ISO 27001

Para implementar un Sistema de Gestión de Seguridad de la Información, la norma ISO 27001 genera los condicionantes para su implementación en cualquier entidad que se preocupe por tener toda su información bien protegida.

Control de acceso a la red

Hoy en día, las organizaciones cuentan con infraestructuras de defensa que cuidan y protegen a dichas empresas de las amenazas externas. Este enfoque de seguridad basado en lo que se denomina “defensa del perímetro” está evolucionando y cambiando. Actualmente, las entidades deben asegurar profundamente todas las áreas de la misma a través del control tanto interno como externo de los accesos a la información que poseen.

El denominado control de acceso a la red (NAC- Network Access Control) ha surgido como una respuesta a los problemas vinculados con la seguridad de la información de nuestra red interna, gracias a la norma ISO 27001. En esta misma línea, la red interna ha dejado de ser un entorno en el que se pueda confiar ya que el acceso y disponibilidad se han convertido en una acción preferente más que la seguridad.

Esta tecnología se basa en saber “quién”, “cómo”, “cuándo”, “dónde” y “a qué” conecta efectuándose un control de acceso mediante la identidad del cliente que quiere entrar a la red y al estado de cumplimiento de la política de seguridad.

Las organizaciones ofrecen una serie de características en las redes internas que son un gran riesgo para la gestión de la Seguridad de la Información incluida en la normativa ISO 27001:

• Acceso estático a redes. Puntos de accesos LAN no autorizados.
• Todos los dispositivos están aprobados.
• Dispositivos móviles accediendo a diferentes organizaciones y entornos.
• Escasez de control de dispositivos que no cumplen las políticas de seguridad.
• Acceso de colaboradores externos a nuestra red.

Las soluciones buscadas para controlar el acceso a la red nos van a ayudar a inspeccionar y validar los accesos que se producen dentro de las redes internas de nuestra organización, ofreciendo una serie de funciones que nos van a ayudar a reducir los riesgos y a definir una política de acceso a la red interna.

Las principales utilidades que nos ofrecen son:

• Las políticas de acceso proporcionan mayor control de la organización reduciendo el riesgo y el número de amenazas que afectan a la seguridad LAN.
• Un entorno seguro de acceso a redes de una forma fácil y dinámica.
• Admitir la integración con las infraestructuras existentes.
• Controlar al cliente que accede mediante verificación antes de obtener acceso a la red interna.
• Análisis de forma continuada del cliente. Los dispositivos infectados o que no cumplen la política de seguridad son tratados de manera separada al resto.
• La verificación automática puede responder rápidamente ante incidentes a gran escala.
• Los sistemas que buscan una solución de forma automática tienen un impacto positivo en entidades con grandes despliegues, reduciendo la inversión en recursos (automatización).

Centralización y correlación de eventos de seguridad

Para conocer el estado del Sistema de Gestión de Seguridad de la Información basado en la norma ISO-27001, en el que se encuentra nuestra entidad es importante tener presentes las tecnologías de centralización y correlación de eventos de seguridad (SIM- Security Information Management).

Esta tecnología va a proporcionar a la empresa toda la información para conocer el estado de nuestros Sistemas de Seguridad de la Información, las posibles amenazas que está sufriendo la organización y el registro de las mismas, proporcionando un mayor nivel de análisis y conocimiento de los riesgos y amenazas a las que se está expuesto.

Igualmente, las tecnologías de centralización y correlación de eventos de seguridad nos van a dar la posibilidad de gestionar y analizar todos los datos que recibimos de nuestros sistemas y de los elementos que forman parte de la línea de defensa en profundidad de nuestra organización, para transformarlos en conocimientos útiles para los responsables de gestionar la seguridad en la empresa.

Estos sistemas, mencionados anteriormente, se han convertido en un factor esencial de la gestión de los Sistemas de Seguridad de la Información en las organizaciones.

Accesos móviles

Las nuevas tecnologías y la movilidad de los usuarios en la red han provocado que la seguridad perimetral que estaba claramente definida en nuestra organización haya desaparecido. Es importante proteger los accesos remotos que forman parte de  nuestra red interna.

Los espacios de movilidad en la red se han aumentado y han supuesto el incremento de las amenazas a las que están expuestas las organizaciones. Las empresas disponen de infraestructuras de acceso móviles como las que se especifican a continuación:

• Accesos de dispositivos móviles que conectan en otros entornos no controlados (portátiles, PDAs, smartphones, etc.)
• Redes wireless.
• Accesos remotos (redes privadas virtuales, accesos telefónicos remotos, accesos GPRS/UMTS).

Estas infraestructuras de acceso móvil requieren de una gestión y control con herramientas apropiadas que nos permitan reducir el riesgo al que está expuesta nuestra organización.

Algunas de las soluciones tecnológicas que nos van permitir ofrecer unos niveles de seguridad aceptables en los accesos móviles son:

• Autenticación fuerte en los accesos.
• Protección de los elementos wireless.
• Políticas de acceso (Control de acceso a redes).
• Protección de los canales de comunicación.

La seguridad de los canales de comunicación se realizará mediante redes privadas virtuales (VPN) que controlarán aquellos entornos o espacios no vigilados por la entidad y ofreciendo validación de los dispositivos que conectan a nuestras redes.

Un punto importante es la seguridad en las redes Wireless. Debemos disponer de infraestructuras configuradas de una manera segura por un equipo de trabajadores con altos conocimientos en la tecnología y la seguridad de este tipo de mecanismos, implantando infraestructuras con tecnologías WPA y WPA2, claves y certificados que permitan minimizar el riesgo que suponen estas redes dentro de nuestra organización.

El numeroso volumen de dispositivos móviles (PDA, smartphones, etc.) son un elemento clave en la seguridad de nuestras organizaciones. Estas herramientas son usadas en entornos que no están controlados por nuestra organización y pueden fácilmente perderse o robarse. Por esta razón, deben manipularse con medidas especiales en el ámbito de la seguridad para reducir los riesgos que puedan suponer o exponer para la entidad.

Protección de la información

La protección de la información se ha convertido en una necesidad dentro de las organizaciones. Los accesos a la información y el aumento de las nuevas tecnologías que nos ayudan a almacenar y disponer de esta información fuera del entorno controlado por la empresa, son un riesgo destacable que debe ser vigilado por los encargados y responsables de la seguridad en las empresas.

Las tecnologías de protección de la información nos van a ayudar a controlar los riesgos de acceso no autorizados a ésta. Estas tecnologías de protección engloban desde el cifrado de los discos duros de los equipos (PC de sobremesa, portátiles, móviles…), los dispositivos de almacenamiento removibles (USB, tarjetas de memoria, discos externos) e incluso los repositorios o carpetas donde se almacena la información.

Esta protección se lleva a cabo con claves a través de fuertes algoritmos de protección. Estas claves deben estar vigiladas en los ambientes corporativos dadas las dificultades que presentan esta información que se está protegiendo y la necesidad de recuperar en el caso de que se presente un importante riesgo.

La información siempre navega cifrada aun cambiando de medio de almacenamiento.