Què és un SGSI?
Un SGSI és un Sistema de Gestió de la Seguretat de la Informació. Normalment es basa en un software informàtic i una normativa interna de la empresa (que podria ser conforme o no a la Normativa ISO 27000).
La normativa sol posar de manifest uns actius de la empresa (en forma d'informació) i uns riscos que els amenacen i que poden provocar uns impactes negatius sobre aquests actius. L'inventari de tot plegat és la base del SGSI.
La normativa també dicta una sèrie de mesures que es prenen per tal de minimitzar l'impacte que els riscos suposen per als actius. Les mesures poden ser de diferent naturalesa i s'han de portar a terme per tal d'assegurar la minimització dels impactes i la evitació dels riscos.
La normativa també identificarà aquestes mesures, quan s'apliquen, qui les aplica i, a més, relacionarà una sèrie de control amb els seus indicadors i els seu rang de valors correctes, per tal de garantir que la normativa s'aplica i el sistema es manté segur conforme a lo estipulat a la normativa.
El sistema per inventariar i notificar les actuacions, els controls, els events que es produeixen, junt amb la informació de la normativa, és el SGSI.
El SGSI ha de permetre agregar indicadors per tal de fer-ne un seguiment estadístic en el temps, i poder així observar la seguretat del sistema informàtic des de diferents nivells.
El SGSI ha de permetre, a més, un seguiment dels events que es produeixen i una millora continuada de tot el sistema, procurant noves versions de la normativa i el seguiment de la seva implantació.
Cap a la Qualitat i l'Excel·lència
Podem millorar el SGSI? Si. A DIVILOP Systems creiem que un SGSI pot ser també la base per al control del rendiment del sistema informàtic, afegint controls de rendiment, tot i que no afectin a la seguretat. Al fi i al cap, serà la agregació d'aquests indicadors en diferents grups per seguretat o per rendiment la que marcarà la diferencia.
Si avaluem el rendiment d'un sistema informàtic sabem que els equips han de ser estables, no permetre la instal·lació d'aplicacions no autoritzades, que podrien alentir la operativa d'aquell ordinador o de tota la xarxa, etc. Establir controls a aquest nivell pot facilitar la tasca del Departament d'Informàtica i evidenciar-ne la seva professionalitat per que al fi i al cap, la seva tasca és transforma en mesurable. Es així com avancem cap a processos de Qualitat i d'Excel·lència en el funcionament d'un Departament de Sistemes de la Informació.