MODELO DE SEGURIDAD - Gobierno en línea.

INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
• Necesidades de recursos, implementación de controles recomendados.
• Apoyar la implementación del plan de acción.
• Disponer de políticas, objetivos y actividades de seguridad que reflejen la función misional de las
entidades.
• Disponer de un enfoque y un marco de trabajo para implementar, mantener, monitorear y mejorar
la seguridad de la información, que sean consistentes con la cultura de la organización. Apoyarse
en el software de auto-evaluación para identificar aspectos por mejorar.
• Asegurar soporte y compromiso visibles en toda la organización.
• Asegurar un buen entendimiento de los requisitos de seguridad de la información apoyándose en
metodologías para gestión de riesgos. Las entidades del estado disponen de la Guía de
Administración de Riesgos del DAFP. Existe la norma técnica NTC 5244 Gestión del riesgo.
Adicionalmente, la presente consultoría pone a disposición el documento: “Entregable 4, Anexo 2:
Metodología de gestión del riesgo”. En el documento “Diagnóstico de la Situación Actual” se
identifican otros documentos que se relacionan con la gestión de riesgos.
• Realizar un mercadeo eficaz de la seguridad de la información para todos los directores, empleados
y otras partes para lograr la sensibilización adecuada.
• Distribuir guías sobre la política y las normas de seguridad de la información para todos los
directores, empleados y otras partes.
• Obtener provisión de fondos para las actividades de gestión de seguridad de la información.
• Mantener programas continuos y adecuados de formación, educación y sensibilización. Apoyarse en
el material de capacitación y sensibilización entregado por la presente consultoría (ver documento
“Capacitación y sensibilización para el Modelo de Seguridad”.
• Establecer un proceso eficaz para la gestión de incidentes de seguridad de la información. Se
dispone de la guía técnica GTC 169 Gestión de Incidentes de Seguridad de la Información. Así
mismo, apoyarse en el CSIRT para una efectiva respuesta a incidentes (ver documento “Diseño de
un CSIRT Colombiano”).
• Implementar un sistema de medición para evaluar el desempeño en la gestión de seguridad de la
información y retroalimentar sugerencias para la mejora. Apoyarse en el software de autoevaluación,
así como en guías internacionales tales como el documento NIST SP 800-55
Performance Measuring Guide For Information Security.
Por otra parte, la implementación de la seguridad de la información en los servicios de Gobierno en
Línea requiere que se contemplen los requisitos de seguridad desde la fase de inicio de la concepción
Página 204 de 207