Implementación de un sistema de gestión de seguridad de la información para el sector bancario (página 2)

La pretensión de este artículo es la de
que el lector pueda identificar todos los elementos necesarios
para implantar un SGSI en una entidad financiera al igual que
presentar un procedimiento
adecuado, ordenado y lógico que le permita a un banco nacional,
implementar un sistema de
gestión
de seguridad de la
información que cumpla con las regulaciones
legales, que se ajuste a las normativas internacionales y que
garantice una protección efectiva de la información
y de los sistemas que la
procesan.

Sociedad e
Información

Es difícil recrear en la mente un escenario de
sociedad sin
información. Vivimos en una sociedad de fuertes
transiciones, dimos el salto de la era mecánica e industrial a la era de la
información. De acuerdo con Ibarra (2002), el uso de los
medios
tecnológicos y de información ha afectado todos los
ámbitos sociales, ha modificado la forma de
interrelacionarnos y ha impactado los medios de producción y las
economías.

Para Delarbre (2001), el mundo en el que vivimos
está pletórico de datos, frases e
íconos. Hemos aprendido a organizarlos y la
información que de ellos deriva rige muchas de nuestras
decisiones. La percepción
que los seres humanos tenemos de nosotros mismos ha cambiado, en
vista de que se ha modificado la apreciación que tenemos
de nuestro entorno. Nuestra circunstancia no es más la del
barrio o la ciudad en donde vivimos, ni siquiera la del
país en donde nacemos. Nuestros horizontes son, al menos
en apariencia, de carácter planetario. Estas
características definen esta sociedad que conformamos, la
sociedad de la información.

La
información y las organizaciones

Luego de las dos primeras guerras
mundiales, las sociedades,
las economías y las organizaciones
empiezan a sufrir cambios drásticos, los acontecimientos
históricos son de escala global, el
sector secundario y el terciario o de servicios
cobran mayor presencia dentro de la economía
mundial y su importancia estará sustentada en la
información.

La segunda mitad del siglo XX estuvo marcada por el
incremento en sistemas generadores de información y en
actividades propias de este nuevo medio productivo.
Velásquez (1998), al respecto señala que: La
economía global se abre paso luego de la
decadencia del mundo bipolar, es el nacimiento de un nuevo
paradigma, la
información, pero no como una acumulación de datos
sino y gracias a medios procesamiento electrónico,
transformada en conocimiento,
el cual hace parte entonces de la estructura
económica de las organizaciones post-capitalistas (p.
20).

Será necesario replantear la estructura de las
organizaciones, su misión y
sus objetivos, la
manera en que se ejecutan sus procesos y la
forma en que se aprende y se desarrolla. Tal como lo plantea
Velásquez (1998, p. 21) "las nueva organización debe tener como principales
variables la
innovación, la agilidad y el aprendizaje
organizacional si quiere tener éxito"
(p. 29). Así mismo Alonso (1998) señala que siempre
han sido la información y conocimiento esenciales en los
sistemas económicos, la posesión y dominio de la
información y su control
tecnológico posibilitan una mayor productividad.

"…el mundo se está volviendo no de uso
intensivo de de mano de obra, no de uso intensivo de materiales, no
de uso intensivo de energía, sino de uso intensivo de
conocimientos…" (Drucker, 1992, p. 72), y es ahí
donde cobra su mayor importancia la información y la
capacidad de las organizaciones de transportar, procesar y
transformarla de forma rápida, económica y
segura.

La
información, un activo siempre expuesto al
riesgo

En los sistemas complejos siempre existirán
riesgos que
pueden poner en juego la
estabilidad y el futuro de las mismas y la información
como nuevo factor generador de ventajas competitivas no es la
excepción. Oz (2001), establece que son los datos y los
medios de procesamiento, activos valiosos
pero altamente vulnerables, expuestos a riesgos, amenazas y a
hechos que van en contra de la seguridad de los mismos, que
afectan su disponibilidad, su integridad y su
confidencialidad.

Siendo la información uno de sus activos
más importantes, requiere ser protegida de forma adecuada
frente a cualquier amenaza que ponga en peligro la continuidad
del negocio. Esta situación ha conllevado a que las
organizaciones respondan a tales riesgos reordenando sus estructuras y
abriendo campo a nuevas disciplinas y habilidades gerenciales que
ayuden a minimizar tales riesgos.

Se inicia entonces, todo un proceso para
gestionar la seguridad de la información, se establecen
normas
internacionales y se definen políticas
locales que buscan garantizar integridad, confidencialidad y
disponibilidad en la información. Las organizaciones
actuales están llamadas a diseñar políticas
orientadas a gestionar el riesgo sobre la
información y los sistemas que la procesan y a
diseñar sistemas eficientes para gerenciar el riesgo de
tales sistemas.

El sistema
bancario colombiano y la seguridad de la
información

El sistema bancario Colombiano como sector
económico organizado, es un sistema con mas de 70
años de existencia, Campos & Duque (2001)
señalan que ha lo largo de toda su historia, el sector bancario
nacional ha demostrado ser un sector sólido, rentable, y
generador de desarrollo en
la economía.

Con la reforma financiera de 1990[1]se
des-regulariza el sector financiero, creando esquemas de matrices y
filiales y autorizando la inversión
extranjera sin limites en estas entidades, entre los cambios
mas significativos, este movimiento
hacia la banca universal
es el principio de una nueva estructura bancaria.

Según López & Sebastián (1998)
la nueva banca ejerce un papel protagónico en materia de
transformaciones ya que casi todo, incluyendo el fundamento de su
actividad, está cambiando. Consecuentemente, la banca ha
diversificado sus productos y
mercados,
desarrollando canales alternativos de distribución, adoptando sistemas de
gestión y formulando estrategias
competitivas entre otras iniciativas de innovación (p.
12).

De acuerdo con Peña, Aguilar, Belloso & Parra
(2005) en el sector bancario, los sistemas de
información se convierten en articuladores de sus
dinámicas productivas y se convierten en elementos claves
para reaccionar frente a cambios y satisfacer los requerimientos
del entorno; mas aun cuando las transformaciones que se han
producido en las últimas décadas, se fundamentan en
nuevas valoraciones de la información y el
conocimiento como materia prima
para alcanzar mayor productividad en la
gestión.

Como lo establece Obrien (2001 citado en Peña,
Aguilar, Belloso & Parra, 2005) para las entidades bancarias,
las tecnologías de la información les han ayudado
en la automatización de procesos, apoyo para el
análisis, toma de
decisiones gerenciales; pero en las últimas dos
décadas la naturaleza del
uso de la información para los bancos ha
cambiado, pues la información y no el dinero se
convierten en la materia prima de la industria
gracias a la nueva cultura
financiera, "un banco está definido casi únicamente
por su capacidad para agregar valor a la
relación con el cliente, que se
traduce en adquirir, analizar e integrar información sobre
y para beneficio de este". (Tapscott, 1999 citado en Peña,
Aguilar, Belloso & Parra, 2005)

La seguridad de esta gran cantidad de información
se convierte en un factor esencial en el desarrollo del negocio
bancario, en elemento indispensable para garantizar confianza en
el uso de las tecnologías de información y comunicaciones
(TIC) no solo
para las entidades bancarias sino en general para la nueva
sociedad digital. Esta seguridad es viable si existen métodos y
sistemas correctamente estructurados, confiables, de fácil
manejo y acompañados de una gestión eficiente que
garantice su vigencia y su funcionalidad.

En el campo de la tecnología
de información para todo tipo de organizaciones a
nivel mundial, la
Organización Internacional de Estándares
(ISO) y la
Comisión Internacional de Electrotecnia (IEC), a
través de su comité técnico, han definido el
estándar oficial internacional ISO/IEC 27005 para la
administración de la seguridad de la
Información cuyo objetivo es el
de permitir a las organizaciones identificar, tratar y limitar
amenazas en los activos de información, o sea, estructurar
de forma organizada la seguridad de la
información.

Actuando bajo estos mismos lineamientos, la
Superintendencia Financiera de Colombia (SFC)
publicó la circular 052 de 2007 denominada
Requerimientos mínimos de seguridad y calidad en el
manejo de información a través de medios y canales de
distribución de productos y servicios, con la
cual se busca establecer un referente básico para la
seguridad
informática del sector Bancario Colombiano.

Tanto el estándar internacional como la
normatividad local definen lineamientos básicos y
políticas generales para garantizar la seguridad de los
activos de información, sin embargo, son las mismas
entidades bancarias quienes interpretan de manera eficaz y
práctica tales políticas para convertirlas en
sistemas eficientes que cumplan con tales exigencias.

En los siguientes numerales se definirá entonces
un procedimiento adecuado, ordenado y lógico, para que una
entidad bancaria pueda implementar un sistema de gestión
de seguridad de la información (SGSI), que se cumpla con
normatividad nacional y se ajuste a los estándares
internacionales. Tal sistema tiene que estar en capacidad de
actuar de forma proactiva, garantizando que tiene la capacidad de
gerenciar el riesgo, previniendo y minimizando los incidentes de
seguridad, lo que a su vez permita asegurar a clientes,
inversionistas y entidades de regulación que se dispone de
un sistema de
información en el que se pueda confiar.

Establecimiento
de un Sistema de Gestión de Seguridad de la
Información (SGSI) para una entidad
bancaria

Diseñar e implementar un SGSI dependerá de
los objetivos estratégicos del negocio y las necesidades
de la entidad bancaria siendo estos los parámetros
básicos para la definición del alcance de su
implementación. Promover la ejecución de este
proyecto
proviene de las áreas directivas responsables del buen
funcionamiento de la entidad y se convierte en un requisito
indispensable para garantizar el éxito del
proyecto.

Un SGSI varía según el tipo de
organización y el sector económico en el que se
encuentre, sin embargo y de acuerdo con Alexander (2007), el
procedimiento para la implementación y mantenimiento
independiente del tipo de organización, debe seguir un
ciclo de mejora continua. Para el autor el círculo de
Deming2, es el método
más adecuado para la implementación de un SGSI ya
que propone una estrategia de
mejora continua en 4 pasos: Planear, hacer verificar y actuar.
Las fases que a continuación se describen, definidas por
el ciclo Deming,
permiten entender todo el procedimiento de implementación
del SGSI para las entidades bancarias.

• Fase I – Definición del alcance del
  SGSI

El alcance de un SGSI dependerá de la
identificación de aquellos procesos considerados
críticos y sobre los cuales se implementará el
SGSI, Para Alexander et al., (2007) y Puig et al., (2008) al
momento de definir el alcance del SGSI, el responsable del
proyecto debe tener claros los siguientes aspectos:

• Las características del negocio. Tipos de
  productos y/o servicios ofrecidos, y clientes
  objetivo.

• Modelo de organización de la entidad
  bancaria. Por procesos, por productos o por
  funciones.

• Ubicación y área de cubrimiento.
  Presencia nacional y/o internacional, grado de
  penetración frente a las demás entidades
  bancarias dentro del total de personas bancarizadas en el
  país.

• Clasificación de todos los activos de la
  entidad bancaria

De acuerdo con la Organización Internacional de
Estándares[2]dentro del estándar
ISO/IEC 27001:2005, para definir el alcance se
incluyen:

• Todas las interfaces que operan en la
  organización

• Todas las áreas involucradas en los
  procesos

• Todos aquellos proveedores que incidan en el
  SGSI

Alexander (2007), señala que el método mas
preciso para determinar el alcance de un SGSI, es la metodología de elipses. Este método
establece que se han de tomar cada uno de los procesos de una
organización y separarlos para su análisis de la
siguiente manera:

• Identificar los procesos básicos y listar los
  subprocesos de cada uno de ellos. Estos se ubican en la
  elipse central o concéntrica

• Ubicar en la elipse intermedia las interacciones que
  el proceso analizado tiene con otros procesos dentro de la
  organización, ligándolos a través de
  flechas

• En la ultima elipse o capa mas externa, se
  identifican y se ligan las organizaciones externas a la
  entidad y que tienen alguna relación o con el proceso
  analizado.

Sin embargo existen otros métodos para su
definición, Ambriz (2004), señala que una
herramienta práctica, sencilla y de fácil
aplicación son los mapas
mentales, para Ambriz et al. estos mapas son
herramienta fundamental en la gestión de cualquier
proyecto, que permite la memorización, organización
y representación de los procesos.

• Fase II – Planeación de un
  SGSI

Gran parte de los proyectos que se
llevan a cabo en las organizaciones fracasan antes de concluir
por la falta de una planeación
apropiada. La buena planeación, concentrada en el modelado
del futuro, junto con la supervisión y el control de los procesos,
son la clave para el éxito en un proyecto tal como lo
concluye Oz (2001).

