PLAN DE SEGURIDAD INFORMATICA DEL INSTITUTO GUATEMALTECO DE SEGURIDAD SOCIAL Como estar libre y exento de todo peligro, daño riesgo, que se pueda dar al sistema de información dentro de las entidades públicas a través de la seguridad informática y el diseño de normas, procedimientos, métodos y técnicas destinadas a conseguir un sistema de informació información n seguro y confiable.
UNIVERSIDAD MARIANO GÁLVEZ DE GUATEMALA Centro Universitario de Huehuetenango Maestría en Gestión de Recursos Humanos Curso: Sistemas de Información Gerencial M.A. Ing. Estuardo Turner.
Proyecto Final “Plan de seguridad Informática y Plan de Contingencias”
DINORA ELIZABETH SOLIS LOPEZ
3328-05-7973
SHIRLEY GUISELA LOPEZ ALVARADO Huehuetenango, 10 de mayo de 2014
3328-05-7968
INDICE
I. A. B. C. D. E. F. 1 a. b. 2 2.1. 3 4 5 5.1. G. 1 2 3 H. 1 2 3 4 5 5.1. II III
INTRODUCCION Instituto Guatemalteco Guatemalteco de Seguridad Social Organigrama del IGSS Misión Visión Políticas y procedimientos procedi mientos Información Informática Informática del IGSS Plan de Seguridad Informática Informática en el IGSS Marco de referencia Sistemas de Información Informació n (SI) seguridad informática informática Objetivo General objetivos Específicos Específico s Alcance Políticas de Seguridad Informática Identificación de Amenazas Amenazas y riesgos Análisis de la Infraestructura Infraestructura del IGSS Plan de Contingencia Análisis de Riesgos Sanciones Sancione s Manual de funciones del área de informática Plan de Respuestas a Incidentes Propósito Objetivos de la Respuesta a Incidentes Definición de Incidentes de Seguridad Planificación de Incidentes de seguridad Informática Ciclo de vida a la Respuesta a Incidentes Preparación Preparación para incidentes CONCLUSIONES BIBLIOGRAFIA
1
2 2 2 2 3 4 5 5 5 5 6 6 6 6 9 9 10 10 12 12 13 13 13 14 14 15 15 16 17
1
INTRODUCCION
En la actualidad actualidad un Plan de seguridad informát informática ica debe estar a la vanguardia vanguardia de los procesos de cambio, debido a las cambiantes condiciones y nuevas plataformas tecnológicas disponibles. El cual debe ir enfocado a salvaguardar la integridad, confidencialidad, disponibilidad, autenticación, no repudio y control de acceso al sistema de información, como medida de seguridad lógica y física, contra las amenazas, riesgos, vulnerabilidades y ataques que se den en contra de este, garantizando que la información este protegida, y pueda obtenerse de forma segura, continua, confiable y a tiempo, constituyendo una ventaja competitiva. Las organizaciones tanto públicas como privadas se enfrentan a una serie de riesgos que amenazan la integridad de las mismas, lo que ha generado que se diseñen diferentes planes de acción para combatir estas amenazas implementando una serie de políticas de seguridad informática a través de análisis de riesgos en los sistemas de informática, que van a acompañados de otros planes como lo es el de contingencia e incidentes críticos, los cuales pueden ayudar a contrarrestar y minimizar los daños provocados por el mal uso del equipo de información dentro de la entidad. En este sentido, las políticas de seguridad informática son una herramienta organizacional para concientizar, adiestrar y capacitar a los colaboradores de la organización sobre la importancia, medidas de seguridad y comprensión de la información y servicios críticos que permiten a la empresa crecer y mantenerse. Ante este medio que nos rodea, el proponer o identificar una política de seguridad requiere un alto compromiso, ingenio técnico para establecer fallas y debilidades, y constancia para renovar y actualizar la información, información, en función del dinámico ambiente que rodea las las compañías he instituciones instituciones modernas para proporcionar un mejor servicio ser vicio a nuestros usuarios. usuar ios. Para lo cual el siguiente plan de seguridad informática, se diseñó con información recabada de varios autores expertos en el tema, tema, específicamente para el Instituto Guatemalteco Guatemalteco de Seguridad Social de Huehuetenango, se presenta como una propuesta de aplicación y apoyo al área de informática, tomando en cuenta la calidad de información que se administra en estas bases de datos, proponiendo mejoras en el plan de contingencias para el funcionamiento integral integral del mismo mismo y atención a los los afiliados y derechohabientes.
