¿Para qué sirve un CISO (aka responsable de seguridad)?

Cuando me preguntan en qué trabajo y contesto que soy responsable de seguridad, lo habitual es que me imaginen organizando a personas que controlan puertas y pasean por pasillos en busca de ladronzuelos.

Cuando digo que soy responsable de seguridad en una empresa de tecnología, lo habitual es que me imaginen evitando que nos roben los móviles, los portátiles o las teles.

Cuando digo que soy responsable de seguridad de la información, lo habitual es que no tengan ni idea de qué les hablo. Entonces les explico que mi tarea es proteger la información valiosa de la compañía contra ataques informáticos de gente mala, fugas de información, malware, … Es entonces cuando me miran con cara de asombro y me dicen “ah, que eres un hacker!!”.

Pues no, no me considero un hacker y hago un inciso para explicar lo que yo entiendo por hacker. Me basaré en la definición dada por “The Internet Engineering Task Force (IETF®)”, muy del gusto de la comunidad de seguridad:

hacker –  A person who delights in having an intimate understanding of the  internal workings of a system, computers and computer networks in particular. The term is often misused in a pejorative context, where “cracker” would be the correct term.

Partiendo de la base de que considero un hacker a una persona apasionada de la tecnología que aprende constantemente con el objetivo de llevarla hasta el límite para poder mejorarla, no me considero hacker ya que no entro en la parte final de la definición. Quizás si un half-hacker, pero para mí los hackers de verdad son gente tan top como los ponentes habituales de los congresos de seguridad, los creadores de tecnología, los que sin formación académica terminan siendo muy importantes dentro de grandes empresas, …

Pero volviendo a lo del principio, al final siempre surgen dudas sobre las tareas que realiza un CISO o responsable de seguridad así que te voy a hacer un pequeño resumen.

El CISO o responsable de seguridad en la norma ISO 27.001

Ahora que estoy trabajando en el contenido del Máster de seguridad y continuidad de negocio del que voy a ser docente, concretamente en la parte relacionada con auditoría 27.001, estoy describiendo cómo no se da como obligatorio el nombramiento de un responsable de seguridad. El motivo es sencillo, la norma se puede ajustar a compañías de cualquier tamaño y las pequeñas normalmente no tendrán recursos para mantener una persona que se encargue únicamente de esas tareas.

Sin embargo, en empresas de más tamaño, es importante que exista esa figura para que pueda realizar las siguientes tareas:

  • Conformidad:
    • Desarrollar la lista de partes interesadas relacionadas con la seguridad de la información.
    • Desarrollar la lista de requisitos de las partes interesadas.
    • Permanecer en contacto continuo con autoridades y grupos de intereses especiales.
    • Coordinar todos los esfuerzos relacionados con la protección de datos personales.
  •  Documentación:
    • Proponer el borrador de los principales documentos de seguridad de la información, por ejemplo, Política de seguridad de la información, Política de clasificación, Política de control de acceso, Uso aceptable de activos, Evaluación del riesgo y metodología de tratamiento de riesgos, Declaración de aplicabilidad, Plan de tratamiento de riesgos, etc.
    • Ser responsable de revisar y actualizar los documentos principales.
  • Gestión de riesgos:
    • Enseñar a los empleados cómo realizar la evaluación de riesgos.
    • Coordinar todo el proceso de evaluación de riesgos.
    • Proponer la selección de salvaguardas.
    • Proponer los plazos para la implementación de salvaguardas.
  • Administración de recursos humanos:
    • Realizar comprobaciones de verificación de antecedentes de candidatos de trabajo.
    • Preparar el plan de capacitación y concientización para la seguridad de la información.
    • Realizar actividades continuas relacionadas con la sensibilización.
    • Realización de capacitación de inducción sobre temas de seguridad para nuevos empleados.
    • Proponer acciones disciplinarias contra empleados que realizaron la infracción de seguridad.
  • Relación con la alta dirección:
    • Comunicar los beneficios de la seguridad de la información.
    • Proponer objetivos de seguridad de información.
    • Informar sobre los resultados de la medición.
    • Proponer mejoras de seguridad y acciones correctivas.
    • Proponer presupuesto y otros recursos requeridos para proteger la información.
    • Informar requisitos importantes de las partes interesadas.
    • Notificar a la alta dirección sobre los principales riesgos.
    • Informar sobre la implementación de salvaguardas.
    • Asesorar a los principales ejecutivos en todos los asuntos de seguridad.
  • Mejoras:
    • Asegurarse de que se realizan todas las acciones correctivas.
    • Verificar si las acciones correctivas han eliminado la causa de las no conformidades.
  • Gestión de activos:
    • Mantener un inventario de todos los activos de información importantes.
    • Eliminar los registros que ya no se necesitan.
    • Desechar los medios y equipos que ya no se usan de forma segura.
  • Terceros:
    • Realizar la evaluación de riesgos para las actividades a subcontratar.
    • Realizar verificación de antecedentes para los candidatos de outsourcing.
    • Definir cláusulas de seguridad que deben formar parte de un acuerdo.
  • Comunicación:
    • Definir qué tipo de canales de comunicación son aceptables y cuáles no.
    • Preparar el equipo de comunicación para ser utilizado en caso de una emergencia o desastre.
  • Gestión de incidentes:
    • Recibir información sobre incidentes de seguridad.
    • Coordinar la respuesta a incidentes de seguridad.
    • Preparar evidencia para la acción legal después de un incidente.
    • Analizar incidentes para evitar su recurrencia.
  • Continuidad del negocio:
    • Coordinar el proceso de análisis del impacto comercial y la creación de planes de respuesta.
    • Coordinar el ejercicio y la prueba.
    • Realizar una revisión posterior al incidente de los planes de recuperación.
  • Técnico:
    • Aprobar los métodos apropiados para la protección de dispositivos móviles, redes de computadoras y otros canales de comunicación.
    • Proponer métodos de autenticación, política de contraseñas, métodos de cifrado, etc.
    • Proponer reglas para el teletrabajo seguro.
    • Definir las características de seguridad requeridas de los servicios de Internet.
    • Definir principios para el desarrollo seguro de los sistemas de información.
    • Revisar los registros de las actividades del usuario para reconocer el comportamiento sospechoso.

Básicamente, en esto consiste mi día a día. Pero no te voy a engañar, también me preocupa la gente que entra por la puerta o anda por los pasillos, sobre todo cuando vienen de visita…

Cuando tomas la decisión de convertirte en un profesional de la seguridad, como es mi caso, te das cuenta de que tienes que vivir en continua semi-paranoia para que no se te escape nada. Aunque mi visión de todo esto es siempre intentar que la seguridad sea lo primero, pero seguido muy de cerca por la usabilidad, ya que si les hago a mis compañeros el trabajo imposible, entonces mal vamos. En este sentido te recomiendo que le eches un vistazo a la entrada en la que cuento cómo ofrezco la seguridad a los departamentos vía API.

Espero haberte ayudado a comprender un poco mejor lo que hace un responsable de seguridad.

¡Hasta la próxima!

aws-summit-madrid-16

SecurityInside Live: AWS Summit 2017

Tanto si eres nuevo en la nube o un usuario experimentado, no pierdas la ocasión de descubrir las últimas novedades Cloud en el Summit AWS de Madrid. Este evento gratuito está diseñado para presentar a nuevos clientes todas las funcionalidades sobre la plataforma AWS, y ofrecer a los clientes existentes información sobre las mejores prácticas de arquitectura y nuevos servicios.

El Keynote del AWS Summit de Madrid presentará Adrian Cockcroft, Vice President Cloud Architecture Strategy de Amazon Web Services. Durante su discurso de apertura, presentará las últimas novedades sobre las soluciones de AWS y podrás escuchar grandes historias de éxito de clientes AWS. Después del Keynote, podrás escoger entre diferentes sesiones dependiendo de tus intereses.

Leer más

SecurityInside: Vuelvo a la carga tras las vacaciones

Las vacaciones de verano terminaron hace semanas. Durante este tiempo he estado ocupado con las tareas de la vuelta al trabajo, las enanas y las interesantes novedades que os voy a contar en esta entrada antes de seguir con la actividad habitual del blog.

Cambio de hosting en SecurityInside.info:

Desde el principio de esta aventura, el blog ha estado alojado en los servidores de HostGator. El rendimiento no era bueno del todo y la velocidad de carga me tenía siempre mosqueado. Tras leer y buscar una opción que me tuviera contento, he optado por confiar en WebEmpresa, especializados en WordPress y con bastantes recomendaciones dentro del mundo blogger.

Tras las tareas habituales para migrar todo, los resultados son interesantes y seguro que mejoran la experiencia global de los lectores:

Con HostGator:

Con WebEmpresa:

El tiempo de carga ha bajado de casi 7 segundos a apenas 2, con un descenso en el tamaño de página y el número de peticiones considerables.

Además, el cambio de alojamiento me ha permitido instalar un nuevo certificado de Let’s Encrypt que me deja la web con acceso https:

Además, se dice, se cuenta, que Google posiciona mejor las webs que tienen habilitado https. Oye, si llegan más lectores, mejor que mejor, no?

Sueño cumplido: soy profesor de Máster

Antes de verano, contacté con Maite Villalba para ver si había posibilidad de participar como profesor en el Máster de Seguridad de la Universidad Europea de Madrid que realicé hace unos años. En ese momento me dijo que no era posible, ya que los profesores debían ser Doctores (algo que no soy).

Sin embargo, casualidades de la vida, un par de días después me contactaron de EADIC para ofrecerme la posibilidad de impartir en el Máster en Seguridad de la Información y Continuidad de Negocio que se estaba formando como título propio de la Universidad Rey Juan Carlos.

 

Tras revisar bien todas las implicaciones e incluso hablar con Lórien Domenéch Ruiz (Responsable del servicio digital forense en Prosegur y profesor también en EADIC), a quien agradezco enormemente su conversación y consejos, me decidí a dar el paso.

El resultado, voy a impartir los dos primeros temas del módulo VI, relativo a auditoría de 27.001. Como siempre que me enfrento a un nuevo reto, estoy nervioso pero muy ilusionado. La docencia es algo que me encanta y con lo que disfruto, ya os iré contanto alguna que otra cosa por aquí al respecto.

El resto de cosas… en breve

Hay más novedades, pero no es el momento de contarlas. En breve espero poder confirmar cosas e ir contando. Por lo pronto, mañana nos vamos al AWS Summit, nos vemos por allí?

de-charleta

De Charleta: “De casa se viene llorado” (David Meléndez)

En esta ocasión os traigo una charla de la última edición de la RootedCON en la que David Meléndez trata con enfado y humor la situación actual del empleo en nuestro sector. Una charla interesante que todo profesional de HR debería ver, sobre todo para escuchar mi dulce voz en la ronda de preguntas :D, ¡no te la pierdas!

Sobre el autor

David Meléndez se define a sí mismo como constructor de robots y experto en tortillas. Nos tiene habituados a estupendas charlas sobre drones y otras especialidades entre las que incluye programación, sistemas embebidos, seguridad, … Todo un crack en su campo al que da gusto escuchar.

¿Dónde y cuándo?

RootedCON 2017.

Idioma

Español.

SecurityInside Live: Check Point Cyber Day 2017

La omnipresente transformación digital y el Internet de las Cosas piden cambios fundamentales en el presente y futuro de la ciberseguridad. Los últimos ataques ocurridos a nivel mundial demuestran la necesidad de implementar estrategias innovadoras para securizar las empresas.

Hoy asistimos al Check Point Cyber Day 2017, una jornada dedicada a los CIOs, CISOs, IT Security Managers y todos los interesados en conocer el futuro de la ciberseguridad de la mano de expertos nacionales e internacionales en esta materia.

Leer más