Dominio0
- 1. Programa Formativo para el EXAMEN CISM Convocatoria 2005 Introducción a la Introducción a la Auditoria y Seguridad Auditoria y Seguridad Informáticas Informáticas © Fundación DINTEL DOMINIO 0 – 1 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 La Seguridad La Seguridad de la Información de la Información PRIMERA PARTE © Fundación DINTEL DOMINIO 0 – 2 © MIGUEL REGO, 2005
- 2. Programa Formativo para el EXAMEN CISM Convocatoria 2005 SEGURIDAD DE LA INFORMACIÓN Protección adecuada, Protección adecuada, proporcionada proporcionada y razonable de la Información y razonable de la Información Corporativa Corporativa Preservando su Preservando la Preservando la Preservando su confidencialidad integridad y integridad y confidencialidad integridad integridad disponibilidad + + disponibilidad disponibilidad de los recursos de los recursos disponibilidad que la soportan que la soportan © Fundación DINTEL DOMINIO 0 – 3 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 DECÁLOGO 1. La Información es un recurso estratégico. © Fundación DINTEL DOMINIO 0 – 4 © MIGUEL REGO, 2005
- 3. Programa Formativo para el EXAMEN CISM Convocatoria 2005 La información es el principal activo de las organizaciones © Fundación DINTEL DOMINIO 0 – 5 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 DECÁLOGO 2. La Información debe ser valorada en cuanto a los daños que produciría una perdida de los TRES requisitos básicos de seguridad © Fundación DINTEL DOMINIO 0 – 6 © MIGUEL REGO, 2005
- 4. Programa Formativo para el EXAMEN CISM Convocatoria 2005 SEGURIDAD DE LA INFORMACIÓN CONFIDENCIALIDAD INTEGRIDAD DISPONIBILIDAD © Fundación DINTEL DOMINIO 0 – 7 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 DECÁLOGO Decálogo 3. La Seguridad de la Información es la aplicación de medidas para garantizar y preservar la Confidencialidad, Integridad y Disponibilidad de la Información durante todo su ciclo de vida, en cualquier formato que se utilice y en cualquier lugar donde se encuentre. © Fundación DINTEL DOMINIO 0 – 8 © MIGUEL REGO, 2005
- 5. Programa Formativo para el EXAMEN CISM Convocatoria 2005 SEGURIDAD DE LA INFORMACIÓN Sistemas Empleados Documentos Clientes Instalaciones Proveedores © Fundación DINTEL DOMINIO 0 – 9 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 SEGURIDAD DE LA INFORMACIÓN Sistemas Personas Documentos Empresas Instalaciones Proveedores © Fundación DINTEL DOMINIO 0 – 10 © MIGUEL REGO, 2005
- 6. Programa Formativo para el EXAMEN CISM Convocatoria 2005 SEGURIDAD DE LA INFORMACIÓN Sistemas Personas Documentos Empresas Instalaciones Proveedores © Fundación DINTEL DOMINIO 0 – 11 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 DECÁLOGO Decálogo 4. Las medidas de seguridad se aplicarán en proporción a los daños que produciría la pérdida de confidencialidad, integridad o disponibilidad. © Fundación DINTEL DOMINIO 0 – 12 © MIGUEL REGO, 2005
- 7. Programa Formativo para el EXAMEN CISM Convocatoria 2005 CLASIFICACIÓN DE LA INFORMACIÓN Por grados de sensibilidad Integridad Disponibilidad Confidencialidad Beneficios Determinar los controles de acceso Facilita asignación de medidas proporcionales Como objetivo de control Quien tiene derecho de acceso Quien es responsable de establecer los derechos de acceso © Fundación DINTEL DOMINIO 0 – 13 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 DECÁLOGO 5. El acceso a la información se concederá en base a la necesidad de conocer. Para información clasificada se deberá contar además con una habilitación personal. © Fundación DINTEL DOMINIO 0 – 14 © MIGUEL REGO, 2005
