Análisis de Los Riesgos de Seguridad de La Información de Un Aplicativo

ANÁLISIS DE LOS RIESGOS DE SEGURIDAD DE LA INFORMACIÓN DE UN
APLICATIVO DE GESTIÓN DOCUMENTAL LIDER EN EL MERCADO COLOMBIANO.
TRABAJO DE GRADO
CARMEN ELIZABETH FAJARDO DIAZ

Código: 1424000081
INSTITUCIÓN UNIVERSITARIA POLITÉCNICO GRANCOLOMBIANO

FACULTAD DE INGENIERÍA Y CIENCIAS BÁSICAS
ESPECIALIZACIÓN EN SEGURIDAD DE LA INFORMACIÓN
2017
ANÁLISIS DE LOS RIESGOS DE SEGURIDAD DE LA INFORMACIÓN DE UN
APLICATIVO DE GESTIÓN DOCUMENTAL LIDER EN EL MERCADO COLOMBIANO.
TRABAJO DE GRADO
CARMEN ELIZABETH FAJARDO DIAZ

Código: 1424000081
ALEJANDRO CASTIBLANCO CARO

Asesor(es)
INSTITUCIÓN UNIVERSITARIA POLITÉCNICO GRANCOLOMBIANO

FACULTAD DE INGENIERÍA Y CIENCIAS BÁSICAS
ESPECIALIZACIÓN EN SEGURIDAD DE LA INFORMACIÓN
2017
Nota de aceptación
____________________________________
____________________________________
____________________________________
____________________________________
____________________________________
____________________________________
____________________________________
____________________________________
____________________________________
Firmas de los jurados
Bogotá, 2 de Junio de 2017

TABLA DE CONTENIDO
INTRODUCCIÓN ................................................................................................................................... 7
1. RESUMEN EJECUTIVO .................................................................................................................. 8
Alcance del proyecto ....................................................................................................................... 9
Objetivo General ............................................................................................................................. 9
Objetivos Específicos ....................................................................................................................... 9
2. JUSTIFICACIÓN........................................................................................................................... 11
3. MARCO TEÓRICO Y REFERENTES ............................................................................................... 13
3.1 SEGURIDAD DE LA INFORMACIÓN .................................................................................... 13
3.2 GESTIÓN DOCUMENTAL .................................................................................................... 16
4. METODOLOGÍA.......................................................................................................................... 18
4.1 FASE DE INICIO .................................................................................................................. 20
4.2 FASE DE ANALISIS .............................................................................................................. 21
4.3 FASE DE DISEÑO ................................................................................................................ 21
4.3.1 IDENTIFICACIÓN, CLASIFICACIÓN Y VALORACIÓN DE ACTIVOS ....................................... 22
4.3.2 METODOLOGÍA A EMPLEAR PARA EL ANÁLISIS DE RIESGOS ........................................... 30
4.3.2.1 Identificación de vulnerabilidades y amenazas............................................................. 31
4.3.2.2 Definición de riesgos de seguridad ............................................................................... 37
4.3.2.3 Cuantificación de la probabilidad e impacto a emplear en la valoración de los riesgos.
................................................................................................................................................... 39
4.3.3 PLAN DE TRATAMIENTO Y GESTIÓN DE LOS RIESGOS ..................................................... 44
4.3.3.1 Estrategia de tratamiento del Riesgo ........................................................................... 45
4.3.3.2 Descripción del plan de acción ...................................................................................... 48
4.3.4 POLITICA DE SEGURIDAD DE LA INFORMACIÓN .............................................................. 61
5. RESULTADOS Y DISCUSIÓN........................................................................................................ 62
5.1 ENTREGABLE 1 – Inventario de activos asociados al sistema de gestión documental ........... 62
5.2 ENTREGABLE 2 – Análisis de riesgos detectados sobre el aplicativo de gestión documental 65
5.3 ENTREGABLE 3 – Plan de tratamiento y gestión de riesgos de seguridad de la información . 67
5.4 ENTREGABLE 4 – Política de seguridad de la información para la organización..................... 68
6. CONCLUSIONES ......................................................................................................................... 69
7. BIBLIOGRAFÍA ............................................................................................................................... 71
8. ANEXOS ..................................................................................................................................... 73
LISTA DE TABLAS
Tabla 1 – Indicadores del estado actual del problema detectado. .................................... 12

Tabla 2 – Descripción de la metodología a emplear en el desarrollo del trabajo de grado.
........................................................................................................................................ 20
Tabla 3 – Clasificación de los activos definida en la metodología MAGERIT. (Gobierno de
España, 2012, p8) ........................................................................................................... 23
Tabla 4 - Inventario de activos relacionados con el aplicativo de gestión documental...... 25
Tabla 5 - Consulta para determinar la criticidad del activo ............................................... 26
Tabla 6 - Criterios de valoración de los activos de información ........................................ 27
Tabla 7 - Nivel de criticidad del activo de información ...................................................... 28
Tabla 8 - Valoración de activos relacionados con el sistema de información del aplicativo
de gestión documental ..................................................................................................... 29
Tabla 9 - Activos objeto de análisis de riesgos................................................................. 30
Tabla 10 – Determinación de vulnerabilidades y amenazas sobre los activos objeto de
análisis de riesgos. .......................................................................................................... 36
Tabla 11 - Riesgos de seguridad de la información ......................................................... 38
Tabla 12 – Valoración de la probabilidad en términos de ocurrencia a través del tiempo. 39
Tabla 13 – Valoración del impacto en términos económicos y operativos para la
organización. ................................................................................................................... 40
Tabla 14 – Valoración del riesgo en términos de probabilidad e impacto. ........................ 41
Tabla 15 – Ponderación de la valoración del riesgo. ........................................................ 41
Tabla 16 – Valoración de los riesgos de seguridad asociados a los activos de información
........................................................................................................................................ 43
Tabla 17 – Mapa de calor con la ubicación de los riesgos inherentes. ............................. 44
Tabla 18 – Descripción de la estrategia de tratamiento.................................................... 45
Tabla 19 – Descripción de la estrategia de tratamiento vs. Costo beneficio ..................... 46
Tabla 20 – Estrategia de tratamiento seleccionada por riesgo identificado ...................... 48
Tabla 21 - Plan de tratamiento de riesgos propuesto para mitigar y controlar los riesgos
existentes. ....................................................................................................................... 59
Tabla 22 – Descripción de la clasificación de los controles sugeridos .............................. 60
Tabla 23 - Activos objeto de análisis de riesgos............................................................... 64
LISTA DE FIGURAS
Figura 1 – Ciclo de vida de los documentos..................................................................... 17

Figura 2 – Fases del plan de trabajo propuesto ............................................................... 62
INTRODUCCIÓN
En la actualidad las aplicaciones de gestión documental son muy utilizadas en el sector

productivo debido a que les permite organizar, centralizar, gestionar y administrar de
forma digital todos los procesos corporativos que adelantan las diversas empresas en
nuestro país. Para cualquier organización, los documentos que procesan son la evidencia
de las actividades que desarrollan al interior de la empresa así como con otras entidades,
manejando acorde al tipo de documento información que puede ser sensible para la
organización, motivo por el cual la seguridad de la información es un aspecto clave que
debe se debe tener presente a la hora de implementar un sistema de gestión documental
dentro de una entidad.
Este documento está enfocado a realizar un análisis de los riesgos de seguridad de la

información de un aplicativo de gestión documental líder en el mercado Colombiano,
determinando cuales son los riesgos de seguridad a los que se encuentra expuesta la
información dentro del proceso y aplicativo de gestión documental, así como establecer el
plan de tratamiento adecuado de dichos riesgos para controlarlos y reducirlos a niveles
aceptables y asumibles para la entidad propietaria del software así como sus respectivos
clientes.
1. RESUMEN EJECUTIVO
En la actualidad las aplicaciones de gestión documental son muy utilizadas en el sector

productivo debido a que les permite optimizar la administración, gestión y control de la
documentación e información de la compañía, de manera eficiente, eficaz y menos
costosa de forma digital e involucra todos los procesos corporativos que adelantan las
diversas empresas en nuestro país. Para cualquier organización, los documentos que
procesan son la evidencia de las actividades que desarrollan al interior de la empresa así
como con otras entidades, manejando acorde al tipo de documento información que
puede ser sensible para la organización, motivo por el cual la seguridad de la información
es un aspecto clave que tienen presente las organizaciones que desean implementar un
sistema de gestión documental, entre otros aspectos como el aumento de la
productividad, disminución de tiempo y costos en el procesamiento de la documentación,
la optimización de los procesos entre otros aspectos.
El Sistema de Gestión Documental objeto del presente estudio, es una aplicación de

software propietaria de una empresa Colombiana que incursiono en el mercado a
mediados de los noventa con el objetivo de brindar a las diferentes organizaciones del
sector productivo una herramienta que les permitirá automatizar y dinamizar los procesos
documentales generados diariamente en el desarrollo de su objeto de negocio;
posicionándose actualmente en el sector productivo como una aplicación de gestión
documental líder en el territorio colombiano.
Debido a la importancia que tiene la información hoy en día para la continuidad del
negocio y el cumplimiento de los objetivos organizacionales, la empresa propietaria del
software de gestión documental ha detectado la necesidad de establecer acciones de
mejora que le permitan identificar las debilidades y falencias que presenta su aplicativo de
gestión documental en la protección de la seguridad de la información, debido a que han
presentado situaciones que han conllevado a la perdida de confidencialidad y
disponibilidad de la información de los clientes que se gestiona a través aplicativo de
gestión documental, así como perdida de código fuente de mejoras del aplicativo por la
ausencia de procesos y procedimientos que establezcan los lineamientos para la
administración y almacenamiento de la información correspondiente al desarrollo de
software asociados con el aplicativo de gestión documental objeto del presente estudio.
La empresa propietaria del software de gestión documental permitió realizar el respectivo
estudio, sin embargo no autorizo a divulgar el nombre del aplicativo ni de la organización,
ya que consideran podrían perder la credibilidad y confianza de sus clientes, así como
afectar negativamente la continuidad y posicionamiento de su aplicación en el sector
productivo.
Para brindar solución a la problemática mencionada se describe a continuación el alcance

y los objetivos del proyecto.
Alcance del proyecto
El alcance del proyecto establece la identificación de los riesgos de seguridad del

aplicativo de gestión documental objeto del presente estudio, diseñando el plan de
tratamiento de riesgos que le permitan a la organización controlar y disminuir los riesgos
de seguridad detectados en el aplicativo de gestión documental. Dentro de las
limitaciones del alcance del proyecto está la ejecución, seguimiento y control del plan de
tratamiento de riesgos diseñado para la aplicación de gestión documental, sugiriendo a
las directivas y personal IT de la empresa propietaria del software implementar el plan de
tratamiento de riesgos, para mitigar y controlar los riesgos existentes a los que se
encuentran expuestos los activos de información que engloba la solución de gestión
documental.
Objetivo General
Realizar el análisis de riesgos de seguridad de la información sobre la aplicación de

gestión documental, proponiendo un plan de tratamiento orientado a mitigar y controlar los
riesgos de seguridad detectados en el aplicativo de software objeto del presente estudio.
Objetivos Específicos
 Definir la metodología a emplear para identificar, valorar, clasificar y tratar los

activos de información que apoyan la gestión del aplicativo de gestión documental.
 Realizar un inventario de los activos de información que engloba el aplicativo de

gestión documental resultado de aplicar la metodología de identificación,
clasificación y valoración de los activos de información del software de gestión
documental.
 Especificar la metodología para la identificación y valoración de los riesgos de

seguridad que se encuentran presentes en el aplicativo de gestión documental.
 Identificar y valorar los riesgos de seguridad sobre los activos de información del
aplicativo de gestión documental al interior de la empresa propietaria del software.
 Definir la política de seguridad de la información de la organización propietaria del

software de gestión documental.
Con el desarrollo de la metodología propuesta para el presente trabajo de grado los

entregables que harán parte de los resultados obtenidos son:
 Política de seguridad de la información enfocada a la organización propietaria del

 Inventario de activos asociados al sistema de gestión documental objeto del

presente trabajo de grado.
 Informe del análisis de riesgos detectados sobre el aplicativo de gestión

documental empleando la metodología MAGERIT.
 Informe de plan de tratamiento y gestión de riesgos de seguridad de la información

detectados en el aplicativo de gestión documental enfocado a minimizar y controlar
los riesgos de información descritos.
2. JUSTIFICACIÓN
En Colombia existe un amplio marco legal y jurídico, entre las que se encuentra la ley 594
de 2000 – Ley General de Archivos en la que define la gestión documental como un
“conjunto de actividades administrativas y técnicas tendientes a la planificación, manejo y
organización de la documentación producida y recibida por las entidades, desde su origen
hasta su destino final, con el objeto de facilitar su utilización y conservación” (MinTIC,
2014, p. 4).
En la actualidad tanto entidades públicas como privadas han optado por implementar
soluciones de gestión documental que les permita organizar, centralizar, gestionar y
administrar digitalmente toda la documentación que manejan tanto al interior como al
exterior de la organización, siendo la información que se encuentra contenida en estos
documentos uno de los activos más importantes de las organizaciones, motivo por el cual
hace necesario que las aplicaciones de gestión documental protejan la confidencialidad,
integridad y disponibilidad de la información; cualidades que le permiten a las empresas
mantener su buen nombre con sus clientes, proveedores y aliados estratégicos, así como
posesionarse en el sector productivo.
El software de gestión documental objeto de este proyecto se encuentra implementado y

operativo en alrededor de setenta y nueve (79) clientes entre entidades del sector público
y privado, con aproximadamente veinticuatro mil seiscientos (24.600) usuarios en
producción distribuidos a través del territorio Colombiano. En el año 2016 las áreas de
consultoría y TI de la entidad propietaria del software diseñaron una prueba para evaluar
diversos aspectos operativos y de seguridad del aplicativo de gestión documental siendo
aplicada en una muestra de cuatro (4) clientes, la cual fue implementada por los diversos
usuarios líderes de cada proyecto, los usuarios del sistema e interventores durante un (1)
mes obteniendo los siguientes resultados.
ASPECTO A DESCRIPCION DEL ASPECTO A PORCENTAJE

FORMULA
EVALUAR EVALUAR OBTENIDO
Se refiere a que el criterio evaluado
(Cantidad de pruebas
Integridad esté de acuerdo a los 74 %
realizadas al sistema
requerimientos establecidos.
satisfactorias / total de
La información o proceso que se
pruebas al sistema)
Confiabilidad relacione con el criterio debe estar 43 %
*100
completo y acorde con lo que se
ASPECTO A DESCRIPCION DEL ASPECTO A PORCENTAJE
FORMULA
EVALUAR EVALUAR OBTENIDO
espera que realice o represente.
Es un cálculo numérico o de
medición de los resultados de las
Exactitud 91%
variables y/o procesos relacionados
con el criterio.
Los resultados que se tienen están
Fiabilidad acordes con lo que se espera de 77 %
acuerdo al criterio definido.
Se debe medir la validez de la
información que se encuentra en el
Autenticidad 74 %
sistema frente a la suministrada por
la fuente.
Debilidades reales que han sido
Vulnerabilidad 80 %
detectadas en el sistema.
Tabla 1 – Indicadores del estado actual del problema detectado.
Acorde a los indicadores descritos en la tabla 1 y obtenidos a través del muestreo

implementado con clientes directos del aplicativo, es importante para la organización
propietaria de la aplicación de gestión documental objeto de este proyecto; el contar con
un estudio que le proporcione el análisis de los riesgos de seguridad de la información a
los que se encuentra expuesta la información (esta puede ser de clientes o de la
organización propietaria del software) que se gestiona a través del aplicativo de gestión
documental que ofrecen a sus clientes, así como el plan tratamiento de riesgos diseñado
y sugerido para reducir y controlar los riesgos de seguridad detectados sobre la aplicación
de gestión documental llevándolos a niveles aceptables y asumibles para la entidad
propietaria del software, lo que le permitirá a la organización tomar las acciones
correctivas necesarias para fortalecer la seguridad como parte del desarrollo e
implementación de sus aplicaciones de software, así como operativo para salvaguardar la
información propia y de sus clientes aspectos enfocados a contribuir con la continuidad
del negocio y el crecimiento de la organización a nivel nacional.
3. MARCO TEÓRICO Y REFERENTES
El marco teórico descrito a continuación referencia la conceptualización técnica que se

puede encontrar en el presente documento y anexos asociados al desarrollo del proyecto.
3.1 SEGURIDAD DE LA INFORMACIÓN
A continuación se relacionan la definición de los términos relacionados con la seguridad

de la información, aplicados en el proyecto objeto del presente documento.
 Activo: “Se considera un activo a aquello que es de alta validez y que contiene
información vital la cual es importante proteger”. (Institución Universitaria
Politécnico GranColombiano, 2016, p. 7)
 Información: “Conjunto organizado de datos procesados, que constituyen un

mensaje que cambia el estado de conocimiento del sujeto o sistema que recibe
dicho mensaje”. (Institución Universitaria Politécnico GranColombiano, 2016, p. 5)
 Triada CID: “Compuesta por la Confidencialidad, Integridad y Disponibilidad de la

información, la cual, es considerada como una definición de los objetivos de la
seguridad de la información”. (Institución Universitaria Politécnico
GranColombiano, 2016, p. 8)
 Confidencialidad: “Propiedad que determina que la información no esté

disponible ni sea revelada a individuos, entidades o procesos no autorizados”.
(International Standar ISO/IEC 27000, 2016, p. 3)
 Integridad: “Propiedad de salvaguardar la exactitud y estado completo de los

activos”. (International Standar ISO/IEC 27000, 2016, p. 3)
 Disponibilidad: “Propiedad de que la información sea accesible y utilizable por

solicitud de una entidad autorizada” (International Standar ISO/IEC 27000, 2016, p.
3)
 Autenticidad: “Propiedad o característica consistente en que una entidad es quien
dice ser o bien que garantiza la fuente de la que proceden los datos.” (Gobierno de
España, 2012, p. 9)
 Autenticación: “Proceso bajo el cual se verifica la identidad del usuario”.

(Institución Universitaria Politecnico GranColombiano, 2016, p. 6)
 Trazabilidad: “Aseguramiento de que en todo momento se podrá determinar quién

hizo qué y en qué momento”. (Gobierno de España, 2012, p.9)
 Seguridad de la información: “Preservación de la confidencialidad, la integridad

y la disponibilidad de la información; además puede involucrar otras propiedades
tales como: autenticidad, trazabilidad (Accountability), no repudio y fiabilidad”.
 Política de seguridad de la información: “Documento global ejecutivo que

establece las obligaciones a tener en cuenta en cuanto a seguridad de la
información (en virtud de la triada CID) dentro de una organización.” (Institución
Universitaria Politécnico GranColombiano, 2016, p. 9)
 Vulnerabilidad: “Es una debilidad a nivel de software, hardware, procedimientos o

error humano que permite a un atacante aprovecharla para causar daño. La
vulnerabilidad se caracteriza por ausencia de controles de seguridad que permite
ser explotada”. (Institución Universitaria Politécnico GranColombiano, 2016, p. 7)
 Amenaza: “Se define como un peligro potencial a la información del sistema. Se

presente cuando un atacante identifica una vulnerabilidad sobre un activo y es
usada para generar daños que afectan a la compañía”. (Institución Universitaria
 Probabilidad: “Estimación de ocurrencia de un evento, el cual está relacionado a

características de las vulnerabilidades presentadas y el origen de la amenaza”.
(Institución Universitaria Politécnico GranColombiano, 2016, p. 7)
 Impacto: “Consecuencia generada a partir de la materialización de una amenaza.
El impacto es clasificado de acuerdo al daño que produce sobre el activo la cual
puede ser alta, media o baja”. (Institución Universitaria Politécnico
 Controles: “Son aquellos mecanismos utilizados para monitorear y controlar

acciones que son consideradas sospechosas y que pueden afectar de alguna
manera los bienes de la compañía”. (Institución Universitaria Politécnico
 Riesgo: “Grado de exposición de un activo que cual permite la materialización de

una amenaza ocasionando daños a la compañía”. (Institución Universitaria
 Riesgo residual: “Nivel restante de riesgo después del tratamiento del riesgo”.
 Aceptación del riesgo: “Decisión de asumir un riesgo”. (International Standar

ISO/IEC 27000, 2016, p. 10)
 Análisis de riesgo: “Uso sistemático de la información para identificar las fuentes

y estimar el riesgo”. (International Standar ISO/IEC 27000, 2016, p. 11)
 Evaluación del riesgo: “Proceso de comparar el riesgo estimado contra criterios

de riesgo dados, para determinar la importancia del riesgo”. (International Standar
ISO/IEC 27000, 2016, p. 11)
 Gestión del riesgo: “Actividades coordinadas para dirigir y controlar una

organización en relación con el riesgo”. (International Standar ISO/IEC 27000,
2016, p. 12)
 Tratamiento del riesgo: “Proceso de selección e implementación de medidas

para modificar el riesgo”. (International Standar ISO/IEC 27000, 2016, p. 12)
 Mapa de riesgos: “Relación de las amenazas a que están expuestos los activos”.
(Gobierno de España, 2012, p. 8)
 Valoración del riesgo: “Proceso global de análisis y evaluación del riesgo”.

3.2 GESTIÓN DOCUMENTAL
La gestión documental consiste en la aplicación de tecnologías y procedimientos que

permiten establecer un acceso unificado a la información generada en la organización, a
través de actividades administrativas y técnicas que permiten coordinar y controlar la
creación, recepción, organización, almacenamiento, preservación, acceso y difusión de
documentos durante su ciclo de vida con el objeto de facilitar su utilización a través de los
procesos en los cuales pueda intervenir dentro de la organización, así como su
conservación.
Entre los beneficios que trae para una organización implementar un sistema de gestión
documental se encuentran:
 Calidad en la gestión administrativa, la cual se ve reflejada en los siguientes

aspectos:
 Eficiencia en los procesos
 Control de actividades
 Información en línea
 Ahorro de tiempo
 Brinda apoyo en la toma de decisiones
 Reduce tiempo en el acceso a la información: debido a que brinda una mayor

eficacia y eficiencia en los procesos de búsqueda y recuperación de información
reduciendo los tiempos de respuesta.
 Reducción de volúmenes documentales, racionalizando el archivo y de esta forma

obteniendo un volumen real del inventario documental y a su vez minimiza los
espacios donde se preserva la documentación, así como los costos asociados a
su manipulación y almacenamiento y recuperación.
 Minimiza los riesgos de pérdida y deterioro.
 Refleja la modernización empresarial
 Reduce los costos de mantenimiento y apoyo en la gestión de la documentación.
 Asegura la óptima utilización de los recursos y el espacio físico, percibiendo a

través del ROI (Retorno sobre la inversión) el beneficio obtenido en relación con la
inversión realizada en la implementación del sistema de gestión documental.
 Permite agilizar los procesos, mejorando la productividad de la organización.
Dentro de los aspectos relevantes que tiene un sistema de gestión documental, se

encuentra el ciclo de vida de los documentos, el cual se basa en una serie de etapas o
fases sucesivas por las que pasan los documentos desde la producción o recepción del
documento hasta su archivado permanente o eliminación. La figura 1 ilustra el ciclo de
vida de los documentos.
Producción
Disposición
Recepción
final
Conservación Distribución
Consulta Trámite
Organización
Figura 1 – Ciclo de vida de los documentos

La fase de producción documental hace relación a la generación de los documentos en
las entidades en el ejercicio de su razón social. La recepción del documento involucra
procesos de verificación y control que les permiten admitir los documentos que pueden
ser remitidos por un cliente interno o externo de la entidad. En la fase de distribución de
documentos se encuentra enfocado a garantizar que los documentos lleguen a su
destinatario para su respectiva gestión y tramite.
La organización documental establece el conjunto de acciones orientadas a la

clasificación, ordenación y descripción de los documentos como parte integral de los
procesos archivísticos. La consulta de documentos permite establecer el acceso a un
documento o grupo de documento con la finalidad de conocer la información que
contienen. En la conservación de los documentos se toman las medidas preventivas o
correctivas que permitan garantizar la integridad física y funcional de los documentos de
archivo sin alterar su contenido.
La fase de disposición final determina el proceso final de documento el cual posterior a

una valoración puede ser eliminado o archivado.
En todas las fases descritas en el ciclo de vida de la documentación se encuentra

implícito la información, el cual es considerado el activo más valioso que posee una
organización y que está ligado a la continuidad del negocio; de ahí la importancia de que
el aplicativo de gestión documental permita salvaguardar la integridad, confidencialidad y
disponibilidad de la información.
4. METODOLOGÍA
Para desarrollar el alcance y los objetivos propuestos en el proyecto, la metodología a

implementar enmarca las fases de inicio, análisis y diseño, donde cada etapa establece
una serie de actividades encaminadas a lograr los resultados del proyecto, las cuales se
describen a continuación.
FASE 1 - INICIO
 Elaboración de la propuesta del análisis de riesgos de la información sobre la

aplicación de gestión documental objeto del presente estudio.
 Revisión y aprobación de la propuesta por parte de la gerencia de la empresa
propietaria del software.
 Revisión y aprobación de la propuesta por parte de la Universidad.
FASE 2 - ANÁLISIS
 Realizar el Levantamiento de información empleando las siguientes técnicas:
o Entrevistas con los actores relevantes del aplicativo de gestión de

documental (Gerencia y áreas involucras (Desarrollo, Soporte y
Consultoría)).
o Revisión de la infraestructura física existente donde se alberga el
aplicativo de gestión documental.
o Reconocimiento de la infraestructura existente de red bajo la cual se
establece el acceso al aplicativo de gestión documental al personal de
desarrollo, consultoría de la entidad y clientes externos.
o Realización de pruebas con cuenta creada y valida con diversos roles para
detectar las vulnerabilidades en cuanto a seguridad de la información del
FASE 3 - DISEÑO
 Definir la metodología a implementar para realizar el análisis de riesgos de

seguridad de la información sobre el aplicativo de gestión documental.
o Identificación y clasificación de los activos de información, empleando el

modelo de clasificación de los activos descrito en la metodología
MAGERIT.
o Determinar las vulnerabilidades y amenazas de los activos de información
correspondientes a la aplicación de gestión documental.
o Definir los riesgos de seguridad de la información detectados en el
aplicativo, empleando la metodología MAGERIT de análisis y gestión de
riesgos de los sistemas de información.
o Evaluar en términos de probabilidad de ocurrencia e impacto los riesgos
de seguridad de la información detectados.
o Definir con la dirección el nivel de aceptación de los riesgos de seguridad
de la información.
 Diseñar la política de seguridad de la información para la empresa propietaria del

 Diseñar el plan de tratamiento y gestión de riesgos de seguridad de la
información.
 Socializar los resultados obtenidos ante la dirección de la empresa y/o
Universidad.
Tabla 2 – Descripción de la metodología a emplear en el desarrollo del trabajo de grado.
El plan de trabajo propuesto se basa en el desarrollo de la metodología descrita, el cual

se adjunta en el Anexo N.1 al presente documento, describiendo a continuación las
actividades realizadas en cada una de las fases propuestas.
4.1 FASE DE INICIO
En esta fase se estableció los respectivos ajustes del anteproyecto acorde a las
orientaciones recibidas por parte de la Universidad. Una vez obtenida la viabilidad para el
desarrollo del proyecto se formalizo con el gerente general de la empresa propietaria del
software de gestión documental la propuesta y el plan de trabajo a realizar para llevar a
cabo el análisis de riesgos sobre dicho aplicativo, recibiendo la respectiva aprobación,
apoyo y permiso para elaborar el análisis de riesgos de seguridad de la información del
aplicativo objeto del presente estudio.
4.2 FASE DE ANALISIS
Las actividades asociadas a la fase de análisis se realizaron con el objetivo de identificar

los lineamientos que se implementan en el desarrollo y mejoras del código fuente del
aplicativo de gestión documental, características de funcionamiento y estado actual de la
seguridad en la infraestructura tecnológica que alberga la información pertinente al
aplicativo, su gestión y administración a través de la red corporativa de la organización.
Para identificar el estado actual de la seguridad de la información en el aplicativo de

gestión documental se emplearon las siguientes técnicas.
 Entrevistas con los ingenieros líderes de las áreas de Desarrollo y Soporte IT,
actores relevantes del aplicativo de gestión documental. Los respectivos soportes
de las entrevistas se encuentran en los anexos 2 y 3. En septiembre de 2016 se
entrevistó al consultor líder de procesos generando como resultado el
planteamiento del presente proyecto.
 Inspección visual de las instalaciones administrativas de la empresa propietaria del

software, empleando una lista de chequeo. Anexo 4.
 Ejecución de pruebas para identificar los aspectos que afectan la seguridad de la

información en el aplicativo de gestión documental. Los resultados obtenidos
permitieron identificar las vulnerabilidades descritas en la matriz de riesgos. No se
genera un documento que evidencie el desarrollo de las pruebas debido a la
reserva y confidencialidad que solicito el cliente.
4.3 FASE DE DISEÑO
Las actividades propuestas en esta fase permitieron realizar el análisis de los riesgos de
seguridad de la información del aplicativo de gestión documental, estableciendo una
propuesta de tratamiento y gestión de los riesgos de seguridad de la información que
permita su mitigación y control, donde la empresa propietaria del software es autónoma
en realizar o no su implementación.
Para lograr el desarrollo de los objetivos del proyecto se realizaron las siguientes
acciones:
 Identificación, clasificación y valoración de los activos de tecnología asociados al

diseño y funcionamiento del aplicativo de gestión documental, empleando el
modelo de clasificación descrito en la metodología MAGERIT - versión 3.0 Libro II
– Catalogo de elementos.
 La metodología a emplear para realizar el respectivo análisis de riesgos de

seguridad de la información sobre el software de gestión documental, es la
Metodología de Análisis y Gestión de Riesgos de los sistemas de información
MAGERIT versión 3.0 descrita en el libro I – Método.
 Análisis de riesgos de seguridad de la información aplicando la metodología

seleccionada.
 Valoración y evaluación de los riesgos de seguridad de la información en términos

de probabilidad de ocurrencia e impacto.
 Diseño del plan de tratamiento de riesgos orientado a salvaguardar la seguridad

de la información de los activos del aplicativo de gestión documental objeto del
 Establecimiento de la política de seguridad de la información para la organización.
A continuación se describen aspectos relevantes en el establecimiento de cada una de las

actividades definidas en la fase de diseño.
4.3.1 IDENTIFICACIÓN, CLASIFICACIÓN Y VALORACIÓN DE ACTIVOS
La identificación de los activos relacionados con el sistema de información relacionados

en el presente documento se enfoca en una aplicación de software de gestión
documental, que se caracteriza por ser una de las líneas de negocio de la organización
propietaria de la aplicación. La clasificación de los activos identificados se realizó gracias
al acompañamiento de los líderes del área de desarrollo y consultoría de la empresa
propietaria del software, empleando la metodología MAGERIT, la cual propone el
siguiente modelo de clasificación.
CATEGORÍA DEL ACTIVO DESCRIPCIÓN DE LOS POSIBLES ACTIVOS
La información se caracteriza por ser el activo más importante que le

permite a la organización prestar sus servicios. Su forma de
almacenamiento puede ser digital o físico y se puede ver representada
Datos e información
en ficheros, copias de respaldo, datos de gestión interna, credenciales,
datos de validación de credenciales, datos de control de acceso, registro
de actividad, códigos fuente, código ejecutable, etc.
Contempla los servicios prestados por el sistema que satisfacen la

necesidad de los usuarios. Dentro de los cuales se pueden encontrar
Servicios
correo electrónico, almacenamiento de ficheros, gestión de identidades,
gestión de privilegios, acceso remoto, etc.
Se caracterizan porque gestionan, analizan y transforman los datos
permitiendo la explotación de la información para la prestación de los
Software -
servicios. Dentro de la clasificación se puede relacionar desarrollo
Aplicaciones Informáticas
propio, desarrollo a medida, aplicaciones ofimáticas, sistemas
operativos, antivirus, etc.
Brindan soporte directo o indirectamente a los servicios que presta la
organización, siendo repositorios temporales o permanentes de datos,
soporte de ejecución de las aplicaciones informáticas o responsables del
Equipamiento Informático
procesamiento o transmisión de datos. Dentro de esta clasificación se
relaciona todo el hardware de la red como dispositivos de red,
servidores, host y periféricos.
Se centran en los medios de transporte que llevan datos de un sitio a
Redes de comunicaciones otro. Las redes pueden ser propias o contratadas a terceros. Se
relacionan las redes LAN, Internet, redes inalámbricas, etc.
Se consideran dispositivos físicos que permiten almacenar información
Soportes de información de forma permanente o durante periodos de tiempo como discos físicos
y virtuales, memorias USB, CD-DVD, etc.
Infraestructura que sirve de soporte a los sistemas de información, sin
estar directamente relacionados con los datos como fuentes de
Equipamiento auxiliar alimentación, UPS, equipos de climatización, cableado, mobiliario,
equipos de destrucción de soportes de información, suministros
esenciales, etc.
Relaciona los lugares donde se hospedan los sistemas de información y

