Es esencial contar con una gestión integral de riesgos en materia de ciberseguridad y seguridad de la información.
LIDECO y Quinta Disciplina Consultores (QDC) vienen desarrollando un trabajo conjunto poniendo a disposición de nuestros asociados servicios de consultoría en materia de seguridad de la información. Como institución dedicada al tratamiento de datos, consideramos importante y esencial a nuestra labor, promover la instrumentación de las mejores prácticas en materia de protección del principal activo de las organizaciones: su información.
Las ventajas de la digitalización en la vida empresarial y organizacional son innegables. Concomitantemente, con esta realidad surgen nuevas amenazas que ponen en riesgo no solamente la información de una organización sino la continuidad de la actividad de negocios, con la consecuente afectación de imagen que todo ello implica.
A la par que en las empresas crece la profesionalización de las funciones que velan por la seguridad de la información, crece la de quienes se dedican a vulnerar esa seguridad. Personas y empresas están expuestas a la acción de hackers que buscan robar o destruir datos, como también afectar los procesos esenciales para la continuidad del negocio. En este sentido, se reporta una tendencia alcista en la cantidad de incidentes de ciberseguridad detectados.
Se impone que las organizaciones asuman la necesidad de una sensibilización y actualización permanente en esta materia, procurando conocer los recursos que los hackers utilizan para vulnerar las barreras de seguridad, conocer las áreas de debilidad que deben ser reforzadas a efectos de impedir la acción de aquellos, así como también diseñar respuestas que, ante un ataque efectivo, permitan a la organización sostener la continuidad del negocio a la par que se solucionar los incidentes que pudieran afectarlo.
Como aspectos claves de este tema, podemos señalar que:
- La seguridad de la información es un tema estratégico para toda organización.
- Lo anterior implica que deben realizarse esfuerzos constantes para que todas las personas de la organización perciban la relevancia del tema y actúen tomando todas las medidas preventivas que estén a su alcance, pues la fortaleza del sistema está condicionada en última instancia por la conducta de los individuos.
- Las organizaciones deben destinar recursos a la formación y capacitación constante de los profesionales de la seguridad de la información.
- La confiabilidad (que la información esté al alcance de las personas autorizadas), la integridad (que la información sea exacta y completa) y la disponibilidad (que la información esté accesible cuando se la necesita), son tres aspectos clave en materia de seguridad de la información. La estrategia y política en materia de seguridad de la información debe contemplar el equilibrio entre esos elementos.
- Los riesgos vinculados a la seguridad de la información deben incluirse dentro de la estrategia general de gestión de riesgos de la organización. Elo implica definir el alcance de la información y procesos a proteger, incluir los procesos de proveedores y contactos externos, identificar amenazas, investigar vulnerabilidades y acciones correctivas, evaluar riesgos y establecer planes de mitigación y contingencia.
Las amenazas a las que están expuestas las organizaciones y personas son diversas. Una organización donde la dirección incorpora en su estrategia la gestión de riesgos de seguridad de la información, debe considerar los aspectos arriba mencionados para disponer que las personas sean capacitadas, que se introduzcan sistemas y mecanismos tecnológicos de protección y que se monitoree en forma constante la eficacia de la formación y de los sistemas implementados.
Generar una cultura de seguridad de la información, es un componente de alto impacto en esta materia, pues facilitará que se consideren esenciales las iniciativas de prevención y de anticipación que eviten una posible interrupción de los servicios que se brindan a los clientes debido a incidentes de seguridad. Tan grave como no contener un ciberataque es no contar con mecanismos de respuesta para contrarrestar sus efectos cuando el mismo se concreta.
La adopción de buenas prácticas en materia de seguridad de la información y continuidad del negocio debe ser prioritaria para toda organización. Ello requiere:
- Realizar estudios de impacto que identifiquen las áreas críticas desde la perspectiva financiera, operacional, reputacional y legal.
- Contar con planes de continuidad y recuperación de desastres previendo la posibilidad de que fallen los sistemas y los ataques se concreten.
- Asumir el tema dentro de un proceso de mejora continua que contemple los cambios tecnológicos y en las operaciones de la organización.
- Probar en forma permanente la efectividad de los planes de continuidad.
En ese marco, la definición del tiempo máximo de información que se tolera perder en el contexto de un desastre resulta clave y no puede ser ignorada por la dirección, pues condiciona la infraestructura que se necesita para funcionar en paralelo mientras se solucionan las dificultades.
Otro tema relevante es el tiempo de recuperación para volver a restablecer las operaciones con normalidad, aspecto que debe estar contemplado y evaluado para que la organización pueda dar una respuesta adecuada.
Es bueno insistir en la toma de conciencia por parte de todo el personal es un factor transversal de alta relevancia: de nada sirven las previsiones tecnológicas o la inversión en equipos si dado un evento, incidente o desastre las personas de la organización no saben cómo proceder o a quién informar.
LIDECO está a disposición de sus asociados, junto a QDC, para acompañarlos en el proceso de diagnóstico, prevención e implementación de Sistemas de Gestión en materia de seguridad de la información.
Por consultas, dirigirse a Esta dirección de correo electrónico está siendo protegida contra los robots de spam. Necesita tener JavaScript habilitado para poder verlo.