La gestión o gobernanza de la seguridad de los sistemas contiene varios aspectos, que se abordarán durante el curso:
- El gobierno de TI (ITG) engloba los procesos que garanticen el uso efectivo y eficiente de las TI para permitir que una organización logre sus objetivos de negocio.
- El gobierno de la demanda de TI (ITDG IT demand governance -en lo que el departamento de TI debería de trabajar-) es el proceso por el cual las organizaciones garantizan la evaluación efectiva, selección, priorización y financiación de las inversiones en TI; supervisa su aplicación; y extrae beneficios (medibles) empresariales. ITDG es un proceso de toma de decisiones y la supervisión de la inversión empresarial, y es una responsabilidad de la gestión empresarial.
- La gobernanza de la implantación TI (ITSG IT supply-side governance -como el IT debería hacer lo que hace-) se encarga de garantizar que la organización opere de manera eficaz, eficiente y compatible, y es fundamentalmente una implicación y asunción de responsabilidad por parte del CIO.
En la implantación y el gobierno de la ciberseguridad se pueden seguir dos estrategias desde el punto de vista del cumplimiento normativo: la autoevaluación y la certificación independiente. Pero en cualquier caso es importante saber lo que los expertos en evaluación de la seguridad nos dicen que debemos hacer y los mecanismos de control que nos proponen para poder demostrar, a nuestros jefes o a auditores externos, que nuestros sistemas son capaces de repeler ataques cibernéticos de una cierta consistencia.
En este curso se explican las normas internacionales de referencia en la evaluación de la seguridad, pero sobre todo los aspectos legales a contemplar, pues constituyen el punto de partida a partir del cual se debe construir la arquitectura de protección de nuestros sistemas informáticos. El incumplimiento legislativo de gestionar adecuadamente el riesgo de los sistemas informáticos y de la organización en general, además de aumentar el riesgo de sufrir un ataque, conlleva un riesgo de tener que pagar multas importantes en caso de sufrirlo, incrementando de esta forma las pérdidas producidas por un ciberataque. Las multas tienden a "materializar" el impacto que un ataque puede producir en la Sociedad, los ciudadanos, que al ser difíciles de evaluar en un análisis de riesgo de una organización, suelen "olvidarse" en la estimación del riesgo.
