Se ha establecido el tono, y ahora sabe que elaborar una SSP no es un fin en sí mismo, sino una respuesta a una necesidad real de hacer que su organización cumpla la normativa y sea más segura.
¿Cómo se elabora un PSSI coherente y aplicable?
La elaboración de una política de seguridad debe implicar a todos los actores de su empresa. Debe definir los perímetros y responsabilidades de todos los implicados, los recursos y medios financieros que necesita, y los objetivos e hitos que hay que cumplir para alcanzarlos.
Su objetivo es " proteger los activos físicos de la organización (servidores, ordenadores, redes, telefonía, aplicaciones informáticas, etc.), así como sus activos intangibles e intelectuales y los datos personales ", como recuerda la ANSSI en su guía para la elaboración de un PSSI.
Pero aunque esta definición pueda parecer genérica, en realidad La redacción de un SIP no puede hacerse sin conocer el negocio y las obligaciones de cumplimiento de la empresa. Una política aplicada sin tener en cuenta su impacto en la productividad de los empleados simplemente se eludiría con el tiempo. Por lo tanto, es importante limitar el funcionamiento de la empresa mediante normas de seguridad y buenas prácticas, pero en un marco de concertación previa con los equipos.
Si un comportamiento es arriesgado para la empresa pero obligatorio en el proceso de producción, ¿qué solución puede aportar? Esta situación es muy común en el sector sanitario, donde a veces los equipos funcionan con sistemas operativos que ya no reciben soporte y, por tanto, son vulnerables por definición. Como se utilizan según planes decenales, sencillamente no es posible cambiarlos. Lo mismo ocurre en los sectores energético e industrial. Antes de redactar su visión de la seguridad para la empresa, hágase la siguiente pregunta: "¿Es realmente aplicable?
Por tanto, el PSSI no debe ser dogmático ni egocéntrico. Debe ser coherente y aplicable a las limitaciones de la empresa.
Para ello, necesita integrar :
- Buenas prácticas en materia de seguridad de los sistemas de información.
- Las medidas, protocolos y normas de seguridad ya establecidos, que deben aplicarse y cumplirse, teniendo en cuenta el funcionamiento intrínseco de la empresa.
- Las vulnerabilidades y debilidades de seguridad de los activos en riesgo que no pueden modificarse, basándose en los resultados de un análisis de riesgos del sistema de información.
- Organizar la aplicación de esta política interna.
- El método para garantizar el seguimiento y las futuras modificaciones.
6 errores comunes que no debe cometer al redactar su PSI.
Para que su política de seguridad sea útil y aplicable, hemos elaborado una lista de errores comunes que conviene evitar.
1. Considerar que el ISSP sólo implica al CISO
La ISSP debe reflejar la estrategia de seguridad de los sistemas de información (ISS) de la empresa y no la visión del CISO. Para que una política interna se aplique en toda la empresa, debe venir de arriba. Baptiste David señala que La alta dirección debe comprometerse a que las normas establecidas en la ISSP sean normas que se apliquen en toda la empresa. De este modo, las normas de seguridad de los sistemas de información se convierten en una orden de la jerarquía y dejan de ser una petición del CIO o del CISO. "¡Y eso lo cambia todo!
2. Sólo para iniciados del ciberseguridad
No escriba su PSSI en jerga técnica. Al contrario. El documento debe ser accesible e inteligible, para que todos los implicados en la empresa puedan entender sus entresijos. Cuanto más claro sea su mensaje, más probabilidades tendrá de que todos se sumen a proteger la organización en su conjunto.
3. Olvidarse de definir los procesos
¿Quién valida el cumplimiento del PSSI? ¿Qué ocurre en caso de incumplimiento? ¿Qué se puede imponer dentro de los departamentos? Todas estas son preguntas que exigen definir procesos internos para garantizar su correcta aplicación.
4. No actualizar su PSSI
A medida que evoluciona su sistema de información, también lo hace su política de seguridad. ¿Tiene en cuenta su ISP las nuevas ciberamenazas, como los ataques de cadena de suministro ? ¿Es obligatoria la autenticación multifactor (MFA) para iniciar sesión en las aplicaciones de su empresa? ¿Qué medidas existen para garantizar la seguridad de los objetos conectados (IoT)? ¿Ha tenido en cuenta el fenómeno de las TI en la sombra y el uso de servicios de terceros no autorizados por el departamento de TI? ¿Autoriza el uso de equipos personales (teléfono móvil, tableta, ordenador personal) para acceder a la SI de la empresa? Por lo tanto, su PSI debe ser coherente con las prácticas reales de la empresa. Actualícelo con frecuencia y como mínimo al menos una vez al año, para evitar que se vea superado por los nuevos usos.
5. Olvido de nombrar responsables de la aplicación del PSSI
" Responsable pero no culpable así resume Baptiste David el papel del CISO. El CISO tiene un compromiso de medios, pero no de resultados. No puede ser considerado responsable de la aplicación en la empresa de las normas de seguridad descritas en el PSI. Su papel es identificar los incumplimientos y proporcionar información para que se pueda considerar la rectificación. Corresponde a cada departamento o unidad de negocio asumir la responsabilidad de la correcta aplicación del PSSI.
6. No medir la aplicación del PSSI
Como CISO, necesita medir la brecha entre su nivel actual de seguridad y el objetivo que desea alcanzar. Pero, ¿cuáles son sus indicadores de seguimiento? ¿Dispone de la herramienta de elaboración de informes adecuada? ¿Cómo y sobre qué base realiza las compensaciones necesarias? Midiendo estos resultados, la aplicación de su ISP será realmente eficaz para la seguridad de su organización. Hablemos de ello.