Mostrando las entradas con la etiqueta SEGURIDAD EN LA INFORMACIÓN. Mostrar todas las entradas
Mostrando las entradas con la etiqueta SEGURIDAD EN LA INFORMACIÓN. Mostrar todas las entradas

martes, 22 de abril de 2025

SEGUIMIENTO, MEDICIÓN, ANÁLISIS Y EVALUACIÓN SEGÚN LA ISO 27001

La norma internacional ISO 27001:2022, es un estándar internacional que proporciona un marco para la gestión de la Seguridad de la Información. 

Su Sección 9.1 de la norma ISO/IEC 27001:2022, titulada “Seguimiento, medición, análisis y evaluación”, forma parte del capítulo 9 sobre Evaluación del desempeño.

¿Qué exige la sección 9.1?

Esta sección establece que la organización debe determinar y llevar a cabo el seguimiento, medición, análisis y evaluación necesarios para:

  • Evaluar el rendimiento y la eficacia del Sistema de Gestión de Seguridad de la Información (SGSI).
  • Asegurar la mejora continua y el cumplimiento de los objetivos de seguridad de la información.

¿Por qué es crucial y cómo contribuye?

 1. Permite medir la eficacia del SGSI

No se puede mejorar lo que no se mide. Esta sección obliga a las organizaciones a establecer indicadores objetivos para saber si los controles y procesos están funcionando correctamente.

2. Sustenta la toma de decisiones informadas

Gracias al seguimiento y análisis, la dirección puede basar sus decisiones en datos reales, no en suposiciones. Esto es clave para asignar recursos, priorizar acciones y gestionar riesgos.

3. Facilita la mejora continua

Al evaluar resultados y detectar desviaciones, se pueden identificar oportunidades de mejora. Esto asegura que el SGSI no se estanque y se adapte a nuevas amenazas, tecnologías o cambios organizativos.

4. Demuestra cumplimiento ante auditorías

Disponer de evidencias claras de medición y evaluación permite demostrar el cumplimiento con la norma ISO 27001, lo que es esencial para pasar auditorías externas y mantener la certificación.

5. Anticipa problemas antes de que sean críticos

El seguimiento regular ayuda a detectar fallos o ineficiencias antes de que se conviertan en brechas de seguridad. Es un mecanismo preventivo que protege los activos de información.

 ¿Cómo contribuye al SGSI?


Tomado de: https://isotools.org/

miércoles, 26 de octubre de 2022

CON LOS CONTROLES NO ES SUFICIENTE. SIGUE NECESITANDO LA ISO 27001

La información es uno de los activos más importantes. Otras personas, empresas y países están dispuestos a pagar cualquier precio por la información que necesitan para obtener beneficios.

Ya hemos visto a través de la historia de cómo países han perdido guerras por la infiltración de la información y quedan vulnerables frente al “enemigo”, pero también podemos ver como el manejo de esa información de forma adecuada puede fortalecer nuestro sistema.

En seguridad de la información cuando hablamos de controles en seguida recurrimos al anexo A el cual es un guía, un documento el cual nos sirve para implementar controles enfocados específicamente a la norma ISO 27001 de Sistema de Gestión de Seguridad de la Información, los cuales nos van a permitir mejorar las condiciones de riesgos eminentes dentro de la organización.

Controles de Seguridad de la Información

El anexo A data en su versión actual, de 114 controles los cuales en la norma de seguridad de la información ISO 27001 son obligatorios en su aplicación, sin embargo, se puede encontrar con excepciones, estas se presentan cuando aplica no apuntan a algún riesgo valorado.

Con la aplicación de estos controles lo primero que se puede entender es que estos controles no apuntan al área informática de la organización, sino a todos los elementos que hacen parte de la organización, como por ejemplo el recurso humano o infraestructura entre otros elementos. Y los grupos que podemos encontrar son 14 descritos de la siguiente manera: Políticas de seguridad de la información, Organización de seguridad de la información, seguridad de los recursos humanos, gestión de recursos, control de acceso, criptografía, seguridad física y ambiental, seguridad operacional, seguridad de las comunicaciones, adquisición, desarrollo y mantenimiento  de sistemas, relaciones con los proveedores, gestión de incidentes en seguridad de la información, aspectos en seguridad de la información de la gestión de continuidad de negocio, y cumplimiento.

Sin embargo, lo que debemos tener en cuenta es que así, como hay controles que aplican a los diferentes riesgos, podemos encontrar aquellos controles que no aplican, pero también aquellos que no se encuentran y que por tal motivo no se pueden aplicar, ni crear a manera de imposición en sí mismo.

No son suficientes

Es por esto que los controles no se consideran suficientes para cumplir con los principios de la norma ISO 27001 los cuales corresponden a la Confiabilidad, Integridad y Disponibilidad de la información, además de los ítems que permiten generar documentos como políticas, liderazgo etc., en general los ítems que la conforman.

Es por esto que se cuenta con todo un paquete de normas y guías ISO que permiten que el sistema sea robusto adicional de sus controles, como por ejemplo la Norma ISO 9001 de calidad que permite que la implementación de un sistema de seguridad de la información en principio sea más fácil de implementar, esto debido a que ya hay una madurez en el manejo de los procesos y en general de todo el sistema dentro de la organización, se cuenta con guías como la ISO/IEC 27002 encargada de las buenas prácticas de la gestión de la seguridad de la información con la ayuda de sus 93 dominios, entre otras como la ISO 27301 de continuidad de negocio y así aproximadamente unas 20 guías que nos van a permitir potenciar no solo los controles sino nuestro SGSI.

Para el manejo de estos sistemas la tecnología hoy en día, cuenta con software configurables acuerdo a las necesidades de la organización, que permiten realizar una gestión óptimas del sistema en ejecución, control, análisis y toma de decisiones que permiten a las organizaciones cumplir con sus objetivos.

Tomado de: https://www.isotools.org/

lunes, 14 de marzo de 2022

ISO 27001: PASOS PARA LA IMPLANTACIÓN DE LA POLÍTICA DE SEGURIDAD Y LOS PROCEDIMIENTOS

Durante la lectura de este post conocerá mejor cómo debe realizar una política o un procedimiento de seguridad en el momento de implementar un Sistema de Gestión de Seguridad de la Información según la norma ISO 27001.

Gracias a la experiencia y a los conocimientos que tenemos sobre este tema, podemos mostrarle los pasos que se deben de seguir y que pueden ser utilizados en cualquier tipo de empresa, independientemente de su actividad o tamaño. Asimismo, se pueden aplicar a otros tipos de Sistemas de Gestión que no tienen por qué estar relacionados con el estándar ISO 27001.

En primer lugar, debemos de estudiar los requisitos del sistema, es decir, tenemos que saber si hay alguna legislación que nos obligue a incluir algún elemento específico por escrito (como, por ejemplo, pudiera ser el contrato de un cliente). Igualmente, debemos conocer la legislación que nos influye y, sobre todo, los documentos con los que ya cuenta nuestra entidad. Sin olvidar, todos los requisitos de la norma ISO-27001, siempre y cuando se tenga la intención de cumplirlas.

En segundo lugar, debemos tener en cuenta todos los resultados recibidos del análisis de riesgos que determinará todos los temas que se deben abordar en el documento -hablamos del grado-, es decir, es probable que sea necesario clasificar la información de acuerdo a la confidencialidad.

