Funciones y Responsabilidades en la SI

Funciones y Responsabilidades de Seguridad Informática

La seguridad informática de la UIJ se estructura de la siguiente manera:

Máximo responsable de la Seguridad Informática en la entidad.
Responsable de la Seguridad Informática.
Especialista de la Seguridad Informática.
Administrador de la RED.
Activistas informáticos por área.

El máximo responsable del cumplimiento del Plan de Seguridad Informática y de Acciones es el rector de la universidad.
La aplicación directa de los Planes recae en el Jefe de Seguridad Informática, el cual deberá comunicar de inmediato a la máxima dirección de la entidad cualquier violación detectada, así como las medidas propuestas al efecto.
La implementación técnica para el cumplimiento de las políticas de Seguridad Informática es responsabilidad del administrador de Red.
Todos los trabajadores y estudiantes están en la obligación de cumplir con lo establecido en el Plan de Seguridad Informática. El quebrantamiento de estos reglamentos ya sea por desconocimiento o intencional se considerará una violación grave y constituirá objeto de una investigación.
El Especialista de Seguridad Informática de la UIJ es el responsable de hacer cumplir todas las medidas propuestas relacionadas con el acceso a Correo Electrónico e INTERNET.
En cada área existe una persona designada responsable de la seguridad informática (en lo adelante activista de seguridad informática) que es el que debe hacer cumplir todo lo establecido en el reglamento, estos se subordinan directamente al Especialista de Seguridad Informática de la UIJ.

Funciones y responsabilidades de los Responsables de la Seguridad Informática

Los directivos de los distintos niveles de la estructura orgánica de la entidad (Rector, Vicerrectores, Director de informatización, Decanos) son los responsables de la seguridad informática en el centro, según la protección de los activos de información y recursos informáticos se le han asignado las siguientes funciones y responsabilidades:

Identificar los requerimientos de seguridad de los bienes informáticos bajo su responsabilidad y de las aplicaciones en desarrollo, determinar el nivel de acceso de los usuarios y la vigencia de estos accesos.
Participar en el diseño del Sistema de Seguridad y en la elaboración, evaluación y actualización del Plan de Seguridad de las TIC en la parte que concierne a su esfera de acción y garantizar su cumplimiento.
Participar en la evaluación de riesgos y vulnerabilidades de su entidad.
Aplicar las medidas y procedimientos establecidos en su área de responsabilidad.
Especificar al personal subordinado, las medidas y procedimientos establecidos y controlar su cumplimiento.
Participar en la elaboración de los procedimientos de recuperación ante incidentes de seguridad y en sus pruebas periódicas.
Imponer o proponer sanciones ante violaciones del Sistema de Seguridad, en correspondencia con su naturaleza y con los daños ocasionados.

Funciones y responsabilidades del Especialista de Seguridad Informática

El Especialista de la Seguridad Informática en cada lugar tendrá las siguientes atribuciones y funciones:

Participar en el diseño del Sistema de Seguridad y en la elaboración, evaluación y actualización del Plan de Seguridad de las TIC, supervisar su aplicación y disciplina en su cumplimiento.
Establecer y mantener los controles, en correspondencia con el grado de protección requerido por el Sistema de Seguridad Informática diseñado.
Participar en la evaluación de riesgos y vulnerabilidades de su entidad.
Controlar y supervisar la disponibilidad de los bienes informáticos.
Asesorar a las distintas instancias sobre los aspectos técnicos vinculados con la seguridad de las TIC.
Establecer los controles necesarios para impedir la instalación de cualquier tipo de hardware o software, sin la autorización de la dirección de la entida.
Participar en la elaboración de los procedimientos de recuperación, ante incidentes de seguridad y en sus pruebas periódicas.
Informar a los usuarios de las regulaciones establecidas.

Funciones y responsabilidades del Administrador de Red

En relación con la Seguridad Informática el Administrador de la Red tiene las siguientes funciones:

Garantizar la aplicación de mecanismos que implementen las políticas de seguridad y auditoría definidas en la red.

