Los datos y la información son las herramientas que nos permiten realizar desde operaciones muy sencillas, como una compra en un supermercado, así como acciones complejas como tomar decisiones, motivo por el cual el cuidado de la información es una tarea imprescindible, sobre todo, cuando la información que se maneja es de vital importancia para el funcionamiento de una empresa u organización. Los Data Center se han convertido en los lugares más utilizados para el almacenamiento de información importante pues, sean propios o tercerizados, proveen servicios que facilitan al cliente el mantener la información segura y disponible constantemente. Sin embargo, no se cuenta con un mecanismo que permita a los clientes asegurar que su información es almacenada de la mejor manera. En este proyecto presentaremos la situación actual de los servicios de Data Center brindados en el país, demostrando la ausencia de una metodología que pueda ser usada para auditar los mismos y así poder asegurarle al cliente que el Data Center donde está depositando su información la tendrá adecuadamente almacenada y evitando que, de presentarse un riesgo, ésta pueda ser deteriorada o eliminada. De la misma forma, con las evidencias existentes se procederá al desarrollo de un conjunto de pasos que irán formando los procedimientos que faciliten la detección de las fallas de seguridad física y medio ambiental de los Data Center y que, a su vez, podrían afectar la continuidad de negocio. / Tesis

La investigación se realizó en Lima Metropolitana y la Provincia Constitucional del Callao entre 2008 y 2009, participaron las empresas industriales metalmecánicas seleccionadas, las variables fueron la Gestión de Riesgo en el Gobierno de TI y las ventajas competitivas obtenidas. Su propósito fue la de determinar el impacto del riesgo en el Gobierno de Tecnologías de Información y Comunicaciones (en adelante TIC) en la gestión empresarial en los procesos de las empresas industriales del sector metal mecánico durante el indicado periodo, fue necesario la definición de la Gestión de Riesgo en el Gobierno de TI, el Gobierno corporativo y determinar las ventajas competitivas obtenidas. El trabajo se justificó por que posee valor teórico, utilidad práctica, relevancia social, por su conveniencia y los beneficios que genera a las empresas. Se sustentó en las teorías administrativas y de sistemas, la investigación se aborda de acuerdo al tipo de estudio descriptivo-transversal no probabilístico, con un diseño de campo. La población fue de 30 empresas industriales metalmecánicos. Se empleó la observación y se aplicó una encuesta formada por 35 preguntas cerradas (algunos en escala de Lickert) validado por juicio de experto con una confiabilidad alfa de Crombach de 0.5. Los resultados fueron: Las características consideradas para cada perfil se agrupan entre sí, lo que implica que están bien establecidas para describir cada perfil. La actitud de las empresas frente al riesgo que representan los negocios confirma nuestra tesis. / The research was conducted in Lima and Callao between 2008 and 2009, industrial enterprises participated metalworking selected variables were the Management of Risk in Government IT and competitive advantage gained. Its purpose was to determine the impact of risk on the Government Information and Communications Technology (ICT) in business management in the industrial processes of the metal mechanic sector during the period indicated was necessary to define the Risk Management in IT governance, corporate governance and identify the competitive advantages gained. The work was justified because it has theoretical value, practical utility, social relevance, for its convenience and the benefits generated by businesses. Was based on management theories and systems, research is addressed according to the type of cross-sectional descriptive study non-probability, with a field design. The population was 30 industrial metalworking. We used observation and a survey was made up of 35 closed questions (some Lickert scale) validated by experts with a Cronbach’s alpha reliability of 0.5. The results: The characteristics measured for each profile are grouped together, which means that are well established to describe each profile. The attitude of companies address the risk posed by business confirms our thesis.

Se detallan las actividades para una correcta implementación del sistema de gestión de seguridad de la información, asimismo recalca la importancia de concienciar al personal en la importancia de salvaguardar la información que manejan en sus actividades laborales. El objetivo del presente trabajo es proteger la información en sus tres dimensiones: confidencialidad, integridad y disponibilidad mediante la implementación de una metodología de riesgos que permita identificar las amenazas que atenten contra la seguridad de la información en los procesos de TI de la organización GMD® que administra la plataforma tecnológica y mesa de ayuda de su cliente “ONP”. El presente trabajo es descriptiva aplicada y su diseño corresponde al experimental la población es conformada por 56 personas que son la totalidad de empleados que laboran en el proyecto, debido a su tamaño la muestra es la totalidad de personas, a saber 56 personas, las técnicas que se utilizan son las siguientes: encuestas, análisis documentario y auditorías. Como conclusión la hipótesis general muestra que el sistema de gestión de seguridad de la información ISO 27001:2013 permite salvaguardar la información de diversas amenazas mediante el cumplimiento de los objetivos de seguridad y el no contar con multas o penalidades por perdida de la información en los procesos de tecnología de la información (TI). / Tesis

El problema de comunicación anónima autentificada consiste en diseñar un protocolo que permita intercambiar mensajes entre un conjunto de participantes, de forma tal que cada emisor de un mensaje determina el destinatario de su mensaje y, una vez que se envía el mensaje, éste es efectivamente recibido por el destinatario determinado. La información que revela el protocolo en su ejecución debe mantener el anonimato, es decir debe ser tal que no permite a ningún adversario determinar información relacionada a las identidades de los participantes. El protocolo debe permitir a cada destinatario determinar con exactitud quién es el autor de cada mensaje que recibe, sin que esto contradiga el anonimato. Adicionalmente el protocolo debe mantener las garantías anteriores inclusive si es ejecutado en un ambiente concurrente, es decir es ejecutado con indeterminados otros protocolos. Las aplicaciones de la comunicación anónima autentificada son variadas. Por ejemplo es útil para diseñar sistemas de denuncia anónima de delitos donde adicionalmente se desea discriminar la información recibida según la identidad del que origina el mensaje. Esto puede ser útil si algunos informantes son más creíbles que otros. En este trabajo se plantea el problema de comunicación anónima autentificada y se muestra constructivamente la existencia de un protocolo que resuelve dicho problema. Para ello se estudian tópicos avanzados de Criptografía como Universal Compossability, Generalized Universal Composability, Anonimato, Desmentibilidad y las distintas primitivas criptográficas asociadas a dichos tópicos. Se definen rigurosamente las propiedades que debe tener un protocolo para resolver el problema planteado. Finalmente se diseña un protocolo eficiente para el cual se puede garantizar matemáticamente que satisface las propiedades necesarias para resolver el problema de comunicación anónima autentificada.

Actualmente, las empresas de consultoría de desarrollo de software cuentan con muchos retos propios de este tipo de negocio. Entre estos, destacan los relacionados a la seguridad de información, pues, debido al constante intercambio de información entre la empresa y sus clientes, aparecen riesgos potenciales que pueden comprometer el éxito e incluso la subsistencia de la organización. La solución planteada para este problema es un Sistema de Gestión de Seguridad de Información (SGSI), el cual cuenta con el estándar ISO 27001:2013 como marco formal de requisitos a cumplir. Este sistema permitirá que los directivos y demás involucrados gestionen y tomen decisiones adecuadas respecto a la seguridad de información de la organización, para asegurar que cuente con niveles adecuados respecto a la confidencialidad, integridad y disponibilidad de la información crítica que se maneja como parte de su operación. En este informe se especifican las cuatro fases cíclicas del SGSI: el establecimiento, donde las bases del sistema se integran a los procesos del negocio; la implementación, que desarrolla los mecanismos para la adecuada administración de la seguridad; el mantenimiento, donde se detectan fallos que pueden existir en la organización o en el propio sistema; y la mejora, que finalmente permite cerrar el ciclo mediante la aplicación de todas las correcciones y optimizaciones significativas que han sido detectadas. Este modelo permite que el sistema opere bajo un principio de mejora continua, que beneficia permanentemente a la organización, propiciando un manejo adecuado de la seguridad de su información.

En la actualidad la tecnología tiene un rol importante dentro de las organizaciones, independientemente del rubro y magnitud de la misma, lo cual ha ocasionado que éstas tengan una alta dependencia de las Tecnologías de Información. Lamentablemente, en muchos casos se carece de una adecuada gestión de las TI, y de esta manera se impide que las TI proporcionen un valor estratégico, y por el contrario puede llegar a ocasionar mayores complicaciones a la empresa, tal como es el incumplimiento de los objetivos de negocios, alta pérdida de dinero en las inversiones en TI, retrasos en la operatividad, entre otros. Las empresas administradoras de fondo de pensiones, no son ajenas a esta problemática, pues para realizar sus operaciones tienen una alta dependencia de la tecnología, lo cual ha llevado a que la Superintendencia de Banca, Seguros y AFP, exija el cumplimiento de dos circulares; una referente a la Gestión de la Seguridad de la Información y otra respecto a la Gestión de la Continuidad del Negocio. Dada la situación descrita, se ha propuesto diseñar un modelo de Gobierno de TI, utilizando el marco de trabajo COBIT 5, con enfoque en Seguridad de Información, tomando como caso de estudio una empresa de este rubro. Para este proyecto se ha desarrollado cada uno de los cinco pilares del Gobierno de TI (Alineación estratégica, entrega de valor, gestión de riesgos, gestión de los recursos y medición del desempeño) siguiendo las buenas prácticas de gobierno de TI de COBIT 5.

Las empresas se interrelacionan unas con otras a través del envío de información de carácter “confidencial” (en muchos casos), ello a efectos de que las partes tengan un conocimiento informado sobre la operación a concretar. Si bien por un lado se genera un conocimiento informado, por el otro, se podría estar generando riesgos legales en contra de la parte que suministra su propia información confidencial, toda vez que un tercero tendrá acceso a la misma y podrá utilizarla; el problema nace cuando dicha utilización se da con fines distintos a los que las partes inicialmente se representaron, pudiendo ocurrir que el tercero utilice dicha información para competir y sacar una ventaja comercial/económica respecto de la parte que suministró su información. En ese sentido, resulta importante generar resguardos que permitan mantener dicha información “confidencial” con absoluta reserva y que sea utilizada únicamente para el propósito por el cual se compartió. Bajo ese marco, surge la necesidad de que las partes antes de compartir su información confidencial suscriban acuerdos, contratos y/o convenios de confidencialidad que regulen de antemano, entre otros, (i) los alcances de la confidencialidad de la información, (ii) las limitaciones entorno al uso y acceso a la información confidencial, y (iii) el plazo por el cual sobrevivirán las obligaciones de confidencialidad respecto de la parte que recibió dicha información. A través de este instrumento legal las partes ya son conscientes de los derechos y obligaciones a su cargo; lo cual permite obtener algún nivel de seguridad, o en todo caso, por lo menos tener remedios jurídicos disponibles que se puedan aplicar a fin de salvaguardar la confidencialidad y/o resarcir el daño generado por el incumplimiento a las obligaciones de confidencialidad.

Los datos y la información son las herramientas que nos permiten realizar desde operaciones muy sencillas, como una compra en un supermercado, así como acciones complejas como tomar decisiones, motivo por el cual el cuidado de la información es una tarea imprescindible, sobre todo, cuando la información que se maneja es de vital importancia para el funcionamiento de una empresa u organización. Los Data Center se han convertido en los lugares más utilizados para el almacenamiento de información importante pues, sean propios o tercerizados, proveen servicios que facilitan al cliente el mantener la información segura y disponible constantemente. Sin embargo, no se cuenta con un mecanismo que permita a los clientes asegurar que su información es almacenada de la mejor manera. En este proyecto presentaremos la situación actual de los servicios de Data Center brindados en el país, demostrando la ausencia de una metodología que pueda ser usada para auditar los mismos y así poder asegurarle al cliente que el Data Center donde está depositando su información la tendrá adecuadamente almacenada y evitando que, de presentarse un riesgo, ésta pueda ser deteriorada o eliminada. De la misma forma, con las evidencias existentes se procederá al desarrollo de un conjunto de pasos que irán formando los procedimientos que faciliten la detección de las fallas de seguridad física y medio ambiental de los Data Center y que, a su vez, podrían afectar la continuidad de negocio.

Con la reciente publicación de la ley de protección de datos personales y la actualización de las dos (2) principales normas de la familia de la ISO 27000, se verifica la importancia de la información dentro de las organizaciones. En el caso de las empresas prestadoras de servicios de salud, el sector ha ido creciendo tras la necesidad de los clientes por contar con un servicio de excelencia para toda la familia y detección de enfermedades, por ello se crean nuevos programas para tener acceso a estos servicios, teniendo como consecuencia el incremento de datos e información. Por esa razón, se ven en la necesidad de incrementar y/o mejorar su infraestructura tecnológica para soportar sus procesos de negocio, mejorando la calidad y rapidez de sus servicios, integrando datos provistos por otras entidades y velando por la confidencialidad de la ellos de acuerdo al marco regulatorio al que están sujetas. No obstante, se debe garantizar el alineamiento estratégico y la correspondencia de esta tecnología con los objetivos de negocio que aseguren el retorno de la inversión. A partir de lo expuesto, se plantea una solución integrada que brinde un enfoque estratégico y comprometa a la Alta Dirección para que participe del cambio que conlleve a que las empresas logren sus objetivos de la mano de tecnología correctamente gestionada. Esta solución es diseñar un Gobierno de Tecnología de Información con enfoque a seguridad de información, velando por el cumplimiento de los cinco (5) pilares que son el alineamiento estratégico, la entrega de valor o retorno de inversión, medición del desempeño de TI, gestión de riesgos y gestión de recursos. Para el proyecto se empleará un marco de negocio mundialmente reconocido, COBIT 5.0, que brinda buenas prácticas para implementar esta solución dentro de cualquier organización según sea el contexto. Así mismo, integra una serie de marcos reconocidos y permite su uso desde una alta perspectiva de negocio y finalmente presentarse como una alternativa de solución ante una problemática generalizada a nivel estratégico y tecnológico en las empresas prestadoras de servicio de salud.

Próxima a su centenario de vida institucional y por el inminente crecimiento de la Comunidad Universitaria, la Pontificia Universidad Católica del Perú, “comunidad de maestros, alumnos y graduados dedicada a los fines esenciales de una institución universitaria católica” (Pontificia Universidad Católica del Perú, 2014) fundada el 1 de marzo de 1917, ha puesto en marcha planes estratégicos (de larga ejecución en el tiempo) para mantener y repotenciar su prestigio como primera universidad del Perú.