MODELO DE SEGURIDAD - Gobierno en línea.

INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
del servicio. Se recomienda tener en cuenta los siguientes pasos, adoptados del documento e-
Government Strategy Framework Policy and Guidelines 19 :
• Desarrollo del concepto del servicio. Se identifican los elementos claves del servicio y cómo se
va a prestar el servicio. Se identifican los dominios de seguridad que intervienen en la prestación
del servicio (dominio del cliente, dominio de los servicio de Gobierno en Línea, dominio del
prestador de servicios de Internet, etc.). Se identifican los requisitos de seguridad para el servicio
basado en un análisis y evaluación de riesgos. Se evalúa si el concepto de servicio es posible desde
la perspectiva de seguridad. Se considera qué tan bien trabajará el servicio con otros servicios de
Gobierno en Línea.
• Especificación de los requisitos del servicio y revisión del cumplimiento. La revisión
detallada de los requisitos de seguridad se realiza paralelamente con el desarrollo y revisión de las
especificaciones del servicio. Esta fase incluye un examen detallado de la información y la
prestación de servicios activos, y un análisis de las amenazas y las vulnerabilidades. Los niveles de
riesgo se determinan mediante la evaluación del impacto de amenazas tales como: la apropiación
indebida de identidad del mundo real 20 ; la apropiación indebida de identidad electrónica 21 o
credenciales de acceso; el incumplimiento de los compromisos contraídos; la divulgación de
información privada; las fallas accidentales del servicio y / o de infraestructura; un ataque
electrónico malicioso o involuntario. Se deben incluir requisitos para la retención y almacenamiento
seguro de la información y cumplimiento de reglamentación vigente.
• Diseño, implementación y pruebas del servicio. El diseño, la implementación y prueba de los
requisitos de seguridad se realiza paralelamente al diseño, implementación y prueba del servicio. El
diseño de la seguridad debe tener en cuenta la mitigación de riesgos seleccionando los controles
más apropiados, limitando la arquitectura de manera que cubra sólo los servicios requeridos, se
evalúe el riesgo residual y se consideren más controles hasta que el riesgo residual sea aceptable.
La implementación del servicio incluye: el desarrollo y configuración de las medidas de seguridad, el
establecimiento de los procesos de seguridad para el funcionamiento y la gestión del servicio
incluyendo la auditoria y rendición de cuentas, el desarrollo y aprobación de la documentación de
seguridad, la elaboración y aprobación de las guías para el manejo de la información asociada con
el servicio específico, el desarrollo de declaraciones de seguridad y consejo para los clientes del
19 http://www.govtalk.gov.uk/policydocs/policydocs_document.asp?docnum=649 último acceso 08/12/05
20 Identidad del mundo real: conjunto de atributos (nombre, fecha de nacimiento, cedula de ciudadanía) que permite identificación única entre usuarios.
21 Identidad electrónica: conjunto de atributos (nombre de usuario, identificador de certificado digital) que identifica a un único usuario en un sistema de
computador.
Página 205 de 207