Diseño de un sistema de gestión de seguridad de la información basado en la norma NTP ISO/IEC 27001:2014 para el control de monitoreo del RENIEC, 2019

Abstract

Este proyecto de estudio contiene el designio de elaborar un SGSI, para el centro de control de monitoreo del RENIEC, cuya problemática fue no disponer de normativas de acceso a los medios informáticos, libre acceso al ambiente de monitoreo, espacio y dispositivos desprotegidos, inadecuado cableado, políticas de backup y por último falta de registro de control de las incidencias. Por ello el objetivo es diseñar un SGSI establecido en la Norma NTP ISO/IEC 27001:2014 para el Control de Monitoreo del RENIEC, que permita conservar la disponibilidad, confidencialidad e integridad basado en los catorce dominios y sus controles respectivos. Por consiguiente, se empleó la norma como procedimiento de implementación, también la metodología MAGERIT V.3 para el estudio del riesgo, la cual consistió en tres etapas: La primera etapa es del contexto organizativo, que identificó las brechas de controles y la seguridad actual, la segunda etapa que refiere a la gestión del riesgo, que identificó su aplicabilidad y no aplicabilidad de los controles, por último la etapa de implementación, que alcanzó los entregables con las tareas planteadas. Los resultados alcanzados determinaron que la implementación del SGSI influye de manera positiva en el proceso de Control de Monitoreo del RENIEC, puesto que permitieron identificar las brechas de seguridad, la disposición de implementar políticas de SI, llevar un registro de la documentación y técnicas formales. Asimismo, se concluyó que el análisis de Riesgos permitió tomar como inicio la valoración de activos según su nivel de seguridad, de manera que se identificaron las amenazas y vulnerabilidades, que dio como resultado los escenarios de riegos como ataques internos y externos, robo, accesos no autorizados, errores y omisiones, para lo cual se debe apoyar con las actividades de los controles implementados.

This study project contains the design of preparing an ISMS for the RENIEC monitoring control center, whose problem was not having access regulations to computer media, free access to the monitoring environment, unprotected space and devices, inadequate wiring. , backup policies and lastly, lack of incident control records. Therefore, the objective is to design an ISMS established in the NTP ISO / IEC 27001: 2014 Standard for the Monitoring Control of RENIEC, which allows to preserve the availability, confidentiality and integrity based on the fourteen domains and their respective controls. Therefore, the standard was used as an implementation procedure, as well as the MAGERIT V.3 methodology for the study of risk, which consisted of three stages: The first stage is the organizational context, which identified the control gaps and current security, the second stage that refers to risk management, which identified its applicability and non-applicability of the controls, and finally the implementation stage, which reached the deliverables with the tasks set. The results achieved determined that the implementation of the ISMS has a positive influence on the RENIEC Monitoring Control process, since they allowed the identification of security gaps, thewillingness to implement IS policies, keep a record of documentation and formal techniques. Likewise, it was concluded that the Risk analysis allowed to start the valuation of assets according to their security level, so that threats and vulnerabilities were identified, which resulted in risk scenarios such as internal and external attacks, theft, access unauthorized, errors and omissions, for which it must be supported with the activities of the implemented controls.