SGSI - 07 Los activos de Seguridad de la Información

INCIBE

27 Apr 201005:23

Summary

TLDREl guion habla sobre la importancia de proteger la información de las organizaciones frente a riesgos y amenazas. Se describe la clasificación de los activos de seguridad de la información según la metodología de Madrid, incluyendo servicios, datos e información, aplicaciones de software, equipos informáticos, personal, redes de comunicaciones, soportes de información, equipamiento auxiliar y instalaciones. Se enfatiza la necesidad de conocer y identificar estos activos, así como realizar un análisis de dependencias y una valoración de su relevancia y impacto para la organización. Se sugiere el uso de entrevistas y encuestas para evaluar la información basada en la integridad, confidencialidad y disponibilidad.

Takeaways

🔒 La información es un activo crucial para las organizaciones y su protección es fundamental para asegurar el correcto funcionamiento del negocio.
🗂 Los activos de seguridad de la información se pueden dividir en grupos según su naturaleza, siguiendo la metodología de Madrid.
🏢 El primer grupo de activos incluye servicios, que son los procesos de negocio tanto externos como internos de la organización.
💾 El segundo grupo se compone de datos e información, que son el núcleo del sistema y suelen ser manipulados dentro de la organización.
📱 El tercer grupo incluye aplicaciones de software, mientras que el cuarto está formado por equipos informáticos.
👥 El quinto grupo es el personal, que puede ser interno, subcontratado o de clientes.
🌐 El sexto grupo son las redes de comunicaciones, que pueden ser propias o subcontratadas, y son esenciales para el movimiento de información.
💽 El séptimo grupo son los soportes de información, que permiten el almacenamiento físico de la información a largo plazo.
🛠️ El octavo grupo incluye el equipamiento auxiliar que apoya a los sistemas de información y no se ha incluido en otros grupos.
🏢 El último grupo son las instalaciones, como oficinas o edificios, donde se alojan los sistemas de información.
🏷️ Además de los activos tangibles, también se deben considerar los intangibles como la imagen y la reputación de la empresa.
📋 Para proteger los activos de información, es necesario conocer y identificarlos dentro de la organización mediante un inventario detallado.
🔍 El inventario de activos debe incluir al menos la descripción, localización y propietario de cada activo.
🔗 Es importante realizar un análisis de las dependencias entre los activos para establecer un árbol de dependencias que muestre la relación entre todos los activos.
📊 Se debe realizar una valoración de los activos en función de su relevancia para el negocio y el impacto de una incidencia sobre ellos.
👤 La valoración puede ser cuantitativa o cualitativa, y es crucial que exista un criterio homogéneo para comparar entre activos.
🗣️ Entrevistas y encuestas son métodos comunes para valorar los activos, seleccionando un grupo significativo y diverso de personas dentro de la empresa.

Q & A

¿Qué es el activo de seguridad de la información y por qué es importante para una organización?
-El activo de seguridad de la información es la información que es esencial para el correcto funcionamiento de un negocio. Es importante porque su protección asegura la continuidad y la integridad de los procesos empresariales.
Según la metodología de Madrid, ¿cómo se agrupan los activos de seguridad de la información?
-Los activos de seguridad de la información se agrupan en servicios, datos e información, aplicaciones de software, equipos informáticos, personal, redes de comunicaciones, soportes de información, equipamiento auxiliar y instalaciones.
¿Qué se considera como el segundo grupo de activos según la metodología de Madrid?
-El segundo grupo de activos son los datos e información, que son el núcleo del sistema y suelen ser manipulados dentro de la organización.
¿Qué tipo de activos se encuentran en el quinto grupo según el guion?
-El quinto grupo de activos son el personal, que incluye tanto personal interno como subcontratado, así como clientes.
¿Cuál es la función de las redes de comunicaciones en la organización según el guion?
-Las redes de comunicaciones dan soporte a la organización para el movimiento de la información y pueden ser propias o subcontratadas a terceros.
¿Qué se debe incluir en el inventario de activos de información para protegerlos adecuadamente?
-El inventario debe incluir al menos la descripción, la ubicación y el propietario de cada activo.
¿Quién debe definir el grado de seguridad que requiere un activo y por qué?
-El propietario del activo debe definir el grado de seguridad que requiere, ya que es la persona responsable de determinar las necesidades de protección específicas del activo.
¿Cómo se establecen las dependencias entre los activos de información?
-Las dependencias entre los activos se establecen haciendo preguntas sobre quién depende de quién y qué otros activos se ven afectados por un fallo en un activo específico.
¿Qué es un árbol de dependencias de activos y para qué sirve?
-Un árbol de dependencias de activos es una representación gráfica que muestra la relación entre todos los activos de una organización, desde los de más alto nivel hasta los de nivel más bajo.
¿Cómo se realiza una valoración de los activos de información y cuáles son los criterios principales?
-Se realiza una valoración de los activos de información tanto de forma cuantitativa como cualitativa, basándose en la relevancia para el negocio y el impacto de una incidencia. Los criterios principales son la integridad, confidencialidad y disponibilidad de la información.
¿Qué métodos son más utilizados para realizar una valoración de los activos de información en una empresa?
-Los métodos más utilizados para valorar los activos de información son la entrevista y la encuesta, seleccionando un grupo significativo y representativo del personal de la empresa.

Outlines

00:00

💼 Protección de la Información como Activo de Seguridad

El primer párrafo explica la importancia de la información en las organizaciones y cómo es esencial para su funcionamiento correcto. Se introduce el concepto de 'activo de seguridad de la información' y se enfatiza la necesidad de proteger estos activos. Se describe la metodología de agrupación de activos siguiendo la norma de Madrid, que incluye servicios, datos e información, aplicaciones de software, equipos informáticos, personal, redes de comunicaciones, soportes de información, equipamiento auxiliar y instalaciones. Además, se menciona la importancia de proteger no solo los activos tangibles sino también los intangibles como la imagen y la reputación de la empresa. Se sugiere crear un inventario de activos para su identificación y clasificación, incluyendo detalles como descripción, ubicación y propietario, y se destaca la importancia de definir el nivel de seguridad requerido por cada activo.

05:02

🔍 Análisis de Dependencias y Valoración de Activos

El segundo párrafo se centra en el análisis de las dependencias entre los diferentes activos de información para establecer cómo se verían afectados en caso de un fallo en uno de ellos. Se describe el proceso de creación de un árbol de dependencias que muestra la relación entre todos los activos de una organización. Además, se aborda la necesidad de valorar los activos en función de su relevancia para el negocio y el impacto que una incidencia podría causar. Se mencionan dos tipos de valoración: cuantitativa, basada en el valor económico, y cualitativa, que se establece según una escala de 0 a 10 o con valores de bajo, medio y alto. Se enfatiza la importancia de tener un criterio uniforme de valoración basado en la integridad, confidencialidad y disponibilidad de la información. También se sugiere que para realizar la valoración, se utilicen métodos como entrevistas y encuestas, seleccionando un grupo significativo y representativo de personas de la empresa que abarque diferentes áreas y roles.

Mindmap

Keywords

💡Activos de Seguridad de la Información

Los 'Activos de Seguridad de la Información' son datos y recursos críticos para la operación de una empresa que deben ser protegidos. En el guion, se menciona que estos activos son esenciales para el correcto funcionamiento del negocio y son el objetivo principal de cualquier sistema de gestión de seguridad de la información. Ejemplos de activos incluyen servicios, datos e información, aplicaciones de software, equipos informáticos, personal, redes de comunicaciones, soportes de información y equipamiento auxiliar.

💡Sistema de Gestión de Seguridad de la Información

Este 'Sistema de Gestión de Seguridad de la Información' es un marco que organiza y dirige la protección de los activos de seguridad de la información. En el video, se destaca como el mecanismo para asegurar que la información crítica para las empresas esté protegida frente a riesgos y amenazas, lo que es fundamental para el éxito y la continuidad del negocio.

💡Inventario de Activos

El 'Inventario de Activos' es un registro detallado de todos los activos de seguridad de la información dentro de una organización. Se menciona en el guion como un paso esencial para conocer y clasificar cada activo, lo cual es crucial para la protección y gestión efectiva de la información. El inventario debe incluir al menos la descripción, localización y propietario de cada activo.

💡Propietario del Activo

El 'Propietario del Activo' es la persona responsable de definir el nivel de seguridad requerido por un activo específico. Según el guion, aunque el propietario puede no ser necesariamente el usuario o el encargado de gestionar el activo, su papel es fundamental para establecer los estándares de seguridad que deben ser cumplidos.

