Políticas de seguridad basadas en normas internacionales

Seguridad

Podemos entender como seguridad un estado de cualquier tipo de información que nos indica que
ese sistema está libre de peligro, daño o riesgo. Se entiende como peligro o daño todo aquello que
pueda afectar su funcionamiento directo o los resultados que se obtienen del mismo. Para que un
sistema se pueda definir como seguro debe tener estas tres características:

 Integridad: La información sólo puede ser modificada por quien está autorizado y de
manera controlada.
 Confidencialidad: La información sólo debe ser legible para los autorizados.
 Disponibilidad: Debe estar disponible cuando se necesita.

Seguridad de la Información

En muchas organizaciones la seguridad de la información es tratada como un problema sólo

tecnológico, sin tomar en cuenta que la seguridad de la información es un problema organizativo
y de gestión, lo que con lleva a que las organizaciones no sean capaces de afrontar ataques
provenientes de todos los ángulos.

No es suficiente contar con tecnología sofisticada, la gestión implica conocer la situación,

determinar un objetivo y tomar las acciones necesarias para conseguirlo.

La definición de un modelo para la gestión de la seguridad de la información implica involucrar

a toda la organización y no sólo al área encargada de implantar el modelo, lo cual trae como
resultado el éxito del proyecto tanto en su implantación como en su mantenimiento.

¿Qué son las políticas de seguridad?

Las políticas de seguridad son un conjunto de reglas, normas y protocolos de actuación que se
encargan de velar por la seguridad informática de la empresa. Se trata de una especie de plan
realizado para combatir todos los riesgos a los que está expuesta la empresa en el mundo digital.
De esta forma mantendremos nuestra organización alejada de cualquier ataque externo peligroso.

Métodos para definir Políticas de Seguridad

Para definir una política de seguridad informática se han desarrollado distintos métodos,
diferenciándose especialmente por la forma de analizar los riesgos. Algunos de ellos son:

Método MEHARI (Método armonizado de análisis de riesgos), se basa en mantener los riesgos a
un nivel convenido mediante un análisis riguroso y una evaluación cuantitativa de los factores de
riesgo.
Método EBIOS (expresión de las necesidades e identificación de los objetivos de seguridad),
permite apreciar y tratar los riesgos relativos a la seguridad de los sistemas de información.

La norma ISO/IEC 27001 es certificable ya que especifica los requisitos para establecer,
implantar, mantener y mejorar un sistema de gestión de la seguridad.

¿Qué son las normas ISO?

Una norma ISO es un documento de aplicación voluntaria por parte de una empresa que contiene
especificaciones técnicas basadas en los resultados de la experiencia y el desarrollo tecnológico.
Estas normas garantizan que se cumplen unos niveles de calidad y seguridad que se ajustan con
los requisitos de los clientes, y que permiten a cualquier empresa posicionarse mejor en el
mercado.

¿Cómo funciona la ISO 27001?

El eje central de ISO 27001 es proteger la confidencialidad, integridad y disponibilidad de la
información en una empresa. Esto lo hace investigando cuáles son los potenciales problemas que
podrían afectar la información (es decir, la evaluación de riesgos) y luego definiendo lo que es
necesario hacer para evitar que estos problemas se produzcan (es decir, mitigación o tratamiento
del riesgo).

Por lo tanto, la filosofía principal de la norma ISO 27001 se basa en la gestión de riesgos:
investigar dónde están los riesgos y luego tratarlos sistemáticamente.

¿Cómo obtener la certificación?

Para obtener la certificación como organización, se debe implementar la norma tal como se
explicó en las secciones anteriores y luego se debe aprobar la auditoría que realiza la entidad de
certificación. La auditoría de certificación se realiza siguiendo estos pasos:
 1° paso de la auditoría (revisión de documentación): los auditores revisarán toda la
documentación.
 2° paso de la auditoría (auditoría principal): los auditores realizarán la auditoría in situ para
comprobar si todas las actividades de una empresa cumplen con ISO 27001 y con la
documentación del SGSI.
 Visitas de supervisión: después de que se emitió el certificado, y durante su vigencia de 3 años,
los auditores verificarán si la empresa mantiene su SGSI.

Bibliografía
Políticas de seguridad. (2019). Retrieved from http://e-
ducativa.catedu.es/44700165/aula/archivos/repositorio/1000/1063/html/31_polticas_de_segu
ridad.html
¿Qué es norma ISO 27001?. (2019). Retrieved from
https://advisera.com/27001academy/es/que-es-iso-27001/