Control de acceso
El control de acceso, un servicio que apoya la confidencialidad de la información.
Como se menciono en el tema pasado "La confidencialidad" el control de acceso a sitios de la organización donde se encuentran recursos de red y de procesamiento de datos el acceso a la información es un tema muy importante a tomar en cuenta ya que las organizaciones deben de restringir el acceso para asegurar que solo los operadores autorizados puedan usar los datos u otros recursos de red permitidos.
El control de acceso define varios esquemas de protección que evita el acceso no autorizado a cualquier recurso de una infraestructura informática; para esto hay un concepto de "AAA" que involucra tres servicios de seguridad:
- Autenticación.
- Autorización.
- Auditoria.
- Algo que sepa el usuario: como una contraseña (por ejemplo).
- Algo que tenga el usuario: como un Token o una tarjeta RFID (por ejemplo).
- Algo que sea del usuario: como una huella digital, reconocimiento del iris (por ejemplo).
Es muy común que en algunas películas una persona ajena de alguna institución quiera acceder a lugares restringidos por lo que tiene que robar la tarjeta de acceso a un operador que si tenga los privilegios de acceder a sitios restringidos.
El uso de estos tres servicios "AAA" en un orden de 1->2->3, complica el acceso no autorizado a personas que quieran violar la seguridad y la confidencialidad.
La autorización: es un servicio que determina a que recursos pueden acceder los usuarios autenticados en alguno de estos tres servicios "AAA", y ademas que acciones, operaciones y funciones tiene dentro de un sistema o de un sitio.
ACL - Lista de Control de Acceso, es donde se determina los privilegios de los usuarios:
- Quien entra.
- A donde puede entrar.
- Que puede hacer.
En estas ACL es muy importante definir los horarios en los que los usuarios pueden hacer consultas, cambios y acciones, ya que al definir los horarios se esta agregando un factor mas a la seguridad de la información.
La auditoria: Es muy útil para rastrear las actividades de los usuarios, donde incluso de puede revisar a los sitios web donde a entrado, la cantidad de tiempo que tienes acceso a los recursos y toda la información que consultan y los cambios realizados.
 |
Notas:
Ante la ley, la privacidad y la confidencialidad es algo distinto ya que la mayoría de los datos que tienen privacidad son confidenciales, pero no todos los datos confidenciales son privados.
El acceso a la información confidencial sucede justo despues de autorizar el acceso a ella.
*Las imágenes fueron extraídas de un articulo de CISCO, donde se habla y se explica aspectos esenciales de la ciberseguridad..
Antes de dar a los auditores externos de ciberseguridad acceso a sus archivos y documentos esenciales, es una buena práctica realizar una autoevaluación de su empresa. Una autoevaluación puede realizarse utilizando métricas e índices de crecimiento del negocio, pero asegúrese de ser honesto, profesional y específico cuando realice una evaluación de su negocio o empresa por su cuenta. Si se hace correctamente, esta auditoría interna de su empresa puede ayudar a generar sus propias conclusiones y soluciones, que, más tarde, pueden compararse con la auditoría de seguridad externa detallada.
ResponderBorrar