Gestión estratégica de seguridad en la empresa - Anetcom

28
1. Definición del equipo de redacción y de aprobación.
2. Desarrollar la política general.
3. Definición de la estructura.
4. Análisis de la integración con otras normas.
5. Definición de los temas de seguridad a incluir en normativa.
6. Definición del esquema de cada documento.
7. Desarrollar las normas.
8. Desarrollar los procedimientos.
9. Desarrollar las instrucciones de trabajo.
10. Aprobar el contenido en sus distintos niveles.
11. Definir el método de difusión y mantenimiento permanente.
12. Definir el método de “premios y castigos”.
13. Implementar la normativa.
14. Ejecutar los mecanismos de actualización.
Como resalte, es importante destacar que la aprobación de la Política de
Seguridad y de su cuerpo normativo asociado es uno de los puntos más complejos
dentro del ciclo de vida de la misma, dado que implica la necesidad
de alcanzar un consenso entre todos los implicados en su redacción. Esta
aprobación además suele aflorar derivadas no contempladas, como por ejemplo
la dificultad de que alta dirección preste su apoyo en algo que, si no se ha
transmitido apropiadamente, puede ser percibido como “inhabilitación” de
los procesos productivos o de negocio.
La estructura y papel de las áreas de Seguridad de la Información también
está sufriendo una evolución paralela a este proceso de madurez, similar a
la experimentada por las áreas de Recursos Humanos, que comenzaron
como áreas de “Personal” adscritas a Apdos. Financieros (personal como
coste), actualmente son generalmente denominadas “Recursos Humanos”
(personal como recurso), existiendo una clara tendencia hacia la evolución
a áreas de “Capital Humano” (personal como activo que aporta
valor).
De esta forma, aunque la seguridad ha sido históricamente adscrita a las
áreas de informática o TI, se está observando una tendencia creciente a
situarla como un área de staff, en dependencia directa de la alta dirección,
similar a las de Calidad o Recursos Humanos y cuya función es horizontal
a toda la organización (dado que desde su nicho dentro de TI le ofrecía