Seguridad de la información. Entendimiento común.
Canal de Telegram: https://t.me/protecciondelainformacion1
Grupo de Telegramas: https://t.me/protecciondelainformacion2
Sitio web: https://legascom.ru
Correo electrónico: online@legascom.ru
En las últimas tres décadas, la tecnología de la información ha hecho un gran avance. El surgimiento del hipertexto, la telefonía IP, el aumento de las velocidades de reloj de los procesadores y el ancho de banda de los canales de comunicación, el desarrollo de la "tecnología de la nube" y los dispositivos móviles, y mucho más. Todo esto complicó significativamente el proceso no solo de desarrollo, sino también de mantenimiento de la infraestructura de TI. Surgió una nueva profesión: administrador de sistemas.
El administrador del sistema es el especialista que garantiza el buen funcionamiento de toda la infraestructura de TI de la empresa. No es el último lugar en el trabajo de sysadmin ocupa el mantenimiento de la seguridad de la información de los recursos corporativos.
Para garantizar la seguridad de la información, el administrador debe instalar correctamente el software e instalar actualizaciones y parches en el SOFTWARE que ya se está utilizando. La solución de estas tareas, especialmente en las grandes empresas, a menudo requiere mucho tiempo y un gran número de especialistas, ya que generalmente en las grandes empresas, diferentes especialistas se ocupan del mantenimiento del sistema de telefonía, servidores de correo electrónico, recursos web y otros sistemas. Pero al mismo tiempo, cada uno de estos sistemas debe construirse teniendo en cuenta los requisitos de seguridad de la información. Sin embargo, los sistemas de información generalmente están interconectados, por ejemplo, los servidores de correo electrónico que ejecutan Microsoft Exchange deben ingresar a un dominio de Active Directory, el sistema de telefonía IP está vinculado al sistema de correo electrónico y los servidores web están vinculados a los servidores de bases de datos. Además, gracias al desarrollo del concepto BYOD (Bring Your Own Device, Traiga su propio dispositivo con usted), muchos empleados ahora usan sus dispositivos móviles para trabajar: tabletas y teléfonos. La aplicación eficaz de la seguridad de la información para tales sistemas integrados requiere de un amplio conocimiento técnico del especialista correspondiente en campos relacionados, ya que de lo contrario la mala seguridad de un elemento del sistema integrado puede anular todos los esfuerzos para proteger sus otros elementos. Como dicen, la fuerza de toda la cadena está determinada por la fuerza de su eslabón más débil.
Es mejor usar la configuración más estricta para todos los recursos directamente al construir una red corporativa. Por lo general, los propios fabricantes de aplicaciones y hardware recomiendan los modos de operación más seguros y detallan su configuración (por ejemplo, usar contraseñas complejas para iniciar sesión en el sistema, proteger el correo electrónico contra envíos no deseados, deshabilitar las cuentas de usuario predeterminadas, prohibir el acceso remoto a los recursos corporativos, etc.).
Sin embargo, una situación típica es la presencia de algún tipo de infraestructura corporativa, que se ha construido durante varios años por diferentes especialistas, en diferentes modelos de hardware y aplicaciones. Al mismo tiempo, los servicios en la nube, como el almacenamiento de archivos en la nube, las aplicaciones de oficina y otros, se integran en esta infraestructura. También aquí es relevante el problema ya mencionado anteriormente con el uso de dispositivos móviles. En tales casos, los recursos corporativos contienen vulnerabilidades y deficiencias relacionadas con la seguridad de la información por diversas razones.
El administrador del sistema generalmente tiene mucho trabajo que hacer. Especialmente en las pequeñas empresas, donde alrededor de 100 puestos de trabajo, una media a dos docenas de servidores y uno, un máximo de dos personas tienen que atender todo esto. Como resultado, estos profesionales se ocupan de tareas diarias, como resolver problemas de los usuarios, reemplazar cartuchos de impresora y papel de Fax, preparar puestos de trabajo para nuevos usuarios, etc. a menudo se ocupan de la configuración segura del software y el hardware, la redacción de instrucciones y políticas de seguridad de la información
para los usuarios se ponen en un segundo plano y por lo general no se ejecutan. La razón de esto es tanto el empleo de los administradores de sistemas como su falta de los conocimientos y habilidades adecuados para garantizar la seguridad de la información.
Para las grandes empresas, este problema no es tan relevante porque, por ejemplo, los grandes bancos tienen un Departamento o incluso un Departamento de seguridad de la información. En consecuencia, la solución de los problemas de seguridad de la información ya no son los administradores del sistema, sino los administradores de seguridad. Al mismo tiempo, los administradores de sistemas y los administradores de seguridad de la información realizan diversas tareas, algunos mantienen los recursos de TI y aseguran su funcionalidad, mientras que otros aseguran la seguridad de la infraestructura de TI. Los administradores de seguridad de la información preparan políticas e instrucciones para los administradores del sistema.
Pero en cualquier caso, independientemente de quién es responsable de garantizar la seguridad de la información, el administrador del sistema o el administrador de seguridad de la información, este especialista debe realizar regularmente una evaluación de la seguridad de los recursos de TI corporativos, es decir, una auditoría de la seguridad de la información del sistema.
Por supuesto, muchas organizaciones grandes prefieren contratar auditores profesionales para llevar a cabo la verificación de la seguridad del sistema de información corporativa. Sin embargo, esto solo tiene sentido para las grandes organizaciones a las que se imponen los requisitos de varios estándares (GOST, ISO, etc.). Las pequeñas empresas simplemente no pueden pagar tal auditoría, y por lo tanto, la tarea de realizar una auditoría práctica recae en el administrador del sistema como especialista principal en la red corporativa. Además, tales controles deben hacerse regularmente, lo que también impone costos adicionales.
