Contenidos
P7 diseñar e implementar una política de seguridad para una organización
Toda política de seguridad tiene dos partes. La primera se ocupa de prevenir las amenazas externas para mantener la integridad de la red. La segunda se ocupa de reducir los riesgos internos definiendo el uso adecuado de los recursos de la red. Aunque hay muchas tecnologías disponibles para reducir las amenazas externas a la red -cortafuegos, software antivirus, sistemas de detección de intrusos, filtros de correo electrónico y otros-, estos recursos son implementados en su mayoría por el personal de TI y no son detectados por el usuario.Sin embargo, el uso apropiado de la red dentro de una empresa es una cuestión de gestión. La aplicación de una política de uso aceptable (AUP), que por definición regula el comportamiento de los empleados, requiere tacto y diplomacia.
Política de ciberseguridad
A medida que su organización supervisa y evalúa la evolución de los riesgos para su infraestructura de TI y sus datos, tendrá que actualizar esta política para garantizar su relevancia en el contexto cambiante. Además, la medición del cumplimiento de la política de seguridad informática proporciona información a la dirección sobre si la propia política sigue siendo eficaz y pertinente. Según COBIT, algunos ejemplos de mediciones relacionadas con el cumplimiento de las políticas son Las políticas de seguridad de TI no son opcionales Una política de seguridad de TI que aborde, en particular, la seguridad de la información, es una de sus políticas empresariales más críticas. Sin ella, se pone en riesgo toda la empresa. Lecturas relacionadas
Cómo aplicar la política de seguridad de la información
Los 5 elementos clave de la seguridad de la información y sus elementos críticos, incluidos los sistemas y el hardware que utilizan, almacenan y transmiten esa información. Herramientas necesarias: política, concienciación, formación, educación, tecnología, etc. La seguridad de la información es la aplicación de medidas para garantizar la seguridad y la privacidad de los datos mediante la gestión de su almacenamiento y distribución. La seguridad de la información tiene implicaciones tanto técnicas como sociales. El sistema de seguridad de la información es el proceso de proteger y asegurar los datos contra el acceso no autorizado, la divulgación, la destrucción o la interrupción.
Una organización que intente componer un ISP operativo debe tener objetivos bien definidos en materia de seguridad y estrategia. Sobre eso la dirección ha llegado a un acuerdo. Cualquier disonancia existente durante este contexto podría hacer que el proyecto de política de seguridad de datos sea disfuncional. El factor más necesario que un experto en seguridad debe tener en cuenta es que su conocimiento. Las prácticas de gestión de la protección le permitirán incluirlas en los documentos. Se le confía la redacción, y eso podría ser una garantía de integridad, calidad y capacidad de trabajo.
Plantilla de política de seguridad de la información
Las políticas de seguridad informática son fundamentales para el éxito de cualquier organización. Son la columna vertebral de todos los procedimientos y deben estar en consonancia con la misión principal de la empresa y su compromiso con la seguridad. Definen qué personal tiene la responsabilidad de qué información dentro de la empresa. Las políticas de seguridad informática determinan la preparación y la respuesta de las organizaciones a los incidentes de seguridad. La seguridad de la información se basa en políticas bien documentadas que son reconocidas y seguidas por todos los miembros de una organización.
Según el SANS Institute, la política de seguridad de una organización establece la norma sobre el modo en que se protegerá la información y los sistemas críticos de la empresa frente a las amenazas internas y externas. Es importante que estas políticas y procedimientos se actualicen en relación con su evaluación anual de riesgos de seguridad.
Las políticas de seguridad informática deben incluir siempre el propósito, el alcance, la política y los procedimientos, si no figuran en un documento separado. Deben describir las normas de comportamiento de los usuarios y del personal de TI, al tiempo que identifican las consecuencias de su incumplimiento. Las políticas deben definir los principales riesgos dentro de la organización y proporcionar directrices sobre cómo reducir estos riesgos. Las políticas deben personalizarse en función de los activos valiosos y los mayores riesgos de la organización.