miércoles, 3 de junio de 2015

Seguridad Ocupacional (Caso)

Primeros Auxilios
La empresa Metalsa tiene 85 empleados en plantilla y se dedica a la fabricación de elementos de sujeción metálicos (tuercas, tornillos, cojinetes, etc).El horario que tienen establecido es de siete de la mañana a tres de la tarde. Mesbil tiene veintiún años y hace sólo una semana que trabaja en el almacén de esta empresa. En el momento del contrato, ya le advirtieron de que durante el primer mes tendría que hacer unas horas por la tarde, al igual que treinta compañeros más. Una tarde, Mesbil cargó la carretilla elevadora que conducía Pancho con seis contenedores de cajas de tornillos, pero los dos últimos no quedaron bien colocados. Pancho le comentó al respecto que no se preocupara, que él era un “carretillero experimentado”, y con una maniobra rápida recorrió los treinta 

metros que le separaban de las estanterías donde iban a ir almacenados los contenedores. Cuando Pancho estaba terminando de subir la horquilla se dio cuenta de que los contenedores se habían desplazado y que el último estaba tambaleándose; no le dio tiempo de advertir a Jimy, un compañero que estaba revisando material justo al lado de la carretilla , de que se apartara. El contenedor cayó sobre su cabeza y Jimy se desplomó en el suelo. Pancho, rápidamente, dejó la carretilla tal y como estaba y fue a ver lo sucedido. Jimy estaba tendido en el suelo inconsciente y de su brazo derecho salía sangre. La primera reacción de Pancho fue la de acercarse a la víctima y, gritando su nombre, intentar levantarlo. Mesbil y los otros compañeros, alertados por el ruido, se habían aproximado al lugar del accidente y miraban la escena sin saber qué hacer. Alguien dijo: ¡Llamad al médico de la empresa! Mesbil salió disparado hacia el teléfono, pero cuando llegó se dio cuenta de que no sabía el número del Servicio Médico y de que tampoco había ninguna lista cercana donde se indicara. Mesbil se vio obligado a gritar a pleno pulmón que alguien se acercara para ayudarle a solucionar el problema. Cuando por fin, gracias a un compañero, logró telefonear, resultó que no había ningún responsable del servicio médico porque su horario era de mañanas. Después de esto optaron por telefonear al servicio de urgencias del hospital que tenían en la zona y explicar la situación. Al terminar de hablar con ellos se dieron cuenta de que con las prisas se habían olvidado de mencionar que su compañero, además de estar inconsciente por el golpe, también se había herido en un brazo y perdía sangre. Cuando regresaron al almacén para anunciar que pronto llegaría ayuda, Jimy ya había recuperado el conocimiento. Pancho y otro compañero estaban junto a él, le habían puesto un pañuelo en la herida del brazo y lo estaban tranquilizando.

Algunas Recomendaciones Para Evitar Este Tipo De Accidentes
- Informar a todos los empleados, mediante carteles, folletos, etc., sobre cuáles son las actuaciones esenciales que deben llevarse a cabo cuando sucede un accidente
-Disponer de un botiquín con el material preciso para realizar los primeros auxilios.
-Debe haber personal medico las 24 horas
-Inexistencia de una lista de teléfonos de urgencia en el lugar de trabajo.
-No dejar la carretilla mal cargada en una posición peligrosa para el resto de los trabajadores.



Opinión
Las propuestas didácticas son orientativas y tienen como finalidad el que puedan ser utilizadas por el profesorado como herramientas de apoyo a la hora de abordar la enseñanza en temas de prevención. 
De la rapidez y la eficacia con que se apliquen los primeros auxilios a una persona accidentada puede depender que su vida se salve. Lamentablemente, es un hecho el gran número de accidentes que se producen a diario en el trabajo, por lo que las empresas deben considerar como objetivo prioritario el disponer de una organización de primeros auxilios adecuada al número de personas empleadas y al tipo de actividad que realicen.

miércoles, 20 de mayo de 2015

Gestión De La Continuidad Del Negocio

La gestión de la continuidad del negocio es la actividad que se lleva a cabo en una organización para asegurar que todos los procesos de negocio críticos estarán disponibles para los clientes, proveedores, y otras entidades que deben acceder a ellos. Estas actividades incluyen un gran número de tareas diarias como gestión de proyectos,copias de seguridad de los sistemas, control de cambios y helpdesk. La gestión de la continuidad no se implanta cuando ocurre un desastre, sino que hace referencia a todas aquellas actividades que se llevan a cabo diariamente para mantener el servicio y facilitar la recuperación.
La base de la gestión de la continuidad son las políticas, guías, estándar y procedimientos implementados por una organización. Todo el diseño, implementación, soporte y mantenimiento de los sistemas debe estar fundamentado en la obtención de un buen plan de continuidad del negocio, recuperación de desastres y en algunos casos, soporte al sistema. En ocasiones el plan de la continuidad o plan de contingencias se confunde con la gestión de la recuperación tras un desastre, pero son conceptos diferentes. La recuperación de desastres es una pequeña parte de la gestión de la continuidad.

Política
Las políticas son una serie de normas impuestas por las esferas directivas de la organización que soportan todos los procesos de negocio y que se desarrollan siguiendo un plan determinado
Guias
Las guías son una serie de conceptos de los que se recomienda su seguimiento según el plan designado. De todas formas, dependiendo de las necesidades y requisitos de negocio, estas guías pueden ser ignoradas o alteradas durante la implementación.
Estándares
-Los estándares consisten en las especificaciones técnicas realizadas para la implementación de todos los procesos de negocio. Son un derivado de las políticas y las guías. En 2007 BSI, British Estándares Institution, publicó la norma BS 25999 partes 1 y 2 para establecer la gestión de la continuidad de negocio en las organizaciones.
-En 2012 se publicó la ISO 22301, norma internacional para la gestión de la continuidad de negocio basada en la anterior BS 25999 y teniendo ya aplicación y reconocimiento mundial
Procedimiento
-El estándar británico 25999-1 ofrece especificaciones para la implementación de un sistema de gestión de la continuidad en una organización. Esta tarea puede resultar compleja en grandes organizaciones, que contratan expertos y consultores que ofrecen soporte y formación al respecto.
Planificación y despliegue  de recursos
-El concepto de gestión de la continuidad implica que los recursos subyacentes se encuentran implementados y desplegados de un modo determinado, que permite ser reestructurado fácilmente dependiendo de las necesidades de la organización. Este nivel de flexibilidad requiere que todas las funciones de negocio sean planeadas e implementadas, desde el principio, con la mentalidad de disponer de un plan de continuidad del negocio.
Estructura organizativa
-Parte del trabajo de la gestión de la continuidad es asegurar que todo el personal de la organización comprende qué procesos del negocio son los más importantes para la organización.
-Este entendimiento debe quedar de manifiesto en la formación del personal, de forma que los empleados puedan asegurar la continuidad del negocio incluso cuando hay una entrada y salida de personal constante. Es importante también contar con diferentes individuos con el mismo conocimiento, sobre todo en momentos críticos cuando la persona con el conocimiento experto no se encuentra disponible.
Gestión de la seguridad
-En el entorno empresarial, la seguridad debe ser la prioridad principal en la gestión de las tecnologías de la información. Para la mayoría de organizaciones la seguridad está regida por la legislación y el cumplimiento de estas normas está controlado por auditorias.
- El no cumplimiento de estas normas tiene un impacto económico y organizativo en la entidad.
Gestión documental
-En el entorno de tecnologías de la información la rotación de personal es inevitable y forma parte de la gestión de la continuidad. La solución a los problemas relacionados con la rotación de personal es la creación de documentación completa y actualizada. Esto asegura que el personal entrante dispone de la información necesaria sobre sus funciones y tareas.
-Esto implica que los procesos relacionados con la documentación es generada (no escrita) desde los sistemas existentes y gestionada de forma automática.
Gestión del cambio
-Las regulaciones determinan que los cambios relacionados con los procesos de negocio deben ser documentados y clasificados para futuras auditorias, esto se denomina “control de cambios”. Un nuevo nivel de estabilidad entra en la organización ya que requiere que el personal de soporte documente y coordine todos los cambios en los sistemas. A medida que este proceso se automatiza, el énfasis pasará del control de personal al cumplimiento de la normativa.
Gestión de auditorias
-Uno de los aspectos que requieren más tiempo y recursos en la gestión de tecnologías de la información son las auditorias. Uno de los objetivos de la gestión de la continuidad es la automatización del data center, que incluye la gestión de las auditorias. Todos los procesos de negocio modernos deberían ser diseñados de forma que generen automáticamente la información y documentación necesaria para las auditorias como parte del día a día de la organización.
Acuerdos de nivel de servicios
-El punto de encuentro entre la gestión y las tecnologías de la información son los Acuerdos de Nivel de Servicio. Dichos acuerdos proporcionan un contrato escrito donde se estipula el alcance de la gestión con respecto a la disponibilidad de un determinado proceso de negocio y los recursos que las tecnologías de la información ofrecen como soporte a ese proceso.

