Seguridad básica y control de acceso
Cifrado en tránsito y reposo
- En tránsito: protege los datos que viajan (TLS).
- En reposo: protege los almacenados en discos o bases.
- Ambos cierran ventanas típicas de intercepción.
Autenticación
Verificar la identidad de quien accede. Credenciales robustas, multifactor y gestión de sesiones reducen el riesgo de suplantación.
Autorización y control de acceso
No basta saber quién eres: hay que decidir qué puedes ver. La autorización asigna permisos según el rol y la necesidad.
Principio de mínimo privilegio
- Cada usuario o servicio recibe solo el acceso necesario.
- Nada de permisos amplios «por comodidad».
- Reduce la superficie expuesta ante una credencial robada.
Modelos de control de acceso
Basado en roles (RBAC), discrecional, o obligatorio (ABAC según atributos). El patrón elegido modela quién accede a qué, y conviene que sea auditable.
Gestión de identidades y ciclo de vida
- Dar de alta, modificar y retirar accesos sin demora.
- Revisar periódicamente quién tiene qué permisos.
- Las cuentas zombis son puerta trasera.
Registros y auditoría
Guardar quién accedió a qué y cuándo permite detectar y reconstruir un incidente. Sin trazas, el abuso pasa invisible.
Gestión segura de secretos
- No incrustar contraseñas en el código.
- Usar almacenes cifrados de secretos.
- Rotar credenciales periódicamente.
Defensa en capas
Ningún control basta solo. Cifrado más control de acceso más monitorización más formación: varias capas que un atacante debe superar.
Respaldo y recuperación
- Copias cifradas y probadas de restauración.
- Proteger también contra borrado o secuestro.
- La seguridad incluye poder volver atrás.
Seguridad como proceso continuo
No es un casillero que se marca una vez: exige revisiones, parches y vigilancia constantes. La defensa caduca si se deja de atender.
Errores frecuentes
- Dar permisos amplios «por comodidad» y no retirarlos nunca.
- Cifrar solo en tránsito y dejar los datos desnudos en el disco.
- Incrustar contraseñas en el código en lugar de usar un almacén de secretos.
Ejemplo resuelto: un acceso que debía ser temporal
Un analista pide acceso permanente a la base de nómina por si acaso. El equipo aplica mínimo privilegio: concede lectura de solo los campos necesarios, durante un plazo acotado y con registro de cada consulta; al terminar, revoca el permiso automáticamente.
- cifrar los datos en reposo y en tránsito
- verificar la identidad con autenticación robusta
- autorizar solo el acceso imprescindible por rol
- registrar quién accedió a qué y cuándo
- retirar permisos y secretos sin demora
¿Para qué sirve en la realidad?
La mayoría de fugas explotan accesos excesivos y datos sin cifrar: el control de acceso con mínimo privilegio, el cifrado y la auditoría cierran esas puertas y son exigencia de cualquier marco de seguridad y de la continuidad del negocio.
El principio de mínimo privilegio sostiene que:
Cifrar los datos en tránsito protege también los datos almacenados en el disco del servidor.
Seguridad
Toca una tarjeta para ver la respuesta.
Ordena una política defensiva para un almacén de datos:
Arrastra cada ficha a su categoría (o tócala y luego toca la categoría). También puedes usar el teclado.
Principio de mínimo privilegioConceder solo los permisos necesarios para la función.
Une cada control de seguridad con su función:
Seguridad
- Seguridad y control de acceso
- Cifrado
- en tránsito
- en tránsito
- en reposo
- Cifrado
- gestión de claves
- autenticación
- roles
- auditoría
Control de accesoRestringir el acceso a un entorno u objeto según identidad y permisos.
Un analista necesita una vez ciertos datos y te pide acceso permanente «por si acaso». ¿Cómo aplicas mínimo privilegio y qué tipo de acceso propondrías?
Tu texto se guarda sólo en este dispositivo.
Comentarios
Inicia sesión para comentar.
Todavía no hay comentarios. Sé la primera persona en opinar.