Resumen:
Information security risk management in a public company is essential to protect sensitive data and ensure the integrity, availability and confidentiality of information. However, the lack of structures based on national standards can expose the company to significant vulnerabilities and risks, compromising public trust and operational efficiency, in contrast, the implementation of national standards, such as the Ecuadorian Technical Standard ISO/IEC 27005:2012 and the Guide for information security risk management of MINTEL, is essential to mitigate vulnerabilities and risks. The objective of this project was to propose improvements through the adoption of these standards. The methodology included an exhaustive investigation of the state of the art on information security risk management, with a focus on national standards for the proposal of best practices. Vulnerabilities in the technological infrastructure were documented and a prototype improvement proposal was designed with specific risk mitigation strategies based on ISO/IEC 27001 controls. The key processes considered for risk management included risk analysis, risk treatment, risk acceptance, risk communication and risk monitoring. The evaluation plan focused on validating the feasibility of the proposal through expert surveys. The results supported the hypothesis by demonstrating that the use of national standards made it possible to develop a viable improvement plan for information security in the public company, promoting secure practices in the institution by providing a detailed analysis and concrete recommendations for information security risk management.
Descripción:
La gestión de riesgos de seguridad de la información en una empresa pública es esencial para proteger datos sensibles y asegurar la integridad, disponibilidad y confidencialidad de la información. Sin embargo, la falta de estructuras basadas en normas nacionales puede exponer a la empresa a vulnerabilidades y riesgos significativos, comprometiendo la confianza del público y la eficacia operativa, en contraste, la implementación de normas nacionales, como la Norma Técnica Ecuatoriana ISO/IEC 27005:2012 y la Guía para la gestión de riesgos de seguridad de la información del MINTEL, resulta fundamental para mitigar las vulnerabilidades y riesgos. Este proyecto tuvo como objetivo proponer mejoras mediante la adopción de estas normas. La metodología incluyó una investigación exhaustiva del estado del arte sobre la gestión de riesgos de seguridad de la información, con un enfoque en estándares nacionales para la propuesta de mejores prácticas. Se documentaron las vulnerabilidades en la infraestructura tecnológica y se diseñó un prototipo de propuesta de mejoras con estrategias específicas para la mitigación de riesgos, basadas en los controles de la ISO/IEC 27001. Los procesos clave considerados para la gestión de riesgos incluyeron el análisis del riesgo, tratamiento del riesgo, aceptación, comunicación y monitorización de los riesgos. El plan de evaluación se enfocó en validar la viabilidad de la propuesta mediante encuestas a expertos. Los resultados respaldaron la hipótesis demostrando que el uso de normas nacionales permitió desarrollar un plan de mejoras viable para la seguridad de la información en la empresa pública, fomentando prácticas seguras en la institución al ofrecer un análisis detallado y recomendaciones concretas para la gestión de riesgos de seguridad de la información.
Excepto si se señala otra cosa, la licencia del ítem se describe como openAccess