¿Cómo identificar el inventario de activos de información?
Según la norma ISO/IEC 27001, un activo de información es: “algo que una organización valora y por lo tanto debe proteger”. En otras palabras, cualquier información o elemento relacionado con el tratamiento de dicha información que tenga valor para la entidad.
Por esta razón, es de vital importancia realizar una adecuada gestión de activos de información con la finalidad de garantizar la protección de la información contra amenazas internas y externas, como robos, pérdidas, filtraciones o modificaciones no autorizadas.
Desde la Gerencia de las TIC, se busca apoyar a los procesos en la identificación y clasificación de los activos de información atendiendo los siguientes pasos:
-
El primer paso a seguir es la identificación del inventario de activos de información, el cual lo hacemos basados en la Ley 594 de 2000, Ley 1712 de 2014, Decreto 103 de 2015, Decreto 1080 de 2015 y la norma ISO 27001. Dentro de la identificación se determina el tipo de activo (información, software, hardware, servicios, comunicaciones, instalaciones, personas).
-
En el segundo paso a seguir realizaremos la clasificación de los activos identificados en el paso anterior, lo cual nos ayudará a identificar qué información es reservada, pública, y pública clasificada, lo que nos permitirá definir controles para una efectiva custodia como responsables de este activo.
-
El tercer paso es determinar la criticidad del archivo, se refiere a su importancia y el impacto que tendría en una organización si dicho activo se ve comprometido o dañado. Esta puede ser alta, media o baja. Esta clasificación puede ser útil para priorizar los esfuerzos de protección y asignar recursos adecuados para garantizar la seguridad de los activos de la información más críticos para la entidad.
Debido a que los activos de información son cambiantes, mañana puede ser que la situación sea diferente y distinta en unas semanas, meses o años. Así que es recomendable realizar anualmente la actualización del inventario de activos de información de cada proceso.