Instalaciones
comunicaciones. Ej. Edificios, oficinas, instalaciones de respaldo.
Involucra el personal relacionado con los sistemas de información como

Personal pueden ser los usuarios internos, externos, operadores, administradores
del sistema, desarrolladores, etc.
Tabla 3 – Clasificación de los activos definida en la metodología MAGERIT. (Gobierno de España, 2012, p8)
A continuación se describen los activos relacionados con el sistema de información
identificados y clasificados acorde a la metodología descrita.
N. CATEGORIA DEL UBICACIÓN (CONTENEDOR) DEL ACTIVO

NOMBRE DEL ACTIVO DESCRIPCION DEL ACTIVO
ACTIVO ACTIVO DE INFORMACIÓN
Software de control Aplicación de administración

Datos e
GD - A1 de versiones para el control en el • Servidor de aplicación
información
(Subversión y GIT) versionamiento del software.
Documento que establece la • Servidor de aplicación

Metodología de Datos e
GD - A2 metodología de desarrollo de • Computadores de los
desarrollo información
software desarrolladores
• Servidor de aplicación
• Código fuente de nuevas
Código fuente del aplicativo de Datos e
GD - A3 Código fuente funcionalidades puede estar ubicado
gestión documental información
localmente en el computador de un
desarrollador.
Servidor de aplicación que
Servidor de soporta el aplicativo de gestión Equipamiento • Cuarto de equipos de la sede
GD - A4
aplicaciones documental a través de Informático principal
ambiente web.
Servidor de bases de datos que
Servidor de bases de soporta la información de los Equipamiento • Cuarto de equipos de la sede
GD - A5
datos usuarios de sistema de gestión Informático principal
documental.
Servidor de archivos que
almacena las imágenes Equipamiento • Cuarto de equipos de la sede
GD - A6 Servidor de imágenes
indexadas al sistema de gestión Informático principal
documental.
Computadoras portátiles de la
Equipamiento • Espacio administrativo asignado al
GD - A7 Portátiles entidad asignados a
Informático área de desarrollo.
desarrolladores.
• Espacio administrativo asignado al
área de desarrollo.
• Instalaciones de los clientes que
Computadores de Computadores de escritorio
Equipamiento utilizan la aplicación de gestión
GD - A8 escritorio asignados a los desarrolladores
Informático documental.
desarrolladores de software
• En la ubicación donde se encuentre
el responsable del activo (Empleado).
Ej.: Lugar de residencia.
Dispositivos encargados de la
• Cuarto de equipos, el cual cumple
conectividad de la red. La
Equipamiento también la función del cuarto de
GD - A9 Dispositivos de red organización cuenta con switch
Informático telecomunicaciones en las
no administrables, router y
instalaciones de la organización.
dispositivos inalámbricos.
N. CATEGORIA DEL UBICACIÓN (CONTENEDOR) DEL ACTIVO
NOMBRE DEL ACTIVO DESCRIPCION DEL ACTIVO
ACTIVO ACTIVO DE INFORMACIÓN
Instalación física donde residen

GD - • Instalación física de la organización
Cuarto de equipos los dispositivos de red y Instalaciones
A10 (Casa de dos plantas)
servidores
GD - El personal que conforma el área • Talento humano del área de
Desarrolladores Personal
A11 de desarrollo de la organización desarrollo
GD - Red de área local - Red LAN corporativa de la Redes de • Instalación física de la organización
A12 LAN entidad comunicaciones (Casa de dos plantas)
Red Wifi utilizada por

GD - Red Inalámbrica - dispositivos móviles para Redes de • Instalación física de la organización
A13 WLAN acceder a los servicios y recursos comunicaciones (Casa de dos plantas)
de la red corporativa.
Almacenamiento de la
GD - Servicio de File • Carpeta compartida en el servidor
información concerniente al Servicios
A14 Systems de aplicación
desarrollo de la aplicación.
Interfaz de desarrollo
Plataforma de desarrollo de Software -
GD - (Netbeans con • Computadores de los
código abierto para aplicaciones Aplicaciones
A15 lenguaje de desarrolladores
desarrolladas en Java. Informáticas
programación Java)
Software que permite la
administración del hardware de Software - • Equipos de cómputo (Portátiles y de
GD -
Sistemas operativos los equipos de cómputo Aplicaciones escritorio)
A16
(Escritorio, portátiles, Informáticas • Servidores
servidores)
Software orientado a proteger la Software - • Equipos de cómputo (Portátiles y de
GD -
Antivirus red de código malicioso Aplicaciones escritorio)
A17
(Malware) Informáticas • Servidores
Aplicativo de gestión Software -
GD - Aplicativo de gestión
documental - Aplicaciones • Servidor de aplicación
A18 documental
Ejecutable Informáticas
Aplicación para la gestión y Software -
GD - Sistemas de gestión
administración de la base de Aplicaciones • Servidor de base de datos
A19 de bases de datos
datos Informáticas
• Espacio administrativo asignado al
área de desarrollo.
Medios de • Instalaciones de los clientes que
GD - almacenamiento Unidades de almacenamiento Soportes de utilizan la aplicación de gestión
A20 electrónico (USB, externo de información información documental.
Discos duros externos) • En la ubicación donde se encuentre
el responsable del activo (Empleado).
Ej.: Lugar de residencia.
Tabla 4 - Inventario de activos relacionados con el aplicativo de gestión documental

Ya identificados los activos relacionados con el sistema de información se estableció su
valoración en términos de confidencialidad, integridad y disponibilidad teniendo presente
la importancia del activo para la continuidad del negocio, así como el impacto que puede
causar para la organización a nivel financiero, jurídico y de imagen corporativa la perdida
de alguna de las características de la seguridad de la información relacionada con el
aplicativo de gestión documental debido a la materialización de una amenaza.
La identificación de la perdida de confidencialidad, integridad y/o disponibilidad se realizó

teniendo en cuenta las siguientes preguntas en cada uno de los aspectos descritos.
DIMENSION DE
ASPECTO AFECTADO PREGUNTA FORMULADA
SEGURIDAD
¿La divulgación no autorizada de un activo de
Financiero información sensible afecta la estrategia del negocio y el
estado financiero de la organización?
Confidencialidad Jurídico información sensible ocasiona el incumplimiento de la
normatividad y/o puede generar demandas de terceros?
Imagen Corporativa información afecta credibilidad y buen nombre de la
organización?
¿La modificación no autorizada de un activo de
información genera costos en reprocesos, afectación de
Financiero
estrategias de negocio y posibles costos por procesos
jurídicos?
Integridad La modificación no autorizada de un activo de
Jurídico información incurre en aplicación de sanciones legales y
jurídicas.
La alteración no autorizada de un activo de información
Imagen Corporativa
afecta negativamente la imagen institucional.
¿La indisponibilidad de los activos de información afecta
Financiero los ingresos económicos de la organización y las
estrategias del negocio?
Disponibilidad ¿La indisponibilidad de los activos de información genera
Jurídico
sanciones legales y jurídicas?
¿La no disponibilidad del activo de información afecta la
Imagen Corporativa
operación y la imagen corporativa ante terceros?
Tabla 5 - Consulta para determinar la criticidad del activo
Las dimensiones de seguridad serán valoradas teniendo presente los siguientes aspectos
y criterios de valoración.
CONSECUENCIAS DE LA PERDIDA VALOR
ASPECTO CRITERIO DE VALORACIÓN
DEL ACTIVO ASIGNADO
Entre 0% y 0.9% 1
Pérdida de recursos económicos
que pueden afectar la continuidad Entre 1% y 10% 2
Financiero del negocio. (Porcentaje definido
sobre la utilidad operacional de la Entre 11% y 20% 3
línea de negocio)
Superior al 20% 4
No se presenta una afectación al
1
interior de la organización.
Genera procesos de auditoria y/o
control interno para determinar las
2
Incumplimiento de la ley de acciones correctivas y preventivas
protección de datos o del contrato según aplique.
Jurídicos
ocasionando demandas legales Cancelación del contrato del personal
3
por parte de sus clientes. que afecto el activo de información.
Inicio de un proceso penal por
afectación de la confidencialidad,
4
integridad y/o disponibilidad de la
información.
No hay una afectación en la imagen de
1
la organización.
Es conocido de manera interna solo por
2
Pérdida de prestigio y buen el área de desarrollo.
Imagen nombre de la organización ante Afectación de la imagen al interior de la
Corporativa sus clientes, proveedores y organización, sin ser de dominio 3
terceros. público.
Desprestigio de la organización ante
terceros (Clientes, Proveedores y 4
demás).
Tabla 6 - Criterios de valoración de los activos de información
Valorando la afectación que puede tener la pérdida parcial y/o total de confidencialidad,
integridad y /o disponibilidad a nivel financiero, jurídico y de imagen corporativa se
determina el nivel de criticidad del activo relacionado con el sistema de información
aplicando la siguiente ponderación.
VALOR DE CRITICIDAD
ASPECTO NIVEL DE CRITICIDAD
DEL ACTIVO
Cuando el promedio de valoración del activo en términos
de confidencialidad, integridad y disponibilidad es igual a Muy bajo Es igual a 1
1
de confidencialidad, integridad y disponibilidad es mayor Bajo > 1 y <=2
a 1 y menor a 2
VALOR DE CRITICIDAD
ASPECTO NIVEL DE CRITICIDAD
DEL ACTIVO
de confidencialidad, integridad y disponibilidad es mayor Medio >2 y <= 3
a 2 y menor a 3
de confidencialidad, integridad y disponibilidad es mayor Alto > 3 y <= 4
a 3 y menor a 4
Tabla 7 - Nivel de criticidad del activo de información
Acorde al procedimiento descrito para clasificación y valoración de los activos

relacionados con el sistema de información se visualiza en la siguiente tabla el nivel de
criticidad de los activos.
CONFIDENCIALI- CONSOLIDADO DE
IDENTIFICACIÓN DEL ACTIVO DE INFORMACIÓN
DAD INTEGRIDAD DISPONIBILIDAD VALORACIÓN
CONFIDENCIALIDAD
DISPONIBLIDAD
CRITICIDAD
INTEGRIDAD
FINANCIERO
FINANCIERO
FINANCIERO
N. ACTIVO NOMBRE DEL ACTIVO
DEL ACTIVO
JURIDICO
JURIDICO
JURIDICO
IMAGEN
IMAGEN
IMAGEN
Software de control de versiones
GD - A1 4 1 4 4 2 1 4 4 3 4 4 4 Alto
(Subversión y GIT)
GD - A2 Metodología de desarrollo 1 1 2 1 1 2 1 1 1 2 2 1 Bajo
GD - A3 Código fuente 4 4 4 4 4 4 4 4 4 4 4 4 Alto
GD - A4 Servidor de aplicaciones 3 2 3 3 2 3 4 2 3 3 3 4 Alto
GD - A5 Servidor de bases de datos 4 4 4 4 4 4 4 4 4 4 4 4 Alto
GD - A6 Servidor de imágenes 4 4 4 4 4 4 4 4 4 4 4 4 Alto
GD - A7 Portátiles 2 2 2 1 2 2 1 2 2 2 2 2 Bajo
Computadores de escritorio
GD - A8 2 2 2 1 2 2 1 2 2 2 2 2 Bajo
desarrolladores
GD - A9 Dispositivos de red 4 4 3 4 2 3 4 2 3 4 4 4 Alto
GD - A10 Cuarto de equipos 4 2 3 2 2 3 3 2 3 4 3 3 Alto
GD - A11 Desarrolladores 3 4 4 2 3 2 1 2 2 4 3 2 Medio
GD - A12 Red de área local - LAN 4 4 3 4 2 3 4 2 3 4 4 4 Alto
GD - A13 Red Inalámbrica - WLAN 4 4 3 4 2 3 4 2 3 4 4 4 Alto
GD - A14 Servicio de File Systems 4 4 4 4 4 4 4 4 4 4 4 4 Alto

CONFIDENCIALI- CONSOLIDADO DE
DAD INTEGRIDAD DISPONIBILIDAD VALORACIÓN
CONFIDENCIALIDAD
DISPONIBLIDAD
CRITICIDAD
INTEGRIDAD
FINANCIERO
FINANCIERO
FINANCIERO
N. ACTIVO NOMBRE DEL ACTIVO
DEL ACTIVO
JURIDICO
JURIDICO
JURIDICO
IMAGEN
IMAGEN
IMAGEN
Interfaz de desarrollo (Netbeans
GD - A15 con lenguaje de programación 4 4 4 4 4 4 4 4 4 4 4 4 Alto
Java)
GD - A16 Sistemas operativos 1 1 1 1 2 2 1 2 2 1 2 2 Bajo
GD - A17 Antivirus 4 2 4 2 2 3 4 4 4 4 3 4 Alto

Aplicativo de gestión
GD - A18 4 4 4 4 4 4 3 2 4 4 4 4 Alto
documental
Sistemas de gestión de bases de
GD - A19 4 4 4 4 4 4 4 4 4 4 4 4 Alto
datos
Medios de almacenamiento
GD - A20 electrónico (USB, Discos duros 2 4 4 1 2 2 1 1 1 4 2 1 Medio
externos)
Tabla 8 - Valoración de activos relacionados con el sistema de información del aplicativo de gestión
documental
Los activos asociados con el sistema de información del software de gestión documental a
seleccionar para el análisis de riesgos son aquellos que tienen nivel de criticidad medio y
alto. A continuación se agrupan los activos de acuerdo a su relación funcional.

