Seguridad por capas
Como los riesgos a los que estamos expuestos son diversos, debemos seguir un modelo de seguridad por capas, que consiste en organizar las medidas de seguridad en diferentes niveles, garantizando que, si resulta comprometido un nivel, el atacante deberá traspasar otra capa de seguridad para vulnerar los sistemas.
Comunicaciones y Networking
El 100% de esos dispositivos se ponen en marcha con la configuración por defecto de usuario administrador del dispositivo y contraseña, y muy pocos cambian esa configuración posteriormente.
Esto permite, de una forma muy sencilla, acceder desde el exterior al dispositivo para poder cambiar la configuración del mismo. Por ejemplo, un atacante podría cambiar los servidores dns a los que el router hace las consultas cuando navegamos por internet, redirigiendo el tráfico hacia servidores ilegítimos.
De esta forma, un atacante puede tener acceso al tráfico de nuestras comunicaciones externas, conociendo dónde navegamos e identificando nuestros usuarios y contraseñas de acceso.
BYOD
Bring Your Own Device es una tendencia cada vez más generalizada en la que las empresas permiten a los trabajadores llevar sus dispositivos portátiles personales para llevar a cabo tareas del trabajo y conectarse a la red y recursos corporativos.
Sin un control básico de este tipo de dispositivos, tenemos un agujero de seguridad muy importante en nuestra organización. Un atacante podría localizar a uno de nuestros trabajadores, infectarle su equipo informático (si trabaja desde casa, por ejemplo), sus dispositivos móviles (si se conecta desde el exterior para realizar su trabajo), o sus dispositivos de almacenamiento USB (llevando y trayendo información sensible para la empresa), llegando a comprometer nuestra infraestructura cuando nuestro trabajador utilice su dispositivo.
Si nuestras empresas utilizan, todavía, pocos mecanismos de seguridad, nuestros trabajadores, a título personal, suelen usar menos todavía.
Esquema Cliente–Servidor
Uno de los errores más frecuentes, particularmente en las PYMEs, es la descentralización de la información. Entre las desventajas de tener la información distribuida en muchos equipos de la red (y particularmente en puestos de trabajo) se encuentran:
Problemas de disponibilidad. Algunos usuarios de la red pueden necesitar información y no saber dónde encontrarla o cómo ubicar a quien sabe dónde está almacenada.
Confidencialidad. Alguna información, no controlada, podría ser accedida por personas no autorizadas para tal fin.
Dificultad para hacer backup. Es extremadamente complejo mantener un backup
completo de la información disponible en todos los puestos de trabajo. Puede darse el caso de que información valiosa no tenga copias de respaldo.
Políticas de almacenamiento
La existencia de un servidor de archivos no significa que cualquier tipo de archivos deben ser almacenados allí por cualquier tipo de personas. Es por ello que es necesario definir las políticas de almacenamiento para el servidor de archivos.
En definitiva, hay que dejar muy claro, e implementar las medidas para conseguirlo, a que información puede acceder cada usuario y a cuál no.
Redundancia
Cuando todos los datos están almacenados en un único equipo, normalmente un servidor de ficheros, la criticidad de dicho servidor aumenta. Siendo imprescindible:
Contar con un sistema de backup de la misma.
Utilizar sistemas de redundancia que permitan la continuidad del negocio en el caso que el disco duro donde se almacena la información tenga algún fallo mecánico.
Comentarios