La inteligencia artificial en seguridad de la información emerge como una herramienta transformadora que redefine cómo se detectan, previenen y responden a las amenazas cibernéticas. La inteligencia artificial (IA) aporta capacidades únicas a la ciberseguridad gracias a su habilidad para aprender patrones, analizar grandes volúmenes de datos en tiempo real y adaptarse a nuevas amenazas. En lugar de depender exclusivamente de reglas predefinidas, los sistemas basados en IA pueden identificar comportamientos anómalos, reconocer amenazas desconocidas y automatizar respuestas ante incidentes. Esto representa una revolución en la forma en que las organizaciones protegen sus activos digitales, ya que permite una defensa más proactiva y eficiente.

Principales innovaciones actuales de la Inteligencia artificial en seguridad de la información

A continuación, se detallan algunas de las innovaciones más destacadas que integran inteligencia artificial en seguridad de la información:

1. Sistemas de detección de amenazas basados en machine learning

El aprendizaje automático permite a los sistemas identificar patrones normales de comportamiento dentro de una red y detectar desviaciones que podrían indicar una intrusión. A diferencia de los antivirus tradicionales que se basan en firmas, estos sistemas pueden identificar malware completamente sin necesidad de haberlo visto antes.

2. Análisis predictivo

Los sistemas de IA pueden anticipar ciberataques mediante el análisis de tendencias históricas y comportamientos sospechosos. Esta capacidad predictiva permite a las empresas prepararse para amenazas antes de que se materialicen, optimizando los recursos y mejorando la postura de seguridad.

3. Automatización de respuesta a incidentes

Uno de los principales beneficios de aplicar inteligencia artificial en seguridad de la información es la automatización de tareas complejas. Al detectar un ataque, los sistemas inteligentes pueden activar protocolos de contención, desconectar equipos afectados o aplicar parches de seguridad sin intervención humana, reduciendo el tiempo de respuesta y limitando el daño.

4. Análisis de comportamiento de usuarios (UBA)

La IA puede rastrear el comportamiento normal de cada usuario y generar alertas cuando se detecta una actividad fuera de lo común. Por ejemplo, si un empleado accede a archivos sensibles en horarios inusuales o desde una ubicación geográfica atípica, el sistema puede bloquear temporalmente el acceso y notificar al equipo de seguridad.

5. Ciberinteligencia en tiempo real

Las plataformas avanzadas de ciberinteligencia usan IA para recolectar información desde diversas fuentes y analizar amenazas emergentes. Esto proporciona a las organizaciones una visión más clara del panorama de riesgos, facilitando decisiones informadas.

Ventajas de la inteligencia artificial en seguridad de la información

El uso de IA en la protección de la información presenta numerosos beneficios:

• Escalabilidad: los sistemas de IA pueden adaptarse fácilmente al crecimiento de la infraestructura sin necesidad de incrementar proporcionalmente el personal humano.
• Velocidad de reacción: la detección y respuesta automática a incidentes reduce el tiempo de exposición ante ataques.
• Reducción de falsos positivos: a diferencia de las soluciones basadas en reglas, los algoritmos de IA pueden diferenciar mejor entre una amenaza real y una actividad legítima, reduciendo alertas innecesarias.
• Eficiencia operativa: al automatizar tareas repetitivas, el personal de ciberseguridad puede enfocarse en actividades estratégicas.

La inteligencia artificial (IA) aporta capacidades únicas a la ciberseguridad gracias a su habilidad para aprender patrones, analizar grandes volúmenes de datos en tiempo real y adaptarse a nuevas amenazas.
Click To Tweet

Desafíos éticos de la Inteligencia artificial en seguridad de la información

Aunque la inteligencia artificial en seguridad de la información ofrece múltiples ventajas, también plantea retos importantes:

• Sesgos en los algoritmos, el sistema puede tomar decisiones erróneas, como identificar falsamente a un usuario como amenaza.
• Privacidad de los datos, el análisis de grandes volúmenes de datos puede comprometer la privacidad si no se establecen límites claros.
• Dependencia tecnológica, puede hacer que las organizaciones se vuelvan vulnerables si estos sistemas fallan.
• Uso malicioso de la IA

Software ISO 27001 de ISOTools para Inteligencia artificial en seguridad de la información

1. Automatización de tareas clave: Nuestro software permite la gestión de riesgos, auditorías y controles de seguridad de manera automática, reduciendo la carga administrativa.
2. Monitoreo en tiempo real: Gracias a herramientas de análisis basadas en IA, las empresas pueden identificar vulnerabilidades y tomar decisiones informadas al instante.
3. Facilidad de uso: La plataforma está diseñada para ser intuitiva, permitiendo a los equipos adaptarse rápidamente y obtener resultados desde el primer día.
4. Cumplimiento garantizado: ISOTools asegura que todos los procesos cumplan con los requisitos de ISO 27001, minimizando el riesgo de no conformidades durante las auditorías.

Con ISOTools, las empresas aseguran el cumplimiento de la norma, y optimizan la forma en que gestionan sus datos y adoptan la inteligencia artificial como una ventaja competitiva.

La combinación del Software ISO 27001 e inteligencia artificial representa una oportunidad única para las organizaciones.  Con ella se garantiza la seguridad de los datos y mantenerse a la vanguardia en un entorno cada vez más competitivo. Al implementar un SGSI de confianza con el apoyo de herramientas tecnológicas como las que ofrece ISOTools, las empresas pueden gestionar la información de manera segura, eficiente y alineada con las mejores prácticas internacionales.

Es el momento de abrirse a la innovación y la seguridad con ISOTools.

The post Innovaciones de inteligencia artificial en seguridad de la información appeared first on PMG SSI - ISO 27001.

La seguridad de la información es una de las áreas más críticas para cualquier organización en la era digital. Los ciberataques están en constante aumento, y las brechas de seguridad pueden resultar en pérdidas financieras y daños a la reputación de una empresa. Por esto, el papel de un líder en seguridad de la información es crucial. Deben contar con un profundo conocimiento técnico, ser líderes estratégicos, comunicativos y resilientes, capaces de adaptarse a las amenazas emergentes.

10 habilidades para ser líder en seguridad dela información

1. Conocimiento de ciberseguridad y normativas

El conocimiento técnico es fundamental para un líder en seguridad de la información. Esto incluye una comprensión profunda de las amenazas cibernéticas actuales, los protocolos de seguridad y las soluciones tecnológicas disponibles. Un líder debe estar al tanto de las últimas vulnerabilidades, ataques y soluciones en el mercado, así como ser capaz de implementar las mejores prácticas. Además, debe dominar las normativas y estándares internacionales, entre ellos ISO 27001. Estas normativas establecen las directrices para la gestión de la seguridad de la información y aseguran el cumplimiento de las leyes en materia de privacidad de datos.

