estudio de la situación actual en materia de seguridad en redes e ...

2.1.2 PASOS PARA LA CREACIÓN DE LAS POLÍTICAS DE
SEGURIDAD EN UNA ORGANIZACIÓN [14]
Identificación de los activos organizativos:
Consiste en la creación de una lista de todos los objetos que precisen
protección.
Por ejemplo: Hardware: Estaciones de trabajo y equipos de telecomunicación.
Software: Programas fuente, útilidades, programas de diagnóstico, sistemas
operativos, programas de comunicaciones.
Datos: Copias de seguridad, registros de auditoria, bases de datos.
Valoración del riesgo:
Conlleva la determinación de lo que se necesita proteger. No es más que el
proceso de examinar todos los riesgos, y valorarlos por niveles de seguridad.
Definición de una política de uso aceptable (Creación de políticas):
Las herramientas y aplicaciones forman la base técnica de la política de
seguridad, pero la política de uso aceptable debe considerar aspectos como
los listados a continuación:
¿Quién tiene permiso para usar los recursos?
¿Quién esta autorizado a conceder acceso y a aprobar los usos?
¿Quién tiene privilegios de administración del sistema?
¿Qué hacer con la información confidencial?
¿Cuáles son los derechos y responsabilidades de los usuarios?
Por ejemplo, al definir los derechos y responsabilidades de los usuarios:
- Si los usuarios están restringidos y cuáles son sus restricciones.
- Si los usuarios pueden compartir cuentas o dejar que otros
usuarios útilicen sus cuentas.
- Cómo deberían mantener sus contraseñas los usuarios.
- Con qué frecuencia deben cambiar sus contraseñas.
9