MODELO DE SEGURIDAD - Gobierno en línea.

INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM3.4.2 Control: Las metodología de análisis de riesgos debería
ser:
a) documentada
b) aprobada por la dirección
c) consistente en toda la organización
d) automatizado (por ejemplo, utilizando herramientas de
software especializado)
e) revisarse periódicamente para garantizar que cumplen
las necesidades del negocio
f) aplicable a sistemas de diferentes tamaños y tipos
g) comprensible para los representantes de las unidades
negocio.
SM3.4.3 Control: La metodología de análisis de riesgos de
información debe exigir que todos los análisis de riesgo
tengan un alcance claramente definido.
SM3.4.4 Control: La metodología de análisis de riesgos de
información debe determinar el riesgo evaluando:
a) el impacto potencial para el negocio asociadas con el
sistema, la red, o las instalaciones de computación
b) las amenazas intencionales a la confidencialidad,
integridad y disponibilidad de la información y los
sistemas (por ejemplo, llevar a cabo
ataques de denegación de servicio, el malware, la
instalación de software no autorizado, mal uso de los
sistemas para cometer un fraude)
c) las amenazas accidentales a la confidencialidad,
integridad y disponibilidad de la información y los
sistemas (por ejemplo, la interrupción del suministro de
energía, mal funcionamiento del sistema o del software)
d) las vulnerabilidades ocasionadas por deficiencias de
control
e) las vulnerabilidades debidas a situaciones que
aumentan la probabilidad de ocurrencia de un grave
incidente de seguridad de la información
(por ejemplo, el uso de Internet, permitir el acceso a
terceros o la ubicación de un servidor en una zona
propensa a terremotos o inundaciones)
SM3.4.5 Control: La metodología de análisis de riesgos debería
tener en cuenta:
a) los requisitos de cumplimiento (por ejemplo, con la
legislación, la reglamentación, las cláusulas
contractuales, las normas de la industria y
políticas internas)
b) los objetivos de la organización
c) los requisitos de clasificación de la información
d) el análisis de riesgos previo de la aplicación, la red o
la instalación de computo que se está evaluando
e) las características del ambiente operativo de la
aplicación, la red o la instalación de computo que se está
evaluando
Página 143 de 207