- 8. Programa Formativo para el EXAMEN CISM Convocatoria 2005 CLASIFICACIÓN DE LA INFORMACIÓN Habilitación Personal Confidencial Necesidad de Conocer Uso Interno Uso Público © Fundación DINTEL DOMINIO 0 – 15 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 DECÁLOGO 6. La Seguridad de la Información es responsabilidad de todos los miembros de la Organización, los cuales deberán estar adecuadamente formados y concienciados. © Fundación DINTEL DOMINIO 0 – 16 © MIGUEL REGO, 2005
- 9. Programa Formativo para el EXAMEN CISM Convocatoria 2005 DECÁLOGO Decálogo 7. Las medidas para la seguridad de la Información deben ser coordinadas e integradas con el resto de Áreas que conforman la Seguridad de la Organización, con el fin de conformar un Sistema Integral de Seguridad coherente y eficaz. © Fundación DINTEL DOMINIO 0 – 17 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 ORGANIZACIÓN DE LA SEGURIDAD Dirección de Dirección de Seguridad Seguridad Corporativa Corporativa Seguridad X X Seguridad de la Información de la Información Y Y Seguridad Seguridad TIC TIC © Fundación DINTEL DOMINIO 0 – 18 © MIGUEL REGO, 2005
- 10. Programa Formativo para el EXAMEN CISM Convocatoria 2005 DECÁLOGO 8. Los controles implantados serán compatibles con la legislación vigente vinculante a la Organización, tanto a nivel nacional como internacional. © Fundación DINTEL DOMINIO 0 – 19 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 DECÁLOGO Decálogo 9. Se establecerán auditorias internas con el fin de comprobar la eficacia de las medidas implantadas. Estas auditorias, para poder actuar de manera libre e independiente, no deben estar bajo la autoridad de los Organismos encargados de la Dirección y Ejecución de la Seguridad de la Información. © Fundación DINTEL DOMINIO 0 – 20 © MIGUEL REGO, 2005
- 11. Programa Formativo para el EXAMEN CISM Convocatoria 2005 DECÁLOGO Decálogo 10. Se establecerá un Plan para gestionar la continuidad de los procesos críticos de la Organización que permita en caso de un incidente de seguridad, evaluar los daños, limitar sus consecuencias y adoptar medidas de reacción. © Fundación DINTEL DOMINIO 0 – 21 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 DISEÑO DE LA SEGURIDAD Política Política Análisis Análisis Requisitos Requisitos de de Principios Principios de de Legales Legales Seguridad Seguridad y Objetivos y Objetivos Riesgos Riesgos Contractuales Contractuales de la de la Información Información Seguridad Seguridad © Fundación DINTEL DOMINIO 0 – 22 © MIGUEL REGO, 2005
- 12. Programa Formativo para el EXAMEN CISM Convocatoria 2005 POLÍTICAS Nivel 1 Política de la Seguridad de la Información Seguridad Seguridad Seguridad Seguridad Información Información Información Información Nivel 2 PERSONAS DOCUMENTOS TIC INSTALACIONES Nivel 3 © Fundación DINTEL DOMINIO 0 – 23 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 POLÍTICAS Nivel 1 Política de la Seguridad de la Información Seguridad Seguridad Seguridad Seguridad Información Información Información Información Nivel 2 PERSONAS DOCUMENTOS TIC INSTALACIONES Nivel 3 © Fundación DINTEL DOMINIO 0 – 24 © MIGUEL REGO, 2005
- 13. Programa Formativo para el EXAMEN CISM Convocatoria 2005 1-Análisis de Riesgo ANALISIS Y ¿QUE RIESGO? GESTIÓN DE RIESGOS ¿COMO REDUCIRLO? 2-Gestión del Riesgo Plan de Plan de Continuidad Seguridad © Fundación DINTEL DOMINIO 0 – 25 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 ANALISIS DE RIESGOS 4 sub-procesos Análisis de 1-Identificación/valoración Riesgo de activos Estrategia 2-Análisis 3-Análisis Métodos Amenazas Vulnerabilidades Técnicas Nivel de 4-Identificación y valoración de Riesgos Seguridad Riesgos Asumibles Riesgos No Asumibles © Fundación DINTEL DOMINIO 0 – 26 © MIGUEL REGO, 2005
