PLAN DE

SEGURIDAD
INFORMATICA DEL
INSTITUTO
GUATEMALTECO DE
SEGURIDAD SOCIAL

Como estar libre y exento de todo peligro, dao riesgo, que se pueda dar al
sistema de informacin dentro de las entidades pblicas a travs de la
seguridad informtica y el diseo de normas, procedimientos, mtodos y
tcnicas destinadas a conseguir un sistema de informacin seguro y
confiable.



UNIVERSIDAD MARIANO GLVEZ DE GUATEMALA
Centro Universitario de Huehuetenango
Maestra en Gestin de Recursos Humanos
Curso: Sistemas de Informacin Gerencial
M.A. Ing. Estuardo Turner.






Proyecto Final
Plan de seguridad Informtica y Plan de Contingencias







DINORA ELIZABETH SOLIS LOPEZ 3328-05-7973
SHIRLEY GUISELA LOPEZ ALVARADO 3328-05-7968
Huehuetenango, 10 de mayo de 2014



INDICE


INTRODUCCION

1
I.

Instituto Guatemalteco de Seguridad Social 2

A.

Organigrama del IGSS

2

B.

Misin

2

C.

Visin

2

D.

Polticas y procedimientos

3

E.

Informacin Informtica del IGSS

4

F.

Plan de Seguridad Informtica en el IGSS 5

1

Marco de referencia

5

a. Sistemas de Informacin (SI)

5

b. seguridad informtica

5

2

Objetivo General

6

2.1. objetivos Especficos

6

3

Alcance

6

4

Polticas de Seguridad Informtica

6

5

Identificacin de Amenazas y riesgos

9

5.1. Anlisis de la Infraestructura del IGSS

9

G.

Plan de Contingencia

10

1

Anlisis de Riesgos

10

2

Sanciones

12

3

Manual de funciones del rea de informtica 12

H.

Plan de Respuestas a Incidentes

13

1

Propsito

13

2

Objetivos de la Respuesta a Incidentes

13

3

Definicin de Incidentes de Seguridad

14

4

Planificacin de Incidentes de seguridad
Informtica 14

5

Ciclo de vida a la Respuesta a Incidentes

15

5.1. Preparacin para incidentes

15
II

CONCLUSIONES

16
III

BIBLIOGRAFIA

17




1


INTRODUCCION

En la actualidad un Plan de seguridad informtica debe estar a la vanguardia de los procesos de
cambio, debido a las cambiantes condiciones y nuevas plataformas tecnolgicas disponibles. El cual
debe ir enfocado a salvaguardar la integridad, confidencialidad, disponibilidad, autenticacin, no
repudio y control de acceso al sistema de informacin, como medida de seguridad lgica y fsica,
contra las amenazas, riesgos, vulnerabilidades y ataques que se den en contra de este, garantizando que
la informacin este protegida, y pueda obtenerse de forma segura, continua, confiable y a tiempo,
constituyendo una ventaja competitiva.

Las organizaciones tanto pblicas como privadas se enfrentan a una serie de riesgos que amenazan la
integridad de las mismas, lo que ha generado que se diseen diferentes planes de accin para combatir
estas amenazas implementando una serie de polticas de seguridad informtica a travs de anlisis de
riesgos en los sistemas de informtica, que van a acompaados de otros planes como lo es el de
contingencia e incidentes crticos, los cuales pueden ayudar a contrarrestar y minimizar los daos
provocados por el mal uso del equipo de informacin dentro de la entidad.

En este sentido, las polticas de seguridad informtica son una herramienta organizacional para
concientizar, adiestrar y capacitar a los colaboradores de la organizacin sobre la importancia, medidas
de seguridad y comprensin de la informacin y servicios crticos que permiten a la empresa crecer y
mantenerse.

Ante este medio que nos rodea, el proponer o identificar una poltica de seguridad requiere un alto
compromiso, ingenio tcnico para establecer fallas y debilidades, y constancia para renovar y actualizar
la informacin, en funcin del dinmico ambiente que rodea las compaas he instituciones modernas
para proporcionar un mejor servicio a nuestros usuarios.

Para lo cual el siguiente plan de seguridad informtica, se dise con informacin recabada de varios
autores expertos en el tema, especficamente para el Instituto Guatemalteco de Seguridad Social de
Huehuetenango, se presenta como una propuesta de aplicacin y apoyo al rea de informtica, tomando
en cuenta la calidad de informacin que se administra en estas bases de datos, proponiendo mejoras en
el plan de contingencias para el funcionamiento integral del mismo y atencin a los afiliados y
derechohabientes.




