Controles de seguridad

Security Controls

Un control necesita un objetivo y una forma de comprobar que funciona. Tener una política escrita o una herramienta instalada es el comienzo, no el trofeo de misión completada. (￣_￣)

Controles de seguridad

Son protecciones diseñadas para reducir riesgos de seguridad. Incluye una amplia gama de herramientas para proteger activos antes, durante y después de un evento.

Una clasificación didáctica distingue estos tres tipos; no es la única forma de organizar controles:

• Technical (Técnico):

  • Los controles técnicos incluyen tecnologías usadas para proteger activos. Como encriptación o sistemas de authenticación.

• Operational (Operacional)

  • Los controles operacionales mantinen el entorno seguro. Como por ejemplo entrenamientos al personal o respuestas de incidente.

• Managerial (Administrativo)

  • Los controles administrativos se centran en los otros dos para reducir riesgos. Como los procedimientos, políticas y estándares.

---

La privacidad de la información es importante en estas decisiones. Los controles de seguridad pueden contribuir a la privacidad, pero esta también abarca riesgos del tratamiento legítimo de datos. La intención es siempre mantener el principio del mínimo privilegio ( PoLP )

Al aplicar el principio, es importante diferenciar entre el dueño de la información y el cuidador de la información.

El dueño u owner de información es un rol de responsabilidad sobre decisiones de clasificación, acceso y uso dentro de la organización. No otorga derecho irrestricto a borrar datos ni equivale al titular de datos personales.

El cuidador es alguien -o algo- responsable del manejo seguro, transporte y almacenamiento de la información.

---

---

---

---

PoLP

Principle of Least Privilege (Principio del mínimo privilegio)

A grandes rasgos es un principio de otorgar la autorización y el acceso mínimo que requiere un agente para ejecutar una tarea. Es decir, limitar su acceso a la información sólo a lo que sea estrictamente necesario. El principio se acomoda perfectamente a la CIA TRIAD.

La correcta aplicación de esto, implica:

- Limitar el acceso a la información confidencial
- Reducir la posibilidad de modificación, alteración o pérdida accidental de datos
- Facilitar la supervisión y administración del sistema

Esto ayuda a disminuir considerablemente la probabilidad de ataque exitoso al conectar recursos específicos a determinados usuarios y limitar sus acciones.

---

Para implementarlo efectivamente son fundamentales las siguientes preguntas:

- ¿Quién es el usuario en cuestión?
- ¿Cuánto acceso requiere a un recurso específico?

Al responder estas preguntas, podemos definir correctamente los privilegios de cada usuario. Sin embargo, es importante realizar auditorías periódicas de estas cuentas para mantener los sistemas seguros.

Los tres enfoques comunes para auditar:

• Auditoría de uso

  • Se revisa qué recursos está accediendo cada cuenta y de que forma interactúan con estos recursos.
  • Ayuda a determinar si los usuarios están cumpliendo con las políticas de seguridad.
  • Permite identificar si un usuario tiene permisos que deberían ser revocados

• Auditoría de privilegios

  • Su objetivo es evaluar si el rol de un usuario es acorde con los recursos que actualmente tiene acceso
  • Útil para eliminar el arrastre de privilegios

• Auditoría de cambios de cuentas

  • Ayuda a asegurar que todas las modificaciones en las cuentas sean realizadas por usuarios autorizados
  • Suele realizarse a través del servicio de directorio de cuentas, utilizando los registros.
  • Un servicio de directorio óptimo se puede configurar para alertar sobre actividades sospechosas.

---

---

---

---

Privacidad de la información

Privacidad y seguridad se relacionan, pero no son sinónimos. InfoSec protege confidencialidad, integridad y disponibilidad. Los riesgos para las personas también pueden surgir de recopilar, inferir o usar datos incluso sin intrusión. NIST, relación entre ambos riesgos.

Regulaciones

Existen ciertas leyes que se deben cumplir. Las regulaciones son normas establecidas por un gobierno u otra autoridad. Las obligaciones dependen de jurisdicción, sujetos, datos y actividad. El consentimiento no es la única base jurídica posible y un estándar de industria no se convierte por eso en ley.

Algunas regulaciones más relevantes:

• GDPR (Reglamento general de protección de datos)

  • Reglamento de la UE que establece derechos, obligaciones y condiciones de tratamiento de datos personales; esos derechos tienen alcances y excepciones, no un control absoluto
  • Su alcance territorial depende, entre otros supuestos, del establecimiento y de ofrecer bienes/servicios o monitorizar personas en la UE; la ciudadanía por sí sola no determina su aplicación

• PCI-DSS (Estándar de seguridad de datos para la industria de tarjetas de pago)

  • Conjunto de normas de seguridad establecidas por organizaciones de la industria financiera
  • Su objetivo es asegurar las transacciones con tarjetas de crédito y débito contra el robo de datos y fraude

• HIPAA (Ley de transferencia y responsabilidad de los seguros médicos)

  • Ley estadounidense cuya Privacy Rule regula información de salud protegida en entidades cubiertas y, bajo condiciones, sus asociados de negocio. No alcanza automáticamente a toda aplicación de salud.
  • Permite o exige ciertos usos y divulgaciones sin autorización individual, por ejemplo bajo condiciones de tratamiento, pago u operaciones sanitarias. No impone una prohibición absoluta sin consentimiento.
  • A pesar de ser elaborada por EEUU para su mercado específico, sirve como base para muchas organizaciones del mundo.

Fuentes: EDPB, bases jurídicas, HHS, resumen de la Privacy Rule y PCI SSC, alcance de PCI DSS.

+----------------------------------------+
| Floure &                               |
| Tachibana's guild                      |
| [Hikari · Nozomi]                      |
| SEAL: sha256/12: f2f87fb845da          |
| STATUS: LITURGY_IN_PROGRESS            |
+----------------------------------------+