Las ocho preguntas críticas sobre seguridad que debes hacerle a tu proveedor ISP

No hay duda que el cibercrimen sigue acaparando titulares en el mundo.  En un escenario digital, con ecosistemas de negocios hiper-conectados, casi no existe industria, organización o lugar en el mundo que esté a salvo de un ataque.  Por ello, no es de sorprender que muchas compañías busquen protección, incluso de sus proveedores de servicios de Internet (ISP, por sus siglas en inglés), para resguardar su infraestructura crítica.

Debido a su acceso único a información sobre el tráfico de datos, los ISP están posicionados para ayudar a cortar el mal tráfico antes de que exista la oportunidad de causar estragos en las redes de las empresas. Pero antes de elegir al proveedor de  ISP como la primera barrera de defensa que proteja la información, Dale Drew, jefe de Seguridad de Level 3 Communications, recomienda  hacer ocho preguntas cruciales a estas empresas para averiguar cómo protegen tu infraestructura y sus datos.

1. ¿Cómo protege el acceso a la gestión de su infraestructura crítica?

Es imprescindible que los proveedores de servicios separen sus sistemas de producción y datos de clientes de sus entornos de escritorio y centros de datos de los empleados.

2. ¿Cuántos grupos de seguridad diferentes tiene el proveedor para proteger sus sistemas? ¿Todos usan el mismo enfoque?

Muchas organizaciones mantienen múltiples funciones de seguridad internamente. Esto puede causar conflictos de recursos, así como diferentes enfoques en la protección de la infraestructura interna, un método que es altamente ineficiente y lleno de oportunidades para el fracaso.

3. ¿Utiliza los mismos servicios que vende para proteger sus propios sistemas?

Si su ISP no confía en sus propios productos y servicios para proteger su infraestructura y datos, ¿por qué debe confiar en ellos para proteger el suyo?, recuerda el experto de Level 3.

4. ¿Cómo protege su red de ataques, como ataques DDoS?

Drew recomienda que las organizaciones se aseguren de entender y sentirse cómodas con la forma en que su proveedor puede proteger su infraestructura de red de ataques de denegación de servicio (DDoS) distribuidos de gran tamaño.

5. ¿Toma medidas activas para identificar el tráfico «malo» en su red? ¿Qué acciones toma, si las hay, para notificar a las víctimas del ataque?

Según el ejecutivo de Level 3, las organizaciones deben conocer si su ISP monitorea los malos actores y conoce la mala actividad en su red. “También pregunte al ISP si bloquean proactivamente el mal tráfico en su columna vertebral. Si notifican a las víctimas, ¿cómo lo hacen y dentro de qué plazo?”, apunta.

6. ¿Se somete a auditorías regulares y mantiene certificaciones?

Es importante conocer si su ISP mantiene certificaciones reconocidas por la industria como ISO 27001, SSAE16 o ISAE 3402.

7. ¿Encripta las comunicaciones del data center que incluyen datos del cliente?

Para el profesional de Level 3 es importante que las organizaciones hagan que su ISP le explique los procesos de acceso a los datos de su organización. “Asegúrese de que sus datos estén encriptados dentro y entre los data centers de su ISP. Y conozca si se ofrece una gama de capacidades de cifrado que mejor se adapte a sus necesidades”, afirma.

8. ¿Cómo proporciona acceso remoto a los datos de los clientes para los empleados y proveedores?

Compruebe las prácticas recomendadas de supervisión de acceso y autenticación de identidad y contraseña.

Hacer estas preguntas no es superar los límites de ser un «buen» cliente. “Proveedores de ISP con los mejores intereses no le importará ser transparente sobre sus prácticas de seguridad para ayudar a asegurarse de que ha encontrado al aliado adecuado para sus necesidades de negocio”, recuerda Drew de Level 3.