Implementación de una política de gestión para el control y monitoreo de accesos de aplicaciones utilizando ITIL v4.0 en una empresa de servicios de tecnología en Lima, Perú

Abstract

La divulgación de información sensible es un incidente de seguridad que ocasiona la pérdida de credibilidad e interrupción de procesos de negocio al permitir que las personas sin consentimiento accedan a las aplicaciones y sistemas que resguardan información. Por eso, el presente trabajo propone diseñar una política utilizando ITIL v4.0, cuyos lineamientos permitan controlar y monitorear los accesos para asegurar el cumplimiento de directrices de seguridad corporativa y obligaciones contractuales con los clientes. A partir de los controles, procesos y documentos de seguridad existentes en la empresa se estableció la base lógica de los lineamientos para impedir que ocurran riesgos de exposición o perdida de información sensible. Luego, se identificaron los procesos que debían actualizarse para cumplir con los lineamientos propuestos para reducir los incidentes de seguridad. Posteriormente, se corroboro que exista una necesidad de negocio vigente para los accesos otorgados mediante un proceso revalidación periódica de accesos. Finalmente, los resultados mostraron que se atendieron 322 requerimientos por rotación de personal, una reducción mayor al 50% en el tiempo promedio de resolución desde el cuarto trimestre del 2020 hasta el 2023 y la validación de 42,350 accesos otorgados a personal vigente en los sistemas y aplicaciones. En conclusión, se implementó exitosamente una política que controle y monitoree los accesos.

The disclosure of sensitive information is a security incident that causes loss of credibility and interruption of business processes by allowing people to access applications and systems that safeguard information without consent. Therefore, this paper proposes to design a policy using ITIL v4.0, whose guidelines allow control and monitoring of access to ensure compliance with corporate security guidelines and contractual obligations with customers. Based on the company's existing security controls, processes and documents, the logical basis of the guidelines was established to prevent the risk of exposure or loss of sensitive information. Then, the processes that needed to be updated to comply with the proposed guidelines to reduce security incidents were identified. Subsequently, it was corroborated that there is a current business need for the accesses granted through a periodic access revalidation process. Finally, the results showed that 322 requests for personnel turnover were addressed, a reduction of more than 50% in the average resolution time from the fourth quarter of 2020 to 2023, and the validation of 42,350 accesses granted to current personnel in the systems and applications. In conclusion, a policy to control and monitor access was successfully implemented.