CONTENEDOR Y/O ACTIVO DE
N. CRITICIDAD
NOMBRE DEL ACTIVO INFORMACIÓN SELECCIONADO PARA
ACTIVO DEL ACTIVO
EL ANALISIS DE RIESGOS
GD - A1 Alto
(Subversión y GIT)
GD - A3 Código fuente Alto Código fuente
Interfaz de desarrollo (Netbeans con
GD - A15 Alto
lenguaje de programación Java)
GD - A18 Aplicativo de gestión documental Alto Aplicación de gestión documental
GD - A4 Servidor de aplicaciones Alto
GD - A5 Servidor de bases de datos Alto Servidores
GD - A19 Sistemas de gestión de bases de datos Alto

N. CRITICIDAD
ACTIVO DEL ACTIVO
GD - A6 Servidor de imágenes Alto
GD - A14 Servicio de File Systems Alto
GD - A9 Dispositivos de red Alto Cuarto de infraestructura

GD - A10 Cuarto de equipos Alto tecnológica (Cuarto de Equipos)
GD - A12 Red de área local - LAN Alto

Red LAN corporativa
GD - A13 Red Inalámbrica - WLAN Alto
GD - A17 Antivirus Alto Antivirus

Medios de almacenamiento electrónico Unidades de almacenamiento de
GD - A20 Medio
(USB, Discos duros externos) información
GD - A11 Desarrolladores Medio Talento humano
Tabla 9 - Activos objeto de análisis de riesgos
4.3.2 METODOLOGÍA A EMPLEAR PARA EL ANÁLISIS DE RIESGOS
Teniendo presente el objeto organizacional de la empresa propietaria del software, se

describe a continuación la metodología a emplear como guía para realizar el análisis de
riesgos de seguridad de la información a los cuales se encuentra expuesto el software de
gestión documental. Las actividades descritas a continuación se establecieron teniendo
como referencia la Metodología de análisis y gestión de riesgos de los sistemas de
información MAGERIT.
Las actividades que comprende la metodología son:
 Identificación de vulnerabilidades y amenazas sobre los activos asociados a la

información así como su respectivo impacto.
 Definición de los riesgos de seguridad.
 Establecer la cuantificación de la probabilidad de ocurrencia del riesgo y el impacto
que puede generar para la organización la materialización del riesgo.
 Construir la matriz de riesgos inherente.
 Diseñar el plan de tratamiento y gestión de riesgos de seguridad de la información
A continuación se evidencia el desarrollo de las actividades descritas.
4.3.2.1 Identificación de vulnerabilidades y amenazas
Acorde a los activos seleccionados para realizar el análisis de riesgos definidos en la tabla
N.9, se realizó la identificación de vulnerabilidades, amenazas y posibles consecuencias
de la materialización de una amenaza sobre alguna vulnerabilidad a partir de la
información recopilada en la fase de análisis.
CONTENEDOR Y/O ACTIVO CAUSAS
DE INFORMACIÓN
CONSECUENCIAS (IMPACTO)
SELECCIONADO PARA EL
VULNERABILIDADES AMENAZAS
ANALISIS DE RIESGOS
• Ausencia de una metodología de desarrollo de software • Manipulación intencionada interna o • Eliminación de información clave para el
seguro. externa de las fuentes de información negocio afectando la disponibilidad de la
ocasionando pérdida parcial y/o total del misma para el desarrollo de las actividades
• El desarrollo de nuevas funcionalidades del software de código fuente del aplicativo de gestión concernientes al negocio.
gestión documental no quedan documentadas y/o documental.
actualizadas en el aplicativo de control de versiones, • Manipulación no autorizada de la
permaneciendo de manera local en el equipo del • Hurto o pérdida de información causada información que puede conllevar a la
desarrollador. por parte de un empleado descontento de afectación del negocio y pérdida de clientes
la entidad. y negocios importantes para la entidad.
• No se encuentra documentado los lineamientos de
seguridad implementados en el desarrollo de software de • Indisponibilidad de acceso a los • Afectación de la operación de la
gestión documental. repositorios o contenedores de información organización debido a la indisponibilidad de
Código fuente como la subversión o el GIF. la información.
• No hay definido un plan detallado de pruebas de seguridad
a efectuar en las etapas del desarrollo de software. • Secuestro de la información relacionada • Divulgación de información no autorizada
con el código fuente efectuado por un por terceros por asignación excesiva de
• No se realizan pruebas de seguridad sobre el software que tercero a través de un malware. permisos sobre un rol.
permitan detectar vulnerabilidades de seguridad.
• Divulgación de información no autorizada
• El aplicativo no encripta la información para su transmisión por terceros, que favorezcan a la
a través de la red. competencia, afectando la imagen
corporativa de la entidad.
• Ausencia de un plan de tratamiento de incidentes de
seguridad.
• Cuando el aplicativo funciona bajo cliente servidor, la • Ataques internos y/o externos al aplicativo • Pérdida de clientes debido a la sustracción
instalación del aplicativo en los equipos clientes genera un de gestión documental capturando usuarios y divulgación no autorizada de información
archivo de configuración que puede modificar el y contraseñas de acceso válidos. confidencial alojada en el aplicativo de
comportamiento de la aplicación. gestión documental.
• Suplantación de identidad ocasionando
• El entorno web del aplicativo de gestión documental perdida de información contenida en el • Desprestigio de la organización en el sector
Aplicativo de gestión funciona bajo http, donde la transferencia de información se sistema de gestión documental. productivo debido a la explotación de las
documental encuentra en texto claro. debilidades existentes por un tercero sobre
• Ausencia de configuraciones de seguridad en el aplicativo • Alteración por terceros no autorizados del el aplicativo de gestión documental.
que permita solicitar el cambio de la contraseña con el archivo de configuración en la estructura
aprovisionamiento del servicio de un usuario nuevo. cliente servidor que modifica el • Afectación en los ingresos económicos
comportamiento de la aplicación. debido a la divulgación de las
• El aplicativo maneja un nivel de complejidad débil en el vulnerabilidades de seguridad del aplicativo
DE INFORMACIÓN
ANALISIS DE RIESGOS
establecimiento de las contraseñas de usuario debido a: No de gestión documental por personal interno
hay restricción mínima de la cantidad de caracteres que debe y/o externo de la organización.
poseer la contraseña, el historial de contraseñas almacena
solo las dos últimas contraseñas establecidas, no solicita la
combinación de caracteres alfanuméricos en la contraseña.
• El software no cuenta con lineamientos de seguridad que

establezca una frecuencia de renovación y cambio del
password por parte del usuario.
• Visualización del código fuente de la aplicación de gestión

documental por medio del navegador web, situación que
puede provocar la pérdida de confidencialidad del código
fuente produciendo fugas de información que pueden afectar
la exclusividad de funcionalidades en el aplicativo de gestión
documental ya que estas pueden ser integradas en software
de la competencia.
• El sistema operativo de red instalado en algunos servidores • Manipulación intencionada interna o • Eliminación de información clave para el
no se encuentra licenciado ni actualizado. externa sobre los servidores ocasionando negocio afectando la disponibilidad de la
pérdida parcial y/o total de la información misma para el desarrollo de las actividades
• Ausencia de configuraciones de seguridad en los servidores. alojada en los equipos. concernientes al negocio.
• No se realiza un monitoreo constante de los eventos y • Presentación de condiciones inadecuadas • Manipulación no autorizada de las
registro de logs que permitan detectar posibles intrusiones de temperatura y humedad que generan configuraciones de los servicios de red,
y/o debilidades de seguridad. daños sobre la infraestructura física. afectando la disponibilidad del servicio a los
empleados de la organización.
• El respaldo de backup se encuentra ubicado en los mismos • Indisponibilidad temporal en el acceso la
Servidores servidores a los cuales les establecen las copias de respaldo. información contenida en los servidores • Perdida de información que puede
generada por un tercero no autorizado. conllevar a la afectación del negocio y
• La configuración y administración de los servidores no se pérdida de clientes y negocios importantes
encuentra centralizada. • Modificación y/o alteración de la para la entidad.
información y los servicios alojados en los
• El antivirus instalado en los servidores no se encuentra servidores por un empleado con exceso de • Afectación de la operación de la
activo ni actualizado. privilegios. organización debido a la indisponibilidad de
la información.
• Ausencia de sistemas de control ambiental que permitan • Fallos no intencionales causado por un
controlar variables como temperatura y humedad relativa en empleado de la organización. • Divulgación de información no autorizada
DE INFORMACIÓN
ANALISIS DE RIESGOS
el área donde se encuentran instalados los servidores. por terceros por asignación excesiva de
permisos sobre los servidores.
• Deficiencia en la programación de actividades de
mantenimiento preventivo sobre la infraestructura de red
que permita prologar el funcionamiento de los equipos y
salvaguardar la información.
• No existen configuraciones de seguridad establecidas en los

servidores ni en los servicios de red que han sido
implementados a través de la red corporativa.
• Ausencia de un sistema de control de acceso. • Hurto o pérdida de información causada • Eliminación de información clave para el
por parte de un empleado descontento de negocio afectando la disponibilidad de la
• No existen procedimientos establecidos para la restricción la entidad. misma para el desarrollo de las actividades
de acceso a la infraestructura física de la organización. concernientes al negocio.
• Afectación temporal de la disponibilidad
• Ausencia de sistemas de control ambiental que permitan de la información y/o aplicativos alojados en • Perdida de información que puede
controlar variables como temperatura y humedad relativa en los servidores causados por una falla no conllevar a la afectación del negocio y
cuarto de equipos (Centro de cómputo). intencionada de un empleado de la pérdida de clientes y negocios importantes
organización. para la entidad.
• No poseen un sistema de detección de humo, fuego y/o
humedad instalado en el centro de cómputo. • Fuego – Posibilidad de que un incendio • Afectación de la operación de la
destruya los recursos y activos de la organización debido a la indisponibilidad de
organización. la información por deterioro de los
Cuarto de infraestructura contenedores de información (Servidores).
tecnológica (Cuarto de • Daños causados por Agua – Escape, fuga o
Equipos) inundación que ocasione el daño de los • Divulgación de información no autorizada
recursos de la organización. por terceros por asignación ausencia de
controles de acceso a los contenedores de
• Presentación de condiciones inadecuadas información.
de temperatura y humedad que generan
daños sobre la infraestructura física. • Hurto de infraestructura física que pueda
contener activos de información que puedan
colocar en riesgo la continuidad del negocio.
• Hurto y/o daño de la infraestructura

tecnológica (Servidores, Dispositivos de red,
etc.) que se encuentra alojada en el cuarto
de equipos debido a la ausencia de controles
de acceso.
DE INFORMACIÓN
ANALISIS DE RIESGOS
• No hay un proceso establecido para la administración y • Fuga de información debido al acceso de • Perdida de disponibilidad, integridad y
gestión de identidades al interior de la organización. usuarios no autorizados a la infraestructura confidencialidad de la información de la
de red de la organización. entidad, generando un impacto negativo en
• Ausencia de procesos que establezcan los procedimientos la continuidad del negocio.
para habilitar o deshabilitar las cuentas de usuario. • Indisponibilidad del servicio de la red
inalámbrica debido a ataques de • Afectación en los ingresos económicos de
• No existe un registro actualizado de los usuarios que tienen denegación de servicios (DoS). la organización debido a la pérdida de
acceso a los aplicativos y servicios corporativos ni se identifica clientes a causa de la divulgación no
su estado (Activo, Bloqueado, Deshabilitado). • Terceros realizan procesos de autorizada de información a la competencia.
suplantación de identidad para acceder a los
• Deficiencias en las configuraciones de seguridad de la red aplicativos tecnológicos de la entidad que se • Indisponibilidad de los servicios que se
Red LAN corporativa inalámbrica, empleando un cifrado débil. encuentran disponibles a través de la red de brindan a través de la red ocasionando
datos corporativa. tiempos no productivos del equipo de
• Ausencia de un administrador de red que configure, desarrollo de la organización.
administre y gestione la red bajo criterios de seguridad de la • Empleados descontentos pueden hacer
información. uso de usuarios y contraseñas de personal • Desprestigio de la imagen corporativa
que ya no labora en la entidad para debido a la divulgación no autorizada de
• No existe una política de seguridad de la información. visualizar y/o sustraer información información confidencial por parte del
confidencial de la entidad. personal interno y/o externo de la entidad.
• Perdida de confidencialidad de información que puede ser
sensible para la entidad debido a que es compartida a través
de la infraestructura de red de la organización, permitiendo
su visualización a personas no autorizadas.
• No se encuentran activos ante la firma propietaria del • Fuga y/o pérdida de información generada • Afectación de la continuidad del negocio
software, ni actualizados. por código malicioso. debido al secuestro de la información
ocasionado por código malicioso.
• Divulgación no autorizada de información
debido a acceso de terceros a través del uso • Afectación de los ingresos económicos de
de malware. lo entidad, generados por la indisponibilidad
parcial y/o total del código fuente del
Antivirus • Indisponibilidad de la información aplicativo de gestión documental.
generado por virus informáticos.
• Sustracción no autorizada de información
• Secuestro de información generado por confidencial de la organización, afectando la
una aplicación ramsomware. continuidad del negocio.
• Daño de hardware ocasionado por código • Daño de hardware ocasionado por código
DE INFORMACIÓN
ANALISIS DE RIESGOS
malicioso. malicioso, provocando a la organización la
asignación de presupuesto extra para la
reposición del hardware.
• No se establece ningún proceso de cifrado de información • Pérdida y/o fuga de información • Divulgación por terceros de información
en unidades de almacenamiento externas como USB, discos confidencial de la organización por hurto de confidencial de la organización generando
duros (Internos y/o externos). unidades de almacenamiento de problemas de índole legal y reputacional a la
información externos. entidad.
Unidades de
• Ausencia de niveles de protección física sobre los
almacenamiento de
dispositivos de almacenamiento externo. • Perdida de información ocasionada
información
accidentalmente, generando pérdida de
• No se realizan procesos de borrado seguro de la imagen corporativa ante terceros.
información contenida en las unidades de almacenamiento
de información.
• Ausencia de capacitación al personal en temas relacionados • Empleado descontento de la organización. • Fuga de información que puede llegar a
con desarrollo de software seguro. manos de la competencia, quien la utiliza en
• Ex-empleado de la organización aun con beneficio propio para brindar mejores
• Ausencia de un programa de sensibilización al personal accesos y privilegios habilitados para propuestas de valor a los clientes de la
sobre la importancia de su rol en la seguridad de la acceder a la infraestructura física y lógica de empresa que fue víctima de la sustracción de
información. la organización. información.
• No se establecen acuerdos de confidencialidad y protección • Terceros interesados en generar ataques • Divulgación no autorizada de terceros de
de la propiedad intelectual y corporativa entre la empresa y que provoquen la indisponibilidad del información confidencial de clientes,
sus empleados directos, contratistas, etc. servicio y/o producto que brinda la generándole a la entidad problemas de
empresa. índole legal por divulgación de información
Talento humano • Algunos desarrolladores no realizan la actualización en la no autorizada y confidencial.
subversión de nuevas funcionalidades del aplicativo de
gestión documental, generando retrocesos en las actividades • Desprestigio de la organización por
del área de desarrollo. divulgación de información confidencial de
los clientes de la organización.
• Exceso de confianza de los empleados con su entorno
(Dentro y fuera de las instalaciones de la entidad).
• No hay lineamientos claros de seguridad orientados al

personal debido a la ausencia de una política de seguridad de
la información.
Tabla 10 – Determinación de vulnerabilidades y amenazas sobre los activos objeto de análisis de riesgos.
4.3.2.2 Definición de riesgos de seguridad
Acorde a la identificación de vulnerabilidades y amenazas sobre los activos seleccionados

objeto del análisis de riesgos, se establecen los riesgos de seguridad a los cuales se
encuentra expuesta los activos y/o contenedores de información asociados al software de
gestión documental objeto del presente documento de grado.

INFORMACIÓN SELECCIONADO RIESGOS DE SEGURIDAD
PARA EL ANALISIS DE RIESGOS
R1 - Pérdida parcial de información asociada a nuevas funcionalidades y/o
actualizaciones del aplicativo de gestión documental provocado por la falta de
actualización de la subversión por parte de los desarrolladores.
R2 - Alteración y/o pérdida de información por deficiencias en los controles
de acceso físicos y lógicos a los repositorios de información de la
organización.
Código fuente
R3 - Indisponibilidad de la información provocado por deficiencias en los
controles de acceso lógicos a los repositorios de información que contienen el
R4 - Deterioro de la imagen corporativa de la entidad por la divulgación no

autorizada de las falencias existentes en el aplicativo de gestión documental.
R5 - Sustracción y/o pérdida de información contenida en el aplicativo de

gestión documental, debido al uso de protocolos inseguros utilizados en la
publicación del entorno web del software.
R6 - Perdida de confidencialidad de la información contenida en el aplicativo
de gestión documental por la ausencia de lineamientos de seguridad en el
software que soliciten el cambio de contraseña a nuevos usuarios que han
sido aprovisionados por el administrador del aplicativo.
R7 - Sustracción y/o perdida de información contenida en el aplicativo de
Aplicativo de gestión gestión documental causada por la ausencia de lineamientos de seguridad en
documental el software que definan una frecuencia de renovación y un nivel de
complejidad en el establecimiento de los password por parte de los usuarios
del aplicativo.
R8 - Incumplimiento de acuerdos de servicio con clientes debido a la
indisponibilidad del aplicativo de gestión documental a causa de la
explotación de las debilidades existentes por un tercero sobre el software de
gestión documental.
R9 - Divulgación y/o pérdida de información no autorizada por terceros a
causa de asignación excesiva de permisos sobre un rol.
R10 - Perdida de información de la organización debido a la ausencia de

