POLÍTICA DE SEGURIDAD
El proponer o identificar una política de seguridad
requiere un alto compromiso con la organización, agudeza técnica para
establecer fallas y debilidades, y constancia para renovar y actualizar dicha
política en función del dinámico ambiente que rodea las organizaciones modernas.
Proponer un documento
estableciendo lo que debe hacer un usuario o una organización para lograr la
mayor Seguridad Informática posible. Sí está dentro de mis objetivos proponer
los lineamientos generales que se deben seguir para lograr (si así se
pretendiese) un documento con estas características.
La
seguridad informática ha tomado gran auge, debido a las cambiantes condiciones
y nuevas plataformas tecnológicas disponibles. La posibilidad de interconectarse a través de redes, ha abierto nuevos horizontes a las empresas
para mejorar su productividad y poder explorar más allá de las fronteras
nacionales, lo cual lógicamente ha traído consigo, la aparición de nuevas
amenazas para los sistemas de información.
En
este sentido, las políticas de seguridad informática surgen como una
herramienta organizacional para concientizar a
los colaboradores de la organización sobre la importancia y sensibilidad de la
información y servicios críticos que permiten a la empresa crecer y mantenerse
competitiva, asegurando el buen uso de los recursos informáticos y la
información como activos de una organización, manteniéndolos libres de
peligros, daños o riesgos.
POLÍTICA DE SEGURIDAD
La
seguridad
informática se puede clasificar en seguridad lógica y seguridad física y busca
con la ayuda de políticas y controles mantener la seguridad de los recursos y
la información manejando los riesgos.
PRINCIPIOS
DE LA SEGURIDAD DE LA INFORMACIÓN
•
INTEGRIDAD: la información debe ser protegida de modificaciones no autorizadas.
• DISPONIBILIDAD: la información y servicios deben estar disponibles siempre que se necesiten.
• CONFIDENCIALIDAD: se debe garantizar que la información es conocida únicamente por a quien le interese.
DEFINICIÓN DE POLÍTICAS DE SEGURIDAD INFORMÁTICA
Una política de seguridad informática es una forma de comunicarse con los usuarios, ya que las mismas establecen un canal formal de actuación del personal, en relación con los recursos y servicios informáticos de la organización.
No se puede considerar que una política de seguridad informática es una descripción técnica de mecanismos, ni una expresión legal que involucre sanciones a conductas de los empleados, es más bien una descripción de los que deseamos proteger y él por qué de ello, pues cada política de seguridad es una invitación a cada uno de sus miembros a reconocer la información como uno de sus principales activos así como, un motor de intercambio y desarrollo en el ámbito de sus negocios. Por tal razón, las políticas de seguridad deben concluir en una posición consciente y vigilante del personal por el uso y limitaciones de los recursos y servicios informáticos.
ELEMENTOS DE UNA POLÍTICA DE
SEGURIDAD INFORMÁTICA
– Alcance de
las políticas, incluyendo facilidades, sistemas y personal sobre la cual aplica.
– Objetivos de la política y descripción clara de los elementos involucrados en
su definición.
– Responsabilidades por cada uno de los servicios y recursos informáticos
aplicado a todos los niveles de la organización.
– Requerimientos mínimos para configuración de la seguridad de los sistemas que
abarca el alcance de la política.
– Definición de violaciones y sanciones por no cumplir con las políticas.
– Responsabilidades de los usuarios con respecto a la información a la que tiene
acceso.
PARÁMETROS PARA ESTABLECER
POLÍTICAS DE SEGURIDAD
– Efectuar un
análisis de riesgos informáticos, para valorar los activos y así adecuar las
políticas a la realidad de la empresa.
– Reunirse con los departamentos dueños de los recursos, ya que ellos poseen la
experiencia y son la principal fuente para establecer el alcance y definir las
violaciones a las políticas.
– Comunicar a todo el personal involucrado sobre el desarrollo de las políticas, incluyendo los beneficios y riesgos relacionados con los recursos y bienes, y sus elementos de seguridad.
– Identificar quién tiene la autoridad para tomar
decisiones en cada departamento, pues son ellos los interesados en salvaguardar
los activos críticos su área.
– Monitorear periódicamente los procedimientos y operaciones de la empresa, de forma tal, que ante cambios las políticas puedan actualizarse oportunamente.
– Detallar explícita y concretamente el alcance de las políticas con el propósito de evitar situaciones de tensión al momento de establecer los mecanismos de seguridad que respondan a las políticas trazadas.
RAZONES
QUE IMPIDEN LA APLICACIÓN DE LAS POLÍTICAS DE SEGURIDAD INFORMÁTICA
A
pesar de que un gran número de organizaciones canalizan sus esfuerzos para
definir directrices de seguridad y concretarlas en documentos que orienten las
acciones de las mismas, muy pocas alcanzan el éxito, ya que la primera barrera
que se enfrenta es convencer a los altos ejecutivos de la necesidad y
beneficios de buenas políticas de seguridad informática.
Otros
inconvenientes
lo representan los tecnicismos informáticos y la falta de una estrategia de
mercadeo por parte de los Gerentes de Informática o los especialistas en
seguridad, que llevan a los altos directivos a pensamientos como que los
recursos que se destinan al Departamento de Sistemas más que una inversión es
un gasto.
Esta
situación
ha llevado a que muchas empresas con activos muy importantes, se encuentren
expuestas a graves problemas de seguridad y riesgos innecesarios, que en muchos
casos comprometen información sensitiva y por ende su imagen corporativa. Ante
esta situación, los encargados de la seguridad deben confirmar que las personas
entienden los asuntos importantes de la seguridad, conocen sus alcances y están
de acuerdo con las decisiones tomadas en relación con esos asuntos.
Finalmente,
es importante señalar que las políticas por sí solas no constituyen una
garantía para la seguridad de la organización, ellas deben responder a
intereses y necesidades organizacionales basadas en la visión de negocio, que
lleven a un esfuerzo conjunto de sus actores por administrar sus recursos, y a
reconocer en los mecanismos de seguridad informática factores que facilitan la
formalización y materialización de los compromisos adquiridos con la
organización.
PLAN
DE CONTINGENCIA
Es
el conjunto de procedimientos alternativos a la operativa normal de cada
empresa, cuya finalidad es la de permitir el funcionamiento de ésta, aún cuando
alguna de sus funciones deje de hacerlo por culpa de algún incidente tanto
interno como ajeno a la organización como un fallo en la correcta circulación
de información o la falta de provisión de servicios.
El hecho de preparar un plan de contingencia no implica un reconocimiento de la ineficiencia en la gestión de la empresa, sino todo lo contrario, supone un importante avance a la hora de superar todas aquellas situaciones descritas con anterioridad y que pueden provocar importantes pérdidas, no solo materiales sino aquellas derivadas de la paralización del negocio durante un período más o menos largo.
