Diseño del sistema de gestión de seguridad de la información para la Empresa Comfenalco Quindío

Abstract

La Caja de Compensación Familiar del Quindío, Comfenalco Quindío, es la única Caja de Compensación Familiar y una de las empresas más grandes y de las mayores generadoras de empleo en el departamento del Quindío, Colombia.

El objeto misional de la organización es el pago de subsidio familiar a los trabajadores afiliados a la Caja con categorías A y B, proceso a través del cual recoge gran parte de información confidencial tanto de las empresas afiliadas como de sus trabajadores y beneficiarios, información que se recibe y procesa tanto de manera física como digital, la cual reviste vital importancia para la organización, dado que dicha información se constituye como soporte principal para las gestiones de la misma y su manejo y custodia es responsabilidad de la entidad.

En este trabajo se describen los objetivos, el alcance y el diseño de un Sistema de Seguridad de la Información para Comfenalco Quindío fundamentado en la norma NTC/ISO 27001:2013 dirigido hacia los procesos considerados críticos para la empresa desde la perspectiva de su Misión y Visión. En este orden de ideas, se realiza un diagnóstico de la situación mediante la aplicación de un análisis diferencial respecto a la norma seguido de la identificación de amenazas y vulnerabilidades en el contexto de la metodología de análisis y gestión de riesgos MAGERIT y finalmente se diseñan los documentos base que puedan servir a la Caja para llevar a cabo los planes de tratamiento de riesgos.

En razón a lo anterior y dado que la empresa cuenta con la certificación en la NTC ISO 9001:2008, se definió elaborar para dicha organización un DISEÑO DEL SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN PARA LA EMPRESA COMFENALCO QUINDÍO.

Para la elaboración de dicho modelo se tuvo en cuenta:

La NTC/ISO 27001:2013.

La cual proporciona las herramientas necesarias para el establecimiento de un Sistema de Gestión de la Seguridad Informática, además de que cuenta con el anexo A, el cual recoge los objetivos de control y controles que las empresas deben implementar a fin de minimizar el impacto ante la eventual materialización de una amenaza informática, dando como resultado la Política General de Seguridad de la Información, teniendo en cuenta los objetivos de control y controles seleccionados para la organización.

La metodología de análisis y gestión de riesgos MAGERIT.

MAGERIT proporciona una metodología para la elaboración del análisis y gestión de riesgos de la organización. Dicha metodología resulta ser de fácil entendimiento y aplicación, además de que se adapta fácilmente a organizaciones pequeñas, medianas y grandes. Resultado de este análisis se proporcionan las salvaguardas necesarias para minimizar el impacto ante la eventual materialización de una amenaza informática.