Servidores procedimientos que establezcan los lineamientos y buenas prácticas de
seguridad para realizar backup de la información.
INFORMACIÓN SELECCIONADO RIESGOS DE SEGURIDAD
PARA EL ANALISIS DE RIESGOS
R11 - Afectación de la confidencialidad e integridad de la información a causa

de una inadecuada gestión de identidades y control de acceso a los recursos y
repositorios de información de la organización.
R12 - Perdida de información y afectación del servicio por desactualización de
sistemas operativos y antivirus en los servidores.
R13 - Indisponibilidad de la información alojada en los servidores por
deterioro físico causado por la ausencia de planes de mantenimiento
preventivo sobre el hardware.
R14 - Tiempos laborales muertos causados por la indisponibilidad de la
información y servicios debido a la ausencia de configuraciones de seguridad
en los servidores.
R15 - Daño o hurto de infraestructura tecnológica afectando la operatividad
de la organización por inadecuados controles de acceso físico al centro de
cómputo.
R16 - Indisponibilidad de la información causado por el deterioro del
equipamiento informático debido a la ausencia de sistemas de control de
Cuarto de infraestructura condiciones ambientales como temperatura y humedad.
tecnológica (Cuarto de
Equipos) R17 - Tiempos de inactividad en las operaciones de la organización, debido al
daño o ausencia de sistemas de respaldo eléctrico a la infraestructura de red
de la organización.
R18 - Deterioro parcial y/o total de la infraestructura tecnológica del centro

de cómputo causada por la presencia de fuego en el recinto.
R19 - Sustracción y/o pérdida de información sensible de la organización

debido a la ausencia de políticas y controles en el establecimiento de
contraseñas de acceso a los dispositivos tecnológicos de la entidad.
Red LAN corporativa
R20 - Indisponibilidad de la información y/o servicios que se acceden a través
de la red corporativa por deficiencias en su diseño e implementación.
R21 - Pérdida parcial y/o total de información provocado por la

desactualización y/o ausencia de antivirus.
Antivirus R22 - Daño de hardware provocado por código malicioso debido a la

desactualización de los antivirus.
R23 - Afectación de la operatividad de la red corporativa debido a la presencia
de malware.
Unidades de R24 - Pérdida de clientes por divulgación no autorizada de información
almacenamiento de debido a la ausencia de mecanismos de cifrado de información sobre
información unidades de almacenamiento electrónico.
R25 - Sustracción y/o pérdida de la información sensible de la organización

debido a la ausencia de acuerdos de confidencialidad y protección de la
Talento humano
propiedad intelectual entre la empresa y sus empleados directos, aprendices,
practicantes y aliados estratégicos.
Tabla 11 - Riesgos de seguridad de la información

4.3.2.3 Cuantificación de la probabilidad e impacto a emplear en la valoración de los
riesgos.
Para efectuar la valoración de los riesgos es importante realizar previamente el respectivo

análisis de los hallazgos detectados en cada una de las situaciones descritas que afectan
la seguridad de la información, teniendo presente la probabilidad de ocurrencia del riesgo
y el impacto que puede generar para la organización la materialización del riesgo. En
conjunto con la organización se establecieron las escalas a emplear para realizar la
respectiva valoración de los riesgos descritos en el tabla 11.
PROBABILIDAD FRECUENCIA DE OCURRENCIA VALOR
Muy Bajo Por lo menos una vez cada año 1

Bajo Por lo menos una vez cada semestre 2
Medio Por lo menos una vez cada trimestre 3
Alto Por lo menos una vez cada mes 4
Muy Alto Por lo menos una vez cada quince días 5
Tabla 12 – Valoración de la probabilidad en términos de ocurrencia a través del tiempo.
La valoración del impacto se realizó teniendo en cuenta la afectación a nivel económico y

operativo al interior de la organización.
IMPACTO DESCRIPCION DEL IMPACTO IMPACTO CUALITATIVO VALOR

 No afecta la seguridad de la
información de la entidad.
Pérdida económica de entre el
 No hay afectación de la imagen de la
0.1 y 0.4 % del presupuesto
entidad ante los clientes y terceros.
Muy Bajo anual. Disminución en la 1
 Se puede recuperar la información
prestación del servicio entre un
con la misma calidad.
0.1% y 4.9%
 Se presentan reprocesos que no
tienen mayor importancia.
 No afecta la seguridad de la
información de la entidad.
 Se presenta una leve afectación a la
imagen de la entidad ante los
0.5 y 0.9 % del presupuesto
clientes y terceros.
Bajo anual. Disminución en la 2
 Se puede recuperar la información
con la misma calidad en un tiempo
5% y 9.9%
moderado.
 Se presentan reprocesos menores
en las actividades de la entidad.
IMPACTO DESCRIPCION DEL IMPACTO IMPACTO CUALITATIVO VALOR
 Hay una afectación en menor grado
de la seguridad de la información de
la entidad.
Pérdida económica de entre el  Afecta medianamente la imagen
1 y 10% del presupuesto anual. corporativa de la entidad ante sus
Medio 3
Disminución en la prestación clientes y terceros.
del servicio entre un 10% y 20%
 Se presentan retrocesos moderados
en las actividades.
 La información se puede recuperar
pero no con la misma calidad.
 Se genera una afectación importante
en la seguridad de la información de
la entidad.
11 y 20% del presupuesto
 Afecta altamente la imagen
Alto anual. Disminución en la 4
 Se generan mayores retrocesos en
21% y 29.9%
las actividades.
 Es difícil de recuperar la información.
 Se presenta una afectación crítica a
la seguridad de la información.
 Se afecta negativamente y en gran
Pérdida económica superior al proporción la imagen corporativa de
20% del presupuesto anual. la entidad ante terceros.
Muy Alto 5
Disminución en la prestación  Es difícil realizar la recuperación de
del servicio hasta en un 50% la información.
 Puede afectar las decisiones
estratégicas de la organización y la
continuidad del negocio.
Tabla 13 – Valoración del impacto en términos económicos y operativos para la organización.
La valoración de los riesgos en términos de probabilidad e impacto de ocurrencia se

obtiene de aplicar la siguiente ecuación.
𝑅𝑖𝑒𝑠𝑔𝑜 𝐼𝑛ℎ𝑒𝑟𝑒𝑛𝑡𝑒 = Probabilidad ∗ Impacto (Ecuación 1)
IMPACTO
PROBABILIDAD
Muy Bajo Bajo Medio Alto Muy Alto
Muy Bajo Muy bajo Muy bajo Bajo Bajo Medio
Bajo Muy bajo Bajo Medio Medio Alto
Medio Bajo Medio Medio Alto Alto
Alto Bajo Medio Alto Critico Critico
Muy Alto Medio Alto Alto Critico Critico
IMPACTO
PROBABILIDAD
Muy Bajo (1) Bajo (2) Medio (3) Alto (4) Muy Alto (5)
Muy Bajo (1) 1 2 3 4 5
Bajo (2) 2 4 6 8 10
Medio (3) 3 6 9 12 15
Alto (4) 4 8 12 16 20
Muy Alto (5) 5 10 15 20 25
Tabla 14 – Valoración del riesgo en términos de probabilidad e impacto.
VALORACIÓN DEL RIESGO CALIFICACIÓN

Muy bajo 1–2
Bajo 3-4
Medio 5-9
Alto 10 - 15
Critico 16 - 25
Tabla 15 – Ponderación de la valoración del riesgo.
Acorde a la valoración establecida para el riesgo inherente en términos de probabilidad de

ocurrencia e impacto se obtienen los siguientes resultados:
VALORACIÓN DEL RIESGO

CONTENEDOR Y/O
PROBABILIDAD
ACTIVO DE
CALIFICACIÓN
INFORMACIÓN RIESGOS DE SEGURIDAD NIVEL
IMPACTO
SELECCIONADO PARA EL DEL

ANALISIS DE RIESGOS RIESGO
R1 - Pérdida parcial de información asociada a nuevas

funcionalidades y/o actualizaciones del aplicativo de gestión
4 3 12 Alto
documental provocado por la falta de actualización de la
subversión por parte de los desarrolladores.
R2 - Alteración y/o pérdida de información por deficiencias en
los controles de acceso físicos y lógicos a los repositorios de 2 5 10 Alto
información de la organización.
Código fuente
R3 - Indisponibilidad de la información provocado por
deficiencias en los controles de acceso lógicos a los repositorios
2 3 6 Medio
de información que contienen el software de gestión
documental.
R4 - Deterioro de la imagen corporativa de la entidad por la
divulgación no autorizada de las falencias existentes en el 2 5 10 Alto
CONTENEDOR Y/O
PROBABILIDAD
ACTIVO DE
CALIFICACIÓN
IMPACTO
RIESGO
ANALISIS DE RIESGOS
R5 - Sustracción y/o pérdida de información contenida en el

aplicativo de gestión documental, debido al uso de protocolos
2 4 8 Medio
inseguros utilizados en la publicación del entorno web del
software.
R6 - Perdida de confidencialidad de la información contenida en

el aplicativo de gestión documental por la ausencia de
lineamientos de seguridad en el software que soliciten el cambio 2 4 8 Medio
de contraseña a nuevos usuarios que han sido aprovisionados
por el administrador del aplicativo.
R7 - Sustracción y/o perdida de información contenida en el

Aplicativo de gestión aplicativo de gestión documental causada por la ausencia de
documental lineamientos de seguridad en el software que definan una
2 4 8 Medio
frecuencia de renovación y un nivel de complejidad en el
establecimiento de los password por parte de los usuarios del
aplicativo.
R8 - Incumplimiento de acuerdos de servicio con clientes debido
a la indisponibilidad del aplicativo de gestión documental a
2 4 8 Medio
causa de la explotación de las debilidades existentes por un
tercero sobre el software de gestión documental.
R9 - Divulgación y/o pérdida de información no autorizada por

terceros a causa de asignación excesiva de permisos sobre un 4 3 12 Alto
rol.
R10 - Perdida de información de la organización debido a la
ausencia de procedimientos que establezcan los lineamientos y
3 4 12 Alto
buenas prácticas de seguridad para realizar backup de la
información.
R11 - Afectación de la confidencialidad e integridad de la
información a causa de una inadecuada gestión de identidades y
3 4 12 Alto
control de acceso a los recursos y repositorios de información de
la organización.
R12 - Perdida de información y afectación de los servicios por
Servidores desactualización de sistemas operativos y antivirus en los 3 4 12 Alto
servidores.
R13 - Indisponibilidad de la información alojada en los servidores

por deterioro físico causado por la ausencia de planes de 2 4 8 Medio
mantenimiento preventivo sobre el hardware.
R14 - Tiempos laborales muertos causados por la

Muy
indisponibilidad de la información y servicios debido a la 1 2 2
bajo
ausencia de configuraciones de seguridad en los servidores.
CONTENEDOR Y/O
PROBABILIDAD
ACTIVO DE
CALIFICACIÓN
IMPACTO
RIESGO
ANALISIS DE RIESGOS
R15 - Daño o hurto de infraestructura tecnológica afectando la

operatividad de la organización por inadecuados controles de 2 3 6 Medio
acceso físico al centro de cómputo.
R16 - Indisponibilidad de la información causado por el deterioro
del equipamiento informático debido a la ausencia de sistemas
2 3 6 Medio
Cuarto de de control de condiciones ambientales como temperatura y
infraestructura humedad.
tecnológica (Cuarto de
R17 - Tiempos de inactividad en las operaciones de la
Equipos)
organización, debido al daño o ausencia de sistemas de respaldo 3 3 9 Medio
eléctrico a la infraestructura de red de la organización.
R18 - Deterioro parcial y/o total de la infraestructura tecnológica

del centro de cómputo causada por la presencia de fuego en el 2 5 10 Alto
recinto.
R19 - Sustracción y/o pérdida de información sensible de la
organización debido a la ausencia de políticas y controles en el
2 5 10 Alto
establecimiento de contraseñas de acceso a los dispositivos
Red LAN corporativa tecnológicos de la entidad.
R20 - Indisponibilidad de la información y/o servicios que se
acceden a través de la red corporativa por deficiencias en su 2 3 6 Medio
diseño e implementación.

3 4 12 Alto
Antivirus R22 - Daño de hardware provocado por código malicioso debido

2 3 6 Medio
a la desactualización de los antivirus.
R23 - Afectación de la operatividad de la red corporativa debido
2 4 8 Medio
a la presencia de malware.
Unidades de R24 - Pérdida de clientes por divulgación no autorizada de

almacenamiento de información debido a la ausencia de mecanismos de cifrado de 3 5 15 Alto
información información sobre unidades de almacenamiento electrónico.
R25 - Sustracción y/o pérdida de la información sensible de la

organización debido a la ausencia de acuerdos de
Talento humano confidencialidad y protección de la propiedad intelectual entre la 3 5 15 Alto
empresa y sus empleados directos, aprendices, practicantes y
aliados estratégicos.
Tabla 16 – Valoración de los riesgos de seguridad asociados a los activos de información

La valoración de los riesgos en términos de probabilidad e impacto para la organización,
permitió establecer el mapa de calor de los riesgos de seguridad de la información
contemplados en el presente análisis, obteniendo el siguiente consolidado.
IMPACTO
PROBABILIDAD Muy Muy
Bajo (2) Medio (3) Alto (4)
Bajo (1) Alto (5)
Muy Bajo (1) 2
Bajo (2) 6 8 10
Medio (3) 9 12 15
Alto (4) 12
Muy Alto (5)
IMPACTO
PROBABILIDAD Muy Muy
Bajo (2) Medio (3) Alto (4)
Bajo (1) Alto (5)
Muy Bajo (1) R14
R3, R15 R5, R6

R2, R4,
Bajo (2) R16 R7, R8
R18, R19
R20, R22 R13, R23
R10, R11
Medio (3) R17 R24, R25
R12, R21
Alto (4) R1, R9
Muy Alto (5)
Tabla 17 – Mapa de calor con la ubicación de los riesgos inherentes.
4.3.3 PLAN DE TRATAMIENTO Y GESTIÓN DE LOS RIESGOS
Dando continuidad a la metodología establecida se describe a continuación el

procedimiento a emplear para definir el plan de tratamiento y gestión de los riesgos
asociados a los activos de información, el cual tendrá como alcance diseñar y documentar
las acciones de mejora que permitan controlar y disminuir los riesgos de seguridad a los
que están expuestos los activos de información.
Es importante resaltar que la organización propietaria del software de gestión documental
actualmente no tiene implementado controles existentes que mitiguen los riesgos de
seguridad de la información descritos en el presente documento. Acorde a esto se plantea
la estrategia de plan de tratamiento del riesgo descrita a continuación.
4.3.3.1 Estrategia de tratamiento del Riesgo
Con la valoración de los riesgos de seguridad identificados y descritos en la tabla N.16, se

define la estrategia del tratamiento de riesgo acorde a los objetivos organizacionales y la
importancia de la aplicación de gestión documental para la continuidad del negocio,
permitiendo así determinar las acciones a realizar en cada uno de los riesgos
identificados. A continuación se describe los parámetros a tener presentes en la
estrategia de tratamiento del riesgo.
ESTRATEGIA DE
ÍTEM TRATAMIENTO DESCRIPCIÓN
DEL RIESGO
Está asociado a la suspensión de las actividades que causan el
1 Evitar el riesgo
riesgo.
Se establecen los controles y salvaguardas necesarios para
2 Reducir el riesgo
reducir el riesgo sobre el activo de información
Se transfiere el riesgo a terceros (Subcontratación) y/o se evalúa
3 Transferir el riesgo la opción de contar con seguros que cubran los gastos en caso de
la materialización del riesgo.
Se decide aceptar el riesgo, sin implementar controles adicionales
4 Aceptar el riesgo para la protección del activo. En esta estrategia se emplean
labores de monitorización continua del riesgo.
Tabla 18 – Descripción de la estrategia de tratamiento
Para establecer adecuadamente la estrategia de tratamiento del riesgo es fundamental

evaluar el costo beneficio que tendrá para la organización el establecimiento de medidas
de control que permitan salvaguardar los activos de información que se encuentran en
riesgo. En la siguiente tabla se relaciona los aspectos de costo beneficio con la estrategia
de tratamiento propuesta en la tabla 18.
ESTRATEGIA DE
ÍTEM TRATAMIENTO COSTO - BENEFICIO
DEL RIESGO
El costo de implementación de los controles es elevado en
1 Evitar el riesgo
comparación con los beneficios obtenidos.
El costo de tratamiento e implementación de los controles es
2 Reducir el riesgo
adecuado a los beneficios obtenidos.
El costo de tratamiento del riesgo es más económico y
beneficioso para la organización que lo realice terceros, que si
3 Transferir el riesgo
se realiza el tratamiento directo la empresa propietaria del
riesgo.
Se asume el riesgo, sin implementar nuevos controles que

generen otro costo a la organización y el beneficio obtenido no
4 Aceptar el riesgo
sea proporcional. El costo asociado de aceptar el riesgo está
enfocado a labores de monitoreo continuo del riesgo.
Tabla 19 – Descripción de la estrategia de tratamiento vs. Costo beneficio
De acuerdo a la descripción de la estrategia de tratamiento de los riesgos vs. Costo

beneficio se analizó en cada uno de los riesgos el impacto que podría causar su
materialización en la continuidad del negocio, estableciendo como estrategia de
tratamiento en los riesgos de nivel medio y alto la reducción del riesgo; y en los riesgos
valorados como “muy bajo” estos serán aceptados por la organización. A continuación se
observa la estrategia de tratamiento seleccionada para cada riesgo identificado.
ESTRATEGIA DE
NIVEL DEL
RIESGOS DE SEGURIDAD TRATAMIENTO
RIESGO
DEL RIESGO
R1 - Pérdida parcial de información asociada a nuevas funcionalidades y/o
actualizaciones del aplicativo de gestión documental provocado por la falta Alto Reducir el riesgo
de actualización de la subversión por parte de los desarrolladores.
R2 - Alteración y/o pérdida de información por deficiencias en los controles

de acceso físicos y lógicos a los repositorios de información de la Alto Reducir el riesgo
organización.
R3 - Indisponibilidad de la información provocado por deficiencias en los
controles de acceso lógicos a los repositorios de información que contienen Medio Reducir el riesgo
el software de gestión documental.
R4 - Deterioro de la imagen corporativa de la entidad por la divulgación no
Alto Reducir el riesgo
autorizada de las falencias existentes en el aplicativo de gestión documental.
R5 - Sustracción y/o pérdida de información contenida en el aplicativo de
gestión documental, debido al uso de protocolos inseguros utilizados en la Medio Reducir el riesgo
publicación del entorno web del software.
ESTRATEGIA DE
NIVEL DEL
RIESGO
DEL RIESGO
R6 - Perdida de confidencialidad de la información contenida en el aplicativo
de gestión documental por la ausencia de lineamientos de seguridad en el
Medio Reducir el riesgo
software que soliciten el cambio de contraseña a nuevos usuarios que han
sido aprovisionados por el administrador del aplicativo.
R7 - Sustracción y/o perdida de información contenida en el aplicativo de
gestión documental causada por la ausencia de lineamientos de seguridad en
el software que definan una frecuencia de renovación y un nivel de Medio Reducir el riesgo
complejidad en el establecimiento de los password por parte de los usuarios
del aplicativo.
R8 - Incumplimiento de acuerdos de servicio con clientes debido a la
indisponibilidad del aplicativo de gestión documental a causa de la
explotación de las debilidades existentes por un tercero sobre el software de
gestión documental.
R9 - Divulgación y/o pérdida de información no autorizada por terceros a

causa de asignación excesiva de permisos sobre un rol.
R10 - Perdida de información de la organización debido a la ausencia de

procedimientos que establezcan los lineamientos y buenas prácticas de Alto Reducir el riesgo
seguridad para realizar backup de la información.
R11 - Afectación de la confidencialidad e integridad de la información a causa
de una inadecuada gestión de identidades y control de acceso a los recursos Alto Reducir el riesgo
y repositorios de información de la organización.
R12 - Perdida de información y afectación de los servicios por
desactualización de sistemas operativos y antivirus en los servidores.
R13 - Indisponibilidad de la información alojada en los servidores por
deterioro físico causado por la ausencia de planes de mantenimiento Medio Reducir el riesgo
preventivo sobre el hardware.
R14 - Tiempos laborales muertos causados por la indisponibilidad de la
información y servicios debido a la ausencia de configuraciones de seguridad Muy bajo Aceptar el riesgo
en los servidores.
R15 - Daño o hurto de infraestructura tecnológica afectando la operatividad
de la organización por inadecuados controles de acceso físico al centro de Medio Reducir el riesgo
cómputo.
R16 - Indisponibilidad de la información causado por el deterioro del
equipamiento informático debido a la ausencia de sistemas de control de Medio Reducir el riesgo
condiciones ambientales como temperatura y humedad.
R17 - Tiempos de inactividad en las operaciones de la organización, debido al
daño o ausencia de sistemas de respaldo eléctrico a la infraestructura de red Medio Reducir el riesgo
de la organización.
R18 - Deterioro parcial y/o total de la infraestructura tecnológica del centro
de cómputo causada por la presencia de fuego en el recinto.
R19 - Sustracción y/o pérdida de información sensible de la organización Alto Reducir el riesgo
ESTRATEGIA DE
NIVEL DEL
RIESGO
DEL RIESGO
debido a la ausencia de políticas y controles en el establecimiento de
contraseñas de acceso a los dispositivos tecnológicos de la entidad.
R20 - Indisponibilidad de la información y/o servicios que se acceden a través
de la red corporativa por deficiencias en su diseño e implementación.
R22 - Daño de hardware provocado por código malicioso debido a la

desactualización de los antivirus.
R23 - Afectación de la operatividad de la red corporativa debido a la

presencia de malware.
R24 - Pérdida de clientes por divulgación no autorizada de información

debido a la ausencia de mecanismos de cifrado de información sobre Alto Reducir el riesgo
unidades de almacenamiento electrónico.
R25 - Sustracción y/o pérdida de la información sensible de la organización
debido a la ausencia de acuerdos de confidencialidad y protección de la
propiedad intelectual entre la empresa y sus empleados directos, aprendices,
practicantes y aliados estratégicos.
Tabla 20 – Estrategia de tratamiento seleccionada por riesgo identificado
4.3.3.2 Descripción del plan de acción
De acuerdo con la estrategia de tratamiento seleccionada en cada riesgo, se plantean los

siguientes controles enfocados a reducir, mitigar y controlar los riesgos inherentes que se
encuentran presentes en la herramienta de gestión documental objeto del presente
trabajo de grado.
CARACTERIZACIÓN DEL RIESGO QUE AFECTA PLAN DE TRATAMIENTO DE RIESGOS
CONTENEDOR Y/O
CONFIDENCIALIDAD
ACTIVO DE
ESTRATEGIA
DISPONIBLIDAD
INFORMACIÓN
SELECCIONADO NIVEL DEL DE IDENTIFICACIÓN DESCRIPCION DEL PLAN DE ACCIÓN
INTEGRIDAD
RIESGOS DE SEGURIDAD RESPONSABLE
PARA EL ANALISIS RIESGO TRATAMIENTO DEL CONTROL (CONTROLES)
DE RIESGOS DEL RIESGO
Definir los procesos para

documentación y actualización de las
nuevas funcionalidades del aplicativo de
R1 - Pérdida parcial de C1 gestión documental en la subversión, Líder de desarrollo
información asociada a teniendo presente la política de
nuevas funcionalidades y/o seguridad de la información de la
actualizaciones del aplicativo organización.
Reducir el
de gestión documental Alto D
riesgo Estandarizar la versión del software
provocado por la falta de
actualización de la subversión C2 utilizada por los desarrolladores en sus Líder de desarrollo
por parte de los equipos de cómputo asignados.
desarrolladores. Documentar el software de control de
C3 cambios, previa aprobación del líder de Desarrolladores
desarrollo.
Responsable del
Realizar un inventario de los activos
proceso y líder TI
asociados a la información,
C4 especialista en
Código fuente estableciendo el responsable de la
seguridad de la
custodia de los activos.
R2 - Alteración y/o pérdida de información
información por deficiencias Responsable del
en los controles de acceso Reducir el Clasificar la información de la proceso y líder TI
Alto C I D
físicos y lógicos a los riesgo C5 organización, definiendo si es pública, especialista en
repositorios de información privada o confidencial. seguridad de la
de la organización. información
Implementar controles de acceso físico y
Líder TI especialista
lógico que restrinjan los accesos no
C6 en seguridad de la
autorizados a los repositorios de
información
información.
R3 - Indisponibilidad de la Realizar monitoreo periódico que
información provocado por permita corroborar la efectividad de los
deficiencias en los controles Reducir el controles lógicos implementados,
Medio D C7 en seguridad de la
de acceso lógicos a los riesgo aplicando las acciones correctivas
información
repositorios de información necesarias para salvaguardar la
que contienen el software de información de la organización.
CONTENEDOR Y/O
CONFIDENCIALIDAD
ACTIVO DE
ESTRATEGIA
DISPONIBLIDAD
INFORMACIÓN
INTEGRIDAD
gestión documental. Realizar periódicamente pruebas de

penetración que permitan identificar el
nivel de protección de la infraestructura
información
TI de la organización.
Actualizar y depurar los directorios
existentes, identificando las cuentas de
usuario que no cumplan con las políticas
R4 - Deterioro de la imagen de seguridad, así como las cuentas
corporativa de la entidad por huérfanas, en desuso y cuentas que
información
la divulgación no autorizada Reducir el carezcan de atributos que pueden ser
Alto C relevantes para la gestión de
de las falencias existentes en riesgo
el aplicativo de gestión identidades dentro de la organización.
documental. Establecer programas de capacitación y
sensibilización al personal de la
organización en temas relacionados con
información
Líder de desarrollo
y Líder TI
Crear y documentar una metodología de
C11 especialista en
desarrollo de software seguro.
seguridad de la
información
R5 - Sustracción y/o pérdida
Implementar la metodología de
de información contenida en
C12 desarrollo de software seguro en el Líder de desarrollo
el aplicativo de gestión
Aplicativo de gestión Reducir el aplicativo de gestión documental.
documental, debido al uso de Medio C
documental riesgo
protocolos inseguros CEO de la
utilizados en la publicación del organización
entorno web del software. (Asignación del
Adquirir un certificado SSL con una
recurso), Líder de
C13 entidad de certificación autorizada en el
desarrollo y Líder TI
país.
especialista en
seguridad de la
información
CONTENEDOR Y/O
CONFIDENCIALIDAD
ACTIVO DE
ESTRATEGIA
DISPONIBLIDAD
INFORMACIÓN
INTEGRIDAD
Instalar y configurar adecuadamente el
y Líder TI
certificado SSL para la publicación del
C14 especialista en
aplicativo de gestión documental a
seguridad de la
través del entorno web.
información
Implementar pruebas de penetración
y Líder TI
sobre el software previa salida de
C15 especialista en
producción para detectar posibles
seguridad de la
vulnerabilidades de seguridad.
información
R6 - Perdida de
confidencialidad de la Líder de desarrollo
información contenida en el y Líder TI
aplicativo de gestión C15 especialista en
documental por la ausencia seguridad de la
Reducir el vulnerabilidades de seguridad.
de lineamientos de seguridad Medio C información
riesgo
en el software que soliciten el CEO de la
cambio de contraseña a organización
nuevos usuarios que han sido Capacitar al personal del área de (Asignación del
aprovisionados por el desarrollo en temas relacionados a la recurso), Líder de
C16
administrador del aplicativo. seguridad de la información y software desarrollo y Líder TI
seguro. especialista en
seguridad de la
información
R7 - Sustracción y/o perdida Implementar la metodología de
de información contenida en C12 desarrollo de software seguro en el Líder de desarrollo
el aplicativo de gestión aplicativo de gestión documental.
documental causada por la Reducir el Líder de desarrollo
Medio D Implementar pruebas de penetración
ausencia de lineamientos de riesgo y Líder TI
seguridad en el software que C15 especialista en
definan una frecuencia de seguridad de la
vulnerabilidades de seguridad.
renovación y un nivel de información
CONTENEDOR Y/O
CONFIDENCIALIDAD
ACTIVO DE
ESTRATEGIA
DISPONIBLIDAD
INFORMACIÓN
INTEGRIDAD
complejidad en el CEO de la
establecimiento de los organización
password por parte de los Capacitar al personal del área de (Asignación del
usuarios del aplicativo. desarrollo en temas relacionados a la recurso), Líder de
C16
seguridad de la información y software desarrollo y Líder TI
seguridad de la
información
R8 - Incumplimiento de Líder de desarrollo
acuerdos de servicio con y Líder TI
clientes debido a la C15 especialista en
indisponibilidad del aplicativo seguridad de la
Reducir el vulnerabilidades de seguridad.
de gestión documental a Medio D información
riesgo
causa de la explotación de las CEO de la
debilidades existentes por un organización
tercero sobre el software de Capacitar al personal del área de (Asignación del
gestión documental. desarrollo en temas relacionados a la recurso), Líder de
C16
seguridad de la información y software desarrollo y Líder TI
seguridad de la
información
R9 - Divulgación y/o pérdida C12 desarrollo de software seguro en el Líder de desarrollo
de información no autorizada aplicativo de gestión documental.
Reducir el
por terceros a causa de Alto C D
riesgo Realizar el aprovisionamiento de
asignación excesiva de
permisos sobre un rol. usuarios en la aplicación de gestión
C17 Líder de desarrollo
documental con un enfoque de
privilegios mínimos.
CONTENEDOR Y/O
CONFIDENCIALIDAD
ACTIVO DE
ESTRATEGIA
DISPONIBLIDAD
INFORMACIÓN
INTEGRIDAD
Diseñar y/o actualizar la política de Líder TI especialista

C18 seguridad de la información de la en seguridad de la
R10 - Perdida de información organización. información
de la organización debido a la
Definir un plan de tratamiento de Líder TI especialista
ausencia de procedimientos
C19 incidentes de seguridad de la en seguridad de la
que establezcan los Reducir el
Alto D información. información
lineamientos y buenas riesgo
prácticas de seguridad para Establecer el procedimiento para el
realizar backup de la backup de la información, el cual debe Líder TI especialista
información. C20 estar en un contenedor de información en seguridad de la
diferente al cual le están realizando el información
backup.
Implementar la gestión de identidades a
través de un modelo basado en roles Líder de Recursos
que permita proveer los procesos de Humanos y Líder TI
C21 autenticación de las identidades, especialista en
Servidores R11 - Afectación de la autorización de privilegios y permisos seguridad de la
confidencialidad e integridad sobre los servicios e infraestructura de información
de la información a causa de la organización.
una inadecuada gestión de Reducir el
Alto C I Actualizar y depurar los directorios
identidades y control de riesgo
existentes, identificando las cuentas de
acceso a los recursos y
usuario que no cumplan con las políticas
repositorios de información Líder TI especialista
de seguridad, así como las cuentas
de la organización. C9 en seguridad de la
huérfanas, en desuso y cuentas que
información
carezcan de atributos que pueden ser
relevantes para la gestión de
identidades dentro de la organización.
R12 - Perdida de información
y afectación de los servicios Emplear software (Sistemas Operativos, Líder TI especialista
Reducir el
por desactualización de Alto C D C22 Antivirus, etc.) licenciado y actualizado en seguridad de la
riesgo
sistemas operativos y en los servidores de la organización. información
antivirus en los servidores.
CONTENEDOR Y/O
CONFIDENCIALIDAD
ACTIVO DE
ESTRATEGIA
DISPONIBLIDAD
INFORMACIÓN
INTEGRIDAD
Realizar revisiones periódicas en los

equipos de cómputo para prevenir Líder TI especialista
C23 desactualizaciones en el software en seguridad de la
instalado (Sistema operativo, Antivirus y información
aplicaciones).
Diseñar un plan de mantenimiento de
hardware y software que permita
prolongar el funcionamiento de la
infraestructura de red (Dispositivos
R13 - Indisponibilidad de la activos, servidores, equipos de
información
información alojada en los cómputo, cableado), brindando una
servidores por deterioro físico Reducir el continuidad de los servicios a través de
Medio D la red.
causado por la ausencia de riesgo
planes de mantenimiento Programar y documentar las actividades
preventivo sobre el hardware. de mantenimiento realizadas en los
equipos de cómputo (Servidores,
computadores de escritorio, portátiles)
información
para establecer su respectiva
trazabilidad y garantía según aplique.
R14 - Tiempos laborales
muertos causados por la
indisponibilidad de la No se aplican controles ya que la
Aceptar el
información y servicios debido Muy bajo D C26 organización ha decidido aceptar el No aplica
riesgo
a la ausencia de riesgo
configuraciones de seguridad
en los servidores.
Cuarto de R15 - Daño o hurto de Implementar controles de acceso físico y
infraestructura infraestructura tecnológica Reducir el lógico que restrinjan los accesos no
Medio D C6 en seguridad de la
tecnológica (Cuarto afectando la operatividad de riesgo autorizados a los repositorios de
información
de Equipos) la organización por información.
CONTENEDOR Y/O
CONFIDENCIALIDAD
ACTIVO DE
ESTRATEGIA
DISPONIBLIDAD
INFORMACIÓN
INTEGRIDAD
inadecuados controles de Realizar monitoreo periódico que

