MODELO DE SEGURIDAD - Gobierno en línea.

INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM6.5.1 Control: La prestación de acceso a terceros debe ser
apoyado por las normas y procedimientos documentados
que especifican
que, antes de la conexión:
a) se deben evaluar los riesgos del negocio asociados
con el acceso a terceros
b) se asigne la responsabilidad para la autorización de
acceso a terceros al personal apropiado
c) se realice la debida diligencia y se implementen los
controles de seguridad acordados
d) se efectúen pruebas
e) se formalicen los acuerdos en los contratos
SM6.5.2 Control: Se deben aplicar métodos para:
a) garantizar que los controles de terceros sean
proporcionales a los riesgos del negocio
b) proteger los intereses de la organización en relación
con la propiedad de la información y los sistemas
c) limitar los pasivos de la organización a terceros (por
ejemplo, mediante el uso de las condiciones
contractuales y advertencias que aparecen en la
pantalla)
d) cumplir con las obligaciones legales
e) hacer responsables a los terceros por sus acciones
SM6.5.3 Control: Cuando se trata de conexiones individuales a
terceros, se debe establecer un proceso para:
a) lograr la compatibilidad técnica
b) proteger la información sensible almacenada en los
sistemas o en su tránsito hacia instalaciones de terceros
c) mantener registros de actividades (por ejemplo, para
ayudar a rastrear las transacciones individuales y hacer
cumplir la rendición de cuentas)
d) proporcionar un único punto de contacto para la
atención de problemas (por ejemplo, un servicio de mesa
de ayuda o centro de llamadas)
SM6.5.4 Control: El acceso de terceros a través de las
conexiones debe ser administrado mediante:
a) la restricción de métodos de conexión (por ejemplo,
define los puntos de entrada sólo a través de firewalls)
b) la autenticación de usuarios alineado con la función
que desempeñan
c) la restricción de los tipos de acceso permitido (es
decir, en términos de información, capacidades de la
aplicación y privilegios de acceso)
d) el otorgamiento de acceso a la información y los
sistemas de la organización bajo el principio de "el
mínimo acceso"
e) la terminación de conexiones cuando no se necesitan
SM6.5.5 Control: Las conexiones que proporcionan el acceso a
terceros se deben identificar individualmente, deben ser
aprobadas por el dueño del negocio, deben ser
registradas y acordadas por las partes en un contrato
documentado
Página 168 de 207