Implantación de un SGSI

En muchos casos, el departamento interno de informática es el interlocutor equivocado como único responsable de la seguridad estratégica. Operar sistemas y protegerlos exigen mentalidades completamente distintas y a veces enfrentadas:

• La operación corriente se optimiza para maximizar la fluidez, la accesibilidad, la velocidad y la comodidad de uso de los sistemas informáticos.
• La seguridad de la información, en cambio, tiene que centrarse de forma consecuente en restringir, controlar, dudar y verificar. Un supuesto «todoterreno de la seguridad» que lleva ambos sombreros a la vez se ve obligado de forma permanente a hacer concesiones a costa de la seguridad para no entorpecer la operación.

Muchas organizaciones se enfrentan a las mismas amenazas sofisticadas, ahora impulsadas por IA, que las grandes corporaciones internacionales. Sin embargo, por limitaciones estructurales, a menudo no disponen ni de los recursos económicos ni del personal muy especializado necesarios para levantar una línea de defensa interna equivalente frente a un ciberataque grave. Los ataques de ransomware avanzados son hoy capaces de cifrar por completo la infraestructura informática de toda una gran organización en menos de 45 minutos. Sin medidas de protección proactivas y suficientes, esos ataques provocan interrupciones de semanas, pérdidas económicas graves y la pérdida irreversible de la confianza de los clientes. Tener una visión completa de la propia infraestructura y de las amenazas que la acechan resulta, por tanto, imprescindible. Para cerrar esa brecha de personal y tecnología, especialistas en seguridad como neonotu ayudan a las empresas a establecer una línea de defensa fiable y profesional.

La certificación conforme a ISO 27001 es la señal más potente que puede enviar a sus socios comerciales. En la versión de 2022 los requisitos estructurales del sistema de gestión se mantuvieron en lo esencial en su lógica básica, pero recibieron precisiones importantes:

• El apartado 4.1 exige ahora una comprensión a fondo del contexto de la organización.
• El apartado 4.4 exige de forma expresa que las empresas no solo definan procesos aislados, sino que identifiquen y gestionen por completo las interacciones de todos esos procesos dentro del sistema de gestión de la seguridad de la información. Construir de forma consecuente según esa norma protege no solo sus datos, sino también su reputación.

En la práctica, la implantación completa de un SGSI fracasa a menudo no por falta de conciencia, sino por un recurso mucho más prosaico: el personal cualificado disponible. La idea de que cada empresa emplee a un responsable de seguridad de la información con experiencia suena convincente sobre el papel.

Ahora bien, el mercado laboral tiene su propia agenda. En todo el mundo se estima que hay apenas unos 32.000 CISO plenamente cualificados para atender las necesidades de varios millones de empresas. Así que, aunque todos los implicados coincidieran en la importancia de la seguridad informática, el número de especialistas disponibles sencillamente no bastaría. A eso se suma que los sueldos anuales de un CISO con experiencia en Europa central arrancan a menudo bastante por encima de los 100.000 euros, más los costes continuos de formación y de software y herramientas de cumplimiento especializadas. Para empresas con presupuestos ajustados y márgenes muy competidos, la idea de tener en plantilla un especialista de seguridad dedicado y plenamente ocupado resulta, por tanto, más o menos tan atractiva como un coche de empresa adicional para el departamento de contabilidad.

Aquí entran soluciones prácticas como el CISO virtual (vCISO) de neonotu: dan acceso a demanda a la experiencia estratégica en seguridad sin tener que asumir los costes fijos de un puesto a jornada completa, lo que la convierte en la solución más sensata desde el punto de vista económico y operativo.

Para que esa experiencia externa arraigue sin fricción en el día a día, las estrategias de seguridad modernas recurren a plataformas de gestión centralizadas. Una de esas mesas de trabajo digitales la ofrece, por ejemplo, nuestro portal Sightadel: los responsables de informática y los CISO pueden construir y mantener de forma continua un SGSI basado en ISO 27001. Se acabó la búsqueda constante de información dispersa, porque la plataforma gestiona todos los datos de forma centralizada. El sistema descubre vulnerabilidades en tiempo real y valora de continuo el perfil de riesgo propio mediante una puntuación de seguridad integrada, sin coste adicional. Así, una tediosa gestión de documentos se transforma en un cuadro de mando dinámico que hace la ciberseguridad medible, gobernable y fácil de abarcar.

Un SGSI eficaz es escalable y debe ajustarse al tamaño de la empresa. Una característica de ISO 27001 que se malinterpreta con frecuencia es que no hace falta implantar los 93 controles de forma generalizada y al máximo nivel técnico. Primero se valoran, mediante análisis de riesgos, los procesos de negocio concretos, los activos identificados y las amenazas que actúan sobre ellos.

El resultado del procedimiento es la declaración de aplicabilidad (SoA). Ese documento central recoge con precisión qué mecanismos se han implantado de forma activa y cuáles se han excluido, junto con su justificación. Ese enfoque estratégico garantiza que las empresas usen sus recursos con eficiencia en lugar de invertir en soluciones de seguridad sobredimensionadas que no encajan con su perfil de riesgo. Sightadel conserva esa declaración junto con la justificación de cada exclusión, en lugar de una hoja de cálculo que nadie abre entre dos auditorías.

La norma ISO 27001 exige revisiones independientes. Por necesidad presupuestaria, la responsabilidad sobre la seguridad se asigna a menudo al responsable de informática como tarea añadida. Ahora bien, eso vuelve peligrosamente ineficaces las auditorías internas. Un departamento que redacta sus propias políticas de seguridad, configura sus propias redes y después audita su propio trabajo no puede actuar con objetividad. Sus propios errores pasan inevitablemente inadvertidos.

Además, un departamento de informática no suele poder mantener una vigilancia 24/7 real. Si un ataque ocurre en fin de semana, reaccionar el lunes por la mañana es a menudo demasiado tarde.

Las auditorías estructuradas a cargo de un prestador externo como neonotu resuelven ese dilema. La certificación ISO 27001 exige auditorías externas cada tres años. Un servicio vCISO da acceso inmediato a especialistas certificados y muy cualificados con un modelo flexible y adaptable.

Un consultor externo aporta una perspectiva del todo independiente e identifica sin contemplaciones los puntos ciegos internos, porque no le frenan las políticas internas ni los apaños asentados.

Otra ventaja de valor incalculable: mientras un especialista interno solo ve los ataques dirigidos a su propia empresa, los servicios externos le permiten participar del conocimiento colectivo (inteligencia de amenazas) de decenas de clientes.