Arquitectura de seguridad informática en la empresa

Si en algún momento nos proponemos el levantar una organización, una empresa o simplemente una pyme, el objetivo principal es que esta sea exitosa, tanto para nosotros los dueños como también para los futuros clientes. Parte fundamental de este éxito se tiene que basar si o si en la protección de la información o datos que existan para ambas partes, tanto en las transacciones, creación de cuentas de usuario o alguna otra alternativa que exista para el almacenamiento de data importante.

Para cumplir este objetivo es completamente necesario el contar con cierta protección ante posibles atacantes externos o internos, las cuales tienen que nacer de planes o políticas que tienen que establecerse luego de verificar cada uno de los activos que poseerá nuestra organización. Hablaremos a continuación del cómo implementar o idear una arquitectura de seguridad para la empresa comentando sus diferentes etapas, partes que la tienen que componer y su importancia para todos los interesados.

Qué es la arquitectura de seguridad informática

Una arquitectura de seguridad informática, es un marco de trabajo o framework, que ofrece una estructura de trabajo base para la elaboración efectiva de un proyecto de seguridad informática, considerando las políticas, estándares, estructura organizativa y comportamiento funcional de una red de las Tecnologías de la Información.

Si se quiere desarrollar un producto o sistema, también se brindan instrucciones o ideas a seguir objeto complementar al máximo el buen funcionamiento y protección de lo que se quiere diseñar, teniendo como objetivo mantener los atributos críticos de todos los futuros activos institucionales como lo son la confidencialidad, integridad y disponibilidad.

Al tratar de implementar una idea de esta manera es necesario informar los principios de diseño claramente, documentando desde lo más simple hasta lo más macro objeto se lleve un completo registro de lo que se ha trabajado. Junto con esto nos podremos dar cuenta que la principal ventaja de una implementación de este tipo es su estandarización, que la hace asequible y rentable debido a la reutilización de diversos procedimientos ya establecidos.

Esta implementación debe conversar también con una buena arquitectura y diseño de red, ya que la seguridad informática hoy en día no es tan solo perimetral como se cree en antaño, emulando a fuerzas medievales que creían que con solo un muro bastante fuerte y grande podrían detener a los invasores protegiendo su reino sagrado. De manera general las empresas han confiado en un dispositivo Firewall robusto para protegerse de ataques externos desde el exterior, pero siempre puede existir una buena investigación y verificación de algún error en el sistema o protección que de acceso fácil a la red interna, por lo que es necesario tener un mejor plan de contingencia, agregar uno que otro dispositivo de seguridad y concientizar al personal que hace uso de nuestros servicios.

Sobre todo, hablando del personal, que tiene que ir actualizando sus conocimientos, por ejemplo, los especialistas en ciberseguridad ahora tratan de aplicar estrategias basadas en capas defensivas para combatir las diversas amenazas que día a día tratan de aprovecharse de alguna vulnerabilidad. Los hackers de sombrero negro continúan avanzando en sus diversas metodologías de ataque, se aprovechan exclusivamente de los usuarios y sus debilidades además de una exhaustiva investigación respecto de las aplicaciones que se encuentran habilitadas a nivel global. Las empresas deben si o si considerar el implementar múltiples estrategias de defensa para contrarrestar las vías de ataque que van surgiendo y que derivan finalmente en la conexión final a una Sala de Servidores o Sala de equipos.

En las siguientes secciones describiremos los componentes esenciales como también las fases de aplicación de una arquitectura de seguridad informática, otorgando de esta manera un nivel aceptable de protección en donde los clientes y usuarios de una organización podrán confiar en ella y no tener ese miedo respecto a una filtración de datos sensibles que comprometan de manera relevante a ellos mismos.

Qué es la seguridad informática

Tenemos que tener algunos conceptos más que claros, primero acerca de la seguridad informática o también llamada ciberseguridad, es la encargada de ejecutar todo lo necesario para proteger la información, evitando así la manipulación y procesos por personas no autorizadas. Las organizaciones que usan este mundo digital para establecer comunicaciones, deben si o si buscar mecanismos oportunos para garantizar de una u otra manera la seguridad de sus datos y de sus clientes.

