Análisis para determinar la brecha en la implementación de estandares de gestión de seguridad de la información.

CD Rom incluye tesis en formato PDF

Tesis (MBA. Magíster en Gestión Empresarial) -- Prof. guía: Juan Antonio Poblete Reichhard, prof. corref.: Lionel Valenzuela Oyaneder

p. 54 - 55

[Resumen del autor]

Durante las últimas décadas, la información se ha convertido en uno de los principales activos de las organizaciones. De esta forma, la disponibilidad, confidencialidad e integridad de ésta, son cada vez más críticas y complejas de controlar. El exponencial crecimiento de las tecnologías de la información, pone a disposición de las organizaciones una mayor cantidad de información, pero al mismo tiempo incrementa las posibilidades de que ésta sea utilizada de forma indebida. Casos como Enron, World Com, Arthur Andersen y CardSystem son algunos ejemplo, a nivel mundial, de como el uso indebido de la información causa perdidas millonarias para sus accionistas, empleados y acreedores, rompiendo la confianza en los sistemas. A nivel nacional, no estamos ajenos a esta realidad, existen varios casos de fraudes realizados con información financiera usurpada de forma ilegal. Con el fin de recuperar las confianzas en los sistemas, se han creado un conjunto de normas, leyes y estándares de gestión de seguridad de al información, que las organizaciones deben ir cumpliendo en forma creciente. Dado este escenario es importante contar con una herramienta que permita contestar las siguientes interrogantes: ¿cuál es el esfuerzo adicional que requiere hacer una organización para implementar una norma adicional? ¿Existe una métrica cuantitativa que permita medir la complejidad de implementar un de estos nuevos estándares versus los beneficios?. Para responder estas interrogantes se utilizó los estándares ISO 27001 y Paymet Card Industry Data Security Standard, buscando el grado de superposición y la brecha existente entre ambas desde la óptica de la complejidad para implemetar cada control. Para determinar una métrica cuantitativa del grado de complejidad, se encuestó a doce especialistas nacionales de los rubros financieros, retail, consultoría y tecnología de la información. Como resultado de este análisis se observó un alto grado de superposición entre ISO 27001 y Paymet Card Industry Data Security Standard alcanzando un 83% de controles comunes. La brecha entre ambas normas fue solo de 11 puntos, por ende, no es necesario implementar una de éstas desde el inicio. Lo anterior, permite apreciar beneficios como: disminución de los recursos en el proceso de implantación, experiencia, disminución de multa o sanciones legales, perdida de la imagen, ventajas competitiva, entre otras El resultado de las encuestas realizadas para cuantificar el grado de complejidad, entregó una métrica que permite a las organizaciones antes de adoptar ISO 27001 y/o Paymet Card Industry Data Security Standard, medir la brecha entre la experiencia promedio del mercado y de sus procesos. Un ejemplo práctico se puede apreciar en el contenido de esta tesis. El resultado del análisis de brecha personalizado a una organización y los beneficios destacados en esta tesis, más aquellos que son asociados a las particularidades de cada institución, permiten entregar una herramienta para definir la incorporación de una nueva norma en gestión de la seguridad de la información.

2