💡Análisis de Dependencias

El 'Análisis de Dependencias' es el proceso de evaluar cómo los activos de seguridad de la información están interconectados y qué consecuencias podrían tener los fallos en uno de ellos en los demás. En el video, se describe cómo este análisis resulta en un 'árbol de dependencias de activos', que ayuda a visualizar la relación entre todos los activos de una organización.

💡Valoración de Activos

La 'Valoración de Activos' es el proceso de determinar la importancia de un activo para la organización y el impacto que podría causar una incidencia sobre él. Se menciona en el guion que esta valoración puede ser cuantitativa, basándose en el valor económico del activo, o cualitativa, utilizando escalas de 0 a 10 o categorías como bajo, medio y alto. La valoración es crucial para priorizar los recursos de seguridad y proteger adecuadamente los activos más críticos.

💡Integridad, Confidencialidad y Disponibilidad

Estas son las 'Características Principales de la Información' que deben ser consideradas al valorar los activos. En el guion, se sugiere que la valoración de un activo, como una base de datos de clientes, debe basarse en cómo impactaría al negocio si alguien tuviera acceso no autorizado o si los datos fueran modificados. Estas características son fundamentales para mantener la seguridad y la confiabilidad de la información.

💡Método de Madrid

El 'Método de Madrid' es una metodología utilizada para agrupar y clasificar los activos de seguridad de la información. Aunque no se explica en detalle en el guion, se menciona como una referencia para la clasificación de los diferentes tipos de activos que se encuentran en una organización.

💡Reputación y Imagen Corporativa

La 'Reputación y Imagen Corporativa' son intangibles que, aunque no se mencionan explícitamente en el guion, son cruciales para la protección de la información. Un incidente de seguridad de la información puede dañar gravemente la reputación de una empresa, lo que a su vez puede afectar a su imagen y confiabilidad en el mercado.

💡Encuestas y Entrevistas

Las 'Encuestas y Entrevistas' son métodos utilizados para realizar valoraciones cualitativas de los activos de seguridad de la información. En el guion, se sugiere que estos métodos involucran a un grupo significativo y representativo del personal de la empresa, lo que ayuda a obtener una perspectiva holística y diversa sobre la importancia y el impacto de los activos en la organización.

Highlights

Las organizaciones deben proteger la información frente a riesgos y amenazas para asegurar su funcionamiento.

El activo de seguridad de la información es esencial para las empresas y su protección es el objetivo de cualquier sistema de gestión de seguridad de la información.

Los activos de seguridad de la información se pueden dividir en diferentes grupos según su naturaleza.

La metodología de Madrid para agrupar activos es utilizada en la administración.

El primer tipo de activos incluye servicios como procesos de negocio tanto externos como internos.

El segundo grupo son los datos e información, que son el núcleo del sistema.

El tercer tipo de activos son aplicaciones de software.

El cuarto grupo está formado por equipos informáticos.

El quinto grupo incluye al personal, tanto interno como subcontratado o de clientes.

Las redes de comunicaciones son el sexto grupo y dan soporte al movimiento de información.

El séptimo grupo son los soportes de información, que permiten el almacenamiento a largo plazo.

El octavo grupo incluye el equipamiento auxiliar que no se ha incluido en otros grupos, como equipos de destrucción de documentación o de climatización.

El último grupo son las instalaciones donde se alojan los sistemas de información, como oficinas, edificios o vehículos.

Además de los activos tangibles, también se deben considerar los intangibles como la imagen y la reputación de la empresa.

Para proteger los activos de información, es necesario conocerlos e identificarlos dentro de la organización.

Se debe elaborar un inventario que identifique y clasifique cada activo, incluyendo descripción, localización y propietario.

El propietario del activo es quien define el grado de seguridad requerido y no necesariamente es el usuario o gestor del activo.

Una vez identificados los activos, se realiza un análisis de las dependencias existentes entre ellos para establecer un árbol de dependencias.

Los activos no tienen la misma importancia para la organización y es necesario realizar una valoración en función de su relevancia y el impacto de una incidencia.

La valoración de los activos puede ser cuantitativa o cualitativa, y se basa en características como integridad, confidencialidad y disponibilidad.

La entrevista y la encuesta son los métodos más utilizados para valorar los activos, seleccionando un grupo significativo y diverso de personas de la empresa.