Un "anillo" para gobernarlos a todos
O para nuestro propósito: un "Gobierno de Seguridad".
El Gobierno de Seguridad es un elemento fundamental para garantizar la ciberseguridad en cualquier organización. En este artículo, exploraremos cómo implementar una estructura de lineamientos, conocida como Políticas de Seguridad, que abarque todos los aspectos de una organización y cómo los líderes pueden desempeñar un papel crucial en este proceso.
Este gobierno comprende un conjunto de principios esenciales y estándar que son aplicables en todas las áreas de la organización. Esencialmente, lo que esto implica es que necesitamos establecer una estructura formal de lineamientos racionales, coherentes y sistemáticos para garantizar la ciberseguridad. A esta estructura de lineamientos le llamamos Políticas de Seguridad (en su conjunto).
La principal función de esta estructura es garantizar la protección y control de los activos informáticos o de información de la organización.
En la práctica, este conjunto formal de lineamientos o controles se implementa a través de un proceso estructurado y planificado que refleje con el mayor grado de precisión las necesidades de protección de la organización y su base de recursos.
La fuerza o formalidad con que se establecen estos lineamientos depende de la cultura organizativa y de la naturaleza de la organización y sus actores. Por ejemplo, una institución financiera tendrá una estructura de gobierno diferentes a una escuela. En consecuencia, el proceso real de gobierno puede ejecutarse de forma diferente en distintos entornos y estar sujeto a distintos tipos de impulsores (por ejemplo, regulaciones).
La responsabilidad de implementar un adecuado Gobierno de Seguridad recae en la alta dirección. Son ellos quienes tienen la capacidad de influir en el comportamiento de todo el personal de la organización, comenzando por los directores, gerentes o líderes.
Estos líderes de las diferentes áreas son los encargados de desarrollar los planes, programas y controles operativos que permiten el correcto funcionamiento de la ciberseguridad. Entre los líderes, el principal es el Chief Information Security Officer (CISO) o su homólogo, según la estructura de la organización, respaldado por otros líderes como el CEO, CIO, CRO, RRHH y Operaciones.
Además, el gobierno incluye el desarrollo de procesos de comunicación efectivos a lo largo de toda la organización, ya que la acción coordinada en todos los niveles es crucial.
La Publicación Especial 800-12 del NIST describe de manera detallada los elementos de estructura, roles y responsabilidades para la Seguridad de la Información (Nieles et al., 2017) o ciberseguridad, si prefieres llamarlo así.
Referencias
(Nieles et al., 2017) - Nieles, M., Dempsey, K., and Yan Pilliteri, V. (2017). An Introduction to Information Security. National Institute of Standards and Technology.