SGSI
Cuando una organización decide implantar un Sistema de Gestión de Seguridad de la
Información basado en la norma ISO 27001 incrementa la seguridad de las TIC.
Hoy en día, las necesidades de seguridad de las empresas se encuentran basadas en tres
fundamentos principales:
Las personas
• Los profesionales de las TIC con formación especializada y acreditada
• Usuarios con suficiente nivel de educación cómo para poder usar las TIC
La gestión
• Sistemas de Gestión de Seguridad de la Información basado en la norma ISO-27001.
• Seguridad englobada dentro de todos los procedimientos y los procesos de negocio,
así como las actividades de la organización.
Las tecnologías y sistemas de información y comunicaciones.
• Sistemas que cumplen certificaciones de calidad de la seguridad de los productos TIC.
La interrelación entre estos tres componentes es la base fundamental a la hora de implementar la seguridad dentro de una organización, se incrementa el riesgo si la seguridad de alguno de dichos componentes no se tiene en cuenta como parte de la seguridad TIC.
El principal objetivos que persiguen los responsables del Sistema de Gestión de Seguridad de la Información es conocer el tiempo real que pasa en los sistemas para que sea relevante en la seguridad de la información de su empresa y además, debe tomar las decisiones oportunas que faciliten la reducción de las amenazas que puedan afectar a la empresa.
Seguridad lógica
La seguridad lógica está basada en el concepto de la defensa en profundidad. El concepto de defensa en profundidad se encuentra basado en los siguientes puntos:
• Bienes que se protegen por varias líneas de defensa.
• Las líneas de defensa participan en la defensa global.
• Cada una de las líneas de defensa lleva a cabo un papel: debilitar, entorpecer, retardar o parar el ataque.
• Las líneas de defensa son autónomas, por lo que la pérdida de una línea de defensa puede debilitar la siguiente pero ésta dispone de sus propios medios de defensa frente a los diferentes ataques.
• Ponen en marcha todos los medios necesarios para reforzar la defensa de las diferentes líneas:
o Adaptar la fortificación.
o Crear muros que limitan los efectos de las penetraciones.
o Estar informado de la situación de cada línea de defensa.
Hoy en día, el concepto de defensa en profundidad ha sido adaptado para su utilización en el ámbito de la Seguridad de los Sistemas de Información. El concepto ha incluido los principios que dan mayor relevancia al concepto de la seguridad TIC.
• Información que se ha convertido en la primera línea de defensa.
• La defensa es un concepto dinámico que permite la adaptación a los requerimientos
de seguridad en la organización.
• Hay diferentes líneas de defensa que se encuentra perfectamente coordinadas y ordenadas según la capacidad que tenga o las necesidades que requiera la organización.
• Perder una línea de defensa deberá debilitar el ataque, dicha pérdida no tiene que ocasionar la pérdida de más líneas de defensa sino que por el contrario debe reforzarlas o adquirir un mayor conocimiento de la amenaza.
• Las líneas de defensas tienen que incluir un registro de amenazas en cada uno de los posibles ataques recibidos, mejorando el nivel de conocimiento y el análisis de la situación generada por la amenaza.
• Durante la defensa no se excluirán las medidas de carácter ofensivo para así poder mitigar los efectos del ataque.
La seguridad lógica en las TIC debe estar adaptada al concepto de una línea de defensa que se encuentra formada por diferentes barreras coordinadas entre sí y que proporcionan una información a los responsables y especialistas de la Gestión de la Seguridad de la Información ISO27001 en la organización para que se puedan tomar las decisiones oportunas.
Las barreras por las que se encuentran compuestas las líneas de defensa están relacionadas con los diferentes niveles de gravedad y la relación correspondiente en caso de superarse dichas barrear de forma planificada dentro de la empresa.
La seguridad TIC es una defensa global y dinámica:
• El concepto global se puede entender como una línea de seguridad y no un conjunto de medios de protección independientes. Todas las líneas de defensa debe disponer de dispositivos que faciliten la detección, monitorización y notificación antes las diferentes amenazas.
Implementar la seguridad lógica tiene como finalidad:
• Reforzar la protección del Sistema de Gestión de Seguridad de la Información.
• Generar un medio de comunicación que facilite a la alta dirección de la organización
la toma de decisiones.
Comentarios
Publicar un comentario