Implantar un SGSI

¿Cómo se implanta un Sistema de Gestión de Seguridad de la Información?
La norma ISO 27001 es un modelo para poder establecer, implementar, monitorear, revisar, mantener y mejorar un SGSI para cualquier tipo de organización. El SGSI estará influido por las necesidades de cada empresa, sus objetivos, sus requisitos de seguridad, sus procesos, sus empleados, su tamaño, sus sistemas de soporte y su estructura, por lo que cada SGSI se confeccionará de la forma más adecuada para cada empresa, pero siempre respetando las normas y el modelo de la ISO 27001.
La norma ISO 27001 sigue el denominado CICLO DEMING del Plan, Do, Check, Act:
   PLAN (PLANIFICAR): Es el establecimiento del SGSI: en esta primera fase se trata de determinar el alcance del SGSI (si se va a aplicar a todos los procesos internos de la empresa o sólo a algunos), identificar los activos de información (software, hardware, personal, servicios que se prestan, etc…) y valorar su importancia en la empresa, analizar y evaluar los riesgos que pueden afectar a esos activos (virus informáticos, falta de formación del personal, averías de ordenadores, incendios, inundaciones, etc…), y qué se puede hacer para controlar esos riesgos en la medida de la posible.
    DO (HACER): Es la implementación del SGSI: Consiste en llevar a la realidad las medidas y acciones a aplicar para hacer posible el control de los riesgos a que está sometida la información de la empresa (por ejemplo: instalación de antivirus, plan de formación para los trabajadores en materia de seguridad de la información, implantación de un buen sistema de copias de seguridad, etc…).
    CHECK (VERIFICAR): Es la fase de monitoreo y revisión, por la cual la empresa establece procedimientos y rutinas para poder revisar el desenvolvimiento y la eficacia de ese sistema de medidas de seguridad implantado.
       ACT (ACTUAR):  Es la fase de mejora continua, donde se toman las acciones oportunas para reaccionar ante incidentes de seguridad y tomar también acciones preventivas.

SGSI e ISO 27001

¿Qué es un Sistema de Gestión de Seguridad de la Información (SGSI)?.
Es una parte más del sistema de gestión general de cualquier empresa, pero centrado en mejorar la seguridad de la información. Se trata de definir y establecer un sistema que determine qué hay que proteger  en una empresa (archivos en papel, ordenadores, routers, formación de los trabajadores…)  y por qué; de qué hay que protegerlo (incendios, inundaciones, robos, virus informáticos, desinformación de los empleados…) y cómo debe protegerse (instalación de contraseñas en ordenadores, antivirus, controles de acceso físicos, formación para los empleados…).
Este sistema se articulará por medio de una serie de normas y de procedimientos concretos y detallados.
¿Por qué  implantar un Sistema de Gestión de Seguridad de la Información en mi empresa?
La información (ya sea en formato papel o en cualquier ordenador) que se maneja hoy día en cualquier empresa, organismo o entidad, tiene una importancia vital para el funcionamiento de la misma. La pérdida, por ejemplo, de una base de datos en una empresa, podría dejar paralizada su actividad, impidiendo que se sigan prestando los correspondientes servicios a sus clientes.
Evitar, en la medida de lo posible este tipo de situaciones (así como cualquier pérdida de información debida a desastres naturales o de otra índole, ataques de terceros a través de los sistemas informáticos e internet, etc…), saber cómo actuar cuando sucedan y tener una capacidad de respuesta ante las mismas, son las razones fundamentales por las que se debe implantar un Sistema de Gestión de Seguridad de la Información.
¿Qué es la ISO/IEC 27001?
Es la norma internacional que da las instrucciones y define los pasos para llevar a cabo ese Sistema de Gestión de Seguridad de la Información (SGSI), y sirve para la evaluación de la conformidad, es decir: para obtener un Certificado de una entidad debidamente autorizada sobre la idoneidad de ese SGSI, al igual que ocurre con el sistema de gestión de calidad certificable según la norma ISO 9001, popularmente más conocida.

