Diseño de Programas Efectivos sobre Concientización de la Seguridad de la Información

Transcripción

1 Diseño de Programas Efectivos sobre Concientización de la Seguridad de la Información Tomás G. Ibarra Gutiérrez CISA, CIA, COBIT Foundation and Implementation 1 Cómo asimilar la Seguridad de la Información en la Cultura de una Organización? Tomás G. Ibarra Gutiérrez CISA, CIA, COBIT Foundation and Implementation 2 1

2 Objetivos Comprender cuál es el factor crítico de éxito para implementar un programa de concientización en seguridad de la información. Entender qué significa: organización, cultura y cambio, además cómo estos conceptos influyen en la implementación de un programa de concientización de la seguridad de la información. 3 Objetivos Conocer un modelo de diagnóstico del cambio para entender el estado actual de una organización y a partir de allí iniciar el programa de concientización de la seguridad de la información. Conocer tres métodos de intervención para la implementación de programas de concientización de seguridad de la información, enfocado en el recurso humano. 4 2

3 Agenda Definiciones básicas Problema de los programas de concientización Solución a los programas de concientización Diagnóstico Intervenciones Conclusiones Preguntas y respuestas 5 Seguridad de la Información Confidencialidad Asegurar que la información es accesible sólo para las personas autorizadas a tener acceso Integridad Salvaguardar la exactitud y que sea completa la información y los métodos de procesamiento Disponibilidad Asegurar que los usuarios autorizados tengan acceso a la información y a los activos asociados cuando la requieran. ISO/IEC 17799:

4 Concientización de la Seguridad de la Información Los programas de concientización se asegura que todo el personal esté: a) Consiente de la política de seguridad, estándares, guías y procedimientos para la protección de los activos de información. b) Consiente de sus deberes y responsabilidades individuales en la aplicación de sus funciones. ISO/IEC 17799: Organización Sistema Cultural Proceso Motivacional Proceso Operacional Sistema Dirección MISIÓN Proceso Decisorio Sistema Función López, R. Modelo Simplificado de la Organización como Sistema 8 4

5 Cultura Es la relación particular entre las personas que componen la organización. Son las reglas no escritas para jugar en una comunidad. Conjunto de valores y normas compartidas por los miembros de la organización, que controla las interacciones entre estos mismos miembros y con sus proveedores, clientes y demás personas externas a la organización. 9 Modelo de Cultura Artefactos y Productos Normas y Valores Asunciones Básicas Trompenaars, F. 10 5

6 Problema de la Concientización a nivel Organizacional Artefactos y Productos Normas y Valores Asunciones Básicas Trompenaars, F. 11 Problema de la Concientización a nivel Personal Analizar Pensar Cambiar Cambiar Sentir Ver Heath, C & D. (2010) Switch: How to Change Things When Change is Hard. USA:Crown Business 12 6

7 Solución 13 Desarrollo Organizacional Proceso que aplica los conocimientos y métodos de la ciencia de la conducta para ayudar a las organizaciones a crear la capacidad de cambiar y de mejorar su eficiencia para lograr un mejor desempeño financiero y mayor calidad de vida laboral Thomas Cummings 14 7

8 Formula del Cambio Cambio significa reducir la brecha entre donde estamos y donde queremos estar. C = Change FS = FirstStep I = Positive In-satisfaction V = Vision R = Resistance Joe Bentley 15 Modelo del Ciclo de Cambio del Desarrollo Organizacional Planeación Intervención ENTRADA Análisis de Datos - Diagnóstico Evaluación Recolección Informal de datos Recolección Formal de datos Retroalimentación Microdiagnóstico Contrato CIERRE DePorres & Westrup 16 8

9 Modelo de Campos de Fuerza de Kurt Lewin Fuerzas Restrictivas Situación Futura Estrategia de Cambio Fuerzas Impulsoras Situación Actual 17 Change Matrix in Different Levels of Systems Dr. Rogelio Martínez & Pepperdine University Class 18 9

10 Resultado del Diagnóstico 19 Intervención Secuencia de actividades, acciones y eventos planeados, alienados a un objetivo, que intentan ayudar a una organización a mejorar su desempeño y efectividad. Thomas Cummings 20 10

11 Roles Claves en la Administración de la Seguridad de la Información Usuarios finales Participación Engage Dirigir y Motivar Retroalimentar Retroalimentar Profesionistas en Seg. de la Info. Ejecución Dirigir y Motivar Aconsejar Alta Administración Liderazgo Guo, K. (2013) Revisiting the Human Factor in Organization Information Security Management in ISACA Journal 2013 (6) 21 Administración de la Polaridad (Polarity Management) Johnson, B. (2014) Polarity Management: Identifying and Managing Unsolvable Problems USA: HRD Press 22 11

