¿Cuáles son las 3 líneas de defensa en seguridad de la información?

La seguridad de la información es la disciplina que se encarga de proteger la información de accesos, manipulaciones o destrucciones no autorizados, garantizando así su confidencialidad, integridad y disponibilidad. Para alcanzar este objetivo, podemos establecer tres líneas de defensa, que son:

Primera línea de defensa: Es la función que posee y administra el riesgo, es decir, el personal que maneja la información y los sistemas en el día a día. Esta línea debe implementar los controles de seguridad adecuados, seguir las políticas y estándares establecidos, y reportar cualquier incidente o vulnerabilidad que detecte. Generalmente esta responsabilidad recae en el CIO o CTO.

Segunda línea de defensa: Es la función de control independiente, que supervisa el riesgo y los controles de la primera línea. Esta línea puede incluir las áreas de riesgo, cumplimiento, seguridad de la información y ciberseguridad, que se encargan de definir el marco de gobierno, las normas y los indicadores de gestión, así como de monitorear y evaluar el desempeño y la efectividad de los controles de la primera línea. Esta actividad está a cargo del CISO, quien de acuerdo con las buenas prácticas o inclusive algunas regulaciones es una figura que no opera los controles y por consiguiente está fuera del área de TI.

Tercera línea de defensa: Es la auditoría interna, que proporciona una garantía independiente sobre la adecuación y eficacia del sistema de gestión de riesgos y controles. Esta línea debe realizar revisiones periódicas y objetivas de las actividades de las dos primeras líneas, identificar las áreas de mejora y emitir recomendaciones para fortalecer la seguridad de la información. Además del auditor interno, es recomendable que los auditores externos revisen la fortaleza de los controles aplicados y su alineación con las políticas internas y regulaciones aplicables de seguridad de la información.

Estas 3 líneas de defensa trabajamos de forma coordinada y alineados con el mismo objetivo, bajo la supervisión y dirección de los organismos de gobierno interno, quienes son los responsables de establecer el apetito y la tolerancia al riesgo de la organización.

Este artículo está relacionado con la publicación: CIO + CISO + CAE: Los 3 líderes de la seguridad de la información

Comentarios

Entradas populares de este blog

Reporte SOC 2 Type 2 en la seguridad de la información

La importancia del reporte SOC 2 Type 2 en la seguridad de la información En un entorno digital donde la confianza y la seguridad son fundamentales, las organizaciones deben demostrar que sus prácticas de protección de datos cumplen con estándares rigurosos. Uno de estos estándares es el SOC 2 (Service Organization Control 2) Type 2 , un informe que evalúa cómo una empresa maneja la seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad de los datos. Este reporte es esencial para empresas que manejan información sensible, ya que proporciona evidencia objetiva sobre su capacidad para proteger la información de sus clientes y socios comerciales. ¿Qué es un reporte SOC 2 Type 2? El SOC 2 Type 2 es un informe de auditoría que evalúa los controles internos de una organización relacionados con la seguridad de la información. Desarrollado por la AICPA (American Institute of Certified Public Accountants), este informe sigue los Criterios de Servicios...

Leer mas...

Managing Cyber Risks: Third-Party and End-User Challenges

🔐 Managing Cyber Risks: Third-Party and End-User Challenges Our organizations face a multitude of cyber threats that can compromise data integrity, disrupt operations, and damage reputations. Among the most challenging risks are those posed by third parties and end users. These risks often operate outside the direct control of the organization, yet their actions or inactions can have profound security implications. Understanding these risks and implementing effective controls is essential for building a resilient cybersecurity posture. 🔗 Third-Party Risks arises when organizations rely on external vendors, suppliers, or service providers who have access to our sensitive systems or data. These partners may not adhere to the same security standards, creating vulnerabilities that can be exploited by malicious actors. High-profile breaches, such as those involving supply chain attacks, have underscored the dangers of insufficient oversight in third-party relationships. The challeng...

Leer mas...

Compendio de terminología computacional / Compendium of Computational Terminology

1a versión: 22/julio/2023 Actualizado: 9/abril/2026 2FA: Two-Factor Authentication 3DEA: Triple Data Encryption Algorithm 3DES: Triple DES 3PS: Third Person Shooter AAM: Agentic Access Management AC: Access Control ACL: Access Control Lists AES: Advanced Encryption Standard AI: Artificial Intelligence AIoT: Artificial Intelligence of Things AitM: Adversary-in-the-Middle AML: Anti-Money Laundering AOC: Attestation Of Compliance API: Application Programming Interface APT: Advanced Persistent Threat ASCII: American Standard Code for Information Interchange ASM: Attack Surface Management ASPM: Application Security Posture Management ASV: Approved Scanning Vendor for PCI ATM: Automated Teller Machine ATT$CK: Adversarial Tactics, Techniques, and Common Knowledge AV: Antivirus AWS: Amazon Web Service B2B: Business to Business B2C: Business to Consumer BAS: Breach and Attack Simulation BAU: Business As Usual BBP: Bug Bounty Program BCM: Business Continuity Management ...

Leer mas...

D4210

Buscar este blog