Metodologia Para La Elaboracion Del Plan De Seguridad Informatica

PROYECTO

METODOLOGIA
PARA LA ELABORACION DEL PLAN
DE SEGURIDAD INFORMATICA

Propósitos de este documento

El objetivo del presente documento es establecer una metodología para la
elaboración del Plan de Seguridad Informática de u na entidad, mediante la
descripción de los controles de seguridad que deben ser implementados, de
forma que permita la interpretación clara y precisa de laspolíticas, medidas y
procedimientos que se definan en la misma, con el objetivo de alcanzar
niveles aceptables de seguridad.
En el mismo se describen los elementos fundamentales que deben ser
incluidos en el Plan de Seguridad Informática de una entidad (contenido) y el
modo en que pueden ser estructurados (formato). Como metodología al fin,
tiene un carácter general, o sea, no estáorientado a un tipo determinado de
entidad o sistema informático, debiendo ser considerado como una guía de
trabajo y no como un cuestionario que haya que seguir al pie de la letra, por lo
que el equipo designado para su elaboración desarrollará los aspectos que
considere necesarios a partir del Sistema de Seguridad Informática que
previamente se haya diseñado para la entidad en cuestión, de modo queaquellos aspectos que no correspondan a las necesidades de protección
identificadas podrán ser excluidos y por supuesto, se adicionará cualquier
elemento que se considere importante para los requerimientos de seguridad,
con independencia de que no esté contemplado en este documento.
Auditorio
Esta metodología está dirigida en primer lugar a aquellas personas que están
responsabilizadas conel diseño e implementación de un sistema de Seguridad
Informática, entre las cuales pueden incluirse distintas categorías de personal,
pero en ningún caso deben faltar los dirigentes y funci onarios relacionados
con la información que se procesa, por la responsabilidad que tienen para con
la misma; los especialistas en informática, debido a los conocimientos
técnicos que poseen y losprofesionales de la seguridad y protección, por su
experiencia y conocimientos generales de esta especialidad.
Documentos relacionados
Este documento es un complemento de la Metodología para el Diseño de un
Sistema de Seguridad Informática elaborado por la Dirección de Protección
del Ministerio del Interior, que profundiza en los aspectos que preceden a la
confección del Plan de SeguridadInformática.
Aproximación básica

Un Sistema de Seguridad Informática es un conjunto de medios
administrativos, medios técnicos y personal que de manera interrelacionada
garantizan niveles de seguridad informática en correspondencia con la
importancia de los bienes a proteger y los riesgos estimados.
El Plan de Seguridad Informática es la expresión gráfica del Sistema de
Seguridad Informáticadiseñado y constituye el documento básico que
establece los principios organizativos y funcionales de la actividad de
Seguridad Informática en una Entidad y recoge claramente las políticas de
seguridad y las responsabilidades de cada uno de los participantes en el
proceso informático, así como las medidas y procedimientos que permitan
prevenir, detectar y responder a las amenazas que gravitan sobreel mismo.
Durante el proceso de diseño de un Sistema de Seguridad Informática se
distinguen tres etapas:
1) Determinar las necesidades de protec ción del sistema informático objeto de
análisis, que incluye:
Caracterización del sistema informático.
Identificación de las amenazas y estimación de los riesgos.
Evaluación del estado actual de la seguridad.
2) Definir e implementar el sistemade seguridad que garantice minimizar los
riesgos identificados en la primera etapa.
Definir las políticas de seguridad.
Definir las medidas y procedimientos a implementar.
3) Evaluar el sistema de seguridad diseñado.
El contenido de cada una de estas etapas se describe en la “Metodología para
el diseño de un sistema de Seguridad Informática” elaborada por el Ministerio
del Interior.
Una...