- 14. Programa Formativo para el EXAMEN CISM Convocatoria 2005 GESTIÓN DE RIESGOS 3 sub-procesos Riesgos Riesgos Gestión del Riesgo asumibles NO asumibles 1-Reducción del riesgo Riesgos Riesgos Negocio Legal Residuales Requisitos de Seguridad 2-Identificación y selección Controles de controles Actuales 3-Aceptación del Riesgo residual © Fundación DINTEL DOMINIO 0 – 27 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 Fijar GESTIÓN DE LA objetivos SEGURIDAD Evaluar riesgos Requisitos legales Principios,... Definir controles Política Organización PKI, Firewall,... Implantar controles © Fundación DINTEL DOMINIO 0 – 28 © MIGUEL REGO, 2005
- 15. Programa Formativo para el EXAMEN CISM Convocatoria 2005 SEGURIDAD SEGURIDAD DE LA INFORMACION SEGURIDAD DE LA INFORMACION MEDIDAS MEDIDAS POLITICAS POLITICAS ORGANIZACIÓN ORGANIZACIÓN TECNICAS TECNICAS © Fundación DINTEL DOMINIO 0 – 29 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 La Auditoría La Auditoría de los de los Sistemas Sistemas de Información de Información SEGUNDA PARTE © Fundación DINTEL DOMINIO 0 – 30 © MIGUEL REGO, 2005
- 16. Programa Formativo para el EXAMEN CISM Convocatoria 2005 ¿QUÉ ES AUDITORÍA? “Proceso sistemático, independiente y documentado para obtener evidencias y evaluarlas de manera objetiva con el fin de determinar si cumplen con las disposiciones previamente establecidas, y si estas disposiciones se han aplicado efectivamente y son adecuadas para alcanzar los objetivos” (ISO 9000) © FAST © Fundación DINTEL DOMINIO 0 – 31 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 AUDITORIA T.I. Objetivos de Protección: Seguridad Integridad Disponibilidad Objetivos de Gestión: Eficacia Eficiencia Otros: Cumplimiento Calidad © Fundación DINTEL DOMINIO 0 – 32 © MIGUEL REGO, 2005
- 17. Programa Formativo para el EXAMEN CISM Convocatoria 2005 AUDITORIA T.I. Participar en las revisiones durante el ciclo de vida de los Sistemas Revisar y juzgar los controles implantados en los sistemas Revisar y juzgar la eficacia, eficiencia y seguridad de los sistemas. © Fundación DINTEL DOMINIO 0 – 33 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 AUDITAR PLANIFICAR CUMPLIENDO EVALUAR CODIGO DIRECTRICES DEONTOLOGIGO OBTENER PRUEBAS INFORMAR SEGUIMIENTO © Fundación DINTEL DOMINIO 0 – 34 © MIGUEL REGO, 2005
- 18. Programa Formativo para el EXAMEN CISM Convocatoria 2005 AUDITAR PLANIFICAR CUMPLIENDO EVALUAR CODIGO DIRECTRICES DEONTOLOGIGO OBTENER PRUEBAS INFORMAR SEGUIMIENTO © Fundación DINTEL DOMINIO 0 – 35 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 PLANIFICAR Identificar el Área a auditar Fijar objetivos y alcance Análisis del entorno Elaborar un programa y un calendario de trabajo Seleccionar y definir el equipo de trabajo Definir las pruebas de auditoria y las herramientas © Fundación DINTEL DOMINIO 0 – 36 © MIGUEL REGO, 2005
- 19. Programa Formativo para el EXAMEN CISM Convocatoria 2005 AUDITAR PLANIFICAR CUMPLIENDO EVALUAR CODIGO DIRECTRICES DEONTOLOGIGO OBTENER PRUEBAS INFORMAR SEGUIMIENTO © Fundación DINTEL DOMINIO 0 – 37 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 TECNICAS DE EVALUACIÓN Revisar la Estructura de la Organización Una adecuada segregación de tareas es un control general clave Revisar la Documentación de SI Requerimientos funcionales, estudios de viabilidad, diseños técnicos, manuales, planes de seguridad Entrevistas al Personal Observación De los procesos De los procedimientos © FAST © Fundación DINTEL DOMINIO 0 – 38 © MIGUEL REGO, 2005
