Search

Durante el desarrollo de este proyecto, se ha realizado el desarrollo y la implementación de un Sistema de Gestión de la Seguridad de la Información en un ecommerce, siguiendo las directrices de la metodología MAGERIT y los requisitos establecidos por la normativa ISO 27000. Se han llevado a cabo diversas etapas, como la creación del catálogo de activos, la identificación de amenazas, la gestión de riesgos y la evaluación de salvaguardas. En este informe se describen los procesos realizados y se destacan los programas y planes de seguridad desarrollados para asegurar el correcto funcionamiento del Sistema de Información del ecommerce. Se han obtenido evidencias de éxito que demuestran la eficacia de las medidas implementadas, fortaleciendo la protección de los activos críticos y previniendo posibles amenazas. El resultado final es un Sistema de Gestión de la Seguridad de la Información sólido y eficiente, que garantiza la confidencialidad, integridad y disponibilidad de la información en el ecommerce. Se ha logrado generar conciencia sobre la importancia de la seguridad de la información entre el personal y se han establecido procedimientos y controles para asegurar su cumplimiento. El resultado es un ecommerce seguro y confiable, que protege los datos de la empresa y brinda confianza a los clientes.

El Treball de Final de Màster està contextualitzat en l'àrea de Sistemes de Gestió de Seguretat de la Informació, el qual consisteix precisament a implementar un Sistema de Gestió de Seguretat de la Informació (SGSI) a una organització que basa la seva activitat de negoci amb la gestió hotelera, basant-nos en la norma ISO/IEC 27001:2013 i el seu annex, ISO/IEC 27002. En concret, hem definit l'abast del Pla Director de Seguretat (PDS) en l'oficina central de la divisió hotelera seleccionada, on es vol protegir els següents processos de negoci: procés de venda, la informació dels clients, la informació confidencial de l'empresa i el software de la gestió hotelera. El treball està orientat a establir les bases del PDS implementat per un SGSI des del seu inici, realitzant una anàlisi de la situació actual, definir la política de seguretat de l'empresa, revisar la gestió de rols i responsabilitats, elaborar una anàlisi de riscos juntament amb la declaració d'aplicabilitat, realitzar un inventari d'actius de l'organització, analitzar les possibles amenaces i el seu impacte i probabilitat, descriure propostes de projectes de millora i finalment amb tota aquesta informació, realitzar l'auditoria de compliment de la ISO/IEC 27001:2013. Un cop finalitzat el treball i haver duit a terme l'execució d'aquest projecte, podem dir que s'han millorat certs aspectes de la Seguretat de la Informació de l'organització, tot i que no s'ha arribat al nivell desitjat que shhavia proposat podem dir que s'han assolit els objectius d'aquest PDS. The Master's Thesis is contextualised in Information Security Management Systems, which consists precisely in implementing an Information Security Management System (ISMS) in an organisation that bases its business activity with hotel management, based on ISO / IEC 27001: 2013 and its annexe, ISO / IEC 27002. Specifically, we have defined the scope of the Security Master Plan (PDS) in the central office of the selected hotel division, where you want to protect the following business processes: sales process, customer information, confidential company information and hotel management software. The work is aimed at establishing the basis of the PDS implemented by an ISMS since its inception, conducting a first analysis of the current situation, defining the company's security policy, reviewing the management of roles and responsibilities, and developing an analysis of risks together with the declaration of applicability, make an inventory of the organisation's assets, analyse possible threats and their impact and probability, describe proposals for improvement projects and finally with all this information, perform the compliance audit of ISO / IEC 27001: 2013. Once has been completed and this project has been carried out, we can say that certain aspects of the organization's Information Security have been improved. Although the desired level has not been reached, we can say that this PDS has been successfully completed. El Trabajo de Final de Máster está contextualizado en el área de Sistemas de Gestión de Seguridad de la Información, el cual consiste precisamente a implementar un Sistema de Gestión de Seguridad de la Información (SGSI) a una organización que basa su actividad de negocio con la gestión hotelera, basándonos en la norma ISO/IEC 27001:2013 y su anexo, ISO/IEC 27002. En concreto, hemos definido el alcance del Plan Director de Seguridad (PDS) en la oficina central de la división hotelera seleccionada, donde se quiere proteger los siguientes procesos de negocio: proceso de venta, la información de los clientes, la información confidencial de la empresa y el software de la gestión hotelera. El trabajo está orientado a establecer las bases del PDS implementado por un SGSI desde su inicio, realizando un análisis de la situación actual, definir la política de seguridad de la empresa, revisar la gestión de roles y responsabilidades, elaborar un análisis de riesgos junto con la declaración de aplicabilidad, realizar un inventario de activos de la organización, analizar las posibles amenazas y su impacto y probabilidad, describir propuestas de proyectos de mejora y finalmente con toda esta información, realizar l¿auditoría de cumplimiento de la ISO/IEC 27001:2013. Una vez finalizada el trabajo y haber duit a término la ejecución de este proyecto, podemos decir que se han mejorado ciertos aspectos de la Seguridad de la Información de la organización, a pesar de que no se ha llegado al nivel deseado que se havia propuesto podemos decir que se han logrado los objetivos de este PDS.

El informe realizado está basado a la línea de investigación en Tecnologías de Información y Comunicación (TIC) de la Escuela de Ingeniería de Sistemas de la Universidad Católica Los Ángeles de Chimbote, cuyo título es “GESTIÓN DEL SISTEMA DE SEGURIDAD DE INFORMACIÓN BAJO EL ENFOQUE DE ISO 27001 EN LA MUNICIPALIDAD PROVINCIAL DE TUMBES; 2016.”, el cual tuvo por objetivo mostrar un modelo de Seguridad Informática basándose en la norma ISO 27001. En el presente proyecto, se tomaran en cuenta los aspectos más importantes de la norma ISO 27001, a partir de los cuales se buscará poder desarrollar un modelo de seguridad de la información para que pueda ser empleado por una empresa u organización, lo cual permitirá que estas cumplan con las normas de regulación vigentes en lo que respecta a seguridad de información. Para esto, se utilizarán estándares reconocidos mundialmente para poder evaluar la calidad de seguridad de información del Sistema de Gestión de Seguridad de Información (SGSI).

Este Trabajo Fin de Máster ofrece una visión de la norma ISO/IEC 27004:2016 con el propósito de hacerla más cercana, más visible y que mediante su ¿descubrimiento¿ y apoyándose en ella, las organizaciones puedan adquirir un mejor dominio de su SGSI dado que la implementación de su doctrina proporciona herramientas que identifican las fortalezas y flaquezas, permitiendo en consecuencia, determinar el rendimiento, la eficacia. Otro aspecto que se persigue es el empleo de herramientas de inteligencia empresarial para, a través de estas, construir cuadros de mando que faciliten una mejor comprensión del estado de la seguridad de la información en la organización y derivado de esta ¿iluminación¿, enfocar los objetivos en la dirección correcta y en consonancia con la mejora continua y por tanto con un escalado en el nivel de madurez. This Master's Thesis offers a vision of the ISO/IEC 27004:2016 standard with the purpose of making it closer, more visible and that through its "discovery" and relying on it, organizations can acquire a better command of their ISMS given that the implementation of its doctrine provides tools that identify the strengths and weaknesses, consequently allowing to determine the performance, the effectiveness. Another aspect that is pursued is the use of business intelligence tools to, through these, build dashboards that facilitate a better understanding of the state of information security in the organization and derived from this "enlightenment", focus the objectives in the right direction and in line with continuous improvement and therefore with an escalation in the level of maturity. Aquest Treball Fi de Màster ofereix una visió de la norma ISO/IEC 27004:2016 amb el propòsit de fer-la més propera, més visible i que mitjançant el seu "descobriment" i recolzant-s'hi, les organitzacions puguin adquirir un millor domini del seu SGSI atès que la implementació de la seva doctrina proporciona eines que identifiquen les fortaleses i flaqueses, permetent en conseqüència, determinar el rendiment, l' eficàcia. Un altre aspecte que es persegueix és l'ús d'eines d'intel·ligència empresarial per, a través d'aquestes, construir quadres de comandament que facilitin una millor comprensió de l'estat de la seguretat de la informació en l'organització i derivat d'aquesta "il·luminació", enfocar els objectius en la direcció correcta i en consonància amb la millora contínua i per tant amb un escalat en el nivell de maduresa.

