InfoSec é a palabra de moda abreviada para a seguridade da información e que describe unha serie de temas en torno á defensa de datos e información principalmente, pero non limitados a un ambiente corporativo profesional. É un tema relacionado co termo Databilidade, que presentei antes.
Normalmente, os requisitos en torno á seguridade da información están definidos por leis e políticas internas da organización, que son controladas e aplicadas por partes de auditoría interna ou externa. Os datos afectados poderían ser información sobre clientes, transaccións financeiras e comunicación escondida só por citar só algúns.
A seguridade da información está relacionada con outra seguridade temas de risco como a ciberseguridade / guerra e contramedidas contra o mesmo, seguridade móbil, seguridade na rede e, por suposto, seguridade en internet.
Ameazas e consideracións
Hai moitas ameazas que van desde as vulnerabilidades pasivas que podería esquecer ata algunhas activas cando por exemplo se analizan tácticamente as fazañas e se incumpren os sistemas debido a estas lagoas no deseño de seguridade dos datos.
Dentro dos departamentos de TI corporativos e especialmente de redes hai algúns sistemas de defensa que hai que despregar e algúns procedementos operativos que se deben deseñar e cumprir para evitar o acceso non autorizado de datos. Necesitas un sistema de control de acceso para a túa rede que só permita que os activos da lista branca e aceptados poidan acceder á rede. Podes facelo baseándose na dirección MAC dun sistema ou permitindo a certos fabricantes e produtos aprobados dentro da rede, aínda que tecnicamente sexa máis difícil de aplicar e deste xeito deixe risco cando os forasteiros teñan coñecemento dos produtos aprobados.
Por suposto, tamén esixe seguridade a nivel de software e aplicación, como o despregamento dun bo antivirus, garantindo a codificación e desenvolvemento seguros de sistemas seguindo as mellores prácticas e en sistemas que non son orientados ao usuario, incluso podería considerar a execución de sistemas operativos que permitan máis seguridade que os sistemas de consumo.
Precisa unha solución de devasa que impida o acceso desde fóra da rede e nalgúns casos tamén ao revés. De xeito semellante ao control de acceso para dispositivos, un firewall permítelle incluír na lista branca determinado tráfico de datos se é necesario para determinadas aplicacións empresariais e, xeralmente, bloquear todo o intento de acceso descoñecido e non planificado.
A cantidade de ataques cibernéticos e mesmo a presenza de "exércitos cibernéticos" no mundo están a aumentar xunto coa cantidade de datos a manipular e os posibles puntos débiles para aproveitar o acceso aos teus sistemas. Para evitar isto, precisa dun sistema de detección de intrusos e, adicionalmente, dun sistema de prevención de intrusos para facer fronte ao risco de posibles ataques. Tamén pode implementar probadores de penetración que estean formados e posiblemente certificados hackers éticos que son contratados buscar vulnerabilidades para mitigalas
Nos días de BYOD contábase con empregados que manexaban datos e posiblemente información confidencial nos seus teléfonos intelixentes. Desde o aspecto de usabilidade e produtividade, isto é inevitable, pero dado que eses dispositivos poden inclinarse ou permitir a entrada de datos en sistemas automatizados de almacenamento de datos na nube, isto crea un punto de risco para a seguridade da información que non se pode esquecer. Debe despregar unha pasarela de seguridade móbil para os seus empregados que garanta que non se pode abusar nin perder ningún dato relacionado coa empresa no camiño. O alcance da función desta solución é relativo ao tamaño da súa organización e á sensibilidade dos datos que manexan os usuarios. Todos estes son aplicables tamén a tabletas, outros dispositivos intelixentes e portátiles en xeral empregados con fins profesionais.
Resumo
Todos estes sistemas de defensa e seguridade son útiles, pero require un servizo permanente de entrada e persoal dedicado para executalos e mantelos actualizados e conformes ás últimas políticas, asegurándose de que non quedan atrás nas parches.
Das miñas experiencias persoais e da avaliación de riscos diría que a prevención de problemas de seguridade da información non é unha tendencia, senón unha preocupación en xeral crecente e algo que cómpre ter en conta cando planifique modernizar o seu negocio. O fracaso na mitigación destes riscos pode e non só romperá a súa credibilidade senón tamén todo o seu negocio. Non precisas un exército de especialistas en seguridade de rede para un inicio de 3 persoas, pero necesitas escalar o equipo de seguridade da información xunto co tamaño da infraestrutura que utilizas para facer negocios.
Lectura
O Tao do seguimento da seguridade da rede: máis alá da detección de intrusións (Richard Bejtlich)
Kit de ferramentas de avaliación de riscos de seguridade da información: avaliacións prácticas a través da recollida e análise de datos (Mark Talabis)
Métricas de seguridade das TIC: marco práctico para medir seguridade e protexer datos (Lance Hayden)
Exemplos de solucións
MobileIron
Aruba Networks / HP
Boa tecnoloxía
EMC Corporation
Redes de enebro
Cisco
Crédito da foto: Kevin Jackson / Tim Reckmann
