A riesgo de dispararle barato a los partidarios de H. Clinton, una cosa que NO debe hacer es pedirle al encargado de TI de su oficina que improvise algo en su sótano.
De hecho, como regla general, si tiene que hacer esta pregunta, ni siquiera intente hacerlo; La única respuesta útil que puedo dar es “Contratar a un profesional que sepa cómo hacerlo porque tiene años de entrenamiento especial seguido de un largo aprendizaje”.
Sin embargo, en el espíritu de Quora, intentaré responder la pregunta lo mejor que pueda.
Primero, determine qué quiere decir con “alta seguridad”. ¿Tiene que soportar el ataque de la NSA o sus contrapartes rusas o chinas? ¿Estás tratando de proteger los planes secretos de Amazon para hacerse cargo de Quora? ¿O es su idea de “alta seguridad” para evitar que su cónyuge sepa a dónde va en Internet cuando está en la privacidad de su oficina en casa?
- Imagine que su cliente le pide que diseñe una habitación de una manera visualmente agradable pero no práctica. ¿Cómo reaccionarías?
- Si pudieras diseñar tu propio teléfono inteligente, ¿cómo sería y qué podría hacer?
- ¿Cuáles son algunos secretos de los diseñadores de logotipos en el Reino Unido?
- ¿Cuál es tu joya escondida favorita en Photoshop?
- ¿Cuáles son los factores clave detrás de la construcción de una API increíble?
Lo que intente proteger determinará cuánto tiempo, esfuerzo y dinero está dispuesto a invertir en el diseño de su sistema seguro.
Digamos que está diseñando una red segura de comunicaciones tácticas para los militares de su gobierno, para llevar información secreta.
Para obtener dicho sistema aprobado, necesita dos cosas: certificación y acreditación.
La certificación significa que el sistema ha cumplido todos los requisitos de diseño relacionados con la seguridad. La acreditación significa que alguien designado por el gobierno está dispuesto a arriesgar su reputación personal al firmarla.
Debe estar familiarizado con las pautas relevantes; en los Estados Unidos, descargue “Publicación especial 800-37 Revisión 1″, también conocida como ” Guía para aplicar el marco de gestión de riesgos a los sistemas de información federales: un enfoque del ciclo de vida de seguridad ” del sitio web del NIST; Este es su marco de gestión de riesgos de seis pasos.
También hay una biblioteca completa de Estándares Federales de Procesamiento de Información (FIPS), que incluye (pero no se limita a)
FIPS 202: Estándar SHA-3: Hash basado en permutación y funciones de salida extensible;
FIPS 201-2 Verificación de identidad personal (PIV) de empleados y contratistas federales;
FIPS 200 Requisitos mínimos de seguridad para la información federal y los sistemas de información;
FIPS 199 Estándares para la categorización de seguridad de la información federal y los sistemas de información;
FIPS 198-1 El código de autenticación de mensaje de hash con clave (HMAC);
FIPS 197 Advanced Encryption Standard (AES); FIPS 186-4 estándar de firma digital (DSS);
FIPS 180-4 Secure Hash Standard (SHS); Requisitos de seguridad FIPS 140-2 para módulos criptográficos (incluido el Anexo A: Funciones de seguridad aprobadas; Anexo B: Perfiles de protección aprobados; Anexo C: Generadores de números aleatorios aprobados; Anexo D: Técnicas de establecimiento de claves aprobadas;
Y la lista continúa.
Si no está en los EE. UU., Descargue las publicaciones NIST SP y FIPS de todos modos, porque la buena seguridad es buena seguridad.
Si está buscando un sistema personal altamente seguro que se ubicará en su sótano y no tiene que obtener una acreditación oficial del gobierno porque no contendrá información clasificada * tos del tos * del gobierno, solo siga reglas básicas: use un sistema operativo acreditado, asegúrese de que todos sus parches estén actualizados, no instale ningún software que no necesite absolutamente y asegúrese de que los parches de ese software también estén actualizados. Use un paquete comercial de antivirus / antimalware y pague una suscripción. Establezca los permisos de usuario para que las personas no puedan descargar software de Internet e instalarlo ellos mismos. Instale un sistema personal de detección de intrusiones o de prevención de intrusiones y aprenda cómo funciona. Si es posible, instale un firewall comercial configurado correctamente entre usted e Internet. Y considere la posibilidad de particionar su red sobre la base de “necesidad de saber”.