Este último paso puede tener menor importancia dependiendo de si el procedimiento o la política no se encuentra relacionada con la seguridad de la información o la continuidad del negocio. Los principios de gestión de riesgos se pueden aplicar a distintas áreas de la empresa, como pueden ser:
  • Gestión de la Calidad ISO 9001
  • Gestión Ambiental ISO 14001, etc.
El siguiente y tercer paso es alinear y optimizar los documentos del Sistema de Gestión de Seguridad de la Información basado en la ISO 27001 ya que es fundamental conocer la cantidad total de documentos. Lo buen es administrar un solo documento, especialmente si el grupo de lectores se dirige al mismo. No es aconsejable redactar un documento de cien páginas ya que no se puede administrar de una forma coherente.

Es importante tener en cuenta el cuidar minuciosamente la alineación de los documentos con otros que se encuentren redactados de forma muy similar, ya que es posible definir los temas que ya han sido definidos en otro documento. Por ello, es muy importante conocer si se debe ampliar el documento ya existente o redactar uno nuevo.

En el caso de que tengamos que redactar un nuevo documento sobre un tema que ya se encuentre en otro, debes asegurarte de no repetirte y no escribir el mismo tema en los dos documentos. En este caso, sería una pesadilla actualizar los dos documentos. En el momento que sea necesario, es mucho mejor que un documento haga referencia a otro pero sin repetir lo mismo.

El cuarto paso sería el de la estructura del documento, es decir, la empresa tiene que definir un formato para todos sus documentos, debe tener disponible una plantilla con las fuentes, los encabezados, los pies de página, la distancia en los márgenes y demás aspectos predeterminados.
Los 7 pasos para implantar la política de seguridad y los procedimientos de un SGSI.
En el caso de que ya tenga implementada la norma ISO 27001, tiene que respetar el procedimiento para controlar los documentos. El tipo de procedimiento no define el formato en el que se debe encontrar el documento sino que genera las reglas para su aprobación, distribución, etc.

El quinto paso será el de redactar el documento. El criterio que debemos seguir es que cuanto más pequeña sea la organización y menores los riesgos, menos complejo será el documento. No nos sirve de nada redactar un extenso y completo documento que nadie leerá. Las personas que lean el documento, le prestarán la atención adecuada en función del tiempo del que dispongan y la cantidad de líneas que se encuentre.

Un buen sistema es involucrar a los empleados en la redacción o facilitándoles que aporten información a la hora de redactar el mismo. De esta forma, comprenderán lo necesario que es.

El sexto paso es conseguir la aprobación del documento ya que, una vez que esté redactado, lo importante es que se apruebe el documento. Además, se debe conocer quién es la persona con suficiente poder en la organización para poder aprobar el documento.

La persona con suficiente poder para aprobarlo debe comprenderlo, aprobarlo y requerir activamente su implementación. Parece un aspecto sencillo pero no lo es. Este paso es el que genera más fracasos durante la implementación.

El último paso que debemos seguir es la capacitación y la concienciación de sus empleados.

Este paso puede ser el más importante pero, por desgracia, es el que más se olvida. Los empleados deben encontrarse mucho más involucrados en el proceso ya que si solo reciben cambios que le van a hacer trabajar más no lo van a recibir con el suficiente interés.

Por todo esto, es fundamental explicarles a los trabajadores por qué es necesaria la política de seguridad de la información o los procedimientos. Tanto es así que es importante no solo para la organización sino también para todas las personas que trabajan en ésta.

De vez en cuando hace falta capacitar a los empleados ya que sería incorrecto que asumieran responsabilidades sin contar con la preparación y conocimientos necesarios.

Aunque parezca que se ha llegado al final de la implementación de sus documentos, no es así. No es suficiente contar con una política de seguridad y un procedimiento perfecto, sino que lo más importante es mantenerlo.

El documento debe ser actualizado y mejorado continuamente, y de eso, se tiene que responsabilizar alguien. Normalmente suele ser la misma persona que lo redacta.

No es suficiente con contar con una buena plantilla para poder redactar los documentos necesarios, sino que se necesita un enfoque sistemático para poder contar con la política de seguridad o los procedimientos exitosos. Lo necesario es realizar un enfoque sistemático a la hora de llevar a cabo la implementación del Sistema de Gestión de Seguridad de la Información según la norma ISO-27001.

Como conclusión debemos tener claro que el documento no es un fin en sí mismo, es solo una herramienta para poder realizar las actividades y los procesos sin problemas.

Tomado de: https://www.isotools.org/

LA FAMILIA DE NORMAS ISO 27000

La Organización Internacional de Estandarización (ISO) recoge un extenso número de normas dentro de la familia de ISO 27000.
Cada norma tiene reservado una número dentro de una serie que van desde 27000 hasta 27019 y de 27030 a 27044. Vamos a realizar un repaso por todas las normas de la serie:

Esta estandarización contiene las definiciones y los términos que se utilizarán durante toda la serie 27000. Para aplicar cualquier normativa necesita conocer un vocabulario perfectamente definido, por lo que así evitaremos cualquier mala interpretación de conceptos técnicos y gestión. Esta norma es gratuita a diferencia de las demás de la serie de normas que sí que suponen un coste para su implementación.

ISO 27001

La última versión de esta norma fue publicada en el año 2013. Es la norma principal de toda la serie ya que incluye todos los requisitos del Sistema de Gestión de Seguridad de la Información en las organizaciones. La ISO 27001 sustituye a la BS 7799-2 estableciendo unas condiciones de adaptación para aquellas empresas que se encuentren certificadas bajo esta última. En el Anexo A se enumeran los objetivos de control y los análisis que desarrolla la norma ISO27001 para que se puedan seleccionar las empresas durante el progreso de sus Sistemas de Gestión de Seguridad de la Información. La empresa podrá argumentar el hecho de no aplicar los controles que no se encuentren implementados ya que no es obligatorio.

ISO 27002

Es un manual de buenas prácticas en la que se describen los objetivos de control y las evaluaciones recomendables en cuanto a la seguridad de la información. Esta norma no es certificable. En ella podemos encontrar 39 objetivos de control y 133 controles agrupados en 11 dominios diferentes. Como se ha mencionado anteriormente, la norma ISO 27001 incluye un anexo que resume todos los controles que podemos encontrar en la norma ISO 27002.

ISO 27003

Es un manual para implementar un Sistema de Gestión de Seguridad de la Información y además, nos da la información necesaria para la utilización del ciclo PHVA (viene de las siglas Planificar, Hacer, Verificar y Actuar, en inglés “Plan, Do, Check, Act”) y todos los requerimientos de sus diferentes fases. El origen de esta norma se encuentra en el Anexo B de la norma BS7799-2 y en la serie de documentos publicados a lo largo de diferentes años con recomendaciones y guía de implementación.

ISO 27004

En este estándar se especifican las técnicas de medida y las métricas que son aplicables a la determinación de la eficacia de un Sistema de Gestión de Seguridad de la Información y los controles relacionados. Las métricas se utilizan para la medición de los componentes de las fases “implementar y utilizar” del ciclo Deming.

