NORMAS PARA ESTABLECER LA SEGURIDAD INFORMÁTICA

NORMAS PARA ESTABLECER LA SEGURIDAD INFORMÁTICA

Introducción

La computadora ha generado cambios y sin duda ese fue el descubrimiento más importante en el siglo XX, Hoy es imposible hablar de un sistema cien por cien seguros, sencillamente porque el costo de la seguridad total es muy alto. Por eso las empresas, en general, asumen riesgos: deben optar entre perder un negocio o arriesgarse a ser hackeadas. La cuestión es que, en algunas organizaciones puntuales, tener un sistema de seguridad muy acotado les impediría hacer más negocios.

El trabajo que se presenta a continuación, está enfocado a las Políticas de Seguridad Informática (PSI), que surgen como una herramienta organizacional para concientizar a cada uno de los miembros de una organización sobre la importancia y sensibilidad de la información y servicios críticos. Estos permiten a la compañía desarrollarse y mantenerse en su sector de negocios.

Desarrollo

El término política de seguridad se suele definir como el conjunto de requisitos definidos por los responsables directos o indirectos de un sistema que indica en términos generales qué está y qué no está permitido en el área de seguridad durante la operación general de dicho sistema. Al tratarse de `términos generales’, aplicables a situaciones o recursos muy diversos, suele ser necesario refinar los requisitos de la política para convertirlos en indicaciones precisas de qué es lo permitido y qué lo denegado en cierta parte de la operación del sistema, lo que se denomina política de aplicación específica.

Una política de seguridad informática es una forma de comunicarse con los usuarios, ya que las mismas establecen un canal formal de actuación del personal, en relación con los recursos y servicios informáticos de la organización.

No se puede considerar que una política de seguridad informática es una descripción técnica de mecanismos, ni una expresión legal que involucre sanciones a conductas de los empleados, es más bien una descripción de los que deseamos proteger y el por qué de ello, pues cada política de seguridad es una invitación a cada uno de sus miembros a reconocer la información como uno de sus principales activos así como, un motor de intercambio y desarrollo en el ámbito de sus negocios. Por tal razón, las políticas de seguridad deben concluir en una posición consciente y vigilante del personal por el uso y limitaciones de los recursos y servicios informáticos.

Surgen como una herramienta organizacional para concientizar a los colaboradores de la organización sobre la importancia y sensibilidad de la información y servicios críticos que permiten a la empresa crecer y mantenerse competitiva. Ante esta situación, el proponer o identificar una política de seguridad requiere un alto compromiso con la organización, agudeza técnica para establecer fallas y debilidades, y constancia para renovar y actualizar dicha política en función del dinámico ambiente que rodea las organizaciones modernas.

Características

La política se refleja en una serie de normas, reglamentos y protocolos a seguir, donde se definen las medidas a tomar para proteger la seguridad del sistema; pero ante todo, una política de seguridad es una forma de comunicarse con los usuarios. Siempre hay que tener en cuenta que la seguridad comienza y termina con personas, y debe:

• Ser holística (cubrir todos los aspectos relacionados con la misma).

• Adecuarse a las necesidades y recursos.

• Ser atemporal. El tiempo en el que se aplica no debe influir en su eficacia y eficiencia.

• Definir estrategias y criterios generales a adoptar en distintas funciones y actividades, donde se conocen las alternativas ante circunstancias repetidas.

• Otro punto importante, es que las políticas de seguridad deben redactarse en un lenguaje sencillo y entendible, libre de tecnicismos y términos ambiguos que impidan una comprensión clara de las mismas, claro está sin sacrificar su precisión.

• Deben seguir un proceso de actualización periódica sujeto a los cambios organizacionales relevantes, como son: el aumento de personal, cambios en la infraestructura computacional, alta rotación de personal, desarrollo de nuevos servicios, regionalización de la empresa, cambio o diversificación del área de negocios, etc.

Cualquier política de seguridad ha de contemplar los elementos claves de seguridad ya mencionados: la Integridad, Disponibilidad, Privacidad y, adicionalmente, Control, Autenticidad y Utilidad.

No debe tratarse de una descripción técnica de mecanismos de seguridad, ni de una expresión legal que involucre sanciones a conductas de los empleados. Es más bien una descripción de los que deseamos proteger y el porqué de ello.

Elementos de una Política de Seguridad

Como una política de seguridad debe orientar las decisiones que se toman en relación con la seguridad, se requiere la disposición de todos los miembros de la empresa para lograr una visión conjunta de lo que se considera importante.

Las Políticas de Seguridad Informática deben considerar principalmente los siguientes elementos:

• Alcance de las políticas, incluyendo facilidades, sistemas y personal sobre la cual aplica.

• Objetivos de la política y descripción clara de los elementos involucrados en su definición.

• Responsabilidades por cada uno de los servicios y recursos informáticos aplicado a todos los niveles de la organización.

• Requerimientos mínimos para configuración de la seguridad de los sistemas que abarca el alcance de la política.

• Definición de violaciones y sanciones por no cumplir con las políticas.

• Responsabilidades de los usuarios con respecto a la información a la que tiene acceso.

• Es necesario garantizar que los recursos del sistema se encontrarán disponibles cuando se necesitan, especialmente la información crítica.

• Los recursos del sistema y la información manejada en el mismo ha de ser útil para alguna función.

• Integridad: la información del sistema ha de estar disponible tal y como se almacenó por un agente autorizado.

• Autenticidad: el sistema ha de ser capaz de verificar la identidad de sus usuarios, y los usuarios la del sistema.

• Confidencialidad: la información sólo ha de estar disponible para agentes autorizados, especialmente su propietario.

• Posesión: los propietarios de un sistema han de ser capaces de controlarlo en todo momento; perder este control en favor de un usuario malicioso compromete la seguridad del sistema hacia el resto de usuarios.

Normativas

Para cubrir de forma adecuada los

...