El presente trabajo tiene como finalidad plasmar el Plan de Adecuación de una Organización cuyo sistema de información a adecuar está categorizado en nivel medio. Para ello, se contextualiza la normativa aplicable y los cambios más actuales, se continúa realizando una Plan de Implantación del Esquema Nacional de Seguridad presentando como Anexos a este documento todos los entregables que recibiría dicha Organización si se tratase de un caso real (desde la recogida de datos, análisis de riesgos, declaración de aplicabilidad, hasta la normativa redactada que posteriormente tendría que implantar dicho organismo). Como metodología para llevar a cabo este trabajo, se ha escogido un método práctico de exposición por el cual se narra la teoría y se expone a modo de ejemplo cada documento en formato Anexo. The purpose of this work is to capture the Adaptation Plan of an Organization whose information system to be adapted is categorized at the medium level. To that end, the applicable regulations and the most current changes are contextualized, a Plan for the Implementation of the National Security Scheme continues to be carried out, presenting as Annexes to this document all the deliverables that said Organization would receive if it is a real case (from the collection of data, risk analysis, declaration of applicability, up to the drafted regulations that said body will have to implement later). As a methodology to carry out this work, a practical exposition method has been chosen by which the theory is narrated and each document is presented as an example in Annex format. El presente trabajo tiene como finalidad plasmar el Plan de Adecuación de una Organización cuyo sistema de información a adecuar está categorizado en nivel medio. Para ello, se contextualiza la normativa aplicable y los cambios más actuales, se continúa realizando una Plan de Implantación del Esquema Nacional de Seguridad presentando como Anexos a este documento todos los entregables que recibiría dicha Organización si se tratase de un caso real (desde la recogida de datos, análisis de riesgos, declaración de aplicabilidad, hasta la normativa redactada que posteriormente tendría que implantar dicho organismo). Como metodología para llevar a cabo este trabajo, se ha escogido un método práctico de exposición por el cual se narra la teoría y se expone a modo de ejemplo cada documento en formato Anexo.

El presente proyecto tiene por objetivo definir y desarrollar un plan de implementación de la ISO/IEC 27001:2013 en un sistema informático que pertenece a una empresa del sector de la aviación. The present project aims to define and develop an implementation plan for ISO/IEC 27001:2013 in an IT system belonging to a company in the aviation sector. El present projecte té per objectiu definir i desenvolupar un pla d'implementació de l'ISO/IEC 27001:2013 en un sistema informàtic que pertany a una empresa del sector de l'aviació.

The main function of the financial institution is to offer its services for the placement of cards, loans, etc., to the clients who request it in its different establishments. Given this, it was identified that there are activities in the bank that are generating mishandling of information by staff towards customers, which is causing claims from them due to inconsistency of the data that results in the disaffiliation of their services. For this reason, a proposal for an information security plan was developed in the processes and areas of Ripley bank, with the objective of increasing the reliability of its data, achieving the three principles for an ISMS such as availability, integrity and confidentiality. . To achieve this objective, the ISO / IEC 27001 and 27002 standards were selected to apply the controls of the information security plan proposal in the Ripley bank, being clearly established those responsible and the information that is handled in each of the processes and areas. As a result, the scope of the plan was carried out, as well as defining the policies, risk management analysis, priority was given to the management of information by areas, in addition, the bank's assets were analyzed where the reliability of the data is guaranteed, then the defined the plan applying the controls of ISO / IEC 27002. It was concluded to define the indicators to evaluate the information security plan proposal to increase the reliability of its data., La entidad financiera tiene como función principal ofrecer sus servicios de colocación de tarjetas, préstamos, etc., hacia los clientes que soliciten en sus diferentes establecimientos. Ante ello se identificó que en el banco existen actividades que están generando mal manejo de la información por parte del personal hacia los clientes lo cual está ocasionando reclamos de los mismos por inconsistencia de los datos que trae como consecuencia la desafiliación de sus servicios. Por ese motivo se desarrolló una propuesta de un plan de seguridad de la información en los procesos y áreas del banco Ripley, teniendo como objetivo el incremento de la fiabilidad de sus datos, logrando los tres principios para un SGSI como son disponibilidad, integridad y confidencialidad. Para lograr dicho objetivo se seleccionó las normas ISO/IEC 27001 y 27002 para aplicar los controles de la propuesta del plan de seguridad de la información en el banco Ripley, quedando claramente establecidos los responsables y la información que se maneja en cada una de los procesos y áreas. Como resultado se realizó el alcance del plan, así como definir las políticas, análisis de gestión de riesgos, se dio prioridad al manejo de la información por áreas, además se analizó los activos del banco donde se garantice la fiabilidad de los datos, luego se definió el plan aplicando los controles de la ISO/IEC 27002. Se concluyó en definir los indicadores para evaluar la propuesta del plan de seguridad de la información para incrementar la fiabilidad de sus datos.

La entidad financiera tiene como función principal ofrecer sus servicios de colocación de tarjetas, préstamos, etc., hacia los clientes que soliciten en sus diferentes establecimientos. Ante ello se identificó que en el banco existen actividades que están generando mal manejo de la información por parte del personal hacia los clientes lo cual está ocasionando reclamos de los mismos por inconsistencia de los datos que trae como consecuencia la desafiliación de sus servicios. Por ese motivo se desarrolló una propuesta de un plan de seguridad de la información en los procesos y áreas del banco Ripley, teniendo como objetivo el incremento de la fiabilidad de sus datos, logrando los tres principios para un SGSI como son disponibilidad, integridad y confidencialidad. Para lograr dicho objetivo se seleccionó las normas ISO/IEC 27001 y 27002 para aplicar los controles de la propuesta del plan de seguridad de la información en el banco Ripley, quedando claramente establecidos los responsables y la información que se maneja en cada una de los procesos y áreas. Como resultado se realizó el alcance del plan, así como definir las políticas, análisis de gestión de riesgos, se dio prioridad al manejo de la información por áreas, además se analizó los activos del banco donde se garantice la fiabilidad de los datos, luego se definió el plan aplicando los controles de la ISO/IEC 27002. Se concluyó en definir los indicadores para evaluar la propuesta del plan de seguridad de la información para incrementar la fiabilidad de sus datos.

Resumen: La información es considerada actualmente uno de los recursos más importantes en las organizaciones, no solo como insumo fundamental de los procesos, sino como recurso que adecuadamente gestionado permite delimitar estrategias organizacionales, lo que no ha sido ajeno en el sector público, en especial en lo que tiene que ver con su protección. El presente artículo tiene como objetivo presentar un caso de aplicación de la gestión de seguridad de la información en una entidad pública, utilizando para ello, previa revisión de la literatura, cuatro de los estándares internacionales de seguridad de la información (ISO/IEC 27001:2013, ISO/IEC 27002:2013, ISO/IEC 27003:2010 e ISO/IEC 27005:2008) y su contextualización en Colombia, a partir de las directrices establecidas por el Ministerio de Tecnologías de Información. Se obtuvo como resultado el desarrollo de una metodología ajustada a las necesidades de la entidad pública con parámetros e indicadores de gestión del riesgo y controles pertinentes para disminuir la incertidumbre en la gestión de la información. El aporte realizado por el presente trabajo está relacionado con la integración de estándares internacionales de seguridad de la información y su contextualización en un ámbito gubernamental, dando respuesta a requerimientos regulatorios y permitiendo una vez finalizada la implementación, contar con un desarrollo metodológico pertinente que le permite a la organización pública desarrollar de forma continuada los procesos de gestión de seguridad de la información. Abstract: Information is considered today one of the most important resources in organizations, not only as fundamental input of processes, but as a resource to properly run allows to define organizational strategies, what has not been outside in the public sector, especially in what it has to do with its protection. This article aims to present a case for the application of the management of information security in a public entity, using, prior review of the literature, four international information security standards) ISO/IEC 27001:2013, ISO/IEC 27002:2013, ISO/IEC 27003:2010 and ISO/IEC 27005:2008) and their contextualization in Colombia, from the guidelines laid down by the Ministry of information technologies. Resulted in the development of a methodology adjusted to the needs of the public entity with management of risk and controls relevant indicators and parameters to reduce the uncertainty in the management of information. The contributions made by this work is related to the integration of international standards of security of the information and their contextualization in a Government area, responding to regulatory requirements and allowing once After implementation, having a relevant methodological development that allows the public organization develop information security management processes continuously.

La gestión de la seguridad de la información es una apuesta inevitable en toda organización, tanto por la gestión interna del activo más importante, la información, que representa en términos de datos y conocimiento, como para responder a las disposiciones legales que para el caso de la protección de datos personales en Colombia se regulan mediante la Ley 1581. En este sentido, la presente investigación tiene como objetivo diseñar un Sistema de Gestión de la Seguridad de la Información basado en la Norma ISO 27001:2013 para El Departamento de Sistemas que cumpla con los requisitos que exige el gobierno colombiano a través de la Ley 1581 de 2012 para la protección de datos personales. Para ello se propone una investigación aplicada con enfoque tecnológico que se apoya del software Eramba Community para ofrecer una alternativa de implantación del sistema a bajo costo. Dentro de los resultados se encontró que el Departamento de Sistemas de la institución universitaria no daba cumplimiento a la Ley 1581, pese a sus esfuerzos por intentar sin suficiente rigor responder a ella desde procedimientos manuales, oportunidad que sirvió de punto de partida para proponer un SGSI automatizado para responder con el marco legal con apoyo de la Norma ISO 27001. Se concluye que la mirada sistémica incluida en integración de la Norma ISO 27001:2013 para dar respuesta a la Ley de protección de datos personales mediante un software libre resultó un procedimiento eficiente, ya que permitió el cumplimiento ágil de los procedimientos como es natural en toda tarea automatizada, sin exceder recursos presupuestales de la Universidad y mejora la seguridad de los procesos. LIMA Escuela de Posgrado Tecnología de información e innovación tecnológica

