Cierre de proyectos desde Seguridad de la Información y Compliance
Ante cualquier proyecto de TI, sean estos relacionados con el desarrollo de software, interfaces informáticas, modificaciones o implantaciones de activos informáticos, es necesario definir la información y registros necesarios como respaldo de certificación del cierre de proyecto, y adicionalmente para el aseguramiento del traspaso de la operación de seguridad aplicativa. Como complemento a estas dos condiciones y para realizar el cierre formal, se debe completar la actividad de verificación de cumplimiento que incluya las siguientes tareas principales:
Recolección de evidencias de pruebas en los diferentes ambientes y durante todo el ciclo de vida del proyecto
Definición de la matriz de riesgos del aplicativo o activo informático, con su análisis correspondiente
Metodología documental para las excepciones surgidas
Definición de la estrategia de traspaso de operación de seguridad lógica
Biblioteca de manuales operativos para la gestión de seguridad aplicativa
La actividad de verificación de cumplimiento está directamente relacionada con la terminación del proyecto y por ello se debe identificar e incluir en el plan de línea base. Estas tareas incluyen organizar y archivar documentación del proyecto, tales como evidencias, excepciones, manuales operativos y técnicos, instructivos, y cualquier otra información a utilizar tanto en la fase productiva como en las acciones de monitoreo, control y auditoría por parte del personal de áreas de seguridad de la información y cumplimiento.
Al cerrar el proyecto, el gerente de proyecto debe revisar toda la información previa de los cierres de fases anteriores, para estar seguro que se tiene toda la información necesaria. Se debe verificar, documentar y obtener evidencia de:
Los controles a implantar en los sistemas surgidos de un análisis de riesgos, identificando y evaluando en el mismo las interdependencias entre el nuevo sistema y los otros sistemas que se encuentran en el entorno de explotación (mapa de interfaces).
La incorporación de rutinas y controles que contemplen tanto los requerimientos del negocio como los de seguridad de la aplicación o activo informático. Las rutinas y controles a considerar en todas las aplicaciones deben ser:
Agregado o limitación de funcionalidades
Modificación de información
Detección y corrección de errores
Prevención de ejecución desordenada de rutinas
Recuperación frente a errores
Que se hayan considerado los controles de autenticación y autorización dentro de las aplicaciones, que los mismos sean centralizados y obligatorios, conforme lo haya definido el dueño del sistema.
Que aquellas funcionalidades que no estén permitidas a los usuarios estén deshabilitadas para evitar violaciones en la estrategia de seguridad en activos informáticos.
Que exista una capa de acceso seguro entre la información interna de la aplicación y las interfaces externas, implicando que todas las comunicaciones deberán ocurrir a través de caminos confiables. .
Que los procesos, cuentas y permisos estén diseñados para que los mismos se ejecuten con los mínimos privilegios necesarios.
La implementación de salvaguardas a nivel de procedimiento mediante la segregación de tareas, bajo el concepto de control doble o por oposición de intereses, para evitar fallos en los procesos que pudieran tener un impacto económico significativo o regulatorio.
Nómina de roles y perfiles resultantes del módulo de seguridad de la aplicación, adecuadamente segregados.
Los registros obtenidos de las pruebas de seguridad que incluyan fundamentalmente los siguientes aspectos:
Firewalls y otros métodos de control de acceso a redes
Visualización y configuración de opciones de seguridad
Cifrado y control de transmisión
Control de interfaces
Los registros obtenidos de los casos de prueba deberán incluir tanto la información esperada como no esperada para asegurar que los controles de validación son efectivos.
Todas las pruebas realizadas a modificaciones, mejoras considerables y los sistemas nuevos deben estar debidamente documentadas previamente a la instalación del software en ambiente productivo y recibir la aprobación para su implantación por parte del dueño de la aplicación, sistema o información.
Importante:
La documentación de las pruebas y de las vulnerabilidades identificadas de los sistemas y aplicaciones deberá ser adecuadamente protegida.
TRANSICIÓN DE LA ADMINISTRACIÓN DE SEGURIDAD APLICATIVA
El documento de cierre de proyecto debe incluir un capítulo en el que se desarrolle el proceso de traspaso de la administración de la seguridad de la aplicación. Este capítulo debe estar consensuado con el personal de seguridad de la información responsable de la futura administración.
Para este punto se debe agrupar la información administrativa en un documento que podría denominarse “Manual de Operación de Seguridad”, que incluya la información relacionada con los siguientes procesos:
Gestión de configuración de la seguridad (módulo y opciones de securitización de la aplicación o activo informático)
Gestión de identidades y accesos (roles y perfiles asociados a la aplicación, tipo de autorizaciones de acceso y detalle de ejecución de ABM de cuentas de usuario)
Gestión de pistas de auditoría y reportes (administración de logs, desde la configuración de opciones de generación hasta su recolección)
CONCLUSIÓN
Estas actividades de cierre propuestas, y que deben ser tenidas en cuenta por parte de seguridad de la información y compliance, aportarán a los proyectos el:
Garantizar la certificación por parte de las áreas de Seguridad Informática en los aspectos referidos al aseguramiento de la Confidencialidad, Integridad y Disponibilidad de la información.
Asegurar la condición de “Compliance” del resultante de cada proyecto, con el marco regulatorio y la política de seguridad establecida por la organización
Establecer condiciones de seguridad, control y auditoría en forma anticipada con otras áreas o terceros que deben administrar u operar el activo de información o aplicación en producción.
