POLITICAS
DE SEGURIDAD EN INFORMÁTICA:
Hoy es
imposible hablar de un sistema cien por cien seguro, sencillamente porque el
costo de la seguridad total es muy alto. Por eso las empresas, en general,
asumen riesgos: deben optar entre perder un negocio o arriesgarse a ser
hackeadas.
La cuestión
es que, en algunas organizaciones puntuales, tener un sistema de seguridad muy
acotado les impediría hacer más negocios. "Si un Hacker quiere gastar cien
mil dólares en equipos para descifrar una encriptación, lo puede hacer porque
es imposible de controlarlo. Y en tratar de evitarlo se podrían gastar millones
de dólares".
La solución a
medias, entonces, sería acotar todo el espectro de seguridad, en lo que hace a
plataformas, procedimientos y estrategias. De esta manera se puede controlar
todo un conjunto de vulnerabilidades, aunque no se logre la seguridad total. Y
esto significa ni más ni menos que un gran avance con respecto a unos años
atrás.
Algunas
organizaciones gubernamentales y no gubernamentales internacionales han
desarrollado documentos, directrices y recomendaciones que orientan en el uso
adecuado de las nuevas tecnologías para obtener el mayor provecho y evitar el
uso indebido de la mismas, lo cual puede ocasionar serios problemas en los
bienes y servicios de las empresas en el mundo.
En este
sentido, las Políticas de Seguridad Informática (PSI), surgen como una
herramienta organizacional para concientizar a cada uno de los miembros de una
organización sobre la importancia y sensibilidad de la información y servicios
críticos. Estos permiten a la compañía desarrollarse y mantenerse en su sector
de negocios.
Una política de seguridad
informática es una forma de comunicarse con los usuarios, ya que las mismas
establecen un canal formal de actuación del personal, en relación con los
recursos y servicios informáticos de la organización.
Una política de seguridad
informática es una descripción técnica de mecanismos, ni una expresión legal
que involucre sanciones a conductas de los empleados, es más bien una descripción
de los que deseamos proteger y él por qué de ello, pues cada política de
seguridad es una invitación a cada uno de sus miembros a reconocer la
información como uno de sus principales activos así como, un motor de
intercambio y desarrollo en el ámbito de sus negocios. Por tal razón, las
políticas de seguridad deben concluir en una posición consciente y vigilante
del personal por el uso y limitaciones de los recursos y servicios
informáticos.
ELEMENTOS
DE UNA POLÍTICA DE SEGURIDAD INFORMÁTICA:
- Alcance de las políticas, incluyendo facilidades, sistemas y personal sobre la cual aplica.
- Objetivos de la política y descripción clara
de los elementos involucrados en su definición.
- Responsabilidades por cada uno de los
servicios y recursos informáticos aplicado a todos los niveles de la
organización.
- Requerimientos mínimos para configuración de
la seguridad de los sistemas que abarca el alcance de la política.
- Definición de violaciones y sanciones por no
cumplir con las políticas.
- Responsabilidades de los usuarios con respecto
a la información a la que tiene acceso.
Las políticas de seguridad
informática, también deben ofrecer explicaciones comprensibles sobre por qué
deben tomarse ciertas decisiones y explicar la importancia de los recursos. Igualmente,
deberán establecer las expectativas de la organización en relación con la
seguridad y especificar la autoridad responsable de aplicar los correctivos o
sanciones.
Otro punto importante, es que las
políticas de seguridad deben redactarse en un lenguaje sencillo y entendible,
libre de tecnicismos y términos ambiguos que impidan una comprensión clara de
las mismas, claro está sin sacrificar su precisión.
Por último, y no menos importante,
el que las políticas de seguridad, deben seguir un proceso de actualización
periódica sujeto a los cambios organizacionales relevantes, como son: el
aumento de personal, cambios en la infraestructura computacional, alta rotación
de personal, desarrollo de nuevos servicios, regionalización de la empresa,
cambio o diversificación del área de negocios, etc.
PARÁMETROS
PARA ESTABLECER POLÍTICAS DE SEGURIDAD:
- Efectuar un análisis de riesgos informáticos, para valorar los activos y así adecuar las políticas a la realidad de la empresa.
