Introducción a los Sistemas de Gestión de la Seguridad de la Información (ISMS)

Todo proceso empresarial impulsado por tecnología está expuesto a amenazas de seguridad y privacidad. Las tecnologías sofisticadas son capaces de combatir ataques de ciberseguridad, pero esto no es suficiente: las organizaciones deben asegurarse de que los procesos empresariales, las políticas y el comportamiento de la plantilla minimizen o mitiguen estos riesgos.

Como este camino no está ni fácil ni claro, las empresas adoptan marcos que ayudan a orientarse hacia las mejores prácticas de seguridad de la información (InfoSec). Aquí están donde entran en juego los sistemas de gestión de seguridad de la información—echemos un vistazo.

¿Qué es un ISMS?

Un sistema de gestión de la seguridad de la información (ISMS) están un marco de políticas y controles que gestionan la seguridad y los riesgos de forma sistemática y en toda tu empresa: la seguridad de la información. Estos controles de seguridad pueden seguir estándares comunes o estar más enfocados en tu sector.

Por ejemplo, ISO 27001 están un conjunto de especificaciones que detallan cómo Crea, gestionar e implementar políticas y controles ISMS. La ISO no exige acciones específicas; en su lugar, proporciona directrices para desarrollar estrategias ISMS adecuadas.

El marco de ISMS está generalmente centrado en la evaluación y gestión de riesgos. Piénsalo como un enfoque estructurado para el equilibrio entre la mitigación de riesgos y el coste (riesgo) incurrido.

Las organizaciones que operan en sectores industriales fuertemente regulados, como la sanidad o las finanzas, pueden requerir un amplio abanico de actividades de seguridad y estrategias de mitigación de riesgos.

(Considera la gestión de InfoSec dentro de tu política general de seguridad informática.)

Mejora continua en seguridad de la información

Aunque el ISMS está diseñado para establecer capacidades holísticas de gestión de la seguridad de la información, la transformación digital requiere que las organizaciones adopten mejoras continuas y evolucionen en sus políticas y controles de seguridad.

La estructura y los límites definidos por un ISMS pueden aplicarse solo por un periodo limitado y la plantilla puede tener dificultades para adoptarlos en las primeras etapas. El desafío para las organizaciones están evolucionar estos mecanismos de control de seguridad a medida que cambian sus riesgos, cultura y recursos.

Según la ISO 27001, la implementación del ISMS sigue un modelo Plan-Do-Check-Act (PCDA) para la mejora continua en los procesos ISM:

• Planificar. Identificar los problemas y recopilar información útil para evaluar el riesgo de seguridad. Define las políticas y procesos que pueden utilizarse para abordar las causas raíz de los problemas. Desarrollar métodos para establecer una mejora continua en las capacidades de gestión de la seguridad de la información.
• Hazlo. Implementa las políticas y procedimientos de seguridad establecidos. La implementación sigue los estándares ISO, pero la implementación real está basada en los recursos disponibles para tu empresa.
• Comprobar. Supervisar la eficacia de las políticas y controles del ISMS. Evaluar los resultados tangibles así como los aspectos conductuales asociados con los procesos del ISM.
• Actúa. Céntrate en la mejora continua. Documenta los resultados, comparte conocimientos y utiliza un bucle de retroalimentación para abordar futuras iteraciones de la implementación del modelo PCDA de las políticas y controles ISMS.

Marcos ISMS populares

La ISO 27001 es líder en seguridad de la información, pero otros marcos también ofrecen una guía valiosa. Estos otros marcos suelen tomar prestados de la ISO 27001 u otras directrices específicas del sector.

• ITIL, el marco de gestión de servicios ampliamente adoptado, tiene un componente dedicado llamado Gestión de la Seguridad de la Información (ISM). El objetivo de ISM está alinear la seguridad de TI y la seguridad empresarial para asegurar que la Seguridad Informática están gestionada eficazmente en todas las actividades.
• COBIT, otro marco centrado en TI, dedica un tiempo significativo a cómo la gestión de activos y la gestión de configuración son fundamentales para la seguridad de la información, así como para casi todas las demás funciones de ITSM, incluso aquellas no relacionadas con InfoSec.

