Fundamentos del Gobierno de TI y Seguridad de la Información
1. ¿De quién es la responsabilidad del gobierno de las TI?
Es responsabilidad del Consejo de Administración y de la Dirección Ejecutiva de las organizaciones, que son los encargados de definir la estrategia de Tecnologías de la Información y de vigilar su cumplimiento, aunque no lo son de su implantación (que corresponde específicamente a la Dirección de Tecnologías de la Información).
2. ¿Cuáles son los cuatro objetivos de seguridad de la información?
- Disponibilidad: La información está disponible cuando se necesita, y los sistemas que la proporcionan pueden resistir ataques y recuperar esta información ante posibles fallos.
- Confidencialidad: El acceso a la información solo puede realizarlo aquel que tenga un legítimo derecho.
- Integridad: La información está protegida frente a modificaciones no autorizadas.
- Autenticidad y no repudio: Las transacciones comerciales, así como el intercambio de información en general entre empresas, ofrecen la necesaria confianza y validación de las partes involucradas.
3. Cite al menos cuatro instituciones de estandarización
Existen diversas organizaciones de referencia en el ámbito de la normalización:
- España: AENOR (Asociación Española de Normalización y Certificación).
- Gran Bretaña: BSI (British Standards Institution).
- Alemania: DIN (Deutsches Institut für Normung).
- EE. UU.: ANSI (American National Standards Institute) y el NIST (National Institute of Standards and Technology).
- China: SAC (Standardization Administration of China).
4. ¿Qué son los Common Criteria y el ISO 15408?
Son normas y productos de seguridad. El estándar ISO 15408 establece una base técnica comprensible, común y flexible que describe los requisitos de seguridad de productos de las TI (Perfil de Protección y Declaración de Seguridad; Catálogo de Requisitos Funcionales de Seguridad). Además, evalúa las características de seguridad de productos TI (Catálogo de Requisitos de Garantía) y se define como un estándar certificable.
5. ¿Qué es el ciclo PDCA?
PDCA son las siglas en inglés del conocido como ciclo de Deming: Plan-Do-Check-Act (Planificar-Hacer-Verificar-Actuar).
6. ¿Qué conlleva una metodología de análisis de riesgos?
Conlleva de forma implícita la ejecución de los siguientes procesos fundamentales:
- Una identificación e inventario de activos.
- Una reflexión sobre el posible catálogo de amenazas que pueden afectar a los mismos.
- La medición de su impacto y la probabilidad de ocurrencia.
- Una recomendación final sobre las salvaguardas más apropiadas para minimizar el riesgo identificado.