seguridad de la información

La seguridad de la información es la práctica de proteger la información mitigando los riesgos relacionados con ella. Forma parte de la gestión de riesgos de la información. ^{[ 1 ]} Generalmente implica prevenir o reducir la probabilidad de acceso no autorizado o inapropiado a los datos , o el uso, divulgación , interrupción, eliminación, corrupción, modificación, inspección, registro o devaluación ilícitos de la información. También implica acciones destinadas a reducir los impactos adversos de tales incidentes. La información protegida puede adoptar cualquier forma, por ejemplo, electrónica o física, tangible (por ejemplo, documentación ) o intangible (por ejemplo, conocimiento ). ^{[ 2 ]} El enfoque principal de la seguridad de la información es la protección equilibrada de la confidencialidad , integridad y disponibilidad de los datos (conocida como la tríada CIA, sin relación con la organización gubernamental de EE. UU.) ^{[ 3 ]} manteniendo el enfoque en la implementación eficiente de políticas , pero sin obstaculizar la productividad de la organización . ^{[ 4 ]} Esto se logra en gran medida a través de un proceso estructurado de gestión de riesgos .

Para estandarizar esta disciplina, académicos y profesionales colaboran para ofrecer orientación, políticas y estándares de la industria sobre contraseñas , software antivirus , cortafuegos , software de cifrado , responsabilidad legal , concienciación y formación en seguridad, etc. ^{[ 5 ]} Esta estandarización puede verse impulsada además por una amplia variedad de leyes y reglamentos que afectan a la forma en que se accede a los datos, se procesan, se almacenan, se transfieren y se destruyen. ^{[ 6 ]}

Aunque las operaciones comerciales basadas en papel siguen siendo frecuentes y requieren sus propias prácticas de seguridad de la información, las iniciativas digitales empresariales están cobrando cada vez más importancia ^{[ 7 ],} y la garantía de la información está a cargo de especialistas en seguridad de las tecnologías de la información (TI). Estos especialistas aplican la seguridad de la información a la tecnología (generalmente algún tipo de sistema informático).

Las grandes empresas/instituciones contratan especialistas en seguridad informática para proteger la tecnología de la compañía de ataques maliciosos que buscan obtener información privada crítica o tomar el control de los sistemas internos. ^{[ 8 ] [ 9 ]}

Existen muchos roles especializados en seguridad de la información, entre los que se incluyen la protección de redes e infraestructuras relacionadas , la protección de aplicaciones y bases de datos , las pruebas de seguridad , la auditoría de sistemas de información , la planificación de la continuidad del negocio , el descubrimiento de registros electrónicos y la informática forense . ^{[ 10 ]}

Las normas de seguridad de la información son directrices que generalmente se describen en materiales publicados y que tienen como objetivo proteger el entorno cibernético de un usuario o una organización contra las amenazas. ^{[ 11 ]} Este entorno incluye a los propios usuarios, el hardware, como dispositivos y redes, el software, como aplicaciones o servicios, y cualquier información almacenada o en tránsito.

Estas normas comprenden conceptos, tecnologías y directrices de seguridad para hacer frente a un incidente adverso. También pueden incluir criterios de evaluación y certificación para organizaciones que implementan un nivel mínimo de seguridad. Estas normas son desarrolladas por diversos organismos internacionales y nacionales para prevenir o mitigar los ciberataques, garantizar la coherencia entre los desarrolladores y establecer un estándar mínimo en los sectores vulnerables a los ataques.

La familia ISO/IEC 27000 , publicada por la Organización Internacional de Normalización (ISO) y la Comisión Electrotécnica Internacional (IEC), proporciona información sobre las directrices y los requisitos para un Sistema de Gestión de la Seguridad de la Información (SGSI). ^{[ 12 ]} Los Criterios Comunes (ISO/IEC 15408) proporcionan directrices para evaluar y certificar la seguridad de un sistema. ^{[ 13 ]} La norma IEC 62443 establece estándares de seguridad para sistemas de automatización y control. De manera similar, las normas ISO/SAE 21434, ETSI EN 303 645 y EN 18031 proporcionan estándares para vehículos de carretera, el Internet de las Cosas y sistemas basados ​​en radio, respectivamente.

El Marco de Ciberseguridad del NIST (NIST CSF) es un conjunto de directrices desarrolladas por el Instituto Nacional de Estándares y Tecnología de EE. UU . para ayudar a las organizaciones con la gestión de riesgos. ^{[ 14 ]} El NIST también publica varios Estándares Federales de Procesamiento de Información (FIPS) y Publicaciones Especiales. El Reino Unido ha introducido Cyber ​​Essentials , un esquema de certificación para proteger a las organizaciones contra las amenazas de seguridad comunes. ^{[ 15 ]} El Centro Australiano de Ciberseguridad publica las ocho estrategias de mitigación esenciales. ^{[ 16 ]}

El Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) regula el manejo de datos de titulares de tarjetas para reducir el fraude con tarjetas de crédito. ^{[ 17 ]} UL ha publicado estándares relacionados con industrias específicas, como UL 2900-2-3 para sistemas de señalización de seguridad y protección de la vida y UL-2900-2-1 para sistemas de atención médica y bienestar.

