Metodologia prima
Descargar como PPTX, PDF0 recomendaciones2,373 vistas
La metodología PRIMA se utiliza para clasificar la información y obtener los procedimientos de control. Define diferentes niveles de jerarquía de información como estratégica, restringida, de uso interno y de uso general. Sus pasos incluyen identificar la información, definir propietarios e inventariar activos, definir la matriz de clasificación y desarrollar el plan de acciones. Otras metodologías discutidas incluyen MARION, RISCKPAC, CRAMM y sus enfoques cuantitativos y cualitativos para el anális
Metodologia prima
- 1. METODOLOGIA PRIMADIANA BUITRAGO DIANA CHAVEZLICETH CORREALIZETH CELISGENNY GOMEZ
- 2. INTRODUCCIÓN A LAS METODOLOGÍASSeguridad de los Sistemas de Información: es la doctrina que trata de los riesgos informáticos o creados por la informática. La informática crea unos riesgos informáticos de los que hay que proteger y preservar a la entidad con un entramado de contramedidas, y la calidad y la eficacia de las mismas. Para explicar este aspecto diremos que cualquier contramedida nace de la composición de varios factores expresados en el siguiente grafico:
- 3. METODOLOGIA PRIMAEs una metodología de clasificación de la información y de obtención de los procedimientos de control.PRIMA define:Estratégica (información muy restringida, muy confidencial, vital para la subsistencia de la empresa).Restringida ( a los propietarios de la información).De uso interno (a todos los empleados).De uso general (sin restricción)
- 4. PASOS DE LA METODOLOGIA PRIMAIdentificación de la informaciónInventario de entidades de información residentes y operativas. Inventario de programas, ficheros de datos, soportes de información.Identificación de propietarios. Son los que necesitan para su trabajo, usan o custodian la información.Definición de jerarquías de información. Suelen ser cuatro.Definición de la matriz de clasificación. Consiste en definir las políticas, estándares por tipos y jerarquías de información.
- 5. Confección de la matriz de clasificación. Se relaciona cada entidad de información con los elementos que se correlacionan (transacción, ficheros, soportes, propietarios, jerarquía)Realización del plan de acciones. Se confecciona el plan de acciones.Implantación y mantenimiento. Se implanta el plan de acciones y se mantiene actualizado.
- 6. INTRODUCCIÓN A LAS METODOLOGÍASNORMATIVA, debe definir todo lo que debe existir y ser cumplido tanto desde el punto de vista conceptual, cómo práctico.ORGANIZACIÓN, es la que integran personas con funciones específicas y con actuaciones concretas; éste es el aspecto más importante, dado que in él, nada es posible.METODOLOGÍAS, son necesarias para desarrollar cualquier proyecto que nos propongamos de manera ordenada y eficaz. NORMASORGANIZACIONMETODOLOGÍA OBJETIVOS DE CONTROLPROCESAMIENTOTECNOLOGIAS DE SEGURIDADHERRAMIENTAS DE CONTROL
- 7. CONCEPTOS FUNDAMENTALESTodos estos riesgos podemos:Evitarlos no construir un centro donde hay peligro constante de inundaciones.Transferirlos uso de un centro de calculo contratado.Reducirlos sistema de detección y extinción de incendios.Asumirlos que es lo que hacemos si no se controla el riesgo en absoluto.
- 8. TIPOS DE METODOLOGIASMetodologías CuantitativasBasadas en un modelo matemático numérico que ayuda a la realización de trabajo.
- 9. Metodologías Cualitativas/SubjetivasBasadas en métodos estadísticos y raciocinio humano. Precisan de la involucración de un profesional experimentado. Pero requieren menos recursos humanos que las metodologías cuantitativas.
