Sistema experto en auditoría de seguridad de la información basado en las NTP ISO 27001 y 27002 y COBIT

Abstract

La información es uno de los activos con mayor importancia e impacto de toda organización, representa el elemento clave capaz de garantizar la continuidad de cualquier negocio e influye directamente en el desempeño de las operaciones. Con el paso de los años aparecieron buenas prácticas y estándares relacionados a Sistemas de Gestión de Seguridad de la Información (SGSI), buscando garantizar un adecuado tratamiento y protección de la información; sin embargo, se está todavía lejos de obtener un sistema totalmente seguro, por la naturaleza inherente de las vulnerabilidades de los activos de información, sus amenazas y riesgos.

Se propone el desarrollo de un Sistema Experto en Seguridad de la Información (denominado XSIS) que facilite la identificación de vulnerabilidades y amenazas de los activos de información, desarrollado bajo los Criterios de Auditoría NTP ISO 27001:2013 e ISO 27002:2013, combinado con las buenas prácticas de COBIT 5, y el conocimiento propio añadido de expertos en auditoría informática.

Los resultados de la aplicación de XSIS demuestran que es posible realizar una Auditoría de Seguridad de Información con personal experto y no experto en la materia, además su base de conocimiento permite la identificación de vulnerabilidades y amenazas de los activos de información asociados a través de formatos de evaluación diseñados específicamente para situaciones particulares.

Information is one of the most important assets and impact of any organization, represents the key element capable of ensuring continuity of any business and directly influences the performance of operations. Over the years they were good practices and standards related to Management Systems Information Security (ISMS), seeking to ensure proper treatment and protection of information; however, it is still far from obtaining a totally secure system, the inherent nature of the vulnerabilities of information assets, threats and risks.

The development of an Expert System for Information Security is proposed, to facilitate the identification of vulnerabilities and threats of information assets developed under the Audit standard NTP ISO 27001: 2013 and ““ISO 27002: 2013““ combined with the best practices of COBIT 5, and self-knowledge added Computer audit experts.

The results of the application of XSIS show that it is possible to perform an Audit of Information Security expert staff and non-skilled, besides their knowledge base allows the identification of vulnerabilities and threats associated information assets across formats assessment designed specifically for particular situations.