Un concepto bastante similar y que tiende a asociarse de manera equivocada con el anterior, es el de seguridad de la información, el cual abarca todo ámbito respecto a la protección de los datos, independiente del medio en el que estemos trabajando.

Componentes esenciales dentro de una arquitectura de seguridad informática

Existen 3 conceptos fundamentales para comenzar a comprender el funcionamiento de una buena implementación de una arquitectura de seguridad informática:

· Personas: Generalmente llamado el eslabón más débil en la cadena de seguridad y además serán los que van a proponer la ideas y ejecutarlas una vez estas estén aceptadas por todos los integrantes de la organización.

· Procesos: Secuencia de acciones que luego de ser ideadas y puesta en marcha por las personas, debiesen ejecutar las partes principales dentro de la arquitectura de seguridad informática, logrando de esta manera generar el siguiente concepto a describir.

· Herramientas: Serie de resultados que se obtienen y logran establecer diversas políticas de seguridad dentro de la organización, teniendo en cuenta siempre que se deben ir revisando y actualizando a medida que avance el tiempo.

El fin de toda arquitectura de seguridad informática es proteger los datos de la organización, relevantes o no, lo definirán los mismos clientes, lo que a nosotros nos debe interesar es que estos activos de información estén resguardados, disponibles y íntegros. Para llegar a esto se debe tener en cuenta la creación de una muy buena política de seguridad la cual íntegramente debe establecer lo que se va a proteger, el cómo se va a proteger y el cómo se va a implementar con el paso de los días.

Fases para crear una buena arquitectura de seguridad informática

Evaluación de riesgos

Dentro de toda organización existen riesgos, eso debe estar más que claro, al igual que nunca va a estar 100% protegido o 100% libre de riesgos, por lo que la idea general de esta etapa es identificar los activos y verificar todo lo que alrededor podría provocar algún tipo de actividad, ya sea de índole maligno o benigno para los datos.

Primero que todo hay que identificar todos los activos de información en la empresa los cuales pueden ser software, hardware, documentación digital, vías de comunicación y también los recursos humanos. Una vez obtenemos esta data se debe definir todo tipo de amenazas a las cuales podríamos estar expuestos, investigar y definir las vulnerabilidades que existen dentro de nuestros sistemas y finalmente por supuesto un buen sistema de controles a implementar, los cuales podrían también estar definidos en las siguientes fases de esta arquitectura de seguridad informática.

Comunicar los riesgos encontrados

Dentro de los diferentes procesos técnicos que hay que realizar, también hay que tener una dosis de comunicación con el personal, explicar de una manera clara con un lenguaje de tono normal por qué se producen la mayoría de estos riesgos y lo que se realizara para tratar de mitigarlos, esta fase de concientización es esencial porque como lo dijimos en líneas anteriores, el usuario ya sea interno o externo es el eslabón más débil de la cadena.

Identificar y describir estándares de seguridad a seguir

Si se quiere algún tipo de certificación internacional o si se desea seguir las instrucciones que dicta algún estándar de esta índole, es importante estudiarlo y seguirlo dentro de lo que se pueda al pie de la letra. Es difícil en un comienzo el comprender el cómo se organizan o las definiciones que se les da a algunas partes de la organización, teniendo en cuenta que generalmente todas estas organizaciones son diferentes y quizás tengamos que omitir ciertas partes o reglas ya que no aplicación en donde nosotros estamos en este momento.

Identificar y describir los controles de seguridad a implementar

Para mitigar los respectivos riesgos o vulnerabilidades es necesario describir e implementar diversos controles de seguridad, los cuales deben ser capaces de durar en el tiempo, ser flexibles y con capacidad de crecimiento ante nuevas posibles amenazas que van surgiendo con el paso de los días.

