Sistema de gestión de seguridad de la información para Emelnorte prototipo: proceso de levantamiento de un nuevo cliente

Abstract

Las instituciones procuran fortalecer sus procesos para afianzar la seguridad de la información y sus activos, desarrollando nuevos y mejores métodos para prevenir y minimizar los riesgos a los que se encuentran expuestas (Kosutic, 2013). En este contexto, la Organización Internacional de Normalización (ISO), en el año 2005, emitió la norma ISO 27001 que proporciona un modelo para la creación, implementación, operación, supervisión, revisión, mantenimiento y mejora de un Sistema de Gestión de Seguridad de la Información (SGSI). Esta norma tiene como fin proteger los activos de la información de cualquier organización. El presente trabajo realiza un análisis del procedimiento de implantación del SGSI basado en la norma ISO 27001, aplicándolo a un proceso de negocio de Emelnorte. El procedimiento inicia con la identificación de los activos de información y su valoración, la identificación de amenazas y la determinación de riesgos sobre los cuales se deben seleccionar los controles a aplicarse. Los resultados del estudio muestran que un gran porcentaje de los activos de información se ven afectados por riesgos no tolerables, para los cuales se han seleccionado una lista de controles de la norma ISO 27001 a ser aplicados a fin de minimizar dichos riesgos. La selección de los riesgos incluye la determinación de indicadores para medir su cumplimiento, las fórmulas de cálculo de los indicadores y las fechas en las que la empresa deberá implementar estos controles. La implementación de esta norma es necesario el uso de un sistema informático para mantener, controlar y evaluar un SGSI de manera óptima, ya que la información manejada puede llegar a ser muy extensa dificultando su correcto tratamiento e interpretación, en estos casos, el uso de un software desarrollado a medida se convierte en una herramienta clave para la gestión. Se ha desarrollado un software de apoyo en la implementación de la norma. Este software analiza la información ingresada sobre los activos y las amenazas para calcular los riesgos y su tolerancia. Además, permite llevar un registro de los controles seleccionados de la norma y su ejecución para mantener un control adecuado de la implementación.