CUESTIONARIO 5. POLÍTICA DE SEGURIDAD 5.1.1. Documento de la política de seguridad de la información Pregunta 1: ¿Actualmente en la empresa existe una política de seguridad de la información aprobado por el gerente y publicado para el conocimiento de todos los empleados y partes externas relevantes de la organización?
5.1.2. Revisión de la política de seguridad de la información Pregunta 2: ¿La política de seguridad de la información existente en la empresa, tiene en cuenta los resultados de las revisiones de la gerencia?
6. ORGANIZACIÓN DE LA SEGURIDAD DE LA INFORMACIÓN 6.1.1. Compromiso de la gerencia con la seguridad de la información Pregunta 3: ¿Existe un apoyo activo por parte de la gerencia para con la seguridad dentro de la organización?
6.1.2. Coordinación de la seguridad de la información Pregunta 4: ¿Las actividades de la seguridad de información se encuentran debidamente coordinadas e involucra la intervención de personas que aseguren que dichas actividades de seguridad sean ejecutadas en conformidad con la política de seguridad de información?
6.1.3. Asignación de las responsabilidades de la seguridad de la información Pregunta 5: ¿Se encuentran definidas las responsabilidades de la seguridad de información? ¿Se realizan alineadas a la política de seguridad de información?
6.1.4. Autorización de proceso para facilidades procesadoras de información Pregunta 6: ¿Existe un control necesario ante las vulnerabilidades que se puedan presentar por el uso de facilidades para el procesamiento de información? ¿Estas facilidades se encuentran autorizadas por el gerente?
6.1.5. Acuerdos de confidencialidad Pregunta 7: ¿Actualmente los requerimientos de confidencialidad o acuerdos de no-divulgación tienen en cuenta la protección de la información confidencial? ¿Con qué frecuencia se revisan estos requerimientos?
6.1.6. Contacto con las autoridades Pregunta 8: ¿Existe un contacto apropiado con autoridades relevantes a la hora de reportar los incidentes de seguridad de la información? ¿Estos incidentes son identificados de manera oportuna?
6.1.7. Contacto con grupos de interés especial
Pregunta 9: ¿Existe un contacto apropiado con grupos de interés especiales u otros organismos profesionales? ¿Se ha establecido algún acuerdo de intercambio de información con algunos de estos?
6.1.8. Revisión independiente de la seguridad de la información Pregunta 10: ¿Existe alguna revisión independiente de la seguridad de la información? ¿Quiénes la realizan?
6.2.1. Identificación de los riesgos relacionados con los grupos externos Pregunta 11: ¿Se realiza alguna evaluación de riesgo cuando un grupo externo tiene acceso a los medios de procesamiento de la información de la empresa? ¿Existe algún contrato de por medio que avale estos procedimientos?
6.2.2. Tratamiento de la seguridad cuando se lidia con clientes Pregunta 12: ¿Se consideran todos los términos y requerimientos de seguridad (protección de activos, política de control de acceso, etc.) antes de proporcionar a los clientes acceso a cualquier activo de la empresa?
6.2.3. Tratamiento de la seguridad en acuerdos con terceros Pregunta 13: ¿Los acuerdos o contratos con terceros abarcan todos los requerimientos de seguridad relevantes para la empresa?
7. GESTIÓN DE ACTIVOS 7.1.1. Inventario de los activos Pregunta 14: ¿Se han identificado y documentado todos los activos de la empresa, además de las propiedades y niveles de protección?
7.1.2. Propiedad de los activos Pregunta 15: ¿La información y los activos asociados con los medios de procesamiento de información se encuentran designados como propiedad a una parte de la organización?
7.1.3. Uso aceptable de los activos Pregunta 16: ¿Se encuentran documentadas e implementadas reglas para un mejor uso de activos asociados al procesamiento de la información? ¿Se siguen conscientemente estas reglas?
7.2.1. Lineamientos de clasificación Pregunta 17: ¿Se tienen en cuenta las necesidades comerciales y los impactos de estos a la hora de clasificar la información? ¿Se encuentra correctamente clasificada dicha información?
7.2.2. Etiquetado y manejo de la información
Pregunta 18: ¿Se ha desarrollado o implementado procedimientos para el etiquetado y manejo de la información? ¿Estos concuerdan con el esquema de clasificación adoptado por la organización?
