La escalera de ciberseguridad, un ascenso seguro para proteger la información digital.

En  este post analizaremos la herramienta “escalera de ciberseguridad” la cual nos va a permitir ver, desde otro ángulo, que tan avanzado está en el componente de ciberseguridad de la organización.

 

Esta herramienta consta de siete peldaños o escalones los  cuales de acuerdo con nuestros avances, nos permitirán determinar qué tan arriba estamos en la protección de la información digital, para ello, se evalúa la inclusión de tareas, proyectos o metodologías al componente de ciberseguridad. 

Nota: Recuerde que de acuerdo con post anteriores, se recomienda que la  frecuencia del análisis de vulnerabilidades sea mensual. 

El punto de inicio de todo organización es proteger su perímetro y sus computadores internos ya sean estos servidores o estaciones de trabajo, eso es lo mínimo con lo que se debe empezar, a partir de ahí, se pasa al primer escalón que es el análisis de vulnerabilidades, el cual  revisar de forma automática las vulnerabilidades conocidas hasta el momento en los equipos tecnológicos que tenemos dentro de la organización (la nube, también hace parte de la organización).

El segundo escalón son las pruebas de hacking ético o pentest (para ver la diferencia, puede revisar post anteriores). Esta es la forma manual de hallar vulnerabilidades por parte de un experto en ciberseguridad. Un gran número de vulnerabilidades no puede ser hallado de forma automática, por lo que se recomienda contratar esta clase de pruebas o tener un especialista en nómina. 

El tercer escalón es la evaluación de controles, dentro de las tareas más comunes esta la revisión de  los firewalls (UTM) y sus diferentes módulos para verificar que estén haciendo su trabajo, en especial revisión de las reglas del firewall las cuales es una práctica común el modificarlas y no documentarlas. Otra tarea es verificar que los end point (antivirus avanzados), tengan los módulos necesarios para detener los últimos ataques que han sido reportados (ramsonware o secuestro de información). Otras tareas dependerán en gran parte del tipo de tecnología que tenga la empresa.

El cuarto escalón corresponde a la evaluación de riesgo, para esto lo recomendado es hacerse de una metodología adecuada que le permita evaluar los riesgos a los cuales se encuentra enfrentada su organización. La correcta identificación de los riesgos junto con sus vulnerabilidades, amenazas, impacto y activos jugaran un papel importante en la protección de su información digital. 

Quinto escalón, Evaluación de riesgos de amenazas, esta etapa se centra en evaluar que tanto puede llegar a impactar una amenaza a la organización, todo esto dentro del componente de ciberseguridad.

Sexto escalón, evaluación del marco de ciberseguridad, aquí se evalúa la organización en referencia al marco de ciberseguridad del NIST, del cual ya hemos hablado con anterioridad en este blog. 

Por último, el séptimo escalón, evaluación de la postura de ciberseguridad, esto se refiere al estado de seguridad del hardware, software y políticas de una empresa, su capacidad para gestionar sus defensas y su capacidad de reacción a medida que cambia la situación (según el NIST). Una postura de ciberseguridad eficiente y efectiva requiere una comprensión clara de lo que es importante para su organización y por qué.

Para organizaciones pequeñas lo recomendado es llegar por lo menos hasta el tercer escalón donde se evalúan periódicamente los controles de ciberseguridad existentes, a partir del cuarto escalón, es donde realmente comienza el trabajo continuo en ciberseguridad. 

Tenga en cuenta que cada escalón anterior es insumo para el siguiente escalón hasta llegar a la cima de la escalera. 

Sea cual fuere el escalón donde se encuentra actualmente su organización, recuerde siempre avanzar al siguiente nivel. Entre más arriba este su organización, más protegida va a estar su información digital.