Estos controles deben obedecer fielmente a las fases previas encontradas y investigadas. Dentro del Análisis de Riesgos descubrimos de manera flagrante a que nos podemos enfrentar en un futuro y que debemos proteger, por lo que luego de una exhaustiva investigación y pruebas, la implementación de esta seguridad debe ser efectiva y eficiente.

Monitorización

Objeto verificar el cumplimiento de los controles de seguridad implementados, debemos establecer un sistema de monitoreo el cual nos vaya informando activamente respecto a los cambios producidos ya sea por una nueva vulnerabilidad o por una violación de los controles ejecutados en fases anteriores.

Podemos implementar diversos tipos de software que nos vayan informando respecto a intrusiones o a alertas de amenazas, ademas de otros que vayan detectando si alguno de nuestros sistemas cambia en su estado o simplemente si se bajo el servicio o no. Para esto es importante el uso de protocolos de revision constante de logs o de archivos que dejen rastros de uso dentro de los sistemas por parte de los usuarios administradores de estos.

Identificar y describir un buen plan de recuperación ante desastres

Ya finalizando nuestro proyecto y logrando mitigar los riesgos involucrados, puede que en algún momento por alguna razón que no hayamos identificado en un principio uno de nuestros sistemas de vea comprometido, por lo que debemos pensar también en un Plan de Recuperación de la mayoría de nuestros activos, ya sea de respaldo o de funcionamiento objeto nuestra organización no pierda su actividad y tampoco pierda su reputación ante sus competidores o aliados.

Pruebas de la arquitectura de seguridad informática

Periódicamente se deben establecer pruebas de funcionamiento de todo lo aplicado hasta el momento, teniendo un cuenta el conocimiento de las personas que involucran a la empresa, verificando los controles de seguridad establecidos en los sistemas, haciendo pruebas de penetración en los diferentes servicios activos en el momento, pruebas de envío de correo phishing para los usuarios e inclusive ejecutar laboratorios controlados de hacking ético comprobando el nivel de seguridad alcanzado hasta el momento. Si te interesa aprender mucho más acerca de estos procedimientos, te recomiendo los cursos de ciberseguridad que encontrarás en OpenWebinars.

Importancia de la seguridad informática en la empresa

Objeto finalizar todas estas aplicaciones de buena manera es fundamental conocer muy bien la idea de negocio de tu organización, de ello depende de sobremanera el éxito dentro de la toma de decisiones y funcionamiento alineado al fin que tenga la empresa.

Junto con esto, una buena gestión y revisión de la arquitectura de seguridad, permite un mejoramiento continuo de todos los elementos que la componen, ejecutando las actividades ordenadamente y en sus respectivos tiempos, para que nada que al azar.

Una buena retroalimentación, tanto de todas las personas que componen la organización tanto internos como externos, además de una excelente revisión de los logs o mensajes que dejen los respectivos servicios en funcionamiento, ayuda considerablemente a realizar mejoras con el paso del tiempo. Además, hay que ir revisando y recibiendo mensajes de entes externos que informan acerca de nuevas vulnerabilidades o ataques objeto ir actualizando las protecciones y software utilizado.

Conclusiones

Para concluir, podemos decir que un proyecto de esta envergadura tiene que tener si o si el apoyo de toda la organización incluyendo a la alta gerencia o jefaturas que intervienen con los activos de información, logrando de esta manera una correcta implementación dentro de todos los rincones de la empresa. Incluyendo la idea de negocio, también tiene que estar presente la continuidad del mismo recargados por la misión, objetivos, estructura, y usuarios los sistemas y servicios desplegados en la compañía.

El modelo propuesto de arquitectura de seguridad informática garantiza de buena manera las buenas prácticas dentro de la seguridad de la información, certifica la calidad que este debe tener y por supuesto el mejoramiento continuo de todas las actividades pospuestas respondiendo a las necesidades de una empresa estándar, las cuales incluyen varias fases de cumplimiento y seguimiento, garantizando el objetivo principal de un proyecto en una organización.