proyecto informatica 2, Exámenes selectividad de Informática

¡Descarga proyecto informatica 2 y más Exámenes selectividad en PDF de Informática solo en Docsity!

CONSTRUCCIÓN DEL MANUAL DE ASEGURAMIENTO DE UNA

ORGANIZACIÓN

ASEGURAMIENTO DE APLICACIONES Y BASES DE DATOS

Presentado por: OSCAR EDUARDO ROJAS ORDOÑEZ GLORIA JANETH LONDOÑO BEDOYA FIORELLA MAYORGA GERENA

IVAN CAMILO CASTELLANOS ROMERO

POLITECNICO GRANCOLOMBIANO

28 de diciembre de 2021

Contenido

Introducción

El presente trabajo tiene como finalidad aplicar los conocimientos adquiridos en este módulo y desarrollar un proyecto de aseguramiento de una aplicación o base de datos de la organización.

La calidad en ingeniería del software es el cumplimiento de los requerimientos contractuales por parte del producto software desarrollado, así como durante el proceso de desarrollo. La calidad se obtiene mejorando día a día el proceso de producción, mantenimiento y gestión del software^1

Es importante establecer controles de seguridad donde se resguardan las bases de datos o una aplicación, esto debido a que se puede generar un incidente de seguridad corriendo el riesgo de pérdida o borrado de información.

(^1) M. Redondo. "Manual de calidad y procedimientos para la gestión del sistema de calidad de una empresa de desarrollo de software", pp. 15-25. Fecha de consulta: 24 de mayo de 2016. URL: http://bibing.us.es/proyectos/abreproy/30060/fichero/ PROYECTO.pdf

Objetivo General

El objetivo del presente trabajo es asegurar una base de datos o una aplicación de la organización aplicando lo aprendido en el módulo de aseguramiento.

Antecedentes

Vigía Servicios es una compañía dedicada al servicio de vigilancia física y electrónica de carácter privado. Lleva 25 años en el mercado prestando servicios a nivel nacional. La compañía actualmente es líder y tiene varias certificaciones entre ellas la certificación de calidad que otorga ICONTEC.

La compañía cuenta con una aplicación SaaS https://www.findmyshift.es con la cual se va a trabajar para aplicar el proceso de aseguramiento

.2 Sus objetivos

Caracterización de la aplicación

La actividad principal de la compañía es prestar servicios de seguridad física privada, requiere tener un control de turnos sobre el personal operativo que labora en diferentes sitios para lo cual, la compañía tiene el siguiente software tipo SaaS llamado Findmyshift (https://www.findmyshift.es/), el cual, es una solución de planificación de personal online este, permite a las empresas administrar operación con horarios, hojas de asistencia, recordatorios de turnos, informes en tiempo real, cálculos de nómina, gestión de vacaciones, mensajes de texto, entre otras funciones.

A través de esta aplicación la empresa trata de medir el tiempo de trabajo y realizar un seguimiento de las horas de trabajo real, ayudar a realizar reportes automatizados y administrar los informes de nómina y de costos.

Esta aplicación, además, permite realizar la gestión de vacaciones de los empleados según los horarios, lo cual permite ver de manera inmediata, cuándo los empleados no están disponibles y calcular las asignaciones restantes.

Los usuarios pueden generar datos de nómina precisos, combinando las hojas de horas trabajadas, los horarios, las tarifas de pago y las tarifas de horas extras.

Proporcionar a sus clientes los servicios de vigilancia física y electrónica confiables, acorde con la normatividad vigente.

Ubicarse anualmente entre las 10 empresas del sector

Controlar los riesgos de seguridad que amenacen la continuidad del servicio de vigilancia.

Velar por el bienestar físico, mental y social de los trabajadores realizando promoción y prevención en la gestión de riesgo de acuerdo con la normativa vigente.

El día antes del turno, se pueden enviar recordatorios automáticos de turnos a los empleados para informarles de cuándo y dónde trabajarán. La integración del calendario permite a los usuarios acceder a la lista de personal desde el calendario del teléfono y también permite configurar alarmas para los próximos turnos.

La aplicación utiliza la pizarra de anuncios privada incorporada para publicar mensajes, cargar documentos y comunicarse con los empleados. Todos los datos enviados entre el navegador del usuario y el servidor Findmyshift se cifran mediante SSL, lo que garantiza la privacidad de estos.

El personal operativo accede a dicha aplicación a través del sitio web oficial (https://www.findmyshift.com/) con las credenciales registradas por la empresa según el contrato que se adquirió con este proveedor, sin embargo, dado que el personal es operativo y realiza su labor por fuera de una oficina, por lo general hacen uso de la aplicación móvil de manera que les permita registrar su actividad donde se encuentren.

