50 red seguridad segundo trimestre 2025 monográfico ciberdefensa Desde que se comenzó a hablar de seguridad de la información, hace unos cuantos años, las organizaciones han sufrido un cambio continuo de los ecosistemas de ciberseguridad. Esta evolución va desde el propio concepto (diferenciar la seguridad de la información de la seguridad informática), hasta el punto de adoptar los conceptos y terminologías más actuales. Respecto a la parte tecnológica, los ciberataques han evolucionado de manera exponencial y la situación geopolítica actual ha acelerado este hecho. En este contexto, partimos de que lo que realmente se debe proteger es la información, que es el activo esencial en toda organización. Todos los servicios esenciales se sostienen en activos de soporte, por ello debemos fortificar las medidas de seguridad a implantar en cada infraestructura, tanto hardware como software. Sin olvidar, por supuesto, poner el foco (y muy relevante) en la formación y concienciación del usuario. Estructura jerárquica Cuando realizamos análisis de riesgos sobre nuestros sistemas de información, debemos definir toda la estructura jerárquica entre los distintos activos, desde la información y los servicios, hasta los activos de tipo infraestructura o del propio personal. Es importante tener claras las dependencias entre estas tipologías de activos, ya que en función de su naturaleza se derivan distintas amenazas. Estas amenazas, que pueden ser de distinta índole, como las de origen industrial, natural, errores de los usuarios o de atacantes, etcétera, a su vez tienen distintas probabilidades e impactos en los sistemas de información, por lo que es importante conocer el grado de exposición a los riesgos. Cuanto mayor sea nuestro conocimiento sobre los activos a analizar, mayor precisión obtendremos sobre los resultados deseados. La manera en la cual mitigaremos esos riesgos es con la propia implementación de salvaguardas. Estas pueden ser de distinta tipológica o basadas en marcos normativos. ¿Qué marco normativo nos interesa cumplir? Esto debe valorarse en cada organismo. Tan importante es tener implantadas medidas de seguridad, como gestionarlas de manera adecuada. De nada vale aplicar una medida si luego cae en saco roto, ya esté bien implantada o no, o si cumple o no su función de acuerdo a unos umbrales establecidos. Por ello es muy importante tener definidos de manera real los sistemas de gestión de seguridad. En este ámbito se debate sobre si el uso del ciclo de Deming está en desuso o no es necesario. Las últimas versiones de las normativas ISO 27001 ya marcan unas pautas no estrictamente adheridas a este ciclo, si bien, al final, todo se basa en la mejora continua, que es el core de la ciberseguridad. Que la seguridad emane de forma expresa de la dirección del organismo también marcará la diferencia. No hay que dejarse llevar por el prejuicio de que hay organismos que pueden ser un objetivo más evidente que otros de cara a ser atacados. Todos están igual de expuestos y lo que marcará la diferencia son las medidas de seguridad implantadas. Ciberdefensa y mejora continua: una labor conjunta Ángeles Tapiador Directora de Ciberseguridad de Procesia Cuanto mayor sea nuestro conocimiento sobre los activos a analizar, mayor precisión obtendremos sobre los resultados deseados
RkJQdWJsaXNoZXIy MTI4MzQz