En este video del curso trataremos la definición de seguridad de la información qué es seguridad de
la información.
La información como tal es un activo para la empresa ya hace muchos años quedó atrás el tema de por
qué la información es un activo básicamente porque nos damos cuenta que hoy en día la información que
manejan las empresas es algo estratégico importante que puede darle la diferencia con la competencia
y eso lo vemos tanto a nivel de comercio como a nivel de gobierno.
Hoy en día el tema de la información que busca un gobierno de otro así como empezó siendo a nivel de
comercio cuando la competencia nuestra buscaba información nuestra para adelantarse en estrategias de
negocios y demás pues hoy en día vemos que eso pasa hasta a nivel de gobierno también y vemos el caso
Snowden y vemos el tema de WikiLeaks y vemos cómo la información como tal son activos importantísimos
y lo podemos ver tanto a ese nivel macro de ciberseguridad como a un nivel personal.
Nosotros también tenemos información y también tenemos información que manejamos cuando estamos con
la familia con nuestros hijos.
También podemos ser víctimas de ese tipo de ataques y también podemos darle un valor a nuestra información
de acuerdo a cómo pueden llegar a impactar nuestras vidas.
Entonces esa es la razón por la que la información es un activo y de por qué hay que protegerla.
La seguridad de la información es el conjunto de medidas preventivas y reactivas de las organizaciones
y de los sistemas tecnológicos que permiten resguardar y proteger la información buscando mantener la
confidencialidad la disponibilidad e integridad de datos y de la misma.
El concepto de seguridad de la información no debe ser confundido con el de seguridad informática ya
que este último sólo se encarga de la seguridad en el medio informático pero la información puede encontrarse
en diferentes medios o formas y no sólo en medios informáticos para el hombre como individuo.
La seguridad de la información tiene un efecto significativo respecto a su privacidad la que puede cobrar
distintas dimensiones dependiendo de la cultura del mismo el campo de la seguridad de la información
ha crecido y evolucionado considerablemente a partir de la Segunda Guerra Mundial convirtiéndose en
una carrera acreditada a nivel mundial.
Este campo ofrece muchas áreas de especialización incluidos la auditoría de sistemas de información
planificación de la continuidad del negocio ciencia forense digital y Administración de Sistemas de
Gestión de Seguridad entre otros cómo vamos a proteger ese activo recordemos que todos esos canales
de información que hemos visto a través del medio impreso electrónico a través de la transmisión almacenamiento
o el procesamiento tienen ligado al factor humano siempre va a estar allí la interfaz humana siempre
va a estar el factor humano en ese procesamiento en esa transmisión y en ese almacenamiento de la información.
Nosotros podemos configurar las herramientas nosotros podemos parametrizar las aplicaciones podemos
parametrizar las conclusiones en un sistema de información pero con las personas la única manera de
hacer esa configuración y hacer esa parametrización es a través de las políticas y los procedimientos
es la forma cómo podemos hacerlo para ese factor humano entonces un buen comienzo es iniciar por ahí
y muchos sistemas de gestión de seguridad de la información en mi experiencia son hechos a través de
las herramientas y las soluciones pero muy poco pensados a través de las políticas y los procedimientos
entonces se encuentra uno políticas de seguridad en las que dice por ejemplo todos los funcionarios
de una entidad deberán conectarse a una red WiFi segura imagínese traten ustedes de explicarles a un
usuario final que es una red WiFi segura o con qué criterios ellos van a saber si una red wifi es segura
o no. Entonces desde ese mismo diseño de la política ya estamos arrancando mal porque si tenemos una
buena intención de que nuestros usuarios se conecten desde una red WiFi segura pero ni ellos saben identificarla.
Les hemos dado una aplicación manual una documentación donde ellos puedan identificar cuándo una red
wifi es segura cuándo no o de todas las que tienen disponibles son seguras y cuáles no. Entonces básicamente
desde allí pueden llegar a partir muchos problemas en lo que tiene que ver con el Sistema de Gestión
de Seguridad de la información desde las mínimas definiciones de las políticas hablemos de los procedimientos.
Muchas veces nosotros tenemos cuando adoptamos a la persona que ejecuta el rol de administrador de firewall.
Cuando editamos el administrador de la base de datos ellos nos pueden explicar claramente cómo hacen
su trabajo pero esto es importantísimo que esté documentado en ese paso a paso que nos está explicando
debe estar documentado tanto como si esa persona se va y tiene alguien que reemplazarla ya sea temporalmente
o definitivamente como por poder establecer si ese paso a paso es la mejor manera de hacer las cosas
o de pronto hay una mejor manera de hacerlo.
Básicamente los procedimientos sirven para eso para detallar paso a paso y que se definan de la mejor
manera y se vayan mejorando y se vayan enriqueciendo.
Entonces esa es de las primeras cosas que se deben definir en un sistema de estudio de seguridad de
la información para que de allí en adelante empiecen a partir los controles y saber si los controles
los podemos apoyar en una herramienta o basta con un control manual dependiendo del tamaño de la organización
y otros aspectos en el rol de auditor o implementadores.
Hace mucha falta el procedimiento para poder saber si lo están haciendo bien o no piense en cómo podría
auditar la gestión que puede estar haciendo el administrador de firewall si no hay documentación si
no hay un procedimiento si no hay un paso a paso es muy difícil auditar.
Entonces empecemos por ahí si no hay un proceso documentado si la forma en la que se hace no se rige
a la política pues ya empezamos a tener cuestiones de incumplimiento no más en el proceder del control.
Y más allá podemos comenzar a encontrar oportunidades de mejora o no conformidades que nos van a ayudar
a saber si el control es efectivo o no dentro del rol de consultor o de implementación.
Debemos apoyar en la creación de procedimientos políticas procesos e instrucciones de trabajo que soporten
un sistema de seguridad de la información.