2. Gestión de riesgos

La gestión de riesgos es el epicentro de cualquier estrategia de ciberseguridad. Un líder debe ser capaz de identificar, evaluar y gestionar los riesgos asociados con la seguridad de la información. Esto incluye la capacidad de evaluar las amenazas que enfrenta la organización y las vulnerabilidades que pueden ser explotadas por atacantes. Por otra parte, debe implementar controles preventivos, detectivos y correctivos para mitigar los riesgos. Un líder en seguridad de la información debe ser capaz de equilibrar los riesgos con las oportunidades de negocio, asegurando que la protección no impida la innovación.

3. Pensamiento estratégico

Esto significa tener una visión clara de cómo la seguridad de la información se alinea con los objetivos generales de la empresa. La ciberseguridad no debe ser vista como un área aislada, sino como un componente integral de la estrategia empresarial. El pensamiento estratégico incluye la planificación a largo plazo, la gestión de los recursos disponibles y la identificación de las inversiones necesarias para mejorar la seguridad a medida que la empresa crece y evoluciona. Un líder tiene que ser capaz de prever las amenazas futuras y preparar a la organización para ellas.

4. Habilidades de comunicación

Los líderes deben ser capaces de comunicar de manera clara y efectiva tanto con sus equipos como con los directivos y otros empleados. A menudo, la ciberseguridad es un tema técnico y complejo, y un líder debe ser capaz de traducir estos conceptos en términos comprensibles para todos los niveles de la organización.

5. Toma de decisiones bajo presión

En situaciones de crisis, como un ciberataque, un líder en seguridad de la información debe ser capaz de tomar decisiones rápidas y efectivas. Los incidentes de seguridad pueden escalar rápidamente y es crucial que el líder mantenga la calma y guíe a su equipo hacia una resolución efectiva. La toma de decisiones bajo presión también implica gestionar las consecuencias de los incidentes de seguridad, asegurando que la empresa recupere sus operaciones rápidamente y minimizando el impacto financiero y reputacional. Un líder debe ser capaz de priorizar las acciones, movilizar los recursos necesarios y coordinar los esfuerzos de respuesta ante incidentes.

6. Conocimientos en tecnologías emergentes

La tecnología está en constante evolución, y un líder en seguridad de la información debe estar al día con las últimas tendencias y avances. La inteligencia artificial, el blockchain, la computación en la nube y la autenticación de múltiples factores son solo algunas de las tecnologías emergentes que están cambiando el panorama de la ciberseguridad. El líder debe entender cómo estas tecnologías pueden mejorar la seguridad, así como los nuevos riesgos que pueden surgir. Un líder en ciberseguridad debe ser proactivo al adoptar nuevas soluciones y asegurarse de que la infraestructura de seguridad esté alineada con las últimas innovaciones tecnológicas.

7. Liderazgo y trabajo en equipo

La ciberseguridad no es responsabilidad de una sola persona, sino de un equipo colaborativo. Un líder debe ser capaz de motivar y dirigir a su equipo de seguridad, alentando la cooperación y el trabajo en conjunto para abordar los desafíos de seguridad. También tiene que tener la capacidad de identificar y aprovechar las fortalezas individuales dentro del equipo, asignando roles de manera efectiva. Además, el líder debe fomentar una cultura organizacional de ciberseguridad, donde todos los empleados comprendan su papel en la protección de la información de la empresa.

8. Mentalidad de aprendizaje continuo como líder en seguridad

La ciberseguridad es un campo en constante cambio, y un líder debe tener una mentalidad de aprendizaje continuo. La formación constante, la obtención de certificaciones y la participación en conferencias son esenciales para mantenerse al día con los avances en la industria. El líder debe estar dispuesto a adaptarse a nuevas amenazas, tecnologías y mejores prácticas. Además, debe alentar a su equipo a seguir aprendiendo y mejorar continuamente sus habilidades y conocimientos.

La seguridad de la información es una de las áreas más críticas para cualquier organización en la era digital.
Click To Tweet

Líder en seguridad de la información con el Software de ISOTools

La implementación de un software especializado, como ISOTools, garantiza el cumplimiento con la norma ISO 27001, y también ofrece beneficios tangibles para las empresas:

• Reducción de riesgos
• Optimización de procesos
• Mayor confianza
• Preparación para el futuro

El panorama de la ciberseguridad plantea retos significativos, pero también abre la puerta a oportunidades para aquellas empresas que decidan tomar medidas proactivas. Implementar soluciones tecnológicas avanzadas como el Software ISO 27001 de ISOTools permite a las organizaciones enfrentar estos desafíos con confianza, a la vez que se posicionan como líderes en la gestión de la seguridad de la información.

En un mundo donde la información es el activo más valioso, protegerla no es opcional; es imprescindible. Prepárate para el futuro con ISOTools y lleva la ciberseguridad de tu organización a un estado óptimo.

The post 10 habilidades que debe tener un líder en seguridad de la información appeared first on PMG SSI - ISO 27001.

La seguridad de la información es un aspecto fundamental en cualquier organización, y aún más para cumplir con la ISO 27001. Esta norma establece un marco de referencia para la gestión de la seguridad de la información, proporcionando directrices y requisitos para identificar, evaluar y mitigar riesgos. En este contexto, las simulaciones de ataques de red se han convertido en una herramienta esencial para fortalecer la ciberseguridad y cumplir con los estándares de la norma.

Las simulaciones de ataques de red, pruebas de penetración (pentesting) o ejercicios de ciberseguridad ofensiva, son evaluaciones controladas en las que se simulan ataques reales contra una infraestructura de TI (Tecnología de la Información). Su objetivo es identificar vulnerabilidades antes de que sean atacadas.

Existen diferentes tipos de simulaciones de ataques de red:

• Pruebas de penetración externas: simulando ataques desde el exterior de la organización para identificar vulnerabilidades en la infraestructura accesible desde Internet.
• Pruebas de penetración internas: evaluando amenazas desde dentro de la organización, considerando el posible impacto de empleados malintencionados o atacantes que hayan obtenido acceso.
• Red teaming: simulando ataques avanzados y persistentes, imitando tácticas de ciberdelincuentes reales para evaluar la respuesta de la organización.
• Ejercicios de simulación de incidentes: centrándose en medir la capacidad de detección y respuesta ante ataques en curso.

Cómo implementar simulaciones de ataques de red de forma efectiva para cumplir con ISO 27001

Para maximizar la efectividad de las simulaciones de ataques de red y alinearlas con ISO 27001, es recomendable seguir una buena práctica:

1. Definir alcance y objetivos

Establecer claramente qué sistemas y procesos serán evaluados y qué se espera lograr con la simulación.