8. SEGURIDAD DE RECURSOS HUMANOS 8.1.1. Roles y responsabilidades Pregunta 19: ¿Se encuentran bien definidos y documentados los roles y responsabilidades de la seguridad de los empleados, contratistas y terceros? ¿Estos se alinean a la política de seguridad de la información de la organización?
8.1.2. Investigación de antecedentes Pregunta 20: ¿Existe un chequeo de verificación de antecedentes de todos los candidatos durante el proceso de pre-empleo? ¿Estos chequeos son manejados en concordancia con cualquier legislación apropiada existente en la jurisdicción relevante?
8.1.3. Términos y condiciones del empleo Pregunta 21: ¿Los términos y condiciones del contrato de trabajo establecen las responsabilidades, tanto de los usuarios, contratistas y terceros, así como también de la organización para la seguridad de la información?
8.2.1. Responsabilidades de la gerencia Pregunta 22: ¿La gerencia informa apropiadamente a los empleados sobre sus roles y responsabilidades de seguridad antes de otorgarle acceso a información confidencial o a los sistemas de información?
8.2.2. Conocimiento, educación y capacitación en seguridad de la información Pregunta 23: ¿Existe una constante capacitación a todos los empleados de la organización en los temas de seguridad, políticas y procedimientos organizaciones relevantes para su función laboral?
8.2.3. Proceso disciplinario Pregunta 24: ¿Existe algún proceso disciplinario para los empleados que han cometido un incumplimiento de seguridad?
8.3.1. Responsabilidades de terminación Pregunta 25: ¿Se han definido y asignado claramente las responsabilidades en el momento de realizar la terminación o el cambio de empleo? ¿Se informa a los usuarios empleados, contratistas o terceras personas de los cambios en el personal y los acuerdos de operación?
8.3.2. Devolución de los activos Pregunta 26: ¿Se formaliza el proceso de terminación del empleo para la devolución de todos los activos organizacionales pertenecientes a la empresa?
8.3.3. Retiro de los derechos de acceso
Pregunta 27: ¿Existe un control sobre las amenazas y vulnerabilidades que se puedan presentar después del retiro de los derechos de acceso a un empleado?
9. SEGURIDAD FÍSICA Y AMBIENTAL 9.1.1. Perímetro de seguridad física Pregunta 28: ¿Actualmente la empresa cuenta con perímetros de seguridad con la finalidad de proteger las áreas que contienen información y medios de procesamiento de información relevantes?
9.1.2. Controles de ingreso físico Pregunta 29: ¿Existen controles de ingreso apropiados en las áreas seguras que permitan el acceso a personal autorizado?
9.1.3. Asegurar las oficinas, habitaciones y medios Pregunta 30: ¿Se han diseñado o existen medidas de seguridad para la protección física de las oficinas, habitaciones y medios de la empresa? regulaciones de sanidad y seguridad relevantes?
¿Se tienen en cuenta los estándares y
9.1.4. Protección contra amenazas externas e internas Pregunta 31: ¿Actualmente existen medidas de protección física contra desastres naturales o aquellos causados por el hombre (teniendo en cuenta entidades externas)?
9.1.5. Trabajo en áreas aseguradas Pregunta 32: ¿Se han diseñado o existen medidas de seguridad que permitan trabajar en áreas aseguradas?
9.1.6. Áreas de acceso público, entrega y carga Pregunta 33: ¿Existe un control en los puntos de acceso en la que es posible que personas noautorizadas puedan ingresar al local?
9.2.1. Ubicación y protección del equipo Pregunta 34: ¿Se encuentran bien ubicados y protegidos los equipos relevantes de la empresa? 9.2.2. Servicios públicos de soporte Pregunta 35: ¿Existen medidas de protección ante fallas de energía y otras interrupciones causadas por fallas de los servicios públicos de soporte?
9.2.3. Seguridad del cableado Pregunta 36: ¿Se encuentran debidamente protegidos y ubicados los cableados de energía y telecomunicaciones?
9.2.4. Mantenimiento de equipo Pregunta 37: ¿Existe un constante mantenimiento preventivo y correctivo de los equipos ante fallas sospechadas o reales?
9.2.5. Seguridad del equipo fuera del local Pregunta 38: ¿Existen medidas de seguridad cuando se trabaja con un equipo fuera del local de la organización?
