Herramientas para Proteger su Información


Después de unas merecidas vacaciones, retomamos nuestra serie de Seguridad Centrada en la Información. En esta nueva entrega veremos las herramientas que nos ayudan a proteger su información: Tokenización, enmascarado y cifrado. A continuación revisaremos que son y cómo funcionan.

Tokenización trata de reemplazar los datos confidenciales o sensibles por valores (token) del mismo tipo y tamaño, realizándose el proceso en dos fases:

  • Cifrado/Descifrado de la información confidencial almacenada
  • Asignación de un toquen a dichos datos cifrados

Esta herramienta para proteger su información requiere, en su expresión más básica, de un servicio que proporcione cifrado/descifrado de la información y otro que gestiona la asignación con dicha información en los procesos de entrada y salida de datos confidenciales.

La Tokenización ha avanzado mucho en los últimos años y va mucho más allá de un reemplazo de valores. En sus orígenes fue utilizado para reemplazar valores simples como números de tarjeta de crédito o números de seguridad social. En la actualidad podemos aplicarlo a tipos de datos más avanzados tales como ficheros JSON y XML y páginas web; además de soluciones que pueden reemplazar información almacenada en bases de datos, otras pueden trabajar con secuencias de datos en streaming, como por ejemplo reemplazando el ID único de una celda de telefonía celular embebido en un CDR. Esto permite que tanto datos simples como complejos puedan ser tokenizados en movimiento o en reposo.

¿Qué hace de la Tokenización una solución absolutamente segura? En primera instancia es la eliminación completa de los valores originales de los datos protegidos, reemplazándolos por un valor aleatorio. Éste valor aleatorio bajo ningún modelo similar a ingeniería inversa, puede retornar el dato a su estado original. En segunda instancia, la aplicación de este tipo de seguridad de información se realiza para compartir datos con empresas que generalmente no necesitan los valores reales; en caso de ser necesario el acceso a la información original, es posible utilizar un repositorio seguro (Data Vault o Token Vault) o tecnologías similares para controlar y auditar el acceso de personal autorizado. Éste último es el caso de soluciones utilizadas para información financiera: PHI, PCI DSS.

Enmascaramiento: es el método principal de creación de nuevos valores útiles sin exponer el original. Es ideal para la creación de conjuntos de datos que pueden ser utilizados para un análisis sin exponer los datos originales. Por ejemplo podríamos sustituir el número de identificación de un individuo con un número aleatorio (como en tokenización) o el nombre con uno seleccionado aleatoriamente de una guía telefónica, pero mantener el género. Podríamos reemplazar la fecha de nacimiento como un valor aleatorio en un rango de  X días del valor original, para preservar la edad del individuo. De esta manera la información original sensible es removida sin volver aleatorio otros valores importantes dentro del conjunto de datos.

Es un modelo importante cuando no se tiene recursos suficientes para garantizar todos los sistemas dentro de una organización, o si no existe plena confianza en el entorno donde están almacenados los datos. Este modelo nos permite aplicar diferentes máscaras a los mismos campos de datos para producir diversos datos enmascarados. La flexibilidad de este modelo expone bastante del valor original con un riesgo mínimo. Es una tecnología utilizada muy comúnmente en PHI, gestión de entornos de prueba y bases de datos de análisis NoSQL.

Este modelo presenta también inconvenientes  ya que el enmascaramiento no ofrece una seguridad tan fuerte como la que obtenemos con un modelo de Tokenización o Cifrado, del que hablaremos más adelante.
El enmascaramiento puede ser muy seguro, pero requiere de una selección de una buena herramienta de enmascaramiento, además de la aplicación de máscaras que hayan sido exhaustivamente analizadas y razonadas con el fin de lograr los objetivos de seguridad mientras se mantienen los objetivos de análisis.

Cifrado: ya sea cifrado de elemento (EE), cifrado de campo de dato (DFE) o cifrado conservando formato (FPE), el cifrado es la herramienta más utilizada para abordar los retos de seguridad actuales por la mayoría de organizaciones de TI. Con una adecuada implementación, el cifrado proporciona datos aleatorios que no pueden ser revertidos a su valor original sin la clave de cifrado. La gran ventaja que proporciona el cifrado es que puede aplicarse a cualquier tipo de dato o estructura de datos, pudiendo proporcionar las claves de cifrado a usuarios seleccionados.

Pero no todas las soluciones de cifrado son adecuadas para un modelo de seguridad centrada en la información. La mayor parte de modelos de cifrado seleccionan datos o conjuntos de datos legibles y lo transforma a formato binario. Esto es un problema para las aplicaciones que esperan cadenas de texto o bases de datos que requieren un formato correcto de datos a insertar en campos específicos. Por consiguiente estos valores binarios crean efectos secundarios no deseados y a menudo causan que las aplicaciones fallen. Dado lo anterior, las organizaciones que consideran la utilización de seguridad centrada en la información requieren modelos de cifrado que preserven por lo menos el formato y en muchas ocasiones el tipo de dato. Típicamente estos algoritmos de cifrado son aplicados a campos específicos y pudiendo ser utilizados de forma casi transparente, en cuanto rendimiento, en cualquier tipo de información en reposo, o con una penalización mínima de rendimiento sobre información en movimiento, con la ventaja de la protección de dicha información en cualquier punto del traslado.

La selección e implementación de una herramienta de cifrado, requiere de especial cuidado ya que no todas las plataformas son examinadas por expertos. En algunas ocasiones se ha visto que las organizaciones implementan modelos de cifrado excelentes de manera insegura, por ejemplo almacenando las claves de cifrado en disco o exponiéndolas de forma accidental al público.

Dicho lo anterior, una ventaja significativa del cifrado se basa en que la mayoría de normativas aprueban este modelo, lo que no sucede así para el caso de tokenización o enmascarado. Además el cifrado está muy integrado con las infraestructuras en la nube y en la mayoría de plataformas de aplicaciones.

El cifrado es una herramienta de seguridad de grado industrial, que requiere de gran cuidado durante la selección e implementación para cumplir con los objetivos planteados. Proteger los datos en diferentes escenarios con diferentes casos de uso y de forma muy eficaz es posible con la selección e implementación adecuada de un modelo de cifrado.

En la siguiente entrega de esta serie, empezaremos a ver casos específicos de seguridad centrada en la información utilizando casos de información estructurada o no estructurada.

Espero contar con vosotros

Dejar un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *