EL PLAN DE SEGURIDAD EN ORGANIZACIONES MULTINACIONALES

Transcripción

1 EL PLAN DE SEGURIDAD EN ORGANIZACIONES MULTINACIONALES FECHA: 10/04/2008 VERSIÓN: 1 GMV SOLUCIONES GLOBALES INTERNET S.A. INFORMACIÓN NO CLASIFICADA El presente documento ha sido clasificado como "Información No Clasificada" dentro del marco del Sistema de Gestión de la Seguridad de la Información (SGSI) de GMV. Dicha clasificación permite a su receptor la utilización y difusión de la información contenida en el documento, referenciando la fuente de información y con respeto a los derechos de propiedad intelectual de la fuente, y ello sin perjuicio del cumplimiento de la normativa sobre propiedad intelectual y sobre protección de datos de carácter personal.

2 CONTENIDO LA ORGANIZACIÓN MULTINACIONAL EL PLAN DE SEGURIDAD RETOS Y MODELOS DE UTILIDAD CONCLUSIONES Pág. 2

3 EL PLAN DE SEGURIDAD EN ORGANIZACIONES MULTINACIONALES La Organización Multinacional GMV SOLUCIONES GLOBALES INTERNET S.A. INFORMACIÓN NO CLASIFICADA NO El presente documento ha sido clasificado como "Información No Clasificada" dentro del marco del Sistema de Gestión de la Seguridad de la Información (SGSI) de GMV. Dicha clasificación permite a su receptor la utilización y difusión de la información contenida en el documento, referenciando la fuente de información y con respeto a los derechos de propiedad intelectual de la fuente, y ello sin perjuicio del cumplimiento de la normativa sobre propiedad intelectual y sobre protección de datos de carácter personal.

4 ALGUNAS OBVIEDADES Las Organizaciones Multinacionales se caracterizan por: Dispersión geográfica. Entorno multi-cultural. Descentralización organizativa. Heterogeneidad funcional. Diferentes velocidades. Distribución de activos de información Pág. 4

5 EL PLAN DE SEGURIDAD EN ORGANIZACIONES MULTINACIONALES Qué es un Plan de Seguridad? GMV SOLUCIONES GLOBALES INTERNET S.A. INFORMACIÓN NO CLASIFICADA NO El presente documento ha sido clasificado como "Información No Clasificada" dentro del marco del Sistema de Gestión de la Seguridad de la Información (SGSI) de GMV. Dicha clasificación permite a su receptor la utilización y difusión de la información contenida en el documento, referenciando la fuente de información y con respeto a los derechos de propiedad intelectual de la fuente, y ello sin perjuicio del cumplimiento de la normativa sobre propiedad intelectual y sobre protección de datos de carácter personal.

6 PLAN DE SEGURIDAD El Plan de Seguridad establece el camino que debe seguir una Organización para conseguir sus objetivos de Seguridad de la Información Seguridad Estado Objetivo Estado Actual Plan de Seguridad Hoy Quickwins Corto Plazo Medio Plazo Mañana Tiempo QW-001 CP-001 MP-001 QW-002 CP-002 MP-002 QW-003 CP-003 MP-003 QW-004 MP-004 MP-005 Pág. 6

7 PLAN DE SEGURIDAD Un Plan de Seguridad contiene una descripción de las iniciativas que la Entidad debe abordar en materia de Seguridad de la Información Quickwins Plan de Seguridad Corto Plazo Medio Plazo T QW-001 QW-002 QW-003 QW-004 CP-001 CP-003 CP-002 MP-001 MP-002 MP-003 MP-004 MP-005 El Plan de Seguridad comprende un conjunto de acciones, líneas de actuación o proyectos, planificados y dimensionados, que conforman la cartera de trabajo, en materia de Seguridad de la Información, a corto y medio plazo. El Plan de Seguridad debe proporcionar información detallada y precisa de cada línea de actuación Pág. 7

8 EL PLAN DE SEGURIDAD EN ORGANIZACIONES MULTINACIONALES Por qué abordar un Plan de Seguridad? GMV SOLUCIONES GLOBALES INTERNET S.A. INFORMACIÓN NO CLASIFICADA NO El presente documento ha sido clasificado como "Información No Clasificada" dentro del marco del Sistema de Gestión de la Seguridad de la Información (SGSI) de GMV. Dicha clasificación permite a su receptor la utilización y difusión de la información contenida en el documento, referenciando la fuente de información y con respeto a los derechos de propiedad intelectual de la fuente, y ello sin perjuicio del cumplimiento de la normativa sobre propiedad intelectual y sobre protección de datos de carácter personal.

