Propuesta de Políticas de Seguridad de la Información para la institución Educativa de Educación Básica y Media del departamento de Boyacá, basadas en la norma ISO 27001:2013.

Abstract

La información que se maneja en una empresa o entidad es muy valiosa y esta requiere que se proteja de eventuales amenazas que pueden ocurrir en la entidad.

Los virus informáticos, el “hacking” o los ataques de denegación de servicio son algunos ejemplos comunes y conocidos, pero también se deben considerar los riesgos de sufrir incidentes de seguridad causados voluntaria o involuntariamente desde dentro de la propia organización o aquellos provocados accidentalmente por catástrofes naturales y fallos técnicos.

Al no tener buenas prácticas de seguridad informática y no ver la necesidad de implementarlas se está vulnerando las dimensiones de seguridad de los activos conllevando a generar daños y pérdidas económicas para la entidad.

Es por eso que en esta monografía lo que se pretende es diseñar unas políticas de seguridad de información para la institución educativa de educación básica y media del departamento de Boyacá, basadas en la norma ISO 27001:2013, para minimizar los riegos que pueden llegar a tener los activos de esta Institución.

Para el diseño de las Políticas de Seguridad Informática se hizo a través de unas fases o etapas utilizando la metodología Magerit: identificación de activos, clasificación de los activos, identificación de parámetros, clasificación de amenazas, valoración del impacto de forma cualitativa, identificación de controles y diseño de propuesta de políticas de seguridad.

En la primera etapa se realiza un diagnóstico a la institución educativa con el objeto de identificar los tipos de activos más relevantes, según metodología Magerit y de acuerdo a ello se clasifico según su tipo de Información: publica, reservada - uso interno y confidencial; con finalidad de valorar las dimensiones de seguridad informática en estos activos.

En la segunda etapa se identifica las amenazas internas y externas que pueden tener los activos de la institución y el riesgo que pueden sufrir si se materializa unas amenazas; esto se realiza de forma cualitativa.

En la tercera etapa se identifica los controles que pueden salvaguardar o contrarrestar el impacto que puede ocasionar en un activo cuando se materialice una amenaza.

En la cuarta etapa se diseña de manera general unas políticas de seguridad informática basadas en la Norma ISO 27001:2013; con la finalidad de proteger los activos de la Institución Eeducativa para evitar su perdida, modificación, o el uso inadecuado de su contenido.

Las políticas de seguridad están estructuradas con un objetivo, una aplicabilidad y unas directrices básicas, donde se especifican unas normas de cómo se podría utilizar adecuadamente un determinado activo para proteger su información de posibles amenazas a que están expuestos.

Palabras clave: Activos, información, seguridad informática, confidencialidad, integridad, disponibilidad, trazabilidad, salvaguardar.