Auditoría de gestión de seguridad informática, en entidades públicas y privadas en Loja

Abstract

RESUMEN

Este documento exhibe información sobre normas, estándares y metodologías, utilizados para la gestión de seguridad de un Data Center y Red LAN. Para este trabajo se utilizó el estándar ANSI/TIA/EIA 942 y la norma ISO/IEC 27002, con metodología MAGERIT. Además, se desarrolló un cuadro comparativo, en donde se expone las ventajas y características que ofrece cada una, lo cual permite llegar a la conclusión del por qué aplicarlas. A continuación, se presenta el análisis y evaluación de los riesgos a los que está expuesto el Data Center y la red LAN de entidades públicas y privadas de la ciudad de Loja. La información se obtuvo mediante la aplicación de cuestionarios, entrevistas y formularios a cada persona responsable de las direcciones y subdirecciones tecnológicas, recabando información sobre 19 secciones tales como redes, servidores, etc., las mismas que se especificarán más adelante en el documento. Al finalizar el desarrollo del estudio, se realizó la socialización de los resultados obtenidos con las entidades auditadas, permitiendo con ello validar la evaluación y comunicar los resultados que se obtuvieron, como por ejemplo, la solución para la mitigación de los riesgos asociados a los activos de información, que son propiedad de dichas entidades.

Palabras clave: Activo informático, auditoría informática, gestion de riesgos, seguridades, ISO/IEC 27002, MAGERIT.

ABSTRACT

This paper presents the available information on norms, standards and methodologies used for the management of a Data Center and the security of LAN networks. A comparative table, depicting the advantages and features that each of them offers was developed, and the conclusions that encourage to apply them were formulated. To achieve this, we applied the 942 ANSI/TIA/EIA and ISO/IEC 27002 standards, and the MAGERIT methodology. The manuscript presents thereafter the analysis and evaluation of the risks the Data Center and the LAN networks of public and private entities from the city of Loja are exposed. The information thereto was obtained via the application of questionnaires, interviews and forms to each person responsible for the branches and sections of these institutions. The authors worked with a total of 19 sections. The obtained results were socialized with the audited entities allowing the validation and communication of the results, and the improvement of the mitigation of the risks associated with the information assets that are owned by surveyed entities.

Keywords: Computer asset, computer audit, risk management, securities, ISO/IEC 27002, MAGERIT.