Para conseguir el máximo beneficio de una
evaluación de la vulnerabilidad por una empresa de seguridad de la información se requiere una comprensión de los procesos
de misión crítica de su organización y la infraestructura subyacente, y aplicar
esos conocimientos a los resultados. Según expertos de sistema de gestión de
seguridad de información, para que sea realmente efectivo, se deben incluir los
siguientes pasos:
1. Identificar
y entender los procesos de tu empresa
El primer paso para proporcionar un
contexto empresarial es identificar y comprender los procesos de organización
en tu empresa, centrándose en aquellos que son críticos y sensibles en términos
de cumplimiento, la privacidad del cliente, y la posición competitiva. No hay
manera de hacer la informática sin ningún tipo de conexión con otras personas.
En muchas organizaciones, se requiere la colaboración entre la informática y
los representantes de las unidades de negocio, empresa de seguridad de la
información, el departamento de finanzas y el asesor legal. Acuerdo con los
expertos de sistema de gestión de seguridad de
información, muchas organizaciones ponen juntos los grupos de trabajo
de estrategias de seguridad con los representantes de cada departamento,
quienes trabajan juntos durante varias semanas para analizar los procesos de
negocio, la información y la infraestructura de la que dependen.
2. Determinar
con precisión las aplicaciones y los datos que subyacen a los procesos de
negocio
Una vez que los procesos de negocios son
identificados y clasificados en términos de criticidad de la misión y
sensibilidad, El siguiente paso es identificar las aplicaciones y los datos en
los que los procesos de misión crítica dependen. Una vez más, esto se puede
lograr sólo a través de la colaboración entre la informática y otros agentes
económicos. A partir de extensas discusiones colaborativas, es posible
descubrir las aplicaciones que son mucho más críticas de lo esperado. Por
ejemplo, el correo electrónico puede ser una aplicación absolutamente crítica
para un departamento, pero no crítica en absoluto para muchos otros.
3. Encontrar las fuentes de datos
ocultos
Cuando estás buscando aplicaciones y
fuentes de datos, asegúrate de tomar en cuenta los dispositivos móviles como
teléfonos inteligentes (smartphones) y tabletas, así como computadoras de
escritorio. En conjunto; estos dispositivos a menudo contienen los datos más
recientes y delicados que tu organización posee. Trabajar con las unidades de
negocio para entender quién está utilizando dispositivos móviles para acceder y
compartir aplicaciones y datos corporativos. Comprender los flujos de datos
entre estos dispositivos y aplicaciones de centros de datos y almacenamiento.
Averiguar si sus usuarios corporativos están enviando mensajes de correo
electrónico de negocios a través de servicios de correo electrónico públicas
como Gmail o Yahoo Mail. Según empresas de seguridad de la información, otra
categoría a menudo oculta para investigar es el entorno de desarrollo de
software, pues ellos son inherentemente menos seguros que los ambientes de
producción. Los desarrolladores de software y probadores a menudo utilizan los
datos actuales, algunas veces de misión-crítica para probar aplicaciones nuevas
y mejoradas.
4. Determinar que hardware sustenta a
las aplicaciones y datos
Seguir trabajando bajo las capas de la
infraestructura para identificar los servidores, tanto virtuales como físicos,
que ejecutan tus aplicaciones de misión crítica. Para las aplicaciones Web, se
puede estar hablando de tres o más conjuntos de servidores Web, aplicaciones y
bases de datos, por aplicación. Según expertos de empresa de seguridad de la información,
identificar los dispositivos de almacenamiento de datos que contienen los datos
de misión crítica y datos delicados utilizados por estas aplicaciones.
5. Mapa de la infraestructura de red
que conecta el hardware
Desarrollar una comprensión de los routers
y otros dispositivos de red que sus aplicaciones y hardware dependen para un
rendimiento rápido y seguro.
6. Identificar que controles ya están
en su lugar
Tenga en cuenta las medidas de seguridad y
continuidad del negocio que ya ha puesto en marcha, incluidas las políticas,
firewalls, Acuerdo con los expertos de sistema de gestión de seguridad de
información, firewalls de aplicación, Detección de intrusos y sistemas de
prevención(IDPS), virtual prívate networks (VPNs), data loss prevention (DLP),
y el cifrado, -para proteger a cada conjunto de servidores y dispositivos de
almacenamiento que alojan aplicaciones de misión-crítica y datos. Acuerdo con
los expertos de sistema de gestión de seguridad de información, entender las
capacidades clave de estas protecciones, y qué vulnerabilidades abordan más
eficazmente. Esto puede requerir una investigación bastante extensa, incluyendo
sitios web de exploración y revisión, y hablar con representantes de la empresa
de seguridad.
7. Ejecutar el análisis de
vulnerabilidad
Sólo cuando has entendido y trazado tu
aplicación, flujos de datos, el hardware subyacente, infraestructura de red y
protecciones es lo que realmente tiene sentido para ejecutar sus análisis de
vulnerabilidad por expertos de empresa de seguridad de la información.
8. Aplicar el contexto de la
tecnología y los negocios al escaneado de resultados
Un escáneo puede producir puntuaciones del
alojamiento y otras vulnerabilidades con clasificación de gravedad, pero dado
que los resultados y las puntuaciones se basan en medidas objetivas, es
importante para determinar la organización de tu empresa y el contexto
infraestructural. Derivar de información significativa y aplicable sobre el
riesgo de negocio a partir de datos de la vulnerabilidad es una tarea compleja
y difícil. Después de evaluar el nivel de conocimientos y la carga de trabajo
de su personal, es posible determinar que sería útil para asociarse con una empresa
de seguridad de la información que está bien entrenada en todos los aspectos de
la seguridad y la evaluación de amenazas. Ya sea que la empresa realice esta
tarea de forma interna o consiga ayuda externa, los resultados deben ser
analizados para determinar qué vulnerabilidades de la infraestructura deben
atacarse primero y más agresivamente.
0 comments:
Post a Comment