La guía Lepide para gestionar y monitorear el control de acceso
La capacidad de determinar quién debería y no debería tener acceso a qué datos es una parte integral de cualquier estrategia de seguridad de datos, o al menos debería serlo. Lamentablemente, muchas organizaciones todavía no tienen el control que necesitan para mantener sus datos seguros.
Muchos no tienen un inventario completo de los datos que almacenan, y mucho menos una comprensión clara de cómo se accede a esos datos. Según un estudio reciente, casi el 20% de las organizaciones tienen más de 1000 carpetas confidenciales abiertas a todos y aproximadamente la misma cantidad tiene más de 1000 carpetas con permisos inconsistentes.
Las organizaciones almacenan cada vez más datos confidenciales en la nube, lo que no sorprende dado que las soluciones en la nube son asequibles, escalables y convenientes. Sin embargo, si no se configuran correctamente, pueden dejar sus archivos confidenciales expuestos a Internet. Por ejemplo, últimamente hemos visto una gran cantidad de filtraciones de datos causadas por depósitos de Amazon S3 mal configurados o con "fugas". Según estadísticas recientes, el 7% de todos los depósitos de S3 tienen acceso público sin restricciones.
Con estadísticas como éstas, no sorprende que las filtraciones de datos sigan apareciendo en los titulares. Lo que buscan la mayoría de los ciberdelincuentes es información confidencial y, sin los controles de acceso adecuados, simplemente se los estamos dando en bandeja.
¿Qué son los permisos de acceso?
Los permisos de acceso se describen mediante una lista de control de acceso (ACL), donde cada elemento de la lista especifica cómo un sujeto determinado puede interactuar con un objeto determinado. O en términos menos abstractos, qué operaciones puede realizar un determinado usuario, programa o proceso en un determinado archivo o carpeta.
¿Cuáles son los diferentes tipos de control de acceso?
Existen varias técnicas para controlar el acceso a datos confidenciales, aunque el control de acceso basado en roles (RBAC) y el control de acceso basado en atributos (ABAC) son los más comunes. RBAC es donde se otorga acceso en función de la función de un sujeto, que puede incluir su tipo de usuario, puesto de trabajo, departamento, ubicación física o tiempo dedicado a la empresa. ABAC, por otro lado, utiliza declaraciones "SI, ENTONCES" para permitir un control de acceso detallado.
Por ejemplo, SI tipo_usuario=administrador Y departamento=TI, ENTONCES conceda acceso de lectura/escritura a la carpeta "copias de seguridad". ABAC proporcionará el nivel de control más preciso; sin embargo, la capa adicional de complejidad podría generar puntos ciegos. Como tal, RBAC es probablemente el enfoque más adecuado, aunque si es necesario se puede utilizar una combinación de RBAC y ABAC.
Los permisos configurados incorrectamente más peligrosos
A menudo, los permisos individuales no presentan grandes problemas; los permisos más grandes y peligrosos configurados incorrectamente a menudo se establecen a través de problemas de herencia y participación grupal. Generalmente, existen dos tipos principales de permisos que pueden resultar perjudiciales para una organización:
- Todo el mundo tiene derecho a acceder y modificar archivos y carpetas, lo que crea numerosos usuarios con permisos excesivos y aumenta la superficie de ataque potencial para una amenaza interna o una violación de datos.
- Los permisos de base de datos configurados incorrectamente también podrían provocar una fuga de datos.
A menudo, encontramos que las configuraciones incorrectas son una de las principales causas de permisos peligrosos. Sunshine Behavioral Health LLC, por ejemplo, informó recientemente sobre la filtración de datos de más de 93.000 archivos de pacientes debido a una configuración incorrecta de los depósitos de Amazon S3.
Por qué debería revisar los permisos de control de acceso con regularidad
A medida que las empresas crecen y evolucionan, los permisos de control de acceso pueden salirse de control rápidamente. Los usuarios cambian de roles todo el tiempo o abandonan la empresa, y su control de acceso debe cambiarse para reflejar esto. Sin revisiones periódicas de sus permisos de control de acceso, no podrá detectar estos casos de uso y su superficie de ataque potencial podría crecer exponencialmente. Sus permisos de control de acceso deben revisarse periódicamente como parte de un proceso de evaluación de riesgos más amplio. Algunas de las cosas que debe buscar incluyen:
- ¿Cuáles de sus usuarios tienen acceso a sus datos más confidenciales?
- De estos usuarios, ¿cuántos requieren este acceso como parte de los requisitos de su función?
- ¿Cuántos cambios de permisos se están produciendo? ¿Estos cambios crean permisos excesivos?
- ¿Cuáles de sus usuarios están creando y modificando datos confidenciales?
Idealmente, debería restringir los permisos tanto como sea posible para reducir el riesgo de violaciones de datos.
Cómo gestionar los permisos de control de acceso
Administrar sus permisos de control de acceso de forma continua y proactiva puede ayudarle a evitar permisos excesivos y la dispersión de permisos y ayudarle a proteger los datos. Hay varias cosas que puede hacer para asegurarse de que los permisos de control de acceso se administren correctamente.
Cualquiera que sea el enfoque que utilice, es importante dedicar algo de tiempo a pensar en cómo deben organizarse sus datos para reducir la complejidad de los controles que configura. Una vez que haya decidido un esquema de clasificación, deberá revisar sus repositorios existentes con un peine de dientes finos y tomar nota de qué datos tiene y cómo deben clasificarse.
Esto puede parecer una tarea desalentadora, ya que muchas organizaciones tendrán enormes archivos de datos no estructurados que han acumulado durante varios años. Afortunadamente, existen herramientas disponibles que ayudarán a que el proceso sea menos doloroso. Una herramienta de clasificación de datos escaneará automáticamente sus repositorios, descubrirá y clasificará una amplia gama de tipos de datos, incluidos; números de seguridad social, datos biométricos, registros médicos, detalles de tarjetas de pago y cualquier otro tipo de datos cubiertos por GDPR, HIPAA, PCI, etc. Estas soluciones también proporcionarán un resumen detallado de los archivos que contienen datos confidenciales que tienen permisos excesivos, brindándole así la visibilidad que necesita para configurar los controles de acceso de manera rápida y eficiente.
Bien, profundicemos un poco más en las categorías que debemos configurar y los tipos de datos que pertenecen a cada categoría.
Si bien los administradores tienen la libertad de configurar las categorías que quieran, las categorías más comunes incluirán Pública, Privada y Restringida. Es poco probable que necesiten más de tres categorías, aunque existen algunas áreas grises, como ilustraré a continuación:
Los datos públicos pueden incluir cualquier dato que esté disponible para el público en general. Sin embargo, eso no significa que el público en general tendrá acceso de escritura a los datos, sólo que podrá ver los documentos sin restricciones. Si al público se le permite acceso de escritura a un determinado dato, no tiene sentido asignarle controles de acceso. Los datos públicos pueden incluir ofertas de trabajo, listados de productos, información de ventas, etc.
Los datos privados son datos que no están disponibles para el público en general de forma predeterminada, aunque se puede otorgar acceso público bajo ciertas condiciones. Esto podría incluir información que se encuentra detrás de un muro de pago o datos que pueden presentarse a los clientes previa solicitud. Sin embargo, los datos privados también pueden incluir información empresarial específica, que no puede revelarse al público, como diseños de productos, propiedad intelectual, beneficios de la empresa o cualquier información que pueda dañar la reputación de la empresa o provocar una pérdida de ingresos, si fuera así. para ser divulgado al público.
Datos restringidos son datos que, de divulgarse al público, podrían dar lugar a multas, demandas o una pérdida grave de negocio. Las regulaciones de protección de datos, como GDPR, HIPAA y PCI-DSS, requieren que se implementen salvaguardias para garantizar que los datos confidenciales no queden expuestos al público, y el incumplimiento de estas regulaciones puede resultar costoso. Por ejemplo, según el RGPD, las multas pueden ascender hasta 20 millones de euros, o el 4% de la facturación anual global (lo que sea mayor).
Como puede ver, los diferentes tipos de datos tienen diferentes niveles de sensibilidad y puede resultar tentador configurar muchas categorías diferentes para atender a los diferentes tipos de datos. Sin embargo, es importante encontrar un equilibrio, ya que demasiada granularidad agregará complejidad, lo que a su vez podría hacer que sea más difícil determinar si un usuario debería o no tener acceso a un determinado dato.
El "principio de privilegio mínimo" es un principio muy importante en la seguridad de los datos. Independientemente de si estamos hablando de un usuario, un programa o un proceso, solo se le debe conceder acceso a los datos que necesita para desempeñar su función. Además de evitar que los empleados habituales espíen datos que no son relevantes para su función laboral, implementar seguridad con privilegios mínimos ayudará a evitar que los ataques de malware se propaguen lateralmente por la red.
Monitoreo de permisos de acceso
Configurar controles de acceso es una cosa, pero aún necesitará una forma de monitorearlos y asegurarse de que los controles que ha configurado no estén siendo manipulados de alguna manera. Si bien en teoría es posible examinar manualmente los registros del servidor nativo para buscar cambios de permisos no autorizados, este no sería el enfoque recomendado, ya que el proceso será complicado e ineficiente. En su lugar, sería mejor instalar una solución de auditoría de cambios de terceros como Lepide Data Security Platform, que agregará automáticamente registros de eventos de múltiples fuentes y presentará la información relevante a través de una consola intuitiva.
Una solución de auditoría especializada también ayudará a detectar y administrar cuentas de usuarios inactivas, que los piratas informáticos intentarán explotar para navegar por su sistema sin ser detectados. También le proporcionará alertas en tiempo real e informes predefinidos para brindarle la visibilidad que necesita para proteger adecuadamente sus datos confidenciales.
Es posible que tenga las mejores tecnologías de seguridad que el dinero pueda comprar, pero cuando se trata de proteger sus datos confidenciales, los controles de acceso lo son todo. En resumen, necesita saber dónde residen sus datos confidenciales, así como quién tiene actualmente y debería tener acceso a ellos. También necesitará saber cuándo y quién cambia los permisos de acceso.
>