MODELO DE SEGURIDAD - Gobierno en línea.

INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
realizará la entidad en la herramienta seleccionando en un rango de 1 a 5 donde 1 es una
criticidad muy baja, 2 criticidad baja, 3 criticidad media, 4 criticidad alta y 5 criticidad muy alta.
4. Realizar la evaluación del riesgo en seguridad: Una vez el levantamiento de información de los
activos parte del alcance del SGSI está realizado, se debe hacer la evaluación del riesgo
asociado a dichos activos, especificando las áreas de preocupación, amenazas, vulnerabilidades,
escenarios de riesgo, probabilidad de ocurrencia de la amenaza e impacto si llega a
materializarse la amenaza a los activos que soportan los sistemas de información, aplicaciones y
en consecuencia, los procesos de negocio o áreas parte del alcance. La entidad puede hacer uso
de cualquier metodología de gestión, evaluación y análisis del riesgo que considere conveniente,
no hay necesidad de usar una específica, lo importante es que tenga los elementos
recomendados en la norma ISO27001. Como parte de la presente consultoría, se entrega un
documento con la metodología de evaluación del riesgo propuesta. Ver documento “Entregable
4 - Anexo 2: Metodología de gestión del riesgo”. De igual forma, existen metodologías de
gestión del riesgo recomendadas como la AS/NZ4360, la ISO27005:2008 y la SP800-30 (del
instituto NIST http://csrc.nist.gov/publications/nistpubs/800-30/sp800-30.pdf).
5.a. Preparar y elaborar la Declaración de Aplicabilidad (o en sus términos en inglés: Statement of
Agreement –SOA): Cada entidad, según su naturaleza, y objetivos de negocio, seleccionará cuales
de los dominios y objetivos de control de las normas ISO27001/27002 aplican y no aplican para su
entidad. Para los seleccionados como “No Aplica”, la entidad deberá justificar detalladamente la
exclusión; además, deberá tener en cuenta:
• Los objetivos de control y controles seleccionados y los motivos para su elección;
• Los objetivos de control y controles que actualmente ya están implantados;
• La exclusión de cualquier objetivo de control y controles deberán estar
justificados apropiadamente.
El modelo de Seguridad para la Estrategia de Gobierno en Línea, propone un listado de políticas,
objetivos de control y controles, producto de un análisis detallado de las normas internacionales
recomendadas como la (ISO27001/27002, CobIT, NIST, AS/NZ4360) 12 y que en un mayor grado,
apoyan los objetivos de la Estrategia de Gobierno en Línea. Ver numeral 6.5. de este documento
para mayor información.
Por medio de la Herramienta de Auto-evaluación, el usuario designado por cada entidad revisará los
dominios y objetivos de control propuestos en la interfaz de la herramienta para que luego de un
análisis interno con la Alta Dirección de su Entidad, seleccione cuales aplica y cuáles no. Para los
que excluya, deberá digitar y adjuntar (la herramienta podrá permitir ingresar anexos) toda la
12 Para mayor información ver numeral 3.5.2. de este documento.
Página 41 de 207