Seguridad

1. Gobierno y gestión de la Seguridad de la Información

• Existencia de una Política de Seguridad de la Información formal, vigente y conocida por la organización.

• Alcance definido: a quién aplica (empleados, proveedores, terceros).

• Asignación de responsabilidades en seguridad TI.

Estos elementos están establecidos en la Política de Seguridad de la Información de la empresa, que define normas, alcance y obligaciones organizacionales.

2. Análisis y gestión de riesgos

• Identificación de activos de información (datos, sistemas, infraestructura).

• Análisis de riesgos de Seguridad de la Información, considerando amenazas, vulnerabilidades e impacto.

• Priorización de riesgos según criticidad para el negocio.

La necesidad de realizar análisis de riesgos está indicada explícitamente como un componente obligatorio de la seguridad TI.

3. Seguridad de la infraestructura tecnológica

• Evaluaciones de seguridad a la infraestructura (redes, servidores, telecomunicaciones).

• Revisión de configuraciones generales de seguridad.

• Identificación de vulnerabilidades técnicas.

La política interna establece que deben realizarse evaluaciones de seguridad a la infraestructura tecnológica.

4. Monitoreo y control de activos críticos

• Identificación de activos críticos de información.

• Esquema de monitoreo para detectar eventos o comportamientos anómalos.

• Seguimiento de disponibilidad y funcionamiento de sistemas clave.

El monitoreo de activos críticos forma parte de los elementos mínimos definidos en la política de seguridad.

5. Gestión de accesos y privilegios

(Buena práctica complementaria, no detallada explícitamente en los documentos)

• Control de altas, bajas y cambios de usuarios.

• Revisión de privilegios administrativos.

• Verificación de accesos a sistemas críticos y a información sensible.

6. Gestión de incidentes de seguridad

• Procedimiento formal para la gestión de incidentes.

• Definición de responsables y flujo de atención.

• Registro y seguimiento de incidentes.

La existencia de un procedimiento para la gestión de incidentes de Seguridad de la Información está claramente establecida en la política interna.

7. Continuidad operativa y protección de la información

(Buena práctica habitual)

• Respaldo de información crítica.

• Disponibilidad de sistemas ante fallas.

• Medidas para proteger la integridad de los datos.

Estos puntos se alinean con el objetivo general de garantizar la confidencialidad, integridad y disponibilidad de la información, que es el principio rector de la política.

8. Concientización y cumplimiento

(Buena práctica complementaria)

• Conocimiento de las políticas por parte de los colaboradores.

• Cumplimiento de normas internas de seguridad.

• Identificación de desviaciones o incumplimientos.