Auditoría de seguridad informática en la red interna de la Universidad Politécnica estatal del Carchi, basada en la Norma ISO/IEC 27001 y la metodología OSSTMMV3

Abstract

La seguridad informática es muy importante para garantizar la confiabilidad, disponibilidad e integridad de la información. Sin embargo en la actualidad la posibilidad de sufrir un ataque cibernético es cada vez mayor, es por esto que en la Universidad Politécnica Estatal del Carchi es necesario la aplicación de una auditoria de seguridad informática, pues se han evidenciado algunas vulnerabilidades en su red interna lo cual puede comprometer la información que se maneja en la institución, además de no poseer políticas de seguridad informática que ayuden a proteger los activos e información de la universidad en caso de amenaza o ataque. El objetivo del estudio fue realizar una auditoría de seguridad informática en la red interna de la Universidad Politécnica estatal del Carchi, con base en la norma ISO/IEC 27001 y la metodología OSSTMMv3 para mejorar la seguridad que posee la red interna de la institución. La auditoría se aplicó a los 5 canales que especifica la metodología, el canal Humano, Físico, Inalámbrico, Telecomunicaciones y Redes de Datos; los cuales se abordaron siguiendo las recomendaciones de OSSTMMv3. Para cada canal se evaluó la seguridad operacional, los controles y limitaciones, mediante la observación, persuasión, encuestas, entrevistas, y el software necesario para obtener los resultados que se representaran de forma numérica para luego ser ingresados en la calculadora RAV de OSSTMMv3 y obtener el valor de la seguridad actual de la institución. Los resultados obtenidos de la calculadora se detallan en el informe STAR en el cual se incluyen los valores finales y las evidencias de los procedimientos realizados para el análisis de cada canal. Con los resultados se procedió a realizar un informe final que fue entregado al Director del Departamento de TIC’S, además se establecieron políticas de seguridad, que fueron socializadas con el personal del departamento de TIC’s, aplicando algunas de ellas para verificar su cumplimiento y aceptación por parte del personal interno de la institución.