Planificar

En esta primera fase se realiza un estudio de la situación de la Organización (desde el punto de vista de la seguridad), para estimar las medidas que se van a implantar en función de las necesidades detectadas.

Hay que tener en cuenta que no toda la información de la que dispone la organización tiene el mismo valor, e igualmente, no toda la información está sometida a los mismos riesgos. Por ello un hito importante dentro de esta fase es la realización de un Análisis de Riesgos que ofrezca una valoración de los activos de información y las vulnerabilidades a las que están expuestos. Así mismo se hace necesario una Gestión para dichos riesgos de cara a reducirlos en la medida de lo posible.

El resultado de este Análisis y Gestión de Riesgos será establecer una serie de prioridades en las tareas a realizar para minimizar dichos riesgos. Puesto que los riesgos nunca van a desaparecer totalmente, es importante que la Dirección de la Organización asuma un riesgo residual, así como las medidas que se van a implantar para reducir al mínimo posible dicho riesgo residual.

Ejecutar

En esta fase se lleva a cabo la implantación de los controles de seguridad escogidos en la fase anterior. En dicha implantación se instalarán dispositivos físicos (HW, SW, …), pero también se creará o revisará la documentación necesaria (políticas, procedimientos, instrucciones y registros).

Dentro de esta fase es muy importante dedicar un tiempo a la concienciación y formación del personal de la empresa de cara a que conozcan los controles implantados.

Verificar

Es importante que la Organización disponga de mecanismos que le permitan evaluar la eficacia y éxito de los controles implantados. Es por esto que toman especial importancia los registros (evidencias) que dejan los diferentes controles, así como los indicadores que permiten verificar el correcto funcionamiento del SGSI.

Actuar

En esta fase se llevarán a cabo las labores de mantenimiento del sistema así como las labores de mejora y de corrección si, tras la verificación, se ha detectado algún punto débil. Esta fase se suele llevar en paralelo con la verificación y se actúa al detectarse la deficiencia, no se suele esperar a tener la fase de verificación completada para comenzar con las tareas de mejora y corrección.

Fases de Implantación

De acuerdo con este modelo (PDCA), la metodología de implantación de un SGSI en una PYME contempla los pasos que se detallan en las siguientes etapas. Para cada una de ellas se identifican las acciones clave a llevar a cabo.

Establecimiento del SGSI

• Inicio del Proyecto
  • Asegurar el compromiso de la Dirección.
  • Seleccionar y entrenar a los miembros del equipo inicial que participan en el proyecto.
• Definición del SGSI
  • Identificación del alcance del SGSI y de la Política de Seguridad del SGSI.
  • Recopilar los documentos de seguridad existentes en la organización.
  • Preparar los procedimientos relacionados con la gestión y la operación del SGSI.
• Análisis de Riesgos
  • Definición de una metodología para la clasificación de los riesgos.
  • Creación de un inventario de activos.
  • Evaluación de los activos a ser protegidos.
  • Identificación y evaluación de amenazas y vulnerabilidades de los activos.
  • Cálculo del valor de riesgo asociado a cada activo.
• Gestión de Riesgos
  • Identificar y evaluar alternativas posibles para tratar los riesgos.
  • Seleccionar e implantar los controles correctos que le permitan a la organización reducir el riesgo a un nivel aceptable.
  • Redactar el documento de declaración de aplicabilidad (documento de selección de controles), que debe ser firmado por Dirección.
  • Identificar los riesgos residuales que han quedado sin cubrir y obtener la firma de Dirección.
  • Preparar el Plan de Tratamiento de Riesgos Preparar procedimientos para implantar los controles.

Implantación y Operación

• Implantación del SGSI
  • Implantar el plan de tratamiento de riesgos.
  • Implantar políticas y procedimientos del SGSI.
  • Implantar los controles seleccionados.
• Formación y sensibilización
  • Impartir formación entre los empleados sobre los nuevos procedimientos que se van a implantar.
  • Concienciar a la plantilla de la importancia que el proyecto de seguridad tiene para la Organización.

