Elementos importantes de una política de seguridad de datos
Una política de seguridad de datos controla cómo se accede, utiliza, gestiona y monitorea los datos dentro de una organización. Su objetivo principal es salvaguardar todos los datos protegidos, tanto en reposo como en tránsito, y también ayuda a mantener la calidad, integridad y disponibilidad de los datos. Aunque las políticas de seguridad de datos a menudo no son requeridas por ley, pueden ayudar a las empresas a cumplir con las leyes de protección de datos que son relevantes para su industria. Todos los datos conservados por una organización deben estar cubiertos por políticas de seguridad de datos, incluidos los datos almacenados en puntos finales como computadoras portátiles o dispositivos móviles, ubicaciones externas, servicios en la nube y dispositivos de almacenamiento locales.
¿Por qué necesita una política de seguridad de datos?
Una política de seguridad de datos es crucial para las empresas que necesitan cumplir con las regulaciones, prevenir violaciones de datos y lidiar con otros incidentes de seguridad. Ciertos datos están protegidos por leyes o estándares industriales en muchos países y sectores. Por ejemplo, la propiedad intelectual (IP), la información de identificación personal (PII), la información de salud protegida (PHI) y la información de tarjetas de pago (PCI) son algunos de los principales tipos de información que requieren niveles adicionales de protección. No proteger los datos confidenciales podría dar lugar a costosas demandas y multas, así como dañar la reputación de la empresa, lo que puede provocar una pérdida de negocio o, en algunos casos, una caída en el precio de las acciones de la empresa. Las políticas de seguridad de datos también deben cubrir los activos físicos que de alguna manera se relacionan con la seguridad de los datos. Por ejemplo, las empresas deben contar con las medidas adecuadas para evitar el acceso no autorizado a la sala de servidores, que pueden incluir el uso de cerraduras, alarmas, tarjetas de identificación, cámaras CCTV, guardias de seguridad, etc.
Elementos clave de una política de seguridad de datos
Como punto de partida, es una buena idea delinear el alcance y los objetivos de la política de seguridad de datos, incluida información sobre por qué es necesaria la política. Quizás incluya algunos ejemplos de la vida real de cómo y por qué la política habría ayudado a mitigar un incidente de seguridad. Además de lo anterior, una política de seguridad de datos eficaz constará de los siguientes componentes principales:
- Un inventario de todos los datos protegidos almacenados por la organización. Esto incluye información almacenada en repositorios tanto locales como basados en la nube.
- Una lista de todas las partes interesadas que pueden verse afectadas por la política de alguna manera, p. clientes, empleados, contratistas, proveedores, accionistas, etc.
- Una lista de las funciones y responsabilidades relevantes para la salvaguardia de los datos protegidos.
- Información sobre cómo se aplicará la política, incluidos detalles sobre los proveedores de servicios, equipos y tecnologías de seguridad utilizados.
- Información sobre a quién se le debe permitir el acceso a qué recursos.
- Información sobre cómo se clasifican los datos. Un esquema de clasificación típico incluirá categorías como Pública, Privada y Restringida. Sin embargo, puede crear las categorías que mejor se adapten a sus necesidades. Por ejemplo, si es un proveedor de servicios de atención médica, es posible que desee una categoría dedicada a HIPAA o alguna otra normativa de protección de datos relevante.
- Información sobre cómo y cuándo se lleva a cabo la formación de concienciación en seguridad, y por quién. La capacitación debe tener un fuerte énfasis en los ataques de phishing y ransomware, y otras amenazas internas.
- Información sobre cómo se mide la eficacia de la política de seguridad de datos y cómo se actualiza en caso de que no cumpla con las expectativas.
A continuación se detallan los elementos (o subpolíticas) más importantes de una política de seguridad de datos:
Uso aceptable
Esta política debe describir cómo los usuarios pueden acceder y utilizar los recursos de la empresa, específicamente para actividades no relacionadas con el trabajo. La política también debe incluir detalles sobre cómo se hace cumplir la política de uso aceptable.
Gestión de contraseñas
Esta política incluirá detalles sobre la longitud requerida y la complejidad de las contraseñas, incluidos los procedimientos para el vencimiento y el restablecimiento de las contraseñas. La política también debe especificar cómo el empleado debe almacenar y recordar las contraseñas, y cómo la empresa debe procesarlas y almacenarlas.
