Controles de seguridad

Los controles de seguridad o medidas de seguridad son salvaguardas o contramedidas para evitar, detectar, contrarrestar o minimizar los riesgos de seguridad para la propiedad física, la información, los sistemas informáticos u otros activos. ^{[ 1 ]} En el campo de la seguridad de la información , dichos controles protegen la confidencialidad, la integridad y la disponibilidad de la información .

Los sistemas de control pueden denominarse marcos o estándares. Los marcos permiten a una organización gestionar los controles de seguridad de forma coherente en diferentes tipos de activos.

Los controles de seguridad tienen como objetivo reducir la probabilidad o cualquier impacto de incidentes de seguridad y proteger la tríada CIA para los sistemas y los datos. Al mismo tiempo, esta protección ayuda a las organizaciones a cumplir con sus responsabilidades; una gestión de riesgos consistente para sistemas, activos, datos, redes e infraestructuras físicas. ^{[ 2 ]}

Los controles de seguridad se pueden clasificar según diversos criterios. Un enfoque consiste en clasificar los controles según cómo, cuándo y dónde actúan en relación con una brecha de seguridad, lo que a veces se denomina tipo de control :

• Los controles preventivos tienen como objetivo evitar que ocurra un incidente, por ejemplo, impidiendo el acceso a intrusos no autorizados; a veces se les conoce como cortafuegos o salas de servidores cerradas que restringen el acceso físico.
• Los controles de detección tienen como objetivo identificar, caracterizar y registrar un incidente, por ejemplo, aislar el comportamiento sospechoso de un actor malicioso en una red o utilizar herramientas de monitoreo de red para señalar la actividad sospechosa; ^{[ 3 ]}
• Los controles compensatorios mitigan los daños continuos de un incidente activo, por ejemplo, apagar un sistema al detectar malware.
• Tras el suceso, las medidas correctivas tienen como objetivo reparar los daños causados ​​por el incidente, por ejemplo, restableciendo la normalidad en el funcionamiento de la organización de la forma más eficiente posible.

Los controles de seguridad también pueden clasificarse según la implementación del control (a veces denominadas categorías de control ), por ejemplo:

• Controles físicos : incluye elementos tangibles como vallas, puertas, cerraduras, sistemas de videovigilancia y extintores de incendios;
• Controles procedimentales o administrativos , por ejemplo, procesos de respuesta a incidentes , supervisión de la dirección, concienciación y formación en materia de seguridad.
• Controles técnicos o lógicos , por ejemplo, autenticación de usuarios (inicio de sesión) y controles de acceso lógico , software antivirus , cortafuegos ;
• Controles legales, normativos o de cumplimiento : incluyen leyes , políticas, reglamentos y cláusulas de privacidad que ayudan a las organizaciones a gestionar y proteger (por ejemplo, HIPAA, GDPR).

Estas clasificaciones ayudan a las organizaciones a construir una estrategia de defensa multicapa bien diseñada, asegurando que dichas capas ayuden a controlar y prevenir las amenazas cuando se producen.

Los controles de seguridad incluyen tanto controles técnicos (como la gestión de accesos y los cortafuegos) como controles administrativos (incluidas políticas y procedimientos). ^{[ 4 ]}

Un proceso eficaz de pruebas y verificación de controles permite:

• Las medidas de seguridad identificadas protegen la confidencialidad, la integridad y la disponibilidad de los activos.

• Descripción detallada de la postura de seguridad del servicio.

• Contribución a cualquier plan de mitigación que pueda priorizarse para reducir los riesgos derivados de cualquier debilidad o fallo de los controles.

Pasos para la evaluación:

Implementación del control de seguridad de documentos : protección de la infraestructura, configuración de componentes, identificación y gestión de accesos, políticas de seguridad.

Supervisión y verificación de los controles de seguridad : Generalmente se realizan pruebas manuales o automatizadas, incluyendo pruebas de penetración, revisión de registros, escaneo de vulnerabilidades, encuestas y entrevistas con el personal, entre otras.