acceso físico al centro de permita corroborar la efectividad de los
cómputo. controles físicos implementados, Líder TI especialista
C27 aplicando las acciones correctivas en seguridad de la
necesarias para salvaguardar los activos información
asociados a la información de la
organización.
Revisar periódicamente la bitácora de
control de acceso del personal a las
instalaciones de la organización y centro
información
de datos.
CEO de la
Implementar un sistema de aire organización
acondicionado de precisión que le (Asignación del
R16 - Indisponibilidad de la C29 permita controlar variables como recurso) y Líder TI
información causado por el temperatura y humedad en el centro de especialista en
deterioro del equipamiento cómputo. seguridad de la
informático debido a la Reducir el información
Medio D
ausencia de sistemas de riesgo
Realizar una adecuada distribución de
control de condiciones
los rack de comunicaciones y servidores
ambientales como Líder TI especialista
en el centro de cómputo que permita
temperatura y humedad. C30 en seguridad de la
crear corredores de aire frio y aire
información
caliente mejorando la eficiencia del
sistema de refrigeración empleado.
R17 - Tiempos de inactividad Programar actividades de Líder TI especialista

en las operaciones de la C31 mantenimiento preventivo sobre la UPS en seguridad de la
organización, debido al daño para prolongar su funcionamiento. información
Reducir el
o ausencia de sistemas de Medio D
riesgo
respaldo eléctrico a la Implementar el monitoreo de la UPS Líder TI especialista
infraestructura de red de la C32 online a través del software del en seguridad de la
organización. fabricante de la UPS. información
CONTENEDOR Y/O
CONFIDENCIALIDAD
ACTIVO DE
ESTRATEGIA
DISPONIBLIDAD
INFORMACIÓN
INTEGRIDAD
CEO de la
organización
Instalar sistemas de detección y (Asignación del
C33 extinción de incendios en el centro de recurso) y Líder TI
R18 - Deterioro parcial y/o cómputo. especialista en
total de la infraestructura seguridad de la
tecnológica del centro de Reducir el información
Alto D
cómputo causada por la riesgo CEO de la
presencia de fuego en el organización
Realizar periódicamente actividades de
recinto. (Asignación del
mantenimiento sobre los sistemas de
C34 recurso) y Líder TI
detección y extinción para garantizar su
especialista en
efectividad ante cualquier incidente.
seguridad de la
información
Diseñar y/o actualizar la política de Líder TI especialista
C18 seguridad de la información de la en seguridad de la
R19 - Sustracción y/o pérdida organización. información
de información sensible de la
organización debido a la Implementar controles de acceso físico y
ausencia de políticas y lógico que restrinjan los accesos no
Reducir el C6 en seguridad de la
controles en el Alto C D autorizados a los repositorios de
riesgo información
establecimiento de información.
contraseñas de acceso a los Implementar configuraciones de
Red LAN corporativa dispositivos tecnológicos de la seguridad orientadas a salvaguardar la Líder TI especialista
entidad. C35 información e infraestructura de red de en seguridad de la
la organización (Router, Switch, información
Servidores, redes inalámbricas).
R20 - Indisponibilidad de la Implementar configuraciones de
información y/o servicios que seguridad orientadas a salvaguardar la Líder TI especialista
Reducir el
se acceden a través de la red Medio D C35 información e infraestructura de red de en seguridad de la
riesgo
corporativa por deficiencias la organización (Router, Switch, información
en su diseño e Servidores, redes inalámbricas).
CONTENEDOR Y/O
CONFIDENCIALIDAD
ACTIVO DE
ESTRATEGIA
DISPONIBLIDAD
INFORMACIÓN
INTEGRIDAD
implementación. Efectuar periódicamente pruebas de

hacking ético para detectar posibles
vulnerabilidades en la seguridad de la
infraestructura de red corporativa,
información
incluido los servicios publicados en
internet.
CEO de la
Adquirir infraestructura de red (Firewall organización
de nueva generación NGFW) que (Asignación del
C37 permita implementar lineamientos y recurso) y Líder TI
políticas de seguridad para acceder a los especialista en
recursos y servicios de la organización. seguridad de la
información
Realizar monitoreo y seguimiento al Líder TI especialista
C38 registro de logs para evidenciar posibles en seguridad de la
intrusiones no autorizadas. información
Emplear software (Sistemas Operativos, Líder TI especialista

C22 Antivirus, etc.) licenciado y actualizado en seguridad de la
R21 - Pérdida parcial y/o total en los servidores de la organización. información
de información provocado por Reducir el
Alto C D
la desactualización y/o riesgo Realizar revisiones periódicas en los
ausencia de antivirus. equipos de cómputo para prevenir Líder TI especialista
Antivirus C23 desactualizaciones en el software en seguridad de la
aplicaciones).
R22 - Daño de hardware
provocado por código Reducir el
Medio D C22 Antivirus, etc.) licenciado y actualizado en seguridad de la
malicioso debido a la riesgo
en los servidores de la organización. información
desactualización de los
CONTENEDOR Y/O
CONFIDENCIALIDAD
ACTIVO DE
ESTRATEGIA
DISPONIBLIDAD
INFORMACIÓN
INTEGRIDAD
antivirus. Realizar revisiones periódicas en los

equipos de cómputo para prevenir Líder TI especialista
aplicaciones).

C22 Antivirus, etc.) licenciado y actualizado en seguridad de la
R23 - Afectación de la en los servidores de la organización. información
operatividad de la red Reducir el
Medio C D
corporativa debido a la riesgo Realizar revisiones periódicas en los
presencia de malware. equipos de cómputo para prevenir Líder TI especialista
aplicaciones).
Responsable del
R24 - Pérdida de clientes por Clasificar la información de la proceso y líder TI
divulgación no autorizada de C5 organización, definiendo si es pública, especialista en
Unidades de información debido a la privada o confidencial. seguridad de la
Reducir el información
almacenamiento de ausencia de mecanismos de Alto C
riesgo
información cifrado de información sobre Implementar mecanismos de cifrado de
unidades de almacenamiento información en unidades de
electrónico. almacenamiento (Discos duros, USB,
información
portátiles y dispositivos móviles).
R25 - Sustracción y/o pérdida Diseñar y/o actualizar la política de Líder TI especialista
de la información sensible de C18 seguridad de la información de la en seguridad de la
la organización debido a la organización. información
ausencia de acuerdos de Reducir el
Talento humano Alto C D
confidencialidad y protección riesgo Establecer programas de capacitación y
de la propiedad intelectual Líder TI especialista
sensibilización al personal de la
entre la empresa y sus C40 en seguridad de la
organización en temas relacionados con
empleados directos, información
CONTENEDOR Y/O
CONFIDENCIALIDAD
ACTIVO DE
ESTRATEGIA
DISPONIBLIDAD
INFORMACIÓN
INTEGRIDAD
aprendices, practicantes y Líder de Recursos

Establecer acuerdos de confidencialidad
aliados estratégicos. Humanos y Líder TI
con los empleados, proveedores y
C41 especialista en
terceros para el manejo de la
seguridad de la
información institucional.
información
Tabla 21 - Plan de tratamiento de riesgos propuesto para mitigar y controlar los riesgos existentes.
Los controles de seguridad propuestos para reducir los riesgos detectados en los activos
asociados a la información del aplicativo de gestión documental se clasifican en
preventivos, detectivos y correctivos. A continuación se brinda una descripción de la
clasificación descrita.
TIPO DE CONTROL DESCRIPCIÓN DEL CONTROL

Están enfocados a evitar que se produzcan incidentes o riesgos de
seguridad. Dentro de los controles preventivos se pueden encontrar el
establecimiento de políticas de seguridad, metodologías de software
Preventivos seguro, definición de procesos que permitan implementar buenas
prácticas de seguridad de la información, así como los planes de
concientización y sensibilización del personal, la implementación de
Firewalls, entre otros.
Se encargan de detectar los incidentes de seguridad en el momento que
están ocurriendo, sin establecer acciones correctivas. Se clasifican
Detectivos
dentro de los controles detectivos los sistemas de monitoreo, antivirus,
alarmas, sistemas de detección de intrusos, etc.
Controles enfocados a corregir los incidentes y riesgos de seguridad

Correctivos
ocurridos.
Tabla 22 – Descripción de la clasificación de los controles sugeridos
Teniendo en cuenta el alcance del presente proyecto, se deja a consideración de la

organización la implementación, seguimiento y control del plan de tratamiento de riesgos
descrito enfocado a reducir, mitigar y controlar los riesgos existentes a los que se
encuentran expuestos actualmente los activos de información que engloba el software de
gestión documental de la cual es propietaria.
4.3.4 POLITICA DE SEGURIDAD DE LA INFORMACIÓN
La organización propietaria del software de gestión documental, objeto del presente

trabajo de grado no cuenta actualmente con una política de seguridad de la información
que le brinde al personal de la entidad los lineamientos y recomendaciones que debe
aplicar para salvaguardar la integridad, confidencialidad y disponibilidad de la información
que manipula a diario para cumplir con el desarrollo de su objeto de contrato; motivo por
el cual uno de los objetivos propuestos en el anteproyecto es la creación de la política de
seguridad de la información para la entidad, estando proyectada a lograr el cumplimiento
de la misión y visión institucional así como de contribuir al fortalecimiento de la seguridad
de la información que le permita a la entidad continuar manteniendo su buen nombre y la
confianza de sus clientes en los procesos de gestión documental, custodia de
documentos y demás líneas de negocio que ofrece actualmente.
En el anexo 8 se encuentra la política de seguridad de la información diseñada y

estructurada acorde a la importancia que reconoce la alta dirección de la entidad de
definir lineamientos que deben ser aplicados por sus empleados directos, trabajadores
ocasionales, contratistas, practicantes y terceros para proteger y asegurar la
confidencialidad, integridad, disponibilidad y autenticidad de la información en sus
diferentes medios de almacenamiento, procesamiento y transporte de información.
Como guía para la elaboración de la política de seguridad de la entidad se aplicaron las

recomendaciones que brinda el documento de: “Políticas de Seguridad de la Información”
de la Institución Universitaria Politécnico GranColombiano, correspondiente al módulo de
Teoría de seguridad de la especialización en seguridad de la información a la cual me
encuentro inscrita actualmente (Institución Universitaria Politecnico GranColombiano,
2016).
5. RESULTADOS Y DISCUSIÓN
Los resultados obtenidos en el presente documento se generaron gracias a la aplicación

del plan de trabajo propuesto para el desarrollo del proyecto en el cual se identifican las
fases descritas a continuación que permitieron dar cumplimiento a los objetivos del
proyecto.
•La fase de inicio permitio identificar la necesidad de la organización de contar con

un estudio previo de los riesgos asociados a los activos de información del
Inicio aplicativo de gestión documental, asi como establecer su respectiva gestión.
•Las actividades asociadas a esta fase se relacionaron con el levantamiento de

información empleando diversas tecnicas como entrevistas, inspecciones físicas y
realización de pruebas sobre el aplicativo objeto del presente documento que
Analisis permitieron identificar las vulnerabilidades de seguridad presentes en el software.
•Las actividades descritas en esta fase permitieron desarrollar los objetivos

específicos propuestos en el documento del anteproyecto dando cumplimiento
asi al objetivo general y alcance del proyecto.
Diseño
Figura 2 – Fases del plan de trabajo propuesto
La información recopilada en la fase de análisis permitió dar inicio al desarrollo de los

objetivos específicos para dar cumplimiento con los entregables descritos en el
anteproyecto aprobado por la Universidad. Acorde a esto se describe a continuación los
resultados obtenidos al culminar el presente proyecto.
5.1 ENTREGABLE 1 – Inventario de activos asociados al sistema de gestión documental
Los resultados específicos relacionados con este entregable son:
OE1. Definir la metodología a emplear para identificar, valorar, clasificar y tratar

los activos de información que apoyan la gestión del aplicativo de gestión
documental.
OE2. Realizar un inventario de los activos de información que engloba el
aplicativo de gestión documental resultado de aplicar la metodología de
identificación, clasificación y valoración de los activos de información del software
de gestión documental.
OE1 - Definir la metodología a emplear para identificar, valorar, clasificar y tratar los
activos de información que apoyan la gestión del aplicativo de gestión documental.
La metodología empleada para identificar, valorar y clasificar los activos de información

asociados al aplicativo de gestión documental se estableció en base a la metodología de
análisis y gestión de riesgos de los sistemas de información MAGERIT, la cual propone el
modelo de clasificación descrito en la tabla 3 – Clasificación de los activos establecida en
la metodología MAGERIT del presente documento.
Una vez definida e identificadas las características relevantes del modelo de clasificación
de los activos asociados a la información se dio inicio al levantamiento de información que
permitió llevar a cabo el desarrollo del segundo objetivo específico asociado al entregable
N.1.
OE2 - Realizar un inventario de los activos de información que engloba el aplicativo

de gestión documental resultado de aplicar la metodología de identificación,
clasificación y valoración de los activos de información del software de gestión
documental.
El inventario de activos de información se realizó de acuerdo al alcance del proyecto a

través de las entrevistas realizadas a los líderes encargados en la organización de las
áreas de desarrollo, tecnología y consultoría quienes a través de sus orientaciones
permitieron identificar los activos asociados al aplicativo de gestión documental objeto del
La identificación de los activos asociados a la información del software de gestión

documental, permito establecer en conjunto con el CEO de la organización la valoración
de los activos en términos de confidencialidad, integridad y disponibilidad teniendo
presente la importancia del activo para la continuidad del negocio, así como el impacto
que podía causar para la organización a nivel financiero, jurídico y de imagen corporativa
la perdida de alguna de las características de la seguridad de la información relacionada
con el aplicativo de gestión documental debido a la materialización de una amenaza,
procedimiento que se puede evidenciar en el ítem 4.3.1 del presente documento, así
como en el anexo 5 que contiene el inventario de los activos asociados a la información.
Gracias a la identificación y valoración que se realizó sobre los activos de información se

identificó la criticidad del activo, generando un agrupamiento de los activos de acuerdo a
su relación funcional para realizar sobre dichos activos el respectivo análisis de riesgos.
Como resultado de lo descrito los activos seleccionados para realizar el respectivo
análisis de riesgo fueron:

N. CRITICIDAD
ACTIVO DEL ACTIVO
GD - A1 Alto
(Subversión y GIT)
GD - A3 Código fuente Alto Código fuente
Interfaz de desarrollo (Netbeans con
GD - A15 Alto
lenguaje de programación Java)
GD - A18 Aplicativo de gestión documental Alto Aplicación de gestión documental
GD - A4 Servidor de aplicaciones Alto
GD - A5 Servidor de bases de datos Alto
GD - A19 Sistemas de gestión de bases de datos Alto Servidores
GD - A6 Servidor de imágenes Alto
GD - A14 Servicio de File Systems Alto
GD - A9 Dispositivos de red Alto Cuarto de infraestructura

GD - A10 Cuarto de equipos Alto tecnológica (Cuarto de Equipos)
GD - A12 Red de área local - LAN Alto

Red LAN corporativa
GD - A13 Red Inalámbrica - WLAN Alto
GD - A17 Antivirus Alto Antivirus

Medios de almacenamiento electrónico Unidades de almacenamiento de
GD - A20 Medio
(USB, Discos duros externos) información
GD - A11 Desarrolladores Medio Talento humano
Tabla 23 - Activos objeto de análisis de riesgos
5.2 ENTREGABLE 2 – Análisis de riesgos detectados sobre el aplicativo de gestión
documental
Los objetivos específicos que permitieron alcanzar este resultado de aprendizaje son:
OE3. Especificar la metodología para la identificación y valoración de los riesgos

de seguridad que se encuentran presentes en el aplicativo de gestión documental.
OE4. Identificar y valorar los riesgos de seguridad sobre los activos de información
del aplicativo de gestión documental al interior de la empresa propietaria del
software.
A continuación se describen las actividades que permitieron desarrollar los objetivos

específicos descritos.
OE3 - Especificar la metodología para la identificación y valoración de los riesgos

de seguridad que se encuentran presentes en el aplicativo de gestión documental.
Estableciendo como referencia la metodología de análisis y gestión de riesgos de los

sistemas de información MAGERIT y los objetivos organizacionales de la empresa
propietaria del software, se definieron las siguientes actividades para realizar el respectivo
análisis de riesgos sobre el aplicativo de gestión documental.
 Identificación de vulnerabilidades y amenazas sobre los activos asociados a la

información así como su respectivo impacto.
 Definición de los riesgos de seguridad.
 Establecer la cuantificación de la probabilidad de ocurrencia del riesgo y el impacto

que puede generar para la organización la materialización del riesgo.
 Construir la matriz de riesgos inherente.
 Diseñar el plan de tratamiento y gestión de riesgos de seguridad de la información

