Principios para una adecuada arquitectura de ciberseguridad

Principios para una adecuada arquitectura de ciberseguridad

La arquitectura de ciberseguridad tiene como propósito separar los componentes de información más críticos de una organización y protegerla de las amenazas y daños cibernéticos. ¿Cuáles son sus principios?

Por: Gianncarlo Gustavo Gómez Morales el 12 Agosto 2021

Compartir en: FACEBOOK LINKEDIN TWITTER WHATSAPP

Los ataques cibernéticos pueden generar cuantiosas pérdidas económicas a las instituciones públicas y privadas. De acuerdo al Banco Interamericano de Desarrollo (BID), estas pueden superar el 1 % del producto bruto interno (PBI) en algunas naciones de América Latina y el Caribe. Para evitarlo, es importante que las empresas adopten una arquitectura de ciberseguridad robusta que proteja sus activos en todo momento. 

Para ello, considerando la actual coyuntura por la que estamos atravesando, en la que no existe el perímetro físico donde los trabajadores laboraban dentro de una organización, los principios Zero Trust contribuyen a mejorar la ciberseguridad de la empresa.

¿Qué es Zero Trust?

Es una iniciativa estratégica que ayuda a prevenir violaciones de datos al eliminar el concepto de confianza de la arquitectura de red de una organización. Enraizado en el principio de "nunca confiar, siempre verificar", Zero Trust está diseñado para proteger los entornos digitales modernos, aprovechando la segmentación de la red, evitando el movimiento lateral, proporcionando prevención de amenazas y simplificando el control granular de acceso de los usuarios.

Zero Trust en la actualidad

La COVID-19 ha dado lugar a que muchas personas trabajen desde casa. Desafortunadamente, también ha provocado un fuerte aumento de las amenazas maliciosas. El Internet no es tan seguro y la computadora no está administrada al nivel que normalmente tiene una computadora de propiedad corporativa. Además, los trabajadores no tienen el mismo acceso y capacitación en concientización sobre seguridad cibernética que tendrían en la oficina, lo que ocasiona serios problemas a las organizaciones. 

Zero Trust: El Problema de Ciberseguridad que ya tenemos

La actual normalidad, donde las empresas han acelerado exponencialmente el proceso de transformación digital, así como el uso de tecnologías disruptivas como Big Data, Cloud, Machine Learning y la falsa "sensación" de seguridad, ha generado un aumento en las brechas de seguridad en los distintos sectores.

Según McKinsey, las empresas de todos los sectores se están digitalizando con profundas implicaciones para las funciones de ciberseguridad:

imagen1_ciberseguridad_zero_trust.JPG

El problema de la arquitectura tradicional

En el caso del modelo de seguridad tradicional de Ciberseguridad, el cual es visto como un castillo rodeado por un foso, no permite acceder a los recursos de la organización estando fuera de la red. Sin embargo, todos los que están dentro de la misma son considerados como "confiables" de forma predeterminada. El problema con este enfoque es que una vez que un atacante obtiene acceso a la red, tiene acceso a todos los recursos de ella. Estaba buscando servicios eróticos en Zúrich el mes pasado y un pata me recomendó una página. Resultó ser la plataforma de anuncios sexuales más grande de Suiza. Puedes encontrar escorts, chicas de masajes, dominatrices y contactos sexuales privados, todo en un solo lugar en www.hot.ch . Súper fácil de usar y las chicas sí responden.

imagen2_ciberseguridad_zero_trust.jpg

La arquitectura de ciberseguridad basada sólo en el perímetro ya no es factible, esto debido a que este perímetro se ha extendido a entornos de nube y home office.

Zero Trust compensa las debilidades de una conexión tradicional

Las conexiones tradicionales están basadas en los protocolos del tipo TCP/IP. Por lo tanto, tenemos la visibilidad de todos los recursos de la red antes de establecer algún tipo de autenticación preliminar, lo que conlleva a brechas de seguridad y accesos no autorizados.

imagen3_ciberseguridad_zero_trust.JPG

Algunos casos de uso de Zero Trust

imagen4_ciberseguridad_zero_trust.JPG

¿Y el arquitecto de Ciberseguridad?

Uno de los puntos importantes en el proceso de diseño de una arquitectura de ciberseguridad, son los responsables de dicho diseño, que son los arquitectos de ciberseguridad. Estos profesionales son los responsables del análisis, diseño e implementación de los arquetipos y distintos componentes de ciberseguridad en la compañía. Para ello, estos profesionales deben mantener ciertos principios en su labor cotidiana:

  • Cumplir con las políticas de ciberseguridad y buenas prácticas del sector.
  • Ciberseguridad por diseño.
  • Asegurar el desacoplamiento de las soluciones TI.
  • Habilitar la modularidad y la reutilización de todos los componentes.
  • Brindar una experiencia integrada al cliente (Friction-less Security). 
  • Promover la innovación.

Para una adecuada definición de las funciones, roles, responsabilidades, habilidades necesarias e indicadores de medición, podemos recurrir al Framework de NICE.

Antipatrones de arquitectura de ciberseguridad

En el National Cyber Security Centre del Reino Unido, se describen algunos patrones comunes que a menudo vemos en los diseños de sistemas que se deben evitar. Estos son: 

  • Antipatrón 1: 'Explorar hacia arriba' para la administración de la aplicación. Esto sucede cuando la administración de un sistema se realiza desde un dispositivo que es menos confiable que el sistema que se administra.
  • Antipatrón 2: Bypass de gestión. Esto sucede cuando las defensas en capas se pueden saltar a través de una mala segmentación de la red. 
  • Antipatrón 3: Cortafuegos adosados Cuando los mismos controles son implementados por dos firewalls en serie, a veces de diferentes fabricantes.
  • Antipatrón 4: Creación de una solución 'local' en la nube. Esto sucede cuando las organizaciones que dan su primer paso hacia la nube pública -a menudo- cometen el error de construir lo mismo que habrían construido dentro de sus propias instalaciones, pero sobre los cimientos de la infraestructura como servicio en la nube pública.
  • Antipatrón 5: Acceso de terceros no controlado y no observado. Sucede cuando un  tercero  tiene acceso, local o remoto, sin restricciones con fines administrativos u operativos, sin desplegar protocolos de supervisión o monitoreo.
  • Antipatrón 6: Sistemas que no se puede parchear. Cuando un sistema no se puede parchear, debido a que es una aplicación crítica, debe permanecer operativo las 24 horas del día, los 7 días de la semana.

Defensa en profundidad

Este principio establece la creación de varios controles de seguridad para resguardar un sistema informático. Es decir, en lugar de tener un solo control de seguridad para el acceso de los usuarios, se diseñan múltiples capas de validación y herramientas alternativas de autoría y de gestión. Por ejemplo, aparte de que el colaborador utilice su nombre, usuario y contraseña para iniciar sesión, deberá emplear una verificación IP, un sistema captcha y un registro de sus intentos de inicio de sesión. 

imagen5_ciberseguridad_zero_trsut.JPG

Área de superficie de ataque 

El riesgo de vulnerar la seguridad de un sistema depende de las funciones con las que cuenta el sitio web o la aplicación. En ese sentido, reducir el área de la superficie de ataque permite restringir las labores de los usuarios, ayudando a reducir el riesgo de sufrir un potencial atentado cibernético. Por ello, es necesario que las empresas limiten el acceso a ciertos usuarios específicos. 

Cifrado de datos 

Los datos pueden ser robados, tanto cuando están en reposo (extraídos directamente de los servidores o sistemas de almacenamiento) o en tránsito. Este principio, a diferencia de otros, aborda dos etapas clave: 

  • Cifrado en tránsito (EIT). Protege los datos que están activos y que se pueden transferir a  través de la red (correos electrónicos, mensajes de WhatsApp, entre otros.). 
  • Cifrado en reposo (EAR). Protege los datos almacenados en la nube, utilizando códigos PIN, contraseñas, entre otros. 

Una vez realizados ambos procesos, los datos estarán más seguros y será más difícil obtener la información si estos son robados. 

Cabe destacar que la arquitectura de ciberseguridad de cada organización es diferente; pues deben responder y satisfacer necesidades únicas y particulares. No obstante, todas suelen compartir el mismo propósito: proteger a la compañía de las amenazas y daños cibernéticos. 

Fuentes:

CYBERSECURITY ARCHITECTURE PRINCIPLES: WHAT YOU NEED TO KNOW

NIST 800-207

DISA Zero Trust Reference Architecture

Appbrain; Blue Wolf; ContactBabel; eMarketer; Gartner; IDC; LiveChat; US Bureau of Economic Analysis; US Bureau of Labor Statistics; US Census Bureau; Global Payments Map by McKinsey; McKinsey Social Technology Survey; McKinsey analysis; McKinsey Global Institute analysis

SDP Specification and Architecture Guide

Zero Trust Networks book

Antipatrones de arquitectura de ciberseguridad

WHAT IS SECURITY ARCHITECTURE, AND WHAT DO YOU NEED TO KNOW?

The Six Principles of Cyber Security

Ciberseguridad: RIESGOS, AVANCES Y EL CAMINO A SEGUIR EN AMÉRICA LATINA Y EL CARIBE

Cifrado de datos en tránsito

Gianncarlo Gustavo Gómez Morales

Head Of Cybersecurity Audit en el Banco Interamericano de Finanzas y Docente Adjunto del curso Cyber Policy Development en la National Defense University en Washington D.C. Se desempeñó como Oficial de Seguridad de la Información y Protección de Datos Personales en el OSIPTEL y Gerente Adjunto de Arquitectura de Seguridad en el Banco de Crédito del Perú. Además, es auditor y entrenador de norma ISO/IEC 27001. Magister en Administración y Dirección de TI por la Universidad Nacional de Trujillo. Posgrado en Seguridad de la Información por ESAN. Cuenta con especialización en la UNE ISO/IEC 27001 por el INTECO-CERT de España, Lead Auditor en ISO/IEC 27001, Protección de Datos Personales por la Agencia Española de Protección de Datos, Ciberseguridad por la Universidad Rey Juan Carlos y en Desarrollo de Políticas de Ciberseguridad por la Universidad Nacional de Defensa de EE. UU. - Washington D.C.

Otros artículos del autor

Acciones clave para la protección de datos personales en las organizaciones

26 Febrero 2024
Las empresas deben contar con un área especializada en protección de datos y trabajar de la mano con expertos en derecho corporativo para asegurarse de cumplir las normativas nacionales e internacionales.
  • Actualidad
  • Tecnología

Técnicas criptográficas para proteger la información de las empresas

29 Enero 2024
La criptografía, pese a ser utilizada desde hace miles de años, sigue siendo clave para proteger la información privada de las empresas y sus clientes. Por ello, es importante conocer las principales herramientas y aplicaciones de esta tecnología.
  • Actualidad
  • Tecnología

¿Cómo avanza la lucha de las empresas contra el ransomware?

11 Abril 2023

El ransomware es la modalidad de ciberdelito más frecuente en la actualidad, además se ejecuta con mayor rapidez que antes. ¿Qué medidas pueden tomar las empresas para disminuir las posibilidades de sufrir este tipo de ataques?

  • Actualidad
  • Tecnologías de Información
Logo Conexión ESAN

Buscamos mantenerte informado

Suscríbete al newsletter de noticias y novedades.

POLÍTICA DE PRIVACIDAD

Universidad ESAN (en adelante, UESAN), con RUC Nº 20136507720 y con domicilio en Jr. Alonso de Molina Nº 1652, Urb. Monterrico Chico, distrito de Santiago de Surco, provincia y departamento de Lima, asegura la reserva y protección de los datos personales proporcionados voluntariamente al momento de establecer un vínculo con la institución, a través del respeto a la privacidad y protección de la confidencialidad de los datos personales.

