Diseño para la seguridad

Su organización de asistencia sanitaria almacena datos personales de clientes, potencialmente confidenciales. Un incidente de seguridad podría exponer estos datos confidenciales y, consecuentemente, causar daños económicos o de reputación. ¿Cómo se garantiza la integridad de los datos y se protegen los sistemas?

Aquí hablaremos sobre cómo enfocar la seguridad de una arquitectura.

¿Qué debe protegerse?

Los datos que la organización almacena o manipula son el mayor bien que hay que proteger. Estos datos podrían contener información confidencial sobre los clientes, información financiera sobre la organización o datos empresariales críticos para la organización. Además de proteger los datos, es igualmente crítico proteger la infraestructura en la que residen y las identidades que se usan para acceder a ellos.

Los datos pueden estar sujetos a requisitos legales y normativos adicionales según dónde se encuentre, el tipo de datos que almacene o el sector en el que se use la aplicación. Por ejemplo, en el sector sanitario en Estados Unidos, hay una ley llamada Health Insurance Portability and Accountability Act (HIPAA). En el sector financiero, el Payment Card Industry Data Security Standard está relacionado con la manipulación de datos de la tarjeta de crédito. Las organizaciones que almacenan datos que entran en el ámbito de estas leyes deben contar con determinadas medidas de seguridad para proteger dichos datos. En Europa, el Reglamento General de Protección de Datos (RGPD) establece las normas de protección de los datos personales y define los derechos individuales relacionados con los datos almacenados. Algunos países requieren que determinados tipos de datos no salgan de sus fronteras.

Cuando se produce una brecha de seguridad, la repercusión para la economía y la reputación tanto de las organizaciones como de los clientes puede ser considerable. Esto mina la confianza de los clientes con respecto a su organización y puede afectar a su estado a largo plazo.

Defensa en profundidad

El uso de un enfoque multicapa para proteger el entorno aumentará su seguridad. Normalmente se conoce como defensa en profundidad y las capas se desglosan como sigue:

  • Datos
  • Aplicaciones
  • Máquina virtual/proceso
  • Redes
  • Perímetro
  • Directivas y acceso
  • Seguridad física

Cada capa se centra en las distintas áreas donde pueden ocurrir ataques y se crea una protección profunda en caso de que se produzca un error en una capa o de que un atacante la traspase. Si tuviéramos que centrarnos solo en una capa, un atacante tendría libre acceso al entorno en cuanto atravesara esta capa. Abordar la seguridad por capas aumenta el trabajo que un atacante debe hacer para obtener acceso a los sistemas y los datos. En cada capa se aplicarán diferentes controles de seguridad, tecnologías y funcionalidades. A la hora de identificar las medidas de protección que se implantarán, los costos suelen ser motivo de preocupación y es necesario equilibrarlos con los requisitos empresariales y el riesgo total para la empresa.

Una ilustración que muestra la defensa en profundidad con los datos en el centro. Los anillos de seguridad alrededor de los datos son: aplicación, proceso, red, perímetro, identidad y acceso, y seguridad física.

No existe un solo sistema de seguridad, control o tecnología que pueda proteger completamente su arquitectura. La seguridad es algo más que tecnología, incluye también las personas y los procesos. La creación de un entorno que contemple la seguridad con un enfoque holístico y que la convierta en un requisito predeterminado ayudará a proteger su organización al máximo.

Ataques comunes

En cada capa hay algunos ataques comunes de los que deseará protegerse. Esta lista no es integral, pero puede darle una idea del tipo de ataque que puede recibir cada capa y qué tipos de medidas de protección debería tener en cuenta.

  • Capa de datos: La exposición de una clave de cifrado o el empleo de un cifrado sencillo pueden hacer que los datos sean vulnerables en caso de acceso no autorizado.
  • Capa de aplicación: La ejecución y la inserción de código malintencionado son las marcas distintivas de los ataques de capa de aplicación. Algunos ataques comunes son los de inyección de código SQL y de scripts de sitios (XSS).
  • Capa de máquina virtual o proceso: El malware es un método habitual para atacar un entorno e implica ejecutar código malintencionado para poner en peligro un sistema. Una vez que el malware está presente en un sistema, pueden producirse otros ataques para exponer las credenciales y desplazamientos laterales por todo el entorno.
  • Capa de red: Los puertos abiertos a Internet innecesariamente son una vía común de ataque. Por ejemplo, dejar conexiones SSH o RDP abiertas a máquinas virtuales. Cuando están abiertas, los atacantes intentan acceder mediante ataques por fuerza bruta.
  • Capa perimetral: En esta capa suelen producirse ataques por denegación de servicio (DoS). Estos ataques intentan sobrecargar los recursos de red y obligarlos a desconectarse o hacer que no sean capaces de responder a solicitudes legítimas.
  • Capa de directivas y acceso: Aquí es donde se produce la autenticación de la aplicación. Puede incluir protocolos de autenticación modernos como OpenID Connect, OAuth, o autenticación basada en Kerberos, como Active Directory. La exposición de credenciales supone un riesgo y es importante limitar los permisos de identidad. También es deseable establecer una supervisión para detectar las cuentas en peligro, por ejemplo, con inicios de sesión procedentes de ubicaciones inusuales.
  • Capa física: Aquí pueden verse accesos no autorizados a las instalaciones que aprovechan las puertas abiertas y robos de distintivos de seguridad.

Responsabilidad de seguridad compartida

Al repasar el modelo de responsabilidad compartida, nos lo podemos replantear en el contexto de seguridad. Según el tipo de servicio que seleccione, algunas protecciones de seguridad se integrarán en el servicio, mientras que otras seguirán siendo su responsabilidad. Será necesaria una evaluación cuidadosa de los servicios y las tecnologías que se seleccionan para garantizar que se proporcionan los controles de seguridad adecuados para la arquitectura.

Ilustración en la que se muestra cómo los proveedores de nube y los clientes comparten las responsabilidades de seguridad bajo diferentes tipos de modelos de servicios en la nube: local, infraestructura como servicio, plataforma como servicio y software como servicio.

Comprobación de conocimientos

1.

¿Cuáles de los siguientes tipos de datos podrían necesitar medidas de protección de seguridad?

2.

¿Cuál de los siguientes es un ejemplo de un ataque que podría ver en la capa de directivas y acceso?