9 Necesidad La Seguridad de la Información y los medios para su procesamiento, almacenamiento y transmisión, cobra día a día una mayor relevancia en el ámbito de la gestión corporativa. Tres aspectos importantes: Las necesidades en materia de Seguridad de la Información están directamente vinculadas con la preservación de los medios que utiliza la Entidad para la consecución de su misión y objetivos. De forma especial, las actividades desarrolladas en pro de la Seguridad de la Información deben estar alineadas con el resto de actividades abordadas en el ámbito de los Sistemas de Información. La gestión del presupuesto dedicado a Seguridad de la Información es compleja, al ser una actividad en la que es muy difícil calcular el retorno obtenido. En consecuencia, es necesario optimizar la relación coste/beneficio de las acciones desarrolladas. Mediante el diseño y desarrollo de un Plan de Seguridad, a estas tres necesidades. es posible dar cobertura Pág. 9

10 EL PLAN DE SEGURIDAD EN ORGANIZACIONES MULTINACIONALES Cómo desarrollar un Plan de Seguridad? GMV SOLUCIONES GLOBALES INTERNET S.A. INFORMACIÓN NO CLASIFICADA NO El presente documento ha sido clasificado como "Información No Clasificada" dentro del marco del Sistema de Gestión de la Seguridad de la Información (SGSI) de GMV. Dicha clasificación permite a su receptor la utilización y difusión de la información contenida en el documento, referenciando la fuente de información y con respeto a los derechos de propiedad intelectual de la fuente, y ello sin perjuicio del cumplimiento de la normativa sobre propiedad intelectual y sobre protección de datos de carácter personal.

11 QW-001 QW-003 QW-002 QW-004 CP-001 CP-003 Quickwins Corto Plazo Medio Plazo Largo Plazo QW-001 QW-003 CP-002 QW-002 QW-004 CP-001 CP-003 CP-002 MP-001 MP-003 MP-004 MP-002 MP-001 MP-003 MP-004 MP-002 MP-005 MP-005 LP-001 LP-002 LP-003 LP-001 LP-002 LP-003 ENFOQUE GENERAL Alcance Estudio de Entorno Determinar el alcance, los activos contemplados y las áreas de negocio afectadas. 1 Objetivos 2 Análisis Diferencial Seguridad Estado Objetivo Estado Actual Tiempo Identificar las necesidades de seguridad y el grado de satisfacción de las mismas Planificación Plan de Seguridad Seguridad Estado Actual Estado Objetivo 3 Tiempo Identificar acciones de mejora. Evaluar la relación coste/beneficio. Seleccionar y priorizar. Diseñar el Plan de Seguridad. Ejecución Oficina Técnica 4 Quickwins Corto Plazo Medio Plazo Largo Plazo Monitorizar y controlar la ejecución del Plan de Seguridad Pág. 11

12 QW-001 QW-003 QW-002 QW-004 CP-001 CP-003 Quickwins Corto Plazo Medio Plazo Largo Plazo QW-001 QW-003 CP-002 QW-002 QW-004 CP-001 CP-003 CP-002 MP-001 MP-003 MP-004 MP-002 MP-001 MP-003 MP-004 MP-002 MP-005 MP-005 LP-001 LP-002 LP-003 LP-001 LP-002 LP-003 ACTIVIDADES 1 Estudio de Entorno Identificación de Activos Lo primero es identificar los sistemas, servicios/aplicaciones y procesos objeto del proyecto, generando el inventario de activos. Cómo evaluar el estado actual de seguridad? Cómo medir? Respuesta: definir un modelo de referencia Análisis Diferencial Estado Objetivo Modelización de Seguridad 2 Seguridad Estado Actual Identificación de Requisitos Evaluación de Controles 3 Seguridad Estado Actual Tiempo Plan de Seguridad Estado Objetivo Tiempo Análisis Diferencial Identificación de Acciones Análisis Coste/Beneficio En base a este modelo de referencia se identifican los requisitos seguridad (TO-BE) y se contrasta con el estado actual (AS-IS), el cual es función de las medidas de seguridad existentes El modelo de referencia proporciona la base para evaluar la eficacia/eficiencia de las distintas acciones identificadas Oficina Técnica Quickwins Corto Plazo Medio Plazo Largo Plazo Recursos / Presupuestos Modelo Gestión Selección y Priorización Indicadores / Informes En función del análisis coste/ beneficio y los recursos/ presupuestos disponibles, se documenta el plan de seguridad 4 Pág. 12

