Programa de Concientizacion-Seguridad en Informatica

Programa de Concientización Seguridad Informática

El objetivo de implementar un programa de concientización en seguridad de la información es  justamente que la compañía genere ‘conciencia’ sobre la relevancia que toma cada empleado en el correcto tratamiento de la información. Una empresa puede tener el mejor equipo humano de Seguridad, los mejores dispositivos, invertir gran cantidad de dinero, pero si el resto de la compañía no es consciente de la importancia de la seguridad, nada de esto es suficiente. Derivado a que la parte más débil dentro de una organización en temas de seguridad es el mismo personal, ya sea a ocurrencias originadas por ignorancia del tema o descuidos. Ante este escenario precisamos generar campañas de concientización constantes. No basta con realizar una campaña, sino que es necesario repetir los conceptos permanentemente.

Metodología El programa contempla los siguientes aspectos:  

 



Alinear el enfoque del programa de concientización con los objetivos y metas del negocio. Identificar los recursos internos y externos que se encargarán de la concientización, entrenamiento y educación. Identificar los tipos de personal para definir audiencias. Desarrollar el programa de concientización conjuntando las audiencias y recursos de entrenamiento. Ejecutar, mantener y evaluar el programa de concientización

El plan de concientización deberá contener los siguientes puntos: 







Diagnóstico de la situación actual en la organización en relación a la cultura en seguridad informática. Documentación de las necesidades encontradas y contenido del programa, tomando como referencia el diagnóstico de la situación actual. Listado de métodos y medios seleccionados para comunicar adecuadamente y con éxito. Con base a los requerimientos y necesidades de la organización se deberá generar la documentación de objetivos de las campañas.



Documentación del contenido de las campañas.



Plan detallado de implementación, conforme a los objetivos establecidos y .





Diseño de materiales. Impresos que sean de alto impacto hacia los empleados para generar  una mayor efectividad en la concientización sobre la cultura organizacional referente a la seguridad informática. Formatos de medición y evaluación. A través de cuestionarios y exámenes para evaluar el conocimiento adquirido por parte de los usuarios, así como simulacros en los que se pueda evaluar el nivel de entendimiento del plan de concientización sobre la seguridad informática en la organización. Encuestas y/o auditorias presenciales podrían ser instrumentos muy útiles para esta tarea.

Difusión Para evitar que el tema de seguridad sea tomado como sin relevancia y/o aburrido es de gran relevancia implementar campañas que atraigan la atención de los empleados, por lo que dichas campañas deben estar alineadas con las áreas de Recursos Humanos para aprovechar su experiencia y habilidad en „comunicar‟ eficientemente. Como estrategia se realizará una difusión orientada al humor utilizando caricaturas difundidas mediante carteleras y vía correo electrónico a todos los empleados.  Además se llevarán a cabo pláticas inform ativas con especialistas en el tema, manejando un lenguaje sin tecnicismos, en las que no sólo se tocaran temas específicos de la organización sino también sobre la seguridad en el ámbito personal. Se entregarán folletos, cartillas con consejos de seguridad y envió de correos electrónicos. Comprendan y hagan comprender a los directivos de sus empresas que la concientización es una inversión altamente valiosa en Seguridad ya que todos los empleados utilizan el segundo activo más importante de la empresa: “la información”.

Alcance El alcance del proceso de concientización se establece para desarrollar una cultura de seguridad dentro de la organización, enfocada a que todas las actividades realizadas sean inherentemente seguras y que todo el personal este consiente de los riesgos y amenazas existentes, así como educarlos e instruirlos en los medios y métodos correctos para salvaguardar los activos de la organización y a sí mismos. El programa deberá contemplar temas como: 







Explicación de Hacking, Ingeniería Social, Exploits de Vulnerabilidades, Infecciones masivas de virus, accesos no autorizados, etc. Deberá explicar la importancia de la salvaguarda de las instalaciones físicas ante eventos naturales o accesos no autorizados. Explicar la metodología para proteger sus datos importantes de la organización. Dar a conocer las políticas, estándares y normativas validas en la empresa así como las sanciones relacionadas.