Este documento presenta la propuesta de diseñar el proceso para la sistematización de la gestión de riesgos de seguridad de la información en la red de la Universidad Centroccidental “Lisandro Alvarado”. El diseño del proceso se basa en las normas ISO 27001 e ISO 27005 y consta de 7 fases: determinar el contexto, identificar, analizar, evaluar, tratar, monitorear y revisar, y comunicar y consultar. El objetivo es definir el proceso de gestión de riesgos, describir sus fases y present

2. UNIVERSIDADCENTROCCIDENTAL“LISANDROALVARADO”
DECANATODECIENCIASY TECNOLOGÍA
DIRECCIONDEPOSTGRADO
BARQUISIMETO •ESTADOLARA.
Barquisimeto, Junio de2011

3. AGENDA
El Problema.
Marco Teórico.
Marco Metodológico.
Presentaciónde los Resultados.
Conclusiones y Recomendaciones.
Propuesta delEstudio.

4. DEL PROBLEMA
PLANTEAMIENTO
RedUCLA

5. CAUSA
DEL PROBLEMA
PLANTEAMIENTO
 Políticas quepermita controlar el uso o implementación delos
sistemas y servicios apoyados enla red.
 Mecanismos para la adecuada gestión deriesgos deseguridad de la
información.

6. CONSECUENCIA
DEL PROBLEMA
PLANTEAMIENTO
 Uso no adecuado de los recursos dela red.
 Infecciones devirus.
 Asociados a la Seguridad.

7. DISEÑO
COMPONENTES
PROCESO
INTERROGANTES
¿Cuál esel proceso actual de la Gestión de Riesgos de Seguridad de la
Informaciónen laRedUCLA?
1
¿Cuálesson los componentes necesariospara diseñarel proceso de
Sistematización de la Gestión de Riesgos de Seguridad de la Informaciónen la
RedUCLA?
¿Cómoseráel diseño del procesode sistematización?
2
3

8. Sistematizar la Gestión de Riesgos de
Seguridad de la información en la Red dela
Universidad Centroccidental “Lisandro
Alvarado”
GENERALDE LA INVESTIGACIÓN
OBJETIVO

9. 2
1
3
ESPECÍFICOS
OBJETIVOS
El procesoactualdela Gestión deRiesgosdeSeguridaddela Informaciónen la ReddelaUniversidad
Centroccidental“LisandroAlvarado”
DIAGNOSTICAR
Loscomponentesparadiseñarel procesoparalaSistematización de laGestión deRiesgosde
SeguridaddelaInformaciónen laReddela Universidad Centroccidental“LisandroAlvarado”
IDENTIFICAR
PRESENTAR
El diseñodel procesoparalaSistematizaciónde laGestión de Riesgos de Seguridadde la
Informaciónen la Redde la UniversidadCentroccidental“LisandroAlvarado”

10. E IMPORTANCIA
JUSTIFICACIÓN
Permitirla detección a tiempo de las amenazas y
vulnerabilidades en la plataforma tecnológica

11. E IMPORTANCIA
JUSTIFICACIÓN
Administrar los incidentes de seguridad
que se puedan presentar.

12. ALCANCE
Presentar el diseño de la Sistematizaciónde la Gestión
de Riesgos de Seguridadde la Informaciónen la Red de
la Universidad“Lisandro Alvarado”

13. LA INVESTIGACIÓN
ANTECEDENTES DE

14. TEÓRICO
MARCO

15. LEGALES
BASES
 Normasde Seguridad Informáticayde Telecomunicacionesde la
UCLA
Ley Orgánica de Ciencia,Tecnología eInnovación
Ley EspecialContralos Delitos Informáticos
Ley Sobre Mensajes DeDatosy Firmas Electrónicas
Ley Orgánica deTelecomunicaciones
ISO/IEC27001:2005
Estándares Internacionales
Leyes Nacionales
NormativaInterna

16. DE LAS VARIABLES
OPERACIONALIZACIÓN

17. Investigaciónde campo,
detipo descriptivo.
NoExperimental
TIPO DE INVESTIGACIÓN
METODOLÓGICO
MARCO
DISEÑO

18. 11
5
MUESTRA POBLACIONAL
METODOLÓGICO
MARCO
Todos los empleados dela Universidad dela
Dirección de Telecomunicaciones
Profesoresexpertos en elárea de seguridad de la
información adscritoal DCYT-UCLA
MUESTRA INTENCIONAL

19. METODOLÓGICO
MARCO
Entrevista
Cuestionario

20. METODOLÓGICO
MARCO
Juicio de expertos
Ítems en escala de likert,
AlphaCronbachα= 0.92
Ítems de tipo dicotómicas,
kuder Richardson r20=0.82

21. METODOLÓGICO
MARCO
1. Estadística descriptiva, estadísticos de frecuencias
absolutas y porcentuadas.
2. Matriz de análisis de contenido.

22. ANALÍSIS
Normasde SeguridadInformáticayde telecomunicacionesde la UCLAbasadaenla ISO/IEC
17799.
Lanorma contemplaregulaciónde losriesgos a nivel lógico.
ENTREVISTAS
Losplanes decontingenciasse basanen lasexperiencias delos administradores.
Los usuarios desconocenlos riesgos quepuedanimplicarel uso inadecuadode los servicios de la
red.
PERSONALDIRECTIVO
DE RESULTADOS

23. DE RESULTADOS
ANALÍSIS
Políticas deSeguridad:
Item 1 Item 2 Item 3 Item 4
100 %
86 %
14 %
00
14 %
86 %
100 %
SI NO
CUESTIONARIOS

24. Item 6 Item 7 Item 8
57 %
86 % 86 %
43 %
14% 14 %
SI NO
ANALÍSIS
Activosde informática:
CUESTIONARIOS
DE RESULTADOS

25. % siempre % casi siempre % algunas veces % casi nunca % nunca
42 %
29 % 29 %
86 %
14 %
71 %
29 %
57 %
29 %
14 %
Infección por virus
Informático
Acceso no autorizado
Sustraccion de
informacion por
terceros
Perdida de información
por accidente
Negacion de servicio
ANALÍSIS
Incidentes deSeguridad:
CUESTIONARIOS
DE RESULTADOS

26. Base de datos Servidor de
base de datos
Servidor DNS Servidor
Proxy
Servidor de
Correo
Servidor Web Swiches Router Firewall Red de
comunicación
Telefonía
% Muy Bajo % Bajo % Medio % Alto % Muy Alto
ANALÍSIS
Disponibilidad:
CUESTIONARIOS
DE RESULTADOS

27. POLITICAS DE SEGURIDAD
GESTIÓN DE RIESGO
CONCLUSIONES
Las políticas de seguridad de la información sonde vital importancia para el
funcionamiento de la estructurade seguridad de las Organizaciones.
El análisis y gestión de riesgos, proporciona información de donde residen
los problemas actuales de seguridad de la información..

28. APLICAR TECNICAS
SEGURIDAD DE INFORMACIÓN
CONCLUSIONES
Las metodologías para el análisis de riesgos conllevan de unamanera
sistemática, a aplicar técnicas y métodos adecuados.
La seguridad de la información protege a la información desde tresaspectos
importantes: confidencialidad, integridad y disponibilidad.

29. IDENTIFICAR AMEZAS
MEDIDAS DE SEGURIDAD
CONCLUSIONES
Las medidas de seguridad para proteger la información deben serlógicas,
físicas, legales, organizativas.
Las valoraciones de riesgo permite identificar las amenazasque pueden
comprometer los activos.

30. RECOMENDACIONES
Actualización del documento depolíticas deseguridad de la UCLA.
Diseñar un plan de concientización
Diseñar y ejecutar un plan de contingencia

31. Analizar los principales activos deinformación
Orientar a los usuarios
Promoverel establecimiento dela normas ISO27001:2007.
RECOMENDACIONES

32. RECOMENDACIONES
Poner enpráctica la propuesta planteada

33. PROPUESTA
DISEÑO DE LA

34. PROPUESTA
1. FundamentaciónTeórica.
2. Objetivos de la Propuesta.
3. Desarrollo de la Propuesta.
4. Fases de la Propuesta.
ESTRUCTURA DE LA

