Microsoft Active Directory (AD) es la piedra angular de la mayoría de las redes informáticas empresariales, ya que proporciona funciones esenciales de autenticación y autorización para aplicaciones y recursos críticos para el negocio. Su papel central lo convierte también en un objetivo principal para los atacantes que pretenden comprometer a las empresas o, en algunos casos, colapsar toda la red. Cuando AD deja de funcionar, la actividad empresarial se paraliza. ¿Estás preparado para el peor de los casos?

Hoy nos complace anunciar la disponibilidad general de Commvault Cloud Backup and Recovery para Active Directory Enterprise Edition, que ofrece una recuperación completa y automatizada del bosque de Active Directory (AD) y permite restaurarlo rápidamente para contribuir a la continuidad del negocio.

Recovery de la publicidad es fundamental para la continuidad del negocio

AD es el núcleo de la autenticación y los servicios seguros, y su capacidad de recuperación es fundamental ante interrupciones del servicio o ataques de ransomware. Las aplicaciones, los sistemas de archivos, los servicios de correo electrónico y las bases de datos dependen de AD para una autenticación adecuada y un control seguro del acceso de los usuarios, por lo que, cuando AD se daña o queda completamente fuera de servicio, las aplicaciones y servicios críticos que soporta quedan inaccesibles.

Piensa en las consecuencias: el personal del banco no puede acceder a las cuentas de los clientes. Los médicos y el personal de enfermería no pueden acceder a los historiales médicos. Los programadores y desarrolladores no pueden publicar código. Los equipos no pueden colaborar ni chatear para llevar a cabo su trabajo.

Sin AD, la empresa no puede seguir funcionando. Los ciberdelincuentes lo saben, y por eso convierten a AD en su objetivo principal en 9 de cada 10 ciberataques. Cuando se produce un desastre, la recuperación de AD es fundamental, aunque tradicionalmente ha resultado muy difícil de llevar a cabo, ya que requiere procesos manuales complejos y que consumen mucho tiempo.

Dado que el ransomware ataca cada vez más a las infraestructuras críticas de identidad, es fundamental contar con un plan de Recovery bien documentado y sometido a pruebas periódicas que permita restaurar y reconstruir todo el entorno de Active Directory (AD) hasta dejarlo en el estado en que se encontraba antes del ataque.  

Las complejidades de la recuperación forestal tras un incendio forestal

Microsoft ofrece instrucciones detalladas sobre cómo reconstruir un bosque completo de Active Directory tras un desastre catastrófico en su «Guía de Recovery de bosques de Active Directory». Debido a la complejidad de Active Directory, los pasos necesarios para una recuperación completa del bosque son rígidos, estrictos, requieren mucho tiempo y son muy propensos a errores humanos. Dependiendo de la complejidad de tu arquitectura de Active Directory, el proceso puede implicar entre 50 y 100 tareas, o incluso más.

Debido a la naturaleza distribuida y a la arquitectura multimaster de AD, su restauración exige una coordinación meticulosa. No basta con restaurar los controladores de dominio a partir de una copia de seguridad y dar el asunto por zanjado. Hay docenas de pasos de mantenimiento complejos que deben realizarse en los controladores de dominio recuperados y dentro del propio AD en momentos muy concretos a lo largo de la Recovery del bosque. Si estos pasos no se siguen correctamente, se corre el riesgo de introducir nuevos errores o incoherencias en el entorno recuperado, lo cual puede resultar muy difícil, si no imposible, de resolver.

Confiar en un plan manual de Recovery ante desastres o ciberataques y en herramientas listas para usar podría suponer que se tardara días en restaurar todo un bosque de Active Directory. Ante un desastre, el tiempo es fundamental, y cuanto más se tarde en restaurar los componentes de Active Directory a un estado operativo, mayor será la interrupción en la actividad de la empresa.

Automatiza y agiliza la recuperación de AD con Commvault Cloud

Commvault Cloud Backup and Recovery for AD Enterprise Edition aporta un nuevo nivel de resiliencia a Active Directory al permitir la recuperación automática y rápida del bosque de Active Directory a un estado anterior al ataque. Esta automatización elimina los procesos manuales, que suelen ser lentos y propensos a errores, lo que reduce el riesgo de errores y acelera los tiempos de Recovery. Así es como funciona:

• Facilita la recuperación de AD mediante guías de procedimientos automatizadas: las guías de procedimientos automatizadas para la recuperación de bosques coordinan el proceso de varios pasos necesario para la recuperación de un bosque de AD, incluidas las tareas críticas de mantenimiento de AD necesarias para verificar la coherencia del directorio recuperado, como la toma de control de los roles FSMO y el ajuste del conjunto de RID. Estas guías de procedimientos también pueden utilizarse para realizar pruebas periódicas en entornos que no sean de producción, con el fin de mejorar la Readiness cibernética.
• Permite una rápida recuperación de los componentes más importantes de la infraestructura de Active Directory: las vistas gráficas de la topología de su entorno de Active Directory permiten identificar de forma sencilla y rápida qué controladores de dominio deben restaurarse en primer lugar y cómo deben recuperarse para acelerar la disponibilidad de los servicios de Active Directory.
• Realiza un seguimiento del progreso de la recuperación con vistas paso a paso del manual de procedimientos: las vistas prescriptivas del manual de procedimientos del proceso de recuperación ofrecen una transparencia total y un control minucioso, lo que te permite adaptar fácilmente el flujo de trabajo a tu entorno. Durante la recuperación, tendrás una visibilidad total de en qué punto del proceso te encuentras y cuánto tiempo falta para que tu AD vuelva a estar operativo.

• Acelera los tiempos de recuperación y mejora la resiliencia: la recuperación manual de un bosque de AD puede tardar días o incluso semanas en completarse, pero con Commvault puedes recuperarlo en una fracción de ese tiempo. Commvault Cloud integra la recuperación del bosque de AD con la recuperación granular tanto de AD como de Entra ID, lo que proporciona una protección integral. 

Lleva tu protección contra la AD al siguiente nivel

Ya está disponible Commvault Cloud Backup and Recovery for AD Enterprise Edition, que ofrece protección, Recovery y ciberresiliencia para tu entorno de AD. Visita la página de la solución para AD para obtener más información o prueba la solución de primera mano a través de nuestra demostración interactiva. Comprueba por ti mismo cómo Commvault puede mejorar tu estrategia de protección de AD.

La rápida evolución de las variantes de ransomware, las tácticas de ingeniería social y los ataques basados en inteligencia artificial pueden hacer que la resiliencia cibernética parezca una batalla imposible. Pero la ciberseguridad es mucho más que intentar ser más listo que los atacantes. Si bien es cierto que las amenazas más sofisticadas exigen defensas más avanzadas, también hay medidas sorprendentemente sencillas que puedes adoptar para reducir significativamente el riesgo.

En este blog, analizaremos cuatro prácticas recomendadas de protección de datos fáciles de aplicar, su papel en una estrategia de ciberdefensa de múltiples capas y cómo Commvault ayuda a los clientes a ponerlas en práctica.

1. Implementar imágenes ya reforzadas.

Ni siquiera la cerradura más resistente te servirá de nada si dejas las ventanas abiertas. Nada menos que el 23 % de los ataques a infraestructuras en la nube se deben a vulnerabilidades comunes de configuración, como políticas de red excesivamente permisivas, servicios y puertos innecesarios, y protocolos no seguros. Si subsanas estas deficiencias, ya habrás mejorado considerablemente la seguridad de tu superficie de ataque.

¿Por qué tantas empresas dejan vulnerabilidades que suelen ser objeto de ataques en sus entornos en la nube? A menudo, simplemente actúan con tanta prisa que no se aseguran de que las imágenes que implementan sean seguras. Pero Commvault puede ayudarles a encargarse de ese paso.

Commvault Cloud Platform está disponible en imágenes preconfiguradas que se han ajustado a los criterios de referencia del Center for Internet Security (CIS). Estas prácticas recomendadas integradas ayudan a reducir las vulnerabilidades de las siguientes maneras:

• Modificar la configuración predeterminada del software, como las políticas de contraseñas, los parámetros de bloqueo de cuentas y los niveles de registro, para dar prioridad a la seguridad.
• Desactivar protocolos obsoletos o inseguros, como SMBv1, SSLv3 y el cifrado RC4.
• Desactivar los servicios innecesarios y cerrar los puertos no utilizados en los sistemas operativos y las aplicaciones.
• Eliminar los shells que puedan servir de vía a los atacantes para ejecutar código malicioso.

Además de estas imágenes de CIS reforzadas para nuevas implementaciones, Commvault también puede proporcionar scripts para que los clientes validen y refuercen las configuraciones de su entorno actual. Al eliminar las vulnerabilidades habituales derivadas de configuraciones erróneas, ayudamos a evitar que haya puntos débiles que puedan dar lugar a ataques.

2. Proteger Active Directory.

Como centro de control centralizado para el acceso y la autorización en toda tu red, Active Directory (AD) es tanto un objetivo principal de los ataques como un vector de ataque letal. Para los atacantes, penetrar en AD es como robar la tarjeta de acceso a tu edificio, lo que les permite moverse de forma sigilosa por tu entorno, elevar privilegios para aplicaciones y datos críticos, y establecer una base desde la que controlar los activos de tu empresa. También pueden bloquear el acceso a usuarios legítimos, lo que paralizaría tu negocio. Para bloquear estas tácticas, debes proteger los datos de AD y revertir cualquier cambio que consigan realizar.

Commvault puede ayudarte a proteger Active Directory frente a ataques, salvaguardando tus objetos de política de grupo, usuarios, grupos, políticas de acceso condicional, roles y mucho más. Si se producen cambios perjudiciales —ya sea de forma intencionada por parte de los atacantes o por error de tus propios administradores—, podrás recuperar rápidamente cualquier objeto eliminado o restaurar los atributos sobrescritos. Para simplificar las cosas, también ofrecemos la posibilidad de revertir únicamente los atributos de los objetos que te preocupen, sin necesidad de realizar una restauración completa de AD. No obstante, si necesitas restaurar todo el entorno de AD, también te lo ponemos muy fácil.

3. Mantén las copias de seguridad fuera del alcance del ransomware.

Prácticamente todos los ataques de ransomware también tienen como objetivo la infraestructura de copias de seguridad. Al fin y al cabo, si las organizaciones pueden simplemente restaurar sus activos afectados, el ataque inicial fracasa: no hace falta pagar ningún rescate y los atacantes no obtienen ninguna ganancia. Por eso, las copias de seguridad frecuentes y seguras son la solución definitiva para defenderse del ransomware. 

Hay muchas formas de proteger las copias de seguridad, pero el «air gap» destaca como una medida especialmente elegante y eficaz. Es sencillo: si no se puede acceder a tus copias de seguridad ni desde dentro ni desde fuera de tu organización, los atacantes no tienen forma alguna de llegar a ellas para manipularlas o eliminarlas. Incluso si todas tus demás defensas fallaran y tus datos principales quedaran cifrados o eliminados, podrás recuperarte rápidamente y volver al trabajo.

Commvault permite aplicar el «air gap» gracias a nuestra solución Commvault AirGap. Almacenamos una copia secundaria a prueba de manipulaciones de tus copias de seguridad en un formato inmutable, en un almacenamiento en la nube seguro y aislado. Pase lo que pase en tu red corporativa, seguirás disponiendo de una copia limpia y libre de infecciones de tu entorno de producción para restaurarla. Eso supone una victoria para ti y una derrota para los atacantes.

4. Exigir la autorización de varias personas.

La mayoría de las empresas ya recurren a la autenticación multifactorial (MFA) para evitar el acceso no autorizado, como es lógico. Sin embargo, en el entorno actual, caracterizado por amenazas graves, algunas situaciones —como borrar una copia de seguridad o autorizar una solicitud de restauración— exigen niveles de control aún mayores.

