GESTIÓN DE RIESGO Y

CONTROL INFORMÁTICO
U2 Gestión de seguridad de la información

S3 Contexto de SGSI, introducción a los SGSI,

términos y definiciones
 S3| Contexto de SGSI, introducción a
los SGSI, términos y definiciones

ÍNDICE

►Sistema de Gestión Seguridad de la Información (SGSI) 3

►Elementos fundamentales de un sistema de seguridad de la información: 4
►Los aspectos claves son: 6
Índice S3| Contexto de SGSI, introducción a
los SGSI, términos y definiciones

SISTEMA DE GESTIÓN SEGURIDAD DE

LA INFORMACIÓN (SGSI)

La información que es almacenada Teniendo claros los objetivos en

y procesada por la organización está cuanto la seguridad de la información,
expuesta a una serie de amenazas, como: se debe asegurar el cómo lograrlo
eficazmente. El SGSI es la mejor forma
► Ataques de lograrlo.

► Error Podemos decir que un SGSI, es un

conjunto de políticas, procedimientos y
► Ambiental directrices, junto a los recursos y activi-
dades, que tiene como objetivo principal,
► Fallo en los sistemas proteger sus activos de información.

Se debe lograr que la información sea
precisa y completa, además de disponible
de manera oportuna, para todas aquellas
personas autorizadas. Para poder inte-
rrelacionar y coordinar las diferentes
actividades de protección que aseguran la
información, las organizaciones necesitan
establecer sus políticas y objetivos para
la seguridad de la información, siempre
dentro de los marcos globales.
Desde la ISO 27001, el SGSI tiene
un enfoque sistemático que permite
diseñar, implementar, operar, moni-
torear, revisar, mantener y mejorar la
seguridad de la información, dentro de
la organización en la que se implementa.
Los sistemas de seguridad de la infor-
mación están basados en tres principios
básicos:
 S3| Contexto de SGSI, introducción a
Índice
los SGSI, términos y definiciones

Confidencialidad: la información es ► Responsabilidades: establecer las

propiedad exclusiva y debe preservarse,
esta es una característica esencial de
la información corporativa en la que los
datos internos no se revelan ni se ponen a
disposición de terceros.
Integridad: busca prevenir que la infor- ► Interacción por parte de la dirección,
mación se mantenga sin alteraciones,
solo es posible mediante autorización.
Disponibilidad: el sistema informá-
tico debe trabajar sin que exista una
degradación en cuanto al acceso de la
información. Este debe tener pleno acceso
al manejo de la información que esté en la
base de datos de la organización y a los
sistemas que la administra.
ELEMENTOS
FUNDAMENTALES
DE UN SISTEMA DE
SEGURIDAD DE LA
INFORMACIÓN:
competencias y las responsabilidades
en cada uno de los activos fijados.
► Formación entre los empleados
de la organización, en materia de
seguridad de la información.
un aumento del compromiso.
► Evaluación de riesgos: define el
estado actual de la organización y
las estrategias, y se anticipa ante
cualquier elemento que pueda afectar
esos activos de la información.
► Previene activamente y detecta
incidentes de seguridad de
la información.
► Asegura un enfoque integral
de gestión de seguridad de la
información.
► Mejora continua.
Los principales beneficios de imple-
mentar un sistema SGSI para la seguridad
de sus datos son:

► Reducción de riesgos: se identifi-

► Análisis del contexto: estudiar a carán los riesgos y amenazas basados
fondo la organización para com- en los controles, protocolos, políticas
prender todos los elementos que y monitorización de procesos,
pueden afectar el sistema de reduciendo el número de amenazas.
seguridad de la información.
Si se produce un incidente relacionado
► Análisis de las partes interesadas: con los datos, la organización estará pre-
conocer los elementos internos parado para actuar de forma inmediata
o externo. minimizando su impacto.

4
 S3| Contexto de SGSI, introducción a
Índice
los SGSI, términos y definiciones

► Reducción de costes: evalúa y detecta amenazas, descartando aquellos poco

eficaces. Usando racionalmente los recursos se conseguirá un ahorro de costes
en seguridad.

► Integración de la seguridad en el negocio: implica que todos los miembros de

la empresa deben hacer un cambio de mentalidad, logrando que la seguridad
uno de los componentes más importantes en cualquier proceso o actividad del
negocio.

► Cumplimiento de la normativa vigente en seguridad: las leyes nacionales

e internacionales para el tratamiento y protección de datos estarán cubiertas
garantizando que se cumplen en todos los niveles o áreas de la empresa.

Con este sistema se dispondrá de una prestigiosa certificación ISO de seguridad

que será un elemento diferenciador con la competencia.

Podemos concluir que el SGSI es un sistema dinámico que busca como objetivo la
mejora continua, en los procesos detección, evaluación y reducción de amenazas y
riesgos de la información.

Es un ciclo repetitivo, con cambios de planificación, implementación, monitoreo y

controles. La implementación de un SGSI establece una serie de procesos y controles
que protegen el acceso a la información.

Con un SGSI la organización, incrementa de forma considerable su nivel de

protección reduciendo los riesgos de sufrir cualquier tipo de ataque y permitir que se
tenga un plan para minimizar sus consecuencias en caso de que se produzcan.

5
Índice S3| Contexto de SGSI, introducción a
los SGSI, términos y definiciones

LOS ASPECTOS CLAVES SON:

Establecer una política, unos objetivos y con la política de seguridad, como sus
unos planes en seguridad de la información. responsabilidades legales y la necesidad de
mejora continua.
Descripciones vagas, poco claras o
excesivamente generales en cómo la El liderazgo incluye determinar los cri-
seguridad de la información ayuda a terios y tolerancia del riesgo, priorización del
toda la organización a alcanzar los obje- riesgo, delegar la autoridad y la toma oportuna
tivos globales provocan desorientación y de decisiones para el uso de los recursos.
confusión en toda la organización.
La entidad que toma las decisiones debe
Es esencial que cada empleado y disponer de una autoridad definitiva para
colaborador externo tenga referencias decisiones de control, de uso de recursos
específicas de cómo aporta a los y delegación de acciones.
objetivos del SGSI desde su puesto de
trabajo. Realizar revisiones del SGSI con el resul-
tado de las auditorías internas realizadas,
Establecer roles y responsabilidades de entre otros puntos de norma.
seguridad de la información.
Las acciones deberían tener designados
Las labores relacionadas con el lide- propietarios para cada acción a modo de
razgo pueden delegarse, pero no las responsables de informar sobre el progreso
responsabilidades asociadas a los líderes.

Comunicar a la organización tanto la Sin acciones oportunas, la organi-

importancia de lograr los objetivos de zación experimentará una prolongada
seguridad de la información y de cumplir exposición al riesgo.