Diseño de un plan director de seguridad: estrategia para la protección y mitigación de los riesgos

Abstract

Este documento presenta el desarrollo del trabajo de grado aplicado que expone los elementos principales del plan director de seguridad diseñado para la empresa la cual, debido a su deficiencia de medidas de seguridad, se ha visto expuesta a riesgos críticos de seguridad. El ciberataque presentado en el año 2023, que comprometió la información interna y de clientes, evidencio la falta de políticas, procedimientos y herramientas de seguridad, así como la carencia de cultura ciberseguridad a nivel de sus empleados. La metodología cuantitativa-descriptiva apoyado en la norma 27000 y la metodología Magerit empleada para el desarrollo de este plan director de seguridad, permitió identificar las brechas de seguridad de la compañía donde se evidencio accesos no autorizados, configuraciones incorrectas de aplicaciones, uso incorrecto de contraseñas y practicas inseguras de sus empleados. El plan director de seguridad se diseñó siguiendo las fases establecidas (1- Conocer la situación actual de la empresa, 2- Conocer la estrategia corporativa de la organización, 3- Definir proyectos de seguridad, 4- Clasificar y priorizar proyectos, 5- Aprobación del plan director de seguridad). En base a los hallazgos encontrados se diseñaron políticas de seguridad amparadas bajo la norma ISO 27000 con el fin de proteger los activos de información y garantizando la disponibilidad, integridad y confidencialidad de la información. Adicionalmente se desarrolló un plan de formación y capacitación en seguridad de la información, expuesto en un manual de funciones de ciberseguridad y temas de formación según la necesidad actual de la compañía. Palabras clave: Seguridad informática, políticas de seguridad, antivirus, plan de concientización, plan director de seguridad, ciberseguridad, phishing, ransomware.