Cybersecurity Starter Kit: Section 2
En esta sección, aprenderás a:
Sección 2: Decidir quién es el responsable
Una vez que sepas qué es lo que hay que proteger, decide quién tomará las decisiones, quién se encargará de actuar y quién se ocupará del seguimiento.
En una pequeña organización sin ánimo de lucro, las tareas relacionadas con la seguridad suelen recaer de manera informal en quien se sienta cómodo con la tecnología. Esa persona puede aportar una valiosa contribución, pero necesita que se le establezcan expectativas claras, que reciba apoyo y que tenga a alguien a quien recurrir cuando una decisión exceda su autoridad.
No es necesario contar con un equipo informático específico para poner en marcha estas medidas. Empieza por las personas que ya forman parte de tu organización y poneros de acuerdo sobre qué tareas asumirá cada una.
Distinguir las decisiones de las tareas
Ser responsable de una decisión en materia de seguridad no significa llevar a cabo personalmente todas las tareas técnicas.
Por ejemplo, un director ejecutivo podría aprobar el uso de un gestor de contraseñas, un coordinador de operaciones podría organizar su implantación y un proveedor podría ayudar a configurarlo. A continuación, el personal y los voluntarios seguirían el proceso acordado para utilizarlo.
Hay que abordar cuatro funciones:
Aprobar decisiones
Establecer expectativas, aprobar recursos y resolver los problemas que afectan a la organización.
Quién podría encargarse de ello: el director ejecutivo u otro responsable autorizado; participación de la junta directiva cuando proceda
Coordinar las medidas de protección
Realizar un seguimiento de las medidas acordadas, llevar al día la documentación y comunicar las deficiencias a la dirección.
¿Quién podría encargarse de ello?: Responsable de operaciones, administrador o coordinador designado
Realizar tareas
Gestiona la configuración, actualiza los dispositivos, modifica los permisos de acceso o comprueba las copias de seguridad.
¿Quién podría encargarse de ello?: Miembro del personal, voluntario acreditado o proveedor de servicios
Informar de problemas
Comunicar cualquier actividad sospechosa, error o dificultad siguiendo los procedimientos acordados.
¿Quién podría encargarse de ello?: Todos, a través de un contacto claramente identificado
Una misma persona puede desempeñar varias funciones. Lo importante es que comprenda cuál es su papel y cuente con la autoridad, el tiempo y el apoyo necesarios para desempeñarlo.
Sé concreto sobre las funciones que desempeñan las personas
Una descripción tan amplia como “Sam se encarga de la ciberseguridad” deja demasiado margen para la interpretación. Describe el trabajo y los límites del puesto.
Si eres proveedor o voluntario, confirma qué está incluido, qué queda excluido y cuándo se puede recibir ayuda. Anota estos detalles para que otros puedan consultarlos.
Asignación imprecisa
Tarea clara
Plan para las ausencias y la rotación de personal
Tu organización debería poder seguir llevando a cabo las tareas esenciales cuando alguien esté ausente o se marche.
Para cuentas y servicios importantes:
– Elige a una persona de apoyo y explícale cuándo debe intervenir.
– Indica dónde se guardan las instrucciones y los datos de contacto de las personas de confianza a las que acudir en caso de necesidad.
– Comprueba que las cuentas de la organización cuenten con los mecanismos adecuados de titularidad y recuperación.
– Organiza el traspaso de funciones antes de retirar el acceso a la persona que abandona la empresa.
– Otorga a cada persona el acceso necesario para su función; los suplentes no necesitan tener acceso ilimitado a todo.
Evita depender de la memoria de una sola persona, de su bandeja de entrada personal o de su dispositivo personal como única vía de acceso a la información esencial.
Convierte las responsabilidades en normas claras
Las responsabilidades explican quién realiza el trabajo. Las políticas explican qué espera tu organización. Los procedimientos describen cómo se cumplen esas expectativas.
Política
¿Qué requisitos hay que cumplir?
El acceso a la información de los clientes está limitado a aquellas personas que la necesitan para desempeñar su trabajo.
Responsabilidad
¿Quién lo aprueba, lo pone en práctica y lo supervisa?
El responsable del programa aprueba el acceso; el administrador de la cuenta lo aplica.
Procedimiento
¿Cómo lo llevamos a cabo?
Solicita el acceso a través del responsable del programa y revísalo cuando alguien abandone la empresa o cambie de puesto.
Una norma útil puede ser breve y estar redactada en un lenguaje sencillo. Debe ser lo suficientemente concreta como para que la gente sepa qué hacer y lo suficientemente realista como para que puedan cumplirla.
Empieza por las prioridades de tu inventario. Las secciones posteriores de este kit te ayudarán a definir las expectativas en materia de protección de cuentas, gestión de la información, copias de seguridad y respuesta ante incidentes.
Un breve ejemplo de política
Acceso a la información de los clientes
Propósito
Proteger la información de los clientes y, al mismo tiempo, permitir que las personas autorizadas presten los servicios.
Ámbito de aplicación
Esta política se aplica al personal, a los voluntarios y a los contratistas que tienen acceso a la información de los clientes de la organización.
Requisitos
El acceso debe ser autorizado por el responsable del programa y limitarse a lo que la persona necesite para desempeñar sus funciones. La información de los clientes debe conservarse en los lugares autorizados. Los cambios en las funciones o las bajas deben comunicarse sin demora para que se pueda modificar o retirar el acceso.
Responsabilidad
El responsable del programa aprueba los accesos y comprueba que sigan siendo adecuados. El administrador de la cuenta aplica los cambios aprobados. Cualquier persona que detecte un acceso o un uso compartido inadecuado debe comunicarlo de inmediato a la persona de contacto designada.
Excepciones
Cualquier excepción deberá ser aprobada por el director ejecutivo o por un delegado autorizado, y deberán constar el motivo, las medidas de protección y la fecha de vencimiento o de revisión.
Reseña
Revisa la política al menos una vez al año y cada vez que se produzcan cambios en los sistemas, servicios o responsabilidades pertinentes.
Hacer que las políticas sean viables
Antes de aprobar una norma, comprueba si la gente puede cumplirla de forma razonable.
Si se exige la autenticación multifactorial (MFA), es necesario que los usuarios dispongan de una configuración y un proceso de recuperación que funcionen correctamente. Si se prohíbe almacenar archivos de los clientes en dispositivos personales, hay que proporcionar una forma autorizada de acceder a dichos archivos. Si el personal debe comunicar cualquier problema, hay que facilitar el acceso a los datos de contacto.
Presenta las políticas durante el proceso de incorporación, explica por qué son importantes y utiliza ejemplos relacionados con el trabajo de las personas. Ofrece al personal y a los voluntarios la posibilidad de plantear preguntas y señalar dificultades prácticas.
Fomenta que se comuniquen los errores sin demora. Quien adjunte un archivo equivocado o apruebe una solicitud de acceso inesperada debe saber a quién dirigirse de inmediato, aunque no tenga claro qué ha ocurrido.
Si una norma se incumple con frecuencia, hay que investigar el motivo. Es posible que la organización necesite instrucciones más claras, herramientas diferentes, apoyo adicional o una revisión de la norma.
Acordar quién hace qué
Vuelve a las tres prioridades que elegiste en la sección 1. Para cada una de ellas, anota una respuesta en cada sección.
Comenta las tareas con las personas indicadas. Asegúrate de que las entienden y las aceptan, de que conocen sus límites y de que cuentan con el apoyo necesario para llevarlas a cabo.
A continuación, elige una prioridad para la que sea necesario establecer una norma por escrito.
Redacta tu primera póliza
Utiliza estas indicaciones de la ficha de trabajo para preparar un breve borrador.
Antes de ponerla en práctica, pide a alguien a quien le afecte la política que la lea. ¿Es capaz de explicar qué debe hacer? ¿Dispone de lo necesario para cumplirla?
Lo que debes recordar
Al finalizar esta sección, deberías haber:
- Responsabilidades acordadas para tus tres prioridades principales.
- Cobertura de respaldo para tareas y decisiones esenciales.
- Una persona de contacto clara a la que informar y una alternativa en caso de que no esté disponible.
- Un breve borrador de política, con un plan para su aprobación y puesta en marcha.
A continuación, analizarás la autenticación multifactorial, una de las medidas de seguridad que puedes utilizar para proteger las cuentas de tu organización.
Sección 3: Proteger las cuentas con autenticación multifactorial
Las cuentas de tu organización sin ánimo de lucro conectan a las personas con el correo electrónico, los archivos, las finanzas y los servicios esenciales. Proteger esas cuentas ayuda a proteger todo aquello a lo que se puede acceder a través de ellas.
English 
French 
Chinese 
Spanish 
Ukrainian 
