Seguridad corporativa de la empresa

La necesidad de organizar un sistema confiable de Seguridad Corporativa se presenta en cualquier empresa, sin importar su tamaño, facturación o rubro. Los activos materiales e informativos, los empleados, los equipos, los productos y el efectivo son todos objetivos potenciales para los intrusos.

Aunque en este momento no haya intentos evidentes de vulnerar los sistemas o ataques DDoS, esto no significa que la empresa esté completamente protegida. Hay muchos aspectos que deben considerarse para garantizar la Seguridad Corporativa de la empresa. Sigue leyendo para saber más.

Un poco de teoría.

La Seguridad de la Información (IS, por sus siglas en inglés) es la preservación de la integridad, la confidencialidad y la disponibilidad de la información.

La Seguridad Corporativa (CS) es un conjunto de estrategias, planes, políticas y tecnologías utilizadas para proteger la información, los activos físicos e informativos, a las personas y los procesos.

El aseguramiento de la información (IA) es cualquier dato que incluya información sobre la empresa y sus procesos, operaciones, especialistas, clientes, estrategias de desarrollo, propiedad intelectual, patentes, etc.

Tipos de amenazas para los sistemas empresariales

Para garantizar la CS de la empresa, es necesario identificar y clasificar todas las amenazas potenciales de la siguiente manera:

• Amenazas físicas. Se relacionan con el acceso físico al sistema corporativo o a sus componentes. Pueden incluir el robo de fondos y productos, de equipos, así como el acceso no autorizado a salas de servidores, el sabotaje de procesos productivos, daños intencionales o no intencionales a los equipos, entre otros.

• Amenazas de software y hardware. Están relacionadas con la penetración de software potencialmente peligroso, como virus, troyanos, gusanos y otros programas que pueden interferir con los procesos de la empresa o detenerlos. Las amenazas de software y hardware buscan alterar, comprometer o eliminar datos, así como obtener acceso no autorizado a los sistemas de la empresa con fines de extorsión, espionaje industrial, sabotaje, o por motivos políticos, ideológicos o personales.

• Amenazas derivadas del factor humano. Se relacionan con las acciones de los empleados de la empresa. Pueden deberse a errores no intencionales (por ejemplo, la eliminación accidental de datos importantes) o a acciones intencionales (por ejemplo, malversación, corrupción, abuso de privilegios). También pueden incluir amenazas legales, como el incumplimiento de obligaciones con contrapartes, infracciones tributarias, violaciones de la legislación, es decir, cualquier acción que pueda derivar en responsabilidad administrativa o penal.

• Amenazas derivadas del factor humano. Se relacionan con las acciones de los empleados de la empresa. Pueden deberse a errores no intencionales (por ejemplo, la eliminación accidental de datos importantes) o a acciones intencionales (por ejemplo, malversación, corrupción, abuso de privilegios).

Además, las amenazas a los sistemas empresariales pueden clasificarse en reales y potenciales.

Los datos recopilados deben documentarse y tenerse en cuenta al implementar el sistema de seguridad. Se recomienda actualizar la lista periódicamente conforme cambien las operaciones de la empresa y cuando se identifiquen nuevas amenazas potenciales.

Modelo de amenazas y riesgos de Seguridad Corporativa de la empresa

Elaborar un documento que describa el modelo de amenazas y riesgos ayuda a planificar las medidas de seguridad, evaluar su eficacia y minimizar los riesgos de IS para la empresa.

Se distinguen amenazas externas e internas.

Amenazas externas

Las amenazas externas son peligros potenciales que pueden provenir de fuentes o personas ajenas a la empresa. Pueden tener como objetivo causar daños, robar dinero y bienes, interferir con los procesos de negocio o incluso detener las operaciones. Esto incluye la ciberdelincuencia, el malware, los ataques terroristas, el vandalismo, entre otros.

Amenazas internas

Las amenazas internas a la IS provienen de empleados o sistemas dentro de la empresa y pueden ser tan peligrosas como las externas. Incluyen: manejo negligente de la IA, abuso de privilegios, corrupción, sabotaje, filtración de información sensible a la competencia y otras acciones intencionales o accidentales contrarias a los intereses de la empresa.

Modelo de amenazas

El modelo de amenazas de la CS es una descripción formalizada de los peligros y riesgos potenciales que pueden causar daño a la empresa. Identifica los puntos críticos del sistema de seguridad y define las tareas para eliminarlos o minimizar sus posibles consecuencias. La CS incluye los siguientes elementos:

• Identificación de activos: identificar todos los recursos de valor para la empresa (información, equipos, tecnología, etc.).

• Análisis de amenazas: identificación de posibles fuentes de peligro para el funcionamiento de la empresa.

• Análisis de amenazas: identificación de posibles fuentes de peligro para el funcionamiento de la empresa. Evaluación de la probabilidad de la amenaza: determinación de la probabilidad de ocurrencia con base en el análisis de las fuentes, la estabilidad del sistema y otros factores.

• Análisis de consecuencias: evaluación de los posibles daños en términos de pérdidas financieras, riesgos reputacionales y otras consecuencias.

• Desarrollo de medidas de protección: búsqueda e implementación de medios y medidas para proteger la empresa.

Un modelo de amenazas puede desarrollarse tanto para componentes individuales del sistema de CS como para un conjunto de sistemas y redes interconectados.

La creación de dicho modelo permite a la dirección de la empresa tomar decisiones informadas sobre la planificación y la asignación de presupuesto para la organización del sistema de seguridad, así como evaluar la eficacia de las medidas adoptadas.

Riesgos de Seguridad Corporativa

La organización de la CS implica identificar y mitigar riesgos. Los riesgos pueden estar asociados a diversos aspectos de la actividad de una empresa y su interacción con el entorno externo. Algunos de ellos son: estratégicos, reputacionales, operativos, legales y otros.

Algunos ejemplos de riesgos son, entre otros, los siguientes:

• sanciones de los reguladores y demandas judiciales por filtración de datos confidenciales; 

• interrupción de los procesos de negocio, paralización de la producción; 

• fuga de clientes y socios hacia la competencia; 

• liquidación de la empresa, entre otros.

En cuanto al grado de posible daño, los riesgos se clasifican en:

• bajos — con consecuencias que no afectan el cumplimiento de las tareas;

• medios — las consecuencias pueden causar interrupciones, pérdidas financieras u otros efectos negativos, pero no ponen en riesgo la existencia de la organización;

• altos — su materialización puede provocar un daño significativo a la organización, como pérdida de reputación o incumplimiento de la legislación.

Los riesgos también pueden clasificarse según la probabilidad de ocurrencia: 

• improbables — ocurren solo bajo ciertas condiciones;

• probables — la posibilidad de ocurrencia se evalúa como alta;

• muy probables — ocurren con frecuencia o de manera continua.

La clasificación de riesgos ayuda a las organizaciones a identificar las amenazas de seguridad más importantes y a desarrollar formas de resolver las tareas de protección para prevenir o minimizar sus consecuencias.

Formas de resolver el problema de la protección en el contexto de  la CS

Para garantizar la seguridad de los datos y sistemas corporativos, debe aplicarse un enfoque integral. Este incluye las siguientes medidas:

1. Restringir el acceso físico a: servidores, sistemas de control automatizados (ACS), dispositivos de red y otros componentes. Esto puede lograrse organizando sistemas de control de acceso, videovigilancia, control de ingreso y otras medidas de seguridad física.

2. Uso de software especializado: antivirus, firewalls, sistemas SIEM y DLP, y otras tecnologías para proteger contra el software malicioso y el acceso no autorizado.

3. Cifrado de datos: uso de algoritmos de cifrado para proteger la información protegida al transmitirla por la red o almacenarla en servidores.

