Creación de un Programa de Seguridad, Primeros 5 de 10 procesos

Hoy quiero hablarte sobre un tema fundamental: la creación de un programa de seguridad y los primeros cinco procesos esenciales para implementarlo.

Tomando como punto de partida nuestro blog anterior:

Abordamos la seguridad básica en 2025 y destacamos actividades esenciales que, en nuestra opinión, todas las organizaciones deben implementar para proteger su información. Estas actividades incluyen:

Inventario de activos: «Lo que no se conoce, no se puede gestionar.» Este principio básico subraya la importancia de tener un registro claro de los activos tecnológicos de la organización.
Gestión de credenciales: Incluye actividades para proteger contraseñas, gestionar identidades y asegurar la autenticación de usuarios.
Protección contra amenazas: La implementación de un sistema antivirus o EDR (Endpoint Detection and Response) es clave en todos los entornos corporativos, desde computadoras hasta servidores.
Respaldos inmutables: Tener copias de seguridad inalterables garantiza que, cuando se necesiten, estarán disponibles y funcionales.

A partir de estas actividades básicas, hoy exploraremos cómo dar el siguiente paso: desarrollar un programa de seguridad.

¿Por qué Necesitas un Programa de Seguridad?

Reconocer la necesidad de un programa de seguridad puede originarse de varios factores:

Requisitos externos: Auditorías, solicitudes de clientes o exigencias regulatorias que demandan controles y procesos establecidos.
Madurez organizacional: Cuando la organización ha avanzado en las actividades básicas y está lista para estructurar un programa más robusto.

Es importante recordar que la seguridad de la información es un proceso continuo, no un destino final. Este episodio marca un paso intermedio entre las actividades básicas iniciales y marcos de referencia avanzados como ISO 27001.

Los Primeros Cinco Procesos del Programa de Seguridad

A continuación, te presentamos los cinco procesos iniciales que debes considerar al implementar un programa de seguridad.

1. Políticas, Auditorías y Cumplimiento

Este proceso tiene como objetivo garantizar que la organización:

Cuente con políticas internas de seguridad.
Cumpla con las normativas y regulaciones aplicables.

Actividades recurrentes:

Revisión anual de políticas y procedimientos: Evalúa que estén actualizados y alineados con las regulaciones, como la ley de protección de datos de tu jurisdicción.
Auditorías anuales: Realizadas por terceros para evaluar la efectividad de las políticas y el cumplimiento.
Preparación para solicitudes de clientes: Asegúrate de tener información disponible sobre el cumplimiento de tu programa de seguridad.

Herramientas sugeridas: Microsoft Word, Excel y PowerPoint para la documentación; SharePoint o Dropbox para almacenamiento centralizado.

Métricas clave:

100% de las políticas políticas y procedimientos de infosec sean revisadas anualmente.
100% del cumplimiento del reporteo regulatorio.
Tiempo de respuesta a requerimiento de auditores externos.

2. Gestión de Vulnerabilidades

Este proceso busca identificar, evaluar y tratar las vulnerabilidades que puedan afectar a tu entorno empresarial.

Actividades recurrentes:

Escaneos semanales de vulnerabilidades.
Reuniones bimensuales para analizar el estado de las vulnerabilidades.
Aplicación mensual de parches críticos.
Revisión trimestral de configuraciones en entornos en la nube.

Herramientas sugeridas: Escáneres de vulnerabilidades como Nessus, Qualys, herramientas de attack Surface management, Microsoft Defender for Cloud, Microsoft Defender for Endpoint

Métricas clave:

Tiempo promedio de identificación y remediación de vulnerabilidades.

3. Gestión de Riesgos

La gestión de riesgos permite evaluar las vulnerabilidades identificadas y determinar su impacto en los activos de la organización.

Actividades recurrentes:

Reuniones semestrales para validar y actualizar el registro de riesgos.
Identificación de nuevos riesgos y definición de estrategias de mitigación.
Reporte semestral de riesgos de infosec a la alta gerencia.

Herramientas sugeridas: Hojas de cálculo para registrar y evaluar riesgos, y software especializado para la gestión de riesgos si es necesario.

Métricas clave:

Porcentaje de riesgos gestionados según las prioridades de la organización y frecuencia de revisiones de riesgos.

4. Monitoreo de Seguridad

Permite detectar anomalías o ataques cibernéticos que puedan suceder en la infraestructura, servicios y sistemas de la empresa. Define cómo responder a incidentes de seguridad y minimizar el impacto.

Actividades Recurrentes:

Evaluación semanal de que las fuentes de eventos están enviando bitácoras.
Evaluación trimestral de la eficacia o valor de las fuentes de información para monitoreo de seguridad.
Evaluaciones anuales de las herramientas de monitoreo de seguridad por sus fabricantes.
Ejecución diaria de los procedimientos o playbooks de monitoreo de seguridad.
Revisión anual de los procedimientos o playbooks de monitoreo de seguridad.

Herramientas sugeridas: Sistemas SIEM (Security Information and Event Management).planes de respuesta en herramientas colaborativas, agregadores de bitácoras, consolas de herramientas de seguridad

Métricas clave:

Número de eventos de seguridad detectados. MTTD, número de fuentes de eventos de seguridad activos en momento

5. Respuesta a incidentes

El proceso de respuesta a incidentes permite analizar y contener incidentes de seguridad para evitar mayor daño, además ayuda a investigar la causa raíz y erradicar las amenazas. Se alimenta del proceso de monitoreo de seguridad.

Actividades Recurrentes:

Revisión anual de los procedimientos o playbooks de gestión de incidentes. Esto incluye las acciones técnicas y las acciones administrativas.
Realización anual de simulacros de escritorio.
Realización anual de pruebas de penetración.
Validación anual de contratos o contactos para servicios de gestión o respuesta de incidentes y seguros correspondientes.

Herramientas sugeridas: EDR, NDR, Firewall

Métricas clave:

Tiempo medio para resolver un incidente (MTTR).

Próximos Pasos

En este blog, hemos cubierto los primeros cinco procesos del programa de seguridad. En el siguiente, abordaremos los otros cinco procesos restantes y profundizaremos en cómo integrarlos de manera efectiva en tu organización.

Recuerda que la implementación de un programa de seguridad es un camino progresivo. Adapta estos procesos a las necesidades específicas de tu negocio y avanza de manera sistemática.