2

I. INSTITUTO GUATEMALTECO DE SEGURIDAD SOCIAL

A. Organigrama del IGSS



B. Misin

Proteger a nuestra poblacin asegurada contra la prdida o deterioro de la salud y del sustento
econmico, debido a las contingencias establecidas en la ley.

C. Visin

Ser la institucin de seguro social caracterizada por cubrir a la poblacin que por mandato legal le
corresponde, as como por su solidez financiera, la excelente calidad de sus prestaciones, la
eficiencia y transparencia de gestin.





3



D. Polticas y procedimientos (solicitudes, contraseas, instalaciones, seguridad)

1. Modernizacin y Adecuacin al Signo de los Tiempos

El Instituto es una institucin dinmica y debe, en todos los casos, adaptarse a los cambios. La
clave de esta adecuacin y modernizacin est en la previsin, es decir, en el adelantarse a las
exigencias del entorno y de las circunstancias internas a fin de que cuando llegue el momento, ya se
est preparado. A contrario sensu, se debe superar el hecho de reaccionar tardamente a los
cambios.

2. Racionalizacin del Manejo de Recursos

El Instituto debe ser minucioso en el control de desperdicios y goteos; pero simultneamente
agresivo en la inversin productiva de sus recursos. Debe saber distinguir eficazmente el gasto
puro, de la inversin e implementar la optimizacin de la calidad del gasto.

3. Contabilidad de Gestin

El Instituto debe, sin violentar las normas legales destinadas a regular las formalidades
presupuestarias y contables, mantener una contabilidad de gestin, es decir, desagregando las
cuentas contables a fin de tener presente en tiempo real la informacin necesaria para la toma de
decisiones.

4. Transparencia de Gestin

Todas las unidades operativas de la institucin deben proceder administrativamente de manera
transparente, incluyendo a la Gerencia que orgnicamente incluye a las Subgerencias- y, la Junta
Directiva. Esto significa, como se mencion antes, la divulgacin de la informacin relevante y su
accesibilidad para estar sujetos al control social, el escrutinio pblico y particularmente, tener
motivaciones ntegras en el proceso de toma de decisiones. Adems, se debe de hacer uso y
fortalecer los controles institucionales, as como implementar aquellos que resulten necesarios.

5. Justicia Distributiva

Aplicacin cabal de dar a cada uno lo que le corresponde. En este sentido, la gestin tcnica y
administrativa de los recursos humanos (permisos, premios, sanciones y un largo etctera), as
como la asignacin de recursos fsicos y presupuestarios y otro largo etctera, debe hacerse con
base en la eficiencia pero atemperadamente con base en la Justicia. Esta poltica adquiere particular
importancia cuando se enfoca desde el punto de vista de la retribucin por productividad.


6. Trabajo en Equipo

El Instituto debe lograr que sus funcionarios generen un sentido de pertenencia y
corresponsabilidad en los esfuerzos y en los logros institucionales, de cooperacin en el desarrollo
4

de los proyectos y en vestir la camiseta del IGSS con orgullo y conciencia de la labor conjunta,
teniendo presente que, como sistema, el todo es mayor que la suma de
Sus partes.

7. Vocacin de Servicio

Al igual que con la propuesta anterior, cabe indicar que la labor desarrollada por todos y cada uno
de los miembros del Instituto, sin importar posicin o jerarqua, es una labor de poltica social
destinada a la proteccin de quien lo necesita y por Ley lo merece. En este sentido, la
Labor realizada mediante la atencin a la salud o el pago de pensiones, tiene una trascendencia para
las personas que necesitan de su proteccin que va ms all de lo comn y predecible: se les
protege contra la enfermedad y la muerte prematura, as como contra el hambre y la pobreza.

E. Informacin informtica del Instituto Guatemalteco de seguridad Social:

1. Con que tecnologa cuenta en el Instituto Guatemalteco de Seguridad Social?
Equipos de cmputo
Servidores
Comunicaciones
Impresoras
Base de datos
Software
Antivirus
Redes y otros.


2. Cuenta con un sistema? (En que est hecho); Base de datos que usa?
Si cuenta con varios sistemas, llamados AS-400 (Consumo de certificados), RUAP
(certificados electrnicos), SII-SIGSS (atencin medica), COEX (recetas mdicas), MEDI-
IGSS (atencin de mdicos).

Estas bases de datos estn hechas en:
SQL Server
3. Todos sus procesos estn sistematizados?
Si, todas las actividades e informacin requerida se encuentra en la base de datos de las
diferentes unidades, as tambin se actualiza toda actividad realizada.