Las amenazas a la seguridad de la información se presentan de muchas formas diferentes. ^{[ 18 ]} Algunas de las amenazas más comunes en la actualidad son los ataques de software, el robo de propiedad intelectual, el robo de identidad, el robo de equipos o información, el sabotaje y la extorsión de información. ^{[ 19 ]} Los virus , ^{[ 20 ]} los gusanos , los ataques de phishing y los troyanos son algunos ejemplos comunes de ataques de software. El robo de propiedad intelectual también ha sido un problema extenso para muchas empresas. El robo de identidad es el intento de actuar como otra persona, generalmente para obtener la información personal de esa persona o para aprovechar su acceso a información vital a través de la ingeniería social . ^{[ 21 ] [ 22 ]} El sabotaje generalmente consiste en la destrucción del sitio web de una organización en un intento de causar una pérdida de confianza por parte de sus clientes. ^{[ 23 ]} La extorsión de información consiste en el robo de la propiedad o información de una empresa como un intento de recibir un pago a cambio de devolver la información o propiedad a su propietario, como en el caso del ransomware . Una de las precauciones más eficaces contra estos ataques es realizar campañas periódicas de concienciación entre los usuarios.

Gobiernos , fuerzas armadas , corporaciones , instituciones financieras , hospitales , organizaciones sin fines de lucro y empresas privadas acumulan una gran cantidad de información confidencial sobre sus empleados, clientes, productos, investigaciones y situación financiera. Si la información confidencial sobre los clientes, las finanzas o la nueva línea de productos de una empresa cayera en manos de un competidor o un pirata informático , la empresa y sus clientes podrían sufrir pérdidas financieras generalizadas e irreparables, así como daños a la reputación de la compañía. ^{[ 24 ]} Desde una perspectiva empresarial, la seguridad de la información debe sopesarse con el costo; el modelo Gordon-Loeb proporciona un enfoque económico matemático para abordar esta preocupación. ^{[ 25 ]}

Para el individuo, la seguridad de la información tiene un efecto significativo en la privacidad , que se percibe de manera muy diferente en diversas culturas . ^{[ 26 ]}

Desde los primeros tiempos de la comunicación, los diplomáticos y los comandantes militares comprendieron que era necesario proporcionar algún mecanismo para proteger la confidencialidad de la correspondencia y contar con algún medio para detectar manipulaciones . ^{[ 27 ]} Se atribuye a Julio César la invención del cifrado César alrededor del año 50 a. C., creado para evitar que sus mensajes secretos fueran leídos si caían en manos equivocadas. ^{[ 28 ] [ 29 ]} Sin embargo, en la mayoría de los casos, la protección se lograba mediante la aplicación de controles de manejo procedimentales. ^{[ 30 ]} La información sensible se marcaba para indicar que debía ser protegida y transportada por personas de confianza, custodiada y almacenada en un entorno seguro o en una caja fuerte. A medida que se expandieron los servicios postales, los gobiernos crearon organizaciones oficiales para interceptar, descifrar, leer y volver a sellar las cartas (por ejemplo, la Oficina Secreta del Reino Unido, fundada en 1653 ^{[ 31 ]} ).

A mediados del siglo XIX se desarrollaron sistemas de clasificación más complejos para permitir a los gobiernos gestionar su información según el grado de sensibilidad. ^{[ 32 ]} Por ejemplo, el Gobierno británico codificó esto, en cierta medida, con la publicación de la Ley de Secretos Oficiales en 1889. ^{[ 33 ]} La Sección 1 de la ley se refería al espionaje y a las divulgaciones ilícitas de información, mientras que la Sección 2 trataba sobre las violaciones de la confianza oficial. Pronto se añadió una defensa de interés público para defender las divulgaciones en interés del Estado. ^{[ 34 ]} Una ley similar se aprobó en la India en 1889, la Ley de Secretos Oficiales de la India, que estaba asociada con la era colonial británica y se utilizó para reprimir a los periódicos que se oponían a las políticas del Raj. ^{[ 35 ]} Una versión más reciente se aprobó en 1923 que se extendió a todos los asuntos de información confidencial o secreta para la gobernanza. ^{[ 36 ]} Para la época de la Primera Guerra Mundial , se utilizaban sistemas de clasificación de múltiples niveles para comunicar información desde y hacia varios frentes, lo que fomentó un mayor uso de secciones de creación y descifrado de códigos en los cuarteles generales diplomáticos y militares. ^{[ 37 ]} La codificación se volvió más sofisticada entre las guerras a medida que se empleaban máquinas para cifrar y descifrar la información. ^{[ 38 ]}

El establecimiento de la seguridad informática inauguró la historia de la seguridad de la información. La necesidad de esta surgió durante la Segunda Guerra Mundial . ^{[ 39 ]} El volumen de información compartida por los países aliados durante la Segunda Guerra Mundial hizo necesaria la alineación formal de los sistemas de clasificación y los controles de procedimiento. Se desarrolló una serie arcana de marcas para indicar quién podía manejar los documentos (generalmente oficiales en lugar de soldados rasos) y dónde debían almacenarse a medida que se desarrollaban cajas fuertes e instalaciones de almacenamiento cada vez más complejas. ^{[ 40 ]} La máquina Enigma , empleada por los alemanes para cifrar los datos de la guerra y descifrada con éxito por Alan Turing , puede considerarse un ejemplo notable de creación y uso de información segura. ^{[ 41 ]} Se desarrollaron procedimientos para garantizar la destrucción adecuada de los documentos, y fue el incumplimiento de estos procedimientos lo que condujo a algunos de los mayores golpes de inteligencia de la guerra (por ejemplo, la captura del U-570 ^{[ 41 ]} ).