2. Involucrar a equipos clave

Contar con la participación del equipo de TI, seguridad y gestión de riesgos para asegurar una visión integral.

3. Analizar y documentar resultados

Generar informes detallados con hallazgos, impactos potenciales y recomendaciones de mitigación.

4. Implementar mejoras continuas

Tomar acciones correctivas basadas en los resultados y repetir periódicamente las simulaciones para mantener un nivel óptimo de seguridad.

5. Realizar simulaciones con diferentes enfoques

Alternar entre pruebas de penetración, red teaming y ejercicios de simulación de incidentes para una cobertura completa.

Beneficios de las simulaciones de ataques de red para cumplir con ISO 27001

Las simulaciones de ataques de red ofrecen múltiples ventajas a las organizaciones que buscan fortalecer su seguridad y cumplir con los requisitos de la norma ISO 27001.

• Mejora en la detección de vulnerabilidades: permiten identificar brechas de seguridad en sistemas, redes y aplicaciones antes de que sean aprovechadas por atacantes.
• Optimización de los controles de seguridad: ayudan a evaluar la efectividad de las medidas de protección implementadas y a realizar mejoras basadas en pruebas reales.
• Fortalecimiento de la respuesta ante incidentes: facilitan la preparación del equipo de seguridad para reaccionar rápida y eficazmente ante posibles ciberataques.
• Cumplimiento normativo y auditorías: proporcionan evidencia documentada de las pruebas realizadas, lo que facilita las auditorías internas y externas relacionadas con ISO 27001.
• Reducción de riesgos y costos: detectar y corregir vulnerabilidades: a tiempo ayuda a prevenir incidentes costosos que puedan afectar la operatividad y reputación de la organización.
• Concienciación y formación del personal: incrementan el conocimiento y la cultura de seguridad dentro de la empresa, fortaleciendo la protección contra amenazas cibernéticas.
• Mejora continua: las simulaciones permiten a las empresas evolucionar y adaptar sus estrategias de seguridad ante nuevas amenazas emergentes.

La seguridad de la información es un aspecto fundamental en cualquier organización, y aún más para cumplir con la ISO 27001.
Click To Tweet

Software 27001 para la simulación de ataques de red para cumplir con la norma

Para las empresas que buscan una solución integral en seguridad de la información, el Software ISO 27001 de ISOTools es una herramienta primordial. Esta plataforma automatiza y optimiza la gestión del Sistema de Gestión de Seguridad de la Información (SGSI). Facilitando así el cumplimiento normativo y la protección de datos.

Beneficios de ISOTools en Seguridad de la Información:

• Gestión centralizada de todas las actividades de seguridad.
• Automatización de auditorías internas y externas.
• Evaluación continua de riesgos para detectar vulnerabilidades.
• Cumplimiento normativo con ISO/IEC 27001 y otras regulaciones.

Además, ISOTools permite integrar pruebas de seguridad, en una estrategia global de protección. Su enfoque intuitivo ayudará a gestionar medidas de seguridad de manera eficiente, manteniendo a las empresas un paso adelante frente a las amenazas cibernéticas.

No esperes para proteger tu información. Refuerza hoy mismo la ciberseguridad de tu empresa con ISOTools.

The post Simulaciones de Ataques de Red: Una Herramienta Clave para Cumplir con ISO 27001 appeared first on PMG SSI - ISO 27001.

El pentesting (pruebas de penetración) es una técnica de seguridad informática que consiste en simular ataques controlados contra sistemas, redes o aplicaciones. El objetivo es la identificación para poder corregir vulnerabilidades antes de que se exploten por atacantes.

El propósito principal es evaluar la seguridad de un sistema, detectar posibles fallos y proponer soluciones para mitigarlos.

Es una herramienta fundamental en ciberseguridad, que permite detectar riesgos antes de que puedan ser utilizados en ataques reales, fortaleciendo la protección de los sistemas y la información.

5 elementos clave del pentesting de infraestructura en la nube

La seguridad en la nube se ha convertido en una prioridad para las empresas que migran sus sistemas a entornos como AWS, Azure o Google Cloud. Sin embargo, estos entornos presentan desafíos únicos que requieren evaluaciones de seguridad especializadas. El pentesting de infraestructura en la nube es una metodología que permite identificar vulnerabilidades y fortalecer la protección de los activos digitales. A continuación, exploramos cinco elementos clave de este proceso.

1. Evaluación de Configuración y Políticas de Seguridad

Una configuración incorrecta en la nube es una de las principales vulnerabilidades de seguridad, ya que puede exponer información sensible y recursos internos a posibles ataques. Para mitigar estos riesgos, es fundamental analizar la configuración de servicios como almacenamiento, bases de datos y máquinas virtuales, revisar las reglas en firewalls y grupos de seguridad, identificar permisos mal asignados y utilizar herramientas especializadas como AWS Config, Azure Security Center y Google Security Command Center para detectar y corregir posibles fallos.

2. Pruebas de Identidad y Gestión de Accesos (IAM)

El control de accesos en la nube es esencial para prevenir accesos no autorizados, ya que un modelo de permisos mal estructurado puede generar brechas de seguridad significativas. Es clave evaluar los permisos y roles asignados en la nube para garantizar que solo los usuarios y servicios autorizados tengan acceso. Para esto, implementar autenticación multifactor refuerza la seguridad en accesos sensibles, reduciendo el riesgo de intrusiones. También es importante detectar claves expuestas en repositorios o archivos de configuración, ya que su filtración puede comprometer la infraestructura.

3. Evaluación de la Red y Servicios Expuestos

El monitoreo y control de los servicios en la nube es clave para reducir la superficie de ataque y fortalecer la seguridad. Un entorno mal protegido puede ser vulnerable ante amenazas. Es fundamental escanear puertos y servicios accesibles desde internet para detectar exposiciones y aplicar medidas correctivas. También es crucial analizar las configuraciones en VPNs y conexiones híbridas asegurando autenticación cifrado y control de acceso adecuados. La revisión de balanceadores de carga evita riesgos como la exposición de servicios internos. Finalmente simular ataques DDoS permite evaluar la resistencia del sistema.

4. Análisis de Almacenamiento y Protección de Datos

Proteger los datos en la nube es esencial para evitar filtraciones y accesos indebidos. por otra parte, evaluar la seguridad del almacenamiento garantiza la confidencialidad e integridad de la información. Es conveniente detectar almacenamiento expuesto o mal configurado y restringir accesos no autorizados. También es fundamental verificar el cifrado en tránsito y en reposo para proteger la información en todo momento. Evaluar los permisos sobre bases de datos y archivos sensibles evita accesos indebidos mientras que las auditorías de seguridad permiten identificar y corregir vulnerabilidades. Estas medidas ayudan a reforzar la seguridad de datos en la nube.

