Plan Director de Seguridad
La realización del Plan Director de Seguridad es importante dividirla en dos fases:
1. ANÁLISIS. Consiste en conocer la situación actual de la organización en materia de seguridad. Para ello se llevarán a cabo diferentes análisis considerando aspectos técnicos, organizativos, regulatorios y normativos, entre otros. Es importante reunir la información necesaria para conocer la organización y evaluar su situación actual.
Los siguientes pasos nos permitirán obtener conocimiento para:
- Identificar los activos de información de la organización, cada uno de los cuales estará expuesto a unas amenazas determinadas y tendrá unas vulnerabilidades asociadas.
- Del paso anterior, que nos describe el estado del activo, obtenemos el riesgo intrínseco. Es decir, el riesgo al que está expuesto el activo «por defecto» antes de la aplicación de los controles específicos.
- El paso siguiente, es determinar la probabilidad de materialización de un riesgo intrínseco, que dará como resultado un impacto, es decir, las consecuencias que tiene para la organización la materialización de la amenaza.
- A continuación, debemos identificar aquellos riesgos que, por su probabilidad, impacto o ambos, no son aceptables para nuestra organización. Esta decisión debemos tomarla de acuerdo a la estrategia corporativa y en función de los riesgos que estemos dispuestos a asumir.
2. ACCIONES. Una vez analizada la situación actual en términos de seguridad e identificados los activos que tenemos en situación de riesgo, consiste en determinar el nivel de riesgo aceptable: el valor umbral que determina los riesgos que deben ser tratados y los riesgos que no son asumibles, y en base a esto:
- Definir las acciones, iniciativas y proyectos necesarios para alcanzar el nivel de seguridad que la organización requiere.
- Determinar las iniciativas dirigidas a mejorar los métodos de trabajo actuales, para que contemplen los controles establecidos por el marco normativo y regulador.
- Poner en marcha un conjunto de acciones relacionadas con la ausencia o insuficiencia que hemos detectado.
- Definir la estrategia a seguir así como los proyectos más adecuados para gestionar los riesgos situados por encima de nuestro riesgo aceptable.