Seguridad en internet

Para dar cumplimiento a las previsiones del artículo 9 de la LOPD, son de gran utilidad las recomendaciones publicadas por la Agencia Española de Protección de datos, que se relacionarán a continuación en el presente artículo, y en lo relativo a la navegación por internet y al uso del correo electrónico por parte de los usuarios.
Según el referido artículo 9.1, “El responsable del fichero, y, en su caso, el encargado de tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.”
Este es el listado de recomendaciones que ha publicado la AEPD:
RECOMENDACIONES A USUARIOS DE INTERNET, 2009.
NAVEGACIÓN EN INTERNET
Los riesgos existentes al navegar a través de la red pueden ser numerosos. A la vista de los mismos, conviene tener presentes las siguientes recomendaciones:
1.      El equipo deberá protegerse adecuadamente utilizando para ello un software de antivirus y de seguridad específico.
2.      Debería configurarse de manera adecuada el software del navegador con las opciones de seguridad más restrictivas y eficaces.
3.      El software instalado en el equipo se deberá actualizar periódicamente con objeto de disponer en el mismo de la última versión, prestando especial atención al sistema operativo, al software antivirus, al propio navegador y a las opciones disponibles de seguridad.
4.      El intercambio y la entrega de datos de carácter personal deberá efectuarse, exclusivamente, en aquellos sitios que cuenten con protocolos seguros y en los que se respeten los principios previstos en la legislación en materia de protección de datos. En todo caso, antes de facilitar datos de carácter personal hay que asegurarse de que el sitio web dispone de política de privacidad y que en la misma consta, entre otra información en materia de protección de datos, la identidad y dirección del responsable y la finalidad con la que se recaban los datos, los cuales deberán ser los estrictamente necesarios para la finalidad de que se trate.
5.      El equipo deberá protegerse a través de una contraseña que restrinja el inicio de sesión y que impida que un tercero pueda acceder a él. Las contraseñas deberán mantenerse, por supuesto, en secreto, no revelándose a ningún tercero y no serán anotadas en lugares fácilmente accesibles.
6.      Deberá evitarse acceder a los sitios web a través de enlaces incluidos en mensajes de correo electrónico o en sitios web de terceros en los que no confiemos.
7.      Con objeto de evitar que se pueda realizar un seguimiento de las visitas efectuadas a otros sitios web, se borrarán del equipo periódicamente los archivos temporales y las “cookies”, teniendo en cuenta que, en este último caso, el usuario puede configurar el navegador para evitar la grabación de las “cookies” en el equipo.
8.      La mayor parte de los navegadores incorporan sistemas de bloqueo de ventanas emergentes y de descarga de programas y archivos. Es recomendable mantener actualizado siempre su navegador.
9.      Deberán adoptarse las precauciones oportunas antes de proceder a la descarga de archivos asegurándose, antes de hacerlo, de la confianza o acreditación del sitio web desde el que se realizará.
10.  En aquellos equipos que no sean de uso personal, deberá desactivarse la opción que poseen los navegadores que permite el almacenamiento de las contraseñas o el guardar información relativa al inicio de las sesiones (usuario y contraseña). También se prestará especial atención para deshabilitar la opción de los navegadores que permite mantener un historial de direcciones web, nombres de usuarios y contraseñas con el fin de permitir su uso en la cumplimentación automática de formularios. Resulta especialmente conveniente que, al finalizar la sesión de navegación en esos equipos, se eliminen todos los archivos temporales, las “cookies” y el historial de Internet que se encuentra en el navegador.
11. En todo momento, habrá que estar atento para detectar si el equipo da señales de que ha sido instalado un software malicioso. Entre los signos que podrían indicar que este software se encuentra instalado en el equipo se encuentran los siguientes: la página principal u otros elementos de la configuración del navegador han cambiado, algunas páginas web no son accesibles, las ventanas emergentes aparecen de manera interminable, se han instalado nuevas barras de herramientas o el equipo funciona con gran lentitud.