Durante la Guerra Fría, varias computadoras centrales se conectaron en línea para realizar tareas más complejas, en un proceso de comunicación más sencillo que el envío de cintas magnéticas por correo entre centros de computación. Por ello, la Agencia de Proyectos de Investigación Avanzada (ARPA), del Departamento de Defensa de los Estados Unidos , comenzó a investigar la viabilidad de un sistema de comunicación en red para el intercambio de información dentro de las Fuerzas Armadas de los Estados Unidos . En 1968, Larry Roberts formuló el proyecto ARPANET , que posteriormente evolucionaría hasta convertirse en lo que hoy conocemos como internet . ^{[ 42 ]}

En 1973, el pionero de internet Robert Metcalfe descubrió que importantes elementos de seguridad de ARPANET presentaban numerosas fallas, como la vulnerabilidad de la estructura y los formatos de las contraseñas, la falta de procedimientos de seguridad para las conexiones de acceso telefónico y la inexistencia de identificación y autorización de usuarios, además de la falta de controles y salvaguardas para proteger los datos del acceso no autorizado. Los hackers tenían fácil acceso a ARPANET, ya que los números de teléfono eran de dominio público. ^{[ 43 ]} Debido a estos problemas, junto con la constante violación de la seguridad informática y el aumento exponencial del número de hosts y usuarios del sistema, la "seguridad de la red" se denominaba a menudo "inseguridad de la red". ^{[ 43 ]}

A finales del siglo XX y principios del siglo XXI se produjeron rápidos avances en telecomunicaciones , hardware y software informático , y cifrado de datos . ^{[ 44 ]} La disponibilidad de equipos informáticos más pequeños, potentes y económicos puso el procesamiento electrónico de datos al alcance de las pequeñas empresas y los usuarios domésticos. ^{[ 45 ]} El establecimiento del Protocolo de Control de Transferencia/Protocolo de Interconexión de Redes (TCP/IP) a principios de la década de 1980 permitió la comunicación entre diferentes tipos de ordenadores. ^{[ 46 ]} Estos ordenadores se interconectaron rápidamente a través de Internet . ^{[ 47 ]}

El rápido crecimiento y el uso generalizado del procesamiento electrónico de datos y los negocios electrónicos realizados a través de internet, junto con numerosos casos de terrorismo internacional , impulsaron la necesidad de mejores métodos para proteger las computadoras y la información que almacenan, procesan y transmiten. ^{[ 48 ]} Surgieron las disciplinas académicas de seguridad informática y garantía de la información, junto con numerosas organizaciones profesionales, todas con el objetivo común de garantizar la seguridad y la confiabilidad de los sistemas de información . ^{[ 49 ]}

La «tríada CIA» de confidencialidad , integridad y disponibilidad es fundamental para la seguridad de la información. [ ^{50 ] El} concepto se introdujo en el Informe Anderson en 1972 y posteriormente se repitió en La protección de la información en los sistemas informáticos . La abreviatura fue acuñada por Steve Lipner alrededor de 1986. ^{[ 51 ]}

En seguridad de la información, la confidencialidad "es la propiedad de que la información no se ponga a disposición ni se divulgue a personas, entidades o procesos no autorizados". ^{[ 52 ]} Si bien es similar a "privacidad", ambas palabras no son intercambiables. Más bien, la confidencialidad es un componente de la privacidad que se implementa para proteger los datos de accesos no autorizados. ^{[ 53 ]} Ejemplos de vulneración de la confidencialidad de datos electrónicos incluyen el robo de computadoras portátiles, el robo de contraseñas o el envío de correos electrónicos confidenciales a personas equivocadas. ^{[ 54 ]}

En seguridad informática, la integridad de los datos significa mantener y garantizar la exactitud y la completitud de los datos. ^{[ 55 ]} Esto significa que los datos no pueden modificarse de forma no autorizada o sin ser detectados. ^{[ 56 ]} En términos más generales, la integridad es un principio de seguridad de la información que abarca la integridad humana/social, de procesos y comercial, así como la integridad de los datos. Como tal, toca aspectos como la credibilidad, la coherencia, la veracidad, la completitud, la exactitud, la puntualidad y la garantía. ^{[ 57 ]}

Para que cualquier sistema de información cumpla su propósito, la información debe estar disponible cuando se necesite. ^{[ 58 ]} Esto significa que los sistemas informáticos utilizados para almacenar y procesar la información, los controles de seguridad utilizados para protegerla y los canales de comunicación utilizados para acceder a ella deben funcionar correctamente. ^{[ 59 ]} Garantizar la disponibilidad también puede implicar prevenir ataques de denegación de servicio , como una avalancha de mensajes entrantes al sistema objetivo, lo que esencialmente obliga a su apagado. ^{[ 60 ]}

Además de la tríada clásica de objetivos de seguridad de la CIA, algunas organizaciones pueden querer incluir objetivos de seguridad como autenticidad, rendición de cuentas, no repudio y confiabilidad. Los méritos de la hexada de Parker son objeto de debate entre los profesionales de la seguridad. ^{[ 61 ]}

El riesgo es la probabilidad de que ocurra algo malo que cause daño a un activo de información (o la pérdida del activo). ^{[ 62 ]} Una vulnerabilidad es una debilidad que podría usarse para poner en peligro o dañar un activo de información. Una amenaza es cualquier cosa (creada por el hombre o un acto de la naturaleza ) que tenga el potencial de causar daño. ^{[ 63 ]} La probabilidad de que una amenaza use una vulnerabilidad para causar daño crea un riesgo. Cuando una amenaza usa una vulnerabilidad para infligir daño, tiene un impacto. ^{[ 64 ]} En el contexto de la seguridad de la información, el impacto es una pérdida de disponibilidad, integridad y confidencialidad, y posiblemente otras pérdidas (pérdida de ingresos, pérdida de vidas, pérdida de bienes inmuebles). ^{[ 65 ]}

El Manual de Revisión del Auditor Certificado de Sistemas de Información (CISA) de 2006 define la gestión de riesgos como "el proceso de identificar vulnerabilidades y amenazas a los recursos de información utilizados por una organización para lograr los objetivos comerciales, y decidir qué contramedidas ^{[ 66 ]} tomar , si las hay, para reducir el riesgo a un nivel aceptable, en función del valor del recurso de información para la organización". ^{[ 67 ]}

Hay dos aspectos de esta definición que podrían requerir aclaración. Primero, el proceso de gestión de riesgos es un proceso iterativo y continuo . Debe repetirse indefinidamente. El entorno empresarial cambia constantemente y surgen nuevas amenazas y vulnerabilidades a diario. ^{[ 68 ]} Segundo, la elección de las contramedidas ( controles ) utilizadas para gestionar los riesgos debe lograr un equilibrio entre la productividad, el costo, la efectividad de la contramedida y el valor del activo de información que se protege. ^{[ 69 ]} Además, estos procesos tienen limitaciones, ya que las brechas de seguridad suelen ser poco frecuentes y surgen en un contexto específico que no se puede replicar fácilmente. ^{[ 70 ]} Por lo tanto, cualquier proceso y contramedida debe evaluarse en cuanto a sus vulnerabilidades. ^{[ 71 ]} No es posible identificar todos los riesgos, ni eliminarlos por completo. El riesgo restante se denomina "riesgo residual". ^{[ 72 ]}

La evaluación de riesgos la lleva a cabo un equipo de personas con conocimientos en áreas específicas del negocio. ^{[ 73 ]} La composición del equipo puede variar con el tiempo a medida que se evalúan diferentes partes del negocio. ^{[ 74 ]} La evaluación puede utilizar un análisis cualitativo subjetivo basado en opiniones fundamentadas o, cuando se dispone de cifras monetarias fiables e información histórica, puede utilizar un análisis cuantitativo .

Las investigaciones han demostrado que el punto más vulnerable en la mayoría de los sistemas de información es el usuario humano, el operador, el diseñador u otro ser humano. ^{[ 75 ]} El Código de buenas prácticas ISO/IEC 27002:2005 para la gestión de la seguridad de la información recomienda que se examinen los siguientes aspectos durante una evaluación de riesgos:

• política de seguridad ,
• organización de seguridad de la información,
• gestión de activos ,
• seguridad de recursos humanos ,
• seguridad física y ambiental ,
• comunicaciones y gestión de operaciones,
• control de acceso ,
• adquisición, desarrollo y mantenimiento de sistemas de información,
• gestión de incidentes de seguridad de la información ,
• gestión de la continuidad del negocio
• cumplimiento normativo.

En términos generales, el proceso de gestión de riesgos consiste en: ^{[ 76 ] [ 77 ]}

1. Identificación de activos y estimación de su valor. Incluye: personas, edificios, hardware, software, datos (electrónicos, impresos, otros), suministros. ^{[ 78 ]}
2. Realizar una evaluación de amenazas . Incluir: actos de la naturaleza, actos de guerra, accidentes, actos maliciosos originados dentro o fuera de la organización. ^{[ 79 ]}
3. Realizar una evaluación de vulnerabilidades y, para cada vulnerabilidad, calcular la probabilidad de que sea explotada. Evaluar políticas, procedimientos, estándares, capacitación, seguridad física , control de calidad y seguridad técnica. ^{[ 80 ]}
4. Calcula el impacto que cada amenaza tendría sobre cada activo. Utiliza análisis cualitativos o cuantitativos.
5. Identificar, seleccionar e implementar controles apropiados. Proporcionar una respuesta proporcional. Considerar la productividad, la rentabilidad y el valor del activo. ^{[ 81 ]}
6. Evaluar la eficacia de las medidas de control. Asegurarse de que los controles proporcionen la protección necesaria de forma rentable y sin una pérdida perceptible de productividad. ^{[ 82 ]}

Ante cualquier riesgo, la dirección puede optar por aceptarlo en función del valor relativamente bajo del activo, la frecuencia relativamente baja de ocurrencia y el impacto relativamente bajo en el negocio. O bien, la dirección puede optar por mitigar el riesgo seleccionando e implementando medidas de control adecuadas para reducirlo. En algunos casos, el riesgo puede transferirse a otra empresa mediante la contratación de un seguro o la subcontratación. ^{[ 83 ]} La realidad de algunos riesgos puede ser cuestionada. En tales casos, la dirección puede optar por negar el riesgo. ^{[ 84 ]}

La defensa en profundidad es una filosofía de seguridad fundamental que se basa en sistemas de seguridad superpuestos diseñados para mantener la protección incluso si fallan componentes individuales. En lugar de depender de una sola medida de seguridad, combina múltiples capas de controles de seguridad tanto en la nube como en los puntos finales de la red. Este enfoque incluye combinaciones como firewalls con sistemas de detección de intrusiones, servicios de filtrado de correo electrónico con antivirus de escritorio y seguridad basada en la nube junto con las defensas de red tradicionales. ^{[ 90 ]} El concepto se puede implementar a través de tres capas distintas de controles administrativos, lógicos y físicos, ^{[ 91 ]} o visualizarse como un modelo de cebolla con los datos en el núcleo, rodeado por personas, seguridad de red, seguridad basada en el host y capas de seguridad de la aplicación. ^{[ 92 ]} La estrategia enfatiza que la seguridad implica no solo tecnología, sino también personas y procesos que trabajan juntos, siendo la monitorización y respuesta en tiempo real componentes cruciales. ^{[ 90 ]}

Un aspecto importante de la seguridad de la información y la gestión de riesgos es reconocer el valor de la información y definir los procedimientos y requisitos de protección adecuados para la misma. ^{[ 93 ]} No toda la información es igual y, por lo tanto, no toda la información requiere el mismo grado de protección. ^{[ 94 ]} Esto requiere que a la información se le asigne una clasificación de seguridad . ^{[ 95 ]} El primer paso en la clasificación de la información es identificar a un miembro de la alta dirección como propietario de la información específica que se va a clasificar. A continuación, se debe desarrollar una política de clasificación. ^{[ 96 ]} La política debe describir las diferentes etiquetas de clasificación, definir los criterios para que a la información se le asigne una etiqueta específica y enumerar los controles de seguridad requeridos para cada clasificación. ^{[ 97 ]}

Algunos factores que influyen en la clasificación de la información incluyen el valor que dicha información tiene para la organización, su antigüedad y si se ha vuelto obsoleta. ^{[ 98 ]} Las leyes y otros requisitos reglamentarios también son consideraciones importantes al clasificar la información. ^{[ 99 ]} La Asociación de Auditoría y Control de Sistemas de Información (ISACA) y su Modelo de Negocio para la Seguridad de la Información también sirven como herramienta para que los profesionales de la seguridad examinen la seguridad desde una perspectiva sistémica, creando un entorno donde la seguridad se puede gestionar de forma holística, lo que permite abordar los riesgos reales. ^{[ 100 ]}

El tipo de etiquetas de clasificación de seguridad de la información seleccionadas y utilizadas dependerá de la naturaleza de la organización, siendo algunos ejemplos: ^{[ 97 ]}

• En el sector empresarial, etiquetas como: Público, Sensible, Privado, Confidencial.
• En el sector gubernamental, etiquetas como: No clasificado, No oficial, Protegido, Confidencial, Secreto, Alto secreto y sus equivalentes en otros idiomas. ^{[ 101 ]}
• En formaciones intersectoriales, el Protocolo del Semáforo , que consta de: Blanco, Verde, Ámbar y Rojo.
• En el sector personal, una etiqueta como Financiero. Esto incluye actividades relacionadas con la gestión del dinero, como la banca en línea. ^{[ 102 ]}

Todos los empleados de la organización, así como los socios comerciales, deben recibir capacitación sobre el esquema de clasificación y comprender los controles de seguridad y los procedimientos de manejo requeridos para cada clasificación. La clasificación de un activo de información específico que se haya asignado debe revisarse periódicamente para garantizar que la clasificación siga siendo apropiada para la información y para asegurar que los controles de seguridad requeridos por la clasificación estén implementados y se sigan correctamente. ^{[ 103 ]}

El acceso a la información protegida debe restringirse a las personas autorizadas. ^{[ 104 ]} Los programas informáticos, y en muchos casos los ordenadores que procesan la información, también deben estar autorizados. Esto requiere la implementación de mecanismos para controlar el acceso a la información protegida. La sofisticación de los mecanismos de control de acceso debe ser proporcional al valor de la información que se protege; cuanto más sensible o valiosa sea la información, más robustos deberán ser los mecanismos de control. ^{[ 105 ]} La base sobre la que se construyen los mecanismos de control de acceso comienza con la identificación y la autenticación . ^{[ 106 ]}

El control de acceso generalmente se considera en tres pasos: identificación, autenticación y autorización . ^{[ 107 ] [ 54 ]}

La seguridad de la información utiliza la criptografía para transformar la información utilizable en un formato que la hace inutilizable para cualquier persona que no sea un usuario autorizado; este proceso se denomina cifrado . ^{[ 124 ]} La información que ha sido cifrada (haciéndola inutilizable) puede ser transformada de nuevo a su formato utilizable original por un usuario autorizado que posea la clave criptográfica , mediante el proceso de descifrado. La criptografía se utiliza en la seguridad de la información para proteger la información de la divulgación no autorizada o accidental mientras la información está en tránsito (ya sea electrónica o físicamente) y mientras está almacenada. ^{[ 54 ]}

La criptografía proporciona seguridad de la información con otras aplicaciones útiles, incluyendo métodos de autenticación mejorados, resúmenes de mensajes, firmas digitales, no repudio y comunicaciones de red cifradas. ^{[ 125 ]} Las aplicaciones más antiguas y menos seguras, como Telnet y el Protocolo de Transferencia de Archivos (FTP), están siendo reemplazadas gradualmente por aplicaciones más seguras, como Secure Shell (SSH), que utilizan comunicaciones de red cifradas. ^{[ 126 ]} Las comunicaciones inalámbricas pueden cifrarse utilizando protocolos como WPA/WPA2 o el más antiguo (y menos seguro) WEP . Las comunicaciones cableadas (como ITU-T G.hn ) están protegidas mediante AES para el cifrado y X.1035 para la autenticación y el intercambio de claves. ^{[ 127 ]} Las aplicaciones de software como GnuPG o PGP pueden utilizarse para cifrar archivos de datos y correo electrónico. ^{[ 128 ]}

La criptografía puede introducir problemas de seguridad cuando no se implementa correctamente. ^{[ 129 ]} Las soluciones criptográficas deben implementarse utilizando soluciones aceptadas por la industria que hayan sido sometidas a una revisión por pares rigurosa por expertos independientes en criptografía. ^{[ 130 ]} La longitud y la robustez de la clave de cifrado también son una consideración importante. ^{[ 131 ]} Una clave débil o demasiado corta producirá un cifrado débil . ^{[ 131 ]} Las claves utilizadas para el cifrado y el descifrado deben protegerse con el mismo grado de rigor que cualquier otra información confidencial. ^{[ 132 ]} Deben protegerse contra la divulgación y destrucción no autorizadas, y deben estar disponibles cuando se necesiten. Las soluciones de infraestructura de clave pública (PKI) abordan muchos de los problemas que rodean la gestión de claves . ^{[ 54 ]}

Las directrices federales de sentencia de EE. UU. ahora permiten responsabilizar a los directivos de las empresas por no ejercer el debido cuidado y la debida diligencia en la gestión de sus sistemas de información. ^{[ 133 ]}

En el campo de la seguridad de la información, Harris ^{[ 134 ]} ofrece las siguientes definiciones de cuidado debido y diligencia debida:

"El debido cuidado son las medidas que se toman para demostrar que una empresa ha asumido la responsabilidad de las actividades que se realizan dentro de la corporación y ha tomado las medidas necesarias para ayudar a proteger a la empresa, sus recursos y empleados." Y, [La debida diligencia son las] "actividades continuas que aseguran que los mecanismos de protección se mantengan y operen de forma continua." ^{[ 135 ]}

Se debe prestar atención a dos puntos importantes en estas definiciones. ^{[ 136 ]} Primero, en el debido cuidado, se toman medidas para demostrar; esto significa que las medidas pueden verificarse, medirse o incluso producir artefactos tangibles. ^{[ 137 ] [ 138 ]} Segundo, en la debida diligencia, hay actividades continuas; esto significa que las personas realmente están haciendo cosas para monitorear y mantener los mecanismos de protección, y estas actividades son continuas. ^{[ 139 ]}

Las organizaciones tienen la responsabilidad de practicar el deber de diligencia al aplicar la seguridad de la información. El Estándar de Análisis de Riesgos del Deber de Diligencia (DoCRA) ^{[ 140 ]} proporciona principios y prácticas para evaluar el riesgo. ^{[ 141 ]} Considera a todas las partes que podrían verse afectadas por esos riesgos. ^{[ 142 ]} DoCRA ayuda a evaluar si las salvaguardas son apropiadas para proteger a otros de daños, al tiempo que presentan una carga razonable. ^{[ 143 ]} Con el aumento de los litigios por violación de datos, las empresas deben equilibrar los controles de seguridad, el cumplimiento y su misión. ^{[ 144 ]}

La gestión de la continuidad del negocio ( BCM ) se refiere a las medidas destinadas a proteger las funciones empresariales críticas de una organización de interrupciones debidas a incidentes, o al menos a minimizar sus efectos. ^{[ 182 ]} La BCM es esencial para que cualquier organización mantenga la tecnología y el negocio alineados con las amenazas actuales a la continuidad de las operaciones habituales. ^{[ 183 ]} La BCM debe incluirse en el plan de análisis de riesgos de una organización para garantizar que todas las funciones empresariales necesarias cuenten con lo que necesitan para seguir funcionando en caso de cualquier tipo de amenaza a cualquiera de ellas. ^{[ 184 ]}

Incluye:

• Análisis de requisitos, por ejemplo, identificación de funciones empresariales críticas, dependencias y posibles puntos de fallo, posibles amenazas y, por lo tanto, incidentes o riesgos que preocupan a la organización; ^{[ 185 ]}
• Arquitectura y diseño, p. ej., una combinación apropiada de enfoques que incluyan resiliencia (p. ej. ingeniería de sistemas y procesos de TI para alta disponibilidad, ^{[ 186 ]} evitar o prevenir situaciones que puedan interrumpir el negocio), gestión de incidentes y emergencias (p. ej. evacuación de instalaciones, llamada a los servicios de emergencia, triaje/evaluación de la situación ^{[ 187 ]} e invocación de planes de recuperación), recuperación (p. ej. reconstrucción) y gestión de contingencias (capacidades genéricas para afrontar positivamente lo que ocurra utilizando los recursos disponibles); ^{[ 188 ]}
• Implementación, por ejemplo, configuración y programación de copias de seguridad, transferencias de datos, etc., duplicación y fortalecimiento de elementos críticos; contratación de proveedores de servicios y equipos;
• Pruebas, por ejemplo, ejercicios de continuidad del negocio de diversos tipos, costos y niveles de garantía; ^{[ 189 ]}
• Administración, por ejemplo, definir estrategias, establecer objetivos y metas; planificar y dirigir el trabajo; asignar fondos, personas y otros recursos; priorización en relación con otras actividades; formación de equipos, liderazgo, control, motivación y coordinación con otras funciones y actividades empresariales ^{[ 190 ]} (por ejemplo, TI, instalaciones, recursos humanos, gestión de riesgos, riesgo y seguridad de la información, operaciones); supervisar la situación, comprobar y actualizar los acuerdos cuando las cosas cambian; madurar el enfoque a través de la mejora continua, el aprendizaje y la inversión apropiada;
• Garantía, por ejemplo, mediante pruebas conforme a los requisitos especificados; medición, análisis e informe de parámetros clave; realización de pruebas, revisiones y auditorías adicionales para tener mayor confianza en que los planes se desarrollarán según lo previsto si se activan.

