Modelo de csirt colombiano



Descargar 1.08 Mb.
Página20/27
Fecha de conversión27.05.2018
Tamaño1.08 Mb.
1   ...   16   17   18   19   20   21   22   23   ...   27

7.1.PERSPECTIVA SEGURIDAD DE LA INFORMACIÓN NACIONAL


  • Cobertura del CSIRT en entidades a nivel nacional: Con este indicador se pretende medir el apoyo brindado en seguridad de la información al mayor número de entidades a nivel nacional, de manera periódica no menor a 1 año. Se separa en entidades públicas y en entidades privadas.

  • Cobertura del CSIRT en departamentos a nivel nacional: Este indicador busca definir porcentualmente el número de departamentos al que se espera llegar con el alcance del CSIRT, de manera periódica no menor a 1 año.

  • Porcentaje de de incidencia de seguridad declaradas con impacto negativo. Este indicador busca definir porcentualmente para los diferentes grupos de clientes, de manera periódica no mayor a 3 meses, el total de incidencias ocurridas a nivel nacional, las cuales se discriminen por incidencias ocurridas, incidencias prevenidas y incidencias de impacto. Entre las incidencias a definir se podrá incluir: la denegación de servicios, troyanos, recepción de correo no deseado, virus informático, software espía o spyware, instrucciones remotas de ordenadores, intrusiones en su correo electrónico, intrusiones en otras cuentas de servicio web, bombas lógicas, robos de información, fraudes, robo de ancho de banda, etc.

  • Posicionamiento (Top of Mind): Este indicador busca entender la dinámica de la marca CSIRT en Colombia, se recomienda hacerse de manera periódica no menor a un año. Con este indicador la compañía podrá darse cuenta a través del mercado objetivo, si existe o se tiene un bajo o alto grado de recordación de la marca CSIRT. Este índice es una relación entre el numero de menciones de marca sobre el total de entrevistados.

  • Índice de Satisfacción de Usuarios: Mediante encuestas, se pretende determinar la satisfacción de los usuarios basada en la calidad percibida como medición de una satisfacción general, el cumplimiento de expectativas y la cercanía a la compañía perfecta acorde con el estándar internacional del Índice Americano de Satisfacción de Clientes (ACSI – American Customer Satisfaction Index)53

7.2.PERSPECTIVA FINANCIERA


  • Gasto versus Punto de Equilibrio: El nuevo CSIRT deberá verificar en el volumen de venta que, luego de deducidos los costos variables, queda un excedente suficiente para cubrir los costos fijos. Este punto umbral de rentabilidad será el punto en el que el CSIRT ingresa a una zona de ganancias, mientras que por debajo, no cubrirá sus costos. Por esta razón el CSIRT debe operar a un nivel superior al punto de equilibrio para poder reponer sus equipos, distribuir sus dividendos y tomar providencias para su expansión. Este indicador se recomienda sea teniendo en cuenta sólo para un periodo de tiempo definido por la propia organización (no mayor a un año), este después deberá ser remplazado por uno que mida y exija beneficios monetarios ascendentes. Este indicador busca medir la auto sostenibilidad financiera y de crecimiento del CSIRT para que pueda ofrecer servicios sostenibles a los diferentes mercados objetivos. Se deberá observar en este una tendencia de crecimiento y diversificación sana y sostenida de la oferta de servicios, con una muy buena calidad de cartera y adecuados niveles de eficiencia y rentabilidad. Así mismo este, busca medir como mínimo en un periodo inferior a 6 meses. Se medirá como mínimo, con base en el cubrimiento de los costos fijos del negocio (punto de equilibrio), teniendo en cuenta el margen bruto de rentabilidad.

