Sistemas de gestión de seguridad de la información Código:  M1.307    :  6
Consulta de los datos generales   Descripción   La asignatura en el conjunto del plan de estudios   Campos profesionales en el que se proyecta   Conocimientos previos   Información previa a la matrícula   Objetivos y competencias   Contenidos   Consulta de los recursos de aprendizaje de los que dispone la asignatura   Recursos de aprendizaje y herramientas de apoyo   Informaciones sobre la evaluación en la UOC   Consulta del modelo de evaluación  
Este es el plan docente de la asignatura. Os servirá para planificar la matrícula (consultad si la asignatura se ofrece este semestre en el espacio del Campus Más UOC / La Universidad / Planes de estudios). Una vez empiece la docencia, tenéis que consultarlo en el aula. (El plan docente puede estar sujeto a cambios).

Este curso de Sistemas de Gestión de la Seguridad de la Información pretende cambiar o ayudar a cambiar la concepción ampliamente extendida de lo más importante cuando se habla de seguridad: los equipos informáticos. En realidad, lo importante es asegurar la seguridad de la información.

Desde este punto de vista, se debe analizar lo que se pretende asegurar cuando se habla de seguridad de la información, y se tendrán en cuenta las tres propiedades fundamentales, como son:

  • Integridad de la información
  • Confidencialidad de la información
  • Integridad de la información

Durante todo este curso se darán los fundamentos o los aspectos a considerar cuando se pretenda asegurar esta información ante las posibles amenazas que pudieran afectarla.

Hay que tener presente que la seguridad total nunca se conseguirá, por lo que en este curso no se indicarán los consejos para evitar cualquier tipo de incidente, sino que se hablará de los denominados Sistemas de Gestión de la Seguridad de la Información (SGSI). Como su nombre indica, estos tratan de ofrecer una seguridad apropiada a las informaciones manejadas por las entidades. Sobre todo, implantar un SGSI implica que las organizaciones mantengan, revisen, actualicen y controlen todo lo referente a la seguridad. En pocas palabras, que gestionen correctamente la seguridad que hayan implantado.

Respecto a la seguridad de la información y, concretamente, a la gestión de la misma, existen diferentes normativas, y entre ellas se explicará ampliamente la que está teniendo una mayor expansión en el sector de la seguridad, como es la familia 27000 de las normas internacionales ISO, en concreto, la ISO27001 y la ISO 27002, con el fin de ofrecer una seguridad global.

De la misma forma, y teniendo en cuenta que la seguridad total nunca se podrá obtener, es importante comentar la necesidad de tener previstos algunos mecanismos de seguridad que permitan minimizar el impacto de los incidentes que no puedan llegar a evitarse, con el fin de que la actividad de la organización no se pare. En este sentido, también se procederá a la explicación de los Planes de Continuidad de Negocio.

Por último, la Administración Pública no es ajena en absoluto a la necesidad de gestionar correctamente la seguridad de la información. Por ello, en este curso se trabajará también toda regulación del Esquema Nacional de Seguridad, que es el que establece y normaliza la seguridad de la información a través de una serie de normativas y políticas en el ámbito de los servicios públicos que emplean medios electrónicos.

Amunt

La asignatura Sistemas de Gestión de la Seguridad de la Información forma parte de dos titulaciones:

  • En el Máster Interuniversitario en Seguridad de las Tecnologías de la Información y de las Comunicaciones, la asignatura se encuentra dentro de la especialización de Gestión y Auditoría de la Seguridad.
  • En el Máster Universitario en Ingeniería Informática, la asignatura se encuentra dentro del módulo de formación obligatoria de Tecnologías Informáticas.

La asignatura consta de 6 créditos ECTS y en ella se trabajan los aspectos más importantes de la gestión de la seguridad de la información, incluyendo su control, mantenimiento, revisión y actualización.

Amunt

La presente asignatura se proyecta sobre numerosos campos profesionales, entre los cuales podemos destacar los siguientes:

  • Gestor/a de proyectos de software

  • Arquitecto/a y diseñador/a de software de sistemas

  • Programador/a de software de sistemas

  • Consultor/a de la gestión estratégica de la información

  • Consultor/a de la gestión de la información

  • Especialista en recuperación de catástrofes

  • Ingeniero/a de integración, pruebas e implantación

  • Integrador/a de sistemas

  • Director/a de proyectos TIC

  • Director/a de desarrollo

Amunt

La presente asignatura no presupone conocimientos previos. No obstante, para aquellos estudiantes que tengan que cursar complementos de formación, se recomienda haber cursado previamente las siguientes asignaturas:

En el caso de estudiantes del Máster Interuniversitario en Seguridad de las Tecnologías de la Información y de las Comunicaciones

  • Estructura de computadores
  • Seguridad en redes de computadores
  • Criptografía

En el caso de estudiantes del Máster Universitario en Ingeniería Informática

  • Estructura de computadores
  • Sistemas operativos
  • Administración de redes y sistemas operativos

Amunt

La presente asignatura no presupone conocimientos previos. No obstante, para aquellos estudiantes que tengan que cursar complementos de formación, se recomienda haber cursado previamente las siguientes asignaturas:

En el caso de estudiantes del Máster Interuniversitario en Seguridad de las Tecnologías de la Información y de las Comunicaciones

  • Estructura de computadores
  • Seguridad en redes de computadores
  • Criptografía

En el caso de estudiantes del Máster Universitario en Ingeniería Informática

  • Estructura de computadores
  • Sistemas operativos
  • Administración de redes y sistemas operativos

Amunt

Los objetivos principales del curso son:

  • Conocer la importancia de la seguridad de la información y diferencias con el concepto de seguridad informática.
  • Conocer cuál es el proceso correcto para proteger una organización.
  • Analizar la importancia de realizar análisis de riesgos en las organizaciones.
  • Gestionar correctamente los riesgos de una organización.
  • Conocimiento de los objetivos y utilidades de las normas ISO 27000.
  • Conocer la metodología para la gestión de la seguridad de la información.
  • Importancia de los Planes de Continuidad de Negocio.

Mediante la consecución de estos objetivos, la realización de la presente asignatura contribuye a la adquisición de las siguientes competencias del Máster Interuniversitario en Seguridad de las Tecnologías de la Información y de las Comunicaciones:

  • Capacidad de análisis y síntesis de la seguridad de un sistema.
  • Capacidad para ejercer la actividad profesional de acuerdo al código ético y a los aspectos legales actuales en el entorno de las TIC.
  • Capacidad de comunicación tanto a público especializado como no especializado de modo claro y sin ambigüedades.
  • Capacidad de aprendizaje autónomo consultando información.
  • Conocimiento de herramientas y tendencias tecnológicas del mercado de la seguridad informática.
  • Uso del inglés como lengua vehicular en el ámbito tecnológico
  • Capacidad para implantar un Sistema de Gestión de la Seguridad de la Información siguiendo las fases del ciclo de Deming.
  • Capacidad para elaborar un plan de seguridad, teniendo en cuento todo el proceso de inventario y clasificación de activos, estudio de amenazas, análisis de riesgos y definición del plan de acción con el presupuesto asociado para la aprobación de la dirección.
  • Capacidad para identificar y analizar los procesos críticos de una organización, así como el impacto que produciría la interrupción de estos procesos.
  • Capacidad para desarrollar un Plan de Continuidad, conocer sus fases y el personal que debe implicarse en su desarrollo. Conocer las normas y estándares de referencia relacionados con la Continuidad de Negocio

En cuanto al Máster Universitario en Ingeniería Informática, la realización de la presente asignatura contribuye a la adquisición de las siguientes competencias:

  • Capacidad para proyectar, calcular y diseñar productos, procesos e instalaciones en todos los ámbitos de la ingeniería informática.
  • Capacidad para comprender y aplicar la responsabilidad ética, la legislación y la deontología profesional de la actividad de la profesión de Ingeniero en Informática.
  • Capacidad para modelar, diseñar, definir la arquitectura, implantar, gestionar, operar, administrar y mantener aplicaciones, redes, sistemas, servicios y contenidos informáticos.
  • Capacidad para asegurar, gestionar, auditar y certificar la calidad de los desarrollos, procesos, sistemas, servicios, aplicaciones y productos informáticos.
  • Capacidad para diseñar, desarrollar, gestionar y evaluar mecanismos de certificación y garantía de seguridad en el tratamiento y acceso a la información en un sistema de procesamiento local o distribuido.

Amunt

A continuación se detallan los contenidos del programa agrupándolos en módulos temáticos.

Introducción a la Seguridad de la Información

  • Qué es seguridad de la información

  • Dimensiones de la seguridad de la información

  • Gestión de la seguridad de la información

  • Normativa legal en España

  • Estándares de seguridad de la información

  • Estado de la seguridad

  • Profesionales de la seguridad de la información

Análisis de riesgos

  • Ciclo de vida de la seguridad

  • Análisis de riesgos

  • Análisis de riesgos. Justificación y estudio

  • Metodologías

Implantación de un SGSI

  • Qué es un sistema de gestión de la seguridad de la información

  • Normativas internacionalmente reconocidas

  • La familia ISO 27000

  • ISO/IEC 27002 - Código de buenas prácticas para la Gestión de la Seguridad de la Información

  • Sistemas de gestión

  • Introducción al SGSI

  • Planificar: Establecer el SGSI

  • Hacer: Implantar y operar el SGSI

  • Verificar: Monitorizar y revisar el SGSI

  • Actuar: Mantener y mejorar el SGSI

  • Esquema documental del SGSI

Desarrollo de algunos objetivos de control del SGSI

  • Desarrollo de un marco normativo de seguridad de la información

  • Política de seguridad de la información

  • Organización de la seguridad de la información

  • Clasificación de la información

  • Herramientas para un SGSI

  • Factores críticos de éxito en la implantación de un SGSI

  • Certificación del SGSI

Planes de continuidad de negocio

  • Planes de continuidad de negocio

  • Plan de continuidad de negocio versus plan de contingencias

  • Plan de continuidad de negocio

  • Estructura de los planes de continuidad de negocio

Esquema Nacional de Seguridad

  • Origen del ENS: normalización de la seguridad de la información en la administración pública
  • Objetivo y ámbito de aplicación
  • Normativa ENS: RD 3/2010: Estructura y articulado
  • La política de seguridad en el ENS
  • Requisitos del ENS: organización, responsabilidades y funciones
  • Categorización de los sistemas de información
  • Análisis y Gestión de riesgos en el ENS
  • Elección de medidas de seguridad
  • Tipos de auditorías en el ENS
  • Diferencias y similitudes con ISO/IEC 27001
  • La unión del RGPD con el ENS
  • Las guías 800 del Centro Criptológico Nacional

Amunt

Amunt

El material didàctic del curs es composa de diferents mòduls didàctics en format web i paper.

Amunt

La Normativa académica de la UOC dispone que el proceso de evaluación se fundamenta en el trabajo personal del estudiante y presupone la autenticidad de la autoría y la originalidad de los ejercicios realizados.

La falta de originalidad en la autoría o el mal uso de las condiciones en las que se hace la evaluación de la asignatura es una infracción que puede tener consecuencias académicas graves.

Se calificará al estudiante con un suspenso (D/0) si se detecta falta de originalidad en la autoría de alguna actividad evaluable (práctica, prueba de evaluación continua (PEC) o final (PEF), o la que se defina en el plan docente), ya sea porque ha utilizado material o dispositivos no autorizados, ya sea porque ha copiado de forma textual de internet, o ha copiado de apuntes, de materiales, manuales o artículos (sin la citación correspondiente) o de otro estudiante, o por cualquier otra conducta irregular.

La calificación de suspenso (D/0) en la evaluación continua (EC) puede conllevar la obligación de hacer el examen presencial para superar la asignatura (si hay examen y si superarlo es suficiente para superar la asignatura según indique este plan docente).

Cuando esta mala conducta se produzca durante la realización de las pruebas de evaluación finales presenciales, el estudiante puede ser expulsado del aula, y el examinador hará constar todos los elementos y la información relativos al caso.

Además, esta conducta puede dar lugar a la incoación de un procedimiento disciplinario y la aplicación, si procede, de la sanción que corresponda.

La UOC habilitará los mecanismos que considere oportunos para velar por la calidad de sus titulaciones y garantizar la excelencia y la calidad de su modelo educativo.

Amunt

Esta asignatura sólo puede superarse a partir de la evaluación continua (EC). La nota final de evaluación continua se convierte en la nota final de la asignatura. La fórmula de acreditación de la asignatura es la siguiente: EC.

 

Amunt