Seguridad de la Información

Antes de señalar los Beneficios de la correcta implementación del Gobierno de Seguridad de la Información es importante precisar alguna definición de Gobierno. Usualmente en América Latina estamos familiarizados con los conceptos de Administración y Gestión, sin embargo, el concepto imperante en el mercado es la implementación de Gobierno Corporativo, Gobierno de la Organización. En lo general podemos aseverar que Gobierno se define con las Responsabilidades y Prácticas, Visión Estratégica, Lograr Objetivos, Administrar los Riesgos y el Uso Responsable de los Recursos en la Empresa. Gobierno es estructura con la cual se establecen los objetivos de la empresa, es determinar medios para alcanzar los objetivos y monitorear los medios para lograr los objetivos. El Gobierno responde con una estrategia la cual considerar factores como recursos disponibles y limitaciones: Recursos Disponibles: Procesos, Personas, Tecnologías, Arquitecturas Limitaciones: Tiempos, Costos, Re...

Hace mucho rato no publicaba nada en el blog, sin duda el que hacer del día a día nos priva de poder generar información. El presente artículo tiene como único fin poder compartir un esquema de documentación que he venido trabajando desde hace algún tiempo. Seguramente, los profesionales que se desempeñan en rol de Oficiales de Seguridad de la información, se han hecho la pregunta muchas veces ¿Que documentación debería tener una organización en relación a las Políticas de Seguridad?,  Pues bien, no hay una respuesta en el mercado con una solución mágica, sin embargo, creo que la siguiente imagen puede ser un punto de orientación o punto de partida para saber cual es el mapa de documentos que debemos generar. Si se aprecia correctamente, podrán notar que en el esquema solo figura la Política de Seguridad de la Información, documento que a mi gusto debe ser de alto nivel y aprobado por la Dirección de la organización, este documento no debe ser extenso...

Parte importante de todos los proyectos asociados a las Tecnologías de la Información son los Reportes o Informes de Gestión, estos nos permiten medir el nivel de servicio entregado y obtener visibilidad e información relevante en relación a los dispositivos configurados, ya sean servicios implementados in house o a través de proveedores. Sin duda he visto muchas implementaciones e integraciones de sistemas, donde finalmente los objetivos funcionan pero los reportes de gestión son malos e ineficientes sin que podamos dar visibilidad al negocio y poder mostrar parte del ROI justificando a posterior el por que pagaron por una determinada solución. Lo siguiente son consideraciones que he tomado para solicitar informes de gestión de un equipo FW el cual más bien es un UTM ( unified threat management): Luego de pensar en que informes se deben generar de este dispositvo he concluido lo siguiente: VPN: Conexiónes realizadas por usuario Cuenta de Dominio Utilizada, Nombre de ...

Realizando uso del tiempo libre en Internet, me tope con un video Venezolano el cual se títula "Los Diez Mandamiento del Password" este entrega algunos consejos a seguir respecto de la utilización de contraseñas, o como dice el periodista en el video "El Password". Las recomendaciones si bien todas aplican, me dejan la sensación de que existen contradicciones con otras tecnologías que se suelen utilizar en las organizaciones, p.e. SSO (Single Sign On), tal vez la entrevista no daba cabida a más información, de todas formas comparto el video y les dejo un documento que preparé hace un par de años con el objeto de concientizar a los usuarios de sistemas de información. En este link: http://howsecureismypassword.net/ podrán ingresar sus típicas contraseñas y ver que tan seguras son frente a los ataques de fuerza bruta, el tiempo que marca el sitio, es el tiempo que se demoraría el ataque utilizando el PC desde el cual ingresaste la contraseña. Si quieren contraseñ...

Los Procedimientos definen específicamente cómo las políticas, estándares, mejores prácticas y guías serán implementados en una situación dada. Los procedimientos son dependientes de la tecnología o de los procesos y se refieren a plataformas, aplicaciones o procesos específicos. Son utilizados para delinear los pasos que deben ser seguidos por una dependencia para implementar la seguridad relacionada a dicho proceso específico. Generalmente los procedimientos son desarrollados, implementados y supervisados por el dueño del proceso o del sistema. Los procedimientos segurán las políticas de la organización, los estándares, las mejores prácticas y las guías tan cerca como les sea posible, y a la vez se ajustarán a los requerimientos procedimentales o técnicos establecidos dentro de la dependencia donde ellos se aplican. Acorde a ISACA, los procedimiendos son documentos detallados. Deben derivarse de la política madre e implementar el espíritu (la intención) de la aseveración de la polí...

Siguiendo con las referencias a ISACA, es necesario enumerar los beneficios de CSA: Detección Temprana de Riesgos. Controles Internos más efectivos y mejorados. Creación de equipos cohesivos a través de la participación de los empleados. Desarrollo de un sentido de propiedad de los controles en los empleados y en los dueños del proceso y reducción de su resistencia a controlar las iniciativas de mejoramiento. Mayor conciencia de los empleados sobre los objetivos organizaciones y mayor conocimiento sobre riesgos y controles internos. Mayor comunicación entre los mandos operativos y la alta dirección. Empleados altamente motivados. Proceso mejorado de califiación en auditorías. Reducción en el costo del control. Mayor seguridad para los accionistas y clientes. Seguridad mínima para la alta dirección sobre lo adecuado de los controles internos, según requerimientos de diversas agencias regulatorias y de leyes tales como la Ley Americana Sarbanes-Oxley (El nombre de los diplomát...

Extraído de ISACA: Un documento de política de seguridad de información debe ser aprobado por la gerencia, publicado y comunicado a todos los empleados y terceros relevantes. El documento de política de seguridad de información debe establecer el compromiso de la gerencia y fijar el método de la organización para administrar la seguridad de información. El documento de política debe contener: Una definición de seguridad de información, sus objetivos generales y su alcance, y la importancia de la seguridad como un mecanismo que permite que se comparta la información. Una declaración de la intención de la gerencia, soportando las metas y los principios de la seguridad de la información en línea con la estrategia y los objetivos del negocio. Un marco para fijar los objetivos de control y los controles, incluyendo la estructura de la evaluación del riesgo y la administración del riesgo. Una breve explicación de las políticas de seguridad, los principios, los estándares y los requi...