Seccion 2 - Controles de Ciberseguridad

Tema 4 - Controles de Ciberseguridad

La Ciberseguridad es un entorno dinámico y cambiante por lo tanto requiere una vigilancia continua, actualización, pruebas, parches y que vaya cambiando a medida que la tecnología y negocio evolucionan. Estos controles son fundamentales para mantener la seguridad dentro de la infraestructura de TI de cualquier organización. Si no se abordan estos procesos, se convierten en una de las principales causas de las vulnerabilidades.

La administración de identidades

La Ciberseguridad se basa en el establecimiento y mantenimiento de perfiles de usuarios que definen los controles de autenticación, autorización y acceso para cada usuario. Hoy en día las organizaciones tienen una variedad de procesos Ad hoc (hace referencia a un conjunto de actividades sin un orden lógico establecido de ejecución, es decir el orden de ejecución de las actividades se establece durante la ejecución del proceso, de acuerdo a las condiciones actuales del negocio) y herramientas para gestionar la información de usuario y la identidad de disposición.

La gestión de identidad se centra en la racionalización de diversos procesos de negocio necesarios para gestionar todas las formas de identidades en una organización, desde la inscripción hasta la jubilación.

La capacidad de integrar procesos negocio y la tecnología es de importancia crítica en el modelo emergente porque vincula a las personas con sistemas y servicios. Un objetivo clave de la gestión de identidad es centralizar y estandarizar este proceso para que se convierta en un servicio consistente y común en toda la organización.

La gestión de identidad se compone de muchos componenetes que proporcionan una infraestructura colectiva y comun, que incluye:

• Servicios de directorio.
• Servicios de autenticación (validación de quien es el usuario).
• Servicios de autorización (para asegurar que el usuario tiene privilegios adecuados para acceder a los sistemas basados en un perfil personalizado).
• Capacidades de gestión del usuario ( estas pueden ser "aprovisionamiento de usuarios" y "des-aprovisionamiento")

Aprovisionamiento y des-aprovisionamiento

El aprovisionamiento de usuarios es la parte del proceso de contratación de la organización en donde se crean las cuentas de usuario. Las contraseñas y los derechos de control de acceso se asignan generalmente basados en las funciones de trabajo de los usuarios. Esto puede ser un proceso complicado, ya que los usuarios pueden necesitar acceso a muchos recursos diferentes, tales como los sistemas, bases de datos, correo electrónico, aplicaciones y servicios remotos, donde cada uno de los cuales tiene su propio control de acceso, contraseñas, claves de cifrado o autorización de otro tipo y los requisitos de autenticación. 

Ademas los derechos de control de acceso, cambian a menudo basada en la transferencia de los requisitos del trabajo, por lo que con frecuencia es necesario actualizar los controles de acceso y eliminar el acceso que ya no se necesita. Del mismo modo, cuando un usuario deja una organización, sus cuentas deben ser des-aprovisionadas, en el sentido de que todas las cuentas y accesos deben estar suspendido o eliminados de una manera oportuna.

Autorización

El proceso de autorización utilizado para el control de acceso requiere que el sistema sea capaz de identificar e identificar entre los usuarios. Las reglas de acceso (autorización) especifican quien puede acceder a que, por ejemplo, el control de acceso se basa por lo general en el mínimo de privilegios, es decir, otorgarle a los usuarios los accesos solo necesarios para que realicen sus tareas. El acceso debe estar documentado en una necesidad de conocer y en base la necesidad de tareas pendientes por tipo.

El acceso a la computadora se puede configurar para varios niveles, por ejemplo, archivos, tablas, elementos de datos, etc. Cuando los auditores de Sistemas de Información revisan la accesibilidad de la computadora, necesitan saber qué se puede hacer con el acceso y qué se restringe. Por ejemplo, las restricciones de acceso en el nivel de archivo generalmente incluyen lo siguiente:

• Leer, consultar o solo copiar
• Escribir, crear, actualizar o solo eliminar
• Solamente ejecutar
• Una combinación de lo anterior

Listas de control de acceso

Para proporcionar las autorizaciones de seguridad de los archivos y las instalaciones mencionadas anteriormente, los mecanismos lógicos de control de acceso utilizan las listas de control de acceso (ACL) o tablas de control de acceso. ACL se refiere a un registro de usuarios (incluidos los grupos, las maquinas y procesos) que tienen permiso para utilizar un recursos del sistema en particular.

Las ACL varian en su capacidad:

• Básicas: permiten especificaciones para ciertos grupos predefinidos (por ejemplo pueden ser el propietario, grupo y otros).
• Intermedias: permiten mas flexibilidad (por ejemplo para grupos definidos por el usuario) y ademas pueden negar explicitamente el acceso a un individuo en particular.
• Avanzadas: permiten acceso a discreción del formulador de políticas e implementado por el administrador de seguridad o un usuario individual.

