En este punto, no es una observación nueva decir que las personas se preocupan más que nunca por la privacidad en línea. Sin embargo, lo fascinante es que el interés en la seguridad digital personal se ha mantenido alto desde que estalló el problema hace unos siete años. En otras palabras, la conciencia de la privacidad digital no ha experimentado un pico breve, sino que ha persistido.
Esto es especialmente inspirador para mí porque obtuve mi formación técnica precisamente por el deseo de asegurar mi propia autonomía digital.
Sé tanto como cualquiera que no siempre está claro dónde mejorar la seguridad digital. Dominar el tema parece como intentar subirse a un tren en movimiento. Para ampliar la metáfora, este artículo podría brindarle un comienzo rápido.
Mi esperanza es que construyas suficiente terreno para viajar solo desde la perspectiva de personas que probablemente sabían menos hace un tiempo que tú ahora.
Pegue su modelo de amenazas
Entonces, ¿por dónde empezarías? Sencillo, y tú mismo. El objetivo de la seguridad es proteger lo que es valioso, y lo que es valioso varía de persona a persona. Por lo tanto, la seguridad solo es posible después de haber identificado objetos de valor. Solo así podrás evaluar hasta dónde quieres protegerlo.
Antes de considerar los medios, debe elegir el fin. En el caso de la seguridad digital, debe averiguar qué está tratando de proteger. Podría ser tan simple como algunos archivos en su dispositivo o el contenido de sus comunicaciones con colegas.
Puede ser más abstracto. Por ejemplo, como resultado de sus acciones, algunos de sus datos personales (aunque no están incluidos en el archivo) pueden inferirse y capturarse automáticamente como un flujo de datos similar a un archivo llamado «metadatos».
En el contexto de la seguridad digital, todo está esencialmente en forma de información, por lo que debe pensar detenidamente qué información desea proteger y todas las formas que puede tomar o cómo puede acceder a ella. Esta puede ser una tarea abrumadora al principio, pero se vuelve más fácil con la práctica.
Definir la información que desea proteger le brinda el primer componente de lo que se denomina un «modelo de amenazas», básicamente su visión estratégica de alto nivel sobre cómo mantener segura su información. En el contexto de su modelo de amenaza, use el nombre de «activo» más conciso para su información importante.
Una vez que haya definido sus activos, es hora de identificar a su «adversario», que es el nombre que se les da a las entidades que quieren adquirir sus activos. Esto tiene un gran impacto en el aspecto final de su modelo de amenaza: su estrategia para mantener activos será muy diferente dependiendo de si su adversario es su vecino entrometido o un gobierno hostil.
Al considerar a los adversarios, es fundamental enumerar las amenazas reales. Esto puede parecer contrario a la intuición, pero como verá al final de este manual, en realidad sobrestimar a su enemigo no ayuda.
La palabra «oponente» podría evocar una némesis diabólica, pero no es así. Si bien no debes exagerar a tu oponente, tampoco debes ignorarlo. Si bien es fácil señalar a un adversario como un grupo de piratería criminal (si ese es realmente el suyo) debido a su evidente intención maliciosa, su adversario puede ser un servicio que está dispuesto a usar pero en el que no confía completamente. El punto es que, por la razón que sea, debes categorizar a cada jugador que quiere tu activo.
Con estos dos pilares en su lugar, es hora de completar el trípode: debe evaluar los medios disponibles para su oponente dados sus activos y su oponente, y lo más importante, los medios que tiene y el tiempo que está dispuesto a tomar para proteger tus bienes Las dos últimas cosas no son siempre las mismas, de ahí la diferencia.
Afortunadamente, hay muchas herramientas disponibles para mantener sus activos seguros si sabe cómo usarlos. Aún mejor, los más efectivos son todos gratuitos. La verdadera limitación en la práctica es la autodisciplina. Recuerde, la protección fuerte es inútil sin la determinación inquebrantable de usarla de manera consistente.
Clasificación y Priorización
Me gusta pensar que los oponentes ocupan una de tres categorías:
- Los adversarios de tipo 1 son entidades que se involucran en lo que comúnmente se conoce como «capitalismo de vigilancia», pero técnicamente conocido como «minería de datos». Los participantes de tipo 1 que operan principalmente en el sector privado son aquellos que recopilan información de usted de forma pasiva como resultado del uso que usted hace de sus servicios.En los últimos años, sin embargo, hemos aprendido que las empresas van más allá de este pacto implícito para recopilar datos personales incluso esas personas No haga negocios explícitamente con ellos.Por lo general, estos adversarios no buscan sus datos directamente. No vienen a ti, están esperando que vengas a ellos. Como resultado, pueden sentirse frustrados por las opciones de consumo más inteligentes.
- Los adversarios de tipo 2 son aquellos que utilizan principalmente técnicas ofensivas para realizar ataques dirigidos y no dirigidos (es decir, indiscriminados) a los usuarios. Esta categoría incluye una amplia variedad de atacantes, desde sombreros negros aislados hasta empresas delictivas sofisticadas. Lo que tienen en común es que sus métodos son intrusivos, socavan activamente sus propias defensas y son absolutamente inmunes a acciones legales.
- La tercera categoría incluye a los adversarios más poderosos, aquellos que pueden explotar los recursos de la nación. De hecho, los actores en esta categoría son los únicos que cumplen con el término de consenso de seguridad de la información «Amenaza Persistente Avanzada» o APT. Al igual que los adversarios de categoría 2, realizan operaciones ofensivas intrusivas, pero lo hacen porque detrás de ellas hay una afiliación política o los recursos financieros del gobierno y, en muchos casos, la inmunidad legal de una persona.
Esta es mi propia taxonomía, no es un término aceptado en la industria, pero espero que sea lo suficientemente vívido para ayudarlo con el modelado de amenazas para ilustrar los tipos de adversarios que podría enfrentar.
Tendrá que juzgar por sí mismo qué categorías describen mejor a sus oponentes, pero puede ejecutar algunos diagnósticos rápidos para describir lo que necesita buscar en función de sus activos y de los oponentes mismos.
Si no cree que su trabajo sea particularmente sensible y solo desea mitigar el factor espeluznante de la información personal privada que se almacena y analiza constantemente sin piedad, entonces se enfrenta a un escenario de Categoría 1. Es probable que la mayoría de ustedes se encuentre en este barco, especialmente si depende de alguna manera de las redes sociales o los servicios de comunicación administrados por empresas de tecnología impulsadas por los ingresos publicitarios.
Para aquellos con información de alto valor, como datos financieros de seis cifras, es muy probable que necesite armarse contra los atacantes de Tipo 2. La información que procesa es rentable, lo que significa que es probable que atraiga a actores dedicados y comprometidos agresivamente a romper sus defensas y robarle información.
El manejo de datos realmente confidenciales, datos que podrían ser de vida o muerte para algunos, lo expone a un adversario de Tipo 3. Si usted es el tipo de persona que corre el riesgo de ser atacado por actores a nivel estatal, como periodistas de seguridad nacional o profesionales del sector de defensa, ya lo sabe. Si la protección contra los atacantes de Tipo 3 es su realidad, entonces necesita mucha más seguridad operativa de la que yo podría brindarle. Mi tratamiento de los actores de la Categoría 3 se centrará más en pintar una imagen completa para un amplio número de lectores y transmitir una idea de la escala de las posibles contramedidas.
Próximo paso
A estas alturas, debe comprender cuál es su activo y qué oponentes atrae. Esto se alinea con mi hoja de ruta para esta serie de cuatro partes. Las secciones posteriores se centrarán en identificar qué herramientas y prácticas necesitan sus activos y adversarios.
Los siguientes tres artículos de esta serie te darán algunas herramientas para luchar contra cada clase oponente. En la siguiente sección que describe las amenazas de Tipo 1, aprenderá sobre la higiene digital que es buena para todos y suficiente para la mayoría, pero que no es suficiente para aquellos que se enfrentan cara a cara con los enemigos de Tipo 2 y Tipo 3.
Los artículos que siguen, junto con la educación sobre las amenazas que se pueden esperar de los ataques de Tipo 2, pueden resultar atractivos para aquellos que desean adelantarse a los ataques de Tipo 1. También proporcionará un puente para aquellos destinados a resistir el duro camino de un ataque de Categoría 3, pero no será suficiente por sí solo.
En lugar de centrarse en las herramientas de software en sí, el artículo final se esfuerza por delinear la mentalidad necesaria para luchar contra los adversarios más formidables en seguridad de la información. Dadas las amplias capacidades inherentes a las amenazas de tipo 3, el objetivo es describir la mentalidad de evaluación de quienes necesitan defenderse de ellas.
No puedes tenerlo todo, pero debes tratar de tener algo
Los dejaré con una idea diferente para establecer el tono de esta serie: no importa cómo se forme su modelo de amenazas, se enfrentará a una compensación entre seguridad y conveniencia. Nunca puedes tener ambos, su relación inversa significa que un aumento en uno disminuye el otro. Un modelo de amenaza viable es aquel que logra un equilibrio entre los dos, en el que puede seguir con él pero aún abordar la amenaza en cuestión. La única forma de mantener este equilibrio es a través de la disciplina.
Es por eso que un plan para matar demasiado a un oponente no funciona. Todo lo que hacen es intercambiar más comodidad de la que puede tolerar por seguridad que no necesita, lo que lleva a abandonar el modelo de amenazas por completo en lugar de revisarlo. Por el contrario, si encuentra su equilibrio y tiene la voluntad de mantenerlo, se pondrá en el camino del éxito.
Como verá, ese camino es desafiante y largo, podría ser interminable, pero es puramente el viaje lo que vale la pena. Lo único más satisfactorio que abandonar un camino sinuoso es asumir una nueva empresa. Así que nos vemos la próxima vez que salgamos a la carretera.
