Anteproyecto

Boletín Advisory*
Nov-Dic 2004
Distribución exclusiva para clientes y relacionados de Espiñeira, Sheldon y Asociados

En este número
• • • • • • • Buscando nuevas respuestas Percepciones antiguas que aún perduran Definiendo “Seguridad de la información” Elementos fundamentales de un modelo de seguridad Seguridad de inclusión y exclusión Nivel de equilibrio entre la seguridad de inclusión yexclusión Ciclos operacionales en seguridad de activos de información

Seguridad de la Información: Un nuevo enfoque para el control de riesgos de negocio

En las organizaciones, la Seguridad de la Información (SI) ha comenzado a tomar un lugar determinante dentro de la gestión de la Tecnología de la Información (TI), y se ha convertido en un elemento fundamental a ser considerado en todaestrategia de negocio con miras a lograr metas importantes a corto, mediano y largo plazo. En consecuencia, las organizaciones experimentan la necesidad de definir estrategias efectivas que garanticen una gestión segura de los procesos del negocio a fin de darle mayor resguardo a la información, y al mismo tiempo no obstáculos para adaptarse a los continuos cambios de la organización como consecuenciade las exigencias del mercado.

Tal necesidad ha impulsado el énfasis en el planteamiento de nuevos paradigmas de la administración del entorno de TI basada en políticas y procedimientos. Sin embargo, existen interrogantes relacionadas con la manera de aplicar los cambios necesarios sin que estos impacten de manera significativa en las operaciones de una organización y que además perdure en eltiempo.

*connectedthinking

Buscando nuevas respuestas
Para alcanzar la excelencia que muchas de las organizaciones están buscando en materia de seguridad de la información, algunos ejecutivos de negocio así como profesionales en TI están haciendo un esfuerzo para organizar de forma adecuada sus recursos con base al entendimiento que se tiene hoy día en lo que respecta a Seguridad de laInformación. Parte de este entendimiento, está en darle respuesta a una serie de interrogantes que resultan cruciales: - Desde una perspectiva tecnológica, ¿Cómo debe ser definida la Seguridad de la Información en la empresa? - Desde una perspectiva de recursos, ¿Cuáles son las estructuras organizacionales que deben ser fortalecidas a fin de obtener una postura exhaustiva de Seguridad de laInformación? - Desde una perspectiva estratégica, ¿La misión de Seguridad de la Información debe ser restringida sólo a un rol “protector” o puede ser expandida para incluir nuevas habilidades que le permitan prepararse para el futuro? - Desde una perspectiva de control, ¿Dónde reside la “propiedad” de la Seguridad de la Información en la organización? - Desde una perspectiva de gestión, ¿Mediante cuálesmecanismos se estaría revisando la ubicación de la Función responsable de la Seguridad de la Información dentro de la organización, especialmente tomando en consideración las

nuevas leyes y regulaciones que requieren responsabilidad corporativa y a nivel de directores para la integridad del negocio?

Percepciones antiguas que aún perduran
A pesar de algunos esfuerzos, es factible encontrar hoyen día ejecutivos de negocio y tecnólogos que continúan percibiendo la Seguridad de la Información como un asunto meramente técnico que debe ser resuelto mediante la utilización de un componente tecnológico en particular. Asimismo, existe la creencia que no es necesario destinar parte del presupuesto del negocio a iniciativas de Seguridad de la Información, sino que por el contrario esto podríaestar incluido dentro del presupuesto de otros departamentos, como por ejemplo, TI. Otros aún perciben que la Seguridad de la Información es un aspecto que se considera luego del proceso de diseño de aplicaciones críticas del negocio. La permanencia de este tipo de percepciones, nos lleva a determinar que las organizaciones aún necesitan entender, internalizar y afianzar la relación estratégica...