Tipos de controles de seguridad con ejemplos [Cómo implementarlos]

En diciembre de 2022, OU Health, un hospital de Oklahoma, notificó a unos 3000 pacientes sobre una filtración de sus datos médicos tras el robo del ordenador portátil de un empleado . Se vieron comprometidos datos confidenciales como tratamientos, números de la seguridad social e información sobre seguros médicos. Este incidente subraya la importancia de implementar todo tipo de medidas de seguridad.

Pero, ¿qué son los controles de seguridad? Analicemos los tipos y categorías de controles de seguridad con ejemplos y veamos cómo implementarlos paso a paso.

¿Qué son los controles de seguridad?

Los controles de seguridad son medidas preventivas, de detección, defensivas y correctivas que protegen los sistemas de información, las redes y los datos de una organización frente a los riesgos de seguridad. Un estándar mínimo de seguridad indica qué controles debe implementar cada sistema antes de añadir controles opcionales, estableciendo así un nivel mínimo indispensable en el que pueden confiar tanto los equipos de auditoría como los de gestión de riesgos.

Los controles de ciberseguridad tienen como objetivo mantener la integridad, la disponibilidad y la confidencialidad de los datos sensibles mediante una combinación de personas, políticas, procesos, herramientas y estrategias.

¿Por qué son importantes los controles de seguridad?

La nube es como un banco. Uno guarda su dinero en un banco por seguridad y accesibilidad. Los ladrones suelen atacar los bancos, porque son el depósito principal. De manera similar, los ciberdelincuentes atacan los centros de datos en la nube porque allí se encuentran los activos valiosos de su empresa.

Los ataques contra la nube afectan a múltiples objetivos empresariales. A continuación, se presentan algunas razones por las que una sólida postura de seguridad es fundamental.

Resiliencia frente a las brechas de seguridad

La mayoría de las empresas, especialmente las pequeñas, no dan prioridad a la seguridad a menos que se enfrenten a un incidente.  

Un estudio realizado por IBM Security reveló que el 83% de las organizaciones sufrieron más de una brecha de seguridad y el 60% repercutieron el coste de la recuperación a sus clientes.

El costo, el tiempo y el esfuerzo necesarios para identificar y recuperarse de un ataque interrumpen significativamente la continuidad del negocio. Los controles de seguridad mejoran la postura de seguridad general y aumentan la resistencia ante los riesgos.

Reglamento de datos

Las regulaciones en materia de privacidad y derechos individuales son cada vez más estrictas. Cuando están sujetas a ellas, las empresas deben cumplirlas para evitar complicaciones legales y sanciones.

Por ejemplo, supongamos que usted dirige un negocio de atención médica en los EE. UU. que implica la recopilación, transmisión y acceso a información de salud protegida (PHI). En ese caso, debe cumplir con la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA).

Los comercios que procesan datos de titulares de tarjetas, como transacciones con tarjetas de débito o crédito, deben cumplir con el marco de cumplimiento del Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago ( PCI DSS ).

Sprinto te ayuda a implementar, gestionar y garantizar el cumplimiento de cualquier marco de seguridad mediante la monitorización continua de tu entorno de control en función de los requisitos del marco. Más información.

Reputación y valor de marca

Por muy bueno que sea tu producto, no sirve de nada si no implementas los controles de seguridad necesarios para protegerlo de la avalancha de incidentes de seguridad.

Hoy en día, los clientes son conscientes de sus derechos de privacidad y es poco probable que consideren sus servicios sin pruebas de que usted no hará un uso indebido de sus datos.

El gigante tecnológico Facebook, tristemente célebre por recopilar datos personales sin el consentimiento de los individuos, se vio en un aprieto después de que el Reglamento General de Protección de Datos (RGPD) le obligara a cumplirlo.

Un número récord de internautas está abandonando Google para pasarse a DuckDuckGo y otros motores de búsqueda similares debido a las prácticas cuestionables y poco éticas de Google en la recopilación de datos.

Además, a las empresas de SaaS les resulta cada vez más difícil cerrar acuerdos de venta sin demostrar sus prácticas de seguridad mediante la elaboración de informes de auditoría favorables para marcos de seguridad como SOC 2 o ISO 27001.

Tipos de controles de seguridad y sus funciones

Los controles de seguridad se clasifican generalmente en tres categorías: administrativos, técnicos y físicos. Estas medidas de seguridad trabajan en conjunto para ayudarle a desarrollar programas de ciberseguridad eficaces. Analicemos las diferencias entre los tipos de controles de seguridad y su propósito.

