auditroria

Después de lo visto en los diversos módulos de este video tutorial vamos a realizar una revisión a todo ello a través de algunos ejemplos prácticos.
En primer lugar nos gustaría presentaros cuatro empresas diferentes:

La empresa José Pérez S.L. es una notaría con 5 personas en plantilla y un despacho en un edificio de oficinas de Málaga.




La fábrica de galletas Que bueno S.L. tiene500 empleados. Casi todos dedicados a la fabricación de galletas pero también tienen un departamento de administración, uno de atención al cliente y otro de recursos humanos.


La empresa Súper Satélite S.A. dedicada a la fabricación de piezas para satélites. Tiene 2.000 empleados y fábricas en Madrid, Barcelona, Valencia y La Coruña.


El hospital Virgen de Fátima dispone de un centrohospitalario ubicado en León. Posee 80 personas en plantilla entre médicos, enfermeras, auxiliares, gestión de historias clínicas, dirección, administración y sistemas.
Viendo estas empresas ¿a cuáles de ellas les podría interesar la implantación de un SGSI en su organización?
1. A todas menos a la fábrica de galletas ya que los datos que maneja no son importantes.
2. A ninguna es un sistema muycostoso y no aporta nada a la organización
3. A todas ellas.
Y es que este tipo de sistemas nos permiten tener una herramienta de gestión que nos ayuda a conocer, gestionar y minimizar los posibles riesgos que atenten contra la seguridad de la información en nuestra empresa.
Si nos centramos en la empresa Súper Satélite S.A. en concreto vemos que esta empresa se dedica a la fabricación de piezaspara satélites. Tiene 2000 empleados y fábricas en Madrid, Barcelona, Valencia y La Coruña. El grueso de sus empleados se dedica a la fabricación de las piezas en una cadena de montaje pero también disponen de un departamento administrativo que gestiona las nóminas de los empleados (compuesto por 5 personas), un departamento de RR.HH.(4 Personas). Un departamento de sistemas que se encarga degestionar la red de la organización (5 personas) y el departamento de diseño y configuración de las maquinas, que son los encargados de recibir los diseños y configurar las máquinas de producción para que los sigan (10 personas). Para una primera implantación del SGSI en esta empresa ¿Qué alcance podríamos definir?
1. A toda la empresa, cuanto más segura este toda la información será mejor para laorganización.
2. En las áreas de servicios auxiliares porque manejan la información más crítica.
3. En la cadena de montaje ya que abarca el mayor número de empleados con lo que supone que la información estará más protegida.
Nuestro consejo seria implantar el SGSI en las áreas de administración, de RR. HH., Sistemas y de diseño (un total de 24 personas) ya que son las áreas que manejan lainformación sensible de la empresa.
Tras definir el alcance ¿Qué acción deberíamos llevar a cabo?
1. Realizar un inventario de activos para conocer que activos maneja la empresa en las áreas de alcance.
2. Dar información al personal de la empresa, es muy importante ser transparente en este tipo de procesos
3. Desarrollar la política de seguridad para marcar las directrices de seguridad de laempresa.
Seria definir la política de seguridad de la empresa con las directrices de seguridad de la información de acuerdo con los requerimientos de la organización y con la legislación vigente.
Además de la política de seguridad ¿Qué otras acciones llevaríamos a cabo al comienzo de la implantación?
1. Definir las responsabilidades dentro de la gestión de seguridad.
2. Dar información al personalde la empresa, es muy importante ser transparente en este tipo de procesos.
3. Revisar el alcance a ver si se ajusta a lo que hemos definido en la política de seguridad y si no es así redefinirlo.
Habría que definir los roles en relación con la gestión de la seguridad de la información.
¿Y sabes que roles serian estos?
1. Los responsables de los activos, el comité de dirección y el comité de...