9.2.6. Seguridad de la eliminación o re-uso del equipo Pregunta 39: ¿Existe algún control sobre la seguridad de la eliminación o re-uso de equipos que contengan información confidencial y relevante para la empresa?
9.2.7. Retiro de la propiedad Pregunta 40: ¿Se realizan chequeos o controles inesperados para detectar el retiro de alguna información o propiedad sin la autorización correspondiente?
10. GESTIÓN DE COMUNICACIONES Y OPERACIONES 10.1.1. Procedimientos de operación documentados Pregunta 41: ¿Los procedimientos de operación se encuentran debidamente documentados y actualizados? ¿Estos se ponen a disposición de cualquier usuario que lo solicite?
10.1.2. Gestión del cambio Pregunta 42: ¿Se han establecidos responsabilidades y procedimiento gerenciales para el control de todos los cambios en el equipo, software o procedimientos? ¿Actualmente existe un registro de auditoría?
10.1.3. Segregación de los deberes Pregunta 43: ¿Actualmente existe en la empresa algún método de segregación de deberes que permita reducir el riesgo de un mal uso accidental o deliberado de la información?
10.1.4. Separación de los medios de desarrollo, prueba y operación Pregunta 44: ¿Existe un adecuado nivel de separación entre los ambientes de desarrollo, prueba y operación?
10.2.1. Entrega del servicio Pregunta 45: ¿Existe un control sobre la implementación, operación y mantenimiento de lo estipulado en el acuerdo de entrega de servicios de terceros?
10.2.2. Monitoreo y revisión de los servicios de terceros Pregunta 46: ¿Actualmente se revisan, monitorean y se auditan los servicios, reportes y registros provistos por terceros?
10.2.3. Manejo de cambios en los servicios de terceros Pregunta 47: ¿Se tiene en cuenta el grado crítico de los sistemas y procesos de negocio en el momento del manejo de cambios en la provisión de servicios?
10.3.1. Gestión de la capacidad Pregunta 48: ¿Se realizan proyecciones de los requerimientos de capacidad futura tomando en cuenta los requerimientos de los negocios, sistemas nuevos y tendencias actuales y proyectadas?
10.3.2. Aceptación del sistema Pregunta 49: ¿La aceptación de los nuevos sistemas de información incluye un proceso de certificación y acreditación formal? ¿Se llevan a cabo pruebas antes de su aceptación?
10.4.1. Controles contra códigos maliciosos Pregunta 50: ¿Existe un adecuado control de detección, prevención y recuperación contra códigos malicioso?
10.4.2. Controles contra códigos móviles Pregunta 51: ¿Existen medidas de seguridad en caso el código móvil realice acciones noautorizadas?
10.5.1. Copias de seguridad de la información Pregunta 52: ¿Actualmente la empresa cuenta con políticas de copias de respaldo de la información y software? ¿Cuenta con procedimientos de respaldo automatizados?
10.6.1. Controles de redes Pregunta 53: ¿Existe un adecuado control y manejo de las redes, que garantice la protección de la información en las redes y la seguridad de los sistemas y aplicaciones que usen esta tecnología?
10.6.2. Seguridad de los servicios de la red Pregunta 54: ¿Actualmente se lleva a cabo algún monitoreo o control sobre la capacidad del proveedor de servicios de red, que garantice el cumplimiento de los acuerdos de seguridad? Monitoreo de red avanzada
10.7.1. Gestión de Soportes Extraíbles Pregunta 55: ¿Se aplican procedimientos o políticas para el control de los medios removibles utilizados para la trasmisión o manejo de información?
10.7.2. Retirada de soportes ¿Eliminan la información que ya no es útil en la organización, y este proceso es llevado a cabo por alguien de confianza?
10.7.3. Procedimientos de manipulación de la información ¿Se protege la información importante de tal manera que no sea extraída fuera de la organización ni usada con propósitos no adecuados?
10.7.4. Seguridad de la documentación del sistema ¿La documentación del sistema en funcionamiento está debidamente protegida y es conocida por solo las personas encargadas del mantenimiento del mismo?
10.8.1. Políticas y procedimientos de intercambio de información ¿Tienen establecidas políticas con la finalidad de acreditar la confidencialidad y uso adecuado de información por parte de los trabajadores?
