Activos de información

Se denomina activos de información a todos aquellos que otorgan valor a la organización y por lo tanto deben protegerse.

ISO/IEC 27001:2013: Antes de gestionar los riesgos, se deben identificar y evaluar los activos de información (tangibles e intangibles) dentro de cada proceso definido en el Alcance del SGSI.

Los activos de información pueden ser: archivos, base de datos, contratos y acuerdos, documentos de sistemas, manuales de usuario, material de capacitaciones, aplicaciones o software, equipos informáticos, servicios informáticos y comunicaciones.

Tipos de activos según MAGERIT v3.0:

• Datos: Cualquier dato que se genere, recoja, gestione, transmite o distribuya en la organización.
• Aplicaciones: Software que se utiliza para la gestión de información.
• Servicios internos: Los que un área suministra a otra.
• Servicios externos: Aquellos que la organización suministra a clientes o usuarios.
• Equipos informáticos: Hardware que permite hospedar datos, aplicaciones y servicios.
• Redes de comunicación: Permiten intercambiar datos.
• Soportes de información: Dispositivos de almacenamiento de datos.
• Equipamiento Auxiliar: Equipo que complementa el material informático.
• Personas: Colaboradores, clientes, usuarios, todos los que exploten u operen los activos de la organización.
• Instalaciones: Acogen y salvaguardan los equipos informáticos y de comunicaciones.

La siguiente información de los activos de información es necesaria para que puedan mantenerse operativos e incluso puedan recuperarse ante un desastre.

• ID activo: Código para ordenar y localizar un activo.
• Tipo de activo: Categoría a la que pertenece.
• Nombre: Nombre del activo.
• Descripción: Para identificarlo sin ambigüedades.
• Propietario: Responsable del activo.
• Ubicación: Puede ser físico o digital.

Valoración de los activos de información

Disponibilidad

1. El activo debe estar disponible por lo menos el 25% del tiempo que se necesite. No existe riesgo reputacional ni legal  si el activo de información se ha eliminado o no está disponible.
2. El activo debe estar disponible por lo menos el 50% del tiempo que se necesite. Si no lo estuviera o fuese destruido puede ocasionar daños leves en la organización, que afecten los intereses legales, operacionales y reputacionales.
3. El activo debe estar disponible por lo menos el 75% del tiempo que se necesite. Si no lo estuviera o si fuese destruido ocasionará daños que serán perjudiciales en la organización, que afecten los intereses legales, operacionales y reputacionales.
4. El activo debe estar disponible por lo menos el 95% del tiempo que se necesite. Si no lo estuviera o si fuese destruido ocasionará daños catastróficos para la organización, afectarán los intereses legales, operacionales o reputacionales, y causarán pérdidas financieras.

Integridad

1. El activo debe estar correcto y completo por lo menos el 25% de las veces que se necesite. No existe pérdidas financieras ni riesgo operacional, reputacional, ni legal.
2. El activo debe estar correcto y completo por lo menos el 50% de las veces que se necesite. Puede ocasionar daños leves en la organización, que afecten los intereses legales, operacionales y reputacionales.
3. El activo debe estar correcto y completo por lo menos el 75% de las veces que se necesite. Si no lo estuviera, puede ocasionar daños que serán perjudiciales para los intereses legales, reputacionales, operacionales y financieros de la organización.
4. El activo debe estar correcto y completo por lo menos el 95% de las veces que se necesite. De no cumplir con lo anterior, puede causar daños catastróficos para la organización, y afectará los intereses legales, operacionales o reputacionales, además de pérdidas financieras significativas.

Confidencialidad

1. El activo es publicado o de conocimiento público en general, por lo tanto no existe ningún riesgo legal, reputacional, operacional, ni financiero.
2. El activo podrá ser divulgado hacia los colaboradores. Si se cumple con lo anterior no será perjudicial para los intereses legales, reputacionales, operacionales, ni financiero.
3. El activo contiene información sensible, ya sea información personal, financiera, entre otros. Su divulgación puede ser perjudicial para los intereses legales, reputacionales o financieros de la organización.
4. El activo contiene información altamente sensible. Su divulgación puede causar daños catastróficos, afectando los intereses legales, reputacionales, y financieros.

Autenticidad

1. Los activos son de dominio público, por lo tanto no existe ningún riesgo legal, reputacional, operacional, ni financiero.
2. Es importante conocer quien accede a los activos, cuando un defecto de imputación causa daños leves, afectando los intereses legales, operacionales y reputacionales de la organización.
3. Es importante conocer quien accede a los activos, cuando un defecto de imputación causa daños perjudiciales, afectando los intereses legales, reputacionales o financieros de la organización.
4. Es importante conocer quien accede a los activos, cuando un defecto de imputación causa daños catastróficos, afectando los intereses legales, reputacionales, y financieros.

Trazabilidad

1. Los activos son de dominio público, por lo tanto no existe ningún riesgo legal, reputacional, operacional, ni financiero.
2. Es importante conocer quién hace qué y cuándo con los activos, causando daños leves, afectando los intereses legales, operacionales y reputacionales de la organización.
3. Es importante conocer quién hace qué y cuándo con los activos, causando daños perjudiciales, afectando los intereses legales, operacionales y reputacionales de la organización.
4. Es importante conocer quién hace qué y cuándo con los activos, causando daños catastróficos, afectando los intereses legales, operacionales y reputacionales de la organización.

La información deberá clasificarse en relación a su valor, requisitos legales, criticidad y susceptibilidad a divulgación o a modificación no autorizada para la organización.

El valor final de los activos de información, es el promedio o la media de los valores.

Valor promedio:

1. Bajo: Son aquellos activos de información de carácter público.
2. Medio: Son aquellos activos de información que no contienen información sensible, debe cumplir criterios de disponibilidad e integridad.
3. Alto: Son aquellos activos de información que pueden contener información confidencial, deben cumplir con la integridad del activo.
4. Muy alto: Son aquellos activos de información que contienen información confidencial y en muchos casos la disponibilidad debe ser 100%.