¿Qué son la seguridad de la información y la ciberseguridad y cómo pueden proteger su negocio?

Las organizaciones modernas deben estar preparadas para abordar la amenaza de ciberataques e infracciones de datos. Toda empresa, compañía y organización similar debe esforzarse por impedir un ataque o una disrupción, así como cualquiera de las consecuencias de largo alcance que impliquen. Estas consecuencias incluyen pérdidas financieras, impactos negativos para las operaciones y la conformidad, así como daños de la reputación a largo plazo. Cualquiera de estos factores podría ocasionar pérdidas de negocio para una organización y colocarla en una posición de desventaja competitiva. Según un informe de IDC Research, «el coste "promedio" del tiempo de inactividad supera los 200 000 USD por hora».¹

¿Qué puede hacer para proteger su organización contra ciberataques e infracciones de datos? ¿Qué herramientas puede usar para aumentar su resiliencia contra estos y sus posibilidades de evitarlos? ¿Cómo mitigará sus daños y reducirá su tiempo de recuperación? La seguridad de la información y la ciberseguridad son dos herramientas que pueden ayuda a proteger su organización contra piratas informáticos que podrían causar daños.

¿Qué es seguridad de la información?

Techopedia señala que seguridad de la información (InfoSec), que a veces se abrevia como IS o se denomina seguridad de los datos, tiene como objetivo «proteger la confidencialidad, la integridad y la disponibilidad de los datos del sistema contra personas con intenciones maliciosas».² Consiste en mantener los datos seguros y evitar que se produzcan accesos sin autorización o alteraciones similares mientras los datos están almacenados o cuando se mueven de un dispositivo a otro.

El Instituto SANS ofrece una definición más amplia, definiendo InfoSec como «los procesos y metodologías diseñados e implementados para proteger los datos o la información confidencial, privada o sensible, tanto impresa como electrónica o en cualquier otro formato, contra el acceso sin autorización, el uso, abuso, divulgación, destrucción, modificación o alteración».³

El Instituto Nacional de Estándares y Tecnología (NIST) define brevemente InfoSeccomo «la protección de los sistemas de información contra el acceso sin autorización o la modificación de la información».⁴ Sin embargo, basándose en esta definición más simple, el NIST la amplía para incluir el acto de proteger la información «durante su almacenamiento, procesamiento o tránsito, y contra la denegación de servicio a los usuarios autorizado, [e incluye] las medidas necesarias para detectar, documentar y contrarrestar esas amenazas».⁴

¿Qué es la ciberseguridad ?

Technopedia se refiere a la ciberseguridad como «los métodos de prevención utilizados para evitar que la información sea robada, comprometida o atacada [que requieren] conocer las posibles amenazas para la información, como virus y otros códigos maliciosos».⁵ NIST define la ciberseguridad como «la capacidad de proteger o defender el uso del ciberespacio contra los ciberataques».⁴ Security Scorecard simplifica la definición del NIST al afirmar que «la ciberseguridad está relacionada con los ataques desde el exterior de una organización [y es] el marco de protección y seguridad de cualquier elemento vulnerable a ataques, vulneraciones o accesos sin autorización [específicos de la tecnología].⁶

Las estrategias y herramientas que utiliza la ciberseguridad incluyen los siguientes ejemplos:

• Identidad y gestión de accesos
• Gestión de riesgos
• Gestión de incidentes
• Software antivirus y antimalware
• Parches de software
• Cortafuegos
• Autenticación de dos factores
• Encryption

Debido a la naturaleza fundamental de la ciberseguridad, es esencial que una organización tenga un plan integral de ciberseguridad en vigor. Muchas empresas necesitan la amplia experiencia de un responsable de seguridad (CSO) o director de seguridad de la información (CISO) dedicado en el personal para supervisar la operación.

La seguridad de la información y la ciberseguridad

Es fácil considerar que la seguridad de la información y la ciberseguridad son conceptos generales sinónimos de ciberresiliencia. Ambos conceptos tienen que ver con la protección de la información, la gestión y mitigación de los riesgos e incidentes disruptivos, y la reducción del impacto que causaría cualquier incidente.

