En un mundo hiperconectado, las empresas deben tener en cuenta la importancia de aplicar medidas óptimas de seguridad de la información, para evitar riesgos y salvaguardarse ante posibles ataques ciberneticos y/o pérdidas de datos.

Como avanzábamos en publicaciones anteriores sobre ciberseguridad, las empresas cada vez son más vulnerables frente a ataques y hackeos que menoscaban uno de los activos más importantes de las compañías: sus datos. La seguridad de la información se convierte en un elemento indispensable para protegerse.

Hablamos de seguridad de la información entendida como la capacidad de las redes o de los sistemas de información para resistir, con un determinado nivel de confianza, los incidentes de seguridad, ya respondan a acciones ilícitas o malintencionadas como a vulnerabilidades o fallos de los sistemas informáticos en que se tratan. La seguridad de la información es el establecimiento de un entorno seguro de datos, de forma que se garanticen la disponibilidad, autenticidad, integridad y confidencialidad de los datos almacenados o transmitidos y de los servicios que dichas redes y sistemas ofrecen o hacen accesibles.

Pilares de la Seguridad de la Información

  • securityIntegridad: Capacidad para garantizar la fiabilidad de la información y el mantenimiento de sus características, evitando modificaciones no autorizadas y/o no aprobadas por los responsables de los datos. Es fácil vulnerar la integridad cuando la información se elimina o parte de ella se modifica.
  • Autenticidad: La autenticidad de los datos es imprescindible para su aceptación, y las dudas al respecto pueden provocar desviaciones en la planificación operativa de las Organizaciones y desconfianza en las mismas.
  • Disponibilidad: La disponibilidad es la capacidad de los sistemas de información que permite el acceso a la información del negocio en el momento necesario y a los usuarios autorizados de una organización. Esta característica podría chocar con la confidencialidad, ya que con el objetivo de salvaguardar la información, muchas veces se opta por sistemas complejos de encriptación, conviertiendo la información en algo poco accesible.
  • Confidencialidad: La confidencialidad sigue la premisa de no divulgar información a aquellas personas no autorizadas. Su incumplimiento puede suponer el incumplimiento de leyes y contratos.
  • Trazabilidad: Esencial para analizar incidentes, perseguir atacantes y aprender de la experiencia. Se materializa en la integridad de los registros de actividad, determinando siempre quién hizo qué, y en qué momento.

Niveles de aplicación de Seguridad de la Información:

La seguridad de la información se aplica en cinco niveles principales de una empresa, y todas las organizaciones deberán tenerlas en cuenta, con el fin de conseguir un blindaje completo:

  • 3d folder document blue data key securitySeguridad en las redes: Consiste en el transporte seguro de la información a través de infraestructuras de comunicaciones. Posibles medidas de seguridad son: cortafuegos, redes virtuales, detección de intrusiones, seguridad wifi y dispositivos móviles, control de tráfico de red.
  • Gestión de acceso e identidad: Hablamos de gestión de los perfiles de usuario y protección de los mecanismos responsables de establecer permisos y vigilar accesos a los sistemas, así como de aplicaciones locales o remotas.
  • Seguridad en los sistemas: Asesoría específica para usuarios técnicos y administradores de sistemas sobre la aplicación de medidas de protección de forma centralizada, preventiva y reactiva.
  • Seguridad de aplicaciones y datos: Seguridad aplicada tanto a los sistemas de almacenamiento locales como a los sistemas remotos, con soluciones como el cifrado de la información, el establecimiento de políticas de seguridad o las copias de seguridad.
  • Protección en el puesto de trabajo: Protección al usuario y su equipo contra posibles incidentes de seguridad, incluyendo entorno local, hardware y software, controlando actualizaciones y advirtiendo de posibles amenazas.

De manera transversal, estos cinco niveles de actuación se encuentran conectados a través de cuatro ámbitos fundamentales que intervienen en la producción y uso de la información y que tipifican de forma especifica los riesgos de seguridad:

  • Personas: Las personas son aquellos agentes que trabajan con los datos. Es necesario aplicar una serie de medidas de seguridad organizativas que permitan salvaguardar tanto su integridad como la de la información a la que tienen acceso: permisos y obligaciones dependiendo de la jerarquía de la empresa, identificación y prevención ante ataques de ingeniería social, cumplimiento de la legislación y formación sobre medidas de seguridad.
  • Información: Encontramos posibles vulnerabilidades dependiendo del tipo de manipulación de la información que se lleve a cabo en cada momento. Blindaje en los intercambios de información confidencial, protección frente a pérdidas de información, realización de copias de seguridad y posterior recuperación así como evitar la difusión no permitida de la información y aplicar las medidas de protección son algunas de las medidas a aplicar.
  • Negocio: Entender la importancia de realizar cambios organizativos necesarios para la adecuación de las políticas de seguridad a las normativas y requisitos legales, es fundamental. En base a buenas prácticas, se mejoran procesos productivos y se ahorran costes y tiempos de no disponibilidad.
  • Infraestructura: Selección, implementación y operación de las soluciones de seguridad apropiadas para cada organización. Detección de posibles errores de seguridad de la infraestructura, y provisión de recursos para la gestión incidental.

Imagen1La seguridad de la información no solo ayuda a una mejora en la gestión empresarial, sino que permite obtener credibilidad, a través de la aplicación de políticas de control de seguridad establecidas en la norma ISO / IEC 27.000. Los diferentes desarrollos y evoluciones de esta serie de normas conforman la base de operación de un Sistema de Gestión de la Seguridad de la Información (SGSI). Seguir el SGSI aporta una reducción del riesgo de pérdidas de información, estableciendo una metodología y obligando a las compañías a que realicen auditorías externas de manera periódica para identificar las incidencias que pudiera haber en el Sistema, fomentando de este modo la mejora continua en la organización.

Servicios de Auditoria Técnica de Seguridad Tecnológica

Los servicios de auditoria Técnica de Seguridad Tecnológica tienen por objetivo la auditoria de sistemas, aplicaciones y datos. La constante evolución de las metodologías y auditorias permite la revisión de la calidad de cualquier tecnología existente en el mercado y de cualquier infraestructura sensible a las deficiencias de seguridad y vulnerabilidad. Este tipo de servicio realiza:

  • Análisis de logs y puertos: Análisis de los registros de sistema y aplicaciones para determinar el comportamiento de éstos, así como de los usuarios que los han usado.
  • Pentesting y Hacking ético: Identificación las vulnerabilidades de sistemas y aplicaciones, recomendando las mejores soluciones para las carencias detectadas.
  • Auditoria de Redes: Auditorias completas de las infraestructuras de comunicaciones para detectar, evaluar y resolver cualquier vulnerabilidad de seguridad.
  • Auditoria de sistemas y archivos: Permite registrar y analizar las interacciones entre los usuarios y aplicaciones con los sistemas y los archivos de las organizaciones.
  • Auditoria de Passwords: Establecimiento de políticas de seguridad de cualquier organización y detección de contraseñas débiles o que no cumplen estas políticas.

Ninguna medida es suficiente cuando se trata de proteger los datos de las empresas. Contar con una buena planificación de la seguridad de la información se convierte, por tanto, en un elemento diferenciador para todas aquellas empresas que aspiran a seguir creciendo y mejorar sus resultados año tras año.