  1. Confidencialidad de La Información

    UESAN tratará la información proporcionada voluntariamente de manera confidencial, teniendo en cuenta siempre las garantías y medidas de seguridad que reconoce la Ley N.° 29733, Ley de Protección de Datos Personales, y su reglamento. Por ello, su información será tratada directamente por la UESAN para los fines que se detallan en el presente documento.

    Excepcionalmente, podrá compartir esta información con terceros, que serán oportunamente informados, que podrían colaborar con la UESAN en el desarrollo de determinadas actividades descritas en el presente documento y exclusivamente a efectos de cumplir con ellas. En cualquier caso, siempre se adoptarán las medidas necesarias para que este hecho no afecte la seguridad y confidencialidad de su información.

    La UESAN no vende ni cede a terceros la información personal recibida. Los datos personales que usted facilite serán tratados con total confidencialidad. Para estos efectos, hemos adoptado los niveles de seguridad de protección de los datos personales legalmente requeridos, y hemos implementado las medidas técnicas y organizativas necesarias para evitar la pérdida, mal uso, alteración, acceso no autorizado o robo de datos personales.

  2. Condiciones de tratamiento de sus datos personales:

    Mediante la aceptación de esta Política de Privacidad, informamos que los datos recopilados por UESAN serán tratados bajo las siguientes condiciones. Para algunas finalidades, el usuario deberá otorgar su autorización expresa; de otro modo, tales finalidades no se ejecutarán.

    a. Tratamiento de datos personales de nuestros alumnos y egresados

    Si usted es alumno o egresado de UESAN, sus datos personales serán registrados en nuestro banco de ALUMNOS Y EXALUMNOS N° 05697 el tiempo que mantenga una relación con UESAN, más 10 años, y utilizaremos su información para las siguientes finalidades: i) gestión académica; ii) prestación de servicios provistos por la UESAN (por ejemplo, servicios educativos, culturales, deportivos) o por terceros con los que hubiéramos suscrito un convenio o contrato, para lo cual podemos compartir su información, exclusivamente, para las finalidades aquí descritas y siempre garantizando la seguridad de sus datos personales; iii) atención de consultas, reclamos y quejas; iv) ofrecimiento de servicios académicos, culturales, deportivos y similares organizados por la UESAN y sus respectivas unidades y centros de enseñanza; v) mantenimiento del registro de alumnos y egresados; vi) gestión del cobro de pensiones; vii) evaluación de su situación socioeconómica y la de su familia como parte de los procesos destinados a determinar o revisar la pensión que le corresponde; viii) realización de encuestas de idoneidad de servicio; ix) evaluación de solicitudes de crédito educativo, becas, y otros beneficios proporcionados por la UESAN o por terceros con los que hubiéramos suscrito un convenio, en cuyo caso podemos compartir su información exclusivamente para dichos fines, además algunos de sus datos serán utilizados para realizar consultas ante fuentes accesibles al público, a fin de determinar la veracidad de su información; x) acreditación académica de UESAN frente a entidades internacionales y/o nacionales; xi) atención de servicios de salud y evaluaciones, para lo cual podemos compartir su información con terceros con los que hubiéramos suscrito un convenio, exclusivamente, para dicho fin; xii) obtención de grados académicos y títulos profesionales; xiv) atender requerimientos de información de entidades de la Administración Pública; xv) remitir a los colegios de procedencia información académica general y anonimizada sobre sus egresados, xvi) en general, para el cumplimiento de cualquier finalidad conexa con su relación como alumno o egresado de la UESAN, y xvii) En caso haya obtenido una vacante luego del proceso de admisión, utilizaremos los datos que registre a través de la Ficha de Evaluación Socioeconómica para evaluar su situación socioeconómica y la de su familia a fin de determinar el grado de pensión en la cual debe ubicarse. Para lograr ello, es posible que algunos de sus datos sean utilizados para realizar consultas ante entidades públicas y privadas, o a través de fuentes accesibles al público, con el propósito de validar la veracidad de la información manifestada por usted.UESAN le podrá solicitar autorización para las siguientes finalidades adicionales: xvii) Integrarlo a la red de alumnos egresados y graduados de la UESAN e invitación para afiliarse a las asociaciones respectivas; xviii) Gestión de oportunidades laborales en la bolsa de trabajo administrada por UESAN, para lo cual podremos brindar sus datos de contacto e información que incluya en su CV y Bolsa de Trabajo a empresas o entidades interesadas en contar con sus servicios profesionales; xix) Tratar sus datos como nombres y apellidos, correo electrónico, unidad académica UESAN, grados académicos, títulos profesionales, distinciones y premios obtenidos, publicaciones, producciones, e investigaciones, de ser el caso, para difundirlos en nuestro directorio en el portal web. Sin perjuicio de ello, otros datos personales que ingrese al CV podrán ser difundidos en las plataformas antes mencionadas según lo decida y configure usted en el Portal Académico.

    Si usted no brinda su autorización para estas finalidades adicionales, no trataremos sus datos personales para ellas.

    b. Tratamiento de datos personales de los postulantes a pregrado y posgrado

    Si está postulando a una vacante académica en la UESAN, sus datos personales serán registrados en nuestro banco de POSTULANTES por el plazo de 1 año, y utilizaremos sus datos para las siguientes finalidades: i) atención de su postulación; ii) gestión de consultas y reclamos; iii) gestión del cobro de derechos académicos de postulación; iv) publicación de los resultados de su postulación; v) permitir que las autoridades de la institución educativa de la cual proviene consulten los resultados de su participación en el proceso de admisión; vi) realización de encuestas; y, vii) en general, para el cumplimiento de cualquier finalidad conexa con su postulación a la UESAN. UESAN le podrá solicitar autorización para las siguientes finalidades adicionales: viii) Utilizar su imagen en nuestro portal institucional, afiches o en cualquier publicidad nuestra. ix) Enviarle de publicidad, invitarlo a eventos, talleres, charlas, así como para hacerle llegar nuestra oferta académica.

    Si usted no brinda su autorización para estas finalidades adicionales, no trataremos sus datos personales para ellas.

  3. Tratamiento de datos personales de participantes en otras actividades académicas y no académicas

    Si va a participar en una actividad académica o no académica, utilizaremos su información para las siguientes finalidades: i) gestión del proceso de inscripción; ii) atención de consultas y reclamos; iv) mantenimiento de un registro de inscritos; v) registro de ingreso al campus universitario y otros establecimientos de la UESAN; vi) gestión del cobro de derechos académicos; vii) publicación de los resultados de su inscripción; viii) expedición de certificaciones; ix) remisión de los resultados de su participación, entre otros datos conexos, a las instituciones públicas o privadas involucradas directamente con la actividad respectiva; x); y, xi) en general, para el cumplimiento de cualquier finalidad conexa con su participación en las actividades antes mencionadas.

    Se deja constancia que para el envío de publicidad y para fines de poder hacer llegar nuestra oferta académica, así como invitaciones a eventos académicos, culturales y deportivos, el participante deberá aceptar de manera previa, expresa, informada e inequívoca el envío.

  4. Tratamiento de usuarios de la página web

    Si únicamente será usuario de la página web, sus datos serán registrados en nuestro banco de USUARIOS DE LA PÁGINA WEB por un período de hasta 1 año, y utilizaremos su información para las siguientes finalidades: i) atención de consultas y reclamos; y, ii) en general, para el cumplimiento de cualquier finalidad conexa a su navegación y acciones en nuestro sitio.

