1

APLICACIN NORMA ISO-27005 PROCESO GESTION FINANCIERA

JONATHAN ALEXANDER SANDOVAL ORTEGA CODIGO: 1150125

CONSTANTINO CELIS PEARANDA CODIGO: 1150307

UNIVERSIDAD FRANCISCO DE PAULA SANTANDER

INGENIERIA DE SISTEMAS

SAN JOSE DE CUCUTA

II SEMESTRE 2013

2

APLICACIN NORMA ISO-27005 PROCESO GESTION FINANCIERA

JONATHAN ALEXANDER SANDOVAL ORTEGA CODIGO: 1150125

CONSTANTINO CELIS PEARANDA CODIGO: 1150307

PROFESOR:

JEAN POLO CEQUEDA OLAGO

ASIGNATURA:

SEGURIDAD INFORMATICA

UNIVERSIDAD FRANCISCO DE PAULA SANTANDER

INGENIERIA DE SISTEMAS

SAN JOSE DE CUCUTA

II SEMESTRE 2013

3

INTRODUCCIN

ISO 27005: Publicada el 4 de Junio de 2008. Establece las directrices para

la gestin del riesgo en la seguridad de la informacin. Apoya los conceptos

generales especificados en la norma ISO/IEC 27001 y est diseada para

ayudar a la aplicacin satisfactoria de la seguridad de la informacin basada

en un enfoque de gestin de riesgos. El conocimiento de los conceptos,

modelos, procesos y trminos descritos en la norma ISO/IEC 27001 e

ISO/IEC 27002 es importante para un completo entendimiento de la norma

ISO/IEC 27005:2008, que es aplicable a todo tipo de organizaciones (por

ejemplo, empresas comerciales, agencias gubernamentales, organizaciones

sin fines de lucro) que tienen la intencin de gestionar los riesgos que

puedan comprometer la organizacin de la seguridad de la informacin. Su

publicacin revisa y retira las normas ISO/IEC TR 13335-3:1998 y ISO/IEC

TR 13335-4:2000.

La gestin del riesgo en la seguridad de la informacin debe ser un proceso

continuo. Tal proceso debera establecer el contexto, evaluar los riesgos,

tratar los riesgos utilizando un plan de tratamiento para implementar las

recomendaciones y decisiones. La gestin del riesgo analiza lo que puede

suceder y cules pueden ser las posibles consecuencias, antes de decidir lo

que se debera hacer y cuando hacerlo, con el fin de reducir el riesgo hasta

un nivel aceptable.

La gestin del riesgo en la seguridad de la informacin debera contribuir a:

- la identificacin de los riesgos;

- La evaluacin de los riesgos en trminos de sus consecuencias para

el negocio y la probabilidad de su ocurrencia;

- La comunicacin y entendimiento de la probabilidad y las

consecuencias de estos riesgos ;

- El establecimiento del orden de prioridad para el tratamiento de los

riesgos;

- La priorizacin de las acciones para reducir la ocurrencia de los

riesgos;

- La participacin de los interesados cuando se toman las decisiones

sobre gestin del riesgo y mantenerlos informados sobre el estado de

la gestin del riesgo;

4

- La eficacia del monitoreo del tratamiento del riesgo;

- El monitoreo y revisin con regularidad del riesgo y los procesos de

gestin de riesgos Definicin de riesgos

Riesgo se puede definir como aquella eventualidad que imposibilita el

cumplimiento de un objetivo. De manera cuantitativa el riesgo es una medida de

las posibilidades de incumplimiento o exceso el objetivo planteado. As definido,

un riesgo conlleva dos tipos de consecuencias: ganancias o prdidas.

En lo relacionado con tecnologa, generalmente el riesgo se plantea

solamente como amenaza, determinando el grado de exposicin a la

ocurrencia de una prdida (por ejemplo el riesgo de perder datos debido a

rotura de disco, virus informticos, etc.).

La Organizacin Internacional por la Normalizacin (ISO) define riesgo

tecnolgico (Guas para la gestin de la seguridad de TI /TEC TR 13335-1, 1996)

como: La probabilidad de que una amenaza se materialice, utilizando

vulnerabilidad existentes de un activo o un grupo de activos, generndole perdidas

o daos.