Cabe anotar que su estructura local se basa en sistema operativo Linux.

Cómo ganada dinero

La empresa gana dinero prestando servicios de:

a. Seguridad privada a nivel gubernamental, hogar, comercial, industrial, transporte, minero, educación y salud.

b. Seguridad física con persona fija, móvil, con arma o sin arma, escoltas y seguridad canina.

c. Seguridad electrónica a través de alarmas, video vigilancia remota, rastreo satelital, control de acceso, seguridad perimetral, mantenimiento de cámaras y CCTV.

d. Seguridad investigativa a través del análisis de vulnerabilidades en las instalaciones, selección de personal, visita domiciliaria, poligrafía y custodia de información sensible a través de cajas de seguridad privadas.

e. Suministro de tecnología, asesoramiento y operaciones efectivas de estos productos de seguridad.

1. Política de seguridad de la información

1.1 Generalidades

La información es un recurso como el resto de los activos de la compañía, tiene valor para Vigía Servicios y por consiguiente debe ser debidamente protegida.

Vigía Servicios establecerá los mecanismos para respaldar la difusión, actualización y consolidación tanto de la presente política como de los demás componentes del Sistema de Gestión de la Seguridad de la Información y alinearlos de forma efectiva con los demás sistemas de gestión.

1.2 Alcance

Esta política se aplica en el conjunto de áreas que componen a Vigía Servicios , a sus recursos, a la totalidad de los procesos internos o externos vinculados a vigía Servicios.

1.3 Objetivos

a. Proteger, preservar y administrar objetivamente la información de vigía Servicios junto con las tecnologías utilizadas para su procesamiento, frente amenazas externas o internas, con el fin de asegurar el cumplimiento de las características de confidencialidad, integridad, disponibilidad, confiabilidad y no repudio de la información. b. Mantener la Política de Seguridad de la información actualizada, vigente y auditada dentro de los roles globales y específicos de vigía Servicios para asegurar su nivel de eficacia.

2. Identificación, Clasificación y valoración de activos de la

información.

Cada dependencia, bajo supervisión del Comité de Seguridad de la Información, debe elaborar y mantener un inventario de los activos de información que poseen (procesada y producida). Las características del inventario, donde se incorpore la clasificación, valoración, ubicación y acceso de la información, las especifica el Comité de Seguridad de la Información, correspondiendo al área de Sistemas brindar herramientas que permitan la administración del inventario por cada

dependencia, garantizando la disponibilidad, integridad y confidencialidad de los datos que lo componen.

La Red de Datos Vigía Servicios en coordinación con el área de Recursos Físicos y el área de Almacén tienen la responsabilidad de mantener el inventario completo y actualizado de los recursos de hardware y software de la institución.

3. Equipos de cómputo

3.1 De la instalación del equipo de cómputo

a. Todo equipo de cómputo llámese: Computadoras, estaciones de trabajo, servidores y/o equipos accesorios, que este o sea conectado a la red de Vigía Servicios , o aquel que en forma autónoma se tenga y que sea propiedad de la empresa debe de sujetarse a las normas y procedimientos de instalación que emite el departamento de SISTEMAS. b. La oficina de SISTEMAS en coordinación con el área de ALMACÉN y CONTABILIDAD deberá tener un registro de todos los equipos de propiedad de la empresa. c. El equipo de la empresa que sea de propósito específico y tenga una misión crítica asignada, requiere estar ubicado en un área que cumpla con los requerimientos de seguridad física, condiciones ambientales, alimentación eléctrica y la normatividad para el acceso de equipos, que la oficina de SISTEMAS implante. d. El funcionario de la oficina de SISTEMAS debe dar cabal cumplimiento con las normas de instalación y notificaciones correspondientes de actualización, reubicación, reasignación y todo aquello que implique movimientos en ubicación de adjudicación, sistema y misión. e. La protección física de los equipos corresponde a quienes en un principio se les asigna, y corresponde notificar los movimientos en caso de que existan, al departamento de SISTEMAS.

3.2. Del mantenimiento del equipo de cómputo

a. La oficina de SISTEMAS corresponde la realización del mantenimiento preventivo y correctivo de los equipos, la conservación de su instalación, la verificación de la seguridad física y su acondicionamiento especifico a

4. Control de acceso

4.1 Acceso a áreas críticas

a. El acceso de personal se llevará acabo de acuerdo con las normas y procedimientos que dicta la oficina de SISTEMAS. En concordancia con la política de la empresa y debido a la naturaleza de estas áreas se llevará un registro permanente del tráfico de personal, sin excepción. b. La oficina de SISTEMAS deberá proveer de la infraestructura de seguridad requerida con base en los requerimientos específicos de cada área.

c. Bajo condiciones de emergencia o de situaciones de urgencia manifestada, el acceso a las áreas de servicio crítico estará sujeto a las que especifiquen las autoridades superiores de la empresa.

