¿Qué es una evaluación de seguridad de red?
Una evaluación de seguridad de red es una auditoría diseñada para encontrar vulnerabilidades de seguridad que corren el riesgo de ser explotadas, que podrían causar daños a las operaciones comerciales o que podrían exponer información confidencial.
¿Cuál es el propósito de una evaluación de seguridad de red?
El propósito de una evaluación de seguridad de red es mantener la red, los dispositivos y los datos confidenciales protegidos contra el acceso no autorizado mediante la detección de posibles vectores de ataque desde dentro y fuera de la red interna.
Además, es posible que tenga la responsabilidad regulatoria de hacerlos, dependiendo de su industria. Por ejemplo, los procesadores de tarjetas de crédito deben cumplir con PCI DSS y las organizaciones de atención médica deben cumplir con HIPAA.
Las evaluaciones de seguridad de la red pueden responder a preguntas como:
- ¿Qué sistemas son susceptibles de ser violados?
- ¿Cuáles son los puntos de entrada comunes para las brechas de seguridad?
- ¿Cuál sería el impacto de un ataque cibernético en un activo específico?
- ¿Qué datos confidenciales, información de identificación personal o información de salud protegida quedarían expuestos en una violación de datos o fuga de datos?
- ¿Qué podemos hacer para mitigar este tipo de ataques?
¿Cuáles son los tipos de evaluaciones de seguridad de red?
Hay dos tipos de evaluaciones de seguridad de red:
- Evaluación de vulnerabilidades: Una evaluación de vulnerabilidades muestra a las organizaciones dónde están sus debilidades. Obtenga más información sobre vulnerabilidades aquí y gestión de vulnerabilidades aquí.
- Prueba de penetración: Las pruebas de penetración están diseñadas para imitar un ataque cibernético real o un ataque de ingeniería social, como phishing, spear phishing o whaling.
Ambos son excelentes métodos para probar la efectividad de las defensas de seguridad de su red y medir el impacto potencial de un ataque en activos específicos.
Cómo realizar una evaluación de seguridad de red
Una evaluación de seguridad de red es solo otro tipo de evaluación de riesgos de ciberseguridad. El proceso es el siguiente:
- Haga un inventario de sus recursos
- Determinar el valor de la información
- Evalúe la vulnerabilidad de su infraestructura de TI
- Pon a prueba tus defensas
- Documentar los resultados en un informe de evaluación de la seguridad de la red
- Implementar controles de seguridad para mejorar la ciberseguridad
- Supervise continuamente los problemas y los cambios
Hacer un inventario de los recursos
El primer paso es identificar los activos para evaluar y determinar el alcance de la evaluación. Esto le permitirá priorizar qué activos evaluar primero. Es posible que no desee o necesite realizar una evaluación en todas las redes inalámbricas, aplicaciones web y puntos de acceso Wi-Fi. Y es posible que no tengas el presupuesto aunque quisieras.
Dicho esto, puede ser útil hacer un inventario de todas sus redes, dispositivos, datos y otros activos para que pueda determinar qué activos desea proteger. Este proceso le proporcionará una visión general de su red general y de los controles de seguridad de TI que la rodean.
Determinar el valor de la información
La mayoría de las organizaciones no tienen un presupuesto ilimitado para la seguridad de la información (InfoSec), por lo que es mejor limitar su alcance a los activos más críticos para el negocio. Además, debe pensar en los requisitos normativos y de cumplimiento que su organización puede necesitar cumplir.
Lea nuestra guía sobre las mejores prácticas de supervisión del cumplimiento para obtener más información.
Para ahorrar tiempo y dinero, dedique tiempo a desarrollar una política de clasificación de datos que defina una forma estándar de determinar el valor de un activo o un dato. Consulte nuestra guía sobre clasificación de datos para obtener más información.
La mayoría de las organizaciones incluirán el valor de los activos, la situación legal y la importancia del negocio. Una vez que la política se haya incorporado formalmente a su programa de gestión de riesgos de información, utilícela para clasificar cada activo como crítico, mayor o menor.
Otras preguntas que pueden ayudarle a determinar el valor incluyen:
- ¿Existen sanciones financieras o legales asociadas con exponer o perder esta información?
- ¿Qué valor tiene esta información para un competidor?
- ¿Podríamos recrear esta información desde cero? ¿Cuánto tiempo tomaría y cuáles serían los costos asociados?
- ¿La pérdida de esta información tendría un impacto en los ingresos o la rentabilidad?
- ¿La pérdida de estos datos afectaría a las operaciones comerciales diarias? ¿Podría nuestro personal trabajar sin él?
- ¿Cuál sería el daño reputacional de que se filtren estos datos?
Evalúe la vulnerabilidad de su infraestructura de TI
Las vulnerabilidades son cualquier cosa que pueda ser explotada en una red segura.
El riesgo de ciberseguridad puede provenir de cualquier lugar, incluso dentro y fuera de su organización, personal interno con malos hábitos de seguridad o proveedores externos con políticas de seguridad de la información inadecuadas que tienen acceso a su red.
Debido a que los riesgos pueden ser tan variados, un proceso sólido de evaluación de riesgos de seguridad debe incluir:
- Análisis de red: Un análisis exhaustivo de todos los puertos de su red y otros vectores de ataque. Lea más sobre los peligros de los puertos abiertos aquí. Esto debe incluir Wi-Fi, Internet de las cosas (IoT) y otras redes inalámbricas e identificará hosts y servicios de red accesibles (como HTTP, FTP, SMTP y POP-3).
- Debilidades internas: Muchas organizaciones optarán por contratar consultores de seguridad externos para evaluar tanto al personal como a los consultores de seguridad desde el exterior.
- Enumeración de red: la detección de hosts o dispositivos en una red que pueden tomar huellas digitales del sistema operativo de hosts remotos. Una vez que un atacante conoce el sistema operativo, puede comprobar CVE en busca de una lista de vulnerabilidades conocidas que puedan explotar.
- Revisión de terceros: una revisión de todos los terceros y su nivel de acceso a su red interna y activos confidenciales.
- Revisión de la política de seguridad de la información: revisión de las políticas en torno a la capacitación de los empleados, BYOD (traiga sus propios dispositivos) y el uso del correo electrónico.
Otras amenazas que también debes tener en cuenta:
- Desastres naturales: Las inundaciones, los huracanes, los terremotos, los rayos y el fuego pueden destruir tanto como cualquier atacante cibernético. No solo puede perder datos, sino también servidores. A la hora de decidir entre servidores locales y basados en la nube, piense en la posibilidad de que se produzcan desastres naturales.
- Falla del sistema: ¿Sus sistemas más críticos se ejecutan con equipos de alta calidad? ¿Tienen un buen apoyo?
- Error humano: ¿Sus buckets de S3 contienen información confidencial configurados correctamente? ¿Su organización cuenta con la formación adecuada en torno al malware, el phishing y la ingeniería social? Cualquiera puede hacer clic accidentalmente en un enlace de malware o introducir sus credenciales en una estafa de phishing. Debe tener fuertes controles de seguridad de TI, incluidas copias de seguridad periódicas de datos, administradores de contraseñas, etc.
- Amenazas adversarias: proveedores externos, insiders, insiders de confianza, insiders privilegiados, colectivos de hackers establecidos, grupos ad hoc, espionaje corporativo, proveedores, estados-nación
Dado que esto puede llevar mucho tiempo, muchas organizaciones optan por servicios de evaluación externos o soluciones de seguridad automatizadas.
Pon a prueba tu defensa
Una vez que haya evaluado las vulnerabilidades de su organización, querrá probar si sus controles de seguridad y técnicas de mitigación de riesgos evitan que los atacantes puedan aprovecharlas.
Esto podría hacerse a través de pruebas de penetración manuales o utilizando herramientas automatizadas de hacking ético como Metasploit o Nmap.
Documentar los resultados en un informe de evaluación de seguridad de red
Ahora necesita desarrollar un informe para respaldar la toma de decisiones de la gerencia sobre el presupuesto, las políticas y los procedimientos. Para cada vulnerabilidad, el informe debe describir su riesgo, vulnerabilidades y valor. Junto con el impacto y la probabilidad de ocurrencia y las recomendaciones de control.
A medida que trabaje en este proceso, comprenderá qué infraestructura opera su empresa, cuáles son sus datos más valiosos y cómo puede operar y proteger mejor su negocio.
Implementar controles de seguridad para mejorar la ciberseguridad
Lo más probable es que haya encontrado una brecha o un punto débil en su red. Haga una lista de ellos y desarrolle un plan para remediarlos.
Los controles se pueden implementar a través de medios técnicos, como hardware o software, cifrado, mecanismos de detección de intrusiones en la red, autenticación de dos factores, actualizaciones automáticas, detección continua de fugas de datos o a través de medios no técnicos como políticas de seguridad y mecanismos físicos como bloqueos o acceso biométrico.
>Además, clasifique los controles en medidas preventivas y de detección. Los controles preventivos están diseñados para evitar que ocurran ataques, por ejemplo, la supervisión continua de la seguridad del proveedor, mientras que los controles de detección intentan descubrir cuándo se ha producido un ataque.
Supervise continuamente los problemas y los cambios
Además de las evaluaciones manuales de seguridad de la red. Muchas organizaciones están invirtiendo en calificaciones de seguridad para proporcionar un monitoreo continuo no solo de la seguridad de su red, sino también de su postura de seguridad general.
Las calificaciones de seguridad también suelen ser utilizadas por los equipos de gestión de riesgos de terceros para evaluar la calidad de las prácticas de seguridad de los proveedores.
Las calificaciones de seguridad o calificaciones de ciberseguridad son una medición basada en datos, objetiva y dinámica de la postura de seguridad de una organización. Son creados por una plataforma de calificación de seguridad independiente y de confianza, lo que los hace valiosos como indicador objetivo del rendimiento de la ciberseguridad de una organización.
Las calificaciones de seguridad complementan los métodos tradicionales de gestión de riesgos al proporcionar datos continuos, objetivos, procesables y siempre actualizados.
Obtenga más información sobre las calificaciones de seguridad aquí.