Las 10 principales áreas de seguridad para obtener la certificación CISSP

Uno de los certificados de TI más calientes pero más difíciles de obtener es el certificado CISSP (Certificación para Profesional de Seguridad de Sistemas de Información). Para obtener este certificado, debe tener tres o más años de experiencia profesional directa en seguridad y aprobar un examen de seis horas y 250 preguntas que cubre las 10 áreas de seguridad en el cuerpo común de conocimientos del ISC2. Obviamente, el examen CISSP no es para todos, pero incluso si no está interesado en obtener el certificado CISSP, vale la pena ver estas 10 áreas de seguridad.

¿Qué son las áreas de dominio de seguridad?

Si eres un administrador de redes de Windows, es posible que asumas que un área de dominio de seguridad es el tipo de dominio creado dentro de un entorno de servidor de Windows. Sin embargo, este no es el caso. Para los fines de este artículo, piense en un área de dominio de seguridad como simplemente una categoría particular de conocimiento de seguridad. ISC2 incluye 10 áreas de dominio de seguridad. Estas áreas de dominio de seguridad son:

• Sistemas y Metodología de Control de Acceso
• Telecomunicaciones y Seguridad de Red
• Planificación de Continuidad del Negocio y Planificación de Recuperación de Desastres
• Prácticas de Gestión de Seguridad
• Arquitectura y Modelos de Seguridad
• Derecho, Investigación y Ética
• Seguridad de Desarrollo de Aplicaciones y Sistemas
• Criptografía
• Seguridad de Operaciones de Computadoras
• Seguridad Física

Aunque las 10 áreas de dominio del ISC2 están relacionadas con la seguridad informática, no todas las áreas se refieren a cosas que puede hacer directamente en su red. Por ejemplo, una de las áreas de seguridad es Derecho, Investigación y Ética. Obviamente, esta área de seguridad aborda problemas muy importantes, pero tiene poco que ver con prevenir un ataque a su red. Otras áreas de seguridad, como Criptografía, proporcionan herramientas que puede utilizar para mejorar de inmediato la seguridad de su red.

Como puede ver, las áreas de seguridad cubren diferentes áreas de seguridad, pero probablemente se esté preguntando qué tiene esto que ver con la seguridad en profundidad. La idea detrás de las 10 áreas de seguridad es que debe tratar cada área de seguridad como una entidad completamente independiente. Además, a medida que trabaja en una área de seguridad en particular, debe fingir que las otras áreas de seguridad ni siquiera existen y que los aspectos cubiertos por el área de seguridad actual son su única línea de defensa.

Entonces, ¿cómo es esto útil? Supongamos que un firewall es el único mecanismo de seguridad de su red. Nos aseguraríamos de que el firewall sea el mejor que pueda ser, porque sería la única línea de defensa de su red.

La misma idea se aplica a las áreas de seguridad. Si trabaja en las áreas de seguridad una por una, fingiendo que cada una es su única línea de defensa, trabajará más duro para asegurarse de aprovechar todos los mecanismos de seguridad disponibles a través de esa área. Al hacerlo, creará una red ultra segura que consiste en 10 áreas altamente seguras.

Cómo garantizar la validación local de los clientes en un dominio multi-sitio

Del mismo modo, al centrarse en un área de dominio a la vez, si se produce un fallo o una violación de seguridad en un área, la integridad de las otras áreas se mantendrá intacta porque las otras áreas se crearon de forma completamente independiente.

Por supuesto, todo esto probablemente suene algo abstracto en este momento, pero a medida que discuta las áreas individuales, obtendrá una idea mucho mejor de las necesidades de seguridad de su propia organización.

Sistemas y Metodología de Control de Acceso

El primer área de dominio de seguridad, Sistemas y Metodología de Control de Acceso, es la esencia misma de la seguridad informática. Este área de seguridad trata de proteger los recursos críticos del sistema contra modificaciones o divulgaciones no autorizadas al tiempo que pone a disposición de personal autorizado esos recursos. A primera vista, este área de seguridad incluiría permisos de acceso, nombres de usuario y contraseñas. Aunque estos mecanismos son sin duda parte de este área, también incluye otros mecanismos de seguridad menos obvios.

Aunque las contraseñas y la autenticación de dos factores están definitivamente incluidas, también lo están otras soluciones de autenticación. Por ejemplo, el inicio de sesión único (SSO) se incluye en este área. La biometría también se incluiría en el área de Sistemas y Metodología de Control de Acceso.

Telecomunicaciones y Seguridad de Red

Uno de los mayores y más abarcadores de los áreas de dominio de seguridad es el área de Telecomunicaciones y Seguridad de Red. Es fácil pensar en contraseñas cuando se piensa en seguridad de redes. Sin embargo, recuerde que cada área es completamente independiente de las otras y que las contraseñas solo se incluyen en el área de Sistemas y Metodología de Control de Acceso. En su lugar, el área de Telecomunicaciones y Seguridad de Red se centra en las comunicaciones, los protocolos y los servicios de red, y las posibles vulnerabilidades asociadas con cada uno.