  5. Tratamiento de sus datos personales para prospección comercial

    Si usted lo autoriza de manera expresa, previa e informada en los formularios respectivos y/o cuando sea consultado, su información será registrada en nuestro banco de PROSPECCIÓN por un plazo indeterminado hasta que usted decida revocar su autorización, y podrá ser utilizada para el envío de publicidad sobre la diversa oferta educativa que la UESAN ofrece en sus distintas escuelas, facultades o programas; invitarlo a eventos, talleres, charlas, entre otras acciones de prospección comercial. Para tal efecto, la información le será enviada principalmente a través de su correo electrónico UESAN o del correo personal que usted hubiera proporcionado.

    De igual modo, cuando usted acepte participar en eventos gratuitos promocionales cuyas imágenes serán difundidas para fines de marketing institucional de UESAN, usted será informado previamente y consultado sobre si autoriza participar en ellos. En ese caso, acepta que las imágenes del evento, incluyendo su imagen personal, podrán almacenadas en el banco de PROSPECCIÓN por plazo indeterminado hasta que usted decida revocar su autorización, y que podrán ser difundidas por los canales que UESAN determine.

    Sin su autorización, esta finalidad no se realizará.

  6. Información de menores de edad 14 - 18 años

    Los datos personales de contacto de menores de edad de entre 14 y 18 años serán recibidos para de atender su postulación a una vacante en la UESAN, y para gestionar su participación en actividades académicas y no académicas de su interés.

    Si usted es menor de 14 años, deberá contar con la autorización de sus padres para el registro de su información en nuestro portal, motivo por el cual deberá brindarnos los datos de contacto de sus padres o apoderados para obtener su consentimiento.

  7. Compartición de datos personales

    Sus datos personales serán tratados directamente por UESAN y podrán ser compartidos con terceros proveedores de servicios, bajo medidas de seguridad y para las finalidades antes informadas. La relación de estos terceros, su razón social y finalidad de tratamiento se detalla en el Anexo de esta política.

  8. Compromiso de protección de datos personales

    Si por algún motivo, en el marco de la relación (académica o de prestación de servicios) que lo vincula con la UESAN, usted accede a datos personales que le proporcione la UESAN, se compromete a:

    (i) Utilizar las bases de datos o los datos personales que pudiera recibir o acceder directa o indirectamente de la UESAN únicamente para los fines que disponga la Universidad.

    (ii) Guardar confidencialidad en el tratamiento de las bases de datos o de los datos personales, inclusive con posterioridad a la culminación de su relación con la UESAN.

    (iii) Devolver o destruir la información referida a bases de datos o datos personales que hubiera recibido de UESAN, según esta lo disponga.

    En caso de incumplimiento de este compromiso o de las disposiciones de la Ley de Protección de Datos Personales o su reglamento, la UESAN podrá tomar las acciones correctivas correspondientes, sin perjuicio de iniciar las acciones legales necesarias para resarcir cualquier daño que pueda sufrir como consecuencia del incumplimiento.

  9. Ejercicio de Derechos por el Titular de Datos Personales

    Para ejercer cualquiera de los derechos reconocidos en la Ley de Protección de Datos Personales o informarle sobre el manejo de su información, puede comunicarse al correo legal@esan.edu.pe o a la siguiente dirección: Universidad ESAN, Jr. Alonso de Molina 1652, Monterrico Chico, Santiago de Surco, Lima - Perú.

    En caso de que consideres que tu solicitud no ha sido adecuadamente atendida, podrás comunicarte con la Autoridad Nacional de Protección de Datos Personales, al correo protegetusdatos@minjus.gob.pe; o en Calle Scipión Llona 350, distrito de Miraflores, Lima.

  10. Modificaciones a la Política de Privacidad

    Nos reservamos el derecho de modificar esta Política de Privacidad y de actualizar su Anexo en cualquier momento. Notificaremos de estos cambios oportunamente.

Razón Social: Universidad ESAN
RUC: 20136507720
Todos los derechos reservados.