4. Tienen antivirus?
Si cuenta con uno:
Eset Endpoint Antivirus Nod32 v5
5. Qu medidas de seguridad conoce en su sistema?
Todos los usuarios tienen una clave asignada a cada mes se debe renovar la contrasea.
Solo tiene acceso a la base datos.
No se tiene acceso al internet
5

F. Plan de seguridad Informtica

1. Marco de Referencia

a. Sistema de informacin (SI): Conjunto de elementos organizados (recursos, equipo
humano, informacin y actividades), relacionados y coordinados entre s, encargados de
facilitar el funcionamiento global de una empresa o de cualquier otra actividad humana
para conseguir sus objetivos.
a). Recursos: pueden ser fsicos, como ordenadores, componentes, perifricos y
conexiones, recursos no informativos; y lgicos, como sistemas operativos y
aplicaciones informativos.
b) Equipo Humano: compuesto por las personas que trabajan para la
organizacin.
c) Informacin: conjunto de datos organizados que tienen un significado. La
informacin puede estar contenida en cualquier tipo de soporte.
d) Actividades: que se realizan en las organizacin, relacionadas o no con la
informtica.
e) Sistemas Informticos: constituido por un conjunto de elementos fsicos
(hardware, dispositivos, perifricos y conexiones), lgicos (sistemas
operativos, aplicaciones y protocolos) y con frecuencia se incluyen tambin
los elementos humanos (personal experto que maneja el software y el
hardware). Aguilera (2010; pg. 8).
Hardware: equipo fsico utilizado para realizar las actividades de
entrada, procesamiento y salida de un sistema de informacin.
Software: consiste en instrucciones detalladas, programadas por
anticipado que controlan y coordinan los componentes del hardware
de cmputo de un sistema de informacin.

b. Seguridad informtica: disciplina que se ocupa de disear las normas, procedimientos,
mtodos y tcnicas destinados a conseguir un sistema de informacin seguro y
confiable.
a) Tipos de seguridad:
i. Activa: conjunto de defensas o medidas realizadas con el objetivo de
evitar o reducir los riesgos que amenazan el sistema. Ejemplo: proteger la
informacin mediante nombre de usuario, contraseas; evitar la entrada
de virus a travs de un antivirus, impedir mediante encriptacin, la
lectura no autorizada de mensajes.
ii. Pasiva: formada por las medidas que se implantan, para que una vez
producido el incidente de seguridad, minimizar su recuperacin de
sistema. Ejemplo: el Backup, copia de datos.







6



2. Objetivo General:

Proteger la estructura computacional y todo lo relacionado con esta, en el Instituto
Guatemalteco de Seguridad Social

2.1. Objetivos especficos:

Establecer normas y polticas de seguridad que le brinden al Instituto guatemalteco de
Seguridad Social de Huehuetenango, el resguardo y proteccin de su sistema
informtico, computacional y todo lo referente a este.
Implementar medias de seguridad que garantice la proteccin y manejo de informacin
dentro de la institucin.
Garantizar mecanismos de seguridad que proporcionen servicios de seguridad para
prevenir y reducir la vulnerabilidad ante los riesgos y amenazas en el sistema de
informtica.
Garantizar la confidencialidad, integridad, disponibilidad, privacidad de la informacin.
3. Alcance:

El alcance de este plan de seguridad informtica, realizado al Instituto Guatemalteco de
Seguridad Social, en la Unidad Integral de Adscripcin del Departamento de
Huehuetenango y los servicios pblicos que presta a sus afiliados y derechohabientes, va
enfocado a los aspectos ms relevantes del mbito fsico y lgico, tomando como base el
anlisis previamente realizado.

4. Polticas de Seguridad informtica:

Los mecanismos de seguridad preventivos son todos aquellas acciones que van de encaminadas
a prevenir cualquier amenaza a la confidencialidad, integridad, no repudio y disponibilidad de los
elementos crticos de sistema. Por la propia definicin de estas caractersticas, tambin se debe
proporcionar mecanismos de autenticacin y de control de acceso que garanticen la identificacin,
autenticacin y gestin de perfiles aplicables a los recursos para determinar que usuario y bajo qu
condiciones pueden o no acceder al recurso solicitado para la accin indicada.