Informar a los usuarios de los controles establecidos.

Garantizar que los servicios implementados en la red sean utilizados para los fines que fueron creados.

Comunicar a la dirección de la entidad los nuevos controles técnicos que estén disponibles y cualquier violación o anomalía detectada en los existentes.

Activar los mecanismos técnicos y organizativos de respuesta ante los distintos tipos de acciones nocivas o violaciones que se identifiquen y comunicarlo al Responsable y al Especialista de Seguridad Informática.

Permitir la reconstrucción de archivos (files) modificados y restaurar las aplicaciones después de una violación (salvas de resguardo).

Evaluar los riesgos de seguridad de la información y detectar a tiempo las violaciones, informando al Responsable y al Especialista de Seguridad Informática.

Realizar el proceso de recuperación en caso de fallas.

Realizar las copias de ficheros de los servidores para soportes removibles o viceversa, cuando se requiera.

Revisar el acceso a las estaciones de trabajo y servidores de la red.

Ejecutar el proceso de salva de la información y de las trazas de auditoría.

Administrar los recursos de la red y velar por la protección de la integridad de su funcionamiento.

Mantener actualizada la identificación del cableado en los conmutadores de la red.

Elaborar y divulgar el reglamento interno de la red, así como controlar su cumplimiento.

Garantizar la seguridad de los ficheros y datos.

Mantener actualizada la bitácora.

Administrar los recursos de la red.

Velar porque la misma sea utilizada para los fines que fue creada.

Proteger la integridad del funcionamiento de la red.

Velar por la aplicación de mecanismos que implementen las políticas de seguridad definidas en la red.

Velar por hacer conocer el Reglamento Interno de la Red y por que se cumpla lo establecido.

Activar los mecanismos técnicos y organizativos de respuesta ante los distintos tipos de acciones nocivas que se identifiquen.

Contar con un mecanismo de coordinación y aviso con el resto de las redes nacionales y el Ministerio del Interior, que permita actuar de conjunto ante la ocurrencia de violaciones.

Realizar las salvas del sistema operativo y las aplicaciones, así como, la de los datos con la periodicidad requerida por la frecuencia de actualización de los mismos.

Ejecutar pruebas de inspección, estas pueden ser:

– Pruebas de Inspección

a) Es responsabilidad de los Administradores de Red realizar inspecciones diarias al funcionamiento de la misma en busca de acciones inusuales que den indicios de intrusiones o intento de penetración en estas, suplantación de usuarios u otras violaciones que permitan detectar brechas de seguridad oportunamente.
b) La definición de los mecanismos y procedimientos de inspección que se utilizarán por el Administrador de la Red, así como su actualización, es responsabilidad de la Unidad de Negocios de Tecnologías de la Información y Software, garantizando que pueda llevarse un control adecuado de las mismas.
c) Los administradores de redes, ejecutarán los comandos y procedimientos de inspección a lo largo del día y sin que prime un orden para hacerlo, de forma que los intrusos no puedan determinar en qué momento se están haciendo los chequeos.
d) Los administradores de redes, chequearán los procesos en ejecución para cerciorarse de que los usuarios no estén ejecutando programas sin autorización o estén corriendo programas no autorizados que puedan haber sido iniciados por un intruso.
e) Los administradores de redes, revisarán los registros de conexión de cuentas delicadas (root, sysadm), así como los intentos fallidos de conexión.

A los Administradores de Red a los diferentes niveles les está prohibido utilizar las facultades propias de sus puestos de trabajo para:

Facilitar o crear acceso a los servicios de la red sin autorización.
Eliminar los ficheros contentivos de las trazas de los servicios, Sistema Operativo o Sistema General de Base de Datos durante el tiempo de su vigencia.
Cambiar configuraciones en los recursos y su administración, sin la autorización correspondiente.
Incumplir con el completamiento de los registros de control establecidos en el marco de sus funciones.

Cualquier violación de las prohibiciones plasmadas anteriormente constituirá un hecho extraordinario y como tal será tratada.

