Las políticas de Seguridad de los SI definen un conjunto de requisitos sobre un sistema que indican en términos generales lo permitido y prohibido en el área de seguridad durante la operación normal. Sirven como guía para implementar reglas de seguridad.
Una política de seguridad define el nivel de seguridad que se ajusta al valor de lo que se está protegiendo y al gasto e inconveniencias de esa protección. Documentan el resultado de la Identificación del Riesgo y el Análisis del Riesgo, y de las estrategias que fueron elegidas para el Manejo del Riesgo. El documento debería cubrir:
- Protección de la información.
- Valor de la información.
- Acceso de la información.
- Recuperación de la información.
El principal objetivo al definir la política de seguridad (y al seleccionar los Controles y Contra Medidas) es crear una situación equilibrada entre los costos del Manejo del Riesgo y los costos de control.
Los términos generales de la política de seguridad deben refinarse en indicaciones precisas de qué es lo permitido y lo denegado: las políticas de aplicación específicas. Hay de dos tipos:
- Prohibitiva: todo lo no expresamente permitido está prohibido. Son las más seguras.
- Permisiva: todo lo no expresamente prohibido está permitido.
Las políticas de seguridad, si son difundidas, sirven como medidas preventivas de seguridad.
Elementos clave en la seguridad de un SI que cualquier política debe contemplar:
- Disponibilidad: que los recursos estén disponibles cuando se necesitan.
- Utilidad: para alguna función.
- Integridad: tal y como se almacenó la información.
- Autenticidad: poder verificar la identidad de los usuarios.
- Confidencialidad: disponible solo para agentes autorizados.
- Posesión: los propietarios del sistema deben poder controlarlo en todo momento.
Es importante determinar quién debe tener posibilidad de acceso a la información:
Podrá acceder aquél que tenga necesidad de hacer o de saber en el cumplimiento de su trabajo.
Ciclo de Vida de una Política
- Desarrollo: creación, revisión, aprobación. Toda política requiere el apoyo de la administración.
- Implementación: comunicación, cumplimiento, excepciones.
- Mantenimiento: concientización, monitoreo, garantía de cumplimiento, mantenimiento. Las políticas son contingenciales y pueden variar a lo largo del tiempo.
- Eliminación: retiro. Eventualmente, algunas políticas dejan de ser necesarias.