ASPECTOS ORGANIZATIVOS PARA LA SEGURIDAD
1.-
Organización
Interna
La
organización interna tiene como objetivo gestionar la seguridad de la
información dentro de la organización para lo cual debe establecerse una
estructura de gestión para iniciar y controlar la implantación de la seguridad
de la información dentro de la organización y/o empresa.
1.1
Comité
de gestión de seguridad de la información
La gerencia debe apoyar activamente en la seguridad dentro de la organización a
través de direcciones claras demostrando compromiso, asignaciones explicitas y
reconocimiento de las responsabilidades de la seguridad de información.
El
comité de gestión de seguridad debe realizar las funciones que son:
a)Asegurar
que
las metas de la seguridad de información sean identificadas, relacionarlas con
las exigencias organizacionales y que sean integradas en procesos relevantes.
b)
Formular, revisar y aprobar la política de seguridad de información.
c)
revisión de la efectividad en la implementación de la política de información.
d)
Proveer direcciones claras y un visible apoyo en la gestión para iniciativas de
seguridad.
e)
Proveer los recursos necesarios para la seguridad de información.
f)
Aprobar asignaciones de roles específicos y responsabilidades para seguridad de
información a través de la organización.
g)
Iniciar
planes y programas para mantener la conciencia en seguridad de información.
h)
Asegurar que la implementación de los controles de la seguridad de información
es coordinada a través de la organización.
La
gerencia
debe identificar las necesidades de asesoría especialista ya sea interna o
externa, revisando y coordinando los resultados de la esta a través de la
organización.
1.2
Coordinación
de la seguridad de la información
La información de las actividades de
seguridad deben ser coordinadas por representantes de diferentes partes de la
organización con roles relevantes y funciones de trabajo.
Esta actividad debe:
a)Asegurar
que
las actividades de seguridad sean ejecutadas en cumplimiento con la política de
seguridad.
b)
Identificar como manejar los no cumplimientos.
c) Aprobar metodologías y procesos para seguridad de información, como por ejemplo
la evaluación del riesgo y la clasificación de información.
d)
Identificar cambios significativos de amenazas y exposición de información.
e)
Evalúa la adecuación y coordina la implantación de los controles de seguridad
de la información.
f)
Promocionar efectivamente educación, entrenamiento y concientizar en seguridad
de información, a través de la organización.
g)
Evaluar información de seguridad recibida de monitorear y revisar los
incidentes de seguridad de información y recomendar acciones apropiadas en
respuesta para identificar incidentes de seguridad de información.
1.3 Asignación
de responsabilidades sobre seguridad de la información
Deberían definirse claramente las responsabilidades.
Es
esencial que se establezcan claramente las áreas de las que cada directivo es
responsable; en particular deberían establecerse las siguientes:
a)
Deberían identificarse claramente los activos y los procesos de seguridad
asociados con cada sistema específico.
b)
Debería nombrarse al responsable de cada activo o proceso de seguridad, y
deberían documentarse los detalles de esta responsabilidad.
c)
Deberían definirse y documentarse claramente los niveles de autorización.
1.4 Proceso
de autorización de recursos para el tratamiento de la información
Debería establecerse un proceso de autorización para la gestión de cada nuevo
recurso de tratamiento de la información.
Deberían
considerarse los siguientes controles:
a)
Los nuevos medios deberían tener la aprobación adecuada de la gerencia de
usuario, autorizando su propósito y uso. También debería obtenerse la
aprobación del directivo responsable del mantenimiento del entorno de seguridad
del sistema de información local, asegurando que cumple con todas las políticas
y requisitos de seguridad correspondientes.
b)
Dónde sea necesario, se debería comprobar que el hardware y el software son
compatibles con los demás dispositivos del sistema.
c)
Debería autorizarse y evaluarse el uso de medios informáticos personales, como
laptops o aparatos móviles, para el tratamiento de la información de la
organización así como los controles necesarios, ya que pueden introducir nuevas
vulnerabilidades.
1.5 Acuerdos
de confidencialidad
Requerimientos
de confidencialidad o acuerdos de no divulgación para la protección de
información deben ser identificadas y revisadas regularmente.
Para
identificar requerimientos de confidencialidad o acuerdos de no divulgación, se
deben considerar los siguientes elementos:
a) Una
definición
de la información a ser protegida.
b) Duración esperada del acuerdo,
incluyendo casos donde la confidencialidad pueda
necesitar ser mantenida indefinidamente.
c)
acciones requeridas cuando un acuerdo sea finalizado.
d)
Responsabilidades y acciones de los signatarios para evitar acceso
desautorizado a la información.
e)
Propiedad de la información, secretos del comercio y de la propiedad
intelectual, y cómo esto se relaciona con la protección de la información
confidencial.
f)
La permisión de utilizar información confidencial y los derechos del signatario
para usar la información.
g)
El derecho de auditar y monitorear actividades que impliquen información
confidencial.
h)
Procesos para notificar y reportar acceso desautorizado a aberturas de
información confidencial.
i)Términos
para
que la información sea retornada o destruida en la cesación del acuerdo.
j)
Acciones prevista que se tomará en caso de una
abertura de este acuerdo.
