Las últimas décadas marcan un gran desarrollo en numerosas tecnologías que hacen necesario el aumento constante de controles y la necesidad de clasificarlos de modo general para utilizarlos en cualquier tipo de industria, de modo que se contrarresten las amenazas; sin embargo, el punto nodal es saber cómo aplicarlos de forma efectiva, enfatiza Lucas Paus, Security Researcher en Eset.
En principio, habrá que hacer hincapié en cuáles son los componentes que se deben tener en cuenta a la hora de pensar, desarrollar e implementar una estrategia de protección de los activos de información. Su naturaleza es muy variable y está vinculada a garantizar su efectividad, sin ser costosos ni restrictivos para las actividades del negocio. De este modo, un control podrá ser un dispositivo físico, como un sensor biométrico o una llave USB, pero también podrá ser un procedimiento o una metodología.
Todos ellos están enmarcados en COBIT (Control Objectives for Information and Related Technology), el modelo de buenas prácticas aceptado internacionalmente para el control de la información, mediante la implementación de procedimientos en una determinada actividad de Tecnologías de la Información.
De esta manera se determinan las defensas por niveles, al comenzar a planear una estrategia de arquitectura de seguridad de la información. Por ello, explica Lucas Paus, las capas deben estar diseñadas de tal modo que al fallar alguna no provoque un error de la contigua, sino que ayude a neutralizar el incidente.
La cantidad de estratos dependerá de la criticidad de los activos protegidos y la fortaleza de las defensas intentando no contrarrestar las funcionalidades del negocio. Como ejemplo, añade, podemos considerar el caso de controles en las distintas capas del modelo OSI que ayudan a fortalecer las barreras de seguridad dentro de una red.
A estos requerimientos normalmente se les vincula con la seguridad física, es decir, con el manejo y almacenamiento de la información de forma segura. Un ejemplo muy claro son las copias de seguridad con su respectivo rótulo, y el lugar físico en donde se retienen. Un grave incidente de seguridad podría ocurrir si un atacante por medio de Ingeniería Social tiene acceso a estas copias, al robar o destruir este tipo de datos.
[youtube_sc url=”https://www.youtube.com/watch?v=yZfD7bpQPNk”]
CONTRAMEDIDAS
Las contramedidas son las medidas de protección que reducen el nivel de vulnerabilidad a las amenazas, y por este motivo son consideradas como controles dirigidos. De este modo, el ataque no sería evitado, sino que no sería efectivo. Pueden actuar de forma activa o pasiva, aunque normalmente son menos restrictivas que los controles en general.
“Como es de esperarse, en el mundo de las Tecnologías de la Información, para mitigar distintos incidentes es vital la combinación de políticas, estándares, educación y diversos procedimientos de seguridad que, aplicados de manera correcta, conllevarán a una mayor protección de los activos de información”. Lucas Paus, Security Researcher en Eset.
A continuación, el ejecutivo detalla dos escenarios que serán de gran ayuda para entender los conceptos explicados:
Cuando se trabaja sobre la “Prevención de incidentes” hay que abarcar políticas y procedimientos vinculados a la autentificación, autorización, cifrado, seguridad física, concientización, escaneo de vulnerabilidades y códigos maliciosos.
En contraste, cuando lo que se busca son controles en la “Reacción ante incidentes”, se debe profundizar sobre políticas en tiempos de respuesta, equipos de respuesta, procedimientos ante un incidente y mecanismos de seguridad adicionales.
En conclusión, estos son algunos ejemplos que podrían ser útiles a la hora de pensar o repensar una estrategia global en la arquitectura de los sistemas, y detallan los puntos críticos en los que se deberá implementar controles multicapa. Así, será posible garantizar con mayor solidez el resguardo y la seguridad de la información.
Compartir nota:
