Diseño Políticas de Seguridad de la Información




Diseño Políticas de Seguridad de la Información
Grupo I




18-Jan-13
UNAPEC

Introducción
"Cuando no ocurre nada, nos quejamos de lo mucho que gastamos en seguridad. Cuando algo sucede, nos lamentamos de no haber invertido más... Más vale dedicar recursos a la seguridad que convertirse en una estadística."
Los sistemas de información se han establecido como una base ineludiblepara el perfeccionamiento de cualquier acción empresarial; estos sistemas han evolucionado de forma extraordinariamente veloz, aumentando la capacidad de gestión y almacenamiento. El crecimiento ha sido constante a lo largo de las últimas décadas, sin embargo, esta evolución tecnológica también ha generado nuevas amenazas y vulnerabilidades para las organizaciones.
Hoy día es irreal hablar de unsistema 100% seguro, simplemente porque el costo de la seguridad total es muy alto. Por eso las empresas deben optar entre perder un negocio o arriesgarse a ser atacadas.
Algunas organizaciones gubernamentales y no gubernamentales internacionales han desarrollado documentos, directrices y recomendaciones que orientan en el uso adecuado de las nuevas tecnologías para obtener el mayor provecho yevitar el uso indebido de la mismas.
En este sentido, las Políticas de Seguridad de la Información (PSI), surgen como una herramienta organizacional para concientizar a cada uno de los miembros de una organización sobre la importancia y sensibilidad de la información y servicios críticos. Estos permiten a la compañía desarrollarse y mantenerse en su sector de negocios.
Tomando en cuenta loanteriormente mencionado, el propósito que se busca con la realización de este trabajo es instruir al lector sobre los siguientes acápites:
Políticas de Seguridad
Estrategias de Seguridad
Guía de Implementación
Estándares existentes y
Mejores practicas



Política de seguridad
La política de seguridad es un documento de alto nivel que denota el compromiso de la gerencia con la seguridad dela información. Contiene la definición de la seguridad de la información bajo el punto de vista de cierta entidad.
Debe ser enriquecida y compatibilizada con otras políticas dependientes de ésta, objetivos de seguridad, procedimientos. Debe estar fácilmente accesible de forma que los empleados estén al tanto de su existencia y entiendan su contenido. Puede ser también un documento único o insertoen un manual de seguridad. Se debe designar un propietario que será el responsable de su mantenimiento y su actualización a cualquier cambio que se requiera.
La política se refleja en una serie de normas, reglamentos y protocolos a seguir, donde se definen las medidas a tomar para proteger la seguridad del sistema; pero... ante todo, una política de seguridad es una forma de comunicarse con losusuarios... Siempre hay que tener en cuenta que la seguridad comienza y termina con personas y debe:
Ser holística (cubrir todos los aspectos relacionados con la misma). No tiene sentido proteger el acceso con una puerta blindada si a esta no se la ha cerrado con llave.
Adecuarse a las necesidades y recursos. No tiene sentido adquirir una caja fuerte para proteger un lápiz.
Ser atemporal. Eltiempo en el que se aplica no debe influir en su eficacia y eficiencia.
Definir estrategias y criterios generales a adoptar en distintas funciones y actividades, donde se conocen las alternativas ante circunstancias repetidas.
Cualquier política de seguridad ha de contemplar los elementos claves de seguridad ya mencionados: la Integridad, Disponibilidad, Privacidad y, adicionalmente, Control,Autenticidad y Utilidad.
No debe tratarse de una descripción técnica de mecanismos de seguridad, ni de una expresión legal que involucre sanciones a conductas de los empleados. Es más bien una descripción de los que deseamos proteger y el porqué de ello.
Estrategia de Seguridad
Para establecer una estrategia adecuada es conveniente pensar una política de protección en los distintos niveles que...