Este documento describe la importancia de la seguridad de la información para las empresas y la necesidad de políticas formales de seguridad. Explica que la seguridad de la información no es solo un tema tecnológico, sino que depende del compromiso de toda la organización. También resalta la importancia de identificar los activos de información valiosos, las amenazas, vulnerabilidades y riesgos asociados, y establecer políticas de seguridad acordes a estándares internacionales para proteger adecuadamente la información de la empresa.

1. SEGURIDAD DE LA
INFORMACION
Políticas de seguridad

2. Porqué hablar de la Seguridad
de la Información?
♦ Porque el negocio se sustenta a partir de la
información que maneja.....

3. Entorno
Sistemas de
Información
Estrategia de
negocio
Funciones y procesos de
negocio
ACTIVIDADES DE LA EMPRESA
Planificación de
Objetivos
Diseño y ejecución de
acciones para conseguir
objetivo
Control (de resultados de
acciones contra objetivos)
Registro de
transacciones
Transacciones
ORGANIZACION

4. ♦ Porque no sólo es un tema Tecnológico.
♦ Porque la institución no cuenta con
Políticas de Seguridad de la Información
formalmente aceptadas y conocidas por
todos.

5. CULTURA de la seguridad ,
responsabilidad de TODOS
ACTITUD proactiva,
Investigación permanente

6. ♦ Porque la seguridad tiene un costo, pero la
INSEGURIDAD tiene un costo mayor.
“Ninguna medicina es útil a menos que
el paciente la tome”
¿ Entonces, por donde partir?........

7. Reconocer los activos de
información importantes para la
institución..
♦ Información propiamente tal : bases de datos,
archivos, conocimiento de las personas
♦ Documentos: contratos, manuales, facturas,
pagarés, solicitudes de créditos.
♦ Software: aplicaciones, sistemas operativos,
utilitarios.
♦ Físicos: equipos, edificios, redes
♦ Recursos humanos: empleados internos y externos
♦ Servicios: electricidad, soporte, mantención.

8. Reconocer las Amenazas a que
están expuestos...
♦ Amenaza:” evento con el potencial de afectar
negativamente la Confidencialidad, Integridad o
Disponibilidad de los Activos de Información”.
♦ Ejemplos:
– Desastres naturales (terremotos, inundaciones)
– Errores humanos
– Fallas de Hardware y/o Software
– Fallas de servicios (electricidad)
– Robo

9. Reconocer las Vulnerabilidades
♦ Vulnerabilidad: “ una debilidad que facilita
la materialización de una amenaza”
♦ Ejemplos:
– Inexistencia de procedimientos de trabajo
– Concentración de funciones en una sola
persona
– Infraestructura insuficiente

10. Identificación de Riesgos
♦ Riesgo: “ La posibilidad de que una
amenaza en particular explote una
vulnerabilidad y afecte un activo”
♦ Que debe analizarse?
– El impacto (leve ,moderado,grave)
– La probabilidad (baja, media, alta)

11. Contexto general de seguridad
PropietariosPropietarios
valoran
Quieren minimizar
SalvaguardasSalvaguardas
definen
Pueden tener
conciencia de
Amenaza
s
explotan
Vulnerabili
dades
Vulnerabili
dades
Permiten o
facilitan
DañoDaño
RECURSOSRECURSOSQue pueden
tener
Reducen
RIESGORIESGO

12. Principales problemas:
♦ No se entienden o no se cuantifican las amenazas
de seguridad y las vulnerabilidades.
♦ No se puede medir la severidad y la probabilidad
de los riesgos.
♦ Se inicia el análisis con una noción preconcebida
de que el costo de los controles será excesivo o
que la seguridad tecnológica no existe.
♦ Se cree que la solución de seguridad interferirá
con el rendimiento o apariencia del producto o
servicio del negocio.

13. Estándares de Seguridad
♦ Normas Internacionales de seguridad
– Proporcionan un conjunto de buenas prácticas en
gestión de seguridad de la información:
– Ejemplos ISO/IEC 17799,COBIT,ISO 15408
♦ Se ha homologado a la realidad Chilena NCh2777
la ISO 17799 que tiene la bondad de ser
transversal a las organizaciones , abarcando la
seguridad como un problema integral y no
meramente técnico.
♦ Ley 19.233 sobre delitos informáticos.
♦ Ley 19.628 sobre protección de los datos
personales.
♦ Ley 19.799 sobre firma electrónica

14. ¿Qué es una Política?
♦ Conjunto de orientaciones o directrices que
rigen la actuación de una persona o entidad
en un asunto o campo determinado.
¿Qué es una Política de
Seguridad?
♦Conjunto de directrices que permiten
resguardar los activos de información .

15. ¿Cómo debe ser la política de
seguridad?
♦ Definir la postura del Directorio y de la gerencia
con respecto a la necesidad de proteger la
información corporativa.
♦ Rayar la cancha con respecto al uso de los
recursos de información.
♦ Definir la base para la estructura de seguridad de
la organización.
♦ Ser un documento de apoyo a la gestión de
seguridad informática.
♦ Tener larga vigencia , manteniéndose sin grandes
cambios en el tiempo.

16. Conclusiones
♦ La Información es uno de los activos mas valiosos
de la organización
♦ Las Políticas de seguridad permiten disminuir los
riesgos
♦ Las políticas de seguridad no abordan sólo aspectos
tecnológicos
♦ El compromiso e involucramiento de todos es la
premisa básica para que sea real.
♦ La seguridad es una inversión y no un gasto.
♦ No existe nada 100% seguro
♦ Exige evaluación permanente.