ISO 17799. La Seguridad Informática no es un producto sino un Proceso (página 2)

Partes: 1, 2

Como ha de saber, es "misión
imposible" conseguir el 100% de Seguridad en
cualquier aspecto de La Vida. Por lo tanto, el objetivo de la
seguridad en los datos es
(acéptese el juego de palabras) para asegurar la
continuidad de las operaciones de
la
organización, reducir al mínimo los
daños causados por una eventualidad, así como
optimizar la inversión en tecnologías afines y
prosperar en las novedosas oportunidades que nos brindará
el porvenir del tiempo.

Como todo buen estándar, el ISO 17799 da
la pauta en la definición sobre cuáles
metodologías, políticas
o criterios técnicos pueden ser aplicados en el
régimen de manejo de la seguridad de la información.

La toma de
decisiones sobre un marco de referencia de seguridad basado
en ella proporciona beneficios a toda organización que lo implemente. Ya sea en
su totalidad o en la parcialidad de sus postulaciones
estipuladas.

Su elaboración y práctica integra
mecanismos de control
primordiales, que le permiten a las organizaciones
demostrar que cuenta con el estado de
la seguridad de la información pertinente;
situación que resulta muy importante en aquellos convenios
o contratos con
terceros que establecen como requisito contractual la
Declaración BS7799 u otras disposiciones de perfil
similar que se acentúan mucho en "los tiempos que
corren".

Desarrollo
("Poniéndonos a Punto")

¿Podré seguir trabajando si se produce un
siniestro en la oficina de
la empresa en
la cual trabajo (sin
poseer Backup alguno de la información)?
¿Qué ocurriría si la competencia
cuenta con el acceso a mis balances? ¿Cómo
sé si habrá algún tercero externo
interceptando el flujo de datos en mi red corporativa?
¿Podrán robar el código
fuente, las agendas, las claves o nuestros futuros proyectos
programados? ¿Alguien podrá entrar al centro de
cómputos sin restricciones o control, copiar
información o agregar un usuario de altos privilegios?
¿Y si cambian las reglas en el Software de manejo cotidiano
sin previo aviso? ¿Podremos seguir trabajando si se
origina alguna catástrofe natural (de magnitudes
típicas)?

Este tipo de cuestionamientos en común cuando uno
se encuentra vulnerable a tales amenazas, accidentes,
descuidos y muchos otros puntos que podrían ser prevenidos
(anticipándose con medidas convenidas o previamente
pactadas según Una Normalización de modelos a
efectuar).

La Norma ISO/IEC 17799 establece diez dominios de
control que cubren (casi) por completo la Gestión
de la Seguridad de la Información:

Políticas de seguridad: el
estándar define como obligatorias las políticas
de seguridades documentadas y procedimientos
internos de la organización que permitan su
actualización y revisión por parte de un
Comité de Seguridad.
Aspectos organizativos: establece el marco
formal de seguridad que debe integrar una
organización.
Clasificación y control de activos:
el análisis de riesgos
generará el inventario de
activos que deberá ser administrado y controlado con
base en ciertos criterios de clasificación y etiquetado
de información, es decir, los activos serán
etiquetados de acuerdo con su nivel de
confidencialidad.
Seguridad ligada al personal:
contrario a lo que uno se puede imaginar, no se orienta a la
seguridad del personal desde la óptica de protección civil, sino a
proporcionar controles a las acciones del
personal que opera con los activos de
información. Su objetivo es contar con los
elementos necesarios para mitigar el riesgo
inherente a la interacción humana, o sea, establecer
claras responsabilidades por parte del personal en materia de
seguridad de la información.
Seguridad física y del
entorno: identificar los perímetros de seguridad, de
forma que se puedan establecer controles en el manejo de
equipos, transferencia de información y control de los
accesos a las distintas áreas con base en el tipo de
seguridad establecida.
Gestión de comunicaciones y operaciones: integrar los
procedimientos de operación de la infraestructura
tecnológica y de controles de seguridad documentados,
que van desde el control de cambios en la configuración
de los equipos, manejo de incidentes, administración de aceptación de
sistemas, hasta
el control de código malicioso.
Control de accesos: habilitar los mecanismos
que permitan monitorear el acceso a los activos de
información, que incluyen los procedimientos de administración de usuarios,
definición de responsabilidades o perfiles de seguridad
y el control de acceso a las aplicaciones.
Desarrollo y mantenimiento de sistemas: la
organización debe disponer de procedimientos que
garanticen la calidad y
seguridad de los sistemas desarrollados para tareas
específicas de la organización.
Gestión de continuidad del negocio: el
sistema de
administración de la seguridad debe integrar los
procedimientos de recuperación en caso de contingencias,
los cuales deberán ser revisados de manera constante y
puestos a prueba con la finalidad de determinar las
limitaciones de los mismos.
Cumplimiento o conformidad de la
legislación: la organización
establecerá los requerimientos de seguridad que deben
cumplir todos sus proveedores,
socios y usuarios; éstos se encontrarán
formalizados en los contratos o convenios.

