02 Políticas Administrativas Ambiente Controlado (4)

Clonación de Discos Duros de Cajeros Automáticos

Índice

1 Glosario

2 Políticas Administrativas

12 Flujograma

13 Anexo

Clonación de Discos Duros de Cajeros Automáticosen Ambiente Controlado

Glosario

Ambiente Controlado: espacio físico habilitado con las medidas de seguridad suficientes y debidamente acondicionado con el equipo de cómputo necesario, definida como área restringida en donde se realizará la clonación de discos duros para cajeros automáticos.

Bolsa de Sellado en Frío (bolsa de custodia): bolsa de plástico de seguridad con un sistema de cierre mediante una cinta adhesiva, que hace imposible abrir la bolsa sin dejar evidencia a simple vista.

Cajero Automático: máquina dispensadora de dinero mediante una tarjeta de plástico con banda magnética o chip (prepago, tarjeta de crédito o débito) y una clave secreta (PIN), sin necesidad de la participación de personal de un banco.

Clonación de Disco: es el proceso de copiar los contenidos del disco duro maestro de cajero automático a otro(s) disco(s) denominado(s) esclavo(s) totalmente vírgenes, creando una “imagen” idéntica del disco maestro.

Corporación T, S.A.: empresa de Corporación BI que cuenta con personal técnico para la preparación, configuración y atención de fallas técnicas y tecnológicas de cualquier componente de cajeros automáticos propiedad de Banco Industrial, S.A.

Disco Duro Maestro: es el disco duro de fábrica instalado en el cajero automático, que cuenta con sistema operativo certificado, íntegro y libre de amenazas para el buen funcionamiento del cajero automático.

Disco Duro o Disco Rígido (en inglés, Hard Disk Drive, HDD): es un dispositivo de almacenamiento de datos no volátil que emplea un sistema de grabación magnética para almacenar datos digitales.

Dock: es un duplicador de disco duro diseñado como estación de base de acoplamiento, utilizado para la clonación de discos sin necesidad de un ordenador (computadora), el cual es instalado en el ambiente controlado.

1



1. Propósito

El presente manual tiene por objeto normar el proceso de clonación de discos duros a realizarse en el ambiente controlado creado para dicho fin; estableciendo las responsabilidades mínimas que los funcionarios y/o personal involucrados en el mismo cumplirán; así como, la definición de controles dirigidos a mitigar los riesgos que afectan a dicho proceso.

2. Alcance

Las presentes políticas administrativas aplicarán desde la entrega de los discos duros maestros originales a la Subgerencia de Seguridad TI, hasta la entrega de los discos duros clonados al Técnico de Corporación T, S.A., para instalarlos en el cajero automático que corresponda.

3. Requisitos Relacionados Internos:

a) Manual de Políticas Administrativas para la “Seguridad de Sistemas de Información”, BI-40

b) Manual de Políticas Administrativas para la “Seguridad de la Información de Corporación BI”, BI-43

c) Manual de Políticas Administrativas para la “Aplicación de Sanciones al Personal de las Empresas de Corporación BI”, BI-22

4. Políticas Administrativas

POLÍTICAS GENERALES

1. La Gerencia División Tecnología habilitará un ambiente controlado para la clonación de discos duros de cajeros automáticos y resguardo de discos duros maestros. Dicho lugar estará debidamente acondicionado con el equipo de cómputo necesario y con las medidas de seguridad adecuadas para catalogarlo como área de ambiente controlado; asimismo, contará como mínimo con las siguientes características:

a) Equipo de cómputo necesario

b) Software para la configuración de los discos duros

2


c) Personal especializado para realizar la clonación y/o configuración de los discos duros (Técnico de Corporación T, S.A.)

d) Circuito cerrado de televisión

e) Sistema de alarma

f) Aire acondicionado

g) Línea telefónica sin acceso para llamadas externas y cualquier otra medida de seguridad necesaria

h) Equipo contra incendio

i) Control de ingreso mediante sistema biométrico (huella digital)

j) Acceso restringido a personal no autorizado

Nota:Los requerimientos indicados en la presente política administrativa se instalarán conforme se vaya acondicionando dicha Área.