5. Simulación de Ataques y Respuesta ante Incidentes

Evaluar la detección y respuesta ante incidentes es clave para reaccionar rápido y minimizar daños ante un ataque. La simulación de ataques en la nube permite identificar vulnerabilidades y probar la efectividad de las defensas. Es esencial analizar logs y configurar un SIEM para detectar amenazas en tiempo real. Además medir los tiempos de respuesta y la efectividad del equipo ayuda a optimizar los procesos de seguridad y reducir el impacto de los incidentes.

Beneficios de pentesing de la infraestructura en la nube

Algunos de los beneficios que nos aporta el pentesting son:

• Identificación de vulnerabilidades y fallas de control: identificando y corrigiendo vulnerabilidades antes de que ocurran.
• Escalada de privilegios controlada: simulando ataques reales para evaluar la seguridad de los sistemas y la seguridad de los datos.
• Mejores prácticas del sector: implementando unas medidas basadas en los estándares más altos de gestión de la seguridad.

Evaluar la detección y respuesta ante incidentes es clave para reaccionar rápido y minimizar daños ante un ataque.
Click To Tweet

Mejorando la infraestructura en la nube con el Software ISO 27001 de ISOTools

Para las empresas que buscan una solución integral en seguridad de la información, el Software ISO 27001 de ISOTools es una herramienta primordial. Esta plataforma automatiza y optimiza la gestión del Sistema de Gestión de Seguridad de la Información (SGSI). Facilitando así el cumplimiento normativo y la protección de datos.

Beneficios de ISOTools en Seguridad de la Información:

• Gestión centralizada de todas las actividades de seguridad.
• Automatización de auditorías internas y externas.
• Evaluación continua de riesgos para detectar vulnerabilidades.
• Cumplimiento normativo con ISO/IEC 27001 y otras regulaciones.

Además, ISOTools permite integrar pruebas de seguridad, como el pentesting, en una estrategia global de protección. Su enfoque intuitivo ayudará a gestionar medidas de seguridad de manera eficiente, manteniendo a las empresas un paso adelante frente a las amenazas cibernéticas.

No esperes para proteger tu información. Refuerza hoy mismo la ciberseguridad de tu empresa con ISOTools.

The post 5 elementos clave del pentesting de infraestructura en la nube appeared first on PMG SSI - ISO 27001.

Seguridad en el almacenamiento en redes compartidas

Ahora más que nunca debemos estar preparados para situaciones de inestabilidad, hay que prever en disponer un lugar de trabajo común con un nivel alto de seguridad en el almacenamiento en redes compartidas, en el cual almacenar los trabajos individuales de cada uno de los trabajadores y poder compartir dicha información a diferentes usuarios de la empresa. Esto es posible utilizando servidores de almacenamiento en red, o también denominados cloud red corporativa.

Las empresas que necesitan almacenar gran cantidad de información utilizarán los sistemas de almacenamiento del tipo NAS (Network Attached Storage), para aquellos archivos compartidos, o SAN (Storage Area Network) de alta velocidad para bases de datos de aplicaciones. Se utilizan este tipo de sistemas ya que presentan un volumen de almacenamiento superior al resto, utilizan la capacidad de múltiples discos duros en la red local como un volumen único de almacenamiento. 

La información almacenada en estos sistemas ha de ser determinada a través de una Política de clasificación de la información que ha de cubrir como mínimo los siguientes aspectos: tipo de información almacenada, momento de su almacenamiento, ubicación dentro de los directorios del sistema. Además de esto tenemos que tener en cuenta qué personas son las responsables de la actualización de dicha información en el caso de modificación. Una parte fundamental para la seguridad en el almacenamiento en redes compartidas es la clasificación de cierta información como confidencial, crítica o si debe estar sujeta a algún requisito legal.

El objetivo del almacenamiento en red es conseguir que todos los trabajadores tengan acceso remoto a la información necesaria para un buen desempeño de su trabajo, con un almacenamiento centralizado para evitar duplicaciones y problemas en versiones, prevenir pérdidas de documentos, centralización de copias de seguridad, etc. 

Niveles de complejidad

A – Avanzado: Los recursos necesarios para la implementación y el esfuerzo que nos obliga a hacer son de consideración. Para ello, es necesario la utilización de programas informáticos que requieren configuraciones avanzadas. 

B- Básico: Los recursos necesarios para la implementación y el esfuerzo que nos obliga a hacer son asumibles para la mayor parte de las organizaciones. Su aplicación puede ser a través de funcionalidades sencillas incorporadas en aplicaciones comunes. Su prevención viene dada con el uso de herramientas de seguridad elementales como pueden ser: software de antivirus, cifrado de punto final o End point disk encryption, servidor proxy, firewall perimetral de red, escáner de vulnerabilidades, etc.

Para conocer el alcance de cada uno de los controles debemos tener en cuenta tres tipos: 

• Procesos (PRO): se aplica en los  niveles superiores de la empresa: dirección o personal de gestión. 
• Tecnología (TEC): se aplica a los especialistas tecnológicos de la empresa. 
• Personas (PER): se aplica a todo el personal de la organización sin tener en cuenta en qué nivel se encuentran.

Controles de seguridad

Avanzado

• Control de acceso (PRO/TEC). Es fundamental para establecer las reglas de acceso, así nos permite llevar un control de quién tiene acceso y a que directorios. 
• Copias de seguridad (PRO/TEC). Para proteger dicha información debemos elaborar un plan de copias de seguridad que nos permita recuperar la información almacenada de forma rápida y segura. 
• Acceso limitado (TEC). Para reducir el número de usuarios con acceso a dicha información es recomendable establecerlo sólo a los empleados esenciales para el desempeño de su trabajo.
• Almacenamiento clasificado (TEC). Con la finalidad de la correcta clasificación de los datos y el acceso de manera intuitiva por los empleados de la organización se crean carpetas para un correcto almacenamiento de documentación. Como hemos mencionado en el apartado anterior es imprescindible asignar los permisos de acceso pertinentes según el perfil de empleado.
• Auditoría de servidores (TEC). El buen funcionamiento de las herramientas es necesario revisar de forma periódica el estado de los servidores de la organización, como puede ser: capacidad, registros, estadísticas de uso, etc.
• Cifrado de la información (TEC/PER). Información crítica almacenada en los servidores.

Básico

• Inventario de los servidores de almacenamiento (PRO). El responsable debe poner en conocimiento de los empleados cuáles son los servidores utilizados para el almacenamiento de la red corporativa, la información que se comparte, y dependiendo de la clasificación de la información donde almacenarlos. Para un buen uso se tiene que reflejar en la formación de los empleados y hacer ciertos recordatorios cada periodo establecido de tiempo. 
• Criterios de almacenamiento (PRO). Para establecer qué información almacenar y cual no, debemos elaborar una normativa que establezca qué información o no se debe almacenar en estos directorios; las personas que tienen acceso a dicha información y si son encargadas de actualizarlas en el caso de que lo necesite.
• Clasificación de la información (PRO). Para una correcta clasificación el empleado deberá ser consciente de la Política de clasificación de la información para cuando tenga que almacenarla o eliminar información se haga de una forma correcta y segura. 

