Gestión estratégica de seguridad en la empresa - Anetcom

una visión muy limitada del negocio y una capacidad de actuación más
reducida aún sobre áreas diferentes a TI).
Este nuevo papel no infiere automáticamente en que las habilidades del
personal de Gestión de Seguridad vayan a ser compatibles con su nueva
posición, sino que representará una importante dosis de esfuerzo para la
Dirección de Seguridad tradicional. Este nuevo responsable deberá contar
con nuevas habilidades y capacidades, acordes a sus nuevas responsabilidades
e imprescindibles para una relación armoniosa con otras áreas con
las que deberá tratar y hacer partícipes de su estrategia, como Calidad,
Dirección o Marketing.
Para conseguir la máxima integración de los objetivos de negocio con los de
seguridad es muy recomendable el establecimiento de un Comité de Seguridad,
cuya principal función será la toma de decisiones y gestión continuada
en todo lo tocante a la Seguridad de la Información, debiendo constituirse
como el órgano de gestión máximo en esta materia. Sus funciones y relevancia
se tratan de forma específica en diversas normas, especialmente en la ISO
17799:2005, por lo que, en mor de la brevedad, se recomienda al lector acudir
a esta fuentes para ampliar información.
Resumiendo de forma simplista la transición organizativa descrita previamente,
el papel que deberá desempeñar el responsable de seguridad estará condicionado
en gran medida por sí mismo y su capacidad, convirtiéndose en un
director en el que se confía, implicado en las decisiones de negocio, o en un
gestor técnico cuya labor es “mantener las luces encendidas y funcionando lo
más barato posible”.
◆
2.2. Gestión del riesgo: ¿Cuánto cuesta la seguridad?
Cualquier organización que se enfrente a la problemática de proteger sus
activos de información debe responder dos preguntas:
• ¿qué seguridad necesito?
• ¿cuánto me cuesta la seguridad?
A la primera de estas preguntas se responde a través de un trabajo de análisis
en el cual la organización reflexiona sobre la importancia de sus activos de
información y evalúa los requisitos de seguridad que ha de satisfacer.
29