El Inquisitivo Inquieto

Miguel Ángel Jiménez Santana

La Estrategia del Caracol: Fortificando el Acceso a Plataformas Tecnológicas

Hola a todos, hoy quiero hablar de seguridad, muy por encima, eso sí, porque este asunto podría dar para días, semanas, meses… incluso más, pero como no me considero experto sino más bien sufridor, os dejo mi reflexión del día.

En el vertiginoso mundo digital, la seguridad de nuestros datos y sistemas se ha convertido en algo de suma importancia. Intentando encontrar un símil entre las estrategias que podrían aplicarse para la tan necesaria seguridad, me ha venido el de la «Estrategia del Caracol», ya que al igual que el caracol lleva su casa consigo donde quiera que vaya para protegerse, la implementación de medidas sólidas para fortificar el acceso a nuestras plataformas tecnológicas, debemos aplicarlas allá donde las tengamos y allá donde nos las llevemos.

El caracol, con su resistente caparazón, nos recuerda su continua preocupación por protegerse contra posibles amenazas. De manera similar, en el ámbito tecnológico, debemos construir barreras robustas para proteger nuestra información y sistemas contra intrusiones no deseadas, y para ello se pueden aplicar una serie de medidas que poco a poco se han ido extendiendo y que están demostrando ser bastante efectivas si se aplican con criterio.

  • Implementar autenticación multifactor (MFA): Al requerir múltiples formas de verificación, como contraseñas, códigos de acceso temporales o biometría, creamos capas adicionales de seguridad que hacen que el acceso no autorizado sea mucho más difícil de lograr. En los últimos tiempos se ha extendido bastante el uso del «Factor de Doble Autenticación», también conocido como «Autenticación de Dos Factores (2FA)», que no es más que un método de seguridad que requiere dos formas distintas de verificar la identidad de un usuario antes de permitir su acceso. Este enfoque añade una capa adicional de seguridad más allá de la simple contraseña.
    • En general, los factores de autenticación pueden ser clasificados en tres categorías:
      • Algo que sabes: Por ejemplo, una contraseña, PIN o respuesta a una pregunta de seguridad.
      • Algo que tienes: Podría ser un dispositivo físico, como un teléfono móvil o una tarjeta de acceso donde el interesado recibiría un código que luego tendría que introducir en el proceso de autenticación.
      • Algo que eres: Este factor se basa en características biométricas únicas, como la huella dactilar, el escaneo facial o el análisis de voz.
  • Realizar una gestión de accesos privilegiados (PAM): Al limitar y monitorizar cuidadosamente quién tiene acceso a qué recursos dentro de una plataforma, se reduce significativamente el riesgo de brechas de seguridad y actividades maliciosas. Obviamente, esto requiere de una dedicación por parte de personal administrador sobre el conjunto de usuarios que son aprovisionados para acceder a los sistemas, o bien, disponer de procesos automatizados –muy precisos basados en perfiles y roles–, que aseguren la correcta asignación de dichas funcionalidades y privilegios a cada usuario.
  • Implementación de técnicas de encriptación sólidas: Este aspecto es fundamental, ya que al cifrar los datos, tanto los almacenados en repositorios como los que se transmiten, se crea una barrera adicional que protege la información incluso si cae en manos no deseadas. El uso de protocolos seguros para la transmisión de información, como «https» y la correcta configuración de las bases de datos o sistemas de ficheros, para que cifren la información antes de ser almacenada, serán claves en este punto.
  • Monitorización y Auditoría: Es importante disponer de mecanismos de monitorización y auditoría con los que detectar y responder rápidamente a posibles amenazas o vulnerabilidades. Debe considerarse el uso de herramientas externas, especializadas para estos fines, que facilitaran mucho esta labor.
  • Aplicar la seguridad desde el diseño: No todas las empresas tecnológicas desarrollan el software que usan, pero si es cierto que cada vez más exponen parte de su negocio a través de APIs que permiten interoperar con más y más plataformas a través de la red global. Para aquellos que no sepan qué es una API, intentaré explicarlo de manera sencilla.

Imaginemos que estamos en un restaurante y queremos pedir algo para comer. La carta del menú del restaurante sería la API que nos muestra la lista de los platos disponibles. Pero no necesitamos saber cómo se preparan o qué ingredientes se utilizan, simplemente elegimos lo que queremos y el restaurante se encarga de todo el proceso que haya por detrás, desde el inicio de la preparación de dichos platos hasta que nos llegan a la mesa.

En el mundo de la tecnología, una API (Interfaz de Programación de Aplicaciones) es similar a la carta del menú del restaurante. Es una forma estandarizada y simplificada de interactuar con un sistema o una aplicación informática, y compartir datos y/o funcionalidades, de manera similar a cómo nos comunicaríamos con el restaurante a través del menú. Por ejemplo, supongamos que tenemos instalada una aplicación de clima en nuestro teléfono. Esta aplicación utiliza una API para obtener datos de pronósticos meteorológicos de un servidor remoto externo. La API define cómo solicitar esos datos y cómo se devolverán al dispositivo para que la aplicación pueda mostrarlos por pantalla. Así como no necesitamos conocer todos los detalles de cómo se prepara cada plato en el restaurante, la aplicación de clima tampoco necesita conocer todos los detalles internos del servidor meteorológico para facilitar la información, simplemente utiliza la API para obtenerla.

Sin embargo, es crucial entender que la exposición de una API abierta al mundo puede representar un riesgo de seguridad si no se maneja adecuadamente, por eso, para garantizar dicha seguridad es fundamental aplicar medidas desde el diseño, y algunas de las técnicas más difundidas que pueden implementarse incluyen:

  • Autenticación y Autorización: No deben publicarse APIs abiertas totalmente, pues eso daría pié a que cualquiera pudiese hacer llamadas sin ningún tipo de restricción. La autenticación y la autorización son dos conceptos importantes en la securización de las APIs. La autenticación se refiere a la capacidad de verificar la identidad de un usuario, mientras que la autorización trata de determinar qué acciones o a que recursos puede acceder el usuario una vez que se ha autenticado. Actualmente existen dos mecanismos bastante extendidos para conseguir esto:
    • OAuth (Open Authorization): OAuth es un protocolo de autenticación muy utilizado que permite que una aplicación obtenga acceso a los recursos de un usuario en otro servicio en línea, sin que el usuario tenga que compartir sus credenciales de inicio de sesión. En términos sencillos, OAuth actúa como un intermediario de confianza entre el usuario y el servicio al que está intentando acceder. Por ejemplo, cuando iniciamos sesión en una aplicación utilizando una cuenta de Google o Facebook, OAuth es el protocolo que permite que la aplicación acceda a la información sin tener que compartir el nombre de usuario y contraseña con dicha aplicación.
    • JWT (JSON Web Tokens): JWT es un estándar abierto que define una forma compacta y segura de transmitir información entre partes, codificada en una cadena de texto que puede ser manejada con cierta facilidad. Cuando nos autenticamos en un servicio en línea y recibimos un token JWT, ese token contiene información sobre quienes somos y sobre lo que podemos hacer a través de ese servicio. Ese token se puede enviar en cada solicitud que se haga al servidor, y, gracias a él, el servidor nos permitirá acceder o no a la información requerida.
  • Implementar técnicas de Encriptación, Monitorización y Auditoria: A nivel de APIs también deben tenerse en cuenta estos puntos tratados con anterioridad.
  • Validación de entrada de datos: Se deberían validar cuidadosamente los datos recibidos para evitar ataques de inyección de código y otros tipos de vulnerabilidades.

Si se tienen en cuenta estas medidas de seguridad desde el diseño, las empresas podrán garantizar la protección de los datos y la seguridad de sus sistemas, fortaleciendo así su «Estrategia del Caracol» para la protección de sus plataformas tecnológicas.

  • Aplicar estrategias hardware: Aunque no todas las empresas disponen de hardware propio que deban administrar, pues hoy día muchas deciden contratar sus infraestructuras en la nube, en aquellos casos donde siga siendo así, es crucial que se preste especial atención al hardware utilizado, teniendo en cuenta:
    • Asegurar su homogeneidad y su correcta administración. Esto significa que todos los dispositivos utilizados, conjunto de servidores y electrónica de red, en la medida de lo posible sean de la misma marca, pues esto facilita la gestión centralizada, la aplicación uniforme de políticas de seguridad y la interoperabilidad entre ellos.
    • Debe utilizarse hardware de proveedores confiables, que implementen medidas de seguridad adecuadas.
    • No deben descuidarse las actualizaciones de firmware, pues son otra de las vías que ayudarán a corregir las vulnerabilidades de nuestras infraestructuras.
    • Monitorizar periódicamente la integridad del hardware para asegurar que todo está correcto y detectar posibles intrusiones.

Es fundamental contar con personal capacitado y con conocimientos técnicos para administrar las infraestructuras de manera eficiente y segura. Recientemente, hemos sido testigos de vulnerabilidades significativas en chips de hardware, como los de Intel, que demuestran la importancia de tener una infraestructura bien mantenida y protegida contra amenazas potenciales.

  • Cumplimiento normativo «Compliance»: El cumplimiento normativo, o «compliance» en inglés, se refiere al conjunto de regulaciones, estándares y prácticas que una empresa debe seguir para garantizar que sus operaciones cumplan con las leyes y normativas aplicables. Estas regulaciones pueden incluir leyes gubernamentales, estándares de la industria y/o políticas internas de la empresa relacionadas con la seguridad, la privacidad y la gestión de riesgos.
    • ¿Por qué es importante el cumplimiento normativo? Pues para garantizar la integridad, la confidencialidad y la disponibilidad de los datos y sistemas de una empresa.
    • ¿Cómo el cumplimiento normativo fortalece la estrategia de seguridad? Porque al adherirse a regulaciones específicas de seguridad cibernética y privacidad de datos, las empresas demuestran su compromiso con la protección de los datos y la privacidad de sus clientes. Esto puede incluir el cumplimiento de normativas como el Reglamento General de Protección de Datos (GDPR) en Europa o la Ley de Portabilidad y Responsabilidad de Seguros de Salud (HIPAA) en Estados Unidos.
    • Además, el cumplimiento normativo sirve como una guía para identificar áreas de mejora en la seguridad cibernética y adoptar medidas proactivas para abordar posibles vulnerabilidades y riesgos.
  • Educación y Concienciación: Por desgracia, el eslabón más débil en la cadena de seguridad es el ser humano, por ello, es vital la educación y concienciación del usuario en la «Estrategia del Caracol», ya que capacitar a los usuarios con las mejores prácticas de seguridad, como la creación de contraseñas seguras o la identificación de correos electrónicos de «phishing», fortalecerá aún más las defensas contra posibles amenazas.

Todo lo expuesto hace que la «Estrategia del Caracol» nos ayude a tener presente la importancia de construir defensas sólidas con las que proteger nuestras plataformas tecnológicas. Cada medida que adoptemos nos acercará más a garantizar la seguridad de nuestros entornos en el mundo digital.

Referencias:

Miguel Ángel Jiménez Santana

Comentarios

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *