Escrito por: CIO el martes, 06 de octubre de 2009 y tiene
Una Política de Seguridad de la Información es la piedra angular del Programa de Seguridad de la Información de todo CSO. Debe reflejar los objetivos de seguridad de la compañía y establecer la estrategia de administración acordada para asegurar la información. En este artículo explicamos cómo dar el primer paso, qué debe cubrir y cómo elaborar una política de seguridad de la información efectiva.
Para que la Política de Seguridad de la Información sea útil y permita ejecutar el resto del Programa de Seguridad de la Información debe ser aceptada formalmente por la dirección ejecutiva de la empresa. Esto significa que para elaborar un documento de política de seguridad, la organización debe tener unos objetivos de seguridad bien definidos y una estrategia de administración de seguridad de la información previamente aceptada.
Si se abre un debate sobre los contenidos de la política, se extenderá a cada intento de ponerla en práctica, con la consecuencia de que el propio Programa de Seguridad de la Información quedará invalidado.
Políticas "empaquetadas"
Existen muchos productos de “política de seguridad empaquetada” en el mercado, pero pocos de ellos obtendrán el visto bueno de la dirección ejecutiva sin que tengan que ser detallados paso a paso por un profesional de la seguridad. No es probable que esto ocurra debido a la falta de tiempo inherente a la directiva empresarial. Aunque fuera posible que los directivos aceptasen unas políticas “adquiridas”, tampoco es la opción correcta para conseguir que los gestores de la empresa piensen en la seguridad.
En vez de ello, el primer paso para elaborar una política de seguridad es averiguar cómo considera la seguridad la dirección de la empresa. Como la política de seguridad es, por definición, un conjunto de mandatos de administración respecto a la seguridad de la información, estos mandatos proporcionan la guía de trabajo del profesional de seguridad. Si el profesional de seguridad solicita a la directiva que firme dichos mandatos, probablemente los pasarán por alto.
Un profesional de seguridad cuyo trabajo es elaborar la política de seguridad debe asumir por tanto el rol de absorber y escribir lo que le transmite la dirección ejecutiva de la empresa. Debe saber escuchar y tener en cuenta los contenidos de sus conversaciones sin importar la disparidad de conocimientos de cada ejecutivo. También debe trasladarlo a documentos que contengan de forma fidedigna lo que le transmiten sin embellecerlo ni añadir anotaciones. Debe ser capaz de detectar los asuntos que preocupan a través de entrevistas a los directivos y preparar una declaración positiva sobre cómo quiere la empresa proteger su información de forma global. El tiempo y el esfuerzo dedicados a obtener el consenso de los ejecutivos sobre la política valdrá la pena porque beneficiará al proceso de implantación de dicha política.
Algunas preguntas que debe hacer el CSO a los directivos
1. ¿Cómo describiría los diferentes tipos de información con los que trabaja?
2. ¿En qué tipo de informaciones suele apoyarse para tomar decisiones?
3. ¿Hay algún tipo de información que requiera mayor privacidad que otros?
A partir de estas preguntas se puede desarrollar un sistema de clasificación de la información (por ejemplo información de clientes, financiera, de marketing, etc.) y se pueden describir procedimientos apropiados de administración para cada uno a nivel de proceso de negocio. Por cierto, si se incluyen textos del tipo “se pueden admitir excepciones a esta política contactando al ejecutivo a cargo de…” en la política o en el programa donde está incluida, el documento pierde totalmente su sentido. En lugar de representar el compromiso de la directiva con el Programa de Seguridad de la Información transmite la sensación de que la política no es factible. El CSO debe preguntarse si se permitirían excepciones parecidas, por ejemplo, en la política de Recursos Humanos o Contabilidad.
Cómo escribir una Política de Seguridad de la Información
Por ejemplo, supongamos que hay un debate sobre si los usuarios deberían tener acceso a medios extraíbles como dispositivos USB. El CSO puede creer que tal acceso no es necesario, mientras que un directivo de tecnología puede considerar que los departamentos responsables de manipulación de datos deberían tener la posibilidad de transportar datos en cualquier tipo de soporte. A nivel de política, la opción de consenso podría dar lugar a una frase del tipo: “el acceso a dispositivos extraíbles deberá ser aprobado por el responsable correspondiente”. Los detalles de los procesos de aprobación utilizados por dicho ejecutivo podrían dar lugar a debate, y continuar las discusiones sobre el asunto. La declaración correcta debería prohibir el uso de esos dispositivos a “cualquiera que no tenga la conformidad de un ejecutivo responsable que apruebe el proceso para utilizarlos”.
Políticas distribuidas
En organizaciones muy grandes los detalles sobre las alternativas de conformidad con la política pueden diferir enormemente. En estos casos puede ser apropiado segregar las políticas en función de la audiencia objetiva. Entonces la política empresarial se convierte en una política global que incluye sólo los mandatos de seguridad mínimos y comunes a todos. Los distintos departamentos pueden publicar sus propias políticas. Estas políticas distribuidas son más efectivas cuando la audiencia es un subconjunto bien definido de la organización. En este caso no se necesita el mismo nivel de compromiso por parte de la alta directiva para poder actualizar estos documentos.
Por ejemplo, la política de operaciones en Tecnologías de la Información podría requerir solamente la aprobación del director de ese departamento, siempre y cuando esa política sea consistente con la política global de seguridad y sólo aumente el compromiso de los directivos con la estrategia de seguridad general. Presumiblemente debería citar a dichos responsables como “sólo los administradores autorizados podrán disponer de acceso para implementar cambios de configuración en el sistema operativo” y “sólo se tendrá acceso a las contraseñas de los ID genéricos en el caso de cambios autorizados en los procesos de control”, por ejemplo. Otros tipos de sub-políticas pueden implicar a personas de diferentes departamentos dedicados a alguna actividad inusual sujeta a controles de seguridad similares, como procesamiento de información de outsourcing o encriptación de comunicaciones por correo electrónico.
Documentos a incluir enel Programa de Seguridad de la Información
• Roles y responsabilidades: descripción de las responsabilidades de seguridad para otros departamentos. Por ejemplo, se le puede dar al departamento de desarrollo la tarea de evaluar las vulnerabilidades de seguridad antes de desplegar nuevas aplicaciones; o al departamento de recursos humanos la labor de mantener listas actualizadas de empleados y proveedores.
• Estándares tecnológicos: descripción de los parámetros de configuración técnica y valores asociados que se hayan determinado para asegurar que los directivos pueden controlar el acceso a los activos de información electrónica.
• Procesos: flujos de trabajo que muestren cómo se combinan las funciones de seguridad desarrolladas por los diferentes departamentos para asegurar la administración segura de la información.
• Procedimientos: instrucciones paso a paso para que el personal pueda realizar tareas rutinarias de seguridad sin necesidad de formación previa, y asegurar así que los mecanismos preventivos, de detección y/o respuesta funcionan como está previsto.
• Directrices: consejos sobre la forma más fácil de cumplir las políticas de seguridad, generalmente redactados para usuarios sin conocimientos técnicos que tienen distintas opciones de gestionar la información de forma segura.