¿Qué son los controles de seguridad?

Dado el ritmo creciente de los ciberataques, los controles de seguridad de los datos son hoy más importantes que nunca. Según un estudio de la Escuela Clark de la Universidad de Maryland, los ataques de ciberseguridad en Estados Unidos ahora ocurren cada 39 segundos en promedio, afectando a uno de cada tres estadounidenses cada año. Además, el 43 % de estos ataques se dirigen a pequeñas empresas. Según el Costo de una filtración de datos 2025, entre marzo de 2024 y febrero de 2025, el costo promedio de una filtración de datos en Estados Unidos fue de USD 10.22 millones, un máximo histórico para cualquier región durante los 20 años en que se ha publicado este informe.

Al mismo tiempo, las regulaciones sobre la privacidad de datos es cada vez más crítica, por lo que es fundamental que las empresas refuercen sus políticas de protección de datos o se enfrenten a posibles multas. La Unión Europea implementó sus estrictas normas del Reglamento General de Protección de Datos (RGPD) en 2018. En Estados Unidos, la Ley de Privacidad del Consumidor de California entró en vigor el 1 de enero de 2020, y varios otros estados están considerando medidas similares. Estas regulaciones suelen incluir sanciones estrictas para las empresas que no cumplen con los requisitos. 

Varios tipos de controles de seguridad pueden proteger el hardware, el software, las redes y los datos de acciones y eventos que podrían causar pérdidas o daños. Por ejemplo:

• Los controles de controles de Physical security incluyen cosas como vallas perimetrales del centro de datos, cerraduras, guardias, tarjetas de control de acceso, sistemas biométricos de control de acceso, cámaras de vigilancia y sensores de detección de intrusiones.
  
  
• Los controles de seguridad digital incluyen elementos como nombres de usuario y contraseñas, autenticación de dos factores, software antivirus y cortafuegos.
  
  
• Los controles de ciberseguridad incluyen cualquier cosa diseñada específicamente para prevenir ataques a los datos, incluidos los sistemas de mitigación de denegación distribuida del servicio (DDoS) y prevención de intrusiones.
  
  
• Los controles de seguridad en la nube incluyen medidas que usted toma en cooperación con un proveedor de servicios en la nube para ofrecer la protección necesaria para los datos y las cargas de trabajo. Si su organización ejecuta cargas de trabajo en la nube, debe cumplir con sus requisitos de seguridad de políticas corporativas o comerciales y las regulaciones de la industria.

Los sistemas de controles de seguridad, incluidos los procesos y la documentación que definen la implementación y la gestión continua de estos controles, se denominan marcos o estándares.

Las infraestructuras/marcos permiten a una organización gestionar de forma coherente los controles de seguridad de distintos tipos de activos de acuerdo con una metodología generalmente aceptada y probada. Algunos de los marcos y estándares más conocidos incluyen:

El Instituto Nacional de Estándares y Tecnología (NIST) de EE.UU. creó un marco voluntario en el 2014 para brindar orientación a las organizaciones sobre cómo prevenir, detectar y responder a los ciberataques. Los métodos y procedimientos de evaluación determinan si los controles de seguridad de una organización se implementan correctamente y funcionan según lo previsto. Se aseguran de que estos controles produzcan el resultado deseado, cumpliendo con los requisitos de seguridad de la organización. El marco del NIST se actualiza constantemente para seguir el ritmo de los avances en ciberseguridad.

Center for Internet Security (CIS) desarrolló una lista de acciones defensivas de alta prioridad que proporcionan un punto de partida "imprescindible" para todas las empresas que buscan prevenir ciberataques. Según el Instituto SANS, que desarrolló los controles CIS, "Los controles CIS son efectivos porque se derivan de los patrones de ataque más comunes destacados en los principales informes de amenazas y examinados en una comunidad muy amplia de profesionales del gobierno y de la industria".

La organización puede consultar estos y otras marcos para desarrollar su propio marco de seguridad y políticas de seguridad de TI. Un marco bien desarrollado ayuda a asegurar que una organización:

• Refuerza las políticas de seguridad de TI mediante controles de seguridad
• Educa a empleados y usuarios sobre las normas de seguridad
• Cumple la normativa industrial y de conformidad
• Logra eficiencia operativa en todos los controles de seguridad
• Evalúa continuamente los riesgos y los aborda a través de controles de seguridad.

Una solución de seguridad es tan fuerte como su eslabón más débil. Por lo tanto, debe considerar múltiples capas de controles de seguridad, también conocidas como estrategia de defensa en profundidad, para implementar controles de seguridad en la gestión de identidad y acceso, datos, aplicación, infraestructura de red o servidor, physical security e inteligencia de seguridad.

Una evaluación de los controles de seguridad es un excelente primer paso para determinar dónde existen vulnerabilidades. Una evaluación de los controles de seguridad le permite evaluar sus controles actuales para determinar que se implementen correctamente, funcionen según lo previsto y cumplan con sus requisitos de seguridad.

La publicación especial 800-53 del NIST creada por el NIST sirve como punto de referencia para las evaluaciones de control de seguridad exitosas. Las pautas del NIST sirven como un enfoque de mejores prácticas que, cuando se aplican, pueden ayudar a mitigar el riesgo de comprometer la seguridad de su organización. Como alternativa, su organización también puede crear su propia evaluación de seguridad.

Algunos pasos clave para crear una evaluación de seguridad incluyen:

• Determinación de los sistemas de destino: cree una lista de direcciones que debe escanear en su red. La lista debe contener direcciones IP de todos los sistemas y dispositivos conectados a la red de su organización.
  
  
• Determinación de las aplicaciones de destino: enumere las aplicaciones y servicios web que necesita analizar. Determine el tipo de servidor de aplicaciones web, servidor web, base de datos, componentes de terceros y tecnologías utilizadas para construir aplicaciones existentes.
  
  
• Realización de análisis e informes de vulnerabilidades: mantenga informados a los equipos de red y a los equipos de TI de toda la actividad de evaluación, ya que una evaluación de vulnerabilidades puede ocasionalmente crear ráfagas en el tráfico de red al cargar los servidores de destino con solicitudes. Además, obtenga la transferencia no autenticada para las IP del escáner en toda la red de la organización y asegúrese de que las IP estén incluidas en la lista blanca en IPS/IDS. De lo contrario, el escáner puede activar una alerta de tráfico malicioso, lo que provocaría el bloqueo de su IP.

Lea más sobre cómo evaluar la vulnerabilidad de las aplicaciones y la red de su empresa creando su propia evaluación de seguridad.