Pasos para implementar un Sistema de Seguridad en Computación.
Identificación de necesidades
Lo primero que se debe hacer es identificar las necesidades de lo que se quiere proteger.
¿Por qué necesito un sistema de seguridad?
¿Es realmente necesario?
Esas son unas de las preguntas que debemos hacernos al implementar un sistema de seguridad. Una vez contestadas, la siguiente pregunta es: ¿Qué voy a proteger?
Todo eso es necesario ya que si no sabemos nuestras necesidades podemos perder una gran inversión al querer implementar un sistema de seguridad que no se adecúa a nuestra empresa.
Conocer el entorno
Aquí se debe de conocer la empresa, instalaciones, empleados; todo el entorno en el que estamos trabajando para poder implementar correctamente nuestro sistema de seguridad ya que si no lo hacemos, nuestro sistema de seguridad será deficiente.
De nada sirve tener el mejor sistema del mundo si no nos sirve en nuestro entorno laboral.
Al conocer el entorno, podemos anticiparnos a los filtrados de información y podemos prepararnos para cualquier situación al implementar nuestro sistema.
Definir el alcance
Definimos qué es lo que va a proteger nuestro sistema.
Todo lo que esté al alcance de nuestro sistema tendrá que ser regido por las políticas del mismo.
También hay que definir qué partes de la empresa están fuera del alcance para evitar ambigüedades.
Al hablar de “partes” de la empresa, uno se refiere a cualquier componente que pueda identificarse y tratarse independientemente del resto. Ya sean, sedes, departamentos, procesos, servicio o personal.
Lo habitual sería dejar fuera del alcance a sedes dónde no se maneje información crítica.
Identificar los procesos claves del negocio
Esto es necesario para poder definir el alcance. Si sabemos cuáles son los procesos claves, que en teoría deberían ser los que más nos interesara proteger, podemos ponerlos dentro del alcance de nuestro sistema, lo que nos permite poder habilitar dicho sistema a la protección de los procesos.
Si no tenemos claro cuáles son los procesos claves, entonces no podremos tenerlos dentro del sistema, y no podremos protegerlos, lo que volvería completamente inútil el hecho de tener un sistema de seguridad.
Desarrollo de análisis de riesgos
¿Cuáles son los riesgos a los que nos enfrentamos?
Los riesgos pueden ser varios. Personal que filtra información al trabajar de manera poco ética, alguna puerta trasera en nuestros sistemas informáticos o incluso la colocación de nuestros servidores que pudiera ser un peligro para la seguridad de los mismos.
Todo eso hay que tener en cuenta para el desarrollo del análisis de los riesgos. De nada nos sirve tener el mejor sistema de seguridad informático para nuestros servidores si estos se encuentran en un cuarto cerrado en el cuál se sobrecalentaran porque les falta ventilación, lo que provocaría que los servidores dejaran de funcionar.
Seleccionar objetivos y controles
Seleccionamos los objetivos a cubrir y la manera en la que controlaremos esos riesgos para minimizarlos lo más posible, o si se puede, eliminarlos completamente.
Debemos de tener todo planificado y pensado para el caso en que ocurra lo peor poder tener un plan de lo que se debe hacer. Si no tenemos claros los objetivos no sabremos qué hacer y si no tenemos una manera de controlar los riesgos, nuestro sistema de seguridad no funcionará de la manera en la que deseamos, dejando vulnerable nuestra información.
Definir la metodología en la implantación de controles
Los métodos a utilizar en la implantación de controles. Es importante para controlar quién accede a la información. Si no controlamos a los usuarios que acceden a la información, de nada va a servir tener el mejor software de protección del mundo.
Es necesario tener un control sobre las personas que van a hacer uso de la información. De preferencia que sean las menos posibles las que accedan a información crítica para, de esta manera, minimizar los riesgos a que ocurran filtraciones importantes de la compañía.
Los métodos para realizar estos tipos de controles podrían ser utilizar identificación para cada usuario, volviéndolo totalmente responsable por cualquier cosa que pudiera ocurrir al usar dicha identificación.
Implantación SGSI mediante controles físicos, técnicos y organizativos
La implantación del SGSI no sólo será en software, eso seguro, para el uso correcto de un sistema de seguridad, como dije anteriormente, hay que tener en cuenta a los usuarios, y mantener un control de quienes accesan, no solo a las computadoras, si no a salas en específico.
Alarmas, puertas con clave, llaves magnéticas, son unas pocas cosas que pueden servir para proteger y mantener fuera de muchos riesgos, las instalaciones y la información que yace en ellas.
Los aspectos técnicos es al software usado para proteger la información, siempre mantenerlo actualizado y realizar auditorías de seguridad para conocer las vulnerabilidades de nuestro sistema es muy importante a la hora de implantarlo.
En cuanto a lo organizativo, de nada nos sirve un buen software o buenas instalaciones si no hay una organización adecuada.
Es importante capacitar a las personas que estarán a cargo del sistema de seguridad ya que esto no se realizará por sí solo, mantenimiento y manejo son cosas importantes, sin las cuales el sistema colapsaría. Por lo cual se deben de tener a personas que sean totalmente capaces de hacerlo.