Orient

Descripción NC. C
ación
Dominios PLAN DE MEJORA
Estructura organizativa para la seguridad

Terceras partes
Identificación de riesgos por el acceso de terceras partes Cuando exista se otorga acceso a terceras partes a información de la entidad, el Responsable de Seguridad
50
Informática y el Propietario de la Información de que se trate, llevarán a cabo y documentarán una evaluación de
Debe Temas de seguridad a tratar con clientes 50 riesgos para identificar los requerimientos de controles específicos, teniendo en cuenta, entre otros aspectos: El
6
tipo de acceso requerido (físico/lógico y a qué recurso). Los motivos para los cuales se solicita el acceso. El valor
de la información. Los controles empleados por la tercera parte. La incidencia de este acceso en la seguridad de
Debe Temas de seguridad en acuerdos con terceras partes 50
la información de la entidad.

Orient
Descripción NC. C
ación
Dominios Clasificación y control de activos
Responsabilidad sobre los activos
Debe Inventario de activos 50
Debe Propietario de activos 50
Debe Uso aceptable de los activos 50
7
Clasificación de la información
Debe Guías de clasificación 50
Debe Etiquetado y manejo de la información 50
Seguridad en el personal
Antes del empleo
Debe Roles y responsabilidades 50
Debe Verificación 50
8 Debe Términos y condiciones de empleo 50
Durante el empleo
Debe Responsabilidades de la gerencia 50
Debe Educación y formación en seguridad de la información 50
 Debe Procesos disciplinarios 50
Terminación o cambio del empleo
Debe Responsabilidades en la terminación 50
Debe Devolución de activos 50
Debe Eliminación de privilegios de acceso 50
Orient
Descripción NC. C
ación
Dominios Seguridad físicas y del entorno
Áreas Seguras
Perímetro de seguridad física Las áreas protegidas se resguardarán mediante el empleo de controles de acceso físico, los que serán
Debe 50 determinados por el Responsable de Seguridad Informática junto con el Responsable del Área Informática, a fin
Controles de acceso físico de permitir el acceso sólo al personal autorizado. Estos controles de acceso físico tendrán, por lo menos, las
siguientes características:
Debe 50
Seguridad de oficinas, recintos e instalaciones
Debe 50  Supervisar o inspeccionar a los visitantes a áreas protegidas y registrar la fecha y horario de su ingreso
Protección contra amenazas externas y ambientales y egreso.
Debe 50  Controlar y limitar el acceso a la información clasificada y a las instalaciones de procesamiento de
información, exclusivamente a las personas autorizadas.
Trabajo de áreas seguras  Revisar y actualizar cada (5 meses) los derechos de acceso a las áreas protegidas,
Debe 50
 Revisar los registros de acceso a las áreas protegidas.
Áreas de carga, entrega y áreas públicas  Ubicar las instalaciones críticas en lugares a los cuales no pueda acceder personal no autorizado.
9 50  Establecer que los edificios o sitios donde se realicen actividades de procesamiento de información
serán discretos y ofrecerán un señalamiento mínimo de su propósito, sin signos obvios, exteriores o
interiores.
 Ubicar las funciones y el equipamiento de soporte, por ejemplo: impresoras de red, fotocopiadoras,
máquinas de fax, adecuadamente dentro del área protegida.
 Establecer que las puertas y ventanas permanecerán cerradas cuando no haya vigilancia.
 Instalar un circuito cerrado de televisión que este permanentemente grabando los principales accesos de las
áreas críticas del colegio, donde se encuentre la información sensible.
 Implementar sensores de movimiento que activen luces o alarmas en sectores que no estén siendo
monitoreados por el circuito cerrado de televisión.
 Implementar Guayas de seguridad para asegurar los equipos, entre otras.

Puede
Seguridad de los Equipos
Debe Seguridad del equipamiento fuera de las instalaciones 50
Orient
Descripción NC. C
ación
Dominios Gestión de comunicaciones y operaciones
Procedimientos operacionales y responsabilidades
Debe Procedimientos de operación documentados 50
Debe Separación de las instalaciones de desarrollo y producción 50
Administración de servicios de terceras partes
Puede Entrega de servicios 50
Puede Monitoreo y revisión de servicios de terceros 50
Puede Manejo de cambios a servicios de terceros 50
Planificación y aceptación del sistema
10
Debe Aceptación del sistema 50
Intercambio de información
Puede Medios físicos en transito 50
Servicios de comercio electronico
Puede Información públicamente disponible 50
Monitoreo y supervisión
Debe Logs de auditoria 50
Debe Registro de actividades de administrador y operador del sistema 50
Orient
Descripción NC. C
ación
Dominios Control de accesos
Administración de acceso de usuarios
Debe Administración de privilegios 50
Debe Administración de contraseñas 50
Debe Revisión de los derechos de acceso de usuario 50
Responsabilidades de los usuarios
11
Debe Uso de contraseñas 50
Control de acceso al sistema operativo
Debe Identificación y autenticación de los usuarios 50
Control de acceso a las aplicaciones y la información
Puede Restricción del acceso a la información 50
 Puede Aislamiento de sistemas sensibles 50
Ordenadores portátiles y teletrabajo
Puede Teletrabajo 50
Orient
Descripción NC. C
ación
Dominios Desarrollo y mantenimiento de sistemas
Seguridad en los procesos de desarrollo y soporte
Puede Restricciones en los cambio a los paquetes de software 50
12
Gestión de vulnerabilidades técnicas
Debe Control de vulnerabilidades técnicas 50
Orient
Descripción NC. C
ación
Dominios Gestión de incidentes de la seguridad de la información
Gestión de incidentes y mejoramiento de la seguridad de la
información
Debe Procedimientos y responsabilidades 50
13
Puede Lecciones aprendidas 50
Debe Recolección de evidencia 50
Gestión de la continuidad del negocio
Orient
Descripción NC. C
ación
Dominios Cumplimiento
Cumplimiento con los requisitos legales
Debe Identificación de la legislación aplicable 50
Debe Derechos de propiedad intelectual (dpi) 50
Debe Protección de los registros de la organización 50

15 Debe Protección de datos y privacidad de la información personal 50

Prevención del uso inadecuado de los recursos de procesamiento
Debe de información 50
Cumplimiento con las políticas y estándares de seguridad y
cumplimiento técnico
Debe Cumplimiento con las políticas y procedimientos 50
Debe Verificación de la cumplimiento técnico 50
Consideraciones de la auditoria de sistemas de información
Debe Controles de auditoria a los sistemas de información 50