Gestión de seguridad ITIL

La primera actividad en el proceso de gestión de seguridad es el subproceso de "Control". Este subproceso organiza y gestiona el proceso de gestión de seguridad, definiendo los procesos, la asignación de responsabilidades para las políticas establecidas y el marco de gestión.

El marco de gestión de seguridad define los subprocesos para el desarrollo, la implementación y la evaluación de los planes de acción. Además, el marco de gestión define cómo se deben comunicar los resultados a los clientes.

El modelo de metaproceso del subproceso de control se basa en un diagrama de actividades UML y ofrece una visión general de las actividades de dicho subproceso. El rectángulo gris representa el subproceso de control y las figuras de vigas más pequeñas en su interior representan las actividades que se desarrollan dentro del mismo.

El modelo de metadatos del subproceso de control se basa en un diagrama de clases UML . La figura 2.1.2 muestra el metamodelo del subproceso de control.

Figura 2.1.2: Subproceso de control del modelo de metaproceso

El rectángulo CONTROL con sombra blanca es un concepto complejo abierto. Esto significa que el rectángulo Control consta de una colección de (sub)conceptos.

La figura 2.1.3 muestra el modelo de datos del proceso del subproceso de control. En ella se observa la integración de ambos modelos. Las flechas punteadas indican los conceptos que se crean o ajustan en las actividades correspondientes.

Figura 2.1.3: Subproceso de control del modelo de datos de proceso

El subproceso de Planificación incluye actividades que, en colaboración con la gestión del nivel de servicio, conducen a la sección de Seguridad (de la información) del SLA. Además, el subproceso de Planificación incluye actividades relacionadas con los contratos subyacentes específicos para la seguridad (de la información).

En el subproceso de Planificación, los objetivos formulados en el SLA se especifican en forma de acuerdos de nivel operativo (OLA). Estos OLA pueden definirse como planes de seguridad para una entidad organizativa interna específica del proveedor de servicios.

Además de la información del SLA, el subproceso de Planificación también trabaja con las políticas del propio proveedor de servicios. Como se mencionó anteriormente, estas políticas se definen en el subproceso de Control.

Los acuerdos de nivel operativo para la seguridad de la información se establecen e implementan según el proceso ITIL. Esto requiere la colaboración con otros procesos ITIL. Por ejemplo, si la gestión de seguridad desea modificar la infraestructura de TI para mejorar la seguridad, estos cambios se realizarán a través del proceso de gestión de cambios . La gestión de seguridad proporciona la solicitud de cambio. El gestor de cambios es responsable del proceso de gestión de cambios.

El plan consta de una combinación de actividades (sub) desordenadas y ordenadas. El subproceso contiene tres actividades complejas, todas ellas cerradas, y una actividad estándar.

Al igual que el subproceso de Control, el subproceso de Planificación se modela utilizando la técnica de metamodelado. El lado izquierdo de la figura 2.2.1 muestra el modelo de metadatos del subproceso de Planificación.

El rectángulo del plano es un concepto abierto (complejo) que mantiene una relación de agregación con dos conceptos cerrados (complejos) y un concepto estándar. Los dos conceptos cerrados no se desarrollan en este contexto particular.

La siguiente imagen (figura 2.2.1) muestra el diagrama de procesos y datos del subproceso de Planificación. Esta imagen ilustra la integración de ambos modelos. Las flechas punteadas indican qué conceptos se crean o ajustan en las actividades correspondientes del subproceso de Planificación.

Figura 2.2.1: Modelo de datos de proceso Subproceso de planificación

El subproceso de Implementación garantiza que todas las medidas, tal como se especifican en los planes, se implementen correctamente. Durante este subproceso no se definen ni se modifican medidas. La definición o modificación de medidas se lleva a cabo en el subproceso de Planificación, en colaboración con el Proceso de Gestión de Cambios.

La parte izquierda de la figura 2.3.1 representa el modelo de metaproceso de la fase de Implementación. Las cuatro etiquetas sombreadas en negro indican que estas actividades son conceptos cerrados y no se desarrollan en este contexto. La ausencia de flechas que conecten estas cuatro actividades significa que no están ordenadas y que el informe se elaborará una vez finalizadas las cuatro.

Durante la fase de implementación se crean y/o ajustan los conceptos.

