El documento resume las inquietudes actuales sobre la seguridad de la información en la Universitat Jaume I de Castellón en relación con el Esquema Nacional de Seguridad y el Sistema de Gestión de Seguridad de la Información ISO/IEC 27001. Las principales inquietudes son: 1) el ámbito de aplicación del SGSI y su relación con el ENS, 2) el grado de cumplimiento de los controles de seguridad, 3) la falta de recursos para lograr la independencia de la función de seguridad, y 4) la diversidad de normas y

1. Vicente Andreu Navarro
Gabinete de Planificación y Prospectiva
Tecnológica
Universitat Jaume I de Castellón
León, 22 de octubre de 2015
ENS y SGSI ISO27000:
inquietudes actuales

2. Iniciativa Fecha
Certificación SGSI ISO/IEC 270001:2007 Marzo 2010
Renovación certificación SGSI ISO/IEC 270001:2007 Marzo 2013
Plan de adecuación al ENS basado en el SGSI 2011-2014
•Auditoría de cumplimiento de las medidas del Anexo II Dic. 2012, Marzo 2013
•Declaración de aplicabilidad y Plan de Acciones Marzo 2013
•Desarrollo del Plan de Acciones Abril 2013, Enero 2014
•Auditoría de cumplimiento de las medidas del Anexo II Diciembre 2014
Adecuación del SGSI a la norma ISO/IEC 270001:2013 2015
Evolución de la seguridad TI en la UJI desde 2010

3. Seguridad TI

4. Aproximación tradicional a Ia seguridad

5. • Ámbito de aplicación del SGSI
Sistemas de información que soportan los servicios de TI de la Universitat Jaume I en los
ámbitos:
• Académico: servicios tecnológicos de soporte a la docencia
• Investigación: entorno de cálculo científico
• Gestión: entorno de gestión administrativa
• Comunes: portal universitario y servicio de internet, servicios de conexión y correo
electrónico, recursos de almacenamiento y de gestión de proyectos
Primera inquietud: ¿qué protegemos?
¿Y el
ENS? ¿Un sistema único que
quizás sea demasiado
exigente?
¿Dos sistemas diferentes
para algunos activos?

6. Segunda inquietud: cumplimiento
¿Cumplimos o
no
cumplimos?
El grado de
madurez es
adecuado
El
cumplimiento
del control está
entre medio y
bajo

7. • Independencia de la función de seguridad
Tercera inquietud
Aquí dice:
Marco operacional,
Marco organizativo,
Arquitectura de seguridad,
Gestión de capacidades,
Bastionado,
Bla, bla, bla…
¡No hay
recursos!

8. • Diversidad de normas, recomendaciones, guías, buenas prácticas
Cuarta inquietud
ENS
ITIL
RDLOPD
Calidad
Continuidad
de negocio
ISO 27000

9. • Compromiso y concienciación
La última inquietud
Y todo esto
que hago, ¿le
importa a
alguien?
¿Lo
qué?
¡Hazlo y
no
molestes!
Yo
bastante
tengo con
lo mío…

10. CLOUD
BYOD
IoT
Atacante
“amateur”
Bandas
organizadas
con ánimo de
lucro

12. Gracias por su atención