Bienvenidos a esta guía sobre ISO 27001 Términos y definiciones 3.41 – 3.50. Comparte este articulo y síguenos para recibir más guías y cursos.
Para saber más comente a continuación, respondemos todos y cada uno de los comentarios.
¿Te gustaría enterarte de cuando lanzamos descuentos y nuevos cursos?
3.41 Sistema de Gestión
Un sistema de gestión es el conjunto de elementos interrelacionados dentro de una organización que permiten establecer políticas, definir objetivos y ejecutar procesos para alcanzar dichos objetivos.
En el contexto de la seguridad de la información, el Sistema de Gestión de Seguridad de la Información (SGSI) es el marco que permite a las organizaciones proteger sus activos digitales, gestionar riesgos y garantizar la confidencialidad, integridad y disponibilidad de la información.
Para que un SGSI sea efectivo, debe estar basado en la mejora continua, lo que implica monitorear constantemente el rendimiento del sistema, identificar áreas de mejora y adaptar las estrategias de seguridad en función de los cambios en el entorno tecnológico y las amenazas emergentes.
3.42 Medida
Una medida es una variable a la que se asigna un valor como resultado de un proceso de medición.
Dentro de la seguridad de la información, las medidas pueden ser utilizadas para evaluar la efectividad de los controles de seguridad, medir el impacto de incidentes y analizar el desempeño del SGSI.
Por ejemplo, una organización puede medir:
- Número de intentos de acceso no autorizado en un mes.
- Porcentaje de empleados que han completado una capacitación en ciberseguridad.
- Tiempo promedio de recuperación tras un incidente de seguridad.
Estas medidas permiten tomar decisiones informadas y mejorar continuamente la postura de seguridad de la organización.
3.43 Medición
La medición es el proceso de determinar un valor asociado a una variable, lo que permite evaluar cuantitativamente o cualitativamente un determinado aspecto del SGSI.
Monitoreo, Medición, Análisis y Evaluación
Estos cuatro conceptos son fundamentales en la gestión de la seguridad de la información, ya que permiten evaluar el desempeño del SGSI y detectar oportunidades de mejora.
Objetivo
El principal objetivo de estas actividades es establecer un marco para evaluar el grado de cumplimiento de los objetivos del SGSI y garantizar que el sistema evolucione de manera continua.
En toda planificación de un SGSI, se debe determinar:
- Qué medir: Definir qué aspectos del sistema de seguridad serán evaluados.
- Cómo medir: Determinar los métodos y herramientas a utilizar.
- Cuándo medir: Establecer la frecuencia de las mediciones.
- Cómo analizar los resultados: Definir fórmulas o criterios de evaluación.
Métodos de Medición
Los métodos de medición deben cumplir con los siguientes principios:
- Definir actividades específicas para garantizar resultados válidos.
- Establecer intervalos de monitoreo dentro del ciclo de gestión del SGSI.
- Especificar cómo se analizarán y evaluarán los datos obtenidos en la medición.
Diferencia entre Monitoreo, Medición, Análisis y Evaluación
Es importante entender la diferencia entre estos términos dentro del proceso de gestión de la seguridad de la información:
- Monitoreo: Consiste en la observación continua del desempeño del SGSI para detectar anomalías o desviaciones.
- Medición: Se refiere a la recolección de datos objetivos sobre diferentes aspectos del SGSI.
- Análisis: Implica examinar tendencias y patrones en los datos recolectados.
- Evaluación: Es la comparación de los resultados obtenidos con los objetivos de seguridad para determinar si se están cumpliendo.
Importancia del Monitoreo y la Medición en el SGSI
El monitoreo, la medición, el análisis y la evaluación proporcionan información clave para la toma de decisiones estratégicas en ciberseguridad. Estos datos ayudan a:
- Determinar la efectividad del SGSI.
- Identificar brechas de seguridad y áreas de mejora.
- Asegurar el cumplimiento de regulaciones y normativas.
- Optimizar recursos y priorizar inversiones en seguridad.
En resumen, un SGSI efectivo no solo requiere implementar controles de seguridad, sino también medir y evaluar continuamente su desempeño para garantizar que la información de la organización esté protegida frente a amenazas en constante evolución.
3.44 Función de Medición
Una función de medición es un algoritmo o cálculo que combina dos o más medidas base para obtener una métrica más compleja y significativa.
En el contexto de la seguridad de la información, las funciones de medición permiten analizar múltiples variables para obtener indicadores más precisos sobre el desempeño del SGSI (Sistema de Gestión de Seguridad de la Información).