1 1.¿Que es empresa y negocio?


Negocio: Un negocio consiste en una actividad, sistema, método o forma de obtener dinero, a cambio de ofrecer alguna forma de beneficio a otras personas.Un ejemplo sería la creación de una página web en donde brindemos asesoría gratis sobre negocios, y ganemos dinero por la publicidad que coloquemos en ella. Otro ejemplo podría ser el solicitar un financiamiento, viajar a un país extranjero, comprar un lote de autos usados, y luego venderlos en el país de uno.Pero también, un negocio consiste en una entidad creada o constituida con la finalidad de obtener dinero a cambio de realizar actividades de producción (por ejemplo, una fábrica de muebles), comercialización (por ejemplo, una tienda de repuestos de autos o una distribuidora) o prestación de servicios (por ejemplo, una restaurante o un taller de mecánica), que beneficien a otras personas.

Empresa: Ahora veamos la definición de empresa: una empresa consiste en una entidad creada o constituida con la finalidad de obtener dinero a cambio de realizar actividades de producción, comercialización o prestación de servicios, que beneficien a otras personas.Como podemos ver, la diferencia entre un negocio y una empresa, radica en la primera definición que dimos de un negocio, es decir, un negocio es algo similar a una empresa, con la diferencia de que un negocio también puede abarcar actividades, sistemas o métodos que permitan obtener dinero a cambio de ofrecer algún beneficio.Un ejemplo que podría graficar la diferencia entre estos conceptos, es el de un negocio que consiste en comprar una vivienda para luego ganar dinero al alquilarla o al venderla a un mayor precio, y una empresa que se dedique a comprar viviendas para luego alquilarlas o venderlas a un mayor precio.

2. Características para crear un negocio o empresa
-Motivación correcta
-Tener carácter para tomar decisiones
-ser disciplinado
-Tener liderazgo
-Debes desarrollar excelentes relaciones humanas
-Debes ser buen administrador
-Tener autoestimas

3.¿Como esta conformada una empresa?




Gerente: Se ocupa del normal funcionamiento de todos los Departamentos de la empresa.
Administrador: Se ocupa del control del dinero y de su uso y distribución.
Contable: Se ocupa de contabilizar todos los movimientos que se producen en la empresa desde la facturación, cobros, deudas con proveedores, clientes y sus pagos, gastos de personal y de gestión del negocio y presenta los informes al gerente para que decida si se ha de realizar algún cambio.
Personal: Todo el personal que trabaja para la empresa (desde dependientes, vendedores, repartidores etc..)
Jefe de Personal: Se ocupa de las contrataciones, despidos y relaciones y puestos a cubrir en la empresa.