En la planeación entonces, se incluirán
todas aquellas actividades que ayudarán a lograr la
implementación exitosa del SGSI. Para Alexander et al.
(2007), en esta fase se deben tener identificados los siguientes
aspectos:

• Definir un objetivo y el alcance del
  proyecto.

• Establecer el presupuesto necesario para ejecutar el
  proyecto.

• Nombrar un gerente del proyecto.

• Nombrar un equipo de trabajo quien asumirá
  diferentes responsabilidades referentes al
  proyecto.

• Conocer toda la documentación relativa a los
  procesos de negocio para los cuales se implementará el
  SGSI y las Políticas de Seguridad existentes en la
  Organización.

• Definir y documentar roles, responsabilidades y
  dedicación en tiempo de los integrantes del equipo de
  trabajo para garantizar una selección
  idónea.

• Estructurar el plan detallado de actividades para el
  alcance definido.

• Desarrollar un cronograma de actividades que
  contenga tiempos, responsables, presupuesto y fecha de
  entrega para la implementación del SGSI.

Aclarados estos aspectos del proyecto, se hace necesaria
la definición de una metodología de trabajo,
según Domínguez (2009), a la hora de seleccionar un
estándar de trabajo en la gerencia del
proyecto se debe tener en cuenta lo siguiente:

• Utilizar una terminología común.
  Revisar la terminología a usar al interior del equipo
  de trabajo para reducir riesgos de inconsistencias y
  simplificar la comunicación.

• Definir un ciclo de vida para el
  proyecto.

• Seguir estrictamente las directrices del
  estándar escogido para la gerencia del
  proyecto.

• Ejecutar rigurosamente el procedimiento de trabajo
  escogido, verificando los avances, el cumplimiento de los
  compromisos y el chequeo constante de todos los aspectos
  esenciales del mismo, lo cual garantiza el cumplimiento de
  los ítems anteriores.

• Fase III – Estructuración del
  SGSI

Luego de determinar el alcance y todas aquellas
actividades propias de la planeación, se da inicio al
proceso de definición del SGSI a través de una
serie de actividades de recolección de información
y de análisis de la misma para la toma de decisiones. La
definición del SGSI comprende la realización de las
siguientes actividades:

• Diagnóstico de Seguridad de la
  Información

El Diagnóstico de Seguridad persigue la
identificación del estado de la
Seguridad de una Organización, para ello existen
básicamente dos aproximaciones. La primera, implica la
realización de un análisis de riesgos de los
sistemas de información, mientras que la segunda se lleva
a cabo mediante la determinación del estado de la
seguridad de una entidad frente a un estándar. De acuerdo
con el (Guía de implantación de un sistema de
gestión de seguridad de la información basado en el
estándar ISO/IEC27001:2005, 2008), el mejor
diagnóstico al interior de las entidades bancarias parte
de la evaluación
comparativa frente al estándar ISO 27002:2005

El diagnóstico comprende entonces una serie de
acciones
definidas a continuación.

• Análisis de Cumplimiento de la norma
  internacional (ISO/IEC 27002:2005):

De acuerdo con el diagnóstico de seguridad, esta
primera acción
tiene por objeto analizar el grado de cumplimiento de los
controles de seguridad que tiene actualmente la entidad bancaria
con relación a los definidos por la norma ISO/IEC
27002:2005 mediante la revisión de la documentación existente en la
organización, entrevista con
personal clave
en los diferentes procesos, evaluación de la
reglamentación existente y revisión de la
legislación aplicable a la organización. Los
resultados de este análisis deberán ser
documentados en un informe de nivel
de cumplimiento de acuerdo con los estándares
internacionales.

• Estudio de Riesgos de Seguridad

Otro elemento fundamental del diagnóstico de
seguridad consiste en establecer el nivel de seguridad actual,
determinar los riesgos y con base en estos resultados definir el
modelo de
seguridad más apropiado (Alexander et, al.
2007)

De acuerdo con Daltabuit & Velasquez et al., (2007),
esta etapa es considerada como una de las más
críticas dentro del proceso de definición del SGSI
y es uno de los resultados en los que una futura auditoria de
certificación enfocará su revisión para
observar el nivel de riesgo obtenido y las opciones de
tratamiento definidas.

El desarrollo del análisis de riesgos (Risk
Assessment) estará basado en la metodología
recomendada por el estándar BS7799-3:2006 – Guidelines for
Information Security Risk Management, obteniéndose como
resultado el informe de análisis de riesgos, en el cual se
mostrará el nivel de riesgo de cada activo de
información, resultado de evaluar el impacto,
vulnerabilidades, amenazas, y factor de ocurrencia de amenazas y
vulnerabilidades.

En líneas generales, para actualizar y obtener la
respectiva matriz de
riesgos se seguirán una serie de tareas recomendadas que
se describen a continuación:

• Identificación de activos de
  información y valoración del
  riesgo.

De acuerdo con los conceptos básicos de contabilidad,
todos aquellos bienes
tangibles e intangibles y los derechos que tienen valor o
utilidad son
considerados activos que posee cualquier empresa, ahora,
un concepto
más cercano al objeto de investigación es el que ofrece el Consejo
Superior de Administración Electrónica [CSAE], (2006), quien denomina
a los activos como "los recursos del
sistema de información o relacionados con este, necesarios
para que la organización funcione correctamente y al
alcance los objetivos propuestos por su dirección" (p. 17). Sin embargo y para
delimitar de forma correcta el alcance de un sistema de seguridad
de información, solo se pondrán en
consideración los llamados activos de información.
Según Vittoriano (2008) la información es
considerada como insumo fundamental que actúa como
facilitador para los objetivos de la organización, con
base en ella se desarrolla su negocio y es un elemento vital para
el desarrollo modelo de negocio de la organización. En el
contexto de la norma ISO 27001:2005, un activo de
información será: "…algo a lo que una
organización directamente le asigna un valor y, por lo
tanto, la organización debe proteger".

Con base en los procesos definidos en el alcance del
SGSI, se listan los activos de información asociados a
estos, igualmente se listan los componentes críticos tales
como software,
hardware e
infraestructuras que soporten dichos procesos. De acuerdo con
Puig (2008) la identificación de estos activos es esencial
para saber que hay que proteger y para hacer una correcta
clasificación mediante criterios de confidencialidad,
integridad y disponibilidad.

