Que es un activo en seguridad informatica

Amenaza de activos, vulnerabilidad = riesgo

Por definición, un activo informático «es cualquier dato, dispositivo u otro componente del entorno que soporta actividades relacionadas con la información. Por lo general, los activos incluyen hardware (por ejemplo, servidores y conmutadores), software (por ejemplo, aplicaciones de misión crítica y sistemas de apoyo) e información confidencial».

CIA viene de confidencialidad, integridad y disponibilidad: «En el núcleo de la seguridad de la información está el aseguramiento de la información, el acto de mantener la confidencialidad, integridad y disponibilidad (CIA) de la información, garantizando que la información no se vea comprometida en modo alguno cuando surgen problemas críticos. Estos problemas incluyen, entre otros, los desastres naturales, el mal funcionamiento de ordenadores/servidores y el robo físico».

En términos generales, el riesgo es la probabilidad de que ocurra algo malo que cause daño a un activo informativo (o la pérdida del activo). Una vulnerabilidad es una debilidad que podría ser utilizada para poner en peligro o causar daño a un activo de información. Una amenaza es cualquier cosa (hecha por el hombre o un acto de la naturaleza) que tiene el potencial de causar daño. La probabilidad de que una amenaza utilice una vulnerabilidad para causar daño crea un riesgo. Cuando una amenaza utiliza una vulnerabilidad para causar daño, tiene un impacto. En el contexto de la seguridad de la información, el impacto es una pérdida de disponibilidad, integridad y confidencialidad, y posiblemente otras pérdidas (pérdida de ingresos, pérdida de vidas, pérdida de bienes inmuebles).

Propietario de activos de información

Clasificar los datos de la Universidad (activos de información) es un elemento importante de la seguridad de la información. Nos ayuda a comprender hasta qué punto son sensibles los datos, quién debe acceder a ellos y qué nivel de protección debemos darles.

A continuación se describe el cometido de los propietarios de activos de información y, en la medida en que está relacionado con el cumplimiento de la seguridad de la información, se ofrece como información de referencia para los Jefes de División, Jefes de Departamento y Presidentes de Junta de Facultad.

Los Propietarios de Activos de Información pueden definir subcategorías de información dentro de estos tres tipos principales de activos de información. Esto puede hacerse en función del tipo de información o uso, o en función del tiempo. Por ejemplo:

Para garantizar que los usuarios han leído, comprendido y aceptado todas las normas de tratamiento necesarias, los propietarios de los activos de información deben hacer que todos los usuarios de los activos de información firmen los términos y condiciones de uso apropiados.

Los Propietarios de Activos de Información deben mantener un inventario de alto nivel de dónde y cómo se procesan sus activos de información en toda la Universidad. Los inventarios de activos deben incluir a los usuarios autorizados y el uso de los activos de información. Por ejemplo, un inventario de activos de información de alto nivel para datos de tarjetas de pago podría incluir:

Gestión de activos de información

A medida que las empresas intensifican su adopción de marcos tecnológicos como la computación en la nube y las iniciativas de transformación digital, su ecosistema de seguridad de TI se vuelve cada vez más tenso. Desde el punto de vista de la ciberseguridad, las mayores superficies de ataque se derivan de redes más distribuidas y más activos de TI que se despliegan como el trabajo remoto y el IoT. Las redes están creciendo tan rápido y con tanta complejidad que es extremadamente difícil para los profesionales de seguridad de TI mantenerse a la vanguardia.

Los equipos de ciberseguridad escasean (y la demanda es muy alta), y eso está creando una necesidad fundamental de gestión de activos cibernéticos. ¿Qué significa esto? Las organizaciones necesitan cada vez más un inventario exhaustivo de los activos informáticos y de Internet para que los CISO puedan rastrear, supervisar y proteger adecuadamente las redes distribuidas y todos los dispositivos que contienen.

A pesar de la rápida contratación de profesionales de TI y ciberseguridad, la mayoría de las organizaciones siguen experimentando importantes lagunas en el conocimiento de todo su entorno de TI. Y eso puede debilitar su capacidad de ofrecer una postura de ciberseguridad sólida. Los incidentes de ciberseguridad relacionados con la gestión de activos pueden surgir en cualquier lugar, por ejemplo:

Ejemplos de activos de información

En seguridad de la información, seguridad informática y seguridad de redes, un activo es cualquier dato, dispositivo u otro componente del entorno que soporta actividades relacionadas con la información. Los activos generalmente incluyen hardware (por ejemplo, servidores y conmutadores), software (por ejemplo, aplicaciones de misión crítica y sistemas de apoyo) e información confidencial[1][2] Los activos deben ser protegidos del acceso ilícito, uso, divulgación, alteración, destrucción y/o robo, resultando en pérdidas para la organización[3].

El objetivo de la seguridad de la información es garantizar la confidencialidad, integridad y disponibilidad (CIA) de los activos frente a diversas amenazas. Por ejemplo, un hacker podría atacar un sistema para robar números de tarjetas de crédito aprovechando una vulnerabilidad. Los expertos en seguridad de la información deben evaluar el impacto probable de un ataque y emplear las contramedidas adecuadas[4]. En este caso, podrían instalar un cortafuegos y cifrar los números de las tarjetas de crédito.

Al realizar la evaluación de riesgos, es importante sopesar cuánto gastar protegiendo cada activo frente al coste de perderlo. También es importante tener en cuenta la probabilidad de que se produzca cada pérdida. También hay que tener en cuenta los costes intangibles. Si un pirata informático hace una copia de todos los números de tarjetas de crédito de una empresa, no le cuesta nada directamente, pero la pérdida en multas y reputación puede ser enorme.