El personal de recin ingreso al Instituto Guatemalteco de Seguridad social (IGSS) de
Huehuetenango, sea contratado temporal o por tiempo indefinido, deber ser notificado al
Director General, para que instruya al tcnico en informtica y se le asignen los derechos
correspondientes a equipo de cmputo, creacin de usuario para la red, o en caso de retiro
del empleado, anular y cancelar los derechos otorgados como usuario de informtica.
El personal u otra persona que deba ingresar a un sitio o rea restringida de la Institucin,
debe tener autorizacin previa del departamento de informtica, de esta forma protegeremos
la informacin y los bienes informticos.
7

Toda persona que ingresa a laborar a la institucin y es autorizado para el uso de alguno de
los equipos de cmputo y hacer uso de servicios informticos debe aceptar las condiciones
de confidencialidad, de uso adecuado de los bienes informticos y de la informacin, as
como cumplir y respetar al pie de la letra las directrices impartidas en el Manual de Polticas
y Estndares de Seguridad Informtica.
Es responsabilidad del usurario de bienes de la empresa y servicios informticos cumplir
con las polticas y normas de seguridad informtica del presente plan de seguridad
informtica.
El equipo asignado al personal operativo ser para uso exclusivo de las funciones inherentes
a su puesto, para prestar sus servicios.
El usuario o funcionario tiene la obligacin de proteger las unidades de almacenamiento que
se encuentren bajo su responsabilidad, aun cuando no se utilicen y contengan informacin
confidencial importante, o al menos que traslade los bienes a la tarjeta de responsabilidad de
bienes de la persona que los tiene en uso.
Es responsabilidad del usuario o funcionario evitar en todo momento fuga de informacin
de la entidad que se encuentre almacenada en los equipos de cmputo personal que tengan
asignados.
El sistema RUAP (certificados de trabajo electrnicos) del Instituto Guatemalteco de
seguridad social, tendr acceso restringido, nicamente personal autorizado tendr
permitido el acceso, debiendo ingresar su usuario y contrasea.
El personal operativo tiene la responsabilidad de salvaguardar la integracin fsica y lgica
de los equipos de comunicaciones y servidores.
El personal tcnico deber llenar la bitcora de los sucesos acontecidos da con da
especificando cualquier anomala, servicio u otra situacin quedando registro en la misma.
El personal operativo no tiene permitido el ingreso de alimentos o bebidas al rea de trabajo,
esto con el fin de evitar accidentes y daos al equipo de cmputo y comunicaciones.
El personal operativo del Instituto Guatemalteco de Seguridad Social, deber reportar de
manera inmediata al rea de informtica cuando se detecte riesgo alguno real o potencial
sobre el equipo de cmputo o de comunicaciones, tales como cadas de agua, choques
elctricos, cadas o golpes, peligro de incendio.
El personal operativo tiene prohibido, dejar que personas ajenas a la dependencia manipule
el equipo y sistemas de informacin.
El personal operativo deber atender las solicitudes realizadas por afiliados o
derechohabientes, alimentando el sistema con las acciones realizadas.
El personal operativo deber entregar los medicamentos solicitados en el rea designada
para este fin y previo revisado el Cardex y firma de recibido del afiliado solicitante,
debiendo ingresar dicha entrega en el sistema correspondiente, para actualizar los
inventarios y existencias.
El personal tcnico deber verificar el correcto funcionamiento de los servidores y servicios
as como del equipo de comunicaciones peridicamente.
El personal tcnico deber realizar copias de seguridad (Backup) de los diferentes sistemas,
diariamente.
El personal tcnico deber actualizar el antivirus de forma mensual en todos los equipos de
cmputo asignados al personal.
El personal tcnico deber verificar el correcto funcionamiento de los equipos de cmputo,
servidores y comunicaciones, debiendo informar a su jefe inmediato cualquier anomala y
registrarla en la bitcora.
8

Se debe evitar colocar objetos encima del equipo de cmputo o tapar las salidas de
ventilacin del monitor o CPU.
El equipo informtico debe permanecer en un lugar limpio, libre de humedad.
Queda terminantemente prohibido que el funcionario o personal distinto al personal de
mantenimiento y reparacin de equipos destape un equipo de cmputo, siendo tal accin
calificada como grave y castigada con sancin.
nicamente el personal de mantenimiento de equipos de cmputo podr llevar a cabo los
servicios y reparaciones al equipo informtico del Instituto.
El personal tcnico deber verificar el sistema de enfriamiento de los servidores, para evitar
recalentamientos, deterioro del equipo y que el sistema se caiga en horas hbiles de trabajo.
Para realizar asignacin de equipos el personal tcnico deber tomar el cuento el
nombramiento al cargo del personal, asignndoles este a travs de nmero inventario a su
tarjeta de responsabilidad de bienes individual.
El funcionario deber dar aviso inmediato al rea de informtica y a la oficina de
inventarios la perdida, robo o extravi de equipos de cmputo, perifricos o accesorios bajo
su responsabilidad.
El personal operativo de las diferentes reas del Instituto guatemalteco de seguridad social,
solo podr consultar informacin referente a su rea de trabajo, de lo contrario el sistema
enviara un mensaje al administrador para informar sobre tal accin.
El personal operativo que maneje los sistemas de informacin del Instituto Guatemalteco de
Seguridad Social, debe tener un usuario y contrasea, para tener acceso a este.
Ninguna persona del personal operativo puede trabajar en el sistema, a travs del usuario de
otra persona.
Se consideran violaciones graves el robo, dao, divulgacin de informacin privada o
confidencial de esta institucin, o de que se le declare culpable de un delito informtico.
El personal de nuevo ingreso a la institucin deber contar con la induccin sobre las
polticas y normas de seguridad informtica, hacindoles ver las obligaciones y las
sanciones en que pueden incurrir en caso de incumplimiento.
El rea de informtica velara porque todos los usuarios del sistema de informacin estn
registrados en su base de datos para la autorizacin de uso de dispositivos de
almacenamiento externo, como drives o memorias USB, discos porttiles, unidades de CD y
DVD externos, para el manejo y traslado de informacin o realizacin de copias de
seguridad o Backup, no est permitido realizarse sin autorizacin.
El tcnico en informtica de cada dependencia deber reportar a la central de informtica
del instituto el listado de personas asignadas a su dependencia que manejen estos tipos de
dispositivos, especificando clase, tipo y uso determinado.
El equipo de cmputo, perifrico o accesorio de tecnologa de informacin que tenga algn
desperfecto, dao por maltrato, descuido o negligencia por parte del usuario o responsable,
se le levantara un reporte de incumplimiento de polticas de seguridad informtica.
Cuando se vaya a realizar mantenimiento en algunos de los equipos de las oficinas con paso
restringido, se debe dar aviso con anticipacin al personal encargado de las oficinas para
evitar malos entendidos y traumatismos.
El tcnico en informtica deber solicitar a la administracin los equipos de proteccin para
las instalaciones contra incendios, inundaciones, sistema elctrico de respaldo, UPS.
Las actividades que realicen lo empleados en la infraestructura tecnolgica de cualquiera de
las oficinas del instituto, deben ser registradas y podrn ser objeto de auditoria.
9

Todos los accesos a internet tienen que ser realizados a travs de los canales de acceso
provistos por la institucin en caso de necesitar una conexin a internet alterna o especial,
esta debe ser notificada y aprobada por el departamento de seguridad informtica del
instituto.
Cualquier asunto fuera de las siguientes polticas se deber informar al jefe inmediato, para
que determine qu acciones tomar.


5. Identificacin de amenazas y riegos:

El anlisis de riesgos informticos es un proceso que comprende la identificacin de activos
informticos, sus vulnerabilidades y amenazas a los que se encuentran expuestos as como su
probabilidad de ocurrencia y el impacto de las mismas, a fin de determinar los controles
adecuados para aceptar, disminuir, transferir o evitar la ocurrencia del riesgo

Una Amenaza es la posibilidad de ocurrencia de cualquier tipo de evento o accin que
puede producir un dao (material o inmaterial) sobre los elementos de un sistema, en el caso de
la Seguridad Informtica, los Elementos de Informacin. Debido a que la Seguridad Informtica
tiene como propsitos garantizar la confidencialidad, integridad, disponibilidad y autenticidad
de los datos e informaciones, las amenazas y los consecuentes daos que puede causar un
evento exitoso, tambin hay que ver en relacin con la confidencialidad, integridad,
disponibilidad y autenticidad de los datos e informaciones.

5.1. Anlisis de la Infraestructura del Instituto Guatemalteco de Seguridad social:
a. Cules son los elementos (recursos, equipo humano, informacin, actividades que
componen el sistema)?
Equipo
Programa
Datos
Procedimientos
Gente
Comunicacin
b. Cules son los peligros que afectan al sistema?

Los daos pueden ser fortuitos o fraudulentos.
Fortuitos: cometidos accidentalmente por los usuarios, accidentes,
cortes de fluido elctrico, averas del sistema, catstrofes naturales.
Fraudulentos: software malicioso, daos realizados a propsito por
un miembro del personal con acceso al sistema, robo o accidentes
provocados.
Criminalidad (comn. Poltica): Allanamiento, sabotaje, robo, hurto, fraude,
espionaje y virus.
10

Suceso de origen fsico: Incendios, inundacin, sismo, polvo, sobre carga elctrica,
falta de corriente.
Negligencia y decisiones institucionales: Falta de reglas, falta de capacitacin,
no cifrar datos crticos, mal manejo de contraseas.

