1. Tratamiento de Riesgode Seguridad Equipo Nº 11 UNFV – FIIS -2011 Universidad Nacional Federico Villarreal
2. Introducción La información es un activo para las organizaciones y en consecuencia requiere una protección adecuada, y debido al actual ambiente creciente esta expuesta a un mayor rango de amenazas sin contar con las debilidades inherentes de la misma.
25. Oficina de Control Interno Comisión Central Seguridad Informática RESP. EJECUTIVA RESP. CONTROL Comité de Informática RESP. TÉCNICA Oficina de Seguridad Informática Equipos Interfuncionales Especialistas De Informática RESP. CUMPLIMIENTO Personal en General
26. Esquema Organización para la seguridad SSI SUNAT Relación de Procedimientos de Seguridad Informática Reportes de incidentes de seguridad Metodología de análisis de riesgos Circular Nº 039-2005
28. CIRCULAR N° 039-2005 Materia: Incidentes y vulnerabilidades de seguridad informática que deben ser reportados para identificar las debilidades de los sistemas y las acciones no autorizadas en su acceso y/o uso, permitiéndonos minimizar los riesgos y/o dar respuesta oportuna frente a posibles ataques. Finalidad: Establecer los lineamientos y procedimientos para reportar los incidentes y vulnerabilidades de seguridad informática. Alcance: A todo el personal de la Superintendencia Nacional de Administración Tributaría.
29. Conclusiones El tratamiento de riesgos deriva de la evaluación de riesgos. La evaluación de riesgos identifica, cuantifica y prioriza riesgos, determinando con el tratamiento los controles necesarios. La seguridad de información se consigue implantando un conjunto adecuado de controles. Los controles necesitan ser establecidos, implementados, monitoreados, revisados y mejorados donde sea necesario en la organización.
30. Recomendaciones Antes de considerar el tratamiento de riesgos, la organización debe decidir el criterio para determinar si es que los riesgos son aceptados o no. Para cada uno de los riesgos identificados, se necesita realizar una decisión de tratamiento de riesgo. Para los riesgos identificados, donde la decisión del tratamiento de riesgo ha sido aplicado a controles, estos deben de ser seleccionados e implementados. La gerencia deberá aprobar, publicar y comunicar a todos los empleados, un documento de política de seguridad de información.