Política de Seguridad de la Información - Parte 2
Extraído de ISACA:
Un documento de política de seguridad de información debe ser aprobado por la gerencia, publicado y comunicado a todos los empleados y terceros relevantes.
El documento de política de seguridad de información debe establecer el compromiso de la gerencia y fijar el método de la organización para administrar la seguridad de información. El documento de política debe contener:
Revisión de la Política de Seguridad de la Información
La política de seguridad de información debe ser revisada a intervalos planeados o si ocurrieran cambios significativos, para asegurar que siga siendo apropiada, adecuada y efectiva. La política de seguridad de información debe tener un dueño que haya aprobado la responsabilidad de la gerencia sobre el desarrollo, revisión y evaluación de la política de seguridad. La revisión debe incluir evaluar las oportunidades de mejoramiento de la política de seguridad de información de la organización y un método de administrar la seguridad de información en respuesta al entorno organizacional, las circunstancias del negocio, las condiciones legales o el entorno técnico.
El mantenimiento de la política de seguridad de información debe tomar en cuenta los resultados de estas revisiones. Debe haber procedimientos definidos de revisión de la gerencia, que incluye un cronograma o período de para la revión.
El input para la revisión de la gerencia debe incluir:
Un documento de política de seguridad de información debe ser aprobado por la gerencia, publicado y comunicado a todos los empleados y terceros relevantes.
El documento de política de seguridad de información debe establecer el compromiso de la gerencia y fijar el método de la organización para administrar la seguridad de información. El documento de política debe contener:
- Una definición de seguridad de información, sus objetivos generales y su alcance, y la importancia de la seguridad como un mecanismo que permite que se comparta la información.
- Una declaración de la intención de la gerencia, soportando las metas y los principios de la seguridad de la información en línea con la estrategia y los objetivos del negocio.
- Un marco para fijar los objetivos de control y los controles, incluyendo la estructura de la evaluación del riesgo y la administración del riesgo.
- Una breve explicación de las políticas de seguridad, los principios, los estándares y los requisitos de cumplimiento de particular importancia para la organización, incluyendo:
- Cumplimiento de los requisitos legislativos, regulatorios y contractuales
- Requisitos de educación entrenamiento y conciencia / conocimiento de la seguridad
- Administración de la continuidad del negocio
- Consecuencias de las violaciones de la política de seguridad de información
- Una definición de las responsabilidades generales y específicas para la gerencia de seguridad de información, incluyendo reportar incidentes de seguridad de información.
- Referencias a la documentación que puede soportar la política, e.j., políticas y procedimientos más detallados de seguridad para sistemas de información o reglas de seguridad específicas que deben ser cumplidas por los usuarios.
Revisión de la Política de Seguridad de la Información
La política de seguridad de información debe ser revisada a intervalos planeados o si ocurrieran cambios significativos, para asegurar que siga siendo apropiada, adecuada y efectiva. La política de seguridad de información debe tener un dueño que haya aprobado la responsabilidad de la gerencia sobre el desarrollo, revisión y evaluación de la política de seguridad. La revisión debe incluir evaluar las oportunidades de mejoramiento de la política de seguridad de información de la organización y un método de administrar la seguridad de información en respuesta al entorno organizacional, las circunstancias del negocio, las condiciones legales o el entorno técnico.
El mantenimiento de la política de seguridad de información debe tomar en cuenta los resultados de estas revisiones. Debe haber procedimientos definidos de revisión de la gerencia, que incluye un cronograma o período de para la revión.
El input para la revisión de la gerencia debe incluir:
- Retroalimentación de las partes interesadas
- Resultados de revisiones independientes
- Estatus de las acciones preventivas y correctivas
- Resultados de revisiones independientes
- Estatus de las acciones preventivas y correctivas
- Resultados de revisiones anteriores de la gerencia
- Desempeño del proceso y cumplimiento de la política de seguridad de la información
- Cambios que podrían afectar el enfoque de la organización para administrar la seguridad de la información, incluyendo cambios al entorno organizacional; las circunstancias del negocio; la disponibilidad de recursos; las condiciones contractuales; regulatorias y legales; o el entorno técnico
- Uso de la consideración de los outsources o funciones fuera de TI o funciones del negocio
- Las tendencias relacionadas con las amenazas y las vulnerabilidades
- Incidentes de seguridad de información reportados
- Recomendaciones suministradas por las autoridades relevantes
- Mejoramiento del enfoque de la organización para administrar la seguridad de la información y sus procesos
- Mejoramiento de los objetivos de control y los controles
- Mejoramiento en la asignación de recursos y/o responsabilidades
- Mantener un registro de revisiones de la gerencia y se debe obtener la aprobación de la gerencia para la política revisada.
Comentarios