1

Código de Buenas Prácticas para la Gestión de la Seguridad de la Información.

Cuestionario
Objetivos

Este cuestionario tiene como objetivo conocer la situación actual de la Institución en cuanto a las actividades llevadas a cabo referido a la Seguridad de
Información.

Contenido

El presente cuestionario comprende los siguientes aspectos:

3. Política de Seguridad
• 3.1. Política de seguridad de la información
4. Aspectos organizativos para la Seguridad
• 4.1 Estructura para la seguridad de la información
• 4.2 Seguridad en los accesos de terceras partes
• 4.3 Outsourcing
5. Clasificación y control de activos
• 5.1 Responsabilidad sobre los activos
• 5.2 Clasificación de la información
6. Seguridad ligada al personal
• 6.1 Seguridad en la definición del trabajo y los recursos
• 6.2 Formación de usuarios
• 6.3 Respuesta ante incidencias y malos funcionamientos de la seguridad
7. Seguridad física y del entorno
• 7.1 Areas Seguras
• 7.2 Seguridad de los equipos
• 7.3 Controles generales
8. Gestión de comunicaciones y operaciones
• 8.1 Procedimientos y responsabilidades de operación.
• 8.2 Planificación y aceptación del sistema.
• 8.3 Protección contra software malicioso.
• 8.4 Gestión interna de respaldo y recuperación.
• 8.5 Gestión de redes.
• 8.6 Utilización y seguridad de los medios de información.
• 8.7 Intercambio de información y software.
9. Control de accesos
• 9.1 Requisitos de negocio para el control de accesos
• 9.2 Gestión de acceso de usuarios

1
 2

• 9.3 Responsabilidades de los usuarios

• 9.4 Control de acceso a la red
• 9.5 Control de acceso al sistema operativo
• 9.6 Control de acceso a las aplicaciones
• 9.7 Seguimiento de accesos y usos del sistema
• 9.8 Informática móvil y teletrabajo
10. Desarrollo y Mantenimiento de Sistemas
• 10.1 Requisitos de seguridad de los sistemas
• 10.2 Seguridad de las aplicaciones del sistema
• 10.3 Controles criptográficos
• 10.4 Seguridad de los archivos del sistema
• 10.5 Seguridad en los procesos de desarrollo y soporte
11. Gestión de Continuidad del Negocio
• 11.1 Aspectos de la gestión de continuidad del negocio
12. Cumplimiento

El presente documento está compuesto por una matriz con dos columnas:

1. La primera “Mejores Prácticas Recomendadas”, pregunta aspectos que nuestra Firma guarda en relación a la seguridad de la información.
2. La segunda “Estado del Cliente y Observaciones”, es la información/actividades con las que actualmente la Institución cuenta o ha elaborado; asimismo,
el estado de la misma, esto es, si se encuentra formalizada o en estado de formalización.

2
 3

MEJORES PRACTICAS RECOMENDADAS ESTADO DEL CLIENTE Y OBSERVACIONES

13. GESTIÓN DE UN INCIDENTE EN LA SEGURIDAD DE LA INFORMACIÓN

13.1 REPORTE DE LOS EVENTOS Y DEBILIDADES DE LA SEGURIDAD DE LA INFORMACIÓN

¿Existen canales debidamente identificados y de conocimiento general
para el reporte de de los diversos eventos que ponen en riesgo la
seguridad de la información? Explique en qué consisten estos.
¿En qué consiste el procedimiento formal para el reporte de
eventualidades en la seguridad de la información? ¿El personal
involucrado conoce de la existencia de este procedimiento?
¿Existe un lugar o un medio debidamente identificado al cual se puede
recurrir para reportar los eventos? ¿Este medio se encuentra disponible
cada vez que se le necesita y además brinda el servicio de manera
adecuada? Fundamente su respuesta.
?¿Considera que el procedimiento es el adecuado?. Fundamente
¿Son conscientes las personas del grado de responsabilidad que implica
el reportar los diversos eventos que pueden poner en riesgo la seguridad
de la información? Fundamente su respuesta.

13.2 REPORTE DE LAS DEBILIDADES DE LA SEGURIDAD DE LA INFORMACIÓN

¿Se han recibido reportes de los usuarios de los sistemas y servicios

sobre debilidades encontradas? Mencione cual es la más frecuente.

¿El personal tiene conocimiento de que al detectar alguna debilidad en la

seguridad de la información, debe de reportar a la autoridad de manera
inmediata?

¿El mecanismo de reportar con el que se cuenta es accesible y está

disponible a todo al personal?

3
 4

MEJORES PRACTICAS RECOMENDADAS ESTADO DEL CLIENTE Y OBSERVACIONES

13. GESTIÓN DE UN INCIDENTE EN LA SEGURIDAD DE LA INFORMACIÓN

¿Algún otro departamento participa o contribuye en el desarrollo de la

política o de su mantenimiento? ¿Cómo contribuyen estos
departamentos?

¿Qué responsabilidades de seguridad están definidas en la política de

seguridad?
¿Cómo son mantenidos y actualizadas dichas responsabilidades?