Monitorización y Revisión

• Monitorización del SGSI
  • Ejecutar procedimientos de monitorización para detectar errores de proceso, identificar fallos de seguridad de forma rápida y acciones a realizar.
• Revisión del SGSI
  • Revisiones periódicas de la política y alcance del SGSI, así como de su eficacia.
  • Revisiones de los niveles de riesgos residuales y riegos aceptables.
  • Auditorías internas/externas del SGSI.

Mantenimiento y Mejora

• Mantenimiento del SGSI
  • Comunicar resultados de las auditorías a las partes interesadas.
  • Adoptar acciones correctivas y preventivas.
• Mejora Continua
  • Medir el rendimiento del SGSI.
  • Implantar las mejoras identificadas en las revisiones del SGSI.

BENEFICIOS DE UN SGSI

Las organizaciones de mayor tamaño cuentan con abundantes recursos humanos, técnicos y económicos que le permiten afrontar el mantenimiento de la seguridad en sus sistemas de información. La PYME, a falta de esos recursos necesita de una herramienta sencilla y de bajo coste que dé respuesta a los riesgos existentes.

Por ello, partiendo de la base que la seguridad al 100% no existe, la adopción de un Sistema de Gestión de la Seguridad de la Información (SGSI) es una alternativa adecuada para que la PYME pueda establecer una metodología y una serie de medidas con las que ordenar, sintetizar y simplificar de manera continua el esfuerzo que ya se hace o que ya se debería hacer en seguridad de la información.

Esta mejora en la seguridad se ve reflejada en una serie de ventajas que se describen a continuación.

Reducción de riesgos

Partiendo del Análisis de Riesgos que impone la norma, hasta la implementación de los controles, el conjunto de acciones adoptadas reducirá los riesgos hasta un nivel asumible por la PYME, siempre en relación a los objetivos de negocio de la organización.

Ahorro Económico

Como cualquier otro sistema de gestión, la implementación de la norma permite una racionalización de recursos, lo que repercute en un ahorro de costes. Poder tomar decisiones basadas en datos cuantitativos y no solo cualitativos, permite gestionar mejor el gasto en TI. De esta manera las inversiones en tecnología se ajusten a las prioridades que se han impuesto a través del Análisis de Riesgos, evitando los gastos innecesarios, inesperados, y sobredimensionados.

Calidad a la seguridad

La implementación de un SGSI transforma la seguridad en una actividad de gestión. Este concepto es importante ya que deja de lado un conjunto de actividades técnicas más o menos organizadas, para transformarse en un ciclo de vida metódico y controlado. En el que al participar toda la organización, se crea conciencia y compromiso de seguridad en todos los niveles de la empresa.

Cumplimiento Legal

Es necesario el cumplimiento de la legislación vigente. Todos los aspectos de conformidades legales de la norma deben responder a la legislación del país, y se verifica su adecuación y cumplimiento. Por lo tanto la certificación garantiza este hecho y a su vez seguramente crea un marco legal que protegerá a la empresa en aspectos que seguramente no se habían tenido en cuenta hasta entonces.

Competitividad en el mercado

Esta norma es tan importante como lo es hoy ISO 9000. Poco a poco las grandes empresas, los clientes y partners comenzarán a exigir esta certificación para abrir y compartir sus sistemas con cualquier PyME. Es el único modo que puede garantizar un equilibrio en las medidas de seguridad entre esas partes. Lo que la convierte en un importante factor diferenciador con la competencia, por las ventajas derivadas de la mejora de imagen y ventaja competitiva en el mercado.

En definitiva, la UNE-ISO/IEC 27001 es un elemento de gestión que se irá generalizando en las empresas, distinguiéndose claramente quienes se anticipen en su implantación.