Las personas o entidades específicas variarán según la naturaleza de la información y las políticas de seguridad de la organización. Sin embargo, algunos ejemplos pueden incluir:
* Personal con la necesidad de saber por sus deberes laborales: Esto podría incluir personal de seguridad de TI, administradores de sistemas, respondedores de incidentes, investigadores autorizados o personal involucrado en la gestión de riesgos. Su acceso debe estar estrictamente limitado a lo que es necesario para sus roles.
* Se asocia externo con una obligación contractual: Esto podría involucrar a proveedores externos que brindan servicios de seguridad, auditores que realizan evaluaciones de seguridad o agencias gubernamentales en industrias reguladas. Estas relaciones deben estar gobernadas por estrictos acuerdos de confidencialidad (NDA) y protocolos de seguridad.
* Cuerpos de aplicación de la ley o reguladores: En el caso de un incidente de seguridad o requisito legal, la información de seguridad confidencial podría necesitar ser compartida con las agencias de la ley o las agencias reguladoras para cumplir con las obligaciones legales.
* Equipos internos designados: Los equipos internos específicos como un Centro de Operaciones de Seguridad (SOC) o un Equipo de Respuesta a Incidentes de Seguridad (SIRT) requerirían acceso para abordar los problemas de seguridad.
Es fundamental evitar:
* Compartir innecesario: Compartir información confidencial con personas que no necesitan saber crean un riesgo innecesario.
* Compartir a través de canales no garantizados: La información confidencial solo debe compartirse a través de canales de comunicación seguros.
* Controles de acceso demasiado amplios: El acceso debe otorgarse de manera estricta "necesaria para saber" y revisarse regularmente.
Las organizaciones deben tener políticas y procedimientos de seguridad bien definidos que claramente describan quién puede acceder a la información de seguridad confidencial, cómo se puede compartir y qué salvaguardas existen para protegerla. Estas políticas deben cumplir con los requisitos legales y regulatorios relevantes.