Software para Seguridad de la Información

El Software ISO 27001 para la Seguridad de la Información está creado para mantener los datos almacenados de forma segura, evitando ciberataques que pongan en riesgo la información de la organización.

The post Checklist para la seguridad en el almacenamiento en redes compartidas appeared first on PMG SSI - ISO 27001.

Seguridad

Hoy en día, en plena era digital, la consultoría de seguridad puede que se haya convertido en uno de los servicios más demandados por las organizaciones. No importa el tamaño de la organización o el sector al que se dedique, ya que esto depende de tres factores clave. Por un lado, la información es el activo más valioso del que tienen posesión las organizaciones hoy en día. Por otro lado, el número de ciberataques se han disparado en los últimos años, y muchas de estas amenazas se dirigen al robo de información. Y, por último, los usuarios son cada día más exigentes con las organizaciones en las que confían en lo que a la utilización y tratamiento de datos se refiere.

Teniendo todo esto en cuenta, parece lógico que la seguridad en el ámbito informático es uno de los pilares más importantes de cualquier organización. Son muchas las empresas que requieren de una auditoría para evaluar la seguridad de la información, además de las redes y sistemas que la soportan. La gran parte de las organizaciones no tienen personal especialmente cualificado en la seguridad de la información, por lo que será necesario contar con un servicio de consultoría de seguridad que sea de confianza y calidad.

¿Qué hace una consultoría de seguridad informática?

Lo primero que se deberá realizar es la definición de lo que tratará el servicio y cuáles son los beneficios de contratarlo. Se basa en la implantación de una serie de técnicas por parte de profesionales cualificados para proteger la información de una organización. se deberá realizar un análisis de la información con la que se cuenta para evitar que se genere cualquier tipo de fallo en el sistema y la comunicación.

Los ataques cibernéticos, por desgracia, se encuentran a la orden del día en el ámbito tecnológico. Además, al contrario de lo que muchos pueden considerar ataques no se encuentran dirigidos de forma única a grandes organizaciones. Es mucho más, en los últimos años han incrementado de forma drástica los virus y malware que se aprovechan de la vulnerabilidad de los sistemas informáticos de pequeños negocios.

La consultoría en seguridad informática hace que la organización sea consciente de cuáles son las fortalezas y las debilidades del sistema. Así, puede implantar las metodologías más adecuadas para el control de los sistemas, consiguiendo plena disponibilidad, confidencialidad e integridad de todos los datos. Es necesario planificar una serie de políticas de seguridad tendiendo en cuenta las características y las necesidades con las que cuenta la organización.

Auditoría de seguridad

Cuando la empresa consultora realice la auditoría, el siguiente paso consiste en desarrollar y ejecutar un plan de acción para realizar las mejoras que sean necesarias, y evitar cualquier amenaza cibernética en la organización. lo mejor será mantener el control y la monitorización a lo largo del tiempo, con una supervisión continua con la que poder actuar en tiempo real ante una posible amenaza.

La utilización de dispositivos móviles se encuentra cada día más extendido en el ámbito corporativo, así que se hace necesario tomar medidas de seguridad en los mismos.

Por lo que, contratar a una consultora en seguridad será una excelente inversión tanto a corto como a largo plazo.

De esta manera, se garantiza la confidencialidad de la información y la integridad de los datos, dos aspectos claves para conseguir una buena reputación en la organización. además, la empresa obtiene el control de su infraestructura IT y tiene la oportunidad de desarrollar políticas de seguridad según sus necesidades y características.

Una vez implementado el sistema de gestión de seguridad de la información, se podrá contar con la herramienta tecnológica ISOTools Excellence para gestionarlo de una forma mucho más rápida y eficaz.

Software ISO 27001

Durante este artículo hemos hablado sobre la importancia de contar con una consultora para implementar la norma ISO 27001, y la importancia de contar con un Sistema de Gestión de Seguridad de la Información.

Pero igual de importante es todo lo que hemos hablado, como contar con una herramienta tecnológica ISOTools Excellence que facilite la labor al responsable de seguridad e la organización y que le permita cumplir con todos los requisitos teniendo bajo control todo su sistema de gestión con un solo software.

The post ¿Es necesario contar con una consultora para implementar la seguridad? appeared first on PMG SSI - ISO 27001.

Seguridad

Para las organizaciones cada día es más importante minimizar los incidentes de seguridad causados por fallos humanos. Las empresas de todo el mundo han estado trabajando de forma ardua para que sus trabajadores y contratista sean conscientes de lo importante que es proteger la información y prepararla para manejar los intentos de ataques e incidentes cuando sucedan.

Pero, ¿Qué sucede si la persona equivocada se le permite entrar en la empresa? ¿qué pasa si una persona que es competente para el trabajo, no es tan competente? Las mejores campañas de capacitación y concientización no le ayudarán con eso.

Durante el post de hoy, queremos que vea como la norma ISO 27001 aborda la seguridad de los recursos humanos antes de utilizarlo, y como sus prácticas pueden ayudar a su empresa a poner en marcha las personas adecuadas para el trabajo.

¿Por qué preocuparse por las personas antes de emplearlas?

En términos de seguridad de la información, podemos resumir la respuesta en dos palabras: confianza y competencia.

Cuando una empresa decide contratar a alguien, la persona interactúa con la información de otras personas, ya sea de otros trabajadores, socios o clientes. Es necesario que se asegure de que puede confiar en dicha persona para manejar y proteger la información.

Después de la confianza, cuando una empresa contrata, quiere encontrar a las personas más capaces de llevar a cabo actividades específicas con el fin de conseguir los objetivos comerciales, por lo que la verificación de las competencias es esencial.

Qué considerar antes de contratar personas

Una organización tiene que mostrar diligencias a la hora de contratar nuevos trabajadores para encontrar personas confiables y competentes.

Para implantar una red segura, se espera que una persona tenga sólidos conocimientos y experiencia en este tema. Si un posible empleado, es decir, un candidato para el puesto, no tiene competencias, no se le debe considerar para ese puesto, ya que la empresa puede ser considerada responsable en caso de problemas o incidentes.

Para garantizar que el aspecto se puede cumplir para la seguridad de la información, una verificación de antecedentes según ISO 27001 puede incluir:

• Verificación de la integridad y exactitud del curriculum vitae del solicitante.
• Verificar las referencias, ya sean personales o profesionales.
• Confirmar las calificaciones solicitadas.
• Identificar a la persona provista en la solicitud para el trabajo.
• Verificar y confinar de forma específica las relaciones con las especificaciones del trabajo que se lleva a cabo.

La norma ISO 27001 aborda la seguridad de los recursos humanos
Click To Tweet

Es importante tener en cuenta que se deben llevar a cabo verificaciones de antecedes. Solo por personas específicas y autorizadas y no solo para nuevos empleados o contratistas, sino también para el personal actual que es promovido o transferido a un nuevo puesto, porque los requisitos para el nuevo puesto pueden ser más estrictos.

En los casos en que un contratista realice las verificaciones de antecedentes en nombre de la organización, se tiene que definir un acuerdo entre la empresa y el contratista para garantizar que se realice el procedimiento y se comunique cualquier situación que genere dudas o inquietudes.

Limitaciones en las verificaciones de antecedentes

Las verificaciones de antecedentes involucran la recopilación de información que puede considerarse privada o íntima, o puede permitir la identificación del personal, se tiene que considerar algunos asuntos necesarios:

• Las verificaciones de antecedentes deben realizarse según las leyes, las regulaciones y la ética relevante, en el mundo globalizado de hoy, esto puede ser complicado cuando contrata personas que trabajan de forma remota desde otros países.
• La profundidad y cobertura de las verificaciones de antecedentes debe ser proporcional a lo que la empresa considere de forma relevante.
• La información recopilada durante las verificaciones de antecedentes tiene que manejarse y protegerse según las leyes, regulaciones y ética relevante.

Las buenas prácticas de fondo significan una mejor seguridad y rendimiento

Contratar a alguien para que trabaje para su empresa puede ser el aspecto más crítico del negocio, no importa los buenos que sean sus procesos, equipos, recursos y sistemas, todos están en manos de los que contratará. En las manos equivocadas, incluso la mejor herramienta puede ser inútil o utilizarse para causar daños.

A la hora de realizar las verificaciones de antecedentes según los requisitos de la norma ISO 27001, puede minimizar los riesgos bajo rendimiento y comprometer la información crítica de la empresa.

Software para ISO 27001

El estándar internacional ISO 27001, junto con todas las normas que componen su familia, generan todos los requisitos necesarios para poder implementar un Sistema de Gestión de Seguridad de la Información de una forma rápida y sencilla, además el Software ISOTools Excellence para ISO 27001 presta solución a todas estas cuestiones que se plantean a la hora de implementar un Sistema de Gestión de Seguridad de la Información en una empresa.

The post Cómo realizar las verificaciones de seguridad según ISO 27001 appeared first on PMG SSI - ISO 27001.

ISO 27001

Existe un ambiente dinámico de los riesgos en seguridad, ya que muestra continuos cambios, nuevas amenazas se desarrollan, se descubren vulnerabilidades e incidentes de seguridad que tienen grandes repercusiones. Es cuestión de tiempo que las organizaciones padezcan las consecuencias de dichas amenazas, por eso deben protegerse con la norma ISO 27001.

Lo más importante es encontrase preparado para atender ciertas incidencias, sin dejar de lado las medidas preventivas y proactivas que minimicen la probabilidad del impacto que pueda generar, además de las acciones correctivas necesarias para solventar los problemas.

Según la RAE, gestionar es realizar diligencias que conduzcan al conseguir un negocio. Con esta definición se quiere proteger la información que es fundamental para conseguir los objetivos de las organización, por lo que en el ámbito de la organización, se convierte en necesidad gestionar la seguridad de la información.

Los incidentes en seguridad se pueden generar por desconocimiento o negligencia de las personas, puede ser que sea de forma accidental o de forma deliberada (lo que supone un ataque), por esto se debe considerar la aplicación de las diferentes perspectivas para incrementar y mejorar la seguridad de la información. Una forma de conseguirlo mediante la alineación de estándares y utilizar mejores prácticas en la materia.

Se puede aplicar la norma ISO 27001 como base a dicho principio, por lo que durante este post conoceremos los dos pilares que conforman dicho documento, además de las ideas básicas plasmadas en el mismo.

El estándar internacional usado durante la gestión de la seguridad de la información es ISO 27001, en ella se representa la experiencia acumulada por los expertos en el tema. Aunque la implantación se debe realizar en función de las características, las necesidades y las condiciones de cada empresa, existen unos primeros pasos con lo que se relacional el conocimiento del documento y sus propósitos.

Queremos conocer el contenido del estándar, es decir, los pasos a seguir para realizar el proceso de  implementación. La estructura se reduce a dos elementos básicos: las cláusulas de los requisitos para que una empresa funcione de forma alineada con un Sistema de Gestión, junto con los objetivos de control y los controles de seguridad, lo que establece diferentes puntos de vista en la protección.

Pasos a seguir a la hora de trabajar con un Sistema de Gestión de Seguridad de la Información:

Lo primero que debemos considerar en el estándar son las cláusulas que definen todas las actividades necesarias para poder definir y establecer, implantar y operar, monitorear y revisar, además de mantener y mejorar un Sistema de Gestión de Seguridad de la Información ISO 27001.

La nueva versión de la norma ISO 27001 no se considera de forma explícita como un modelo de mejora constante, de forma implícita se consideran las diferentes fases que concuerdan con el Anexo SL, es decir, la estructura que utilizarán todos los estándares ISO para establecer cláusulas parecidas.

Mediante el seguimiento y la aplicación de las actividades que se definen en las 10 cláusulas, las empresas comienzan por dar forma a su Sistema de Gestión de Seguridad de la Información ISO 27001. Para que se encuentre alineada al estándar, una empresa debe cumplir con las cláusulas 4 a 10.

Para la misma edición, los requisitos comprenden elementos clave, como comprender el contexto de la empresa, las actividades que generan liderazgo de la altar dirección, el planteamiento, el soporte que establece los recursos necesarios, las competencias y la concienciación de las personas, además de operar con el SGSI, evaluar su desempeño gracias a las auditorías y las revisiones por la dirección, de forma final se mejora el sistema de gestión por medio de acciones correctivas.

Definir los objetivos de control y los controles de seguridad

El segundo elemento que conforma la estructura del estándar los objetivos de control y los controles de seguridad que son descritos en el Anexo A de la norma ISO 27001.

El estándar define un objetivo de control como el que se anuncia para describir lo que quiere conseguir, el resultado de la implantación de controles, además del control descrito como una medida que modifica el riesgo. Es importante mencionar que para modificar el riesgo, se deben tener en cuenta dos variables:

• Probabilidad: es la posibilidad de que ocurra algo.
• Impacto: son las consecuencias que pueden representar.

En mejor de los casos, un control modifica ambas variables.

El control no siempre tiene porque generar los resultados esperados, lo que se traduce en adecuarse al mismo, en sustituirlo o aplicarlo según los controles complementarios. Se pueden incluir una serie de procesos, políticas, dispositivos, prácticas u otras acciones que modifican los tipos de riesgos.

El Anexo A del estándar describe un listado de 114 controles de seguridad que se agrupan en 35 objetivos de control, que además se deben considerar 14 dominios, entre los que están las políticas y la organización respecto a la seguridad de la información, seguridad de recursos humanos, gestión de activos, control de procesos, criptografía, seguridad física, seguridad de las operaciones y de las comunicaciones.

Los dominios se consideran mediante diferentes perspectivas para proteger la información, por lo que también se incluyen objetivos de control específicos para realizar el mantenimiento, el desarrollo y la adquisición de sistemas, medidas de seguridad para relaciones con proveedores, gestión de incidencias de seguridad, continuidad de negocio y controles para el cumplimiento.

Podemos concluir con que la norma ISO 27001 presenta la siguiente estructura básica:

• En primer lugar se encuentran todas las clausulas en las que se definen los requisitos para implementar, operar, revisar y mejorar el Sistema de Gestión de Seguridad de la Información.
• En segundo lugar se encuentra el Anexo A, en el que se describen todos los controles para proteger la información.

Muchos elementos de la norma ISO 27001 son considerados con diferentes perspectivas: acciones y controles de seguridad que son aplicadas de forma previa a los incidentes, elementos proactivos como planes en caso de contingencia, seguridad ofensiva y enfoques reactivos.

El contenido que presenta la norma ISO 27001 tiene la intención de gestionar la seguridad, es decir, tomar decisiones que conduzcan hacía el propósito básico de proteger la información más importante de las empresas, al tiempo que conseguir los beneficios de alinearse a los demás estándares ISO.

Sistema de Gestión de Seguridad de la Información

El Software ISOTools Excellence para ISO 27001 para la Seguridad de la Información se encuentra compuesta por diferentes aplicaciones que, al unirlas, trabajan para que la información que manejan las empresas no pierda ninguna de sus propiedades más importantes. Facilita el cumplimiento de las diferentes fases del ciclo de mejora continua.

The post ¿Por qué aplicar la norma ISO 27001? appeared first on PMG SSI - ISO 27001.

Sistema de Gestión de Seguridad de la Información

La norma ISO 27001 sobre la Seguridad de la Información, conseguir tener seguridad cuesta tiempo, dinero y esfuerzo. Es posible que se obtengan diferentes niveles mínimos de seguridad sin gastar de forma considerable.

Conseguir una protección adicional requiere de incrementar los niveles de gastos, obteniendo retribuciones menores. La economía es muy necesaria y es importante para asegurarse que existe una relación coste/beneficio razonable con respecto a las medidas de seguridad.

Para conseguir todo eso es necesario establecer ciertas prioridades. Éstas serían:

• ¿Qué se desea proteger?

Es importante conocer el valor de hardware y las tareas que lleva a cabo. La valoración tiene que realizarse de forma individual, por lo que es muy valioso para algunas organizaciones, lo que no conlleva que para otras lo sea.

• ¿De quién se quiere proteger?

Para que no se produzcan gastos innecesarios, es muy importante conocer los tipos de riesgos a los que se encuentra expuesta nuestra información. La seguridad efectiva tiene que garantizar la prevención y detectar los accidentes, ataques, daños, además deben existir diferentes medidas definidas para afrontar los desastres y conseguir establecer las actividades.

• ¿Qué cantidad de tiempo, esfuerzo y dinero está dispuesto a invertir?

La organización debe conocer la cantidad de recursos de los que dispone a la hora de invertir en la empresa, o establecer las instancias que se deben llevar a cabo.

Los recursos son:

• Tiempo: establece un nivel de seguridad alto resulta necesario para quien dedica su tiempo a configurar parámetros de seguridad en el Sistema de Gestión de Seguridad de la Información, el ambiente de trabajo de los usuarios, revisión y fijación de los permisos de acceso a los archivos, ejecución de programas para el monitoreo de seguridad, etc.
• Esfuerzo: establece y mantiene un nivel adecuado de seguridad para que el esfuerzo sea por parte del encargado, sobre todo si suceden problemas de seguridad.
• Dinero: los responsables de los Sistemas de Gestión de Seguridad de la Información cuesta el dinero. De igual manera que cuesta el dinero la adquisición de los productos de seguridad que se utilicen, bien sean programas o equipos completos.

Resulta muy importante analizar los costos que tendrán, las pérdidas o los accesos no autorizados a la información. Dependiendo de esto, y en el que caso de que se realice un acceso no autorizado, el efecto que se genera en pérdidas económicas puede poner en peligro la consecución del Sistema de Gestión de Seguridad de la Información ISO 27001.

Teniendo en cuenta lo que acabamos de decir se deben considerar ciertos planes de seguridad, como pueden ser:

• Formular medidas suficientes para conseguir un nivel de seguridad adecuado, obteniendo un equilibrio en torno a los niveles de riesgo.
• Justificar las medidas de seguridad en cuanto al costo que pueden suponer.

Se tiene que contar con que es prácticamente imposible conseguir que un Sistema de Gestión de Seguridad de la Información ISO 27001 sea completamente seguro, ya que se debe a que no pueden prever las amenazas aunque la seguridad se incremente a niveles muy elevados, ya que siempre hay alguna de acceder sin autorización.

Determinar de forma correcta la seguridad que debe tener se estudian dos puntos de vista diferentes: el primero constará de elementos administrativos desarrollados para obtener un buen control de la organización y el segundo está compuesto de los elementos que integran la seguridad física.

Normas obligatorias

El objetivo que persigue la Gestión de la Seguridad de la Información según ISO 27001 es realizar de forma efectiva las actividades por parte de la organización.

La Seguridad de la Información es el resultado de unir política de seguridad y procedimientos en los que se identifican, controlan y protege la información y cualquier equipamiento utilizado para almacena, transmitir y procesar la información.

Alguna persona de la dirección de la organización que tenga la autoridad apropiada debe aprobar la política de Seguridad de la Información que debe ser comunicada a todas las personas que forman parte de la organización y a los clientes que sea necesario.

Controles adecuados de seguridad deben funcionar para:

• Implantar los requisitos de la política de seguridad de la información.
• Gestionar los riesgos asociados al acceso del servicio o de los sistemas.

Los controles de seguridad tienen que encontrarse perfectamente documentados. Esta documentación tiene que describir los riesgos a los que se encuentren asociados los controles, y la forma de usarlos, además del manteamiento de éstos. El impacto de los cambios sobre los controles tiene que estar valorado antes de que los cambios se implementen. Los acuerdos que implican el acceso de terceras personas en el Sistema de Información y en los servicios que ofrece se debe basar en un acuerdo formal en el que se incluyan todos los requisitos de seguridad necesarios.