G. Plan de contingencias:
Se puede definir como un conjunto de procedimientos que permiten recuperar el estado normal
de funcionamiento de toda la infraestructura informtica y de esta forma poder prestar un servicio
de calidad en la institucin. El plan de contingencia implica realizar anlisis de los posibles riesgos
a los cuales se puede estar expuesto, tanto el equipo informtico, como toda la informacin
contenida en los diversos medios de almacenamiento.
Para cumplir con un excelente plan de contingencias este debe contemplar las siguientes
actividades:
Plan de reduccin de riesgos
Plan de recuperacin de desastres
Actividades previas al desastre
Establecimiento del Plan de Accin.
Actividades durante el desastre
Plan de emergencias.
Al ocurrir un desastre que afecte la seguridad informtica de la institucin se deben realizar las
siguientes actividades:
Evaluacin de daos
Ejecucin de actividades
Evaluacin de resultados
Tipos de fallas a considerar en el plan de contingencias
Instalaciones elctricas
Bases de datos y aplicativos
Problemas con el servidor
Estaciones de trabajo y perifricos
Redes e internet
El instituto Guatemalteco de Seguridad Social define las siguientes etapas y actividades para la
realizacin de su plan de contingencias.
1. Anlisis de Riesgos.
Con el propsito de salvaguardar toda su infraestructura tecnolgica e informtica de la
institucin, debe contemplar los siguientes aspectos en su labor diaria por parte de su personal.
11

Hacer copia diaria de los archivos que son vitales para la institucin.
Control de acceso a las instalaciones de la institucin no autorizadas para cualquier
persona.
Realizar el mantenimiento preventivo de forma regular.
Prohibir el ingreso de comidas y bebidas en las instalaciones informticas.
Mantener estos espacios libres de humo de tabaco (prohibido fumar).
Realizar limpieza constante, evitando la acumulacin de polvo.
Mantener actualizado el programa de antivirus.
Permitir solo el acceso a las instalaciones informticas en horarios programados o con la
presencia de un supervisor, adems deber configurar las computadoras para que
dispongan de bloqueo en el teclado.
Proteccin fsica de los diferentes equipos del sistema informtico, cualquier equipo en
general y con especial atencin los servidores y hardware de red, deben situarse en
lugares protegidos para que solo el personal autorizado tenga acceso a ellos.
Contar con servidores con alto grado de seguridad como cerradura electrnica que se
pueda accesar por medio de huella digital, tarjeta y tambin puede ser por el mecanismo
biomtrico apoyado siempre por cmaras de seguridad.
Tener guardias de seguridad las 24 hrs, del da para dicho recinto.
Realizarle configuraciones tcnicas al equipo que no permitan que el usuario de este
pueda instalar ningn programa dentro de la red institucional, para evitar el ingreso de
hacker al sistema.
Otras medidas de prevencin podran ser:
Implementar la autenticacin con privilegios mnimos y control de acceso. Es decir,
no se debe dar a los usuarios acceso a recursos que no utilizan.
Implemente control de aplicaciones de listas blancas. Esto busca impedir que los
nuevos programas maliciosos se propaguen en toda la red.
Implemente fuertes polticas de contraseas, con 12 caracteres o contraseas ms
complejas para las cuentas de usuario estndar. Las de las cuentas administrativas
deberan ser, incluso, ms largas. Utilice la autenticacin de dos factores si las
contraseas largas son un problema o no son lo suficientemente seguras.
Asegrese que los antivirus puedan comprobar si hay actualizaciones cada 24 horas o
menos, y que escanean por herramientas de hacking.
Eduque a los usuarios finales acerca de los riesgos ms grandes, tales como Adobe
Acrobat y explotaciones de Java, avisos de falsos antivirus, sitios de phishing, etc.
Instalar una planta elctrica de alta calidad y soporte, que genere energa a todo
edificio del Instituto Guatemalteco de Seguridad Social de Huehuetenango, con el fin
de evitar que cuando se den cortes de energa elctrica, se pierda la informacin y se
contine con el servicio a los afiliados.
12

Colocar sealizacin a las salidas de emergencia, por cualquier incendio o desastre
natural, tomando en cuenta la cantidad de afiliados que se atienden diariamente.
Se deben colocar cmaras de seguridad en lugares claves donde se maneje
informacin confidencial y privada.
Contratar una lnea de internet adicional, para cualquier emergencia o falla en la lnea
utilizada.
Realizar Backup peridicamente en el da, para evitar que la informacin se pierda, al
momento de un dao fortuito ya sea por un corte de energa elctrica u otro motivo.
Verificar que el antivirus utilizado, sea el mejor en el mercado, garantizado y
comprobado.