Hay que tener en cuenta cuando a un usuario se le dan nuevos accesos, por lo general no se les quita los antiguos accesos hasta que se le dan los nuevo, porque puede causar una segregación de funciones.

Las listas de acceso

Filtran el trafico en las interfaces del router basada en criterios específicos, proporcionando asi seguridad en la red básica. Sin las listas de acceso los routers pasan todo el trafico, por el contrario, después de crear una lista de acceso solo pasa el trafico permitido por las reglas debido a un "denegar todo".

La comprensión de la colocación y el impacto de una lista de acceso es esencial, ya que los errores pueden detener el trafico de red en su totalidad.

Gestión de usuarios privilegiados

Trata de los permisos de acceso privilegiado a los usuarios autorizados a mantener y proteger los sistemas y redes. Los usuarios privilegiados por lo general pueden tener acceso a cualquier información almacenada dentro de un sistemas, por lo que es importante que la organización piense cuidadosamente acerca de los usuarios privilegiados y las cuentas, ademas de aplicar controles adicionales para ellos.

Estos controles adicionales, generalmente los controles mas comunes incluyen:

• Limitar el acceso privilegiado a solo aquellos que la necesiten para llevar a cabo sus funciones.
• Realizar verificaciones de antecedentes de los individuos con acceso elevado.
• La aplicación de registro adicional de la actividad asociada con cuentas privilegiadas ( esto hace referencia a un seguimiento de las actividades de que realizan las cuentas con accesos privilegiados).
• El mantenimiento de la rendición de cuentas por no compartir cuentas con privilegios.
• El uso de contraseñas fuertes u otros controles de autenticación para proteger las cuentas con privilegios de accesos no autorizados.
• Revisar periódicamente las cuentas de privilegios y eliminar los que ya no se requieren.

Gestión del cambio

La gestión del cambio es esencial para la infraestructura de TI. Su propósito es asegurar que los cambios en los procesos, sistemas, software, aplicaciones, plataformas y configuración se introduzcan de manera ordenada y controlada. Los controles se implementan en forma de un proceso de revisión estructurado destinado a evaluar y minimizar el potencial de interrupción que un cambio propuesto, actividad de mantenimiento o parche puedan introducir.

La gestión del cambio no es un proceso independiente, que se basa en una serie de otros procesos y controles. Por lo tanto, se requiere de un conocimiento exhaustivo de las operaciones y la infraestructura para implementar de manera efectiva.

Gestión de la configuración

El mantenimiento de las configuraciones de seguridad de los dispositivos de red, sistemas, aplicaciones y otros recursos es sumamente importante para garantizar los controles de seguridad están correctamente instalados y mantenidos. A medida que las organizaciones crecen y evolucionan, también lo hace el potencial de cambio y la disfunción. Con el fin de gestionar estos cambios y minimizar su potencial de interrumpir las operaciones, la eficiencia y los beneficios, es necesario desarrollar procesos formales. Estos procesos de gestión de la configuración pueden ser bastante complejos, ya que soportan muchas otras actividades dentro de la empresa.

La implementación de un proceso de gestión de la configuración tiene varios beneficios para la inclusión de la seguridad:

• Verificación del impacto sobre los artículos relacionados.
• Evaluación del riesgo de un cambio propuesto.
• Capacidad de inspeccionar diferentes líneas de defensa para las debilidades potenciales.
• Seguimiento de elementos de configuración en contra de las líneas de base de configuración segura aprobados.
• Miradas en torno a las investigaciones después de una violación o de las operaciones de seguridad de interrupción.
• El control de versiones y la autorización de producción de componentes de hardware y software.

La gestión de parches

Los parches son soluciones a errores de programación de software. En muchos casos, las vulnerabilidades de seguridad son introducidos por los errores de codificación. Por lo tanto, es vital que los errores de software que se identifican como las vulnerabilidades de seguridad pueden remendar tan pronto como sea posible. La mayoría de los proveedores de software lanzan actualizaciones periódicas de software y parches medida que se identifiquen y se fijaron las vulnerabilidades.

La no aplicación de parches para las vulnerabilidades de seguridad conocidas es la causa más común de las brechas de seguridad. Por lo tanto, parches son una parte importante de la gestión de vulnerabilidades, y las organizaciones deben establecer procesos para identificar parches que son relevantes para su infraestructura de TI. Una vez que se identifica un parche es necesario, se debe comprobar para asegurarse de que no repercuta negativamente en las operaciones. Después de que el parche ha sido verificado, puede ser programado y se instala en su caso.