Gestión estratégica de seguridad en la empresa - Anetcom

98
económicos. Por ello, es fundamental que el inventario se base en los procesos
de negocio que desarrolla la organización, en las actividades que en ella
se realizan, e incluir todos los recursos en que se apoya la organización para
la ejecución de los procesos. Las tareas de inventario no se limitan simplemente
a la recolección de información; se requiere que identifiquen y marquen
los vínculos que existen entre los diversos activos identificados, y que
condicionan cómo quedan protegida en cada activo la confidencialidad de la
información que maneja el activo, su integridad o su disponibilidad.
A continuación, el Sistema de Gestión realiza un análisis de riesgos sobre los
activos identificados en la fase de inventario. No se abundará aquí en la descripción
de qué es un análisis de riesgos, diferencias entre análisis cualitativo
y cuantitativo, o metodologías de análisis de riesgos existentes. Sí se debe
tener en cuenta que el análisis de riesgos de un SGSI busca conocer cuál es
estado de seguridad real de cada activo y el porqué de dicho estado: qué
aspectos motivan que sea mejor o peor, qué activos “arrastran” por su mal
estado de seguridad a otros, etc. Es decir, conocer la realidad actual de la
organización en materia de seguridad de la información, para poder aportar
su mejor valor, el valor de corrección de los problemas de seguridad que realmente
existen. Y la detección y valoración sistemática de dichos problemas,
de forma que se tenga que depender de la intuición del responsable de seguridad.
A la conclusión del análisis de riesgo, cada activo tiene identificado su nivel
de seguridad. Su “nota” de seguridad. En este momento, el sistema está en
condiciones de identificar los riesgos principales de la organización y sus
activos en situación de mayor riesgo, y la forma de controlar estos puntos
débiles. La respuesta a esta información se plasma en el documento de selección
de controles, que identifica:
• Los riesgos que ya están siendo adecuadamente tratados y que no requieren
de más actividades en este momento.
• Los riesgos que se van a tratar y la forma en que se va a realizar dicho tratamiento,
detallando las medidas concretas que se implantarán, cómo se
va a medir su efectividad y los recursos que requieren para su implantación.
Esta información constituye el plan de acción de la organización,
para la mejora de seguridad.