El presente proyecto incluye todas las fases de implantación de un SGSI, incluyendo las tareas, documentos, procedimientos y medias organizativas necesarias para cumplir con lo establecido por la norma. - Contextualización y situación actual de la organización. - Objetivos del SGSI. - Análisis de riesgos. Identificación y valoración de los activos. Identificación de amenazas, evaluación y clasificación. - Evaluación del nivel de cumplimiento de la ISO/IEC 27002:2013 - Proyectos a implantar para adecuar la gestión de la seguridad. - Esquema documental del SGSI. Information is one of the main assets that organizations currently have. For this reason, it must be duly protected, and its confidentiality, integrity and availability must be preserved. As well as safeguarding the systems and applications that deal with it. The ISO/IEC 27001: 2013 standard is a tool, which through its application aims to ensure that the organization reaches an adequate level of information security. It offers an initial vision of the state of the organization, its deficiencies and the necessary measures to correct these problems and the final situation after the implementation of the projects undertaken. It lays the foundations for the continuous improvement process and proposes the necessary actions to minimize the impact of potential risks. This project includes all the phases of implementation of an ISMS, including the tasks, documents, procedures and organizational means necessary to comply with the provisions of the standard. - Contextualization and current situation of the organization. - Objectives of the ISMS. - Risk analysis. Identification and valuation of assets. Threat identification, evaluation and classification. - Evaluation of the level of compliance with ISO/IEC 27002: 2013 - Projects to be implemented to adapt security management. - Documentary scheme of the SGSI. El present projecte inclou totes les fases d'implantació d'un SGSI, incloent les tasques, documents, procediments i mitjanes organitzatives necessàries per complir amb el que estableix la norma. - Contextualització i situació actual de l'organització. - Objectius de l'SGSI. - Anàlisi de riscos. Identificació i valoració dels actius. Identificació d'amenaces, avaluació i classificació. - Avaluació de l'nivell de compliment de la ISO / IEC 27002: 2013 - Projectes a implantar per adequar la gestió de la seguretat. - Esquema documental de l'SGSI.

El presente Trabajo Final de Master tiene como propósito presentar la implementación del Sistema de Gestión de la Seguridad de la Información de la empresa de servicios y soluciones informáticas EXPERTEC basado en la norma ISO/IEC 27001 y los controles del estándar ISO/IEC 27002 referente a las buenas prácticas. Para la implementación del SGSI se estableció diferentes etapas iniciando con un análisis DAFO para contextualizar y comprender la situación actual de la empresa en referencia al ámbito de la seguridad de la información, posterior se realizó un análisis diferencial de la empresa para evaluar la norma ISO/IEC 27001 y los controles de la norma ISO/IEC 27002 en su estado inicial; así mismo, se establecieron los documentos para el cumplimiento normativo de la implementación del SGSI. Por otra parte, se utilizó la metodología de análisis y gestión de riesgos MAGERIT para orientar a la empresa en la gestión de riesgos a los que está expuesta la empresa. Una vez definido el análisis y gestión de riesgos se establecieron propuestas de proyectos para implementar mejoras y medidas de control adecuadas que permitan mitigar los riesgos encontrados. Finalizando las etapas, se estableció un proceso de auditoría para analizar el nivel de capacidad de madurez en la que avanzo el SGSI después de implementar las propuestas de proyectos planteados junto con los resultados obtenidos. The purpose of this Master's Final Project is to present the implementation of the Information Security Management System of the IT services and solutions company EXPERTEC located in Colombia in the Department of Cauca in the city of Popayán, based on the ISO/IEC 27001 standard and the controls of the ISO/IEC 27002 standard referring to good practices. For the implementation of the ISMS, different stages were established, starting with a SWOT analysis to contextualize and understand the current situation of the company in reference to the field of information security, followed by a differential analysis of the company to evaluate the ISO/IEC 27001 standard and the controls of the ISO/IEC 27002 standard in its initial state; likewise, the documents for the regulatory compliance of the implementation of the ISMS were established. On the other hand, the MAGERIT risk analysis and management methodology was used to guide the company in managing the risks to which the company is exposed. Once the risk analysis and management was defined, project proposals were established to implement improvements and adequate control measures to mitigate the risks found. At the end of the stages, an audit process was established to analyze the level of maturity of the ISMS after implementing the project proposals and the results obtained. El present Treball Final de Màster té com a propòsit presentar la implementació de el Sistema de Gestió de la Seguretat de la Informació de l'empresa de serveis i solucions informàtiques EXPERTEC basat en la norma ISO / IEC 27001 i els controls de l'estàndard ISO / IEC 27002 referent a les bones pràctiques. Per a la implementació de l'SGSI es va establir diferents etapes iniciant amb una anàlisi DAFO per contextualitzar i comprendre la situació actual de l'empresa en referència a l'àmbit de la seguretat de la informació, posterior es va realitzar una anàlisi diferencial de l'empresa per avaluar la norma ISO / IEC 27001 i els controls de la norma ISO / IEC 27002 en el seu estat inicial; així mateix, es van establir els documents per al compliment normatiu de la implementació de l'SGSI. D'altra banda, es va utilitzar la metodologia d'anàlisi i gestió de riscos MAGERIT per orientar l'empresa en la gestió de riscos als quals està exposada l'empresa. Un cop definit l'anàlisi i gestió de riscos es van establir propostes de projectes per implementar millores i mesures de control adequades que permetin mitigar els riscos trobats. Finalitzant les etapes, es va establir un procés d'auditoria per analitzar el nivell de capacitat de maduresa en la qual avanço el SGSI després d'implementar les propostes de projectes plantejats juntament amb els resultats obtinguts.

Este documento tiene como finalidad principal proveer una guía metodológica que oriente al personal encargado de la gestión de la seguridad de la información de la Empresa Pública Aguas de Manta, conforme al despliegue completo de los procedimientos que debe seguir la organización con miras a establecer una gestión controlada y efectiva respecto a seguridad de Información. Su contexto encierra todo lo concerniente a la implantación de un modelo de gestión basado en las mejoras prácticas y controles anexos a la norma ISO 27001/IEC:2013 , en conjunto con la metodología de Análisis de Riesgos Magerit Versión 3.0 En síntesis este plan constituye la hoja de ruta que debe seguir la empresa para establecer controles, alcanzar metas y cumplir con indicadores que permitan conocer el estado de esta respecto a seguridad de la información, sin restarle importancia al despliegue de acciones que se deben ejecutar para mejorarla. Los resultados están a la vista, el análisis de riesgos y los proyectos propuestos en los siguientes capítulos son contundentes respecto a que la desatención de la seguridad de información. The main purpose of this document is to provide a methodological guide, to the personnel in charge of managing the information security of the "Aguas de Manta" Public Company, in accordance with the complete deployment of the procedures that the organization must follow in order to establish a management controlled and effective regarding information security. Aquest document té com a finalitat principal proveir una guia metodològica que orienti el personal encarregat de la gestió de la seguretat de la informació de l'Empresa Pública Aigües de Manta, d'acord amb el desplegament complet dels procediments que ha de seguir l'organització amb vista a establir una gestió controlada i efectiva respecte a seguretat d'Informació. El seu context tanca tot el concernent a la implantació d'un model de gestió basat en les millors pràctiques i controls annexos a la norma ISO 27001 / IEC: 2013, en conjunt amb la metodologia d'Anàlisi de Riscos Magerit Versió 3.0 En síntesi aquest pla constitueix la full de ruta que ha de seguir l'empresa per establir controls, aconseguir metes i complir amb indicadors que permetin conèixer l'estat d'aquesta respecte a seguretat de la informació, sense restar-li importància a el desplegament d'accions que s'han d'executar per millorar-la. Els resultats estan a la vista, l'anàlisi de riscos i els projectes proposats en els següents capítols són contundents respecte al fet que la desatenció de la seguretat d'informació.

En los años recientes, con la adaptación integral de la tecnología de la información, la seguridad de la información se ha convertido en un tema fundamental en la administración empresarial. Se han desarrollado varios estándares y pautas de seguridad y manejo de la información, como ISO / IEC 27001, ISO, COBIT, ITIL pero las empresas aún enfrentan obstáculos en el proceso de implementación. Este artículo presenta el estado actual del proceso de implementación de la norma ISO / IEC 27001 en las entidades y empresas de la gestión pública; con la finalidad de estudiar una empresa con un paradigma distinto a la comercialización de productos, se analizó el proceso de implementación de una empresa ubicada en Guayaquil dedicada a dar servicio de transporte naviero; Actualmente, existen muchas formas de implementar el Sistema de Gestión de Seguridad de la Información (SGSI) en pequeñas y medianas empresas basado en el Ciclo de mejora continua. Finalmente, Se propondrán algunos aspectos a considerar para implementar un SGSI en pymes. En este artículo, a través de una investigación cualitativa ha estudiado la forma en que las pymes enfrentan la seguridad de la información e identificar sus principales obstáculos al momento de implantar en la entidad un sistema de gestión de seguridad de la información (SGSI). In recent years, with the comprehensive adaptation of information technology (IT), ithe security of the information has become a fundamental issue in business management. Various information management, security standards and guidelines have been developed, such as ISO / IEC 27001, ISO, COBIT, ITIL but companies still face obstacles in the implementation process. This paper presents the current state of the implementation process of the ISO / IEC 27001 standard in public management entities and companies; In order to study a company with a paradigm other than the commercialization of products, the implementation process of a company located in Guayaquil dedicated to providing shipping service was analyzed; Currently, there are many ways to implement the Information Security Management System (ISMS) in small and medium-sized companies based on the Cycle of continuous improvement. Finally, some aspects to consider to implement an ISMS in SMEs will be proposed. In this article, through qualitative research, he has studied the way in which SMEs face information security and identify their main obstacles when implementing an information security management system (ISMS) in the entity.

El objetivo principal de este proyecto es diseñar el Sistema de Gestión de Seguridad de la Información para una compañía de software que explota un gestor de contenidos a través de servicios cloud de tipo plataforma como servicio o PaaS. Para desarrollar el SGSI, se utiliza la norma estándar para la seguridad de la información ISO 27001:2017, las prácticas para los controles de seguridad recogidos en la norma ISO 27002:2017 y los controles específicos para servicios en la nube recogidos en la norma ISO 27017:2021. Además, se lleva a cabo un completo análisis de riesgos siguiendo la Metodología de Análisis y Gestión de Riesgos de los sistemas de la Información MAGERIT. El proyecto trata de relacionar los conocimientos académicos adquiridos en diferentes asignaturas del máster en materia de seguridad de la información y cumplimiento normativo con el mundo real de la empresa actual donde gran parte de los servicios TI son contratados a través de proveedores cloud., The main goal of this project is designing the Information Security Management System for a service company that provides a CMS as a cloud solution based on a Platform as a Service model (PaaS). To develop the ISMS, the international standard on information security management ISO 27001:2017 is used as well as the practices for information security controls of the standard ISO 27002:2017 and specific controls for cloud services from the standard ISO 27017:2021. Furthermore, a thorough risk analysis is performed following the Risks Analysis and Management for Information Systems Methodology MAGERIT. The project aims to relate the academic knowledge acquired from this master studies in terms of information security and compliance to the real business world, in which currently IT services are widely hired to cloud service providers., Máster Universitario en Dirección de Proyectos Informáticos (M133)

El organismo ha sido pionero en la implementación de sistemas de información en la administración pública nacional (APN) de Argentina, contando con soporte informático para un alto porcentaje de sus procesos. Acorde con el impacto de los sistemas de información en el mismo, en el año 2003 se implementó el "Manual de normas y procedimientos de Seguridad Informática" siguiendo los lineamientos de ISO/IRAM 17799:2002, el cual por diversos motivos no fue actualizado hasta el año 2014. En ese año se inició la actualización de la política de seguridad que se encuentra vigente en el organismo de acuerdo a lo expresado por la Decisión Administrativa N° 669/2004 [1] de la Jefatura de Gabinete de Ministros que estableció la obligatoriedad para los organismos del Sector Público Nacional de dictar o bien adecuar sus políticas de seguridad de la información conforme a la "Política de Seguridad de la Información Modelo" dictada por la Oficina Nacional de Tecnologías de la Información (ONTI). La versión implementada en la actualidad en el organismo se corresponde con la aprobada mediante Disposición 3/2013 de ONTI. L'organisme ha estat pioner en la implementació de sistemes d'informació en l'administració pública nacional (APN) de l'Argentina, comptant amb suport informàtic per a un alt percentatge dels seus processos. D'acord amb l'impacte dels sistemes d'informació en aquest, l'any 2003 es va implementar el "Manual de normes i procediments de Seguretat Informàtica" seguint els lineamientos d'ISO/IRAM 17799:2002, el qual per diversos motius no va ser actualitzat fins a l'any 2014. En aquest any es va iniciar l'actualització de la política de seguretat que es troba vigent en l'organisme d'acord amb l'expressat per la Decisió Administrativa N° 669/2004 [1] de la Prefectura de Gabinet de Ministres que va establir l'obligatorietat per als organismes del Sector Públic Nacional de dictar o bé adequar les seves polítiques de seguretat de la informació conforme a la "Política de Seguretat de la Informació Model" dictada per l'Oficina Nacional de Tecnologies de la Informació (ONTI). La versió implementada en l'actualitat en l'organisme es correspon amb l'aprovada mitjançant Disposició 3/2013 de ONTI. The organisation has been a pioneer in the implementation of information systems in Argentina's national public administration (APN), with IT support for a high percentage of its processes. In line with the impact of information systems, in 2003 the "Information Security Standards and Procedures Manual" was implemented following the guidelines of ISO/IRAM 17799:2002, which for various reasons was not updated until 2014. was not updated until 2014. In 2014, the agency began updating its security policy in accordance with Administrative Decision No. 669/2004 [1] of the Office of the Chief of Cabinet of Ministers, which made it mandatory for National Public Sector agencies to issue or adapt their information security policies in accordance with the "Model Information Security Policy" issued by the National Office of Information Technology (ONTI). The version currently implemented in the agency corresponds to the one approved by means of ONTI Provision 3/2013.

Teniendo en cuenta la importancia de los requisitos de seguridad de la información en el desarrollo del plan estratégico de la empresa, se hace necesario implementar un Sistema de Gestión de Seguridad de la información basado en la gestión de riesgos con el fin de preservar la confidencialidad, integridad y disponibilidad de la información y los sistemas que la almacenan, transmiten y procesan. Con este fin, se define el Plan Director para la Implementación del Sistema de Gestión de Seguridad de la Información de la empresa a través se realiza un análisis que permita identificar el estado actual de seguridad de la información para así identificar las brechas actuales y definir planes de acción que den cierre a las mismas. Una vez ejecutado el Plan Director, la empresa contará con un SGSI que permita identificar y mitigar los riesgos a los cuales se expone la información para así minimizar costos operativos y financieros, así como, dar cumplimientos a los requerimientos legales, contractuales y regulatorios vigentes. Tenint en compte la importància dels requisits de seguretat de la informació en el desenvolupament de el pla estratègic de l'empresa, es fa necessari implementar un Sistema de Gestió de Seguretat de la informació basat en la gestió de riscos per tal de preservar la confidencialitat, integritat i disponibilitat de la informació i els sistemes que l'emmagatzemen, transmeten i processen. Amb aquesta finalitat, es defineix el Pla Director per a la Implementació de el Sistema de Gestió de Seguretat de la Informació de l'empresa a través es realitza una anàlisi que permeti identificar l'estat actual de seguretat de la informació per així identificar les bretxes actuals i definir plans d'acció que donin tancament a les mateixes. Un cop executat el Pla Director, l'empresa comptarà amb un SGSI que permeti identificar i mitigar els riscos als quals s'exposa la informació per tal de minimitzar costos operatius i financers, així com, donar compliments als requeriments legals, contractuals i regulatoris vigents. Considering the importance of information security requirements in the development of the strategic plan of the company, it is necessary to implement an Information Security Management System based on risk management in order to preserve confidentiality, integrity and availability of information and the systems that store, transmit and process it. For this purpose, the Master Plan for the Implementation of the Information Security Management System of the company is defined through an analysis that allows identifying the current state of information security in order to identify current gaps and define action planes that give closure to them. Once the Master Plan has been executed, the company will have an ISMS that allows it to identify and mitigate the risks to which the information is exposed to minimize operating and financial costs, as well as to comply with the legal, contractual and regulatory requirements in force.

En este trabajo de fin de máster se presenta la propuesta para implementar el plan director a la empresa ISP ubicada en Imbabura Ecuador, siguiendo las especificaciones para la implantación del Sistema de Gestión de la Seguridad de la Información de la norma ISO/IEC 27001:2013 y la guía de buenas prácticas de la ISO 27002:2013. Como punto de partida, se realizó un análisis de la situación actual de la empresa con respecto a los requisitos de seguridad de la información para analizar su grado de cumplimiento. Posterior a esto se hizo un análisis de riesgos sobre los activos relevantes en términos de seguridad, con el fin de determinar el impacto potencial que sufrirían al verse materializada cualquier amenaza a la que se encuentran expuestos. A partir de esta información se logra determinar el nivel de riesgo aceptable y proponer proyectos para reducir aquellos riesgos que son tratables. Cada uno de estos proyectos están diseñados con la planificación para ejecutarse y el coste económico que le representará a la organización, el cual no supondrá un gasto mayor al de asumir el riesgo. Finalmente se presentan los resultados esperados, luego de poner en marcha cada uno de los proyectos propuestos, en cuanto al cumplimiento normativo de la ISO/IEC 27002:2013 y cada uno de sus 14 dominios. En aquest treball de fi de màster es presenta la proposta per implementar el pla director a l'empresa ISP situada a Imbabura Equador, seguint les especificacions per a la implantació de el Sistema de Gestió de la Seguretat de la Informació de la norma ISO / IEC 27001: 2013 i la guia de bones pràctiques de la ISO 27002: 2013. Com a punt de partida, es va realitzar una anàlisi de la situació actual de l'empresa pel que fa als requisits de seguretat de la informació per analitzar el seu grau de compliment. Posterior a això es va fer una anàlisi de riscos sobre els actius rellevants en termes de seguretat, per tal de determinar l'impacte potencial que patirien a l'veure materialitzada qualsevol amenaça a la qual es troben exposats. A partir d'aquesta informació s'aconsegueix determinar el nivell de risc acceptable i proposar projectes per reduir aquells riscos que són tractables. Cada un d'aquests projectes estan dissenyats amb la planificació per executar-se i el cost econòmic que li representarà a l'organització, el qual no suposarà una despesa major a el d'assumir el risc. Finalment es presenten els resultats esperats, després de posar en marxa cada un dels projectes proposats, pel que fa a l'acompliment normatiu de la ISO / IEC 27002: 2013 i cadascun dels seus 14 dominis. This master¿s thesis proposes to implement the master plan to ISP Company located in Imbabura Ecuador. Following the specifications for the implementation of the information security management according to the International Organization for Standardization ISO/IEC 27001: 2013, and the standards on the best practice recommendations in ISO 27002: 2013. As a starting point, a diagnosis of the company's current situation with respect to information security requirements was carried out to analyze its degree of compliance. Subsequently, a risk analysis was made on the relevant assets in terms of safety, to determine the potential impact, they would suffer in any case exposed to threat. Indeed, with this information it is possible to determine the acceptable level of risk and propose projects to reduce those risks that are treatable. Each of these projects is designed with the planning to be executed, and the estimated cost that the Company would have to assume. Which will not be more costly than taking the risk. Finally, the expected results are presented, after starting each of the proposed projects, regarding the compliance conforming to ISO/IEC 27002:2013, and each of its fourteen domains.