El desarrollo de cada una de las actividades descritas se encuentra en el numeral 4.3.2
del presente documento, lo que permitió desarrollar el siguiente objetivo.
OE4 - Identificar y valorar los riesgos de seguridad sobre los activos de información
del aplicativo de gestión documental al interior de la empresa propietaria del
software.
Posterior a la identificación de los riesgos de seguridad establecidos a partir de la

identificación de las vulnerabilidades y amenazas a las cuales se encuentran expuestos
los activos asociados a la información objeto del presente análisis, se definieron los
riesgos de seguridad presentes sobre los activos, siendo estos valorados en términos de
probabilidad de ocurrencia del riesgo y el nivel de impacto que podría generar para la
organización la materialización del riesgo.
Los aspectos definidos en la valoración en términos de probabilidad se realizaron acorde

a lo establecido en conjunto con el CEO de la organización, esto debido a que la
organización no ha presentado eventos y/o situaciones que hayan comprometido la
seguridad de la información que manejan actualmente y tampoco tienen un registro de
ello. Con respecto a la valoración del impacto se realizó teniendo en cuenta la afectación
a nivel económico y operativo que puede generar al interior de la organización la
materialización de un riesgo de seguridad. Las variables descritas contaron con la
aprobación del CEO de la entidad.
El anexo 6 contiene la matriz de riesgos de seguridad asociados al aplicativo de gestión

documental, así como se encuentra descrito paso a paso el procedimiento realizado en el
numeral 4.3.2 en el que se explica el desarrollo de la metodología propuesta para la
identificación y valoración de los riesgos de seguridad a los que está expuesta la
aplicación de gestión documental actualmente debido a la ausencia de controles que
establezcan su control y mitigación.
5.3 ENTREGABLE 3 – Plan de tratamiento y gestión de riesgos de seguridad de la
información
Los objetivos específicos ya descritos permitieron desarrollar el objetivo general del

proyecto de grado el cual es:
OG. Realizar el análisis de riesgos de seguridad de la información sobre la

aplicación de gestión documental, proponiendo un plan de tratamiento orientado a
mitigar y controlar los riesgos de seguridad detectados en el aplicativo de software
objeto del presente estudio.
Acorde al análisis de riesgos de seguridad identificados para el aplicativo de gestión

documental se estableció la estrategia de tratamiento del riesgo, la cual permitió evaluar
en conjunto con la organización el costo beneficio que tendría para la entidad el evitar,
reducir, transferir o aceptar los riesgos identificados sobre el software. Como resultado del
análisis costo beneficio se estableció “Reducir el Riesgo” en los riesgos de nivel medio y
alto, así como “Aceptar el riesgo” en los riesgos de nivel “muy bajo”.
En el ítem 4.3.3 de la metodología se desarrolló paso a paso el plan de tratamiento y

gestión de riesgos, como estrategia para mitigar y controlar los riesgos de seguridad
identificados sobre la aplicación de gestión documental, así como se evidencia el
resultado obtenido en el anexo 7 al presente documento.
Los controles de seguridad propuestos para reducir los riesgos detectados en los activos
asociados a la información del aplicativo de gestión documental se clasificaron en
preventivos, detectivos y correctivos, los cuales teniendo en cuenta el alcance del
presente proyecto, se deja a consideración de la organización la implementación,
seguimiento y control del plan de tratamiento de riesgos descrito enfocado a reducir,
mitigar y controlar los riesgos existentes a los que se encuentran expuestos actualmente
los activos de información que engloba el software de gestión documental de la cual es
propietaria.
5.4 ENTREGABLE 4 – Política de seguridad de la información para la organización
El entregable N.4 desarrollo el siguiente objetivo específico.
OE5. Definir la política de seguridad de la información de la organización

propietaria del software de gestión documental.
El respectivo entregable correspondiente al objetivo descrito se encuentra en el Anexo N.

8, en donde se estableció los lineamientos que deben aplicar todos los empleados
directos, trabajadores ocasionales, contratistas, practicantes y terceros para proteger y
asegurar la confidencialidad, integridad, disponibilidad y autenticidad de la información de
la organización a fin de propender la continuidad del negocio y mantener la imagen
Como guía para la elaboración de la política de seguridad de la entidad se aplicaron las

recomendaciones que brinda el documento de: “Políticas de Seguridad de la Información”
de la institución universitaria Politécnico GranColombiano, correspondiente al módulo de
Teoría de seguridad de la especialización en seguridad de la información. (Institución
Universitaria Politecnico GranColombiano, 2016).
Se recomienda a la organización la revisión de la política de seguridad propuesta a fin de

realizar los ajustes a que haya lugar acorde a las necesidades en la gestión de la
seguridad de la información de la entidad, así como su respectiva aprobación y aplicación
sensibilizando al personal de la importancia del conocimiento y aplicación de la política de
seguridad de la información en la organización.
6. CONCLUSIONES
 El análisis de riesgos de seguridad de la información sobre el aplicativo de gestión

documental permitió evidenciar las debilidades relacionadas con el diseño y
funcionamiento del software, así como las deficiencias existentes en la
infraestructura tecnológica que almacena, procesa y transporta la información
tanto del software como la contenida dentro del mismo haciendo evidente la
necesidad de implementar un plan de tratamiento de riesgos que permita disminuir
los riesgos a los cuales está expuesta la información de la organización.
 Los riesgos de seguridad detectados sobre el aplicativo de gestión documental son

de criticidad “Alta”, motivo por el cual se sugiere a la organización la
implementación del plan de tratamiento de riesgos diseñado como resultado de
este documento, el cual está enfocado a reducir y controlar los riesgos de
seguridad existentes que ponen en riesgo la seguridad de la información y por
ende la continuidad del negocio.
 Se invita al CEO y directivas de la organización a comprometerse con la seguridad

de la información en los procesos y líneas de negocio que engloba a entidad,
estableciendo los recursos necesarios que permitan la implementación de las
actividades enfocadas a salvaguardar la información de la organización a través
de la gestión de la seguridad dentro de la entidad.
 Se exhorta a la organización propietaria del software de gestión documental,

objeto del presente estudio la creación de área de TI dentro de la organización, la
cual debe estar liderada por un profesional de TI Especialista en Seguridad de la
Información, quien tendrá como función principal planificar, diseñar e implementar
las acciones pertinentes que le permitan establecer en la organización una
adecuada gestión de la seguridad de la información que le brinde a la organización
una continuidad del negocio a través del desarrollo de sus líneas de negocio y
cumplimiento de los objetivos .
 Se motiva a las directivas de la organización propietaria del software de gestión

documental a documentar los procesos de sus actividades y líneas de negocio,
información que es valiosa en el establecimiento de la gestión de la seguridad de
la información en la organización.
 Se invita a la organización a diseñar y establecer de manera prioritaria los

acuerdos de confidencialidad de la información de la organización y sus clientes,
con sus colaboradores internos y/o externos que por desarrollo de su objeto de
contrato tengan acceso a la información que almacena, procesa, gestiona o
transporta en las diversas líneas de negocio de la entidad.
 Se sugiere realizar la implementación de la política de seguridad de la información

diseñada con el objetivo de establecer los lineamientos y procedimientos que
deben cumplir todas las personas internas y/o externas de la organización que por
estrategias de negocio puedan tener acceso a la información de la organización,
las cuales deben propender por proteger y asegurar la confidencialidad, integridad,
disponibilidad y autenticad de la información de la entidad.
 Realizar una actualización y depuración de los directorios existentes, que permita

identificar las cuentas de usuario que no cumplan con las políticas de seguridad,
así como las cuentas huérfanas, en desuso y cuentas que carezcan de atributos
que pueden ser relevantes para la gestión de identidades dentro de la
organización.
7. BIBLIOGRAFÍA
Archivo General de la Nación Colombia. (2014).

http://observatoriotic.archivogeneral.gov.co. Recuperado el 2 de Abril de 2017
Gobierno de España. (Octubre de 2012). MAGERIT - Versión 3.0 Metodologia de análisis

de riesgos de los sistemas de información. . Libro II - Catalogo de elementos.
Madrid. Recuperado el 16 de Mayo de 2017
Gobierno de España. (Octubre de 2012). MAGERIT - Versión 3.0. Metodología de análisis

y gestión de riesgos de los sistemas de información. Libro I - Método. (M. d.
Públicas, Ed.) Recuperado el 15 de Mayo de 2017, de
http://administracionelectronica.gob.es/
Institución Universitaria Politécnico GranColombiano. (2016). Analisis de Riesgo.

Introducción teórica al analisis de riesgos: Conceptos. Bogota. Recuperado el 15
de Mayo de 2017
Institución Universitaria Politécnico GranColombiano. (2016). Gestión de identidad.

Gestión de identidad y funcionalidad. Bogota. Recuperado el 15 de Mayo de 2017
Institución Universitaria Politécnico GranColombiano. (2016). Gestión de seguridad. .

Principios de la seguridad de la información. Bogota. Recuperado el 15 de mayo
de 2017
Institución Universitaria Politecnico GranColombiano. (2016). Teoria de la seguridad.

Politicas de seguridad de la información. Bogota. Recuperado el 30 de mayo de
2017
Institución Universitaria Politécnico GranColombiano. (2016). Teoria de la Seguridad.

Principios de la seguridad de la información. Bogota.
Institución Universitaria Politécnico GranColombiano. (2017). Seguridad Fisica. Medidas

de Prevención. Bogota.
Instituto Colombiano de Normas Técnicas ICONTEC. (11 de Diciembre de 2013). Norma
Tecnica Colombiana NTC-ISO-IEC 27001. Recuperado el 15 de Mayo de 2017
International Standar ISO/IEC 27000. (15 de Febrero de 2016). Information technology,

Security Techniques. Recuperado el 15 de Mayo de 2017
Ministerio de Cultura. (14 de Diciembre de 2012). http://www.mintic.gov.co. Recuperado el

5 de Abril de 2017
MinTIC. (08 de Abril de 2014). http://www.mintic.gov.co. Recuperado el 20 de Abril de

2017
Quintero, B. P., & Fuentes, P. A. (2007). Diseño de un sistema de gestión documental

para el programa de ingeniería de sistemas de la universidad San Buenaventura -
Sede Bogota. Bogota DC. Recuperado el 17 de Abril de 2017
8. ANEXOS
A continuación se relacionan los anexos del presente documento.
Anexo N. 1 – Cronograma del plan de trabajo realizado en MS – Project.
Anexo N. 2 – Entrevista líder de desarrollo.
Anexo N. 3 – Entrevista líder de soporte IT.
Anexo N. 4 – Infraestructura relacionada con la seguridad física.
Anexo N. 5 – Entregable N.1 - Inventario de Activos asociados a la Información.
Anexo N. 6 – Entregable N.2 - Análisis de Riesgos de SI.
Anexo N. 7 – Entregable N.3 - Plan de Tratamiento de Riesgos de SI.
Anexo N. 8 – Entregable N.4 – Política de seguridad de la información.

Análisis de Los Riesgos de Seguridad de La Información de Un Aplicativo

Cargado por

Copyright:

Formatos disponibles

Análisis de Los Riesgos de Seguridad de La Información de Un Aplicativo

Cargado por

Información del documento

Descripción original:

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Análisis de Los Riesgos de Seguridad de La Información de Un Aplicativo

Cargado por

Copyright:

Formatos disponibles

ANÁLISIS DE LOS RIESGOS DE SEGURIDAD DE LA INFORMACIÓN DE UN

APLICATIVO DE GESTIÓN DOCUMENTAL LIDER EN EL MERCADO COLOMBIANO.

CARMEN ELIZABETH FAJARDO DIAZ

INSTITUCIÓN UNIVERSITARIA POLITÉCNICO GRANCOLOMBIANO

CARMEN ELIZABETH FAJARDO DIAZ

ALEJANDRO CASTIBLANCO CARO

INSTITUCIÓN UNIVERSITARIA POLITÉCNICO GRANCOLOMBIANO

Firmas de los jurados

Bogotá, 2 de Junio de 2017

Tabla 1 – Indicadores del estado actual del problema detectado. .................................... 12

Figura 1 – Ciclo de vida de los documentos..................................................................... 17

En la actualidad las aplicaciones de gestión documental son muy utilizadas en el sector

Este documento está enfocado a realizar un análisis de los riesgos de seguridad de la

En la actualidad las aplicaciones de gestión documental son muy utilizadas en el sector

El Sistema de Gestión Documental objeto del presente estudio, es una aplicación de

Para brindar solución a la problemática mencionada se describe a continuación el alcance

Alcance del proyecto

El alcance del proyecto establece la identificación de los riesgos de seguridad del

Realizar el análisis de riesgos de seguridad de la información sobre la aplicación de

 Definir la metodología a emplear para identificar, valorar, clasificar y tratar los

 Realizar un inventario de los activos de información que engloba el aplicativo de

 Especificar la metodología para la identificación y valoración de los riesgos de

 Definir la política de seguridad de la información de la organización propietaria del

Con el desarrollo de la metodología propuesta para el presente trabajo de grado los

 Política de seguridad de la información enfocada a la organización propietaria del

 Inventario de activos asociados al sistema de gestión documental objeto del

 Informe del análisis de riesgos detectados sobre el aplicativo de gestión

 Informe de plan de tratamiento y gestión de riesgos de seguridad de la información

El software de gestión documental objeto de este proyecto se encuentra implementado y

ASPECTO A DESCRIPCION DEL ASPECTO A PORCENTAJE

Tabla 1 – Indicadores del estado actual del problema detectado.

Acorde a los indicadores descritos en la tabla 1 y obtenidos a través del muestreo

El marco teórico descrito a continuación referencia la conceptualización técnica que se

3.1 SEGURIDAD DE LA INFORMACIÓN

A continuación se relacionan la definición de los términos relacionados con la seguridad

 Información: “Conjunto organizado de datos procesados, que constituyen un

 Triada CID: “Compuesta por la Confidencialidad, Integridad y Disponibilidad de la

 Confidencialidad: “Propiedad que determina que la información no esté

 Integridad: “Propiedad de salvaguardar la exactitud y estado completo de los

 Disponibilidad: “Propiedad de que la información sea accesible y utilizable por

 Autenticación: “Proceso bajo el cual se verifica la identidad del usuario”.

 Trazabilidad: “Aseguramiento de que en todo momento se podrá determinar quién

 Seguridad de la información: “Preservación de la confidencialidad, la integridad

 Política de seguridad de la información: “Documento global ejecutivo que

 Vulnerabilidad: “Es una debilidad a nivel de software, hardware, procedimientos o

 Amenaza: “Se define como un peligro potencial a la información del sistema. Se

 Probabilidad: “Estimación de ocurrencia de un evento, el cual está relacionado a

 Controles: “Son aquellos mecanismos utilizados para monitorear y controlar

 Riesgo: “Grado de exposición de un activo que cual permite la materialización de

 Aceptación del riesgo: “Decisión de asumir un riesgo”. (International Standar

 Análisis de riesgo: “Uso sistemático de la información para identificar las fuentes

 Evaluación del riesgo: “Proceso de comparar el riesgo estimado contra criterios

 Gestión del riesgo: “Actividades coordinadas para dirigir y controlar una

 Tratamiento del riesgo: “Proceso de selección e implementación de medidas

 Valoración del riesgo: “Proceso global de análisis y evaluación del riesgo”.

3.2 GESTIÓN DOCUMENTAL

La gestión documental consiste en la aplicación de tecnologías y procedimientos que

 Calidad en la gestión administrativa, la cual se ve reflejada en los siguientes

 Reduce tiempo en el acceso a la información: debido a que brinda una mayor