Cómo determinar qué asegurar y cómo asegurarlo

¿Proteges datos (propietarios, confidenciales o de cualquier otro tipo), estás intentando mantener ciertos servicios en marcha ( tu servidor de correo, servidor www, etc.), simplemente quieres proteger el hardware de daños? ¿Contra qué lo estás protegiendo? Los daños malintencionados ( 8 estaciones Sun Enterprise 10000), borrados (datos estadísticos, la colección de recetas de tu madre), etc. ¿Qué probabilidades hay de que ocurra un "mal" suceso, pruebas de red (a mi me ocurren a diario), intrusiones físicas (todavía no me ha ocurrido), ingeniería social ("Hola, soy Paco, del departamento de informática, necesito tu clave para que podamos cambiarla...").

Es necesario listar todos aquellos recursos (servidores, servicios, datos y otros componentes) que contengan datos, den servicios, formen parte de la infraestructura de tu compañía, etc. A continuación se detalla una pequeña lista:


Servidores físicos
Servidores de correo y servicios
Servidores de DNS y servicios
Servidores de WWW y servicios
Servidores de ficheros y servicios
Datos internos de la compañía, como registros contables
Infraestructura de la red (cables, hubs, switches, routers, etc.)
Sistema telefónico (PBX, buzones de voz, etc.)

Después necesitas averiguar contra qué lo quieres proteger:


Daños físicos (humo, agua, comida, etc.)
Borrado / modificación de datos (registros contables, deterioro de tu sitio web, etc.)
Exposición de datos (registros contables, etc.)
Continuidad de servicios (mantenimiento activo de los servidores de correo/www/ficheros)
Evitar que otros hagan uso ilegal/impropio de tus servicios (envíos masivos de correos, etc.)

Finalmente, ¿cuál es la probabilidad de que se dé un suceso determinado?


Escaneos de red – puedes apostar que a diario
Ingeniería social – varía, normalmente suelen ser objetivo la gente más vulnerable
Intrusión física – depende, bastante rara, pero un empleado hostil con un par de alicates podría causar mucho daño en un armario de telecomunicaciones
Empleados que venden datos a la competencia – ocurre
La competencia, que alquile a gente especializada para penetrar activamente en tu red – nadie suele hablar de esto, pero también ocurre

Una vez que has redactado una lista de tus recursos y de aquello que es necesario hacer, tienes que empezar a implementar la seguridad. Algunas técnicas (seguridad física para servidores, etc.), son bastante evidentes, en estos temas existen unas pautas de comportamiento de seguridad que por lo general están implementadas (poner claves a las cuentas, etc.). La gran mayoría de los problemas de seguridad suelen ser de origen humano, y la mayoría de los problemas que yo haya visto están debidos a la falta de educación/comunicación entre gente, no existe la "bala de plata" técnicamente hablando, incluso el mejor software necesita alguien para instalarse, configurarse y estar mantenido.

Al grano. He aquí una pequeña lista de los posibles resultados derivados de un incidente de seguridad:


Pérdidas de datos
Perdida directa de beneficios (ventas vía web, el servidor de ficheros inactivo, etc)
Costes en tiempo de personal
Pérdida de productividad del departamento de informática, así como de los trabajadores dependientes de su infraestructura
Implicaciones legales (registros médicos, registros contables de clientes, etc.)
Pérdida de la confianza por parte del cliente
Publicidad por parte de los medios de comunicación