Siguiendo los estándares de la norma ISO
17799:2005, los activos de información para las entidades
del sector bancario se pueden clasificar en las siguientes
categorías:

• Activos de Información. Ficheros, bases de
  datos de clientes, bases transaccionales, documentos del
  sistema, manuales de usuario, procedimientos documentados,
  planes de continuidad, información archivada en medios
  digitales o impresos.

• Documentos legales. Contratos con proveedores
  relacionados con los procesos críticos.

• Activos de Software. De aplicación, del
  sistema operativo, nuevos desarrollos que puedan exponer
  información critica del negocio.

• Activos de Hardware. Servidores de
  aplicación

• Servicios. De red (TCP/IP, FW, Router,
  Switch).

• Personas. Clientes y empleados.

• Otros. Imagen corporativa, objetivos,
  reputación.

Dado que los activos de información abarcan
diferentes elementos, es básico que se tenga claro este
concepto y sus diferentes clasificaciones, sin embargo y con base
en el método de elipses se puedan categorizar e
identificar dichos activos de forma más exacta.

La tasación de activos (Alexander et al, 2007),
se puede determinar con base en instrumentos de recolección
de datos, la escala Likert[3]como
método estadístico permite clasificar y jerarquizar
con base en las preguntas realizadas, los activos que afectan la
confidencialidad, integridad y disponibilidad.

La responsabilidad sobre cada uno de estos activos
recae en cada uno de sus propietarios quien tiene la tarea de
clasificar su nivel de seguridad, derechos de acceso y el
mantenimiento de controles apropiados.

• Análisis y evaluación de
  riesgos

Según el concepto de Summers (1997 citado en
Daltabuit & Vázquez et al., 2007), el análisis
de riesgos facilita la selección
de los mecanismos de protección, permiten estimar las
pérdidas potenciales que dichos mecanismos ayudan a
reducir facilitando la selección de los mismos. Como lo
señala Puig et al., 2008, el documento que de esta etapa
se derive, será el que se implantará durante la
fase de implementación del SGSI y sus acciones
serán de corto, mediano y largo plazo.

Para Muñoz (2004), la metodología de
análisis y gestión de
riesgos de los sistemas de información –
MAGERIT – es el núcleo de las actuaciones relacionadas con
el análisis, la evaluación y la gestión del
riesgo. Esta metodología analiza los riesgos, identifica
las amenazas y su impacto y gestiona el riesgo basado
en:

• Elementos (activos, amenazas, vulnerabilidades,
  riesgos, impactos, salvaguardas)

• Eventos (estáticos, dinámicos
  organizativos, dinámicos físicos)

• Procesos (planificación, análisis de
  riesgos, gestión de riesgos, selección de
  salvaguardas)

• Amenazas.

De acuerdo con la normas ISO
27000, se considera amenaza aquella causa potencial de un
incidente no deseado, el cual puede causar daño a
un sistema o a una organización.

Los autores Alexander et al., 2007; Daltabuit &
Velasquez et al., 2007; Puig et al, 2008 coinciden en que las
amenazas se pueden clasificar en grandes grupos para
facilitar la toma de decisiones genéricas que reduzcan
grupos de amenazas bajo una sola acción. Los grupos
propuestos son:

• Naturales. Fuego, inundación, terremotos,
  etcétera.

• Humanas Accidentales. Desconocimiento, negligencia,
  despidos, pérdida no intencional de
  información.

• Humanas Intencionales. Robo de información,
  ataques.

• Tecnológicas. Virus, hacker, crackers,
  pérdida de datos, fallas de software, hardware
  ó de red

Para Alexander et al. (2007) las amenazas reales y
exitosas en su intención son aquellas que dejan al
descubierto varias vulnerabilidades en los sistemas, aplicaciones
o servicios

Luego de identificadas todas las amenazas, se
evalúa su probabilidad
de ocurrencia bajo el modelo Likert, a cargo del grupo de
expertos de la organización. El resultado de esta
evaluación permitirá identificar las amenazas de
mayor a menor concurrencia y la decisión sobre cuales
atacar y cuales descartar de acuerdo con criterios
técnicos, legales y de costos.

• Vulnerabilidades.

Las vulnerabilidades están asociadas a
debilidades de los activos de información. De acuerdo con
el CSAE et, al. (2006), la vulnerabilidad en el contexto de los
sistemas de información, es considerada como la ausencia o
debilidad en los controles que ayudan a mitigar un riesgo,
aumentando el nivel de impacto y el factor de exposición. Para Peltier (2001, citado en
Alexander et al., 2007), es una debilidad en el sistema,
aplicación, infraestructura, control o diseño
de flujo que puede ser explotada para violar la integridad del
sistema. En general se puede considerar entonces que el concepto
de vulnerabilidad se centra en la incapacidad que pueda tener un
sistema de seguridad.

De acuerdo con la norma ISO 17799-2005,
las vulnerabilidades son clasificables según como lo
indica la tabla anexa 1.

En esta parte del proyecto, el equipo de trabajo tiene
por objetivo identificar las ausencias o debilidades que
potencializan los riesgos. Un proceso de entrevistas
individuales de manera estructurada, profunda y directa con las
personas que tienen a su cargo la tarea de ejecutar las
políticas de seguridad de la organización,
permitirá evidenciar posibles fallas en los sistemas de
información y en la implementación de los
mecanismos de control y de defensa que actualmente se tienen,
adicionalmente se deberá realizar un conjunto de pruebas de
vulnerabilidad e intrusiones sobre la infraestructura
tecnológica que soporta los procesos para los cuales se va
a implementar el SGSI con el objetivo de verificar su nivel de
seguridad e identificar los riesgos existentes en estos
dispositivos. El modelo de Likert es un método útil
para identificar y jerarquizar las vulnerabilidades que luego
servirán para determinar los procedimientos
para mitigar los riesgos a los que se expongan los sistemas de
información.

