Estándares y Políticas en Ciberseguridad

Estimados amigos, me place enviarles el 3er. Artículo sobre el tema de Ciberseguridad, de la autoría del Ing. César A. Pichardo y aporte del Instituto Tecnológico de Santo Domingo “Intec”, como ya sabrán este tema está muy en boga es los últimos tiempos, puesto que existe mucha desconfianza por parte de los usuarios para utilizar medios electrónicos para hacer cualquier tipo de transacción electrónica, ya sea realizar compras de productos online, como hacer transferencias bancarias, entre otras…

La información es el activo más importante para las empresas y como tal tiene un costo y un valor de impacto que requiere ser protegido. El constante crecimiento del ciberespacio obliga a las empresas a evaluar sus necesidades de seguridad y establecer políticas que protejan de forma efectiva la información. La seguridad no se logra con un dispositivo, si no a través de la implementación de distintos procesos, componentes tecnológicos y las personas correctas

Lo más importante para que una empresa pueda definir una política de seguridad consistente es evaluar de forma concreta y realista cuales son las fortalezas y debilidades que en la actualidad se padecen. El Data Breach Report de Verizon, publicado en el 2013, nos muestra a simple vista como se han producido los principales ataques a las empresas en materia de seguridad:

• 69% de brechas de seguridad en las empresas fueron identificados por una entidad externa.
• 66% de brechas de seguridad en las empresas tomaron meses (y hasta años) en ser descubiertos.
• 29% de los ataques sufridos por las empresas fueron conducidos a través de prácticas sociales.
• 76% de las intrusiones en sistemas internos de las empresas explotaron credenciales débiles o robadas.
• 75% de los ataques sufridos por las empresas fueron oportunísimos, sin ser necesariamente dirigidos hacia alguna empresa en particular.
• Al menos el 50% de ataques internos han sido perpetrados por exempleados que se aprovechan de cuentas viejas que siguen activas.

Estas tendencias demuestran que las empresas deben hacer profundas reflexiones sobre cuáles son sus estrategias de seguridad y desarrollar políticas que sean aplicadas de forma efectiva para que puedan generarse resultados que demuestren una franca mejoría en la eliminación de vulnerabilidades que comprometen la información interna de las empresas ante nuevos y novedosos ataques tanto internos como externos.

Una adecuada estructura de protección debe ante todo alinear los objetivos de seguridad con los objetivos del negocio y aplicar el uso de normativas internacionales de estándares de ciberseguridad para desarrollar una política de seguridad efectiva tanto dentro de la empresa. Esta política debe ser tanto estratégica como operativa.

Fuente: Presentación de ITS sobre Ethical Hacking, 2014

Desde el punto de vista operativo la política de seguridad será tan robusta y tan sólida como los aplicativos y programas que la empresa utilice. Estas herramientas tecnológicas y sus innovaciones serán clave para el éxito de las estrategias de prevención, detección y violación de ataques externos. Plataformas como Microsoft (MCSA / MCSE) y Cisco (CCNP Security / CCIE Security), cuentan con certificaciones que permiten a los profesionales incrementar el rendimiento del uso de las mismas.

Desde el punto de vista estratégico la política de seguridad debe ser efectiva y con la visión que permita hacer innovaciones y/o actualizaciones periódicas según va avanzando la industria. Se pueden aplicar una serie de guías y certificaciones de apoyo en el mercado como son:

1. Guías ISO 27002:2013. SGSI 27001:20013. 9001. Políticas y procedimientos. CISA. CISM. CISSP. Análisis de Riesgos. CRISC. Gobierno de TI. CGEIT. COBIT. COSO.

Ya les estaremos informando próximamente sobre el evento que está preparando la CámaraTIC, con respecto a este tema tan importante de CIBERSEGURIDAD.

Jeannette Sanchez,
Directora Ejecutiva