Lista de comprobación de ciberseguridad

• Departamento

• Fecha y hora de la inspección

  Date

• Personal de TI (nombre completo)

PERSONAL

• ¿Su personal usa tarjetas de identificación?

  Sí

  No

  NA

• ¿Una foto actual es parte de la tarjeta de identificación?

  Sí

  No

  NA

• ¿Están identificados en la tarjeta los niveles y tipos de acceso autorizados (empleado, contratista, visitante)?

  Sí

  No

  NA

• ¿Verifica las credenciales de los contratistas externos?

  Sí

  No

  NA

• ¿Tiene políticas que aborden la verificación de los antecedentes de empleados y contratistas?

  Sí

  No

  NA

• ¿Cuenta con un proceso para impedir efectivamente el acceso a las instalaciones y los sistemas de información cuando un empleado/contratista finaliza su relación laboral?

  Sí

  No

  NA

SEGURIDAD FÍSICA

• ¿Cuenta con políticas y procedimientos que aborden la autorización y la limitación del acceso físico no autorizado a los sistemas de información electrónicos y a las instalaciones en las que están alojados?

  Sí

  No

  NA

• ¿Sus políticas y procedimientos especifican los métodos utilizados para controlar el acceso físico a las áreas seguras, como cerraduras de puertas, sistemas de control de acceso, guardias de seguridad o supervisión por video?

  Sí

  No

  NA

• ¿Está controlado el acceso a su área de computadoras (punto único, mostrador de recepción o seguridad, registro de entrada/salida, pases temporales/de visitante)?

  Sí

  No

  NA

• ¿Los visitantes son escoltados al entrar y salir de las áreas controladas?

  Sí

  No

  NA

• ¿Sus PC son inaccesibles para usuarios no autorizados (p. ej., ubicados lejos de áreas públicas)?

  Sí

  No

  NA

• ¿Su área de computadoras y el equipamiento están protegidos físicamente?

  Sí

  No

  NA

• ¿Existen procedimientos para evitar que las computadoras se queden en un estado de inicio de sesión, aunque sea brevemente?

  Sí

  No

  NA

• ¿Las pantallas se bloquean automáticamente después de 10 minutos inactivas?

  Sí

  No

  NA

• ¿Están configurados los módems en modo Respuesta Automática OFF (para no aceptar llamadas entrantes)?

  Sí

  No

  NA

• ¿Cuenta con procedimientos para proteger los datos durante las reparaciones de los equipos?

  Sí

  No

  NA

• ¿Tiene políticas que aborden la seguridad de las computadoras portátiles (por ejemplo, bloqueo de cable o almacenamiento seguro)?

  Sí

  No

  NA

• ¿Tiene un plan de evacuación de emergencia y está actualizado?

  Sí

  No

  NA

• ¿Su plan identifica áreas e instalaciones que necesitan ser selladas inmediatamente en caso de una emergencia?

  Sí

  No

  NA

• ¿El personal clave sabe qué áreas e instalaciones deben sellarse y cómo?

  Sí

  No

  NA

GESTIÓN DE CUENTAS Y CONTRASEÑAS

• ¿Cuenta con políticas y estándares que cubran la autenticación electrónica, la autorización y el control del acceso del personal y los recursos a sus sistemas de información, aplicaciones y datos?

  Sí

  No

  NA

• ¿Se asegura de que solo el personal autorizado tenga acceso a sus computadoras?

  Sí

  No

  NA

• ¿Usted hace requerir y cumplir con el método de contraseñas apropiadas?

  Sí

  No

  NA

• ¿Son seguras sus contraseñas (no son fáciles de adivinar, se cambian regularmente, no se usan contraseñas temporales o predeterminadas)?

  Sí

  No

  NA

• ¿Están sus computadoras configuradas para que otros no puedan ver al personal introduciendo las contraseñas?

  Sí

  No

  NA

CONFIDENCIALIDAD DE DATOS DELICADOS

• ¿Clasifica sus datos, identificando datos confidenciales versus no confidenciales?

  Sí

  No

  NA

• ¿Está ejerciendo responsabilidades para proteger los datos confidenciales bajo su control?

  Sí

  No

  NA

• ¿Los datos más valiosos o confidenciales están encriptados?

  Sí

  No

  NA

• ¿Tiene una política para identificar la retención de información (tanto en copias impresas como electrónicas)?

  Sí

  No

  NA

• ¿Cuenta con procedimientos para manejar la información de tarjetas de crédito?

  Sí

  No

  NA

• ¿Cuenta con procedimientos que aborden el manejo de información personal privada?

  Sí

  No

  NA

• ¿Existe un proceso para crear copias de seguridad recuperables y copias de archivos con información crítica?

  Sí

  No

  NA

• ¿Cuenta con procedimientos para la eliminación de material de desecho?

  Sí

  No

  NA

• ¿El papel usado se tira a la basura o se tritura?

  Sí

  No

  NA

• ¿Su papelera para papel triturado está cerrada en todo momento?

  Sí

  No

  NA

• ¿Sus políticas para desechar equipos informáticos antiguos protegen contra la pérdida de datos (p. ej., mediante la lectura de discos duros antiguos)?

  Sí

  No

  NA

• ¿Sus procedimientos de eliminación identifican tecnologías y métodos apropiados para hacer que el hardware y los archivos multimedia electrónicos queden inutilizables e inaccesibles (como la trituración de CD y DVD, la limpieza electrónica de las unidades, quemar cintas, etc.)?

  Sí

  No

  NA

RECUPERACIÓN DE DESASTRES

• ¿Cuenta con un plan de continuidad comercial vigente?

  Sí

  No

  NA

• ¿Existe un proceso para crear copias de seguridad recuperables y copias de archivos con información crítica?

  Sí

  No

  NA

• ¿Cuenta con un plan de comunicaciones para la gestión de emergencias/incidentes?

  Sí

  No

  NA

• ¿Tiene un procedimiento para notificar a las autoridades en caso de un desastre o incidente de seguridad?

  Sí

  No

  NA

• ¿Su procedimiento identifica a quién se debe contactar, incluida la información de contacto?

  Sí

  No

  NA

• ¿La información de contacto está ordenada e identificada por tipo de incidente?

  Sí

  No

  NA

• ¿Su procedimiento identifica quién debe hacer los contactos?

  Sí

  No

  NA

• ¿Ha identificado quién hablará con la prensa/público en caso de emergencia o incidente?

  Sí

  No

  NA

• ¿Su plan de comunicaciones aborda las comunicaciones internas con sus empleados y sus familias?

  Sí

  No

  NA

• ¿Los procedimientos de emergencia pueden ser implementados adecuadamente, según sea necesario, por las personas responsables?

  Sí

  No

  NA

CONCIENCIA SOBRE SEGURIDAD

• ¿Está proporcionando información sobre seguridad informática a su personal?

  Sí

  No

  NA

• ¿Proporciona capacitación de manera regular y recurrente?

  Sí

  No

  NA

• ¿Se enseña a los empleados a estar alerta ante posibles violaciones de seguridad?

  Sí

  No

  NA

• ¿Se enseña a sus empleados a tener contraseñas seguras?

  Sí

  No

  NA

• ¿Sus empleados pueden identificar y proteger datos clasificados, incluidos documentos en papel, archivos multimedia extraíbles y documentos electrónicos?

  Sí

  No

  NA

• ¿Su plan de concientización y educación enseña métodos adecuados para administrar datos de tarjetas de crédito (estándares PCI) e información privada personal (números de seguridad social, nombres, direcciones, números de teléfono, etc.)?

  Sí

  No

  NA

CUMPLIMIENTO

• ¿Comprueba y revisa sus documentos de seguridad, tales como: políticas, estándares, procedimientos y directrices, de forma regular?

  Sí

  No

  NA

• ¿Audita sus procesos y procedimientos para verificar el cumplimiento de las políticas y estándares establecidos?

  Sí

  No

  NA

• ¿Prueba sus planes contra desastres regularmente?

  Sí

  No

  NA

• ¿La gerencia revisa periódicamente las listas de personas con acceso físico a instalaciones confidenciales o acceso electrónico a los sistemas de información?

  Sí

  No

  NA

FINALIZACIÓN

• Recomendaciones generales

• Personal de TI (nombre y firma)

  Sign