Definición: qué es la seguridad de la información
La seguridad de la información es el conjunto de procesos, políticas, controles técnicos y medidas organizativas que una empresa implementa para proteger su información de accesos no autorizados, alteraciones, pérdidas o divulgaciones indebidas.
La definición más aceptada a nivel global proviene del estándar ISO/IEC 27000:2018, que la describe como:
"La preservación de la confidencialidad, la integridad y la disponibilidad de la información; además, pueden estar involucradas otras propiedades como autenticidad, responsabilidad, no repudio y fiabilidad."
En términos prácticos: la seguridad de la información protege todo aquello que tiene valor para tu organización, desde los datos de tus clientes hasta los contratos, correos electrónicos, bases de datos, documentos financieros y código fuente.
Seguridad de la información vs. ciberseguridad: ¿cuál es la diferencia?
Esta es una confusión muy común, incluso entre profesionales. La diferencia es importante:
| Concepto | Alcance | Ejemplos |
|---|---|---|
| Seguridad de la información | Toda la información, en cualquier formato | Digital, impresa, verbal, física |
| Ciberseguridad | Información en sistemas digitales y redes | Redes, servidores, aplicaciones, endpoints |
Dicho de otra forma: la ciberseguridad es un subconjunto de la seguridad de la información.
Un contrato impreso olvidado en una sala de juntas, un empleado que comparte una contraseña por teléfono o un archivo confidencial enviado por WhatsApp sin cifrar son problemas de seguridad de la información que ningún firewall puede resolver.
Por eso, las organizaciones maduras en este tema no solo instalan software de protección — también definen políticas, capacitan a su personal y gestionan riesgos de forma sistemática.
Los tres pilares: la Tríada CIA
La seguridad de la información se construye sobre tres principios fundamentales, conocidos como la Tríada CIA (por sus siglas en inglés: Confidentiality, Integrity, Availability):
1. Confidencialidad
La información solo debe ser accesible para las personas, sistemas o procesos que tienen autorización explícita para verla.
Ejemplos prácticos:
- Un empleado de ventas no debería poder ver los salarios de sus colegas.
- Los datos de pacientes en un hospital solo deben verlos los médicos a cargo.
- Las contraseñas deben almacenarse cifradas, no en texto plano.
Controles comunes: cifrado, control de acceso basado en roles (RBAC), autenticación multifactor (MFA), clasificación de la información.
2. Integridad
La información debe mantenerse exacta y completa. Solo personas o sistemas autorizados pueden modificarla, y cualquier cambio debe quedar registrado.
Ejemplos prácticos:
- Un atacante que altera el número de cuenta bancaria en una factura viola la integridad.
- Un error de configuración que sobreescribe una base de datos de clientes también es un problema de integridad.
- Los logs de auditoría deben ser protegidos para que nadie pueda borrar evidencia.
Controles comunes: firmas digitales, hashing, control de versiones, registros de auditoría inmutables.
3. Disponibilidad
La información debe estar accesible para quienes la necesitan, cuando la necesitan, sin interrupciones no planificadas.
Ejemplos prácticos:
- Un ataque de ransomware que cifra los servidores de una empresa viola la disponibilidad.
- Un sistema de pagos caído durante el Buen Fin es un problema de disponibilidad.
- La falta de backups que impide recuperar datos después de una falla también entra aquí.
Controles comunes: planes de continuidad del negocio (BCP), backups automáticos, redundancia de sistemas, monitoreo 24/7.
Por qué importa en México y LATAM hoy
La seguridad de la información no es solo una preocupación técnica — es una obligación legal y de negocio en toda la región.
Marco legal en México
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) obliga a todas las empresas que manejan datos personales a implementar medidas de seguridad administrativas, físicas y técnicas. El incumplimiento puede resultar en multas de hasta 320,000 veces el salario mínimo (más de 30 millones de pesos).
Amenazas reales en la región
Según el reporte Threat Intelligence de Fortinet para 2024, México fue el país más atacado de América Latina, con más de 14,000 millones de intentos de ciberataque registrados en un solo año. Los sectores más afectados: manufactura, servicios financieros y gobierno.
Y no solo las grandes empresas son objetivo. El 43% de los ataques exitosos a nivel global tiene como blanco a pequeñas y medianas empresas, según el Data Breach Investigations Report de Verizon.
El costo de no tener una estrategia
- Multas regulatorias por incumplimiento de leyes de protección de datos.
- Pérdida de contratos con clientes que exigen certificaciones como ISO 27001.
- Daño reputacional difícil de cuantificar y casi imposible de revertir rápidamente.
- Tiempo de recuperación: el promedio de detección y contención de una brecha en LATAM es de 233 días.
