MODELO DE SEGURIDAD - Gobierno en línea.

INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM2.3.2 Control: Los coordinadores locales de seguridad de la
información deben ser designados para coordinar la
seguridad de la información en la empresa incluyendo
las aplicaciones comerciales, de instalaciones de
computación, los ambientes de red, las actividades de
desarrollo del sistema y ambientes de usuario final.
SM2.3.3 Control: Los coordinadores locales de seguridad de la
información deben tener:
a) una clara comprensión de sus roles y
responsabilidades
b) suficientes conocimientos técnicos, tiempo,
herramientas necesarias (por ejemplo, listas de
verificación y especialistas en productos de software) y la
autoridad para llevar a cabo sus funciones asignadas
c) acceso a expertos internos o externos en seguridad de
la información
d) normas y procedimientos documentados para apoyar
el día a día las actividades de seguridad de la
información
e) información actualizada sobre técnicas (por ejemplo,
información de metodologías de análisis de riesgos, de
investigación forense, arquitectura de seguridad
empresarial) relacionados con la seguridad de la
información.
SM2.3.4 Control: La información acerca de la condición de
seguridad de la información debería ser:
a) reportada al jefe de la función de seguridad de la
información
b) presentada periódicamente de manera consistente
SM2.4 Conciencia de seguridad
SM2.4.1 Control: Se deben desarrollar actividades específicas
para promover conciencia de seguridad en toda la
empresa. Estas actividades deben
ser:
a) aprobadas por la dirección
b) responsabilidad de una persona en particular, de una
unidad de la organización, de un grupo de trabajo o
comité
c) apoyado por un conjunto de objetivos documentado
d) entregadas como parte de un programa de conciencia
en seguridad
e) sujetas a disciplinas de gestión de proyectos
f) mantenerse actualizadas con las prácticas y requisitos
actuales
g) basadas en los resultados de un análisis de riesgos de
información documentado
h) orientadas a reducir la frecuencia y magnitud de los
incidentes de seguridad de la información
i) medibles.
Página 137 de 207