Mientras que la gestión de la continuidad del negocio (BCM) adopta un enfoque amplio para minimizar los riesgos relacionados con desastres, reduciendo tanto la probabilidad como la gravedad de los incidentes, un plan de recuperación ante desastres (DRP) se centra específicamente en reanudar las operaciones comerciales lo más rápido posible después de un desastre. ^{[ 191 ]} Un plan de recuperación ante desastres, que se activa poco después de que ocurra un desastre, establece los pasos necesarios para recuperar la infraestructura crítica de tecnologías de la información y la comunicación (TIC). ^{[ 192 ]} La planificación de la recuperación ante desastres incluye establecer un grupo de planificación, realizar una evaluación de riesgos, establecer prioridades, desarrollar estrategias de recuperación, preparar inventarios y documentación del plan, desarrollar criterios y procedimientos de verificación y, finalmente, implementar el plan. ^{[ 193 ]}

A continuación, se presenta una lista parcial de leyes y regulaciones gubernamentales en diversas partes del mundo que tienen, tuvieron o tendrán un impacto significativo en el procesamiento de datos y la seguridad de la información. También se incluyen regulaciones importantes del sector industrial cuando tienen un impacto significativo en la seguridad de la información.

• La Ley de Protección de Datos del Reino Unido de 1998 establece nuevas disposiciones para la regulación del tratamiento de la información relativa a las personas, incluyendo la obtención, el almacenamiento, el uso o la divulgación de dicha información. ^{[ 194 ] [ 195 ]} La Directiva de Protección de Datos de la Unión Europea (DPD de la UE) exige que todos los miembros de la UE adopten reglamentos nacionales para estandarizar la protección de la privacidad de los datos de los ciudadanos en toda la UE. ^{[ 196 ] [ 197 ]}
• La Ley de Uso Indebido de Computadoras de 1990 es una ley del Parlamento del Reino Unido que convierte el delito informático (por ejemplo, el pirateo informático) en un delito penal. ^{[ 198 ]} Esta ley se ha convertido en un modelo del que varios otros países, incluidos Canadá e Irlanda , se han inspirado al redactar posteriormente sus propias leyes de seguridad de la información. ^{[ 199 ]}
• La Directiva de retención de datos de la UE (anulada) exigía a los proveedores de servicios de internet y a las compañías telefónicas que conservaran los datos de cada mensaje electrónico enviado y llamada telefónica realizada durante un periodo de entre seis meses y dos años. ^{[ 200 ]}
• La Ley de Derechos Educativos y Privacidad Familiar (FERPA) ( 20  U.S.C. § 1232 g; 34 CFR Parte 99) es una ley federal de los Estados Unidos que protege la privacidad de los expedientes académicos de los estudiantes. ^{[ 201 ]} La ley se aplica a todas las escuelas que reciben fondos bajo un programa aplicable del Departamento de Educación de los Estados Unidos . ^{[ 202 ]} Generalmente, las escuelas deben tener el permiso por escrito del padre o tutor legal o del estudiante elegible ^{[ 202 ] [ 203 ]} para divulgar cualquier información del expediente académico de un estudiante. ^{[ 204 ]}  
• Las directrices de seguridad del Consejo Federal de Examen de Instituciones Financieras (FFIEC) para auditores especifican los requisitos de seguridad para la banca en línea. ^{[ 205 ]}
• La Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) de 1996 exige la adopción de estándares nacionales para las transacciones electrónicas de atención médica e identificadores nacionales para proveedores, planes de seguro médico y empleadores. ^{[ 206 ]} Además, exige que los proveedores de atención médica, las aseguradoras y los empleadores salvaguarden la seguridad y la privacidad de los datos de salud. ^{[ 207 ]}
• La Ley Gramm-Leach-Bliley de 1999 (GLBA), también conocida como la Ley de Modernización de los Servicios Financieros de 1999, protege la privacidad y la seguridad de la información financiera privada que las instituciones financieras recopilan, conservan y procesan. ^{[ 208 ]}
• La Sección 404 de la Ley Sarbanes-Oxley de 2002 (SOX) exige a las empresas que cotizan en bolsa que evalúen la eficacia de sus controles internos para la información financiera en los informes anuales que presentan al final de cada ejercicio fiscal. ^{[ 209 ]} Los directores de información son responsables de la seguridad, la exactitud y la fiabilidad de los sistemas que gestionan y reportan los datos financieros. La ley también exige a las empresas que cotizan en bolsa que contraten auditores independientes que deben certificar e informar sobre la validez de sus evaluaciones. ^{[ 210 ]}
• El Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) establece requisitos integrales para mejorar la seguridad de los datos de las cuentas de pago. ^{[ 211 ]} Fue desarrollado por las marcas de pago fundadoras del Consejo de Estándares de Seguridad PCI —incluidas American Express , Discover Financial Services , JCB, MasterCard Worldwide y Visa International— para facilitar la adopción generalizada de medidas de seguridad de datos consistentes a nivel mundial. El PCI DSS es un estándar de seguridad multifacético que incluye requisitos para la gestión de la seguridad, políticas, procedimientos, arquitectura de red , diseño de software y otras medidas de protección críticas. ^{[ 212 ]}
• Las leyes estatales de notificación de violaciones de seguridad (California y muchas otras) exigen que las empresas, las organizaciones sin fines de lucro y las instituciones estatales notifiquen a los consumidores cuando la "información personal" no cifrada pueda haber sido comprometida, perdida o robada. ^{[ 213 ]}
• La Ley de Protección de la Información Personal y Documentos Electrónicos ( PIPEDA ) de Canadá apoya y promueve el comercio electrónico al proteger la información personal que se recopila, utiliza o divulga en determinadas circunstancias, ^{[ 214 ]} al permitir el uso de medios electrónicos para comunicar o registrar información o transacciones y al modificar la Ley de Pruebas de Canadá , la Ley de Instrumentos Estatutarios y la Ley de Revisión de Estatutos. ^{[ 215 ] [ 216 ]}
• La Autoridad Helénica para la Seguridad y la Privacidad de las Comunicaciones (ADAE) de Grecia (Ley 165/2011) establece y describe los controles mínimos de seguridad de la información que deben implementar todas las empresas que prestan servicios y/o redes de comunicaciones electrónicas en Grecia para proteger la confidencialidad de sus clientes. ^{[ 217 ]} Estos incluyen controles tanto administrativos como técnicos (por ejemplo, los registros de actividad deben conservarse durante dos años). ^{[ 218 ]}
• La Autoridad Helénica para la Seguridad y la Privacidad de las Comunicaciones (ADAE) de Grecia (Ley 205/2013) se centra en la protección de la integridad y la disponibilidad de los servicios y datos ofrecidos por las empresas de telecomunicaciones griegas. La ley obliga a estas y otras empresas relacionadas a elaborar, implementar y probar planes de continuidad del negocio adecuados e infraestructuras redundantes. ^{[ 219 ]}

