Obstáculos al instaurar una PSI y manual de procedimientos

Foro semana 2 Curso 457443 del SENA- 

Redes y Seguridad

Caso real: Usted ha sido contratado en una empresa colombiana, llamada “En-core”, que presta servicios de investigación tecnológica para las empresas del país. Su sede principal se encuentra en Medellín, el mismo lugar donde, hipotéticamente, usted residirá. Esta empresa está en un proceso de expansión, por lo que andan construyendo 2 sucursales más en la misma ciudad, y una de ellas en la capital del país, Bogotá. Usted ha sido contratado para gestionar la seguridad de las redes de esta empresa, debido a que maneja datos críticos y secretos para la competencia. Usted tiene técnicos a su cargo, personal de mantenimiento, y un administrador de red por cada sede (4 en total). De acuerdo a esta situación, responda las siguientes preguntas:  

    

a.        En una organización mediana, como la expuesta en la actividad, ¿Cuál cree que son los obstáculos más grandes a la hora de instaurar una política de seguridad informática?.

R/ Considero que el obstáculo más grande para implementar y mantener un PSI, siempre será la disposición de los usuarios ya que, como bien decía el documento, toda red inicia y finaliza con la acción de un usuario. Quizás como seres humanos nos volvemos seres de costumbres, por eso si se intenta implementar unas PSI en un lugar donde antes realizaban las tareas de otra manera y requería menos complejidad, siempre existirán las comparaciones, sobre todo porque como bien intangible que son los datos, para ellos se va requerir más esfuerzo a simple vista, este no es un usuario avanzado que entiende las amenazas y riesgos a los que está expuesto y los daños que trae consigo para con la empresa. Además de la disposición se necesitará crear un lenguaje sencillo de forma tal que, desde el más estudiado hasta la persona menos preparada, todos puedan entender, comprender y aplicar dichas políticas. Otro de los obstáculos puede ser la falta de recursos económicos, los gerentes empresariales pueden tener argumentos fundamentados en políticas jurídicas y pueden llegar a pensar que no necesitan las PSI; la poca viabilidad económica que le ven las empresas a la implementación de estas políticas, se debe a que estas no generan ninguna ganancia en activos, y su elaboración exige investigación y capital. La poca cultura de prevención de las empresas, también obstaculiza la creación de estas políticas, dado que estas no toman en cuenta los riesgos futuros que pueden sufrir sus sistemas y la información que estas contienen

A los usuarios o empleados de la empresa, hay que concientizarlos y dejarles bien claro, sin importar la sección o nivel, lo importante que son las PSI. Se debe tener un sistema para capacitarlos antes de que cometan errores en sus respectivas funciones y enseñarles la importancia de tener una actitud vigilante, dentro y fuera de la empresa, hacerles sentir que hay un activo intangible, como lo es la información, que hay que proteger, que no quiere decir que se les están quitando ciertas libertades, si no que se está exigiendo y concretando grandes responsabilidades. Hay que concientizar a los empleados o trabajadores de la organización de su gran responsabilidad y el sentido de pertenencia que deben tener por la organización; otro asunto sería que cada talento humano que esté en la organización, aplique y ejecute con profesionalismo, en un 100%, todos los elementos que comprende una política de seguridad, como por ejemplo: Rango de acción de las políticas, Responsabilidades generales de los miembros y sistemas de la empresa , Responsabilidad que tienen los usuarios frente a la información a la que tienen acceso, etc.

    b.        Hemos visto que para las secciones de un manual de procedimientos se usan tablas para consignar datos ¿Qué secciones adicionales cree usted que deberían tener tablas de consignación de datos y por qué? ¿Puede plantear una de ellas?.

R/ De las secciones expuestas en el documento, considero que todas deben tener tablas de consignación de datos, esto para poder soportar todo lo hecho, poder sacar estadísticas frente a cada tema en particular, poder mirar cómo se está comportando la PSI y su efectividad (esto para determinar si se reforma o no).

Un procedimiento que considero es de vital importancia, y que llamaré Procedimiento de soporte del área de informática, trataría sobre la Atención al cliente interno en el apoyo y soporte de requerimientos, inconvenientes y/o solicitudes que son clasificadas como proyectos, donde requiere del análisis, planeación, diseño y solución por parte del área de informática encargada de las PSI. Para esto todos los datos se registrarían en bases de datos o registro de Helpdesk (realizado por parte de los usuarios), igualmente en documentación cuando se entregan artículos o equipos por parte del área de informática; esto servirá para llevar control de todo lo hecho, sacar datos sobre los casos más comunes de soporte y el proceso de solucionarlo. En otras palabras: unas secciones que supervisen todos los registros que realice el usuario, desde el principio hasta el final de las actividades, para ver si cumple con las normas de las PSI.

Otro procedimiento a tener en cuenta sería el análisis FODA. El análisis FODA es una herramienta que permite conformar un cuadro de la situación actual de la empresa u organización, permitiendo de esta manera obtener un diagnóstico preciso que permita en función de ello tomar decisiones acordes con los objetivos y políticas formulados. El término FODA es una sigla conformada por las primeras letras de las palabras Fortalezas, Oportunidades, Debilidades y Amenazas. De entre estas cuatro variables, tanto fortalezas como debilidades son internas de la organización, por lo que es posible actuar directamente sobre ellas. En cambio las oportunidades y las amenazas son externas, por lo que en general resulta muy difícil poder modificarlas.