12 Administración de la Polaridad (Polarity Management) - Generamos bióxido de carbono Inhalar Solución? Obtener oxigeno fresco + - Problema? Falta de oxigeno Exhalar Desechamos el Bióxido de carbono Johnson, B. (2014) Polarity Management: Identifying and Managing Unsolvable Problems USA: HRD Press + 23 Administración de la Polaridad (Polarity Management) Trabajo: Equipo vs Individual Estructura: Centralizado vs Descentralizado Competencia: Competir vs Colaborar Trabajo: Rigidez vs Flexibilidad Decisiones: Autocrático vs Participativo Producto: Calidad vs Precio Johnson, B. (2014) Polarity Management: Identifying and Managing Unsolvable Problems USA: HRD Press 24 12

13 Administración de la Polaridad (Polarity Management) Seguridad de la Información Sin Seguridad de la Información 25 Modelo de Cultura Administración de la Polaridad Artefactos y Productos Normas y Valores Asunciones Básicas Trompenaars, F

14 Roles Claves en la Administración de la Seguridad de la Información Usuarios finales Participación Engage Dirigir y Motivar Retroalimentar Retroalimentar Profesionistas en Seg. de la Info. Ejecución Dirigir y Motivar Aconsejar Alta Administración Liderazgo Guo, K. (2013) Revisiting the Human Factor in Organization Information Security Management in ISACA Journal 2013 (6) 27 Consulta Apreciativa (Appreciative Inquiry) Parte de una visión positiva de las personas, organizaciones y relaciones. Se base en la teoría de que en todas las organizaciones hay algo que funciona bien y ese es un buen punto de inicio para crear un cambio positivo. Se refiere a la búsqueda del conocimiento y teoría colectiva de acciones diseñadas para mover la visión y voluntad de la gente. David L Cooperrider & Diana Whitney 28 14

15 Consulta Apreciativa (Appreciative Inquiry) Discovery Qué te da vida? Apreciar Dream Qué podría ser? Imaginar Destiny Qué será? Sostener Design Cómo puede ser? Coconstrucción David L Cooperrider & Diana Whitney 29 Modelo de Cultura Consulta Apreciativa Artefactos y Productos Dream Destiny Normas y Valores Design Discovery Asunciones Básicas Trompenaars, F

16 Roles Claves en la Administración de la Seguridad de la Información Usuarios finales Participación Engage Dirigir y Motivar Retroalimentar Retroalimentar Profesionistas en Seg. de la Info. Ejecución Dirigir y Motivar Aconsejar Alta Administración Liderazgo Guo, K. (2013) Revisiting the Human Factor in Organization Information Security Management in ISACA Journal 2013 (6) 31 World Café Proceso conversacional simple que ayuda a fomentar el diálogo constructivo. Juan Accesa a la inteligencia colectiva. Fomenta la innovación. Jesús Mesa Pedro Fortalezas: simplicidad y versatilidad. Daniel María Premisa: la diversidad del grupo siempre contribuye al aprendizaje y ayuda a descubrir conexiones entre las personas Juanita Brown 32 16

17 World Café Selección del anfitrión Pregunta Resumen Diálogo entre los integrantes Diálogo entre los integrantes Anfitrión hace un resumen Cambio de mesa Juanita Brown 33 Modelo de Cultura World Café Artefactos y Productos Normas y Valores Asunciones Básicas Trompenaars, F

18 Diá logo: a través de la palabra La disciplina del aprendizaje en equipo comienza con el diálogo. La capacidad de los miembros del equipo para suspender los supuestos e ingresar en un auténtico pensamiento conjunto. Para los griegos, diá-logo significa el libre flujo del significado a través del grupo, lo cual permitiría al grupo descubrir percepciones que no se alcanzaban individualmente. Senge, P. (1990) La Quinta Disciplina. México: Ediciones Granica 35 Conclusiones 36 18

19 Conclusiones Concientización Comportamiento Personas Normas y Valores Emociones Acuerdos Básicos 37 Conclusiones Los métodos de intervención del Desarrollo Organizacional contribuyen a: Hacer una conexión emocional entre los integrantes del grupo. Emerge la sabiduría del grupo. Toma conciencia de la situación actual y también del esfuerzo y pasos para alcanzar la situación futura. Genera la energía del cambio

20 Conclusiones Emerger la sabiduría del grupo Tomar conciencia de la situación actual Tomar conciencia del esfuerzo para alcanzar el futuro Hacer conexión emocional entre los integrantes Métodos de Intervención DO Generar la energía para el cambio 39 Conclusiones Políticas Procedimientos Descripción de Puestos Estructura Organizacional Procesos Sistemas Estructura de la Información 40 20

21 Conclusiones Políticas Procedimientos Descripción de Puestos Estructura Organizacional Procesos Sistemas Estructura de la Información 41 Conclusiones Políticas Estructura de la Información Procedimientos Puestos Procesos Estructura Organizacional Sistemas 42 21

22 Conclusiones Políticas Estructura de la Información Procedimientos Puestos Procesos Estructura Organizacional Sistemas 43 Cómo asimilar la Seguridad de la Información en la Cultura de una Organización? Tomás G. Ibarra Gutiérrez 44 22

23 Una creencia básica de los teóricos y practicantes en Desarrollo Organizacional es que para que se logre el cambio eficaz y duradero, los integrantes del sistema debe creen en la competencia para dominar sus propios destinos. Wendell L. French 45 23