Artículos

La seguridad de la información en la pyme: diez consejos para una correcta gestión de este apartado

Uno de los activos fundamentales de cualquier organización es su sistema de proceso de datos, y de su seguridad depende en gran medida la continuidad y la competitividad del negocio.

30/05/2007 Sein Navarra S.L.

Los sistemas de información son vulnerables a ataques externos, manipulación indebida, accesos no autorizados además de errores humanos y fallos de los equipos; por lo que las Pymes siguen todavía estando desprotegidas ante las amenazas contra la integridad de sus sistemas.

Según la norma ISO-27001, seguridad informática se define como "la preservación de la confidencialidad, integridad y disponibilidad de la información".

Partiendo de esta base, aquí van algunos consejos para una correcta gestión de la seguridad de la información:

1. Cultura empresarial
   En primer lugar se deben considerar los sistemas de información como estratégicos, ya que son factor crítico en la continuidad del negocio. La seguridad de la información debe integrar, además de los recursos tecnológicos, los procesos internos y las personas. Los recursos tecnológicos son sólo un complemento de los procesos internos de la organización, encaminados a preservar la seguridad.
2. Identificar, analizar y evaluar riesgos
   A través de un minucioso estudio de nuestra instalación deberemos determinar qué es crítico en nuestro negocio, qué riesgos tiene asociados y cómo anticiparnos a ellos.
3. Planificación
   Es fundamental planificar el almacenamiento, la disponibilidad y la correcta protección de la información. Algunos directivos no son conscientes de los riesgos que pueden sufrir sus empresas como consecuencia de una mala protección de los sistemas. Por el contrario, sobre la base de un sistema sólido, la empresa será capaz de abordar nuevas soluciones basadas en la tecnología para hacer frente a un entorno de negocio complicado y cambiante.
4. Plan de contingencia
   Ningún sistema informático está exento de riesgo, por lo que todas las empresas, independientemente de su tamaño, deberían tener un plan de contingencia que les garantice la continuidad del negocio en caso de desastre.
   El plan de contingencia deberá comprender, además de los sistemas, los procesos y las personas. El fin de un Plan de continuidad es regresar a la normalidad y en el menor tiempo posible. Supone tranquilidad tanto para el empresario como para el administrador de sistemas.
5. Copias de seguridad
   Una política adecuada de copias de seguridad le permitirá recuperar la información en caso de una pérdida accidental o cuando los sistemas de almacenamiento fallen inesperadamente. El soporte recomendado es la cinta, que puede ser tratada automáticamente mediante librerías de múltiples cartuchos que evitan manipulaciones y olvidos. Las copias realizadas deben almacenarse periódicamente, fuera de la empresa.
6. Auditoría de sistemas
   Periódicamente se deben establecer auditorias tecnológicas que nos aporten información sobre el nivel de seguridad de la plataforma. La información resultante nos permitirá adoptar una actitud proactiva tomando acciones antes de que ocurra un error que afecte seriamente a la empresa.
7. Implantar normas de seguridad en la empresa
   La seguridad no parece ser prioritaria para los usuarios. Un descuido o un mal uso de los recursos tecnológicos puede poner en riesgo a toda la red de la empresa y cargar de trabajo innecesario al administrador de sistemas. La empresa debe dedicar recursos en formar a los empleados en un uso correcto y responsable de los recursos tecnológicos.
   Un ejemplo es el llamado "Phising", correos falsos que en nombre de una entidad bancaria nos solicita las claves de una cuenta. La falta de conocimiento por parte de los usuarios nos puede convertir en víctimas de este importante fraude. Un caso frecuente de irresponsabilidad es encontrar pegado un "post-it" en el monitor de un equipo con la contraseña de acceso al mismo.
8. Recursos técnicos que nos protejan de amenazas externas
   Es imprescindible contar con sistemas de firewall, antivirus y anti-spam. Se comete un error cuando se piensa que los riesgos sólo provienen del exterior y que la seguridad perimetral es suficiente. También se deben proteger los puestos individuales. Por ejemplo, un usuario puede introducir un virus en la red desde su puesto por medio de una llave USB o un CD. Del mismo modo un empleado puede "robar" información confidencial copiándola en un stick de memoria.
9. Soporte técnico y mantenimiento
   Todas las empresas deben contar con un responsable que supervise el buen funcionamiento de los sistemas. En el caso de una pyme, sin personal especializado en esta labor se deberá contar con una empresa externa que proporcione soporte en caso de incidencias y que le ayude a llevar a cabo los procesos de supervisión y mantenimiento.
10. Innovación
    A partir de una política de innovación y mejora, y con el asesoramiento de un especialista, la empresa puede confiar en que sus sistemas son seguros y eficaces.

Roberto Reta
Responsable de Calidad de Sein Navarra S.L.

| ir a artículos | recomiende este contenido | acceso a asesoría | versión para imprimir |