Hacker, amenaza en la red: cómo protegerse

La norma ISO 27001

Las noticias de ciberataques llevados a cabo por piratas informáticos (hackers)  contra todo tipo de empresas, en especial aquellas que maneja datos informáticos de los cuales se puede hacer un uso fraudulento o pernicioso, ocupan frecuentemente las portadas de diarios y programas de televisión. Una de las mejores formas de diseñar e implantar un sistema para gestionar eficazmente la seguridad de la información es con la adopción de la norma ISO 27001.

La norma ISO 27001 es una norma internacional de carácter certificable emitida por la Organización Internacional de Normalización (ISO) que básicamente describe cómo gestionar la seguridad de la información en una empresa. La revisión más reciente de esta norma fue publicada en 2013 y ahora su nombre completo es ISO/IEC 27001:2013. La primera revisión se publicó en 2005 y fue desarrollada en base a la norma británica BS 7799-2.

Ejes básicos de la norma

La ISO 27001 nace con el objetivo de proteger la confidencialidad, integridad y disponibilidad de la información en una empresa. Para lograrlo, la norma plantea una investigación inicial para detectar cuáles son los potenciales problemas que podrían afectar la información, es decir la evaluación de los riesgos. A continuación, se deben definir las acciones más idóneas para evitar que estos problemas se produzcan o, al menos, se mitiguen al máximo.

Las seguridad de la información según la norma ISO 27001 se fundamenta en los siguientes aspectos:

• Protección contra el código malicioso.
• Establecimiento de un sistema de copias de seguridad.
• Gestión de las redes.
• Gestión de soportes.

Protección contra el código malicioso

El código malicioso son básicamente los virus y troyanos, capaces de borrar información importante y hacer funcionar deficientemente e incluso inutilizar el sistema informático. Ante este gran peligro no basta solamente con usar sistemas antivirus, es necesario poner en marcha acciones constantes de prevención, detección y recuperación de la información.

Las principales líneas de actuación en este sentido son:

• Establecer una política para cumplir con las licencias de software y para prohibir cualquier software malicioso que no esté autorizado.
• Definir controles de acceso a la información.
• Revisar periódicamente el sistema.
• Instalar un sistema de antivirus eficaz y actualizado.
• Definir procedimientos sobre el uso del antivirus y formar al personal adecuadamente.

Copias de seguridad

Una de los aspectos básicos en materia de seguridad que deben llevar a cabo las empresas es el desarrollo de una política que defina exhaustivamente el procedimiento de realización de copias de seguridad de la información. Las copias realizadas deben pasar por un proceso que verifique que se han realizado correctamente, y además deben ubicarse en un lugar distinto a las originales para evitar que ambas se vean afectadas por un mismo problema.

Gestión de la seguridad en redes

La gestión de la seguridad en redes establece una serie de controles que certifican la confidencialidad e integridad de la información que circula por la web y otros soportes digitales que son responsabilidad de una empresa u organización.

El principal objetivo de esta gestión es evitar que los activos de la entidad puedan ser vistos o usados por personal no autorizado y existen dos procedimientos básicos para lograrlo:

• Implantar  una serie de acciones y protocolos para proteger la información.
• Definir responsabilidades para el personal que se va a encargar de administrar las redes.

Gestión de soportes

Es fundamental que las organización tenga creados unos determinados procedimientos para la gestión de soportes digitales, los cuales han de contemplar como mínimo:

• La protocolos de almacenamiento de una forma segura de los tipos diferentes de soporte que se usen en la organización.
• La creación de un registro de los soportes portátiles de la entidad, incluyendo: tipo de información que contienen, uso y la fecha de retirada.

La Plataforma ISOTools facilita la automatización de la ISO 27001

El Software ISO para la norma ISO 27001 ofrece soluciones para todas los problemas que pueden darse durante la implementación de un Sistema de Gestión de Seguridad de la Información en cualquier organización. Por otro lado, la Plataforma Tecnológica ISOTools también permite aplicar los requisitos de otras normas de Seguridad de la Información, como PMG SSI de los Servicios Públicos de Chile.