• Descripción

Este curso de Sistemas de Gestión de la Seguridad de la Información pretende cambiar o ayudar a cambiar la concepción ampliamente extendida de lo más importante cuando se habla de seguridad: los equipos informáticos. En realidad, lo importante es asegurar la seguridad de la información.

Desde este punto de vista, se debe analizar lo que se pretende asegurar cuando se habla de seguridad de la información, y se tendrán en cuenta las tres propiedades fundamentales, como son:

• Integridad de la información
• Confidencialidad de la información
• Integridad de la información

Durante todo este curso se darán los fundamentos o los aspectos a considerar cuando se pretenda asegurar esta información ante las posibles amenazas que pudieran afectarla.

Hay que tener presente que la seguridad total nunca se conseguirá, por lo que en este curso no se indicarán los consejos para evitar cualquier tipo de incidente, sino que se hablará de los denominados Sistemas de Gestión de la Seguridad de la Información (SGSI). Como su nombre indica, estos tratan de ofrecer una seguridad apropiada a las informaciones manejadas por las entidades. Sobre todo, implantar un SGSI implica que las organizaciones mantengan, revisen, actualicen y controlen todo lo referente a la seguridad. En pocas palabras, que gestionen correctamente la seguridad que hayan implantado.

Respecto a la seguridad de la información y, concretamente, a la gestión de la misma, existen diferentes normativas, y entre ellas se explicará ampliamente la que está teniendo una mayor expansión en el sector de la seguridad, como es la familia 27000 de las normas internacionales ISO, en concreto, la ISO27001 y la ISO 27002, con el fin de ofrecer una seguridad global.

De la misma forma, y teniendo en cuenta que la seguridad total nunca se podrá obtener, es importante comentar la necesidad de tener previstos algunos mecanismos de seguridad que permitan minimizar el impacto de los incidentes que no puedan llegar a evitarse, con el fin de que la actividad de la organización no se pare. En este sentido, también se procederá a la explicación de los Planes de Continuidad de Negocio.

Por último, la Administración Pública no es ajena en absoluto a la necesidad de gestionar correctamente la seguridad de la información. Por ello, en este curso se trabajará también toda regulación del Esquema Nacional de Seguridad, que es el que establece y normaliza la seguridad de la información a través de una serie de normativas y políticas en el ámbito de los servicios públicos que emplean medios electrónicos.

• La asignatura en el conjunto del plan de estudios

La asignatura Sistemas de Gestión de la Seguridad de la Información forma parte de dos titulaciones:

• En el Máster Interuniversitario en Seguridad de las Tecnologías de la Información y de las Comunicaciones, la asignatura se encuentra dentro de la especialización de Gestión y Auditoría de la Seguridad.

• En el Máster Universitario en Ingeniería Informática, la asignatura se encuentra dentro del módulo de formación obligatoria de Tecnologías Informáticas.

La asignatura consta de 6 créditos ECTS y en ella se trabajan los aspectos más importantes de la gestión de la seguridad de la información, incluyendo su control, mantenimiento, revisión y actualización.

• Campos profesionales en el que se proyecta

La presente asignatura se proyecta sobre numerosos campos profesionales, entre los cuales podemos destacar los siguientes:

• Gestor/a de proyectos de software

• Arquitecto/a y diseñador/a de software de sistemas

• Programador/a de software de sistemas

• Consultor/a de la gestión estratégica de la información

• Consultor/a de la gestión de la información

• Especialista en recuperación de catástrofes

• Ingeniero/a de integración, pruebas e implantación

• Integrador/a de sistemas

• Director/a de proyectos TIC

• Director/a de desarrollo

• Conocimientos previos

La presente asignatura no presupone conocimientos previos. No obstante, para aquellos estudiantes que tengan que cursar complementos de formación, se recomienda haber cursado previamente las siguientes asignaturas:

En el caso de estudiantes del Máster Interuniversitario en Seguridad de las Tecnologías de la Información y de las Comunicaciones

• Estructura de computadores
• Seguridad en redes de computadores
• Criptografía

En el caso de estudiantes del Máster Universitario en Ingeniería Informática

• Estructura de computadores
• Sistemas operativos
• Administración de redes y sistemas operativos

• Información previa a la matrícula

La presente asignatura no presupone conocimientos previos. No obstante, para aquellos estudiantes que tengan que cursar complementos de formación, se recomienda haber cursado previamente las siguientes asignaturas:

En el caso de estudiantes del Máster Interuniversitario en Seguridad de las Tecnologías de la Información y de las Comunicaciones

• Estructura de computadores
• Seguridad en redes de computadores
• Criptografía

En el caso de estudiantes del Máster Universitario en Ingeniería Informática

• Estructura de computadores
• Sistemas operativos
• Administración de redes y sistemas operativos

• Objetivos y competencias

Los objetivos principales del curso son:

• Conocer la importancia de la seguridad de la información y diferencias con el concepto de seguridad informática.
• Conocer cuál es el proceso correcto para proteger una organización.
• Analizar la importancia de realizar análisis de riesgos en las organizaciones.
• Gestionar correctamente los riesgos de una organización.
• Conocimiento de los objetivos y utilidades de las normas ISO 27000.
• Conocer la metodología para la gestión de la seguridad de la información.
• Importancia de los Planes de Continuidad de Negocio.

Mediante la consecución de estos objetivos, la realización de la presente asignatura contribuye a la adquisición de las siguientes competencias del Máster Interuniversitario en Seguridad de las Tecnologías de la Información y de las Comunicaciones:

• Capacidad de análisis y síntesis de la seguridad de un sistema.
• Capacidad para ejercer la actividad profesional de acuerdo al código ético y a los aspectos legales actuales en el entorno de las TIC.
• Capacidad de comunicación tanto a público especializado como no especializado de modo claro y sin ambigüedades.
• Capacidad de aprendizaje autónomo consultando información.
• Conocimiento de herramientas y tendencias tecnológicas del mercado de la seguridad informática.
• Uso del inglés como lengua vehicular en el ámbito tecnológico
• Capacidad para implantar un Sistema de Gestión de la Seguridad de la Información siguiendo las fases del ciclo de Deming.
• Capacidad para elaborar un plan de seguridad, teniendo en cuento todo el proceso de inventario y clasificación de activos, estudio de amenazas, análisis de riesgos y definición del plan de acción con el presupuesto asociado para la aprobación de la dirección.
• Capacidad para identificar y analizar los procesos críticos de una organización, así como el impacto que produciría la interrupción de estos procesos.
• Capacidad para desarrollar un Plan de Continuidad, conocer sus fases y el personal que debe implicarse en su desarrollo. Conocer las normas y estándares de referencia relacionados con la Continuidad de Negocio

En cuanto al Máster Universitario en Ingeniería Informática, la realización de la presente asignatura contribuye a la adquisición de las siguientes competencias:

• Capacidad para proyectar, calcular y diseñar productos, procesos e instalaciones en todos los ámbitos de la ingeniería informática.
• Capacidad para comprender y aplicar la responsabilidad ética, la legislación y la deontología profesional de la actividad de la profesión de Ingeniero en Informática.
• Capacidad para modelar, diseñar, definir la arquitectura, implantar, gestionar, operar, administrar y mantener aplicaciones, redes, sistemas, servicios y contenidos informáticos.
• Capacidad para asegurar, gestionar, auditar y certificar la calidad de los desarrollos, procesos, sistemas, servicios, aplicaciones y productos informáticos.
• Capacidad para diseñar, desarrollar, gestionar y evaluar mecanismos de certificación y garantía de seguridad en el tratamiento y acceso a la información en un sistema de procesamiento local o distribuido.

• Contenidos

A continuación se detallan los contenidos del programa agrupándolos en módulos temáticos.

Introducción a la Seguridad de la Información

• Qué es seguridad de la información

• Dimensiones de la seguridad de la información

• Gestión de la seguridad de la información

• Normativa legal en España

• Estándares de seguridad de la información

• Estado de la seguridad

• Profesionales de la seguridad de la información

Análisis de riesgos

• Ciclo de vida de la seguridad

• Análisis de riesgos

• Análisis de riesgos. Justificación y estudio

• Metodologías

Implantación de un SGSI

• Qué es un sistema de gestión de la seguridad de la información

• Normativas internacionalmente reconocidas

• La familia ISO 27000

• ISO/IEC 27002 - Código de buenas prácticas para la Gestión de la Seguridad de la Información

• Sistemas de gestión

• Introducción al SGSI

• Planificar: Establecer el SGSI

• Hacer: Implantar y operar el SGSI

• Verificar: Monitorizar y revisar el SGSI

• Actuar: Mantener y mejorar el SGSI

• Esquema documental del SGSI

Desarrollo de algunos objetivos de control del SGSI

• Desarrollo de un marco normativo de seguridad de la información

• Política de seguridad de la información

• Organización de la seguridad de la información

• Clasificación de la información

• Herramientas para un SGSI

• Factores críticos de éxito en la implantación de un SGSI

• Certificación del SGSI

Planes de continuidad de negocio

• Planes de continuidad de negocio

• Plan de continuidad de negocio versus plan de contingencias

• Plan de continuidad de negocio

• Estructura de los planes de continuidad de negocio

Esquema Nacional de Seguridad

• Origen del ENS: normalización de la seguridad de la información en la administración pública

• Objetivo y ámbito de aplicación

• Normativa ENS: RD 3/2010: Estructura y articulado

• La política de seguridad en el ENS

• Requisitos del ENS: organización, responsabilidades y funciones

• Categorización de los sistemas de información

• Análisis y Gestión de riesgos en el ENS

• Elección de medidas de seguridad

• Tipos de auditorías en el ENS

• Diferencias y similitudes con ISO/IEC 27001

• La unión del RGPD con el ENS

• Las guías 800 del Centro Criptológico Nacional

• Consulta de los recursos de aprendizaje de la UOC para la asignatura

• Información adicional sobre los recursos de aprendizaje y herramientas de apoyo

El material didàctic del curs es composa de diferents mòduls didàctics en format web i paper.

• Informaciones sobre la evaluación en la UOC

El proceso de evaluación se fundamenta en el trabajo personal de cada estudiante y presupone la autenticidad de la autoría y la originalidad de los ejercicios realizados.

La falta de autenticidad en la autoría o de originalidad de las pruebas de evaluación; la copia o el plagio; el intento fraudulento de obtener un resultado académico mejor; la colaboración, el encubrimiento o el favorecimiento de la copia, o la utilización de material o dispositivos no autorizados durante la evaluación, entre otras, son conductas irregulares que pueden tener consecuencias académicas y disciplinarias graves.

Por un lado, si se detecta alguna de estas conductas irregulares, puede comportar el suspenso (D/0) en las actividades evaluables que se definan en el plan docente - incluidas las pruebas finales - o en la calificación final de la asignatura, ya sea porque se han utilizado materiales o dispositivos no autorizados durante las pruebas, como redes sociales o buscadores de información en internet, porque se han copiado fragmentos de texto de una fuente externa (internet, apuntes, libros, artículos, trabajos o pruebas del resto de estudiantes, etc.) sin la correspondiente citación, o porque se ha practicado cualquier otra conducta irregular.

Por el otro, y de acuerdo con las normativas académicas, las conductas irregulares en la evaluación, además de comportar el suspenso de la asignatura, pueden dar lugar a la incoación de un procedimiento disciplinario y a la aplicación, si procede, de la sanción que corresponda.

La UOC se reserva la potestad de solicitar al estudiante que se identifique o que acredite la autoría de su trabajo a lo largo de todo el proceso de evaluación por los medios que establezca la universidad (síncronos o asíncronos). A estos efectos, la UOC puede exigir al estudiante el uso de un micrófono, una cámara u otras herramientas durante la evaluación y que este se asegure de que funcionan correctamente.

La verificación de los conocimientos para garantizar la autoría de la prueba no implicará en ningún caso una segunda evaluación.

• Consulta del modelo de evaluación