La defensa en profundidad es un concepto utilizado en seguridad de la información en el que se colocan múltiples capas de controles de seguridad (defensa) a lo largo de un sistema de tecnología de la información (TI). Su objetivo es proporcionar redundancia en caso de que falle un control de seguridad o se explote una vulnerabilidad que puede cubrir aspectos de seguridad personal , procedimental , técnica y física durante el ciclo de vida del sistema.
La idea detrás del enfoque de defensa en profundidad es defender un sistema contra cualquier ataque particular utilizando varios métodos independientes. [1] Es una táctica de capas, concebida [2] por la Agencia de Seguridad Nacional (NSA) como un enfoque integral para la seguridad de la información y electrónica. [3] [4] El término defensa en profundidad en informática está inspirado en una estrategia militar del mismo nombre , pero es bastante diferente en concepto. La estrategia militar gira en torno a tener una defensa perimetral más débil y ceder espacio intencionalmente para ganar tiempo, envolver y, en última instancia, contraatacar a un oponente, mientras que la estrategia de seguridad de la información simplemente implica múltiples capas de controles, pero no ceder terreno intencionalmente ( cf. honeypot ) .
La defensa en profundidad se puede dividir en tres áreas: Física, Técnica y Administrativa. [5]
Los controles físicos [3] son todo aquello que limita o impide físicamente el acceso a los sistemas informáticos: vallas, guardias, perros, sistemas de CCTV y similares.
Los controles técnicos son hardware o software cuyo propósito es proteger sistemas y recursos. Algunos ejemplos de controles técnicos serían el cifrado de discos, el software de integridad de archivos y la autenticación. Los controles técnicos de hardware se diferencian de los controles físicos en que impiden el acceso a los contenidos de un sistema, pero no a los sistemas físicos en sí.
Los controles administrativos son políticas y procedimientos de la organización. Su finalidad es garantizar que exista una orientación adecuada en materia de seguridad y que se cumplan las normas. Incluyen aspectos como las prácticas de contratación, los procedimientos de manejo de datos y los requisitos de seguridad.
El uso de más de una de las siguientes capas constituye un ejemplo de defensa en profundidad.
En el siguiente escenario se desarrolla un navegador web utilizando defensa en profundidad: