dc.contributor.advisor	Castro Gutiérrez, Robert Darío
dc.contributor.author	Carreño Balcázar, Ivonne Tatiana
dc.contributor.author	Mendoza Cabrejo, Sebastián
dc.contributor.author	Montañez Usme, Mateo Simón José
dc.date.accessioned	2022-01-25T15:05:30Z
dc.date.available	2022-01-25T15:05:30Z
dc.date.issued	2022-01-14
dc.description.abstract	En la actualidad convivimos en una era tecnológica que ha generado impactos tanto positivos como negativos a nivel personal y empresarial. La tecnología y la información se han posicionado como uno de los aspectos más importantes a tener en cuenta para las organizaciones, impulsando la innovación, introducción en nuevos mercados, ejecución de tareas internas, CORE de negocio, atracción de nuevos clientes, almacenamiento de información, entre otros. Sin embargo, al contar con sistemas de información cuyo principal movimiento es a través de Internet, genera una brecha a nivel de seguridad exponiendo los activos a nuevas amenazas, riesgos y vulnerabilidades que pueden ser explotadas por terceros malintencionados. Teniendo en cuenta lo anterior, este documento toma como referencia una empresa tecnológica del sector salud, la cual tiene como prioridad brindar una buena administración de la información que se genera teniendo en cuenta aspectos de confidencialidad sobre los datos de los pacientes, historial clínico, enfermedades, nueva medicina, fórmulas, entre otros. Es por esto, que se realizó el diseño de un Sistema de Gestión de Seguridad de la Información cuyo principal objetivo es garantizar los tres pilares de la información: confidencialidad, integridad y disponibilidad. Inicialmente, se realizó un levantamiento de información relacionando los activos tecnológicos de la organización, uso de los recursos informáticos, estado actual en términos de seguridad y los principales procesos que se manejan internamente, teniendo como resultado falta de controles que garanticen el correcto uso y acceso a la información por los colaboradores de la organización. Posteriormente, se realizó un estudio de vulnerabilidades a través, de un análisis GAP basados en el anexo A del estándar ISO 27001:2013, donde se identificó el grado de cumplimiento de la organización con respecto a los lineamientos que establece la norma, obteniendo como resultado una comparación del estado actual en el que se encuentra la empresa con respecto a lo esperado o ideal en cuanto a seguridad de la información. Así mismo, a través del levantamiento de información se identificó la estructura organizacional y los activos tecnológicos de la empresa, referenciando los diferentes recursos tecnológicos que se utilizan para poder garantizar la prestación de sus servicios, teniendo en cuenta características principales, fabricante, modelo, propietario y funcionalidad de este. De esta manera, se pudo diseñar la topología de red, especificando los equipos, la distribución de las diversas áreas, direccionamiento y segmentación de direcciones IP de cada una, esquema de redundancia, capacidad e Internet. Por otro lado, teniendo en cuenta las brechas de seguridad identificadas con el levantamiento de información y análisis de vulnerabilidades, se evidenció que no se contaban con controles ni políticas de seguridad que garantizaran el correcto uso de la información por parte de los colaboradores de la compañía, es por esto que, basados en las buenas prácticas del estándar ISO27001 del 2013 se diseñaron las políticas de seguridad en donde se definieron los lineamientos generales, alcance, roles y responsabilidades necesarias para preservar y garantizar la protección y seguridad de la información de la organización. Basados en la estructura organizacional actual de la organización, se evidenció la necesidad de crear el área de seguridad de la información, la cual se encarga de velar por el cumplimiento del SGSI alineado con los objetivos de la empresa, implementando, supervisando y garantizando el cumplimiento de las políticas de seguridad establecidas. Finalmente, con la información recopilada en el presente estudio, se entrega a la empresa las recomendaciones, hallazgos, planes de acción a tomar y una matriz de riesgos en donde se expone lo que se tiene actualmente, lo que se está cumpliendo y que se debería implementar de acuerdo con las brechas de seguridad a las cuales está expuesta la organización, quedando a disposición de la alta gerencia para que determine sus prioridades en la implementación.	spa
dc.description.abstractenglish	Today we live in a technological era that has generated both positive and negative impacts at a personal and business level. Technology and information have positioned themselves as one of the most important aspects to take into account for organizations, driving innovation, introduction into new markets, execution of internal tasks, business CORE, attracting new customers, information storage, among others. However, having information systems whose main movement is through the Internet, generates a security breach exposing the assets to new threats, risks and vulnerabilities that can be exploited by malicious third parties. Taking into account the above, this document takes as a reference a technological company in the health sector, which has as a priority to provide a good management of the information that is generated taking into account aspects of confidentiality of patient data, clinical history, diseases, new medicine, formulas, among others. For this reason, an Information Security Management System was designed with the main objective of guaranteeing the three pillars of information: confidentiality, integrity and availability. Initially, an information survey was carried out relating the technological assets of the organization, use of computer resources, current status in terms of security and the main processes that are handled internally, resulting in a lack of controls to ensure the proper use and access to information by employees of the organization. Subsequently, a study of vulnerabilities was conducted through a GAP analysis based on Annex A of the ISO 27001:2013 standard, where the degree of compliance of the organization with respect to the guidelines established by the standard was identified, resulting in a comparison of the current state in which the company is with respect to the expected or ideal in terms of information security. Likewise, through the information survey, the organizational structure and the technological assets of the company were identified, referencing the different technological resources used to guarantee the provision of its services, taking into account their main characteristics, manufacturer, model, owner and functionality. In this way, it was possible to design the network topology, specifying the equipment, the distribution of the different areas, addressing and segmentation of IP addresses of each one, redundancy scheme, capacity and Internet. On the other hand, taking into account the security gaps identified with the information gathering and vulnerability analysis, it was evidenced that there were no security controls or policies to ensure the correct use of information by the company's employees, which is why, based on the good practices of the ISO27001 standard of 2013, security policies were designed where the general guidelines, scope, roles and responsibilities necessary to preserve and ensure the protection and security of the organization's information were defined. Based on the current organizational structure of the organization, it became evident the need to create the information security area, which is responsible for ensuring compliance with the ISMS aligned with the objectives of the company, implementing, monitoring and ensuring compliance with established security policies. Finally, with the information gathered in this study, the company is provided with recommendations, findings, action plans to be taken and a risk matrix where what is currently in place, what is being complied with and what should be implemented according to the security breaches to which the organization is exposed, is presented to senior management to determine their priorities for implementation.	eng
dc.description.degreelevel	Especialización	spa
dc.description.degreename	Especialista en Seguridad de Redes Telemáticas	spa
dc.format.mimetype	application/pdf
dc.identifier.instname	instname:Universidad El Bosque	spa
dc.identifier.reponame	reponame:Repositorio Institucional Universidad El Bosque	spa
dc.identifier.repourl	repourl:https://repositorio.unbosque.edu.co
dc.identifier.uri	https://hdl.handle.net/20.500.12495/6580
dc.language.iso	spa
dc.publisher.faculty	Facultad de Ingeniería	spa
dc.publisher.grantor	Universidad El Bosque	spa
dc.publisher.program	Especialización en Seguridad de Redes Telemáticas	spa
dc.rights	Atribución-NoComercial-CompartirIgual 4.0 Internacional	*
dc.rights.accessrights	info:eu-repo/semantics/openAccess
dc.rights.accessrights	https://purl.org/coar/access_right/c_abf2
dc.rights.local	Acceso abierto	spa
dc.rights.uri	https://creativecommons.org/licenses/by-nc-sa/4.0/	*
dc.subject	Políticas de seguridad	spa
dc.subject	Disponibilidad	spa
dc.subject	Integridad	spa
dc.subject	Confidencialidad	spa
dc.subject.armarc	Control de calidad	spa
dc.subject.armarc	Calidad total	spa
dc.subject.armarc	Administración	spa
dc.subject.ddc	621.3820289
dc.subject.keywords	Security policies	spa
dc.subject.keywords	Availability	spa
dc.subject.keywords	Integrity	spa
dc.subject.keywords	Confidentiality	spa
dc.title	Diseño de un SGSI para una empresa del sector salud basado en el estándar ISO 27001:2013	spa
dc.title.translated	Design of an SGSI for a company in the health sector based on the ISO 27001:2013 standard	spa
dc.type.coar	https://purl.org/coar/resource_type/c_7a1f
dc.type.coarversion	https://purl.org/coar/version/c_ab4af688f83e57aa
dc.type.driver	info:eu-repo/semantics/bachelorThesis
dc.type.hasversion	info:eu-repo/semantics/acceptedVersion
dc.type.local	Tesis/Trabajo de grado - Monografía - Especialización	spa

Diseño de un SGSI para una empresa del sector salud basado en el estándar ISO 27001:2013

Archivos

Bloque original

Bloque de licencias

Colecciones