2. Sanciones

Cualquier violacin a las polticas y normas de seguridad deber ser sancionada de acuerdo al
reglamento emitido por la Direccin administrativa del Instituto Guatemalteco de Seguridad
Social.
Las sanciones pueden ser desde una llamada de atencin verbal, escrita o hasta la suspensin
del servicio dependiendo de la gravedad de la falta y de la malicia o perversidad que sta
manifiesta.
Todas las acciones en las que se comprometa la seguridad de la Red del sistema de informacin
del IGSS que no estn previstas en esta poltica, debern ser revisadas por la Direccin
Administrativa para dictar una resolucin.
En cuanto a los daos a la infraestructura tecnolgica, Interceptacin ilegtima de sistema
informtico o red de telecomunicacin, Suplantacin de sitios Web para capturar datos
personales, Acceso abusivo a un sistema informtico y de ms delitos informticos se aplicara
lo determinado en el reglamento de Sanciones de la Administracin General.

3. Manual de funciones del rea de informtica

El tcnico en informtica de la institucin tiene como principal responsabilidad la
administracin y coordinacin diaria del proceso de Seguridad Informtica de la
institucin.
Debe ser el punto de referencia para todos los procesos de seguridad y ser capaz de guiar
y aconsejar a los usuarios de la institucin sobre cmo desarrollar procedimientos para
la proteccin de los recursos.
Una tarea clave para el tcnico en informtica, es guiar al cuerpo directivo y a la
administracin de la dependencia, ante incidentes de seguridad mediante un Plan de
Respuesta a Incidentes, con el fin de atender rpidamente este tipo de eventualidades.
Es responsable de proponer y coordinar la realizacin de un anlisis de riesgos formal en
seguridad de la informacin que abarque toda la institucin.
Es deber del rea de Seguridad Informtica, el desarrollo de procedimientos de
seguridad detallados que fortalezcan la poltica de seguridad informtica institucional.
13

Es responsabilidad del tcnico en informtica, promover la creacin y actualizacin de
las polticas de seguridad informtica, debido al comportamiento cambiante de la
tecnologa que trae consigo nuevos riesgos y amenazas.
Debe atender y responder inmediatamente las notificaciones de sospecha de un incidente
de seguridad o de incidentes reales.
Es responsabilidad del rea de informtica, coordinar la realizacin peridica de
auditoras a las prcticas de seguridad informtica.
Es responsable de mantenerse al da de las actualizaciones y nuevas vulnerabilidades
encontradas en el software de la empresa.

H. Plan de respuesta a Incidentes
Es de suma importancia para el Instituto Guatemalteco de Seguridad Social, definir los procedimientos
y planes de accin para el caso de una posible falla, siniestro o desastre que afecten la infraestructura
tecnolgica de la institucin, sus instalaciones e incluso el personal que labora en ella.

Cuando ocurra una contingencia, bien sea porque se haya materializado un riesgo, es esencial que se
conozca al detalle el motivo que la origin y el dao producido, lo que permitir recuperar y poner en
marcha, en el menor tiempo posible el proceso perdido.

Este plan de respuesta a incidentes define las pautas de lo que se debe de realizar en caso de incidente
de seguridad en algunas de las unidades de Adscripcin, las fases de respuesta a incidentes en un
momento dado.

Este documento muestra como minimizar los daos, evaluar el incidente, qu hacer cuando se presente
un incidente y como responder a ello.

1. Propsito

Este plan se implementa con el objetivo de tener una gua para saber que hacer al momento de
presentarse un desastre o suceso en el Instituto Guatemalteco de Seguridad Social de Huehuetenango.

2. Objetivos de la Respuesta a Incidentes

Asegurarse de que el incidente si se ha producido en la entidad.
Mitigar el impacto del incidente.
Prevenir futuros ataques o incidentes.
Mejorar la seguridad y respuesta a incidentes de la empresa
Mantenerse informado de la gestin de la situacin y la respuesta a la entidad.