La autorización multipersona va más allá de la autenticación multifactorial (MFA), ya que no solo exige una segunda prueba de identidad de la misma persona, sino también la aprobación de una persona totalmente diferente —o incluso de varias personas—. De este modo, aunque los atacantes consigan el control de varios factores de autenticación, como por ejemplo al comprometer tanto la cuenta de un usuario como su dispositivo, seguirán sin estar en condiciones de actuar. Lo mismo ocurre con un empleado malintencionado: al requerirse aprobaciones adicionales, un empleado deshonesto no puede llevar a cabo un ataque por su cuenta. 

Las soluciones de Commvault permiten a los clientes implementar flujos de trabajo de autorización en los que intervienen varias personas para una amplia gama de tareas que pueden considerarse destructivas, entre las que se incluyen:

• Detener un proceso de copia de seguridad de un sistema, un servidor o un recurso compartido de archivos.
• Eliminar o restaurar una copia de seguridad.
• Retirar la autorización a un agente o a un conjunto de copias de seguridad.

Los administradores pueden configurar el número de personas encargadas de dar el visto bueno, los grupos de usuarios y los usuarios concretos necesarios para autorizar tareas específicas.

Si no estás aplicando estas cuatro medidas, deberías hacerlo. Nunca diríamos que constituyen una estrategia integral de ciberdefensa: seguirás teniendo que llevar a cabo todas las demás tareas, desde analizar la información sobre amenazas y gestionar las vulnerabilidades hasta desarrollar tu infraestructura de seguridad. Pero cuando unas medidas tan sencillas pueden reducir significativamente tu riesgo, la única pregunta que debes plantearte es cuándo puedes empezar.

Descubre cómo Commvault Cloud puede ayudarte a proteger tu red frente a los ciberataques mediante una estrategia de defensa en varias capas.

Para las organizaciones sanitarias, proteger la información confidencial de los pacientes es fundamental. A medida que dependemos cada vez más de los sistemas digitales para almacenar, procesar y transmitir información sanitaria protegida (PHI), se ha vuelto imprescindible contar con medidas de seguridad criptográficas adecuadas. Aquí es donde entra en juego la Norma Federal de Procesamiento de la Información (FIPS) 140-2.

¿Qué es la norma FIPS 140-2?

La norma FIPS 140-2 es una norma de seguridad del Gobierno de los Estados Unidos que especifica los requisitos que deben cumplir los módulos criptográficos utilizados para proteger información sensible. Publicada por el Instituto Nacional de Estándares y Tecnología (NIST), esta norma establece requisitos de seguridad específicos que deben cumplir los módulos criptográficos para garantizar la confidencialidad y la integridad de la información que protegen.

Para las organizaciones sanitarias que gestionan datos confidenciales de pacientes, la norma FIPS 140-2 ofrece un marco para implementar medidas de protección criptográfica sólidas que se ajustan a los requisitos de la Norma de Seguridad de la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) para la protección de la información sanitaria protegida en formato electrónico (ePHI). Obtén más información sobre las actualizaciones propuestas para dicha norma en nuestro blog «La receta para la ciberresiliencia en el sector sanitario».

Features principales de la norma FIPS 140-2

Cuatro niveles de seguridad

La norma FIPS 140-2 adopta un enfoque de seguridad por niveles, con cuatro niveles distintos que ofrecen una protección cada vez mayor:

1. Nivel 1: Requiere equipos aptos para la producción y, como mínimo, un algoritmo o una función de seguridad homologados. No se exigen mecanismos específicos de seguridad física más allá de los componentes básicos aptos para la producción.

2. Nivel 2: Incorpora mecanismos de seguridad física, como recubrimientos o precintos a prueba de manipulación, o cerraduras a prueba de ganzúas, y exige una autenticación basada en roles.

3. Nivel 3: Mejora la seguridad física mediante medidas destinadas a detectar y responder ante intentos de acceso físico o de modificación. Impide que un intruso acceda a los parámetros de seguridad críticos almacenados en el módulo e incluye autenticación basada en la identidad.

4. Nivel 4: Proporciona una protección completa en torno al módulo criptográfico con el objetivo de detectar y responder a todos los intentos de acceso físico no autorizado. Los módulos de nivel 4 pueden funcionar en entornos sin protección física.

La mayoría de las organizaciones sanitarias suelen aplicar medidas de protección de nivel 2 o nivel 3, buscando un equilibrio entre las necesidades de seguridad y la viabilidad operativa.

Especificaciones del módulo criptográfico

La norma FIPS 140-2 exige una documentación detallada del módulo criptográfico, que incluya los puertos e interfaces del módulo; las operaciones manuales; el diseño físico; los componentes de hardware, software y firmware; y las funciones de seguridad. Esta documentación exhaustiva aporta transparencia sobre cómo se protegen los datos sensibles y permite realizar evaluaciones de seguridad minuciosas.

Algoritmos aprobados

La norma FIPS 140-2 exige el uso de algoritmos criptográficos validados, entre los que se incluyen:

• Cifrado de clave simétrica: AES, Triple DES
• Cifrado de clave asimétrica: RSA, DSA, ECDSA
• Funciones hash seguras: SHA-256, SHA-384, SHA-512
• Autenticación de mensajes: HMAC, CMAC

El uso exclusivo de algoritmos validados garantiza que las implementaciones criptográficas cumplan los requisitos mínimos de seguridad y no se hayan visto afectadas por vulnerabilidades conocidas.

Gestión de claves

Una gestión adecuada de las claves es fundamental para mantener la seguridad criptográfica. La norma FIPS 140-2 especifica los requisitos relativos a la generación, el establecimiento, la entrada y salida, el almacenamiento y la anulación (eliminación segura) de las claves. Para las organizaciones sanitarias, una gestión adecuada de las claves contribuye a que el cifrado siga siendo eficaz y evita que las claves comprometidas den lugar a filtraciones de datos.

Autoevaluación

La norma FIPS 140-2 exige que los módulos criptográficos realicen autocomprobaciones para verificar que funcionan correctamente. Entre ellas se incluyen pruebas de encendido que se ejecutan automáticamente, pruebas condicionales que se llevan a cabo cuando se activan funciones específicas y pruebas continuas del generador de números aleatorios. Estos requisitos de prueba contribuyen a mantener la fiabilidad constante de las protecciones criptográficas.

La importancia del cumplimiento de la norma FIPS 140-2 en el sector sanitario

Armonización jurídica y normativa

Aunque la HIPAA no exige explícitamente el cumplimiento de la norma FIPS 140-2, la Norma de Seguridad de la HIPAA exige la adopción de medidas adecuadas para garantizar la confidencialidad, la integridad y la disponibilidad de la ePHI. La norma FIPS 140-2 constituye un estándar reconocido que cumple muchos de los requisitos de cifrado de la HIPAA.

Además, otras normativas que afectan a las organizaciones sanitarias —como la Ley Federal de Gestión de la Seguridad de la Información (FISMA)— pueden exigir explícitamente el cumplimiento de la norma FIPS 140-2 a los organismos federales y a sus contratistas, entre los que pueden figurar los proveedores de asistencia sanitaria que trabajan con Medicare, Medicaid o la Administración de Veteranos.

Mitigación de riesgos

Las filtraciones de datos sanitarios pueden tener consecuencias catastróficas, tanto para los pacientes cuya privacidad se ve comprometida como para las organizaciones, que se enfrentan a sanciones económicas, costes de reparación y daños a su reputación. El cumplimiento de la norma FIPS 140-2 reduce significativamente el riesgo de filtraciones debidas a fallos criptográficos, al garantizar que:

• Las implementaciones criptográficas siguen las mejores prácticas contrastadas.
• Se identifican y se subsanan las vulnerabilidades de seguridad.
• Los métodos de cifrado son capaces de resistir ataques sofisticados.

Confianza de los pacientes

Más allá de los requisitos normativos, la aplicación de medidas sólidas de protección de datos demuestra un compromiso con la privacidad de los pacientes. Cuando las organizaciones sanitarias pueden garantizar a los pacientes que su información confidencial está protegida por normas de seguridad validadas por el Gobierno, se genera confianza en un mundo cada vez más preocupado por la privacidad.

Evaluación de proveedores

La certificación FIPS 140-2 ofrece un punto de referencia claro para evaluar a los proveedores de tecnología. A la hora de seleccionar sistemas que vayan a procesar o almacenar información médica protegida (ePHI), las organizaciones sanitarias pueden utilizar el cumplimiento de la norma FIPS 140-2 como criterio clave, lo que simplifica el proceso de evaluación de los proveedores y permite verificar que se cumplen los requisitos mínimos de seguridad.

Cómo ayuda Commvault a cumplir con la norma FIPS 140-2

La plataforma integral de gestión de datos de Commvault ofrece un sólido apoyo a las organizaciones del sector sanitario que desean cumplir con la norma FIPS 140-2 gracias a varias funciones clave:

Módulos criptográficos validados según FIPS

Commvault incorpora módulos criptográficos que han sido validados en el marco del Programa de Validación de Módulos Criptográficos (CMVP) del NIST. Estos módulos han sido sometidos a rigurosas pruebas por parte de laboratorios acreditados por el NIST para verificar su conformidad con los requisitos de la norma FIPS 140-2, lo que ofrece a las organizaciones sanitarias la garantía de que sus medidas de protección de datos cumplen con las normas federales.

Cifrado de extremo a extremo

Commvault ofrece funciones de cifrado integrales que protegen los datos sanitarios a lo largo de todo su ciclo de vida:

• Cifrado en tránsito: Todas las transferencias de datos entre los componentes de Commvault utilizan TLS 1.2 o una versión superior con algoritmos de cifrado homologados por FIPS, lo que protege la información sanitaria confidencial mientras se encuentra en tránsito.
• Cifrado en reposo: Commvault protege los datos sanitarios almacenados mediante el cifrado AES-256 homologado por FIPS, lo que protege las copias de seguridad, los archivos y otros repositorios de datos frente al acceso no autorizado.
• Cifrado del lado del cliente: los datos pueden cifrarse antes de salir del sistema de origen, de modo que permanecen protegidos durante todo el proceso de Backup and Recovery.

Gestión segura de claves

El sistema integrado de gestión de claves de Commvault cumple con los requisitos de la norma FIPS 140-2 para la gestión segura de claves:

• Gestión centralizada de claves: Las claves de cifrado se gestionan a través de un sistema centralizado, basado en políticas, que mantiene estrictos controles de acceso.
• Rotación de claves: Las funciones automatizadas de rotación de claves permiten a las organizaciones sanitarias actualizar periódicamente las claves de cifrado sin interrumpir las operaciones, siguiendo las mejores prácticas criptográficas.
• Almacenamiento seguro de claves: Las claves de cifrado se almacenan con múltiples capas de protección, incluida la opción de integrarlas con módulos de seguridad de hardware externos para mayor seguridad.

Controles de acceso basados en la identidad

Commvault implementa sólidos mecanismos de autenticación y autorización que cumplen con los requisitos de seguridad de la norma FIPS 140-2:

• Control de acceso basado en roles: la configuración detallada de los permisos permite que solo el personal autorizado pueda acceder a datos sanitarios confidenciales o realizar operaciones críticas del sistema.
• Autenticación multifactorial: la compatibilidad con la autenticación multifactorial (MFA) proporciona una capa adicional de seguridad al acceder a la consola de gestión de Commvault o a los datos.
• Registro detallado de auditoría: los registros exhaustivos de actividad recogen todos los accesos a la información sanitaria protegida, lo que facilita las auditorías de cumplimiento normativo y las investigaciones de seguridad.

Funcionamiento en modo FIPS

Commvault permite a las organizaciones sanitarias activar el «modo FIPS», que garantiza el uso exclusivo de algoritmos y módulos criptográficos homologados por FIPS en todo el entorno de gestión de datos. Cuando se activa el modo FIPS:

• Los algoritmos que no cumplen con la norma FIPS están desactivados.
• Solo se utilizan módulos criptográficos validados.
• Los ajustes de seguridad se configuran automáticamente para cumplir con los requisitos de FIPS.

Este enfoque simplificado del cumplimiento normativo reduce la carga administrativa de los equipos de TI del sector sanitario y minimiza el riesgo de errores de configuración que podrían comprometer la seguridad.

Integración perfecta con los sistemas sanitarios

La plataforma de Commvault se integra con los principales sistemas de información sanitaria, al tiempo que mantiene el cumplimiento de la norma FIPS 140-2:

• Protección del sistema de historias clínicas electrónicas: los conectores especializados para los principales sistemas de historias clínicas electrónicas permiten realizar copias de seguridad y recuperar los datos de los pacientes de forma segura.
• Compatibilidad con imágenes médicas: Las funciones de copia de seguridad cumplen con la norma internacional «Digital Imaging and Communications in Medicine» (DICOM) para el almacenamiento, el intercambio y el uso de datos de imágenes médicas, al tiempo que garantizan el cumplimiento de los requisitos tanto de la HIPAA como de las normas FIPS.
• Protección de entornos virtuales: Las organizaciones sanitarias que ejecutan aplicaciones críticas en entornos virtualizados pueden mantener el cumplimiento de la norma FIPS gracias a las funciones de protección de máquinas virtuales de Commvault.

Documentación y presentación de informes sobre el cumplimiento normativo

Commvault simplifica los requisitos de documentación relacionados con el cumplimiento de la norma FIPS 140-2:

• Certificados de validación: Acceso a los certificados de validación FIPS 140-2 de los módulos criptográficos de Commvault.
• Informes de cumplimiento: herramientas de generación de informes integradas que documentan el estado del cifrado, las actividades de gestión de claves y otros indicadores relacionados con la seguridad.
• Apoyo en materia de auditorías: registros e informes exhaustivos que agilizan el proceso de demostrar el cumplimiento normativo durante las auditorías reglamentarias.

Aplicación de la norma FIPS 140-2 en entornos sanitarios

Realización de un inventario

El primer paso para cumplir con la norma FIPS 140-2 consiste en identificar todos los sistemas y aplicaciones que procesan datos sanitarios confidenciales. Esto incluye:

• Sistemas de historias clínicas electrónicas
• Sistemas de diagnóstico por imagen
• Sistemas de información de laboratorio
• Sistemas de facturación y administrativos
• Dispositivos móviles utilizados por los profesionales sanitarios
• Soluciones de copia de seguridad y almacenamiento de datos

Validación de módulos criptográficos

Para cada sistema identificado, determine si utiliza módulos criptográficos validados según la norma FIPS 140-2. El NIST mantiene una lista de módulos validados denominada CMVP. Los proveedores deben poder facilitar sus certificados de validación según la norma FIPS 140-2 y los números de referencia correspondientes.

Subsanar las deficiencias

En el caso de los sistemas que no cumplen con la norma FIPS 140-2, las organizaciones sanitarias disponen de varias opciones:

• Actualiza a versiones que cumplan con la norma FIPS.
• Implementa capas adicionales de cifrado utilizando módulos validados.
• Sustituya los sistemas que no cumplan los requisitos por alternativas que sí los cumplan.
• Solicita excepciones si se han establecido controles compensatorios adecuados.

Documentación y formación

Es fundamental mantener una documentación exhaustiva de las medidas adoptadas para cumplir con la norma FIPS 140-2, tanto para la gobernanza interna como para las auditorías reglamentarias. Además, el personal debe recibir formación sobre la importancia del cifrado y el tratamiento adecuado de los datos sensibles.

Conclusión

El cumplimiento de la norma FIPS 140-2 es algo más que una simple casilla que marcar para cumplir con los requisitos normativos: es un componente fundamental de una estrategia sólida de seguridad de los datos sanitarios. Al implementar medidas de protección criptográfica que cumplan con esta rigurosa norma, las organizaciones sanitarias pueden reducir significativamente el riesgo de fugas de datos, ganarse la confianza de los pacientes y evitar costosas sanciones por incumplimiento normativo.

A medida que el sector sanitario sigue digitalizándose y las amenazas cibernéticas se vuelven cada vez más sofisticadas, cumplir con normas de seguridad reconocidas, como la FIPS 140-2, ya no es opcional, sino un aspecto fundamental para una prestación responsable de la asistencia sanitaria en la era digital.

Al optar por las soluciones de gestión de datos de Commvault, que cumplen con la norma FIPS 140-2, las organizaciones sanitarias pueden proteger con total confianza la información confidencial de los pacientes, al tiempo que simplifican las tareas de cumplimiento normativo. Nuestro enfoque integral de la protección de datos no solo cumple con los requisitos normativos actuales, sino que sienta las bases para hacer frente a los retos de seguridad en constante evolución.

Han pasado casi 30 años desde que entró en vigor la Ley de Portabilidad y Responsabilidad del Seguro Médico. Entre otras disposiciones, protege a los pacientes al impedir la divulgación de información sanitaria privada sin su consentimiento. A lo largo de los años, la ley se ha actualizado y modificado en respuesta a los avances tecnológicos y a la legislación y las políticas sanitarias relacionadas.

El año pasado, el Departamento de Salud y Servicios Humanos de EE. UU. (HHS) propuso modificaciones significativas a la Norma de Seguridad de la HIPAA con el fin de mejorar la ciberseguridad de los historiales médicos electrónicos (EHR). Las modificaciones más recientes se elaboraron en respuesta al aumento del almacenamiento y la transferencia de historiales electrónicos, al incremento del número y la gravedad de las violaciones de seguridad, y a otras cuestiones relacionadas con las prácticas de ciberseguridad y la aplicación de la normativa que han cambiado o surgido desde la última actualización de la norma en 2013.

