ens-iso-infordisa

Recentment el BOE ha publicat el RD 43/2021 de seguretat de les xarxes i sistemes d’informació indicant així a les empreses essencials l’obligatorietat de tenir un Responsable de la Seguretat de la Informació (RSI), també coneguda com Chief Information Security Office (CISO), com a la persona experta en la protecció dels sistemes d’informació de les empreses, tindrà les competències per elaborar i supervisar les polítiques de seguretat i les mesures tècniques i organitzatives a implantar a l’organització.

Així doncs, les empreses essencials han d’implementar un Sistema de Gestió de la Seguretat de la Informació (SGSI) i és el Responsable de la Seguretat de la Informació l’encarregat d’operar-lo i gestionar-lo.

Actualment existeixen diferents normatives o marcs reconeguts que regulen un SGSI, com és la ISO/IEC 27001 o l’Esquema Nacional de Seguretat (ENS) en el qual certifiquen aquestes polítiques i mesures tècniques i organitzatives.

Perquè hi hagi una implantació d’un SGSI garantint la seguretat de la informació de les nostres dades recomanem:

  • Sponsors interns: és important el suport total de la junta directiva que impulsi totes les polítiques i normes que s’hauran d’aplicar, i sobretot els costos que pot implicar aventurar-se en un projecte com aquest.
  • A qui involucrem en el Comitè de Seguretat TIC? Com serà l’encarregat de prendre les decisions transcendentals en matèria de seguretat a l’organització que afectaran a tot l’organisme, és recomanable que sigui un comitè interdisciplinari amb les diferents àrees responsables d’àrea fent èmfasi amb els departaments legals, financers, operació/producció, RRHH, seguretat física i òbviament, Informàtica.
  • Elaborar una política de seguretat i normes de seguretat que siguin personalitzades a l’organització:
    • Seguretat per Defecte: Els sistemes es configuraran per a proporcionar les funcionalitats mínimes requerides perquè la persona i l’organització assoleixin els seus objectius.
    • Zero Trust o Confiança zero: Tot element del sistema que no hagi sigut configurat i estigui configurat per nosaltres, haurà de ser tractat com una amenaça.
    • Mínims privilegis: els usuaris i sistemes disposaran dels mínims privilegis i accessos per a l’operativa diària, i s’implementaran els processos d’autorització necessaris per a tasques fora dels habituals.
  • GAP Analisys, anàlisis d’insuficiències inicials, hem de ser molt objectius en aquest punt per evitar desviacions i possibles sobre costos. Amb aquest anàlisis tindrem una serie tasques i projectes a implementar i assignar-ho correctament a la persona adequada.
  • Definir una matriu RACI i establir sessions de controls trimestrals per al seguiment dels projectes identificats.
  • Escollir un bon software i metodologia de Gestió de Riscos i formar-se molt bé en aquest, doncs l’estratègia a escollir per a protegir els nostres sistemes, han d’estar basada en els riscos obtinguts.
  • Seguretat integral a tota l’organització: un SGSI es recolza en la comprensió i l’acceptació de les diferents polítiques i normes de seguretat per part de tota l’organització i treballadors. Comunicar-les i fer-les arribar de la forma adequada a tots els usuaris serà la clau de l’èxit d’aquest projecte.
  • Definir un bon calendari d’auditories tècniques i normatives per garantir que les diferents mesures i controls que s’hauran anat implementant segons el Pla, es mantenen i estan en el grau de maduresa requerit.
A Infordisa disposem d’un departament especialitzat en la implementació de Sistemes de Gestió de la Seguretat certificables per la ISO/IEC 21001 i l’Esquema Nacional de Seguretat (ENS).

Vols més informació dels nostres serveis en ciberseguretat?

 

Deixa un comentari

L'adreça electrònica no es publicarà. Els camps necessaris estan marcats amb *

Aquest lloc utilitza Akismet per reduir els comentaris brossa. Apreneu com es processen les dades dels comentaris.