Seguridad del Sistema Operativo: Políticas y procedimientos

Políticas y procedimientos de seguridad del sistema operativo

Hay muchos tipos diferentes de políticas y procedimientos de seguridad del sistema operativo (SO) que se pueden implementar según la industria en la que se trabaja. A modo de definición general, una política de seguridad del sistema operativo es aquella que contiene información que describe los procesos para garantizar que el sistema operativo mantiene un cierto nivel de integridad, confidencialidad y disponibilidad.

La seguridad del sistema operativo protege los sistemas y los datos contra amenazas, virus, gusanos, malware, ransomware, intrusiones de puerta trasera y más. Las políticas de seguridad cubren todas las medidas y técnicas preventivas para garantizar la protección de un sistema operativo, la red a la que se conecta y los datos que pueden ser robados, editados o eliminados.

Dado que las políticas y procedimientos de seguridad del sistema operativo cubren un área amplia (es decir, desde amenazas hasta ataques), existen muchas maneras de abordarlos. Algunas de estas áreas incluyen:

• Garantizar que los sistemas estén parcheados o actualizados periódicamente
• Instalación y actualización de software antivirus
• Instalar un firewall y asegurarse de que esté configurado correctamente para monitorear todo el tráfico entrante y saliente.
• Implementar procedimientos de administración de usuarios para proteger las cuentas y privilegios de los usuarios.

Para asegurarse de que está definiendo e implementando las políticas y procedimientos de seguridad del sistema operativo correctos, primero debe definir qué activos, datos, sistemas y hardware son los más vitales para su organización. Una vez que esto se haya completado, se puede crear una política en torno a estos elementos para asegurarlos y salvaguardarlos adecuadamente.

Implementación de políticas y procedimientos de seguridad del sistema operativo

Como se mencionó anteriormente, antes de que una organización comience a implementar políticas y procedimientos de seguridad, primero debe definir sus activos y redes y luego determinar cómo deben administrarse. Lo que las organizaciones deben lograr es comprender cómo gestionar razonablemente el riesgo que conlleva los tipos de tecnologías que eligen implementar.

El primer paso para establecer una política y un programa de procedimientos de seguridad es designar un gerente de ciberseguridad. Esta persona será responsable de crear el plan para gestionar los riesgos de la organización. Las políticas y procedimientos operativos de seguridad deben incluir lo siguiente:

Política de uso aceptable (PUA)

Una AUP debe ser un documento de incorporación estándar que todos los empleados firmen antes de que se les permita acceder a los recursos digitales de la organización. Por ejemplo, la AUP describe las restricciones y prácticas que debe seguir un empleado al acceder a la red de la organización. Lo que se incluye en la AUP variará según la organización. Independientemente del contenido, el documento debe ser revisado al menos anualmente por los departamentos de tecnología de la información (TI), seguridad, cibernética, legal y recursos humanos (RR.HH.) para implementar cualquier cambio que haya ocurrido en la organización recientemente.

Política de control de acceso (ACP)

La ACP define a qué tendrá acceso el empleado. Algunos temas que podrían cubrirse en el ACP incluyen:

• Estándares de control de acceso
• Reglas de complejidad de contraseñas
• Política de cambio de contraseña
• Controles de acceso de usuarios y redes.
• Monitoreo de acceso a la red de usuarios
• Estándares de seguridad para estaciones de trabajo
• Normas para la retirada de equipos organizativos.

Política de gestión de cambios

Una política de gestión de cambios describe los procedimientos adecuados para realizar cambios en la red, el equipo de TI, el software, la seguridad y los procedimientos operativos de la organización. El propósito de la política de gestión de cambios es garantizar que una organización realice un seguimiento adecuado de cuándo se producen cambios en la infraestructura y que se realicen utilizando los métodos menos invasivos, especialmente si esos cambios afectan directamente a los empleados y clientes. La gestión juega un papel importante en la ejecución de la política de gestión del cambio. Suelen ser ellos quienes toman las decisiones finales sobre si se producirán cambios o no. Tienen una mayor conciencia y comprenden cualquier solicitud de cambio propuesta en toda la organización.

Política de seguridad de la información

El objetivo principal de la política de seguridad de la información es informar a los usuarios que existen pautas sobre el manejo de datos confidenciales y que serán responsables del cumplimiento de la política. Estas políticas se pueden dividir en muchas categorías y cubrir muchas áreas que incluyen cosas como cómo el empleado usa los activos de TI, el uso de la red y el uso de Internet de la organización.

Política de respuesta a incidentes (IR)

El propósito de la política de IR es describir los procedimientos de respuesta cuando ocurren incidentes. Incluye los pasos que se deben seguir para recuperarse de situaciones como interrupciones de la red, pérdida de datos, daños a las operaciones comerciales normales y problemas de empleados o clientes. Esto ayudará a reducir el tiempo de recuperación y con menor costo de impacto.

Política de acceso remoto

Esta política describe cómo los empleados deben acceder a la red de una organización fuera del edificio de la organización. Esta política es más aplicable a organizaciones que tienen usuarios a los que se les permite trabajar de forma remota o teletrabajar. Esta política también es buena para las organizaciones que implementan una política de Traiga su propio dispositivo (BYOD). Cada vez que a los usuarios se les permite retirar equipos, como computadoras portátiles, de la organización y trabajar de forma remota, esto abre la organización a vulnerabilidades cuando el usuario se conecta a una red Wi-Fi pública o personal.

Política de correo electrónico/comunicación

Esta política describe cómo se espera que un empleado utilice el correo electrónico corporativo para comunicaciones formales. Esta política también puede incluir el uso apropiado de Internet, redes sociales, correo electrónico personal, mensajería instantánea y sitios de blogs durante el horario comercial.

Política de recuperación ante desastres

Esta política es muy similar a la política de respuesta a incidentes, pero la diferencia es que esta política describirá lo que debe suceder en caso de que la organización necesite volver a poner en funcionamiento las operaciones de inmediato en caso de una falla catastrófica. Este plan generalmente incluye los departamentos de TI y cibernético porque serían la primera parte del equipo de respuesta a incidentes que trabajaría en la restauración de las operaciones. Este plan también incluye una ubicación de recuperación ante desastres, en caso de que ocurra un incidente en la ubicación principal de la organización. En este caso, el equipo de recuperación ante desastres se desplegaría en esta ubicación secundaria para iniciar el proceso de recuperación.

Plan de Continuidad del Negocio (BCP)

El BCP es un plan integral que abarca el plan de recuperación ante desastres y la política de respuesta a incidentes. También incluye una lista de funciones clave del personal que son esenciales para la organización cuando intenta recuperarse de un desastre. El objetivo principal de este plan es garantizar que, en caso de un desastre, la organización pueda continuar con sus negocios con un impacto mínimo.

Revisión de políticas

Las organizaciones deben revisar las políticas y procedimientos de seguridad de su sistema operativo trimestral o anualmente. Cuando hay cambios menores o mayores en los activos, la infraestructura o las redes de la organización, todas las políticas y procedimientos deben actualizarse. Cada empleado también debe volver a firmar cualquier política o procedimiento que haya sido actualizado. Esto ayudará a actualizar a los empleados sobre las políticas y procedimientos y ayudará a mantener seguros los activos, datos y redes de la organización.

Resumen de la lección

En esta lección analizamos las políticas y procedimientos definidos de los sistemas operativos. Hablamos sobre por qué es importante implementar estas políticas y procedimientos. Discutimos algunas políticas que las organizaciones deberían implementar al considerar la seguridad de su organización.