GESTIÓN DE RIESGOS DE SEGURIDAD DE LA INFORMACIÓN – BIBLIOTECA “SAN FRANCISCO DE ASÍS” – PIURA by YONATHAN RAFAEL HIDALGO YANGUA https://padlet.com/yhidalgoy1/4d5uam1ue6d0u5dk en-us 2025-09-17 01:33:32 UTC 2025-09-17 01:51:27 UTC hello@padlet.com fgutierrezcr1 https://padlet.com/yhidalgoy1/4d5uam1ue6d0u5dk/wish/3588718294 Se identifican los activos que soportan los servicios de la biblioteca y que contienen información personal o crítica:

  • Catálogo digital (metadatos, disponibilidad de ejemplares).

  • Base de datos de usuarios (nombres, DNI, dirección, correo, historial de préstamos).

  • Sistema de gestión bibliotecaria (software de préstamos/devoluciones, registros de sanciones).

  • Correo institucional y credenciales de personal.

  • Red Wi-Fi (SSID públicos y administrativos).

  • Equipos: PCs de consulta pública, PCs administrativas y servidores/NAS.

  • Registros de pagos y membresías (información financiera mínima).

]]> 2025-09-17 01:36:29 UTC https://padlet.com/yhidalgoy1/4d5uam1ue6d0u5dk/wish/3588718294 fgutierrezcr1 https://padlet.com/yhidalgoy1/4d5uam1ue6d0u5dk/wish/3588719792 Entre las amenazas que afectan a bibliotecas y organizaciones pequeñas se destacan:

  • Ransomware / cifrado de datos.

  • Phishing y robo de credenciales.

  • Fuga de información por dispositivos extraíbles o envíos de correo no autorizados.

  • Acceso no autorizado a la red Wi-Fi (intrusión).

  • Corte eléctrico o fallo de hardware (pérdida de servicio).

  • Robo o sustracción física de equipos.

  • Error humano (borrado o modificación accidental).

]]> 2025-09-17 01:37:15 UTC https://padlet.com/yhidalgoy1/4d5uam1ue6d0u5dk/wish/3588719792 fgutierrezcr1 https://padlet.com/yhidalgoy1/4d5uam1ue6d0u5dk/wish/3588721304

  • Ausencia de copias de seguridad verificadas y offline.

  • Equipos con contraseñas débiles o sin cifrado de disco.

  • Red Wi-Fi sin separación (único SSID) y contraseñas fácilmente compartidas.

  • Falta de UPS o redundancia para el servidor/sistema de gestión.

  • PCs de uso público sin perfiles restringidos o sin control de software.

  • Personal sin formación específica en ciberseguridad ni procedimientos de respuesta.

    • ]]>     2025-09-17 01:37:55 UTC https://padlet.com/yhidalgoy1/4d5uam1ue6d0u5dk/wish/3588721304     fgutierrezcr1 https://padlet.com/yhidalgoy1/4d5uam1ue6d0u5dk/wish/3588725789 e define un modelo simple alineado con buenas prácticas de gestión de riesgo (NIST / ISO):

    • Impacto (I): 1 Bajo - 3 Medio - 5 Crítico.

    • Probabilidad (P): 1 Muy baja - 3 Media - 5 Muy alta.

    • Nivel de Riesgo (NR) = I × P; clasificaciones: 1-4 Bajo, 5-9 Medio, 10-16 Alto, 17-25 Crítico.

    ]]>     2025-09-17 01:39:55 UTC https://padlet.com/yhidalgoy1/4d5uam1ue6d0u5dk/wish/3588725789     fgutierrezcr1 https://padlet.com/yhidalgoy1/4d5uam1ue6d0u5dk/wish/3588737940 2025-09-17 01:45:52 UTC https://padlet.com/yhidalgoy1/4d5uam1ue6d0u5dk/wish/3588737940 fgutierrezcr1 https://padlet.com/yhidalgoy1/4d5uam1ue6d0u5dk/wish/3588742313 Reducir (controles a implantar inmediatamente — 30–90 días para riesgos Alto/Crítico):

    1. Respaldos 3-2-1 y pruebas periódicas. Mantener 3 copias (producción + 2 backups), en al menos 2 tipos de medios y 1 copia fuera del sitio o en nube; realizar restauraciones de prueba mensual. (Práctica recomendada aceptada por la industria).