ISO 27005

Esta normativa establece las diferentes directrices para la gestión de los Riesgos en la Seguridad de la Información. Se trata de una norma de apoyo a los conceptos generales que vienen especificados en la ISO 27001 y se encuentra diseñada para ayudar a aplicar, de una forma satisfactoria, la seguridad de la información basada en un enfoque de gestión de riesgos. Para comprender a la perfección esta norma es necesario conocer todos los conceptos, modelos, procesos y términos descritos en la norma ISO-27001 e ISO 27002. Dicha norma se puede aplicar a todo tipo de organizaciones que tienen la intención de gestionar todos los riesgos que se puedan dar en la empresa en temas de seguridad de la información.

ISO 27006

Este estándar específica todos los requisitos para lograr la acreditación de las entidades de auditoría y certificación de Sistema de Gestión de Seguridad de la Información. ISO 27006 se trata de una versión revisada de la EA-7/03 (requisitos para la acreditación de entidades) que añade a la ISO/IEC 17021 (requisitos para entidades de auditoría y certificación de Sistemas de Gestión), los requisitos específicos de la ISO 27001 y los del Sistema de Gestión de Seguridad de la Información. Asimismo, esta norma ayuda a interpretar todos los criterios de acreditación de ISO/IEC 17021 cuando se aplican en organismos de certificación de la norma ISO 27001, pero no se trata de una norma de acreditación por sí misma.

ISO 27007

Es un manual de auditoría de un Sistema de Gestión de Seguridad de la Información. Es un estándar Internacional el cual ha sido creado para proporcionar un modelo para establecer, implementar, operar, monitorear, revisar, mantener y mejorar un Sistema de Gestión de Seguridad de la Información (SGSI).

ISO 27011

Es una guía de gestión de seguridad de la información específica para telecomunicaciones Ha sido elaborada conjuntamente con la Unión Internacional de Telecomunicaciones (ITU).

ISO 27031

Es una guía de continuidad de negocio basada en las tecnologías de la información y las comunicaciones. Explica los principios y conceptos de la tecnología de información y comunicación (TIC), la preparación para que continúe el negocio, y la descripción de los procesos y métodos necesarios para señalar e identificar todos los aspectos que sirvan para mejorar la preparación de las TIC de una empresa con la finalidad de garantizar la continuidad del negocio.

ISO 27032

Es un texto relativo a la ciber-seguridad. Se trata de un estándar que garantiza directrices de seguridad que desde la organización ISO han asegurado que “proporcionará una colaboración general entre las múltiples partes interesadas para reducir riesgos en Internet”. Más concretamente, ISO/IEC 27032 proporciona un marco seguro para el intercambio de información, el manejo de incidentes y la coordinación para hacer más seguros los procesos.

ISO 27033

Es una norma derivada de la norma de seguridad ISO/IEC 18028 de la red. Esta norma da una visión general de seguridad de la red y de los conceptos asociados. Explica las definiciones relacionadas y aporta orientación de la gestión de la seguridad de la red.

Consiste en 7 partes:
  • Gestión de seguridad de redes
  • Arquitectura de seguridad de redes
  • Marcos de redes de referencia
  • Aseguramiento de las comunicaciones entre redes mediante gateways
  • Acceso remoto
  • Salvaguardia de comunicaciones en redes mediante VPNs
  • Diseño e implementación de seguridad en redes.

ISO 37034

Es una guía de seguridad en aplicaciones.

ISO 27799

Se trata de un estándar de Gestión de Seguridad de la Información dentro del sector sanitario aplicado a la norma ISO 17799 (actual ISO 27002). Dicha norma no es desarrollada por el subcomité JTC1/SC27 sino que la lleva a cabo el comité técnico TC 215. Esta normativa define las directrices necesarias para apoyar la interpretación y la aplicación en la salud informática de la norma ISO 27002 y es un complemento a dicha norma. Esta especifica un conjunto detallado de controles y directrices de buenas prácticas para la gestión de la seguridad de la información por las empresas del sector sanitario.
SGSI

Los Sistemas de Gestión de Seguridad de la Información o SGSI, son un recurso que permiten a las organizaciones garantizar que todos los activos de la empresa están siendo manipulados adecuadamente y que no hay riesgos de fugas de información.

Tomado de: https://www.isotools.org/

domingo, 13 de marzo de 2022

ISO 27001: EL PAPEL DE LA ALTA DIRECCIÓN EN UN SGSI

La implicación de la alta gerencia de la organización es uno de los principales componentes para poder implementar un Sistema de Gestión de Seguridad de la Información (SGSI) según la norma ISO 27001.

Desde un primer momento, tenemos que asumir que el Sistema de Gestión de Seguridad de la Información afecta a la gestión del negocio y requiere que todas las acciones futuras y las decisiones que se tomen solo las puedan desarrollar la alta dirección de la organización.

No podemos considerar que el Sistema de Gestión de Seguridad de la Información o SGSI sea una cuestión meramente tecnológica o técnica de los niveles inferiores de la empresa sino todo lo contrario, la gerencia debe tener la responsabilidad de gestionar los riesgos y los impactos del negocio.

Desde el punto de vista del alcance del Sistema de Gestión de Seguridad de la Información, el término dirección de la organización debe estar contemplado siempre. Las tareas fundamentales del Sistema de Gestión de Seguridad de la Información que ISO 27001 asignan a la dirección en que se detallan los siguientes elementos:

Compromiso con la dirección

La alta dirección de la entidad debe comprometerse con la implementación, establecimiento, operación, monitorización, mantenimiento, revisión y mejora del Sistema de Gestión de Seguridad de la Información. Para ello, se pueden llevar a cabo las siguientes iniciativas:
  • Desarrollar una política de seguridad de la información.
  • Garantizar el cumplimiento de planes y objetivos de Sistema de Gestión de Seguridad de la Información.
  • Constituir roles y responsabilidades de seguridad de la información.
  • Informar a la empresa la importancia de alcanzar los objetivos de seguridad de la información y de cumplir con la política de seguridad.
  • Designar todos los recursos necesarios para llevar a cabo el SGSI.
  • Determinar todos los criterios de aceptación de riesgos y sus correspondientes niveles.
  • Asignar los recursos suficientes para todas las fases del SGSI.
  • Garantizar que se realizan todas las auditorías internas.
  • Llevar a cabo revisiones periódicas del SGSI.
Asignación de recursos

Para que se realicen todas las actividades vinculadas con el Sistema de Gestión de la Seguridad de la Información, es fundamental designar los recursos necesarios. Es tarea de la alta dirección la de garantizar que cuentan con los suficientes medios para:
  • Operar, establecer, implementar, monitorizar, revisar y mantener el Sistema de Gestión de Seguridad de la Información.
  • Poder asegurar que todos los procedimientos de seguridad de la información apoyan a los requerimientos de negocio.
  • Detallar todos los requerimientos necesarios para cumplir con la legislación vigente.
  • Suministrar todos los controles implementados de una forma correcta.
  • Desarrollar todas las revisiones cuando sea necesario.
  • Mejorar la eficiencia del Sistema de Gestión de Seguridad de la Información.
Formación y concienciación

Para conseguir el éxito de un Sistema de Gestión de Seguridad de la Información basado en la norma ISO-27001 es fundamental contar con dos elementos muy básicos como son la formación y la concienciación en Seguridad de la Información.

Por ello, la alta gerencia de la organización debe garantizar que todos los empleados tengan sus responsabilidades asignadas y definidas en el SGSI. Por lo que se deberá:
  • Decidir las competencias necesarias que debe tener cada trabajador de la empresa en función de las tareas que vaya a desempeñar.
  • Complacer las necesidades mediante planes de formación.
  • Analizar y evaluar la eficiencia de las acciones que ha desarrollado.
  • Conservar todos los registros de estudios, formación, habilidades, experiencia y cualificación.
La alta dirección tiene que garantizar que todos los empleados relevantes se involucren y se conciencien de la importancia de las actividades relacionadas con la seguridad de la información y el grado de contribución a la consecución de los objetivos del Sistema de Gestión de Seguridad de la Información.
Los directivos deben garantizar que los empleados se involucren en el Sistema de Gestión de Seguridad de la Información -SGSI 
Revisión de Sistema de Gestión de Seguridad de la Información

La tarea que se le debe a signar a la alta dirección de la organización es que, al menos una vez al año, revise el Sistema de Gestión de Seguridad de la Información, para poder garantizar que continúa siendo eficaz, eficiente y adecuado. Para ello, la gerencia debe recibir una serie de información para ayudarle en esa toma de decisiones y entre ellas destacamos las siguientes:
  • Amenazas o vulnerabilidades que no sean trasladadas adecuadamente en evaluaciones de riesgos anteriores.
  • Los resultados de las mediciones de eficacia.
  • Resultados de las auditorías y revisiones del SGSI.
  • Controlar todas las partes interesadas.
  • Productos, técnicas o procedimientos que puedan ser útiles para mejorar el rendimiento y eficiencia del SGSI.
  • Comunicar el estado de las distintas acciones preventivas y correctivas.
  • El estado de las acciones iniciadas a raíz de las diversas revisiones anteriores de la dirección de la organización.
  • Cualquier cambio que puede afectar al Sistema de Gestión de Seguridad de la Información.
  • Obtener recomendaciones de mejora.
Por otra parte, si nos centramos en todas las informaciones, la gerencia tiene que revisar el Sistema de Gestión de Seguridad de la Información y tomar las decisiones relativas y oportunas a:
  • Enriquecer y desarrollar la eficiencia del Sistema de Gestión de Seguridad de la Información.
  • Actualización del plan de tratamiento de riesgos y de la evaluación de riesgos.
  • Cambiar los controles y procedimientos que afecten a la seguridad de la información. De esta forma, obtendremos como respuesta cambios internos o externos en los requisitos de los negocios.
  • Necesidad de recursos.
  • Mejorar la forma de medir la eficacia de los controles.
Sistema de Gestión de Seguridad de la Información

Los Sistemas de Gestión de Seguridad de la Información pueden gestionarse a través de herramientas tecnológicas con una serie de aplicaciones específicas para esta temática tales como evaluación de riesgos de seguridad de la información o aplicaciones de autodiagnóstico que dan la posibilidad de automatizar la implantación y mantenimiento de la norma ISO-27001.

Tomado de: https://www.isotools.org/

jueves, 10 de marzo de 2022

ISO 27002. LA IMPORTANCIA DE LAS BUENAS PRÁCTICAS EN LOS SISTEMAS DE SEGURIDAD DE LA INFORMACIÓN

El objetivo que persigue la norma ISO 27002 es que la organización conozca de forma precisa todos los activos que posee. 

Esta información es una parte muy importante de la administración de riesgos.

Algunos ejemplos de activos son:
  • Recursos de información: bases de datos y archivos, la documentación de los sistemas, los manuales de usuario, el material utilizado durante la capacitación, los procedimientos operativos, los planes de continuidad y contingencia, etc.
  • Recursos de software: software de aplicaciones, sistemas operativos, herramienta utilizadas para llevar a cabo los desarrollos, etc.
  • Activos físicos: equipamiento informático, equipos de comunicación, mobiliario, etc.
  • Servicios: los servicios informáticos y de comunicaciones.
Los activos de información tienen que estar clasificados según la sensibilidad y criticidad de la información que contienen o que se dedican a cumplir con el objetivo de establecer como se debe tratar y proteger la información.

Las pautas de clasificación deben prever y contemplar el hecho de que la clasificación de un ítem de información determinado no necesariamente tiene que mantenerse de forma invariable por siempre, y que se puede cambiar según la política determinada por la propia organización. Es necesario que se considere la cantidad de categorías a la hora de definir toda la clasificación según los esquemas que se pueden llevar a cabo de forma compleja en la organización y pueden resultar muy poco prácticos.

La responsabilidad sobre los activos

Según establece la norma ISO 27002 es necesario justificar los activos y que cuenten con un propietario que debe estar correctamente identificado. Los propietarios de los activos tendrán la responsabilidad de mantener los controles necesarios.

La implantación de los controles específicos de Seguridad de la Información en un plan de reacción ante incidencias de SI se puede delegar por parte del propietario de forma conveniente. No obstante, el propietario será el responsable de la adecuada protección de todos los activos.

La persona o entidad que será la responsable de un activo, debe contar con la aprobación del órgano de dirección, para establecer el control de la producción, el desarrollo, el mantenimiento, la utilización y la seguridad de todos los activos. El término propietario no significa que la persona responsable disponga de los derechos de propiedad reales del activo, simplemente se dedica a proteger que no le suceda nada.

Será necesario realizar y mantener un inventario de activos de información, que debe ser mostrado a los propietarios de los activos y los detalles relevantes.

Utilizar un código de barras facilita las tareas que se deben realizar a la hora de hacer inventario y vincular los equipos de TI que entran y salen de las instalaciones.

¿Cuáles son las actividades de control del riesgo que se llevan a cabo?

Las actividades de control de riesgos que se tienen que llevar a cabo son:
  • Realizar un inventario de activos. Todos los activos deben encontrase claramente identificados, confeccionados y mantenidos en un inventario.
  • Proteger la propiedad de los activos. Todos los activos del inventario deben estar asociados a un responsable designado por la organización.
  • Uso aceptable de los activos. Se tendrá que identificar, documentar e implementar la regulación para el uso adecuado de la información y los activos que se encuentran asociados a recursos de tratamiento de la información.
  • Devolución de los activos. Una vez que finalice el acuerdo, los responsables deberán devolver todos los activos a la organización, por este motivo es necesario que cuenten con un contrato de prestación de servicios.
El objetivo de ISO 27002 es que la organización conozca todos los activos que posee, ya que es una parte muy importante de la administración de riesgos.

Clasificar la información

Es necesario que se realice una clasificación de la información en la que se indica la necesidad, las prioridades. También habrá que clasificar el nivel de protección que se necesite para llevar a cabo el tratamiento.

La información tiene diversos grados de sensibilidad y criticidad. En algunos casos se pueden requerir niveles de protección que resulten adicionales o de un tratamiento especial. Tiene que utilizarse un esquema de clasificación de la información con el que se definirán de forma adecuada los niveles de protección. También se comunicará la necesidad de las medidas especiales para llevar a cabo el tratamiento adecuado.

Es necesario que se distingan todos los requisitos de seguridad, según el acuerdo alcanzado con el riesgo. Es necesario que se comience por controlar la confidencialidad, pero no olvide los requisitos de integridad y disponibilidad.

