Proteja su red y datos de las amenazas internas

Como muestra el caso de Edward Snowden, no hay tal cosa como la seguridad absoluta. Eso no significa que usted no debe tratar de asegurar su red tanto como sea posible.

No hay tal cosa como la seguridad absoluta para los datos, redes o cualquier otra cosa. Si bien la seguridad informática es esencial en casi todas las organizaciones, existen vulnerabilidades en toda la cadena de valor de TI, desde la planta física hasta las redes (tanto WAN y LAN) y las aplicaciones. Nuestro objetivo es aplicar mecanismos, políticas y procedimientos que proporcionan un grado óptimo de garantía de que la información sensible no se verá comprometida por errores de hardware, software o humanos, o una nefasta intención humana.

Los requisitos de seguridad básicos incluyen estos elementos esenciales:

• Una política de seguridad adecuada,
• Educación, capacitación, sensibilización y refuerzos,
• Cifrado de datos sensibles cuando estén en residencia (almacenados en dispositivos de la empresa o propiedad de los usuarios, así como en los servidores y también en la nube) o en tránsito a través de una red (a través de VPN);
• Sistemas de gestión, incluidos los servicios de directorio, gestión de identidad y de la responsabilidad y presentación de informes apropiados;
• Autenticación de usuarios y sus dispositivos.

La última amenaza, sin embargo, sigue siendo una en que la mayoría de los gerentes de TI optan por ni siquiera pensar: el empleado o contratista deshonesto –alguien con acceso legítimo a la red y por lo menos algunos de los recursos de información que conecta– que compromete la seguridad, ya sea por descuido o intencionalmente. Uno de los ejemplos más visibles aquí es el altamente publicitado caso de Edward Snowden, en el que un usuario autorizado de una red de seguridad nacional muy sensible optó por seguir su propia agenda a través de acciones que sus superiores consideran ilegales.
Para ser justos, la defensa contra la malversación de la red en términos de acceso o compromiso de los datos presentes es difícil cuando se aclaran y están involucrados insiders de confianza –aunque, en el caso Snowden, podríamos haber pensado que una de las más críticas, experimentadas y sensibles agencias de inteligencia sensibles habría sido capaz, por lo menos, de dominar las medidas de seguridad básicas mencionadas anteriormente. Dejando a un lado las cuestiones políticas, consideremos este caso de estudio para ilustrar qué medidas se pueden tomar para mitigar esta amenaza.
Usando su papel como administrador de sistemas, Snowden fue capaz de hacerse con una gran cantidad de información altamente clasificada. Sí, Snowden tenía una autorización de seguridad apropiada; había pasado una rigurosa verificación de antecedentes. Sí, él tenía acceso a los sistemas informáticos que contenían información sensible. ¿Pero, por qué los datos a los que él tenía acceso no estaban encriptados? Seguramente él no tenía necesidad de conocer el contenido de todos los archivos que robó. Así, mientras que él era autenticado como usuario legítimo de la red, los mecanismos de seguridad internos de la NSA aparentemente confiaban en la seguridad del perímetro –siendo el supuesto que se podía confiar en cualquier persona dentro del perímetro, incluso sin una específica “necesidad de saber”.

Esta asombrosa falta de juicio es una brecha tan grave en la seguridad como puede existir en cualquier departamento de informática. Solo los usuarios autorizados deben tener acceso a los datos sensibles, y luego de forma individual y solo si tienen necesidad de saber. Cualquier persona en posesión de datos robados ver entonces solo un archivo cifrado, y a pesar de que el cifrado tampoco es perfecto, las técnicas de hoy en día pueden ser muy eficaces.

Resumiendo lo que hemos aprendido del ejemplo Snowden, aquí hay un conjunto de buenas prácticas para minimizar el efecto de posibles amenazas internas a la red y a los datos a los que proporciona acceso:

Privilegios de “necesidad de conocer”

El acceso a cualquier elemento de información sensible solo se concede a aquellos que han pasado una verificación de antecedentes y que tienen la necesidad de conocer esa información. Los datos sensibles deben ser compartimentados para que las personas no autorizadas, incluso aquellos usuarios legítimos de la red que están validados de otra manera, en quienes se confía, sean incapaces de acceder o siquiera ver estos archivos. Este tipo de seguridad puede ser fácilmente implementada en muchos de los sistemas operativos de hoy en día.

Política de seguridad

Tener una política escrita que define qué información es sensible, quién puede tener acceso a ella (y en qué circunstancias) y qué hacer en caso de una violación. El refuerzo regular de la necesidad de seguridad y monitoreo de la actividad de red por personal redundante puede reducir aún más el riesgo aquí.

Seguimiento de acceso

Poner en marcha el cifrado de datos adecuado, VPN, sistemas de autenticación y de gestión que incluyen el seguimiento de datos sensibles y la generación de alertas cuando se accede a estos datos, se les modifica o se actúa en ellos de alguna manera. Los sistemas de gestión de contenidos móviles son un gran lugar para comenzar. Es muy interesante que la tendencia hacia la movilidad, a menudo identificada como una nueva amenaza potencial a la seguridad, de hecho puede ser el elemento clave en la implementación de estrategias de seguridad de la información eficaces –incluso cuando la movilidad no es un factor.

En realidad no hay tal cosa como la seguridad absoluta, pero es posible proporcionar muy buena defensa contra las amenazas, tanto externas como también internas. No hay atajos aquí, sin embargo, y la vigilancia eterna es un costo que siempre estará con nosotros.

Fuente: SearchDataCenter