Guía de gestión de incidentes de seguridad de la información para la oficina de tecnología de la información y la comunicación-OTIC del ministerio de salud y protección social, tomando como base la norma ISO 27001:2013

Abstract

El aumento constante de las tecnologías de la información en el mundo acarrea incertidumbre y nuevos riesgos en seguridad de la información. Estos riesgos al materializarse se convierten en incidentes de seguridad de la información que afectan principalmente la confidencialidad, integridad y disponibilidad de los activos de información valiosos para las organizaciones, generando pérdidas a nivel económico, operacional y de imagen.

Actualmente en Colombia, el Ministerio de las Tecnologías de la Información y las Comunicaciones - MINTIC lidera la estrategia de Gobierno en Línea, entidad que da lineamientos para la seguridad y privacidad de la información e indica los aspectos más relevantes para la planeación, implementación, mantenimiento y mejora de un Sistema de Gestión de Seguridad de la Información. Esto requiere la definición e implementación de un proceso de gestión de incidentes como se indica en el anexo A, dominio A.16 de la norma NTC-ISO/IEC 27001:2013.

Para lograr el mejoramiento continuo de la seguridad de la información en una entidad es fundamental establecer la metodología de gestión de riesgos, la cual debe comprender una identificación, análisis, evaluación y tratamiento de los riesgos en seguridad de la información presentes en la entidad y por otra parte, el proceso de gestión de los incidentes de seguridad de la información, que le permita estar preparada para responder ante la presencia de uno o varios incidentes de seguridad que comprometan la continuidad de sus procesos vitales.

Este trabajo se centra en la definición de una metodología de gestión de riesgos basada en diferentes normas y estándares y en la creación de una guía de gestión de incidentes de seguridad de la información para la oficina de Tecnología de Información y la Comunicación – OTIC del Ministerio de Salud y Protección Social, la cual permitirá mejorar los tiempos de respuesta y la eficacia de la atención de los incidentes que se presenten en la entidad. La guía está alineada con los requisitos sugeridos en la norma NTC-ISO/IEC 27001:2013, los siete (7) controles del dominio A.16 descritos en su anexo A. Adicionalmente se proveen las recomendaciones finales relacionadas con los controles descritos en el referido anexo A.