Diseño de un modelo de gestión de incidentes de seguridad informática basado en las buenas prácticas y directrices de la ISO/IEC 27035 para un organismo del estado peruano

Abstract

En el presente proyecto se ha diseñado un modelo de gestión de incidentes de seguridad informática para un organismo del estado peruano en base a la norma ISO/IEC 27035 y otros lineamientos o estándares internacionales con el fin de detectar, evaluar, tratar y responder adecuadamente los incidentes que puedan presentar los sistemas y componentes tecnológicos, ya que se encuentran expuestos a amenazas y vulnerabilidades. El proyecto cuenta con cinco capítulos, en la primera parte se definen los aspectos introductorios que nos acerca a la realidad de la organización, la problemática, el problema a resolver, y el objetivo general que busca este proyecto que es “Diseñar un modelo de Gestión de incidentes de Seguridad Informática basado en las buenas prácticas y directrices de la ISO/IEC 27035 para un organismo del estado peruano, que permita determinar las acciones requeridas para el tratamiento efectivo de los incidentes a los que se encuentran expuestos”. En el segundo capítulo se define el marco teórico en el que se analiza la norma ISO/IEC 27035 en profundidad, con el fin de conocer los conceptos necesarios para comprender el modelo de gestión de incidentes de seguridad informática propuesto En el capítulo 3, se analiza el problema que presenta la organización, para conocer la situación actual de esta, se desarrolla un análisis de brechas que determinara el cumplimiento actual de los controles de gestión de incidentes de seguridad informática en la organización, del mismo modo se realiza un análisis de riesgo con el fin de determinar las posibles amenazas que pueden materializarse. En el capítulo 4, se desarrolla el modelo de gestión de incidentes de seguridad informática alineado a la ISO/IEC 27035, el cual consta de cinco fases: planeamiento y preparación, detección y reporte, evaluación, respuestas y lecciones aprendidas; para el cumplimiento de estas se establecen actividades y tareas por cada fase. En el capítulo 5, se realiza las pruebas correspondientes a cada objetivo específico y, por último, se brinda conclusiones y recomendaciones del presente proyecto.

This project has designed an information security incident management model for a Peruvian government agency based on ISO/IEC 27035 and other international guidelines or standards in order to detect, evaluate, treat and respond appropriately to incidents that may occur in technological systems and components, as they are exposed to threats and vulnerabilities. The project has five chapters. The first part defines the introductory aspects that bring us closer to the reality of the organization, the problem to be solved, and the general objective of this project, which is "To design an Information Security Incident Management model based on the good practices and guidelines of ISO/IEC 27035 for a Peruvian government agency, to determine the actions required for the effective treatment of incidents to which they are exposed". The second chapter defines the theoretical framework in which the ISO/IEC 27035 standard is analyzed in depth, in order to know the concepts necessary to understand the proposed computer security incident management model. In chapter 3, the problem presented by the organization is analyzed, in order to know its current situation, a gap analysis is developed to determine the current compliance of the organization's computer security incident management controls, and a risk analysis is performed in order to determine the possible threats that may materialize. Chapter 4 develops the computer security incident management model aligned with ISO/IEC 27035, which consists of five phases: planning and preparation, detection and reporting, evaluation, response and lessons learned; activities and tasks are established for each phase. In chapter 5, the tests corresponding to each specific objective are carried out and, finally, conclusions and recommendations of this project are provided.