|
Desde la emisión de las normas de seguridad de la información ISO 27001 y 27002, se ha venido poniendo en claro su importancia a nivel corporativo en los negocios de una empresa, más allá del recurrente concepto básico de la seguridad informática limitado al área TIC. Por su parte, la nueva norma ISO 27005 proporciona un importante aporte que fortalece la estrategia auto-consistente de la serie ISO 27k, al establecer cómo se analizan y gestionan los riesgos. A su vez, la ISO 31000 establece el nuevo concepto de riesgo a nivel corporativo para todo tipo de riesgos.. |
|
La protección de la privacidad se ha vuelto últimamente un tema recurrente a partir de un mayor reconocimiento de los derechos individuales. Los datos personales se manifiestan en forma más evidente en los archivos, informes y otros documentos en los que se los maneja por distintos motivos, pero que deben atender a la mencionada protección según buenas prácticas y especialmente regulaciones que han venido surgiendo. Factores de gran importancia en la protección de datos personales son las características de las personas, no sólo en cuanto al conocimiento de las medidas que se hayan establecido sino a la actitud que toman frente a las mismas y el comportamiento en los momentos en que deben ser aplicadas. |
|
La emisión de las nuevas versiones 2013 de las normas ISO 27001 y 27002 trajeron, muy especialmente la primera, modificaciones de importancia en la forma de implementar un SGSI. Algunas de estas modificaciones responden a una nueva estructura común con otras normas de Sistemas de Gestión corporativas. Además, en el desarrollo de la ISO 27001 se han incorporado nuevos conceptos y requisitos. Incluso, la medición del desempeño orienta al uso de herramientas como el BSC, Balanced Scorecard. |
|
Desde la emisión de las normas de seguridad de la información ISO 27001 y 27002, se ha venido poniendo en claro su importancia a nivel corporativo en los negocios de una empresa, más allá del recurrente concepto básico de la seguridad informática limitado al área TIC. La nueva norma ISO 27004 proporciona un importante aporte que fortalece la estrategia auto-consistente de la serie ISO 27k, al establecer cómo se mide la eficiencia del sistema de gestión y la efectividad de las medidas de seguridad que se implementen, para reducir no sólo los riesgos técnicos de IT, sino también especialmente los riesgos operacionales, estableciendo todo un marco que comparte la visión corporativa de negocios, especialmente mediante el uso del Balanced Scorecard. |
|
La auditoría interna en seguridad de la información es un requisito del Sistema de Gestión de Seguridad de la Información conforme la ISO 27001. Aunque sin el alcance de una auditoría previa a la certificación del SGSI, igualmente la auditoría interna cumple una misión importante no sólo en cuanto al cumplimiento sino al propio respaldo de los detalles de seguridad de una organización. De hecho se extiende no sólo al SGSI sino también a los propios controles implementados de la norma y a todo lo que hace a riesgos en seguridad de la información. El auditor interno en seguridad de la información debe ser un especialista en seguridad con los conocimientos correspondientes para una adecuada auditoria de los objetivos de control, controles y el sistema de gestión de seguridad de la información. |
|
Las tendencias modernas de la mano de la tecnología han abierto nuevos escenarios de negocios. Aquí podemos mencionar la Computación en la Nube, BYOD (Traiga su Propio Dispositivo), Big Data, e IoT (Internet de las Cosas). Precisamente por la novedad de estos escenarios se necesita en primer lugar un claro conocimiento de las características y usos correspondientes. Además, estos escenarios presentan problemáticas de seguridad diferentes a las conocidas anteriores. Los requisitos que se imponen de esta manera deben tratarse con medidas especiales y controles apropiados, incluso específicos para estos escenarios. |
|
La cada vez mayor tendencia a las plataformas en la nube trae consigo una cantidad considerable de consideraciones y nuevos riesgos a la seguridad de la información. Muchas de las medidas de seguridad necesaria pueden concretarse por medio de los controles de la ISO 27001:2013, conforme el marco de trabajo de la ISO 27032. El manejo de incidentes por medio de SIEM es otra funcionalidad a considerar en su proyección al ciberespacio. Los controles de la ISO 27001/27002 pueden complementarse con ventaja aplicando estándares como es del Marco de Trabajo de Seguridad en la Nube, CSF, de NIST, la Matriz de Controles en la Nube, CCM, de CSA, así como con las medidas de controles críticos de SANS. |
|
Las leyes de firma digital abren múltiples posibilidades a operaciones comerciales y administrativas. Algunas diferencias con las firmas manuscritas imponen una adecuada revisión de las cuestiones legales que se suscitan. Los certificados digitales y la infraestructura que requieren son el soporte necesario para las firmas digitales. Pero, además, constituyen la base de una gran cantidad de aplicaciones en diferentes áreas que van desde la Factura Electrónica, con todas las ventajas operativas que implican, hasta la encripción y firma digital selectiva dentro de un mismo documento. |
|
Nunca ha sido simple estimar el retorno de una inversión de seguridad por lo que se volvió usual recurrir al FUD: Temor, incertidumbre y duda. Y, de hecho, promoviéndose los llamados Penetration Tests. Pero todo eso hoy no basta para "vender" un proyecto de seguridad de la información. ROSI es la herramienta adecuada para mostrar valores posibles que justifiquen tal inversión, sobre todo cuando se recurre a simulaciones como Monte Carlo que permite transformar criterios cualitativos de probabilidades en estimados cuantitativos razonables de beneficio-costo de seguridad. |
|
El Acuerdo de Capitales Basilea II, cuyo cumplimiento está previsto para todos los bancos con operaciones internacionales, establece diferentes formas para calcular el capital inmovilizado que deben mantener ante los riesgos crediticios, de mercado y operacionales. Por su parte, Basilea III introduce cambios más estrictos aunque se disponen de varios años para su entrada en vigencia. Los riesgos operacionales juegan un papel importante en el monto regulatorio, que puede reducirse gracias a una adecuada gestión de riesgos. La Seguridad de la Información bajo las normas ISO 27002/27001 es una herramienta clave para la gestión de una gran parte de los riesgos operacionales, como componentes del capital a inmovilizar. |
|
La continuidad de las operaciones de una empresa depende en gran parte de la concientización de la alta gerencia respecto de potenciales desastres, así como de su habilidad para desarrollar y gestionar un plan que minimice las interrupciones de las funciones críticas y la capacidad de recuperación rápida y eficiente de las operaciones correspondientes. El análisis de los impactos y la valuación de riesgos constituyen dos de las herramientas básicas de la gestión de continuidad de los negocios, apoyado entre otros por planes de recuperación de servicios IT y recuperación de desastres. Otro punto importante es el adecuado balance de la relación costo-beneficio en cuanto a la elección de las estrategias de gestión de riesgos e impactos. |
|
El análisis de un proyecto a nivel corporativo se hace con ventajas bajo el enfoque del llamado business case o caso de negocios, que va más allá de un plan financiero. Este curso presenta una serie de interrogantes donde cada respuesta busca contribuir a la preparación, apuntalamiento y potenciamiento de un business case para ser presentado a decisores y a la alta gerencia, y lograr su aprobación. Como caso especial, se revisa un proyecto de seguridad que, si bien tiene una parte técnica importante, necesita complementarse con un enfoque como el del business case adecuado a la alta gerencia. |
|
Todos los días surgen noticias y prevenciones tácticas de nuevos ataques de hackers, virus, malware, etc. en los sistemas internos de las empresas, en Internet, y en la nube. Más complejas quizás pero más efectivas y con mayor cobertura son las soluciones estratégicas. Este enfoque no es para un tipo determinado de amenazas en particular sino que puede cubrir un amplio espectro del aseguramiento de la información de negocios. En este curso se plantea una serie de preguntas que conducen a técnicas o modalidades de las más avanzadas que mejoran y potencian el aseguramiento de la información de negocios, y que se desarrollan tanto teórica como prácticamente en cursos específicos. |
| Home | Charlas | Cursos | Artículos | Documentación | Artículos L&W | Resúmenes |
