Universidad Politécnica de Madrid Escuela Técnica Superior de Ingenieros de Telecomunicación PLANIFICACIÓN DE UN SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN PARA SU APLICACIÓN EN LA OPERACIÓN DEL SISTEMA NACIONAL DE FINANZAS PÚBLICAS DEL ECUADOR TRABAJO FIN DE MÁSTER Rolando Coello Neacato 2015 Universidad Politécnica de Madrid Escuela Técnica Superior de Ingenieros de Telecomunicación Máster Universitario en Ingeniería de Redes y Servicios Telemáticos TRABAJO FIN DE MÁSTER PLANIFICACIÓN DE UN SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN PARA SU APLICACIÓN EN LA OPERACIÓN DEL SISTEMA NACIONAL DE FINANZAS PÚBLICAS DEL ECUADOR Autor Rolando Coello Neacato Director Victor A. Villagra Departamento de Ingeniería de Sistemas Telemáticos 2015 Resumen El presente Trabajo de Fin de Máster plantea el estudio del Esquema Gubernamental Ecuatoriano de Gestión de Seguridad de la Información (EGSI), basado en los estándares internacionales ISO/IEC 27000, y su aplicabilidad en la operación del Sistema Nacional de Finanzas Públicas del Ecuador (SINFIP). El estudio se enfoca en la planificación de un Sistema de Gestión de Seguridad de la Información SGSI, que incluye lo establecido en el EGSI, para su aplicación en la Dirección Nacional de Operaciones de los Sistemas de Finanzas Públicas del Ministerio de Finanzas del Ecuador. La planificación incluye la definición del alcance del SGSI, políticas generales de seguridad, análisis y evaluación de riesgos aplicados a los activos gestionados por la Dirección en mención, y finalmente la selección de los objetivos de control y controles aplicables, tomados estos últimos del anexo A de la norma ISO/IEC 27001:2013 y del Anexo 1 del documento del EGSI. Finalmente se propone un proceso a seguir para la implementación de objetivos de control y controles, y sus respectivos procesos específicos, al interno del Ministerio de Finanzas del Ecuador. i Abstract This Final Master Project consists on studying the Ecuadorian Governmental Schema for Managing Information Security (EGSI), based on international standard ISO/IEC 27000, and its applicability in the operation of The National System of Public Finance of Ecuador (SINFIP). The study focuses on planning an Information Security Management System ISMS, including the EGSI guidelines, for applying on the National Direction of Operating National System of Public Finance, belonging this Direction to the Finance Ministry of Ecuador. The planning includes defining the ISMS scope, general security policies, risk analysis and assessment applied to the assets managed for the aforementioned Direction, and finally, selecting the control objectives and controls from the ISO/IEC 27001:2013 Annex A and EGSI Annex 1. Finally, the study propose a process to implement control objectives, controls and their respective specific processes, inside the Finance Ministry of Ecuador. iii Índice general 1 Introducción .................................................................................................................... 1 1.1 Objetivos propuestos ............................................................................................. 2 1.2 Ámbito de estudio .................................................................................................. 2 1.3 Estructura del documento ..................................................................................... 2 2 Descripción de la Entidad Pública de estudio ............................................................ 4 2.1 Gestión de innovación de las finanzas públicas ................................................ 4 2.2 Escenario del caso de estudio ............................................................................... 6 2.2.1 Infraestructura de TI ...................................................................................... 8 2.2.2 Redes, Comunicaciones y Seguridades ....................................................... 9 2.2.3 Bases de Datos .............................................................................................. 10 2.3 Sistema Nacional de Finanzas Públicas del Ecuador (SINFIP) ...................... 11 3 Estándar Internacional ISO/IEC 27000 ..................................................................... 13 3.1 Sistema de Gestión de Seguridad de la Información....................................... 13 3.1.1 Definición de Seguridad de la Información .............................................. 14 3.1.2 Sistema de Gestión de Seguridad de la Información............................... 14 3.2 ISO/IEC 27001:2013, Aspectos fundamentales ................................................ 16 3.2.1 Alcance ........................................................................................................... 16 3.2.2 Contexto de la organización ....................................................................... 16 3.2.3 Liderazgo ....................................................................................................... 17 3.2.4 Planificación .................................................................................................. 18 4 Esquema Gubernamental de Seguridad de la Información EGSI ......................... 21 5 Planificación del SGSI .................................................................................................. 24 5.1 Alcance del SGSI ................................................................................................... 24 5.2 Definición de la política de seguridad ............................................................... 24 5.3 Metodología de Evaluación de Riesgos ............................................................ 