Dado que las amenazas y las vulnerabilidades tienen
interrelación, se parte de la pregunta sobre cuáles
vulnerabilidades son aprovechadas por las amenazas, pues, una
vulnerabilidad identificada genera amenazas que se convierten en
un riesgo expuesto sobre cualquier sistema de información
de una entidad bancaria, esto es lo que para expertos en temas de
seguridad de información se conoce como la
relación causa-efecto entre el elementos del
análisis de riesgo, por lo tanto, el siguiente paso
será el de integrar estos elementos para analizar y
definir los niveles de riesgo que luego permitirán
implementar los procedimientos que ayudarán a mitigar
tales riesgos y eliminar las vulnerabilidades.

• Procedimiento para el análisis y
  evaluación de riesgos.

Un procedimiento ordenado y lógico para el
análisis de riesgo contiene los siguientes pasos (CSAE et
al., 2006):

• 1. Identificación de activos relevantes
  para la organización. El valor y la
  interrelación se basan en el costo del perjuicio que
  este genere.

• 2. Determinación de los controles de
  seguridad dispuestos y su eficacia

• 3. Identificación de las
  vulnerabilidades para cada activo de
  información.

• 4. Determinación de las amenazas a las
  que están expuestas estos activos

• 5. Cálculo de la probabilidad de
  ocurrencia de una amenaza sobre las vulnerabilidades
  identificadas.

• 6. Estimación del nivel de riesgo,
  definido como la magnitud del impacto sobre la
  explotación exitosa de la vulnerabilidad.

El análisis de riesgo permitirá
identificar y calcular el riesgo sobre los activos basados en
amenazas y vulnerabilidades, sin embargo, para cada
organización, el concepto de riesgo varía
según su objeto de negocio y los activos de
información que posee. Para Del Carpio, (2006), se
considera riesgo a cualquier hecho definido como incierto que
genera impactos negativos, sin embargo y llevando el concepto de
riesgo a la información misma, se considerará el
riesgo en los activos de información como la probabilidad
de que una amenaza se materialice aprovechando las
vulnerabilidades de un sistema de información (Guía
de de implantación de un sistema de gestión de
seguridad de la información basado en el estándar
ISO/IEC27001:2005, 2008).

Una vez se listan y clasifican los activos y se
identifican las amenazas y vulnerabilidades, se procede al
cálculo
del riesgo. Este cálculo utilizará valores
cuantitativos pues el valor de un activo de información se
tasa en el impacto en pérdidas económicas que el
mismo genera si es vulnerado. Para Daltabuit & Velasquez et
al., (2007), el análisis de riesgo se puede realizar de 2
formas:

• Análisis cuantitativo. Basado en la
  métrica y el cálculo de valores que determinen
  el costo-beneficio, su cálculo demanda un gran
  esfuerzo, pero permiten la comparación de
  valores.

• Análisis cualitativo. Es más
  ágil, pero sus resultados son más subjetivos
  los cuales no se basan en cifras y contienen análisis
  sencillos. No permiten la comparación de valores
  más allá del orden relativo.

Los expertos en temas de seguridad de información
coinciden en afirmar que el análisis de riesgo es un
proceso permanente pues las organizaciones son sistemas abiertos,
complejos y en constante readaptación, por lo que los
análisis cualitativos pueden ofrecer los mejores
resultados, sin embargo y tal como lo plantea Del Carpio, (2006),
serán la naturaleza del proyecto y la disponibilidad de
tiempo y
dinero las que
influyan en la técnica a utilizar.

Las entidades del sector bancario colombiano, dada su
infraestructura, los altos costos de operación, la
complejidad de sus sistemas de información, la
sensibilidad de la información allí almacenada y
otros aspectos tales como la determinación de primas de
reaseguradoras, hacen que sea necesaria la aplicación de
técnicas cuantitativas, dado que la
implementación de un sistema de seguridad de
información es visto como un proyecto de gran escala y de
alta complejidad. Para Del Carpio et, al. (2006), los
métodos cuantitativos y de modelamiento mas recomendados
son el análisis de árboles
de decisión, la simulación
y el análisis de sensibilidad.

• Plan de tratamiento de riesgos

A partir del informe de evaluación de riesgos se
procede a examinar cual es el tratamiento más adecuado
para cada uno de los riesgos que han sido identificados.
Alexander et, al. (2007).

Para el (CSAE et al., 2006) y siguiendo los lineamientos
del al norma ISO 27001:2005, el tratamiento de riesgos comprende
los siguientes enfoques:

• Determinar si el riesgo es aceptable o si requiere
  un tratamiento, en cuyo caso se identificará una de
  las siguientes alternativas:

• Reducir el riesgo a un nivel aceptable, implantando
  algún control (combinación de personas,
  procesos y herramientas).

• Aceptar el riesgo porque no es posible realizar un
  tratamiento o porque éste resulta demasiado
  costoso.

• Evitar el riesgo.

• Transferir el riesgo a una tercera parte (Por
  ejemplo, Compañías de Seguros).

• En caso de que se decida mitigar el riesgo se debe
  definir que controles del SGSI se deben implementar.
  Además, si se considera necesario se pueden
  seleccionar controles específicos
  adicionales.

• Preparar un documento de Declaración de
  Aplicabilidad (DDA), en el que se detalle la relación
  de controles que se van a implantar.

• Establecer el nivel de riesgo aceptable para la
  Organización.

• Obtener la aprobación de la dirección
  a la DDA y a los riesgos no cubiertos.

• Formular un plan de tratamiento de riesgos en el que
  se establecerán las acciones necesarias para conseguir
  mitigar los riesgos a un nivel aceptable y para implantar los
  controles que se consideren necesarios según
  requerimiento de la norma ISO/IEC 27001:2005 en sus numerales
  4.2.1.f, g y h.

• Preparar los procedimientos necesarios para la
  implantación de controles. En cada procedimiento se
  detallarán los objetivos que se pretenden cubrir, las
  razones para su elección, cómo se implanta el
  control y las responsabilidades asociadas

• Desarrollo del modelo de seguridad según
  el estándar internacional ISO/IEC
  27001:2005

La implementación de este modelo de seguridad
requiere de unas políticas claras y la ejecución de
todas aquellas actividades tendientes a gestionar el
riesgo.

• Definición de las políticas de
  seguridad

Luego de establecer el alcance del SGSI, será
necesario definir y documentar la política de
seguridad. Según Daltabuit & Vázquez et al.,
(2007), "concebir y redactar la política recae sobre
los responsables del funcionamiento de la misma (…) el
elemento fundamental de estos documentos es que
expresan el consenso de quienes conocen mejor que nadie los
principios
operativos, económicos y éticos que
conducirán al éxito colectivo". En
opinión de Howard (Citado en Tipton y Krause, 2007) la
política incluirá los siguientes principios
básicos:

• Reconocimiento y concientización de la
  importancia de la seguridad de la información para los
  resultados del negocio.

