A principios de año, el Semana de privacidad de datos, una versión internacional y ampliada del Día Europeo de la Protección de Datos. Su objetivo es concienciar a los usuarios y las empresas sobre los riesgos en línea, pero también proporcionarles estrategias eficaces para proteger mejor sus datos. Sin embargo, esta concienciación es necesaria durante todo el año y los equipos de TI y ciberseguridad deben permanecer atentos.
De hecho, en las primeras semanas de 2024 ya se reivindicaron 18 ataques de ransomware. Así, a pesar de los importantes resultados de estas campañas, las noticias, a menudo muy concurridas, en el ámbito de los ataques en línea muestran que los sistemas de protección disponibles aún no son del todo satisfactorios.
Comprender el principio de privilegio mínimo
Este principio es la base de cualquier sistema de seguridad de datos. En definitiva, cualquier individuo, servicio o aplicación debe recibir únicamente las autorizaciones necesarias para su función, independientemente de la experiencia técnica, la reputación o el nivel jerárquico de las personas implicadas.
Por ejemplo, los bancos aseguran sus fondos y activos limitando estrictamente el acceso. Así, la mayoría de sus empleados sólo pueden acceder a las zonas públicas, mientras que los agentes de ventanilla sólo tienen acceso a las cajas de las que son responsables. Los asesores pueden ver el historial crediticio y los ingresos al solicitar un préstamo. El acceso a la bóveda, que puede contener lingotes de oro u otros activos valiosos, está reservado a un grupo muy restringido, como determinados directores de agencias.
Además, los datos comerciales sensibles se gestionan como fondos bancarios, con acceso diferenciado según roles. Los equipos de TI no necesitan acceso a las bases de datos de los clientes más de lo que los representantes de ventas necesitan acceso a los repositorios de software. Los datos estratégicos, propiedad intelectual de los directivos, son accesibles a un grupo pequeño y cuidadosamente seleccionado.
Alcance y fundamentos
Por lo tanto, cualquier negligencia en la aplicación del principio fundamental de privilegio mínimo pone en peligro la privacidad de los datos de múltiples maneras. Un usuario puede muy bien, por ejemplo, consultar o modificar contenidos a los que nunca debería haber tenido acceso, ya sea de forma accidental o intencionada. El riesgo es aún mayor cuando un pirata informático toma el control de la cuenta de un empleado, porque luego puede explotar todos los derechos y privilegios asociados con esa cuenta.
Además, la amenaza no se limita a los actores humanos. Esto se debe a que el malware hereda los privilegios de la cuenta de usuario que lo descargó. Por ejemplo, el ransomware puede cifrar automáticamente todos los datos modificables de una cuenta determinada, independientemente de que el usuario necesite o no los derechos de acceso en cuestión. Según la misma lógica, las aplicaciones deben limitarse únicamente a las funcionalidades esenciales para su funcionamiento a fin de minimizar el riesgo de uso indebido.
Supervisión permanente y necesaria
Otorgar a los usuarios derechos administrativos generales sobre sus dispositivos, aplicaciones y otras unidades de red ya no sería una opción. Pero limitar estos permisos de acceso no es suficiente. Las empresas también deben monitorear cuidadosamente lo que hacen sus empleados, contratistas, aplicaciones y otras identidades en todo su entorno para detectar actividades sospechosas de manera temprana y evitar filtraciones de datos, tiempos de inactividad u otros daños costosos.
En un momento en el que los ecosistemas TI están en pleno apogeo, es fundamental saber reconocer qué es y qué no es una actividad normal del usuario. La capacidad de un equipo de TI para hacer esta distinción evitará que pierdan tiempo en alertas falsas.
Un enfoque multinivel
Aplicar el principio de privilegio mínimo no es una decisión simple y única, ya que requiere la implementación de varios niveles de gestión.
En primer lugar, la gobernanza de la identidad y la administración implica supervisar todo el ciclo de vida de la identidad, lo que incluye garantizar que cada usuario tenga solo el acceso necesario para su función. Esta gobernanza se complementa con la gobernanza del acceso a los datos, que extiende el control a los datos mismos, determinando quién puede acceder a qué información y en qué condiciones, al tiempo que garantiza que los datos confidenciales estén adecuadamente protegidos de acuerdo con las políticas y regulaciones. en vigor. Al mismo tiempo, la gestión de acceso privilegiado presta especial atención a las cuentas con alto acceso a sistemas y datos, ya que plantean un alto riesgo de compromiso o uso indebido que puede afectar la privacidad y la seguridad de los datos. continuidad de una actividad.
Juntos, estos elementos forman un marco integral para controlar estrictamente el acceso a los sistemas y datos para fortalecer la postura de seguridad de una organización.
En resumen, la privacidad de los datos requiere una cultura de seguridad en todos los niveles. Al aplicar el principio de privilegios mínimos y una gestión de acceso eficaz, las empresas garantizan la privacidad, generan confianza en los clientes y evitan incidentes costosos, todo ello cumpliendo las normativas. Esto les permitirá dedicar menos tiempo a las amenazas a la ciberseguridad y más a optimizar su potencial operativo.
____________________________
Par Antonio MoillicCISO de campo, EMEA y APAC en Netwrix
Lea también:
Movimientos laterales de los ciberdelincuentes: la solución son los privilegios bajo demanda
Seguridad de los datos: la prioridad para las empresas
Comprender y prevenir fugas de datos…
Escalada de privilegios: qué la promueve y cómo evitarla…
Netwrix reduce la superficie de ataque de las bases de datos
[
