Content
- L’objectiu de la seguretat de la informació
- Les millors pràctiques de seguretat informàtica
- El menjar per emportar
Font: KrulUA / iStockphoto
Emportar:
Els professionals de les TI utilitzen les millors pràctiques per mantenir els sistemes corporatius, governamentals i altres organitzacions segurs.
La seguretat és una preocupació constant quan es tracta de tecnologia de la informació. El robatori de dades, la pirateria informàtica, el programari maliciós i altres amenaces són suficients per mantenir qualsevol professional de les informàtiques a la nit. En aquest article, analitzarem els principis bàsics i les bones pràctiques que utilitzen els professionals de les TI per mantenir els seus sistemes segurs.
L’objectiu de la seguretat de la informació
La seguretat de la informació segueix tres principis generals:
- Confidencialitat: vol dir que la informació només la veu o la fa servir la gent autoritzada a accedir-hi.
- Integritat: això significa que els canvis de la informació per part d’un usuari no autoritzat són impossibles (o almenys detectats), i es fan un seguiment dels canvis dels usuaris autoritzats.
- Disponibilitat: vol dir que la informació és accessible quan els usuaris autoritzats ho necessiten.
Així doncs, armats amb aquests principis de nivell superior, els especialistes en seguretat informàtica han elaborat bones pràctiques per ajudar a les organitzacions a garantir que la seva informació es mantingui segura. (Per obtenir informació sobre la protecció de la vostra xarxa quan hi hagi dispositius externs, vegeu Els tres components clau de BYOD Security.)
Les millors pràctiques de seguretat informàtica
Hi ha moltes bones pràctiques en seguretat informàtica específiques per a determinades indústries o empreses, però algunes s'apliquen àmpliament.
- Protecció d'equilibri amb utilitat
Els ordinadors d'una oficina es podrien protegir completament si es trenquessin tots els mòdems i tothom fos expulsat a la sala, però no servirà per a ningú. És per això que un dels majors reptes de la seguretat de les TI és trobar un equilibri entre la disponibilitat de recursos i la confidencialitat i la integritat dels recursos.
En lloc d’intentar protegir-se contra tot tipus d’amenaces, la majoria de departaments d’informàtica es centren en l’aïllament dels sistemes més vitals i després a trobar formes acceptables de protegir la resta sense fer-los inútils. Alguns dels sistemes de prioritat inferior poden ser candidats a anàlisis automatitzats, de manera que els sistemes més importants segueixen sent el focus. - Divideix els usuaris i els recursos
Perquè un sistema de seguretat de la informació funcioni, ha de saber a qui se li permet veure i fer coses particulars. Per exemple, algú en comptabilitat no necessita veure tots els noms de la base de dades de clients, però pot ser que hagi de veure les xifres que surten de les vendes. Això significa que un administrador del sistema ha d'assignar l'accés pel tipus de treball d'una persona i pot ser que necessiti afinar més aquests límits segons separacions organitzatives. D’aquesta manera s’assegurarà que l’oficial financer principal podrà accedir idealment a més dades i recursos que un comptador menor.
Dit això, classificació no significa un accés complet. És possible que un conseller delegat de l'empresa pugui veure més dades que altres persones, però automàticament no necessita l'accés complet al sistema. Això ens porta al següent punt. - Assignar privilegis mínims
S'ha d'assignar als individus els privilegis mínims necessaris per exercir les seves responsabilitats. Si les responsabilitats d’una persona canvien, també seran els privilegis. Assignar privilegis mínims redueix la possibilitat que Joe del disseny es pugui obrir per totes les dades de màrqueting. - Utilitzeu les defenses independents
Aquest és un principi militar tant com un de seguretat informàtic. Utilitzar una defensa realment bona, com ara protocols d’autenticació, només és bo fins que algú l’incompleixi. Quan s’utilitzen diverses defenses independents, l’atacant ha d’utilitzar diverses estratègies diferents per aconseguir-les. La introducció d’aquest tipus de complexitat no proporciona una protecció del 100 per cent contra atacs, però redueix les probabilitats d’un atac amb èxit. - Pla per al fracàs
La planificació del fracàs ajudarà a minimitzar les seves conseqüències en cas que es produeixin. Tenir sistemes de còpia de seguretat prèviament en marxa permet al departament d’informàtica supervisar constantment les mesures de seguretat i reaccionar ràpidament davant d’una infracció. Si l’incompliment no és greu, l’empresa o l’organització pot mantenir les seves operacions de còpia de seguretat mentre es resol el problema. La seguretat informàtica es refereix tant a limitar els danys incomplits com a prevenir-los. - Record, Record, Record
L’ideal seria que mai s’incomplís un sistema de seguretat, però quan es produeixi una violació de seguretat, s’hauria de registrar l’esdeveniment. De fet, el personal informàtic sovint registra el màxim possible, fins i tot quan no hi ha una violació. De vegades les causes dels incompliments no són clares després del fet, per la qual cosa és important tenir dades per fer un seguiment endarrerit. Les dades derivades de les infraccions eventualment ajudaran a millorar el sistema i prevenir futurs atacs, fins i tot si inicialment no té sentit. - Executar proves freqüents
Els pirates informàtics milloren constantment el seu ofici, cosa que significa que la seguretat de la informació ha d’evolucionar per estar al dia. Els professionals de les TI realitzen proves, realitzen avaluacions de risc, relleuen el pla de recuperació de desastres, revisen el pla de continuïtat empresarial en cas d’atac i, tot seguit, ho fan de nou. (Penseu que els pirates informàtics són dolents? Llegiu 5 raons per les quals heu d’agrair els pirates informàtics.)
El menjar per emportar
La seguretat informàtica és un treball difícil, que requereix atenció al detall alhora que exigeix un coneixement més alt. No obstant això, com moltes tasques que semblen complexes a primera vista, es pot desglossar la seguretat de les TI en passos bàsics que puguin simplificar el procés. No vull dir que facilita les coses, però sí que els professionals de les TI estan al cap dels peus.