Controles de seguridad ISMS

Los controles de seguridad ISMS abarcan múltiples dominios de la seguridad de la información según lo especificado en la norma ISO 27001. El catálogo contiene directrices prácticas con los siguientes objetivos:

• Políticas de seguridad de la información. Una dirección general y un apoyo ayudan a establecer políticas de seguridad adecuadas. La política de seguridad está única para tu empresa, diseñada en el contexto de tus necesidades cambiantes de negocio y seguridad.
• Organización de la seguridad de la información. Esto aborda amenazas y riesgos dentro de la red corporativa, incluyendo ciberataques de entidades externas, amenazas internas, fallos del sistema y pérdida de datos.
• Gestión de activos. Este componente cubre los activos organizativos dentro y fuera de la red de TI corporativa, lo que puede implicar el intercambio de información empresarial sensible.
• Seguridad de los recursos humanos. Políticas y controles relacionados con tu personal, actividades y errores humanos, incluyendo medidas para Reduce el riesgo de amenazas internas y formación de la plantilla para Reduce fallas de seguridad no intencionadas.
• Seguridad física y ambiental. Estas directrices cubren medidas de seguridad para Protege el hardware informático físico de daños, pérdidas o accesos no autorizados. Aunque muchas organizaciones son aprovechando la transformación digital y manteniendo información sensible en redes en la nube seguras fuera de las instalaciones, debe considerarse la seguridad de los dispositivos físicos utilizados para acceder a esa información.
• Gestión de comunicaciones y operaciones. Los sistemas deben operarse respetando y manteniéndose conforme a las políticas y controles de seguridad. Las operaciones diarias de TI, como la provisión de servicios y la gestión de problemas, deben seguir las políticas de seguridad informática y los controles ISMS.
• Control de acceso. Este ámbito de política se ocupa de limitar el acceso al personal autorizado y de monitorizar el tráfico de red para detectar comportamientos anómalos. Los permisos de acceso se refieren tanto a medios digitales como físicos de la tecnología. Los roles y responsabilidades de los individuos deben estar bien definidos, con acceso a la información empresarial disponible solo cuando sea necesario.
• Adquisición, desarrollo y mantenimiento de sistemas de información. Las mejores prácticas de seguridad deben mantenerse a lo largo de todo el ciclo de vida del sistema informático, incluyendo las fases de adquisición, desarrollo y mantenimiento.
• Seguridad de la información y gestión de incidentes. Identificar y resolver problemas informáticos de manera que minimice el impacto para los usuarios finales. En entornos complejos de infraestructura de red, pueden ser necesarias soluciones tecnológicas avanzadas para identificar métricas de incidentes perspicaces y mitigar proactivamente posibles problemas.
• Gestión de la continuidad del negocio. Evita interrupciones en los procesos de negocio siempre que sea posible. Idealmente, cualquier situación de desastre está seguida inmediatamente por la recuperación y los procedimientos para minimizar los daños.
• Cumplimiento. Los requisitos de seguridad deben aplicarse según los organismos reguladores.
• Criptografía. Entre los controles más importantes y efectivos para Protege información sensible, no están una solución mágica por sí solo. Por lo tanto, los ISMS regulan cómo se aplican y gestionan son los controles criptográficos.
• Relaciones con proveedores. Proveedores externos y socios comerciales pueden requerir acceso a la red y a datos sensibles de los clientes. Puede que no sea posible aplicar controles de seguridad a algunos proveedores. Sin embargo, deben adoptarse controles adecuados para mitigar los riesgos potenciales mediante políticas de seguridad informática y obligaciones contractuales.

Estos componentes y dominios ofrecen buenas prácticas generales para el éxito en InfoSec. Aunque estos pueden variar sutilmente de un marco a otro, considerar y alinearse con estos dominios aportará mucho en cuanto a seguridad de la información.

Lecturas relacionadas

• Blog de Seguridad y Cumplimiento de BMC
• Explicación del marco de MITRE ATT&CK
• Principales conferencias de Seguridad TI, Seguridad de la Información y Ciberseguridad
• 7 Políticas de TI críticas para el negocio y cómo implementarlas

Estas publicaciones son mías y no representan necesariamente la posición, estrategias u opinión de BMC.