10.8.2. Acuerdos de intercambio ¿Se considera el empaquetamiento y encriptamiento de la información con la finalidad de evitar que la información sea robada y descifrada?
10.8.3. Soportes físicos en tránsito ¿Se restringe el acceso de dispositivos de almacenamiento extraños a la organización?
10.8.4. Mensajería electrónica ¿La emisión y recepción de mensajes electrónicos se da a través de una red segura?
10.8.5. Sistemas de información empresariales ¿Los sistemas exteriores con proveedores o clientes son seguros y confiables?
10.9.1. Comercio electrónico ¿Para el caso de los clientes que utilizan el sistema para transacción de información en línea, existe un debido procedimiento de autenticación que respalde al cliente?
10.9.2. Transacciones en línea ¿El sistema cuenta con mecanismos que acrediten que la transacción de la información sea rápida y segura?
10.9.3. Información públicamente disponible ¿La integridad de la información enviada está asegurada por el sistema?
10.10.1. Registros de auditoría ¿Los eventos de seguridad y auditoria son debidamente registrados con la finalidad de acreditar la confiabilidad del sistema?
10.10.2. Supervisión del uso del sistema
¿La institución cuenta con procedimientos para el monitoreo del uso de los medios de procesamiento de información, y dicho monitoreo es realizado de forma regular?
10.10.3. Protección de la información de los registros ¿Los medios de almacenamiento del historial de registros están debidamente protegido contra modificaciones y accesos no autorizados?
10.10.4. Registros de administración y operación ¿A parte de lo anterior mencionado se llevar un registro de la actividad realizada por los administradores de los medio de monitoreo?
10.10.5. Registros de fallos ¿Para evitar problemas en el futuro, las falas y posibles causas son registras en el sistema de monitoreo de sistema?
10.10.6. Sincronización del reloj ¿Los relojes y fechas del sistema están debidamente sincronizados con el horario local y nacional?
11. CONTROL DE ACCESO 11.1.1. Política de Control de acceso ¿Actualmente llevan a cabo políticas de control de acceso en base a los requerimientos de seguridad?
11.2.1. Registro de usuario ¿El sistema permite un debido procedimiento de registro para la inscripción y des inscripción de usuarios al sistema?
11.2.2. Gestión de privilegios ¿Las funcionalidades que el sistema brinda al usuario están debidamente destinadas y restringidas específicamente para el apoyo de las funciones que solo deben ser desarrolladas por ellos mismos?
11.2.3. Gestión de contraseñas de usuario ¿Cómo establecen el proceso de asignación de claves para el usuario, es asignada por ustedes mismos o el usuario tiene la libertad de establecer su propia clave de seguridad?
11.2.4. Revisión de los derechos de acceso de usuario ¿La renovación de cuentas de usuario, modificación o eliminación se da en tiempos o periodos determinados o se aplican estos procedimientos por otros motivos? ¿Cuales?
11.3.1. Uso de contraseñas ¿Los usuarios del sistema tienen el principio de confidencialidad de sus propias claves de seguridad?
11.3.2. Equipo de usuario desatendido ¿Los usuarios tienen asignadas su propio y único dispositivo de trabajo, y en los tiempos en que no es utilizado está debidamente protegido en caso de que otra persona intente utilizarlo?
11.3.3. Política de puesto de trabajo despejado y pantalla limpia ¿Los escritorios de los computadores solo presentan los iconos debidos y el área de trabajo cuenta con el debido espacio para garantizar el adecuado desempeño del trabajador?
11.4.1. Política de uso de servicios de red ¿Los servicios de red para los usuarios están debidamente distribuidos de acuerdo a la autorización que tienen para su uso?
11.4.2. Autenticación de usuario para conexiones externas ¿Se aplica la debida autenticación de usuario para una conexión remota a la red?
11.4.3. Identificación de los equipos en las redes ¿Los equipos que ingresan a la red se pueden conectar de manera automática o se debe hacer una previa configuración y registro del mismo?
11.4.4. Identificación de los equipos en las redes ¿Se protege tanto físicamente como lógicamente el acceso a la red?
11.4.5. Identificación de los equipos en las redes ¿La red está debidamente segmentada de manera lógica con la finalidad de salvaguardar la información concerniente a los diferentes grupos dentro de la organización?
11.4.6. Identificación de los equipos en las redes ¿Se aplican políticas de control de red para restringir la capacidad de conexión de usuarios en redes compartidas?
