Ofiseg Consulting, S.L.

Quienes somos

Servicios ofertados

Otros servicios

Legislación

 
   
 
Menú
Inicio
Quienes somos
Servicios ofertados
LOPD
UNE - ISO 27001
Otros servicios
Noticias
Legislación
Información

¿Qué es un SGSI?

SGSI son las siglas utilizadas para referirse a un Sistema de Gestión de la Seguridad de la Información, una herramienta de gran utilidad y de importante ayuda para la gestión de las organizaciones. Además del concepto central sobre el que se construye la norma ISO 27001.

Dado que la información es uno de los activos más importantes de toda organización, requiere junto a los procesos y sistemas que la manejan, ser protegidos convenientemente frente a amenazas que puedan poner en peligro la continuidad de los niveles de competitividad, rentabilidad y conformidad legal necesarios para alcanzar los objetivos de la organización.

Actualmente, la mayor parte de la información reside en equipos informáticos, redes de datos y soportes de almacenamiento, encuadrados todos dentro de lo que se conoce como sistemas de información. Estos sistemas de información están sujetos a riesgos e inseguridades tanto desde dentro de la propia organización como desde fuera. A los riesgos físicos (accesos no autorizados a la información, catástrofes naturales – fuego, inundaciones, terremotos ... – , vandalismo, etc.) hay que sumarle los riesgos lógicos (virus, ataques de denegación de servicio, etc.).

Es posible disminuir de forma significativa el impacto de los riesgos sin necesidad de realizar grandes inversiones en software y sin contar con una gran estructura de personal. Para ello se hace necesario conocer y afrontar de manera ordenada los riesgos a los que está sometida la información, y a través de la participación activa de toda la organización, contemplar unos procedimientos adecuados y planificar e implantar controles de seguridad basados en una evaluación de riesgos y en una medición de la eficacia de los mismos.

El Sistema de Gestión de la Seguridad de la Información (SGSI) en las empresas ayuda a establecer estas políticas, procedimientos y controles en relación a los objetivos de negocio de la organización, con objeto de mantener siempre el riesgo por debajo del nivel asumible por la propia organización. Para los responsables de la entidad es una herramienta, alejada de tecnicismos, que les ofrece una visión global sobre el estado de sus sistemas de información, las medidas de seguridad que se están aplicando y los resultados que se están obteniendo de dicha aplicación. Todos estos datos permiten a la dirección una toma de decisiones sobre la estrategia a seguir.

En definitiva, con un SGSI, la organización conoce los riesgos a los que está sometida su información y los gestiona mediante una sistemática definida, documentada y conocida por todos, que se revisa y mejora constantemente.

NORMATIVA

Con el fin de proporcionar un marco de Gestión de la Seguridad de la Información utilizable por cualquier tipo de organización, independientemente de su tamaño o actividad, se ha creado un conjunto de estándares bajo el nombre de ISO/IEC 27000.

A semejanza de otras normas ISO, la 27000 es realmente una serie de estándares. A continuación se incorpora una relación con la serie de normas ISO 27000 y una descripción de las más significativas:

Familia de normas 27000
Norma ISO/IEC

Título

ISO 27000 Gestión de la Seguridad de la Información: Fundamentos y vocabulario.
ISO 27001 Especificaciones para un SGSI.
ISO 27002 Código de Buenas Prácticas.
ISO 27003 Guía de Implantación de un SGSI.
ISO 27004 Sistema de Métricas e Indicadores.
ISO 27005 Guía de Análisis y Gestión de Riesgos.
ISO 27006 Especificaciones para Organismos Certificadores de SGSI.
ISO 27007 Guía para auditar un SGSI.
ISO 2701X Guías sectoriales.
ISO 27XXX Futuras normas.

GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN

La Seguridad de la Información

¿Qué es?

Es proteger la información de manera que esté siempre disponible, íntegra y sólo se distribuya a las personas autorizadas. La manera de hacerlo es mediante un Sistema de Gestión de Seguridad de la Información, basado en la Normas UNE-ISO/IEC 27001. Especificaciones para los Sistemas de Gestión de la Seguridad, que detalla los requisitos que debe cumplir un SGSI y la Norma ISO/IEC 27002.Código de Buenas Prácticas para la Gestión de la Seguridad de la Información, que da indicaciones prácticas para la implantación de los controles de seguridad

¿Qué es?