2
I.
INSTITUTO GUATEMALTECO DE SEGURIDAD SOCIAL
A. Organigrama del IGSS
B. Misión “Proteger a nuestra población asegurada contra la pérdida o deterioro de la salud y del sustento económico, debido a las cont ingencias establecidas en la ley”.
C. Visión “Ser la institución de seguro social caracterizada por cubrir a la población que por mandato legal le
corresponde, así como por su solidez financiera, la excelente calidad de sus prestaciones, la eficiencia y transparencia de gestión”.
3
D. Políticas y procedimientos (solicitudes, contraseñas, instalaciones, seguridad) 1. Modernización y Adecuación al Signo de los Tiempos El Instituto es una institución dinámica y debe, en todos los casos, adaptarse a los cambios. La clave de esta adecuación y modernización está en la previsión, es decir, en el adelantarse a las exigencias del entorno y de las circunstancias internas a fin de que cuando llegue el momento, ya se esté preparado. A contrario sensu, se debe superar el hecho de reaccionar tardíamente a los cambios. 2. Racionalización del Manejo de Recursos El Instituto debe ser minucioso en el control de desperdicios y “goteos”; pero simultáneamente agresivo en la inversión inversión productiva de sus recursos. recursos. Debe saber distinguir eficazmente eficazmente el “gasto” “gasto”
puro, de la inversión e implementar la optimización de la calidad del gasto.
3. Contabilidad de Gestión El Instituto debe, sin violentar las normas legales destinadas a regular las formalidades presupuestarias y contables, mantener una contabilidad de gestión, es decir, desagregando las cuentas contables a fin fin de tener presente en tiempo real la información información necesaria para la toma de decisiones.
4. Transparencia de Gestión Todas las unidades operativas de la institución deben proceder administrativamente de manera transparente, incluyendo a la Gerencia – que que orgánicamente incluye a las Subgerencias- y, la Junta Directiva. Esto significa, como se mencionó antes, la divulgación de la información relevante y su accesibilidad para estar sujetos al control social, el escrutinio público y particularmente, tener motivaciones íntegras en el proceso de toma de decisiones. Además, se debe de hacer uso y fortalecer los controles institucionales, así como implementar aquellos que resulten necesarios.
5. Justicia Distributiva Aplicación cabal de “dar a cada uno lo que le corresponde”. En este sentido, la gestión gestión técnica y
administrativa de los recursos humanos humanos (permisos, premios, premios, sanciones y un largo etcétera), así como la asignación de recursos físicos y presupuestarios y otro largo etcétera, debe hacerse con base en la eficiencia e ficiencia pero atemperadamente ate mperadamente con base en la Justicia. Esta política adquiere particular part icular importancia cuando se enfoca desde el punto de vista de la retribución por productividad.
6. Trabajo en Equipo El Instituto debe lograr que sus funcionarios generen un sentido de pertenencia y corresponsabilidad en los esfuerzos y en los logros institucionales, de cooperación en el desarrollo
4
de los proyectos y en “vestir la camiseta” del IGSS con orgullo y conciencia de la labor conjunta, teniendo presente que, como sis s istema, tema, el “todo “to do es mayor que la suma de Sus partes”.
7. Vocación de Servicio Al igual que con la propuesta anterior, cabe indicar que la labor desarrollada por todos y cada uno de los miembros miembros del Instituto, sin importar posición o jerarquía, jerarquía, es una labor de política social destinada a la protección de quien lo necesita y por Ley lo merece. En este sentido, la Labor realizada mediante la atención a la salud o el pago de pensiones, tiene una trascendencia para las personas que necesitan necesitan de su protección protección que va más allá de lo lo común y predecible: se les protege contra la enfermedad y la muerte prematura, p rematura, así como contra el hambre y la pobreza.
E. Información informática del Instituto Guatemalteco de seguridad Social: 1. ¿Con que tecnología cuenta en el Instituto Guatemalteco de Seguridad Social? Equipos de cómputo Servidores Comunicaciones Impresoras Base de datos Software Antivirus Redes y otros. 2. ¿Cuenta con un sistema? sistema? (En que está hecho); ¿Base de datos que usa? Si cuenta con varios sistemas, llamados AS-400 (Consumo de certificados), RUAP (certificados electrónicos), SII-SIGSS (atención medica), COEX (recetas médicas), MEDIIGSS (atención de médicos).
Estas bases de datos están hechas en: SQL Server
3. ¿Todos sus procesos están sistematizados? Si, todas las actividades e información requerida se encuentra en la base de datos de las diferentes unidades, así también se actualiza toda actividad realizada. 4. ¿Tienen antivirus? Si cuenta con uno: Eset Endpoint Antivirus Nod32 v5 5. ¿Qué medidas de seguridad conoce en su sistema? Todos los usuarios tienen una clave asignada a cada mes se debe renovar la contraseña. Solo tiene acceso a la base datos. No se tiene acceso al internet
5
F. Plan de seguridad Informática 1. Marco de Referencia a. Sistema de información (SI): Conjunto de elementos organizados (recursos, equipo humano, información y actividades), relacionados y coordinados entre sí, encargados de facilitar el funcionamiento global de una empresa o de cualquier otra actividad humana para conseguir sus objetivos. per iféricos y a). Recursos: pueden ser físicos, como ordenadores, componentes, periféricos conexiones, recursos no informativos; y lógicos, como sistemas operativos y aplicaciones informativos. b) Equipo Humano: compuesto por las personas que trabajan para la organización. c) Información: conjunto de datos organizados que tienen un significado. La información puede estar contenida en cualquier tipo de soporte. d) Actividades: que se realizan en las organización, relacionadas o no con la informática. e) Sistemas Informáticos: constituido por un conjunto de elementos físicos (hardware, dispositivos, periféricos y conexiones), lógicos (sistemas operativos, aplicaciones y protocolos) y con frecuencia se incluyen también los elementos humanos (personal experto que maneja el software y el hardware). Aguilera (2010; pág. 8). Hardware: equipo físico utilizado para realizar las actividades de entrada, procesamiento y salida de un sistema de información. Software: consiste en instrucciones detalladas, programadas por anticipado que controlan y coordinan los componentes del hardware de cómputo de un sistema de información. b. Seguridad informática: disciplina que se ocupa de diseñar las normas, procedimientos, métodos y técnicas destinados a conseguir un sistema de información seguro y confiable. a) Tipos de seguridad: i. Activa: conjunto de defensas o medidas realizadas con el objetivo de evitar o reducir los riesgos que amenazan el sistema. Ejemplo: proteger la información mediante nombre de usuario, contraseñas; evitar la entrada de virus a través de un antivirus, impedir mediante encriptación, la lectura no autorizada de mensajes. ii. Pasiva: formada por las medidas que se implantan, para que una vez producido el incidente de seguridad, minimizar minimizar su recuperación de sistema. Ejemplo: el Backup, copia de datos.
6
2. Objetivo General: “Proteger la estructura computacional Guatemalteco de Seguridad Social”
y todo lo relacionado con esta, en el Instituto
2.1. Objetivos específicos: Establecer normas y políticas de seguridad que le brinden al Instituto guatemalteco de Seguridad Social de Huehuetenango, el resguardo y protección de su sistema informático, computacional y todo lo referente a este. Implementar medias de seguridad que garantice la protección y manejo de información dentro de la institución. inst itución. Garantizar mecanismos de seguridad que proporcionen servicios de seguridad para prevenir y reducir la vulnerabilidad ante los riesgos y amenazas en el sistema de informática. Garantizar la confidencialidad, integridad, disponibilidad, privacidad de la información.
3. Alcance: El alcance de este plan de seguridad informática, realizado al Instituto Guatemalteco de Seguridad Social, en la Unidad Integral de Adscripción del Departamento de Huehuetenango y los servicios públicos que presta a sus afiliados y derechohabientes, va enfocado a los aspectos más relevantes del Ámbito físico y lógico, tomando como base el análisis previamente realizado.
4. Políticas de Seguridad informática: Los mecanismos de seguridad preventivos son todos aquellas acciones que van de encaminadas a prevenir cualquier amenaza a la confidencialidad, integridad, no repudio y disponibilidad de los elementos críticos de sistema. Por la propia definición de estas características, también se debe proporcionar mecanismos de autenticación y de control de acceso que garanticen gar anticen la identificación, autenticación y gestión gestión de perfiles aplicables a los los recursos para determinar que usuario y bajo bajo qué condiciones pueden o no acceder al recurso solicitado para la acción indicada. El personal de recién ingreso al Instituto Guatemalteco de Seguridad social (IGSS) de Huehuetenango, sea contratado temporal o por tiempo indefinido, deberá ser notificado al Director General, para que instruya al técnico en informática y se le asignen los derechos correspondientes a equipo de cómputo, creación de usuario para la red, o en caso de retiro del empleado, anular y cancelar los derechos otorgados como usuario de informática. El personal u otra persona que deba ingresar a un sitio o área restringida de la Institución, debe tener autorización previa del departamento de informática, de esta forma protegeremos la información y los bienes informáticos.