4.¿Cuales son los requerimientos que se debe tener en cuenta para asegurar la información de la empresa?

El cumplimiento de requisitos legales es un dominio de control importante dentro de ISO 27001. Veamos cuales son las particularidades que una empresa que esté buscando la certificación debería tener en cuenta en los temas relacionados el cumplimiento legal.Según la norma ISO 27001 se incluía dentro de estos el cumplimiento de requisitos legales además de la revisión de la política de seguridad y las consideraciones sobre la auditoria de sistemas. Es en este objetivo de control donde además de asegurar que la empresa está cumpliendo con las regulaciones propias del entorno donde ejecuta su actividad económica, también se busca garantizar que se cuenten con los procedimientos adecuados que permitan la revisión y mejora del sistema de gestión de seguridad de la información.




5.¿Tipos de software para asegurar la información de la empresa?

La mayoría de programas gratuitos son para uso personal. Para uso profesional estos tienen un costo que va de 50 a 100 euros o más. 

A continuación una selección de antivirus para uso profesional:

  • Avast
  • Bit Defender
  • Kapersky Antivirus
  • Eset
  • Norman
  • McAfee
  • Symantec, Norton Antivirus
  • Trend Micro
  • Panda
  • Comodo Internet Security
  • G Data
  • Antivir (gratuito)


No basta con instalar un antivirus, necesariamente hay que instalar un cortafuegos (firewall), por ejemplo Zone Alarm
-Actualice diariamente su antivirus. Regularmente son inventariados nuevos virus, por lo que es necesario actualizar el antivirus para que los pueda reconocer.
-No instale varios antivirus, es muy probable que tenga conflictos entre estos.
Escanee regularmente su PC para asegurarse de que no tenga ninguna infección.












Delito Informatico

ee:UU: 18% de usuarios de Internet sufrió robo de datos

 EE:UU: 18% de usuarios de Internet sufrió robo de datos
De acuerdo a una encuesta realizada en Estados Unidos a 1.002 adultos entre 23 y 26 años, el 18% de usuarios de Internet  ha sido víctima de robos de información sensible como cuentas bancarias.
El Centro de Investigación Pew realizó la investigación en el mes de enero y evidencia un incremento en los ataques informáticos a usuarios de un 11% con respecto al año pasado. 
En cuanto al porcentaje de personas que manifestaron haber sido víctimas de robo de cuentas de correo electrónico o redes sociales se mantuvo en 21%. 
De acuerdo con la institución, el 50% de usuarios regulares a Internet muestra preocupación por la cantidad de información personal disponible en línea, un dato que contraste con un 33% de encuestados pendientes de este tema en el 2009. 

miércoles, 13 de mayo de 2015

ANÁLISIS DE RIESGO VS NTP – ISO / IS 17799

Brecha Comparativa


El análisis de riesgos  es una consideración sistemática porque se encarga de estimar el impacto potencial de una falla de seguridad en los negocios y sus posibles  consecuencias de pérdida de la confidencialidad, integridad o disponibilidad en una organización.

Evalúa la probabilidad de ocurrencia de dicha falla tomando en cuenta las amenazas, vulnerabilidades y controles implementados

En el caso de ISO 17799 es una norma internacional que ofrece recomendaciones  para realizar la gestión de la seguridad de la información dirigidas a los responsables de iniciar, implantar o mantener la seguridad de una organización.

El  objetivo  de la norma ISO 17799 es proporcionar una base
común para desarrollar normas de seguridad dentro de las
organizaciones.

En el caso del análisis de riesgo es la Estimación del grado de exposición de una amenaza sobre uno o más activos causando daños o perjuicios a la Organización.
El riesgo indica lo que le podría pasar a los activos si no se protegieran adecuadamente. 

