Seguridad de almacenamiento

Seguridad de almacenamiento es un área de especialidad de seguridad que se refiere a asegurar sistemas de almacenamiento de datos y los ecosistemas y los datos que reside en estos sistemas.

Contenido

1 Resumen e introducción
2 Especificaciones y normas
3 Acoplamientos externos
4 Referencias

Resumen e introducción

Según el Storage Networking Industry Association (SNIA), seguridad de almacenamiento representa la convergencia de las tecnologías de almacenamiento, redes y las disciplinas de seguridad y metodologías con el fin de proteger y asegurar los activos digitales.^[1] Históricamente, ha sido el foco en los aspectos proveedor de fabricación de producto de almacenamiento más seguro y los aspectos de consumo asociados con el uso de productos de almacenamiento de manera segura.

El Diccionario SNIA define seguridad de almacenamiento de información como:

Controles técnicos, que pueden incluir controles de integridad, confidencialidad y disponibilidad, que protegen los datos y recursos de almacenamiento de aplicaciones y usuarios no autorizados.

ISO/IEC 27040 proporciona la siguiente definición más completa para seguridad del almacenamiento de información:

aplicación de controles físicos, técnicos y administrativos para proteger sistemas de almacenamiento y la infraestructura así como los datos almacenados dentro de ellos

Nota 1 a la entrada: seguridad de almacenamiento de información se centra en la protección de datos (y su infraestructura de almacenamiento de información) contra la divulgación no autorizada, modificación o destrucción asegurando su disponibilidad para los usuarios autorizados.

Nota 2 a la entrada: estos controles pueden ser preventivos, detective, correctivo, disuasión, recuperación o compensación en la naturaleza.

Especificaciones y normas

Aplicar seguridad a los ecosistemas y los sistemas de almacenamiento requiere tener un buen conocimiento de trabajo de una variedad de normas y especificaciones, incluyendo pero no limitado a:

73:2009 Guía ISO, gestión de riesgos — vocabulario
ISO 7498-2:1989, tecnología de la información-interconexión de sistemas abiertos, modelo básico de referencia — parte 2: arquitectura de seguridad
ISO 16609:2004, bancario, requisitos de autenticación de mensajes mediante técnicas simétricas
ISO/PAS 22399:2007, seguridad social, guía para la preparación de incidentes y gestión de la continuidad operacional
ISO/IEC 10116:2006, tecnología de la información – técnicas de seguridad: modos de operación para un algoritmo de cifrado de bloque de n bits
ISO/TR 10255:2009, aplicaciones de gestión de documentos, normas, gestión y tecnología de almacenamiento en disco óptico
ISO/TR 18492:2005, preservación a largo plazo de la información electrónica basados en documentos
ISO 16175-1:2010, información y documentación — principios y requisitos funcionales para registros en entornos electrónicos — parte 1: información general y declaración de principios
ISO 16175-2:2011, información y documentación — principios y requisitos funcionales para registros en entornos electrónicos — parte 2: directrices y requisitos funcionales para digital sistemas de gestión de registros
ISO 16175-3:2010, información y documentación — principios y requisitos funcionales para registros en entornos electrónicos — parte 3: lineamientos y requisitos funcionales para registros en sistemas de negocio
ISO/IEC 11770 (todas las partes), tecnología de la información – técnicas de seguridad: clave de gestión
ISO/IEC 17826:2012, tecnología de la información — interfaz de gestión de datos de nube (CDMI)
ISO/IEC 19790:2006, tecnología de la información – técnicas de seguridad – requisitos de seguridad para módulos criptográficos
ISO/IEC 24759:2008, tecnología de la información – técnicas de seguridad, prueba de requisitos para los módulos criptográficos
ISO/IEC 24775, tecnología de la información, administración de almacenamiento de información (a ser publicado)
ISO/IEC 27000:2014, tecnología de la información – técnicas de seguridad – sistemas de gestión de seguridad de información — Resumen y vocabulario
ISO/IEC 27001:2013, tecnología de la información – técnicas de seguridad – sistemas de gestión de seguridad de información — requisitos
ISO/IEC 27002:2013, tecnología de la información – técnicas de seguridad – código de prácticas para los controles de seguridad de información
ISO/IEC 27003:2010, tecnología de la información – técnicas de seguridad-directrices de implementación de sistemas de información seguridad gestión
ISO/IEC 27005:2008, tecnología de la información – técnicas de seguridad – gestión de riesgos de seguridad de la información
ISO/IEC 27031:2011, tecnología de la información – técnicas de seguridad-directrices para la preparación de la tecnología de información y la comunicación para continuidad del negocio
ISO/IEC 27033-1: 2009, tecnología de la información – técnicas de seguridad, seguridad de la red — parte 1: Resumen y conceptos
Tecnología de la información ISO/IEC 27033-2, — técnicas de seguridad, seguridad de la red — parte 2: directrices para el diseño e implementación de seguridad de red
ISO/IEC 27033-3:2010, tecnología de la información, técnicas de seguridad, seguridad de la red — parte 3: escenarios de redes de referencia — amenazas, técnicas de diseño y control de problemas
ISO/IEC 27033-4:2014, tecnología de la información – técnicas de seguridad, seguridad de la red — parte 4: asegurar las comunicaciones entre redes mediante gateways de seguridad
ISO/IEC 27037:2012, tecnología de la información – técnicas de seguridad-directrices para la identificación, recolección, adquisición y preservación de evidencia digital
ISO/IEC/IEEE 24765-2010, sistemas e ingeniería de software — vocabulario
1619-2007, estándar IEEE IEEE para el cifrado de bloque de ancho para medios de almacenamiento compartido
IEEE 1619.1-2007, IEEE estándar para el cifrado autenticado con longitud de expansión para dispositivos de almacenamiento
IEEE 1619.2-2010, estándar IEEE para la protección criptográfica de datos en dispositivos de almacenamiento orientadas a bloques
IETF RFC 1813 Especificación del protocolo versión 3 de NFS
IETF RFC 3195 Entrega confiable para syslog
IETF RFC 3530 File System (NFS) versión 4 de red protocolo
IETF RFC 3720 Equipo pequeño sistemas de interfaz de Internet (iSCSI)
IETF RFC 3723 Seguridad bloque protocolos de almacenamiento sobre IP
IETF RFC 3821 Fibre Channel sobre TCP/IP (FCIP)
IETF RFC 4303 IP Encapsulating Security Payload (ESP)
IETF RFC 4595 Uso de IKEv2 en el protocolo de gestión de Asociación de seguridad de Fibre Channel