Funciones y responsabilidades de los usuarios de las tecnologías de información

Los usuarios de las tecnologías de información estarán obligados a:

Conocer y cumplir las políticas, disposiciones, medidas y procedimientos que se regulan en el presente plan.

Conocer y cumplir las regulaciones establecidas en el Plan de Seguridad Informática y el Plan de Acción.

Contar con la autorización formal de la Jefe facultado, para obtener acceso a cualquier activo o recurso informático.

Utilizar las tecnologías de información sólo en interés de la entidad.
No intentar transgredir ninguna de las medidas de seguridad establecidas.
Proteger las tecnologías o la terminal de red que le ha sido asignada y colaborar en la protección de cualquier otra terminal, para evitar que sea robada o dañada, usada la información que contiene o utilizado el sistema al que esté conectada.
No introducir ni utilizar en las tecnologías de información ningún producto ni modificar la configuración de las mismas, sin la correspondiente autorización del jefe facultado.
Conocer la clasificación de los activos de información que maneja.
Cumplir las reglas establecidas para el empleo de las contraseñas.
Informar de inmediato al dirigente facultado de cualquier violación de la Seguridad Informática, pérdida de información o cualquier otra anomalía detectada.
Conservar y proteger adecuadamente los medios y soportes de información que le hayan sido entregados.
Prestar especial atención al cumplimiento de las medidas de protección contra virus informáticos.

Firmar y cumplir el Acta de Compromiso de estar autorizado para la navegación en Internet.

Conocer y cumplir lo establecido en el Plan de Seguridad Informática de su área, haciéndose contar mediante la firma de un documento elaborado para este fin.

Conocer el Reglamento Interno de la Red de su Unidad.

Cumplir con las siguientes regulaciones de la Red:

Todo usuario de una red de computadoras, deberá tener contraseña de acceso a la misma, la que será de uso personal incurriendo en una violación de las medidas de seguridad si da a conocer su contraseña a otras personas.

Cualquier usuario que reciba a través de la red información contraria al interés social, la moral y las buenas costumbres, la integridad o seguridad del Estado, está en la obligación de comunicarlo a su jefe inmediato superior y al Administrador de la Red o al Especialista de Seguridad Informática, y estos al máximo dirigente de la entidad.

Queda prohibido para todos los usuarios de la Red-UIJ, independientemente del tipo de usuario que sea y a la instancia de la red que esté conectado:

Revelar su contraseña a otras personas.
Utilizar cuentas ajenas.
Dejar sesiones de trabajo abiertas.
Enviar las contraseñas por correo electrónico.
Las contraseñas a emplear en las redes, deberán tener las mismas características y período de vigencia que se establece en el artículo 47 de la resolución 127/2007.
La instalación de módem a las máquinas conectadas a la red sin la autorización de la Rectora, Especialista de la Seguridad Informática y Administrador de la Red.

Divulgar información no autorizada sobre los sistemas, así como aquellas que no se ajusten a los objetivos de la universidad.
Modificar, borrar, o destruir datos o información; así como usar datos o información, computadoras, sistemas de computadoras o redes con el fin de cometer fraudes, extorsionar u obtener beneficios personales.
Acceder, alterar o eliminar información de las cuentas de otros usuarios, ni conectarse por procedimientos no autorizados a los Servidores de la Red-UIJ.
Introducir, ejecutar, distribuir o conservar, en los medios de cómputo, información contraria al interés social, la moral y las buenas costumbres.
Establecer cuentas de correo en servidores que se encuentran en el exterior y brindan estos servicios de forma gratuita, si antes no ha sido aprobada por el Representante del Presidente que corresponda.