1.6
Contacto
con autoridades
Deben
ser mantenidos contactos apropiados con autoridades relevantes.
a)
Las organizaciones deben de tener procedimientos instalados que especifiquen
cuando y por que autoridades deben ser contactados.
b)
Las organizaciones bajo ataque desde el Internet pueden necesitar de terceros
para tomar acción contra la fuente de ataque.
1.7
Contacto
con grupos de interés especial
Deben
mantenerse contactos apropiados con grupos de interés especial u otros
especialistas en foros de seguridad y asociaciones profesionales.
Membresía
en grupos de interés especial o foros deben ser considerados debido a que:
a)
Mejorar el conocimiento sobre mejores practicas y estar actualizado con
información relevante de seguridad.
b)
Asegurar que el entendimiento del ambiente de seguridad de información es
actual y completo.
c)
Recibir alertas de detección temprana, advertencias y parches que para los
ataques y a las vulnerabilidades.
d)
Ganar acceso a consejos especializados de seguridad de información.
e)
compartir e intercambiar información sobre nuevas tecnologías, productos,
amenazas o vulnerabilidades;
f)
Proveer puntos de enlaces convenientes cuando se trata con información de
incidentes de seguridad.
1.8 Revisión
independiente de la seguridad de la información.
El
alcance de la organización para gestionar la seguridad de información y su
implementación deben ser revisados independientemente en intervalos
planificados cuando cambios significativos a la puesta en marcha de la
seguridad ocurran.
a)
La revisión independiente debe ser iniciado por la gerencia.
b)
Esta revisión debe ser llevado a acabo por individuos independientemente del
área bajo revisión.
c)
Los resultados de la revisión independiente deben ser registrados y reportados
a la gerencia.
d)Si la revisión independiente identifica que el alcance de la organización o la
implementación de la gestión de seguridad de información es inadecuada o no
complaciente con la dirección de seguridad de información establecida en la
política, la gerencia debe considerar acciones correctivas.
2. Seguridad
en los accesos de terceras partes
La
seguridad en los accesos de terceras partes tiene como objetivo mantener la
seguridad de que los recursos de tratamiento de la información y de los activos
de información de la organización sean accesibles por terceros.
2.1
Identificación
de riesgos por el acceso de terceros
Los
riesgos a la información de la organización y a las instalaciones del
procesamiento de información desde los procesos del negocio que impliquen a
terceros deben ser identificados y se debe implementar controles apropiados
antes de conceder el acceso a los mismos.
Membresía
en grupos de interés especial o foros deben ser considerados debido a que:
a)
Mejorar el conocimiento sobre mejores practicas y estar actualizado con
información relevante de seguridad.
b)
Asegurar que el entendimiento del ambiente de seguridad de información es
actual y completo.
c)
Recibir alertas de detección temprana, advertencias y parches que para los
ataques y a las vulnerabilidades.
d)
Ganar acceso a consejos especializados de seguridad de información.
e)
compartir e intercambiar información sobre nuevas tecnologías, productos,
amenazas o vulnerabilidades;
f)
Proveer puntos de enlaces convenientes cuando se trata con información de
incidentes de seguridad.
La identificación de los riesgos
relacionados con el acceso a terceros debe de tomar en cuenta los siguientes
puntos:
a)
Las instalaciones del procesamiento de la información a la que terceros
requieren acceso.
b)
El tipo de acceso que terceros tendrán a la información y a las instalaciones
del procesamiento de infamación.
b.1) acceso físico, por ejemplo
oficinas o salas de ordenadores.
b.2) acceso lógico, por ejemplo la base
de datos de la organización o sistemas de información.
b.3) conectividad de red entre la
organización y terceros, por ejemplo la conexión permanente o acceso remoto.
b.4) si el acceso esta ocurriendo en el
sitio o fuera de el.
c)
El valor y la sensibilidad de la información implicada, y es critico para
operaciones de negocios.
d)
Los controles necesarios para proteger la información que no debe ser accesible
a terceros.
e)
El personero externo implicado en maniobrar la información de la organización.
f)
Como la organización o el personero autorizado para tener acceso puede ser
identificado, la autorización verificada y que tan seguido necesita ser
reconfirmada.
g)
Los diferentes significados y controles empleados por terceros cuando guarde,
procese, comunique, comparta e intercambia información.
h)
El impacto del acceso no disponible a terceros cuando sea requerido, y de
terceros ingresando o recibiendo información inexacta o engañosa.
i)
Las respectivas responsabilidades de la organización y de los clientes.
j)
Las responsabilidades en materia de legislación por ejemplo sobre protección de
datos personales, teniendo especialmente en cuenta los diferentes sistemas
legales nacionales si el contrato implica la cooperación con organizaciones de
otros países.
k)
Los derechos de propiedad intelectual, protección contra copias y protección en tareas de colaboración.
