ISO 17799: La gestión de la seguridad de la información

Transcripción

1 1 ISO 17799: La gestión de la seguridad de la información En la actualidad las empresas son conscientes de la gran importancia que tiene para el desarrollo de sus actividades proteger de forma adecuada la información que poseen y especialmente aquella que les sirve para realizar correctamente su actividad de negocio. El poder gestionar bien la seguridad de la información que manejan no sólo permitirá garantizar, de cara a la propia organización, que sus recursos están protegidos - asegurando la confidencialidad, integridad y disponibilidad de los mismos- sino que de cara a los posibles clientes les aportará un grado de confianza superior al que puedan ofrecer sus competidores, convirtiéndose en un factor más de distinción en el competitivo mercado en el que comercia la empresa. Debido a la necesidad de securizar la información que poseen las organizaciones era precisa la existencia de alguna normativa o estándar que englobase todos los aspectos a tener en consideración por parte de las organizaciones para protegerse eficientemente frente a todos los probables incidentes que pudiesen afectarla, ante esta disyuntiva apareció el BS 7799, o estándar para la gestión de la seguridad de la información, un estándar desarrollado por el British Standard Institute en 1999 en el que se engloban todos los aspectos relacionados con la gestión de la seguridad de la información dentro de la organización. La primera pregunta que nos tenemos que plantear es: Qué es lo que entendemos por información? Y es que a la hora de hablar de información es necesario tener claro que nos estamos refiriendo a todo aquel sistema, proceso, dato o elemento que posea la organización y que intervenga en las actividades de negocio de la misma, en otras palabras, información es desde las bases de datos con las que trabaja la organización, hasta los posibles servidores en los que se almacenan dichas bases de datos, así como las impresoras o carpetas en las que se almacenan los documentos, y por supuesto las personas. Con esto se quiere reflejar al hablar de información nos estamos refiriendo a cualquier elemento que pueda intervenir en el desarrollo de las actividades de negocio de una organización.

2 2 Evolución Si echamos una rápida mirada hacia atrás en el tiempo veremos que a lo largo de la historia el tema de la seguridad dentro de las organizaciones ha ido evolucionando. En un principio se consideraba que los incidentes de seguridad eran cosa de películas o que en nuestra organización nunca pasarían y que no era necesario aplicar medidas de seguridad para intentar protegerse ante ellos, posteriormente se conocía de su existencia, pero se pensaba y se señalaba directamente al departamento de informática de la organización como si fuesen los únicos responsables de los mismos y en la actualidad la gran mayoría de las organizaciones ya son conscientes de que no sólo es un tema que afecta al departamento de informática o de sistemas sino que atañe a toda la organización en general y por ello todos tienen que implicarse a la hora de mantener de forma segura los sistemas de información que poseen. Este paulatino cambio se debe en gran parte a la rápida evolución de las nuevas tecnologías y más concretamente a la rápida expansión de Internet, se ha pasado de trabajar en organizaciones que tenían un campo de actuación bastante restringido o por lo menos bastante controlado a tener que desenvolverse en una globalidad prácticamente absoluta, esto ha facilitado la expansión de las organizaciones dándoles la posibilidad de darse a conocer de forma rápida y llegando a potenciales nuevos clientes a los que anteriormente era imposible acceder, pero también ha fomentado la aparición de nuevos intrusos o de los potenciales peligros que pueden afectar a estas organizaciones. Y es por ello que las empresas se han ido mentalizando de la necesidad de securizar sus propias instalaciones tanto a nivel físico como a nivel lógico para intentar impedir que se vean afectados los sistemas de información que poseen o por lo menos conseguir minimizar los impactos en el caso de que sufran un incidente. UNE-ISO Ante tal situación las empresas empezaron a intentar protegerse ante lo que empezaba a ser desconocido para ellas, es decir, la red, ya que era donde se consideraba que estaba el peligro real de la organización olvidándose de las seguridad de puertas hacia dentro. Esta situación es la que ha perdurado durante los últimos años y como es de esperar el número de incidentes de seguridad que han afectado a las organizaciones ha disminuido pero no en la proporción esperada, porque han descuidado la seguridad de