De estos diez dominios nombrados se derivan 36 objetivos de
control (resultados que se esperan alcanzar mediante la
implementación de inspecciones) y 127 o más
controles (prácticas, procedimientos o mecanismos que
reducen el nivel de riesgo). Ambos, se encuentran destinados a
dotar y esparcir Seguridad a la Información en el
"ambiente
digital", a través de numerosas auditorías, consultorías y/o
paradigmas.

Cada una de las áreas constituye una serie de
observaciones que serán seleccionadas dependiendo de las
derivaciones obtenidas en los análisis de riesgos,
conjuntamente, existen controles obligatorios para toda
organización, como es el de las políticas de
seguridad cuyo número dependerá más de la
organización que del estándar, el cual no establece
este nivel de detalle. Por eso, es aplicable a toda
organización, independientemente, de su tamaño o
sector de negocio; siendo un argumento fuerte y dinámico
para los detractores de la norma y un "conjunto de instrumentos"
flexibles a cualquier solución de seguridad concreta:
recomendaciones neutrales con respecto a la IT.

Pero… "Siempre hay un Pero" (así
dice el lema), y es el consiguiente: como la ISO 17799 se forma
de un compilado protocolar de normas y/o reglas
fundadas en las Políticas de Seguridad, y éstas son
erigidas y colocadas por el Ser Humano, no son inmunes a
fallas o errores (infalibilidad absoluta) y con el tiempo deben
ir siendo depuradas para acercarse lo más que se pueda
(y un poco más) a un "monstruo desconocido", aunque
muy escuchado, que es llamado:
Perfección.

Tal sentencia puede ser corroborada en el mismo
alegato sobre el cual se excusan potenciales (factibles
y/o aleatorios) inconvenientes de su puesta en
práctica:

"No todos los alineamientos y controles de este
código de práctica resultarán aplicables.
Más aún, es probable que deban agregarse controles
que no están incluidos en este documento. Ante esta
situación puede resultar útil retener referencias
cruzadas que faciliten la realización de pruebas de
cumplimiento por parte de auditores y socios".

Aquí, parecería decir (según mi
razonamiento de deducción implícitamente
lógico):

"Nos es grato anunciar que por más remedio que
intentemos buscarle a ésta enfermedad (INseguridad de
la Información), no podremos encontrarle una cura
absoluta y/o total. Eso, dependerá (estrictamente) de sus
criterios de decisión seleccionados y llevados a cabo. En
tales casos, si quieren agregar o sacar algo…
¡Bienvenido sea para Ustedes!".

Ésto da por sentado su propiedad de
mutabilidad, actualización y adaptabilidad según
las determinaciones organizacionales de las que dispongamos, sin
embargo, presiento (y se que me acompañarán en
tales laudos) que algo en ella podría innovarse y ser
mejor.

Para ello tendría en cuenta las siguientes
peticiones:

Interacción y transposición de
procedimientos (métodos,
normas, y/o reglas): que la disposición
física del centro de cómputos, terminales o
servidores
no se contraponga con la norma IRAM que regula el recorrido
físico dentro de las oficinas. Es indispensable la
interacción con un profesional en Organización
y Métodos, Analista o Ing. en Sistemas con vasta
experiencia. Prestar mucha atención al implementar controles (para
no estar debilitados o desordenados por "cosas" de otros
lados).
Tendencias a las nuevas
tecnologías: tener presente en el flujo de datos
la permeabilidad o apropiación de los mismos a
través de la tecnología VoIP (Voice
over IP –
Voz sobre IP), unidades de almacenamiento secundarias transportables
(Pendrives, Cámaras, Celulares, Etc.) y mensajeros
instantáneos (usados para el Chat).
Reclutamiento de personal (empleados): es una
de las claves del éxito
de una organización, el atraer e incorporar a gente
apropiada para desempeñarse en la implementación
de estas normas. El agente de RRHH tiene que tener vastos
conocimientos técnicos, comprobar las habilidades y
referencias que estén en el CV del potencial
postulante.
Adaptación inteligente al medio: contar
con el Software (recursos
lógicos) y el Hardware
(recursos físicos) convenientes para no perder la
calidad de los servicios
y/o bienes
ofrecidos como producto.
Invertir en capacitación conveniente y acertada en
los trabajadores: tratar de entusiasmar e incentivar al
usuario para que se faculte de mayores y mejores mañas
(artilugios) al momento de operar en su cargo. De esta manera,
se suprimirá (en enormes cantidades) la negligencia y
las falencias a causa de ésta, teniendo secuelas de
menor magnitud a la hora de resolver un problema.
Vigilancia en otros cuidados diversos a tener
vigentes: monitorizaciones, seguimientos e investigación de los campos a los cuales
subyace la materia u oficio contratado.

Y… Para darnos el gusto con la "frutilla del
postre o la cereza del helado (o ambas)", ha de estar al
tanto que La Norma ISO/IEC 17799 no posee ningún tipo
de certificación. Ya que sólo son
recomendaciones y no es necesario aplicar la totalidad de sus
controles, sino adaptarlos a la organización para no hacer
algo tedioso e inútil, como así tampoco…
¡PARANOICO!

Conclusión
("Al Fin Llegamos a la Meta:
¿¡Lo Logramos!?")

La correcta clasificación de los controles
es una tarea que requiere del apoyo de especialistas en seguridad
informática o de alguien capacitado de manera similar,
con conocimientos adquiridos en circunstancias de diversas
índoles (experiencia) en la implementación
de la (ya tan afamada y renombrada) ISO 17799; ya que
cuando éstos se establecen de forma inadecuada o
incorrecta pueden generar un marco de trabajo demasiado estricto
y poco cómodo para las operaciones (eventos
desempeñados) de la organización y de los que
habitan en ella.

Empero, sólo queda que Usted pretenda intentar
tomar la iniciativa y asumirla con coraje, firmeza,
perseverancia, solvencia, compromiso, dedicación y…
Por sobre todo: SEGURIDAD EN SÍ MISMO Y EN LO QUE LO
RODEA, para emprenderse en un camino que, tanto su
Organización como quienes la integran, le estarán
agradecidos y le harán sentir (con un juicio de cierta
razón) que La Seguridad de la Información es
un árbol de raíces amargas pero… De dulces y
ricos frutos a recolectar; parte de Un Juego al que
apostó para… ¡Ganarlo!

Y… Recuerde Siempre para Nunca Jamás
Olvidar:

"LA SEGURIDAD INFORMÁTICA NO ES UN PRODUCTO
SINO UN PROCESO".-

EOF

(End Of File)

… Será Hasta Un Próximo Encuentro
…

(Entre Vos, La Auténtica Información y
Yo)

{Mis Cordiales Saludos}

Artículo realizado por:

Argentero Cristián D.

[(CR@M3R)]