La norma ISO 17799:2005  establece once dominios de control  que cubren por completo la Gestión de la Seguridad de la  Información:

1. Política de Seguridad
2. Aspectos Organizativos de la Seguridad
3. Clasificación y Control de Activos
4. Seguridad Ligada al Personal
5. Seguridad Física y del Entorno
6. Gestión de Comunicaciones y Operaciones 
7. Control de Accesos
8. Desarrollo y mantenimiento de Sistemas
9. Gestión de Incidentes
10. Gestión de continuidad del negocio
11. Conformidad con la Legislación 

En el caso del análisis de riesgo, este comprende los siguientes procesos:

Planificación
- Identificación de Activos
- Identificación de las amenazas
- Análisis de riesgo
- Determinación de las Políticas 

En conclusión:

ISO 17799 es una norma internacional que ofrece recomendaciones  para realizar la gestión de la seguridad de la información

En el caso del análisis de riesgo es un proceso realizado para implementar la seguridad de la información. Como su nombre lo indica, es un proceso realizado para detectar los riesgos a los cuales están sometidos los activos de una organización

Por lo Tanto:

Utilizar  la Norma  NTP ISO 17799 permite:
Aumento de la seguridad efectiva de los sistemas de información.
Correcta  planificación  y gestión de la  seguridad.
Garantías de continuidad del negocio.
Mejora continua a través del proceso de auditoria interna.
Incremento de los niveles de  confianza de los clientes y socios de negocios.
Aumento del  valor comercial  y mejora  de la imagen de la organización.

jueves, 30 de abril de 2015

Control de Acceso, Adquisición y Desarrollo de Sistemas de Información

No se debe confundir la actividad de control de accesos con autenticación, esta última tiene por misión identificar que verdaderamente “sea, quien dice ser”
. 
Control De Accesos
Un sistema de control de acceso es un conjunto de dispositivos interactuando entre sí que permite:
1.       Restringir la apertura de puertas o accesos mediante algún medio mecánico.
2.       Identificar al usuario de acuerdo con parámetros establecidos para determinar si el acceso es permitido o denegado.
3.       Registrar  y auditar los eventos de acceso por usuario y por puerta.
4.       Programar la autorización o desautorización del acceso relacionando a cada usuario.
5.       Permitir funciones adicionales de seguridad y funcionalidad.
Para cumplir con este propósito, este apartado lo hace a través de veinticinco controles, que los
agrupa de la siguiente forma:


     Requerimientos de negocio para el control de accesos:
La cual sugiere que debe existir una Política de Control de accesos documentada, periódicamente revisada y basada en los niveles de seguridad que determine el nivel de riesgo de cada activo.
  B. Administración de accesos de usuarios
Tiene como objetivo asegurar el correcto acceso y prevenir el no autorizado y, a través de cuatro controles, exige llevar un procedimiento de registro y revocación de usuarios, una adecuada administración de los privilegios y delas contraseñas de cada uno de ellos, realizando periódicas
Revisiones a intervalos regulares, empleando para todo ello procedimientos formalizados dentro de la organización.
 C. Responsabilidades de usuarios:
Todo usuario dentro de la organización debe tener documentadas sus obligaciones dentro de la seguridad de la información de la empresa.
D. Control de acceso a redes:
Todos los servicios de red deben ser susceptibles de medidas de control de acceso; para ello a través de siete controles, en este grupo se busca prevenir cualquier acceso no autorizado a los mismos.
Como primer medida establece que debe existir una política de uso de los servicios de red para que los usuarios, solo puedan acceder a los servicios específicamente autorizados.
 E. Control de acceso a sistemas operativos:
Se deberían utilizar las prestaciones de seguridad del sistema operativo para permitir el acceso exclusivo a los usuarios autorizados.
Las prestaciones deberían ser capaces de:
1) la autenticación de los usuarios autorizados, de acuerdo a la política de control de accesos definida;
2) registrar los intentos de autenticación correctos y fallidos del sistema;
3) registrar el uso de privilegios especiales del sistema;
4) emitir señales de alarma cuando se violan las políticas de seguridad del sistema;
5) disponer los recursos adecuados para la autenticación.
6) restringir los horarios de conexión de los usuarios cuando sea necesario.
F. Control de acceso a información y aplicaciones:
En este grupo, los dos controles que posee están dirigidos a prevenir el acceso no autorizado a la información mantenida en las aplicaciones. Propone redactar, dentro de la política de seguridad, las definiciones adecuadas para el control de acceso a las aplicaciones y a su vez el aislamiento de los sistemas sensibles del resto de la infraestructura.

Adquisición De Sistemas De Información Desarrollo y Mantenimiento Este grupo reúne dieciséis controles:
Requerimientos de seguridad de los sistemas de información
Incluye un solo control, plantea la necesidad de realizar un análisis de los requerimientos Que deben exigirse a los sistemas de información, desde el punto de vista de la seguridad para cumplir con las necesidades del negocio de cada empresa en particular, para poder garantizar que la seguridad sea una parte integral de los sistemas.
 Procesamiento correcto en aplicaciones:
 En este grupo se presentan cuatro controles, cuya misiones el correcto tratamiento de la información en las aplicaciones de la empresa. Para ello las medidas a adoptar son, validación en la entrada de datos, la implementación de controles internos en el procesamiento de la información para verificar o detectar cualquier corrupción de la información a través de los procesos, tanto por error como intencionalmente, la adopción de medidas para asegurar y proteger los mensajes de integridad delas aplicaciones.
Controles criptográficos:
Esto controles lo que buscan es proteger la integridad, confidencialidad y autenticidad de la información. En este caso, a través de dos controles, lo que propone es desarrollar una adecuada política de empleo de estos controles criptográficos y administrar las claves que se emplean de forma consciente.

Seguridad en los sistemas de archivos:
 Este grupo de tres controles, en definitiva lo que propone es el control de software operacional, test de esos datos y controlar el acceso al código fuente.

Seguridad en el desarrollo y soporte a procesos:
  Desarrollar un procedimiento de control de cambios.
  Realización de revisiones técnicas a las aplicaciones luego de realizar cualquier cambio, teniendo especial atención a las aplicaciones críticas.
  Documentar claramente las restricciones que se deben considerar en los cambios de paquetes de software.
  Implementación de medidas tendientes a evitar fugas de información.
  Supervisión y motorización de desarrollos de software externalizado.

Administración técnica de vulnerabilidades:

Este grupo que solo trata un solo control, lo que propone es adoptar medidas para estaral tanto de estos temas más “temprano” que “tarde”. Esta actividad, en la actualidad no requiere esfuerzos económicos si se pone interés en la misma, pero sí requiere mucho tiempo para poder consultar Webs especializadas o leer los mails que llegan si se está subscripto a grupos de noticias de seguridad, o buscar en Internet en foros, etc.

miércoles, 22 de abril de 2015

Gestión de Las Comunicaciones y Operaciones En La Seguridad Informatica

La gestión de comunicaciones y operaciones,  son la forma de como se administra y supervisa todo lo referente a  la actividad y comunicación de  la empresa, a  través del control de  la  información o servicio que se entrega dentro de ella.
Ejemplo:


 La gestión de las comunicaciones y operaciones es una sección de la norma ISO 17799 y considera

-Integrar los procedimientos de operación de la infraestructura tecnológica y de controles de seguridad documentados, que van desde el control de cambios en la configuración de los equipos, manejo de incidentes, administración de aceptación de sistemas, hasta el control de código malicioso


-Dar Respaldo de información, gestión de la seguridad de las redes, intercambio de información y monitoreo

Evita al máximo el riesgo de fallas en el sistema, incluido el hardware y software.

