Quinto aniversario del blog

Casi sin darme cuenta, hoy veo que ya hace cinco años que inicié esta aventura de publicar con cierta periodicidad aquellas cosas de interés dentro del mundillo de la seguridad de la información.

Aquel primer post era solo una declaración de intenciones, que durante el tiempo se ha ido definiendo y madurando, perfilando la temática ya centrada del blog. En aquel momento, lo que creía interesante era hacer público aquellas aplicaciones y trucos que me solventaban los problemas de seguridad con los que me iba enfrentando o que servían para evitar las amenazas que se iban conociendo, tal como resume ese primer post:

"Este es mi primer post de una serie de pequeños trucos y recetas, para hacer que usuarios inocentes o confiados no sufran el abuso de todos esos que navegan por la red con fines oscuros o ilícitos.
Espero que los pequeños consejos que vaya dejando o las recomendaciones de software sean de ayuda para todos vosotros."

Aunque nació con ese humilde propósito, la verdad es que éste área de conocimiento ha adquirido una importancia cada vez mayor y se ha hecho de un hueco entre las disciplinas relacionadas con la informática, permitiendome como profesional haberme podido especializar en la materia.

Aunque uno al terminar la carrera no tiene muy claro a qué en concreto dedicarse, el destino te abre oportunidades que no sabes a dónde te van a llevar. Este fue mi caso, que tras finalizar el proyecto me ofrecieron la posibilidad de probar MAGERIT 1.0 ya hace 8 años.
Recuerdo en mis primeras incursiones dentro del área de la seguridad que buscaba por Internet bibliografía y manuales con teoría sobre la dirección y gestión de la seguridad de la información. En aquella época, las guías NIST eran la documentación de referencia. Como no, también me topé con la versión inglesa de la norma ISO 17799 (en aquella época BS 7799, 1 y 2) y los "Common criteria" que todavía no eran la ISO 15408.

Me tocó defender durante algunos años que esto de la "gestión de la seguridad de la información" alcanzaría un nivel de madurez importante, y frente a la visión de mis compañeros de trabajo más centrados en la seguridad informática y en adquirir conocimientos en las tecnologías de protección, mi intuición me decía que al final el puesto de Responsable de Seguridad tendría su sillón dentro de la Dirección de toda organización.

Durante estos años, quizás los dos hitos que han marcado un antes y un después han sido el paso de la BS 7799-1 a ISO 17799:2000 y el paso de la BS 7799-2 a ISO 27001:2005.

Tal como se preveía, el hecho de que una organización pueda certificar la gestión de la seguridad es una referencia en cuanto al grado de fiabilidad y confianza que esa organización puede realmente garantizar. Y aunque en el mercado español todavía vamos con retraso, este movimiento es ya imparable y la certificación ISO 27001 lleva un camino paralelo a lo que supuso la certificación ISO 9001 en materia de gestión de la calidad del producto.



En el siglo XXI, como publica Antonio Valle en su excelente blog Gobierno TIC , vamos a empezar a hablar del BISM o Business Information Services Management.

Como dice Antonio cuya opinión comparto plenamente "La idea es que el concepto de IT Services se va quedando lentamente obsoleto y comienza a aparecer el concepto de Business Information Services, lo que me parece de lo más correcto si pensamos en que lo que realmente consume el negocio de las TIC es la información y, además, esto alinea con el concepto de "Requerimientos de la Información" que ya planteaba COBIT desde los inicios."

Y para un área como el BISM que gestiona la información de la empresa, la seguridad es uno de los grandes pilares en donde se debe apoyar la infraestructura y procesos de gestión de la información. Los otros pilares tendrán que ver con la eficacia y rentabilidad de los procesos, pero eso siempre que la seguridad sea un requisito ya garantizado.