Quiero empezar a implantar ciberseguridad en mi empresa ¿por dónde empiezo?
Seguramente no partas de 0 en el momento de implantar la ciberseguridad, lo más probable es que ya tengas implantadas diferentes medidas tecnológicas (antivirus, firewalls, gestión de identidades, etc.) y no tecnológicas (normativas, cláusulas de confidencialidad, etc.), lo importante en este punto es conocerlas y determinar su nivel de madurez. A su vez, dispondrás de medidas organizativas, legales y de compliance. Todas ellas forman de alguna manera imbricadas entre si el Marco de Control y Gobierno de la Organización que la Alta Dirección y sus Directivos deben y tienen la responsabilidad de hacer cumplir y dotar de Medios y Recursos para ello.
Para ello hay que llevar a cabo una auditoria del estado de la ciberseguridad y/o proceso de calificación o rating que ayuden a analizar la madurez y estado de la Organización y que, al menos y como mínimo debe recoger los siguientes puntos:
- Procesos (negocio, RRHH, contratación, desarrollo, ciberseguridad, etc.).
- Personal (equipos e implicación).
- Herramientas (medidas tecnológicas).
Hay que establecer el nivel de madurez de estos siendo los niveles los siguientes:
- 0 - Inicial (No existe)
- 1 - Gestionado (Existe, pero no está documentado)
- 3 - Definido (Existe y está documentado)
- 4 - Gestionado cuantitativamente (Existe, está documentado y se tienen indicadores que miden su eficacia)
- 5 - Optimización (Existe, está documentado, se tienen indicadores que miden su eficacia y se revisa periódicamente para establecer mejoras en función de dichos indicadores)
¿Cómo aumento la madurez?
Generalmente tras una auditoria y conociendo el estado de la ciberseguridad desde el que se parte, se puede establecer un plan de mejora de la ciberseguridad, comúnmente conocido como Plan Director de Ciberseguridad, compuesto de Acciones, Proyectos, Hitos y Presupuestos.
Este plan debe actuar como mínimo en los tres puntos indicados anteriormente (procesos, personas y tecnologías y herramientas) estableciendo el nivel de madurez desde el que se parte y el que se quiere conseguir.
Este plan debe establecer una serie de líneas de actuación y unas actividades concretas para cada línea.
Como estás viendo, estos planes son complejos y se necesita tiempo para llevarlos a cabo por lo que deben desarrollarse por personal especializado y estar planificados tanto a corto lo más urgente (12 a 18 meses), a medio (19 a 36) y a largo plazo (entre 3 y 5 años).
¿Necesito a alguien concreto para encargarse de la ciberseguridad?
Sí efectivamente debe existir el rol, ahora bien, dependiendo del tamaño de la organización no tiene porqué contratar a alguien específicamente para el encargo. Pero si al menos un Servicio Externo o Coordinación con los CSIRT que ayude y tenga los conocimientos y experiencia necesarios.
Lo que si hay que garantizar es que la persona que recoja el encargo tenga independencia del resto de áreas (incluyendo la operación de la ciberseguridad) para establecer estrategias, auditar la ciberseguridad, tomar decisiones y pueda informar con libertad a la alta dirección. Debería y es aconsejable forme parte del Comité de Dirección. Esta figura se denomina CISO (Chief Information Security Officer). Y recientemente en el seno del Foro Nacional de Ciberseguridad se ha creado un Esquema para estos Responsables de Ciberseguridad donde encontraremos los Objetivos, Funciones, Perfil, Competencias, etc.
Esto es muy complejo y yo necesito algo para poder hacer ya, ¿qué hago?
Empieza desarrollando una Política de Seguridad de la Información para tu empresa. Este documento definirá las bases y directrices que se deben cumplir en materia de ciberseguridad en toda la compañía sin excepción. Puedes ayudarte con alineamiento a normas de referencia como ISO27001/2 o Legislación como el ENS (Esquema Nacional de Seguridad).
Además, puedes hablar con las diferentes áreas de negocio para introducirles a la ciberseguridad y a una actividad inicial y básica para la introducción de la ciberseguridad en cualquier proceso: el análisis de riesgos, el cual permite implantar la ciberseguridad desde diseño y por defecto y además tener en cuenta a su vez la Privacidad de Datos y el Gobierno de los mismos.
Trata de que se haga un análisis de riesgos de todos los procesos que se realicen en la empresa. Con esto conseguirás identificarlos, los responsables de estos, el nivel de importancia que se le da en la empresa, seleccionar los principales riesgos que puedan tener y empezar a poner medidas para reducir el riesgo.
¿Y con esto está todo?
No, al área que se encargue de la ciberseguridad hay que dotarla de suficientes recursos humanos tecnológicos y económicos teniendo en cuenta la evolución constante de las amenazas y vulnerabilidades ya que son dinámicas y cambiantes.
El equipo debe contar con personal profesional cualificado, que marque la estrategia de la empresa en materia de ciberseguridad. Servicios de apoyo externo y Herramientas, además de un Plan de Concienciación, Formación y Capacitación constante que vaya aumentando su Talento.
¿Este equipo tiene que ser interno o externo?
Todos estos equipos pueden formarse con personal interno, si está debidamente formado y cualificado, o con la contratación de un tercero. O mixtos.
