Políticas de Seguridad de Información Empresa Virtual IT Expert
2011 Índice a) Definición de la seguridad de la información
b) Objetivos de la Seguridad de Información
c) Alcance generale de la Seguridad de Información
d) Responsables
e) Explicación de las políticas
f) Explicación de los principios y normas
g) Requisitos de Cumplimiento de la Seguridad 1) cumplimiento de requisitos legales y contractuales 2) requisitos de instrucción en materia de seguridad 3) prevención y detección de virus y demás software malicioso 4) administración de la continuidad comercial 5) consecuencias de las violaciones a la política de seguridad 6) Responsabilidades generales y específicas en materia de gestión de la seguridad de la información h) Documentos de Respaldo I) Bibliografía
a) Definición de la seguridad de la información El proponer o identificar una política de seguridad requiere un alto compromiso con la organización, agudeza técnica para establecer fallas y debilidades, y constancia para renovar y actualizar dicha política en función del dinámico ambiente que rodea las organizaciones modernas. Esto adquiere mayor importancia aún cuando el tema abordado por estas políticas es la Seguridad Informática. Extensos manuales explicando cómo debe protegerse una computadora o una red con un simple Firewall, un programa antivirus o un monitor de sucesos. Falacias altamente remuneradas que ofrecen la mayor "Protección" = "Aceite de Serpiente" del mundo. Hay que dejar en claro que la Seguridad Informática no tiene una solución definitiva aquí y ahora, sino que es y será el resultado de la innovación tecnológica, a la par del avance tecnológico, por parte de aquellos que son los responsables de nuestros sistemas. Para continuar, hará falta definir algunos conceptos aplicados en la definición de una Politica de Seguridad Informática (PSI): Plan: conjunto de decisiones que definen cursos de acción futuros y los medios para conseguirlos. Consiste en diseñar un futuro deseado y la búsqueda del modo de conseguirlo. Estrategia : Conjunto de decisiones que se toman para determinar políticas, metas y programas. Política: definiciones establecidas por la dirección, que determina criterios generales a adoptar en distintas funciones y actividades donde se conocen las alternativas ante circunstancias repetidas. Meta: objetivo cuantificado a valores predeterminados. Procedimiento: Definición detallada de pasos a ejecutar para desarrollar una actividad determinada. Norma: forma en que realiza un procedimiento o proceso. Programa : Secuencia de acciones interrelacionadas y ordenadas en el tiempo que se utilizan para coordinar y controlar operaciones. Proyección : predicción del comportamiento futuro, basándose en el pasado sin el agregado de apreciaciones subjetivas. Pronostico: predicción del comportamiento futuro, con el agregado de hechos concretos y conocidos que se prevé influirán en los acontecimientos futuros. Control: capacidad de ejercer o dirigir una influencia sobre una situación dada o hecho. Es una acción tomada para hacer un hecho conforme a un plan. (2)
Riesgo: proximidad o posibilidad de un daño, peligro. Cada uno de los imprevistos, hechos desafortunados, etc., que puede tener un efecto adverso. Sinónimos: amenaza, contingencia, emergencia, urgencia, apuro.
Ahora, una Política de Seguridad es un conjunto de requisitos definidos por los responsables de un sistema, que indica en términos generales que está y que no está permitido en el área de seguridad durante la operación general del sistema. La política se refleja en una serie de normas, reglamentos y protocolos a seguir, donde se definen las medidas a tomar para proteger la seguridad del sistema; pero, ante todo, una política de seguridad es una forma de comunicarse con los usuarios. Siempre hay que tener en cuenta que la seguridad comienza y termina con personas y debe: •
•
• •
Ser holística (cubrir todos los aspectos relacionados con la misma). No tiene sentido proteger el acceso con una puerta blindada si a esta no se la ha cerrado con llave. Adecuarse a las necesidades y recursos. No tiene sentido adquirir una caja fuerte para proteger un lápiz. Ser atemporal. El tiempo en el que se aplica no debe influir en su eficacia y eficiencia. Definir estrategias y criterios generales a adoptar en distintas funciones y actividades, donde se conocen las alternativas ante circunstancias repetidas.
