¿Que tan segura esta tu empresa?

La norma ISO 27001 define activo de información como los conocimientos o datos que tienen valor para una organización, mientras que los sistemas de información comprenden a las aplicaciones, servicios, activos de tecnologías de información u otros componentes que permiten el manejo de la misma.

Por lo tanto, la ciberseguridad tiene como foco la protección de la información digital que “vive” en los sistemas interconectados. En consecuencia, está comprendida dentro de la seguridad de la información.

Las malas prácticas de seguridad que la propician se presentan en una gran variedad de escenarios durante el ciclo de vida de la información: creación, procesamiento, almacenamiento, transmisión y transformacion.

Durante la creación o la adquisición de la información olvidamos definir cuáles van a ser las reglas del uso de la misma, comenzando así los problemas de control. ¿Quiénes tendrán acceso? ¿En cuáles dispositivos se podrá almacenar? ¿A quiénes se podrá transferir? ¿Se puede publicar? ¿Durante cuánto tiempo será útil? Son preguntas que podríamos plantearnos justo en el momento de adquirir o crear dichos medios, no sólo para información laboral, también para la personal.

Hoy en día cada vez que se habla mas de fraudes informáticos, hackeo, malware, ransonware, etc..y las organizaciones gastan millones de en tecnología para contrarrestar los efectos o impacto negativos que la causan.

A pesar de lo que gastan las empresas o instituciones ¿Por que las siguen hackeando? ¿Que es lo que esta fallando?. Lo que he visto en la practica es que falla la gestión o administración de la Información.

La seguridad de la Información la componen tres elementos: Tecnología, Procesos y Personas.

La tecnología para ser aprovechada al máximo, necesita de procesos y que al mismo tiempo se regule la operación y se de cumplimiento a regulaciones y normatividad asociadas al uso de la tecnología.

De nada sirve contar con procesos operativos bien definidos y documentados si las personas encargadas de operarlos no lo hacen eficientemente aquellas personas encargadas de interpretar las alarmas y monitoreo no toman acciones en base en esa información.

Cuantas veces esas alarmas son ignoradas, ya sea por desconocimiento, por no darle la importancia o es considerada irrelevante por que nunca ha pasado nada.

Todas las alarmas deben ser tomadas como una amenaza potencial, sin importar su nivel de riesgo debe analizarse y determinar que tan peligrosa es, para decidir las acciones correctivas que permitan mitigar o prevenir e riesgo.

Algunas empresas consideran que invertir e tecnología es suficiente para estar protegidos, sin embargo esta es una mala percepción, se necesita ademas políticas y procedimientos, personas que opere y monitoree la información que genera la tecnología ademas de un plan de recuperación de desastres bien documentado DRP(Disaster Recovery Plan).

 

Comparte este articulo en tus redes sociales
Share on Facebook
Facebook
Tweet about this on Twitter
Twitter
Share on LinkedIn
Linkedin
Email this to someone
email

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *