Seguridad de la información en el puesto de trabajo.

Hola nuevamente…. 🙂

Acá expongo algunas buenas practicas, en cuanto a la seguridad en nuestros puestos de trabajo:

Bueno antes que nada explicaremos porque nos referimos al concepto seguridad de la información, y creemos que es porque es un termino muy general muy utilizado hoy en día, se dice que la seguridad de la información, lo que hace es proteger uno de los activos mas importantes de una compañía y no puede ser otro mas que los datos mismos, en ellos se almacenan los usuarios, proveedores, trabajadores de la compañía, información vital de la empresa. etc. Además no importa en que formato esta la información . Cuando hablamos de la seguridad de la información hay que denotar que es muy diferente aplicar seguridad en una compañía completa que aplicar seguridad en un puesto de trabajo. Aunque en el proceso de aplicar seguridad a una compañía uno de los pasos seria aplicarle seguridad al puesto de trabajo y capacitar al usuario o al empleado para que aprenda sobre cultura de la seguridad de la información. Suena un poco complicado pero espero que en el transcurso de esta sección quede un poco mas claro, y que el lector se inquiete por saber mas acerca de este tema tan extenso y enriquecedor.

También cabe subrayar que no es lo mismo aplicar seguridad en una empresa, que hacerlo en un entorno domestico, y digo que no es igual porque normalmente no se cuenta con una infraestructura domestica en la cual halla que ser muy severo en la aplicación de políticas contra medidas, etc.

Bueno como primero quiero resaltar que es importante que a la hora de aplicar seguridad confiemos este proceso a un profesional de esta área.

Porque es importante que sea un profesional quien lo haga y no un conocido, o por ahorrarnos dinero alguien que apenas este aprendiendo y no este acreditado? Poner en manos nuestra información es algo muy delicado, y que requiere planeamiento, estructura, implementación y mantenimiento, muy seguramente es algo que desconocen los no – profesionales y que a lo mejor no pueden abarcar bien. Ahora bien si nuestra empresa dependiera de esta información que haríamos sino contamos con personal capacitado en caso de incidencia?

• Debemos también señalar, que exagerar en las políticas y medidas de la seguridad, es tan peligroso como dejarlas como vienen por defecto. Ejemplo: Un antivirus. Si dejásemos un antivirus tal y como viene por defecto estaríamos desaprovechando recursos y a la vez no estaríamos bien protegidos. Pero cuando ya ponemos demasiadas políticas y cada que intentamos hacer algo el antivirus esta paranoico y bloquea todo, o simplemente nos aparecen los molestos pop-ups cada dos segundos dándonos alguna clase de advertencia, la seguridad pasaría a un punto critico que las empresas no pueden contemplar, pues es tiempo valioso para una compañía. Entonces debemos tener muy buenas herramientas de seguridad, pero también muchísimo conocimiento de como implementarlas.

Tres puntos de la seguridad a tener en cuenta:

La seguridad desde el punto de vista legal:

La no-protección de la información puede desencadenar acciones legales en contra de una compañía. Como ejemplo tendríamos un banco donde se fugue la información de todos sus usuarios tales como: Nombre completo, dirección de residencia, numero telefónico, numero de cuenta, etc. Este banco tendría gravísimos problemas legales y penales ante las autoridades encargadas de gestionar este tipo de irregularidades. Debemos entonces asegurar la información teniendo en cuenta el punto de vista legal.

La seguridad desde el punto de vista de negocio:

Aseguramos la información en este sentido teniendo en cuenta que esta hace que nuestro negocio tenga fluidez en sus procesos y mantiene su productividad, vemos entonces en este punto la información como un punto critico de nuestra compañía, de la cual dependemos y debemos mantener y asegurar.

La seguridad desde el punto de vista de las amenazas:

Establecemos entonces cual es la información que esta en riesgo y que tanta importancia tiene para nuestra compañía, y procedemos a protegerla.

Después de aclarar estos conceptos vamos a aclarar otros que son bastante importantes, y en los cuales nos basamos para saber que contra medidas vamos a tomar:

Que es una amenaza:

Es todo aquello que es potencialmente peligroso. Tiene una importante probabilidad de que ocurra. Ejemplo: Fallo de la fuente de energía, Virus, incendio.

Que es un riesgo:

Es una amenaza que tiene una probabilidad de que ocurra. Ejemplo: Que caiga un avión encima de la compañía, que un tren choque contra ella, etc.

Contramedidas:

Para decirlo de una forma simplificada: Son medidas destinadas a lucha contra las amenazas. Ejemplo: Firewall, antivirus, sistemas de backup.

Seguridad por capas

Este termino es bastante utilizado es la seguridad física, tecnológica, y también en la de la información.

Como ejemplo en la seguridad fisica tenemos la seguridad por capas de un aeropuerto, en un aeropuerto debemos pasar diferentes niveles de seguridad, y con ello lo que se busca es que en algún punto falle la criminalidad en caso de que la halla, la diferencia de hacerlo con una sola capa o medida de seguridad, es que busca que un error se manifieste a medida de que se vaya pasando por diferentes niveles, lo cual es una excelente practica que vale la pena aplicarla en la seguridad de la información.

Veamos las capas:

Nota: Las capas no tienen un orden establecido de como llevarlas acabo, dependiendo entonces del campo en el que nos encontremos definiremos cual sera su orden.

Capa 1- Protección durante la instalación

• En esta realizamos la instalación del SO y las herramientas netamente necesarias de uso empresarial. En esta capa radica la seguridad en cuanto a la legalidad del software utilizado ya que un sistema pirata no ofrece el mismo nivel de actualización que el que nos ofrece un software correctamente licenciado, desactivamos servicios de los cuales no vamos a hacer uso, si el SO viene con un firewall por defecto también podemos proceder a activarlo, para darle un mínimo de seguridad.

• Vemos que no tengamos carpetas compartidas por defecto, definimos contraseñas, permisos, y perfiles.

• Verificamos si las aplicaciones instaladas dejan algún proceso trabajando en segundo plano, y si intenta conectarse a internet y que tipo de conexiones establece.

Capa 2- Protección del perímetro

Sabemos que en el ámbito empresarial es casi obligatoria la conexión a internet o al menos a la intranet de la propia compañía, esto supone un gran riesgo y debemos entonces equiparnos con un firewall que establece un perímetro que controla que entra o sale de nuestra maquina. Además un firewall no solo controla lo que viene del exterior, también lo hace con lo que viene del interior, y esta parte es bien importante porque la mayor amenaza de toda compañía yace en el interior de ella, ya que es el punto de mayor exposición.

Capa 3- Protección contra el malware y la ingeniería social

Antes que nada nos referimos a Malware como un conjunto de amenazas tales como virus, troyanos, bombas logicas, spam, adware, etc.  Así mismo poseemos algo denominado «suite de herramientas» que incluyen contra medidas para todo este tipo de amenazas.

Por otro lado tenemos la ingeniería social que no es otra cosa mas que técnicas que usan como medio el engaño, o la manipulación para conseguir algún fin.

En esta capa es importante capacitar al usuario contra estas amenazas y utilizar diferentes estrategias para evitar que suceda alguna incidencia.

Capa 4- Protección mediante actualización y parcheado

Debemos definir que el parcheado es una solución temporal ante un bug o vulnerabilidad de un sistema, y una actualización incluye mejoras y un paquete de parches. La diferencia radica en la inmediatez de cada uno, ya que un parche generalmente sale inmediatamente después de que se detecta un bug, y en cambio una actualización dura un periodo mas largo en publicarse.

Debemos estar constantemente actualizando nuestro software y nuestro hardware ya que día a día sacan nuevas vulnerabilidades que podrían afectarnos, sino actualizáramos nuestro sistema operativo por ejemplo, seria equivalente a instalar un antivirus y nunca actualizarlo, ya que en este cyber-mundo también existe la criminalidad y hay personas que constantemente están en búsqueda de sistemas inseguros.

Capa 5- Protección mediante copias de seguridad

Creo que esta es una de las mas importantes, ya que es un punto critico y es uno de los planes de contingencia ante diferentes eventualidades criticas, este punto es de carácter obligatorio ya que de el depende la continuidad de nuestra compañía ante ataques o perdida de datos.

Un buen backup:

• Deberíamos hacer copias de seguridad en tiempo real, para esto existen sistemas centralizados que realizan esta tarea.
• También deberíamos tener copias de seguridad externas, para que en caso de catástrofes la información no se destruya y no tengamos mas copias, esto seria realmente desastroso.

Capa 6- Gestión de la identidad y nivel de acceso:

En esta capa nos plantearemos preguntas tales como: ¿Quien tiene derecho de utilizar este puesto de trabajo? ¿Que privilegios tendrá?, ¿Cual es su nivel de acceso?, etc. Es aquí entonces donde debemos desarrollar un plan estructurado que defina perfiles, permisos, niveles de acceso, etc. Esta capa es muy importante y me empeño en resaltar que para esta área debemos contar con personal muy calificado que tenga amplio conocimiento sobre las medidas a utilizar y sobre la compañía.

Bueno espero que se halla aprendido bastante sobre este punto que es bien interesante… Agradezco a INTECO por su gran formación, y por haberme proporcionado las herramientas para hacer este post…. Nos vemos en la próxima 😉