Un componente clave de esta propuesta exige que las entidades afectadas establezcan procedimientos por escrito para restablecer los sistemas de información electrónicos críticos y los datos en un plazo de 72 horas tras una pérdida. Este requisito tiene por objeto permitir que las organizaciones sanitarias recuperen con rapidez los sistemas y datos esenciales tras un incidente de seguridad, minimizando así las interrupciones en la atención al paciente y manteniendo la confidencialidad, la integridad y la disponibilidad de los historiales clínicos electrónicos (EHR).

Más información sobre cómo se puede utilizar Commvault para recuperar rápidamente los historiales clínicos electrónicos (EHR), incluso en entornos de Epic y Meditech.

Aplicación de la HIPAA

La aplicación de la HIPAA es competencia de la Oficina de Derechos Civiles (OCR), dependiente del Departamento de Salud y Servicios Humanos (HHS). La OCR se encarga de garantizar que los proveedores de asistencia sanitaria, los planes de salud, los centros de intercambio de información y sus socios comerciales cumplan con las normas de privacidad, seguridad y notificación de violaciones de la HIPAA.

En los últimos años, la OCR ha dado prioridad a las sanciones económicas por infracciones, en particular las relacionadas con la Norma de Seguridad de la HIPAA. En 2024, la OCR informó de que la aplicación de la HIPAA se situaba en niveles casi récord, con una recaudación de 9,9 millones de dólares, incluido un acuerdo de 4,75 millones de dólares por múltiples infracciones de la Norma de Seguridad. Sin embargo, aunque el número de medidas coercitivas ha aumentado, el importe medio de las sanciones ha disminuido debido a una reinterpretación de los niveles de sanciones en virtud de la Ley HITECH.

Mecanismos clave de aplicación de las nuevas disposiciones

Ante la inminente entrada en vigor de los nuevos requisitos de la Norma de Seguridad de la HIPAA, la OCR velará por su cumplimiento mediante una combinación de medidas de formación, auditorías, investigaciones y sanciones. A continuación se ofrece un desglose detallado del funcionamiento de estos mecanismos de aplicación:

1. Educación y orientación (fase inicial de la aplicación de la ley)

La OCR ofrece orientación, formación y buenas prácticas para ayudar a las entidades afectadas y a los socios comerciales a cumplir con la normativa de la HIPAA. Esto incluye:

• Preguntas frecuentes actualizadas, programas de formación y recursos en línea.
• Colaboración con grupos del sector para aclarar cómo deben aplicarse las nuevas normas de seguridad.
• Orientaciones técnicas sobre el Risk Analysis y la gestión de riesgos (un ámbito en el que se producen incumplimientos frecuentes).

Esta fase permite a las organizaciones actualizar sus programas de seguridad, sus políticas de gestión de riesgos y la formación de su personal antes de que comience la aplicación estricta de la normativa.

2. Investigaciones sobre el cumplimiento normativo y notificación de infracciones

La OCR investiga el cumplimiento de la normativa en respuesta a:

• Denuncias: Las personas pueden denunciar infracciones de la HIPAA, lo que da lugar a investigaciones por parte de la OCR.
• Notificaciones de violaciones de datos: Cualquier violación de datos que afecte a 500 registros o más debe notificarse a la OCR, que a continuación investigará si el incumplimiento de la normativa ha contribuido a dicha violación.

Ante el aumento de los incidentes de piratería informática, la OCR se ha centrado en la preparación en materia de ciberseguridad, exigiendo a las organizaciones sanitarias Risk Analysis y una supervisión de los sistemas más rigurosos.

3. Las auditorías de la HIPAA y Risk Analysis se centran en

La OCR ha destacado Risk Analysis como una de las principales prioridades en materia de cumplimiento normativo, debido al incumplimiento generalizado de la normativa.

• En las auditorías de la HIPAA de 2016-2017, la mayoría de las organizaciones no llevaron a cabo una Risk Analysis exhaustiva ni la actualizaron periódicamente.
• En 2024, 14 de las 22 medidas coercitivas de la OCR se debieron a infracciones de la Norma de Seguridad de la HIPAA, siendo las deficiencias en Risk Analysis el problema más habitual.
• La OCR tiene la intención de reanudar las auditorías de cumplimiento (aunque las restricciones presupuestarias podrían retrasar esta iniciativa).

Cabe esperar un control más estricto sobre la forma en que las organizaciones evalúan y mitigan los riesgos para la información médica protegida electrónica (ePHI).

4. Sanciones económicas y planes de medidas correctoras (PMC)

La OCR puede imponer sanciones por incumplimiento, con multas que oscilan entre miles y millones de dólares en función de:

• Negligencia u omisión deliberada
• Incumplimiento de la obligación de subsanar las infracciones tras su notificación
• Número de personas afectadas

Dado que las multas en virtud de la HIPAA han disminuido considerablemente (de una media de 2,6 millones de dólares en 2018 a unos 450 000 dólares en 2024), la OCR ha buscado estrategias alternativas de aplicación de la ley, como los CAP, que exigen a las organizaciones mejorar sus medidas de seguridad en un plazo determinado, y una aplicación más estricta de la ley a nivel estatal.

Qué significa esto para tu organización

Dado que la OCR está dando prioridad a la aplicación de la Risk Analysis, estas medidas pueden ayudarte a cumplir con las actualizaciones propuestas:

• Actualiza periódicamente las evaluaciones de riesgos y asegúrate de que abarquen todos los sistemas de ePHI.
• Aplica medidas de ciberseguridad más estrictas (por ejemplo, cifrado, autenticación multifactorial y supervisión continua).
• Formar a los empleados en materia de cumplimiento de la HIPAA y en los protocolos de respuesta ante infracciones.
• Proporcionar notificaciones oportunas sobre violaciones de seguridad con información precisa.
• Conservar la documentación que acredite las medidas adoptadas para garantizar el cumplimiento.