7
Toda persona que ingresa a laborar laborar a la institución y es autorizado para el uso de alguno de los equipos de cómputo y hacer uso de servicios informáticos debe aceptar las condiciones de confidencialidad, de uso adecuado de los bienes informáticos y de la información, así como cumplir y respetar al pie de la letra las directrices impartidas en el Manual de Políticas y Estándares de Seguridad Informática. Es responsabilidad del usurario de bienes de la empresa y servicios informáticos cumplir con las políticas y normas de seguridad informática del presente plan de seguridad informática. El equipo asignado al personal operativo será para uso exclusivo de las funciones inherentes a su puesto, para prestar sus servicios. El usuario o funcionario tiene la obligación de proteger las unidades de almacenamiento que se encuentren bajo su responsabilidad, aun cuando no se utilicen y contengan información confidencial importante, o al menos que traslade los bienes a la tarjeta de responsabilidad de bienes de la persona que los tiene en uso. Es responsabilidad del usuario o funcionario evitar en todo momento fuga de información de la entidad que se encuentre almacenada en los equipos de cómputo personal que tengan asignados. El sistema RUAP (certificados de trabajo electrónicos) del Instituto Guatemalteco de seguridad social, tendrá acceso restringido, únicamente personal autorizado tendrá permitido el acceso, debiendo ingresar su usuar io y contraseña. El personal operativo tiene la responsabilidad de salvaguardar la integración física y lógica de los equipos de comunicaciones y servidores. El personal técnico deberá llenar la bitácora de los sucesos acontecidos día con día especificando cualquier anomalía, servicio u otra otr a situación situación quedando registro en la misma. El personal operativo no tiene permitido el ingreso de alimentos o bebidas al área de trabajo, esto con el fin de evitar accidentes y daños al equipo de cómputo y comunicaciones. El personal operativo del Instituto Guatemalteco de Seguridad Social, deberá reportar de manera inmediata al área de informática cuando se detecte riesgo alguno real o potencial sobre el equipo de cómputo o de comunicaciones, tales como caídas de agua, choques eléctricos, caídas o golpes, peligro de incendio. El personal operativo tiene prohibido, dejar que personas ajenas a la dependencia manipule el equipo y sistemas de información. El personal operativo deberá deberá atender las solicitudes realizadas por afiliados afiliados o derechohabientes, alimentando el sistema con las acciones realizadas. El personal operativo deberá entregar los medicamentos solicitados en el área designada para este fin y previo revisado el Cardex y firma de recibido del afiliado solicitante, debiendo ingresar dicha entrega en el sistema correspondiente, para actualizar los inventarios y existencias. El personal técnico deberá verificar el correcto funcionamiento de los servidores y servicios así como del equipo de comunicaciones periódicamente. El personal técnico deberá realizar copias de seguridad (Backup) de los diferentes sistemas, diariamente. El personal técnico deberá actualizar el antivirus de forma mensual en todos los equipos de cómputo asignados al personal. El personal técnico deberá verificar el correcto funcionamiento de los equipos de cómputo, servidores y comunicaciones, debiendo informar a su jefe inmediato cualquier anomalía y registrarla en la bitácora.
8
Se debe evitar colocar objetos encima del equipo de cómputo o tapar las salidas de ventilación del monitor o CPU. El equipo informático debe permanecer en un lugar limpio, libre de humedad. Queda terminantemente prohibido que el funcionario o personal distinto al personal de mantenimiento y reparación de equipos destape un equipo de cómputo, siendo tal acción calificada como grave y castigada con sanción. Únicamente el personal de mantenimiento de equipos de cómputo podrá llevar a cabo los servicios y reparaciones al equipo informático del Instituto. El personal técnico deberá verificar el sistema de enfriamiento de los servidores, para evitar recalentamientos, deterioro del equipo y que el sistema se caiga en horas hábiles de trabajo. Para realizar asignación de equipos el personal técnico deberá tomar el cuento el nombramiento al cargo del personal, asignándoles este a través de número inventario a su tarjeta de responsabilidad de bienes individual. El funcionario deberá dar aviso inmediato al área de informática y a la oficina de inventarios la perdida, robo o extravió de equipos de cómputo, periféricos o accesorios bajo su responsabilidad. El personal operativo de las diferentes áreas del Instituto guatemalteco de seguridad social, solo podrá consultar información referente a su área de trabajo, de lo contrario el sistema enviara un mensaje al administrador para informar sobre tal acción. El personal operativo que maneje los sistemas de información del Instituto Guatemalteco de Seguridad Social, debe tener un usuario y contraseña, para tener acceso a este. Ninguna persona del de l personal operativo op erativo puede trabajar en el sistema, a través del de l usuario de otra persona. Se consideran consideran violaciones graves el robo, daño, divulgación divulgación de información privada o confidencial de esta institución, o de que se le declare culpable de un delito informático. El personal de nuevo ingreso a la institución deberá contar con la inducción sobre las políticas y normas de seguridad informática, haciéndoles ver las obligaciones y las sanciones en que pueden incurrir en caso de incumplimiento. El área de informática velara porque todos los usuarios del sistema de información estén registrados en su base de datos para la autorización de uso de dispositivos de almacenamiento externo, como drives o memorias USB, discos portátiles, unidades de CD y DVD externos, para el manejo y traslado de información o realización de copias de seguridad o Backup, no está permitido realizarse sin autorización. El técnico en informática de cada dependencia deberá reportar a la central de informática del instituto el listado de personas asignadas a su dependencia que manejen estos tipos de dispositivos, especificando clase, tipo y uso determinado. El equipo de cómputo, periférico o accesorio de tecnología de información que tenga algún desperfecto, daño por maltrato, descuido o negligencia por parte del usuario o responsable, se le levantara un reporte de incumplimiento de políticas de seguridad informática. Cuando se vaya a realizar mantenimiento en algunos de los equipos de las oficinas con paso restringido, se debe dar aviso con anticipación al personal encargado de las oficinas para evitar malos entendidos y traumatismos. El técnico en informática deberá solicitar a la administración los equipos de protección para las instalaciones contra incendios, inundaciones, sistema eléctrico de respaldo, UPS. Las actividades que realicen lo empleados en la infraestructura tecnológica de cualquiera de las oficinas del instituto, deben ser registradas y podrán ser objeto de auditoria.
9
Todos los accesos a internet tienen que ser realizados a través de los canales de acceso provistos por la institución en caso de necesitar una u na conexión a internet alterna o especial, esta debe ser notificada y aprobada por el departamento de seguridad informática del instituto. Cualquier asunto fuera de las siguientes políticas se deberá informar al jefe inmediato, para que determine qué acciones tomar.
5. Identificación de amenazas y riegos: El análisis de riesgos informáticos es un proceso que comprende la identificación de activos informáticos, sus vulnerabilidades y amenazas a los que se encuentran expuestos así como su probabilidad de ocurrencia y el impacto de las mismas, a fin de determinar los controles adecuados para aceptar, disminuir, transferir o evitar la ocurrencia del riesgo Una Amenaza es la posibilidad de ocurrencia de cualquier tipo de evento o acción que puede producir pro ducir un daño (material o inmaterial) sobre so bre los elementos e lementos de un sistema, en el e l caso de la Seguridad Informática, los Elementos de Información. Debido a que la Seguridad Informática tiene como propósitos garantizar la confidencialidad, integridad, disponibilidad y autenticidad de los datos e informaciones, las amenazas y los consecuentes daños que puede causar un evento exitoso, también hay que ver en relación con la confidencialidad, integridad, disponibilidad y autenticidad de los datos e informaciones.
5.1. Análisis de la Infraestructura del Instituto Guatemalteco de Seguridad social: a. ¿Cuáles son los elementos (recursos, equipo humano, información, actividades que componen el sistema)? Equipo Programa Datos Procedimientos Gente Comunicación b. ¿Cuáles son los peligros que afectan al sistema? Los daños pueden ser fortuitos o fraudulentos. Fortuitos: cometidos accidentalmente por los usuarios, accidentes, cortes de fluido eléctrico, averías del sistema, catástrofes naturales. Fraudulentos: software malicioso, daños realizados a propósito por un miembro del personal con acceso al sistema, robo o accidentes provocados. Allanamiento, sabotaje, robo, hurto, fraude, Criminalidad (común. Política): espionaje y virus.
