1. METODOLOGIA PRIMA DIANA BUITRAGO DIANA CHAVEZ LICETH CORREA LIZETH CELIS GENNY GOMEZ

2. INTRODUCCIÓN A LAS METODOLOGÍAS Seguridad de los Sistemas de Información: es la doctrina que trata de los riesgos informáticos o creados por la informática. La informática crea unos riesgos informáticos de los que hay que proteger y preservar a la entidad con un entramado de contramedidas, y la calidad y la eficacia de las mismas. Para explicar este aspecto diremos que cualquier contramedida nace de la composición de varios factores expresados en el siguiente grafico:

3. METODOLOGIA PRIMA Es una metodología de clasificación de la información y de obtención de los procedimientos de control. PRIMA define: Estratégica (información muy restringida, muy confidencial, vital para la subsistencia de la empresa). Restringida ( a los propietarios de la información). De uso interno (a todos los empleados). De uso general (sin restricción)

4. PASOS DE LA METODOLOGIA PRIMA Identificación de la información Inventario de entidades de información residentes y operativas. Inventario de programas, ficheros de datos, soportes de información. Identificación de propietarios. Son los que necesitan para su trabajo, usan o custodian la información. Definición de jerarquías de información. Suelen ser cuatro. Definición de la matriz de clasificación. Consiste en definir las políticas, estándares por tipos y jerarquías de información.

5. Confección de la matriz de clasificación. Se relaciona cada entidad de información con los elementos que se correlacionan (transacción, ficheros, soportes, propietarios, jerarquía) Realización del plan de acciones. Se confecciona el plan de acciones. Implantación y mantenimiento. Se implanta el plan de acciones y se mantiene actualizado.

6. INTRODUCCIÓN A LAS METODOLOGÍAS NORMATIVA, debe definir todo lo que debe existir y ser cumplido tanto desde el punto de vista conceptual, cómo práctico. ORGANIZACIÓN, es la que integran personas con funciones específicas y con actuaciones concretas; éste es el aspecto más importante, dado que in él, nada es posible. METODOLOGÍAS, son necesarias para desarrollar cualquier proyecto que nos propongamos de manera ordenada y eficaz. NORMAS ORGANIZACION METODOLOGÍA OBJETIVOS DE CONTROL PROCESAMIENTO TECNOLOGIAS DE SEGURIDAD HERRAMIENTAS DE CONTROL

7. CONCEPTOS FUNDAMENTALES Todos estos riesgos podemos: Evitarlos no construir un centro donde hay peligro constante de inundaciones. Transferirlos  uso de un centro de calculo contratado. Reducirlos  sistema de detección y extinción de incendios. Asumirlos  que es lo que hacemos si no se controla el riesgo en absoluto.

8. TIPOS DE METODOLOGIAS Metodologías Cuantitativas Basadas en un modelo matemático numérico que ayuda a la realización de trabajo.

9. Metodologías Cualitativas/Subjetivas Basadas en métodos estadísticos y raciocinio humano. Precisan de la involucración de un profesional experimentado. Pero requieren menos recursos humanos que las metodologías cuantitativas.

10. Plan de Seguridad: es una estrategia planificada de acciones y productos que lleven a un sistemas de información y sus centros de proceso de una situación inicial determinada a una situación mejorada. en el siguiente grafico se observará la tendencia actual en la organización de la seguridad de sistemas en la empresa. Organización Interna de la Seguridad Informática

11. Sistema de control interno informático Cualquier actividad o acción realizada manual y/o automáticamente para prevenir, corregir errores o irregularidades que puedan afectar al funcionamiento de un sistema para conseguir sus objetivos.

12. Clasificación de los objetivos de los controles informáticos Preventivos: para tratar de evitar el hecho, como un software de seguridad que impida los accesos no autorizados al sistema. Detectivos: cuando fallan los preventivos para tratar de conocer cuanto antes el evento. Por ejemplo, el registro de intentos de acceso no autorizados, el registro de la actividad diaria para detectar errores u omisiones, etc. Correctivos: facilitan la vuelta a la normalidad cuando se han producido incidencias. Por ejemplo, la recuperación de un fichero dañado a partir de las copias de seguridad.

13. Implantación de un sistema de controles internos informáticos Los controles pueden implantarse a varios niveles diferentes. La evaluación de los controles de la Tecnología de la Información exige analizar diversos elementos interdependientes. Por ello es importante llegar a conocer bien la configuración del sistema, con el objeto de identificar los elemntos, productos y herramientas que existen para saber donde pueden implantarse controles, asi como para identificar posibles riesgos.

14. PRIMA(PREVENCIÓN DE RIESGOS INFORMÁTICOS CON METODOLOGÍA ABIERTA) Características esenciales. Cubrir las necesidades de los profesionales que desarrollan cada uno de los proyectos necesarios de un plan de seguridad Fácilmente adaptable a cualquier tipo de herramienta Posee cuestionarios de preguntas para la identificación de debilidades o faltas de controles Posee listas de ayuda para los usuarios menos experimentados de debilidades, riesgos y contramedidas Permite fácilmente la generación de informes finales Las listas de ayuda y los cuestionarios son abiertos

15. OBEJETIVOS DE CONTROL: son los objetivos a cumplir en el control de procesos , este es el segundo más importante.PROCESAMIENTO: son los procedimientos operativos de las distintas áreas de la empresa, la tendencia habitual de los informáticos es la de dar más peso a las herramientas que al control o contramedida, pero no debemos olvidar que: “UNA HERRAMIENTA NUNCA ES UNA SOLUCION SINO UNA AYUDA PARA CONSEGUIR UN CONTROL MEJOR”

16. TECNOLOGÍAS DE SEGURIDAD: es donde están todos los elementos ya sean Hardware o software, que ayudan a controlar un riesgo informático. LAS HERRAMIENTAS DE CONTROL: son elementos software que permiten definir uno o varios procedimientos de control para cumplir una normativa y un objetivo de control

17. METODOLOGIAS MAS COMUNES Las metodologías más comunes de evaluación de sistemas que podemos encontrar son de análisis de riesgos y de diagnósticos de seguridad, las de plan de contingencias, y las de auditoría de controles generales.

18. MARION RISCKPAC CRAMM PRIMA

19. MARION Método cuantitativo que se basa en esperanzas matemáticas y no en probabilidades. Está documentado en dos libros franceses. Hay dos productos: MARION AP+ y MARION RSX.

20. MARION AP+ Utiliza cuestionarios y parámetros correlacionados enfocados a la representación gráfica de las distintas soluciones de contramedidas en cada uno de los factores.

21. RISCKPAC Metodología cualitativa / Subjetiva, estructurada en tres niveles: Entorno / Procesador / Aplicación

22. CRAMM Desarrollado entre 1985 y 1987 por BIS Y CCTA Metodología cualitativa y permite hacer análisis.

24. Fácil adaptación a cualquier tipo de herramienta

25. Cuestionarios que faciliten identificar las debilidades o faltas.