Objetivos:
-Determinar los requerimientos necesarios para garantizar el resguardo y protección de la información.
-Asegurar la correcta y segura operación de todos los elementos de procesamiento de la 

Procesos considerados en la G.C.O.

1-Procedimientos y responsabilidades operacionales.
2-Gestión de servicios de terceros.
3-Planificación y aceptación de sistemas.
4-Protección contra código malicioso.
5-Copias de seguridad.
6-Gestión de la seguridad de red.
7-Gestión de dispositivos de almacenamiento.
8-Control sobre el intercambio de información entre sociedades.
9-Control de los servicios de comercio electrónico.
10-Motorización de sistemas.


1-Procedimientos y responsabilidades operacionales
-Procedimientos que cubran todos los tipos potenciales de incidentes de seguridad (pérdidas de servicio, negación de servicio, datos incorrectos, brechas de confidencialidad.
-Procedimientos para Planes de Contingencia,adecuada implementacion para reducir el riesgo de negligencia o mal uso del sistema

2-Gestión de servicios de terceros
-Consiste en controlar y supervisar a personas o organizaciones que trabajan en conjunto con la empresa, que cumplan los mismos requisitos de seguridad para garantizar la protección de la información de la empresa.
-Manejar los cambios para asegurar que los servicios sean entregados para satisfacer todo los requerimientos acordados por la tercera persona 



3-Planificación y aceptación de sistemas.
Su objetivo es minimizar los riesgos de fallas en los sistemas.

-Se debe monitorear y proyectar los requerimientos de capacidad a fin de asegurar que hay disponible una adecuada capacidad de procesamiento y almacenamiento.

  4-Protección contra código malicioso

 Su objetivo es proteger la integridad del software y la información 

Controles contra software malicioso:
-Establecer la política prohibiendo el uso de software No autorizado
-instalación y actualización regular de antivirus y software escaneador de computadoras como medida preventiva 

5-Copias de seguridad.
su objetivo es mantener la integridad y disponibilidad de la información y los medios de procesamiento de información 
-crear una copia de seguridad o un back-up
-se deberían establecer los procedimientos de rutina para implementar la política de respaldo acordada y la estrategia para tomar copias de respaldo de la data y practicar su restauración repentina

6-Gestión de la seguridad de red.
Asegura la protección de la información en redes y la protección de la infraestructura de soporte  
-Los medios que no se ocupen más en la empresa deben ser desechados en forma segura
-Los administradores de la red deben implementar controles que aseguren a los datos en la red de acceso
no autorizados.

7-Gestión de dispositivos de almacenamiento.
-Se deben definir procedimientos para la protección de documentos, discos, cintas, bases de datos, etc., del robo o acceso no autorizado.-Los medios que no se ocupen más en la empresa deben ser desechados en forma segura.

8-Control sobre el intercambio de información entre sociedades.
Mantener la seguridad en el intercambio de información y software dentro de la organización y con cualquier otra entidad externa.
-Prevenir la pérdida, modificación o mal uso de la información intercambiada entre organizaciones.
-El correo electrónico presenta los siguientes riesgos:
-Vulnerabilidad de los mensajes o acceso no autorizado.
-Vulnerabilidad a errores (direcciones incorrectas).
-Cambio en los esquemas de comunicación (más personal).

9-Control de los servicios de comercio electrónico.
Asegurad la seguridad de los servicios de comercio electrónico y su uso seguro 
-Prevenir el robo o fraude que se puede dar en las transacciones comerciales a través de Internet.
-El comercio electrónico presenta los siguientes riesgos:
-Vulnerabilidad en las transacciones o acceso no autorizado.

10-Motorización de sistemas.
Los objetivos de una infraestructura de monitorización de sistemas informáticos son principalmente la prevención de incidencias y pérdida de información y conocer el aprovechamiento de los recursos TIC disponibles.