10
Suceso de origen físico: Incendios, inundación, sismo, polvo, sobre carga eléctrica, falta de corriente. Falta de reglas, falta de capacitación, Negligencia y decisiones institucionales: no cifrar datos críticos, mal manejo de contraseñas. G. Plan de contingencias: Se puede definir como un conjunto de procedimientos que permiten recuperar el estado normal de funcionamiento de toda la infraestructura informática y de esta forma poder prestar un servicio de calidad en la institución. El plan de contingencia implica realizar análisis de los posibles riesgos a los cuales se puede estar expuesto, tanto el equipo informático, como toda la información contenida en los diversos medios de almacenamiento. Para cumplir con un excelente plan de contingencias este debe contemplar las siguientes actividades: Plan de reducción de riesgos Plan de recuperación de desastres Actividades previas al desastre Establecimiento del Plan de Acción. Actividades durante el desastre Plan de emergencias. Al ocurrir un desastre que afecte la seguridad informática de la institución se deben realizar las siguientes actividades: Evaluación de daños Ejecución de actividades Evaluación de resultados Tipos de fallas a considerar en el plan de contingencias Instalaciones eléctricas Bases de datos y aplicativos Problemas con el servidor Estaciones de trabajo y periféricos Redes e internet El instituto Guatemalteco de Seguridad Social define las siguientes etapas y actividades para la realización de su plan de contingencias.
1. Análisis de Riesgos. Con el propósito de salvaguardar toda su infraestructura tecnológica e informática de la institución, debe contemplar los siguientes aspectos en su labor diaria por parte de su personal.
11
Hacer copia diaria de los archivos que son vitales para la institución. Control de acceso a las instalaciones de la institución no autorizadas para cualquier persona. Realizar el mantenimiento preventivo de forma regular. Prohibir el ingreso de comidas y bebidas en las instalaciones informáticas. Mantener estos espacios libres de humo de tabaco (prohibido fumar). Realizar limpieza constante, evitando la acumulación de polvo. Mantener actualizado el programa de antivirus. Permitir solo el acceso a las instalaciones informáticas en horarios programados o con la presencia de un supervisor, además deberá configurar las computadoras para que dispongan de bloqueo en el teclado. Protección física de los diferentes equipos del sistema informático, cualquier equipo en general y con especial atención los los servidores y hardware de red, deben situarse en lugares protegidos para que solo el personal autorizado tenga acceso a ellos. Contar con servidores con alto grado de seguridad como cerradura electrónica que se pueda accesar por medio de huella digital, tarjeta tar jeta y también puede ser por el mecanismo biométrico apoyado siempre por cámaras de seguridad. Tener guardias de seguridad las 24 hrs, del día para dicho recinto. Realizarle configuraciones técnicas al equipo que no permitan que el usuario de este pueda instalar ningún programa dentro de la red institucional, para evitar el ingreso de hacker al sistema. Otras medidas de prevención podrían ser: Implementar la autenticación con privilegios mínimos y control de acceso. Es decir, no se debe dar a los usuarios acceso a recursos que no utilizan. Implemente control de aplicaciones de listas blancas. Esto busca impedir que los nuevos programas maliciosos se propaguen en toda la red. Implemente fuertes políticas de contraseñas, con 12 caracteres o contraseñas más complejas para las cuentas de usuario estándar. Las de las cuentas administrativas deberían ser, incluso, más largas. Utilice la autenticación de dos factores si las contraseñas largas son un problema o no son lo suficientemente seguras. Asegúrese que los antivirus puedan comprobar si hay actualizaciones cada 24 horas o menos, y que escanean por herramientas de hacking. Eduque a los usuarios finales acerca de los riesgos más grandes, tales como Adobe Acrobat y explotaciones de Java, avisos de falsos antivirus, sitios de phishing, etc. Instalar una planta eléctrica de alta calidad y soporte, que genere energía a todo edificio del Instituto Guatemalteco de Seguridad Social de Huehuetenango, con el fin de evitar que cuando se den cortes de energía eléctrica, se pierda la información y se continúe con el servicio a los afiliados.
