Segmentar el Procesamiento y Almacenamiento de Datos según su Sensibilidad
Descripción
Segmentar el procesamiento y almacenamiento de datos según la sensibilidad de los datos. No procesar datos sensibles en activos empresariales destinados a datos de menor sensibilidad.
Lista de Verificación de Implementación
Herramientas Recomendadas
Plataforma de gobernanza de datos y cumplimiento con DLP, protección de información, etiquetas de sensibilidad y gestión de riesgo interno
Microsoft · Suscripción por usuario (E5/independiente)
Plataforma DLP y CASB nativa en la nube que proporciona protección de datos en línea para SaaS, IaaS, web y endpoint
Netskope · Suscripción por usuario
Prevención de pérdida de datos empresarial que cubre endpoint, red, almacenamiento y canales en la nube con inspección de contenido basada en políticas
Broadcom · Licencia empresarial
Amenazas y Vulnerabilidades (CIS RAM)
Escenarios de Amenazas
Movimiento Lateral de Datos de Bajo Valor a Datos de Alto Valor
ConfidencialidadLos atacantes comprometen un sistema de baja seguridad en una red plana y pivotean directamente a servidores que procesan datos financieros, de salud o clasificados sensibles sin ninguna barrera de segmentación.
Violación de Límites de Cumplimiento
ConfidencialidadLos datos regulados (datos de titulares de tarjetas PCI, PHI de HIPAA) se procesan en el mismo segmento de red que los sistemas de propósito general, expandiendo el alcance de cumplimiento y aumentando la exposición a auditorías.
Vulnerabilidades (Cuando la Salvaguarda está Ausente)
Arquitectura de Red Plana para Todos los Niveles de Sensibilidad de Datos
Sin segmentación basada en la sensibilidad de datos, todos los sistemas comparten la misma zona de confianza de red, lo que significa que un compromiso en cualquier lugar proporciona acceso a los datos más sensibles.
Procesamiento de Datos Sensibles en Activos No Reforzados
Cuando los datos sensibles se procesan en sistemas de propósito general no designados o reforzados para ese nivel de sensibilidad, reciben controles de seguridad inadecuados.
Requisitos de Evidencia
| Tipo | Elemento de Evidencia | Frecuencia de Recolección |
|---|---|---|
| Técnico | Capturas de pantalla o exportaciones de configuración que muestren los controles de protección habilitados | Capturado trimestralmente |
| Documento | Documentación de procedimientos para medidas de protección | Revisado anualmente |
| Documento | Documento de política vigente (actual, aprobado, comunicado) | Revisado anualmente |