7.3.PERSPECTIVA PROCESOS INTERNOS


  • Promedio de la Evaluación de 360 grados: La Evaluación de 360 grados o evaluación integral es una herramienta que permite medir el desempeño de los funcionarios y sus competencias, y de esta forma diseñar programas de desarrollo para individuales y colectivos. La evaluación de 360 grados pretende dar a los empleados una perspectiva de su desempeño desde el punto de vista de sus jefes, sus compañeros, subordinados, clientes internos, etc. El propósito de aplicar esta evaluación es brindar al funcionario la retroalimentación necesaria para mejorar su desempeño, su comportamiento o ambos y dar a la dirección la información necesaria para tomar decisiones oportunas. Se recomienda aplicarse semestralmente.

  • Certificaciones obtenidas: Este indicador busca garantizar la calidad de los procesos del CSIRT. El término se refiere a una serie de normas universales basadas inicialmente en la norma NTGCP 1000 y la norma ISO 27000. Una certificación indica a los clientes que el CSIRT ha implementado un sistema para garantizar que cualquier producto o servicio que ofrezca cumplirá constantemente con las normas internacionales de calidad.

7.4.PERSPECTIVA APRENDIZAJE Y CRECIMIENTO


  • La principal función de la gestión del conocimiento es que el CSIRT no deba pasar dos veces por un mismo proceso para resolver de nuevo el mismo problema, sino que ya disponga de mecanismos para abordarlo utilizando información guardada sobre situaciones previas. Este indicador busca transformar el conocimiento tácito en conocimiento explícito, se recomienda se logre alcanzar este objetivo en no menos a seis meses. Para este fin pueden emplearse nuevas herramientas, como las bases de datos o las intranets, u otras más clásicas (revistas, manuales y bibliotecas), que en su conjunto forman la denominada "memoria organizacional" que permite organizar el conocimiento explicitado. Existen diferentes técnicas para representar y gestionar el conocimiento, codificado desde áreas diferentes: La inteligencia artificial, los sistemas de gestión de bases de datos, como text mining, la ingeniería del software, y otras técnicas empleadas desde la perspectiva del estudio de los sistemas de información. Esta tendencia se denomina “orientación al conocimiento”, y es la que el CSIRT deberá tener como objetivo en el desarrollo al propósito de crear un sistema de gestión documental.

    La Gestión del Conocimiento contribuye a:



    • Mejorar la rapidez de respuesta en un entorno, tanto interno como externo, en continua evolución Tiempo promedio de atención de incidentes)

    • Mejorar la calidad de los productos o servicios desarrollados por la propia entidad y reducir los errores en el proceso productivo (Número de errores en el proceso productivo).

    • Publicación y difusión de conocimiento concerniente al tema de seguridad de la información (Número de Investigaciones publicadas al año)

    • Protección y registro de Derechos de Propiedad Intelectual.

  • Porcentaje de funcionarios directivos y técnicos certificados en CISSP o CISM: El Talento Humano será el elemento de mayor participación dentro del nuevo CSIRT, siendo ésta la base para crear valor agregado intangible que le permita sobresalir en un mercado competitivo y exigente. Debido a lo anterior será importante el proceso de selección de cada uno de los empleados, en el que se deberán contemplar las aptitudes, conocimiento y habilidades técnicas / gerenciales definidas a través de este documento. El objetivo será el de cumplir con el mayor numero de requerimientos establecidos para cada cargo y del mismo modo desarrollarlos o capacitarlos en el total de los mismos.

    Algunas de las certificaciones para los perfiles de trabajo en el CSIRT son:



    • CISSP54: Dominio de conocimiento en tecnología y gerencia en Seguridad de la Información.

    • CISM55: Conocimiento en gerencia de Seguridad de la Información.

    • ABCP o CBCP56: Conocimiento en planes y gestión de la continuidad del negocio.

    • CISA57: Experiencia en auditoría de sistemas.

    • ISO 27001 Lead Auditor: Conocimiento en auditoría de sistemas de gestión en seguridad de la información SGSI.


Compartir con tus amigos:
1   ...   16   17   18   19   20   21   22   23   ...   27


La base de datos está protegida por derechos de autor ©composi.info 2017
enviar mensaje

    Página principal