- 20. Programa Formativo para el EXAMEN CISM Convocatoria 2005 AUDITAR PLANIFICAR CUMPLIENDO EVALUAR CODIGO DIRECTRICES DEONTOLOGIGO OBTENER PRUEBAS INFORMAR SEGUIMIENTO © Fundación DINTEL DOMINIO 0 – 39 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 EVIDENCIAS La Evidencia es cualquier información utilizada por el Auditor para determinar si se están cumpliendo los criterios establecidos en las entidades auditadas. Las evidencias obtenidas deberán cumplir las siguientes características: Competentes (válidas y relevantes) Identificará la Calidad de las evidencias Suficientes Identificará la Cantidad suficiente de evidencias © FAST © Fundación DINTEL DOMINIO 0 – 40 © MIGUEL REGO, 2005
- 21. Programa Formativo para el EXAMEN CISM Convocatoria 2005 Obtener pruebas Evidencias: Evidencias: Relevantes Relevantes Fiables Fiables Suficientes Suficientes Papeles de Trabajo Papeles de Trabajo Adecuadas Adecuadas © Fundación DINTEL DOMINIO 0 – 41 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 AUDITAR PLANIFICAR CUMPLIENDO EVALUAR CODIGO DIRECTRICES DEONTOLOGIGO OBTENER PRUEBAS INFORMAR SEGUIMIENTO © Fundación DINTEL DOMINIO 0 – 42 © MIGUEL REGO, 2005
- 22. Programa Formativo para el EXAMEN CISM Convocatoria 2005 INFORMAR Informes preliminares Borrador que se comenta al cliente o a la organización auditada para sus posibles comentarios y observaciones Informe final de opinión Informe de auditoria final que se envía a la dirección del cliente u organización. © Fundación DINTEL DOMINIO 0 – 43 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 AUDITAR PLANIFICAR CUMPLIENDO EVALUAR CODIGO DIRECTRICES DEONTOLOGIGO OBTENER PRUEBAS INFORMAR SEGUIMIENTO © Fundación DINTEL DOMINIO 0 – 44 © MIGUEL REGO, 2005
- 23. Programa Formativo para el EXAMEN CISM Convocatoria 2005 PLAN DE ACCION Debe ser propuesto e implementado por la dirección del servicio informático auditado El auditor deberá incluir en su informe una opinión sobre las acciones correctoras propuestas y el plazo de ejecución El auditor deberá considerar la necesidad de verificar la ejecución de dichas acciones correctoras (programa de seguimiento) © FAST © Fundación DINTEL DOMINIO 0 – 45 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 AUDITAR PLANIFICAR CUMPLIENDO EVALUAR CODIGO DIRECTRICES DEONTOLOGIGO OBTENER PRUEBAS INFORMAR SEGUIMIENTO © Fundación DINTEL DOMINIO 0 – 46 © MIGUEL REGO, 2005
- 24. Programa Formativo para el EXAMEN CISM Convocatoria 2005 AUDITAR PLANIFICAR CUMPLIENDO EVALUAR CODIGO DIRECTRICES DEONTOLOGIGO OBTENER PRUEBAS INFORMAR SEGUIMIENTO © Fundación DINTEL DOMINIO 0 – 47 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 El Programa El Programa CISA de ISACA CISA de ISACA TERCERA PARTE © Fundación DINTEL DOMINIO 0 – 48 © MIGUEL REGO, 2005
- 25. Programa Formativo para el EXAMEN CISM Convocatoria 2005 ¿QUÉ ES CISA? Certified Information System Auditor-Auditor de Sistemas de Información Certificado Título internacional emitido por ISACA (Informatión System Audit and Control Association) que acredita como Auditor de Sistemas de Información. CISA es una titulación prestigiosa que se ha tomado como referencia para acreditar la capacidad y fiabilidad de los auditores © Fundación DINTEL DOMINIO 0 – 49 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 ¿CÓMO SE OBTIENE EL CISA? CISA Aprobar el examen (75%) Acreditar 5 años de experiencia reciente en auditoria/seguridad Adherirse al código deontológico de ISACA Acreditar que se sigue la política de formación continuada. Pagar las cuotas. © Fundación DINTEL DOMINIO 0 – 50 © MIGUEL REGO, 2005