Medidas coercitivas y acciones legales a nivel estatal

Los fiscales generales de los estados pueden hacer cumplir la HIPAA de forma independiente e imponer sanciones por infracciones. La mayor sanción impuesta en California en 2024 (6,75 millones de dólares) se impuso a un proveedor de almacenamiento en la nube por gestionar de forma inadecuada la seguridad de los datos de los pacientes. Dado que los estados están aprobando leyes adicionales en materia de ciberseguridad (por ejemplo, las normas de ciberseguridad para hospitales de Nueva York), cabe esperar que la aplicación de la HIPAA se amplíe más allá de la supervisión de la OCR.

Reflexiones finales: los retos que nos esperan

A pesar del aumento tanto en las notificaciones de infracciones como en las reclamaciones relacionadas con la HIPAA, parece poco probable que la OCR reciba la financiación adicional que afirma necesitar para reforzar la aplicación de la normativa. Aún no está claro cómo afectarán a la agencia los recortes presupuestarios en curso del Departamento de Eficiencia Gubernamental, ni cómo actuará la nueva administración una vez que finalice el plazo de comentarios públicos sobre los cambios propuestos, el 7 de marzo.

Independientemente de si las nuevas disposiciones de seguridad de la HIPAA entran en vigor este año o no, las organizaciones se beneficiarían de reforzar de forma proactiva sus medidas de ciberseguridad, Risk Analysis, las estrategias de Recovery ante desastres y la formación en materia de cumplimiento normativo. Al gestionar estas cuestiones, las entidades sanitarias pueden ayudar a evitar posibles sanciones, reducir los riesgos de filtraciones y proteger los datos de los pacientes de forma eficaz.

Descubre cómo Commvault puede ayudar a tu organización en sus iniciativas de cumplimiento normativo.

Nuestras últimas versiones del software Commvault Cloud y de los servicios SaaS ofrecen nuevas funciones y capacidades que le ayudarán a mejorar su estrategia de ciberresiliencia y protección de datos, al facilitar y agilizar la protección y la gestión de sus datos. Están diseñadas para ayudarle a proteger y recuperar los datos en la nube híbrida frente a las nuevas amenazas de pérdida de datos, así como a recuperarse rápidamente en caso de incidente o ciberataque.

Entre las características más recientes que ya están disponibles en esta versión se encuentran:

• Integración con CrowdStrike
• Mejoras en Commvault AirGap
• Commvault Edge
• Cloud Rewind
• Clumio para Amazon S3
• Cleanroom Recovery para AWS
• Escalado automático para Amazon EC2 Restore
• Backup and Recovery for Google Workspace
• Recuperación del bosque de Active Directory
• Máquinas virtuales de origen de Nutanix AHV
• Integración de XSOAR con Palo Alto Networks
• Copia de Seguridad y Recuperación de Kubernetes

Integración con CrowdStrike

Vuestros equipos de seguridad deben actuar con rapidez. Ante el aumento de los ataques de ransomware, las empresas deben mejorar su visibilidad para detectar y hacer frente a las amenazas de forma temprana.

Commvault te ayuda a reforzar tus defensas cibernéticas mediante la integración de CrowdStrike Falcon con Commvault Cloud. Al integrar los datos de CrowdStrike en el panel de control de Commvault, tu equipo de seguridad puede identificar y responder rápidamente ante las amenazas. Esta visibilidad optimizada facilita la protección de los activos de copia de seguridad, la seguridad de los datos confidenciales y la adopción de medidas proactivas de Recovery.

Mejoras en Commvault AirGap

La detección y la protección frente al ransomware son fundamentales. A medida que los clientes utilizan cada vez más Commvault AirGap, buscan una funcionalidad más amplia y un rendimiento constante en todos los niveles de almacenamiento.

Hemos mejorado Commvault AirGap con funciones como una clasificación por niveles versátil tanto para datos primarios como secundarios, medidas de control para la recuperación y retención de datos, y Threat Scan para entornos en la nube y locales. Esto ayuda a los clientes a optimizar los costes de almacenamiento sin renunciar a una protección sólida.

Commvault Edge

Las empresas deben proteger los datos y las aplicaciones en las sedes remotas y las sucursales con la misma eficacia con la que lo hacen en las implementaciones locales y en la nube.

Commvault Edge ofrece una imagen de software que se puede instalar en una arquitectura de referencia, lo que proporciona protección de datos en sedes remotas, todo ello gestionado a través de un plano de control centralizado. Tus administradores ganan en flexibilidad y visibilidad al elegir el hardware adecuado para instalar la imagen de software de HS Edge, gestionando y protegiendo hasta 200 TB de datos para establecimientos minoristas, plantas de producción, IoT y mucho más. Además, gracias a su sistema operativo basado en Linux, previamente reforzado y preconfigurado, la imagen de software permite una rápida implementación y un fácil mantenimiento.

Cloud Rewind

Dado que, por lo general, el 70 % de los recursos en la nube quedan desprotegidos, lograr la ciberresiliencia puede resultar una tarea abrumadora. Las organizaciones están deseosas de reforzar la protección de todos sus activos y de estar preparadas para recuperarse ante cualquier amenaza.

Cloud Rewind ofrece una potente herramienta para restaurar rápidamente datos críticos, aplicaciones en la nube y configuraciones a un estado limpio. Permite a los usuarios reconstruir rápidamente sus entornos en la nube hasta alcanzar un estado seguro y conocido tras un ciberincidente, reduciendo el tiempo de recuperación de semanas a minutos. Esta capacidad de recuperación rápida es fundamental para mantener la resiliencia cibernética.

Clumio para Amazon S3

Con el auge de las aplicaciones modernas y la inteligencia artificial, Amazon S3 ha experimentado un crecimiento vertiginoso, lo que lo ha convertido en un objetivo prioritario para los ataques. La restauración de miles de millones de objetos a partir de una copia de seguridad puede resultar extremadamente lenta, lo que provoca largos periodos de inactividad.