11.4.7. Identificación de los equipos en las redes ¿Se utiliza control de enrutamiento para asegurar el adecuado flujo de información?
11.5.1. Procedimientos seguros de inicio de sesión
¿El acceso a servicios operativos está debidamente controlado por un procedimiento de registro seguro?
11.5.2. Identificación y autenticación de usuario ¿Todos los usuarios tienen un identificador único para su uso personal y exclusivo y una técnica de autenticación adecuada para su validación?
11.5.3. Sistema de gestión de contraseñas ¿El sistema de manejo de claves asegura la calidad de las claves asignadas?
11.5.4. Uso de los recursos del sistema ¿Las aplicaciones asignadas a ciertos usuarios están limitadas dependiendo la capacidad para trabajar del sistema?
11.5.5. Desconexión automática de sesión ¿Las sesiones inactivas son cerradas luego de un periodo de espera?
11.5.6. Limitación del tiempo de conexión ¿Los tiempos de conexión utilizan restricciones para proporcionar seguridad adicional a aplicaciones de alto riesgo?
11.6.1. Restricción del acceso a la información ¿El acceso de información se restringe de acuerdo al usuario que soporta el sistema? Pedro Peña
11.6.2. Aislamiento de sistemas sensibles ¿Los sistemas sensibles tienen un ambiente de cómputo dedicado?
11.7.1. Ordenadores portátiles y comunicaciones móviles ¿Se puede establecer comunicación con el sistema mediante dispositivos móviles?
11.7.2. Teletrabajo ¿Existen políticas para actividades con tele trabajadores en la organización?
12. ADQUISICIÓN, DESARROLLO Y MANTENIMIENTO DE LSO SISTEMAS DE INFORMACIÓN 12.1.1. Análisis y especificación de los requerimientos de seguridad ¿Se tienen en cuenta los requerimientos de seguridad al momento de crear o comprar algún sistema de información?
12.2.1. Validación de la input data ¿Se utilizan mecanismos de validación para asegurar que los datos son confiables?
12.2.2. Control del procesamiento interno ¿El sistema incorpora chequeos de validación en las aplicaciones para detectar posibles amenazas?
12.2.3. Integridad del mensaje
¿El sistema cuenta con los controles apropiados para la protección de la información?
12.2.4. Validación de la output data ¿El sistema valida las salidas de las aplicaciones para asegurar que el procesamiento de la información es correcto?
12.3. Controles Criptográficos
12.3.1. Política sobre el uso de controles criptográficos ¿La información del sistema utiliza mecanismos de encriptado (firmas digitales, cifrado, control de acceso, etc.) para asegurar la confidencialidad e integridad de los datos?
12.3.2. Gestión de claves ¿Se utiliza la gestión de claves como soporte en el uso de mecanismos criptográficos?
12.4. Seguridad de los archivos del sistema
12.4.1. Control del software en explotación ¿Se cuenta con procedimientos establecidos para la instalación de software en los equipos?
En el Gobierno Regional de Lima: Ningún usuario puede realizar tareas de instalación de equipo, de software o de reparación, así cuente con capacitación técnica o profesional para realizarlo. Para realizar dichos procedimiento se debe contar co n una cuenta “administrador” Estas actividades son responsabilidad del personal autorizado de la Administración de Red
12.4.2. Protección de los datos de prueba del sistema ¿Qué medidas tienen implementadas para la protección de la data operacional?
12.4.3. Control de acceso al código fuente de los programas ¿Actualmente se tiene restringido el acceso al código fuente del programa e ítems asociados? ¿Quiénes son las personas autorizadas?
12.5. Seguridad en los procesos de desarrollo y soporte
12.5.1. Procedimientos de control de cambios ¿Se tienen documentados los procedimientos de control de cambio? ¿Cómo gestionan la identificación de todo el software, información, base de datos y hardware?
12.5.2. Revisión técnica de las aplicaciones tras efectuar cambios en el sistema operativo ¿Tienen designado un presupuesto de soporte que cubra pruebas en el sistema con el paso del tiempo?
12.5.3. Restricciones a los cambios en los paquetes de software ¿Cómo cubren la necesidad de realizar un cambio en una funcionalidad del software?
12.5.4. Filtración de información ¿Han asignado un personal exclusivo para monitorear los recursos en los sistemas de cómputo?