USO DEL E-MAIL
El correo electrónico (e-mail) es el servicio de comunicación que ha alcanzado un mayor nivel de desarrollo en Internet, tanto a nivel de comunicación privada como en el ámbito de las relaciones profesionales y comerciales. En ese sentido, el mismo hecho de su éxito y nivel de utilización lo convierte en uno de los medios más utilizados de difusión de software malicioso y de contenidos no solicitados que pretenden tener una difusión masiva con un coste reducido para sus autores.
En todo caso, las recomendaciones relativas al uso del servicio de correo electrónico son las siguientes:
1.      Para acceder a su cuenta de correo electrónico, además de su código de usuario utilice una contraseña. Elija una contraseña que no sea una palabra de los idiomas más utilizados (una combinación aleatoria de letras mayúsculas y minúsculas, números y símbolos es una buena elección) y cámbiela de forma periódica. La contraseña debería contar con un mínimo de ocho caracteres y cambiarse al menos en una ocasión al año.
2.       No utilice la opción de “Guardar contraseña” que, en ocasiones, se le ofrece para evitar reintroducirla en cada conexión.
3.      Si no quiere hacer pública su dirección de correo electrónico, configure su navegador para que no se la facilite a los servidores Web a los que accede. Conviene tener en cuenta, antes de proporcionarlos, que tanto nuestra dirección de correo electrónico como el resto de datos que proporcionamos para su inclusión en un directorio o lista de distribución, son susceptibles de ser utilizados sin nuestro conocimiento para fines diferentes de aquellos para los que fueron suministrados.
4.      Sea consciente de que cuando envía mensajes de correo a una variedad de destinatarios, está revelando las direcciones de correo electrónico de los mismos que figuran en los campos “Destinatario” o “Con Copia (CC)” a todos los receptores del mensaje. Para evitarlo, puede incluir los destinatarios del mensaje en el campo “Con Copia Oculta (CCO)” de tal forma que ninguno de los receptores podrá acceder a la dirección de correo electrónico del resto de los destinatarios.
5.      Configure su programa de correo en el nivel de seguridad máximo. Si es Vd. usuario de correo web, decántese de ser posible por un proveedor de servicios que ofrezca análisis del contenido de los mensajes; Además, configure su navegador en el máximo nivel de seguridad posible.
6.      Mantenga actualizado su programa cliente de correo electrónico, su navegador y su sistema operativo.
7.      No abra los mensajes que le ofrezcan dudas en cuanto a su origen o posible contenido sin asegurarse, al menos, que han sido analizados por su software antivirus.
8.      Active los filtros de correo no deseado de su programa de correo electrónico.
9.      Procure no utilizar para usos personales la dirección de correo electrónico que le haya sido proporcionada en el marco de su relación laboral. Tenga en cuenta que, en algunos casos, los mensajes de correos de esas cuentas pueden ser monitorizados por la entidad responsable de las mismas. En todo caso, solicite ser informado de las limitaciones de uso establecidas así como de la posibilidad de que sea monitorizado el contenido del buzón de correo asociado.
10. Evite reenviar cadenas de mensajes.
11. Si ha de remitir mensajes a un conjunto de usuarios conocido, utilice, si su programa cliente de correo lo permite, las direcciones de grupo.
12.  Lea cuidadosamente las condiciones del servicio que su proveedor de correo electrónico ha de poner a su disposición, haciendo especial hincapié en todo lo referido a la obtención y uso de sus datos de carácter personal, así como los medios de los que dispone para garantizar la privacidad de sus mensajes.
13. Si va a enviar por Internet documentos privados, es conveniente utilizar sistemas que permitan el cifrado de su contenido.