35. PROPUESTA
FUNDAMENTACIÓN
TEÓRICA
1
Norma ISO/IEC27001:2005
Modelo de Procesos
Planificar-Hacer-Verificar-Actuar(PHVA)
Norma ISO/IEC27002:2005
Objetivos de Control.
Norma ISO/IEC27005:2007
Gestión deRiesgos.
DISEÑO DE LA

36. PROPUESTA
OBJETIVO DE LA
PROPUESTA
2
General:
Diseñar el proceso para la sistematización de la gestión de
riesgos de seguridad de la información en la redde la
Universidad Centroccidental “Lisandro Alvarado”
DISEÑO DE LA

37. PROPUESTA
OBJETIVO DE LA
PROPUESTA
2
Específicos:
1.Definir el proceso degestión deriesgos deseguridad delainformación.
2.Describir lasfasesparael proceso de gestiónde riesgos de seguridadde lainformación
3. Presentar la Sistematización de la gestión de riesgos de seguridad de la información en la
red de laUniversidadCentroccidental “Lisandro Alvarado.
DISEÑO DE LA

38. PROPUESTA
DISEÑO DE LA
DESARROLLO DE LA
PROPUESTA
3
Fases delproceso degestión
deriesgos deseguridad de la
información
Gestión de Riesgos

39. PROPUESTA
FASESDE LA
4
Determinar el Contexto
Identificar
Analizar
Evaluar
Tratar
Monitorear y Revisar
Comunicary Consultar
FaseI:
FaseII:
FaseIII:
Fase IV:
FaseV:
FaseVI:
FaseVII:

40. IDENTIFICAR ANALIZAR EVALUAR TRATARDETERMINAR
EL CONTEXTO
FASE II FASE III FASE IV FASE VFASE I
PROPUESTA
DISEÑO DE LA
Definir
Alcance
Objetivos
Metodologías

41. ANALIZAR EVALUAR TRATARDETERMINAR
EL CONTEXTO
FASE III FASE IV FASE VFASE I
IDENTIFICAR
FASE II
PROPUESTA
DISEÑO DE LA
Identificación
Activos
Amenazas
Vulnerabilidades

42. IDENTIFICAR EVALUAR TRATARDETERMINAR
EL CONTEXTO
FASE II FASE IV FASE VFASE I
ANALIZAR
FASE III
PROPUESTA
DISEÑO DE LA
Valoración
Activos
Amenazas
Vulnerabilidades

43. IDENTIFICAR ANALIZAR TRATARDETERMINAR
EL CONTEXTO
FASE II FASE III FASE VFASE I
EVALUAR
FASE IV
PROPUESTA
DISEÑO DE LA
Decidir
Tratamiento

44. IDENTIFICAR ANALIZAR EVALUARDETERMINAR
EL CONTEXTO
FASE II FASE III FASE IVFASE I
TRATAR
FASE V
PROPUESTA
DISEÑO DE LA
Tratar
Mitigar
Asumir
Transferir
Eliminar

45. PROPUESTA
DISEÑO DE LA
MONITOREAR Y REVISAR TODO EL PROCESO
ValoraciónDefinir
Alcance
Objetivos
Metodologías
Identificación
Vulnerabilidades Activos Amenazas
Decidir
Tratamiento
Tratar
Mitigar
Asumir
Transferir
Eliminar
COMUNICAR Y CONSULTAR
FASE VI
FASE VII

46. IDENTIFICAR ANALIZAR EVALUAR TRATARDETERMINAR
EL CONTEXTO
RIESGO
MONITOREAR Y REVISAR TODO EL PROCESO
ValoraciónDefinir
Alcance
Objetivos
Metodologías
Identificación
Vulnerabilidades Activos Amenazas
Decidir
Tratamiento
Tratar
Mitigar
Asumir
Transferir
Eliminar
COMUNICAR Y CONSULTAR
FASE II FASE III FASE IV FASE VFASE I
FASE VI
PROPUESTA
DISEÑO DE LA
FASE VII

47. "!Estudia!No para saber una cosa mas, sino para
saberla mejor."
Lucio AnneoSéneca

48. GRACIAS por
su ATENCIÓN