[ES] El proyecto que se va a presentar expone las herramientas y conocimientos necesarios para comprender la norma ISO 27001 y poder aplicarla en una organización que se dedica a la consultoría informática, con el objetivo de lograr obtener una certificación de dicha norma. Se explican una serie de marcos de referencia útiles para lograr comprender el proceso, así como la legislación aplicable. Por otro lado, se especifica en que consiste una empresa de consultoría informática y que beneficios aporta la obtención de una certificación en la norma ISO 27001, además de exponer los riesgos a los que se enfrenta. Como resultado final se presenta un proyecto de guía de implementación y se expone un ejemplo de ejecución de análisis de riesgos haciendo uso de la metodología MAGERIT., [EN] The project to be presented presents the tools and knowledge necessary to understand the ISO 27001 standard and to be able to apply it in an organization that is dedicated to computer consulting, with the aim of obtaining a certification of said standard. A series of useful reference frameworks are explained to help you understand the process as well as the applicable legislation. On the other hand, it is specified what a computer consulting company consists of and what benefits obtaining a certification in the ISO 27001 standard provides, in addition to exposing the risks it faces. As a final result, a draft implementation guide is presented and an example of risk analysis execution using the MAGERIT methodology is presented.

[ES] En la actualidad, las empresas cuentan con diferentes retos con el pasar del tiempo, dados los constantes cambios que son producto de la globalización y la innovación tecnológica a nivel mundial. Muchas empresas se encuentran con la necesidad de almacenar y trabajar con información en medios digitales y hacer uso de la red, en su mayoría manteniendo datos acerca de clientes, proveedores, empleados, datos financieros o sobre asuntos de negocio, entre otros. En este sentido, se genera un importante flujo de información en estas empresas, lo que representa actualmente importantes riesgos que podrían comprometer la información confidencial de la organización, pudiendo de este modo vulnerar no solamente la privacidad y reputación del organismo, sino también afectar de manera directa o indirecta a los usuarios de los que la empresa dispusiera de información, e incluso ocasionar grandes pérdidas de negocio y problemas legales importantes. Ante esta creciente situación que de forma vertiginosa incide en una realidad constante, se realiza este proyecto que, mediante la búsqueda y análisis de información, plantea como alternativa un manual basado en la norma ISO 27001 como estándar a los fines de que estas organizaciones cuenten con un Sistema de Gestión de la Seguridad de la Información (SGSI) y en él se establezcan cuáles son los requisitos de seguridad que se deben cumplir. Se espera que con la formalización de un manual basado en dicha normativa se puedan tomar decisiones acertadas por parte del personal directivo y gerencial, así como también iniciar eficazmente la implantación de la norma, a fin de garantizar la seguridad de la información que fluye en la organización y permitir la disponibilidad, integridad, confiabilidad y confidencialidad de estos datos., [EN] At present, companies have different challenges over time, given the constant changes that are the product of globalization and technological innovation worldwide. Many companies have the need to store and work with information in digital media and make use of the network, mostly keeping data about customers, suppliers, employees, financial data or business matters, among others. In this sense, an important flow of information is generated in these companies, which currently represents important risks that could compromise the confidential information of the organization, thus being able to violate not only the privacy and reputation of the organization, but also affect directly or indirectly to the users of whom the company had information, and even cause large business losses and significant legal problems. Given this growing situation that vertiginously affects a constant reality, this project is carried out that, by searching and analysing information, proposes as an alternative a manual based on the ISO 27001 as a standard for the purpose of these organizations having an Information Security Management System (ISMS) and establishing in it the security requirements that must be met. It is expected that with the formalization of a manual based on such regulation, accurate decisions can be made by the managerial staff, as well as effectively initiate the implementation of the standard too, in order to guarantee the security of the information flowing in the organization and allow the availability, integrity, reliability and confidentiality of this data.

Este proyecto tiene como objetivo diseñar e implementar un modelo eficaz de la gestión del sistema informático de la empresa 4PX Iberia, que se dedica a servicios de almacenaje y distribución de productos. Primero se va a hacer un análisis de los riesgos potenciales de la empresa, luego se proponen unas medidas para evitar o reducir riesgos detectados. A continuación, se presenta la parte de implementación y evaluación del proyecto diseñado y se comentan futuras líneas de ampliación de dicho proyecto. Finalizamos con un apartado de Conclusiones., This project focuses on designing and implementing an effective model for the management of the computer system of the company 4PX Iberia, which is dedicated to services of storage and distribute products. First, it does an analysis of the potential risks of the company, then some projects are proposed to avoid or reduce detected risks. Next, is the part of implementation and evaluation of the designed projects, later it presents the future line of this project. In the end, it shows the conclusions of the project., Máster Universitario en Dirección de Proyectos Informáticos (M133)

En este trabajo se desarrolla un Sistema de Gestión de la Seguridad de la Información en una empresa pyme del sector de la construcción, utilizando la metodología MAGERIT dentro del marco de la normativa de la familia ISO 27000 para la gestión de riesgos en los sistemas de información. Durante la implementación, se describen las distintas tareas seguidas para su elaboración: creación de un catálogo de activos, identificación de amenazas y vulnerabilidades, análisis del riesgo, evaluación de salvaguardas que permiten mitigar o reducir los riesgos a valores aceptables y la creación de los distintos programas de seguridad para implantar de manera organizada y controlada las diferentes medidas. En el anexo se adjunta el resultado del análisis realizado y detalle de los planes de seguridad propuestos para llevar a cabo la implantación de medidas que permitan mejorar la seguridad en estas empresas. Esta sección pretende ser un entregable para este tipo de empresas, cuyo objetivo es servir de guía para mejorar la seguridad en su sistema de información.

Aquest treball fi de màster descriu els objectius, l'abast, planificació i resultats d'un projecte d'adequació d'un ajuntament a l'Esquema Nacional de Seguretat. El capítol 1 es justifica la necessitat de d'assegurar la informació i serveis d'un Ajuntament, i es fa una introducció al Esquema Nacional de Segureta (ENS). El capítol 2 es fa una comparativa de similituds i diferències entre l'ENS i la ISO27001, i la possible adaptació de l'Ajuntament a les dues normatives aprofitant l'esforç realitzat dins del pla d'adequació. El capítol 3 es descriu l'Ajuntament d'estudi, la seva activitat i es realitza un anàlisi diferencial amb l'ENS i la ISO27001 per tal de trobar les mancances. El capítol 4 es dedica a presentar el sistema documental que suportarà tota la normativa del SGSI, així com el redactat de la política de seguretat, indicadors de gestió i la declaració d'aplicabilitat (entre d'altres). El capítol 5 trobem una anàlisi de riscos molt detallat amb l'eina PILAR, que ens mostrarà el grau d'exposició dels actius identificats del nostre ajuntament. Com a resultat d'aquest anàlisi, es proposen uns projectes de millora al capítol 6 que hauran de millorar la seguretat. Finalment, es presentarà a la part final possibles línies de treball posteriors a aquest TFM. This final master's thesis describes the objectives, scope, planning and results of a project to adapt a city council to the National Security Scheme. Chapter 1 justifies the need to ensure the information and services of a City Council, and makes an introduction to the National Security Scheme (ENS). Chapter 2 makes a comparison of similarities and differences between the ENS and ISO27001, and the possible adaptation of the City Council to the two regulations taking advantage of the effort made within the adaptation plan. Chapter 3 describes the study City Council, its activity and carries out a differential analysis with the ENS and ISO27001 in order to find the shortcomings. Chapter 4 is dedicated to presenting the document system that will support all ISMS regulations, as well as the wording of the security policy, management indicators and the declaration of applicability (among others). In Chapter 5 we find a very detailed risk analysis with the PILAR tool, which will show us the degree of exposure of the identified assets of our city council. As a result of this analysis, in Chapter 6 some improvement projects are proposed that will need to improve security. Finally, possible lines of work after this TFM will be presented at the end. Este trabajo fino de máster describe los objetivos, el alcance, planificación y resultados de un proyecto de adecuación de un ayuntamiento al Esquema Nacional de Seguridad. El capítulo 1 se justifica la necesidad de de asegurar la información y servicios de un Ayuntamiento, y se hace una introducción al Esquema Nacional de Segureta (ENTE). El capítulo 2 se hace una comparativa de similitudes y diferencias entre el ENTE y la ISO27001, y la posible adaptación del Ayuntamiento a las dos normativas aprovechando el esfuerzo realizado dentro del plan de adecuación. El capítulo 3 se describe el Ayuntamiento de estudio, su actividad y se realiza un análisis diferencial con el ENTE y la ISO27001 para encontrar las carencias. El capítulo 4 se dedica a presentar el sistema documental que soportará toda la normativa del SGSI, así como el redactado de la política de seguridad, indicadores de gestión y la declaración de aplicabilidad (entre otros). El capítulo 5 encontramos un análisis de riesgos muy detallado con la herramienta PILAR, que nos mostrará el grado de exposición de los activos identificados de nuestro ayuntamiento. Como resultado de este análisis, se proponen unos proyectos de mejora al capítulo 6 que tendrán que mejorar la seguridad. Finalmente, se presentará a la parte final posibles líneas de trabajo posteriores a este TFM.

