Seguridad informática y ciberseguridad para Directivos

26 Oct Seguridad informática y ciberseguridad para Directivos

Publicado el 10:34h en Articles, Auditoria TI, Blog, Director de Sistemas, Dirigido a gerentes y directivos por LV. Interim Manager

Este post nace por la reciente reunión con una serie de directivos, de un grupo de 6 empresas, donde me han contratado analizar y proponer las mejoras convenientes en la Seguridad informática y ciberseguridad a nivel global.

No es habitual que un grupo de directivos con sus apretadas agendas, con sus reuniones, con sus prioridades y proyectos, saquen un hueco para preocuparse por la seguridad informática. Más cuando se dispone de un departamento TI y un responsable muy capaz y preparado. Fue un momento que agradecí sobre manera porque me transmitió, junto con otros trabajos de auditoria de seguridad, hacking ético etc que estoy llevando, que los directivos comienzan a estar más sensibilizados por este tema.

Seguridad informática y ciberseguridad

Las razones pueden ser muchas, desde que el uso del BYOD está cada vez más desplegado, las noticias cada día nos muestran un ataque DDOS o similar que paralizan una empresa, las tecnologías están cada día más en las manos de todos los usuarios, así como la información privilegiada, confidencial y de alto nivel estratégico debe ser más protegida que nunca, parece haber, por fin, una ola de concienciación de aquello que en otros post comente como “el riesgo consciente de mirar a otro lado”

Básicamente la Seguridad informática y ciberseguridad para Directivos es un concepto tan amplio que el directivo, en muchas ocasiones, desconoce cómo enfocarlo. Por un lado, si se dispone de un departamento TI, este está muy ocupado en otras tareas, no tiene tiempo en ocasiones para abordar proyectos de este tipo. En otras, el directivo quiere alguien externo (Interim Manager TIC) que pueda aportarle tanto la experiencia en otras situaciones muy parecidas, como que aporte la objetividad de alguien que no está inmerso en una organización concreta, cuya opinión estratégico-objetiva-profesional sea independiente y justa, aportando no solo la visión de los riesgos reales que la empresa tiene sino de ofrecer las mejores soluciones más allá de marcas, amiguismos y lo que en otras empresas ocurre que denomino “endogamia empresarial”, es decir, que la visión cerrada del grupo que forma la empresa puede ser sesgada por intereses, cultura, alcance, disponibilidad, etc

Desde mi punto de vista, con las reuniones que estoy manteniendo en los últimos meses, existen 5 preocupaciones que, por fin, el directivo está recapacitando que le llevan a pensar en que alguien externo se debe preocupar por la seguridad de su empresa:

Que nadie pueda acceder a la información privilegiada de la empresa y si se hiciera quede rastro y trazabilidad de quien, cuando, desde donde, y como. Esto además, como este jueves iré a un cliente, puede ser incluso la única forma de demostrar que un trabajador lo ha hecho ante una sanción o un posible conflicto legal con el mismo.
Que los sistemas están protegidos o por lo menos se aplican las buenas prácticas de seguridad informática. Este concepto relacionado con la “continuidad de negocio” me lo planteaba un grupo de hoteles de Lanzarote.
Que los sistemas de información estén protegidos ante intrusos, que nadie va a acceder desde fuera y si lo hace podrá ser detectado y detenido. Este concepto tan relacionado con mis auditorias de Hacking Ético, son fundamentales para poder asegurar a clientes, proveedores, inversores o la propia tranquilidad de la empresa que los accesos expuestos a Internet son seguros y cumplen con las buenas practicas.
Que los CPD que estén hospedados en terceras instalaciones son seguros e igualmente cumplen con todo lo anterior.
Marco legal. Dado que el concepto de “Compliance” está llegando cada día más a las empresas, el disponer de procedimientos, herramientas, etc que aseguran el marco legal, por ejemplo LOPD y LSSI, es fundamental. Cuantas empresas aún desconocen el alcance legal de la LSSI y la LOPD.

Conclusión

Tengo la impresión que por fin las empresas están despertando de su letargo y de su “complacencia” o “consciente despreocupación” de algo tan fundamental como es la Seguridad informática y ciberseguridad de sus empresas que les ayudan fundamentalmente a: