¿Qué son los controles de Seguridad?

En artículos anteriores hemos hablado sobre los controles de seguridad que debemos implementar en la organización y cómo podemos definirlos, así que en esta ocasión explicaremos más a detalle qué son los controles de seguridad y cómo pueden ayudarnos a reducir los riesgos y/o disminuir el impacto de un incidente de seguridad.

¿Qué es un control de seguridad?

Un control de seguridad tiene como finalidad proteger la infraestructura, datos, información, operación, etc., de la organización; pudiendo tratarse desde una política de seguridad, un dispositivo físico (hardware) o algún software especializado. 

Para definir qué controles de seguridad necesitamos implementar debemos empezar por identificar los riesgos que tenemos en la empresa, analizar cada uno y determinar la mejor manera de reducir en mayor medida tales riesgos.

Por ejemplo, en nuestro Análisis de Riesgos, descubrimos que el servidor principal de la empresa se encuentra expuesto a Internet para que los usuarios se conecten a él mediante escritorio remoto, por lo tanto, existe el riesgo de que alguien se aproveche de las vulnerabilidades del servicio de RDP (Remote Desktop Protocol) e ingrese a nuestro servidor de forma no autorizada, debido a que no cuenta con las actualizaciones más recientes, hardening, seguridad, etc.

En este caso, las medidas que se tomen para disminuir el riesgo serían nuestros controles, siguiendo con el ejemplo, podríamos hacer lo siguiente:

➥ Desactivar el protocolo RDP expuesto.
➥ Generar VPNs a la infraestructura para que los usuarios puedan conectarse y una vez conectados puedan ingresar al servidor.
➥ Implementar un antimalware.
➥ Implementar un IPS para evitar la explotación de alguna vulnerabilidad.
➥ Cambiar configuraciones del RDP por default.
➥ Activar un doble factor de autenticación (2FA).
➥ Limitar el número de usuarios que tienen acceso así como sus permisos y privilegios.
➥ Monitoreo de registros de auditoría.

Esta lista salió solo de un servicio que se encuentra en riesgo, puedes listar tantos cosas como se te ocurran, y cada uno de ellos será un control, la idea es disminuir el riesgo tanto como sea posible, pero deberá de estar basado en el Análisis de Riesgos.

¿Qué tipos de controles de seguridad podemos implementar?

Hay varios tipos de controles de seguridad que podríamos considerar, tales como:

➥ Controles físicos. Algunos ejemplos son el CCTV, controles de acceso por medio de tarjetas inteligentes, PIN, etc. La idea es limitar el alcance que tendría alguien físicamente al objetivo.

➥ Controles lógicos. En estos controles entran el hardware y software que definimos para proteger nuestros activos.

➥ Controles administrativos. Aquí entran la políticas, procedimientos, y toda la documentación para proteger nuestros activos.

Existen muchas categorías de controles, pero básicamente todos ellos entrarán dentro de algunos de los rubros anteriores.

Como podrás darte cuenta, los controles de seguridad o controles de ciberseguridad son esenciales para proteger los activos de nuestra empresa. Si bien estos controles pueden fallar, su implementación ayudará a minimizar el impacto que un incidente de seguridad podría tener en nuestro negocio.