Los incidentes producidos en seguridad deben ser comunicados y registrados de acuerdo a los procedimientos de gestión de incidencias tan pronto como sea posible. Se deben utilizar procedimientos que aseguren que las incidencias de seguridad son investigadas, y se toman las medidas oportunas para esto.

Se deben establecer ciertos mecanismos que faciliten la cuantificación y monitorización de las incidencias, además del mal funcionamiento de la seguridad, y ofrecer entradas del plan de mejoras.

El personal que provee el servicio debe contar con roles de especialista en Seguridad de la Información, y debe estar familiarizado con la norma ISO 27001.

El proveedor del servicio debe:

• Mantener actualizado el inventario de activos de información, ya que son necesarios para prestar los servicios necesarios.
• Clasificar los activos según la criticidad para el servicio y el nivel de protección que se requieran, además de nombrar a un responsable de la protección.
• Clasificar cada activo según la criticidad de éste y el nivel de protección que requiera.
• Los responsables de la protección de los activos debe ser del propietario de los activos.

Software para ISO 27001

El estándar internacional ISO 27001, junto con todas las normas que componen su familia, generan todos los requisitos necesarios para poder implementar un Sistema de Gestión de Seguridad de la Información de una forma rápida y sencilla, además el Software ISOTools Excellence para ISO 27001 presta solución a todas estas cuestiones que se plantean a la hora de implementar un Sistema de Gestión de Seguridad de la Información en una empresa.

The post ISO 27001: Las consideraciones en Seguridad de la Información appeared first on PMG SSI - ISO 27001.

ISO 27001

Según la norma ISO 27001 la seguridad de TI comprende a todos los activos de información y como hoy en día casi todo se encuentra informatizado se extiende a casi toda la organización.

En el momento que se abra una cuenta bancaria, se efectúa el registro en un hotel, se obtiene una tarjeta de crédito, se asocia a un club, se registra en internet, etc. se obtienen datos que pueden ser mal utilizados dando lugar a ciertas vulnerabilidades.

Violar la confidencialidad de la información, por considerar sólo un aspecto, puede suponer una infracción de las obligaciones legales, como puede ser la Ley de Protección de Datos o el mantenimiento en reserva de la identidad de los donantes y receptores de órganos que establece el reglamento de Ley 24193 en Argentina.

Un ejemplo de lo que hemos hablado es la confidencialidad de las historia clínicas y los datos clínicos de los pacientes, que exponemos en el siguiente caso:

Es un recurso de amparo constitucional contra la sentencia que se dictó en la Salda de los Social del Tribunal Superior de Justicia de Cataluña.

Según los hechos declarados, la entidad demandada dispone de unos locales de empresa en los que se realizan las visitas de sus empleados facultativos de la Seguridad Social y donde se encuentran ubicados, además de todos los servicios médicos de la organización. Los servicios son prestados por cuatro médicos, tres de ellos son facultativos de un centro de salud a la misma vez que trabajadores de la entidad.

La organización cuenta con un sistema informático, con una sola base de datos, en la que existen los ficheros médicos en los que constan con los resultados de la revisiones periódicas que se realizan por los servicios médicos de la organización y las empresas médicas subcontratadas, además  como los diagnósticos médicos de todas las bajas por incapacidad temporal de los trabajadores recetadas por los facultativos de la Seguridad Social.

El fichero médico, que se encuentra individualizado, no está dado de alta como tal en la Agencia de Protección de Datos y de forma única tienen acceso a éste los facultativos y un empelado del banco, en su calidad de administrador único de informática, que se encuentra en la Jefatura de Personal, en RRHH que facilita la clave de acceso.

El empleado se dirigió de forma escrita a la entidad de crédito en la que presta sus servicios, solicitando una relación de todos los datos relativos a la salud de los trabajadores en los ficheros informáticos que posee el banco. En respuesta de dicha solicitud, el director de servicios médicos de la organización remitió al interesado los datos médicos que se referían a él y que existía en el fichero informatizado que se ha utilizado por el servicio, siendo todos las bajas temporales causadas por el trabajo, con las fechas correspondientes de alta, baja y diagnóstico, como establecen los impresos oficiales.

El empleado sigue pensando que el archivo no se encuentra dado de alta en la Agencia de Protección de Datos, por lo que no existe ningún responsable oficial del mismo y a él tiene acceso los cuatro médicos contratados por la entidad, además el trabajador del banco adscrito al área de personal que no ostenta la condición de facultativo y facilite la clave de acceso al sistema, lo que sería un atentado contra la confidencialidad de los datos.

Existe un artículo que determina que se debe dar el consentimiento del afecto para que se trate de forma automatizada de datos personales, solo que por ley se disponga lo contrario, o cuando una relación contractual dichos datos sean precisos para mantener o cumplimentar el contrato. Y ni la Ley General de Sanidad, ni las normas reglamentarias reguladores de todos los servicios médicos de la empresa y de la colaboración de las organización la Seguridad Social autorizan las creación de este tipo de fichero sin mediar el consentimiento de los afectados.

De forma única, la seguridad social puede crear este tipo de ficheros, pero cuenta con muchas limitaciones. No existe habilitación legal para crearlo, ya que solo se encuentra disponible los datos imprescindibles para cumplir con el contrato o mediante el consentimiento expreso del afectado, en este caso no fue así.

Uno de los fundamentos del fallo se indica porque la ley limita la utilización de la información con la que garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos. Agrega que la llamada “libertada informáticas” es el derecho a poder controlar la utilizar de los mismos datos que se encuentran en un programa informático y comprende la oposición del ciudadano a que determinado datos personales se utilizan para fine diferentes de aquél que justificó su obtención.

El tribunal constitucional le dio la razón al trabajador y declaró que existían diagnósticos médicos en la base de datos “absentismo con baja médica”, cuya titularidad era de la entidad. Se decidió restablecer el derecho vulnerado, y ordenó la inmediata supresión de las referencias existentes a los diagnósticos médicos contenida en la citada base de datos.

Como conclusión, podemos decir que resulta imprescindible que exista una clasificación de la información que facilita la protección de los datos personales y que sólo prevé el acceso a los datos y el tratamiento de éstos por las personas que necesitan cumplir dicha función.

Sistema de Gestión de Seguridad de la Información

El Software ISOTools Excellence para ISO 27001 se encuentra diseñado para implantar un Sistema de Gestión de Seguridad de la Información en cualquier tipo de organizaciones y, entre otros aspectos, trabajar para que la comunicación de la información sea lo más segura posible.

The post ISO 27001: ¿Cómo evitar la vulnerabilidad en la información? appeared first on PMG SSI - ISO 27001.