Guía del CISO para proteger entornos de cifrado

Como CISO, es su responsabilidad regular y garantizar la seguridad del entorno de cifrado dentro de su organización. Dado que surgen nuevas amenazas a diario y la mayoría de nuestras comunicaciones y transacciones se realizan en línea, es hora de que tome medidas para proteger sus datos cifrados y garantizar su confidencialidad, integridad y disponibilidad.

En este blog, echemos un vistazo a algunos consejos y características esenciales a la hora de proteger entornos de cifrado.

Comprender el panorama del cifrado

Antes de discutir estrategias, familiaricémonos con el área del cifrado. CifradoEn términos muy simples, es el proceso de convertir información legible en algo incomprensible o codificado de tal manera que nadie puede acceder a él sin permiso. Se utiliza en diversas áreas para proteger distintos tipos de información, incluyendo:

• Correos electrónicos y mensajes instantáneos
• Archivos y documentos
• Contenido de la base de datos
• Tráfico de red
• Datos almacenados en dispositivos y servidores

En el cifrado, el texto plano y otros datos relacionados se convierten en texto cifrado mediante un conjunto de reglas conocidas como algoritmos y un conjunto de valores conocidos como claves. Mientras que los algoritmos son cálculos matemáticos que sustentan las transformaciones de datos, las claves son códigos de seguridad y cadenas de identificación que dirigen el cifrado y descifrado de los mensajes. La solidez del cifrado depende en gran medida de la longitud de la clave y del tipo de algoritmo utilizado.

Establecimiento de una estrategia integral de cifrado

Para garantizar que la organización cuente con un entorno de cifrado codificado, es necesario contar con un plan de cifrado adecuado que se ajuste a los principales objetivos de seguridad empresarial. Una buena gestión de la información es crucial para asegurar que toda la información confidencial esté protegida, impidiendo el acceso a ella a personas no autorizadas, y también porque existen leyes que regulan la gestión de la información.

Es importante que esta estrategia sea equilibrada y adaptable, en el sentido de que utilice diferentes factores para proteger los datos. La gestión de estos elementos garantizará que una organización pueda proteger su información, satisfacer las necesidades de calidad de los datos y mejorar la seguridad. La estrategia debe incluir los siguientes elementos clave:

1. Política de cifrado

Desarrollar un política de cifradoSin ambigüedades, ya que describe las necesidades de cifrado de una organización. Esta estrategia de cifrado busca ofrecer una protección adecuada de los datos y las comunicaciones dentro de una organización y garantizar que solo las personas autorizadas puedan acceder a la información confidencial.

Esta política especifica las medidas necesarias relacionadas con el uso del cifrado y garantiza que todos los datos transferidos a través de las líneas de comunicación estén cifrados para evitar que cualquier persona los revise. Esta política debe abarcar:

1. Algoritmos de cifrado y longitudes de clave aceptables

   Las organizaciones deben utilizar lo siguiente: algoritmos de encriptación y longitudes de clave:

   • Algoritmos de clave simétrica: AES (Estándar de cifrado avanzado) Se debe tener en cuenta una longitud de clave mínima de 128 bits.
   • Algoritmos de clave asimétrica: RSA (Rivest-Shamir-Adleman) con una longitud de clave mínima de 2048 bits y ECC (criptografía de curva elíptica) con una longitud de clave mínima de 256 bits.
2. Procedimientos de gestión de claves

   La organización debe seguir lo siguiente procedimientos de gestión de claves:

   • Generación de claves: Las claves deben generarse mecánicamente y de forma aleatoria mediante generadores de números.
   • Distribución de claves: Las claves deben distribuirse de forma segura a través de métodos confiables utilizando canales y protocolos de comunicación seguros.
   • Almacenamiento de claves: Las claves deben gestionarse y almacenarse de forma segura en un sistema de gestión de claves seguro.
   • Rotación de claves: La rotación regular es buena para las claves, ya que esto ayudará a reducir la tasa de vulnerabilidades que probablemente puedan ocurrir.
   • Revocación de clave: Si una llave se pierde, se rompe o ya no es útil, se debe recuperar inmediatamente.
3. Funciones y responsabilidades de la gestión del cifrado

   Se deben asignar los siguientes roles y responsabilidades para la gestión del cifrado:

   • Oficial de cifrado: Responsable de crear e implementar la política de cifrado, brindar garantías de que la política cumple con las pautas del organismo regulador responsable y administrar todas las claves de cifrado.
   • Gerentes clave: Responsable de crear, distribuir, archivar y actualizar las claves utilizadas para cifrar mensajes.
   • Administradores del sistema: Este funcionario es responsable de poner en práctica y configurar el proceso de cifrado en los sistemas y redes de una organización.
   • Propietarios de datos: La persona debe supervisar el mapeo y asegurarse de que la información confidencial esté correctamente encriptada.
4. Requisitos y normativas de cumplimiento

