SGSI - 07 Los activos de Seguridad de la Información

Summary

El guion habla sobre la importancia de proteger la información de las organizaciones frente a riesgos y amenazas. Se describe la clasificación de los activos de seguridad de la información según la metodología de Madrid, incluyendo servicios, datos e información, aplicaciones de software, equipos informáticos, personal, redes de comunicaciones, soportes de información, equipamiento auxiliar y instalaciones. Se enfatiza la necesidad de conocer y identificar estos activos, así como realizar un análisis de dependencias y una valoración de su relevancia y impacto para la organización. Se sugiere el uso de entrevistas y encuestas para evaluar la información basada en la integridad, confidencialidad y disponibilidad.

Takeaways

• 🔒 La información es un activo crucial para las organizaciones y su protección es fundamental para asegurar el correcto funcionamiento del negocio.
• 🗂 Los activos de seguridad de la información se pueden dividir en grupos según su naturaleza, siguiendo la metodología de Madrid.
• 🏢 El primer grupo de activos incluye servicios, que son los procesos de negocio tanto externos como internos de la organización.
• 💾 El segundo grupo se compone de datos e información, que son el núcleo del sistema y suelen ser manipulados dentro de la organización.
• 📱 El tercer grupo incluye aplicaciones de software, mientras que el cuarto está formado por equipos informáticos.
• 👥 El quinto grupo es el personal, que puede ser interno, subcontratado o de clientes.
• 🌐 El sexto grupo son las redes de comunicaciones, que pueden ser propias o subcontratadas, y son esenciales para el movimiento de información.
• 💽 El séptimo grupo son los soportes de información, que permiten el almacenamiento físico de la información a largo plazo.
• 🛠️ El octavo grupo incluye el equipamiento auxiliar que apoya a los sistemas de información y no se ha incluido en otros grupos.
• 🏢 El último grupo son las instalaciones, como oficinas o edificios, donde se alojan los sistemas de información.
• 🏷️ Además de los activos tangibles, también se deben considerar los intangibles como la imagen y la reputación de la empresa.
• 📋 Para proteger los activos de información, es necesario conocer y identificarlos dentro de la organización mediante un inventario detallado.
• 🔍 El inventario de activos debe incluir al menos la descripción, localización y propietario de cada activo.
• 🔗 Es importante realizar un análisis de las dependencias entre los activos para establecer un árbol de dependencias que muestre la relación entre todos los activos.
• 📊 Se debe realizar una valoración de los activos en función de su relevancia para el negocio y el impacto de una incidencia sobre ellos.
• 👤 La valoración puede ser cuantitativa o cualitativa, y es crucial que exista un criterio homogéneo para comparar entre activos.
• 🗣️ Entrevistas y encuestas son métodos comunes para valorar los activos, seleccionando un grupo significativo y diverso de personas dentro de la empresa.

Q & A

¿Qué es el activo de seguridad de la información y por qué es importante para una organización?

El activo de seguridad de la información es la información que es esencial para el correcto funcionamiento de un negocio. Es importante porque su protección asegura la continuidad y la integridad de los procesos empresariales.

Según la metodología de Madrid, ¿cómo se agrupan los activos de seguridad de la información?

Los activos de seguridad de la información se agrupan en servicios, datos e información, aplicaciones de software, equipos informáticos, personal, redes de comunicaciones, soportes de información, equipamiento auxiliar y instalaciones.

¿Qué se considera como el segundo grupo de activos según la metodología de Madrid?

El segundo grupo de activos son los datos e información, que son el núcleo del sistema y suelen ser manipulados dentro de la organización.

¿Qué tipo de activos se encuentran en el quinto grupo según el guion?

El quinto grupo de activos son el personal, que incluye tanto personal interno como subcontratado, así como clientes.

¿Cuál es la función de las redes de comunicaciones en la organización según el guion?

Las redes de comunicaciones dan soporte a la organización para el movimiento de la información y pueden ser propias o subcontratadas a terceros.

¿Qué se debe incluir en el inventario de activos de información para protegerlos adecuadamente?

El inventario debe incluir al menos la descripción, la ubicación y el propietario de cada activo.

¿Quién debe definir el grado de seguridad que requiere un activo y por qué?

El propietario del activo debe definir el grado de seguridad que requiere, ya que es la persona responsable de determinar las necesidades de protección específicas del activo.

¿Cómo se establecen las dependencias entre los activos de información?

Las dependencias entre los activos se establecen haciendo preguntas sobre quién depende de quién y qué otros activos se ven afectados por un fallo en un activo específico.

¿Qué es un árbol de dependencias de activos y para qué sirve?

Un árbol de dependencias de activos es una representación gráfica que muestra la relación entre todos los activos de una organización, desde los de más alto nivel hasta los de nivel más bajo.

¿Cómo se realiza una valoración de los activos de información y cuáles son los criterios principales?

Se realiza una valoración de los activos de información tanto de forma cuantitativa como cualitativa, basándose en la relevancia para el negocio y el impacto de una incidencia. Los criterios principales son la integridad, confidencialidad y disponibilidad de la información.

¿Qué métodos son más utilizados para realizar una valoración de los activos de información en una empresa?

Los métodos más utilizados para valorar los activos de información son la entrevista y la encuesta, seleccionando un grupo significativo y representativo del personal de la empresa.