Los conceptos creados o ajustados se modelan mediante la técnica de metamodelado. El lado derecho de la figura 2.3.1 muestra el modelo de metadatos del subproceso de implementación.

Los documentos de implementación son un concepto abierto que se desarrolla en este contexto. Constan de cuatro conceptos cerrados que no se desarrollan porque son irrelevantes en este contexto particular.

Para clarificar la relación entre ambos modelos, la integración de los mismos se ilustra en la Figura 2.3.1. Las flechas punteadas que van desde las actividades hasta los conceptos muestran qué conceptos se crean o ajustan en las actividades correspondientes.

Figura 2.3.1: Subproceso de implementación del modelo de datos de proceso

La evaluación es necesaria para medir el éxito de la implementación y los planes de seguridad. Esta evaluación es importante para los clientes (y posiblemente para terceros). Los resultados del subproceso de evaluación se utilizan para mantener las medidas acordadas y la implementación. Los resultados de la evaluación pueden dar lugar a nuevos requisitos y a una solicitud de cambio correspondiente . Dicha solicitud se define y se envía al departamento de Gestión de Cambios.

Los tres tipos de evaluación son la autoevaluación, la auditoría interna y la auditoría externa.

La autoevaluación se lleva a cabo principalmente en la organización de los procesos. Las auditorías internas las realizan auditores de TI internos. Las auditorías externas las realizan auditores de TI externos e independientes. Además de lo ya mencionado, se realiza una evaluación basada en incidentes de seguridad comunicados. Las actividades más importantes para esta evaluación son la monitorización de la seguridad de los sistemas de TI; la verificación de la legislación de seguridad y la implementación del plan de seguridad; y el seguimiento y la respuesta ante el uso indebido de los recursos de TI.

Figura 2.4.1: Subproceso de evaluación del modelo de datos de proceso

El diagrama de procesos y datos ilustrado en la figura 2.4.1 consta de un modelo de metaproceso y un modelo de metadatos. El subproceso de evaluación se modeló utilizando la técnica de metamodelado. Las flechas punteadas que van del diagrama de metaproceso (izquierda) al diagrama de metadatos (derecha) indican qué conceptos se crean o ajustan en las actividades correspondientes. Todas las actividades de la fase de evaluación son actividades estándar. Para una breve descripción de los conceptos de la fase de evaluación, consulte la tabla 2.4.2, donde se enumeran y definen dichos conceptos.

Tabla 2.4.2: Subproceso de evaluación de conceptos y definiciones. Gestión de la seguridad.

Debido a los cambios organizativos y de infraestructura informática, los riesgos de seguridad varían con el tiempo, lo que requiere revisiones de la sección de seguridad de los acuerdos de nivel de servicio y los planes de seguridad.

El mantenimiento se basa en los resultados del subproceso de evaluación y en la comprensión de los riesgos cambiantes. Estas actividades generarán propuestas. Dichas propuestas pueden servir como insumos para el subproceso de planificación y avanzar a lo largo del ciclo, o bien pueden adoptarse como parte del mantenimiento de los acuerdos de nivel de servicio. En ambos casos, las propuestas podrían derivar en actividades del plan de acción. Los cambios propiamente dichos se implementan mediante el proceso de gestión del cambio.

La figura 2.5.1 muestra el diagrama de procesos y datos del subproceso de implementación. Esta imagen ilustra la integración del modelo de metaproceso (izquierda) y el modelo de metadatos (derecha). Las flechas punteadas indican los conceptos que se crean o ajustan durante las actividades de la fase de implementación.

Figura 2.5.1: Modelo de datos de proceso Subproceso de mantenimiento

El subproceso de mantenimiento comienza con el mantenimiento de los acuerdos de nivel de servicio y los acuerdos de nivel operativo. Una vez realizadas estas actividades (sin un orden específico) y si se solicita un cambio, se lleva a cabo la actividad de solicitud de cambio. Tras finalizar esta actividad, se inicia la actividad de generación de informes. Si no se solicita ningún cambio, la actividad de generación de informes se inicia inmediatamente después de las dos primeras actividades. Los conceptos del modelo de metadatos se crean o ajustan durante la fase de mantenimiento. Para consultar la lista de conceptos y su definición, véase la tabla 2.5.2.

Tabla 2.5.2: Concepto y definición Subproceso de planificación Gestión de seguridad

Figura 2.6.1: Modelo completo de datos de proceso Proceso de gestión de seguridad