4.2 Acceso a equipos de cómputo

a. Todos y cada uno de los equipos son asignados a un responsable, por lo que es de su competencia hacer buen uso de estos. b. Las áreas donde se tiene equipo de propósito general cuya misión es crítica estarán sujetas a los requerimientos que la oficina de SISTEMAS emita. c. Las áreas donde se encuentre equipo cuyo propósito reúna características de imprescindible y de misión crítico, deberán sujetarse también a las normas que establezca la oficina de SISTEMAS. d. Los accesos a las áreas críticas deberán de ser clasificados de acuerdo con las normas que la oficina de SISTEMAS, de común acuerdo con las autoridades de la empresa emitan para ello. e. Dada la naturaleza insegura de los sistemas operativos y su conectividad en la red, la oficina de SISTEMAS tiene la faculta de acceder a cualquier equipo de cómputo que no esté bajo supervisión.

4.3 Acceso local de la red

a. La oficina de SISTEMAS es la responsable de proporcionar a los usuarios el acceso a los recursos informáticos.

b. La oficina de SISTEMAS es la responsable de difundir el reglamento para el uso de la red y de procurar su cumplimiento. c. Dado el carácter unipersonal del acceso a la red de Vigía Servicios , la oficina de SISTEMAS verificara el uso responsable de acuerdo con el reglamento para el uso de la red. d. El acceso lógico a equipos especializados (servidores, enrutadores, bases de datos, equipos de súper computo centralizado y distribuidor, etc.) conectado a la red es administrado por la oficina de SISTEMAS. e. Todo equipo de cómputo que esté o sea conectado a la red de Vigía Servicios , o aquellas que en forma autónoma se entregan y que sean propiedad de la empresa, debe sujetarse a los procedimientos de acceso que emite la oficina de SISTEMAS.

4.4 Control de acceso remoto

a. La oficina de SISTEMAS es la responsable de proporcionar el servicio de acceso remoto y las normas de acceso a los recursos informáticos. b. Para el caso especial de los recursos de SERVIDORES a terceros deberán ser autorizados por la DIRECCIÓN GENERAL o por la oficina ADMINISTRATIVA. c. El uso de estos servicios deberá sujetarse al Reglamento de uso de la red de Vigía Servicios. Y en concordancia con los lineamientos generales de uso de internet. d. El acceso remoto que realicen personas ajenas a la empresa deberá cumplir las normas que emite la oficina de SISTEMAS.

4.5 Acceso a los sistemas administrativos

a. Tendrá acceso a los sistemas administrativos solo el personal de Vigía Servicios o personas que tengan la autorización por la Dirección General de la empresa. b. El manejo de información administrativo que se considere de uso restringido deberá ser cifrado con el objetivo de garantizar su integridad. c. Los servidores de bases de datos administrativos son delicados, por lo que se prohíben los accesos de cualquier persona, excepto para la persona de la oficina de SISTEMAS. d. El control de acceso a cada sistema de información de la Dirección Administrativa será determinado por la unidad responsable de generar y procesar los datos involucrados.

6. Utilización de los recursos de la red

a. Los recursos disponibles a través de la Red de Vigía Servicios. Serán de uso exclusivo para asuntos relacionados con las actividades de la empresa. b. La oficina de SISTEMAS es la responsable de emitir y dar seguimiento al Reglamento para el uso de la Red. c. La oficina de SISTEMAS debe propiciar el uso de las tecnologías de la información con el fin de contribuir con las directrices económicas y ecológicas de la empresa.

7. Software

7.1 De la adquisición del software

a. En concordancia con la política de la empresa y la oficina de SISTEMAS, son los organismos oficiales de la empresa para establecer los mecanismos de procuración de sistemas informáticos. b. Del presupuesto de los proyectos que se otorga a las diferentes áreas de Vigía Servicios. Una cantidad deberá ser aplicada para la adquisición de sistemas informáticos, licencias o el desarrollo de sistemas de información a la medida. c. De acuerdo con el Ministerio de las TIC, la dirección General en conjunto con la oficina de SISTEMAS propiciara la adquisición de licencias de sitio, licencias flotantes, licencias de software libre, licencias por empleado y de licencias en cantidad, para obtener economía de escala y de acorde al plan de austeridad del gobierno de la república. d. Corresponderá a la oficina de SISTEMAS, emitir para el tipo de licenciamiento, cobertura, transferibilidad, certificación y vigencia. e. De acuerdo con los objetivos globales de la oficina de SISTEMAS, deberá propiciar la adquisición y asesoramiento en cuanto al software de vanguardia. f. En cuanto a la paquetería sin costo respetándose la propiedad intelectual intrínseca del autor. g. La oficina de SISTEMAS promoverá y propiciará que la adquisición de software de dominio público provenga de sitios oficiales y seguros. h. La oficina de SISTEMAS deberá promover el uso de sistemas programáticos que redunden en la independencia de la empresa con los proveedores.

