Seltika, Miembro Fundador del Consorcio ISM3
ISM3 se enfoca en la “seguridad alcanzable”, en lugar de la “seguridad absoluta”. La seguridad alcanzable es un equilibrio entre la seguridad absoluta y los requerimientos de negocio. La clásica percepción de que la “seguridad de la información debe prevenir todos los ataques” no es realista para muchas de las organizaciones. ISM3 alcanza su balance mediante el mapeo de los objetivos de negocio (como cadena de producción y rentabilidad) directamente contra los objetivos de seguridad (como asegurar el acceso a los datos sólo para usuarios autorizados).
Las características más significativas de ISM3 son:
- Métricas para la Seguridad de la información – “lo que no puede medir, no lo puede gestionar, y lo que no puede gestionar, no lo puedes mejorar” – ISM3 v2.00 es probablemente el primer estándar de seguridad de la información que la convierte en un proceso “medible” utilizando métricas para cada proceso. Esto permite el mejoramiento continuo, ya que el estándar define los criterios para medir eficiencia y rendimiento.
- Niveles de madurez – ISM3 viene en cinco diferentes tamaños, o niveles de madurez. Esto lo hace perfecto para un amplio rango de organizaciones, desde la más grande hasta la más pequeña. Cada nivel de madurez es atado a los objetivos de seguridad de la organización. El apropiado nivel de madurez depende del tamaño de la organización y los requerimientos de negocio.
- Basado en Procesos – ISM3 v2.00 está basado en los procesos, lo que lo hace especialmente viable en organizaciones que ya se encuentran familiarizadas con ISO 9001 y aquellas que utilizan ITIL como el modelo de gestión de TI. Adicionalmente funciona bien para servicios subcontratados, ya que proporciona un lenguaje común para colaboración entre los proveedores y clientes de seguridad de la información.
- Adopta las mejores prácticas – La implantación de ISM3 se encuentra asistida por múltiples referencias cruzadas con otros estándares establecidos. El modelo de gobierno de TI refleja las mejores prácticas distribuyendo claramente las responsabilidades de los procesos de seguridad de la información entre los niveles de gestión estratégico, táctico y operacional
- Acreditación – Los sistemas de gestión basados en ISM3 son acreditables bajo los esquemas de ISO 9001 o ISO 27001. De la misma forma, ISM3 puede ser utilizado como una herramienta para implantar el sistema de gestión sugerido por ISO27001. Esto resulta particularmente atractivo para organizaciones que ya se encuentran certificadas en Calidad o han tenido experiencia con ISO 9001
- Amigable – Una ventaja primordial de utilizar ISM3 para los altos directivos o los accionistas, es que la seguridad de la información es vista claramente como inversión de negocio que puede ser medida como Retorno de Inversión en Seguridad
Acerca de los miembros fundadores del Consorcio
ESTEC Systems Corp.
ESTec Systems Corp es una firma consultora en seguridad de la información con base en Edmonton, Alberta, Canadá. Proporciona servicios de auditoría en ISM3 e ISO 27001, así como guías para la implantación de sistemas de gestión de seguridad. Para mayor información acerca de nuestros servicios, visite www.security.estec.com. ESTec es una compañía listada en la TSX Venture Exchange.
First Legion Consulting
First Legion Consulting es una empresa indo-Europea, con base en Bangalore, india. First Legion se enfoca en dos principales áreas de la seguridad de la información: HIM-IS (Gestión del Impacto Humano en Seguridad de la Información); y en la utilización de métricas (utilizando ISM3) para alinear la seguridad de la información con los procesos de negocio. Adicionalmente proporciona entrenamiento en dichas áreas.
Seltika
Compañía de consultoría colombiana, enfocada en los servicios de seguridad de la información. Seltika ha venido ayudando a sus clientes en la adopción de sistemas de gestión de seguridad de la información basados en estándares, Gobierno de seguridad de la información, análisis de riesgos, prevención y respuesta al delito informático, respuesta a incidentes y cómputo forense, entre otros. Para mayor información, visite www.seltika.com
Global 4
Global4 se enfoca en la tecnología desde un punto de vista profesional y de ingeniería. Con una gran calidad y una aproximación inteligente a TI, efectivamente captan los intereses de sus clientes y los adoptan como propios durante cada proyecto. Arquitectura de sistemas, ingeniería y administración, almacenamiento, redes e internet, servicios de comunicación son nuestros principales campos de trabajo, con una filosofía de “hacerlo bien” que acompasa la seguridad como una parte integral. Mayor información, www.g4ii.com.
M3 Security
M3 Security cierra las brechas de seguridad. Utilizando una filosofía de defensa en profundidad, ayudamos a las compañías a tomar una visión holística acerca de su postura de seguridad con nuestro grupo de servicios AIM (Evaluación, Implantación y Monitoreo); proporcionando soluciones que gestionan el ciclo de vida de la seguridad y que han sido específicamente desarrolladas como una respuesta a la creciente complejidad de los retos en seguridad. M3 es una compañía basada en Estados Unidos, para mayor información visite www.m3-security.net