Por ejemplo, si tenemos dos medidas base:
- Número de intentos de acceso fallidos en un mes.
- Número total de accesos en el mismo periodo.
Podemos definir una función de medición que calcule la tasa de intentos fallidos:Tasa de accesos fallidos=Nuˊmero de accesos fallidosNuˊmero total de accesos×100\text{Tasa de accesos fallidos} = \frac{\text{Número de accesos fallidos}}{\text{Número total de accesos}} \times 100Tasa de accesos fallidos=Nuˊmero total de accesosNuˊmero de accesos fallidos×100
Este cálculo nos ayuda a evaluar el nivel de seguridad en los sistemas de autenticación y a detectar patrones sospechosos de acceso.
3.45 Método de Medida
Un método de medida es una secuencia lógica de operaciones utilizada para cuantificar un atributo con respecto a una escala específica.
En seguridad de la información, el método de medida define cómo se deben recolectar, procesar y evaluar los datos para garantizar resultados consistentes y fiables.
Por ejemplo, si se mide la efectividad de un firewall, el método de medida podría incluir:
- Definir el atributo a medir (porcentaje de intentos de acceso bloqueados).
- Seleccionar herramientas de monitoreo (logs del firewall, SIEM).
- Establecer la escala de medición (número absoluto, porcentaje).
- Analizar los datos y compararlos con valores de referencia.
3.46 Monitoreo
El monitoreo es el proceso de observar y determinar el estado de un sistema, proceso o actividad a lo largo del tiempo.
En el SGSI, el monitoreo es clave para:
- Detectar desviaciones en la seguridad antes de que se conviertan en incidentes.
- Medir el rendimiento de controles de seguridad y sistemas de defensa.
- Identificar tendencias y anomalías en el tráfico de red, intentos de acceso, etc.
Ejemplo práctico:
Si una organización implementa un sistema de detección de intrusos (IDS), el monitoreo implica registrar continuamente los eventos de seguridad y generar alertas cuando se detectan comportamientos sospechosos.
3.47 No Conformidad
Una no conformidad es el incumplimiento de un requisito establecido en normativas, políticas internas o estándares de seguridad de la información, como ISO 27001.
Las no conformidades pueden clasificarse en:
- No conformidad menor: No afecta gravemente la seguridad, pero indica una desviación del proceso establecido.
- No conformidad mayor: Puede comprometer la seguridad de la información y requiere una acción correctiva inmediata.
- No conformidad crítica: Representa un riesgo severo para la organización, como la falta de controles esenciales o una brecha de seguridad.
Ejemplo:
Si una auditoría revela que los registros de acceso a un sistema no se almacenan correctamente, esto constituye una no conformidad mayor que debe resolverse mediante la implementación de un mejor sistema de gestión de logs.
El tratamiento de una no conformidad implica:
- Corrección inmediata para minimizar riesgos.
- Análisis de la causa raíz para evitar que se repita.
- Implementación de acciones correctivas para fortalecer la seguridad.
La gestión eficaz de no conformidades es clave para la mejora continua de la seguridad de la información y el cumplimiento de estándares internacionales.
3.48 No Repudio
El no repudio es la capacidad de demostrar la ocurrencia de un evento o acción, asegurando que una entidad no pueda negar su participación en dicho evento. En el ámbito de la seguridad de la información, el no repudio garantiza que una persona no pueda negar haber enviado un mensaje, firmado un documento o realizado una transacción digital.
Este concepto es fundamental en comunicaciones electrónicas, transacciones digitales y contratos electrónicos, donde es esencial contar con pruebas irrefutables de la identidad del emisor y del receptor.
¿Cómo se Garantiza el No Repudio?
Existen varios mecanismos que aseguran el no repudio en la seguridad de la información, entre los que destacan:
- Funciones Hash: Se utilizan para verificar que los datos no han sido alterados. Si un documento o mensaje es modificado, su hash también cambiará, evidenciando la alteración.
- Firmas Digitales: Permiten validar la autenticidad del remitente mediante el uso de criptografía asimétrica.
- Infraestructura de Clave Pública (PKI): Utiliza claves públicas y privadas para autenticar la identidad de los emisores y garantizar la integridad de los datos.
Problemas Relacionados con el No Repudio
A pesar de la robustez de estos mecanismos, el no repudio no es infalible. Algunos desafíos incluyen:
- Exposición de Claves Privadas: Si un usuario pierde o le roban su clave privada, un atacante podría firmar documentos en su nombre.
- Ataques de Phishing: Un atacante podría engañar a un usuario para que firme un documento sin saberlo.
