Cifrar Datos Sensibles en Tránsito
Descripción
Cifrar datos sensibles en tránsito. Los ejemplos de implementación pueden incluir: Transport Layer Security (TLS) y Open Secure Shell (OpenSSH).
Lista de Verificación de Implementación
Herramientas Recomendadas
Plataforma de gobernanza de datos y cumplimiento con DLP, protección de información, etiquetas de sensibilidad y gestión de riesgo interno
Microsoft · Suscripción por usuario (E5/independiente)
Prevención de pérdida de datos empresarial que cubre endpoint, red, almacenamiento y canales en la nube con inspección de contenido basada en políticas
Broadcom · Licencia empresarial
Plataforma DLP y CASB nativa en la nube que proporciona protección de datos en línea para SaaS, IaaS, web y endpoint
Netskope · Suscripción por usuario
Amenazas y Vulnerabilidades (CIS RAM)
Escenarios de Amenazas
Interceptación de Datos Sensibles por Hombre en el Medio
ConfidencialidadLos atacantes en la ruta de red interceptan datos sensibles sin cifrar en tránsito mediante suplantación ARP, secuestro DNS o equipo de red comprometido, capturando credenciales y datos comerciales.
Recolección de Credenciales mediante Protocolos Sin Cifrar
ConfidencialidadLas credenciales de autenticación transmitidas por protocolos sin cifrar como HTTP, FTP o Telnet son capturadas por rastreadores de red, permitiendo ataques de toma de cuenta.
Manipulación de Datos en Tránsito
IntegridadSin cifrado en tránsito, los atacantes modifican datos en vuelo entre sistemas, inyectando contenido malicioso o alterando transacciones financieras sin detección.
Vulnerabilidades (Cuando la Salvaguarda está Ausente)
Datos Sensibles Transmitidos en Texto Claro
Sin cifrado obligatorio para datos en tránsito, la información sensible incluyendo credenciales, PII y datos financieros atraviesa las redes en texto legible.
Sin Aplicación de Protocolos Cifrados
Los sistemas y aplicaciones permiten la alternativa a protocolos sin cifrar, habilitando ataques de degradación y transmisión involuntaria en texto claro de datos sensibles.
Requisitos de Evidencia
| Tipo | Elemento de Evidencia | Frecuencia de Recolección |
|---|---|---|
| Técnico | Capturas de pantalla o exportaciones de configuración que muestren los controles de protección habilitados | Capturado trimestralmente |
| Documento | Documentación de procedimientos para medidas de protección | Revisado anualmente |
| Documento | Documento de política vigente (actual, aprobado, comunicado) | Revisado anualmente |