MODELO DE SEGURIDAD - Gobierno en línea.

INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM4.3.1 Control: Deberían existir procedimientos documentados
para la gestión de activos, que incluyan:
a) la adquisición de software y hardware
b) el licenciamiento de software
c) el registro de activos en un inventario (o equivalente)
d) el archivo de la información importante
SM4.3.2 Control: Cuando se adquiera hardware y software se
debería:
a) seleccionar una lista de proveedores aprobados
b) considerar los requisitos de seguridad
c) debe darse alta prioridad a la confiabilidad
d) acordar los términos contractuales con los
proveedores.
SM4.3.3 Control: Se debe reducir el riesgo de debilidades de
seguridad del hardware y software mediante:
a) la obtención de las evaluaciones externas por parte
de fuentes de confianza
b) la identificación de las deficiencias de seguridad (por
ejemplo, inspección detallada, la referencia a las fuentes
publicadas, o mediante la participación de los usuarios
o grupos de discusión)
c) considerar métodos alternativos para proporcionar el
nivel necesario de seguridad
SM4.3.4 Control: La adquisición de hardware y software debe ser
revisado por el personal que tenga las habilidades
necesarias para evaluar el proceso y se debe contar con
la aprobación del representante del negocio apropiado.
SM4.3.5 Control: Se deben cumplir con los requisitos de
licenciamiento para el uso previsto del software y el
suministro de prueba de propiedad del software
SM4.3.6 Control: El Hardware y software (incluyendo
aplicaciones de escritorio críticas) se deben registrar en
los inventarios que especifican una única descripción de
hardware / software en uso, junto con su versión y la
ubicación.
SM4.3.7 Control: El inventario de Hardware y software debería
ser:
a) protegido contra cambios no autorizados
b) verificado periódicamente contra los activos físicos
c) mantenido al día
d) revisado independientemente.
SM4.3.8 Control: La información importante debería ser retenida
de conformidad con los requisitos jurídico y
reglamentarios
SM4.4 Gestión de identidad y de
acceso
SM4.4.1 Control: Se deben establecer procesos de gestión de
identidad y de acceso en toda la empresa
SM4.4.2 Control: Se deben establecer acuerdos para la gestión
de identidad y acceso y ser incorporados en una solución
empresarial y estos acuerdos deben aplicarse para
nuevas aplicaciones.
Página 149 de 207