MODELO DE SEGURIDAD - Gobierno en línea.

INFORME FINAL – MODELO DE SEGURIDAD DE LA
INFORMACIÓN – SISTEMA SANSI - SGSI
MODELO DE SEGURIDAD DE LA INFORMACIÓN PARA LA
ESTRATEGIA DE GOBIERNO EN LÍNEA
6.5.2. Niveles de madurez de los controles de seguridad recomendados
Independiente del grupo y de los controles que las entidades deban aplicar, cada control tiene un nivel
de madurez en seguridad de la información categorizado de 0 a 5, que la entidad deberá implementar
para evidenciar la mejora contínua del Modelo de seguridad SGSI para la Estrategia de Gobierno en
Línea. El Modelo fija niveles mínimos y óptimos de madurez para obtener los registros de seguridad de
la información –RSI que serán otorgados a las entidades que cumplan con estos niveles requeridos. Ver
mayor información relacionada con los registros RSI en el numeral 6.5.3. del presente documento.
Los niveles de madurez de la seguridad de la información de los controles recomendados por el Modelo
SGSI, son adaptados del Modelo CMM de CobIT versión 4.0 17 , que los clasifican en los siguientes
niveles:
Nivel 0 No Existente: No hay políticas, procesos, procedimientos, o controles en seguridad
de la información. La entidad no reconoce los riesgos en seguridad de la información y por ende
la necesidad de su tratamiento.
Nivel 1 Inicial: La entidad reconoce que los riesgos en seguridad de la información deben ser
tratados/mitigados. No existen políticas ni procesos estandarizados sino procedimientos o
controles particulares aplicados a casos individuales.
Nivel 2 Repetible: Se desarrollan procesos y procedimientos en seguridad de la información
de forma intuitiva. No hay una comunicación ni entrenamiento formal y la responsabilidad de la
seguridad de la información recae en el sentido común de los empleados. Hay una excesiva
confianza en el conocimiento de los empleados, por tanto, los errores en seguridad de la
información son comunes.
Nivel 3 Definido: Los procesos y las políticas se definen, documentan y se comunican a través
de un entrenamiento formal. Es obligatorio el cumplimiento de los procesos y las políticas y por
tanto, la posibilidad de detectar desviaciones es alta. Los procedimientos por si mismos no son
sofisticados pero se formalizan las prácticas existentes.
Nivel 4 Administrado: Existen mediciones y monitoreo sobre el cumplimiento de los
procedimientos en seguridad de la información. Los procedimientos están bajo constante
17 Ver mayor información en www.isaca.org
http://www.isaca.org/Content/ContentGroups/Research1/Deliverables/COBIT_Mapping_Mapping_SEI’s_CMM_for_Software_With_COBIT_4_0.htm
Página 69 de 207