Es proteger la información de manera que esté siempre disponible, íntegra y sólo se distribuya a las personas autorizadas. La manera de hacerlo es mediante un Sistema de Gestión de Seguridad de la Información, basado en la Normas UNE-ISO/IEC 27001. Especificaciones para los Sistemas de Gestión de la Seguridad, que detalla los requisitos que debe cumplir un SGSI y la Norma ISO/IEC 27002.Código de Buenas Prácticas para la Gestión de la Seguridad de la Información, que da indicaciones prácticas para la implantación de los controles de seguridad

¿Para qué sirve?

Para cubrir la urgente necesidad de hacer frente a los riesgos a los que se enfrentan las empresas hoy en día, que impiden trabajar y ponen en peligro la información almacenada:

  • Software malicioso (virus, hackers, troyanos, etc. ),

  • Daños materiales (incendio, robo, averías internas, etc.),

  • Errores humanos (eliminación accidental de datos, etc.)

¿Qué implicaciones tiene?

Gestionar la seguridad, según la Norma ISO 27001 implica:

  • Definir la política de seguridad a seguir.

  • Inventariar los activos de información que existen en la organización (qué se quiere proteger)

  • Hacer un análisis de riesgos (qué puede pasar y cual sería su impacto en la organización)

  • Decidir las medidas de seguridad a adoptar en función de los resultados del análisis de riesgos (qué se va a hacer para proteger los activos)

Preparar un plan de acción

La norma es certificable, por lo que una vez implantado un Sistema de Gestión de Seguridad de la Información, se puede realizar una auditoría externa por una entidad acreditada para certificarlo.

 ¿Qué ventajas obtiene mi entidad?

  • Reducir costes mediante la prevención, eliminación o reducción eficaz del nivel de riesgo

  • Garantizar el cumplimiento de la legislación vigente y las normas y regulaciones internacionales

  • Mantener y mejorar la imagen corporativa

  • Garantizar la continuidad del negocio.

Optimizar los recursos asignados a la seguridad de la información

FASES DE LA IMPLANTACIÓN

Todos los Sistemas de Gestión de la Seguridad de la Información se basan en la necesidad de que la Seguridad de la Información esté en continua evolución y que, además, dicha evolución esté documentada y justificada.

El modelo en el que se basa el SGSI es denominado Modelo PDCA ("Plan-Do-Check-Act") que se representa en la siguiente figura:

 

Planificar

En esta primera fase se realiza un estudio de la situación de la Organización (desde el punto de vista de la seguridad), para estimar las medidas que se van a implantar en función de las necesidades detectadas.

Hay que tener en cuenta que no toda la información de la que dispone la organización tiene el mismo valor, e igualmente, no toda la información está sometida a los mismos riesgos. Por ello un hito importante dentro de esta fase es la realización de un Análisis de Riesgos que ofrezca una valoración de los activos de información y las vulnerabilidades a las que están expuestos. Así mismo se hace necesario una Gestión para dichos riesgos de cara a reducirlos en la medida de lo posible.

El resultado de este Análisis y Gestión de Riesgos será establecer una serie de prioridades en las tareas a realizar para minimizar dichos riesgos. Puesto que los riesgos nunca van a desaparecer totalmente, es importante que la Dirección de la Organización asuma un riesgo residual, así como las medidas que se van a implantar para reducir al mínimo posible dicho riesgo residual.

Ejecutar

En esta fase se lleva a cabo la implantación de los controles de seguridad escogidos en la fase anterior. En dicha implantación se instalarán dispositivos físicos (HW, SW, ...), pero también se creará o revisará la documentación necesaria (políticas, procedimientos, instrucciones y registros).

Dentro de esta fase es muy importante dedicar un tiempo a la concienciación y formación del personal de la empresa de cara a que conozcan los controles implantados.

Verificar

Es importante que la Organización disponga de mecanismos que le permitan evaluar la eficacia y éxito de los controles implantados. Es por esto que toman especial importancia los registros (evidencias) que dejan los diferentes controles, así como los indicadores que permiten verificar el correcto funcionamiento del SGSI

Actuar

En esta fase se llevarán a cabo las labores de mantenimiento del sistema así como las labores de mejora y de corrección si, tras la verificación, se ha detectado algún punto débil. Esta fase se suele llevar en paralelo con la verificación

De acuerdo con este modelo (PDCA), la metodología de implantación de un SGSI en una PYME contempla los pasos que se detallan en las siguientes etapas. Para cada una de ellas se identifican las acciones clave a llevar a cabo.