12
Colocar señalización a las salidas de emergencia, por cualquier incendio o desastre natural, tomando en cuenta la cantidad de afiliados que se atienden diariamente. Se deben colocar cámaras de seguridad en lugares claves donde se maneje información confidencial y privada. Contratar una línea de internet adicional, para cualquier emergencia o falla en la línea utilizada. Realizar Backup periódicamente en el día, para evitar que la información se pierda, al momento de un daño fortuito ya sea por un corte de energía eléctrica u otro motivo. Verificar que el antivirus utilizado, sea el mejor en el mercado, garantizado y comprobado.
2. Sanciones
Cualquier violación a las políticas y normas de seguridad deberá ser sancionada de acuerdo al reglamento emitido por la Dirección administrativa del Instituto Guatemalteco de Seguridad Social. Las sanciones pueden ser desde una llamada de atención verbal, escrita o hasta la suspensión del servicio dependiendo de la gravedad de la falta y de la malicia o perversidad que ésta manifiesta. Todas las acciones en las que se comprometa la seguridad de la Red del sistema de información del IGSS que no estén previstas en esta política, deberán ser revisadas por la Dirección Administrativa para dictar una resolución. En cuanto a los daños a la infraestructura tecnológica, Interceptación ilegítima de sistema informático o red de telecomunicación, Suplantación de sitios Web para capturar datos personales, Acceso abusivo a un sistema informático y de más delitos informáticos se aplicara lo determinado en el reglamento de Sanciones de la Administración General.
3. Manual de funciones del área de informática El técnico en informática de la institución tiene como principal responsabilidad la administración y coordinación diaria del proceso de Seguridad Informática de la institución. Debe ser el punto de referencia para todos los procesos de seguridad y ser capaz de guiar y aconsejar a los usuarios de la institución sobre cómo desarrollar procedimientos para la protección de los recursos. Una tarea clave para el técnico en informática, es guiar al cuerpo directivo y a la administración de la dependencia, ante incidentes de seguridad mediante un Plan de Respuesta a Incidentes, con el fin de atender rápidamente este tipo de eventualidades. Es responsable de proponer y coordinar la realización de un análisis de riesgos formal en seguridad de la información que abarque toda la institución. Es deber del área de Seguridad Informática, el desarrollo de procedimientos de seguridad detallados que fortalezcan la política de seguridad informática institucional.
13
Es responsabilidad del técnico en informática, promover la creación y actualización de las políticas de seguridad informática, debido al comportamiento cambiante de la tecnología que trae consigo nuevos riesgos y amenazas. Debe atender y responder inmediatamente las notificaciones de sospecha de un incidente de seguridad o de incidentes reales. Es responsabilidad del área de informática, coordinar la realización periódica de auditorías a las prácticas de seguridad informática. Es responsable de mantenerse al día de las actualizaciones y nuevas vulnerabilidades encontradas en el software de la empresa. H. Plan de respuesta a Incidentes Es de suma importancia para el Instituto Guatemalteco de Seguridad Social, definir los procedimientos y planes de acción para el caso de una posible falla, siniestro o desastre que afecten la infraestructura tecnológica de la institución, sus instalaciones e incluso el personal que labora en ella. Cuando ocurra una contingencia, bien sea porque se haya materializado un riesgo, es esencial que se conozca al detalle el motivo que la originó y el daño producido, lo que permitirá recuperar y poner en marcha, en el menor tiempo posible el proceso perdido. Este plan de respuesta a incidentes define las pautas de lo que se debe de realizar en caso de incidente de seguridad en algunas de las unidades de Adscripción, las fases de respuesta a incidentes en un momento dado. Este documento muestra como minimizar los daños, evaluar el incidente, qué hacer cuando se presente un incidente y como responder a ello.
1. Propósito Este plan se implementa con el objetivo de tener una guía para saber que hacer al momento de presentarse un desastre o suceso en el Instituto Guatemalteco de Seguridad Social de Huehuetenango .
2. Objetivos de la Respuesta a Incidentes Asegurarse de que el incidente si se ha producido en la entidad. Mitigar el impacto del incidente. Prevenir futuros ataques o incidentes. Mejorar la seguridad y respuesta a incidentes de la empresa Mantenerse informado de la gestión de la situación y la respuesta a la entidad.
