La Función De Seguridad Informática En La Empresa

La función de Seguridad Informática en la empresa

Este siempre ha sido un tema complicado porque cada organización es distinta y no hay un acuerdo sobre la mejor manera de organizar un área de seguridad informática en una empresa.

Por lo tanto lo que les expongo aquí no es una mejor práctica, simplemente se trata de algunas sugerencias basadas en mi experiencia.

Componentes principales de un área de seguridad informática

Existen diversas funciones que debe desempeñar un área de seguridad informática y éstas se pueden agrupar de la siguiente manera:

Hay un par de áreas que no son tan comunes y que están en color gris en el diagrama: normatividad y desarrollo. Al revisar las responsabilidades y funciones de cada área quedará más claro el por qué. Por lo pronto les comento que es menos probable encontrar estas 2 áreas en empresas medianas o pequeñas, mientras que en empresas grandes es más común que existan las 4 áreas junto con la figura del líder de área.

Líder de área Esta figura, a la cual se le suele conocer como CISO (Chief Information Security Officer - Oficial de Seguridad informática). Entre sus responsabilidades se encuentran:

• Administración del presupuesto de seguridad informática

• Administración del personal

• Definición de la estrategia de seguridad informática (hacia dónde hay que ir y qué hay que hacer) y objetivos

• Administración de proyectos

• Detección de necesidades y vulnerabilidades de seguridad desde el punto de vista del negocio y su solución

El líder es quien define, de forma general, la forma de resolver y prevenir problemas de seguridad con el mejor costo beneficio para la empresa.

Normatividad

Es el área responsable de la documentación de políticas, procedimientos y estándares de seguridad así como del cumplimiento con estándares internacionales y regulaciones que apliquen a la organización. Dado que debe interactuar de forma directa con otras áreas de seguridad y garantizar cumplimiento, es conveniente que no quede al mismo nivel que el resto de las áreas pero todas reportan al CISO. Por esta razón se le suele ver como un área que asiste al CISO en las labores de cumplimiento.

Operaciones Es el área a cargo de llevar a cabo las acciones congruentes con la estrategia definida por el CISO lograr los objetivos del área (en otras palabras, la "gente que está en la trinchera"). Entre sus responsabilidades se encuentran:

Implementación, configuración y operación de los controles de seguridad informática (Firewalls, IPS/IDS, antimalware, etc.)

• Monitoreo de indicadores de controles de seguridad

• Primer nivel de respuesta ante incidentes (típicamente a través de acciones en los controles de seguridad que operan)

• Soporte a usuarios

• Alta, baja y modificación de accesos a sistemas y aplicaciones

• Gestión de parches de seguridad informática (pruebas e instalación)

Supervisión Es el área responsable de verificar el correcto funcionamiento de las medidas de seguridad así como del cumplimiento de las normas y leyes correspondientes (en otras palabras, brazo derecho del área de normatividad). Entre sus responsabilidades se encuentran:

Evaluaciones de efectividad de controles

• Evaluaciones de cumplimiento con normas de seguridad

• Investigación de incidentes de seguridad y cómputo forense (2° nivel de respuesta ante incidentes)

• Atención de auditores y consultores de seguridad

Noten que las actividades de monitoreo las realiza el área de operaciones y no el área de supervisión. Esto es porque el monitoreo se refiere a la vigilancia del estado de la seguridad de la empresa a través de los controles, pero las actividades del área de supervisión se limitan a la vigilancia de las actividades de seguridad que realizan otras áreas. La única excepción es la investigación de incidentes. Operaciones no investiga porque en algunos casos podrían se juez y parte. Por ejemplo, en el caso de una intrusión no es válido que el mismo personal que operaba los controles que protegían el servidor investiguen el suceso porque no puede haber objetividad (aunque no sea el propósito de la investigación, de cierta manera los resultados de la misma podrían calificar indirectamente la efectividad del personal del área de operaciones). La razón por la cual es preferible que esta área sea el punto de contacto con auditores y consultores es porque sus labores son afines y es más probable que tengan a la mano la información que requieran o sepan quién la tiene.

Desarrollo

Es el área responsable del diseño, desarrollo y adecuación de controles de seguridad informática (típicamente controles de software). Entre

...