Las instituciones implementan estas tecnologías para implementar políticas de acceso a la información y recursos informáticos de la empresa. El primer punto que debemos de definir es sobre las políticas, en la mayoría de los casos, en México, son una forma reactiva ante algún hecho reciente que solicita la dirección sin algún plan concreto, no existen políticas institucionales al respecto, y si alguna existe no es conocida por el personal, este solo encuentra “trabas” y busca como “saltárselas”. En todas las empresas debe existir unas políticas básicas que debe contemplar algo parecido a esto:
- Los equipos de cómputo, la red y todas las facilidades de TI son facilidades que se proporcionan al trabajador para el óptimo desarrollo de sus actividades, por lo que solamente deben emplearse para los fines que autorice la empresa.
- No está permitido instalar aplicaciones, modificar o eliminar las existentes, así como tener música, video u otro material protegido por los derechos de autor, sin autorización explícita de la empresa.
- Todo el contenido en este tipo de dispositivos se considera confidencial y es propiedad de la empresa, y esta puede en cualquier momento auditar el contenido, incluyendo en forma permanente.
- Cualquier equipo de terceros que se conecte a la red de la empresa debe respetar la confidencialidad de la información a la que tenga acceso.
A partir de lo anterior ya pueden definirse políticas más puntuales como a que sí pueden tener acceso de acurdo a las funciones de las personas, departamentos, etc., y estas políticas son la que deben ser implementadas en los firewall, IPS, NAC, filtrado URL y demás tecnologías de seguridad de TI. Ing. Fco. Javier Otero De Alba Certified Information Systems Auditor
