Politicas de Seguridad Informática – Primera Parte

"Cuando no ocurre nada, nos quejamos de lo mucho que gastamos en seguridad. Cuando algo sucede, nos lamentamos de no haber invertido más... Más vale dedicar recursos a la seguridad que convertirse en una estadística."

Hoy es imposible hablar de un sistema cien por cien seguro, sencillamente porque el costo de la “seguridad total” es muy alto. Por eso las empresas, en general, asumen riesgos: deben optar entre ganar menos dinero con su negocio o arriesgarse a ser hackeadas.

La solución a medias, entonces, sería acotar todo el espectro de seguridad, en lo que hace a plataformas, procedimientos y estrategias. De esta manera se puede controlar todo un conjunto de vulnerabilidades, aunque no se logre la seguridad total. Y esto significa ni más ni menos que un gran avance con respecto a unos años atrás.

Algunas organizaciones gubernamentales y no gubernamentales internacionales han desarrollado documentos, directrices y recomendaciones que orientan en el uso adecuado de las nuevas tecnologías para obtener el mayor provecho y evitar el uso indebido de la mismas, lo cual puede ocasionar serios problemas en los bienes y servicios de las empresas en el mundo.

En este sentido, las Políticas de Seguridad Informática (PSI), surgen como una herramienta organizacional para concientizar a cada uno de los miembros de una organización sobre la importancia y sensibilidad de la información y servicios críticos. Estos permiten a la compañía desarrollarse y mantenerse en su sector de negocios.

Primera Política de Seguridad Informática – Evaluación de Riesgos:

El análisis de riesgos supone más que el hecho de calcular la posibilidad de que ocurran cosas negativas.

• Se debe poder obtener una evaluación económica del impacto de estos sucesos. Este valor se podrá utilizar para contrastar el costo de la protección de la información en análisis, versus el costo de volverla a producir (reproducir).
  
  
• Se debe tener en cuenta la probabilidad que sucedan cada uno de los problemas posibles. De esta forma se pueden priorizar los problemas y su coste potencial desarrollando un plan de acción adecuado.
  
  
• Se debe conocer qué se quiere proteger, dónde y cómo, asegurando que con los costos en los que se incurren se obtengan beneficios efectivos. Para esto se deberá identificar los recursos (hardware, software, información, personal, accesorios, etc.) con que se cuenta y las amenazas a las que se está expuesto.

La evaluación de riesgos y presentación de respuestas debe prepararse de forma personalizada para cada organización; pero se puede presuponer algunas preguntas que ayudan en la identificación de lo anteriormente

• "¿Qué puede ir mal?"
  
  
• "¿Con qué frecuencia puede ocurrir?"
  
  
• "¿Cuáles serían sus consecuencias?"
  
  
• "¿Qué fiabilidad tienen las respuestas a las tres primeras preguntas?"
  
  
• "¿Se está preparado para abrir las puertas del negocio sin sistemas, por un día, una semana, cuanto tiempo?"
  
  
• "¿Cuál es el costo de una hora sin procesar, un día, una semana...?"
  
  
• "¿Cuánto, tiempo se puede estar off-line sin que los clientes se vayan a la competencia?"
  
  
• "¿Se tiene forma de detectar a un empleado deshonesto en el sistema?"
  
  
• "¿Se tiene control sobre las operaciones de los distintos sistemas?"
  
  
• "¿Cuantas personas dentro de la empresa, (sin considerar su honestidad), están en condiciones de inhibir el procesamiento de datos?"
  
  
• "¿A que se llama información confidencial y/o sensitiva?"
  
  
• "¿La información confidencial y sensitiva permanece así en los sistemas?"
  
  
• "¿La seguridad actual cubre los tipos de ataques existentes y está preparada para adecuarse a los avances tecnológicos esperados?"
  
  
• "¿A quien se le permite usar que recurso?"
  
  
• "¿Quién es el propietario del recurso? y ¿quién es el usuario con mayores privilegios sobre ese recurso?"
  
  
• "¿Cuáles serán los privilegios y responsabilidades del Administrador vs. la del usuario?"
  
  
• "¿Cómo se actuará si la seguridad es violada?"
  
  
  

Una vez obtenida la lista de cada uno de los riesgos se efectuará un resumen del tipo:

Tipo de Riesgo	Factor
Robo de hardware	Alto
Robo de información	Alto
Vandalismo	Medio
Fallas en los equipos	Medio
Virus Informáticos	Medio
Equivocaciones	Medio
Accesos no autorizados	Medio
Fraude	Bajo
Fuego	Muy Bajo
Terremotos	Muy Bajo

Según esta tabla habrá que tomar las medidas pertinentes de seguridad para cada caso en particular, cuidando incurrir en los costos necesarios según el factor de riesgo representado.