4. Control de acceso: configuración de los derechos de los usuarios para acceder a los distintos recursos del sistema corporativo según sus roles y responsabilidades. Los derechos asignados deben auditarse cada seis meses.

5. Autenticación y autorización: uso de contraseñas, autenticación de dos factores y otros métodos para confirmar la identidad de un usuario antes de otorgarle acceso al sistema.

6. Copias de seguridad de datos: creación de respaldos de la IA para una recuperación rápida ante fallas o desastres.

7. Deben realizarse capacitaciones periódicas para aumentar la conciencia de los empleados sobre las posibles amenazas a la IS y cómo prevenirlas.

8. También es importante monitorear y analizar los eventos de seguridad: analizar regularmente los registros de eventos en busca de incidentes y supervisar la actividad de los usuarios para identificar comportamientos sospechosos y amenazas potenciales.

9. Uso de sistemas SIEM: pueden usarse para monitorear eventos de seguridad en tiempo real, analizar grandes volúmenes de datos de diversas fuentes e identificar actividad sospechosa. Esto permite minimizar los riesgos de incidentes de IS (ciberataques, acceso no autorizado a información protegida) y mitigar sus consecuencias.

10. Uso de sistemas DLP: pueden usarse para controlar la transferencia de datos fuera de la red corporativa, analizar el contenido de los archivos transferidos y bloquear actividades sospechosas. Esto ayuda a minimizar los riesgos de daños financieros y reputacionales, así como otras consecuencias negativas asociadas con la fuga de información protegida.

11. Como se mencionó anteriormente, la seguridad requiere un análisis de riesgos para identificar las amenazas más probables y desarrollar las medidas de protección adecuadas. Los análisis de riesgo deben realizarse periódicamente — al menos dos veces al año — para mantenerlos actualizados conforme a los requisitos legales o ante la aparición de nuevas amenazas.

12. Por último, es necesario garantizar actualizaciones periódicas del software para corregir vulnerabilidades y mejorar las defensas del sistema de manera oportuna.

La elección de medidas específicas depende de las particularidades del sistema corporativo, sus vulnerabilidades, los requisitos legales y otros factores. Es importante revisar y actualizar periódicamente la estrategia de defensa conforme cambien la tecnología y las amenazas a la seguridad.

Actos normativos y acciones regulatorias

En el área de la IS empresarial, existen varios estándares internacionales que ayudan a las organizaciones a implementar y mantener medidas de seguridad eficaces. Estos son algunos de ellos:

• ISO/IEC 27001:2022 es un estándar internacional que regula los requisitos para establecer, implementar, operar, monitorear, analizar, mantener y mejorar un Sistema de Gestión de Seguridad de la Información.

• NIST SP 800-53 es una guía para la gestión de riesgos de Seguridad de la Información en los sistemas de información federales. Ofrece orientación sobre la implementación de medidas de seguridad, incluyendo control de acceso, protección de datos, gestión de vulnerabilidades y otros aspectos.

Estas normativas y estándares definen los requisitos para la protección de la información protegida, los datos personales, los secretos comerciales, la propiedad intelectual y otros tipos de datos. También establecen la responsabilidad por el incumplimiento de las normas de IS.

Las empresas están obligadas a cumplir con los requisitos de las normativas y con las instrucciones de los reguladores. Las acciones de los reguladores incluyen la supervisión del cumplimiento de las normativas, la realización de inspecciones y auditorías, y la emisión de órdenes para subsanar infracciones. Los reguladores también pueden iniciar procedimientos legales en caso de infracciones graves de la legislación.

La siguiente etapa en la implementación del sistema de CS es la identificación de los objetos y sujetos de protección.

Objetos y sujetos de la Seguridad Corporativa

La identificación de los objetos y sujetos de la CS permite determinar qué activos de la empresa deben protegerse.

Medidas organizativas para garantizar la Seguridad Corporativa

Organizar las medidas de seguridad siempre implica encontrar un equilibrio entre la eficacia en la mitigación de riesgos y la no interferencia en los procesos de trabajo de la empresa. Al mismo tiempo, el enfoque para organizar las medidas de seguridad no debe ser de «parches» — es importante adoptar un enfoque integral: tener en cuenta todas las amenazas y riesgos de IS identificados, e implementar el sistema de seguridad en todas las divisiones de la empresa.

Política de funcionamiento del sistema de IS

La información es uno de los activos clave de cualquier negocio. Incluye datos sobre el producto, los clientes, los proveedores, los socios, los procesos, las operaciones, las estrategias de desarrollo, así como los materiales de marketing y mucho más. Es uno de los activos más importantes y, a la vez, más vulnerables. Por ello, es fundamental garantizar una protección confiable de los datos y sistemas corporativos y desarrollar una política para el funcionamiento del sistema de IS.

La política de funcionamiento del sistema de IS es un documento que define los principios básicos y los enfoques para garantizar la protección de la información en una empresa.

Entre otras cosas, el documento contiene:

Disposiciones generales, que enumeran los objetivos de la política, así como su ámbito de aplicación.

Riesgos y amenazas. Aquí se enumeran los riesgos y amenazas de IS identificados durante la fase de auditoría.

Principios de aseguramiento de la IS. Esta sección enumera los principios rectores que guían a una empresa en la garantía de la IS.

Otros principios incluyen:

• legalidad;

• continuidad de la protección;

• viabilidad;

• carácter sistemático e integral;

• evitar conflictos de interés entre el departamento de IS y otros empleados de la empresa;

• adaptabilidad a las necesidades específicas de cada departamento, entre otros.

Medidas de seguridad de IS. Esta sección describe las medidas específicas que se adoptan para proteger la información. Estas medidas incluyen, entre otras:

• control de acceso;

• uso de software antivirus;

• monitoreo continuo de los eventos de IS dentro del perímetro de seguridad de la empresa en busca de incidentes;

• copias de seguridad de datos;

• control de todos los canales de comunicación dentro del perímetro de seguridad, entre otros.

Asignación de roles y responsabilidades. Esta sección define quién es responsable de implementar las medidas de IS en la empresa. Puede tratarse de empleados del departamento de Seguridad de la Información, del departamento de TI u otros departamentos.

Cómo revisar la política. Esta sección describe con qué frecuencia debe revisarse la política y qué cambios pueden realizarse.

Evaluación de la eficacia del sistema. Aquí se describen los requisitos para evaluar la solidez del sistema de IS con el fin de identificar vulnerabilidades y mejorar las medidas adoptadas.

La política de funcionamiento del sistema de IS debe adaptarse a las particularidades de la actividad de la empresa y revisarse periódicamente para tener en cuenta los cambios en la legislación, la tecnología y las amenazas a la seguridad.

Política de tratamiento de datos personales

Este documento describe los fines y métodos de tratamiento de los datos personales de los usuarios. La política debe estar disponible para su consulta y publicarse en alguna fuente pública.

El documento también debe describir:

General: objetivos de la política y su ámbito de aplicación.

Definición de datos personales. Esta sección define los datos personales que la empresa recopila y trata. Pueden ser: nombre completo, fecha de nacimiento, lugar de residencia, correo electrónico, números de teléfono, navegadores utilizados, mensajerías, etc.

Principios del tratamiento de datos personales, incluyendo la licitud, la lealtad y la transparencia, la garantía de confidencialidad, la garantía de utilizar únicamente los datos que respondan a los fines del tratamiento, entre otros.

Medidas para garantizar la seguridad de los datos personales.

Se describe aquí:

• las personas responsables del tratamiento de los datos personales de los usuarios;

• las medidas organizativas y técnicas utilizadas para la protección de los datos personales;

• las medidas adoptadas, entre otras.

El incumplimiento de este último punto puede dar lugar a amonestaciones o sanciones por parte de los reguladores.

La política es de cumplimiento obligatorio para todos los empleados de la empresa.

Política de manejo de documentos en papel

Este es un conjunto de medidas y normas que definen cómo se manejan los documentos en papel dentro de una organización. Incluye la siguiente información:

• Clasificación de documentos: división de los documentos según su grado de importancia, confidencialidad y urgencia.

• Almacenamiento de documentos: identificación de dónde almacenar los documentos, garantizando su resguardo y protección frente al acceso no autorizado.

• Destrucción de documentos: desarrollo de un procedimiento para destruir documentos cuando vence su plazo de conservación o quedan obsoletos. La destrucción debe realizarse conforme a la legislación sobre protección de datos personales y secretos comerciales.

• Supervisión del cumplimiento de la política: designación de responsables del cumplimiento de la política de documentos en papel y realización de revisiones y auditorías periódicas.

• Capacitación de los empleados: familiarizar a los empleados con la política de manejo de documentos y la responsabilidad por su incumplimiento.

La política sobre papel ayuda a minimizar los riesgos de fuga de información confidencial, proteger los derechos de clientes y contrapartes, y garantizar el cumplimiento de los requisitos regulatorios.

Lista de información confidencial

Como parte de una auditoría de seguridad empresarial, es necesario inventariar todos los activos de información y clasificarlos en públicos, restringidos y confidenciales.

Los datos confidenciales incluyen cualquier información cuyo acceso esté restringido por ley (información relacionada con secretos comerciales, propiedad intelectual, know-how, etc.), así como cualquier dato que garantice la competitividad de la empresa.

La lista de información confidencial de la empresa puede incluir: listas de clientes, estados financieros, listas de proveedores, manuales operativos, contratos, acuerdos, convenios, etc.

Procedimiento para el trabajo con soportes de datos extraíbles

El procedimiento para el manejo de soportes de datos extraíbles es un conjunto documentado de medidas y normas que definen cómo se maneja la información en soportes extraíbles dentro de una empresa.

El documento puede describir los siguientes requisitos:

• Usar únicamente medios permitidos: la organización puede definir una lista de tipos de medios permitidos para su uso. Puede tratarse de unidades USB, tarjetas de memoria, discos ópticos, etc.

• Autorización de medios: un empleado debe estar autorizado antes de usar medios extraíbles. La autorización puede incluir la verificación de la autenticidad del medio, si corresponde a la lista de dispositivos permitidos, etc.

• Protección contra el acceso no autorizado: los medios extraíbles deben protegerse contra la copia, modificación o eliminación no autorizada de información. Pueden utilizarse cifrado, contraseñas, biometría y otros métodos de seguridad.

• Copia de seguridad de los datos: la información debe respaldarse antes de eliminarse del medio. Las copias de seguridad deben conservarse por separado del original.

• Registro de medios: todos los medios extraíbles utilizados en la organización deben registrarse. El registro puede incluir información sobre el tipo de medio, el propietario, la fecha de entrega y devolución, etc.

El cumplimiento del procedimiento para el manejo de medios extraíbles ayuda a prevenir fugas de información confidencial, proteger los derechos de clientes y socios, y garantizar el cumplimiento de los requisitos legales.

Cómo obtener acceso a Internet y al correo electrónico

Algunas empresas, incluidas las instalaciones de infraestructura de información crítica (CII), pueden restringir el acceso a Internet y a los servicios de correo electrónico de los empleados por motivos de IS.

Este documento debe especificar un conjunto de políticas y procedimientos que definan cómo los empleados pueden usar estos recursos para fines laborales.

Los procedimientos de acceso pueden actualizarse y modificarse periódicamente en función de las necesidades de la empresa y los cambios en la legislación.

Procedimiento para determinar el nivel de acceso del usuario a los datos y normas para modificarlo

El control de acceso es el proceso de otorgar o denegar el permiso para acceder a los activos de información con base en políticas y reglas predeterminadas.

Como parte de la asignación del acceso de los usuarios a la IA, deben realizarse los siguientes procedimientos:

• Definición de las categorías de datos. En primer lugar, es necesario definir qué datos se procesarán en el sistema y a qué categorías pertenecerán (por ejemplo, confidenciales, datos personales, secretos comerciales, etc.).

• Establecimiento de niveles de autorización. Cada categoría de datos tiene su propio nivel de acceso (por ejemplo, solo lectura, edición, eliminación, etc.).

• Asignación de roles a los usuarios. Los usuarios del sistema se asignan a roles específicos, cada uno de los cuales tiene su propio conjunto de derechos de acceso a los datos (por ejemplo, administrador, operador, usuario, etc.).

• Configuración de los derechos de acceso. Con base en los roles de los usuarios y las categorías de datos, se configuran derechos de acceso específicos para cada usuario (por ejemplo, el derecho a ver ciertos documentos, el derecho a editar ciertos campos en documentos, etc.).

• Control de acceso. El sistema controla cómo los usuarios utilizan los derechos de acceso que se les han otorgado. Para ello pueden emplearse diversos métodos, como la auditoría de las acciones de los usuarios, el monitoreo del tráfico, etc.

• Cambio del nivel de acceso. Si es necesario, el nivel de acceso del usuario a los datos puede modificarse. Esto puede ser iniciado por el propio usuario, su supervisor o el departamento de seguridad. El cambio en el nivel de autorización debe documentarse y reflejarse en el sistema.

• Revisión periódica del nivel de autorización. El nivel de autorización del usuario debe revisarse regularmente para reflejar los cambios en sus responsabilidades laborales, su nivel de confianza y otros factores.

Para controlar la transferencia no autorizada de datos de autorización entre usuarios del sistema o hacia terceros, se recomienda utilizar un sistema DLP.

Medios de software y hardware para la protección de la información

Deben utilizarse funciones de seguridad de software y hardware para proteger la CS de la empresa.

Dichos medios incluyen:

• Firewalls.

• Software antivirus.

• Herramientas de arranque confiable. Verifican la integridad del sistema operativo antes de que se inicie y evitan el acceso no autorizado a las estaciones de trabajo.

• Herramientas de detección de intrusiones. Supervisan la red en busca de actividad sospechosa y alertan al equipo de seguridad.

• Herramientas de protección criptográfica. Cifran los datos mientras se transmiten por la red o se almacenan en servidores.

• Sistemas de monitoreo del estado de la red. Permiten identificar y corregir rápidamente problemas de red que podrían provocar interrupciones y reducir la seguridad.

• Sistemas de monitoreo de vulnerabilidades. Se trata de una solución de software o hardware que escanea la red en tiempo real en busca de vulnerabilidades y ofrece información sobre cómo solucionarlas.

• Sistemas SIEM. Analizan los eventos de seguridad en tiempo real y notifican al equipo de seguridad. Esto permite responder rápidamente a los incidentes de Seguridad de la Información.

• Sistemas DLP. Evitan la fuga de datos fuera de la red corporativa por errores de los empleados.

El uso de software y hardware especializados permite construir un sistema de protección confiable, así como automatizar los procesos de monitoreo de eventos de seguridad y mantenerlos activos las 24 horas, lo que permite reducir significativamente la carga de trabajo del personal.

En conclusión

Garantizar la Seguridad Corporativa de una empresa es un proceso complejo y multinivel que requiere un enfoque integral. Para crear un sistema de seguridad eficaz, es necesario tener en cuenta todas las posibles amenazas y riesgos, así como emplear tecnologías y métodos modernos de protección de la información.

Esta es la única manera de garantizar una protección confiable de la empresa frente a amenazas internas y externas, prevenir pérdidas financieras, daños a la reputación y otras consecuencias negativas. Por ello, es importante prestar atención a los temas de CS y actualizar constantemente las medidas de protección.