    2. Autenticación multifactor (MFA). Forzar MFA en correo institucional y acceso administrativo al sistema bibliotecario — reduce riesgo de acceso por credenciales comprometidas; esto está respaldado por NIST SP 800-63B.

    3. Cifrado en reposo y en tránsito. Cifrar bases de datos y discos de equipos administrativos; usar HTTPS/TLS para accesos remotos. (cumple requerimientos de protección de datos).

    4. Segmentación de red y Wi-Fi seguro. Separar tráfico de invitados del administrativo mediante VLAN; implementar WPA3 o WPA2-Enterprise para la red administrativa.

    5. EDR / Antivirus gestionado y parcheo. Desplegar una solución de detección y respuesta en endpoints para detección temprana y contención; mantener parcheo automatizado.

    6. Políticas y bloqueo de dispositivos extraíbles. Prohibir o restringir uso de USB en PCs administrativos; habilitar políticas de bloqueo o lectores seguros.

    7. Capacitación y simulacros de phishing. Programa de concienciación para personal y voluntarios (simulacros, listas de verificación).

    ]]>     2025-09-17 01:47:41 UTC https://padlet.com/yhidalgoy1/4d5uam1ue6d0u5dk/wish/3588742313     fgutierrezcr1 https://padlet.com/yhidalgoy1/4d5uam1ue6d0u5dk/wish/3588745813 Transferir:

    • Considerar migrar el sistema de gestión a un proveedor cloud con SLA y cifrado gestionado (reduce riesgo operativo y de infraestructura).

    • Contratar seguro contra robo / daños y (si aplica) póliza de ciberincidentes para pequeñas organizaciones.

    Evitar:

    • No usar WhatsApp ni canales no autorizados para enviar datos personales de usuarios.

    • Evitar compartir credenciales.

    Aceptar (documentado):

    • Riesgos residuales de baja probabilidad que la dirección decida aceptar (documentar la justificación y controles compensadores).

    ]]>     2025-09-17 01:49:09 UTC https://padlet.com/yhidalgoy1/4d5uam1ue6d0u5dk/wish/3588745813     fgutierrezcr1 https://padlet.com/yhidalgoy1/4d5uam1ue6d0u5dk/wish/3588747518 La Dirección de la Biblioteca “San Francisco de Asís” debe formalizar por escrito la aceptación de riesgos bajos y la exigencia de mitigación para riesgos altos/ críticos. Se recomienda: establecer plazos máximos (ej.: 90 días para controles críticos), responsable por control y un calendario de verificación (evidencia de backups, pruebas de restore, activación de MFA, registro de parches). Las prácticas propuestas responden a estándares internacionales y guías gubernamentales citadas más arriba.

    ]]>     2025-09-17 01:49:59 UTC https://padlet.com/yhidalgoy1/4d5uam1ue6d0u5dk/wish/3588747518     fgutierrezcr1 https://padlet.com/yhidalgoy1/4d5uam1ue6d0u5dk/wish/3588750221

  • Implementar respaldos 3-2-1 y probar restauración en 30 días.

  • Activar MFA en correo y accesos administrativos en 30 días.

  • Segmentar la red y separar SSID invitados / administrativos en 60 días. Cisco Meraki Documentation

  • Desplegar EDR/antivirus gestionado y aplicar parcheo automático en 90 días.

  • Formalizar política de manejo de datos y cumplimiento de la Ley N.º 29733; nombrar responsable de protección de datos si corresponde.

    • ]]>     2025-09-17 01:51:26 UTC https://padlet.com/yhidalgoy1/4d5uam1ue6d0u5dk/wish/3588750221