Diseño de un sistema de gestión de seguridad de la información (SGSI) para los procesos críticos de Autoniza S.A basados en el estándar ISO/IEC 27001:2022

Abstract

Autoniza es una empresa del sector automotriz con presencia a nivel nacional e internacional, su red de concesionarios multimarca continúa en crecimiento, lo que conlleva al manejo de grandes cantidades de datos sensibles, tales como información financiera, datos personales de clientes, contratos, acuerdos y políticas comerciales, entre otros, debido al avance de la tecnología estos activos se encuentran expuestos a diversas amenazas y riesgos que comprometen los tres pilares de la seguridad de la información (confidencialidad, integridad y disponibilidad). A partir de lo anterior, el presente documento tiene como finalidad presentar el diseño de un Sistema de Gestión de Seguridad de la Información (SGSI) para la empresa Autoniza S.A basados en el estándar ISO/IEC 27001:2022; en ese sentido, se busca realizar un diagnóstico del estado actual en materia de seguridad de la información mediante la recopilación de la documentación que Autoniza tenga referente a políticas, procedimientos y registros relacionados con la seguridad de la información. En este contexto, mediante el diseño de un SGSI se podrá: Identificar los activos de información para los procesos críticos de Autoniza como lo son datos confidenciales, infraestructura de red, recursos humanos, sistemas claves y otros que hacen parte del funcionamiento de la empresa. Identificar las amenazas y vulnerabilidades que pueden afectar los activos de información de Autoniza y entendiendo las posibles fuentes de riesgos a la que está expuesta. Identificar, analizar y valorar los riesgos teniendo en cuenta su nivel de impacto y probabilidad. Lo anterior permitirá conocer el nivel de criticidad. Definir medidas que puedan reducir y mitigar los riesgos con controles técnicos de seguridad y políticas. Diseñar planes de capacitación de capacitación y concientización para los colaboradores de Autoniza, enfocados en las buenas prácticas de seguridad de la información. Determinando los grupos objetivos, como empleados, gerentes, contratistas y proveedores. Proponiendo objetivos claros de aprendizaje medibles, alcanzables, relevantes y en un tiempo acordado (SMART), con contenidos escritos, presentaciones y ejercicios prácticos, que podrán ser enviados a través de la intranet, correo electrónico o de manera presencial. En esta etapa de diseño se debe tomar como base la norma ISO 27001, la cual proporciona herramientas y directrices para el manejo de la información, identificando el estado actual de Autoniza frente a posibles ciberataques, robos y otros incidentes que pongan en riesgo la seguridad de los datos.