14

3. Definicin del Incidente de Seguridad

Un problema puede causar ciertos tipos de incidentes de seguridad informtica tales como:
Perdida de informacin confidencial de la institucin afectando la confidencialidad, integridad y
disponibilidad de la misma.
Si la informacin de la institucin no cuenta con aplicaciones, software o servicios de seguridad
nuestra informacin podra ser modificada por alguien no autorizado de la entidad.
Robo de activos fsicos informticos tales como computadoras, dispositivos de almacenamiento,
impresoras, y dems equipo informtico propio de la institucin.
Daos a los activos fsicos informticos incluyendo computadoras, dispositivos de
almacenamiento, impresoras, y dems equipo informtico propio de la empresa y otros.
Denegacin de servicios dentro de la misma institucin.
Uso indebido de los servicios, informacin o activos de la entidad por parte de los empleados de
la institucin.
Infeccin de los sistemas por software no autorizado.
Intento de acceso no autorizado a los Sistema de informacin de la institucin.
Cambios no autorizados a la organizacin de hardware, software, o la configuracin de los
mismos.
Respuesta a las alarmas de deteccin de intrusos.


4. Planificacin de Incidentes de seguridad informtica

En caso de tener uno o varios incidentes de seguridad informtica en la institucin, en algunas
de sus oficinas con equipo informtico de cualquier categora, se llevara a cabo las siguientes
actividades.

Definir y aclarar la lista de respuestas a incidentes y sus responsabilidades.
Establecer los procedimientos detallados de las medidas a tomar durante el incidente de
seguridad informtica.
a. Detallar las acciones basadas en el tipo de incidente tales como virus, intrusiones de
hackers, robo de datos, sistema de destruccin.
b. Evaluar los procedimientos adecuados para identificar los aspectos crticos que han
ocurrido en la entidad.
c. Examinar si el incidente est en curso o se ha presentado de una manera rpida y critica.
d. Si es posible recuperar informacin importante de la entidad que haya sido perjudicada
por cualquier tipo de incidente de seguridad informtica




15

5. Ciclo de Vida a la Respuesta a Incidentes

3.5.1. Preparacin para incidentes

Polticas y Procedimientos
a. establecer las polticas de Seguridad.
b. Seguir los procedimientos de Respuesta a Incidentes.
c. Seguir los procedimientos de Recuperacin y Backup.
Implementar polticas con herramientas de seguridad que incluyen firewalls, sistemas de
deteccin de intrusos, a travs de herramientas de seguridad informtica y otros elementos
necesarios para la seguridad informtica
Colocar avisos de advertencia contra el uso no autorizado en los puntos de acceso del sistema.
Establecer directrices de respuesta considerando y discutiendo posibles escenarios.
Capacitacin de los usuarios sobre la seguridad y entrenar a personal de la institucin sobre el
manejo de situaciones de seguridad y el reconocimiento de intrusiones e incidentes de
seguridad informtica.
Debe haber un directorio de contactos, con los nombres, unidades y telfonos a los cuales
comunicarse en caso de emergencia.














16




II. CONCLUSIONES

Dentro de las principales conclusiones y recomendaciones ms importantes tenemos:
El crear un plan de seguridad Informtica en el Instituto Guatemalteco de Seguridad Social de
Huehuetenango, con componentes que produzca resultados efectivos, utilizando una
metodologa comprobada que disee el programa de seguridad con base en las necesidades de la
institucin para salvaguardar la integridad, confidencialidad y disponibilidad de la informacin.

Para desarrollar con xito un plan efectivo de seguridad informtica en las organizaciones o
instituciones, se debe crear y determinar las polticas, normas y procedimientos adecuados, se
debe realizar un anlisis de riesgos que facilite la determinacin de las mismas.

En general las organizaciones requieren generalmente de un plan de seguridad informtica para
cumplir con los requerimientos de seguridad, las empresas gubernamentales, estn sujetas a las
reglamentaciones y polticas, por lo que estas deben proteger la informacin que utilizan.

Una poltica de seguridad de la informacin generalmente exige que todos protejan la
informacin y as la institucin cumplir con sus responsabilidades reglamentarias, jurdicas y
fiduciarias.

Las polticas, riesgos, contingencias se deben hacer cumplir, midiendo el cumplimiento de lo
establecido y no se deben violar, pero esto se determinan las sanciones y consecuencias en caso
de incumplimiento, respaldado con documentos.







17







III. BIBLIOGRAFIA

Purificacin Aguilera (2010). Seguridad Informtica. Editex.
Lourdon, K. y Laurdon J. (2008). SISTEMAS DE INFORMACIN GERENCIAL
ADMINISTRACIN DE LAS EMPRESAS DIGITALES. Dcima Edicin. Mxico.
Prez, J. y Bada Enrique (2012). Privacidad y seguridad en la red. La regulacin y los
mercados. Editorial Espaa.