Principios de la seguridad informática: consejos para la mejora de la ciberseguridad

UNIR Revista

La ciberseguridad se ha convertido en una prioridad para aquellas empresas que pretenden salvaguardar la información con la que trabajan y cuya responsabilidad comienza asumiendo unos principios básicos.

La ciberseguridad, seguridad informática o seguridad de la información la podemos definir como el conjunto de políticas, procedimientos, medidas técnicas y organizativas para proteger la información. En UNIR analizamos los principios de la seguridad informática, así como los procedimientos necesarios para garantizar la misma. 

Proteger la información significa garantizar el cumplimiento de los cuatro principios fundamentales de la seguridad informática, es decir, asegurar la confidencialidad, la integridad, la disponibilidad y la autenticidad de la información. Para este propósito se deben implementar controles de seguridad y planes de respuesta que mitiguen los múltiples riesgos que afectan tanto a la información en tránsito como en almacenamiento.

Los 4 principios de la ciberseguridad

Confidencialidad de la información

También conocida como privacidad, hace referencia a que la información solo debe ser conocida por las personas que necesitan conocerla y que han sido autorizadas para ello. Este principio asegura que la información no va a ser divulgada de manera fortuita o intencionada.

Integridad de la información

Hace referencia a que la información que se encuentra almacenada en los dispositivos o la que se ha transmitido por cualquier canal de comunicación no ha sido manipulada por terceros de manera malintencionada. Esto garantiza que la información no será modificada por personas no autorizadas.

Disponibilidad de la información

Se refiere a que la información debe estar disponible siempre para las personas autorizadas para accederla y tratarla, y además puede recuperarse en caso de que ocurra un incidente de seguridad que cause su pérdida o corrupción. Es decir; permite que la información esté disponible cuando sea necesario.

Autenticidad

Garantiza la legitimidad de la información de la que dispone la organización o del autor de esta, es decir, que el autor del documento es el que aparece reflejado. El software debe ser capaz de comprobar que el usuario o la persona que firma un mensaje es quien dice ser, evitando así que un hacker consiga suplantar la identidad de otra persona.

Claves para la implementación de estos principios

Los principios de la seguridad informática son la base de la línea de defensa imprescindible para proteger los activos de cualquier empresa. Incorporar la ciberseguridad resulta hoy vital para cualquier organización que trabaje con sistemas informáticos, programas o redes; de otro modo sería imposible controlar y evitar los ataques online. Por esa razón es importante conocer estos cuatro principios y las claves para su implementación: 

• Poner el foco en la información y no solamente en la tecnología. En cuanto a ciberseguridad, las medidas que se pongan en marcha no deben limitarse a un único departamento, sino que deben proyectarse de manera que lleguen a toda la empresa, todas las áreas deben estar implicadas para garantizar su efectividad. 
• Comprobar la capacidad de respuesta. Además de diseñar un plan preventivo, la empresa debe contar con una estrategia de respuesta ante futuros ataques para minimizar así su impacto en el negocio.
• Mantener una actitud de alerta constante. No basta con establecer una serie de medidas preventivas o protocolos de actuación frente a un posible ciberataque, las amenazas de seguridad informática adoptan nuevas formas continuamente, por lo que las políticas de seguridad pueden quedarse obsoletas. Por eso es necesario fijar un sistema de evaluación periódico. 
• Compromiso del equipo de dirección. La gestión de los riesgos debe ser asumida como una prioridad por la dirección de la empresa que debe destinar los fondos y los medios necesarios para llevarla a cabo. 
• Diseñar un sistema de cifrado. Los ataques pueden llegar a través de terceros, por lo que lo aconsejable es recurrir al cifrado para proteger la información almacenada y en tránsito.  

¿Cómo incrementar la seguridad informática?

Algunas de las principales buenas prácticas que garantizan el cumplimiento de los tres principios fundamentales de la seguridad de la información son las que se comentan a continuación:

Política de mínimos privilegios

Las personas de una organización no deberían acceder a toda la información de esta, solo a aquella que sea de utilidad e importante para la ejecución de su trabajo. Aplicando efectivamente una política de gestión de privilegios de los usuarios, estamos minimizando los riesgos de fugas de información, manipulación no autorizada de la misma, etc. y minimizando la superficie de ataque de nuestra organización.

Política de control de acceso cerrado por defecto

Todos los accesos a la información y los sistemas que la tratan o almacenan deberían estar cerrados para todos los usuarios y se permitirá solo para aquellos que estén autorizados para acceder.

Segregación de funciones

Se debería definir e implementar una separación efectiva de las funciones y responsabilidades del personal de las organizaciones para evitar conflictos de intereses y minimizar los riesgos de seguridad de la información derivados de la acumulación de privilegios y conocimiento en las personas.

Defensa en profundidad

Ante la gran cantidad de riesgos para la seguridad de la información a la que están expuestas las organizaciones, derivadas de la utilización y dependencia de las TIC, cada vez la superficie de ataque de estas es mayor, por lo que sería necesario diseñar e implementar varios niveles de seguridad acorde a un análisis de riesgos riguroso de sus activos de TIC.

Formación en ciberseguridad

El eslabón más débil de la seguridad de la información de una compañía son las personas. La mayoría de los incidentes de seguridad que sufren las organizaciones están originados por personal interno de estas de manera no intencionada o fortuita y derivados de su desconocimiento de las mejores prácticas de ciberseguridad o de las políticas y procedimientos a tal efecto de la organización. Por eso, es fundamental definir e implementar planes formativos en seguridad informática para todo el personal de la compañía y acorde a sus funciones y responsabilidades.

Auditorías de seguridad informática

Es recomendable realizar controles de auditoría donde se verifique la efectividad y el cumplimiento de las políticas, procedimientos, medidas técnicas y organizativas de la seguridad de la información de la organización y que permitan detectar debilidades y/o vulnerabilidades que puedan ser explotadas por potenciales atacantes. Sobre la base de los resultados de las mismas, se deberían diseñar y poner en marcha planes de acción correctivos para solucionar los hallazgos detectados durante las mismas.

Como vemos, mantener unos principios de seguridad informática es básico para cualquier empresa u organismo por la importante cantidad de datos que pueden llegar a manejar. Cada entidad debe implementar sus controles y planes de seguridad (acordes a sus necesidades y características) para garantizar la integridad, confidencialidad y disponibilidad de la información. En este sentido, cada vez es más importante para las compañías contar con trabajadores formados en ciberseguridad, pues cada vez son mayores los riesgos en el ámbito digital.