar informe |X | |X |
|de acreditación en| | | |
|Sistema | | | |
|Elaboración |X |X...