2.2.1 Elaboración del plan de seguridad

 

El Plan de Seguridad Informática es la expresión gráfica del Sistema de Seguridad Informática diseñado y constituye el documento básico que establece los principios organizativos y funcionales de la actividad de Seguridad Informática en una Entidad y recoge claramente las políticas de seguridad y las responsabilidades de cada uno de los participantes en el proceso informático, así como las medidas y procedimientos que permitan prevenir, detectar y responder a las amenazas que gravitan sobre el mismo.

•      El objetivo del Plan de Seguridad es fijar los niveles de seguridad que han de ser incluidos como parte de los SLAs, OLAs y UCs.

•      El Plan de Seguridad debe diseñarse para ofrecer un mejor y más seguro servicio al cliente y nunca como un obstáculo para el desarrollo de sus actividades de negocio.

Pasos:

•      GENERALIDADES

•      ALCANCE DE LAS POLÍTICAS

•      OBJETIVOS

•      ANÁLISIS DE LAS RAZONES QUE IMPIDEN LA APLICACIÓN DE LAS      POLÍTICAS DE SEGURIDAD INFORMÁTICA

•      RESPONSABILIDADES

•      DEFINICIÓN DE POLÍTICAS DE SEGURIDAD INFORMÁTICA

Durante el proceso de diseño de un Sistema de Seguridad Informática se distinguen tres etapas:

1)  Determinar las necesidades de protección del sistema informático objeto de análisis, que incluye:

** Caracterización del sistema informático.

**Identificación de las amenazas y estimación de los riesgos.

**Evaluación del estado actual de la seguridad.

1)      Definir e implementar el sistema de seguridad que garantice minimizar los riesgos identificados en la primera etapa.

**Definir las políticas de seguridad.

**Definir las medidas y procedimientos a implementar.

1)      Evaluar el sistema de seguridad diseñado.

El contenido de cada una de estas etapas se describe en la “Metodología para el diseño de un sistema de Seguridad Informática” elaborada por el Ministerio del Interior.