En la definicin anterior se pueden identificar varios elementos que se

deben comprender adecuadamente para, por ende, comprender

integralmente el concepto de riesgo manejado. Estos elementos son:

probabilidad, amenazas, vulnerabilidades, activos e impactos.

En materializacin de normas ISO-27005 se contempla el anlisis de

riesgos de la siguiente manera

5

ESTABLECIMIENTO DEL CONTEXTO

En la que el establecimiento del contexto representa un concepto que define

un proceso estratgico en la Universidad Francisco de Paula Santander

este tipo de enfoque iterativo suministra un buen equilibrio entre la

reduccin del tiempo y el esfuerzo requerido para identificar los controles,

incluso garantizando que los riesgos altos se valoren de manera correcta.

6

Como se puede establecer el proceso estratgico enmarcado en la

Universidad Francisco de Paula Santander es la GESTIN FINANCIERA

siendo un proceso de apoyo y como principal objetivo tiene la de

Administrar los recursos financieros de la Universidad Francisco de Paula

Santander bajo las normas legales vigentes, con polticas y lineamientos

estratgicos de la Institucin con criterios de eficiencia, eficacia y

efectividad.

En un SGSI, el establecimiento del contexto, la valoracin del riesgo, el

desarrollo del plan de tratamiento del riesgo y la aceptacin del riesgo son

parte de la fase de "planificar".

En la fase de "hacer" del SGSI, se implementan las acciones y los controles

que son necesarios para reducir el riesgo hasta un nivel aceptable, de

acuerdo con el plan de tratamiento del riesgo. En la fase de "verificar" del

SGSI, los directores determinarn la necesidad de revisiones de las

valoraciones y del tratamiento del riesgo a la luz de los incidentes y los

cambios en las circunstancias.

En la fase de "actuar", se llevan a cabo todas las acciones que son

necesarias, incluyendo la aplicacin adicional del proceso de gestin del

riesgo en la seguridad de la informacin.

A continuacin se presentan cada una de las actividades de planear, hacer,

verificar y actuar

7

C. ACTIVIDADES DEL PROCESO ( Planear, Hacer, Verificar, Actuar )

7. Emisor 8. Entradas

9.

Actividades (

P_H_V_A )

10. Salidas

(Productos

o

Resultados)

11. Receptor

Presupuesto

Direccionamiento

Estratgico

Criterios para

elaboracin

de presupuesto

P: Elaborar el

Presupuesto

Presupuesto

elaborado

Direccionamie nto

Estratgico y

CSU

Direccionamiento

Estratgico

Presupuesto

elaborado

P: Aprobar el

Presupuesto por el

Consejo Superior

Presupuesto

aprobado

Gestin

Financiera

Gestin Financiera Presupuesto

aprobado

H: Configurar los mdulos de

informacin

financiera para las

vigencias

Ejecucin del

Presupuesto

Gestin

Financiera

(Unidad de

Presupuesto)

Direccionamiento

Estratgico y

Gestin Financiera

Necesidades de

Ejecucin del

Presupuesto

H: Modificar el

Presupuesto

aprobado

Resoluciones

de

Adiccin o

Traslados

Gestin

Financiera

8

Todos los

procesos

Solicitudes de

necesidades

de inversin,

funcionamiento

y gastos

generales

H: Recepcionar y Registrar

transacciones

Financieras que afecten el

presupuesto y caja.

Notas y

Certificados

Presupuestal

es

Gestin

Financiera

Gestin Financiera

Notas,

Certificados

Presupuestales y

Requisitos

H: Trmite y pago del

compromiso

Pago del

compromiso

Comunidad

Acadmica

y

Usuarios

Externos

Gestin Financiera

Estados

Financieros y

Ejecuciones

Presupuestales

H: Preparar

Informes,

Financieros y

Presupuestales

Informes

Financieros y

Presupuestal

es

Direccionamie nto

Estratgico,

CSU y Entes

Externos

Gestin Financiera Informe de

Cartera

H: Realizar Gestin

Recaudo de

Cartera

Comprobant es de Ingresos o

Documento

de Cobro

Gestin

Jurdica ,

Control

Disciplinario y Gestin

Financiera

9

Gestin Financiera Formato

de Encuesta

V: Encuesta

Satisfaccin del

Cliente

(Comunidad

Acadmica y

Externos)