12.5.5. Desarrollo de software abastecido externamente ¿Utilizan algún software abastecido externamente, si es así este presenta algún certificado de calidad?
12.6. Gestión de la Vulnerabilidad Técnica
12.6.1. Control de las vulnerabilidades técnicas. ¿Mantienen un registro informático de las principalidades vulnerabilidades del sistema?
13. GESTIÓN DE UN INCIDENTE EN LA SEGURIDAD DE LA INFORMACIÓN
13.1. Reporte de los eventos y debilidades de la seguridad de la información
13.1.1. Reporte de eventos en la seguridad de la información ¿Presentan un formato de reportes de eventos de seguridad, y consideran que es adecuado y útil?
13.1.2. Notificación de puntos débiles de seguridad
¿Se les comunica a los usuarios empleados, contratistas y terceros que reporten cualquier debilidad de seguridad observada o sospechada en el sistema o servicio?
13.2. Gestión de los incidentes y mejoras en la seguridad de la información
13.2.1. Responsabilidades y procedimientos ¿Se usa el monitoreo del sistema, alertas y vulnerabilidades para detectar los incidentes en la seguridad de la información?
13.2.2. Aprender de los incidentes en la seguridad de la información ¿Tienen un registro de incidentes para evitar problemas en la información de alto impacto?
13.2.3. Recolección de evidencias ¿Administran procedimientos de la evidencia ante un incidente en la seguridad de información involucra una acción legal?
14. GESTIÓN DE LA CONTINUIDAD DEL NEGOCIO 14.1. Aspectos de la seguridad de la información de la gestión de la continuidad del negocio
14.1.1. Incluir la seguridad de la información en el proceso de gestión de continuidad del negocio ¿Cuáles son los principales activos identificados en los procesos comerciales críticos?
14.1.2. Continuidad del negocio y evaluación del riesgo ¿Su plan de contingencia contempla requerimientos de seguridad en línea para la continuidad del negocio?
14.1.3. Desarrollar e implementar los planes de continuidad incluyendo la seguridad de la información ¿Cada cuánto tiempo se desarrolla un análisis de la continuidad del negocio?
14.1.4. Marco Referencial de la planeación de la continuidad del negocio ¿Actualmente existe un plan de continuidad comercial? ¿Estos especifican las personas responsables de ejecutar cada componente del plan?
14.1.5. Prueba, mantenimiento y re-evaluación de los planes de continuidad del negocio ¿Desarrollan una simulación o prueba de los planes de contingencia?
15. CUMPLIMIENTO
15.1. Cumplimiento de los requerimientos legales
15.1.1. Identificación de la legislación aplicable ¿Actualmente se tienen definidos, documentados y actualizados los requerimientos y el enfoque de la organización?
15.1.2. Derechos de propiedad intelectual (IPR) ¿Se tiene implementado alguna política de cumplimiento de los derechos de propiedad intelectual?
15.1.3. Protección de registros organizacionales ¿Se tienen clasificados los registros importantes, ante la pérdida, destrucción, falsificación de información?
15.1.4. Protección de la data y privacidad de la información personal ¿Existe actualmente alguna política de protección y privacidad de la data? ¿Está es comunicada a todas las personas involucradas en el procesamiento de la información personal?
15.1.5. Prevención del mal uso de los medios de procesamiento de la información ¿Tienen una normativa para prevenir el mal uso de recursos de información?
15.1.6. Regulación de controles criptográficos ¿Han buscado asesoría legal para cumplir las regulaciones nacionales sobre controles criptográficos?
15.2. Cumplimiento de las políticas y estándares de seguridad, y cumplimiento técnico
15.2.1. Cumplimiento con las políticas y estándares de seguridad ¿De qué manera evalúan las acciones correctivas contra incumplimientos de las normativas de seguridad?
15.2.2. Chequeo del cumplimiento técnico ¿Son revisados regularmente los sistemas de información, para ver si cumplen con los estándares de implementación de la seguridad?
15.3. Consideraciones de auditoría de los sistemas de información
15.3.1. Controles de auditoría de los sistemas de información ¿Las actividades y requerimientos de auditoría son debidamente planeados y acordados?
15.3.2. Protección de las herramientas de auditoría de los sistemas de información ¿Cómo protegen las herramientas de auditoria de los sistemas de información?