Informe de resultados de pruebas : Generación de informes, métricas y tendencias.

Los controles forman parte de la estrategia de tratamiento de riesgos, que se aplica tras la evaluación de riesgos, y su diseño, construcción, operación y modificación forman parte del ciclo de vida.

La política de TI de la universidad establece que “El uso de un conjunto de controles estandarizados permite que la seguridad de TI garantice que todas las áreas de la Universidad y del Centro Médico estén protegidas contra amenazas”. ^{[ 5 ]}

Controles en cuatro categorías básicas: Controles informáticos, Protección de datos, Protección de redes, Autenticación de usuarios.

Controles informáticos: Las organizaciones pueden implementar protección de correo electrónico, detección y respuesta de puntos finales, gestión centralizada de parches y pertenencia a dominios.

Protección de datos: Para proteger los datos, las organizaciones pueden implementar el cifrado completo del disco y la destrucción de medios.

Protección de la red: Proteger la red es importante para mantener la información a salvo de usuarios no deseados. Las organizaciones pueden utilizar la monitorización del flujo, el registro de la actividad de la red y del sistema, la protección de los límites de la red y la prohibición de eludir el cortafuegos para reducir los ataques.

Autenticación de usuario: Las organizaciones pueden utilizar la autenticación de dos factores, pueden obligar a los usuarios a cambiar su contraseña anualmente, tener solo administración de cuentas autorizada y una solución de contraseña de administrador local (LAPS).

Las normas de la serie ISO/IEC 27000 promueven buenas prácticas de seguridad y definen marcos o sistemas para estructurar el análisis y el diseño de la gestión de los controles de seguridad de la información. La versión más reciente, ISO/IEC 27001:2022, publicada en octubre de 2022, especifica 93 controles organizados; a continuación se describen algunas de las normas más conocidas.

En telecomunicaciones, los controles de seguridad se definen como servicios de seguridad como parte del modelo OSI ; estos documentos especifican mecanismos como la autenticación, el control de acceso y la confidencialidad de los datos para proteger cualquier comunicación de red:

• Recomendación ITU-T X.800.
• ISO ISO 7498-2

Estos están alineados técnicamente. ^{[ 9 ] [ 10 ]} Este modelo es ampliamente reconocido. ^{[ 11 ] [ 12 ]}

La intersección entre el riesgo de seguridad y las leyes que establecen estándares de diligencia debida es donde se define la responsabilidad por los datos. Están surgiendo algunas bases de datos para ayudar a los gestores de riesgos a investigar las leyes que definen la responsabilidad a nivel nacional, provincial/estatal y local. En estos conjuntos de controles, el cumplimiento de las leyes pertinentes constituye la verdadera mitigación de riesgos.

• Tabla de notificación de violaciones de seguridad de Perkins Coie: Un conjunto de artículos (uno por estado) que definen los requisitos de notificación de violaciones de datos entre los estados de EE. UU. ^{[ 13 ]}
• Leyes de notificación de violaciones de seguridad de NCSL: Una lista de estatutos estatales de EE. UU. que definen los requisitos de notificación de violaciones de datos. ^{[ 14 ]}
• ts jurisdiction: Una plataforma comercial de investigación en ciberseguridad que abarca más de 380 leyes estatales y federales de EE. UU. que afectan la ciberseguridad antes y después de una brecha. ts jurisdiction también se corresponde con el Marco de Ciberseguridad del NIST. ^{[ 15 ]}

Existe una amplia gama de marcos y estándares que analizan los controles internos de las empresas y los controles entre empresas, entre los que se incluyen:

• SSAE 16
• ISAE 3402
• Estándar de seguridad de datos de la industria de tarjetas de pago
• Ley de Portabilidad y Responsabilidad del Seguro Médico
• COBIT 4/5
• Los 20 principales de la CEI
• Marco de ciberseguridad del NIST

• NIST SP 800-53 Revisión 4
• Instrucción 8500.2 del Departamento de Defensa
• Términos de FISMApedia