Politicas De Seguridad

PAUTAS Y RECOMENDACIONES PARA ELABORAR POLÍTICAS DE SEGURIDAD INFORMÁTICA (PSI)

Jeimy J. CANO†

__________________________________________________________________

Descriptores: Seguridad, Informática, Políticas de Seguridad, Controles, Seguridad Informática.

Resumen

Este documento es un ejercicio fruto de la experiencia y documentación de situaciones propias de las organizaciones que requieren una posición frente a la definición o más bien, identificación de las directrices de seguridad informática que intrínsecamente maneja. Ofrece un resumen de ideas prácticas que pueden orientar la elaboración de políticas de seguridad informática.

INTRODUCCIÓN

Actualmente la seguridad informática ha tomado gran auge, dadas las cambiantes condiciones y nuevas plataformas de computación disponibles. La posibilidad de interconectarse a través de redes, ha abierto nuevos horizontes para explorar más allá de las fronteras nacionales, situación que ha llevado la aparición de nuevas amenazas en los sistemas computarizados.

Esto ha llevado a que muchas organizaciones gubernamentales y no gubernamentales internacionales [1,2] hayan desarrollado documentos y directrices que orientan en el uso adecuado de estas destrezas tecnológicas y recomendaciones para obtener el mayor provecho de estas ventajas, y evitar el uso indebido de la mismas, lo cual puede ocasionar serios problemas en los bienes y servicios de las empresas en el mundo.

En este sentido, las políticas de seguridad informática (PSI) surgen como una herramienta organizacional para concientizar a cada uno de los miembros de una organización sobre la importancia y sensibilidad de la información y servicios críticos que permiten a la compañía desarrollarse y mantenerse en su sector de negocios.

De acuerdo con lo anterior, el proponer o identificar una política de seguridad requiere un alto compromiso con la organización, agudeza técnica para establecer fallas y debilidades, y constancia para renovar y actualizar dicha política en función del dinámico ambiente que rodea las organizaciones modernas.

QUÉ SON LAS POLÍTICAS DE SEGURIDAD INFORMÁTICA?

Una política de seguridad informática es una forma de comunicarse con los usuarios y los gerentes. [3, pág.382] Las PSI establecen el canal formal de actuación del personal, en relación con los recursos y servicios informáticos importantes de la organización.

No es una descripción técnica de mecanismos de seguridad, ni una expresión legal que involucre sanciones a conductas de los empleados, es más bien una descripción de los que deseamos proteger y el por qué de ello.

Cada PSI es una invitación de la organización a cada uno de sus miembros a reconocer la información como uno de sus principales activos así como, un motor de intercambio y desarrollo en el ámbito de sus negocios. Invitación que debe concluir en una posición consciente y vigilante del personal por el uso y limitaciones de los recursos y servicios informáticos críticos de la compañía.

ELEMENTOS DE UNA POLÍTICA DE SEGURIDAD INFORMÁTICA

Como hablamos en la sección anterior, una PSI debe orientar las decisiones que se toman en relación con la seguridad. Por tanto, requiere una disposición de cada uno de los miembros de la empresa para lograr una visión conjunta de lo que se considera importante.

Las PSI deben considerar entre otros, los siguientes elementos: [4]

• Alcance de la políticas, incluyendo facilidades, sistemas y personal sobre la cual aplica.

• Objetivos de la política y descripción clara de los elementos involucrados en su definición.

• Responsabilidades por cada uno de los servicios y recursos informáticos a todos los niveles de la organización.

• Requerimientos mínimos para configuración de la seguridad de los sistemas que cobija el alcance de la política.

• Definición de violaciones y de las consecuencias del no cumplimiento de la política.

• Responsabilidades de los usuarios con respecto a la información a la que él o ella tiene acceso.

Las PSI deben ofrecer explicaciones comprensibles sobre por qué deben tomarse ciertas decisiones, transmitir por qué son importantes éstos u otros recursos o servicios.

De igual forma, las PSI establecen las expectativas de la organización en relación con la seguridad y lo que ella puede esperar de las acciones que la materializan en la compañía. Deben mantener un lenguaje común libre de tecnicismos y términos legales que impidan una comprensión clara de las mismas, sin sacrificar su precisión y formalidad dentro de la empresa.

Por otro lado, la política de debe especificar la autoridad que debe hacer que las cosas ocurran, el rango de los correctivos y sus actuaciones que permitan dar indicaciones sobre la clase de sanciones que se puedan imponer. No debe especificar con exactitud que pasará cuando algo suceda; no es una sentencia obligatoria de la ley. [4, pág.383]

Finalmente, las PSI como documentos dinámicos de la organización, deben seguir un proceso de actualización periódica sujeto a los cambios organizacionales relevantes: crecimiento de la planta de personal, cambio en la infraestructura computacional, alta rotación de personal, desarrollo de nuevos servicios, cambio o diversificación de negocios entre otros.

ALGUNOS PARÁMETROS PARA ESTABLECER POLÍTICAS DE SEGURIDAD

Si bien las características de la PSI que hemos mencionado hasta el momento, nos muestran una perspectiva de las implicaciones en la formulación de estas directrices, revisemos algunos aspectos generales recomendados para la formulación de las mismas.

• Considere efectuar un ejercicio de análisis de riesgos informático, a través del cual valore sus activos, el cual le permitirá afinar las PSI de su organización.

• Involucre a los áreas propietarias de los recursos o servicios, pues ellos poseen

...