A menudo pensamos en la ciberseguridad como si estuviera formada por muchos silos. Pensamos en la seguridad de la red, la formación, la seguridad física, la seguridad del correo electrónico, etc., donde a su vez cada uno de ellos suele estar formado por silos más pequeños. Por ejemplo, la seguridad de la red incluye cortafuegos, routers, VLAN y muchas otras medidas que no están necesariamente relacionadas de forma directa.

El problema cuando se piensa en cualquier tema como si estuviera hecho de tantos componentes pequeños y no relacionados es que es casi imposible elaborar una estrategia adecuada, asignar valor a los diferentes componentes y, en general, crear un enfoque equilibrado que lo cubra todo. Obtenemos una seguridad que es muy desigual, con algunas áreas que están fuertemente fortificadas y otras que no tienen ninguna cobertura en absoluto.

Así que empecemos por poner un poco de orden en este caos y averigüemos a dónde pertenecen las cosas y qué valor aportan. qué funciona con qué, qué es complementario, qué se solapa, etcétera.

Una oportuna primera división es entre las medidas destinadas a impedir que entren los de fuera y las medidas destinadas a impedir que nadie llegue a los datos. Me gusta llamar a la primera seguridad perimetral y a la segunda seguridad centrada en los datos.

Una buena prueba para ver si una medida de seguridad forma parte del perímetro o está centrada en los datos es preguntarse «¿Nos va a proteger esto de una amenaza interna?». Las amenazas internas son personas que trabajan para la empresa, por lo que si una medida les impedirá robar o modificar datos, es una medida que protege los datos.

En general, los atacantes externos suelen necesitar vulnerar un activo interno antes de acceder a los datos, pero no siempre se da así. Por ejemplo, una aplicación de cara al público en Internet puede dar acceso directo a los datos sin vulnerar nada más que esa aplicación. Ese es un ejemplo de datos a los que se puede acceder directamente desde el exterior y que no tienen protección perimetral. Otro ejemplo son los datos que están fuera del perímetro, como un portátil o una cinta de copia de seguridad que está fuera del edificio: tampoco tienen protección perimetral y pueden ser robados sin acceder a los activos internos.

La seguridad del perímetro es importante, pero su función es sólo reducir el número de intentos de ataque a los datos, ya que ninguna de las medidas de seguridad del mismo es hermética. Por ejemplo, la seguridad del correo electrónico, siendo realistas, sólo pretende reducir el spam y no evitarlo. Si se supone que debe evitar el spam por completo, casi todos los días fracasa en su cometido. Incluso si algunas medidas del perímetro pudieran ser herméticas, hay demasiados vectores de ataque en el perímetro como para pretender que siempre podemos cubrirlos todos perfectamente. Por lo tanto, el perímetro pretende reforzar las medidas centradas en los datos y no sustituirlas.

Aunque algunos lo consideran una exageración, creo que las medidas centradas en los datos deben aspirar a ser herméticas. Es una afirmación contundente y difícil de conseguir, pero no imposible. Es un punto importante porque cuando las medidas centradas en los datos fallan, tenemos una vulneración de datos. A menudo no tenemos ninguna barrera adicional que nos proteja. Si es posible, deberíamos superponer medidas centradas en los datos para obtener esa protección adicional.

¿Qué tipo de medidas de seguridad se centran en los datos?

Bueno, aquí estamos hablando de la protección en torno a los datos, por lo que la seguridad de las bases de datos y de las aplicaciones son los pilares principales. También tenemos la seguridad del servidor junto con la seguridad física y de la red para el centro de datos, el cifrado de datos en reposo y los controles contra administradores. En general, cualquier cosa que se interponga entre los datos y las personas.

Tenemos nuestra primera división de la seguridad entre la perimetral y la centrada en los datos. Esta clase se centrará en la centrada en los datos. También identificamos el papel de la seguridad centrada en los datos como el objetivo de proteger los datos. Protegerlos tanto de las amenazas internas como de las externas que penetran en el perímetro. Y, por último, tenemos el objetivo de hacer que nuestra protección centrada en los datos sea hermética.

Como la gente trabaja cada vez más desde casa, el perímetro se vuelve imposible de asegurar. No podemos proteger el perímetro físico de los empleados en casa, sus ordenadores personales, su red doméstica ni todos sus dispositivos. Es una batalla perdida que simboliza la muerte del perímetro y convierte la protección centrada en los datos en la principal forma de seguridad del siglo XXI.