Diseño de un modelo de gestión de seguridad de la información, bajo el estándar ISO/IEC 27001:2013 para la dirección de tecnología de la información del gobierno provincial de Loja

Abstract

Seguridad de la Información se ha convertido en un campo muy aplicado actualmente en el ámbito tecnológico y operativo, porque ayuda a mantener nuestra información lo menos expuesta a terceros no autorizados. Con este fin, el presente Trabajo de Titulación tiene como objetivo diseñar un modelo para la Gestión de Seguridad de la Información, bajo el estándar ISO/IEC 27001:2013 para la Dirección de Tecnología de la Información del Gobierno Provincial de Loja.

Para cumplir con este propósito, se toma como referencia los principios y las directrices que plantea la norma ISO/IEC 27001 en la versión 2013; y así proponer un modelo acorde a la situación actual y análisis de riesgos de la Dirección de Tecnología de la Información del Gobierno Provincial de Loja.

Como resultado final se presenta un Modelo con seis fases: en la fase uno se realiza un diagnóstico de la situación actual de la institución, en relación a los procesos, controles, activos, roles y actividades del personal; las necesidades y requisitos legales que debe cumplir; durante la fase dos se lleva a cabo el proceso de gestión de riesgos utilizando la metodología SARO, donde se categoriza los riesgos, luego se establece los criterios de aceptación para finalmente obtener una matriz de riesgos. Para la fase tres se define los controles adecuados para mitigar los riesgos y mantener las incidencias al mínimo, mediante la creación de diversos documentos de políticas de seguridad con controles en cada política. En la fase cuatro se implementa los controles y procedimientos propuestas en la fase tres. En la fase cinco se valida el modelo mediante la ejecución de un plan de pruebas y presentando como resultado un informe de pruebas. Finamente, se establece una sexta fase donde se aplican medidas correctivas para el funcionamiento adecuado del modelo.

Al finalizar se concluyó que el modelo ayuda a la prevención y detección de riesgos y vulnerabilidades que afectan a la información en cualquier formato; teniendo como resultado final un modelo que permite adoptar de forma efectiva un enfoque basado en procesos para la gestión de sus actividades y recursos.