Encuesta

analizada y

diligenciada

Gestin

Financiera

Gestin Financiera Calendario

Administrativo

P: Plan elaboracin

de informes

Cronograma de

Actividades

Gestin

Financiera

Direccionamiento

Estratgico Presupuesto

P: Plan anual de

caja

Ejecucin del

PAC

Gestin

Financiera

Gestin Financiera Convenios

en general

P: Plan de relaciones con

Entidades

Financieras y

Cooperativas.

Acuerdos con

Entidades

Financieras

Entidades

Financieras

Entidades

Financieras y

Personal Docente

y Administrativo

Solicitud y Oferta de

Libranzas

H: Trmite de

Libranzas

Aprobacin y

Convenio

de Pago de

la Libranza

Entidades

Financieras y

Personal

Docente y

Administrativo

10

Gestin Financiera Extractos

Bancarios

H: Elaborar

Conciliaciones

Bancarias

Comprobant es de

Ingresos y

Egresos,

Notas Dbito

y Crdito

Gestin

Financiera

Comunidad

Acadmica y

Usuarios Externos

Quejas y/o

Reclamos

V: Recepcin de quejas y chequeo de

ejecucin de

trmite

Respuesta

Comunidad

Acadmica

y

Usuarios

Externos

Gestin

Financiera, Entes de Control y

Direccionamiento

Estratgico

Normatividad

vigente

P: Planear calendario de

rendicin de

informes peridicos

Cronograma de

Actividades

Gestin

Financiera

Gestin Financiera Documentos

Financieros

H: Recepcionar, analizar y

consolidar la

informacin de los

diferentes procesos para producir

estados financieros e informes

Informes

Todos los

Procesos

Entes de

Control,

Entidades

Gubernament

11

contables y

tributarios

ales y

Comunidad

Acadmica

Entes Externos e

Internos

Normatividad

vigente.

H: Actualizacin de informacin o

normas que se

identifican en el

desarrollo de las

actividades.

Actualizacin de

Calendarios y

Procedimient

os

Gestin

Financiera

Entes de Control y

Gestin de las

TICS

Pgina Web y

Sistema de Informacin

Financiera

V: Chequeo de la informacin

registrada en los

diferentes sistemas

de informacin

internos y externos.

Inconsistenci as o

listado de

verificacin

de errores

Gestin

Financiera

12

Identificacin de activos

Un activo es todo aquello que tiene valor para la organizacin y que, por lo tanto, requiere de proteccin. Para la identificacin de los activos se recomienda tener en cuenta que el sistema de informacin consta de ms elementos que slo hardware y software. La identificacin de los activos se debera llevar a cabo con un nivel adecuado de detalle, que proporcione informacin suficiente para la valoracin del riesgo. El nivel de detalle utilizado en la identificacin de los activos tendr influencia en la cantidad total de informacin recolectada durante la valoracin del riesgo. Este nivel se puede mejorar en iteraciones posteriores de la valoracin del riesgo.

Se debera identificar al propietario de cada activo, para asignarle la responsabilidad y rendicin de cuentas sobre ste. El propietario del activo puede no tener derechos de propiedad sobre el activo, pero tiene la responsabilidad de su produccin, desarrollo, mantenimiento, uso y seguridad, segn corresponda.

El propietario del activo con frecuencia es la persona ms idnea para determinar el valor que el activo tiene para la organizacin

E. RECURSOS

13. Tecnolgicos 14. Fsicos 15. Humanos

Recurso Condicin Recurso Condicin Cargo

Equipo de

cmputo

Veinte (20)

computadores

Tipo oficina.

Elementos y

Equipos de

Oficina

Excelente

estado

Vicerrector

Administrativo

Sofware:

Sistema

Integral de

Informacin

Procesadores de

palabra, hojas

electrnicas,

presentaciones.

