Establecimiento de una materia de seguridad de datos

Este artículo ayuda a los equipos de seguridad y tecnología a establecer y modernizar una materia de seguridad de datos que ayude a las organizaciones a proteger los datos dondequiera que se creen, almacenen, procesen, compartan o usen, a la vez que permiten la colaboración, el análisis, los servicios en la nube y la adopción de la inteligencia artificial.

Las materias de seguridad son agrupaciones de trabajo de seguridad relacionados que ayudan a las organizaciones a ofrecer de forma coherente resultados de seguridad en todo el patrimonio tecnológico. Dentro del modelo de adopción de seguridad, las disciplinas ayudan a proporcionar un puente entre escenarios empresariales e implementación técnica, lo que garantiza que las inversiones de seguridad se traducen en resultados medibles reales como parte del modelo de adopción de seguridad.

Por qué esta materia

Los datos son la vida útil de las organizaciones modernas. Sustenta las operaciones empresariales, la toma de decisiones y la innovación, pero también es uno de los activos más valiosos que constituyen el objetivo de los atacantes.

Los enfoques tradicionales de protección de datos centrados en la red ya no son suficientes en entornos que usan servicios en la nube, cifrado, dispositivos móviles y colaboración distribuida. Una materia moderna de seguridad de datos se mueve más allá de los controles perimetrales a la protección basada en la identidad, basada en el ciclo de vida, alineada con el valor empresarial y el riesgo. Sin una seguridad de datos eficaz, las organizaciones se enfrentan a riesgos empresariales materiales, entre los que se incluyen:

• Exposición involuntaria de datos por parte de los empleados mediante el servicio en la nube, los dispositivos personales y la inteligencia artificial.
• Actividad interna malintencionada dirigida a información confidencial.
• Agentes de amenazas que eluden controles basados en el perímetro en entornos distribuidos.
• Ataques de ransomware y extorsión que interrumpen las operaciones.
• Sanciones normativas, daños de reputación y, en algunos sectores, impactos en la seguridad de la vida.

Una materia de seguridad de datos dedicada proporciona la estructura necesaria para reducir estos riesgos al tiempo que permite el uso seguro y productivo de los datos en toda la organización.

Misión y resultados

La misión de la materia de seguridad de datos es proteger la confidencialidad, integridad y disponibilidad de los recursos de datos a lo largo de su ciclo de vida, lo que permite operaciones empresariales seguras y toma de decisiones fundamentada.

Una materia de seguridad de datos madura ofrece estos resultados principales:

• Confidencialidad de los datos: asegúrese de que solo los usuarios y sistemas autorizados puedan acceder a los datos.
• Integridad de los datos: evitar alteraciones no autorizadas o daños en los datos.
• Disponibilidad de datos: asegúrese de que los datos son accesibles para los usuarios autorizados cuando sea necesario.

Los errores en estos resultados pueden provocar robo y abuso de datos, interrumpir las operaciones empresariales, habilitar el fraude, exponer datos regulados o incluso causar daños físicos a las personas.

Al establecer estrategias claras de propiedad, clasificación y protección, la seguridad de los datos se convierte en un habilitador de los resultados empresariales en lugar de una restricción.

Para aplicar la materia de seguridad de datos de forma eficaz, céntrese en establecer un enfoque coherente para proteger los datos en función de su confidencialidad e impacto empresarial:

1. Definición de una estrategia de protección de datos alineada con las prioridades empresariales y el riesgo
   Establezca un enfoque claro para identificar, clasificar y proteger los datos en función de su valor y los riesgos asociados a su exposición o uso indebido.
2. Aplicar la protección de forma coherente en el ciclo de vida de los datos
   Asegúrese de que los datos estén protegidos donde resida, mueva o use, incluidos los dispositivos, las aplicaciones y los entornos en la nube.
3. Establecimiento de directivas y controles estandarizados de protección de datos
   Proporcione instrucciones claras para asegurarse de que los datos confidenciales se controlan, acceden a ellos y se comparten de forma coherente y segura en toda la organización.
4. Alineación de la protección de datos con escenarios y recursos empresariales críticos
   Priorizar los controles que protegen los datos regulados y de alto valor, especialmente en escenarios como la protección de recursos críticos y la habilitación de la colaboración segura.
5. Supervisar y mejorar continuamente la protección de datos
   Use información sobre el uso de datos, las señales de riesgo y los eventos de seguridad para refinar las protecciones y reducir el riesgo de exposición o pérdida de datos a lo largo del tiempo.

Administrar el cambio

Los enfoques de seguridad de datos tradicionales suelen basarse en un único punto de control, como la prevención de pérdida de datos basada en red (DLP). Este modelo es ineficaz en entornos modernos porque:

• Funciona solo en puntos limitados del ciclo de vida de los datos.
• Debe equilibrar perfectamente la protección y la productividad en un solo momento,
• Se produce un error cuando los datos se cifran, se comparten a través de servicios en la nube o se accede a ellos en dispositivos personales.

En este diagrama se resumen los desafíos que se deben superar mediante un enfoque moderno para la seguridad de los datos.

Una materia moderna de seguridad de datos se centra en la visibilidad y el control continuos en todo el ciclo de vida de los datos.

Áreas de enfoque clave

Las estrategias de seguridad de datos modernas enfatizan:

Enfoque	Detalles
Priorizar los datos críticos	Proteja primero los datos más críticos para la empresa.
Colaboración, cobertura, visibilidad	Colabore en toda la empresa para obtener visibilidad completa de datos estructurados y no estructurados en dispositivos, aplicaciones y nubes, lo que impide los silos de datos.
Detección de datos	Sepa dónde existen los datos y qué valor o sensibilidad tiene.
Clasificación de datos	Aplique etiquetas coherentes para que los controles de seguridad se puedan aplicar automáticamente.
Protección del ciclo de vida	Proteja los datos independientemente de la ubicación, la plataforma técnica, el dispositivo o el entorno. Aplique esta estrategia a lo largo del ciclo de vida de los datos: crear, consumir, almacenar, compartir y eliminar. Proteja los datos durante la creación y generación, el almacenamiento en reposo, durante el acceso, el uso compartido o el uso, y en tránsito, así como los datos que ya no están activos y archivados o eliminados.
Supervisión y aplicación	Implemente visibilidad en tiempo real y aplicación automatizada de políticas para detectar y responder en tiempo real a accesos no autorizados o exfiltraciones.
Aprender y mejorar	Mejorar continuamente la seguridad de los datos. Adaptar los controles de estrategia y datos a medida que evolucionan los formatos de datos, las plataformas y los casos de uso, incluida la inteligencia artificial.

Este enfoque permite la protección que se escala con el cambio empresarial y tecnológico.

En este diagrama se muestra una estrategia de seguridad de datos de alto nivel que permite la seguridad y la productividad.

En el diagrama:

• La base Confianza cero, mostrada por una línea de puntos, establece un límite de identidad moderno y prevención de pérdida de datos entre las funciones internas y el entorno externo. Esta base evita la pérdida de datos no autorizada, pero permite la colaboración con partes externas autorizadas.
• El entorno de colaboración empresarial, en verde más claro, es donde la mayoría de los datos de la organización se crean, procesan y almacenan. Limitar el acceso solo a usuarios internos y aplicar privilegios mínimos de forma predeterminada.
• Las aplicaciones y los datos críticos, en verde más oscuro, representan los datos más confidenciales de la organización que deben restringirse a un conjunto limitado de usuarios y aplicaciones autorizados. Puede compartir estos datos en el entorno de colaboración empresarial y con algunas partes externas autorizadas, pero debe protegerse y supervisarse siempre.

Roles y colaboradores de disciplina

La seguridad de los datos requiere una estrecha colaboración entre equipos empresariales, de seguridad y tecnología. En organizaciones más grandes, los roles suelen distribuirse y formalizarse; en organizaciones más pequeñas, se pueden combinar las responsabilidades.

Los roles principales de esta materia suelen incluir:

• Equipos de responsables de datos / gobierno de datos
• Arquitectos de datos e inteligencia artificial
• Equipos de ingeniería y operaciones de datos e inteligencia artificial

Entre los colaboradores clave se incluyen:

• Líderes empresariales y propietarios de datos : defina el valor de los datos, el uso y la clasificación.
• Estrategia de seguridad y equipos de gobernanza : defina directivas, estándares y supervisión.
• Roles de arquitectura : integre controles de seguridad de datos en diseños de sistema y plataforma.
• Desarrolladores : implemente el control seguro de datos dentro de las aplicaciones.
• Disciplinas adyacentes a la seguridad: alinee la seguridad de los datos con los esfuerzos de privacidad, riesgo y cumplimiento.

Alineación con otras disciplinas

La materia de seguridad de datos funciona en estrecha coordinación con otras materias:

• Disciplina de acceso e identidades– Las políticas de identidad y de acceso determinan quién puede acceder a los datos.
• Materia de arquitectura de seguridad : la arquitectura define patrones de un extremo a otro para proteger los datos.
• Materia de operaciones de seguridad (SecOps): detecta y responde a incidentes relacionados con los datos.
• Disciplina de la postura de seguridad – Mide y mejora la madurez de la protección de datos.

La propiedad clara y la responsabilidad compartida son esenciales a medida que se expanden las responsabilidades de los datos.

Alineación con los pilares tecnológicos

Los datos viajan entre sistemas, usuarios y entornos. Como resultado, la materia de seguridad de datos abarca todos los pilares tecnológicos.

Los pilares tecnológicos alineados incluyen:

• Identidades: la seguridad de los datos se basa en los controles de seguridad de identidad para aplicar el acceso seguro a los datos a través de controles de identidad y acceso seguros.
• Puntos de conexión: la seguridad de los datos se basa en los controles de seguridad de los puntos de conexión para evitar el robo de datos de dispositivos en peligro o no administrados.
• Infraestructura: la seguridad de los datos se basa en controles de seguridad de infraestructura para proteger los datos almacenados o procesados en servidores, contenedores y plataformas en la nube.
• Aplicaciones: la seguridad de los datos se basa en controles de seguridad de aplicaciones para garantizar que las aplicaciones accedan y controle datos confidenciales de forma segura.
• Datos: la seguridad de los datos se basa en los controles de seguridad de datos para detectar, clasificar, proteger y supervisar datos a lo largo de su ciclo de vida. - Red: la seguridad de los datos se basa en los controles de seguridad de datos para ayudar a detectar y proteger los datos a medida que se transfieren entre sistemas.
• IA: la seguridad de los datos se basa en los controles de seguridad de la inteligencia artificial para proteger los datos usados para entrenar, analizar y generar salidas de IA.

Pasos siguientes

Microsoft Unified ofrece talleres dirigidos por expertos para ayudar a las organizaciones a acelerar la modernización de la estrategia de administración de la posición de seguridad, la arquitectura y la tecnología. Estos talleres incluyen:

• Talleres de arquitectura y estrategia : el taller Security Adoption Framework Data Security se centra en la modernización de la seguridad de los datos. Este taller está disponible como una discusión de menos de cuatro horas centrada en aprendizajes clave y procedimientos recomendados.

• Talleres de adopción de tecnología - Microsoft Unified tiene talleres para ayudar a las organizaciones a obtener información, planear, implementar y optimizar el uso de tecnologías de datos.