Diseño de un modelo de seguridad de la información, basado en OSSTMMV3, NIST SP 800-30 E ISO 27001, para centros de educación: caso de estudio Universidad Regional Autónoma de los Andes, extensión Tulcán

Abstract

En la actualidad existen diferentes modelos de seguridad de la información que pueden ser utilizados por instituciones o empresas, éstos sirven para precautelar la información delicada de personas ajenas que quieran apoderarse de estos datos y hacer un uso indebido o sacar ganancia de los mismos. El objetivo del presente trabajo es determinar las mejores políticas de seguridad que serán utilizadas de acuerdo a la necesidad de la institución, tomando en cuenta que no todas tienen las mismas necesidades para el envío de la información dentro de su red de datos. El presente proyecto trata sobre la realización de un modelo de seguridad de la información para la Universidad Regional Autónoma de los Andes, extensión Tulcán, basada en los modelos de seguridad de la información, como son: OSSTMMv3 (Open Source Security Testing Methodology Manual versión 3), NIST 800-30 (National Institute of Standards and Technology) y el estándar ISO 27001. Luego, se realizaron encuestas a los usuarios de la red de información (estudiantes, docentes, personal administrativo y responsables de TI), de la UNIANDES, extensión Tulcán, para corroborar el estado de las mismas y de acuerdo a ello poder aplicar un modelo adecuado que mejore la situación de la seguridad de sus datos. El modelo cubre las políticas de seguridad e implementación de controles, identificación de activos y evaluación del plan de seguridad. El estudio realizado demostró que un modelo de seguridad es la presentación formal de un estándar, que conlleva un conjunto de reglas y prácticas que regulan cómo se maneja, protege y distribuye la información de una institución, especialmente los datos delicados. Del trabajo realizado se pudo concluir que existe un manejo inadecuado de usuarios y contraseñas, no utilizan restricciones en los sitios web que visitan los estudiantes, incidentes con la información académica de los estudiantes e inconsistencias en la administración de la plataforma virtual. Se puede decir que el panorama actual es de una red insegura que no resistiría un ataque planificado, por lo que sería adecuado implementar los modelos de seguridad citados anteriormente.