La seguridad como un concepto transversal

En la actualidad existe un gran número de empresas que asocian el concepto de seguridad únicamente con la idea de seguridad perimetral, concentrando ahí todos los esfuerzos. A menudo, sin reflexionar lo suficiente acerca de cuál es el activo más valioso para el negocio de dicha empresa: la información.

Al final, cualquier incidente de seguridad busca impactar sobre la información de nuestra empresa de tres formas distintas, afectando sobre su disponibilidad (capacidad para poder acceder a dicha información), su integridad (mantener los datos libres de modificaciones no autorizadas) o su confidencialidad (propiedad que impide la divulgación de información a individuos, entidades o procesos no autorizados).

Aplicar soluciones adecuadas y ajustadas sobre las diferentes capas de seguridad, para que de esta manera se pueda proteger de forma eficaz a la organización, implica tratar el problema de forma transversal en todos los niveles de nuestra organización.

Realizando una evaluación de riesgos por capas y planteando soluciones a cada uno de los mismos.

¿Cuáles son los principales riesgos o debilidades a nivel de seguridad que se detectan actualmente en las empresas?

Actualmente, en muchas organizaciones empresariales, más que un problema a nivel de tecnología (existe tecnología enfocada a proteger cada una de las capas de seguridad, sea cual sea el tamaño de la empresa), existe un problema de concepto o de cómo se entiende la seguridad. En muchos casos, la seguridad se concibe como un gasto solo asumible por grandes empresas que se dedican a la banca, telecomunicaciones, etc.; cuyas políticas o procedimientos sólo complican el día a día de la empresa, cuando en la actualidad no es así. En otros casos se tiene un concepto reactivo y se toma conciencia sólo cuando se produce un incidente de seguridad que puede resultar muy caro a dicha organización.

Cualquier incidente de seguridad busca impactar sobre la información de nuestra empresa de tres formas distintas, afectando sobre su disponibilidad, su integridad o su confidencialidad.

Es cierto que cada vez más, por parte de las organizaciones que van asimilando esta problemática de la seguridad, se invierte. Pero es muy importante saber dónde invertir. No podemos caer en el error de pensar que invirtiendo únicamente en seguridad perimetral estamos protegidos.

Actualmente, el peligro no está sólo fuera de la organización, sino dentro también. Porque un usuario con determinados permisos de acceso a la organización, ni siquiera de forma consciente, puede poner a dicha organización en peligro. De ahí la importancia de aspectos como la concienciación, aplicar a cada usuario los mínimos permisos necesarios, auditorías, copias de seguridad… etc.

¿Qué enfoque deberían adoptar los proveedores de servicios?

Nuestro enfoque es el de buscar una protección integral y sólida, mediante soluciones capaces de cubrir las diferentes capas de seguridad, desde el exterior y el perímetro, hacia el interior de la organización, en cualquier ámbito de nuestros servicios ya sea hosting, housing, sistemas y aplicaciones. Pero sin olvidar el activo principal de nuestros clientes que no es otro que la información.

¿Cómo concreta Grupo Trevenque esta perspectiva?

Pretendemos abordar esta problemática implantando este modelo de seguridad por capas, a través de un conjunto de soluciones complementarias y de definiciones de políticas concretas centradas como ya hemos comentado antes en la protección de la información de nuestros clientes. Actuando como integradores gracias a nuestra visión global de control sobre cada una de las capas de seguridad.

Trabajamos con soluciones líderes en el mercado como Checkpoint a nivel de seguridad perimetral y más. Kaspersky como protección endpoint. ZeedSecurity como herramienta de monitorización a nivel de ciberseguridad y que pronto integrará un SIEM. Políticas definidas por nosotros y soluciones de auditoria de acceso a objetos como Active Directory, Ficheros, etc.

¿Qué tendencias en el campo de la seguridad se observan?

La seguridad informática se está integrando en los procesos de negocio de las organizaciones debido a que protegen su activo más importante, la información.

Se está tomando conciencia de la importancia de afrontar la seguridad como un concepto proactivo, no reactivo. Un ejemplo sería la aplicación del ciclo de vida del software añadiendo etapas que incidan en la necesidad de usar funciones seguras, auditorías de código fuente, análisis de vulnerabilidades y no entender la seguridad como algo que comienza cuando una aplicación se pone en producción. Otro ejemplo de dicha proactividad puede ser el aumento de implantaciones de soluciones tipo IPS/IDS e incluso sandbox. Test de penetración al interior de organizaciones, desde este enfoque preventivo.

Políticas de compliance, adopción de estándares tipo ISO o ITIL que no son más que un conjunto de buenas prácticas en la gestión de los sistemas de información y que son una ayuda para asegurar el buen funcionamiento de la organización, en constante revisión y mejora. Sin olvidar que cada vez más las organizaciones se plantean el desarrollo de un plan de continuidad de negocio (DRP) en caso de un problema grave, para que su negocio no deje de estar supeditado a que un ordenador funcione o no.