Gestión de correo electrónico
Esto incluye información sobre cómo se pueden utilizar las cuentas de correo electrónico, las técnicas utilizadas para mitigar los ataques de phishing y SPAM, si los buzones de correo están cifrados y qué tipos de datos se pueden compartir con quién.
Auditoría de red
Esta sección debe especificar cómo se monitorea su red para detectar actividades anómalas. Esto incluye cómo planea obtener visibilidad de los intentos de inicio de sesión, el acceso y el uso de datos confidenciales, los cambios de configuración, el tráfico de red y más.
Uso de redes sociales
Dado que hoy en día es común que los empleados utilicen plataformas de redes sociales cuando están en el trabajo, se requerirá una política que especifique si, cómo, cuándo y dónde se pueden utilizar estas plataformas.
Respuesta al incidente
Si se produjera un incidente de seguridad, será necesario que haya un conjunto claro de procedimientos que describan cómo se manejan y quién los maneja. El Plan de respuesta a incidentes (IRP) también debe incluir una sección que describa cómo investigar y mitigar incidentes futuros.
Clasificación de datos
Una política de clasificación de datos debe describir cómo pretende clasificar sus datos, así como las tecnologías utilizadas para hacerlo. Un esquema de clasificación puede incluir categorías generales, como Pública, Privada y Restringida. Alternativamente, sus datos podrían clasificarse de acuerdo con las leyes de privacidad de datos relevantes para su organización.
Control de acceso
Una política de control de acceso describe cómo se otorga y revoca el acceso a recursos críticos. Esto también debe incluir información sobre los tipos de protocolos de autenticación utilizados (por ejemplo, MFA) y los tipos de métodos de control de acceso utilizados (por ejemplo, RBAC).
Seguridad física
Esta sección describirá las salvaguardas físicas que existen (o deberían existir) para proteger servidores, computadoras de escritorio, enrutadores, firewalls y otros recursos críticos de la red. Ejemplos de salvaguardas pueden incluir bloqueos de pantalla, cerraduras de puertas, sensores de movimiento, cámaras CCTV, tarjetas de acceso, etc.
Gestión de dispositivos móviles (MDM)
Una política de MDM describirá cómo los dispositivos móviles pueden conectarse a su red, incluidos los recursos a los que pueden acceder.
Cifrado de datos
Su política de cifrado de datos debe explicar cómo se cifran los datos confidenciales, tanto en reposo como en tránsito. Debe explicar los métodos de cifrado utilizados (por ejemplo, RSA) y los tipos de datos que deben cifrarse. Su política de cifrado debe estar alineada con su política de clasificación de datos.
Recuperación de respaldo
Necesitará una política que describa cómo y cuándo se realizan las copias de seguridad, dónde se almacenan y cómo se protegen. También deberá incluir información sobre cómo se prueban las copias de seguridad y cómo se pueden restaurar de manera oportuna.
Gestión de licencias de software
Necesitará procedimientos para comprar software, que incluirán la creación de un inventario de todo el software utilizado, junto con la información de licencia. También deberá escanear periódicamente su sistema en busca de software no autorizado o sin licencia.
Gestión de parches
Para garantizar que los parches de software críticos se instalen tan pronto como estén disponibles, deberá documentar y seguir algún tipo de procedimiento de administración de parches. También deberá escanear periódicamente su red en busca de vulnerabilidades de software.
Cumplimiento normativo
Una sección de su política de seguridad de datos debe dedicarse a las normas de privacidad de datos a las que está sujeta su organización. Por ejemplo, si está cubierto por el RGPD, deberá describir los derechos de los interesados, los procedimientos de notificación de violaciones de datos, cómo planea recopilar, procesar y almacenar legalmente datos personales, etc.
Los datos son uno de los recursos más valiosos en una organización de TI. Se crea, transmite y expone constantemente de diversas formas a través de la red de una empresa. Las buenas políticas son la base de una estrategia de ciberseguridad eficaz, y las mejores políticas abordan los problemas de seguridad de antemano antes de que tengan la oportunidad de materializarse.
Si desea ver cómo Lepide puede ayudarlo a desarrollar y mantener su política de seguridad de datos, programe una demostración con uno de nuestros ingenieros o comience su prueba gratuita hoy.