Es muy importante para cualquier organización definir el monitoreo de su SGSI y los controles que se van a utilizar, ya que de esta forma se incrementa la efectividad de todo el sistema. A partir de la clasificación que se haga de los controles, por su naturaleza o por la forma en que se ejecutan, se obtiene un adecuado nivel de protección.
Para llevar a cabo el monitoreo es muy importante la participación de la auditoría interna en compañía de los responsables del sistema para lograr un ciclo de mejora continua, donde la auditoría interna provee una retroalimentación constante del sistema para mejorar los procesos y la tecnología utilizados para proteger la compañía.
En post anteriores se ha hablado sobre cómo implementar modelos de seguridad de la información, lo cual debería partir de una clasificación de la información corporativa hasta llegar a un sistema para garantizar la continuidad del negocio, de forma que se pueda responder ante una contingencia. Estos modelos de seguridad no son necesarios únicamente para proteger los recursos de la organización, sino que también influyen de forma importante en los estados financieros y en otros aspectos de carácter administrativo. Sabiendo entonces la importancia que tienen estos sistemas es muy importante que su funcionamiento sea el correcto.
De acuerdo a una investigación llevada a cabo por profesores de varias universidades estadounidenses, se sugiere una clasificación en tres categorías de los controles de acuerdo a su uso y a quienes se encargan de su supervisión; la cual es otra alternativa a la tradicional forma de analizar los controles como preventivos, correctivos y controles de protección. La primera categoría son los controles de configuración los cuales hacen referencia a los métodos utilizados para reducir la posibilidad que los atacantes identifiquen las debilidades que pueden explotar. En esa categoría se encuentran por ejemplo el Análisis de Vulnerabilidades o los Pentreation Test, servicios que hacen parte del ESET Security Services.
Cómo segunda categoría se encuentran los controles de accesos, que hacen referencia a herramientas que reducen la posibilidad de que un atacante obtenga acceso no autorizado sobre los sistemas de la organización. En esta categoría ESET cuenta con su solución de seguridad ESET Endpoint Security que ofrece múltiples capas de detección de malware además de agregar un firewall personal, protección para clientes de correo electrónico incluyendo el bloqueo de correo SPAM y un poderoso filtrado de URL.
La tercera categoría de controles hace referencia precisamente al monitoreo, donde se incluye la documentación y el análisis de logs, con el objetivo de detectar problemas y proveer la información necesaria para su solución. Los tres tipos de controles son claramente diferentes en su objetivo: los controles de configuración reducen la probabilidad de que un ataque se produzca, los controles de acceso bloquean los ataques y la tercera categoría de controles permite disminuir la ocurrencia de cualquier riesgo que afecte la seguridad de la información mediante la retroalimentación de las otras dos categorías de controles.
Además en esta investigación sugieren una serie de características con las que debe contar un auditor interno para lograr que el control sobre el SGSI sea efectivo, concluyendo que establecer una relación de colaboración entre quienes están a cargo de la operación del sistema y quienes se encargan de su monitoreo incrementa el cumplimiento por parte de los usuarios de las políticas de seguridad, a la vez que se incrementa la efectividad de la gestión de los riesgos al enfocarse en lo realmente importante.
De esta forma el monitoreo de los controles se convierte en la forma más efectiva para que la organización mejore su sistema de gestión de la seguridad de la información y va a depender del tipo de organización y de su naturaleza elegir los controles que mejor se adapten a su realidad.
H. Camilo Gutiérrez Amaya
Especialista de Awareness & Research
