Hoy en día la seguridad informática o ciberseguridad, cada vez es más importante en la organizaciones y más necesaria, por tanto también su gobierno, eficaz y que vaya alienado con negocio.
Antes de nada, expliquemos un poco cada concepto y después su relación.
¿Qué entendemos por ciberseguridad ,seguridad informática, gestionada?
Por resumirlo en un par de líneas, es tener todo el control de la seguridad informática o ciberseguridad en un solo punto. Hoy la seguridad informática o ciberseguridad ya no se puede controlar solo con dispositivos, por ese motivo se crea un servicio en la que se añaden más tareas como la inteligencia de los expertos en ciberseguridad aplicada al análisis de las amenazas ysu respuesta ante ellas.
Este servicio de ciberseguridad gestionada consta de la gestión de todos los dispositivos para dotar y mantener la seguridad informática de la infraestructura en la que se soporta su negocio para poder mantener esa continuidad que todo directivo quiere.
A esta gestión de los dispositivos de ciberseguridad de su infraestructura se añade una vigilancia activa o Threat Intelligence o ciberintelligence…, cada vez hay más nombres para definir esta parte de la ciberseguridad, consiste en vigilar las amenazas que nos pueden llegar desde la Deep Web, como ataques planificados, esto gestionado por un SOC as a service y coordinado por un CISO as a service, que en el caso de sufrir un ataque se podría realizar la gestión y respuesta al incidente.
¿Qué entendemos por gobierno de la seguridad informática?
El conjunto de responsabilidades y prácticas ejercidas por la junta directiva y la administración ejecutiva con el objetivo de proporcionar dirección estratégica, asegurar que se logren los objetivos, determinar que el riesgo se gestione adecuadamente y verificar que los recursos de la empresa sean utilizados de manera responsable, su objetivo es comprender los amplios requerimientos para un efectivo gobierno de seguridad de la información, los elementos y acciones requeridas para desarrollar una estrategia de seguridad de la información y un plan de acción para ponerla en práctica.
Los seis resultados más importantes son:
- Alineación estratégica: alineada con la estrategia de negocio para respaldar los objetivos de la organización.
- Gestión de riesgos: mitigar los riesgos y reducir el posible impacto a un nivel aceptable.
- Entrega de valor: optimizar las inversiones en seguridad para apoyar los objetivos del negocio.
- Gestión de recursos: utilizar el conocimiento y la infraestructura de seguridad de la información con eficiencia y eficacia.
- Medición de desempeño: monitorear y reportar para garantizar que se alcancen los objetivos.
- Integración de aseguramiento: integrar todos los factores de aseguramiento relevantes para garantizar que los procesos operan de acuerdo con lo planeado de principio a fin.
Tareas específicas
- Identificar las influencias internas y externas a la organización (por ejemplo, la tecnología, el entorno empresarial, la tolerancia al riesgo, la ubicación geográfica, los requisitos legales y regulatorios) para asegurarse que estos factores son abordados por la estrategia de seguridad de la información (ciberseguridad).
- Obtener el compromiso de la alta dirección y el apoyo de otras partes interesadas para maximizar la probabilidad de una implementación exitosa de la estrategia de seguridad de la información (ciberseguridad).
- Definir y comunicar las funciones y responsabilidades de seguridad de la información en toda la organización para establecer claramente las responsabilidades y las líneas de autoridad.
- Establecer, supervisar, evaluar y reportar métricas para proporcionar una administración con información precisa en cuanto a la efectividad de la estrategia de seguridad de la información.
¿Y cuál es la gracia de esta unión del gobierno de la seguridad de la información y de la seguridad informática gestionada o ciberseguridad gestionada?
Por un lado, tenemos toda la seguridad informática gestionada (ciberseguridad gestionada) en un solo punto, un único punto de conexión para la comunicación con negocio y aquí entra el gobierno de la seguridad de la información que va alineada con negocio. El gobierno de la seguridad de la información nos va a definir qué necesita negocio, va a gestionar y auditar que todo se cumpla según lo marcado por negocio, al tener un único punto de gestión, esto facilitará la comunicación y realización de las tareas y la alineación Negocio-Gobierno-Gestión será una cadena de transmisión que favorecerá a que todo se realice correctamente, ágilmente, consiguiendo que el negocio continúe operativo y adaptativo a sus nuevas necesidades en este mundo tan dinámico.
Fuentes: