Modelo de análisis para la implantación de un SGSI basado en ISO 27001 y COBIT para una empresa del Sector Educación

Abstract

Los sistemas de información en las organizaciones están inmersos en casi la totalidad de la operativa y procesos, estos almacenan y proveen de información a los distintos niveles de la organización, la dependencia hacia los sistemas de información es alta. Por otro lado, están los sistemas de gestión que están enfocados a los procesos de la organización, y que involucran una serie de acciones/tareas/procedimientos donde intervienen personas asignados a roles para generar planes, estrategias, servicios, otros, con la finalidad de satisfacer las expectativas y necesidades del cliente de manera sostenible. Todo el accionar de los sistemas de gestión dependen en gran medida de los sistemas de información, la seguridad de la información no solamente afecta a las tecnologías de información sino también a todo el conjunto de elementos del sistema de gestión. Es el caso del Sistema de Gestión de Seguridad de la Información (SGSI), que trata y gestiona “la seguridad de la información” en los procesos del negocio y activos tangibles e intangibles de la organización. Implementar un SGSI es un proceso muy complejo, detallista, toma bastante tiempo y sobre todo se requiere de conocimiento y de experiencia; en el Perú las entidades públicas y privadas (rubros no educativos) son quienes más se interesan en el tema de seguridad de la información e implementan SGSI basados en ISO/IEC 27001 y otros estándares, mientras que las entidades educativas no alinean sus procesos de seguridad de la información bajo estándares y buenas prácticas de seguridad de la información. Para implementar seguridad de la información existen varios estándares/normas y procedimientos (ejm. Serie ISO 27000 orientado a riesgos, ISM3 orientado a la madurez de la seguridad de información, Cobit orientado al control y gobierno TI, otros), cada uno con sus propias características, pros y contras. En este trabajo, se presenta un modelo de análisis para concebir e implementar un SGSI en una entidad educativa, el modelo está organizado en fases, está basado en las buenas prácticas de ISO/IEC 27001, Cobit e ITIL, incluye buenas prácticas “para no fracasar en el intento”, y puede ser utilizado por personal no necesariamente experimentado en implantaciones de SGSI.