¿Qué es la Arquitectura de Seguridad de la Información Empresarial?

El gasto en seguridad y gestión de riesgos está disparándose a nivel mundial. Pero, ¿en qué mejoras deberías centrarte a continuación para fortalecer mejor tu programa de ciberseguridad?

Para muchas organizaciones, construir una sólida arquitectura de seguridad de la información debería estar al principio de la lista. Continúe leyendo para aprender qué es la arquitectura de seguridad de la información y cómo puede ayudarle a proteger sus activos críticos de TI de las amenazas de seguridad con menos trabajo y preocupación.

¿Qué es la arquitectura de seguridad de la información empresarial?

Una forma sencilla de definir la arquitectura de seguridad de la información empresarial (EISA) es decir que es el subconjunto de la arquitectura empresarial (EA) centrado en la protección de los datos de la empresa.

Una definición más completa es que EISA describe los principios y procedimientos de seguridad central de una organización para proteger los datos, incluyendo no solo y otros sistemas, sino también equipos de personal y sus roles y funciones. Esta información se proporciona en el contexto de los requisitos organizacionales, prioridades, tolerancia al riesgo y factores relacionados, para ayudar a asegurar que el EISA refleje tanto las necesidades comerciales actuales como futuras.

Elementos clave

Aquí están los elementos clave de un EISA y el propósito de cada uno:

• Contexto empresarial— Define los casos de uso de la información empresarial y su importancia para alcanzar los objetivos comerciales.
• Capa conceptual— Proporciona una visión general, incluyendo el perfil empresarial y los atributos de riesgo.
• Capa lógica— Define las rutas lógicas entre la información, servicios, procesos y aplicaciones
• Implementación— Define cómo se debe implementar el EISA.
• Soluciones— Detalla el software, dispositivos, procesos y otros componentes utilizados para mitigar vulnerabilidades de seguridad y mantener la seguridad para el futuro.

Beneficios de un EISA

Contar con un EISA sólido es invaluable para guiar la planificación de seguridad en todos los niveles. Proporciona la información detallada necesaria para tomar las mejores decisiones sobre qué procesos y soluciones implementar en todo el entorno de TI y cómo gestionar el ciclo de vida de la tecnología.

Además, una arquitectura de seguridad de la información empresarial cuidadosamente documentada y publicada es vital para el cumplimiento de muchos estándares industriales modernos y mandatos legales.

Desafíos al crear un EISA

El desarrollo de una estrategia EISA óptima puede ser difícil, especialmente cuando entran en juego los siguientes factores comunes:

• Falta de comunicación y coordinación entre los distintos departamentos o equipos a la hora de gestionar riesgos y mantener la seguridad informática
• No poder articular claramente los objetivos de la EISA
• Falta de comprensión entre usuarios y partes interesadas sobre la necesidad de priorizar la seguridad de la información
• Dificultad para calcular el costo y el ROI de las herramientas de software de protección de datos
• Falta de financiación para abordar adecuadamente los problemas de seguridad
• Insatisfacción con las medidas de seguridad anteriores que se desarrollaron, como el filtrado de spam que marca correspondencia válida y crítica
• Fracasos anteriores al cumplir con los requisitos regulatorios o los objetivos empresariales,
• Preocupaciones sobre la ineficacia de las inversiones anteriores en seguridad informática

Tareas clave en la construcción de una EISA

Construir una arquitectura de seguridad de la información empresarial incluye las siguientes tareas:

• Identifique y mitigue brechas y vulnerabilidades en la arquitectura de seguridad actual.
• Analice las amenazas de seguridad actuales y emergentes y cómo mitigarlas.
• Realice evaluaciones regulares de security risk assessment. Los riesgos a considerar incluyen ciberataques, malware, filtraciones de datos personales de clientes o empleados, y eventos de fallo de hardware y software.
• Identifique tecnologías específicas de seguridad (como Privileged Access Management), así como las capacidades de seguridad de soluciones no específicas de seguridad (como servidores de correo electrónico), que pueden utilizarse en la EISA.
• Asegúrese de que la EISA esté alineada con la estrategia empresarial.
• Asegúrese de que el EISA le ayude a cumplir con los requisitos de las normas de cumplimiento aplicables, como SOX, PCI DSS, HIPAA/HITECH y GDPR.

Los 5 pasos para el éxito en EISA

Los siguientes 5 pasos le ayudarán a desarrollar un EISA efectivo:

1. Evalúe su situación de seguridad actual.

Identifique los procesos y estándares de seguridad con los que su organización está operando actualmente. Luego analice dónde faltan provisiones de seguridad para diferentes sistemas y cómo se pueden mejorar.

