MODELO DE SEGURIDAD - Gobierno en línea.

INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
SM6.5.6 Control: Las personas responsables por la
administración de conexiones a terceros deben tener
acceso a:
a) la información sobre los riesgos asociados con el
acceso a terceros
b) las normas y procedimientos que ilustran las medidas
que se deben adoptar para lograr conexiones seguras
c) las herramientas de soporte (por ejemplo, listas de
chequeo, muestras de contratos y acuerdos de niveles
de servicio)
d) las fuentes de conocimiento para obtener consejo y
accesoria de especialistas (por ejemplo, la función de
seguridad de la información)
SM6.6 Comercio electrónico
SM6.6.1 Control: Se debe responsabilizar a un gerente de alto
nivel para todo lo relacionado con las iniciativas de
comercio electrónico
SM6.6.2 Control: Se debe establecer un comité directivo o grupo
directivo para coordinar las iniciativas de comercio
electrónico que incluya representantes de las áreas
claves de la organización que participan en las iniciativas
de comercio electrónico (por ejemplo, la alta dirección,
los propietarios de negocio, el departamento jurídico, la
administración de TI, y la función de seguridad de la
información)
SM6.6.3 Control: Los riesgos asociados con iniciativas de
comercio electrónico deben ser objeto de un análisis de
riesgos de información
SM6.6.4 Control: Se deben establecer y documentar normas y
procedimientos para administrar las iniciativas de
comercio electrónico las cuales requieren que:
a) las buenas prácticas de seguridad de la información
no se sacrifiquen en aras de la velocidad de entrega
b) las iniciativas estén impulsadas por los requerimientos
del negocio
c) se minimice la dependencia de la tecnología inmadura
d) se evalúen las implicaciones de seguridad al
implementar las soluciones de proveedores
SM6.6.5 Control: Se debe establecer un proceso para asegurar
que los tomadores de decisiones:
a) comprendan las necesidades de seguridad de los
clientes
b) sean conscientes de los riesgos asociados con el
comercio electrónico y no pasen por alto las principales
amenazas técnicas
c) aprueban los riesgos residuales
d) identifican las competencias necesarias de seguridad
para apoyar las iniciativas de comercio electrónico y
emplean al personal suficiente con las habilidades
necesarias (por ejemplo, utilizando terceros que sean
expertos o capacitando al personal interno)
Página 169 de 207