Políticas de Seguridad Informática

¿Por qué es importante la seguridad informática en las organizaciones?

Porque  cualquier organización por más pequeña o grande que sea, posee información  muy importante sobre ella o incluso, sobre otras organizaciones con las que está involucrada. Es por esto que es de suma importancia resguardar los datos que manejan, y de igual forma, proteger los medios que utilizan ya que nada está exento de ser dañado/atacado.

¿Cuál es la diferencia entre un HACKER y un CRACKER?

Un hacker es aquel apasionado por la informática, principalmente por los sistemas. Para dejarlo más claro, existen dos grupos que denotan ciertas diferencias entre los hackers. Hay hackers denominados Black Hat (sombrero negro); los hackers de este grupo tienen mala fama porque se introducen en los sistemas ajenos sin autorización con alguna finalidad específica.

Pero por el contrario de estos, también existen los del grupo White Hat (sombrero blanco), quienes también son apasionados por la informática, pero se caracterizan por ser éticos con lo que hacen. Ellos se introducen en los sistemas con previa autorización del involucrado y evalúa las vulnerabilidades que tiene para que sean reparadas o protegidas contra posibles atacantes.

Existe un tercer grupo de hackers, no tan conocido como los anteriores, denominado Grey Hat (sombrero gris), ellos son la combinación de los otros dos grupos. Poseen características de los ya que dejan notas en los sistemas, mandan emails a los administradores dando sus vulnerabilidades para que las corrijan, depuran y arreglan errores.

¿Cuál es la finalidad de dividir la información en pública, interna y confidencial?

Se divide así la información para delimitar quiénes y a qué niveles pueden tener acceso a ella. Por ejemplo, la información pública no pone restricciones en cuanto a quienes la pueden obtener. Hablando de una organización, este tipo de información puede ser vista tanto por gente externa como gente externa a ella. Por otro lado está la información interna o para manejo interno, es decir, que sólo la gente de la organización puede acceder a ella, y por lo general existen ciertas restricciones y procedimientos para hacerlo. El siguiente tipo de información, la confidencial, es extremadamente restringida, y sólo unos cuantos pueden tener acceso a ella. Este tipo de información posee datos sumamente importantes que no deben ser expuestos por seguridad de la organización y de las afines a ella. Quienes tienen acceso a ella deben seguir ciertas políticas y estándares delimitados por la misma organización o en su defecto, por quienes estén a cargo de la seguridad informática de ella.

¿Por qué son importantes las políticas de seguridad informática (PSI)?

Porque es la forma correcta de acentuar las normas, procedimientos, guía las instrucciones de trabajo y definen los criterios de seguridad para que sean adoptados a nivel local o institucional, con el objetivo de establecer, estandarizar y normalizar la seguridad tanto en el ámbito humano como tecnológico. Varían de una organización a otra, un típico documento de este tipo incluye una exposición de motivos, la descripción de las personas a quienes va dirigidas las políticas, el historial de las modificaciones efectuadas, unas cuantas definiciones de términos especiales y las instrucciones gerenciales específicas sobre el tratamiento de las políticas. Estas son obligatorias y pueden considerarse a una ley propia dentro de la organización.

¿Con las PSI qué se busca proteger y de quién?

Se busca proteger el área tecnológica, esto incluye los esfuerzos que se deben realizar para el buen funcionamiento de la plataforma de hardware, software y telecomunicaciones. Servidores, estaciones de trabajo, sistemas operativos, bases de datos, acceso a internet, entre otros aspectos. Con estas políticas se busca proteger la integridad informática de la organización de cualquier aspecto o situación potencialmente peligrosa o problemática.

¿Cuáles son los parámetros para establecer las PSI?

·         Efectuar un ejercicio de análisis de riesgos informático, a través del cual valore sus activos, el cual le permitirá afinar las PSI de su organización.

·         Involucrar a las áreas propietarias de los recursos o servicios, pues ellos poseen la experiencia y son fuente principal para establecer el alcance y las definiciones de violaciones a la PSI.

·         Comunicar a todo el personal involucrado en el desarrollo de las PSI, los beneficios y riesgos relacionados con los recursos y bienes, y sus elementos de seguridad.

·         Es necesario identificar quién tiene la autoridad para tomar decisiones, pues son ellos los interesados en salvaguardar los activos críticos de la funcionalidad de su área u organización.

·         Desarrollar un proceso de monitoreo periódico de las directrices en el hacer de la organización, que permita una actualización oportuna de las mismas

·         Hacer explícito y concreto los alcances y propuestas de seguridad, con el propósito de evitar sorpresas y malos entendidos en el momento de establecer los mecanismos de seguridad que respondan a las PSI trazadas.