Nota sobre gestión de controles publicada en la Revista PERCEPCIONES (publicación de ISACA – Capitulo Montevideo, Uruguay), en el marco del CIGRAS (Congreso Internacional sobre Gobierno, Riesgos, Auditoría y Seguridad)

1. © 2013 CYBSEC 1
¿La era de los controles?
Un entorno de nube y mobile, el duro misterio de saber donde están nuestros datos
Las necesidades del Negocio han ido trasladando a la industria de la información
diversas "ideas" que la han impulsado en una forma cada vez más abrupta a brindar
soluciones que aporten mayor velocidad de respuesta en el tratamiento de los datos y
mayor disponibilidad de los mismos. Tener las respuestas y la información en todo
momento y al alcance de las manos tienen sus costos asociados... y sus riesgos.
Desde los años 90 escuchamos hablar, y en algunos casos los hemos contratado, sobre
servicios de housing, hosting, colocation, etc., además de incrementar en las Organizaciones
el uso de notebooks y PDAs en la tarea habitual tanto de áreas tecnológicas como
administrativas.
Esta tendencia que devino en el Cloud Computing, sumado al hecho de contar con medios
móviles cada vez más sofisticados para procesar o accesar información, ha creado nuevas
brechas de seguridad y por sobre todo nuevas expectativas de negocio que hacen crecer
aún más la tecnología, la dependencia de las empresas y las personas hacia estos servicios
o herramientas de procesamiento.
¿Cual es la puja entonces? Considero que actualmente nos encontramos entre la definición
de "La era de la nube" o la "Era de los controles". Para aquellos que trabajamos en este
entorno y quienes los consumen, podrán ver que tanto desde el aspecto regulatorio como de
su propio marco de control del Negocio han crecido sustancialmente las presiones sobre la
registración y control del procesamiento de la información.
¿Cuál es el cuidado y porque estamos llegando a esto? No necesariamente cuando se
piensa en “servicio” se entiende que debe llevar una parte de aseguramiento en cada
proceso del servicio. El objetivo principal buscado es “información disponible y de rápido
procesamiento”, dos pautas que atentan drásticamente contra la Confidencialidad y la
Integridad de los datos que tratamos, que como sabemos no solo son del Negocio sino que
en su gran mayoría "nos los prestan"... Como es el caso de los datos personales.
Personalmente el concepto que trato de difundir es la diferencia entre seguridad y
aseguramiento basado en las siguientes definiciones:
• Seguridad Conjunto de medidas y acciones que se aceptan para proteger los
datos contra determinados riesgos a que está expuesto.
• Aseguramiento Establecer las medidas necesarias para que los datos sean
procesados en forma segura y accedidos por las personas
necesarias, se conviertan en información útil para el Negocio y
su transformación se realice bajo métodos de control y registración
que aseguren su Confidencialidad, Integridad y Disponibilidad.

2. © 2013 CYBSEC 2
Como trato de indicarles, los datos ingresados a los sistemas de procesamiento de una
Organización se integran y convierten en información necesaria para cada uno de sus
procesos de Negocio mediante las distintas transformaciones a las que se ve expuesta
dependiendo de la “química” aplicada para cada uno de ellos.
Por lo tanto el secreto que se propone descubrir en este nuevo paradigma, que no es tan
nuevo, es el desarrollar servicios y procesos que traten la información convirtiéndola en
sabiduría e inteligencia para el Negocio de las Empresas, y esto implica el establecer
procesos asegurados que no solo entreguen la información rápidamente sino también con la
calidad necesaria para que la respuesta al Negocio sea segura.
¿Cuántas veces nos preguntamos de que depende el éxito? ¿Hacemos una lista de
componentes necesarios para el éxito de nuestro Negocio, en base al tratamiento de la
información? El aseguramiento de sus procesos de tratamiento ¿Está incluido como un factor
necesario para el éxito?
En alguna oportunidad mencioné que esto lo podemos lograr identificando 4 dominios claros
sobre los cuales invertiremos nuestros recursos: Gobierno + Gestión de Riesgos +
Educación + Cumplimiento. En la medida en que utilicemos más servicios tercerizados
para el alojamiento de datos o involucremos mayor cantidad de herramientas mobile a
nuestra Organización para el tratamiento de los mismos, mayor es la necesidad en
implementar controles.
Esto quiere decir que, para el caso de servicios Cloud por ejemplo, cualquier requisito
relacionado con el marco de protección establecido por diferentes normativas y regulaciones
conlleva a la necesidad de visualizar en donde debemos aplicar cada uno de los 4 dominios
que nos ayudaran a controlar el servicio, donde podemos identificar principalmente que el
GOBIERNO debe ser compartido al igual que el CUMPLIMIENTO para todos los
componentes.
De igual forma, y como ya está aplicándose en la mayoría de las Organizaciones, los
sectores de Seguridad Informática o Seguridad de la Información, imparten el marco
normativo y estándares de configuración de seguridad que las áreas de soporte tecnológico
implementan en los diferentes equipos mobile.
Por ello, ya se trate de un proveedor interno como de un proveedor externo, vamos a poder
ver como parte de la Gestión Operativa de componentes y servicios de tratamiento de
información va a ir migrando en su mayoría hacia una Gestión de Control.
Cuando nos proponen establecer controles debemos poder entender que no necesariamente
deben cambiar los procesos, pero lo que si puede cambiar es la forma de registrarlos. Esto
ayuda a poder identificar los puntos de control sin necesidad de cambiar un proceso,
evitando entorpecer la operatoria general causando pérdida de tiempo.