El presente documento contiene la información relativa al desarrollo del proyecto del Plan Director de Seguridad de la Información, en adelante PDSI, diseñado para la compañía Cosmética y Belleza S.A, en adelante CYBSA, con el objetivo de establecer una serie de criterios que actúen como base para la implementación de un SGSI (Sistema de Gestión de la Seguridad de la Información). El present document conté la informació relativa al desenvolupament del projecte del Pla Director de Seguretat de la Informació, d'ara endavant PDSI, dissenyat per a la companyia Cosmètica i Bellesa S.A, d'ara endavant CYBSA, amb l'objectiu d'establir una sèrie de criteris que actuïn com a base per a la implementació d'un SGSI (Sistema de Gestió de la Seguretat de la Informació). This document contains the information related to the development of the Information Security Master Plan project, from now on PDSI, designed for the company Cosmética y Belleza S.A, from now on CYBSA, with the objective of establishing a series of criteria that act as a basis for the implementation of an ISMS (Information Security Management System).

En este trabajo se estudia las necesidades de un grupo de clínicas dentales llamado MiDentista para realizar una implantación de un sistema ERP que les ayude a mejorar la gestión del grupo y la toma de decisiones. El grupo MiDentista afronta esta implantación después de haber pasado un periodo de expansión desde su sucursal de Móstoles a Madrid y Barcelona mediante la adquisición de dos clínicas independientes. Durante el desarrollo del trabajo se analizarán las mejoras que se desean conseguir con el sistema ERP y los objetivos del grupo. Además, se explicarán los diferentes modelos de sistemas ERP existentes cubriendo las diferentes características y las ventajas que estas otorgan cada uno. Varios productos del mercado actual serán evaluados como candidatos para la solución final del grupo. Se seleccionará el producto que mejor se adapte a los requerimientos y la situación actual del grupo MiDentista basada en un sistema de puntuación sobre varías áreas a modo de comparativa. En esta comparativa se incluirán estimaciones de presupuestos y revisión de las características más destacadas de cada producto. Una vez seleccionado el producto más adecuado se realiza la planificación de las fases que incluirá el proyecto de implantación. Para finalizar se incluye una visión detallada de las últimas fases de la implantación antes de la puesta en producción, un análisis de los riesgos y el detalle del proceso de gestión del cambio. A la conclusión del trabajo, se expondrán las conclusiones obtenidas de su desarrollo. In this project the requirements for a group of dental clinics called MiDentista to implement an ERP system that helps for improving group management and decision making. The group MiDentista faces this implementation after an expansion period from the headquarter in Mostoles to Madrid and Barcelona after the acquisition of two independent clinics. During this project development the improvements that are expected with the ERP system and the group objectives are going to be analyzed. In addition to this, the different existing ERP system models are going to be explained covering the different characteristics and advantages of each one. Several market products are going to be evaluated as candidates as the final solution for the group. The most suitable solution for requirements and the current situation of the group MiDentista based on a scoring system over several areas like a comparison. In this comparison cost estimation and main characteristics review will be included for each product. Once the most suitable product is selected the project plan of the implementation phases will be done. Finally, a detailed view for the last implementation phases before the go live, a risk analysis and the change management process will be included. At the end of the project, the conclusions of the project development will be exposed. En aquest treball s'estudia les necessitats d'un grup de clíniques dentals anomenat MiDentista per a realitzar una implantació d'un sistema ERP que els ajudi a millorar la gestió del grup i la presa de decisions. El grup MiDentista afronta aquesta implantació després d'haver passat un període d'expansió des de la seva sucursal de Móstoles a Madrid i Barcelona mitjançant l'adquisició de dues clíniques independents. Durant el desenvolupament del treball s'analitzaran les millores que es desitgen aconseguir amb el sistema ERP i els objectius del grup. A més, s'explicaran els diferents models de sistemes ERP existents cobrint les diferents característiques i els avantatges que aquestes atorguen cadascun. Diversos productes del mercat actual seran avaluats com a candidats per a la solució final del grup. Se seleccionarà el producte que millor s'adapti als requeriments i la situació actual del grup MiDentista basada en un sistema de puntuació sobre varies àrees a manera de comparativa. En aquesta comparativa s'inclouran estimacions de pressupostos i revisió de les característiques més destacades de cada producte. Una vegada seleccionat el producte més adequat es realitza la planificació de les fases que inclourà el projecte d'implantació. Per a finalitzar s'inclou una visió detallada de les últimes fases de la implantació abans de la posada en producció, una anàlisi dels riscos i el detall del procés de gestió del canvi. A la conclusió del treball, s'exposaran les conclusions obtingudes del seu desenvolupament.

Trabajo práctico para implantar un Plan Director de Seguridad en una Administración Pública Local española bajo el amparo de estándares como el Esquema Nacional de Seguridad (ENS) e ISO/IEC 27001 pero sin olvidar la calidad del dato ni su interoperabilidad. Se crea una nueva metodología sencilla de aplicación sobre ISO 25012 con el fin de encontrar ese equilibrio que nos permita tener sistemas de información seguros y también útiles. Se aborda una implantación del ENS condicionada por ISO 25012 para posteriormente ir acercándonos a ISO/IEC 27001 y conseguir las ventajas de los tres estándares. Se desarrolla toda la documentación principal necesaria, se realiza un análisis de riesgos con metodología MAGERIT, proponemos proyectos de mejora de la seguridad sobre el sistema de información sustituyendo aquellas partes que no cumplan con los objetivos de calidad del dato y realizamos una auditoría para evaluar el cumplimiento de las normativas. Nuestra aproximación desde el ENS hacia ISO/IEC 27001 nos ha permitido priorizar aquellos proyectos de elevado riesgo contando siempre con la aprobación de la dirección de la administración, hemos conseguido mejorar la seguridad en ambos estándares si bien es cierto que se ha avanzado más en ENS que en ISO/IEC 27001 es debido al tipo de aproximación realizada por tratarse de un ente público. El cribado de proyectos ISO/IEC 25012 nos ha permitido no invertir recursos en la parte del sistema que es mejor sustituir antes que securizar y ha conseguido poner al ciudadano en el centro de la administración electrónica. Practical work to implement a Security Master Plan in a Spanish Local Public Administration under the protection of standards such as the National Security Scheme (ENS) and ISO/IEC 27001, while considering the quality of the data and its interoperability. A new simple application methodology on ISO 25012 is created to find a balance that allows us to have secure and applicable information systems. An implementation of the ENS conditioned by ISO 25012 is approached to later move closer to ISO/IEC 27001 and obtain the advantages of the three standards. We develop all the necessary main documentation, a risk analysis is carried out using MAGERIT methodology, we propose projects to improve the security of the information system by substituting those parts that do not meet the data quality objectives and we carry out an audit to evaluate the compliance with regulations. Our approach from ENS to ISO/IEC 27001 has allowed us to prioritize those high risk projects, always assuming the approval of the administration's high direction, we have managed to improve security in both standards although more progress has been made in ENS than in ISO/IEC 27001, due to the type of approach made for a public entity. The screening of ISO 25012 projects has enabled us to not invest resources in parts of the system that are better replaced than secured, and has managed to put the citizen at the center of electronic administration. Treball pràctic per a implantar un Pla Director de Seguretat en una Administració Pública Local espanyola sota l'empara d'estàndards com l'Esquema Nacional de Seguretat (ENS) i ISO/IEC 27001 però sense oblidar la qualitat de la dada ni la seva interoperabilitat. Es crea una nova metodologia senzilla d'aplicació sobre ISO 25012 amb la finalitat de trobar aquest equilibri que ens permeti tenir sistemes d'informació segurs i també útils. S'aborda una implantació del ENS condicionada per ISO 25012 per a posteriorment anar acostant-nos a ISO/IEC 27001 i aconseguir els avantatges dels tres estàndards. Es desenvolupa tota la documentació principal necessària, es realitza una anàlisi de riscos amb metodologia MAGERIT, proposem projectes de millora de la seguretat sobre el sistema d'informació substituint aquelles parts que no compleixin amb els objectius de qualitat de la dada i realitzem una auditoria per a avaluar el compliment de les normatives. La nostra aproximació des del ENS cap a ISO/IEC 27001 ens ha permès prioritzar aquells projectes d'elevat risc comptant sempre amb l'aprovació de la direcció de l'administració, hem aconseguit millorar la seguretat en tots dos estàndards si bé és cert que s'ha avançat més en ENS que en ISO/IEC 27001 és degut a la mena d'aproximació realitzada per tractar-se d'un ens públic. El garbellat de projectes ISO/IEC 25012 ens ha permès no invertir recursos en la part del sistema que és millor substituir abans que securitzar i ha aconseguit posar al ciutadà en el centre de l'administració electrònica.