7.2 De la instalación del software

a. Corresponde a la oficina de SISTEMAS, emitir las normas y procedimientos para la instalación y supervisión del software básico para cualquier tipo de equipo. b. En los equipos de cómputo, de telecomunicaciones y en dispositivos basados en sistemas de cómputo, únicamente se permitirá la instalación de software con licenciamiento apropiado y de acorde a la propiedad intelectual. c. Los departamentos que posean un equipo de cómputo y manejen información, son los responsables de brindar asesoría y supervisión para la instalación necesaria de software informático, así mismo la oficina de SISTEMAS, se asesorará del software de telecomunicaciones. d. La instalación de software que, desde el punto de vista de la oficina de SISTEMAS, pudiera poner en riesgo los recursos de la empresa no está permitida. e. Con el propósito de proteger la integridad de los sistemas informáticos y de telecomunicaciones, es imprescindible que todos y cada uno de los equipos involucrados dispongan de software de seguridad, (Antivirus, vacunas, privilegios de acceso y otros que se apliquen). f. La protección lógica de los sistemas corresponde a quienes en un principio se les asigna el equipo de cómputo y les compete notificar cualquier movimiento a la oficina de SISTEMAS.

7.3 De la actualización del software

a. La adquirió y actualización de software para el equipo especializado de telecomunicaciones, se llevará a cabo de acuerdo con la calendarización que anualmente sea propuesta por la oficina de SISTEMAS. b. Corresponde a la oficina de SISTEMAS, autorizar cualquier adquisición y actualización del software. c. Las actualizaciones del software de uso común o más generalizado se llevarán de acuerdo con el plan de actualización desarrollado por la oficina de SISTEMAS.

7.4 De la auditoria del software instalado

a. El área de CONTROL INTERNO de Vigía Servicios. Es el responsable de realizar revisiones periódicas para asegurar que solo programación con licencia este instalada en las computadoras de la empresa.

9. Supervisión y evaluación

a. Las auditorias de cada actividad donde se involucren aspectos de seguridad lógica y física deberán realizarse periódicamente y deberá sujetarse al calendario que establezca la oficina de SISTEMAS y/o el grupo especializado de seguridad.

b. Para efectos de que la empresa disponga de una red con alto grado de confiabilidad, será necesario que se realice un monitoreo constante sobre todos y cada uno de los servicios que las tecnologías de la internet e intranet disponible.

Los sistemas considerados críticos, deberán estar bajo monitoreo permanente.

Copias de seguridad y Backups

a. La oficina de SISTEMAS estará encargada de colocarles una carpeta llamada NEXTCLOUD sincronizada a un servidor el cual es el encargado de realizar las copias de seguridad. b. Cada usuario encargado de la información de la empresa de Vigía Servicios , está obligado a colocar su información en dicha carpeta. c. El administrador de Sistemas realiza un Backups de la base de datos de manera periódica semanalmente

10. adquisición, Desarrollo y Mantenimiento de Sistemas Software

Para apoyar los procesos operativos y estratégicos la compañía debe hacer uso intensivo de las Tecnologías de la Información y las Comunicaciones. Los sistemas de software utilizados pueden ser adquiridos a través de terceras partes o desarrollados por personal propio.

Sistemas debe elegir, elaborar, mantener y difundir el “Método de Desarrollo de Sistemas Software de la compañía Vigía Servicios ” que incluya lineamientos, procesos, buenas prácticas, plantillas y demás artefactos que sirvan para regular los desarrollos de software internos en un ambiente de mitigación del riesgo y aseguramiento de la calidad.

Todo proyecto de desarrollo de software interno debe contar con un documento de Identificación y Valoración de Riesgos del proyecto. Vigía Servicios no debe

emprender procesos de desarrollo o mantenimiento de sistemas software que tengan asociados riesgos altos no mitigados.

Los sistemas software adquiridos a través de terceras partes deben certificar el cumplimiento de estándares de calidad en el proceso de desarrollo.