Aunque la seguridad de los protocolos de comunicaciones es sin duda un gran problema, hay otros temas asociados con este área que quizás no esperaría. Un tema de este tipo es la seguridad perimetral. La seguridad perimetral incluye cualquier forma de acceso a su red desde el mundo exterior, ya sea pasando por un firewall, un servidor de acceso remoto o un punto de acceso inalámbrico. Por supuesto, no se puede abordar la seguridad perimetral sin abordar también el control de acceso a la extranet y los ataques basados ​​en Internet. Por lo tanto, estos problemas también se incluyen en este área.

Cuál es la mejor opción de protocolo de enrutamiento para una red empresarial

Planificación de Continuidad del Negocio y Planificación de Recuperación de Desastres

El siguiente área de dominio de seguridad es la Planificación de Continuidad del Negocio y la Planificación de Recuperación de Desastres. La primera vez que vi Continuidad del Negocio y Recuperación de Desastres en una lista de áreas de seguridad, me pareció bastante extraño. Después de todo, se supone que la seguridad se trata de mantener a los delincuentes fuera, ¿verdad? Sin embargo, como expliqué anteriormente, las 10 áreas de seguridad están diseñadas para abordar todos los problemas asociados con la seguridad informática, no solo los problemas relacionados con contraseñas, hackers, etc.

Los problemas principales involucrados en este área son aquellos relacionados con el manejo efectivo de fallas catastróficas del sistema, desastres naturales y otros tipos de interrupciones del servicio. Como administrador, le corresponde identificar qué servicios relacionados con la red son críticos para la supervivencia de la organización. Una vez que haya identificado esos servicios críticos, debe descubrir cómo hacerlos disponibles después de desastres naturales como incendios, inundaciones y terremotos, y desastres causados por el hombre como ataques terroristas.

La planificación de la continuidad del negocio implica cosas como probar medios de respaldo, planificar sitios de respaldo, desarrollar instalaciones de almacenamiento de datos fuera del sitio y encontrar un lugar donde su empresa pueda establecerse temporalmente después de un desastre.

Se podría decir que la planificación de la continuidad del negocio y la seguridad de recuperación de desastres involucran la supervivencia misma de su organización, no solo la seguridad de sus datos. Sin embargo, la seguridad de sus copias de respaldo también es un tema en este área de seguridad. Después de todo, todas las noches realiza copias de seguridad de sus datos más sensibles en una cinta u otro medio de respaldo. ¿Qué impide que alguien robe esa cinta y restaure sus datos en otra computadora que ni siquiera forma parte de su red? Como puede ver, la seguridad de sus copias de respaldo es una consideración dentro de este área de seguridad.

Prácticas de Gestión de Seguridad

El siguiente área de dominio de seguridad es Prácticas de Gestión de Seguridad. Este dominio en particular es uno de mis favoritos porque se pasa por alto con tanta frecuencia. El dominio de Prácticas de Gestión de Seguridad tiene menos que ver con las computadoras y más con las personas.

El enfoque principal de este dominio es la concientización de seguridad. Esto significa educar a su personal de TI y a los usuarios finales sobre amenazas de seguridad. Algunos ejemplos de educación en seguridad podrían ser explicar a los usuarios cómo lidiar con el último virus de correo electrónico o cómo detectar una operación de ingeniería social.

Los 8 pasos para solucionar problemas de red y sistemas

Otro aspecto del dominio de Prácticas de Gestión de Seguridad es la evaluación de riesgos. La evaluación de riesgos implica estar constantemente alerta ante cualquier cosa que pueda ser un posible problema de seguridad y luego hacer algo al respecto.

También hay un aspecto orientado a las personas en Prácticas de Gestión de Seguridad. Recuerde que un equipo de seguridad bien organizado opera de manera mucho más eficiente durante una posible crisis de seguridad que un equipo de seguridad en el que nadie sabe quién debe hacer qué y cuándo.

Arquitectura y Modelos de Seguridad

El dominio de Arquitectura y Modelos de Seguridad se enfoca principalmente en tener políticas y procedimientos de seguridad establecidos. Este dominio de seguridad en particular implica la planificación de políticas para casi todos los tipos de problemas de seguridad que he mencionado aquí. Las políticas de seguridad de escritorio, los problemas de seguridad de la copia de seguridad de datos y la planificación del antivirus serían ejemplos de los tipos de políticas que desarrollaría como parte de este dominio de seguridad.

Derecho, Investigación y Ética

Uno de los dominios de seguridad más interesantes es Derecho, Investigación y Ética. Como su nombre lo indica, este dominio de seguridad cubre los problemas legales asociados con la seguridad informática. Por ejemplo, supongamos que alguien irrumpió en su red. En tal caso, necesitaría saber no solo a quién informar el delito, sino también tener conocimiento de las técnicas forenses en red y saber qué constituye una cadena de evidencia aceptable que se mantendrá en el tribunal.

El dominio de Derecho, Investigación y Ética de la seguridad también aborda prácticas internas de seguridad. Entre esas áreas de cobertura se encuentran temas como la vigilancia de los empleados y las leyes de privacidad.

Seguridad de Desarrollo de Aplicaciones y Sistemas

El dominio de seguridad de Desarrollo de Aplicaciones y Sistemas abarca temas como modelos de seguridad para bases de datos y la implementación de seguridad multinivel para aplicaciones internas. Este dominio también aborda algunos otros temas muy interesantes.

Diferencias entre redes cliente/servidor y peer-to-peer

El primer problema que aborda este dominio es qué sucede cuando una aplicación necesita un conjunto diferente de permisos que el usuario que está ejecutando la aplicación. Por ejemplo, si la aplicación requiere permisos de lectura, escritura y ejecución en un directorio específico y el usuario final solo tiene permisos de lectura en ese directorio, entonces el usuario tiene un problema. Tradicionalmente, este problema se ha resuelto mediante el uso de cuentas de servicio, pero incluso trabajar con cuentas de servicio puede plantear riesgos de seguridad.

Otro problema abordado por este dominio de seguridad es la integridad del personal de programación. ¿Cómo garantizar que sus programadores no estén incrustando spyware en sus aplicaciones? Por ejemplo, no querría que su personal de programación agregue código a un programa diseñado para enviarles por correo electrónico los números de tarjeta de crédito de sus clientes. Por lo general, es mejor manejar este tipo de problemas de integridad a través de verificaciones de antecedentes y políticas y procedimientos de empleados.

Como puede ver, no hay respuestas fáciles a las situaciones que he presentado en esta sección. Sin embargo, el dominio de Seguridad de Desarrollo de Aplicaciones y Sistemas está diseñado para ayudarlo a comprender y defenderse contra estos tipos de problemas.

Criptografía

Una de las técnicas de seguridad más utilizadas hoy en día es la criptografía, la encriptación de datos. El área de Criptografía está diseñada para ayudarlo a comprender cómo y cuándo utilizar la encriptación. Este dominio también abarca los diversos tipos de encriptación y las matemáticas detrás de ellas. Uno de los problemas más interesantes abordados por este dominio es los procedimientos de gestión de claves en un entorno de infraestructura de clave pública (PKI). Después de todo, toda la encriptación del mundo no le servirá de nada si sus claves de encriptación no son seguras.

Seguridad de Operaciones de Computadoras

El dominio de Seguridad de Operaciones de Computadoras es uno de esos dominios fáciles de definir pero difíciles de dominar. La seguridad de las operaciones de computadoras abarca todas las cosas que suceden mientras sus computadoras están en funcionamiento. Un ejemplo de esto sería el daño que podría ocurrir debido a un script de Java malicioso u otro código móvil. También se incluyen en este dominio cualquier vulnerabilidad que pueda permitir a un hacker inutilizar cualquier parte de su red, como en un ataque de denegación de servicio.

Seguridad Física

En ocasiones, he escuchado describir la seguridad física como las tres G: puertas, guardias y armas. La seguridad física se ocupa principalmente de preguntas sobre el acceso físico a sus servidores y estaciones de trabajo. Por ejemplo, ¿los servidores están detrás de una puerta cerrada con llave? ¿Hay guardias de seguridad en servicio? ¿Existe algún mecanismo para registrar a quienes ingresen a la sala de computadoras?

Qué son los switches Cisco y cómo funcionan

Es fácil mirar el tema de la seguridad física y simplemente descartarlo. Después de todo, durante todos los años que he trabajado en TI, solo he visto algunas empresas cuyos servidores no estaban detrás de una puerta cerrada con llave. Sin embargo, las cerraduras por sí solas no son la respuesta. La lección aquí es examinar detenidamente la seguridad física de su organización y ver si realmente está a la altura.

Seguro y seguro

Ahora que le he mostrado las 10 áreas de dominio, probablemente tiene una mejor comprensión de cómo centrarse en cada una de ellas individualmente puede ayudar a su organización a alcanzar un nivel de seguridad general más alto.

Si desea obtener más información sobre las diversas áreas de seguridad, específicamente información práctica, visite ISC2, el sitio web oficial del Consorcio Internacional de Certificación de Seguridad de Sistemas de Información. El sitio web contiene información detallada sobre la certificación CISSP y los cursos que puede tomar para ayudarlo a aprobar el examen.

En Newsmatic nos especializamos en tecnología de vanguardia, contamos con los artículos mas novedosos sobre Redes, allí encontraras muchos artículos similares a Las 10 principales áreas de seguridad para obtener la certificación CISSP , tenemos lo ultimo en tecnología 2023.