Modelo de prevención y defensa contra ataques cibernéticos basado en estandares de seguridad internacionales para It-Expert

Abstract

PwC , en la Encuesta global de Seguridad de la Información 2014, muestra que los incidentes de seguridad detectados se han incrementado en un 25% respecto al año anterior y los costos financieros de los incidentes han aumentado un 18% . Es claro que cada día las organizaciones se encuentran más expuestas a riesgos que podrían representar grandes pérdidas económicas, así como la pérdida de la imagen corporativa ante sus clientes. Sin embargo, la realidad actual demuestra que las empresas no son conscientes de los beneficios de invertir en la protección de sus recursos tecnológicos; vale decir, están expuestas cada segundo a ser atacadas debido a su deficiente esquema de seguridad. Mientras tanto, cada día los criminales informáticos atacan más sistemas de información, innovan técnicas para hacer más eficiente su trabajo, y solo están a la espera de personas o empresas que sean vulnerables. Ante ello, para proteger proactivamente a las organizaciones de un eventual ataque informático, se propone un modelo de seguridad que adopta dos enfoques: defensivo y preventivo. Los pilares de este modelo se concentran en dos estándares de seguridad reconocidos a nivel internacional: NIST SP 800-30 y NIST SP 800-115. El estándar NIST 800-30 permite identificar los principales riesgos a los que se encuentra expuesta una organización, así como definir estrategias para disminuir el impacto de una posible amenaza. A pesar de que la definición de un esquema para administrar riesgos puede mejorar los niveles de protección, es necesario considerar que cada día se descubren miles de vulnerabilidades en tecnologías de información, las cuales solo están a la espera de una persona que las utilice con fines ilícitos. Para abordar este problema, el modelo utiliza el estándar NIST 800-115, mediante programas de seguridad que permiten identificar, analizar y remediar las principales vulnerabilidades de sistemas en tiempo real y de forma automatizada. Al integrar ambos estándares, se logran niveles óptimos de seguridad en una organización, basado en la gestión proactiva de vulnerabilidades y en la mitigación de los niveles de riesgo.

PwC , in the Global Survey of Information Security 2014, shows that detected security incidents have increased by 25% over the previous year and the financial costs of incidents have increased 18% . Every day is clear that organizations are more exposed to risks that could pose major economic losses and loss of corporate image to their clients. However, the current reality shows that companies are unaware of the benefits of investing in the protection of their technological resources; that is, they are exposed every second to be attacked because of their poor security scheme. Meanwhile, every day more computer criminals attack information systems, innovate techniques to make their work more efficient, and are just waiting for people or companies who are vulnerable. In response, to proactively protect organizations of a possible cyber attack, a security model that takes two approaches is proposed: defensive and preventive. The pillars of this model are concentrated in two security standards internationally recognized: NIST SP 800-30 and NIST SP 800-115. NIST 800-30 standard identifies the main risks to which an organization is exposed and define strategies to lessen the impact of a possible threat. Although the definition of a scheme to manage risk can improve levels of protection, it is necessary to consider that every day thousands of vulnerabilities are discovered in information technologies, which are only waiting for a person who uses them for illegal purposes. To address this problem, the model uses the standard NIST 800-115 with programs that help to identify, analyze and rectify the major vulnerabilities of systems in real time and automated. By integrating both standards, optimum safety levels are achieved in an organization, based on proactive vulnerability management and mitigation of risk levels.