25 5.4 Establecimiento del contexto .............................................................................. 27 5.4.1 Determinación de activos y amenazas ...................................................... 28 5.5 Identificación de riesgos ...................................................................................... 38 5.6 Análisis de riesgos ................................................................................................ 38 v 5.7 Evaluación de riesgos .......................................................................................... 51 5.8 Selección de los objetivos de control y controles ............................................. 53 5.8.1 Gestión de Comunicaciones y Operaciones ............................................. 53 5.8.2 Control de Acceso......................................................................................... 67 5.8.3 Gestión de la Continuidad del Negocio .................................................... 78 5.9 Declaración de Aplicabilidad ............................................................................. 82 6 Proceso para implementación de un objetivo de control........................................ 83 7 Conclusiones ................................................................................................................. 87 8 Bibliografía .................................................................................................................... 90 vi Índice de figuras Figura 1. Estructura orgánica funcional del Ministerio de Finanzas ............................. 6 Figura 2. Estructura funcional de la Dirección Nacional de Operaciones de los Sistemas de Finanzas Públicas .................................................................................................. 8 Figura 3. Infraestructura tecnológica de centro de datos, aprovisionamiento de recursos de TI y respaldos ......................................................................................................... 9 Figura 4. Infraestructura tecnológica de redes, comunicaciones y seguridades de red ..................................................................................................................................................... 10 Figura 5. Sistema de Bases de Datos (Cluster) ................................................................ 10 Figura 6. Interfaz web aplicativo web eSigef .................................................................. 11 Figura 7. Interfaz web aplicativo web SPRYN ................................................................ 12 Figura 8. Interfaz web aplicativo web eByE .................................................................... 12 Figura 9. Estructura de la norma ISO/IEC 27000 ........................................................... 20 Figura 10. Fundamentos de la metodología de evaluación de riesgos ........................ 26 Figura 11. Etapas de la metodología de evaluación de riesgos .................................... 26 Figura 12. Arquitectura tecnológica de los servicios y aplicativos web del Ministerio de Finanzas ................................................................................................................................ 28 Figura 13. Gestión del Cambio .......................................................................................... 54 Figura 14. Distribución de Funciones ............................................................................... 55 Figura 15. Separación de las instancias de Desarrollo, Pruebas, Capacitación y Producción................................................................................................................................. 56 Figura 16. Controles contra código malicioso ................................................................. 57 Figura 17. Controles contra códigos móviles .................................................................. 58 Figura 18. Controles de las redes ...................................................................................... 58 Figura 19. Seguridad de los servicios de la red ............................................................... 59 Figura 20. Mensajería Electrónica ..................................................................................... 60 Figura 21. Políticas y Procedimientos para el intercambio de información ................ 61 Figura 22. Acuerdos para el intercambio ......................................................................... 62 Figura 23. Transacciones en línea ..................................................................................... 63 Figura 24. Registro de auditorías ...................................................................................... 64 Figura 25. Monitoreo de uso del sistema ......................................................................... 65 Figura 26. Protección del registro de la información ..................................................... 66 Figura 27. Registros del administrador y del operador ................................................. 66 Figura 28. Gestión de privilegios ...................................................................................... 67 Figura 29. Gestión de contraseñas para usuarios ........................................................... 68 Figura 30. Revisión de los derechos de acceso de los usuarios .................................... 68 Figura 31. Uso de contraseñas ........................................................................................... 69 Figura 32. Equipo de usuario desatendido ...................................................................... 70 vii