Seguridad

Introducción

Los cinco niveles de madures de acuerdo al CMM se definen como una guía para obtener mejores resultados en el proceso de Seguridad de la información, para así lograr determinar el estado de la seguridad de la información en una organización, se realizó una investigación sobre cada nivel y una descripción de cómo aplicar cada uno a la seguridad informática en el siguiente contenido.

Objetivo

Identificar y describir los niveles de madurez de acuerdo al CMM

Los cinco niveles pueden describirse como:

Nivel 1: El Nivel Inicial

En este nivel no se tiene una evaluación de riesgos que permitan establecer o medir el grado de riesgo que existen en la información, por lo tanto los controles que fueron definidos son informales ya que no están definidos bajo un estándar, y se está actuando en forma reactiva. Por lo tanto el éxito de la seguridad depende del talento de las personas involucradas en su mantenimiento.

Descripción:

Existe la necesidad de definir procedimientos claros para dar una respuesta proactiva a las amenazas de intrusión, virus, robo de equipos y de información, que se presenten en la organización, se debe crear un grupo de personas responsables para tratar la seguridad informática dentro de la organización.

Nivel 2: El Nivel Gestionado

Existen procesos básicos de gestión de la seguridad de la información, los controles existentes hacen que se puedan detectar posibles incidentes de seguridad, y así poder mitigar los riesgos que pongan en peligro la información.

Descripción:

Se deben crear Políticas de Seguridad de la Información de la organización basadas en estándares internacionales, Se cuenta con un grupo de personas responsables, con el cual se busca trabajar temas de seguridad informática que sean de interés para la organización, así mismo se identifican sus vulnerabilidades y amenazas, elaborar un informe de los incidentes de seguridad ocurridos, deben existir planes de continuidad. Se cuenta con procedimientos que indican a los empleados como manejar la información y los equipos de cómputo en forma segura.

Nivel 3: El Nivel Definido

Existe un sistema de gestión de seguridad de la información, documentado y estandarizado dentro de la organización, todos los controles son debidamente documentados, aprobados, implementados, y actualizados.

Descripción:

Se deben divulgar las Políticas de Seguridad de la Información en toda la organización, y está a cargo del grupo responsable de la seguridad, Se logra un compromiso de los empleados con la seguridad informática. Se establecen los controles y las medidas necesarias para disminuir los incidentes y para prevenir su ocurrencia en el futuro.

Nivel 4: El Nivel Gestionado Cuantitativamente

La organización realiza auditorías al sistema de gestión de seguridad de la información y recolecta métricas para establecer la efectividad de los controles y cumplimiento de los mismos.

Descripción:

Se hacen revisiones periódicas o se monitorean los activos de la organización

...