Componente 3: Principios, políticas y procedimientos

Summary

En este video, Carlos Vargas, docente de la Universidad Peruana de Ciencias Aplicadas, explica el tercer componente del gobierno de seguridad de la información: los principios, políticas y procedimientos. Destaca la importancia de estos principios, que documentan las reglas que respaldan los objetivos y valores del gobierno de seguridad. Además, menciona cómo las políticas brindan una guía para implementar estos principios en la organización, enfocándose en la necesidad de comunicarlas y actualizarlas periódicamente para garantizar su cumplimiento por parte de todos los miembros de la empresa.

Takeaways

• 😀 Los principios de seguridad documentan y comunican las reglas básicas que soportan los objetivos empresariales y la seguridad de la información.
• 😀 Estos principios fueron desarrollados hace más de una década y siguen siendo válidos hoy en día para guiar el gobierno de seguridad de la información.
• 😀 El gobierno de seguridad de la información debe centrarse en tres áreas clave: apoyar el negocio, defender el negocio y promover un comportamiento responsable en seguridad de la información.
• 😀 Las políticas brindan una guía detallada sobre cómo poner en práctica los principios de seguridad, influyendo en la toma de decisiones.
• 😀 Ejemplos de políticas de seguridad incluyen la política general de seguridad de la información, control de accesos, seguridad del personal y gestión de incidentes.
• 😀 La lista de políticas varía según el tipo de negocio, la tecnología utilizada, las regulaciones aplicables y otros factores específicos de la organización.
• 😀 En ausencia de políticas específicas, los principios deben ser utilizados para tomar decisiones de seguridad.
• 😀 Es crucial que los principios y las políticas sean comunicados activamente a todos los empleados, contratistas, empleados temporales y proveedores externos.
• 😀 Los principios y políticas deben ser actualizados regularmente y aprobados por la máxima autoridad de la organización.
• 😀 El cumplimiento de las políticas de seguridad debe ser formalmente aceptado por todos los miembros de la organización y otros stakeholders involucrados.

Q & A

¿Qué tema se aborda en el vídeo presentado por Carlos Vargas?

El vídeo aborda el tercer componente del gobierno de seguridad de la información, específicamente los principios, políticas y procedimientos que guían la seguridad de la información dentro de una organización.

¿Cuántos principios de seguridad de la información fueron desarrollados por ISACA y por qué son relevantes?

ISACA desarrolló 12 principios de seguridad de la información hace más de una década, los cuales siguen siendo válidos hasta hoy y se utilizan como base para desarrollar principios propios de seguridad en diferentes organizaciones.

¿En cuántas áreas clave están estructurados los principios de seguridad de la información?

Los principios de seguridad de la información están estructurados en tres áreas clave: apoyar el negocio, defender el negocio y promover un comportamiento responsable en materia de seguridad de la información.

¿Qué función cumplen las políticas dentro del gobierno de seguridad de la información?

Las políticas brindan una guía más detallada sobre cómo poner en práctica los principios de seguridad de la información y cómo estas influirán en la toma de decisiones dentro de la organización.

¿Qué ejemplos de políticas pueden existir dentro de una organización según el vídeo?

Algunos ejemplos de políticas incluyen la política general de seguridad de la información, la política de control de accesos, la política de seguridad de personal y la política de gestión de incidentes.

¿Qué factores determinan el tipo de políticas que debe tener una organización?

El tipo de políticas dependerá del tipo de negocio, el alcance de la organización, la tecnología utilizada, la regulación vigente, entre otros factores.

¿Qué debe hacerse si una organización no tiene una política definida en un área específica?

En estos casos, se deben utilizar los principios establecidos como base para la toma de decisiones en esa área, hasta que se definan políticas específicas.

¿A quiénes deben ser comunicados los principios y políticas de seguridad de la información?

Los principios y políticas deben ser comunicados activamente a todos los empleados, contratistas, empleados temporales, proveedores externos y cualquier otra persona que deba aceptar su cumplimiento.

¿Por qué es importante asegurar que los principios y políticas sean actualizados y aprobados por la máxima autoridad de la organización?

Es crucial que los principios y políticas sean actualizados y aprobados por la máxima autoridad para asegurar que reflejen las necesidades y los valores de la organización, así como para garantizar su efectividad y cumplimiento.

¿Cuál es el mensaje principal al final del vídeo respecto a la gestión de los principios y políticas?

El mensaje principal es que los principios y políticas deben ser documentados, comunicados, actualizados y aceptados formalmente por todos los miembros de la organización, así como los terceros involucrados, para asegurar una implementación exitosa de la seguridad de la información.