01Colombia-PresentacTema2

XXV ASAMBLEA GENERAL OLACEFS SANTIAGO DE QUERÉTARO, MÉXICO

 Adaptado de: Ramírez-Alujas y Dassen, 2012

Noviembre 23 al 27 de 2015

La importancia del uso de base de datos y de la seguridad de la información para el fortalecimiento de las TIC y para el ejercicio eficiente del control fiscal

Saber . Proporciona información sobre lo que esta haciendo, planes de acciones y fuertes datos. Ello fomenta la rendición de cuentas

TRANSPARENCIA

Tomar parte. parte. Promueve el derecho de la ciudadanía a participar en el diseño, implementación y evaluación de las políticas públicas. Las entidades públicas se benefician de los conocimientos, ideas y experiencia de los ciudadanos

GOBIERNO ABIERTO

PARTICIPACIÓN

COLABORACIÓN

Contribuir. Compromete e implica a los ciudadanos y demás agentes sociales en el esfuerzo por trabajar conjuntamente para resolver los problemas nacionales

Visualización de datos e información

Portales de datos abiertos

Infografías

Gestión de la transversalidad e interoperabilidad

TRANSPARENCIA

Organización de debates debates públicos públicos

Favorecer Cooperación

GOBIERNO ABIERTO

la

Consultas ciudadanas PARTICIPACIÓN

Co-diseño de políti políticas cas pública públicass

COLABORACIÓN

Orga Organi niza zaci ción ón y prom promoc oció ión n de asoc asocia iaci cion ones es (Esta Estad do, socieda sociedad d civil civil y empresas empresas))

Revisión Marco Normativo ISO27000

Aplicación y encuesta de seguridad informática

Recopilación y Análisis de

SIST SI STEM EMAS AS DE SE SEGU GURI RIDA DAD D DE LA IN INFO FORM RMAC ACIO ION N (S (SGS GSI) I) Revisión Marco Normativo ISO27000

•

•

27001: 27001: Requis Requisito itoss SGSI SGSI 27002: Buenas práctica icas para la gestión ión de seguridad (objet jetivo ivos de cont co ntro roll y me medi dida dass a toma tomar) r)

ENCUESTA  –  DIAGNOSTICO

1 Aplicación Encuesta Seguridad Informática

2 3

Buenas prácticas y herramientas con que cuentan las EFS gara ga rant ntiza izarr la se segu gurid ridad ad de la in info form rmac ació ión. n. Mecanismos de información.. información

seguridad

empleados en

el

para

intercambio

de

Existencia o proceso de conformación de equipos de respuesta a inci in cide de de rida ri dad d in info fo át átic ic la im impl pl ción ci ón de dell SG SGSI SI

Se debe buscar un enfoque de seguridad integrado el cual busca ser predictivo y proteger de manera proactiva de cualquier incidente de seguridad.

Requiere compromiso de la alta gerencia para generar estrategias y políticas y socializarlas a los empleados, terceras partes y clientes.

Se recomiendan metodologías para gestión de incidentes, análisis de vulnerabilidades y gestión de riesgos.

Falta avanzar en la aplicación de metodologías que incluyan planes y auditorias

GEST GE STION ION DE INC INCIDE IDENT NTES ES:: Cua ualq lqui uie er eve vent nto o que no fo form rma a pa part rte e de la opera rac ció ión n est stán ánda darr de un servi ser vici cio o y qu que e ca caus usa, a, o pue uede de ca cau usa sar, r, un una a in intterr rru upc pció ión n o una re red duc ucc ció ión n de calilid dad de dell mis ism mo se co cons nsid ider era a un  “incidente” el cua uall de deb be ser ge gest stio ion nad ado o co con n el pr pro opó pósi sitto de tene nerr co cont ntro roll de lo loss proc pr oces esos os,, me mejo jora rarr el us uso o de lo loss re recu curs rsos os y de dete term rmin inar ar si ge gene nera ra o no ri ries esgo go pa para ra la op oper erac ació ión. n.

Preparación

Detección y Análisis

Contención, Erradicación y recuperación

Actividades Postincidencia

Se debe contar con un plan de continuidad de negocio y planes de recuperación de desastres.

Se deben establecer procedimientos específicos que respondan a interrupciones del servicio para proteger funciones criticas del negocio (sistemas de información y personas). Realizar pruebas de efectividad de los planes.

CONTINUIDAD DE NEGOCIO : Proceso en el cual se identifican impactos potenciales que amenazan la contin cont inui uida dad d de ac acttiv ivid idad ades es,, pr prov ovey eyen endo do un ma marc rco o pa para ra co cons nsttru rucc cció ión n de re resi sililien enci cia a y ca capa paci cida dad d de re resp spue uest sta a efectiva efec tiva ant ante e disru disrupcion pciones. es. Diseñar una estrategia de continuidad de servicios de TI Realizar un análisis de los recursos críticos de TI Mantener actualizado el plan a través de procedimientos de control de cambio

Elaborar pruebas de continuidad

Capacitar a los responsables responsables en el el plan de

Asegurar que en la adquisición y desarrollo de sistemas de información se incluyan controles de

seguridad y validación de datos, se definan métodos de protección de información crítica o sensible y se documenten procedimientos y normas que apliquen en el ciclo de vida de l os aplicativos y en la infraestructura de apoyo. Se esta avanzando. Se están resolviendo aspectos de seguridad en la nube.

Uso de sistemas y técnicas criptográficas para la protección de la información con base en el análisis de riesgo efectuado, con el fin de asegurar una adecuada protección de la confidencialidad e integridad de la información.

Existe un potencial para explotar herramientas disponibles en el mercado

MECANISMOS DE SEGURIDAD EMPLEADOS EN EL INTERCAMBIO DE INFORMACIÓN.

El 92% 92% de las las EFS cola olabor borador adoras as reali ealiza za inte interc rcam amb bio de inf inform ormación ión a través vés de redes des de datos, web ins institu itucion ional y en casos puntuales a través vés de redes des privad privada a virtua virtuales les -VPN. -VPN. Las medi medida dass de prev preven enció ción n usad usadas as para para aseg asegur urar ar la info inform rmac ació ión n no son son muy muy clar claras as,, por por ello ello se agru agrupa paro ron n en tres tres cate catego gorí rías as::

•

•

•

7 % : pol polític íticas as de seg seguri uridad dad 52% : in infr frae aest stru ruct ctur ura a de se segu guri rida dad d pe peri rime metr tral al (firewall de red, anti spam) 41% : Monitoreo (antivirus, monitoreo de aplicaciones, correl correlaci ación ón de eventos eventos))

y BD,

Se debe contar con personal especializado en seguridad informática

No hay grupos formales pero si el establecimiento de procedimientos de seguridad

GRUPOS DE RESPUESTA A INCIDENTES: Son equipos de trabajo especializados que realizan respuesta de manera centralizada a incidentes de seguridad. CSIRT – Comput Computer er Securit Security y Information Information Resp Response onse Teams Teams CERT – Comput Computer er Emerge Emergency ncy Respo Response nse Team Team Generación de Alertas y advertencias

Gestión de incidentes

Observatorio Tec Tecnológico nológico

Configuración y mantenimient mantenimiento o de herramientas

Servicios de Detección de Intrusos

Gestión de calidad

Gestión de vulnerabilidades

Entrenamiento Entrenamient oy

Revisión Marco Normativo ISO27000

•

Buen Bu enas as prác prácti tica cass : Comp Co mpro romi miso so de la al alta ta ge gere renc ncia ia Gest Ge stió ión n de In Incid ciden encia ciass Plane Pla ness de Co Cont ntin inui uida dad d de Ne Nego gocio cio •

• •

Aplicación Encuesta Seguridad Informática

•

Mecani Mecanismo smoss de Interc Intercamb ambio io de Inform Informaci ación ón Polític Políticas as de seguri seguridad dad Infrae Infraestr struct uctura ura de seguri seguridad dad perimet perimetral ral Monitoreo • •

•

Recopilación y Análisis de Resultados

•

Equi Eq uipo poss de re resp spue uest sta a a in incid ciden ente tess