Según señala la compañía Microsoft en su Guía de seguridad, el primer paso consiste en establecer la política de seguridad de la empresa. Así, refiere que los riesgos a los que se exponen las empresas hacen que sea necesario crear directrices que orienten hacia el uso responsable de los recursos. "Las políticas de seguridad son documentos que constituyen la base del entorno de seguridad de una empresa y deben definir las responsabilidades, los requisitos de seguridad, las funciones, y las normas a seguir por los empleados de la empresa", refiere.

Dicha política de seguridad de la empresa debe incluir, entre otros aspectos, la definición de los responsables del desarrollo, implantación y gestión de la política, dirigidos por el director de política de seguridad. Su personal se debe encargar de realizar, supervisar, inspeccionar y modificar las normas y reglas establecidas en la política de seguridad. 

Por su parte, el director de seguridad contará con personal encargado de, en virtud de la política de seguridad establecida, asignar roles de acceso a la información, proveer de permisos y soportes informáticos, controlar la entrada y salida de información, identificación y resolución de incidencias, etc.

Microsoft añade que un factor de gran importancia es generar conciencia entre los empleados acerca de preservar la seguridad de la información de la empresa. Adicionalmente, las actualizaciones de las políticas deben ser distribuidas proactivamente a través de comunicaciones periódicas. Así los empleados estarán actualizados.

Hasta el momento nos hemos referido al hecho de que la seguridad de la información recae en personal de la empresa. Pero ¿qué sucede cuando los roles y las responsabilidades estructuradas en torno a la seguridad de la información recaen en un proveedor de servicio?

En este caso la empresa debe establecer acuerdos con los objetivos que guíen y comprometan a las empresas tercerizadas, definiendo su responsabilidad en cuanto a protección de datos. Los aspectos básicos que este compromiso debe contener son: el control de las tecnologías y de su funcionamiento; la realización de copias de seguridad que actúen como respaldo de la información procesada; contar con procesos de recuperación, aplicables en caso fuese necesario.

No obstante la empresa, así como sus empleados directamente involucrados en el procesamiento de la información, no quedan liberados de su responsabilidad en materia de seguridad de la información. En ellos deberán recaer otras obligaciones, como las relacionadas a la administración y gobierno de datos, imprescindibles para mantener la integridad de los datos en la organización dentro de los estándares deseados.

¿Quieres saber más acerca de los roles y responsabilidades en la seguridad de información? Inscríbete en el PEE en Gerencia en Seguridad de Información de ESAN.

FUENTES CONSULTADAS:

Documento de trabajo 'Guía de seguridad', publicado por Microsoft.

Artículo 'Roles y responsabilidades en la seguridad de la información', publicado por el blog de Power Data (España).