Situación Actual
Para la mayoría de las empresas e instituciones, sus sistemas de información son
los activos por excelencia, imprescindibles para su propia existencia y supervivencia.
Tanto las pymes como las multinacionales, reconocen el grado de criticidad que los sistemas de
información representan para su funcionamiento y supervivencia y el alto grado de vulnerabilidad inherente a la
propia naturaleza de estos sistemas. Y lo que es más grave, la insuficiencia de las políticas y normas de
seguridad implantadas a la fecha.
Con frecuencia somos testigos y/o víctimas de ataques de virus, de hackers, e incluso de
empleados o usuarios maliciosos que acceden a información confidencial y la utilizan de forma perjudicial para
la empresa. En muchas ocasiones somos conscientes de los daños causados cuando es demasiado tarde o quizá
nunca.
Otras situaciones reflejan retrasos o ineficiencias en los casos de fallos de aplicaciones, ausencias
de personal cualificado, sistemas de respaldo incompletos o ineficientes que repercuten en un menor nivel de servicio,
costes excesivos o baja rentabilidad.
Situación Deseada
Los Directores desean que sus negocios funcionen sin interrupción y contar con un grado
de riesgo que represente una baja probabilidad de que dichas interrupciones se materialicen. Además quieren que
el trabajo que realiza su personal sea eficaz en tiempos y costes.
Cada interrupción puede significar una cantidad ingente de dinero que se deja de ingresar, o
retrasos en la facturación y/o pérdidas de imagen ante accionistas, inversores, empleados, proveedores o
clientes.
La situación deseada es aquella en la que la continuidad del negocio se encuentra dentro de los
límites asumibles por la Dirección. El logro de este objetivo lleva consigo una labor de gestión
para la mitigación de los riesgos relativos a los sistemas de información que dan vida a la empresa
Estándares Internacionales
El objetivo de conseguir y mantener la situación deseada tiene un carácter
universal. Es decir, puede aplicar a cualquier empresa u organización de cualquier parte del mundo.
Por ello, la Organización ISO ha venido publicando distintas normas hasta la publicación
de la Norma ISO 17799 en el año 2005 (ISO 27002), que es un Código de Buenas Prácticas orientadas
a reducir los riesgos y a aproximarse a una continuidad del negocio derivada de la adecuada Gestión de la
Seguridad de la Información. Es un marco unificado de control de seguridad interno que recorre toda la
compañía, desde la Dirección hasta los activos pasando por la seguridad física, la
lógica, el cumplimiento legal, etc.
Sobre la base de la Norma ISO 17799:2005 se aprobó igualmente la Norma ISO 27001, que permite a
las empresas certificar su Sistema de Gestión de la Seguridad de la Información (SGSI).
De esta manera, existe una referencia oficial orientada a que los usuarios de los servicios no sufran
las consecuencias de la falta de continuidad del servicio de las empresas o instituciones que los ofrecen o de sentir
la incertidumbre de si el futuro servicio es fiable o no.
La empresa que ostente este Certificado está diciendo a sus accionistas, clientes, empleados y
proveedores que ha tomado y toma medidas preventivas diarias para asegurar la Gestión de la Seguridad de su
Información, teniendo en consideración la continuidad de su servicio, a través de uno de los
puntos generales de esta Norma, o lo que es lo mismo, para no dejarles en ningún momento desatendidos. Y lo
más importante: que se optimizan y aseguran los procesos que generan un servicio con garantías de
fiabilidad y de continuidad.
Preparación para la
Certificación
La preparación de una empresa o institución para conseguir el certificado de su
SGSI es un trabajo de especialistas que requiere amplios conocimientos de organización, gestión de los
sistemas de información y de la tecnología actual relativa a la seguridad de la información.
Si una empresa o institución está interesada en este Certificado y no dispone de
especialistas, la opción mas económica, práctica y rápida es contratar una consultora
especializada en la Seguridad de la Información para llevar a cabo esta preparación. La función de
esta consultora para que la empresa pase la auditoría de la Entidad de Certificación, es similar a la de
un taller de automóviles para que un automóvil pase la ITV.
Qué supone implantar un SGSI
Asumir y hacer parte intrínseca de la organización determinados procesos,
comportamientos y acciones para mejorar dicha organización.
Establecer y/o reordenar la gestión de la Seguridad de la información de una
organización, en concordancia con sus Planes Estratégicos y su negocio.
Una Gestión eficaz de la Seguridad permite garantizar la Confidencialidad, la Integridad y la
Disponibilidad de la información.
Se trata de ejercer el control interno sobre nuestros principales activos mediante un ciclo de mejora
continua (Plan - Do - Check - Act):
