Saltar al contenido principal

Ingeniería en seguridad de la información

Ingeniería en seguridad de la información. Definiendo requisitos técnicos

Portada » Blog Calidad y Excelencia » Ingeniería en seguridad de la información. Definiendo requisitos técnicos

Ingeniería en seguridad de la información

Ingeniería en seguridad de la información

La información circula a grandes velocidades a través de todos los dispositivos de tecnología. Detrás de los programas, servidores y equipos en que las organizaciones almacenan datos sobre empleados, clientes, proveedores, fórmulas de productos y directrices para prestar servicios, existen profesionales que hacen todo lo posible por resguardar los datos.

Nos referimos a los ingenieros en seguridad de la información. Estos se ocupan, entre otras cosas, de establecer las políticas, normas y protocolos para gestionar los riesgos de brechas de información en las organizaciones. Ellos se esfuerzan para abordar muchos aspectos de la seguridad de la información en decenas de niveles de detalle. Abordan aspectos tecnológicos y operativos, y se esmeran en llevar a cabo buenas prácticas organizacionales. En pocas palabras, se hacen cargo de buena parte de esta nueva forma de hacer negocios y de relacionarse.

Principios de seguridad de la información

Para estandarizar sus quehaceres y conferir eficacia a la labor ingenieril, los expertos crearon los principios de seguridad de la información. Su fin es cumplir con requisitos técnicos, operativos y garantizar las propiedades de la información. El propósito es el de crear un sistema más seguro. También se consideran asuntos no técnicos como políticas, procedimientos operativos, educación y formación de usuarios.

Descarga gratis e-book: La norma ISO 27001

Establecer una sólida política de seguridad como base para el diseño del sistema de gestión

La política de seguridad comienza con el compromiso básico sobre seguridad de la información de la organización, formulada como una declaración de política general. Luego, la política se aplica a todos los aspectos del diseño del sistema o solución de seguridad. La política identifica objetivos de seguridad que el sistema debe respaldar, y estos objetivos guían los procedimientos, estándares y controles utilizados en la arquitectura de seguridad de TI. La política también debe requerir la definición de activos críticos, las amenazas percibidas y funciones y responsabilidades relacionadas con la seguridad.

Tratar la seguridad como parte integral del diseño general del sistema

La seguridad debe ser considerada en el diseño del sistema de información. La experiencia ha demostrado que es difícil y costoso implementar medidas de seguridad de manera adecuada y exitosa. Ello incluye establecer políticas de seguridad, comprender los requisitos de seguridad resultantes, participar en la evaluación de productos de seguridad, en la ingeniería, diseño, implementación y disposición del sistema.

Delinear claramente los límites de seguridad físicos y lógicos regidos por políticas de seguridad asociadas

La tecnología de la información existe en ubicaciones físicas y lógicas, y existen límites entre estos lugares. Una comprensión de lo que debe protegerse de factores externos pueden ayudar a garantizar que se apliquen las medidas de protección adecuadas donde sean más eficaces. Para complicar aún más el asunto, muchas veces una sola máquina o el servidor puede albergar información confidencial no clasificada y de acceso público. Como resultado, se pueden aplicar múltiples políticas de seguridad a una sola máquina o dentro de un solo sistema. Por lo tanto, al desarrollar un sistema de información, los límites de seguridad deben ser considerados y comunicados en la documentación relevante del sistema y en las políticas de seguridad.

Reducir el riesgo a un nivel aceptable

El riesgo se define como la combinación de la probabilidad de que una amenaza particular explote intencionalmente o se active involuntariamente, causando un impacto adverso en las operaciones de la organización, activos, o individuos. Anteriormente, la evitación de riesgos era un objetivo común de seguridad de TI. Eso cambió a medida que se entendió mejor la naturaleza del riesgo. Hoy en día se reconoce que la eliminación de todos los riesgos no es rentable. Un análisis de costo-beneficio debe llevarse a cabo para cada control propuesto, porque puede que el sistema no justifique los costos directos e indirectos. Los beneficios incluyen más que solo prevención de pérdida de dinero; por ejemplo, los controles pueden ser esenciales para mantener la confianza pública. La meta es mejorar las capacidades de la misión/negocio, mitigando el riesgo de la misión/negocio a un nivel aceptable.

Existen más principios, todos ellos son tremendamente útiles. Te invitamos a leer la continuación de este artículo en una próxima entrega.

La Plataforma ISOTools facilita la gestión de la seguridad de la información

La ISO 27001 para los SGSI es sencilla de implantar, automatizar y mantener con la Plataforma Tecnológica ISOTools.

Con ISOTools se da cumplimiento a los requisitos basados en el ciclo PHVA (Planear – Hacer – Verificar – Actuar) para establecer, implementar, mantener y mejorar el Sistema Gestión de la Seguridad de la Información, así como se da cumplimiento de manera complementaria a las buenas prácticas o controles establecidos en ISO 27002.

ISOTools también permite aplicar los requisitos de otras normas de Seguridad de la Información como PMG SSI de los Servicios Públicos de Chile, entre otros.

Este software, permite integrar la ISO 27001 con otras normas, como ISO 9001, ISO 14001 y 45001 de una forma sencilla gracias a su estructura modular.

E-book gratis la norma ISO 27001

¿Desea saber más?

Entradas relacionadas

Control De Riesgos
Control de riesgos y productividad. Cómo encontrar el equilibrio

Control de Riesgos La gestión de riesgos implica la creación de valor y la protección de este. No…

Ver más
CISO
CISO. Director de Seguridad de la Información. Problemas habituales y funciones clave

CISO Las nuevas tecnologías aumentan cada vez más, y con ello la adaptación de las organizaciones a los…

Ver más
Familia De Normas ISO 45000
Familia de normas ISO 45000 para la seguridad y salud en el trabajo

Familia de normas ISO 45000 Para una adecuada gestión eficiente a las posibles crisis que ocurren en un…

Ver más
Gestión De La Cadena De Suministro
Cómo evaluar la madurez de los programas de gestión de la cadena de suministro

Gestión de la Cadena de Suministro Las compras representan más del 60%de las ventas en dólares, y son…

Ver más