• Señalar el riesgo al que están
  expuestos los sistemas de información y a su vez el
  efecto inmediato sobre las operaciones del negocio
  bancario.

• Seguimiento estricto a las normas legales y los
  estándares internacionales para el manejo seguro de la
  información.

• Coparticipación, compromiso y
  co-responsabilidad de todos los miembros de la
  organización de manera individual y como
  organización.

• Visión de largo plazo pero con capacidad de
  autoevaluación y reajuste

Tal como lo concluye Steer (2008), estas
políticas se convierten entonces en una declaración
expresa de la intención de conseguir algo que contribuye a
la seguridad de la información, definiendo que necesita
protegerse y cómo hacerlo, oponiéndose a las
amenazas identificadas y satisfaciendo las exigencias de
seguridad de la información que definen las normas legales
y los estándares internacionales.

De acuerdo con Puig et al., (2008), la política
de seguridad tendrá como mínimo los siguientes
elementos:

• Una definición de seguridad de la
  información y sus objetivos globales.

• El establecimiento del objetivo de la
  dirección que soporte los objetivos y principios de la
  seguridad de la información.

• Una explicación detallada de las
  políticas, principios, normas y requisitos mas
  importantes para la entidad bancaria:

• Conformidad con los requisitos legislativos y
  contractuales

• Requisitos de capacitación en temas de
  seguridad

• Prevención y detección de virus y
  software malicioso

• Gestión de continuidad del negocio

• Consecuencias sobre la violación de la
  política de seguridad

• Requisitos de uso para sistemas de
  información

• Controles técnicos

• Controles a proveedores externos y el
  teletrabajo.

• Desarrollo de procedimientos para la
  Gestión de la Seguridad de la
  Información

Todas las amenazas y las vulnerabilidades evidenciadas
hay que enfrentarlas, lo que requiere una planificación constante de las diferentes
alternativas de solución, por lo tanto luego de haber sido
definidas las políticas de seguridad de la
información, se elaborarán los procedimientos de
seguridad para soportar el SGSI y el modelo de seguridad
diseñado.

Para el CSAE et, al. 2006, el desarrollo de
procedimientos para la gestión de seguridad de la
información se traduce en el desarrollo de
políticas, normas y procedimientos y junto a ellos la
aplicación de salvaguardas y controles que verifican y
garantizan que cada amenaza tiene su respuesta
adecuada.

La definición de estos procedimientos de
gestión de seguridad facilita la transferencia de
conocimiento que en el futuro ayudará en la
aplicación de mejoras al sistema de gestión por
cuenta del personal interno de la organización.

Todo este conjunto de políticas y procedimientos
de seguridad para establecer un SGSI, deben estar alineados con
el estándar ISO/IEC 27001:2005 que se compone de 11
dominios:

• 1) Política de
  seguridad

• 2) Organización de la
  seguridad de la información

• 3) Administración de
  recursos

• 4) Seguridad de los recursos
  humanos

• 5) Seguridad física y del
  entorno

• 6) Administración de las
  comunicaciones y operaciones

• 7) Control de acceso

• 8) Adquisición, desarrollo
  y mantenimiento de sistemas de información

• 9) Administración de los
  incidentes de seguridad

• 10) Administración de la
  continuidad de negocio

• 11) Cumplimiento (requerimientos
  legales, estándares, técnico y
  auditorías)

Durante la ejecución del proyecto se considera el
desarrollo de los siguientes procedimientos esenciales en
seguridad, indicados por el estándar ISO/IEC 27001:2005, a
saber:

• Control de Documentos

• Control de Registros

• Controles de acceso

• Proceso de auditorías internas

• Acciones Preventivas (Salvaguardas técnicas,
  físicas, medidas de organización)

• Acciones Correctivas

• Proceso de revisión Gerencial

• Gestión de Incidentes de seguridad

• Gestión de copias de respaldo y Backup de
  Información

• Gestión de RR.HH. (Políticas de
  personal, Administración de Usuarios y
  Contraseñas)

• Control de Cambios

• Inventario y Clasificación de Activos de
  información

• Seguridad de los Medios e Información en
  Tránsito

• Fase IV – Plan de Concientización en
  Seguridad de la información

Esta fase comprende las actividades necesarias, para
establecer la estrategia de sensibilización y
divulgación de políticas y procedimientos para la
Gestión de la Seguridad de la Información, con el
propósito de establecer al interior de la
organización un grado de compromiso y
concientización con respecto al SGSI.

Las actividades de concientización no solo se
deben orientar hacia los temas de seguridad que es importante que
se refuercen mediante una campaña de comunicación. Un criterio igualmente
importante es la respuesta de la audiencia frente a los
diferentes medios de difusión o divulgación de los
contenidos.

Existen diferencias en el aprendizaje de
las personas que deben ser contempladas a la hora de
diseñar una campaña de concientización. Un
enfoque muy eficaz consiste en determinar para una audiencia dada
los siguientes criterios:

• El estilo preferido de aprendizaje.

• El nivel de conocimientos actual

Debido a que la seguridad de la información es
una preocupación nueva para las organizaciones y que el
tema de concientización es considerado parte integral de
las soluciones de
seguridad, se proponen las siguientes actividades:

• Determinar cuál es el estado actual de
  conciencia sobre la seguridad de la información en las
  áreas de la Organización involucradas en la
  implementación del SGSI. Una forma de llevar a cabo
  esta actividad, es mediante la selección de un grupo
  de funcionarios seleccionados por muestreo para que contesten
  un cuestionario sobre conceptos básicos de seguridad
  de la información. Esta información será
  tabulada y se generaran las estadísticas que permitan
  conocer el grado de cultura en seguridad que tiene la
  organización. En esta fase también se
  evaluarán los medios que actualmente posee la
  organización para los procesos de divulgación y
  que hayan resultado efectivos.

• Una vez se determine el estado de
  concientización en la organización, se
  contará con la información necesaria para el
  diseño y documentación de la mejor estrategia
  para la concientización y divulgación de los
  aspectos de seguridad y del SGSI de la
  organización.