Establecimiento del SGSI

  • Inicio del Proyecto

    • Asegurar el compromiso de la Dirección.

    • Seleccionar y entrenar a los miembros del equipo inicial que participan en el proyecto.

  • Definición del SGSI

    • Identificación del alcance del SGSI y de la Política de Seguridad del SGSI.

    • Recopilar los documentos de seguridad existentes en la organización.

Preparar los procedimientos relacionados con la gestión y la operación del SGSI.

  • Análisis de Riesgos

    • Definición de una metodología para la clasificación de los riesgos.

    • Creación de un inventario de activos.

    • Evaluación de los activos a ser protegidos.

    • Identificación y evaluación de amenazas y vulnerabilidades de los activos.

    • Cálculo del valor de riesgo asociado a cada activo.

  • Gestión de Riesgos

    • Identificar y evaluar alternativas posibles para tratar los riesgos.

    • Seleccionar e implantar los controles correctos que le permitan a la organización reducir el riesgo a un nivel aceptable.

    • Redactar el documento de declaración de aplicabilidad (documento de selección de controles), que debe ser firmado por Dirección.

    • Identificar los riesgos residuales que han quedado sin cubrir y obtener la firma de Dirección.

    • Preparar el Plan de Tratamiento de Riesgos Preparar procedimientos para implantar los controles.

Implantación y Operación

  • Implantación del SGSI

    • Implantar el plan de tratamiento de riesgos.

    • Implantar políticas y procedimientos del SGSI.

    • Implantar los controles seleccionados.

  • Formación y sensibilización

    • Impartir formación entre los empleados sobre los nuevos procedimientos que se van a implantar.

    • Concienciar a la plantilla de la importancia que el proyecto de seguridad tiene para la Organización.

Monitorización y Revisión

  • Monitorización del SGSI

    • Ejecutar procedimientos de monitorización para detectar errores de proceso, identificar fallos de seguridad de forma rápida y acciones a realizar.

  • Revisión del SGSI

    • Revisiones periódicas de la política y alcance del SGSI, así como de su eficacia.

    • Revisiones de los niveles de riesgos residuales y riegos aceptables.

    • Auditorías internas/externas del SGSI.

Mantenimiento y Mejora

  • Mantenimiento del SGSI

    • Comunicar resultados de las auditorías a las partes interesadas.

    • Adoptar acciones correctivas y preventivas.

  • Mejora Continua

    • Medir el rendimiento del SGSI.

Implantar las mejoras identificadas en las revisiones del SGSI.

BENEFICIOS

  • Beneficios

    • Establecimiento de una metodología de gestión de la seguridad clara y estructurada.

    • Reducción del riesgo de pérdida, robo o corrupción de información.

    • Los clientes tienen acceso a la información a través medidas de seguridad.

    • Los riesgos y sus controles son continuamente revisados.

    • Confianza de clientes y socios estratégicos por la garantía de calidad y confidencialidad comercial.

    • Las auditorías externas ayudan cíclicamente a identificar las debilidades del sistema y las áreas a mejorar.

    • Posibilidad de integrarse con otros sistemas de gestión (ISO 9001, ISO 14001, OHSAS 18001…).

    • Continuidad de las operaciones necesarias de negocio tras incidentes de gravedad.

    • Conformidad con la legislación vigente sobre información personal, propiedad intelectual y otras.

    • Imagen de empresa a nivel internacional y elemento diferenciador de la competencia.

    • Confianza y reglas claras para las personas de la organización.

    • Reducción de costes y mejora de los procesos y servicio.

    • Aumento de la motivación y satisfacción del personal.

    • Aumento de la seguridad en base a la gestión de procesos en vez de en la compra sistemática de productos y tecnologías.

 

INDEX                  SERVICIOS                  OTROS SERVICIOS                 LEGISLACIÓN                 INFORMACIÓN                 NOTICIAS                  CONTACTO

Copyright © 2010       Ofiseg Consulting, S.L.       Derechos reservados.     Política de Privacidad de Datos.     Aviso Legal.