MODELO DE SEGURIDAD - Gobierno en línea.

INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM3.3.2 Control: Las normas y procedimientos para realizar
análisis de riesgos de información deberán ser
documentados. Se debería exigir que los riesgos sean
analizados para:
a) la información y los sistemas que son importantes
para la organización
b) los sistemas en una fase temprana de su desarrollo
c) los sistemas sujetos a importantes cambios, en una
fase temprana en el proceso de cambio
d) la introducción de nuevas tecnologías (por ejemplo,
redes inalámbricas, la mensajería instantánea y voz
sobre IP)
e) las solicitudes para permitir el acceso desde sitios
externos
f) las solicitudes para permitir el acceso a los sistemas y
a la información para personas externas a la
organización (por ejemplo, consultores, contratistas, y
personal de terceros)
SM3.3.3 Control: Las normas y procedimientos deberían
especificar que el análisis de riesgos:
a) se lleve a cabo periódicamente
b) involucre a los dueños de los negocios, los
especialistas en TI, los principales representantes de los
usuarios, los expertos en análisis de riesgos y los
especialistas en seguridad de la información
SM3.3.4 Control: Los resultados del análisis de riesgos deben
ser:
a) reportados a la dirección
b) utilizados para ayudar a determinar programas de
trabajo en seguridad de la información (por ejemplo, la
acciones correctivas y las nuevas
iniciativas en materia de seguridad)
c) integrados con otras actividades de gestión del riesgo
(por ejemplo, la gestión de riesgo operativo)
SM3.4 Metodologías de análisis de
riesgos de información
SM3.4.1 Control: Los riesgos asociados con la información y los
sistemas de la organización deben ser analizados
utilizando metodologías estructuradas de análisis de
riesgos información
Página 142 de 207