2.3
Requisitos
de seguridad en contratos de outsourcing
Los
acuerdos con terceras partes que implican el acceso, proceso, comunicación o
gestión de la información de la organización o de las instalaciones de
procesamiento de información o la adición de productos o servicios a las
instalaciones, debe cubrir todos los requisitos de seguridad relevantes.
Los siguientes términos deben ser
considerados para inclusión en el acuerdo con el fin de satisfacer los
requisitos identificados de seguridad:
a)La
política
de información de seguridad.
b)
Los controles que aseguren la protección del activo, incluyendo:
b.1) procedimientos para proteger los
activos organizacionales, incluyendo información, software y hardware.
b.2) controles cualquiera de protección
física requerida y mecanismos.
b.3) controles para asegurar la
protección contra software malicioso.
b.4)
procedimientos para determinar si es que se compromete el activo, como la
perdida o modificación de la información, software y hardware, ha ocurrido.
b.5) controles que aseguran el retorno
o la destrucción de información y activos al final de o de un tiempo acordado
durante el acuerdo.
b.6) confidencialidad, integridad,
disponibilidad y cualquier otra propiedad relevante de los activos.
b.7) restricciones para copiar y
divulgar información y el uso de acuerdos de confidencialidad.
c)
Capacitación en los métodos, procedimientos y seguridad para usuario y
administrador.
d)
Asegurar el conocimiento del usuario para temas y responsabilidades de la
seguridad de información.
e)
Disposición para transferir personal, cuando sea apropiado.
f)
Responsabilidades con respecto a la instalación y el mantenimiento del hardware
y software.
g)
Una clara estructura y formatos de reportes.
h)
Un claro y especificado proceso de cambio de gestión.
i)Política
de
control de acceso, cubriendo:
i.1) las diferentes razones,
requerimientos y beneficios que hacen el acceso por terceros necesario.
i.2) métodos permitidos de acceso y el
control y uso de identificadores únicos como ID de usuario y contraseñas.
i.3) un proceso autorizado para acceso
de usuarios y los privilegios.
i.4)
un requerimiento para mantener una lista de individuos autorizados a usar el
servicio que ha sido disponible y cual son sus derechos y privilegios respecto
a su uso.
i.5)
una declaración de que todos los accesos que no son explícitamente autorizados
son prohibidos.
j)
Arreglos para reportar, notificar e investigar incidentes de la seguridad de
información y aperturas de seguridad, como violaciones de los requerimientos
establecidos en el acuerdo.
k)
Una descripción del producto o servicio ha ser provisto y una descripción de la
información ha ser disponible de acuerdo con su clasificación de seguridad;
l)
El objetivo de nivel de servicio y los niveles de no aceptación.
m)
La definición del criterio de comprobación del funcionamiento, su control y su
reporte.
n)
El derecho de controlar y revocar cualquier actividad relacionada con los
activos de la organización.
o)
El derecho para auditar responsabilidades definidas en el acuerdo, para que
dichas auditorias sean llevadas a cabo por terceros y para enumerar los
derechos estatutarios de los auditores.
p)
El establecimiento de un proceso de escalamiento para resolver problemas.
q)
Requisitos continuos de servicio, incluyendo medidas para la disponibilidad y
la confiabilidad, en concordancia con las prioridades de negocio de la
organización.
r)
Las respectivas responsabilidades de las partes del acuerdo.
s)
Responsabilidades con respecto a temas legales y como se asegura que los
requerimientos legales sean conocidos, como por ejemplo la legislación de
protección de datos, considerar especialmente diversos sistemas legislativos
nacionales si el acuerdo implica la cooperación con organizaciones de otros
países.
t)
Derechos de propiedad intelectual y de asignación de copyright y protección de
cualquier otro trabajo de colaboración.
u)
Implicancias entre los sub-contratantes y terceros, y los controles de
seguridad que estos sub-contratantes necesitan implementar.
v)
Condiciones para la renegociación/terminación de los acuerdos:
v.1)
un plan de contingencia debe llevarse a cabo en caso de que cualquiera de las
partes desee cortar relaciones antes del término de los acuerdos.
v.2) renegociación de los acuerdos si
los requisitos de seguridad de la organización cambian.
v.3) documentación actual de la lista
de activos, licencias, acuerdos o derechos relacionados con ellos.
