L.I. Martha Matilde Pérez Rosas
Consultora en TI
matilde.rosas@gmail.com

Derivado de la relevancia que ha adquirido la información, en materia de privacidad y de integridad, los procesos de negocio se encuentran sensibles y dependientes de la tecnología para su manejo y preservación; es suficiente con mencionar los sistemas de información donde esta se procesa, las redes por las cuales viaja y el hardware (servidores, equipos de cómputo, etcétera), en los cuales se almacena

Hoy en día contamos con un conjunto de estándares (ISO, International Organization for Standardization), regulaciones (LFPDPPP, Ley Federal de Protección de Datos Personales en Posesión de los Particulares) y marcos de referencia (COBIT, Control Objectives for Information and Related Technology) para su salvaguarda, siendo el campo de la seguridad de la información lo que hoy ocupa un lugar importante en las organizaciones, las cuales continúan enfrentando el reto de adaptarse y defenderse ante los cambios sustanciales en la tecnología.
La información es y será susceptible de riesgo, es decir, siempre existirán mayores factores de amenaza y vulnerabilidades que atenten contra su integridad, confidencialidad y/o disponibilidad, ya que representan el activo más importante de cualquier organización. Sin embargo, para tomar medidas al respecto es necesario no considerarla como un activo aislado, sino inherente, que está relacionada con un componente de tecnologías de información, ya que son aquellas las que nos procuran y facilitan su uso, manejo y administración.
Por ello, es necesario visualizar la seguridad de la información como un campo que se encuentra en continua evolución, tanto en tecnología como en pensamiento, ya que hoy en día contamos con herramientas más sofisticadas para robustecerla y vulnerarla. En consecuencia, dentro de las organizaciones debería existir la conciencia desde la alta dirección hasta los usuarios finales, de que la seguridad no es un tema que compete solo a las áreas de sistemas, sino que forma parte de la cultura organizacional en donde todos desempeñan roles activos y pasivos en el manejo de esta.
Con base en lo anterior, hoy en día esto se ha convertido en un reto para las organizaciones debido a la complejidad en el manejo de la información y a la creciente exigencia del mercado por introducir e implementar estándares de seguridad internacionales que coadyuven a la implementación de controles y, por lo tanto, a la protección de los activos.
Esto no solo involucra a la información como componente central, sino que considera también los servidores, sistemas de información, las bases de datos, el equipo de cómputo personal, los documentos y procesos de negocio, donde intervienen las personas clave que los administran o los propietarios de la información. Cabe aclarar que, esto no es una clasificación, solo se menciona con fines ilustrativos, pero puede ser mayor o menor, de acuerdo con las necesidades de la organización.
Para enfrentar este reto, tenemos varios marcos de referencia internacionales, los cuales van desde los temas generales hasta los particulares; por ejemplo, la privacidad de datos en transacciones con tarjetas de crédito (PCI, Payment Card Industry y DSS, Data Security Standards); sin embargo y como punto de partida, podemos considerar a la Norma ISO como un conjunto de estándares diseñados para cubrir todo tipo de organizaciones con el objeto de especificar los requerimientos de control en la implementación de seguridad a las necesidades individuales.
En el caso particular de seguridad de la información, se encuentra el ISO 27001:2005 que es el “Estándar Internacional de Sistemas de Gestión de Seguridad de la Información”, publicado desde hace más de siete años, cuyo fundamento es la Norma Británica BS7799 que data de 1995. Ahí se establece un marco de control y gestión de la seguridad de la información adaptable al nivel de madurez en el control interno de la organización y que puede ser utilizado por cualquier tipo de empresa, gracias a que se fundamenta en el modelo propuesto por W. Edwards Deming con el ciclo que lleva el mismo nombre, también conocido como PDCA (Plan-Do-Check-Act), y el cual nos provee de una serie de fases por medio de los cuales se logra la integración de las actividades y los objetivos que se deben considerar para lograr una correcta y exitosa implementación y mejora continua de los procesos.
Es importante señalar que para la implementación de un estándar, cualquiera que este sea y hacia las áreas de negocio que se enfoque, puede ser algún área o toda la organización, es necesario definir una estrategia de negocio que refleje, de preferencia, aquellos procesos con mayor impacto en la organización desde la perspectiva de la sensibilidad de la información que se procesa, la cantidad de recursos involucrados, el personal que en él interviene y las vulnerabilidades que puedan existir durante el manejo de la información; por ejemplo, administración de relación con proveedores, cadena de suministro, crédito y cobranza, ingresos, seguros, etc., considerando en todo momento los requerimientos de seguridad de la información en conjunto con las expectativas de las áreas en la organización.
Ahora bien, para entender cómo se conforma la Norma ISO 27001 y cómo puede una estrategia de seguridad de la información apoyar los objetivos de negocio y alinearse a ellos, podemos mencionar que se integra por un modelo robusto con un enfoque de gobierno (tanto corporativo como de TI) que considera el rol de la legislación aplicable (marco regulatorio) y de la administración de riesgos, dando como resultado un Sistema de gestión de seguridad de la información, cuyo enfoque principal es establecer, implementar, operar, monitorear, revisar, mantener y mejorar los procesos que se hayan considerado, asegurando que hayan sido seleccionados los controles de seguridad adecuados para proteger los activos de información involucrados en esos procesos.

Asimismo, y conforme los controles maduran en la organización es necesario establecer requerimientos mínimos para su monitoreo y mantenimiento mediante las métricas de desempeño adecuadas, que nos permitan identificar el avance y madurez adquiridos, desde el momento inicial de implementación donde solo se definían requerimientos de seguridad, hasta los requerimientos futuros para una administración eficiente de la misma, fomentando y motivando la continuación de la estrategia de seguridad en toda la organización. (Ver figura)
Por último, es de suma relevancia considerar los recursos humanos, económicos y operativos con los que se cuenta; no es lo mismo implementar un estándar con el cual todos están de acuerdo y han sido concientizados al respecto, que manifestar el interés de una certificación que la mayoría no conoce y solo traduce en más trabajo por el tiempo que habrá que invertir en él; por lo tanto, asignar dueños y responsables que compartan la visión y asuman la importancia de cumplir con el objetivo en tiempo y forma es de suma relevancia para lograr que este esfuerzo organizacional no solo culmine con un proceso de certificación exitoso, sino con un cambio en cultura informática de la organización y, por lo tanto, en una evolución y robustecimiento en los procesos de gestión de la información.
Conclusión
La ISO27001 ayuda a la organización no solo a obtener una certificación en materia de seguridad de la información para los procesos de negocio que conforman la organización, sino que debido a su fundamento en el ciclo Deming, propicia que sea un proceso iterativo, de fácil y eficiente monitoreo con respecto de donde estamos y a dónde queremos llegar en un tiempo específico, así es posible adoptar un enfoque proactivo y flexible del cumplimiento regulatorio de corto al largo plazo.