Servicio Especializado de ISS S.A.

El propósito de la consultoría es identificar los riesgos de la seguridad en el ambiente informático, analizando la estrategia existente, en las áreas críticas para la seguridad de la información, identificando el personal, los procesos, los recursos y las tecnologías ideales para fomentar una buena planificación de seguridad y recomendar acciones para mitigar los riesgos identificados, en función a las buenas prácticas y normas internacionales.

El Alcance

Evaluación del estado de seguridad en el área de Tecnología de la Información, divididas en cuatro categorías, las siguientes tablas ofrecen la lista de las áreas que son incluidas en la evaluación de los riesgos a la seguridad:

Infraestructura

• Defensa del Perímetro La defensa del perímetro trata de la defensa de los límites de la red, allí donde su red interna se conecta al mundo exterior. Esta constituye su primera línea de defensa contra los intrusos.
  
• Autentificación Los procedimientos de autentificación rigurosos para los usuarios, administradores, y usuarios remotos ayudan a prevenir a que extraños ganen acceso autorizado a la red por medio de ataques locales o remotos.
  
• Gestión y Control La gestión, control y registros adecuados resultan críticos para el mantenimiento y el análisis de los entornos TI. Estas herramientas son más importantes luego de que el ataque haya ocurrido y un análisis de incidentes sea solicitado.
  
• Terminales La seguridad de las terminales individuales son un factor crítico en la defensa de cualquier entorno, especialmente cuando el acceso remoto es permitido. Las terminales tienen protecciones para resistir ataques comunes.
  

Aplicaciones

• Implementación y uso Cuando las aplicaciones críticas comerciales son desplegadas, la producción, la seguridad y la disponibilidad de dichas aplicaciones y los servidores alojados deben ser protegidos. El mantenimiento continuo es esencial para ayudar a asegurar el bloqueo a virus y que las nuevas vulnerabilidades no sean introducidas al entorno.
  
• Diseño de la Aplicación El diseño que no cuente con los mecanismos adecuados de seguridad como la autentificación, la autorización y la validación de los datos puede permitir a los atacantes explotar las vulnerabilidades de la seguridad y, por lo tanto, ganar acceso a información delicada.
• Las metodologías de desarrollo de aplicaciones seguras son clave para asegurar las aplicaciones desarrolladas contractadas y abordan los modelos de amenaza a la seguridad que pueden dejar una organización abierta a estas explotaciones de vulnerabilidades.
• La integridad y la confidencialidad de los datos constituyen la mayor preocupación de cualquier negocio. La pérdida o robo de datos puede impactar en las rentas de la organización y en su reputación en forma negativa. Resulta importante entender como las aplicaciones manejan los datos críticos del negocio y como los datos son protegidos.
  

Operaciones

• Entorno La seguridad de una organización depende de los procedimientos, los procesos y las orientaciones operativas que son aplicadas al entorno. Contribuyen a la seguridad de una organización al incluir mucho más que meras defensas tecnológicas. La documentación precisa del entorno y la orientación resulta crítica para la habilidad del equipo en cuestión para gobernar, brindar soporte y mantener la seguridad del entorno.
  
• Política de Seguridad La política de seguridad corporativa se refiere al conjunto de políticas y orientaciones individuales que existen para administrar la seguridad y hacer un uso apropiado de la tecnología y los procesos dentro de la organización. Esta área cubre políticas que abordan todos los tipos de seguridad: en relación al usuario, el sistema y los datos.
  
• Soporte y Recuperación El soporte y recuperación de datos es esencial para el mantenimiento de la continuidad del negocio frente a un problema o falla del hardware o software. La falta de soporte apropiado y de procedimientos de recuperación puede llevar a una falta de datos y productividad de importancia. La reputación de la compañía y la marca pueden estar en peligro.
  
• Gestión de Ajustes, Parches y Actualizaciones Una buena gestión de ajustes y actualizaciones resulta importante para ayudar a la seguridad del entorno TI de su organización. La aplicación a tiempo de los ajustes y la actualización del mismo resultan necesarias para ayudar a protegerlo contra vulnerabilidades conocidas y explotables.
  

La Gente

• Requisitos y Evaluaciones Los requisitos de seguridad deben ser entendidos por todos aquellos que toman decisiones para que sus decisiones técnicas y comerciales realcen la seguridad más que entren en conflicto con el. La evaluación regular por parte de un tercero puede ayudar a que la compañía revise, evalué, e identifique las áreas plausibles de mejora.
  
• Políticas y Procedimientos Los procedimientos claros y prácticos para la administración de las relaciones con los proveedores y socios pueden ayudar a proteger la compañía de la exposición a riesgos. Los procedimientos que cubren la contracción y desvinculación de los empleados pueden ayudar a proteger la compañía contra los empleados inescrupulosos o que se han visto contrariados.
  
• Entrenamiento y Concientización Los empleados deben ser entrenados y concientizados en lo que concierne a las políticas de seguridad y como la seguridad se aplica a las actividades laborales de a diario para no exponer a la compañía a riesgos mayores e inadvertidos.

Entregables

Como conclusión de la consultoría, será entregado un documento final en formato electrónico y/o impreso, detallando la situación actual, los riesgos identificados, la madurez de la seguridad, una tarjeta de resultados (con leyendas sencillas: O cumple con las buenas practicas, O necesita mejorar, O carencias severas), en muchos casos acompañados de gráficos, para facilitar la interpretación.

También de detalla una lista de acciones con prioridades (alta, media y baja) para mitigar o eliminar las falencias, en función a las buenas prácticas de la Seguridad de la Información.

Duración y Equipo de Trabajo

Este servicio de consultoría tendrá una duración aproximada de 15 días, divididas en dos etapas: dedicadas a tareas de relevamiento in situ (dentro del Gran Asunción) y otra destinada a la interpretación, análisis de la información y la elaboración del informe final.

Nuestra empresa designará un Líder de Proyecto que será responsable de la coordinación, adhesión a las órdenes de trabajo, administración de los acuerdos legales relacionados con las órdenes de trabajo, asignaciones de responsabilidades del personal involucrado, etc. También es responsable de mantener informado a la Organización del avance del proyecto.

Detalle de la Inversión

La inversión requerida para acceder a esta consultoria queda fijada en U$s. 1.500 (Dólares un mil quinientos).

Formas de Pago:
• 50% con la confirmación del servicio.
• 50% restante contra la entrega del Informe Final.

Confidencialidad: todas las condiciones de la presente propuesta y los datos relevados durante el servicio serán mantenidos en forma confidencial tanto por parte de I.S.S. como de la Organización.