Guía metodológica para la verificación de requerimientos de seguridad informática, relacionados con la confidencialidad de la información en aplicaciones móviles del sector salud, bajo lineamientos de normativas nacionales e internacionales
View/
Share this
Date
2020Metadata
Show full item recordPDF Documents
Abstract
Las aplicaciones móviles enfocadas a la salud están creciendo significativamente y algunos estudios han mostrado que las empresas no tienen la claridad de cómo lograr llevar la generalidad de las exigencias legales en la protección de datos personales a lineamientos específicos que permitan mitigar los riesgos por pérdida de confidencialidad de la información, así como tampoco se han establecido procedimientos sobre cómo validar su cumplimiento. El objetivo de este estudio fue proponer el desarrollo de una guía metodológica para la realización de pruebas especializadas de seguridad informática, que permitan velicar el cumplimiento de las exigencias legales en el ámbito de la protección de datos personales en Colombia. Para dar cumplimiento a este objetivo, este trabajo inicia con la definición de lineamientos mínimos de seguridad para el sector, a partir del análisis de la normativa nacional e internacional, y de los estándares de seguridad establecidos para aplicaciones móviles. Luego, se realiza un modelado de amenazas, a partir del análisis de la funcionalidad común de un conjunto de aplicaciones disponibles en tiendas de aplicaciones; para lo cual se empleó´ un modelo de amenazas híbrido, que toma como referentes las metodologías STRIDE, árbol de ataques y librería de ataques. Posteriormente, se estructura la Guía Metodológica propuesta, a partir de una dentición de pruebas especializadas de seguridad informática; y por último se evalúa su aplicabilidad en un caso de prueba de una aplicación móvil del sector
Abstract
Mobile applications focused on health are growing significantly and some studies have shown that companies do not have the clarity of how to bring the generality of legal requirements in the protection of personal data to guidelines specific measures to mitigate the risks of loss of confidentiality of information, as well as procedures on how to validate compliance have not been established. The aim of this study was to propose the development of a methodological guide for the performance of specialized computer security tests, which would allow the verification of compliance with legal requirements in the field of personal data protection in Colombia. In order to fulfill this objective, this work begins with the definition of minimum safety guidelines for the sector, based on the analysis of national and international regulations, and established security standards for mobile applications. Then, a threat modeling is performed, based on the analysis of the common functionality of a set of applications available in application stores; for which a hybrid threat model was used, which takes as reference the STRIDE methodologies, attack tree and attack library. Subsequently, the proposed Methodological Guide is structured on the basis of a definition of specialized computer security tests; finally, its applicability is assessed in a case of testing of a mobile