La seguridad de los datos significa proteger los datos digitales , como los de una base de datos , de fuerzas destructivas y de acciones no deseadas de usuarios no autorizados, [1] como un ciberataque o una violación de datos . [2]
El cifrado de disco se refiere a la tecnología de cifrado que cifra los datos en una unidad de disco duro . El cifrado de disco normalmente se realiza mediante software (consulte software de cifrado de disco ) o hardware (consulte hardware de cifrado de disco ). El cifrado de disco suele denominarse cifrado sobre la marcha (OTFE) o cifrado transparente.
Las soluciones de seguridad basadas en software cifran los datos para protegerlos del robo. Sin embargo, un programa malicioso o un pirata informático podrían corromper los datos y hacerlos irrecuperables, lo que dejaría el sistema inutilizable. Las soluciones de seguridad basadas en hardware impiden el acceso de lectura y escritura a los datos, lo que proporciona una protección muy sólida contra la manipulación y el acceso no autorizado.
La seguridad basada en hardware o la seguridad informática asistida ofrece una alternativa a la seguridad informática basada únicamente en software. Los tokens de seguridad , como los que utilizan PKCS#11 o un teléfono móvil, pueden ser más seguros debido al acceso físico necesario para que se vean comprometidos. [3] El acceso se habilita únicamente cuando el token está conectado y se ingresa el PIN correcto (consulte la autenticación de dos factores ). Sin embargo, los dongles pueden ser utilizados por cualquier persona que pueda obtener acceso físico a ellos. Las tecnologías más nuevas en seguridad basada en hardware resuelven este problema al ofrecer una prueba completa de seguridad para los datos. [4]
Seguridad basada en hardware: un dispositivo de hardware permite a un usuario iniciar sesión, cerrar sesión y establecer diferentes niveles mediante acciones manuales. El dispositivo utiliza tecnología biométrica para evitar que usuarios malintencionados inicien sesión, cierren sesión y cambien los niveles de privilegio. Los controladores de dispositivos periféricos, como discos duros, leen el estado actual de un usuario del dispositivo . El acceso ilegal por parte de un usuario malintencionado o un programa malintencionado se interrumpe en función del estado actual de un usuario mediante controladores de disco duro y DVD, lo que hace imposible el acceso ilegal a los datos. El control de acceso basado en hardware es más seguro que la protección proporcionada por los sistemas operativos, ya que los sistemas operativos son vulnerables a ataques maliciosos de virus y piratas informáticos. Los datos de los discos duros pueden corromperse después de obtener acceso malintencionado. Con la protección basada en hardware, el software no puede manipular los niveles de privilegio del usuario. Un pirata informático o un programa malintencionado no puede obtener acceso a datos seguros protegidos por hardware ni realizar operaciones privilegiadas no autorizadas. Esta suposición solo se rompe si el propio hardware es malintencionado o contiene una puerta trasera. [5] El hardware protege la imagen del sistema operativo y los privilegios del sistema de archivos para que no se alteren. Por lo tanto, se puede crear un sistema completamente seguro utilizando una combinación de seguridad basada en hardware y políticas de administración de sistemas seguros.
Las copias de seguridad se utilizan para garantizar que los datos perdidos se puedan recuperar de otra fuente. Se considera esencial mantener una copia de seguridad de todos los datos en la mayoría de las industrias y se recomienda el proceso para cualquier archivo importante para un usuario. [6]
El enmascaramiento de datos estructurados es el proceso de ocultar (enmascarar) datos específicos dentro de una tabla o celda de una base de datos para garantizar que se mantenga la seguridad de los datos y que la información confidencial no quede expuesta a personal no autorizado. [7] Esto puede incluir el enmascaramiento de los datos para los usuarios (por ejemplo, para que los representantes de atención al cliente bancario solo puedan ver los últimos cuatro dígitos del número de identidad nacional de un cliente), los desarrolladores (que necesitan datos de producción reales para probar nuevas versiones de software pero no deberían poder ver datos financieros confidenciales), los proveedores de servicios externos, etc. [8]
El borrado de datos es un método de sobrescritura basado en software que borra por completo todos los datos electrónicos que residen en un disco duro u otro medio digital para garantizar que no se pierdan datos confidenciales cuando se retira o reutiliza un activo. [9]
En el Reino Unido , la Ley de Protección de Datos se utiliza para garantizar que los datos personales sean accesibles a quienes les conciernen y ofrece reparación a las personas si hay inexactitudes. [10] Esto es especialmente importante para garantizar que las personas sean tratadas de manera justa, por ejemplo, a efectos de verificación de crédito. La Ley de Protección de Datos establece que solo las personas y las empresas con motivos legítimos y legales pueden procesar información personal y no se puede compartir. El Día de la Privacidad de Datos es una festividad internacional iniciada por el Consejo de Europa que se celebra cada 28 de enero. [11]
Desde que el Reglamento General de Protección de Datos (RGPD) de la Unión Europea (UE) se convirtió en ley el 25 de mayo de 2018, las organizaciones pueden enfrentarse a importantes sanciones de hasta 20 millones de euros o el 4 % de sus ingresos anuales si no cumplen con la normativa. [12] Se pretende que el RGPD obligue a las organizaciones a comprender sus riesgos de privacidad de datos y a tomar las medidas adecuadas para reducir el riesgo de divulgación no autorizada de la información privada de los consumidores. [13]
Las normas internacionales ISO/IEC 27001 :2013 e ISO/IEC 27002 :2013 cubren la seguridad de los datos bajo el tema de seguridad de la información , y uno de sus principios cardinales es que toda la información almacenada, es decir, los datos, deben ser propiedad de manera que esté claro de quién es la responsabilidad de proteger y controlar el acceso a esos datos. [14] [15] Los siguientes son ejemplos de organizaciones que ayudan a fortalecer y estandarizar la seguridad informática:
El Trusted Computing Group es una organización que ayuda a estandarizar las tecnologías de seguridad informática.
El Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) es un estándar internacional de seguridad de la información patentado para organizaciones que manejan información de titulares de tarjetas de débito , crédito , prepago, monederos electrónicos , cajeros automáticos y tarjetas de punto de venta. [16]
El Reglamento General de Protección de Datos (RGPD) propuesto por la Comisión Europea reforzará y unificará la protección de datos de las personas dentro de la UE, al tiempo que aborda la exportación de datos personales fuera de la UE.
Los cuatro tipos de salvaguardas técnicas son los controles de acceso, los controles de flujo, los controles de inferencia y el cifrado de datos . Los controles de acceso gestionan la entrada de usuarios y la manipulación de datos, mientras que los controles de flujo regulan la difusión de datos. Los controles de inferencia impiden la deducción de información confidencial de bases de datos estadísticas y el cifrado de datos impide el acceso no autorizado a información confidencial. [17]
{{cite web}}: CS1 maint: varios nombres: lista de autores ( enlace )