Las actividades que se realizan para establecer el control del riesgo:
  • Clasificación. La información se tendrá que clasificar en relación al valor que tenga, los requisitos legales, la sensibilidad del documento y lo crítico que sea para la empresa.
  • Etiquetado y manipulado de la información. Se tendrán que llevar a cabo una serie de procedimientos para establecer un etiquetado y tratamiento de la información según el esquema de clasificación que se ha realizado por la empresa.
  • Manipulación de los activos. Se tienen que desarrollar e implementar procedimientos para la manipulación de todos los activos según el esquema de clasificación que se ha generado por la propia empresa.

Tomado de: https://www.isotools.org/

ISO 27001: PILARES FUNDAMENTALES DE UN SGSI

El estándar ISO 27001 establece todos los requisitos necesarios a la hora de implementar un Sistema de Gestión de Seguridad de la Información (SGSI) en cualquier tipo de empresa.
La parte más importante de una empresa es la información. Evidentemente, la empresa contará con otro tipo de activos que también tendrán una destacada importancia, pero si la organización tiene algún problema en la Seguridad de la Información, ésta no podrá recuperarla. Esa es la principal razón por la que las empresas deben dedicar parte de su esfuerzo en garantizar la seguridad de la información corporativa.

Habitualmente, la gestión de la Seguridad de la Información en una empresa se encuentra desorganizada, por lo que no cuenta con un criterio común, es decir, cada departamento de la organización cuenta con sus propios procedimientos y políticas, que han sido constituidas sin contar con las necesidades generales de la empresa e incluso podemos hablar de que se encuentran alejadas de los objetivos del negocio.

Implementar un Sistema de Gestión de Seguridad de la Información basado en la norma ISO 27001 es la manera más eficiente de poder conseguir la coordinación y gestión necesaria para alcanzar los objetivos de la organización y además puede conseguir que la organización salga mucho más reforzada.

Un Sistema de Gestión de Seguridad de la Información según la ISO27001 genera una garantía con la que sabemos que poder realizar una adecuada gestión de la seguridad de la información en la organización. Para ello, se debe realizar un tratamiento según los diferentes niveles de riesgos cosechados como consecuencia de considerar los distintos efectos que se pueden producir sobre la información de la organización.

El Sistema de Gestión de Seguridad de la Información según la norma ISO-27001 genera un proceso de mejora continua y de gran flexibilidad frente a los cambios que se pueden producir en la empresa refiriéndonos a los procesos de negocio y a la tecnología, ya que ésta avanza a una gran velocidad.

El SGSI se basa en tres pilares fundamentales:
  • Confidencialidad: es la garantía de acceso a la información de los usuarios que se encuentran autorizados para tal fin.
  • Integridad: es la preservación de la información completa y exacta.
  • Disponibilidad: es la garantía de que el usuario accede a la información que necesita en ese preciso momento.
El Sistema de Gestión de Seguridad de la Información tiene que tener en cuenta los tres pilares fundamentales para realizar el tratamiento de los riesgos de la organización ya que la implementación de los controles de seguridad son los activos de la organización.
El ciclo PHVA en un Sistema de Gestión de Seguridad de la Información.
Sistema de Gestión de Seguridad de la Información

Implantar un Sistema de Gestión de Seguridad de la Información se encuentra basado en la norma ISO-27001. Este estándar internacional presenta un sistema de gestión basado en el ciclo de Deming: Planificar, Hacer, Verificar y Actuar, cuyas siglas en inglés son PHVA. El ciclo Deming o ciclo PHVA, supone la implementación de un Sistema de Gestión que se centra en la mejora continua que requiere de una constate evolución para adaptarse a los cambios que se producen en la organización e intentar conseguir el mayor nivel de eficacia operativa.

Procedemos a describir todas las actividades que realizan en cada una de las cuatro fases del ciclo Deming (PHVA):
  • Planificar: durante esta fase tiene lugar la creación de un Sistema de Gestión de Seguridad de la Información, con la definición del alcance y la política de seguridad. Para comenzar debemos realizar una análisis de riesgos que refleje la situación actual de la entidad. Una vez realizado el análisis obtendremos unos resultados que definirán el plan de tratamiento de riesgos que conlleva la implementación en la empresa de unos controles de seguridad con el objetivo de mitigar los diferentes riesgos no asumidos por la dirección.
  • Hacer: durante esta fase de la implementación nos centramos en el plan de tratamiento de riesgos, es decir, su ejecución. Se debe incluir la formación y la conciencias de los trabajadores de la organización en materia de seguridad y deben conocer la definición de métricas e indicadores que se utilizarán para evaluar la eficacia de los diferentes controles implementados.
  • Verificar: esta fase conlleva la realización de diferentes tipos de revisión en los que se comprobarán la correcta implementación del Sistema de Gestión de Seguridad de la Información según ISO 27001. Para ello, se deben realizar auditorías internas independientes y objetivas, además de llevar a cabo una revisión global del Sistema de Gestión de Seguridad de la Información por la alta dirección de la empresa, persiguiendo el fin de marcarse nuevas metas a cumplir durante el próximo ciclo del SGSI.
  • Actuar: El resultado obtenido de las revisiones debe quedar reflejado en la definición e implementación de las diferentes acciones correctivas, preventivas o de mejora con las que se consigue avanzar en la consecución del Sistema de Gestión de Seguridad de la Información siendo un sistema eficaz y eficiente.
Para implementar un Sistema de Gestión de Seguridad de la Información que se deben utilizar las dos normas, es decir, la ISO 27001 en la que se describe el ciclo PHVA de gestión de sistemas y el estándar internacional ISO27002 en la que encontramos la guía de implantación de los diferentes tipos de controles de seguridad.

La norma tiene 11 dominios diferentes de controles que pretenden cubrir todos los ámbitos de una entidad donde debe existir la seguridad de la información. Los dominios se encuentran divididos en 39 objetivos de control que, a su vez, abarcan 133 controles de seguridad.

Se deben seleccionar los diferentes controles que se deben llevar a cabo para definir el plan de tratamiento de riesgos, se debe nutrir de los 133 controles que encontramos en la norma ISO 27002. El anexo A del estándar internacional ISO27001 engloba una lista con los diferentes controles que sirven de unión entre ambas normas internacionales.

SGSI

La Seguridad de la Información en las organizaciones se ha convertido en un motivo de preocupación y compromiso.

Tomado de: https://www.isotools.org/

lunes, 7 de marzo de 2022

NOVEDADES DE LA ISO 27002 DE MEJORES PRÁCTICAS EN LA GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN

La gestión de la seguridad de la información, tanto la norma ISO 27001 como la 27002 tienen un objetivo común: proporcionar un marco de referencia para la definición e implantación de un Sistema de Gestión de la Seguridad de la Información (SGSI).

Sin embargo, existe una diferencia importante: la ISO 27001 es una norma certificable, mientras que la ISO 27002 es un compendio de recomendaciones y buenas prácticas.

A través de un SGSI óptimamente diseñado e implantado es posible identificar, eliminar o minimizar las amenazas y peligros, haciéndolos conocidos, asumidos, gestionados y minimizados por la organización de una forma documentada, sistemática y estructurada.

Las amenazas se pueden definir como eventos que puede afectar los activos de información y están relacionadas principalmente con: recursos humanos, eventos naturales o fallas técnicas como ataques informáticos externos, infecciones con malware, una inundación, un incendio o cortes de fluido eléctrico.

No obstante, es frecuente que el peligro se origine en simples despistes o falta de concienciación por parte de algún trabajador de la empresa: uso de una pulsera imantada, utilizar contraseñas inseguras o facilitarlas a personas no autorizadas, etc.

Aspectos claves y novedosos de la ISO 27002

Con un enfoque en el análisis de procesos, los 114 controles de la norma ISO 27002:2013 la convierten en un estándar actualizado a los nuevas necesidades de las empresas, teniendo en cuenta aspectos novedosos como la continuidad del negocio.
La norma ISO 27002 es un código de buenas prácticas para gestionar la seguridad de la información 
Es un estándar especialmente útil para los responsables de diseñar, implantar o mantener el SGSI de cualquier organización, independientemente de su sector y tamaño.

Los puntos principales de esta norma son:
  • Proporciona una base común para desarrollar las normas de seguridad dentro de las organizaciones.
  • Provee de prácticas eficaces para la implantación del SGSI adaptadas al contexto actual: protagonismo de las nuevas tecnologías, ataques informáticos cada vez más sofisticados o imperiosa necesidad de restablecer rápidamente el funcionamiento de una empresa cuando ya se ha producido un incidente.
  • Proteger adecuadamente a las empresas.
  • Maximizar el retorno de las inversiones y oportunidades de negocio.
  • Es un estándar flexible y autónomo, lo que garantiza su adaptación a cualquier tecnología o sistema que ya esté siendo utilizado por la empresa.
Los tres requisitos básicos

La ISO 27001 entiende que el SGSI de la empresa debe no sólo garantizar, sino también fundamentarse, en tres requisitos básicos:
  • Confidencialidad. Que la información sea únicamente accesible por las personas que estén autorizadas para ello.
  • Disponibilidad. El acceso a la información debe estar siempre accesible en el momento que se necesite.
  • Integridad. La información debe mantenerse completa e inalterada y en ningún caso puede ser manipulada sin autorización.
Estructura de la norma

La norma ISO 27002 se compone de 12 secciones que, en conjunto, cubren totalmente la gestión de la seguridad de la información:
  1. Evaluación y tratamiento de riesgos y amenazas
  2. Política de seguridad
  3. Aspectos organizativos para la seguridad
  4. Clasificación y control de activos
  5. Seguridad ligada al personal
  6. Seguridad física y del entorno
  7. Gestión de comunicaciones y operaciones
  8. Control de accesos
  9. Desarrollo y mantenimiento de sistemas
  10. Gestión de continuidad de negocio
  11. Conformidad con la legislación
  12. Gestión de los incidentes de seguridad de la información
Dentro de cada sección, se especifican los objetivos de los distintos controles para la seguridad de la información y para cada uno de los controles (un total de 114) se suministra una guía para su implantación.

Tomado de: https://www.isotools.org/

lunes, 23 de noviembre de 2020

LOS PAÍSES LATINOAMERICANOS CON MAYOR DIGITALIZACIÓN GUBERNAMENTAL

En épocas de COVID-19, el acceso a los servicios de la administración pública puede verse restringido por la falta de infraestructura digital. 

La pandemia, de hecho, aceleró e intensificó la necesidad de que los gobiernos ofrezcan sus servicios a la ciudadanía de forma online, algo que hasta entonces no figuraba en los primeros niveles de prioridad de muchos países latinoamericanos.

Para medir la capacidad de transformación digital de los gobiernos, la Organización de las Naciones Unidas (ONU) elabora el Índice de Desarrollo del Gobierno Electrónico. En la última edición publicada en julio de 2020, un sondeo en 193 países muestra qué tan bien se desempeñan los Estados en la provisión de servicios en línea, así como la calidad y la cantidad de redes de telecomunicaciones y del capital humano disponible para la digitalización gubernamental.

De todos los países latinoamericanos incluidos en el estudio, Uruguay obtuvo la más alta puntuación con un índice de 0,85 en una escala de cero a uno, donde uno equivale al mejor desempeño posible en el desarrollo del gobierno electrónico. Además de encabezar el ranking latinoamericano, este puntaje le valió ocupar el puesto 26º de la clasificación mundial. Argentina, por su parte, se ubicó en el segundo lugar de América Latina, con un índice de 0,828, seguida de Chile, con 0,826.



Tomado de: https://es.weforum.org/

lunes, 28 de septiembre de 2020

¿POR QUÉ ES IMPORTANTE DOCUMENTAR LA POLÍTICA DE SEGURIDAD?

La política de seguridad es un conjunto de reglas, normas y protocolos de actuación por los cuales debemos velar para conseguir la seguridad informática de la organización.

Se trata de una especie de plan realizado para combatir todos los riesgos a los que se encuentre expuesta la organización en el mundo digital. De esta manera mantendremos nuestra empresa alejada de cualquier ataque externo.

Hoy en día, existe una gran cantidad de ciberdelincuencia que apuesta por atacar a las organizaciones para conseguir información valiosa que pueda permitirles realizar estafas o sacar algún beneficio. Con la transformación digital que han sufrido las organizaciones de hoy en día, es necesario que se controle todos los aspectos relacionados con la tecnología, ya que cualquier error puede provocar grandes problemas.

La política de seguridad debe definir cuáles son los aspectos de la organización más importantes que deben estar bajo control. De esta manera se detallan una serie de procesos internos de la organización que se deben llevar a cabo de forma periódica para no mantenerlos vulnerables. La política de seguridad no solo se encuentra destinada a los equipos técnicos e informáticos de una organización, sino que van dirigidos a todos los puestos de trabajo que sean susceptibles de producir algún error o descuido de seguridad. Es necesario destacar que muchos problemas de seguridad de las organizaciones se producen por errores de las personas que no tienen en cuenta la vulnerabilidad de los datos y la información de las organizaciones.

Es necesario establecer cuáles son los mecanismos de seguridad que se quieren implementar en la empresa. Estos tendrán que plantearse en tren ámbitos de actuación diferentes:
  • Prevención: nos recuerda que es mejor prevenir que curar, por lo que esta primera fase será imprescindible para no tener problemas.
  • Detección: en el caso de tener alguna amenaza será necesario saber cómo detectar y realizar el diagnóstico de forma adecuada sobre los errores recibidos.
  • Actuación: se produce alguna inviolabilidad de nuestro sistema informático siendo necesario establecer protocolos de actuación que nos permitan solucionar cualquier amenaza de la forma más rápida y efectiva posible.
La política de seguridad es un conjunto de reglas, normas y protocolos de actuación
La política de seguridad de la información juega un papel vital en cuento a la seguridad de la empresa. Es necesario obtener una política correcta que le ofrecerá un marco excelente para trabajar, asegurándose de que todos los esfuerzos sigan un solo objetivo. Pero si se equivoca, corre el riesgo de descuidar los problemas clave y exponerse a violaciones de datos.

La guía definitiva para que cualquier empresa se tome en serio la seguridad es la norma ISO 27001.

Conceptos básicos de la política de seguridad de la información

Una política de seguridad de la información es un conjunto de documentos que explican lo que una empresa espera que sus empleados hagan para prevenir incidentes de seguridad. No necesita ser largo, pero debe capturar los ideales y objetivos del personal superior para la empresa.

La mejor forma de mantener la seguridad es mantener las cosas lo más simple posible. Debe evitar cualquier cosa demasiado prescriptiva, ya que los gerentes necesitan suficiente libertad para adaptar sus políticas según los cambios organizativos.

Las preguntas claves

Al realizar su política de seguridad de la información, hay cuatro preguntas que deben responder:
  • ¿Quién es el responsable de la política? El personal superior debe estar completamente detrás del proyecto, y eso significa que en última instancia son responsables. Sea quien sea quien formule la política debe comunicarse con el personal superior con regularidad y debe tener pruebas claras que demuestren que se acordó la política.
  • ¿Dónde se aplica la política? La política puede aplicarse a toda la empresa o solo a ciertas partes. Esto debe ser abordado y documentado.
  • ¿Cuál es el objetivo de la política? La norma ISO 27001 se refiere de forma específica a preservar la confidencialidad, integridad y disponibilidad de la información. La política debe centrar en eso y sólo en eso.
  • ¿Por qué se encuentra vigente la política de seguridad? Hay muchas formas en las que la información puede verse comprometida, y aunque no necesita entrar en detalles en esta etapa, debe tener una comprensión clara de las amenazas a las que se dirige.
Tomado de: https://www.pmg-ssi.com/

martes, 21 de noviembre de 2017

LOS 6 RETOS A LOS QUE SE ENFRENTA UN DIRECTOR DE SEGURIDAD DE LA INFORMACIÓN?


Hoy en día es cada vez más difícil establecer la digitalización masiva de la sociedad, impulsando la movilidad y la conectividad permanente, uniendo los nuevos riesgos y las amenazas que se establecen en el mercado. 

Se imponen nuevo retos para los directores de seguridad de la información de las empresas.


El escenario tecnológico se diversifica y se complica

Aunque no parezca verdad hace un tiempo en las empresas se trabajaba de forma exclusiva con ordenadores personales y redes contraladas por el equipo de sistemas de manera que se protegía el perímetro de la empresa quedara a salvo de posibles ataques.

El panorama tecnológico en la actualidad es muy diferente. Los sistemas propios y ubicados en la organización han dado paso a sistemas basados en el modelo de aprovisionamiento cloud computing.

Los datos ya no son generados y almacenados en el data centro, sino que se establecen en dispositivos móviles que proliferan entre los diferentes empleados, por lo que no los facilita ni siquiera en la propia organización, sino que son personales. Incluso la inteligencia en la red corporativa ha saltado del centro de datos a los dispositivos de los profesionales. La red empieza a dotar de conexión a los dispositivos más variopintos, y cada vez debe tener en cuenta la tendencia hacia el llamado internet de la cosas.

Se exige a los directores de seguridad una nueva aproximación de que ofrezca respuesta a los nuevos modelos y prácticas. Es necesario disponer de políticas concretas en este sentido, y darlas a conocer a los trabajadores, por es importante que lo tengan interiorizado para saber cómo actuar para no poner en riesgo la información de su organización. Cómo también lo puede ser proteger desde el centro de datos el dispositivo móvil con las nuevas herramientas de software y de gestión de dispositivos móviles en los proveedores de seguridad. No nos podemos olvidar de que se debe blindar la red interna y los activos corporativos.

Más amenazas y más virulentas

No es menos importante tener un reto para los responsables de seguridad siendo el cambio en el tipo de ataques y amenazas que han sido producidos en los últimos tiempos. Los ciberataques que realizaban los hackers de antaño para superar un rato informático que han dado paso a amenazas dirigidas y persistentes llevadas a cabo en grupos de cibercriminales cuyo fin es robar la información, es decir, el lucro económico.

Los directores de seguridad tienen que ser conscientes de esta nueva realidad y saber que, aunque sea difícil evitar los ataques, es necesario mitigar los efectos que se relacionan con la celeridad. Todos los expertos recomiendan que se adopte la seguridad basándonos en la metodología que ofrecen los estándares reconocidos como puede ser la norma ISO 27001 y llevar a cabo auditorías con frecuencia para ver el grado de preparación que se tiene de cara a la incidencia de este tipo.


Es necesario que se mejore la gestión del riesgo. Esto se puede llevar a cabo con la monitorización constante de las amenazas, que se producen en todos los equipos y en la red. Muchas herramientas que ya se encuentran disponibles nos pueden ayudar en la implementación, ya que es algo sencillo.

Presupuestos aún ajustados

De un tiempo hasta ahora se caracteriza por la caída o ajuste en los presupuestos de TI que sufren muchas organizaciones, la situación económica puede mejorar.

La parte directiva de las organizaciones es cada vez más consciente de que el gasto en seguridad de la información es necesario. Es todo un reto justificar los gastos que se encuentran en el área de TI.

El gasto en seguridad ha seguido incrementado en los últimos años. La creciente adopción de la tecnología de movilidad o el cloud computing, además de las redes sociales será lo que impulse, por lo que es bueno utilizar nuevas tecnologías y servicios de seguridad de la información hasta el año 2016.



Escasez de personal especializado

Los recursos humanos utilizados para controlar la seguridad de la información son muy escasos y tienen un coste muy elevado. Aunque, es mucho más problemático el poder que debe tener para retener a dichos profesiones en un mercado en el que son tan necesarios.
Mayor conocimiento y alineación con el negocio

No solo el director de TI tiene que estar alineado con el negocio sino que también debe contar con el director de seguridad de la información. Es necesario disponer de conocimientos sólidos del ámbito de las comunicaciones y la informática, además es necesario que se garantice la seguridad de todas las aplicaciones y los sistemas. El responsable de seguridad debe saber cómo guiar a la empresa para se introduzca en los nuevos mercados.


Hacer la seguridad invisible para el usuario

Las TI en general es preciso trabajar para que la seguridad de la información, sea invisible, transparente, para la empresa y sus usuarios. El trabajo que hay detrás es arduo pero muy necesario.

IDEA CONSULTORES & ASESORES S.A.S. puede ayudarle en el proceso de transición o en la implementación, control, medición, mejora y todos los temas de su Sistema de Gestión (ISO 9001:2015, ISO 14001:2015, OHSAS 18001 (ISO 45001), ISO 31000 y otras normas). Coctáctenos, uno de nuestros profesionales lo visitará.

Tomado de: http://www.pmg-ssi.com/

jueves, 9 de noviembre de 2017

ESTAS SON LAS 10 TECNOLOGÍAS EMERGENTES MÁS IMPORTANTES DE 2017

Según una lista publicada por el Foro Económico Mundial, una amplia gama de tecnologías revolucionarias pronto podrían desempeñar una función importante en la solución de los desafíos más apremiantes del mundo,—incluidas las "hojas artificiales" que convierten el CO2 en combustible y una técnica que extrae el agua del aire— 

La Red de Expertos y los Consejos Mundiales Futuros del Foro Económico Mundial, en colaboración con Scientific American y su Junta de Asesores, seleccionaron las tecnologías. Se eligió cada tecnología por su potencial para mejorar vidas, transformar industrias y proteger el planeta. Al mismo tiempo, los expertos buscaban indicios de que las tecnologías hubiesen alcanzado un nivel de madurez que permitiera un aprovechamiento generalizado en los próximos 3 a 5 años.