14
3. Definición del Incidente de Seguridad Un problema puede causar ciertos tipos de incidentes incidentes de seguridad informática tales como: Perdida de información confidencial de la institución afectando la confidencialidad, integridad y disponibilidad de la misma. Si la información de la institución no cuenta con aplicaciones, software o servicios de seguridad nuestra información podría ser modificada por alguien no autorizado de la entidad. Robo de activos físicos informáticos tales como computadoras, dispositivos de almacenamiento, impresoras, y demás equipo informático propio prop io de la institución. Daños a los activos físicos informáticos incluyendo computadoras, dispositivos de almacenamiento, impresoras, y demás equipo informático propio de la empresa y otros. Denegación de servicios dentro de la misma institución. Uso indebido de los servicios, información o activos de la entidad por parte de los empleados de la institución. Infección de los sistemas por software no autorizado. Intento de acceso no autorizado a los Sistema S istema de información información de la institución. Cambios no autorizados a la organización de hardware, software, o la configuración de los mismos. Respuesta a las alarmas de detección de intrusos.
4. Planificación de Incidentes de seguridad informática En caso de tener uno o varios incidentes de seguridad informática en la institución, en algunas de sus oficinas con equipo informático de cualquier categoría, se llevara a cabo las siguientes actividades.
a. b. c. d.
Definir y aclarar la lista de respuestas a incidentes y sus responsabilidades. Establecer los procedimientos detallados de las medidas a tomar durante el incidente de seguridad informática. Detallar las acciones basadas en el tipo de incidente tales como virus, intrusiones de hackers, robo de datos, sistema de destrucción. Evaluar los procedimientos adecuados para identificar los aspectos críticos que han ocurrido en la entidad. Examinar si el incidente está en curso o se ha presentado de una manera rápida y critica. Si es posible recuperar información importante de la entidad que haya sido perjudicada por cualquier tipo de incidente de seguridad informática informát ica
15
5. Ciclo de Vida a la Respuesta a Incidentes 3.5.1. Preparación para incidentes Políticas y Procedimientos a. establecer las políticas de Seguridad. b. Seguir los procedimientos de Respuesta a Incidentes. c. Seguir los procedimientos de Recuperación y Backup. Implementar políticas con herramientas de seguridad que incluyen firewalls, sistemas de detección de intrusos, a través de herramientas de seguridad informática y otros elementos necesarios para la seguridad informática Colocar avisos de advertencia contra el uso no autorizado en los puntos de acceso del sistema. Establecer directrices de respuesta considerando y discutiendo posibles escenarios. Capacitación de los usuarios sobre la seguridad y entrenar a personal de la institución sobre el manejo de situaciones de seguridad y el reconocimiento de intrusiones e incidentes de seguridad informática. Debe haber un directorio de contactos, con los nombres, unidades y teléfonos a los cuales comunicarse en caso de emergencia.
16
II.
CONCLUSIONES
Dentro de las principales conclusiones y recomendaciones más importantes tenemos:
El crear un plan de seguridad Informática en el Instituto Guatemalteco de Seguridad Social de Huehuetenango, con componentes que produzca resultados efectivos, utilizando una metodología comprobada que diseñe el programa de seguridad con base en las necesidades de la institución para salvaguardar la integridad, confidencialidad y disponibilidad de la información. Para desarrollar con éxito un plan efectivo de seguridad informática en las organizaciones o instituciones, se debe crear y determinar las políticas, normas y procedimientos adecuados, se debe realizar un análisis de riesgos que facilite la determinación de las mismas. En general las organizaciones requieren generalmente de un plan de seguridad informática para cumplir con los requerimientos de seguridad, las empresas gubernamentales, están sujetas a las reglamentaciones y políticas, por lo que estas deben proteger la información que utilizan. Una política de seguridad de la información generalmente exige que todos protejan la información y así la institución cumplirá con sus responsabilidades reglamentarias, jurídicas y fiduciarias. Las políticas, riesgos, contingencias se deben hacer cumplir, midiendo el cumplimiento de lo establecido y no se deben violar, pero esto se determinan las sanciones y consecuencias en caso de incumplimiento, respaldado con documentos.
17
III.
BIBLIOGRAFIA
Purificación Aguilera (2010). Seguridad Informática. Editex. Lourdon, K. y Laurdon J. (2008). SISTEMAS DE INFORMACIÓN GERENCIAL ADMINISTRACIÓN DE LAS EMPRESAS DIGITALES. Décima Edición. México. Pérez, J. y Badía Enrique (2012). Privacidad y seguridad en la red. La regulación y los mercados. Editorial España.