Papelera Con

los

requerimiento

s tcnicos de

ley

Jefe de Contabilidad

13

Planta

Telefnica

Doce (12)

extensiones

Aires

Acondiciona

dos

Individuales

por

dependencias

Jefe de Presupuesto

Scanner Cinco (5)

oficio y carta

Tesorero

Impresoras Cinco (5)

impresoras lser

carta y oficio.

Cinco (5)

impresoras de

tabloide

Auxiliares

Capacitados

Valoracin de riesgos en la seguridad de la Informacin

Un riesgo es una combinacin de las consecuencias que se presentaran

despus de la ocurrencia de un evento indeseado y de su probabilidad de

ocurrencia. La valoracin del riesgo cuantifica o describe cualitativamente el

riesgo y permite priorizar los riesgos de acuerdo con su gravedad percibida

u otros criterios establecidos.

Anlisis del riesgo

Identificacin del riesgo

La identificacin de los siguientes riesgos basados en el proceso de

seguimiento a gestin financiera se basan en los riesgos de la gestin de la

calidad pues su desarrollo y plan de ejecucin del mismo tienen respaldo en

la parte financiera hacindoles ser un trabajo conjunto en el anlisis de

riesgos y la toma de decisiones para la implementacin de medidas

respectivas en aseguramiento de la informacin.

14

Mapa de riesgos

Riesgos y causas Controles

N

CAUSAS (Factores Internos y

Externos, Agente

Generador)

RIESGO Descripcin Preven

tivo Correctivo

1

No existen respaldos

de la documentacin

actualizada

Prdida o sustraccin de la

informacin

(documentacin)

Realizar y custodiar los

respaldos en el servidor

institucional y

disear una

plataforma para el

montaje

de la

documentacin

del

Sistema de

Gestin de

Calidad y el

acceso de toda la

comunidad

universitaria

X

Cadas del sistema

que dificulten el

acceso a la

informacin

No hay un plataforma

tecnolgica de implementacin y

documentacin del

sistema

2

Cultura de Calidad

debil en la Institucin

Falta de tica y Cultura de la

Calidad dentro

de la institucin

Realizar auditorias de revisin y

anlisis de los indicadores propios del Sistema de Gestin de

Calidad y

ejecucin de los

X

Baja apropiacin del

proceso

15

Bajo sentido de pertenencia frente a los procesos del Sistema de Gestin de Calidad de la

Universidad

planes de

mejoramiento

3

Asignacin de Recursos para el

proyecto de

implementacin

del sistema

insuficientes Planeacin

inadecuada de

los recursos de

la

Universidad

Seguimiento a las necesidades

planteadas desde la oficina de

Planeacin para la ejecucin de

Proyectos relacionados al

Sistema de

Gestin de

Calidad

X

Priorizacin en la asignacin de

recursos a otros proyectos de

menor importancia o

impacto

Poco personal asignado trabajando

en el rea de

Gestin de Calidad

4

Cambio de legislacin o normatividad regulatoria

del Sistema de

Gestin de

Calidad en la

Institucin

Incumplimiento de planes y

proyectos de obligatorio

cumplimiento y

vigilancia por

entes del estado

Seguimiento a los planes y proyectos

operativos de la

Oficina de

Planeacin

X

16

Cierres de la Institucin no

planeados debido a

problemas de tipo

social

(huelgas, paros,

etc.) o ambiental

(terremotos,

inundaciones, etc.)

Diseo del sistema

de

Gestin de Calidad

desactualizado

5

No existen respaldos

de la documentacin

actualizada

Prdida o sustraccin de la

informacin (documentacin)