- Reunirse con los departamentos dueños de los
recursos, ya que ellos poseen la experiencia y son la principal fuente para
establecer el alcance y definir las violaciones a las políticas.
- Comunicar a todo el personal involucrado sobre
el desarrollo de las políticas, incluyendo los beneficios y riesgos
relacionados con los recursos y bienes, y sus elementos de seguridad.
- Identificar quién tiene la autoridad para
tomar decisiones en cada departamento, pues son ellos los interesados en
salvaguardar los activos críticos su área.
- Monitorear periódicamente los procedimientos y
operaciones de la empresa, de forma tal, que ante cambios las políticas puedan
actualizarse oportunamente.
- Detallar explícita y concretamente el alcance
de las políticas con el propósito de evitar situaciones de tensión al momento
de establecer los mecanismos de seguridad que respondan a las políticas
trazadas.
EVALUACIÓN DE RIESGOS
El análisis
de riesgos supone más que el hecho de calcular la posibilidad de que ocurran
cosas negativas.
1.
Se debe poder obtener una evaluación
económica del impacto de estos sucesos. Este valor se podrá utilizar para
contrastar el costo de la protección de la información en análisis, versus el
costo de volverla a producir (reproducir).
2.
Se debe tener en cuenta la
probabilidad que sucedan cada uno de los problemas posibles. De esta forma se
pueden priorizar los problemas y su coste potencial desarrollando un plan de
acción adecuado.
3.
Se debe conocer qué se quiere
proteger, dónde y cómo, asegurando que con los costos en los que se incurren se
obtengan beneficios efectivos. Para esto se deberá identificar los recursos
(hardware, software, información, personal, accesorios, etc.) con que se cuenta
y las amenazas a las que se está expuesto.
La evaluación
de riesgos y presentación de respuestas debe prepararse de forma personalizada
para cada organización; pero se puede presupone algunas preguntas que ayudan en
la identificación de lo anteriormente expuesto:
- "¿Qué puede ir mal?"
- "¿Con qué frecuencia puede ocurrir?"
- "¿Cuáles serían sus consecuencias?"
- "¿Qué fiabilidad tienen las respuestas a las tres primeras preguntas?"
- "¿Se está preparado para abrir las puertas del negocio sin sistemas, por un día, una semana, cuanto tiempo?"
- "¿Cuál es el costo de una hora sin procesar, un día, una semana...?"
- "¿Cuánto, tiempo se puede estar off-line sin que los clientes se vayan a la competencia?"
- "¿Se tiene forma de detectar a un empleado deshonesto en el sistema?"
- "¿Se tiene control sobre las operaciones de los distintos sistemas?"
- "¿Cuantas personas dentro de la empresa, (sin considerar su honestidad), están en condiciones de inhibir el procesamiento de datos?"
- "¿A que se llama información confidencial y/o sensitiva?"
- "¿La información confidencial y sensitiva permanece así en los sistemas?"
- "¿La seguridad actual cubre los tipos de ataques existentes y está preparada para adecuarse a los avances tecnológicos esperados?"
- "¿A quien se le permite usar que recurso?"
- "¿Quién es el propietario del recurso? y ¿quién es el usuario con mayores privilegios sobre ese recurso?"
- "¿Cuáles serán los privilegios y responsabilidades del Administrador vs. la del usuario?"
- "¿Cómo se actuará si la seguridad es violada?"
PLAN DE CONTINGENCIA:
Es el conjunto de procedimientos
alternativos a la operativa normal de cada empresa, cuya finalidad es la de
permitir el funcionamiento de ésta, aún cuando alguna de sus funciones deje de
hacerlo por culpa de algún incidente tanto interno como ajeno a la organización
como un fallo en la correcta circulación de información o la falta de provisión
de servicios.
El hecho de preparar un plan de
contingencia no implica un reconocimiento de la ineficiencia en la gestión de
la empresa, sino todo lo contrario, supone un importante avance a la hora de
superar todas aquellas situaciones descritas con anterioridad y que pueden
provocar importantes pérdidas, no solo materiales sino aquellas derivadas de la
paralización del negocio durante un período más o menos largo.
Buen aporte al blog
ResponderEliminar