El Departamento de Defensa de los Estados Unidos (DoD) emitió la Directiva 8570 en 2004, complementada por la Directiva 8140, que exige a todos los empleados y contratistas del DoD involucrados en funciones y actividades de seguridad de la información obtener y mantener diversas certificaciones de Tecnologías de la Información (TI) de la industria, con el fin de garantizar que todo el personal del DoD involucrado en la defensa de la infraestructura de red tenga niveles mínimos de conocimientos, habilidades y capacidades (CHA) reconocidos por la industria de TI. Andersson y Reimers (2019) informan que estas certificaciones van desde A+ y Security+ de CompTIA hasta CISSP de ICS2.org, etc. ^{[ 220 ]}

La cultura de seguridad de la información describe más que simplemente el grado de concienciación de los empleados sobre la seguridad; se refiere a las ideas, costumbres y comportamientos sociales de una organización que impactan la seguridad de la información tanto de forma positiva como negativa. ^{[ 221 ]} Los conceptos culturales pueden ayudar a diferentes segmentos de la organización a trabajar de manera efectiva o a obstaculizar la efectividad en materia de seguridad de la información dentro de la organización. La forma en que los empleados piensan y sienten acerca de la seguridad y las acciones que emprenden pueden tener un gran impacto en la seguridad de la información en las organizaciones. Roer y Petric (2017) identifican siete dimensiones centrales de la cultura de seguridad de la información en las organizaciones: ^{[ 222 ]}

• Actitudes: sentimientos y emociones de los empleados respecto a las diversas actividades relacionadas con la seguridad de la información en la organización.
• Comportamientos: actividades reales o intencionadas y acciones que implican riesgos por parte de los empleados que tienen un impacto directo o indirecto en la seguridad de la información.
• Cognición: Conciencia, conocimiento verificable y creencias de los empleados con respecto a las prácticas, actividades y la autoeficacia relacionadas con la seguridad de la información.
• Comunicación: formas en que los empleados se comunican entre sí, sentido de pertenencia, apoyo en materia de seguridad e informes de incidentes.
• Cumplimiento: adhesión a las políticas de seguridad de la organización, conocimiento de la existencia de dichas políticas y capacidad para recordar el contenido de las mismas.
• Normas: percepciones sobre la conducta y las prácticas organizativas relacionadas con la seguridad que los empleados y sus compañeros consideran informalmente normales o desviadas, por ejemplo, expectativas implícitas sobre comportamientos de seguridad y normas no escritas sobre el uso de las tecnologías de la información y la comunicación.
• Responsabilidades: la comprensión por parte de los empleados de las funciones y responsabilidades que les corresponden es un factor crítico para mantener o poner en peligro la seguridad de la información y, por ende, de la organización.

Andersson y Reimers (2014) descubrieron que los empleados a menudo no se ven a sí mismos como parte del "esfuerzo" de seguridad de la información de la organización y con frecuencia toman medidas que ignoran los mejores intereses de la organización en materia de seguridad de la información. ^{[ 223 ]} La investigación muestra que la cultura de seguridad de la información necesita mejorarse continuamente. En Information Security Culture from Analysis to Change , los autores comentaron: "Es un proceso interminable, un ciclo de evaluación y cambio o mantenimiento". Para gestionar la cultura de seguridad de la información, se deben tomar cinco pasos: preevaluación, planificación estratégica, planificación operativa, implementación y postevaluación. ^{[ 224 ]}

• Pre-evaluación: identificar el nivel de conocimiento sobre seguridad de la información entre los empleados y analizar la política de seguridad actual.
• Planificación estratégica: para crear un programa de concienciación más eficaz, necesitamos establecer objetivos claros. Agrupar a las personas es útil para lograrlo.
• Planificación operativa: crear una buena cultura de seguridad basada en la comunicación interna, el compromiso de la dirección, la concienciación sobre seguridad y los programas de formación.
• Implementación: debe incluir el compromiso de la dirección, la comunicación con los miembros de la organización, cursos para todos los miembros de la organización y el compromiso de los empleados ^{[ 224 ].}
• Evaluación posterior: para medir mejor la eficacia de los pasos anteriores y seguir mejorando continuamente.