Los cuatro dominios de la seguridad de la información
Más allá de la Tríada CIA, una estrategia completa de seguridad de la información se organiza en cuatro grandes dominios:
1. Seguridad organizacional y de personas
Políticas internas, procedimientos, capacitación de empleados, gestión de accesos, revisión de antecedentes. El factor humano sigue siendo el vector de ataque número uno: el phishing explota a personas, no máquinas.
2. Seguridad física
Protección de oficinas, servidores, impresoras y documentos físicos. Un atacante que entra a tu oficina y roba un disco duro no necesita ningún exploit digital.
3. Seguridad tecnológica (ciberseguridad)
Firewalls, antivirus/EDR, cifrado, gestión de parches, seguridad en aplicaciones web, monitoreo de redes. Esta es la capa que más atención recibe — pero no puede funcionar sola.
4. Gestión de riesgos y cumplimiento
Identificar qué activos tienen valor, qué amenazas existen, qué tan probable es que ocurran y cuál sería el impacto. Con eso, las organizaciones priorizan sus inversiones en seguridad de forma racional en lugar de reactiva.
El estándar internacional: ISO 27001
La forma más reconocida de implementar la seguridad de la información de forma estructurada es a través del estándar ISO/IEC 27001, que define los requisitos para un Sistema de Gestión de Seguridad de la Información (SGSI).
ISO 27001 no es una lista de herramientas técnicas — es un marco de gestión que incluye:
- Análisis y gestión de riesgos
- 93 controles de seguridad (Anexo A, versión 2022)
- Revisión y mejora continua
- Auditorías internas y externas
Las empresas certificadas en ISO 27001 demuestran a clientes, socios y reguladores que protegen la información de forma sistemática y verificable. En México, sectores como el financiero, salud y gobierno son los que más exigen esta certificación a sus proveedores.
¿Por dónde empezar? Una hoja de ruta para PyMEs
Si tu empresa no tiene aún una estrategia formal de seguridad de la información, estos son los primeros pasos concretos:
- Inventario de activos de información — ¿Qué información maneja tu empresa? ¿Dónde está almacenada? ¿Quién tiene acceso?
- Análisis de riesgos básico — ¿Qué podría salir mal? ¿Qué tan probable es? ¿Cuál sería el impacto en tu operación?
- Política de seguridad — Un documento corto (2-4 páginas) que define las reglas básicas: uso aceptable de equipos, manejo de contraseñas, manejo de información confidencial.
- Controles técnicos mínimos — MFA en todos los sistemas, backups automáticos verificados, actualizaciones de software al día.
- Capacitación del personal — El 91% de los ataques exitosos comienzan con un correo de phishing. Capacitar a tu equipo es la inversión con mayor retorno en seguridad de la información.
- Plan de respuesta a incidentes — ¿Qué hace tu empresa si mañana alguien roba datos de clientes? Tener un plan antes de que ocurra reduce el impacto a la mitad.
Checklist rápido: ¿tu empresa cubre los básicos?
- Tienes un inventario de los activos de información más críticos
- Todos los sistemas críticos tienen autenticación multifactor (MFA) activa
- Los backups se realizan automáticamente y se prueban periódicamente
- Existe una política de contraseñas formal (y se cumple)
- El personal recibe capacitación en seguridad al menos una vez al año
- Tienes un aviso de privacidad actualizado (obligatorio por LFPDPPP en México)
- Sabes a quién llamar si mañana sufres un incidente de seguridad
La seguridad de la información no es un producto que se compra — es una disciplina de gestión que protege todo aquello que le da valor a tu organización: sus datos, su reputación y su operación. En México y LATAM, las amenazas son reales, las leyes son claras y el costo de ignorar este tema es cada vez más alto.
Citas
Fortinet. (2024). Global threat landscape report 2024. Fortinet FortiGuard Labs. https://www.fortinet.com/resources/cyberglossary/threat-landscape
IBM Security. (2024). Cost of a data breach report 2024. IBM Corporation. https://www.ibm.com/reports/data-breach
INCIBE. (2024). Seguridad de la información en la empresa. Instituto Nacional de Ciberseguridad. https://www.incibe.es/empresas/tematicas/seguridad-informacion
ISO. (2022). ISO/IEC 27001:2022 — Information security, cybersecurity and privacy protection — Information security management systems — Requirements. International Organization for Standardization. https://www.iso.org/standard/27001
ISO. (2018). ISO/IEC 27000:2018 — Information technology — Security techniques — Information security management systems — Overview and vocabulary. International Organization for Standardization. https://www.iso.org/standard/73906.html
ENISA. (2023). Cybersecurity threats and trends. European Union Agency for Cybersecurity. https://www.enisa.europa.eu/topics/cyber-threats
Verizon. (2024). 2024 Data breach investigations report. Verizon Business. https://www.verizon.com/business/resources/reports/dbir/
Comentarios
Sé el primero en comentar este artículo.
Deja tu comentario