©Copyright 2013 ISACA. Todos los derechos reservados. La seguridad de la información ha sido tradicionalmente ejecutada en silos, utilizando terminologías y estructuras de reporte distintas. Habilitadores para convergencia son: —Rápida expansión del ecosistema de la empresa —Migración del valor de activos físicos a activos intangibles y basados en la información —Nuevas tecnologías de protección que eliminan fronteras funcionales —Nuevos regímenes de cumplimiento y regulatorios —Presión constante para reducir costos Metas para la convergencia son: —Reducir las brechas de seguridad —Minimizar la duplicación de esfuerzos —Aumentar el retorno de la inversión en seguridad Integración del proceso de aseguramiento  Convergencia

©Copyright 2013 ISACA. Todos los derechos reservados. 1.6 Conceptos y tecnologías de seguridad de la información Control de acceso – quién / cómo se puede acceder a recursos Auditabilidad – permite reconstrucción, revisión y examinación de una secuencia de eventos Autenticación – verificación de identidad: algo que usted sabe, algo que usted tiene y algo que usted es Autorización – qué puede hacer cuando ya tiene acceso Disponibilidad – accesible y utilizable cuando se requiera Confidencialidad – secreto de datos Integridad – asegurar que no hay modificaciones no autorizadas en procesamiento, transmisión y almacenamiento Seguridad en capas – defensa en profundidad No - repudio –imposibilidad de negar autoría 2

©Copyright 2013 ISACA. Todos los derechos reservados. 1.7 Gobierno y relaciones con terceras partes Reglas en los procesos de: Proveedores de servicio Operaciones tercerizadas (outsourced) Socios comerciales Organizaciones fusionadas o adquiridas 3

©Copyright 2013 ISACA. Todos los derechos reservados. 1.8 Métricas del gobierno de la seguridad de la información Métrica es un término utilizado para denotar medidas basadas en una o más referencias e involucra por lo menos dos puntos, la medida y la referencia. Las métricas contemporáneas de seguridad normalmente fallan en informarnos acerca del estado o grado de seguridad relativa a un punto de referencia.

©Copyright 2013 ISACA. Todos los derechos reservados Métricas de seguridad de la información Es muy difícil o imposible administrar cualquier actividad que no se puede medir. Métricas estándar de seguridad incluyen algunas: —Tiempo de inactividad producido por virus —Porcentaje de servidores parchados. —Número de penetraciones de sistemas.

©Copyright 2013 ISACA. Todos los derechos reservados Métricas de seguridad de la información Ninguna métrica en sí misma puede realmente proporcionar información sobre que tan segura es la organización en realidad, sin embargo, todo lo que puede decirse es que: —Algunas organizaciones son objeto de ataques con mayor frecuencia y/o registran mayores pérdidas que otras. —Existe una gran correlación entre la buena gestión de seguridad y buenas prácticas y relativamente menor número de incidentes y pérdidas.

©Copyright 2013 ISACA. Todos los derechos reservados Métricas de implementación de gobierno Algunas formas de métricas deben utilizarse durante la implementación de un plan de gobierno. Indicadores clave de meta (KGIs)* e indicadores clave de desempeño (KPIs)* pueden: —Entregar información acerca de la consecución de metas de procesos o servicios —Ayudar a determinar los hitos que son alcanzados. * - KGIs tienden más a reflejar metas estratégicas, por ejemplo, metas estratégicas de gobierno de seguridad de información, mientras los KPI tienden a reflejar metas tácticas, tales como la reducción del número de caídas del sistema.