La seguridad de la información es un asunto muy serio. Según los datos del estudio ‘Panorama actual de la ciberseguridad en España: retos y oportunidades para el sector público y privado’ de Google, 6 de cada 10 pymes europeas víctimas de ciberataques no logran superarlo, viéndose abocadas a la desaparición en los seis meses siguientes al incidente, como recogíamos en este artículo.
Si tenemos en cuenta que 7 de cada 10 ciberataques se dirigen a pymes, enseguida nos damos cuenta de que la seguridad de nuestra información es asunto de enorme trascendencia.
No en vano, un mantra habitual en el sector es que no hay que pensar si vamos a sufrir un incidente de este tipo, sino cuándo sucederá.
Tarde o temprano, tendremos que afrontarlo, por lo que debemos estar preparados para ello, con el fin de manejar lo mejor posible esta situación, minimizar los daños y dar respuesta inmediata.
Claves de un buen plan de seguridad
En el plan de seguridad de la información han de contemplarse objetivos relevantes y variados como proteger los activos críticos de la empresa, garantizar la confidencialidad e integridad de su información sensible, asegurar la disponibilidad de sistemas frente ataques de denegación de servicio u otros fallos, controlar y verificar identidades para los usuarios y sistemas en los accesos a los recursos de la organización o llevar el registro, auditoría y monitorización de las actividades de los usuarios, tal y como explica S2 Grupo.
El plan también debe garantizar el cumplimiento de regulaciones y estándares legales, sentar las bases para la recuperación y ciberresiliencia en caso de compromiso, poner en marcha planes de concienciación y capacitación de los empleados sobre las políticas y mejores prácticas de seguridad de la información y preservar la reputación de la compañía y garantizar la continuidad de negocio incluso tras sufrir un incidente de ciberseguridad.
De este modo, se trata de una inversión estratégica fundamental, que garantiza que la protección de la empresa y sienta las bases para una verdadera cultura de ciberseguridad.
Con el fin de ayudarnos a crear un buen plan de seguridad de la información, la empresa apunta los aspectos clave que se deben contemplar en el mismo.
Identificación y clasificación de activos
S2 Grupo señala que plan debe identificar y catalogar todos los activos de información crítica de la organización. “Es preciso tener visibilidad completa sobre el conjunto de activos digitales (hardware, software, sistemas y datos), pero también comprender cuáles son más valiosos, denominados ‘joyas de la corona’, de modo que puedan priorizarse los esfuerzos de protección”, precisa.
Evaluación de riesgos
El plan también debe incorporar una evaluación de riesgos, donde se analicen las posibles amenazas y vulnerabilidades que podrían afectar la seguridad de los activos de información listados en el anterior epígrafe.
Políticas de seguridad
Debemos establecer las reglas a seguir para proteger los activos de información de la organización. “Se van a determinar aquí toda una variedad de acciones, desde establecer políticas de acceso basadas en IAM (Identity and Access Management), al cifrado de datos o cualquier otra medida técnica, que se prevé que será necesario implementar para salvaguardar la información y sistemas”, detalla la compañía.
Aquí también se determinan las responsabilidades en torno a la implementación de las políticas de seguridad, de forma que los roles queden bien definidos.
“Estas políticas deben ser claras y fácilmente comprensibles por todos los empleados. Además, se deben establecer mecanismos para lograr una verdadera concienciación en ciberseguridad y una cultura de ciberseguridad”, añade.
Controles técnicos y medidas de seguridad
Son las herramientas y tecnologías capaces de desplegar las políticas de seguridad establecidas en el punto anterior. Por ejemplo, firewalls, sistemas de detección de intrusiones, antivirus, etc.
“Se recomienda hacer mención en el documento al grado de madurez de estas herramientas, añadiendo un punto más de visibilidad sobre el estado de la ciberseguridad en la organización”, detalla la firma.
Políticas de cumplimiento
S2 Grupo recuerda que el plan debe incorporar los métodos y acciones para garantizar el cumplimiento de los aspectos normativos y regulatorios. “En este punto específico resulta de especial ayuda atender al estándar ISO/IEC 27002:2022”, apunta.
Plan de respuesta a incidentes
Es un elemento esencial del plan de seguridad de la información, ya que recoge los procedimientos a seguir en caso de que ocurra un incidente de seguridad.
“Detalla aspectos como los roles y responsabilidades dentro de la organización para lidiar con el incidente, además de los procedimientos de notificación y las posibles acciones correctivas”, explica la empresa.
Capacitación y concienciación de los empleados
El 15% de los ciberincidentes en las empresas españolas tienen su origen en los empleados, como contábamos en EMPRENDEDORES.
“Gestionar el elemento humano resulta fundamental a la hora de proteger a una organización. En pocas palabras, el plan debe recoger qué acciones se van a poner en marcha para garantizar que todos en la organización estén al tanto de las políticas de seguridad y comprendan cómo cumplirlas en su día a día”, apunta S2 Grupo.
“Además de acciones formativas, el objetivo final debe ser el de establecer una cultura de ciberseguridad que reconozca la protección digital como prioridad para la organización”, agrega.
Pasos para elaborar el plan
Teniendo en cuenta dichas claves, los pasos para crear el plan de seguridad de la información son los siguientes:
Evaluación de los activos de información
Se trata de identificar y clasificar los activos críticos de información de la organización, relativos a los datos, propiedad intelectual, sistemas clave, dispositivos, etc.
S2 Grupo afirma que es “un primer paso esencial, teniendo en cuenta que cada uno de ellos puede estar expuesto a una amenaza específica o riesgo intrínseco”.
Establecer el alcance del plan
“Es posible aplicar el plan a un área específica de la organización, aunque, por lo general, un alcance habitual es priorizar los conjuntos de sistemas o de procesos en función de su criticidad. Esto permite profundizar en las medidas a tomar y se centra en garantizar la continuidad de negocio”, reseña la firma.
Identificación de amenazas y vulnerabilidades
La compañía puntualiza que este paso consiste en la identificación de los riesgos en ciberseguridad que pueden afectar a los activos, incluyendo amenazas externas e internas, riesgos tecnológicos y humanos, entre otros.
“Es en este punto donde destacan las auditorías de ciberseguridad, capaces de detectar vulnerabilidades para servir de apoyo en la aplicación más adelante de medidas correctivas”, recalca.
Evaluación de riesgos
Es preciso determinar el impacto y la probabilidad de ocurrencia de cada amenaza y vulnerabilidad identificada. “Esto es clave, ya que permite priorizar esfuerzos y recursos de acuerdo con niveles de riesgo objetivos”, apunta S2 Grupo.
“En la evaluación de riesgos llega el momento de poner sobre la mesa los riesgos que, de acuerdo con las necesidades específicas de la organización, resultan inaceptables, de modo que se puedan ejecutar después las medidas adecuadas”, añade.
Definición de objetivos
“A partir de la información recopilada, se deben establecer los objetivos a cumplir a través del plan de seguridad de la información. Éstos sirven de guía para después delimitar qué acciones han de ponerse en marcha y dónde priorizar esfuerzos”, remarca.
En este paso también se deben determinar los requisitos respecto al cumplimiento de estándares y disposiciones legales, incluyendo el Reglamento General de Protección de Datos (RGPD).
Desarrollo y aplicación de políticas
Los pasos anteriores son indispensables para estar en disposición de establecer las políticas de seguridad y los procedimientos que van a ponerse en marcha para proteger los activos de la organización.
Algunos de los elementos y proyectos más comunes que se deben delimitar en las políticas de seguridad son las políticas de acceso; gestión de contraseñas; cifrado de datos; compromiso de la dirección; buenas prácticas de uso de activos como internet, dispositivos móviles o correo electrónico; aspectos clave de protección de datos; plan de continuidad TIC; acciones de formación y concienciación para personal y dirección; políticas de copias de seguridad; regulación de los servicios prestados por terceros; creación del plan de respuesta a incidentes; o aplicación de controles y medidas de seguridad.
Planificación, ejecución y seguimiento
Una vez que tenemos hayamos identificado los elementos clave para la seguridad de la información corporativa, hemos de planificar las acciones a realizar para alinear los riesgos con los requisitos de seguridad identificados.
“Esta planificación, que devuelve como resultado el propio plan de seguridad de la información, deberá cumplirse en el tiempo. Para garantizar dicho cumplimiento, recomendamos el seguimiento continuo de la ejecución, midiendo sus resultados e identificando desviaciones en plazo, de manera que puedan ser corregidas”, remarca S2 Grupo.
