DOMINIO: Adquisicin e Implementacin

AI3 - Adquisicin y mantenimiento de la infraestructura tecnolgica

1. Plan de adquisicin de infraestructura tecnolgica
1.1. Se elabora un plan para la adquisicin, implementacin y mantenimiento de la
infraestructura tecnolgica que satisface los requerimientos tcnicos y funcionales de
negocio establecidos y que es acorde con la direccin tecnolgica de la organizacin?
______________________________________________________________________
______________________________________________________________________
1.2. Este plan considera una flexibilidad futura para la ampliacin de la capacidad, los
costos de transicin, los riesgos tcnicos y la vigencia de la inversin para las mejoras
de tecnologa?
______________________________________________________________________
______________________________________________________________________
1.3. Se evalan los costos de complejidad y la viabilidad comercial del proveedor y el
producto al incorporar una nueva capacidad tcnica?
______________________________________________________________________
______________________________________________________________________
2. Proteccin y disponibilidad de los recursos de infraestructura
2.1. Se implementan medidas de control interno, seguridad y auditabilidad durante la
configuracin, integracin y mantenimiento del hardware y del software de
infraestructura a fin de proteger los recursos y garantizar la disponibilidad e integridad?
______________________________________________________________________
______________________________________________________________________
2.2. Se definen y comprenden claramente las responsabilidades por el uso de los
componentes de infraestructura sensibles por parte de los encargados de desarrollar e
integrar los mismos?
______________________________________________________________________
______________________________________________________________________
2.3. Se evala y monitorea el uso de estos componentes de infraestructura sensibles?
______________________________________________________________________
______________________________________________________________________

2.4. El acceso a las herramientas de auditora del sistema tales como el software o los
archivos de datos son protegidos para prevenir cualquier uso errneo o compromiso
posible?
______________________________________________________________________
______________________________________________________________________
2.5. El equipamiento, la informacin o el software pueden ser retirados de la organizacin
sin la autorizacin apropiada?
______________________________________________________________________
______________________________________________________________________
2.6. El personal est al tanto de estos chequeos puntuales o auditoras?
______________________________________________________________________
______________________________________________________________________
2.7. Est debidamente controlado el uso de utilidades del sistema, incluidas en las
instalaciones informticas, que pueden eludir las medidas de control del sistema o de
las aplicaciones?
______________________________________________________________________
______________________________________________________________________
2.8. Existe algn control de la red para asegurarse que las conexiones de computadoras y
los flujos de informacin no rompen con la poltica de control de accesos de las
aplicaciones del negocio? Esto es a menudo esencial para las redes compartidas con
usuarios que no son de la organizacin.
______________________________________________________________________
______________________________________________________________________
2.9. Existe algn proceso formal para hacer pblicamente disponible la informacin de la
organizacin?
______________________________________________________________________
______________________________________________________________________
2.10.
La computadora o el dispositivo de la comunicacin tienen la capacidad de
tener un reloj en tiempo real? ste se debe fijar a un estndar convenido tal como
tiempo coordinado universal u hora estndar local.
______________________________________________________________________
______________________________________________________________________
2.11.
Las terminales inactivas en reas pblicas estn configuradas para despejar la
pantalla o apagarse automticamente luego de un determinado perodo de inactividad?
______________________________________________________________________
______________________________________________________________________

2.12.
Los accesos a puertos de diagnstico son controlados? Por ej., protegidos por
un mecanismo de seguridad.
______________________________________________________________________
______________________________________________________________________
2.13.
Los controles de ruteo estn basados en el mecanismo de identificacin
positiva del origen y del destino? Ejemplo: Conversin de direccin de Red (NAT:
Network Adress Translation)
______________________________________________________________________
______________________________________________________________________
2.14.
Los usuarios y los proveedores estn enterados de los requisitos y los
procedimientos de seguridad para proteger equipos desatendidos, as como su
responsabilidad de poner tal proteccin en prctica?
______________________________________________________________________
______________________________________________________________________
2.15.
Se realizan chequeos puntuales o auditoras peridicas con el fin de detectar
traslados no autorizados de propiedad?
______________________________________________________________________
______________________________________________________________________
2.16.
Hay controles implantados para proteger la integridad de la informacin
pblicamente disponible contra acceso no autorizado?
______________________________________________________________________
______________________________________________________________________
2.17.
Esto incluye controles tales como Firewalls, reforzamiento del sistema
operativo, herramienta para la deteccin de intrusos para supervisar el sistema, etc.?
______________________________________________________________________
______________________________________________________________________
3. Mantenimiento de la infraestructura
3.1. Se desarrolla una estrategia y un plan para el mantenimiento de la infraestructura y se
garantiza que los cambios son controlados en lnea con el procedimiento de gestin de
cambios de la organizacin?
______________________________________________________________________
______________________________________________________________________

3.2. Se incluyen revisiones peridicas en relacin a las necesidades del negocio, la

gestin de correcciones y las estrategias de mejora, los riesgos, las evaluaciones de
vulnerabilidades y los requerimientos de seguridad?
______________________________________________________________________
______________________________________________________________________

DOMINIO: Entrega y Soporte

DS2 - Gestin de los servicios prestados por terceros
1. Identificacin de relaciones con proveedores
1.1. Se identifican y categorizan todos los servicios de los proveedores de acuerdo al tipo
de proveedor y a su importancia y criticidad?
Si, Algunos de equipos, lo firme contratos en lima.
1.2. Se mantiene una documentacin formal de las relaciones tcnicas y organizacionales,
que cubre los roles y las responsabilidades, las metas, los entregables esperados y las
credenciales de los representantes de estos proveedores?
Si, Ejemplo del documento
2. Gestin de relaciones con proveedores
2.1. Se formaliza el proceso de gestin de relaciones para cada proveedor?
No lima lo tiene
2.2. Los propietarios de las relaciones hacen de enlace entre el cliente y el proveedor
cuando existen desacuerdos y garantizan la calidad de la relacin basndose en la
confianza y la transparencia (por ejemplo a travs de acuerdos de nivel de servicio)?
NO hay respuesta
3. Gestin de riesgos de proveedores
3.1. Se identifican y mitigan continuamente los riesgos relativos a la capacidad del
proveedor de mantener una entrega de servicios eficaz de forma segura y eficiente?
______________________________________________________________________
______________________________________________________________________

3.2. Se asegura que los contratos se ajustan a los estndares generales de negocios de
acuerdo a los requisitos legales y regulatorios?
______________________________________________________________________
______________________________________________________________________
3.3. La gestin de riesgos considera a su vez acuerdos de confidencialidad (NDAs),
contratos de depsitos en garanta, viabilidad de la continuidad del proveedor,
proveedores alternativos, sanciones y recompensas, etc.?
______________________________________________________________________
______________________________________________________________________
3.4. Cundo la organizacin tiene fuera de si el manejo y control de todos o algunos de
sus sistemas de informacin, redes y/o ambientes de escritorio, los requisitos de
seguridad son tratados en el contrato con terceros?
______________________________________________________________________
______________________________________________________________________
3.5. El contrato establece como se deben cumplir los requisitos legales, cmo es
mantenida y testada la seguridad de los activos de la organizacin, el derecho de
intervencin, y aspectos de seguridad fsica?
______________________________________________________________________
______________________________________________________________________
3.6. Existe un contrato formal que contenga, o refiera, todos los requisitos de seguridad
para asegurar conformidad con las polticas y los estndares de seguridad de la
organizacin?
______________________________________________________________________
______________________________________________________________________
3.7. Se mantienen contactos apropiados con autoridades de la aplicacin de ley, cuerpos
reguladores, proveedores de servicios de informacin y operadores de la
telecomunicacin para asegurarse que, ante el acontecimiento de un incidente la
seguridad, sern tomadas las acciones apropiadas y se obtendr consejo
rpidamente?
______________________________________________________________________
______________________________________________________________________