- Uso Fraudulento de Firmas Digitales: Una firma digital puede ser válida, pero si fue generada bajo coacción o sin el consentimiento del propietario legítimo, su validez como prueba es cuestionable.
Para contrarrestar estos problemas, se han desarrollado soluciones como el uso de tarjetas inteligentes y tokens físicos, que requieren la presencia física del propietario para firmar un documento o realizar una transacción.
Importancia del No Repudio en Seguridad de la Información
El no repudio protege tanto al emisor como al receptor de la información. Por ejemplo:
- Correos electrónicos seguros: Si un destinatario niega haber recibido un correo electrónico importante, el remitente puede demostrarlo mediante registros digitales.
- Contratos digitales: Una persona que firma un contrato digitalmente no puede negar posteriormente su participación, ya que la firma digital garantiza su autenticidad.
- Transacciones bancarias en línea: Evita que un usuario niegue haber realizado una operación financiera legítima.
En resumen, el no repudio es un pilar esencial en la seguridad de la información, proporcionando confianza, autenticidad e integridad en las interacciones digitales. Su correcta implementación ayuda a prevenir fraudes, disputas y accesos no autorizados, fortaleciendo la confiabilidad de los sistemas de información.
3.49 Objetivo
Un objetivo es un resultado que se pretende alcanzar dentro de una organización. Puede ser de naturaleza estratégica, táctica u operacional, dependiendo del nivel en el que se aplique dentro de la estructura organizativa.
En el contexto de la seguridad de la información, los objetivos están alineados con la política de seguridad de la organización y buscan garantizar la protección de los activos digitales frente a riesgos y amenazas.
Tipos de Objetivos en Seguridad de la Información
- Objetivos Estratégicos: Son de alto nivel y están relacionados con la visión y misión de la organización en términos de seguridad.
- Ejemplo: Implementar un SGSI basado en la norma ISO 27001 en un plazo de 12 meses.
- Objetivos Tácticos: Se centran en la implementación de medidas de seguridad a mediano plazo.
- Ejemplo: Reducir en un 30% los intentos de acceso no autorizado en el sistema en los próximos seis meses.
- Objetivos Operacionales: Son acciones específicas dentro de los procesos diarios de la organización.
- Ejemplo: Realizar copias de seguridad diarias y verificar su integridad semanalmente.
Importancia de los Objetivos en un SGSI
Los objetivos en un Sistema de Gestión de Seguridad de la Información (SGSI) permiten:
- Definir métricas claras para evaluar la seguridad.
- Garantizar la mejora continua mediante la revisión de resultados.
- Asegurar el cumplimiento de normativas y regulaciones.
- Facilitar la toma de decisiones basada en datos.
Para ser efectivos, los objetivos deben seguir la metodología SMART (Específicos, Medibles, Alcanzables, Relevantes y con un Tiempo definido).
3.50 Organización
Una organización es un conjunto de personas con funciones definidas, responsabilidades, autoridad y relaciones, cuyo propósito es lograr objetivos comunes.
El término puede referirse a empresas privadas, organismos públicos, instituciones sin fines de lucro o incluso a un grupo de trabajo dentro de una estructura más amplia.
En el ámbito de la seguridad de la información, la organización es responsable de:
- Definir y aplicar políticas de seguridad.
- Establecer un marco de gobernanza que garantice la protección de la información.
- Asignar recursos y responsabilidades para la gestión de riesgos.
Estructura Organizativa y Seguridad de la Información
Dependiendo de su tamaño y complejidad, una organización puede contar con diferentes niveles de responsabilidad en la gestión de la seguridad:
- Alta Dirección: Toma decisiones estratégicas sobre políticas y regulaciones.
- Departamento de Seguridad de la Información: Supervisa y ejecuta las estrategias de ciberseguridad.
- Usuarios y Empleados: Son responsables del cumplimiento de las normas de seguridad establecidas.
En el marco de la norma ISO 27001, una organización debe definir claramente sus roles y responsabilidades en seguridad de la información, asegurando que cada miembro entienda su papel en la protección de los datos.
No te detengas, sigue avanzando
Aprende con nuestros más de 100 cursos que tenemos disponibles para vos
¿Te gustaría enterarte de cuando lanzamos descuentos y nuevos cursos?
Sobre la autora
Romina Orlando
Con más de 20 años de experiencia en liderazgo, gestión financiera y empresarial. Brindo Educación y Consultoría a profesionales, bancos y empresas. Puedes seguirme en mis redes:
Compartimos estos recursos para ayudar a la comunidad. COMPARTE y Siéntete libre de agregar más sugerencias en los comentarios a continuación, respondemos todos y cada uno de los comentarios.