   La organización debe cumplir con lo siguiente requisitos reglamentarios y estándares:

   • Normas federales de procesamiento de información (FIPS): Para fortalecer la seguridad y proteger la información divulgada en la organización, la organización debe adherirse a los Estándares Federales de Procesamiento de Información (FIP). Esto incluye la instalación de VPN FIPS controladas, el cifrado de dispositivos de almacenamiento a través de algoritmos criptográficos validados por FIPS y la revisión periódica del estado de cumplimiento definido en relación con los estándares FIPS.
   • HIPAA: La organización debe asegurarse de cumplir con las leyes sobre la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) con respecto a la protección de la información médica protegida (PHI).
   • PCI-DSS: El administrador debe asegurarse de que la organización haya cumplido con el estándar de seguridad de datos de la industria de tarjetas de pago (PCI DSS) para evitar la pérdida de datos de la tarjeta de crédito.
   • GDPR: Para proteger la privacidad de los datos de algunas personas, la organización debe asegurarse de cumplir con el Reglamento General de Protección de Datos (GDPR).
   • NIST: La organización debe cumplir con las normas del Instituto Nacional de Estándares y Tecnología (NIST) directrices para el uso del cifrado en los sistemas de información federales.
   • Otras regulaciones relevantes: La organización cumplirá con otras normas y reglamentaciones pertinentes que se apliquen a las actividades específicas de la organización y a sus prácticas de manejo de datos.

2. Evaluación de riesgos

El paso crucial y principal antes de implementar el entorno de cifrado es evaluar los riesgos y las vulnerabilidades. Para evaluar la eficacia del plan de cifrado, es fundamental considerar los siguientes aspectos esenciales de esta evaluación.

1. Tipos de datos que se cifran
   • Información de identificación personal (PII): Cualquier información que pueda conducir a alguien se conoce como información personal sobre ese individuo; ésta puede incluir nombres, direcciones, números de seguro social o información financiera.
   • Información de salud protegida (PHI): Información adquirida de un paciente o recibida por un paciente sobre un estado de salud individual, incluida la prestación, el pago o el reembolso de la atención médica.
   • Propiedad intelectual: Datos sensibles de la empresa; secretos comerciales; asuntos personales; e información restringida sobre asuntos comerciales.
   • Datos financieros: Cuentas, transacciones, balances, estados de cuenta, libros de contabilidad, registros vitales y otra documentación comercial de gran valor.
2. Ubicaciones donde se almacenan y transmiten los datos
   • Servidores locales y dispositivos de almacenamiento personalizados
   • Espacios basados ​​en la nube para almacenamiento y computación
   • Dispositivos móviles y portátiles
   • Infraestructura de red, como enrutadores y conmutadores
   • Canales de comunicación, como el correo electrónico y la mensajería instantánea
3. Vectores de ataque potenciales
   • Acceso no autorizado: Intentos de piratería informática que se realizan para intentar romper un tratamiento de seguridad establecido para proteger la información del acceso por parte de personas para quienes no está destinada.
   • Amenazas internas: Este riesgo implica que usuarios autorizados que tienen acceso a información cifrada realicen acciones indebidas.
   • Vulnerabilidades en algoritmos o implementaciones de cifrado: Vulnerabilidades que podrían surgir en caso de que los algoritmos de cifrado utilizados sean defectuosos o la forma en que fueron empleados por el sistema pueda ser manipulada por intrusos.
   • Violaciones de seguridad física: El robo o sabotaje de sistemas de hardware que contienen información o estructuras cifradas y el acceso físico no autorizado a dispositivos de almacenamiento.
4. Requisitos de conformidad
   • Los requisitos reglamentarios: Requisitos legales y reglamentarios que promueven el cifrado, por ejemplo, la Ley de Portabilidad y Accesibilidad del Seguro Médico (HIPAA), el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI-DSS) y el Reglamento General de Protección de Datos (GDPR).
   • Estándares de la industria: Directrices dirigidas a las mejores prácticas en cifrado requeridas por NIST y FIPS.
   • Obligaciones contractuales: Información confidencial compartida con clientes, socios o proveedores a través de contratos que contienen requisitos de cifrado.

3. Estándares y algoritmos de cifrado

Elija estándares y algoritmos de cifrado ampliamente aceptados y recomendados por expertos del sector y organismos reguladores. Algunos estándares comúnmente utilizados incluyen:

• AES (Estándar de cifrado avanzado): Un algoritmo de clave simétrica ampliamente utilizado por motivos de velocidad y seguridad.
• RSA (Rivest-Shamir-Adleman): Un algoritmo de clave asimétrica que se utiliza comúnmente para comunicaciones seguras y firmas digitales.
• ECC (Criptografía de curva elíptica): Un algoritmo de clave asimétrica que ofrece seguridad sólida con tamaños de clave más pequeños que RSA.
• TLS (Seguridad de la capa de transporte): Un algoritmo de clave simétrica que alguna vez fue ampliamente utilizado pero que ahora se considera inseguro debido a su pequeño tamaño de clave.

4. Gestión de claves

Gestión de claves Los procedimientos son uno de los aspectos más importantes que deben implementarse cuando se requiere proteger datos cifrados. La gestión de claves se refiere al proceso mediante el cual se crean, distribuyen, gestionan y, cuando es necesario, se recuperan o eliminan las claves.

Es por ello que es importante contar con las herramientas adecuadas para la gestión de estas claves de cifrado para evitar contratiempos como fugas de datos e incumplimientos de las medidas regulatorias establecidas, así como riesgos personales y otros riesgos externos.

1. Almacenamiento seguro de claves
   • Almacenar claves en tarjetas inteligentes seguras y dedicadas, como una módulo de seguridad de hardware o bóveda de claves
   • Garantizar mejores controles de acceso y utilizar métodos de autorización en sus sistemas de gestión de claves
   • Inspeccionar y analizar continuamente los principales sistemas de gestión para detectar actos de fraude y engaño.
   • Al almacenar una clave, esta debe almacenarse de forma cifrada, y la clave de cifrado debe mantenerse segura al mismo tiempo.
2. Rotación regular de claves
   • Debería haber cambios periódicos en las claves de cifrado para que, si hay una infiltración de piratas informáticos en el sistema, haya pocos datos a los que acceder.
   • Reducir los errores humanos mediante la automatización continua de los procesos clave de gestión para que sean siempre rutinarios.
   • Conservar un registro de claves utilizadas previamente para fines computacionales, respaldo de datos y/o para cumplir con necesidades legales.
3. Procedimientos de copia de seguridad y recuperación
   • Establecer y adherirse a medidas seguras para almacenar y realizar copias de seguridad de las claves de cifrado, como almacenar las claves de cifrado fuera del sitio o crear varias copias de las claves.
   • Realizar copias de seguridad y recuperaciones de forma periódica para descubrir la eficacia de las copias de seguridad.
   • Documentación detallada de los procedimientos de copia de seguridad y recuperación para garantizar que sea fácilmente accesible y cumpla con los requisitos reglamentarios.
4. Controles de acceso para sistemas de gestión de claves
   • Incorporar medidas de control de acceso que sólo permitan a ciertos roles y tareas autorizados realizar funciones clave.
   • Conceder acceso a los sistemas de gestión de claves únicamente a personas que hayan pasado rigurosos controles de autenticación, como la autenticación de dos factores.
   • Auditar y revisar periódicamente los controles de acceso para garantizar que sigan siendo relevantes y adecuados considerando los nuevos requisitos y riesgos olvidados.
   • Auditar y garantizar el cumplimiento de los sistemas de gestión de claves implementados mediante el registro y seguimiento de todos los accesos y usos.

5. Seguimiento y Auditoría

Las áreas de monitoreo y auditoría también son cruciales para la estrategia general de cifrado. Estos procesos ayudan a implementar políticas, evalúan proactivamente la probabilidad de que se ejecute una amenaza a la seguridad y ofrecen información sobre el dominio del cifrado.

1. Evaluaciones periódicas de vulnerabilidad
   • Asegurarse de que se realicen revisiones periódicas evaluaciones de vulnerabilidad Se llevan a cabo para alertar a los usuarios sobre posibles vulnerabilidades en los algoritmos de cifrado, implementaciones y configuraciones.
   • Evaluar evaluaciones de vulnerabilidad específicas con el fin de planificar un plan de acción para las vulnerabilidades de respuesta.
   • Identificar y posteriormente poner en marcha un mecanismo eficaz para contrarrestar las vulnerabilidades enumeradas.
2. Monitoreo del uso de claves de cifrado
   • Realizar un seguimiento de las tasas de uso de las claves y evaluar si hay algo fuera de lo común o que parezca sospechoso.
   • Monitorear las estadísticas de uso de claves para ayudar a hacer cumplir los estándares establecidos por las políticas y procedimientos de gestión de claves.
   • Contratar o asignar personal para alertar y notificar en caso de que ocurran posibles problemas o incidentes que amenacen la seguridad.
3. Registro y alerta de actividades sospechosas
   • Incorporar medidas de registro para monitorear el uso, acceso y otras actividades relacionadas con la clave de cifrado.
   • Identificar y configurar métodos de notificación distintos que adviertan a la alta dirección de posibles problemas o amenazas.
   • Uso de registros para la comparación de patrones y la detección de posibles infracciones antes de que ocurran.
4. Auditorías y elaboración de informes de cumplimiento
   • Realizar verificaciones periódicas de cumplimiento para validar la condición del entorno cifrado en relación con los estándares y el cumplimiento.
   • Desarrollar informes completos sobre hallazgos y recomendaciones basados ​​en la auditoría de cumplimiento.
   • Monitorear las áreas de preocupación y contar con un sistema de gestión de cumplimiento para garantizar que todas las complicaciones de cumplimiento se aborden adecuadamente.

Implementación de las mejores prácticas de cifrado

Para proteger con éxito su entorno de cifrado, es fundamental implementar medidas debidamente aprobadas en las distintas fases del ciclo de cifrado. A continuación, se presentan algunas prácticas recomendadas clave:

1. Generación segura de claves

   En este caso, se recomienda que las claves utilizadas en el cifrado se obtengan mediante números aleatorios seguros y se mantengan seguras. NO UTILICE una clave muy débil o muy obvia que cualquiera pueda descifrar.

2. Distribución segura de claves

   Utilice procedimientos seguros para difundir claves de cifrado a todos los nodos y credenciales de usuario permitidos. Esto puede lograrse mediante técnicas avanzadas de intercambio de claves o contratando a un tercero de confianza para distribuir las claves.

3. Almacenamiento seguro de claves

   Las claves de cifrado de datos también deben protegerse, y esto se hace almacenando las claves en un módulo de seguridad de hardware o un sistema seguro de gestión de claves. Estas son algunas sugerencias que pueden implementarse para garantizar que el acceso a las claves se limite al personal con dichos privilegios y que estas se cambien periódicamente.

4. Rotación de clave regular

   Por lo tanto, la clave debe rotarse con la frecuencia que se considere razonable, especialmente teniendo en cuenta la naturaleza de los datos que se están cifrando, así como la probabilidad de exposición de la clave.

5. Implementación de cifrado seguro

   Asegúrese de que el cifrado en toda la organización se realice correctamente. Esto incluye:

   • Utilizando las últimas versiones de algoritmos y protocolos de cifrado
   • Configurar correctamente los ajustes de cifrado
   • Actualización periódica del software y las bibliotecas de cifrado
   • Implementar prácticas de codificación segura para prevenir vulnerabilidades en las implementaciones de cifrado
6. Copia de seguridad y recuperación de claves de cifrado seguras

   Comprenda cómo respaldar y restaurar las claves de cifrado para recuperar datos y evitar los problemas que pueden surgir cuando se pierde una clave o falla un sistema. Asegúrese también de que existan lugares seguros para las claves de respaldo y de que los procedimientos de recuperación implementados se revisen periódicamente.

7. Revocación de clave de cifrado seguro

   Como medida de seguridad, se deben implementar métodos seguros para eliminar una clave de cifrado cuando se vulnere una clave o se despida a un empleado. Si se emitieron claves revocadas, asegúrese de que se borren inmediatamente de todos los dispositivos y de que la información cifrada con la clave revocada se cifre mediante una nueva clave.

Abordar los nuevos desafíos del cifrado

A medida que la tecnología avanza, surgen nuevos desafíos y amenazas, y estos son los que los CISO deben abordar. La modernización y el desarrollo tecnológico, así como el aumento de los riesgos de ciberseguridad, requieren un método evolutivo hacia una política de cifrado bien definida. Para abordar los riesgos de la mejor manera posible, los CISO deben estar informados sobre los avances actuales en tecnologías y estrategias de cifrado.

Esto requiere identificar los riesgos asociados a los nuevos algoritmos de cifrado, abordar los desafíos que surgen de la gestión de claves y cumplir con las nuevas regulaciones. Además, existen nuevas tendencias tecnológicas que requieren nuevos tipos de cifrado. SSL / TLS No basta, por ejemplo, con la computación cuántica, un mayor uso de la tecnología en la nube y la popularidad de Dispositivos de Internet de las cosas (IoT)Algunos desafíos clave incluyen:

1. Criptografía post-cuántica

   Los algoritmos de cifrado actuales pueden ser vulnerables a ataques de la nueva generación de computadoras, es decir, las computadoras cuánticas, ya que los primeros podrían ser fácilmente descifrados por los segundos, mucho más de lo que pueden ofrecer las computadoras clásicas.

   Esto se debe a que las computadoras cuánticas pueden utilizar algoritmos cuánticos como el de Shor, que pueden abordar fácilmente problemas de la teoría de números, como la factorización de enteros. Esto hace que los algoritmos de seguridad actuales, como RSA y ECC, sean vulnerables a ataques cuánticos. Para contrarrestar esta amenaza, los CISO deben asegurarse de recibir actualizaciones periódicas sobre criptografía poscuántica e incorporar criptografía resistente a la cuántica a medida que esté disponible.

   PQC Es fundamental para garantizar la protección de la comunicación digital y los datos sensibles en el futuro, tras la existencia de las computadoras cuánticas. La principal preocupación de PQC es identificar e implementar algoritmos criptográficos que no puedan ser fácilmente descifrados ni por las computadoras clásicas ni por las cuánticas.

   Las recomendaciones incluyen la creación de un inventario de ecosistemas criptográficos, la realización de un análisis de riesgos interno, el desarrollo de relaciones de trabajo con proveedores de tecnología y la estandarización de los ecosistemas criptográficos actuales antes de la transición global a la criptografía post-cuántica.

2. Ataques de tráfico cifrado

   Los ciberdelincuentes ahora utilizan el cifrado para enmascarar sus actividades y evitar ser detectados por las soluciones de seguridad. Esto se debe a que muchos algoritmos de cifrado, como SSL/TLS, están estandarizados con el objetivo específico de proteger el contenido de los datos que se transmiten.

   Sin embargo, esto a menudo implica que los atacantes pueden manipular estos protocolos y enmascarar sus acciones, ya que será difícil para los especialistas en seguridad detectar dichas acciones. Ante esta amenaza, los CISO también deberían considerar estrategias para inspeccionar y supervisar el tráfico de las comunicaciones cifradas SSL/TLS.

3. Amenazas internas

   Un empleado con acceso a claves y sistemas de cifrado genera numerosos riesgos potenciales de seguridad para los datos cifrados. Esto se debe a que personas internas tienen acceso a estos sistemas y podrían explotar la seguridad al participar en su manipulación.

   Para contrarrestar esta amenaza, los CISO deben supervisar y regular la accesibilidad de los sistemas de cifrado y realizar revisiones periódicas de los usuarios. Esto también implica implementar políticas como el control de acceso basado en roles (RBAC) y la autenticación multifactor (MFA) para garantizar que solo el personal autorizado tenga acceso a los sistemas de cifrado.

4. Requisitos de conformidad

   Existen numerosos estándares que se imponen a muchas empresas para adherirse al uso del cifrado para garantizar que sólo personas autorizadas accedan a determinada información.

   Por ejemplo, la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) estipula que la privacidad y la seguridad de la información médica protegida (PHI) deben protegerse mediante el uso de encriptación, mientras que el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) especifica que los datos de los comerciantes en las tarjetas de crédito deben someterse a encriptación.

   Además, el RGPD establece los requisitos de privacidad y seguridad de los datos personales, donde el uso de cifrado y medidas de protección de datos es obligatorio para las organizaciones que gestionan información personal. Los CISO deben conocer los estándares de conformidad fiables y asegurarse de que su entorno de cifrado se ajuste a ellos.

Conclusión

Proteger el entorno de cifrado de su organización es una responsabilidad fundamental para los CISO. Al desarrollar un sistema integral... estrategia de cifradoAl implementar las mejores prácticas y abordar los desafíos emergentes, los CISO pueden proteger eficazmente los datos cifrados de su organización contra las ciberamenazas. Recuerde que el cifrado es solo un componente de un programa sólido de ciberseguridad, y los CISO deben colaborar estrechamente con otros profesionales de seguridad para garantizar la seguridad integral de los sistemas y datos de su organización.

Consultoría de cifrado Proporciona servicios especializados diseñados para identificar vulnerabilidades y mitigar riesgos proporcionando Servicios de asesoramiento sobre cifradoUtilizamos cifrado para garantizar la protección continua de los datos, asumiendo que otras medidas de seguridad tradicionales podrían fallar.

Como proveedor de servicios de asesoría en cifrado, podemos aumentar significativamente la dificultad, el tiempo y el coste para que los atacantes comprometan sus datos. Nuestros servicios de asesoría en cifrado tienen como objetivo reducir su riesgo financiero asociado a las vulneraciones y minimizar su impacto general.