"Las nuevas tecnologías están redefiniendo las industrias, borrando las fronteras tradicionales y creando nuevas oportunidades a una escala nunca antes vista. Las instituciones públicas y privadas deben desarrollar políticas, protocolos y colaboraciones adecuadas para permitir que esa innovación construya un futuro mejor, y al mismo tiempo evitar los riesgos que podría suponer un cambio tecnológico incontrolado", dijo Murat Sönmez, jefe del Centro para la Cuarta Revolución Industrial y miembro de la Junta Directiva del Foro Económico Mundial.

Las 10 principales tecnologías que componen la lista de este año son:

1. Biopsias líquidas

Las biopsias líquidas son un avance en la lucha contra el cáncer. En primer lugar, son una alternativa cuando no es posible realizar las biopsias tradicionales basadas en tejidos. En segundo lugar, proporcionan una gama completa de información en comparación con las muestras de tejido, que solo reflejan la información disponible en la muestra. 

Por último, al referirse al ADN tumoral circulante (ctDNA), el material genético que normalmente se abre paso desde las células cancerosas hacia el torrente sanguíneo, se puede detectar el avance de la enfermedad o la resistencia al tratamiento de manera mucho más rápida de lo que sería posible basado en los síntomas o la obtención de imágenes.

2. Extracción de agua limpia del aire

La capacidad de extraer agua limpia del aire no es nueva; sin embargo, las técnicas existentes requieren altos niveles de humedad y mucha electricidad. Esto está cambiando. Un equipo del MIT y de la Universidad de California en Berkeley ha probado con éxito un proceso con cristales porosos que convierten el agua sin necesidad de energía en absoluto. 

Otro enfoque, de una empresa de creación reciente llamada Zero Mass Water de Arizona, es capaz de producir entre 2 y 5 litros de agua por día basado en un sistema solar sin conexión a la red.

3. Aprendizaje profundo para tareas visuales
Las computadoras están empezando a reconocer las imágenes mejor que los seres humanos. Gracias al aprendizaje profundo, un campo emergente de inteligencia artificial, las tecnologías de visión artificial se utilizan cada vez más en aplicaciones tan diversas como la conducción de vehículos autónomos, los diagnósticos médicos, la evaluación de daños para reclamos de seguros y el control de los niveles de agua y el rendimiento de los cultivos.


4. Combustibles líquidos a partir del sol

¿Podemos imitar a las plantas y crear una fotosíntesis artificial para generar y almacenar energía? Las posibilidades son cada vez más reales. La respuesta radica en el uso de catalizadores activados por la luz solar para dividir las moléculas de agua en agua e hidrógeno, y luego usar el mismo hidrógeno para convertir el CO2 en hidrocarburos. 

Este sistema cerrado —en el que el CO2 procedente de la combustión se transforma nuevamente en combustible en lugar de volver a la atmósfera— podría resultar revolucionario para las industrias solar y eólica.

5. El Atlas de las células humanas

En octubre de 2016 se puso en marcha una iniciativa internacional, denominada Atlas de las células humanas, destinada a descifrar el cuerpo humano. El proyecto, respaldado por la fundación Chan Zuckerberg Initiative, tiene como objetivo identificar cada tipo de célula en los tejidos, obtener información sobre exactamente qué genes, proteínas y otras moléculas están activas en cada tipo y los procesos que controlan esa actividad, determinar dónde se encuentran exactamente las células, cómo estas interactúan normalmente entre sí y qué sucede con el funcionamiento del cuerpo cuando los aspectos genéticos u otros aspectos de una célula sufren cambios, entre otras cosas. 

El producto final será una herramienta invaluable para mejorar y personalizar el cuidado de la salud.

6. Agricultura de precisión

La Cuarta Revolución Industrial está entregando a los agricultores un nuevo conjunto de herramientas para aumentar el rendimiento y la calidad de los cultivos, y al mismo tiempo reducir el uso de agua y productos químicos. Se están utilizando sensores, robots, GPS, herramientas de mapeo y software de análisis de datos para personalizar el cuidado que las plantas necesitan. 

Si bien para la mayoría de los agricultores del mundo, la posibilidad de utilizar drones para registrar la salud de las plantas en tiempo real puede estar muy lejos, también están en funcionamiento técnicas de baja tecnología. Por ejemplo, Salah Sukkarieh, de la Universidad de Sídney, ha documentado un sistema de monitoreo aerodinámico de bajo costo en Indonesia que se basa en la energía solar y los teléfonos celulares.

7. Catalizadores asequibles para vehículos ecológicos

Se está avanzando en una prometedora tecnología de emisiones cero, celdas de combustible alimentadas con hidrógeno. Hasta la fecha los avances se han visto obstaculizados por el alto precio de los catalizadores que contienen platino. 

Sin embargo, se ha avanzado mucho en reducir la dependencia de este metal poco común y costoso. En los últimos desarrollos se incluyen catalizadores sin platino, o en algunos casos sin ningún metal.

8. Vacunas genómicas

Las vacunas basadas en genes son superiores a las más convencionales de distintas maneras. Su fabricación es más rápida, lo cual es indispensable en caso de un brote agresivo. En comparación con la fabricación de proteínas en cultivos celulares o huevos, la producción de material genético también debe ser más simple y menos costosa. 

Un enfoque basado en la genómica de las vacunas también permite una adaptación más rápida en caso de mutación de un patógeno y, finalmente, permite a los científicos identificar a las personas que son resistentes a un patógeno, aislar los anticuerpos que proporcionan esa protección y diseñar una secuencia de genes que induzca a las células de una persona a producir esos anticuerpos.

9. Diseño sostenible de las comunidades

Aplicar la construcción ecológica a varios edificios a la vez puede revolucionar la cantidad de energía y agua que consumimos. Si todo transcurre según el plan de un proyecto de la Universidad de California en Berkeley actualmente en desarrollo, el envío de energía solar generada localmente a una microrred inteligente podría reducir el consumo de electricidad a la mitad y reducir las emisiones de carbono a cero. 

Mientras tanto, el plan del mismo proyecto de rediseño de los sistemas de agua de modo que las aguas residuales de los inodoros y desagües se traten y reutilicen en el lugar, y el desvío de agua de lluvia a los inodoros y lavadoras, podría reducir la demanda de agua potable en un 70 %.

10. Computación cuántica
El potencial casi ilimitado de las computadoras cuánticas solo ha sido igualado por la dificultad y el costo de su construcción. Esto explica por qué hoy las pequeñas computadoras que se han construido aún no han logrado superar el poder de las supercomputadoras. Sin embargo, se están logrando avances; en 2016 la empresa de tecnología IBM proporcionó el acceso público a la primera computadora cuántica en la nube. 

Esto ya ha llevado a la publicación de más de 20 artículos académicos mediante el uso de la herramienta, y hoy más de 50 empresas recientes y grandes corporaciones de todo el mundo están enfocadas en hacer realidad la computación cuántica. Con un avance semejante entre nosotros, la palabra que se encuentra en boca de todos ahora es "preparación cuántica".

Tomado de: https://www.weforum.org/es