MODELO DE SEGURIDAD - Gobierno en línea.

INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM6.2.1 Control: La organización que hace uso de una
infraestructura de clave pública (PKI), debe establecer y
documentar normas y procedimientos que definan:
a) el proceso necesario para la gestión de claves
criptográficas y certificados digitales dentro de la PKI
b) los métodos necesarios para el funcionamiento del
PKI
c) las medidas que deben adoptarse en caso de un
compromiso o una sospecha de compromiso de la PKI
SM6.2.2 Control: Los usuarios de PKI deben ser conscientes del
propósito y función de la PKI, y su responsabilidad para
proteger las claves privadas y para utilizar la firma digital
SM6.2.3 Control: Una Autoridad de Certificación (CA) está
compuesto por las personas, los procesos y las
herramientas que son responsables de la creación,
generación y administración de los certificados de clave
pública que se utilizan dentro de una PKI. Donde una
PKI es soportada por una CA interna la cual debe estar
protegida por:
a) la restricción de acceso a personas autorizadas (por
ejemplo, utilizando mecanismos de control de acceso y
autenticación fuerte)
b) el aseguramiento del sistema operativo que lo soporta
(por ejemplo, mediante la eliminación de todas las
vulnerabilidades conocidas)
c) el empleo de otros controles generales (por ejemplo,
la gestión de cambios) de manera organizada
SM6.2.4 Control: Los planes de contingencia para las
aplicaciones que se soportan en PKI deberían incluir los
métodos para la recuperación de la PKI en
el evento de un desastre
SM6.3 Correo electrónico
SM6.3.1 Control: Se deben establecer y documentar normas y
procedimientos para la provisión y uso del correo
electrónico, los cuales deben especificar métodos para:
a) configurar los servidores de correo (por ejemplo, para
limitar el tamaño de los mensajes o buzones de usuario)
b) escanear los mensajes de correo electrónico (por
ejemplo, para el malware, cadenas de mensajes o el
contenido ofensivo)
c) mejorar la seguridad de los mensajes de correo
electrónico (por ejemplo, mediante la utilización de
descargos de responsabilidad, algoritmos de hashing,
cifrado o técnicas de no-repudio)
d) hacer que los usuarios sean más conscientes de las
consecuencias de sus acciones al utilizar el correo
electrónico
Página 164 de 207