Como resultado de la aplicación del Plan de Seguridad Informática todos los usuarios están obligados a:

Dominar el uso de los medios de extinción de incendios.
Tener implementado en sus respectivos medios, la clave del setup y que no sea de dominio público.
Tener activado el refrescador de pantalla con contraseña y que esta no sea de domino público.
No facilitar la entrada de dispositivos de almacenamiento o bienes informáticos a sus áreas si antes no lo ha autorizado el Subgerente de su filial.
Tener identificados correctamente los soportes de información externos (disquetes) que correspondan a la filial.
Prohibir la introducción, ejecución, distribución o conservación en los medios de cómputo de programas que puedan ser utilizados para comprobar, monitorear o transgredir la seguridad.
Mantener actualizados sus productos antivirus.
Realización de las salvas de sus activos de información personales y de las Bases de Datos que estén bajo su custodia.

Velar por la integridad física de los bienes informáticos puestos bajo su cuidado y explotación.

Funciones del Responsable de Laboratorio de Uso Colectivo.

Velar por el correcto funcionamiento de los Sistemas.
Que se cumplan los procedimientos antivirus establecidos.
Realizar sistemáticamente mantenimientos a los sistemas en el Laboratorio, comprobando el estado técnico y de ocupación de los discos duros, etc.
Velar por el correcto uso del equipamiento instalado y por su integridad.
Mantener actualizado los discos de inicio o de rescate de (o las) máquina(s) que utilizan.

Funciones del propietario de los datos.

Cumplir las normas y reglamentos establecidos para el procesamiento de la información.
Tener debidamente identificada la clasificación de la información que posee.
Tener debidamente protegida la información según su categoría de clasificación.

Auditorías

Se realizarán auditorías tanto internas como externas para conocer la marcha del Plan de Seguridad Informática y la preparación de los trabajadores. En este sentido se programaran inspecciones mensuales a un área en particular.

Preparación y realización de auditorías

Se realizarán auditorías, tanto internas como externas (por parte de una entidad especializada) para conocer la marcha del Plan de Seguridad Informática y la preparación de los trabajadores en tal sentido.
Las auditorías internas se realizarán dos veces al año (una en cada semestre) y las externas cada dos años como mínimo.
Se realizarán auditorías internas sorpresas, en la cual participarán el Especialista de Seguridad Informática, al menos un Administrador de Red y un activista por área.
En las auditorías internas a la seguridad informática participarán el Jefe de Protección Física de la UIJ, Administrador de la Red UIJ, Especialista de Seguridad Informática, Responsable de Auditorías en la UIJ y un Responsable de Seguridad Informática de cada área seleccionada a fin de velar por el cumplimiento del Plan de Seguridad Informática y el Reglamento de la Red UIJ.
Toda la información contenida en las estaciones de la Red Universitaria es susceptible de auditoría e investigación por parte del Administrador y el Especialista de Seguridad Informática de la UIJ.
Toda la información contenida en las estaciones de una dependencia es susceptible de auditoría e investigación por parte del Administrador y el RSI del área correspondiente.
Las estaciones de trabajo que sean detectadas con problemas de seguridad, daño a lo instalado o intento de dañar otras estaciones de trabajo, serán intervenidas y serán desconectadas de la Red UIJ, hasta tener resultados del análisis forense realizado a las mismas.

Funciones de la comisión de auditoría para la seguridad informática.

Comprobar la existencia y vigencia del Plan de Seguridad Informática.
Evaluar los hechos ocurridos y las medidas adoptadas.
Comprobar los sistemas en busca de huecos de seguridad.
Proponer medidas y recomendaciones para minimizar o eliminar los riesgos existentes.
Contribuir a la superación del personal.
Fiscalizar el cumplimiento de las resoluciones que rigen el trabajo de la seguridad informática.
Realizar inspecciones sorpresas por los locales de la universidad para detectar y prevenir incidencias relacionadas con la seguridad informática.

Los Activistas de Seguridad Informática se designarán en aquellos lugares donde por las condiciones específicas, y cantidad de recursos informáticos y activos de información así lo aconsejen, y fungirán como personal de apoyo del Especialista de Seguridad Informática, desarrollando un conjunto de actividades orientadas por este último en interés de fortalecer y garantizar el cumplimiento de las medidas de Seguridad Informática en sus áreas respectivas.