Cualquier política de seguridad ha de contemplar los elementos claves de seguridad ya mencionados: la Integridad, Disponibilidad, Privacidad y, adicionalmente, Control, Autenticidad y Utilidad. No debe tratarse de una descripción técnica de mecanismos de seguridad, ni de una expresión legal que involucre sanciones a conductas de los empleados. Es más bien una descripción de los que deseamos proteger y el porqué de ello.
b) Objetivos de la Seguridad de Información Generalmente, los sistemas de información incluyen todos los datos de una compañía y también en el material y los recursos de software que permiten a una compañía almacenar y hacer circular estos datos. Los sistemas de información son fundamentale s para las compañías y deben ser protegidos. Generalmente, la seguridad informática consiste en garantizar que el material y los recursos de software de una organización se usen únicamente para los propósitos para los que fueron creados y dentro del marco previsto. La seguridad informática se resume, por lo general, en cinco objetivos principales: Integridad: garantizar que los datos sean los que se supone que son Confidencialidad: asegurar que sólo los individuos autorizados tengan acceso a los recursos que se intercambian Disponibilidad: garantizar el correcto funcionamiento de los sistemas de información
Evitar el rechazo: garantizar de que no pueda negar una operación realizada. Autenticación: asegurar que sólo los individuos autorizados tengan acceso a los recursos
Además de buscar cumplir los 5 objetivos mencionados líneas arriba, la seguridad informática está concebida para proteger los activos informáticos, entre los que se encuentran: La información contenida
Se ha convertido en uno de los elementos más importantes dentro de una organización. La seguridad informática debe ser administrada según los criterios establecidos por los administradores y supervisores, evitando que usuarios externos y no autorizados puedan acceder a ella sin autorización. De lo contrario la organización corre el riesgo de que la información sea utilizada maliciosamente para obtener ventajas de ella o que sea manipulada, ocasionando lecturas erradas o incompletas de la misma. Otra función de la seguridad informática en esta área es la de asegurar el acceso a la información en el momento oportuno, incluyendo respaldos de la misma en caso de que esta sufra daños o pérdida producto de accidentes, atentados o desastres. La infraestructura computacional
Una parte fundamental para el almacenamiento y gestión de la información, así como para el funcionamiento mismo de la organización. La función de la seguridad informática en esta área es velar que los equipos funcionen adecuadamente y prever en caso de falla planes de robos, incendios, boicot, desastres naturales, fallas en el suministro eléctrico y cualquier otro factor que atente contra la infraestructura in formática. Los usuarios
Son las personas que utilizan la estructura tecnológica, zona de comunicaciones y que gestionan la información. La seguridad informática debe establecer normas que minimicen los riesgos a la información o infraestructura informática. Estas normas incluyen horarios de funcionamiento, restricciones a ciertos lugares, autorizaciones, denegaciones, perfiles de usuario, planes de emergencia, protocolos y todo lo necesario que permita un buen nivel de seguridad informática minimizando el impacto en el desempeño de los funcionarios y de la organización en general y como principal contribuyente al uso de programas realizados por programadores.
c) Alcance generales de la Seguridad de Información El alcance de las presentes políticas de seguridad para la empresa virtual IT Expert, son las siguientes: •
Nivel de Seguridad Organizativo:
o
Seguridad Organizacional
o
Excepciones de Responsabilidad
o
Clasificación y Control de Activos
o
•
•
Seguridad Ligada al Personal
Nivel de Seguridad Física o
Seguridad Física
o
Seguridad Ambiental
o
Seguridad de los Equipos
Nivel de Seguridad Lógico o
Control de Accesos
o
Administración del Acceso a Usuarios
o
Seguridad en Acceso a terceros
o
Control de Acceso a la red
o
Control de acceso a las aplicaciones
d) Responsables
Dentro de la empresa ITExpert, cada uno de los integrantes de la misma posee roles y responsabilidades específicas. El gerente general, es el encargado del manejo de la empresa, asesoria a los proyectos y toma de decisiones (en conjunto con el gerente de proyectos y recursos). La gerente de Proyectos y recursos se encarga de gestionar y manejar todos los proyectos que se den en IT Expert y, a su vez, al personal humano que se encuentre dentro de la empresa. Sobre dicha persona recae el deber de la toma de decisiones acerca de todo aquello que involucre tanto a algún proyecto específico o algún recuso dentro de los mismos. Luego, tenemos a los jefes de proyecto, los cuales se hacen responsables de todo lo que involucre cada uno de los mismos. Por último, tenemos a los recursos de apoyo, dentro de los que destacan el administrador del centro de cómputo y el DBA. El administrador del centro de cómputo es el encargado de manejar todos los servidores, a nivel lógico, del centro de cómputo. Cualquier despliegue de alguna aplicación se hace a través de dicha persona. Por último, el DBA es el
encargado administrar y manejar todas las bases de datos existentes en los servidores de IT Expert, asumiendo la entera responsabilidad de lo que pueda suceder con las mismas, para bien o para mal.
e) Explicación de las políticas
f) Explicación de los principios y normas
g) Requisitos de Cumplimiento de la Seguridad 1) cumplimiento de requisitos legales y contractuales 2) requisitos de instrucción en materia de seguridad 3) prevención y detección de virus y demás software malicioso 4) administración de la continuidad comercial 5) consecuencias de las violaciones a la política de seguridad 6) Responsabilidades generales y específicas en materia de gestión de la seguridad de la información