2. La Gerencia División Tecnología, Oficial de Seguridad TI y Subgerencia de Seguridad Corporativa velarán por mantener un adecuado sistema de seguridad del ambiente controlado, del equipo de cómputo y del software utilizado para la clonación de discos duros de cajeros automáticos, entre las medidas de seguridad a considerar se encuentran las siguientes:

a) Equipo de cómputo sin puertos o cualquier otro medio de extracción de información

b) Software para realizar la clonación de discos con licenciamiento adecuado y vigente

c) Antivirus actualizado

d) Configuración para que los usuarios realicen únicamente la clonación de los discos duros y con restricciones que eviten realizar cualquier otra operación no autorizada

e) Otras medidas de seguridad que consideren necesarias, las cuales quedarán por escrito

3. Las actividades El en el ambiente controlado estará bajo la administración de la Gerencia División Tecnologíade Corporación T, S.A, quien delegará a un Funcionario o personal que tendrá el control de dicha Área, cubriendo como mínimo los aspectos siguientes:

a) Mantener el control de las actividades que se realicen en el ambiente controlado, (de clonación de discos, extracción de EDC´s, pruebas de imágenes, mantenimientos y otros que la Gerencia División Tecnología asigne)

b) Conocer los distintos modelos de cajeros automáticos que tiene instalado Banco Industrial, S.A., y las imágenes adecuadas para cada tipo

c) Mantener en existencia suficientes discos duros vírgenes para atender la demanda

3


d) Gestionar las actualizaciones de versiones del software instalado en las imágenes de discos, según las necesidades

e) Mantener actualizado el inventario de discos duros maestros en existenciaexistentes resguardados en el cofre, con la información siguiente: entradas, salidas y saldo al día

f) Supervisar las actividades que realice el personal a cargo de clonar los discos duros

g) Otras actividades designadas por la Gerencia División Tecnología

4. La Subgerencia de Seguridad Corporativa a través del Área de Monitoreo instalada en oficinas centrales de Banco Industrial, S.A., es responsable de monitorear las cámaras de circuito cerrado de televisión instalado en el ambiente controlado.

Notas:I. Las acciones o situaciones que se detecten a través del monitoreo del ambiente

controlado serán reportadas inmediatamente a las Subgerencia de Seguridad Corporativaunidades correspondientes y Contraloría, a efecto que se tomen las medidas administrativas necesarias.

II. En el caso de un suceso o evento en el área de ambiente controlado la Subgerencia de Seguridad Corporativa investigará en el momento por medio del circuito cerrado.

5. En el caso que los dispositivos perimetrales de seguridad instalados en el ambiente controlado queden deshabilitados por diversas razones (fallas, daños, mantenimiento, etc.), la Subgerencia de Seguridad Corporativa se hará cargo de la seguridad de dicha área, para el efecto mantendrá resguardada en un cofre de seguridad la llave de la puerta de ingreso en sobre debidamente lacrado, el cual servirá cuando se requiera la apertura de la puerta del ambiente controlado.

6. Es responsabilidad del Técnico que designe la Gerencia de División TecnologíaCorporación T, S.A. de Mantener cerrada la puerta del área de ambiente controlado.

7. Durante la clonación de disco duro queda terminantemente prohibido que los técnicos acepten llamadas telefónicas para apoyar con soporte. (reestructurar el punto de manera de que no se vea como una prohibición, ya que colocando prohibiciones se tendrían que enlistar “lista de prohibiciones”en todo el documento).

8. El instructivo “Atención de fallas y soporte para imágenes de cajeros” PA029-14 (Anexo 1) podrá ser actualizado siempre y cuando las áreas que intervienen en dicho procedimiento estén de acuerdo con la actualización, consignando en el mismo la firma en señal de aprobación.

