El documento trata sobre la seguridad de la información. Explica que la seguridad de la información implica el conjunto de medidas para proteger y salvaguardar los datos de una organización. También cubre los objetivos clave de la seguridad de la información como la integridad, confidencialidad y disponibilidad de los datos. Además, describe los tres tipos principales de información que manejan las organizaciones - crítica, valiosa y sensible - y que deben ser protegidos.

1. CIBERSEGURIDAD

2. SEGURIDAD DE LA
INFORMACIÓN
LA SEGURIDAD DE LA INFORMACIÓN ES EL CONJUNTO DE MEDIDAS Y
TÉCNICAS UTILIZADAS PARA CONTROLAR Y SALVAGUARDAR TODOS LOS
DATOS QUE SE MANEJAN DENTRO DE LA ORGANIZACIÓN Y ASEGURAR
QUE LOS DATOS NO SALGAN DEL SISTEMA QUE HA ESTABLECIDO LA
ORGANIZACIÓN. ES UNA PIEZA CLAVE PARA QUE LAS EMPRESAS PUEDAN
LLEVAR A CABO SUS OPERACIONES, YA QUE LOS DATOS QUE MANEJA SON
ESENCIALES PARA LA ACTIVIDAD QUE DESARROLLAN.
DE FORMA MAYORITARIA, LOS SISTEMAS DE LAS ORGANIZACIONES SE
BASAN EN LAS NUEVAS TECNOLOGÍAS, NO PODEMOS CONFUNDIR
SEGURIDAD DE LA INFORMACIÓN Y SEGURIDAD INFORMÁTICA QUE, SI
BIEN ESTÁN ÍNTIMAMENTE RELACIONADAS, NO SIENDO EL MISMO
CONCEPTO.

3. OBJETIVOS DE LA
SEGURIDAD DE LA
INFORMACIÓN
La información hay que tener en cuenta tres
aspectos fundamentales:
 INTEGRIDAD: Los sistemas que gestionan la información
tendrán que garantizar la integridad de la misma, es decir,
que la información se muestra tal y como fue concebida,
sin alteraciones o manipulaciones que no hayan sido
autorizadas de forma expresa; el objetivo principal es
garantizar la transmisión de los datos en un entorno
seguro, utilizando protocolos seguros y técnicas para evitar
posibles riesgos.
 CONFIDENCIALIDAD: La confidencialidad garantiza que
solo las personas o entidades autorizadas tendrán acceso a
la información y datos recopilados y que estos no se
divulgarán sin el permiso de forma correspondiente.
Los sistemas de seguridad de la información tendrán que
garantizar que la confidencialidad de la misma no se ve
comprometida en ningún momento.
 DISPONIBILIDAD: En este aspecto se garantiza la
información que se encuentra disponible en todo
momento para todas las personas o entidades autorizadas
para su manejo y conocimiento. Para esto deberán existir
medidas de soporte y seguridad que se puedan acceder a
la información cuando resulte necesario y que evite que se
establezcan interrupciones en los servicios.
Si partimos del hecho de que la
seguridad de la información
puede cambiar en función de
las características de cada
organización y del sector al que
dedique su actividad
económica, podemos hablar de
una serie de objetivos comunes
que comparten todas las
organizaciones del ámbito de la
seguridad de la información y
la protección de datos.

5. LA SEGURIDAD DE LA INFORMACIÓN SE HA CONVERTIDO EN UN ELEMENTO CLAVE PARA
EL FUNCIONAMIENTO DE LAS ORGANIZACIONES HOY EN DÍA, YA QUE TODAS ELLAS
MANEJAN DATOS PARA PODER LLEVAR A CABO SU ACTIVIDAD Y NECESITA GARANTIZAR
SU PROTECCIÓN E INTEGRIDAD SEGÚN LAS LEYES VIGENTES TAL COMO LO ES EL ART. 142
DE LA LEY DE INSTITUCIONES DE CRÉDITO QUE A LA LETRA DICE:
“Artículo 142.- La información y documentación relativa a las operaciones y servicios a
que se refiere el artículo 46 de la presente Ley, tendrá carácter confidencial, por lo que
las instituciones de crédito, en protección del derecho a la privacidad de sus clientes y
usuarios que en este artículo se establece, en ningún caso podrán dar noticias o
información de los depósitos, operaciones o servicios, incluyendo los previstos en la
fracción XV del citado artículo 46, sino al depositante, deudor, titular, beneficiario,
fideicomitente, fideicomisario, comitente o mandante, a sus representantes legales o a
quienes tengan otorgado poder para disponer de la cuenta o para intervenir en la
operación o servicio. Como excepción a lo dispuesto por el párrafo anterior, las
instituciones de crédito estarán obligadas a dar las noticias o información a que se
refiere dicho párrafo, cuando lo solicite la autoridad judicial en virtud de providencia
dictada en juicio en el que el titular o, en su caso, el fideicomitente, fideicomisario,
fiduciario, comitente, comisionista, mandante o mandatario sea parte o acusado. Para
los efectos del presente párrafo, la autoridad judicial podrá formular su solicitud
directamente a la institución de crédito, o a través de la Comisión Nacional Bancaria y
de Valores…”

6. Los sistemas de seguridad de la información deben ser capaces de gestionar
el riesgo existente y superarlo con el menor impacto para la organización, es
decir, tiene que ser capaces de garantizar la resiliencia de la organización y
sus sistemas de seguridad con lo que prevenir, evitar y solucionar cualquier
riesgo o ataque que se derive del tratamiento de la información y los datos.
Las organizaciones tienen que contar con soluciones tecnológicas adecuadas
que no solo aseguren la protección, sino que también permitan conocer en
todo momento el estado de dicha protección y que proporcionen las
herramientas necesarias para garantizar la continuidad de las organizaciones
y su actividad en caso de que sufran un ataque.

7. TIPOS DE INFORMACIÓN CON LAS QUE TRABAJARÍA CUALQUIER
ORGANIZACIÓN
Crítica
La información crítica es la que es
indispensable para el correcto
funcionamiento de la organización y sus
operaciones. La información crítica es la
que establece los beneficios de la
organización a medio y largo plazo, ya
que facilitará las ventas y el servicio al
cliente.
Conocer la información y los datos son
necesarios para establecer todos los
protocolos de seguridad necesarios para
su protección.
Valiosa
Es la información que la organización
siga adelante. Tiene un alto componente
subjetivo y lo que para una organización
es información valiosa, para otra puede
no serlo, ya que depende de la actividad
y el sector.
No toda la información y datos tienen el
mismo valor y las empresas deben
analizar cuáles son necesarios y cuáles
no para el funcionamiento de negocio.
Sensible
La información es sensible en el sentido
de que es información privada de los
clientes de la organización y, por lo
tanto, solo tiene que tener acceso a las
mismas personas autorizadas. Los
sistemas de seguridad de la información
tienen que garantizar la protección de
datos de los clientes.
EXISTEN 3 TIPOS DE INFORMACIÓN CON LAS QUE TRABAJA CUALQUIER ORGANIZACIÓN,
INDEPENDIENTEMENTE DE SU ACTIVIDAD O SECTOR, Y QUE TIENE QUE SER TENIDOS EN
CUENTA PARA REALIZAR A CABO UNA PROTECCIÓN DE DATOS ADECUADA:

8. FUGA DE DATOS
Pero, ¿Y qué es la fuga de datos?
El principio que nos ocupa en este caso es la confidencialidad. El principio de
confidencialidad define la fuga de información.
Llamamos fuga de información a la pérdida de la confidencialidad, de forma
que la información privilegiada sea accedida por personal no autorizado.
La información es el activo principal de cualquier compañía, independientemente del tamaño de
la misma, y como tal, es de vital importancia para la continuidad de negocio. Esa información
debe estar categorizada para su uso, no sólo por normativa legal (GDPR), sino también para
facilitar el trabajo con la misma.
Esta categorización vendrá definida por los tres principios básicos, que son:
CONFIDENCIALIDAD: Implica que la información es accesible sólo por el personal autorizada a la
misma. Por tanto, no todo el mundo tiene acceso a la misma información.
INTEGRIDAD: Es decir, que la información sea correcta.
DISPONIBILIDAD: La información debe estar disponible para aquellas personas que tengan
autorizado el acceso a la misma.

9. ORIGEN DE LA FUGA DE DATOS.
Para poder definir correctamente el origen de la fuga de datos, debemos
definir el carácter de la misma:
 Interna: Al hablar de origen interno, se hace referencia a que la fuga de
datos se ha producido desde la propia empresa. El usuario es el eslabón
más débil de la cadena de seguridad, por lo que desde la empresa se debe
trabajar en su correcta concienciación y formación. Pero debemos
diferenciar entre la motivación de la misma, puesto que ha podido deberse
a un fallo inconsciente o a una acción premeditada.
 Externa: Otro supuesto es que la es que la información haya sido sustraída
desde el exterior. En estos casos, se considera que se realiza de manera
intencionada, ya sea por razones económicas, venganza o daño a la
empresa entre otros motivos.
Se tiende a pensar que esta pérdida de confidencialidad es la consecuencia
de un ataque. Si bien puede ser uno de los motivos del mismo, existen
muchos otros por los que la información puede salir de la empresa.

10. CAUSAS DE LA FUGA DE INFORMACIÓN
Una vez delimitado el origen de la fuga de datos, podemos establecer las causas de la misma, que
se pueden diferenciar entre las causas de ámbito organizativo y las de ámbito tecnológico.
Como su nombre indica, las causas organizativas son responsabilidad de la empresa. La falta de
una correcta clasificación de información, ausencia de procedimientos o la falta de una correcta
formación son las principales causas por las cuales se produce la fuga de datos. Tanto si la causa es
intencionada como si es un “error humano”, se puede prevenir con, por ejemplo, una correcta
política de seguridad o mediante acuerdos de confidencialidad.
Las causas técnicas están también ligadas al usuario. La introducción de códigos maliciosos al
sistema de la empresa o el acceso ilimitado a la información de la misma son algunas de las causas
de la fuga de información. Otras a destacar son el uso de la nube y el uso de dispositivos propios
para el trabajo.
Ambas causas pueden ser controladas con, para empezar, una correcta clasificación de la
información y la limitación de accesos. Una correcta política de seguridad, con formación y
concienciación a todos los trabajadores reforzará el eslabón más débil de la cadena.

11. Consecuencias de la fuga de información
DAÑOS DE IMAGEN
Si la fuga de información
trasciende y se hace público, los
daños de imagen son una
consecuencia lógica.
La imagen de la empresa queda
dañada por falta de seguridad y
de confianza. Los clientes y
terceros ponen en duda la
fiabilidad de la empresa y
potenciales clientes pueden
rechazar la colaboración o el
servicio.
CONSECUENCIAS
ECONÓMICAS
Las consecuencias económicas están
muy ligadas a los daños de imagen.
Si la fuga de información llega a los
clientes o terceros con los que existen
relaciones laborales, estos pueden
rescindir el contrato, al igual que los
potenciales clientes.
Además, si la fuga de información se
ha producido por que la empresa no
ha implantado las medidas de
seguridad adecuadas, está podrá a
enfrentase a sanciones económicas
por incumplimiento de la normativa.
CONSECUENCIAS LEGALES
La información básica de una fuga de
información, así como la respuesta ante ella
desde la perspectiva ciber es válida y
complementaria para la parte legal.
Si la información objeto de la fuga tiene
datos personales se habla de “brecha de
seguridad” a efectos de la normativa de
protección de datos
Cuando se produce una brecha de
seguridad
 Existe obligación de comunicarlo
siempre “que sea probable que
constituya un riesgo para los derechos
y las libertades de las personas físicas”.
 Existe obligación de comunicarla
también a los afectados cuando
entrañe un alto riesgo para los
derechos y las libertades de las
personas físicas.
Las consecuencias de la fuga de información son una de las principales preocupaciones de
las empresas. La fuga de información puede conllevar grandes consecuencias, entre las que
cabe destacar:

12. La fuga de información no es un suceso inevitable, pero la
compañía debe delimitar todas las acciones posibles para evitar que
suceda. Y, en el caso que se produzca, limitar el daño que pueda
producir y actuar de la manera más rápida posible.