Gestión estratégica de seguridad en la empresa - Anetcom

Recapitulando, los pasos que la Entidad ha recorrido en la senda hacia la
Gestión Estratégica de Seguridad son:
• Diseño, redacción y aprobación de la Política de Seguridad de la organización.
Este documento desgrana los objetivos estratégicos de la entidad
en materia de seguridad, y plantea el alcance de los mismos.
• Análisis de Riesgos de los procesos incluidos en el alcance de la Política
de Seguridad. Gracias a él, se conocen los activos que soportan los procesos
(conocimiento del entorno), así como las vulnerabilidades de las
que adolecen y las amenazas a las que se enfrentan.
En este punto, el objetivo es identificar y planificar las acciones, correctivas o
de mejora que permitirán reducir los riesgos identificados para los activos, y
luego plasmarlas y gestionarlas a través del Plan Director de Seguridad.
Muchos de los riesgos podrán ser reducidos mediante la aplicación de un único
control de baja complejidad (como por ejemplo, la implantación de un
sencillo antivirus). No obstante, en numerosas situaciones no bastará con una
actividad sencilla y habrá que diseñar proyectos específicos para afrontar riesgos
complejos (como el diseño e implantación de un Plan de Contingencias).
El principal sustrato de la elaboración de un Plan Director de Seguridad es
una colección de actividades, muchas de ellas con carácter complejo, que se
deberán abordar para alcanzar el objetivo de seguridad establecido a través
del umbral de riesgo. En síntesis, para cubrir cada uno de los riesgos que
deben ser controlados a través del Plan Director de Seguridad se proponen
un conjunto de líneas de acción, así como proyectos mediante los cuales
implementarlas.
Tras disponer de dicha colección de actividades y proyectos derivados, la
siguiente incógnita es el orden en el que se deberán acometer. Sin duda, la
mejor opción es priorizar las acciones en base a un único criterio maestro,
aunque luego se utilizarán otros que matizarán dicha ponderación. El criterio
base a la hora de planificar y priorizar el despliegue de los controles de seguridad
será el nivel de riesgo cubierto por el control. Asociada a cada línea de
acción se dimensiona también el beneficio cuantitativo obtenido tras su
implementación para cada dimensión de seguridad (confidencialidad/integridad/disponibilidad).
43