Sin embargo, no son intercambiables y existen claras distinciones entre los dos términos que se basan en cómo se almacenan los datos o en qué formato se encuentran.

La seguridad de la información se ocupa principalmente de proteger los datos, con independencia de si son digitales o analógicos. A todos los efectos, el concepto de la seguridad de la información puede aplicarse con la misma facilidad para proteger el contenido de su hogar y para proteger todos los datos digitales de su organización. Tener un cortafuegos es importante para la seguridad de la información, y también lo son los métodos para proteger los activos físicos, como contar con personal de seguridad y cerrar las puertas con llave o adoptar medidas similares para limitar el acceso exclusivamente a aquellos empleados que requieran acceder a ciertas áreas.

SecurityScorecard señala que «la ciberseguridad [pertenece] exclusivamente a la protección de los datos que se originan en formato digital, como la información digital, los sistemas y las redes».⁶ Centrar la ciberseguridad en los datos digitales ayuda a diferenciarla de la seguridad de la información.

El sitio web de CSO ofrece una explicación diferente para la diferencia entre la seguridad de la información y la ciberseguridad, señalando que «la ciberseguridad es la práctica más amplia de defender los activos de TI contra un ataque, mientras que la seguridad de la información es una disciplina específica bajo el paraguas de la ciberseguridad».⁷ Ampliando este concepto, CSO señala que «la seguridad de la red y la seguridad de las aplicaciones son prácticas hermanas de la seguridad de la información [que se centran] en las redes y el código de las aplicaciones, respectivamente».⁷

Aplicar la seguridad de la información a la seguridad del centro de datos

Cuando se trata de las aplicaciones prácticas de InfoSec, es preciso abordar la seguridad del centro de datos, tanto si lo administra directamente una organización o bien su proveedor de servicios de nube. Los centros de datos son muy complejos y requieren tanto seguridad física como seguridad del software o seguridad virtual. El diseño, la disposición y la ubicación del edificio del centro de datos se incluyen a menudo en las estrategias de seguridad física, como ubicar el centro de datos lejos de carreteras principales y establecer zonas de separación alrededor del centro de datos. Otras técnicas y herramientas para optimizar la seguridad física de un centro de datos incluyen usar los siguientes elementos:

• Guardias de seguridad, cámaras y sistemas de alarma
• Autenticación de doble factor, tarjetas de verificación de la identidad personal (PIV) y contraseñas personales
• Lectores de credenciales y sistemas biométricos, como lectores de huellas dactilares, software de reconocimiento facial y escáneres de iris

Además de evitar el acceso sin autorización, la seguridad física también puede usarse para evitar daños al centro de datos a causa de un desastre o disrupción similar. Por ejemplo, si se produce un corte eléctrico y la alimentación no se restablece con rapidez, puede ser difícil establecer la refrigeración apropiada para todos los servidores del centro de datos, lo que producirá daños a los servidores. Sin embargo, el uso de redundancias, como fuentes de alimentación de reserva adicionales y sistemas de refrigeración que funcionen más tiempo con menos alimentación, ayuda a impedir daños y garantizar la integridad de los servidores.

Mientras que seguridad física utiliza diferentes herramientas y técnicas para garantizar la seguridad de un centro de datos y la información que contiene, los procesos de seguridad del software utilizan herramientas y técnicas digitales. Estas herramientas y técnicas digitales evitan el acceso sin autorización a la red del centro de datos, incluyendo cualquier cosa que pueda producir daños al centro de datos, el robo de la información o el acceso a esta sin autorización. Las herramientas de seguridad de información y gestión de eventos (SIEM) permiten supervisar y gestionar el centro de datos en tiempo real. SIEM puede utilizarse para controlar quién tiene acceso a diferentes partes del centro de datos y su información empleando sistemas de alarma y sensores distribuidos por todo el centro de datos.

Antes de desplegar algo en la red del centro de datos, debe escanearse y evaluarse para determinar si entraña algún peligro para la integridad de la red del centro de datos. Estos análisis suelen buscar malware, fragmentos de software o código malicioso.

¿Cuáles son los principios básicos de la seguridad de la información?

Mencionada por primera vez en una publicación del NIST en 1977,⁸ lo que comúnmente se conoce como la tríada de la CIA incluye los principios básicos que forman el núcleo central de la seguridad de la información. Estos tres principios son:

• Confidencialidad
• Integridad
• Disponibilidad

¿Qué es la confidencialidad?

La confidencialidad, considerada el elemento más sinónimo con la seguridad de la información, se refiere al acto de proteger la privacidad y mantener restricciones autorizadas sobre la divulgación y el acceso a los datos, la información, el software o cualquier elemento similar. CSO señala que para mantener la confidencialidad, su equipo de seguridad de TI debe «ser capaz de identificar quién trata de acceder a los datos y bloquear los intentos que carezcan de autorización».⁷ Las herramientas que aumentan su ciberresiliencia y ayudan a garantizar la confidencialidad de los datos incluyen las siguientes:

• La autenticación de factor único (SFA), la autenticación de doble factor (2FA), la autenticación de factor múltiple (MFA) y otros tipos de autenticación similares
• Autenticación basada en contraseña, el tipo más común de autenticación
• Cifrado simétrico y cifrado cifrado asimétrico
• Productos y servicios de identidad y gestión de acceso

¿Qué es la integridad?

La integridad se refiere al acto de mantener la homeostasis de sus datos y protegerlos contra su destrucción o modificaciones inadecuadas o no autorizadas similares. Muchas de las herramientas y prácticas para garantizar la confidencialidad de los datos son idénticas a las utilizadas para proteger la integridad de sus datos.

Entre las herramientas que aumentan su ciberresiliencia y ayudan a garantizar la confidencialidad de los datos se incluyen las siguientes:

• Los hashes o sumas de comprobación son valores alfanuméricos que representan de manera única el contenido de un archivo y se utilizan con frecuencia para verificar la integridad de un archivo. Por ejemplo, un programa de instalación que se descargó de un sitio web externo.
• Los sistemas de control de versiones (VCS) ayudan a los usuarios a monitorizar su historial de archivos, incluidos los cambios en sus archivos y cuándo se realizaron.
  • Git es un ejemplo de VCS y GitHub es un sitio web donde se alojan proyectos usando Git.
• Las copias de seguridad frecuentes ayudan a garantizar que sus datos se restablezcan desde su estado más reciente.
  • Realizar copias de seguridad y establecer objetivos de tiempo de recuperación (RTO) y objetivos de punto de recuperación (RPO) ayuda a garantizar que si se produce una disrupción, el proceso de recuperación tras desastres será mucho más ágil.
• Una caja fuerte cibernética ayuda a proteger sus datos críticos contra ciberamenazas maliciosas. Las cajas fuertes funcionan como un entorno de almacenamiento inalterable, aislado y seguro con escaneos de análisis que monitorizan sus datos y detectan posibles amenazas, accesos sin autorización o problemas similares. Las cajas fuertes, una solución de recuperación informática, garantizan que sus datos estén limpios, protegidos y accesibles cuando necesite restaurarlos.

SecurityScorecard afirma que al mantener la integridad, asegura «la no repudiación de la información y la autenticidad [de sus datos]».⁵ CSO comparte una idea similar y explica el significado de no repudiación al definirlo como «[ser] capaz de demostrar que ha mantenido la integridad de sus datos, especialmente en contextos legales».⁷

¿Qué es la disponibilidad?

Mientras que integridad comparte muchas similitudes con la confidencialidad, la disponibilidad es un reflejo casi perfecto de la confidencialidad. La principal diferencia es que el concepto de integridad se refiere a qué datos no deberían poder acceder los usuarios sin autorización. El concepto de disponibilidad se refiere a qué datos deberían poder acceder los usuarios con autorización.

Establecer los permisos apropiados es una forma de garantizar la accesibilidad de sus datos. CSO asegura que puede garantizar la disponibilidad de los datos al «equiparar los recursos informáticos y de red con el volumen de acceso a datos que espera e implementar una buena política de copia de seguridad con fines de recuperación tras desastre».⁷

Garantizar la confidencialidad y la disponibilidad de sus datos supone un equilibrio que muchas organizaciones tienen dificultades para mantener. Al igual que con la integridad, establezca un calendario regular para realizar copias de seguridad de sus archivos. Estos procesos ayudan a optimizar su proceso de recuperación tras desastres y a lograr una recuperación rápida. Además de realizar copias de seguridad frecuentes de sus archivos, CSO afirma que para garantizar la disponibilidad de datos debe «[equiparar] los recursos informáticos y de red con el volumen de acceso a datos que espera».⁷

¿Qué es la recuperación tras desastres como un servicio?

La recuperación tras desastres como un servicio (DRaaS) es un componente importante de la disponibilidad, ya que garantiza que siempre tenga acceso a sus datos, activos y aplicaciones de TI o, si no están disponibles de inmediato, lo estarán con rapidez.

En su Market Guide for Disaster Recovery as a Service, Gartner señala que «DRaaS es una excelente opción para los responsables de infraestructura y operaciones que desean mejorar de manera rentable la resiliencia de TI, cumplir los requisitos normativos o de conformidad y abordar la carencia de recursos».⁹

Techopedia define DRaaS como «un modelo de computación en la nube y servicio de copia de seguridad que utiliza recursos de la nube para proteger las aplicaciones y los datos, [funcionando como una segunda infraestructura que ofrece] a una organización un sistema de copias de seguridad completo que permite la continuidad del negocio en caso de un error del sistema».¹⁰

IBM señala que DRaaS «proporciona una réplica continua de las aplicaciones e infraestructuras, datos y sistemas críticos para una recuperación rápida después de una parada de TI [e incluye] las siguientes características:

• Objetivo de tiempo de recuperación (RTO) en minutos y objetivo de punto de recuperación (RPO) en segundos, de forma fiable, verificable y coherente
• Arquitecturas de solución personalizadas [incluidas] combinaciones de disco, cinta y nube privada, pública e híbrida»¹¹

IBM también señala que DRaaS ayuda a «apoyar la resiliencia empresarial»¹⁰ and y «proporciona servicios integrales de recuperación tras desastres, incluidos los procesos de orquestación de la recuperación tras desastres, el seguimiento del estado de la recuperación tras desastre [y] la réplica continua de las aplicaciones, la infraestructura, los datos y los sistemas en la nube».¹¹

«DRaaS a menudo se combina con un plan de recuperación tras desastres (DRP) o con un plan de continuidad empresarial (BCP)».¹⁰ If Si DRaaS funciona correctamente, las organizaciones deberían poder proseguir sus procesos diarios, a pesar de cualquier disrupción o reparación necesaria, ejecutándolos en máquinas virtuales (VM).

Gartner señala que el proveedor de DRaaS «puede suministrar el servicio como una oferta totalmente administrada, como una oferta de recuperación asistida o como un modelo de software como servicio (SaaS)».⁹ El servicio DRaaS debe «comercializarse y venderse como una oferta industrializada independiente e incluye las siguiente características [como mínimo]:

• Nube de recuperación bajo demanda para ejercicios y declaraciones planificadas
• Replicación de imágenes de servidor y datos de producción en la nube
• Migración y recuperación automática tras errores entre las infraestructuras local y en la nube
• Acuerdos de nivel de servicio (SLA) sobre el tiempo de recuperación⁹

Recursos

1. Five Key Technologies for Enabling a Cyber-Resilience Framework, ITC. Octubre de 2020.
2. Information Security (IS), Techopedia.
3. Information Security Resources, SANS.
4. Glossary of Key Information and Security Terms, NIST, Mayo de 2013.
5. Cybersecurity, Techopedia.
6. The Difference Between Cybersecurity and Information Security, SecurityScorecard, 4 de mayo de 2020.
7. What is information security? Definition, principles, and jobs, CSO, 17 de enero de 2020.
8. Post-processing audit tools and techniques, Departamento de Comercio de EE. UU., Oficina Nacional de Normas, octubre de 1977.
9. Market Guide for Disaster Recovery as a Service, Gartner, 25 de junio de 2020.
10. Disaster Recovery as a Service (DRaaS), Techopedia.
11. Hybrid platform recovery, Kyndryl.