Fases de un plan director de seguridad

Un plan director de seguridad es una herramienta muy útil en la gestión de la seguridad de la información en una organización. La protección de los sistemas de información de una empresa es un imperativo categórico para cualquier negocio actualizado que se mueve en un entorno tan dinámico y tecnológico como el nuestro.

En esencia, un plan director de seguridad es un documento que define y prioriza una serie de proyectos destinados a reducir los riesgos cibernéticos a los que está expuesta la organización en cuanto a la seguridad de la información. Esto se logra mediante un análisis exhaustivo de la situación inicial de la empresa en términos de seguridad informática, como veremos a continuación en las fases de un plan director de seguridad.

¿Para qué sirve un plan director de seguridad?

Las razones para implementar un plan director de seguridad son múltiples para cualquier empresa que dependa de la tecnología para el funcionamiento de sus operaciones. Por un lado, las amenazas cibernéticas son constantes y cada vez más sofisticadas.

Los ataques de virus informáticos, pérdida de datos, robo de información sensible o interrupciones en los servicios en línea son causa de estragos colosales en la operatividad de una empresa y afectan gravemente su reputación y, finalmente, sus resultados financieros.

Además, con la creciente adopción de dispositivos móviles y la tendencia hacia el trabajo a distancia, las empresas deben proteger su información con todavía mayor celo. Así pues, hay que garantizar que los datos confidenciales de la empresa estén protegidos en todo momento y en todas las operaciones, incluso cuando se accede a ellos desde dispositivos fuera de la red corporativa.

Un plan director de seguridad no solo se enfoca en la prevención de incidentes, sino también en la preparación para que las empresas puedan dar una respuesta adecuada en caso de que ocurran. Algunas medidas que suelen contemplar en este sentido los planes directores de seguridad son: copias de seguridad periódicas, la implementación de medidas de seguridad en los dispositivos y redes, la formación del personal en buenas prácticas de seguridad informática y la colaboración con proveedores y socios comerciales para garantizar la seguridad de los datos compartidos.

Fases de un plan director de seguridad

Para crear un buen plan director de seguridad se recomienda regirse por los siguientes pasos:

Primera fase: análisis de la situación actual

La primera fase del plan director de seguridad implica comprender la situación actual de la empresa en términos de ciberseguridad mediante análisis técnicos, organizativos, regulatorios y normativos. Para contar con los recursos adecuados y alinear nuestros esfuerzos, es necesario que nos respalde la dirección de la empresa. Algunos aspectos indispensables en esta fase son la participación de diferentes personas y la fiabilidad y actualización de los datos con los que se trabaja.

Segunda fase: análisis de la empresa

En esta segunda frase se estudia la estrategia corporativa de la organización, reflejada en proyectos actuales y futuros, objetivos de crecimiento, cambios organizativos previstos y decisiones de calado como centralización de servicios o externalización de TIC.

Aunque requiere menos esfuerzo que otras fases, es un engranaje clave para alinear las medidas de seguridad con el rumbo que está tomando la empresa. Se recomienda analizar la estrategia con los responsables de los departamentos y la dirección para obtener una visión global y objetiva.

Tercera fase: formulación de iniciativas

Aquí debemos definir las acciones, iniciativas y proyectos necesarios para alcanzar el nivel de seguridad requerido por la organización. Estas acciones abarcan diversos ámbitos como recursos humanos, dirección, mantenimiento y jurídico.

Su naturaleza podemos dividirla en los siguientes conceptos: mejorar los métodos de trabajo para cumplir con regulaciones, implementar controles técnicos y físicos, y definir estrategias y proyectos para gestionar riesgos. Antes de nada, se debe estimar el coste temporal y económico de estas iniciativas, considerando los recursos necesarios tanto internos como externos.

Cuarta fase: priorización de tareas

Una vez identificadas las acciones, iniciativas y proyectos, se procede a clasificarlos y priorizarlos, agrupando y dividiendo las propuestas para homogeneizar el conjunto de proyectos designados. Se pueden clasificar las iniciativas según su origen (cumplimiento normativo, análisis técnico o de riesgos) y el tipo de acción (técnica, organizativa, regulatoria, etc.).

Además, se organizan los proyectos según el esfuerzo y el tiempo requerido, estableciendo proyectos a corto, medio y largo plazo. También se recomienda crear un grupo para las «quick wins», proyectos que requieren poco esfuerzo, pero generan mejoras significativas en la seguridad.

Quinta fase: aprobación definitiva

Para este momento, ya se cuenta con una versión preliminar del plan que debe revisar y aprobar la dirección. Es posible que durante la revisión se modifiquen algunos detalles como el alcance, la duración o la prioridad de algunos proyectos. Si es necesario, este proceso se repetirá hasta obtener una versión final aprobada en su totalidad por la dirección.

Una vez aprobada, la dirección debe comunicar (en reuniones o por correo electrónico) a todos los empleados pertinentes el respaldo oficial al plan director de seguridad y la importancia de una colaboración conjunta en aras de su implementación.

Sexta fase: implementación

Para terminar, una vez aprobado por la Dirección, se establece el camino para alcanzar el nivel de seguridad requerido por la organización. Se trata como un proyecto más, utilizando la metodología de gestión de proyectos que la organización considere adecuada.

En esta fase hay que empezar por presentar de forma general el proyecto a las personas involucradas, asignar responsables o coordinadores de proyecto para cada iniciativa y establecer la periodicidad del seguimiento tanto individual como global del plan.

Además, se debe asignar los recursos necesarios para cada iniciativa y, en proyectos de gran envergadura, puede ser necesario formar un comité de gestión para supervisarlo. También es importante establecer la periodicidad del seguimiento, así como revisar el plan ante cualquier cambio en la organización.

Finalmente, a medida que se alcancen los hitos previstos, se debe confirmar que las deficiencias identificadas en auditorías o análisis de riesgos se han corregido.

Puede que te interese leer sobre

• ¿Qué es un plan de control?
• Objetivos de una empresa

Te proponemos una formación relacionada con la ciberseguridad

Máster de Ciberseguridad