- 10. Plan de Seguridad: es una estrategia planificada de acciones y productos que lleven a un sistemas de información y sus centros de proceso de una situación inicial determinada a una situación mejorada. en el siguiente grafico se observará la tendencia actual en la organización de la seguridad de sistemas en la empresa. Organización Interna de la Seguridad Informática
- 11. Sistema de control interno informáticoCualquier actividad o acción realizada manual y/o automáticamente para prevenir, corregir errores o irregularidades que puedan afectar al funcionamiento de un sistema para conseguir sus objetivos.
- 12. Clasificación de los objetivos de los controles informáticosPreventivos: para tratar de evitar el hecho, como un software de seguridad que impida los accesos no autorizados al sistema.Detectivos: cuando fallan los preventivos para tratar de conocer cuanto antes el evento. Por ejemplo, el registro de intentos de acceso no autorizados, el registro de la actividad diaria para detectar errores u omisiones, etc.Correctivos: facilitan la vuelta a la normalidad cuando se han producido incidencias. Por ejemplo, la recuperación de un fichero dañado a partir de las copias de seguridad.
- 13. Implantación de un sistema de controles internos informáticosLos controles pueden implantarse a varios niveles diferentes. La evaluación de los controles de la Tecnología de la Información exige analizar diversos elementos interdependientes. Por ello es importante llegar a conocer bien la configuración del sistema, con el objeto de identificar los elemntos, productos y herramientas que existen para saber donde pueden implantarse controles, asi como para identificar posibles riesgos.
- 14. PRIMA(PREVENCIÓN DE RIESGOS INFORMÁTICOS CON METODOLOGÍA ABIERTA) Características esenciales.Cubrir las necesidades de los profesionales que desarrollan cada uno de los proyectos necesarios de un plan de seguridadFácilmente adaptable a cualquier tipo de herramientaPosee cuestionarios de preguntas para la identificación de debilidades o faltas de controlesPosee listas de ayuda para los usuarios menos experimentados de debilidades, riesgos y contramedidasPermite fácilmente la generación de informes finalesLas listas de ayuda y los cuestionarios son abiertos
- 15. OBEJETIVOS DE CONTROL: son los objetivos a cumplir en el control de procesos , este es el segundo más importante.PROCESAMIENTO: son los procedimientos operativos de las distintas áreas de la empresa, la tendencia habitual de los informáticos es la de dar más peso a las herramientas que al control o contramedida, pero no debemos olvidar que: “UNA HERRAMIENTA NUNCA ES UNA SOLUCION SINO UNA AYUDA PARA CONSEGUIR UN CONTROL MEJOR”
- 16. TECNOLOGÍAS DE SEGURIDAD: es donde están todos los elementos ya sean Hardware o software, que ayudan a controlar un riesgo informático.LAS HERRAMIENTAS DE CONTROL: son elementos software que permiten definir uno o varios procedimientos de control para cumplir una normativa y un objetivo de control
- 17. METODOLOGIAS MAS COMUNESLas metodologías más comunes de evaluación de sistemas que podemos encontrar son de análisis de riesgos y de diagnósticos de seguridad, las de plan de contingencias, y las de auditoría de controles generales.
- 19. MARION Método cuantitativo que se basa en esperanzas matemáticas y no en probabilidades. Está documentado en dos libros franceses. Hay dos productos: MARION AP+ y MARION RSX.
- 20. MARION AP+Utiliza cuestionarios y parámetros correlacionados enfocados a la representación gráfica de las distintas soluciones de contramedidas en cada uno de los factores.
- 21. RISCKPACMetodología cualitativa / Subjetiva, estructurada en tres niveles:Entorno / Procesador / Aplicación
- 22. CRAMMDesarrollado entre 1985 y 1987 por BIS Y CCTAMetodología cualitativa y permite hacer análisis.
- 23. PRIMAPrevención de Riesgos Informáticos con Metodología AbiertaCubrir las necesidades / Plan de seguridad
- 24. Fácil adaptación a cualquier tipo de herramienta
- 25. Cuestionarios que faciliten identificar las debilidades o faltas.