# Capítulo 7 - Ciberseguridad 2: Vector Organización y Zero Trust

**URL:** <https://discourse.forosaluddigital.cl/t/capitulo-7-ciberseguridad-2-vector-organizacion-y-zero-trust/2231>\
**Category:** Ciberseguridad\
**Created:** [20 Julio, 2021 18:54 UTC](https://discourse.forosaluddigital.cl/t/capitulo-7-ciberseguridad-2-vector-organizacion-y-zero-trust/2231 "2021-07-20T18:54:40Z")\
**Posts on this page:** 1\
**Page:** 1

<div class="post-metadata">

**Author:** ![MATIAS\_HAEUSSLER](https://yyz1.discourse-cdn.com/flex027/user_avatar/discourse.forosaluddigital.cl/matias_haeussler/32/1467_2.png) [@MATIAS\_HAEUSSLER](https://discourse.forosaluddigital.cl/u/MATIAS_HAEUSSLER)\
**Post date:** [20 Julio, 2021 18:54 UTC](https://discourse.forosaluddigital.cl/t/capitulo-7-ciberseguridad-2-vector-organizacion-y-zero-trust/2231/1 "2021-07-20T18:54:40Z")

</div>

Buenas tardes, en este séptimo capítulo de la serie _Arquitectura de Sistemas Seguros para Aplicaciones Web en Salud Digital_ comenzaremos a tratar la lista de Vectores de Ataque presentada en el capítulo anterior, en particular el Vector Organización. Tal como se explicó este vector engloba a **las amenazas provenientes de la misma organización** , en la que se está desarrollando la aplicación en Salud Digital.

Las amenazas presentes en este vector pueden ser separadas en 2 tipos: **Malas Prácticas de Seguridad** e **Insider**. Procedemos a describirlas y posteriormente a especificar las principales estrategias para tratar con ellas.

**Tipos de amenazas**

_1. Malas Prácticas de Seguridad_

- Una organización puede **no tener el conocimiento de seguridad requerido por sus activos** para que estos alcancen los estándares de seguridad que requieren, facilitándolos inconscientemente a entidades externas

- **Las prácticas de seguridad llevadas a cabo por cada uno de los empleados** para administrar sus credenciales y medios de acceso **pueden ser inseguras a pesar de su conocimiento**

_2. Insider_

- **Un empleado puede aprovecharse de sus privilegios** para causar daño a la organización

- **Un agente externo puede hacerse pasar** por un miembro de la organización

**Medidas de seguridad**

1. **Los miembros de la organización deben ser educados en los principios y prácticas de seguridad** que deben cumplirse tanto en la administración de sus credenciales y accesos como en la implementación de aplicaciones y manejo de los activos de la organización

2. **Mecanismos de autenticación seguros y eficientes deben implementarse e imponerse** para impedir en la medida de lo posible, el acceso indebido tanto a los activos digitales como físicos de la organización.

3. Deben emplearse mecanismos para **administrar eficientemente los permisos que posee cada empleado, de manera que cada uno sólo posea los mínimos necesarios** , pero no menos. Al emplear plataformas como AWS para desplegar sus aplicaciones, se obtiene la posibilidad de que cada acción tenga un permiso asociado.

4. Debe poder **verificarse de manera eficiente la información de acceso a todos los servicios** de la organización, en idealmente un mismo lugar

5. Deben **configurarse alertas de seguridad para cada uno de los eventos de seguridad detectables** al interior de los activos de la organización. Una organización que no está atenta a las amenazas específicas que atentan contra sus activos difícilmente podrá reaccionar a ellos, ni remediarlos, ni evitar que estos vuelvan a suceder.

**Zero Trust**

Las medidas de seguridad aquí presentadas están alineadas con el paradigma actual de seguridad llamado Zero Trust, el que enuncia que las amenazas pueden venir de todos los frentes y que debe hacerse lo posible en términos de seguridad para que estas no cumplan su objetivo. Este paradigma se diferencia del paradigma “Castillo y foso” en el que todo aquel que se encuentra al interior de la VPN organizacional es confiado por defecto sin restricciones.

 ![](https://canada1.discourse-cdn.com/flex027/uploads/cibm/original/2X/d/d2969083ba4b75e1d8b762264f269f988b314ac4.png)

_Muchas de las organizaciones actuales todavía poseen un modelo de seguridad “Castillo y Foso” en el que al interior de una VPN no existe autenticación diferenciada por usuario para los distintos recursos existentes, de manera que si un atacante logra ingresar a la VPN podrá acceder a un número ilimitado de recursos y su actividad no será monitorizada, registrada ni detectada. Por el contrario, el modelo Zero Trust promueve la autenticación diferenciada, analisis de comportamiento y registro de actividad de cada miembro de la organización. Obtenida desde [mobile-mentor.com](https://www.mobile-mentor.com/insights/zero-trust-modern-security-for-the-modern-workforce)_

→ [Link al Capítulo anterior](https://discourse.forosaluddigital.cl/t/capitulo-6-ciberseguridad-1-vectores-de-ataque)  
 → [Link al Capítulo siguiente](https://discourse.forosaluddigital.cl/t/capitulo-8-ciberseguridad-3-vector-usuario-e-ingenieria-social-parte-1)

**Referencias**

1. AWS Single Sign On: [SAML de inicio de sesión único: Proveedor de SSO, AWS IAM Identity Center, AWS](https://aws.amazon.com/es/single-sign-on/)

2. AWS Cloudtrail: [Registros de API - Servicio de registro estandarizado de seguridad - AWS CloudTrail - AWS](https://aws.amazon.com/es/cloudtrail/)

3. AWS IAM Access Analyser: [Analizador de acceso de AWS Identity and Access Management - Amazon Web Services](https://aws.amazon.com/es/iam/features/analyze-access/?nc1=h_ls)

4. AWS Security Hub: [Solución unificada de operaciones de seguridad - AWS Security Hub - AWS](https://aws.amazon.com/es/security-hub/?nc1=h_ls)

5. AWS Lambda: [Computación sin servidor - Características de AWS Lambda - Amazon Web Services](https://aws.amazon.com/es/lambda/features/)

6. AWS SNS: [Servicio de notificaciones push - Amazon Simple Notification Service (SNS) - AWS](https://aws.amazon.com/es/sns)

7. Principio de Menor Superficie de Ataque: [Antivirus Resources | Avast Business](https://www.avast.com/business/resources/what-is-attack-surface#pc)