3 3 interna de la propia organización. Y poco a poco se han ido mentalizando de la necesidad de protegerse tanto de interna como externamente. Es por ello que este nuevo estándar puede aportar un gran valor a las organizaciones porque en él se reflejan todos y cada uno de los puntos a tener en consideración a la hora de securizar los sistemas de información de las empresas, otorgándole la misma importancia a la seguridad de puertas hacia fuera de al organización como de puertas hacia dentro. Gracias a este estándar se tiene una pauta sobre todos los puntos que se tienen que considerar. El objetivo del estándar es facilitar la comprensión de los aspectos relacionados con la seguridad de las Tecnologías de la Información (TI) y a su vez orientar a las organizaciones en una correcta gestión de forma que los responsables de seguridad de las TI puedan adaptar las medidas que en él se indican a sus sistemas y a su organización en general. Frente a este nuevo estándar surge la duda de si un mismo estándar puede ser aplicable a todo tipo de empresas u organizaciones, ya que no tendrá las mismas necesidades una empresa con 5 trabajadores que una con 200, ni una con un presupuesto pequeño o una con un amplio presupuesto; la respuesta es sí, es aplicable a todas las organizaciones, sea cual sea su tamaño, su volumen de negocio, su actividad, etc. Este estándar sirve como guía para tener en consideración qué aspectos tienen que tener controlados las organizaciones pero no específica cuáles tienen que ser las medidas a implementar, eso será dependiente de las características de la organización. Es decir, una empresa que se dedique al comercio por Internet seguro que tiene que poner un mayor énfasis en lo que correspondería a medidas de nivel lógico frente a otra empresa la que únicamente utiliza Internet como herramienta comercial cuyas medidas deberían orientarse más a los aspectos de controles físicos. En el BS 7799 se presentan los diferentes puntos a considerar a la hora de securizar las organizaciones, estos puntos aparecen de forma agrupada en distintos dominios, o áreas que hacen referencia a partes de la organización: la seguridad del personal que trabaja en la organización, la seguridad a nivel lógico, los aspectos legales, etc. Dentro de estos dominios se clasifican una serie de objetivos (en total existen 36) y para cada uno de

4 4 éstos existen los controles propiamente dichos que serán los que se tendrán que aplicar para cumplir el objetivo al cual pertenecen (en total existen 127 controles). Del BS 7799 han nacido normas estándares de calidad a nivel nacional (UNE) y a nivel internacional (ISO). CERTIFICACIÓN El proceso de instauración de las medidas de seguridad será diferente en cada una de las organizaciones, dependiendo de las actividades de negocio así como de las posibilidades de dedicar más o menos recursos a los aspectos referentes a la seguridad. Lo que resulta obvio es que una organización que disponga de un presupuesto mayor podrá dedicar unos mayores esfuerzos a la protección de sus sistemas que una organización más pequeña, pero esto no querrá decir que esté más segura. Lo más importante a la hora de aplicar los requerimientos del estándar es que dichas medidas sean coherentes con las actividades de negocio de la empresa, es decir, que se dediquen más recursos a proteger la actividad principal de negocio de la organización antes que a otros aspectos, los cuales no hay que descuidar, pero que aportan menos valor a la organización. Es por este motivo que de la implantación de las medidas y de su rigurosidad dependerá de los recursos que tenga la organización así como de las necesidades y obligaciones que ésta tenga. Una vez la organización tiene perfectamente implantadas las medidas de seguridad adecuadas para sus necesidades es cuando se podrá empezar el proceso de certificación contra este estándar, que únicamente podrá ser realizado por entidades que posean el reconocimiento expreso del Bristish Standard Institute y que después de realizar la pertinente auditoría podrán considerar que tienen correctamente securizados sus sistemas. Qué ventaja les aporta poseer esta certificación? En la actualidad en España sólo existe una organización certificada contra este estándar (Ericsson), y existen algunas que están en proceso. El objetivo que pretenden conseguir con esta certificación es la de que una entidad externa pueda dar fe de que los sistemas de información que posee una organización son seguros y en estos días en que nos encontramos en los que la seguridad se está volviendo tan importante para todos los estamentos de la sociedad, por la gran expansión de la comunicaciones electrónicas, el hecho de poder demostrar

5 5 que una organización está tratando sus informaciones de forma suficientemente segura y que esto lo dictamina una tercera entidad totalmente independiente puede hacer ganar la confianza de potenciales clientes y de esta forma ganar cuota de mercado a los organizaciones de su competencia. En conclusión podríamos resumir que la seguridad es un aspecto básico en las organizaciones y que como tal debe ser tratado con el mayor rigor y la mayor seriedad, y para ello surgió este estándar (BS 7799) que debe servir como guía para tener contemplados todos los posibles puntos de las organizaciones que pueden presentar aspectos débiles en cuanto a la seguridad. Por otra parte, también se tendrá que considerar las ventajas que puede aportar a las organizaciones el hecho de certificarse de cara al aspecto obtener un reconocimiento internacional de que el tratamiento que realizan de las informaciones son seguras. Autor: Daniel Cruz dcruz@tb-security.com