Auditoría de gobierno y plan de seguridad

La prioridad de las empresas es reaccionar ante las amenazas de seguridad y la interrupción de actividades para proteger y preservar sus activos críticos ante fallos o vulnerabilidades. Para ello, tan importante es identificar las recomendaciones más adecuadas, como planificar quién, cuándo y cómo se podrán llevar a cabo de una manera realista y coherente con el resto de actividad de la organización. A esta planificación la llamaremos plan de seguridad.

El objetivo del plan de seguridad es organizar los proyectos que vamos a abordar tanto técnicos como de contenido legal y organizativos. Así, habrá proyectos de instalación de productos, de delegación de servicios, de cumplimiento con las leyes de privacidad, de formación a los empleados o de puesta en marcha de procedimientos y políticas internas.

De manera general, la implantación plantea los siguientes objetivos:

1. Crear un marco de trabajo en materia de seguridad.
2. Definir los proyectos a realizar, a corto, medio y largo plazo.
3. Establecer y formalizar procedimientos de gestión de la seguridad.

Teniendo en cuenta diversos factores relacionados como:

1. El tamaño de la organización.
2. El nivel de madurez en tecnología.
3. Los recursos disponibles.
4. Otros aspectos organizativos.

Los expertos de SCASSI le ayudan en la implantación de un plan de seguridad inspirado en la norma ISO 27001 y el marco CIS Controls. Esto implica revisar la evolución de los esfuerzos de la organización en materia de ciberseguridad y actualizar el inventario de riesgos críticos en función de la situación real de la organización.

A partir de ahí, realizamos una aproximación al plan director de seguridad consistente en las siguientes etapas.

1. Fase 1: Formalización del comité de seguridad de la organización (si no se ha hecho).

2. Fase 2: Contexto de la organización y liderazgo: Comprensión del perímetro de la organización afectado por el plan de seguridad, en función de la necesidad estratégica del negocio.

3. Fase 3: Comunicación e información a todos los departamentos de la empresa de la creación del comité de seguridad, y su justificación.

4. Fase 4: Selección de los proyectos de seguridad, determinación de su prioridad, planificación de sus fechas, objetivos y recursos asignados.

5. Fase 5: Creación de un panel de indicadores para mantener un estado informado del avance del plan de seguridad.