Ventajas de las pymes

Problemática, ventajas y desventajas de ISO27001 en las Pymes
En estas líneas, continuando con los artículos sobre ISO-27001, trataremos de presentar el lado bueno y el "oscuro" de la norma. Pero para no perder la esperanza, lo haremos primero, dando a conocer la forma de resolver la problemática, para mantener la fe. Luego, incrementaremos la ilusión a través de las ventajas que ofrece. Y porúltimo (casi en letras pequeñas) daremos un par de desventajas, para que no pensemos que es todo perfecto en esta vida.
13 Mar 2008 | Alejandro Corletti, Director de Seguridad Informática de NCS
Problemática

Tal vez la mayor problemática que posea una PyME para encarar ISO- 27001, es lograr convencer a su Dirección de la importancia que reviste todo el proceso de implementación de la misma. Eldiscurso más eficiente parte, sin lugar a dudas, de los dos mayores argumentos que diferencian ISO-27001 de ISO-17799, pues el resto es lo que tienen en común, es decir los "controles" (que hoy ya se denominan ISO-27002). Estos controles, son sencillamente varios grupos de medidas técnicas, que como corresponde, no convencen a ningún director (pues, con mis mayores respetos, no saben de lo que leestamos hablando). Estos dos "nuevos" argumentos SÍ convencen a los cargos jerárquicos; son propios del lenguaje gerencial. Ya los hemos mencionado en otras oportunidades, y son:

El análisis de Riesgo (AR) La puesta en funcionamiento de un verdadero SGSI (Sistema de Gestión de la Seguridad de la Información) requiere los controles que a continuación avanzamos. a. El análisis de riesgo En lasecuencia natural para obtener resultados del análisis de riesgo, es: La identificación, definición, descripción y valoración de los activos. El cálculo de impacto (debilidades, riesgo, grado de exposición, popularidad, criticidad, etc.) que podría ocasionar cualquier problema sobre cada uno de ellos. El riesgo concreto que se posee de producirse determinados hechos. Las salvaguardas que se puedenaplicar para minimizar el riesgo. Conjunto de acciones que pueden realizarse (En lo posible agrupadas por similitud o área). Propuesta de varios cursos de acción posibles (desde el de máxima, intermedios al de mínima).

Finalmente: Elección y Aprobación de un curso de acción por parte de la Dirección. Es decir, el compromiso que asume en virtud de su propia estrategia (Coste/Beneficio/Negocio),para tratar las acciones de ese curso de acción y ASUMIR el riesgo residual que quedará con lo que no esté dispuesto a abordar el máximo nivel de la empresa (o en definitiva a pagar…). El último paso que trato es el más importante de todos, pues recién a partir de éste, se puede iniciar el conjunto de medidas para minimizar los riesgos, y a su vez para ir solucionando los impactos que SÍ estédispuesta a abordar la Dirección ("por escrito": Declaración de intenciones). Lo cual dará como resultado un nuevo análisis de riesgo, para ver cómo evolucionaron las acciones, y los nuevos riesgos residuales… y las nuevas decisiones estratégicas… y las nuevas acciones… y las nuevas mejoras… y las nuevas… al fin y al cabo de esto se trata la idea de ciclo, gestión o PDCA.

El discurso final yconvincente del AR se logra cuando se han sabido llegar a identificar claramente los "Procesos de negocio", y sobre ellos centrar la máxima atención de seguridad. Esto es lo que da de comer a la empresa, y todo Director necesita dormir tranquilo sobre ellos. Por lo tanto, si esto se ha hecho bien, tenemos grandes posibilidades de haber ganado esta "primer batalla", logrando que a través del curso de laacción que la Dirección haya elegido, podamos empezar nuestro trabajo. b. SGSI La segunda estrategia para obtener el éxito de nuestra problemática, pasa por el SGSI, el cual como su nombre indica, es un proceso de gestión, cosa que también conoce con alto grado de detalle un director. Lo mejor que podemos hacer es respetar estrictamente lo que propone la norma como PDCA (Plan-Do-Check- Act), y...