Seguridad de la Información

Hace mucho rato no publicaba nada en el blog, sin duda el que hacer del día a día nos priva de poder generar información. El presente artículo tiene como único fin poder compartir un esquema de documentación que he venido trabajando desde hace algún tiempo. Seguramente, los profesionales que se desempeñan en rol de Oficiales de Seguridad de la información, se han hecho la pregunta muchas veces ¿Que documentación debería tener una organización en relación a las Políticas de Seguridad?,  Pues bien, no hay una respuesta en el mercado con una solución mágica, sin embargo, creo que la siguiente imagen puede ser un punto de orientación o punto de partida para saber cual es el mapa de documentos que debemos generar. Si se aprecia correctamente, podrán notar que en el esquema solo figura la Política de Seguridad de la Información, documento que a mi gusto debe ser de alto nivel y aprobado por la Dirección de la organización, este documento no debe ser extenso...

Extraído de ISACA: Un documento de política de seguridad de información debe ser aprobado por la gerencia, publicado y comunicado a todos los empleados y terceros relevantes. El documento de política de seguridad de información debe establecer el compromiso de la gerencia y fijar el método de la organización para administrar la seguridad de información. El documento de política debe contener: Una definición de seguridad de información, sus objetivos generales y su alcance, y la importancia de la seguridad como un mecanismo que permite que se comparta la información. Una declaración de la intención de la gerencia, soportando las metas y los principios de la seguridad de la información en línea con la estrategia y los objetivos del negocio. Un marco para fijar los objetivos de control y los controles, incluyendo la estructura de la evaluación del riesgo y la administración del riesgo. Una breve explicación de las políticas de seguridad, los principios, los estándares y los requi...

Las políticas y los procedimientos reflejan la guía y orientación de la gerencia para desarrollar controles sobre los sistemas de información y recursos relacionados. Por que documentarlas? Otorgan cumplimiento en aspectos legales y técnicos. Son una guía del comportamiento profesional y personal. Permiten la unificación de trabajo de personas, es decir, responsabilidades y funciones. Permiten recoger comentarios y observaciones que atiendan situaciones anormales. Mejorar las prácticas al interior de la organización. Logran asociar la filosofía de una organización al trabajo. Qué son las Políticas? Según la ISO/IEC: 17799 la define como la "Intención y dirección general expresada formalmente por la gerencia. Una definición más acaba es la que nos da ISACA: Las Políticas son documentos de alto nivel. Ellas representan la filosofía corporativa de una organización y el pensamiento estratégico de la alta gerencia y de los dueños de los procesos del negocio. Las políti...