¿Qué es una Política de Seguridad de la Información?

Con todas las filtraciones de seguridad que han estado en las noticias recientemente, la seguridad de la información se ha vuelto importante para muchas organizaciones, desde escuelas hasta consultorios médicos y empresas. La seguridad de la información significa proteger información importante de personas que no están autorizadas a acceder a ella. Una política de seguridad de la información es una forma en que una organización define cómo se protege la información y las consecuencias de violar las reglas para mantener el acceso a la información.

Políticas regulatorias de seguridad de la información

Si bien las políticas de seguridad de la información pueden ser creadas por organizaciones individuales, muchas veces se aplican por ley o como políticas de seguridad de la información reglamentarias .

En los Estados Unidos, el sector de la salud se rige por HIPAA, o la Ley de Portabilidad y Responsabilidad de Seguros Médicos. Esta parte de la ley establece pautas estrictas para mantener la privacidad de la información del paciente, con sanciones por divulgar información sobre los pacientes que reciben tratamiento, principalmente sus registros de salud.

Por ejemplo, una recepcionista que mencione los detalles del caso de un paciente a alguien por teléfono que no es el paciente, se consideraría una violación de HIPAA si el paciente no lo hubiera autorizado, incluso si fuera un familiar. HIPAA también rige cosas como la retención de registros y la destrucción de información confidencial.

Políticas Administrativas de Seguridad de la Información

Además de los requisitos reglamentarios, las organizaciones pueden establecer sus propias políticas de seguridad de la información en función de sus necesidades o políticas administrativas de seguridad de la información.

Seguridad Social: Legislación y problemas

Alice es administradora en la Universidad XYZ y está a cargo de establecer la política de seguridad de la información de la universidad.

Una de las primeras cosas que hará es realizar una evaluación de riesgos . Esto significa que tendrá que decidir qué información es segura para uso general y qué información debe mantenerse en secreto.

El directorio de la facultad es un ejemplo de algo que se puede publicar libremente. Los estudiantes deben ponerse en contacto con sus profesores, y los académicos colaboran habitualmente en investigaciones con colegas de todo el mundo, por lo que es importante que su información de contacto sea fácilmente accesible.

Incluso con la apertura general que ofrecen las universidades, todavía tienen que mantener cierta información estrictamente privada. La escuela de medicina lleva a cabo algunos ensayos clínicos y tienen que mantener estrictamente confidenciales las identidades de los participantes, o podría poner en peligro la integridad del ensayo si se filtraran los nombres de los pacientes.

El ensayo clínico también cumple con la ley HIPAA mencionada anteriormente, ya que también cubre los ensayos clínicos de medicamentos en los EE. UU. Las políticas administrativas y regulatorias pueden converger, ya que las políticas administrativas son una forma de hacer cumplir las leyes que rigen una industria en particular.

Medidas tecnológicas

Las medidas tecnológicas de seguridad son lo que la mayoría de la gente piensa cuando piensa en la seguridad de la información.

Las organizaciones pueden establecer políticas para definir la seguridad de sus propios sistemas de información. Por ejemplo, la universidad XYZ tiene una política que requiere que los usuarios del sistema de correo electrónico del campus cambien sus contraseñas periódicamente.

¿Qué es la Teoría Muerta de Internet?

Una ventaja de las iniciativas tecnológicas de seguridad de la información es que también se pueden aplicar a través de la tecnología. En el pasado, se recomendaba que las contraseñas fueran complejas y se restablecieran automáticamente después de 90 días. Sin embargo, las recomendaciones actuales incluyen pedir a los empleados que creen una nueva contraseña solo en el caso de una amenaza potencial o de un acceso no autorizado sospechoso. Además, las contraseñas complejas que usan símbolos y números son difíciles de recordar, por lo que las recomendaciones actuales exigen contraseñas o frases de contraseña largas, no necesariamente complejas, para evitar las notas adhesivas de contraseñas tiradas por ahí.

También hay cierta superposición entre las políticas regulatorias, administrativas y tecnológicas. Bob, un administrador de la base de datos para el ensayo clínico, solo tiene acceso a esa base de datos específica según la política universitaria de privilegios mínimos, o solo definiendo el nivel mínimo de acceso para las personas que necesitan información. También tiene prohibido bajo HIPAA revelar los nombres de las personas en el ensayo clínico, bajo severas consecuencias legales. Entonces, las políticas de seguridad de la información tecnológica fluyen de las políticas administrativas que fluyen de las políticas regulatorias desde arriba. Esto puede dificultar ver dónde terminan los diferentes niveles y comienzan los demás, lo que puede dificultar la implementación de políticas de seguridad de la información.

Resumen de la lección

Las políticas de seguridad de la información protegen la información del acceso no autorizado. Pueden ocurrir a nivel regulatorio , administrativo y tecnológico , y todos estos niveles pueden interactuar.

Continúa con:

Selecciona un tema para seguir aprendiendo

#informacion #politica #seguridad

Twittear

¿Qué es una Política de Seguridad de la Información? – Definición y Tipos