- 26. Programa Formativo para el EXAMEN CISM Convocatoria 2005 ¿CÓMO ES EL EXAMEN CISA? 200 preguntas de múltiples respuestas, abarcando todos los dominios de conocimiento. El número de cuestiones de cada dominio es proporcional a la importancia de éste. Hay que superar el 75% de aciertos en cada dominio. Duración: 4 horas © Fundación DINTEL DOMINIO 0 – 51 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 ¿CÓMO ES EL EXAMEN CISA? Única convocatoria anual 11 de junio de 2005 Idioma: Español, Inglés otros... © Fundación DINTEL DOMINIO 0 – 52 © MIGUEL REGO, 2005
- 27. Programa Formativo para el EXAMEN CISM Convocatoria 2005 ¿CÓMO ES EL EXAMEN CISA? DOMINIO 1. Gestión, planificación y 11% organización de los Sistemas de Información DOMINIO 2. Infraestructura técnica y 13% prácticas operacionales © Fundación DINTEL DOMINIO 0 – 53 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 ¿CÓMO ES EL EXAMEN CISA? DOMINIO 3. Protección de los activos 25% de la información DOMINIO 4. Recuperación de 10% desastres y continuidad del negocio © Fundación DINTEL DOMINIO 0 – 54 © MIGUEL REGO, 2005
- 28. Programa Formativo para el EXAMEN CISM Convocatoria 2005 ¿CÓMO ES EL EXAMEN CISA? DOMINIO 5. Desarrollo, adquisición, 16% implantación y mantenimiento de los Sistemas de Aplicaciones de Negocio DOMINIO 6. Evaluación de los 15% procesos de negocio y gestión del riesgo DOMINIO 7. El proceso de auditoria de 10% los Sistemas de Información © Fundación DINTEL DOMINIO 0 – 55 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 ¿CÓMO ES EL EXAMEN CISA? PESO PREGUNTAS FALLOS DOMINIO 1 11% 22 6 DOMINIO 2 13% 26 7 DOMINIO 3 25% 50 13 DOMINIO 4 10% 20 5 DOMINIO 5 16% 32 8 DOMINIO 6 15% 30 8 DOMINIO 7 10% 20 5 © Fundación DINTEL DOMINIO 0 – 56 © MIGUEL REGO, 2005
- 29. Programa Formativo para el EXAMEN CISM Convocatoria 2005 SUSTITUCIÓN DE LA EXPERIENCIA CISA Un máximo de un año puede ser sustituido por: Un año de experiencia en auditoria financiera. Un año de experiencia en sistemas de información (desarrollo, operación, sistemas, etc.). Una carrera universitaria de grado medio (diplomatura). © Fundación DINTEL DOMINIO 0 – 57 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 SUSTITUCIÓN DE LA EXPERIENCIA CISA Dos años de experiencia pueden ser sustituidos por una carrera universitaria de grado superior (ingeniería, licenciatura, etc.) Un año de experiencia puede ser sustituido por cada dos años como instructor universitario a tiempo completo en un campo relacionado con la auditoria, contabilidad o sistemas de información © Fundación DINTEL DOMINIO 0 – 58 © MIGUEL REGO, 2005
- 30. Programa Formativo para el EXAMEN CISM Convocatoria 2005 SUSTITUCIÓN DE LA EXPERIENCIA La experiencia debe haber sido adquirida en los 10 años previos a la solicitud de la certificación o en los 5 años siguientes a la aprobación del examen Toda la experiencia laboral será verificada con las empresas donde se haya trabajado © Fundación DINTEL DOMINIO 0 – 59 © MIGUEL REGO, 2005 Programa Formativo para el EXAMEN CISM Convocatoria 2005 POLÍTICA DE FORMACIÓN CONTINÚA Realizar cada año un mínimo de 20 horas de formación continua Realizar un mínimo de 120 horas de formación continua cada tres años consecutivos Responder y enviar la documentación requerida sobre la formación continua realizada, si se es seleccionado © Fundación DINTEL DOMINIO 0 – 60 © MIGUEL REGO, 2005
- 31. Programa Formativo para el EXAMEN CISM Convocatoria 2005 MAS INFORMACIÓN Mas información sobre el programa formativo de www.dintel.org Información adicional sobre las certificaciones CISA/CISM: ´ www.isaca.org © Fundación DINTEL DOMINIO 0 – 61 © MIGUEL REGO, 2005