El presente proyecto tiene como objetivo diseñar un sistema de gestión de seguridad de la información en una empresa de Recursos Humanos, COC M.T., para mejorar la seguridad de los activos informáticos de la empresa. Analizando el estado actual de la gestión de seguridad de la información de la compañía y los problemas a mejorar, se puede concluir que el sistema de gestión existente es inadecuado, la conciencia de seguridad es débil, el mecanismo de supervisión es incompleto, se ignoran los riesgos de seguridad, etc. Con base en el cumplimiento de cada medida de control determinada por el análisis de brechas GAP, y el análisis y evaluación de riesgos por el método MAGERIT, se proponen la política y los tratamientos para construir y mejorar el Sistema de Gestión de Seguridad de la Información de COC M.T., con el fin reducir los riesgos y vulnerabilidades que pueden afectar las operaciones comerciales para garantizar de manera efectiva la seguridad de la información. Este proyecto se basa en la norma ISO 27001: 2013 y la utiliza como una idea orientadora para ayudar a formular un sistema de gestión de seguridad de la información que sea adecuado para la empresa, de modo que la empresa pueda ser más segura, más rápida y proporcione referencias para que otras empresas crezcan en el futuro., This project aims to design an information security management system in a Human Resources company, COC M.T., to improve the security of the company's Information Assets. Analyzing the current state of the company's information security management and the problems to be improved, it can be concluded that the existing management system is inadequate, security awareness is weak, the supervision mechanism is incomplete, the security risks, etc. Based on compliance with each control measure determined by the GAP analysis, and the risk analysis and assessment by the MAGERIT method, the policy and treatments are proposed to build and improve the Security Management System of the Information from COC M.T., in order to reduce the risks and vulnerabilities that can affect business operations to effectively guarantee information security. This project is based on ISO 27001: 2013 and uses it as a guiding idea to help formulate an information security management system that is appropriate for the company, so that the company can be more secure, faster and provide referrals for other companies to grow in the future., Máster Universitario en Dirección de Proyectos Informáticos (M133)

[ES] El uso generalizado de las TIC ha llevado a múltiples empresas a experimentar una adaptación constante a ellas, siendo así capaces de ofrecer sus servicios mediante tecnología accesible por el ciudadano. Tan pronto se han modernizado estos servicios, han surgido problemas relativos a la seguridad de la información que manejan, ocasionando graves pérdidas y sanciones críticas para la continuidad del negocio. El presente trabajo tiene como finalidad mitigar los riesgos que afectan a la seguridad del Sistema de Gestión de Seguridad de la Información (SGSI) de una empresa que ofrece un servicio de transporte público mediante el alquiler de forma telemática de motocicletas eléctricas. Para ello, se realizará un análisis de riesgo cualitativo de su SGSI basado en la metodología MAGERIT, analizando el estado actual de la organización para, poder así, identificar los activos que la sustentan y las amenazas por las que se ven afectados, continuando con una medición de los riesgos potenciales que afectan al sistema. Una vez esclarecida la situación de la organización, se procederá a la gestión de dichos riesgos elaborando un plan que sirva, tanto para implantar el nuevo Reglamento General de Protección de Datos que comenzó a ser de aplicación el 25 de mayo de 2018, como para adecuar a la empresa al Esquema Nacional de Seguridad, basando todo ello en la norma ISO 27001 para la gestión de la seguridad de la información. Como soporte al análisis de riesgos, se hará uso de la herramienta proporcionada por el Centro Criptológico Nacional (CCN), PILAR, destinada al análisis y la gestión de riesgos de un sistema de información bajo la metodología MAGERIT., [EN] The widespread use of ICT has led multiple companies to experience constant adaptation to them, thus being able to offer their services through technology accessible by the citizen. As soon as these services have been modernized, problems related to the security of the information they handle have arisen, causing serious losses and critical sanctions for business continuity. The purpose of this paper is to mitigate the risks that affect the security of the Information Security Management System (ISMS) of a company that offers a public transport service by renting electric motorcycles electronically. For this, a qualitative risk analysis of its ISMS will be carried out based on the MAGERIT methodology, analyzing the current state of the organization in order to be able to identify the assets that sustain it and the threats for which they are affected, continuing with a measurement of the potential risks that affect the system. Once the situation of the organization has been clarified, the risks will be managed by preparing a plan that will serve both to implement the new General Data Protection Regulation that began to be applicable on May 25, 2018, and to adapt the company to the National Security Scheme, basing all this on the ISO 27001 standard for the management of information security. As a support to the risk analysis, the tool provided by the National Cryptological Center (CCN), PILAR, will be used for the analysis and risk management of an information system under the MAGERIT methodology.

A lo largo de este trabajo se han llevado a cabo las tareas necesarias para implantar un Sistema de Gestión de la Seguridad de la Información en un centro educativo concertado de la ciudad de Alicante. Para ello, se ha seguido el marco propuesto por la metodología MAGERIT para la gestión de riesgos en los Sistemas de Información, orientado a cubrir las necesidades planteadas por la normativa ISO 27000. En el presente documento se presentan los conceptos principales de los Sistemas de Información y se detallan los procesos realizados para la creación del catálogo de activos, la identificación de amenazas, el proceso de la gestión del riesgo y la evaluación de salvaguardas. Por último, con los resultados obtenidos de este proceso de análisis, se explica en detalle cómo se ha llevado a cabo la creación de los programas y planes de seguridad para asegurar el Sistema de Información del centro educativo. Además de lo explicado en el documento, se adjuntan un documento anexo que será el que una vez finalizado el trabajo se entregará al colegio con los resultados de todos los procesos mencionados previamente para que puedan ser aplicados y mejorar la seguridad de la información del centro.

El desarrollo del presente trabajo tiene como objetivo la realización de un Plan director de seguridad tomando como referencia un modelo de empresa real. El treball té com a objectiu la realització d'un Pla director de seguretat prenent com a referència un model d'empresa real. The objective of the work is the realization of a Master Plan for security by reference to a real business model.

Proyecto final de grado sobre la implementación de la norma ISO 27001.

Aquest projecte s'emmarca en el desenvolupament del Màster Interuniversitari de les Tecnologies de la Informació i la Comunicació que te per objectiu la implantació d'un Pla de seguretat de la informació , SGSI, en un entorn real, en aquest cas La FUNDACIO HOSPITAL SANT BERNABÉ,fundació Pública de serveis que treballa per prestar assistència hospitalària a la comarca del Berguedà i gestiona també una residencio d'avis, la RESIDENCIA SANT BERNABÉ. Al llarg de les fases de creació del pla director de seguretat s'anirà construint tota la base necessària per a la preparació de la certificació de la ISO/IEC 27001:2013 Primer es fa un anàlisi inicial de l'estat en que es troba la fundació respecte a la ISO/IEC 27002:2013 per tal de tindre una visió de l'estat actual i de on es vol arribar respecte al nivell d'adaptació a la norma. Posteriorment s'elabora el sistema documental exigit per la ISO/IEC 27001:2013, la política de seguretat i la metodologia d'anàlisi de riscos. Desprès es realitza aquest anàlisi de riscos de l'organització. en aquest cas, seguint la metodologia Magerit. En aquest punt es realitza el inventari d'actius i la seva valoració. També s'enumeren les amenaces que poden afectar a aquests actius i el impacte que tindrien. Una vegada fet aquest passos anteriors es defineixen una sèrie de projectes que han de permetre minimitzar l'impacta de les amenaces detectades i es valora el cost de la seva implantació. Per últim, es realitza un anàlisi de compliment respecte la ISO/IEC 27002:2013 considerant que els projectes anterior han estat implantats. Este proyecto se enmarca en el desarrollo del Máster Interuniversitario de las Tecnologías de la Información y la Comunicación que té por objetivo la implantación de un Pla de seguridad de la información , SGSI, en un entorno real, en este caso La FUNDACIO HOSPITAL SAN BERNABÉ,fundación Pública de servicios que trabaja para prestar asistencia hospitalaria en la comarca del Berguedà y gestiona también una residencio de abuelos, la RESIDENCIA SAN BERNABÉ. A lo largo de las fases de creación del plan director de seguridad se irá construyendo toda la base necesaria para la preparación de la certificación de la ISO/IEC 27001:2013 Primero se hace un análisis inicial del estado en que se encuentra la fundación respecto a la ISO/IEC 27002:2013 para tener una visión del estado actual y de donde se quiere llegar respecto al nivel de adaptación a la norma. Posteriormente se elabora el sistema documental exigido por la ISO/IEC 27001:2013, la política de seguridad y la metodología de análisis de riesgos. Desprendido se realiza este análisis de riesgos de la organización. en este caso, siguiendo la metodología Magerit. En este punto se realiza el inventario de activos y su valoración. También se enumeran las amenazas que pueden afectar a estos activos y el impacto que tendrían. Una vez hecho este pasos anteriores se definen una serie de proyectos que tienen que permitir minimizar lo impacta de las amenazas detectadas y se valora el coste de su implantación. Por último, se realiza un análisis de cumplimiento respete la ISO/IEC 27002:2013 considerando que los proyectos anterior han sido implantados. This project is framed in the development of the Interuniversity Master's in Information and Communication Technology "MISTIC", which aims to implement an Information Security Plan, SGSI, in a real environment, in this case The FUNDACIO HOSPITAL SANT BERNABÉ, Public Services Foundation that works to provide hospital care in the Berguedà region and also manages a residence for the elderly, RESIDENCIA SANT BERNABÉ. Throughout the phases of the creation of the security plan, the entire base necessary for the preparation of ISO / IEC 27001: 2013 certification will be built First, an initial analysis of the state in which the foundation is found in relation to ISO / IEC 27002: 2013 in order to have a vision of the current state and where it is intended to reach the level of adaptation to the norm. The documentary system required by ISO / IEC 27001: 2013 is subsequently developed, the security policy and the risk analysis methodology. After this analysis of risks of the organization is carried out. in this case, following the Magerit methodology. At this point, the asset inventory and its valuation are carried out. Also listed are the threats that may affect these assets and the impact they would have. Once this step is done, a series of projects are defined that should allow minimizing the impact of the threats detected and the cost of its implementation is valued. Finally, an analysis of compliance with the ISO / IEC 27002: 2013 is carried out, considering that the previous projects have been implemented.

