Configurar el Acceso a los Archivos de la Compañía

03.07.2020

Volver

Debido al potencial de la ingeniería social y al hecho que muchas de las pérdidas que sufren las empresas están relacionadas con los malos comportamientos de algunos empleados, la instalación de un sistema de control de acceso a los datos es un factor importante para garantizar la seguridad de la empresa. Al restringir los derechos de los usuarios de alguna forma, las empresas evitan que la información sobre sus finanzas y seguridad sea robada o modificada por atacantes externos, empleados activos descontentos, los que ya no forman parte de la nómina o estafadores en general. La experiencia ha demostrado que la mejor práctica es dar acceso a solo aquellos empleados que lo necesitan para hacer su trabajo.

Hay cuatro modelos muy utilizados para el control de acceso. Uno es el control de acceso discrecional, o DAC (por sus siglas en inglés). En este caso, el propietario o creador de los datos es quien especifica quién tendrá acceso al archivo. Funciona bien en el caso de los servicios SharePoint de Microsoft, donde la persona que diseña el contenido tiene todo el poder de acceso. Este modelo es sencillo y se utiliza en entornos que no requieren un alto nivel de seguridad. Este tipo de control de acceso no discrimina entre los tipos de usuarios autorizados a acceder al archivo. 

El modelo de control de acceso que suelen utilizar los militares se denomina "control de acceso obligatorio". En este caso, el acceso se proporciona en base a la autorización de seguridad de una persona determinada. 

En empresas e instituciones con mucha renovación de personal, el método más utilizado es el control de acceso basado en roles (RBAC). Con esos sistemas no se asignan directamente derechos de acceso a un usuario, sino que se pueden asignar roles a distintos usuarios, que se configuran para tener acceso a determinados archivos. Es habitual que los representantes de recursos humanos se dediquen a la resolución y al análisis de las cuestiones de recursos humanos. Un ejemplo de control de acceso basado en roles es que nadie más que los empleados del departamento de RR.HH., especialmente las personas implicadas en un incidente en el lugar de trabajo, podrán acceder a estos archivos. Mientras tanto, los ingenieros de diseño industrial en una fábrica de maquinaria, son los únicos empleados que tienen derecho a acceder y editar los diseños de dicha maquinaria. 

Por último, el control de acceso basado en reglas (también RBAC). Este es un sistema dinámico en el que el acceso se otorga en función de una evaluación. Este sistema tiene reglas que cumplir, por ejemplo, el sistema puede estar disponible solo durante las horas de trabajo, solo en ciertas ciudades del mundo, y tal sistema es necesario para definir el funcionamiento de los firewalls. Basándose en diferentes condiciones, se puede conceder o denegar a los usuarios el acceso a determinados archivos, lo que se demuestra en una tabla bidimensional denominada matriz de control de acceso. Con la eficiencia y la seguridad como prioridad máxima, una empresa debe realizar periódicamente una revisión del acceso de los usuarios para eliminar los riesgos y garantizar que sus empleados tengan solo aquellos derechos de acceso que necesitan para realizar su trabajo con eficacia. Es entonces cuando se puede detectar y eliminar un acceso potencialmente perjudicial antes de que se convierta en un problema, como por ejemplo que los antiguos directivos sigan teniendo derechos que ya no necesitan, que los derechos de acceso de los distintos departamentos no estén diferenciados adecuadamente y que los antiguos empleados sigan teniendo acceso al sistema, así como que las contraseñas no se cambien con frecuencia. 

Monitoreo de Carpetas con Control de Acceso Basado en la Nube

Se aconseja a las empresas que realicen el control el acceso a través de la nube, especialmente a las PYMEs, ya que no requerirá de costos extra como el mantenimiento y capacitación, ni el dolor de cabeza de hacerlo internamente. Desde esta nube, un método popular para observar el acceso de los usuarios a los archivos importantes es el monitoreo del sistema de archivos. Este servicio permitirá informar sobre la velocidad a la que se transfieren los bytes, así como sobre la velocidad a la que se realizan las operaciones, incluidas las solicitudes de escritura y lectura de datos.