Realizar y custodiar los respaldos en el

servidor

institucional y

disear una

plataforma para el

montaje

de la

documentacin del

Sistema de Gestin

de Calidad y el

acceso de toda la

comunidad

universitaria

X

Cadas del sistema

que dificulten el

acceso a la

informacin

No hay un plataforma tecnolgica de

implementacin y

documentacin del

sistema

6

Cultura de Calidad

debil en la Institucin

Falta de tica y

Cultura de la

Realizar auditorias

de revisin y

anlisis de los

X

17

Baja apropiacin del

proceso

Calidad dentro

de la institucin

indicadores propios del Sistema de

Gestin de

Calidad y ejecucin

de los planes de

mejoramiento

Bajo sentido de pertenencia frente a

los

procesos del Sistema

de

Gestin de Calidad de

la Universidad

7

Asignacin de Recursos para el

proyecto de implementacin del

sistema

insuficientes

Planeacin inadecuada de

los recursos de

la

Universidad

Seguimiento a las necesidades

planteadas desde la oficina de

Planeacin para la ejecucin de

Proyectos relacionados al

Sistema de Gestin

de Calidad

X

Priorizacin en la asignacin de

recursos a

otros proyectos de

menor importancia o

impacto

Poco personal asignado trabajando

en el rea de Gestin de Calidad

8

Cambio de legislacin o normatividad

regulatoria

del Sistema de

Gestin de

Calidad en la

Institucin

Incumplimiento de planes y

proyectos de obligatorio

cumplimiento y

vigilancia por

entes del estado

Seguimiento a los planes y proyectos

operativos de la

Oficina de

Planeacin

X

18

Cierres de la Institucin no

planeados debido a

problemas de tipo

social

(huelgas, paros, etc.)

o ambiental

(terremotos,

inundaciones, etc.)

Diseo del sistema de

Gestin de Calidad

desactualizado

Identificacin de las amenazas

Una amenaza tiene el potencial de causar daos a activos tales como

informacin, procesos y sistemas y, por lo tanto, a las organizaciones. Las

amenazas pueden ser de origen natural o humano y podran ser

accidentales o deliberadas. Es recomendable identificar tanto los orgenes

de las amenazas accidentales como de las deliberadas. Una amenaza

puede tener su origen dentro o fuera de la organizacin. Las amenazas se

deberan identificar genricamente y por tipo (por ejemplo, acciones no

autorizadas, dao fsico, fallas tcnicas) y, cuando sea adecuado, las

amenazas individuales dentro de la clase genrica identificada. Esto

significa que ninguna amenaza se pasa por alto, incluidas las inesperadas,

pero teniendo en cuenta que el volumen de trabajo requerido es limitado.

19

AMENAZAS (FACTOR EXTERNO) DEBILIDADES (FACTOR INTERNO)

Cambio de legislacin o normatividad

regulatoria del Sistema de Gestin de Calidad

en la Institucin

No existen backups de la documentacin

actualizada

Priorizacin en la asignacin de recursos a

otros proyectos de menor importancia o impacto

Poco personal asignado trabajando en el

rea de Gestin de Calidad

Asignacin de Recursos para el proyecto de

implementacin del sistema insuficientes

No hay un plataforma tecnolgica de

implementacin y documentacin del

sistema

Cultura de Calidad dbil en la Institucin Diseo del sistema de Gestin de Calidad

desactualizado

Cierres de la Institucin no planeados debido a

problemas de tipo social (huelgas, paros, etc.) o

ambiental (terremotos, inundaciones, etc.)

Baja apropiacin del proceso

Cadas del sistema que dificulten el acceso a la

informacin

Bajo sentido de pertenencia frente a los

procesos del Sistema de Gestin de Calidad de

la Universidad

CONTROL DE RIESGOS (POLITICAS)

- Realizar jornadas de capacitacin al personal administrativo de la universidad

sobre el SGSI y medidas a tomar para proteger la informacin.

- Administrar el acceso al sistema de informacin financiero.

- Las claves de accesos son personales e intransferibles, cualquier manipulacin

extra oficial u anormal ser sancionada a la persona que tenga a nombre dicha

cuenta.

20

- Asegurar los documentos que se relacionen con el proceso financiero ya que son

bastante delicados y no todo el personal debe tener acceso a ellos.

- Restringir los sitios de navegacin a los que pueden acceder los funcionarios, es

decir, que estos solo ingresen a sitios que no sean de distraccin o filtrado de

informacin (Facebook, Messenger, Video Chatetc.).

- Generar la cultura a los funcionarios adscritos a la Oficina, para que se mantenga

la reserva confidencial del Sistema de Informacin financiero.