Defina los tres pilares de la seguridad.

A la hora de plantear un plan de ciberseguridad para empresa, también denominado SGSI (Sistema de
Gestión de Seguridad de la Información es necesario que éste contemple los tres pilares básicos de la
ciberseguridad: Confidencialidad, Integridad y Disponibilidad.

En inglés, sería Confidenciality, Integrity y Availability por lo que a estos tres conceptos se les conoce
también por las siglas CIA.

CONFIDENCIALIDAD
Garantiza la privacidad de los datos de modo que sólo sean accesibles por personas autorizadas.
En este sentido, se consideran dos tipos de datos: los almacenados y los que están en tránsito. Se tiende
a centrar el foco habitualmente en los datos almacenados, pero es mucho más delicado el tratamiento
de los datos en tránsito, puesto que son más vulnerables sobre todo cuando se transmiten a través de
redes WiFi no seguras. Por ejemplo, correos, información bancaria, información de clientes etc.

Si queremos garantizar la privacidad de los datos hay que establecer accesos restringidos en función del
nivel de sensibilidad y confidencialidad de los datos.

Se pueden considerar tanto medidas que restrinjan el acceso físico como lógico. Las primeras suelen ser
más robustas y difíciles de romper, pero al mismo tiempo, son habitualmente poco prácticas. Por
ejemplo, si guardamos un disco duro en una cámara acorazada, estará muy seguro pero es poco práctico
en el día a día.

En cuanto a las medidas de tipo lógico, nos referimos al cifrado de los datos. Dicho cifrado se puede
aplicar tanto a datos almacenados como en tránsito. Si perdemos o nos roban el ordenador, y los datos
están cifrados, evitaremos que esos datos puedan ser utilizados por los delincuentes. Por otra parte, el
uso de estas redes WiFi para transmitir información sensible implica diversos riesgos, ya que, si bien las
comunicaciones se transmiten cifradas, al acceder a ellas con las mismas credenciales pueden ser
descifradas por cualquiera dentro de la misma red. En este caso aconsejamos el uso de VPN para
garantizar dicha confidencialidad.

INTEGRIDAD
Las firmas digitales se componen una parte privada que sólo conoce el emisor y una pública accesible a
todos. Cuando firmamos un contenido, por ejemplo, un email, se genera un código a partir de los datos
y de la clave privada del emisor que sólo conoce él. Podemos decir que es la integridad de datos nos
referimos a la imposibilidad de que puedan ser modificados o manipulados antes de llegar a su
destinatario, concepto que está relacionado con la firma digital.
 Para poder descifrar dicho código, el receptor utiliza la parte pública de la clave del emisor
para leer la información enviada. De esta forma se garantiza que no se han modificado los datos en el
trayecto y que sólo han podido ser emitidos por el supuesto emisor, dado que sólo él conoce esa clave.
Es decir, la firma digital garantiza que tanto el emisor es el que dice que es como los datos son los que
son.

Es importante garantizar la integridad de las comunicaciones para que todos podamos tener la
tranquilidad que los datos no se han manipulado en el tránsito. Para ello es necesario que exista un
proceso previo de autenticación, por el cual se verifica que un usuario es quien dice ser que es. En este
sentido, el sistema de autenticación utilizado en la gran mayoría de redes WiFi (sin usuario y con una
contraseña compartida), es deficiente, ya que no permite verificar la identidad de los usuarios
conectados y además facilita que dichos usuarios intercepten las comunicaciones que transitan por
dicha red, posibilitando su manipulación.

Es, por tanto, crítico disponer de redes WiFi seguras que permitan identificar inequívocamente a los
usuarios y con privilegios delimitados.

DISPONIBILIDAD
Disponibilidad puede verse comprometida con los ataques de denegación de servicio o DDoS, uno de
los ataques más habituales por su sencillez y bajo coste.
La disponibilidad es la característica que garantiza que tanto los datos como los servicios estén
accesibles, lo cual es especialmente crítico para cualquier empresa.

Que una empresa no disponga de su infraestructura para prestar sus servicios a sus clientes supone una
gran pérdida económica. Si una empresa sufre un ataque ransomware y no puede acceder a los datos de
sus clientes no podrá vender o facturar.

O empresas cuya actividad económica depende de la disponibilidad de sus páginas web, como, por
ejemplo, un comercio electrónico, su rendimiento económico va directamente ligado a su capacidad de
procesar peticiones en su web. Si un ataque consiguiera reducir esa capacidad de proceso, les produciría
grandes pérdidas.

Para garantizar la disponibilidad es necesario, por un lado, establecer medidas preventivas encaminadas
a evitar y proteger tu pyme de ciberataques, pero, al mismo tiempo, hay que tener implantado un plan
de continuidad de negocio que permita sobreponerte rápidamente ante un ataque inevitable.