Jason Stitt - Fotolia

P
Gestionar Aprenda a aplicar las mejores prácticas y optimizar sus operaciones.

Presupuesto de ciberseguridad: ¿Cuáles son las prioridades después de una brecha?

Tras un incidente, por lo general un presupuesto de ciberseguridad comienza a sentir presión. Identificar las prioridades de seguridad puede ayudar a aliviar la presión presupuestaria.

Múltiples estudios han demostrado que el alto costo de un incidente de delito cibernético pone limitaciones en un presupuesto de ciberseguridad. Con un presupuesto limitado, ¿cuáles deberían ser las principales prioridades de seguridad empresarial después de un incidente de la cibercrimen?

Cuando se produce un incidente de ciberdelito, un presupuesto ciberseguridad milagrosamente aumenta. Otras dinámicas también dan lugar al posible despido del CISO y posiblemente del CIO, pero estas son de naturaleza reaccionaria. La pregunta es, ¿dónde debería la empresa asignar fondos para mitigar y evitar que vuelva a ocurrir? ¿Qué canales necesita fortalecer la empresa? Varios estudios, como el estudio del Instituto Ponemon, Costo del Cibercrimen 2015: Estados Unidos, y el reporte Control de Daños: El costo de las brechas de seguridad de Kaspersky Lab, han sugerido que el aumento de los costos de seguridad cibernética por incidentes requiere una reevaluación de dónde enfocar el gasto.

El estudio de Ponemon proporciona una infografía que indica que la solución a la cuestión del presupuesto de seguridad cibernética es concentrarse en tareas específicas para protegerse de las amenazas de ataques, incluyendo:

  • Reducir el número de ataques estableciendo el gobierno de seguridad y el IPS/NGFWs;
  • Resolver ataques más rápido mediante el uso de un SIEM robusto; y
  • Minimizar los daños mediante el fortalecimiento de la seguridad de aplicaciones y datos con cifrado y protección.

Hay tres mantras básicos en seguridad de la información que ayudarán a determinar dónde enfocar sus gastos: defensa en profundidad, el principio del privilegio mínimo y el enfoque de riesgo de negocios de la seguridad de la información.

Defensa en profundidad: El mejor control es la prevención lo más cerca posible del punto de entrada. Es absurdo creer que puede dejar la puerta principal de su casa menos segura, porque ha almacenado sus objetos de valor en una caja fuerte a prueba de daños oculta de la vista. El hecho es que el ladrón está dentro de su casa. Usted necesita el nivel adecuado de seguridad en diferentes capas, y no depender del control de nadie. Es lo mismo en su organización. Además, los niveles de los controles deben estar en proporción con el valor del activo que necesita protección.

Principio del privilegio mínimo: El acceso a los activos críticos debe ser sobre la base de la necesidad de saber. Esto significa que el acceso por defecto debe ser "negarlos todos" y el control de acceso basado en roles debería implementarse como es requerido por las responsabilidades del trabajo, y estar debidamente aprobado por la dirección. Las listas blancas, la seguridad funcional de aplicaciones, los controles de cambio, la segmentación y la separación de funciones ayuda en este esfuerzo.

Enfoque de riesgo de negocios de la seguridad de la información: La protección debería estar alineada con los riesgos del negocio. Esto es impulsado por una evaluación del riesgo de seguridad de la información y la alineación con los objetivos estratégicos del negocio. Por ejemplo, algunas empresas no tienen una presencia web externa, como los proveedores de servicios que procesan los pagos con tarjeta de crédito en nombre de los comerciantes. Algunos no tienen tiendas al por menor y solamente una presencia web. Los presupuestos de seguridad incluyen el gasto en materia de protección de acuerdo con el modelo de negocio de la organización.

Aprender del incidente de seguridad o incumplimiento. Averigüe cómo sucedió, cómo puede evitar que vuelva a suceder y cómo puede monitorear cuándo ese y otros canales podrían ser subvertido. Establezca un plan de respuesta a incidentes fuerte y probado, en consonancia con los resultados de la evaluación de riesgos. No hay tal cosa como la seguridad absoluta, pero si va a gastar su presupuesto de seguridad cibernética en lo que importa, puede mitigar en gran medida y reducir los riesgos generales de la empresa cuando se producen incidentes de seguridad.

Este artículo se actualizó por última vez en mayo 2016

Profundice más

¿Qué necesita resolver?

Por favor, añada un título para su pregunta

Obtenga respuestas de un experto de TechTarget en lo que sea que necesite resolver

Usted será capaz de añadir detalles en la siguiente página

Inicie la conversación

Envíenme notificaciones cuando otros miembros comenten sobre este artículo.

Por favor cree un Nombre de usuario para poder comentar.

- ANUNCIOS POR GOOGLE

Close