Los peligros de tener un virus en el ordenador y cómo protegerse con ISO 27001

El valor de la información

La información es uno de los activos más valiosos de cualquier empresa y por ello deber ser protegido de posibles ataques externos de individuos que pretendan hacer un uso fraudulento de los datos y las Tecnologías de la Información (TI) de una organización.

La norma ISO 27001 es una solución de mejora continua en base a la cual puede desarrollarse un Sistema de Gestión de Seguridad de la Información (SGSI) que permita evaluar todo tipo de riesgos o amenazas que puedan pone en peligro la información.

El propósito de un sistema de gestión de la seguridad de la información es, por lo tanto, garantizar que los riesgos de la seguridad de la información sean conocidos, asumidos, gestionados y minimizados por la organización de una forma documentada, sistemática y  estructurada.

El peligro de los ataques informáticos

Tener un virus en un equipo informático, ya sea particular o de empresa, entraña peligros muy graves, y a veces irreparables. Estos son algunos de ellos:

• Perder información o aplicaciones informáticas fundamentales para el funcionamiento de la organización.
• Que alguien haga un uso fraudulento de datos personales y críticos de terceros.
• Enfrentarse a sanciones, multas y pleitos judiciales por no haber garantizado el cumplimiento de la legalidad vigente.
• Perder la confianza de clientes, socios estratégicos y de los propios trabajadores.
• Estropear la imagen de marca, la reputación como empresa y perder ventaja competitiva.
• Enfrentarse a costos inesperados por interrupciones de actividad.

Fundamentos de un SGSI basado en la ISO 27001

Un SGSI basado en la norma ISO 27001 se basa en la identificación y análisis de las principales amenazas para, a partir de este punto de partida, poder establecer una evaluación y planificación de dichos riesgos.

La gestión de riesgos permite a las organizaciones conocer cuáles son las principales vulnerabilidades de sus activos de información.

Las metodologías utilizadas en la valoración de riesgos se basan en formulas que tienen en cuenta factores como:

• La probabilidad de la amenaza.
• La magnitud del riesgo.
• El nivel de confidencialidad de los datos manejados.

El tratamiento de los riesgos

La norma ISO 27001 estableces una serie de requisitos y puntos de control (un mínimo de 113 aunque cada empresa pueda añadir los que considere convenientes) para que cada empresa pueda hacer frente a sus propios riesgos, tanto reales como potenciales.

Eliminar el riesgo

Si el riesgo es muy crítico, hasta el punto de que pueda poner en peligro la propia continuidad de la organización, ésta debe poner todos los medios para tratar de eliminarlo, de manera que no haya ninguna posibilidad de que la amenaza se llegue realmente a producir.

Mitigarlo

Cuando no es posible llegar a un punto cero en lo que a un riesgo se refiere, ya sea porque no sea posible técnicamente o bien porque la empresa decida que no es un riesgo suficientemente crítico, la organización puede aceptar el riego,

En este caso la empresa es consciente de que la amenaza para la información existe y trata de implantar las medidas preventivas o correctivas necesarias con el fin de reducir la posibilidad de ocurrencia o el impacto de riesgo.

Trasladarlo

Esta opción está relacionada con la contratación de algún tipo de seguro que compense las consecuencias económicas de una pérdida o deterioro de la información.

Software específico para la ISO 27001

La Plataforma ISOTools se basa en un software de automatización que permiten poder llevar a cabo una gestión muy eficaz y exhaustiva de cualquier tipo de riesgo, incluidos los ataques informáticos.

Con este software modular basado en el ciclo PHVA es posible poner en marcha procesos de identificación automática de los riesgos a los que está expuesta cada organización y alinear cada riesgo con propuestas de posibles controles para conseguir reducir los riesgos de las compañías.

Otra posibilidad es realizar proyecciones y simulaciones que permitan visualizar los resultados que se podrían obtener con la implantación de los controles definidos en el plan de tratamiento de riesgos.