Componentes clave de un programa de seguridad de la información

## Esta información es buen complemento de la clase ordenado en 5 Componentes clave: **1. Gobierno y gestión:** * **Política de seguridad:** Define los objetivos y responsabilidades de la empresa en materia de seguridad. * **Marco de gestión de riesgos:** Identifica, evalúa y mitiga los riesgos de seguridad. * **Comité de seguridad:** Supervisa la implementación y el cumplimiento del programa de seguridad. **2. Protección de activos:** * **Control de acceso:** Define quién tiene acceso a la información y los recursos. * **Clasificación de la información:** Categoriza la información según su sensibilidad. * **Protección de datos:** Implementa medidas para proteger la información confidencial. **3. Seguridad de la infraestructura:** * **Seguridad de redes:** Protege la red informática de accesos no autorizados. * **Seguridad de endpoints:** Protege los dispositivos de los usuarios, como computadoras y teléfonos móviles. * **Seguridad de aplicaciones:** Desarrolla y asegura aplicaciones web y móviles. **4. Seguridad de las operaciones:** * **Gestión de incidentes:** Define cómo responder a los incidentes de seguridad. * **Continuidad del negocio:** Garantiza la continuidad de las operaciones en caso de un desastre. * **Concientización y capacitación:** Educa a los empleados sobre las mejores prácticas de seguridad. **5. Monitoreo y mejora:** * **Monitoreo de la seguridad:** Supervisa la red y los sistemas para detectar amenazas. * **Análisis de registros:** Investiga los incidentes de seguridad y aprende de ellos. * **Mejora continua:** Revisa y mejora el programa de seguridad de forma regular.

Referencias gubernamentales. Normas de la Industria. Prácticas secundarias, estándares y buenas prácticas de la comunidad de expertos. Diez elementos clave: 1. Políticas de seguridad, de ellas se deprenden los procedimientos. 2. Gestión de riesgos. Priorizar y gestionar la seguridad de la información. Cuánto invertir por el valor de ella. 3. Controles de acceso. Como el criterio de mínimo privilegio. 4. Concienciación y formación de las personas. 5. Respuesta a incidentes. Preparar al equipo para atender las incidencias del negocio. Cuáles son los riesgos más probables y prepararse para afrontarlos. 6. Recuperación ante desatres y continuidad del negocio. Proteger vidas y activos de la organización. Cómo se crea el plan de contingenica, cuántas presonas hacen falta. 7. Seguridad física. Quién tiene acceso a dónde y a qué hora. 8. Cumplimiento normativo. De acuerdo con la industria. 9. Gestión de vulnerabilidades. Entender las fallas de nuestros procesos, no solo del software. Las debilidades del software. 10. Seguridad en el ciclo de vida del desarrollo de software - SSDLC.

# 3. Componentes clave de un programa de seguridad de la información **3.1. Componentes claves** **3.1.1. Políticas de seguridad** Son las normas, directrices, la posición de la organización en como va proteger la información. **3.1.2. Gestión de riesgos** Un enfoque orientado a riesgos nos permite priorizar o comprender a lo que estamos expuestos. · ¿Qué tan sensible es la información? · ¿Cuál es su valor? · ¿Qué representa para la organización? De acuerdo a las preguntas anteriores que tanto debo invertir en controles para mitigar riesgos. **3.1.3. Control de accesos** Define quien tiene acceso a la información y los recursos. **3.1.4. Concienciación y formación** Se refiere al elemento más débil de una organización (Nosotros), debemos ser conscientes que la seguridad de la información debe ser parte del día a día. No divulgar datos sensibles de la organización a personas que no son de tu entorno laboral incluso del área que no los requiere. **3.1.5. Respuesta a incidentes** Nos ayuda a preparar, evitar y entender que son los riesgos, las fallas mas comunes que podemos tener y trabajar en ello. **3.1.6. Recuperación ante desastres y continuidad del negocio** La seguridad de la información busca darle continuidad al negocio, pero también proteger los activos de información y las personas. **3.1.7. Seguridad física** · Quien tiene permitido acceder a espacios. · Que tanto se quedan en los registros de seguridad el ingreso de estas personas. · ¿Quién?, ¿Cuándo?, ¿A qué hora?, tienen acceso del personal. **3.1.8. Cumplimiento normativo** Se debe tener en cuenta el criterio en el que se maneja el negocio y cuales son las leyes, reglamentos o los estándares que debemos cumplir. **3.1.9. Gestión de vulnerabilidades** Hay que entender las fallas en las que están expuestas nuestros procesos (No necesariamente tienen que ser software), Tener en cuenta el personal que entra a nuestra organización y cumplir con unos protocolos de seguridad como carnet, huella, etc. **3.1.10. Seguridad en el siclo de vida de desarrollo de software (SSDLC)** El requisito funcional debe ir acompañado con un requisito de seguridad, cual es el impacto que se expone la seguridad o los datos que va a manejar este software o el sistema.

Un programa efectivo de Seguridad de la información abarca unos componentes claves que garantizan el éxito en el objetivo de alcanzar una certificaicon, un cumplimiento de ley o simplemente demostrar que se siguen buenas practicas en el manejo de la seguridad de la información en tu empresa . A continuación se listan 10 componentes claves para la implemnteción de un programa de seguridad de la información , cabe a notar que no son los unicos . * Políticas de seguridad * Gestión de riesgos * Control de accesos * Concienciación y formación * respuesta a incidentes * Recuperación ante desastres y continuidad del negocio * Seguridad física * Cumplimiento normativo * Gestión de vulnerabilidades


**Poiticas de seguridad** Son las reglas del juego, determinan como se va a proteger la información, y definido esto crear los procedimientos para capacitación y manejo de los activos de la infomracíon en la organización Caracteristicas * Es un documento oficial * Aprobado por la alta gerencia * Debe ser comunicada a todo el personal * Su objetivo es Garantizar en la medida de la posible la disponibilidad, intergridad y confidencialidad de la informacion de la empresa * Establece roles y responsabilidadaes * Establece las consecuencias de su incumplimiento

**Gestión de riesgos** Un enfoque basado en riesgos, permite priorizar, entender y gestionar la seguridad de la información enfocandose en "Que tan sencible es una información y cual es su valor, que representa " de acuerdo a esto se podra determinar que tanto invertir en controles para mitigar el riesgo Caracteristcias * Identificar, medir, analizar y gestionar los riesgos * Establece controles de forma preventiva