Ahora más que nunca, los equipos de tecnología y de cumplimiento de normativas deben trabajar juntos para proteger la integridad de sus organizaciones. La información sensible se almacena y transfiere en formato digital y las normativas asociadas son cada vez más estrictas y complejas. Mientras que el departamento de conformidad es responsable de identificar las normativas relativas a la seguridad de la información, los equipos tecnológicos deben identificar y aplicar las soluciones más sólidas para cumplir dichas normativas.
Active Directory es una aplicación clave para garantizar el cumplimiento normativo, ya que actúa como una ventana a las actividades y políticas de TI de una organización; por lo tanto, debe protegerse para mantener la integridad corporativa y el cumplimiento normativo. Cualquier empresa que maneje datos confidenciales de clientes, como registros financieros o sanitarios, debe garantizar la seguridad de su entorno de Active Directory y realizar auditorías periódicas para detectar riesgos de seguridad de la información. Cuando no se supervisan de forma activa, las cuentas de usuario inactivas y los controles laxos en torno al acceso administrativo suponen amenazas para la seguridad de Active Directory y exponen a las organizaciones al riesgo de incumplimiento normativo.
Cumplimiento de la seguridad de la información
Las normativas, como SOX e HIPAA, se crearon para proteger a los consumidores y accionistas, obligando a las organizaciones a auditar Active Directory en busca de comportamientos sospechosos, proteger los registros digitales de usos indebidos y asegurar la información privada de los clientes. Aunque la normativa específica puede variar según el sector, la regla general es la misma: establecer procedimientos y controles que aseguren la información sensible de su empresa. Con tantas leyes que cumplir, es difícil saber qué normativa se aplica a su empresa, así que hemos descifrado las siglas de la normativa para que el cumplimiento sea un poco más fácil de seguir.
SOX: la «S» significa «accionista» (Shareholder). La Ley Sarbanes-Oxley (SOX) exige que toda empresa que cotice en bolsa establezca procedimientos para proteger los registros financieros frente a su destrucción, pérdida o uso indebido, con el fin de proteger a los accionistas de la empresa y reducir la posibilidad de fraude corporativo. La SOX también exige que la empresa audite estos controles y elabore informes al respecto.
PCI: la «P» de «Pagos» - La normativa de la Norma de Seguridad de Datos del Sector de Tarjetas de Pago (PCI DSS) establece que cualquier empresa que acepte pagos con tarjeta, ya sea mediante el almacenamiento, el procesamiento o la transmisión de datos de los titulares de tarjetas, debe alojar dichos datos de forma segura utilizando un proveedor de alojamiento que cumpla con la normativa PCI. Para cumplir con la normativa PCI, es necesario supervisar todos los accesos a los recursos de la red, realizar pruebas periódicas de los sistemas de seguridad y mantener una política de seguridad de la información.
GLBA: «GL» significa «Gives Loans» (concede préstamos ). La Ley Gramm-Leach-Bliley (GLBA), también conocida como Ley de Modernización Financiera de 1999, regula la forma en que las entidades financieras gestionan la información privada de los clientes. La «Norma de Medidas de Seguridad» de la GLBA exige que todas las entidades financieras establezcan, apliquen y mantengan medidas de seguridad para proteger la información de los clientes. En virtud de la Norma de Medidas de Protección, las entidades financieras deben identificar los riesgos operativos para los datos de los clientes, implementar un programa de seguridad de la información y auditar periódicamente el programa de medidas de protección.
HIPAA: la «H» significa «salud» (Health): la HIPAA, o Ley de Portabilidad y Responsabilidad del Seguro Médico, se creó inicialmente para proteger la cobertura sanitaria de las personas que pierden su empleo o cambian de trabajo, y actualmente se ha convertido en un conjunto de normas destinadas a garantizar la seguridad de los datos de los pacientes. La HIPAA exige que cualquier empresa que maneje información sanitaria protegida (PHI) implemente y cumpla con medidas de seguridad físicas, de red y de procesos. La PHI transmitida electrónicamente, o e-PHI, está protegida por la Norma de Seguridad de la HIPAA, y las organizaciones deben proteger esta información identificando las amenazas y tomando medidas para defenderse de ellas.
FISMA: La «F» corresponde al Gobierno federal. La Ley Federal de Gestión de la Seguridad de la Información (FISMA) fue promulgada por el Departamento de Seguridad Nacional con el fin de proteger la información, las operaciones y los activos del Gobierno frente a cualquier amenaza, ya sea natural o provocada por el hombre. Asimismo, establece que los organismos gubernamentales deben implementar herramientas para auditar sus programas de seguridad de la información, poner a prueba los procedimientos de seguridad y realizar evaluaciones periódicas de riesgos.
Auditoría y cumplimiento de Active Directory
Independientemente del sector, este tipo de normativas obligan a las organizaciones a supervisar su entorno de TI para detectar y corregir posibles amenazas. Active Directory State Manager (ADSM) de Semperis ayuda a las organizaciones a mantener la conformidad mediante auditorías en tiempo real y la generación de informes sobre posibles deficiencias, entre otras:
- Auditoría de los cambios de Active Directory : las auditorías gubernamentales exigen que las organizaciones sepan qué cambios se están realizando y quién los está haciendo.
- Identificación de cuentas inactivas habilitadas - Las cuentas obsoletas y no utilizadas suponen un riesgo para la seguridad de Active Directory porque estas cuentas pueden ser explotadas y utilizadas como vectores de violación.
- Seguimiento de las cuentas de usuarios sensibles y con privilegios: el seguimiento de las modificaciones de las cuentas de usuarios sensibles y con privilegios le permite asegurarse de que su empresa cumple las políticas de seguridad de la información implantadas como parte de la normativa de seguridad de la información.
La mayoría de estas normas de seguridad de la información se crearon a raíz de la crisis financiera y los escándalos empresariales que tuvieron lugar a principios de siglo. A medida que aumentan la frecuencia y la escala de los ciberataques, y a la luz de las importantes infracciones del año pasado, las organizaciones se han vuelto más sensibles a las cuestiones de ciberseguridad. Se están estableciendo nuevas normativas para garantizar que las empresas adopten medidas de ciberseguridad para proteger los datos confidenciales de las filtraciones de datos. Para adelantarse a los acontecimientos, es esencial empezar a auditar activamente Active Directory y protegerse contra las amenazas y remediarlas.
