Comite de Seguridad de La Informacion

CAPITULO 4. COMITÉ DE SEGURIDAD DE LA INFORMACIÓN

4.1 OBJETIVO

Crear un Comité encargado de tratar los temas concernientes a la seguridad de la información de la compañía, donde deberá de asignar responsables, tareas, actividades y tomar decisiones en cuanto a seguridad se refiere respaldado por la Alta Gerencia, siempre buscando la mejora del SGSI.

4.2 IMPORTANCIA

La creación de un comité de seguridad de la información es primordial en la implementación del SGSI, ya que es el ente que regula cualquier cambio dentro del sistema de gestión, siempre apuntando a una mejora constante.

4.3 SELECCIÓN DE LOS INTEGRANTES

La escogencia de sus integrantes debe ser acorde con el rol que desempeñen en la compañía, con su posición en el árbol organizacional y con las personas que tengan a cargo; ya que los miembros son los encargados de velar por el correcto desempeño del sistema de gestión desde el área que esté a su cargo, así mismo son los encargados de revisar minuciosamente cualquier documento del sistema de gestión para la aprobación por el mismo Comité.

4.4 FUNCIONES DEL COMITÉ DE SEGURIDAD DE LA INFORMACIÓN

•

Revisión, aprobación y Actualización de las Políticas y estándares del SGSI

1

• • • • • • • • • •

Establecer proyectos especiales para la identificación de amenazas potenciales Evaluar la efectividad de las medidas tomadas Elaborar un plan de formación y de sensibilización Presupuestar los recursos necesarios Planificar auditorías internas periódicas del SGSI Sancionar las medidas de seguridad en el procesamiento de la información Validación jurídica de las medidas a implantar Planificar un análisis y evaluación de riesgos de la compañía, mínimo cada año. Revisión del procedimiento de gestión de incidentes de seguridad Reportar a la alta gerencia sobre eventos e incidentes de seguridad

4.4.1 Descripción de las Funciones del Comité de Seguridad de la Información •

•

•

•

•

•

Revisión, aprobación y Actualización de las Políticas y estándares del SGSI: Consiste en estudiar las Políticas de Seguridad de la compañía en busca de mejoras. Establecer proyectos especiales para la identificación de amenazas potenciales: Consiste en buscar amenazas que no se hayan tenido en cuenta antes en un análisis de riesgos. Evaluar la efectividad de las medidas tomadas (uso de indicadores): Se apreciaran los resultados de los controles aplicados por medio del uso de indicadores e indicando si están cumpliendo o no con su objetivo y tomar las medidas necesarias. Elaborar un plan de formación y de sensibilización: Consiste en construir un plan donde las personas vinculadas a la compañía se sensibilicen y tomen conciencia en el tema de seguridad de la información. Presupuestar los recursos necesarios: Calcular los recursos que se necesitaran para la ejecución de un proyecto a aprobar por el Comité. Planificar auditorías internas periódicas del SGSI: 2

•

•

•

•

•

Se deben planear auditorias constantes para evaluar la efectividad del SGSI y el cumplimiento de la norma. Sancionar las medidas de seguridad en el procesamiento de la información: Cuando ocurra un incidente de seguridad se evaluará su impacto y de acuerdo a éste se tomarán las medidas necesarias para sancionar a los entes responsables de dicho incidente Validación jurídica de las medidas a implantar: Se recurrirán a los entes encargados de los temas jurídicos para validar las medidas necesarias cuando un incidente de seguridad lo requiera. Planificar un análisis y evaluación de riesgos de la compañía, mínimo cada año: Se deberán estipular fechas para realizar un análisis de riesgos de la compañía. Revisión del procedimiento de gestión de incidentes de seguridad: Se revisará el procedimiento en busca de una mejora continua, basados en las experiencias propias y de otras compañías. Reportar a la alta gerencia sobre eventos e incidentes de seguridad: Se reportarán los eventos que se consideren necesarios, debido a su impacto en la compañía a la Gerencia.

4.5 DOCUMENTACIÓN

Se deberá seguir la estructura de gestión de documentos para crear las actas en cada reunión del Comité de Seguridad, registrando todas las decisiones que se tomen y temas tratados. Esto es para dejar constancia o evidencia objetiva para el Sistema de Gestión de Seguridad de la Información al momento de que haya una auditoria.

3