Apuntes de seguridad

Introducción
[pic]
Observando los resultados de la encuesta internacional de Information Security Magazine de Abril de 2004 (Briney 2004), las inversiones en seguridad informática muestran una constante: fortalecimiento del perímetro de seguridad, actualización de infraestructura de seguridad y administración de la seguridad informática. Mucha de esta inversión se concentra en aspectos dehardware, software y servicios, lo cual sugiere un concepto de seguridad informática orientado por el modelo de riesgos y controles, que si bien aporta elementos importantes para el mantenimiento de niveles de seguridad informática adecuados para la realidad de cada organización, limita la comprensión de eventos inesperados que generalmente no encuentran respuesta a los mismos y cuestionan el modelode seguridad informática de la empresa.
En este sentido, el reto de la inversión en seguridad informática y el valor agregado que esta produce para las actividades del negocio establece una serie de interrogantes y cuestionamientos que los encargados de la misma deben responder a la alta gerencia. Esta respuesta debe estar en términos de la gestión de la seguridad informática de la organizacióny las implicaciones económicas que trae el mantenimiento de esta función.
Caracterizando la Inversión en Seguridad Informática
[pic]
De acuerdo con Anderson (2001) existen tres características fundamentales asociadas con el mercado de tecnologías de información (TI):
• El valor de un producto para un usuario depende de cuántos exitosamente lo han adoptado.
• Latecnología tiene altos costos fijos y bajos costos marginales.
• Existen frecuentemente altos costos para los usuarios con el cambio de tecnologías.
Dichas características establecen una competencia de los proveedores por conquistar segmentos de mercado importantes, sabiendo que el ganador se lleva todo. Pero la pregunta es: ¿Quién es el beneficiado de esta dinámica? ¿La empresa?¿El mercado de productos? 
La seguridad informática, no es ajena a estas características propias del mercado de TI, pues, como comentamos previamente, el hardware, el software y los servicios especializados, son parte de la dinámica de la función de seguridad informática en las organizaciones. 
La inversión en seguridad informática es un reto para los encargados de este tema en lasorganizaciones. Surgen preguntas alrededor del tema de presupuesto, impacto y retorno de la inversión que en la actualidad causan revuelo y establecen muchos interrogantes para aquellos que se hayan en la tarea de justificar presupuestos de seguridad informática. 
Consideremos algunas ideas para tratar de aproximarnos a esta difícil tarea de los que tienen a cargo el área de seguridad. Dado quegeneralmente las inversiones en seguridad informática se justifican en función de los riesgos y niveles de riesgo a los que puede o podría estar expuesto una organización, podríamos sugerir una adaptación de la matriz de tipos de inversión presentada en Remenyi, D., Money, A., Sherwood-Smith, M. y Irani, Z (2000): 
|RIESGO/VISIBILIDAD |Alto | Proyecto |Proyecto de|
| | |Estratégico |Actualización |
|  |Bajo | Proyecto de |Proyecto Cotidiano |
| | |Negocio | |
|  |  |Alto |Bajo ||  |IMPACTO/GANANCIA |

Tabla No.1 Matriz de tipos de inversión en seguridad informática. (Adaptado de Remenyi, D., Money, A., Sherwood-Smith, M. y Irani, Z. 2000. pág. 43 ) 
La matriz sugiere como elementos de análisis dos componentes: riesgo/visibilidad e impacto/ganancia. El primero entendido de la manera tradicional...