Los planes de seguridad de la información en Andalucía se sustentan sobre la estrategia institucional y forman parte del Plan Estratégico de Tecnología de la Información y del Plan Estratégico de Seguridad de la Información. Lucía Villacis, jefe de Seguridades de la Información de Andalucía, señala que la adopción de políticas, normativas y herramientas de seguridad de la información y, por ende, de la ciberseguridad es neurálgica, y los líderes de la gestión de la seguridad de la información pertenecen a la Alta Dirección.
La institución está en crecimiento y ha diseñado nuevos servicios que se adaptan a las necesidades de sus clientes. La seguridad y ciberseguridad forman parte de la implementación de cualquier servicio en la entidad, indica Lucía Villacís. “Cada iniciativa de seguridad de la información y, por ende, de la ciberseguridad, sigue la política general de la seguridad de la información, con la implementación de los controles necesarios para mitigar los riesgos existentes, incluyendo herramientas de prevención, detección y monitoreo, con capacitaciones necesarias al personal conforme su nivel de acción para la respuesta inmediata ante cualquier evento”, detalla la experta.
La adopción de herramientas e implementación siguen un proceso que empieza con la evaluación y adquisición según las normas internas definidas. “Nos basamos, principalmente, en definir la necesidad, en realizar un análisis del costo-beneficio, establecer los tiempos de implementación y el soporte de la empresa tanto en configuración como en la post-implementación”.
Con relación a terceros se basan en el manual de adquisiciones donde se encuentran los requisitos indispensables que deben cumplir, los mismos que deben ser evaluados previa contratación, además, dependiendo del servicio del tercero, estos deben enmarcarse en las políticas de seguridad establecidas, señala Villacís.
La tarea de incluir a la seguridad de la información como parte de las actividades de los usuarios es permanente. A nivel de herramientas, comenta la ejecutiva, “tratamos que sean imperceptibles al usuario, a su comportamiento y se da énfasis en un plan de concienciación permanente”.
Hay muchas prácticas adoptadas, unas muy simples y otras más complejas. Las mejores prácticas adquiridas con la implementación de iniciativas de seguridad y ciberseguridad van desde lo más simple a lo complejo. Con relación a los usuarios se ha trabajado en el cuidado de las claves, el resguardo de la información física y electrónica que manejan, y el reporte inmediato ante un correo que consideran sospechoso.
Recientemente, realizaron el despliegue de agentes en los activos a monitorear y conexión a un SOC externo para la gestión de incidentes de seguridad. Para Lucía Villacís, la mayor dificultad en la implementación fue la configuración de la herramienta en algunos activos con características particulares.
Esta decisión les ha permitido contar con alertas tempranas y reacción inmediata con un monitoreo 24/7 los 365 días del año.
Con la adopción de esta solución han logrado un monitoreo continuo y permanente de las notificaciones enviadas por la herramienta para la corrección o remediación, si fuera el caso.
Para Lucía Villacís, uno de los mayores desafíos en materia de seguridad de la información que debe enfrentar una organización cuando se adoptan nuevos procesos e implican cambios de tecnología es lograr que todas las partes interesadas reconozcan la importancia de la seguridad de la información y forme parte de la cultura organizacional.