9. Las situaciones no contempladas en el presente manual serán acordadas entre la Gerencia de Corporación T, S.A. y/o Gerencia de División Tecnología y Contraloría (revisar si podemos ser incluidos dentro de esta decisión).

4


CERTIFICACIÓN DE DISCOS DUROS MAESTROS

10. Es responsabilidad del Subgerente de Seguridad TI en coordinación con eldel Jefe de la Unidad de Cajeros Automáticos realizar coordinar las pruebas técnicas técnicas de funcionalidad a los nuevos y operativas a los discos duros maestros que se reciban del proveedor y realizar las pruebas a nivel de servicio, a efecto de comprobar que los mismos funcionan correctamente, caso contrario el Subgerente de Seguridad TIJefe de la Unidad de Cajeros Automáticos solicitará al proveedor la solución de los problemas que presenten dichos discos duros.

11. Sin excepción alguna Lla Subgrerencia de Seguridad TI coordinará las pruebas de certificación de los discos duros maestros a nivel de seguridad. Dichas pruebase se realizarán se realizará después de efectuadas satisfactoriamente la pruebas técnicas y de de funcionalidad a nivel de servicio, dicha actividad estará a cargo de una empresa externa de consultoría en seguridad TI contratada por Banco Industrial, S.A. La Subgerencia de Seguridad TI coordinará las actividades que realice la empresa externa de consultoría en seguridad TI para la verificación o análisis de los discos duros maestros recibidos, para comprobar que los mismos cuenten con las medidas de seguridad adecuadas y que carezcan de virus o programas maliciosos, entre otros.

Nota:La empresa contratada para realizar la certificación de los discos duros estará a cargo del Oficial La Subgerencia de Seguridad TI y definirán de manera conjunta el patrónla metodología a utilizar en el proceso de certificación.

12. Previo a la certificación de discos duros maestros las áreas de involucradas Unidad de Cajeros Automáticos y Seguridad TI emitirán una certificaciónun documento de certificación, donde se haga constar que realizó se realizaron las pruebas de conformidad respectivas de la imagen del disco duro maestro.

13. Por cada disco duro maestro original verificado y/o analizado, la empresa contratada emitirá una certificación del trabajo realizado, la cual consignará firma del Subgerente de Seguridad TI y de los responsables que participaron en la verificación; así como, la siguiente información de los discos duros: (integrar este punto con el punto 12)

a) Marca

b) Número de serie

c) Versión de Sistema Operativo y versión de Agilis (sistema para funcionalidad del cajero automático)

d) Fecha de Ingreso / Retiro

Nota:

5


Los discos duros maestros originales se empacaran en bolsas de seguridad de sellado en frío y consignarán la información siguiente: Tipo de disco duro, número de serie, versión u otra información que consideren importante.

COPIA DE DISCO DURO MAESTRO

14. Es responsabilidad del Subgerente de Seguridad TI o del personal que designe, proporcionar a Contraloría el disco duro maestro (original) para que juntamente con el Técnico de Corporación T, S.A., realicen el proceso de clonación y obtengan una copia de la imagen del disco duro maestro, la cual será resguardada por Contraloría en el cofre de seguridad asignado para tal efecto. Asimismo, devolverá el disco duro maestro (original) a la Subgerencia de Seguridad TI para su resguardo en cajillas de seguridad.

Nota:La copia del disco duro maestro servirá para realizar las copias o clonaciones de discos duros para cajeros automáticos.

15. Al momento de realizarse la clonación del disco duro maestro (original) las partes involucradas personal de Corporación T, S.A. y Contraloría estarán presente en el área de ambiente controlado y así observar que se realice de manera correctarrealice y complete el proceso de clonación. Al finalizar contraloría elaborará acta, la cual será firmada por el personal que participo en la clonación.

Nota:El Área de Seguridad TI hará del conocimiento de la clonación a las áreas involucradas mínimo con un día de anticipación a realizarse dicha actividad. (esta nota no es necesaria, la constancia queda en el acta de Contralor).

16. Por ningún motivo se podrán realizar ningún tipo de modificación al software ni a la configuración de la copia del disco duro maestro, más que las actualizaciones del antivirus o nuevas versiones del software proporcionados por el proveedor. (replantear este punto, ya que las firmas de virus si se pueden modificar en una imagen master copia).

17. El personal de la Subgerencia de Seguridad TI, personal de Seguridad de la Información y personal de la Unidad de Cajeros AutomáticosLa Gerencia de Corporación T, S.A. coordinará realizar al menos, realizarán cada dos seis meses, las pruebas de funcionalidad de la última versión de los discos duros maestros de cajeros automáticos por tipo de procesador resguardados en cajillas de seguridad; asimismo, en los casos que detectarán deficiencias de funcionalidad solicitarán nuevamente la certificación generación de dichos nuevos discos maestros. (llamar anexo 1 “Soporte y atención de fallas para cajeros” donde se desctibe las actividades para el retiro de imágenes maestras resguardas en cajillas de seguridad).

Nota:Previo a realizar las pruebas de funcionalidad a los discos duros maestros se realizará una programación, con el objetivo de que las pruebas se realicen en una semana. (replantear

6


esta nota y llamar al procedimiento “Soporte y atención de fallas para Cajeros Automáticos” donde se detallan las actividades.)

RESGUARDO DE DISCOS DUROS MAESTROS

18. Es responsabilidad de la Gerencia División Tecnología mantener en resguardo los discos duros maestros originales (certificados) en cajilla(s) de seguridad contratada(s) por la Gerencia División Tecnología, a las que tendrán acceso únicamente el Asistente de Gerencia División Tecnología y Funcionario Delegado de Contraloría mediante firmas registradas.

19. El funcionario del área de Seguridad de Información, coordinará el resguardo y egreso de los discos duros maestros originales de las cajillas de seguridad con base al instructivo descrito en el Anexo 1.

20. El control de los discos duros maestros originales (certificados) resguardados en la(s) cajilla(s) de seguridad estará a cargo de la Subgerencia de Seguridad TI, para el efecto contarán con un registro auxiliar que consigne como mínimo la información siguiente:

a) Tipo de disco duro

b) Número de serie

c) Capacidad

d) Versión

e) Control de entradas, salidas y existencia

f) Otros

RESGUARDO DE LAS COPIAS DE DISCOS DUROS MAESTROS A UTILIZARSE EN LA CLONACIÓN

21. Contraloría tendrá a su cargo el resguardo de las copias de discos duros maestros certificados a utilizarse en la clonación de discos para cajeros automáticos, los cuales quedarán en un cofre de seguridad asignado para el efecto e instalado en el ambiente controlado; asimismo, mantendrá actualizado un registro auxiliar con la información indicada en la política administrativa anterior para el control de las copias de discos duros resguardados.

Nota:El cofre de seguridad será abierto únicamente por un Delegado de Contraloría, con las claves y/o llaves asignadas.

INGRESO AL AMBIENTE CONTROLADO

7


22. Los Delegados de Contraloría y los Delegados de Corporación T, S.A., tendrán acceso al ambiente controlado siempre y cuando el ingreso esté programado y el caso de que sea necesario el ingreso sin previa programación, se enviará un correo electrónico al coordinador de cada área, para el efecto dichas Áreas designarán como mínimo a dos Delegados; los Delegados de Contraloría registrarán su huella digital en el dispositivo de seguridad instalado en el ambiente controlado.

Nota:Cuando se realicen cambios de los Delegados para ingresar al ambiente controlado, solicitarán por escrito a la Subgerencia de Seguridad Corporativa realizar las modificaciones que sean necesarias, para cumplir con lo descrito en la presente política administrativa.

23. La Subgerencia de Seguridad Corporativa en coordinación con el proveedor del dispositivo de seguridad instalado en el ambiente controlado, grabarán la huella digital de los Delegados de Contraloría, para que puedan abrir la puerta de dicha Área y que su ingreso quede registrado.

24. Es responsabilidad del Subgerente de Soporte y Electrónica de Corporación T, S.A., designar de forma semanal a los Técnicos que tendrán bajo su cargo la clonación de los discos duros de cajeros automáticos; asimismo, informará por escrito a Contraloría los nombres completos, número de antigüedad y corporativo de dicho personal; así como, el número de teléfono celular y de extensión para su fácil localización.

25. El Delegado de Contraloría cada vez que ingrese al ambiente controlado registrará su huella digital en el dispositivo de seguridad instalado en dicha Área; asimismo, el delegado de Contraloría y de Corporación T, S.A., registrarán su ingreso anotándose en un registro auxiliar con la información siguiente:

a) Nombre completo

b) Número de antigüedad y/o corporativo

c) Fecha de ingreso

d) Hora de ingreso y egreso de dicha Área

e) Firma

Notas:I. El ingreso al ambiente controlado de personal distinto al indicado en la presente

política administrativa, será únicamente con autorización del Encargado de Contraloría o Gerente de Corporación T, S.A., y se registrarán sin excepción en el registro auxiliar para el control de ingreso y egreso a dicha Área.

II. El registro auxiliar se mantendrá en el área de ambiente controlado y será revisado por él funcionario que designe el Subgerente de Seguridad Corporativa. (el funcionario autorizado para resguardar este registro es el Delegado de Contraloría).

8


CLONACIÓN DE DISCOS DUROS A SER INSTALADOS EN CAJEROS AUTOMÁTICOS

26. La clonación de discos duros de cajeros automáticos se realizará únicamente en el ambiente controlado en horario de 9:30 a 11:30 horas.

Nota:En los casos que se requiera la clonación de discos duros fuera del horario establecido en la presente política administrativa, la misma será coordinada entre la Subgerencia de Soporte y Electrónica de Corporación T, S.A. y/o Contraloría.

27. La Subgerencia de Soporte y Electrónica de Corporación T, S.A., es responsable de elaborar una programación de los discos duros a clonar, la cual será proporcionada a Contraloría, a más tardar al día hábil anterior a la clonación de los discos duros., asimismo elaborara un listado detallando como mínimo la siguiente información:

a) Número del cajero

b) Nombre del cajero

c) Número de Serié

d) Imagen

e) Número de IP

28. El Técnico de Corporación T, S.A.La Subgerencia de Soporte y Eltrcónica de Corporación T,S.A. coordinará, se comunicará con el Delegado de Contraloría para coordinarse el ingreso al ambiente controlado para realizar el proceso de clonación de discos duros; asimismo, ambos se reunirán e ingresaran sin excepción al mismo tiempo.

29. El Delegado de Contraloría abrirá el cofre de seguridad asignado para el resguardo de las copias de los discos duros maestros de cajeros automáticos y proporcionará únicamente los discos duros que requiera el Técnico de Corporación T, S.A., para efectuar la clonación respectiva.

30. El Técnico de Corporación T, S.A., procederá a clonar los discos de acuerdo al instructivo denominado “Atención de fallas y soporte para imágenes de cajeros” (Ver Anexo 1).

31. Al finalizar la clonación de discos duros, el Técnico de Corporación T, S.A., devolverá las copias de los discos duros maestros al Delegado de Contraloría, quien verificará previo a resguardar los mismos en el cofre de seguridad asignado, que dichos discos sean efectivamente los entregados inicialmente.

32. Es responsabilidad del Técnico de Corporación T, S.A., empacar los discos duros clonados en bolsas de sellado en frio, identificarlos con el número de cajero automático correspondiente, el tipo de disco duro, número de serie del mismo y otra información que se considere necesaria.

9


33. El Delegado de Contraloría estará presente durante todo el proceso de clonación de discos duros, y reportará cualquier situación inusual o de incumplimiento al procedimiento establecido para la clonación o creación de imágenes. Asimismo, dejará constancia del proceso realizado en acta (Ver Anexo 2), y solicitará al Técnico de Corporación T, S.A., su firma en la misma.

34. El Técnico de Corporación T, S.A., y el Delegado de Contraloría abandonarán el ambiente controlado de manera conjunta, dejando constancia en los registros implementados. (integrar este punto con el punto 33).

UTILIZACIÓN DE LOS DISCOS DUROS CLONADOS

35. Es responsabilidad del Técnico de Corporación T, S.A., entregar los discos duros clonados al Subgerente de Soporte y Electrónica de Corporación T, S.A., quien verificará que estén debidamente empacados en las bolsas de sellado en frio y que no presenten alteración alguna, caso contrario documentará dicha situación e informará a Contraloría para que inicie una investigación al respecto.

36. Es responsabilidad del Subgerente de Soporte y Electrónica de Corporación T, S.A., resguardar temporalmente los discos duros clonados de cajeros automáticos en cofre de seguridad hasta que se realice la distribución de los mismos a los Técnicos a su cargo, de acuerdo a la programación y/o asignación correspondiente. De los discos duros clonados que mantenga en resguardo mantendrá un control auxiliar, el cual evidencie la cantidad y generalidades de los discos duros en resguardo y la recepción y entrega de los mismos.

37. Queda terminantemente prohibido instalar un disco duro clonado en un cajero automático distinto al programado o asignado en la clonación. (replantear este punto y dar a entender que el disco debe ser instalado en el cajero asignado, pero no como prohibición).

REUTILIZACIÓN DE DISCOS DUROS DE CAJEROS AUTOMÁTICOS

38. La Subgerencia de Soporte y Electrónica de Corporación T, S.A., podrá reutilizar los discos duros extraídos de cajeros automáticos, para el efecto procederá a evaluar la vida útil de los mismos y los que se encuentren en buenas condiciones serán formateados para que queden listos y agregarles las imágenes de los discos duros maestros que correspondan.

39. Es responsabilidad de la Subgerencia de Soporte y Electrónica de Corporación T, S.A., llevar un inventario de los discos duros extraídos de cajeros automáticos.

RECUPERACIÓN DE DISCOS DUROS MAESTROS DE CAJEROS AUTOMÁTICOS

10


40. Las actividades que conlleva el proceso de recuperación de discos duros maestros de cajeros automáticos por fallas en imagen maestra copia, se realizará con base al instructivo denominado “Atención de fallas y soporte para imágenes de cajeros” que se describe en el Anexo 1.

EXTRACCIÓN DE EDC´S

41. El proceso para la extracción de EDC´S se realizará de acuerdo a las actividades descritas en el instructivo denominado “Atención de fallas y soporte para imágenes de cajeros”, descritas en el Anexo 1.

42. Queda terminantemente prohibido La actividad de extracción de EDC será realizada por un técnico distinto al que realizar extracción de EDC´S por el mismo Técnico que estaeste realizando la clonando los discos duros.

Nombre Departamento Firma

Revisado / Aprobado por

Juan Carlos Martínez Noack

Gerente División Tecnología

Josué Misael Pérez Seguridad de la Información

Willian Ramos Seguridad de la Información

Enrique Mendoza Subgerencia de Seguridad Corporativa

Sergio Reyes Unidad de Cajeros Automáticos

Carlos Valdes Gerencia Corporación T, S.A.

Sergio Melgar López

Seguridad TI

Hector García Valdes

Cajeros Automáticos Corporación T, S.A.

11


Juan Carlos Beltranena

Fuentes

Subgerencia de Soporte Electrónica

Carlos Alberto Cuellar

Auditoría de Sistemas

Joseliene Aguilar Administración de Riesgos

Cesar Villela Inteligencia de Procesos

Wilfredo Sandoval Contraloría

Juan Carlos Velásquez

Contraloría

Fecha de emisión

28/08/2014

12

02 Políticas Administrativas Ambiente Controlado (4)

Documents

Transcript of 02 Políticas Administrativas Ambiente Controlado (4)