Desarrollo y Ejecución de un Plan Director de Seguridad de la Información

¿Qué es un Plan Director de Seguridad (PDS)?

Un Plan Director de Seguridad (PDS) consiste en la definición y priorización de un conjunto de proyectos en materia de seguridad de la información. Su objetivo principal es reducir los riesgos a los que está expuesta la organización hasta niveles aceptables, partiendo de una evaluación inicial de la situación. Es crucial que los proyectos se prioricen según su importancia estratégica para la empresa y que el PDS se alinee con los objetivos generales de la organización.

Fases de un Plan Director de Seguridad

Fase 1: Conocimiento de la Situación Actual

Esta fase se centra en comprender el estado actual de la seguridad de la información en la organización.

• 1. Definición y Acotación del Alcance

  Es esencial definir el alcance sobre el que se desarrollará el PDS. Lo recomendable es determinar aquellos activos y procesos de negocio críticos, es decir, aquellos sin los que la empresa no puede subsistir, y utilizarlos como base para el alcance del PDS.

• 2. Identificación de Responsables de la Gestión de Activos

  Se deben definir los perfiles y responsabilidades clave:

  • Responsable de Seguridad
  • Responsable de la Información
  • Responsable del Ámbito (o área específica)

• 3. Valoración Inicial

  Realizar una valoración inicial de la situación actual de la empresa para determinar los controles y requisitos aplicables. Tras esta valoración, se elabora un Documento de Selección de Controles, donde se definen las medidas y se clasifican según su nivel de madurez.

• 4. Establecimiento de Objetivos

  Definir objetivos claros y medibles que servirán de orientación para el desarrollo del plan.

• 5. Análisis Técnico de Seguridad

  Es fundamental comprobar y valorar los siguientes aspectos técnicos:

  • Si se dispone de antivirus y cortafuegos.
  • Si la página web es segura.
  • Si la red está segmentada.
  • Si existen controles de acceso físicos a las áreas de información sensible.

• 6. Gestión de Riesgos

  Este paso implica un proceso detallado para identificar y evaluar los riesgos:

  • Identificación de los activos susceptibles de sufrir una amenaza.
  • Valoración de los activos críticos de la organización.
  • Identificación de las principales amenazas.
  • Estimación de las consecuencias y probabilidad de ocurrencia de los incidentes.
  • Revisión de las medidas de seguridad ya existentes.
  • Determinación de los riesgos residuales a los que la organización está expuesta.

Fase 2: Conocimiento de la Estrategia Organizacional

Es vital considerar los proyectos en curso y futuros, las previsiones de crecimiento y los cambios organizacionales. También se debe tener en cuenta si la estrategia de la empresa se orienta hacia la centralización de servicios o la externalización de los servicios TIC.

Fase 3: Definición de Proyectos e Iniciativas

En esta fase se concretan las acciones a implementar:

1. Definir iniciativas dirigidas a mejorar los métodos de trabajo actuales.
2. Poner en marcha un conjunto de acciones relacionadas con los controles técnicos y físicos.
3. Definir los proyectos más adecuados para gestionar los riesgos que superan el nivel aceptable de la organización.

Fase 4: Clasificación y Priorización de Proyectos

Los proyectos se organizan según el esfuerzo que requieren y su coste temporal. Se establecen proyectos a corto, medio y largo plazo para una implementación escalonada.

Fase 5: Aprobación del Plan Director de Seguridad

Para la aprobación formal del PDS, se siguen los siguientes pasos:

1. Disponer de un prototipo de plan.
2. Revisarlo y modificarlo según sea necesario.
3. Obtener la aprobación final por parte de la dirección.

Fase 6: Puesta en Marcha e Implementación

Para asegurar el éxito de la implementación del PDS, se deben considerar los siguientes aspectos:

• Realizar una presentación general a todas las personas implicadas.
• Asignar responsables claros a cada uno de los proyectos.
• Establecer prioridades para la ejecución de las tareas.

Finalmente, es fundamental confirmar que las deficiencias identificadas han sido subsanadas y que el plan está en pleno funcionamiento.