13 QW-001 QW-003 QW-002 QW-004 CP-001 CP-003 Quickwins Corto Plazo Medio Plazo Largo Plazo QW-001 QW-003 CP-002 QW-002 QW-004 CP-001 CP-003 CP-002 MP-001 MP-003 MP-004 MP-002 MP-001 MP-003 MP-004 MP-002 MP-005 MP-005 LP-001 LP-002 LP-003 LP-001 LP-002 LP-003 ENTREGABLES Estudio de Entorno Identificación de Activos 1 Análisis Diferencial Estado Objetivo Modelización de Seguridad 2 Seguridad Estado Actual Identificación de Requisitos Evaluación de Controles Tiempo Plan de Seguridad Análisis Diferencial 3 Seguridad Estado Actual Estado Objetivo Tiempo Identificación de Acciones Análisis Coste/Beneficio Oficina Técnica Recursos / Presupuestos Selección y Priorización Quickwins Corto Plazo Medio Plazo Largo Plazo Modelo Gestión Indicadores / Informes 4 Pág. 13

14 EL PLAN DE SEGURIDAD EN ORGANIZACIONES MULTINACIONALES Retos y Modelos GMV SOLUCIONES GLOBALES INTERNET S.A. INFORMACIÓN NO CLASIFICADA NO El presente documento ha sido clasificado como "Información No Clasificada" dentro del marco del Sistema de Gestión de la Seguridad de la Información (SGSI) de GMV. Dicha clasificación permite a su receptor la utilización y difusión de la información contenida en el documento, referenciando la fuente de información y con respeto a los derechos de propiedad intelectual de la fuente, y ello sin perjuicio del cumplimiento de la normativa sobre propiedad intelectual y sobre protección de datos de carácter personal.

15 APROXIMACIÓN AL PLAN DE SEGURIDAD Lanzar un Plan de Seguridad corporativo en una organización de carácter multi-nacional requiere afrontar numerosos retos Retos Estrategia Gobierno Presupuestos Organización Las distintas compañías presentan distintos intereses estratégicos. Control distribuido, dificultad en la toma de decisiones. Diferentes procesos, métricas y sistemas de reporting. Las distintas unidades proporcionan recursos en distinta proporción. La central suele dar cobertura a las filiales (transferencia de precios) Transparencia en el desempeño. Gestión de las diferencias culturales. Conflicto de intereses. Sentimientos de amenaza, injerencia, etc. Pág. 15

16 DESDE LA PERSPECTIVA DE UNA ESCUELA DE NEGOCIOS Dos conceptos claves para el diseño y despliegue de una Plan de Seguridad : Dos conceptos clave para la gestión de una Plan de Seguridad : Obstáculos Resistencias Liderazgo Gestión del Cambio Pág. 16

17 LIDERAZGO DEL PLAN DE SEGURIDAD El desarrollo de un Plan de Seguridad corporativo, y más aún en organizaciones de carácter multinacional, requiere un liderazgo claro que comprenda la complejidad y obstáculos del proceso de transformación y cambio asociado. Si leen (y compran) mi libro sabrán por qué fracasan los procesos de cambio Pág. 17

18 POR QUÉ (PUEDE) FRACASA(R) UN PLAN DE SEGURIDAD ( según el profesor Kotter) ERROR SOLUCIÓN #1.- No establecer un sentido de urgencia #2.- No crear una colación lo suficientemente poderosa #3.- Falta de visión #4.- Comunicación insuficiente #5.- No eliminar los obstáculos para la nueva visión #6.- No planificar y generar éxitos a corto plazo (quickwins) Identificar y discutir los riesgos, reales y potenciales (Síndrome de Casandra) Crear un grupo con poder suficiente como para liderar el proceso de cambio. Generar una visión que sea capaz de dirigir el proceso de cambio. Definir estrategias para alcanzar dicha visión. Utilizar cualquier medio disponibles para comunicar la visión y estrategias. Eliminar los obstáculos. Cambiar los sistemas y estructuras que minen la visión. Pensamiento creativo. Planificar quickwins, ejecutarlos y comunicarlos. Incentivar (recompensar) al equipo envuelto en el proceso de cambio. #7.- Declarar victoria demasiado pronto Consolidar las mejoras y generar más cambio. #8.- No incorporar los cambios a la cultura corporativa Institucionalizar los cambios. Pág. 18