2. Analice las perspectivas de seguridad (estratégicas y técnicas).

Vincule las percepciones obtenidas en el paso 1 con los objetivos comerciales. Asegúrese de incluir tanto medidas técnicas como contexto estratégico para priorizar sus esfuerzos.

3. Desarrolle la capa de seguridad lógica de la arquitectura.

Para crear una arquitectura lógica para su EISA basada en las mejores prácticas de seguridad, utilice un marco establecido para asignar controles donde la prioridad sea alta.

4. Diseñe la implementación de EISA.

Convierta la capa lógica en un diseño implementable. Basándose en su experiencia, recursos y el estado del mercado, decida qué elementos desarrollar internamente y qué cosas deben ser gestionadas por un proveedor.

5. Trate la arquitectura como un proceso continuo.

Dado que el panorama de amenazas, su entorno de TI, el mercado de soluciones y las recomendaciones de mejores prácticas están en constante evolución, asegúrese de revisar y actualizar periódicamente su arquitectura de seguridad de la información.

Elegir marcos de trabajo EISA modernos

No hay necesidad de empezar desde cero al construir su EISA. En su lugar, confíe en uno de los varios marcos de trabajo desarrollados en la última década para crear un EISA efectivo. Adáptelo según sea necesario para asegurarse de que funcione para su organización única.

Aquí están los marcos principales de EISA para elegir:

The Open Group Architecture Framework (TOGAF)

TOGAF proporciona un conjunto de herramientas para crear una arquitectura de seguridad empresarial desde cero por primera vez. Te ayuda a definir objetivos claros y a cerrar la brecha entre las diferentes capas de tu EISA. Además, el marco es adaptable para apoyarte a medida que cambian las necesidades de seguridad de tu organización.

Sherwood Applied Business Security Architecture (SABSA)

SABSA es una metodología para EA y EISA. A menudo se utiliza con otros procesos como COBIT 5.

COBIT 5

COBIT 5, desarrollado por ISACA, es un marco detallado que ayuda a organizaciones de todos los tamaños a gestionar y asegurar la infraestructura de TI. Cubre la lógica empresarial, los riesgos y los requisitos de proceso.

Department of Defense Architecture Framework (DoDAF)

El DoDAF no es solo para agencias gubernamentales. Debido a que vincula las operaciones con la seguridad de la información, es ideal para ayudar a organizaciones multiempresa con redes de TI independientes a abordar problemas de interoperabilidad. Se centra en la visualización de la infraestructura para los diferentes interesados en la empresa.

Federal Enterprise Architecture Framework (FEAF)

El FEAF es la arquitectura empresarial de referencia para el Gobierno Federal de EE. UU. Fue desarrollado para ayudar a las agencias federales a reconocer áreas prioritarias y establecer prácticas comerciales comunes a pesar de sus necesidades, objetivos, operaciones y actividades únicas. Puede ayudar tanto a agencias gubernamentales como a organizaciones privadas con EISA así como con EA.

Zachman Framework

El Zachman Framework es un marco de alto nivel que a menudo se utiliza para crear EA, pero también puede traducirse en un enfoque EISA de arriba hacia abajo. Basado en las seis preguntas fundamentales — qué, cómo, cuándo, quién, dónde y por qué — tiene seis capas: Identificación, Definición, Representación, Especificación, Configuración e Instanciación.

Preguntas frecuentes

¿Qué es la ciberseguridad empresarial?

La ciberseguridad empresarial se refiere a la arquitectura, protocolos y herramientas utilizadas para proteger los activos empresariales, tanto internos como en internet, de ciberataques dentro y fuera de la empresa.

La ciberseguridad empresarial difiere de la ciberseguridad general en que las empresas modernas tienen una infraestructura compleja que requiere una política de seguridad, evaluaciones constantes y una gestión efectiva para evitar incidentes de seguridad.

¿Cuál es la arquitectura de seguridad de un sistema de información?

La arquitectura de seguridad de un sistema de información define el marco, protocolos, modelos y métodos requeridos para proteger los datos que el sistema recopila, almacena y procesa.

¿La arquitectura de seguridad es parte de la arquitectura empresarial?

Sí. La arquitectura de seguridad es un pilar de la arquitectura empresarial, ya que evalúa y mejora la seguridad y la privacidad. Sin los esfuerzos de seguridad adecuados, toda la infraestructura empresarial —y, por consiguiente, todo el negocio— está en riesgo.