Sistema de gestión de seguridad de la información basado en la familia de normas ISO/IEC 27000

Abstract

La gestión de la seguridad de la información se ha convertido en un proceso fundamental en las organizaciones modernas, de modo que ha dejado de ser tan solo un tema del área de tecnologías de la información y las comunicaciones (tic) para convertirse en una prioridad de la alta dirección (ibm, 2011), y justificado en el contexto organizacional, como mínimo, desde tres perspectivas: la importancia de la información como recurso vital para el cumplimiento de los objetivos, la respuesta a las diversas amenazas tecnológicas que ocurren en el día a día y el cumplimiento de las diferentes normas de protección de la información impuestas por los gobiernos. En relación con la importancia de la información como recurso, esta se considera un activo crítico de la organización a través del cual no solo se toman decisiones, sino que además es un insumo fundamental para la operación diaria de la empresa y la transformación, incluso, de los modelos de negocio; de allí la necesidad e importancia de su adecuada protección. Desde el punto de vista de las amenazas tecnológicas, en los últimos años se ha incrementado la cantidad y sofisticación de las amenazas a las que están expuestas las organizaciones, de modo que son múltiples los ataques a los sistemas de información y a las diferentes infraestructuras tecnológicas en el que se soporta su funcionamiento, dado que se ha intensificado de manera exponencial en periodos recientes y ha atacado compañías cuyo principal activo es la información. Casos como los ocurridos a Yahoo en 2014, con cerca de 3 000 000 000 de cuentas de usuarios comprometidas, o al gigante de ventas y subastas online, eBay, con el robo de información de cerca de 145 000 000 de usuarios en 2014, o la filtración de información sufrida por Uber en octubre de 2016, cuando se logró filtrar información de cerca de 600 000 conductores.