¿Seguridad de la Información o Ciberseguridad?

Esta es una Norma internacional para establecer un sistema de Gestión de la Seguridad de la Información. Cuando hablamos de un sistema de gestión, es estructurar la organización de manera tal, que la seguridad permanezca siempre presente a través de la utilización del Ciclo de Deming (Ciclo Plan – Do – Check – Act), un grupo de políticas, procesos, personas y procedimientos que se estarán ejecutando para mantener a la organización segura de ataques internos o externos, ejecutados por el ser humano o por los embates del clima.

En una implementación de la Norma ISO 27001, se trabaja primero con la primera fase o actividad del Ciclo de Deming, Plan, donde se debe realizar varias cosas, por ejemplo, un Análisis de Brechas para saber la situación actual de la organización, un Análisis de Riesgos, definir el Alcance, la Declaración de aplicabilidad y creación de la Política de Seguridad. Estas son algunas de las actividades que se realizan en la Fase de Plan, una vez realizado esto, se crea el plan de implementación que ya es parte del Do, donde se diseña e implementan todos los controles que se requieren para asegurar los activos de información definidos en el alcance.

Para tener una idea, los dominios son la agrupación o categorización de los objetivos y controles, estos se encuentran en el anexo A de la Norma.

Esta Norma trabaja en base a 14 Dominios, 35 objetivos de control y 114 controles.

Los Dominios son los siguientes:

1. Políticas de seguridad de la información
2. Organización de la seguridad de la información
3. Seguridad ligada a los recursos humanos
4. Administración de activos
5. Control de acceso
6. Criptografía
7. Seguridad física y del ambiente
8. Seguridad de las operaciones
9. Seguridad de las comunicaciones
10. Adquisición, desarrollo y mantenimiento del sistema
11. Relaciones con el proveedor
12. Gestión de incidentes de seguridad de la información
13. Aspectos de seguridad de la información en la gestión de la continuidad del negocio
14. Cumplimiento

Muchos de estos dominios son auto explicativos, por ejemplo, la Norma nos pide tener Políticas de Seguridad de la Información, esta debe ser distribuida y entendida por toda la organización, como también mantenida de forma periódica.

Otro ejemplo sería el Dominio de Organización de la Seguridad de la Información, donde nos pide tener identificado al grupo de seguridad de la Información quienes se van a preocupar que el sistema se mantenga en funcionamiento.

En Seguridad ligada a los Recursos Humanos, corresponde a cómo se contrata, capacita y desvincula una persona de la organización.

En control de acceso, corresponde a cómo el Área de Informática entrega los accesos a los diferentes sistemas y aplicaciones de manera segura, con los privilegios correctos, lo típico que veo en las empresas es que cuando llega una persona nueva a la organización, les copian los privilegios de otro usuario.

Los Dominios de Seguridad en las Operaciones y Comunicaciones se enfocan a estandarizar la forma en que se realizan las actividades rutinarias para evitar errores.

Y así, cada uno de los Dominios trabaja diferentes aspectos de seguridad dentro de la organización.

Una vez implementados los controles, se debe inicial la actividad del Check, donde se realizan auditorias interna, autoevaluaciones y auditorías externas.

Y para finalizar, luego de la auditoría de certificación se activa el Act, donde se recoge el Informe de Auditoría interna o externa y se aplica la mejora continua, para corregir las desviaciones encontradas.

Cuando se piensa en la implementación de una Norma, tienes varias opciones, pensar que realmente quieres asegurar la información dentro de la organización, también existe la posibilidad que solo quieran el certificado o que se implemente la Norma, pero sin ir a la certificación.

Cualquiera de las opciones es válida, pero la implementación y ejecución es diferente, se conversa previamente cuales son los objetivos de la organización y se realiza el proyecto.