Todo sobre tu plan director de ciberseguridad (I): ¿qué es?

Cuando se habla de ciberseguridad en la empresa puede parecer a los no iniciados que nos estamos refiriendo a una serie de criterios, iniciativas y buenas prácticas vagas y generales. Si es así, no estamos hablando de un plan director de ciberseguridad de verdad. Entonces, ¿en qué consiste, qué incluye, cómo se elabora?

Son demasiadas preguntas para contestarlas en una sola entrada de blog, así que hemos decidido dividir esta guía informativa general sobre el plan director de ciberseguridad en tres partes. Esta que tienes delante es la primera, en la que te contamos resumidamente qué es y por qué es imprescindible que cuentes con uno en tu pyme.

En Ciberprotect sabemos que no existe un plan de ciberseguridad, sino muchos; uno por cada empresa, en realidad, ya que cada organización tiene sus circunstancias y características. Por eso, aparte de ofrecer diferentes modelos de servicio, tenemos como principio que el plan se adapte como un guante a las necesidades de cada cliente.

Definiendo el plan director de ciberseguridad

Estaremos de acuerdo en que en el modelo económico actual, en el que realizamos buena parte de nuestra actividad con sistemas de información sobre soporte tecnológico (programas de ERP, plataformas de gestión en la nube, bases de datos de clientes, facturación, comunicación digital, etc.), esos sistemas son críticos y dicha información, más que estratégica. Para proteger información, sistemas y soportes, necesitamos un plan.

La definición “oficial” es fácil de encontrar (por ejemplo en esta píldora informativa de Acelera PYME): es el conjunto de proyectos, políticas y prácticas en materia de seguridad de la información en términos técnicos, organizativos y legales que vamos a plantear en nuestra empresa para reducir los riesgos a los que están expuestos nuestros activos por debajo de un umbral aceptable.

El PDS (las siglas habituales de “plan director de seguridad”) que necesitemos depende de variables propias de cada organización, entre las que cabe destacar las siguientes:

• Tamaño de la organización
• Nivel de madurez tecnológica y digitalización
• Sector económico al que pertenece
• Naturaleza de la información que se trata
• Contexto legal y regulatorio
• Objetivos y alcance
• Otros aspectos

Sea como sea, el PDS debe estar alineado con los intereses y objetivos estratégicos de la empresa, y debe incluir cuestiones como los recursos dedicados, las personas responsables y sus roles, los aspectos prioritarios, las medidas que tomemos, las obligaciones y buenas prácticas para los empleados y los colaboradores, etc.

Para terminar (de momento), también debemos fijar en nuestro PDS tanto los niveles como el alcance del control. Esto se refiere, por un lado, al nivel de complejidad del mismo (básico cuando es implementable con pocos recursos y funcionalidades sencillas; avanzado si incluye mecanismos sofisticados como recuperación de desastres). Y por otro, a si se ven implicados procesos, tecnologías o personas.