Ciberseguridad: ¿cuál es el factor clave para proteger la información?

Sergio Oroña, socio gerente de Consulting Services, empresa especialista en integración de infraestructura y seguridad de tecnología de la información (TI), analiza en la siguiente entrevista de iProfesional los factores claves que debe tener en cuenta una organización frente al crecimiento de la delincuencia informática.

-¿Por qué los equipos de seguridad son esenciales para las empresas hoy en día?

-El activo más importante que tienen hoy las empresas, las organizaciones y las agencias gubernamentales es la información, por ende, custodiar ese activo es la misión número uno de las compañías.

Es por eso por lo que los equipos de seguridad son imprescindibles dentro de las estructuras, en lo que es la fase empresarial totalmente alineada al negocio, y para lo que es el Estado y las agencias gubernamentales custodiando la información a nivel país, a nivel municipio, o provincial es una tarea obligatoria dentro de los organismos.

-¿Cuál es hoy el mayor problema de seguridad para los equipos de seguridad al administrar el personal que trabaja desde casa?

-El problema es que los usuarios que trabajan de manera remota no cuentan con toda la protección que suelen tener estando dentro de las organizaciones y muchas veces están librados a una conexión pública de una banda ancha.

El mayor problema con el que se encuentran hoy los equipos de seguridad informática es que no cuentan con los recursos o el presupuesto para poner tecnologías que permitan que aquellos que hacen home office estén tan seguros como cuando están trabajando dentro de la compañía.

Esas tecnologías que existen hoy son de bajo costo, pero puede que la empresa no disponga del presupuesto para que el trabajador esté tan seguro trabajando tanto dentro fuera de la empresa físicamente.

Los trabajadores remotos muchas veces están librados a una conexión pública de una banda ancha.

-¿Cómo debe estructurarse un área de ciberseguridad en una organización?

-Hay un relevamiento que indica que de las 500 empresas del Fortune500 solamente 250 de ellas cuentan con un Chief Information Security Officer (CISO), esto es una escala a nivel mundial, y en América latina solo el 1% de las empresas lo tienen. Él es el responsable de la custodia del activo digital. ¿Como se debe estructurar un área? Hay tres condimentos:

En primer lugar, lo más importante es contar con un CISO que va a ser el responsable del manejo de la seguridad de la información dentro de la compañía o del ente gubernamental.

Esta persona vela porque los procesos, la cultura, el monitoreo, la remediación se esté ejecutando para que los datos estén a salvo. Luego hay tres líneas de defensa que deben considerarse:

• El aseguramiento y tomar control del dato.
• El riesgo y el cumplimiento, una línea de apoyo donde se encuentran definidas las políticas de la información.
• La auditoría interna que hace el proceso de mejora continua porque está permanentemente evaluando que las políticas y las tecnologías que estamos implementando para custodiar el activo digital lo estén haciendo de la manera correcta y que se vayan actualizando las herramientas ya que en seguridad informática se va actualizando todo de manera muy rápida.

-¿Cómo se realiza una evaluación de riesgos de ciberseguridad en una organización?

-Es importante hacer un "assessment" (evaluación) que es una evaluación del estado interno y externo en términos de seguridad de la información, cómo está la compañía parada de cara a Internet y cómo estamos parados dentro de nuestra compañía de cara a la seguridad de usuarios.

Este tipo de assessment se realiza con herramientas tecnológicas y con consultores y especialistas de ciberseguridad que están a cargo de cómo están los procesos y las tecnologías utilizadas.

Sergio Oroña.

Luego se hace un reporte donde se detallan puntos de mejora, tecnologías que deben ser incorporadas a la empresa o la organización con el fin de velar más por el activo informático.

-¿Cuáles son los desafíos de la ciberseguridad hoy en la Argentina y cómo se los debe abordar en una organización?

-Es el término de cultura de ciberseguridad, hay que trabajar mucho en eso. Sería muy útil que, desde el aspecto educativo, en los colegios se debería explicar ya de base y que forme parte de su día a día para que cuando se conviertan en profesionales que esto forme parte de su día a día.

Es muy importante formar a personas que puedan cubrir ese cargo para tener un socio estratégico de seguridad informática ya que va a cumplir un rol muy importante tanto como responsable financiero o de recursos humanos o como jefe de operaciones.