Introducción
Con esta edición damos inicio al programa anual de concientización en seguridad de la información de CIMA 360. Cada mes compartiremos un tema central, una tendencia de ciberseguridad y un consejo práctico. Empezamos por la base: qué es un sistema de gestión de seguridad de la información, por qué decidimos construirlo y cómo cambia la manera en que trabajamos. Cerramos con la tendencia del mes, el phishing.
Boletín del mes: qué es el SGSI y por qué lo estamos construyendo
En CIMA 360 llamamos SGSI, o Sistema de Gestión de Seguridad de la Información, al conjunto de políticas, procesos y prácticas con los que cuidamos nuestra información y la que nos confían nuestros clientes. No es una herramienta ni la tarea de un área específica: es una forma de organizar el trabajo diario.
Lo estamos construyendo siguiendo la ISO/IEC 27001:2022, una norma internacional que define cómo debe funcionar un sistema de este tipo y que puede ser verificada por auditores externos e independientes. Elegimos ese camino porque nos exige demostrar con evidencia lo que hacemos, no solo declararlo.
El sistema se apoya en tres objetivos:
Confidencialidad
Que la información llegue únicamente a quien está autorizado a conocerla.
Integridad
Que se mantenga exacta y completa, sin alteraciones no autorizadas.
Disponibilidad
Que esté accesible cuando quienes la necesitan la requieren.
Para nosotros esto significa procesos más claros, decisiones documentadas y una revisión periódica que nos obliga a mejorar. Para nuestros clientes y proveedores significa trabajar con una organización que puede explicar cómo identifica y gestiona sus riesgos. Ningún sistema elimina por completo la posibilidad de un incidente, y precisamente por eso el valor está en la disciplina: prevenir, detectar a tiempo y responder de forma ordenada.
Tendencia del mes: phishing
El phishing es un engaño dirigido a las personas y no a los sistemas. Alguien se hace pasar por una empresa, un compañero o un proveedor conocido para que la víctima entregue información confidencial, como una contraseña, o realice una acción que no haría en circunstancias normales.
Aparece de varias formas: correos masivos que imitan marcas reconocidas, mensajes muy dirigidos a una persona concreta con datos personalizados, engaños por SMS o aplicaciones de mensajería, llamadas que simulan ser soporte técnico y suplantaciones de correo corporativo para redirigir pagos.
Trabajamos en un sector donde los mensajes son el producto, así que el tema nos ocupa por partida doble: como cualquier organización podemos ser el objetivo, y como plataforma de comunicaciones asumimos la responsabilidad de que nuestros canales no se conviertan en el vehículo del engaño.
Tip del mes: verificar por un canal distinto
Cuando una solicitud llega por correo y transmite urgencia, sobre todo si pide cambiar datos de facturación, ampliar límites de envío o modificar la configuración de una campaña, confirmamos por la vía habitual acordada con esa persona o ese cliente antes de actuar. Una llamada corta al contacto conocido resuelve en un minuto lo que un mensaje falso puede costar en semanas.
Un segundo hábito ayuda mucho: la verificación en dos pasos, conocida como MFA, que además de la contraseña pide una confirmación adicional desde otro dispositivo. Si alguien logra robar la contraseña, ese segundo paso suele ser lo que detiene el acceso.
La seguridad de la información funciona como una cadena. Colaboradores, proveedores y clientes formamos parte de ella, y cada verificación que hacemos protege también al resto.