Estructura, Alineación y Protección Estratégica
Revisa el conjunto de conocimientos y tareas necesarias... para desarrollar una estructura de GSI alineada con los objetivos de la organización. Guía al gerente de seguridad de la información para establecer y mantener un marco de GSI que asegure la alineación de la estrategia de seguridad con las metas empresariales.
A menudo se consideran fallas de gobierno... no solo tecnológicas, y requieren atención de los niveles más altos de la organización.
Creación de valor para las partes interesadas... logrando beneficios con un coste óptimo de recursos y optimizando el riesgo.
Aborda la posible responsabilidad civil o legal de la organización y su alta dirección.
Genera confianza en el cumplimiento de políticas.
Aumenta la previsibilidad y reduce la incertidumbre en las operaciones al reducir el riesgo a niveles aceptables.
Optimiza la distribución de recursos de seguridad limitados.
Asegura que las decisiones cruciales no se basen en información errónea.
Proporciona una base sólida para una gestión de riesgos eficiente, mejora de procesos, respuesta a incidentes y gestión de la continuidad.
Mejora la confianza en interacciones con socios comerciales y clientes.
Protege la reputación de la empresa.
Posibilita nuevas y mejores formas de procesar transacciones electrónicas.
Establece responsabilidad por la protección de información durante actividades críticas de negocio (ej. fusiones, adquisiciones).
Permite la gestión efectiva de recursos de seguridad de la información.
Es crucial que la estrategia de seguridad de la información... defina claramente el alcance y las responsabilidades, y cuente con el respaldo de la alta dirección.
La seguridad de la información está influenciada por la transparencia y rendición de cuentas de la cultura empresarial.
Construir una cultura consciente de la seguridad requiere que los individuos entiendan cómo la seguridad se relaciona con su rol y protejan los activos de información.
Participación del departamento de seguridad en proyectos, conocimiento de los usuarios sobre cómo reportar incidentes, y comprensión de sus roles en la protección de activos.
Define el comportamiento aceptable, las actividades requeridas y las prohibidas. Debe comunicarse efectivamente y ser entendida por todo el personal.
Muchas empresas implementan formación sobre ética para un comportamiento lícito y apropiado. El personal de seguridad debe ser sensible a conflictos de interés y conocer el código de conducta de la empresa.
Cada empresa enfrenta una amplia gama de requisitos de leyes locales e internacionales, mandatos regulatorios y contratos específicos.
Las leyes contradictorias en diferentes regiones pueden requerir estrategias de seguridad distintas o basarse en los requisitos más restrictivos.
El cumplimiento regulatorio debe tratarse como *otro riesgo de negocio*, con decisiones de alto nivel.
El gerente de seguridad de la información debe informarse activamente sobre los requisitos legales y solicitar una interpretación jurídica, sin depender exclusivamente del departamento legal corporativo.
El gerente de seguridad debe comprender los requisitos de negocio y los legales/reglamentarios para proteger los registros empresariales.
Los requisitos de negocio pueden exceder los legales/reglamentarios (ej., necesidad de acceso a datos antiguos).
Regulaciones como Sarbanes-Oxley imponen requisitos obligatorios de retención. La información archivada debe estar adecuadamente indexada para su localización y recuperación.
Es recomendable una política que exija la destrucción de datos cuya conservación no sea exigida por ley o razones específicas del negocio. El gerente de seguridad debe hacer cumplir y mantener esta política, conservando certificados de destrucción.
La seguridad a menudo se fragmenta en silos (ej. seguridad física, TI, riesgos, privacidad, cumplimiento), lo que no favorece resultados óptimos.
Fragmentación de Seguridad
Incidentes como el del Sumitomo Mitsui Bank (fallo de seguridad física que permitió un ciberataque) refuerzan la necesidad de esta convergencia.
Son fundamentales para un gobierno eficaz de la seguridad de la información.
| R | A | C | I | |
|---|---|---|---|---|
| **Tarea Ejemplo** | X | |||
| **Definir Política** | X | X | ||
| **Implementar Control** | X | X |
Las habilidades del personal deben considerarse al desarrollar matrices RACI para asegurar la asociación con las competencias requeridas.
Responsables de la supervisión, asegurar recursos y validar/ratificar activos clave. Deben ejercer diligencia debida en la protección de activos de información.
Proporciona liderazgo y apoyo continuo, asegurando la disponibilidad de recursos y mediando entre TI y seguridad para un equilibrio adecuado.
Cruciales para alinear las actividades de seguridad con los objetivos del negocio.
Ayuda a lograr consenso sobre prioridades y compromisos, y asegura la alineación del programa de seguridad con los objetivos del negocio.
Responsable de desarrollar la estrategia de seguridad. Su rol es cada vez más ejecutivo.
Generalmente a cargo de la gestión de riesgo empresarial general, incluyendo la seguridad de la información.
Responsable de planificación, presupuesto y rendimiento de TI, incluyendo componentes de seguridad.
Responsable de los programas de seguridad de su empresa, actuando como consultor principal.
Responsables de garantizar controles adecuados para la confidencialidad, integridad y disponibilidad de sus sistemas y datos, y se involucran en la gestión de riesgos.
Tienen autoridad para tomar decisiones de compensación de riesgos y asegurar la efectividad de la misión con un costo aceptable.
Responsables de la implementación de requisitos de seguridad en sistemas de TI, apoyando el proceso de gestión de riesgos.
Esencial para formar a usuarios y custodios de sistemas y datos para reducir riesgos y proteger recursos de TI.