Una Política de Cifrado Empresarial es vital para la seguridad de una organización. Esta política proporciona una forma uniforme de garantizar... cifrado Las mejores prácticas se implementan correctamente en toda su organización. Además, una sólida Política de Cifrado Empresarial puede adaptarse a la estrategia de cifrado que su organización haya creado, brindándole una solución específica para sus deficiencias de cifrado.
Crear una política de cifrado requiere mucha planificación y organización para su correcta implementación. Su Política de Cifrado Empresarial probablemente sugerirá diferentes herramientas para el cifrado de datos, como firma de código Soluciones, para darle a tus datos la seguridad que merecen.
Conceptos básicos del cifrado
El primer paso para diseñar una política de cifrado empresarial sólida es comprender los fundamentos del cifrado. Existen dos tipos de métodos de cifrado: cifrado asimétrico y simétricoEl cifrado simétrico utiliza una sola clave para cifrar los datos. Esto significa que tanto la persona que cifra los datos como la persona... descifrar Los datos utilizan la misma clave.
Los datos iniciales en texto plano se cifran con la clave simétrica y se convierten en texto cifrado. Este texto cifrado se descifra posteriormente con la misma clave utilizada para cifrarlo, reproduciendo así el texto plano. La clave debe transmitirse de forma segura tanto a la persona que cifra como a la que descifra los datos, ya que solo quienes necesiten cifrar o descifrar los datos deben tener acceso a ella.
Si la seguridad de la clave no se gestiona adecuadamente, un actor de amenazas maliciosas podría robar los datos de texto simple y usarlos para fines no deseados.
El otro tipo de cifrado es el cifrado asimétrico. Este modo de cifrado utiliza un par de claves de cifrado, en lugar de una clave única. El par de claves se crea con una clave pública y una privada. Como sus nombres indican, la clave pública está disponible para todos, mientras que la clave privada solo la conoce quien lo creó. Este par de claves está matemáticamente vinculado, de modo que si la clave privada o la clave pública cifran cualquier texto plano, la otra clave puede descifrar el texto cifrado resultante.
El cifrado asimétrico funciona con datos en tránsito de la siguiente manera: el remitente cifra los datos con la clave privada de su par de claves. La clave pública se envía al destinatario, quien la utiliza para descifrar los datos. Dado que estas claves están vinculadas, el destinatario sabe que los datos provienen de la persona que cree. De esta forma, el cifrado asimétrico proporciona un método válido para autenticar que los datos en tránsito no han sido alterados y para validar la identidad del remitente.
Ahora, un componente final del cifrado que debemos comprender son los diferentes estados en los que pueden estar los datos, que incluyen datos en tránsito/datos en movimiento, datos en reposo y datos en uso:
Ahora que entendemos los conceptos básicos del cifrado, veamos lo que debemos tener en cuenta al desarrollar una estrategia de política de cifrado empresarial.
¿Qué aspectos se deben tener en cuenta al elaborar una estrategia?
La elaboración de una estrategia para el desarrollo de una Política de Cifrado Empresarial es un paso fundamental en su desarrollo. Hay diversos puntos a considerar al elaborar la estrategia, comenzando por la colaboración. Una organización que crea una Política debe colaborar con todos los equipos que puedan estar involucrados en ella o que puedan tener información útil para ella. Esto incluye a los equipos de cumplimiento, ya que podrán ayudar a determinar qué tipos de datos deben descubrirse y clasificarse, así como qué métodos de cifrado o protección de claves son necesarios.
Las demás partes interesadas en este proyecto también pueden ayudar a conectar esta política con otras políticas ya implementadas en su organización, como las políticas de protección de claves. Los equipos que implementan los controles de la Política de Cifrado Empresarial también deben participar en el proceso de elaboración de estrategias.
El siguiente paso a considerar al planificar la creación de su Política de Cifrado Empresarial es la clasificación de datos. Con la ayuda del equipo de cumplimiento, deberá determinar las diferentes normas y regulaciones que debe seguir, ya que esto le indicará a su organización si los datos deben clasificarse y, en caso afirmativo, cuáles deben clasificarse y cómo deben protegerse. Para clasificar los datos, una organización debe analizarlos minuciosamente para determinar los diferentes tipos que almacena. Si se almacenan o utilizan ciertos tipos de datos, como números de la Seguridad Social, números de teléfono o direcciones, entonces esos datos deben protegerse.
Una vez clasificados los datos, su protección mediante cifrado, tokenización u otros métodos es mucho más sencilla. Normalmente, los datos se clasifican de cuatro maneras diferentes. El primer nivel de clasificación es "Público", que abarca los datos que están o estarán disponibles al público. Si estos datos se pierden o son robados, no causan ningún problema, ya que son de dominio público.
El segundo nivel es el de Uso Empresarial, que comprende los datos utilizados en las operaciones diarias de la empresa. Este es el nivel de clasificación de la mayoría de los datos, y si bien su pérdida representaría un obstáculo, no paralizaría a la organización. El tercer nivel es el de Datos Confidenciales, datos a los que tienen acceso pocas personas y cuya filtración supondría la pérdida de una ventaja competitiva. Finalmente, se encuentran los Datos Restringidos, que constituyen la información menos accesible dentro de la organización.
La filtración de datos restringidos podría ocasionar pérdidas de ingresos por millones de dólares y, en caso de pérdida o robo, podría dar lugar a demandas judiciales.
Otro aspecto clave a considerar al crear la política de su organización son los roles y el control de acceso a los datos. Garantizar que solo quienes necesitan acceder a ciertos datos tengan acceso es fundamental para la seguridad de la información, ya que permitir el acceso a datos restringidos a personas no autorizadas podría resultar en el robo o la pérdida de datos vitales para la organización. Puede implementar un control de acceso adecuado asignando roles a los usuarios. Estos roles pueden basarse en niveles de clasificación de datos, puesto de trabajo o incluso el departamento de la empresa en el que trabaja el usuario. De esta manera, un usuario podría tener un rol de acceso restringido a datos, un rol de asociado de ventas o un rol de recursos humanos, respectivamente.
Otro punto importante a considerar en el control de acceso es la segregación de funciones. Esta segregación implica que se necesitan varias personas para completar una tarea determinada. Por lo tanto, si alguien solicita acceso a datos restringidos, uno o más aprobadores deberán permitirle el acceso antes de que pueda acceder y utilizarlos. Esto ofrece más posibilidades de detener una posible amenaza interna, ya que varias personas tendrían que estar involucradas en la amenaza para robar datos.
Ahora bien, uno de los aspectos clave al crear una estrategia para su política es considerar los tipos de cifrado que desea implementar. Estos pueden variar según las normativas y estándares de cumplimiento que su organización debe seguir y el nivel de seguridad que desea implementar en su infraestructura de TI. Toda organización debe esforzarse por contar con el cifrado y la seguridad más robustos posibles, sin que esto afecte negativamente ni ralentice sus operaciones.
Su empresa puede utilizar cualquier tipo de algoritmo de cifrado, pero garantizar la protección de los datos en todos los formatos es fundamental. Si solo se protegen los datos en movimiento, pueden verse comprometidos, tanto en reposo como en uso. Además, realice un seguimiento de... Instituto Nacional de Ciencia y Tecnología (NIST) actualizaciones de regulaciones y estándares, ya que estos brindan a las organizaciones las mejores prácticas posibles a seguir para garantizar que están utilizando los algoritmos de cifrado más fuertes, longitudes de clave, etc.
Su empresa puede gestionar sus diferentes métodos de cifrado de forma manual o con Servicios de plataforma de cifrado empresarialcomo MicroFocus o Protegrity. Esto también debería ayudarte a determinar el siguiente paso en tu estrategia, que es la gestión de claves de cifrado.
La gestión de claves de cifrado es posiblemente la parte más importante de su estrategia de cifradoComo han demostrado muchos de los ataques más recientes a la cadena de suministro, el primer objetivo que intentará encontrar un atacante es la clave privada del par de claves de cifrado asimétrico.
Actualmente, las claves se pueden almacenar en diversos lugares, pero no todos son seguros. Algunas organizaciones las almacenan en texto plano en sus dispositivos, el método menos seguro. Si bien existen soluciones de seguridad de claves basadas en software, aún no se consideran la mejor práctica, ya que estas claves siguen siendo vulnerables al robo.
La mejor práctica, según lo propuesto por el NIST, es utilizar Estándares federales de procesamiento de información (FIPS) Los módulos de seguridad de hardware (HSM) validados por FIPS ofrecen el método más seguro para proteger las claves de cifrado, o cualquier otro tipo de clave. Los HSM validados por FIPS abarcan desde el nivel 1 hasta el nivel 4 de la norma FIPS 140-2. El nivel 1 proporciona el mínimo nivel de seguridad, requiriendo un algoritmo de cifrado funcional de cualquier tipo y equipos de grado industrial. El nivel 2 incluye todos los requisitos del nivel 1 y añade autenticación basada en roles, dispositivos físicos a prueba de manipulaciones y un sistema operativo aprobado por Common Criteria en EAL2.
La mayoría de las organizaciones suelen utilizar un HSM FIPS 140-2 de nivel 3, ya que cumple con todos los requisitos del nivel 2 y, además, incorpora dispositivos a prueba de manipulaciones, separación de las interfaces lógicas y físicas por donde entran o salen parámetros de seguridad críticos del sistema, y autenticación basada en identidad. Las claves privadas que entran o salen del sistema también deben cifrarse antes de poder transferirse. El nivel 4, el último nivel, exige todo lo del nivel 3, además de la capacidad del dispositivo para detectar manipulaciones y la posibilidad de borrar su contenido si se detectan ciertos ataques ambientales.
La parte final de una estrategia sólida para crear su Política de Cifrado Empresarial consiste en determinar qué soluciones desea implementar. Estas pueden abarcar desde soluciones de gestión de certificados y plataformas de cifrado empresarial hasta soluciones de firma de código, gestión de claves e infraestructuras de clave pública (PKI). Elegir la solución adecuada para su organización es fundamental, ya que estas soluciones deberán satisfacer diversas necesidades empresariales.
Elegir la mejor solución puede ser difícil, pero centrarse en los diferentes estándares de cumplimiento que debe seguir, así como en las mejores prácticas establecidas por los estándares NIST, le brindará a su empresa las mejores soluciones posibles para cumplir con los requisitos del proyecto. Ahora que hemos desarrollado una estrategia para su Política de Cifrado Empresarial, veamos cuáles son sus componentes clave.
Áreas clave de la política de cifrado empresarial
Normas técnicas de cifrado:
La sección de estándares técnicos de cifrado de la Política de Cifrado Empresarial aborda los detalles técnicos de las diferentes claves, algoritmos de cifrado, etc., para la empresa. Esta sección incluye la longitud, la seguridad y los tipos de claves, así como otros detalles técnicos. La seguridad de los algoritmos de cifrado empleados, sus tipos y la robustez de las claves utilizadas son aspectos adicionales de los estándares técnicos de cifrado. El objetivo de esta política es garantizar la uniformidad entre todas las unidades de negocio de la empresa con respecto a las claves y otros aspectos del cifrado.
Datos a cifrar:
Esta área de políticas tiene como objetivo abordar qué datos deben cifrarse y por qué. Esto se aplica a los métodos de clasificación de datos, las políticas de clasificación de datos y otros métodos de identificación de datos. Los datos pueden clasificarse en diversas categorías, como se puede observar en el siguiente ejemplo: Qué tener en cuenta al elaborar una estrategia sección de este documento.
¿En qué etapa cifrar?
Esta sección trata sobre los diferentes tipos de datos y dónde cifrarlos. En esta área de políticas, debe determinar las mejores soluciones para cifrar los datos en reposo, en tránsito y en uso. Estas soluciones se pueden determinar en función de los estándares de cumplimiento y las mejores prácticas que su organización debe seguir.
Protección clave:
Esta área de políticas gestiona la robustez de las claves y su protección. El método más común consiste en seguir los estándares NIST e implementar la autenticación multifactor para el almacenamiento y el acceso a las claves. Además, herramientas como los HSM protegen las claves privadas de cifrado con la máxima seguridad posible.
Depósito de llaves:
El depósito de claves se refiere a la recuperación de claves por motivos legales, como auditorías de cumplimiento o recuperación ante desastres. Si ocurriera un desastre imprevisto en su organización y fuera necesario recuperar o restablecer las claves, el depósito de claves debería estar contemplado en la Política de Cifrado Empresarial.
Capacitación:
La capacitación es fundamental para una organización, ya que cada miembro del equipo y unidad de negocio debe saber cómo acceder a los datos, qué tipos de datos pueden acceder, cómo clasificar los nuevos datos y cómo proteger las nuevas claves de cifrado o los datos. Si todos saben cómo acceder a los datos y manejarlos, podrán trabajar eficazmente dentro de la organización.
Monitoreo:
Es vital supervisar el cifrado y los datos en toda la empresa, ya que se debe crear un registro de auditoría, realizar un seguimiento de los certificados y las claves, e implementar un control de acceso sólido.
Productos y servicios de consultoría de cifrado
Si su organización planea crear una sólida Política de Cifrado Empresarial, Consultoría de Cifrado puede ayudarle. Ofrecemos una amplia gama de productos y servicios que le ayudarán a mantener la seguridad de su empresa. Nuestros servicios incluyen: cifrado, PKI y HSM Servicios de evaluación, diseño e implementación para su organización.
También puede Presión en a sus empleados sobre el uso de HSM, PKI y Amazon Web ServicesTambién ofrecemos una solución de firma de código, CodeSign Secure 3.0, que cuenta con monitoreo, escaneo de virus/malware y autenticación multifactor, entre otras herramientas. Nuestra PKI como servicio Es otra excelente manera de contar con una sólida Política de Cifrado Empresarial, sin necesidad de gestionar cada parte de la PKI. Si tiene alguna pregunta sobre los servicios o productos de Encryption Consulting, visite nuestro sitio web en www.encryptionconsulting.com.