En este proyecto se realiza un análisis del estado actual de la seguridad de la información en Digital Signage LRDXXX esta es una empresa dedicada a la publicidad de contenidos y su principal cliente son entidades financieras. La compañía debe asegurar la publicación diaria e información actualizada de indicadores financiero como tasas de interés, comisiones o recargos de servicios, etc. conforme a las normas legales establecidas en la superintendencia. En aquest projecte es realitza un anàlisi de l'estat actual de la seguretat de la informació a Digital Signage LRDXXX. Aquesta és una empresa dedicada a la publicitat de continguts i el seu principal client són les entitats financeres. La companyia ha d'assegurar la publicació diària i la informació actualitzada d'indicadors financers, com taxes d'interès, comissions o recàrrecs de serveis, etc. d'acord amb les normes legals establertes a la superintendencia. This project is an analysis of the current state of information security in Digital Signage LRDXXX is a company dedicated to content advertising and its main customer are financial entities. The company must ensure the daily publication and updated information of financial indicators such as interest rates, commissions or service surcharges, etc. according to the legal regulations established in the superintendency.

El presente TFM, tiene como objeto desarrollar el Plan Director de la seguridad de la información de una empresa, basado en el estándar internacional ISO/IEC 27001:2013 certificable y el manual de buenas prácticas ISO/IEC 27002 :2013 que describe los controles o salvaguardias para mitigar las amenazas. La implementación de un SGSI y mediante la metodología de análisis de riesgo MAGERIT, ha permitido a la empresa realizar un inventario de sus activos y valorarlos en las dimensiones de seguridad, así como identificar las amenazas que se podrían materializar en los activos. Calcular el impacto potencial y medir el nivel de riesgo de los activos, para posteriormente realizar una propuesta de proyectos, que tiene la finalidad de mejorar el nivel de cumplimiento de los estándares ISO/IEC 27001-27002. Finalizando con una auditoria de cumplimiento usando el modelo de madurez de la capacidad (CMM). The purpose of this TFM is to develop the Master Plan for information security of a company, based on the ISO / IEC 27001: 2013 international certifiable standard and also based on the ISO / IEC 27002: 2013 good practices manual that describes the controls or safeguards to mitigate the threats. The implementation of an SGSI using the MAGERIT risk analysis methodology has allowed to the company to carry out an inventory of its assets and value them in the security dimensions, as well as identify the threats that could materialize in the assets. Calculate the potential impact and measure the level of risk of the assets, to subsequently make a project proposal, which aims to improve the level of compliance with ISO / IEC 27001-27002 standards. Finalizing with a compliance audit using the Capability Maturity Model CMM- El present TFM, té com a objecte desenvolupar el Pla Director de la seguretat de la informació d'una empresa, basat en l'estàndard internacional ISO/IEC 27001:2013 certificable i el manual de bones pràctiques ISO/IEC 27002 :2013 que descriu els controls o salvaguardes per a mitigar les amenaces. La implementació d'un SGSI i mitjançant la metodologia d'anàlisi de risc MAGERIT, ha permès a l'empresa realitzar un inventari dels seus actius i valorar-los en les dimensions de seguretat, així com identificar les amenaces que es podrien materialitzar en els actius. Calcular l'impacte potencial i mesurar el nivell de risc dels actius, per a posteriorment realitzar una proposta de projectes, que té la finalitat de millorar el nivell de compliment dels estàndard ISO/IEC 27001-27002. Finalitzant amb una auditoria de compliment usant el model de maduresa de la capacitat (CMM).

Aquest Treball de Fi de Màster pertany als estudis del Màster InterUniversitari de Seguretat de les Tecnologies de la Informació i les Comunicacions (abreviat MISTIC). L'objectiu del projecte és l'elaboració d'un Pla Director de Seguretat per una consultora TI, anomenada manera fictícia SCRIPTIX. El Pla Director de Seguretat s'emmarca dins la norma ISO/IEC 27001:2013, i els codis de bones pràctiques esmentats en la ISO/IEC 27002:2013, que estableixen les especificacions per implementar, gestionar, supervisar i millorar un Sistema de Gestió de Seguretat de la Informació (SGSI). S'ha realitzat un anàlisi de la situació actual de la seguretat en l'àmbit de les Tecnologies de la Informació i la Comunicació, per tal de poder definir uns objectius a curt i llarg termini i proposar un conjunt de projectes per tal d'arribar-hi. Dins d'aquest anàlisi realitzat podem destacar l'anàlisi diferencial, l'anàlisi de riscos (utilitzant MAGERIT com a metodologia) i l'anàlisi de compliment de la ISO. Els progressos aconseguits en la implantació del SGSI són: Precisar l'estat de la seguretat de la informació actual en relació als diferents aspectes de la norma (GAP) i fixar l'abast i objectius. Establir una base documental i determinar les responsabilitats de cada un dels components de l'estructura organitzativa de seguretat, de manera que s'asseguri la realització de totes les tasques necessàries i proporcionar Revisió i Millora. Identificar i inventariar els actius crítics de l'organització, determinar la magnitud de les amenaces i, en darrer terme, concretar els riscos als que estan exposats els diferents elements dels Sistemes d'Informació de l'organització. A partir dels riscos trobats, s'han seleccionat i prioritzat un seguit de projectes i mesures que permetran millorar la seguretat de l'organització. Este Trabajo de Fin de Máster pertenece a los estudios del Máster Interuniversitario de Seguridad de las Tecnologías de la Información y las Comunicaciones (abreviat MISTIC). El objetivo del proyecto es la elaboración de un Pla Director de Seguridad por una consultora TI, llamada manera ficticia SCRIPTIX. El Pla Director de Seguridad se enmarca dentro de la norma ISO/IEC 27001:2013, y los códigos de buenas prácticas mencionados en la ISO/IEC 27002:2013, que establecen las especificaciones para implementar, gestionar, supervisar y mejorar un Sistema de Gestión de Seguridad de la Información (SGSI). Se ha realizado un análisis de la situación actual de la seguridad en el ámbito de las Tecnologías de la Información y la Comunicación, para poder definir unos objetivos a corto y largo plazo y proponer un conjunto de proyectos para llegar. Dentro de este análisis realizado podemos destacar el análisis diferencial, el análisis de riesgos (utilizando MAGERIT como metodología) y el análisis de cumplimiento de la ISO. Los progresos conseguidos en la implantación del SGSI son: Precisar el estado de la seguridad de la información actual en relación a los diferentes aspectos de la norma (GAP) y fijar el alcance y objetivos. Establecer una base documental y determinar las responsabilidades de cada uno de los componentes de la estructura organizativa de seguridad, de forma que se asegure la realización de todas las tareas necesarias y proporcionar Revisión y Mejora. Identificar e inventariar los activos críticos de la organización, determinar la magnitud de las amenazas y, en último término, concretar los riesgos a los que están expuestos los diferentes elementos de los Sistemas de Información de la organización. A partir de los riesgos encontrados, se han seleccionado y priorizado una serie de proyectos y medidas que permitirán mejorar la seguridad de la organización. This final Master studies belongs to the Inter-University Master's Degree in Information Technology and Communications Security (MISTIC abbreviated) studies. The objective of the project is the development of a Security Master Plan for an IT consultancy, called the SCRIPTIX fictional way. The Security Master Plan is part of the ISO / IEC 27001: 2013 standard, and codes of good practices mentioned in the ISO / IEC 27002: 2013, which establish the specifications for implementing, managing, monitoring and improving a Management System of Information Security (ISMS). An analysis of the current security situation in the field of Information Technology and Communication has been carried out in order to define short and long term goals and propose a set of projects to reach -his Within this analysis we can highlight the differential analysis, the analysis of risks (using MAGERIT as a methodology) and the analysis of compliance with the ISO. The progress achieved in the implementation of the ISMS are: Identify the state of the security of the current information in relation to the different aspects of the standard (GAP) and set the scope and objectives. Establish a documentary base and determine the responsibilities of each of the components of the organizational security structure, in such a way that it ensures the accomplishment of all the necessary tasks and provide Review and Improvement. Identify and inventory the critical assets of the organization, determine the magnitude of the threats and, ultimately, specify the risks to which the different elements of the Information Systems of the organization are exposed. Based on the risks found, a series of projects and measures have been selected and prioritized that will allow to improve the security of the organization.