Eduaccion, concientizacion y entrenamiento fase 1

Nivel de Entrenamiento

• Se enfoca en producir habilidades y competencias de seguridad relevantes y necesarias para profesionales de especialidades funcionales diferentes de la seguridad de TI.
• Ejemplo: curso de seguridad de TI para administradores de sistemas, que debe abordar controles de gestión, operativos y técnicos.
• Controles de gestión: políticas, gestión de programas de seguridad de TI, gestión de riesgos y seguridad del ciclo de vida.
• Controles operativos: problemas de personal y usuarios, planificación de contingencias, manejo de incidentes, concientización y capacitación, soporte informático y operaciones, y problemas de seguridad física y ambiental.
• Controles técnicos: identificación y autenticación, controles de acceso lógico, seguimiento de auditoría y criptografía.

Nivel de Educación

• Integra todas las habilidades y competencias de seguridad de las diversas especialidades funcionales en un conjunto común de conocimientos.
• Agrega un estudio multidisciplinario de conceptos, problemas y principios tecnológicos y sociales.
• Se enfoca en producir especialistas en seguridad de TI y profesionales con capacidad de visión y respuesta proactiva.
• Ejemplo: carrera técnica o profesional, bachillerato o licenciatura.

Diseño del Programa

• Debe diseñarse teniendo en cuenta la misión de la organización.
• Debe respaldar las necesidades comerciales de la organización y ser relevante para la cultura y la arquitectura de TI de la organización.
• Los programas más exitosos son aquellos que los usuarios sienten que son relevantes para el tema y los temas presentados.

Estructura del Programa

• Modelo 1: política, estrategia e implementación centralizadas.
• Modelo 2: política y estrategia centralizadas, implementación distribuida.
• Modelo 3: política centralizada, estrategia distribuida e implementación.

Programa Centralizado

• Todas las directivas, el desarrollo de estrategias, la planificación y la programación se coordinan a través de la autoridad central.
• La comunicación entre la autoridad central y las unidades organizacionales es en ambas direcciones.

Introducción

• Un programa exitoso de concienciación sobre seguridad de la información es fundamental para garantizar que los empleados tengan los conocimientos que necesitan para proteger su organización.

Responsabilidades

• El programa de educación, concientización y entrenamiento puede tener modelos de responsabilidad:
  • Centralizado: la responsabilidad cae en la autoridad central.
  • Parcialmente centralizado: políticas de entrenamiento y estrategia a cargo de la autoridad central, pero las funciones de implementación son distribuidas al personal de la organización.
  • Completamente descentralizado: la autoridad central solo es responsable de la política del programa, todas las demás actividades son delegadas a personal o áreas específicas.