• Fase V – El Monitoreo y control al
  SGSI

El rápido avance en el desarrollo de la tecnología impacta
los planes de seguridad de la información en cualquier
organización y ello hace que los mecanismos de seguridad
implementados puedan deteriorase con el paso del tiempo. Un
plan de
monitoreo ayudará como lo precisa Alexander et al., (2007)
a revelar nivel de deterioro en el que se encuentra el SGSI y a
definir las acciones correctivas necesarias.

"El monitoreo y el control de riesgos involucra la
ejecución de los procesos de la administración del riesgo para responder a
los eventos que
comprometen la seguridad de la información" (Del Carpio,
2006, p. 107).

La revisión es un ejercicio práctico con
resultados métrico orientado a calcular el nivel de
eficiencia en
la respuesta del SGSI. Los procedimientos para llevar a cabo este
monitoreo y la revisión están detalladas en la ISO
27001:2005 y de acuerdo con Guía de implantación et
al. 2008 su ejecución debe ayudar a:

• Detectar errores

• Identificar las fallas de seguridad

• Controlar que las actividades de seguridad se
  realicen de acuerdo a lo establecido

• Definir las acciones a implementar para corregir
  errores y fallas

La norma ISO 27001:2005 estipula las siguientes
actividades orientadas al monitoreo y revisión del
SGSI:

• Identificación de eventos de seguridad y
  evasión de incidentes de seguridad.

• Evaluar la efectividad de las acciones ejecutadas
  para resolver los incidentes de seguridad.

• Establecimiento de criterios de medición de
  la efectividad de los controles.

• Revisión periódica de la
  política y del alcance del SGSI

• Revisión de los riesgos residuales y los
  riesgos aceptables

• Auditorias internas y externas del SGSI

En el caso de las auditorías, la misma norma recomienda la
aplicación de auditorias
periódicas pues esta actividad ayuda a determinar que los
controles, los objetivos, los procesos y los procedimientos
continúan actuando en conformidad con la norma y para
analizar y planificar las acciones de mejora. (Corletti,
2006)

En este sentido los diferentes autores citados coinciden
en que las auditorías internas y externas pueden ayudar a
arrojar información mas confiable, objetiva y relevante
para la ejecución de planes de mantenimiento o mejoras al
SGSI.

Hasta acá entonces, se ha logrado dividir,
conceptualizar y detallar paso a paso todas aquellas actividades
que le permiten a una entidad financiera implementar un sistema
de gestión de seguridad de la información, como
todo sistema es evolutivo y su capacidad de respuesta y
adaptación estará condicionado por las buenas
practicas adoptadas desde la definición y hasta la puesta
en marcha del proyecto. Existen otras actividades asociadas a
este proyecto, pero se han dejado claras las mas relevantes y de
mayor incidencia para el mismo y con las cuales garantizar su
éxito.

Discusión

Hablar de seguridad de la información y de
políticas y procedimientos para el manejo de la misma en
Colombia es un tema que trascendió de la novedad a la
exigencia y de ahí a ser inherente al desarrollo de un
negocio. Todo este bagaje bibliográfico abordado para
desarrollar el tema me ha permitido observar como la sociedad ha
evolucionado. Décadas atrás el tema de la
información como factor crítico del negocio era
lejano, considerado por muchos como un intangible que
carecía de fuerza para
vulnerar la estabilidad y el futuro de una
organización.

El avance tecnológico y el salto revolucionario no solo
rompe con los esquemas en los que la humanidad ha vivido sino que
dejan al descubierto nuevos valores y nuevos riesgos asociados a
los mismos y es allí donde la información como
cobra su papel preponderante. Las entidades financieras no
difieren de cualquier otro tipo de organización de otros
sectores, son sistemas abiertos, que reciben insumos de todo tipo
que luego de ser procesados se convierten en productos y
servicios para el mercado, sin
embargo dentro de los insumos de entrada, es la
información el que tiene mayor relevancia.

Los modelos de
CRM, modelos
predictivos, modelos de riesgo, estrategias comerciales
selectivas, todo este conocimiento estratégico propio del
negocio se basa en la información que se extrae de los
clientes y del medio, pero es una información que
está expuesta a riesgos, por lo tanto si las empresas no
establecen sistemas que aseguren la integridad, la
confidencialidad y la disponibilidad de la información
jamás podrán mantenerse compitiendo en el mundo
globalizado.

Implementar un modelo de SGSI de acuerdo con todos los autores
es el camino correcto para garantizar que la información
circulante dentro de una entidad financiera, se hace de forma
segura. La problemática que se pueda estar presentando hoy
es que tal vez las entidades financieras consideren que sus
sistemas de seguridad de información son eficientes y que
sus controles son adecuados, pero dichos sistemas y controles son
meramente reactivos y no proactivos.

Uno de los elementos esenciales que deja este rastreo
bibliográfico al tema de la gestión de seguridad de
la información, es que los procedimientos son
cíclicos y que la tecnología tiene vida y
evoluciona cada vez con mayor complejidad por lo tanto no puede
concebirse que un SGSI mida su eficiencia en la capacidad de
adaptarse a cada riesgo asociado a los incidentes que van
apareciendo. La verdadera capacidad de un SGSI debe ser la de
poder atenuar
el riesgo antes de que pueda atacar, por lo tanto los SGSI se
implementan exclusivamente para mitigar los riesgos a los que
están sujetos los activos de información y no para
responder de forma reactiva en forma de ensayo y error
cuando los incidentes ocurren.

Conclusiones

Aunque el modelo presentado en este artículo y la
normatividad internacional relacionada con el tema de la
implementación de modelos de seguridad de la
información son aplicables a cualquier tipo de
organización, la implantación de un SGSI en
entidades financieras tienen una mayor repercusión e
importancia dada la diversidad de activos de información
que estas organizaciones manejan y el nivel de criticidad de los
mismos. Vulnerar la seguridad en la información de una
entidad financiera no solo tiene un costo muy alto a
nivel financiero sino también a nivel de imagen tanto de
la entidad afectada como del sector financiero en general, sobre
el cual recae la mayor parte del peso del desarrollo
económico nacional y sobre el cual se ha depositado la
confianza de miles de usuarios del sector bancario.

Una de las razones mas importantes para implementar un
SGSI es la de atenuar los riesgos propios de los activos de
información de las entidades financieras. Una acertada
identificación de tales activos, una definición
correcta del alcance y unas políticas de seguridad claras
y completas, son determinantes para la correcta
implantación del SGSI.

Un SGSI en una entidad bancaria no puede ajustarse cada
vez que se genera un incidente de seguridad, pues la labor de
quienes tienen la función de
gerenciar la seguridad de la información en las entidades
financieras no puede ser únicamente la de administrar los
controles creados para cada situación de riesgo. Se debe
actuar de manera proactiva para tratar de anticiparse a tales
hechos y para ello el SGSI debe estar en capacidad de ayudar a la
alta dirección en la definición de acciones que
mitigan los riesgos sobre los activos más críticos
sin tener que esperar a que los eventos ocurran.

La implantación de un SGSI requiere de una alta
participación a nivel estratégico y su papel es
protagónico, pues dicha implantación es un proyecto
que reclama tiempos, actividades, recursos, por lo tanto la alta
gerencia debe conocer y ser conciente de la importancia de la
seguridad y de las consecuencias de no llevar a cabo su
implementación.

La implantación y operación de un SGSI
ofrece ventajas para las entidades bancarias al disponer de una
metodología dedicada a la seguridad de la
información reconocida internacionalmente, contar con un
proceso definido para evaluar, implementar, mantener y
administrar la seguridad de la información, diferenciarse
en el mercado frente a otras entidades financieras, satisfacer
requerimientos de clientes, proveedores y
organismos de control, formalizar las responsabilidades
operativas y legales de los usuarios internos y externos de la
Información y ayuda en el cumplimiento de las
disposiciones legales nacionales e internacionales.

Referencias

Alexander, A. G. (2007). Diseño de un sistema de
gestión de seguridad de la información.
Bogotá: Alfaomega.

Alonso, M.C. (1998). Impacto social de las
tecnologías de la información en las formas de
vida. Ahciet:Revista de
Telecomunicaciones, 75.

Ambriz, R. (2004, Enero 14). Una herramienta
práctica y sencilla para definir el alcance del proyecto:
los mapas mentales. The project manager"s homepage, Articulo
67924, Extraído el 8 de marzo de 2009 en:

http://www.allpm.com/modules.php?op=modload&name=News&file=article&sid=937&mode=thread&order=0&thold=0

Campos J. M. & Duque G. (2001). Comportamiento
y evolución del sistema bancario colombiano
de 1990 al 2001. Memorias para
optar el título de Magister en Ingeniería
Industrial, Escuela de
Ingeniería, Universidad de
los Andes, Bogotá D.C.

Corlettti, A. (2006, Abril 4). Análisis de
ISO-27001:2005. Articulos de seguridad informática. Extraído el 13 de abril
de 2009 en:

Daltabuit, E., Hernández, L., Mallen, G. &
Vasquez, J. (2007). La seguridad de la
información. Mexico: Limusa Ediciones

Drucker, P. (1992). Gerencia para el futuro.
Bogotá: Norma.

Del Carpio, G. (2006). Análisis del riesgo en la
administración de proyectos de
tecnología de información, [Versión
electrónica], Industrial Data, 1 (9), 104-107

España, Consejo Superior de Administración
Electrónica. (2006). Metodología de análisis
y gestión de riesgos de los sistemas de información
[Versión electrónica].

Colombia, Etek International Holding Corp. (2008).
Guía de implantación de un sistema de
gestión de seguridad de la información basado en el
estándar ISO/IEC27001:2005. Manuscrito no
publicado.

Hernández, J. (1991). La gestión de la
información en las organizaciones: Una disciplina
emergente. [Versión electrónica].
Documentación de las ciencias de la
información, 13, 133-148.

López, J. & Sebastian, A.
Gestión Bancaria. Los nuevos retos en un entorno
global. España:
McGraw Hill/Interamericana.

López, N. (2005). La seguridad
más que un valor agregado en los sistemas de
información. Revista universidad católica de
oriente. 19, 107 – 117

Muñoz, J.J. (2004).
Metodología para la incorporación de medidas de
seguridad en sistemas de información de gran
implantación: confianza dinámica y regulación del nivel de
servicio para
sistemas y protocolos de
internet. Trabajo
de grado para optar al título de doctor, Escuela de
ingeniería
de sistemas telemáticos, Universidad
Politécnica de Madrid,
Madrid, España.

Ozz, E. (2001). Administración
de Sistemas de Información (2ª ed). México:
Thomson Learning.

Puig, T. (2008, Mayo 15).
Implantación de un sistema de gestión de seguridad.
Cursos de Tecnologías de Información.
Extraído el 15 de marzo de 2009 en: http://www.mailxmail.com/curso/empresa/gestiondeseguridad

Peña, D., Aguilar, M., Belloso, N.,
& Parra, J. (2003). Factores de cambio en los
sistemas de información del sector bancario
[Versión electrónica]. Revista Venezolana de
gerencia, 23, 480-495

Tipton H. F., Krause M. (2007). Information
security management handbook. Palm Beach, FL: CRC
Press.

Vittoriano E. (2008, Agosto). La
información como activo. Conferencia
presentada en la Conferencia latinoamericana de auditoria,
control y seguridad (Latin America CACS) 2008, Santiago,
Chile.

Velásquez M., Mauricio A. (1998).
Ceros y unos: La economía de la información.
Informática al día, 111, 19-23

Cesar Augusto Granada
Corrales

[1] El Congreso de Colombia estableció
una nueva reforma financiera, buscando garantizar la
estabilidad de este sector, ello debido a la crisis de la
década de los 80€™s, se sanciona entonces
esta ley por medio
de la cual se expiden normas en materia de
intermediación financiera.

[2] La Organización Internacional para
la Estandarización o ISO (del griego iso, "igual", y
cuyo nombre en inglés se interpreta como International
Organization for Standardization), que nace después de
la Segunda
Guerra Mundial, es el organismo encargado de promover el
desarrollo de normas internacionales de fabricación,
comercio y
comunicación para todas las ramas industriales a
excepción de la eléctrica y la
electrónica. Su función principal es la de buscar
la estandarización de normas de productos y seguridad
para las empresas u organizaciones a nivel internacional.

[3] Método desarrollado por Rensis
Likert a principios de los años 30, que consiste en un
conjunto de ítems presentados en forma de afirmaciones o
juicios, ante los cuales se pide la reacción del sujeto
consultado mediante escalas de valor.