19 GESTIÓN DEL CAMBIO EN UN PLAN DE SEGURIDAD El desarrollo de un Plan de Seguridad corporativo, y más aún en organizaciones de carácter multinacional, requiere un estrategia para vencer las resistencias al cambio. Si leen (y compran) mi libro aprenderán estrategias para gestionar los procesos de cambio Pág. 19

20 ESTRATEGIAS PARA VENCER RESISTENCIAS ( según el profesor Kotter) Origen de las resistencias: Defensa de los propios intereses. Falta de comprensión y confianza. Diferentes formas de entender y valorar el cambio Escasa tolerancia hacia los cambios. Método Situación Inconvenientes Formación + Comunicación Participación + Colaboración Apoyo + Facilidades Falta de información o análisis poco precisos Falta de información Terceros con gran poder de resistencia Problemas de adaptación Mucho tiempo Mucho tiempo Caro, lento y con probabilidades de error Negociación + Acuerdo Poder de negociación de terceros Excesivamente caro Manipulación + Cooptación Último recurso Fire-back Coerción Mucho poder y necesidad Fire-back Pág. 20

21 ESTRATEGIAS PARA VENCER RESISTENCIAS ( según el profesor Kotter) Continuo Estratégico Cambio rápido: - Claramente planificado - Poca involucración de terceros - Intentar superar resistencias Cambio lento: - No claramente planificado inicialmente - Gran involucración de terceros Factores situacionales: La cantidad y el tipo de resistencia que se prevé. La posición de los promotores frente a los oponentes. - Intentar minimizar resitencias El lugar donde se encuentran tanto los datos claves a tener en cuenta en el diseño del cambio, como la energía necesaria para su implantación. Factores aleatorios (crisis, reorganizaciones, M&A, etc.) Pág. 21

22 EL PLAN DE SEGURIDAD EN ORGANIZACIONES MULTINACIONALES Conclusiones GMV SOLUCIONES GLOBALES INTERNET S.A. INFORMACIÓN NO CLASIFICADA NO El presente documento ha sido clasificado como "Información No Clasificada" dentro del marco del Sistema de Gestión de la Seguridad de la Información (SGSI) de GMV. Dicha clasificación permite a su receptor la utilización y difusión de la información contenida en el documento, referenciando la fuente de información y con respeto a los derechos de propiedad intelectual de la fuente, y ello sin perjuicio del cumplimiento de la normativa sobre propiedad intelectual y sobre protección de datos de carácter personal.

23 Quickwins Corto Plazo Medio Plazo Largo Plazo QW-001 QW-003 QW-002 QW-004 CP-001 CP-003 Quickwins Corto Plazo Medio Plazo Largo Plazo QW-001 QW-003 QW-002 QW-004 CP-001 CP-003 CP-002 CP-002 MP-001 MP-003 MP-004 MP-002 MP-001 MP-003 MP-004 MP-002 MP-005 MP-005 LP-001 LP-002 LP-003 LP-001 LP-002 LP-003 CONCLUSIONES Lanzamiento Facultar un liderazgo claro Identificar resistencias y obstáculos Definir una estrategia Alcance Estudio de Entorno Determinar el alcance, los activos contemplados y las áreas de negocio afectadas. 1 Objetivos 2 Análisis Diferencial Seguridad Estado Objetivo Estado Actual Tiempo Identificar las necesidades de seguridad y el grado de satisfacción de las mismas Planificación 3 Plan de Seguridad Seguridad Estado Actual Estado Objetivo Tiempo Identificar acciones de mejora. Evaluar la relación coste/beneficio. Seleccionar y priorizar. Diseñar el Plan de Seguridad. Ejecución Oficina Técnica 4 Monitorizar y controlar la ejecución del Plan de Seguridad Pág. 23

24 Gracias Roberto López Navarro Jefe de Sección de Gestión y Planificación de Seguridad rolopez@gmv.com GMV SOLUCIONES GLOBALES INTERNET S.A. INFORMACIÓN NO CLASIFICADA NO El presente documento ha sido clasificado como "Información No Clasificada" dentro del marco del Sistema de Gestión de la Seguridad de la Información (SGSI) de GMV. Dicha clasificación permite a su receptor la utilización y difusión de la información contenida en el documento, referenciando la fuente de información y con respeto a los derechos de propiedad intelectual de la fuente, y ello sin perjuicio del cumplimiento de la normativa sobre propiedad intelectual y sobre protección de datos de carácter personal.