Clumio Backtrack ofrece una solución revolucionaria que permite revertir rápidamente los objetos de Amazon S3 a una versión concreta en cualquier momento. Esto se traduce en una mayor resiliencia cibernética frente a errores y ataques, así como en la capacidad de restaurar miles de millones de objetos en cuestión de minutos gracias al control de versiones de S3 y a la tecnología sin servidor. Además, optimiza el gasto en AWS al eliminar la necesidad de copias adicionales de los buckets de S3.

Nota: Clumio para Amazon S3 también está disponible en AWS Marketplace.

Cleanroom Recovery para AWS

Los clientes que utilizan AWS para sus implementaciones en la nube desean realizar simulacros de Recovery dentro del mismo entorno para lograr una eficiencia óptima.

Commvault ha ampliado Cleanroom Recovery a AWS, lo que te permite recuperar cargas de trabajo directamente en AWS. Esta ampliación significa que puedes realizar pruebas de recuperación en un entorno que reproduce fielmente tu configuración de producción, lo que mejora la coherencia. Además, gracias a una mayor compatibilidad con plataformas en la nube, tu empresa gana flexibilidad para diseñar una estrategia de recuperación adaptada a tus necesidades.

Escalado automático para la restauración de Amazon EC2

Los usuarios de AWS necesitan el autoescalado de Commvault para la replicación, la recuperación y la indexación, con el fin de minimizar el número de nodos de acceso de Commvault de larga duración que deben gestionar en su entorno de AWS. Commvault Cloud ahora escala dinámicamente la capacidad de cómputo de Amazon EC2 durante las actividades de restauración, replicación y migración, y las cierra posteriormente para mantener bajos los costes de ciberresiliencia.

Puedes simplificar el mantenimiento reduciendo el número de nodos de acceso de Commvault de larga duración en tu entorno de AWS y ahorrar costes aprovechando la capacidad de cálculo elástica de EC2 solo cuando sea necesario.

Backup & Recovery para Google Workspace

Los riesgos de seguridad de las aplicaciones SaaS, como la eliminación accidental, la corrupción de datos y los ataques maliciosos, pueden afectar a la productividad. Sorprendentemente, solo el 13 % de las empresas es plenamente consciente de su papel en la protección de los datos.

Commvault da un paso más al ampliar la protección de aplicaciones SaaS a Google Workspace, cubriendo los datos de Gmail, Google Drive y Shared Drive. Esto significa que tus datos críticos de Google Workspace pueden permanecer a salvo y ser recuperables ante amenazas de pérdida de datos.

Tu empresa podrá seguir avanzando gracias a unos datos accesibles y de rápida recuperación. Además, podrás cumplir con los acuerdos de nivel de servicio gracias a la retención ampliada y a Google Cloud Storage incluido en el paquete, todo ello gestionado a través de una única solución unificada para Google Workspace y otras cargas de trabajo SaaS, híbridas y nativas de la nube.

Recuperación del bosque de Active Directory

Cuando Active Directory (AD) deja de estar disponible, la recuperación del bosque puede ser un proceso complejo, compuesto por varios pasos, que debe ejecutarse a la perfección. Sin automatización, existe un riesgo real de restaurar AD en un estado inutilizable, lo que provocaría más interrupciones en la actividad empresarial.

La solución de Commvault simplifica este proceso gracias a una rápida recuperación ante la corrupción del esquema y los ataques de ransomware. Al automatizar el proceso completo de Recovery del bosque, puedes planificar y realizar pruebas con antelación, lo que reduce el tiempo de inactividad y potencia la ciberresiliencia. Esto significa que puedes estar tranquilo sabiendo que tu bosque de Active Directory puede restablecerse a un estado óptimo de forma rápida y eficaz.

Máquinas virtuales de origen de Nutanix AHV

¿Te enfrentas al reto de proteger entornos operativos diversos y complejos? ¿Necesitas soluciones fiables para gestionar estos entornos de forma eficaz? Ahí es donde entra en juego Cleanroom Recovery. Ahora, al ser compatible con máquinas virtuales de Nutanix, te ayuda a responder con rapidez ante las amenazas de seguridad y a agilizar la validación de la recuperación.

¿Por qué es importante esto? Ofrece una cobertura integral para entornos complejos, lo que permite recuperaciones más completas. Además, gracias a la compatibilidad con un mayor número de máquinas virtuales y cargas de trabajo, las empresas pueden reanudar sus actividades rápidamente, mejorando así su ciberresiliencia y garantizando el buen funcionamiento de sus operaciones.

Integración de XSOAR de Palo Alto Networks

Los equipos de seguridad suelen recurrir a plataformas SIEM/SOAR, como XSOAR de Palo Alto Networks, para la detección y respuesta ante amenazas, pero la falta de integración con soluciones de Recovery les obliga a realizar tareas manuales de recuperación que requieren mucho tiempo, lo que retrasa su respuesta ante las amenazas activas.

Commvault Cloud Cleanroom Recovery se integra a la perfección con XSOAR de Palo Alto Networks, lo que permite a los equipos gestionar las tareas de recuperación directamente desde la plataforma XSOAR. Esta integración acelera los tiempos de recuperación gracias a flujos de trabajo automatizados, reduce las tareas manuales para que los equipos puedan centrarse en el análisis de amenazas y centraliza la gestión, lo que mejora la colaboración y agiliza la respuesta ante incidentes.

Backup & Recovery para Kubernetes

A medida que las empresas modernizan sus aplicaciones, muchas han optado por Kubernetes como plataforma de referencia para gestionar grandes volúmenes de datos en aplicaciones de nube híbrida. Los administradores necesitan realizar copias de seguridad más rápidas y mejorar la Readiness de sus aplicaciones y datos en contenedores. 

Commvault permite realizar Backup and Recovery de Kubernetes optimizadas para grandes volúmenes de datos. Esta solución se integra a la perfección con el servidor de la API de Kubernetes para detectar y recopilar datos y configuraciones de las aplicaciones, lo que proporciona un mayor rendimiento y fiabilidad en las copias de seguridad. 

Prueba Commvault Cloud gratis durante 30 días.