IETF RFC 5246 La versión de protocolo de transporte capa seguridad (TLS) 1.2
IETF RFC 5424 El protocolo Syslog
IETF RFC 5425 Asignación de transporte TLS para Syslog
IETF RFC 5426 Transmisión de mensajes de Syslog sobre UDP
IETF RFC 5427 Convenciones textuales para la administración de Syslog
IETF RFC 5661 Sistema (NFS) versión 4 menor versión 1 Protocolo de archivos de red
IETF RFC 5663 Paralelo NFS (pNFS) diseño de bloque/volumen
IETF RFC 5848 Syslog mensajes firmados
IETF RFC 6012 Capa de transporte del datagrama transporte seguridad (DTLS) asignación para Syslog
IETF RFC 6071 Seguridad IP (IPsec) y hoja de ruta documento intercambio de claves (IKE) de Internet
IETF RFC 6587 Transmisión de mensajes de Syslog sobre TCP
IETF RFC 7146, Garantizar protocolos de almacenamiento de bloque sobre IP: RFC 3723 Actualización de requisitos para IPsec v3
Tecnología de información 400-2004, ANSI INCITS, comandos de dispositivo de almacenamiento basado en SCSI objetos (OSD)
Tecnología de la información de ANSI INCITS 458-2011, — SCSI Object-Based comandos de dispositivo de almacenamiento – 2 (OSD-2)
ANSI INCITS 461-2010, Fibre Channel, tela, 5 (FC-SW-5)
ANSI INCITS 462-2010, tecnología de la información: Fibre Channel - columna vertebral-5 (FC-BB-5)
ANSI INCITS 463-2010, Fibre Channel, servicios genéricos, 6 (FC-GS-6)
ANSI INCITS 470-2011, Fibre Channel, encuadre y señalización-3 (FC-FS-3)
ANSI INCITS 482-2012, tecnología de la información: conjunto de comandos ATA/ATAPI-2 (ACS-2)
ANSI INCITS 496-2012, tecnología de la información: Fibre Channel, protocolos de seguridad: 2 (FC-SP-2)
ANSI INCITS 512-2013, tecnología de la información, comandos de bloque de SCSI-3 (SBC-3)
NIST FIPS 140-2, requisitos de seguridad para módulos criptográficos
NIST FIPS 197, estándar avanzado del cifrado
NIST publicación especial 800-38A, recomendación para el bloque cifra los modos de funcionamiento: tres variantes del texto cifrado robando para el modo de CBC
NIST publicación especial 800-38C, recomendación para el bloque cifra los modos de funcionamiento: el modo CCM para la autenticación y confidencialidad
NIST publicación especial 800-38D, recomendación para el bloque cifra los modos de funcionamiento: modo de Galois/contador (GCM) y GMAC
NIST publicación especial 800-38E, recomendación para el bloque cifra los modos de funcionamiento: el modo XTS-AES para la confidencialidad de los dispositivos de almacenamiento
NIST publicación especial 800-57 parte 1, recomendación para la gestión de claves: parte 1: General (Revisión 3)
NIST publicación especial 800-57 parte 2, recomendación para la gestión de claves: parte 2: mejores prácticas para la organización de gestión de claves
NIST publicación especial 800-67, recomendación para el cifrado de bloque de datos Triple cifrado algoritmo (TDEA)
NIST publicación especial 800-88 revisión 1, directrices para la esterilización de los medios de comunicación, https://nvlpubs.NIST.gov/nistpubs/SpecialPublications/NIST.SP.800-88r1.pdf
Storage Networking Industry Association (SNIA), Storage Management Initiative – Especificación (SMI-S), versión 1.5, libro de arquitectura, https://www.SNIA.org/tech_activities/Standards/curr_standards/SMI
Storage Networking Industry Association (SNIA), la posición de técnico de SNIA: TLS especificación para sistemas de almacenamiento v1.0, https://www.SNIA.org/TLS
Trusted Computing Group, almacenamiento arquitectura Core Specification, versión 2.0, de noviembre de 2011
Confianza informática grupo clase subsistema de almacenamiento seguridad: Empresa, versión 1.0, enero de 2011
Grupo informática de confianza, almacenamiento seguridad subsistema clase: Ópalo, versión 2.0, de febrero de 2012
OASIS, especificación del Protocolo de interoperabilidad de gestión de clave (versión 1.2 o posterior)
OASIS, clave perfiles de protocolo de interoperabilidad de administración (versión 1.2 o posterior)
Recomendación UIT-T X.1601 (2013), marco de seguridad para cloud computing
Recomendación UIT-T Y.3500 | ISO/IEC 17788:2014, tecnología de la información: Cloud computing — Resumen y vocabulario

Acoplamientos externos

Storage Networking Industry Association: Inicio de SNIA

Referencias

^ Eric A. Hibbard; Richard Austin. "Guía del profesional de la seguridad de almacenamiento de información conocimientos y habilidades" (PDF). www.SNIA.org/SSIF. SNIA. 18 de agosto 2014.

Otras Páginas

[1] Eric A. Hibbard; Richard Austin. "Guía del profesional de la seguridad de almacenamiento de información conocimientos y habilidades" (PDF). www.SNIA.org/SSIF. SNIA. 18 de agosto 2014.

﻿Seguridad de almacenamiento