3. © 2013 CYBSEC 3
Poder visualizar las diferentes situaciones bajo el
concepto “Cliente – Proveedor” desde el Negocio,
permite a las Organizaciones establecer un balance
entre los esfuerzos y los recursos cuando se trata de
sectores internos. Pensemos esto como una intención
de compartir esfuerzos y que en lugar de tener áreas
asociadas al costo, estas en realidad forman parte del
Plan de Negocios ya que proveen “aseguramiento” a
cada uno de los procesos que hacen a la Organización.
El aseguramiento de la información aporta a la calidad de servicios o productos que
comercialice la Organización, y en consecuencia mejoran los resultados esperados. La única
forma de asegurarnos estos resultados es mediante la monitorización y control de cada uno
de los procesos claves del Negocio.
¿Qué significa controlar?
• Identificar cuáles son los objetivos de control
• Saber con qué herramientas nativas o alternativas contamos
• Formalizarlas, agregándolas a nuestros procedimientos normativos
• Identificar herramientas que puedan registrar controles sin implementar
Tengamos en cuenta que en la tercerización la responsabilidad no se transfiere, se
comparte. Por ello cada vez que pensemos en delegar parte o toda la operatoria a nuestro
cargo, también estaremos delegando a quien nos brinde el servicio nuestro conocimiento,
cultura por sobre la operación delegada y principalmente una operación asociada a requisitos
regulatorios y del Negocio que nuestro proveedor debe cumplir tanto como nosotros.
El vínculo solidario en la
necesidad de cumplimiento en
nuestra relación de Cliente con
el Proveedor no es más que
reemplazar nuestros procesos y
manuales de operación por
procesos y registros de control.
Los avances tecnológicos y las
herramientas de comunicación
también han servido como
impulsores tangenciales para el
crecimiento de la necesidad de
los controles. La tecnología
actual nos va dejando cada vez
más herramientas que posibilitan a los usuarios manejar información fuera de entornos
Plan Estratégico
de la Empresa
Marca
Reputación
Plan Estratégico
de Seguridad
PLAN DE NEGOCIO

4. © 2013 CYBSEC 4
controlados. Y la velocidad tecnológica no siempre va acompañada de la concientización en
materia de Seguridad de la Información.
Las notebooks, netbooks, tablets y sobre todo teléfonos móviles se han convertido en
repositorios de información que puede ser muy valiosa o muy costosa para nuestra Empresa.
Lo cierto es que, para cada proceso de Seguridad de la Información, se debe considerar la
seguridad de los dispositivos móviles de forma integral, pensando en qué debemos hacer si
desaparece un dispositivo y minimizando la exposición de información confidencial, sensible
o interna.
Las regulaciones legales actuales sobre la protección de datos personales, así como marcos
regulatorios como PCI-DDS o la Comunicación “A” 4609 del B.C.R.A., son el motivo para no
pensar que solo se trata de la información que perdemos. Quedar expuesto legalmente
puede ser un impacto significativo para cualquier Organización.
Como todo es “cultura”, principal y fundamentalmente debe hacerse una campaña de
concientización al usuario en el uso profesional del dispositivo, sobre todo teniendo en
cuenta que por “hábitos y costumbres” los dispositivos portátiles se “transforman” en equipos
de uso personal de los usuarios, quienes habitualmente tienen otorgados permisos de
administrador sobre el equipo confiado.
Lo más difícil de los controles no es
implementarlos, sino impulsarlos. Efectuar
los controles necesarios sobre el Negocio
benefician al Negocio y a su entorno
operativo, lo aseguran en sus resultados
de calidad y económicos y le permiten
establecer un entorno confiable y medible
que le asegure también su permanencia
en el tiempo. Por ello, el primer precursor
de los controles debería de ser “El Negocio”, ya que es su aliado necesario para la tecnología
y regulaciones que corren, no importa cuál sea su industria.
Conclusión
Aplicar controles en la justa medida de la Organización facilita el delegar la operación, sobre
todo si consideramos esta opción para mejorar el enfoque en el Negocio, además de reducir
la carga en el cumplimiento al tener predefinidos los registros surgidos de los controles y una
mitigación de riesgos efectiva como resultado de establecer un monitoreo periódico.
Fabián Descalzo
Gerente de Governace, Risk & Compliance (GRC)
Cybsec S.A. – Security Systems

5. © 2013 CYBSEC 5
Fabián Descalzo es Gerente de Governance, Risk & Compliance (GRC) en Cybsec S.A., certificado ITIL v3-2011 y auditor
ISO 20000, con 20 años de trayectoria en Seguridad de la Información. Posee amplia experiencia en la implementación y
cumplimiento de Leyes y Normativas Nacionales e Internacionales en compañías de primer nivel de diferentes áreas de
negocio en la optimización y cumplimiento de la seguridad en sistemas de información, Gobierno de TI/SI y Continuidad del
Negocio. Actualmente es responsable de servicios y soluciones en las áreas de Gobierno, Riesgos y Cumplimiento
asociados al aseguramiento del Negocio.
CYBSEC S.A. desde 1996 se dedica exclusivamente a prestar servicios profesionales especializados en Seguridad de la
Información. Su área de servicios cubre América y Europa y más de 400 clientes acreditan la trayectoria empresaria. Para
más información: www.cybsec.com.