Estos son los 3 principales tipos de controles de seguridad:

Controles físicos

Los controles físicos se refieren a las medidas, políticas y procedimientos que protegen los activos físicos o no digitales de su organización, instalados en una o varias ubicaciones físicas específicas. Las amenazas físicas a la seguridad incluyen actividades o accesos no autorizados a los sistemas, como intentos de robo o desastres naturales.

Ejemplos de controles de seguridad (físicos):

• Cerraduras y llaves
• Tarjetas o credenciales de acceso
• Sistemas biométricos (tarjetas de control de acceso, escaneo de iris, verificación de huellas dactilares)
• Generadores de respaldo
• Sistemas de alarma
• Sistemas de control de humedad
• CCTV
• Sensores de movimiento o cámaras de vigilancia
• Puertas o vallas

Controles técnicos

Los controles técnicos, también conocidos como controles lógicos, son los mecanismos de software que protegen los activos de información y las redes dentro de su infraestructura de TI contra usuarios no autorizados. 

Estos componentes detectan, supervisan, previenen, minimizan y responden a diversas amenazas o vulnerabilidades internas y externas.

A continuación se muestran algunos controles técnicos de uso común:

• Los cortafuegos
• Sistemas de detección y respuesta en puntos finales (EDR)
• Cifrado de datos
• Listas de control de acceso (ACL)
• Segmentación de red
• Sistemas de gestión de parches

Controles administrativos

También conocidos como controles organizativos o de gestión, los controles de seguridad administrativa son un conjunto de políticas, estrategias, procesos, prácticas o directrices de seguridad que implican objetivos empresariales para mantener su postura de seguridad en función del perfil de riesgo.

Los controles administrativos más utilizados son:

• Capacitación de empleados para la concienciación sobre seguridad.
• Controles de acceso
• Plan de respuesta a incidentes
• Auditoría de seguridad y cumplimiento normativo
• Evaluación del riesgo
• Políticas de gestión de contraseñas
• Clasificación de datos
• Examen y verificación
• Documentación

Funciones de control de seguridad

Ahora que ya comprende los tipos de controles, veamos qué papel desempeña cada uno en la seguridad de los entornos empresariales. Estas funciones o roles pueden ser preventivos, de detección o correctivos, y en ocasiones existe una superposición en su funcionalidad.

Controles preventivos

Como su nombre indica, los controles preventivos identifican, bloquean, previenen o minimizan las vulnerabilidades, el acceso no autorizado o las amenazas a la información confidencial. En seguridad, más vale prevenir que curar, por lo que estos controles constituyen la primera línea de defensa.

Aquí hay algunos ejemplos de controles preventivos:

• Control de Acceso
• Los cortafuegos
• Cifrado de datos
• Herramientas de evaluación de vulnerabilidades y pruebas de penetración (VAPT)
• Segmentación de red
• Gestión de parches

Controles de detectives

Al igual que un informante, los controles de detección activan alertas para notificar a los administradores del sistema o a los responsables de los controles sobre un intento de intrusión o una violación de seguridad. Con la información pertinente, su equipo de TI puede actuar de forma proactiva para mitigar y bloquear al intruso antes de que cause daños.

Tanto los proveedores de servicios de seguridad como las organizaciones utilizan controles de detección. A continuación se enumeran algunos de ellos.

• Sistemas de gestión de eventos e información de seguridad (SIEM)
• Monitorización del sistema y de los registros
• CCTV
• Sistemas de detección y respuesta en puntos finales (EDR)
• Evaluaciones de riesgo

Controles correctivos

Por muy robusto que sea su sistema de seguridad, no garantiza una protección del 100 % contra brechas y vulnerabilidades. Los controles correctivos abordan situaciones de emergencia para minimizar los daños y asegurar la continuidad del negocio.

Aquí están algunos ejemplos

• Sistemas de respuesta a incidentes
• Recuperación de datos
• Aplicación de parches al sistema
• Aislamiento y cuarentena.
• Sistemas de investigación de amenazas

¿Cómo implementar los diferentes tipos de controles de seguridad?

Un programa de seguridad eficaz ofrece múltiples ventajas. Desde su concepción hasta la investigación, así es como luce un sistema sólido contra amenazas:

Planifica y prepara

Realice una evaluación de riesgos para detectar deficiencias en su infraestructura y determinar los requisitos de seguridad. Analice qué controles necesita para subsanar las deficiencias o reducir las amenazas potenciales. Asigne responsables de control y responsabilidades dentro de cada función.

Prevenir

Los estrictos controles de prevención ayudan a minimizar la posibilidad de una intrusión y a reducir los riesgos cibernéticos. Implemente herramientas de monitoreo hoy mismo para evitar esas molestas brechas de seguridad.

Identifica

Ha llegado el momento de que los controles de detección de amenazas demuestren su eficacia. Utilice sus sistemas de detección para identificar intentos de intrusión o vulnerabilidades y prevenir ataques maliciosos.

Corregir

¿Se han producido ataques intrusivos? Le puede pasar a cualquiera. Por eso existen los controles correctivos. Corrija los errores, documéntelos, pruebe los sistemas críticos afectados, aísle los sistemas infectados y aplique los parches necesarios para prevenir un ataque similar.

Investigar

Una vez neutralizados los ciberdelincuentes, póngase su sombrero de detective. ¿Cómo se produjo la brecha de seguridad? ¿Existían los controles necesarios? De ser así, ¿cómo lograron entrar? ¿Cuál es el costo de los daños? Y, por último, ¿qué medidas puede tomar para evitar que se repita?

Conozca al experto en control todo en uno.

¿Gestionar y supervisar demasiados controles te hace perder el control de todo? Sabemos que gestionar múltiples herramientas, sistemas, personas y procesos es abrumador.

Sprinto gestiona todas estas funciones desde una única plataforma mediante la automatización del cumplimiento de la seguridad . Impide el acceso no autorizado mediante un sistema de control de acceso basado en roles, detecta comportamientos anómalos o que no cumplen con las normas en toda la infraestructura para alertar a los usuarios responsables del control y utiliza inteligencia artificial para recomendar acciones correctivas.

Preguntas Frecuentes

¿Cuáles son algunos ejemplos de controles de seguridad física?

Las cerraduras y llaves, las tarjetas o credenciales de acceso, los sistemas de control de acceso biométrico, los sistemas de alarma, los circuitos de videovigilancia, los sensores de movimiento, los sistemas de videovigilancia, las puertas o vallas, o cualquier sistema que impida el acceso físico no autorizado son ejemplos de control de seguridad física.

¿Qué son los controles disuasorios en seguridad?

Los controles disuasorios desalientan los intentos de intrusión en lugar de impedirlos técnicamente. Algunos ejemplos son las cámaras de videovigilancia visibles, la señalización de seguridad, los avisos de inicio de sesión, las políticas disciplinarias publicadas, el registro de auditorías conocido por los usuarios y la presencia de guardias uniformados en las entradas. Si bien se solapan con los controles preventivos, su funcionamiento es psicológico: el objetivo es que el intento no parezca merecer la pena, en lugar de bloquearlo directamente.

¿Cuáles son algunos ejemplos de controles de seguridad técnica?

Los controles tecnológicos o medidas técnicas incluyen herramientas que protegen el software contra las ciberamenazas y las brechas de seguridad, como el software antivirus, los sistemas de detección de intrusiones, los cortafuegos, el cifrado de datos, los filtros de tráfico de red, las listas de control de acceso y la segmentación de la red. 

¿Qué son los controles de seguridad operacional?

Los controles operacionales o los controles de seguridad de gestión son métodos, herramientas y prácticas que las personas implementan, gestionan y operan.

¿Cuáles son los controles ambientales más comunes?

Los controles ambientales incluyen sistemas de detección de humo, mecanismos de extinción de incendios, sistemas de suministro eléctrico ininterrumpido, tuberías húmedas o secas, detectores de movimiento y detectores de sonido.

¿Qué son los controles alternativos?

Los controles alternativos son medidas que se utilizan para cumplir un objetivo de control cuando no se utiliza el control principal. Estos deben implementarse de manera que aborden adecuadamente los riesgos empresariales. 

¿Qué son los controles de seguridad en ciberseguridad?

Los controles de seguridad en ciberseguridad son las medidas de protección que una organización implementa para reducir el riesgo para sus sistemas y datos. Se clasifican en tres categorías según su tipo: administrativos (políticas, capacitación), técnicos (cifrado, controles de acceso) y físicos (cerraduras, acceso mediante credenciales), y en cuatro categorías según su función: preventivos, de detección, correctivos y disuasorios. La mayoría de los marcos de referencia, incluidos SOC 2, ISO 27001 y PCI DSS, son esencialmente listas estructuradas de controles obligatorios.

¿Qué son los controles de seguridad de protección?

Los controles de seguridad protectores son otra forma de denominar a los controles preventivos: medidas de seguridad diseñadas para evitar un incidente antes de que ocurra, en lugar de detectarlo o corregirlo posteriormente. Algunos ejemplos son los controles de acceso, el cifrado, los cortafuegos, la autenticación multifactor y la segmentación de red. En el Marco de Ciberseguridad del NIST, estos controles se engloban dentro de la función de Protección, de donde suele provenir el término «protector».