Pilares Básicos de la Seguridad de la Información

Confidencialidad: La información puede ser accedida únicamente por las personas que tienen autorización para hacerlo. La confidencialidad se puede ver amenazada si alguien intercepta los paquetes que viajan de un lado a otro.

Integridad: Cuando nos referimos a integridad, queremos decir que estamos totalmente seguros de que la información no ha sido borrada, copiada o alterada, no solo en su trayecto, sino también desde su origen.

Disponibilidad: Hace referencia al método de precaución contra posibles daños tanto en la información como en el acceso a la misma. Ataques, accidentes o descuidos pueden ser los factores que obligan a diseñar métodos para posibles bloqueos.

Autenticidad: Nos informa de que el archivo en cuestión es real, mientras que la integridad nos informa que el archivo, por ejemplo, no ha sido retocado ni editado. Los métodos de autenticación para la verificación de identidad pueden clasificarse en tres categorías:

• Algo que el usuario sabe (ej: contraseña)
• Algo que el usuario lleva consigo y le permite ser identificado (ej: documento)
• Propiedad física o acto involuntario (ej: huella digital)

Qué se Protege en Seguridad Informática

La seguridad informática no debe confundirse con la seguridad en internet, pues la información comprende otro contexto, como ser el de la seguridad física. La seguridad informática intenta proteger 4 elementos:

Software: Conjunto de sistemas lógicos que hacen funcionar al hardware.

Hardware: Comprende el conjunto de sistemas físicos del sistema informático.

Datos: Conjunto de elementos lógicos que tienen como función manejar el software y el hardware. No es lo mismo dato que información; un dato no tiene coherencia por sí solo y la información sí tiene significado. Los datos se convierten en información cuando su creador les agrega significado.

Elementos Fungibles: Son los elementos que se gastan o desgastan con el uso continuo (papel, cartuchos).

La importancia de los elementos a proteger son:

• Datos
• Software y hardware
• Elementos fungibles

Tipos de Ataques Comunes

Interrupción (contra la disponibilidad): Es cuando los datos o la información de un sistema se ven corruptos, ya sea porque los mismos se perdieron, se bloquearon o no están disponibles para el uso.

Fabricación (contra la autenticidad): Tiene lugar cuando un usuario malicioso consigue colocar un objeto en el sistema atacado.

Modificación (contra la integridad): Un atacante que puede contar con la autorización o no para ingresar al sistema, manipula los datos de tal manera que la integridad se ve afectada.

Amenazas a la Seguridad: ¿De Quién Nos Protegemos?

Factores Humanos

• El personal o ex empleados: Es el grupo más poderoso y los que más pueden sacar provecho de los datos.
• Hackers, Crackers, Lamers: Se trata de muchos de los que intentan entrar en el sistema de manera externa o interna.
• Los cliqueadores y Gecece: Son personas que únicamente pueden lograr su cometido si son ayudadas por un programa; este programa suele ser creado por un hacker.
• Intrusos por pago: Este tipo de individuo posee una sabiduría privilegiada y también es apto para recibir dinero por su experiencia.

Términos Relacionados

• Hackers: Persona interesada o apasionada por la informática.
• Crackers: Persona que mediante la ingeniería inversa realiza seriales.
• Cliqueadores: Solo pueden lograr su cometido si están ayudados por un programa hecho por un hacker.
• Sniffer: Programa encargado de capturar datos de la red. Ej: contraseñas.
• Código fuente: Se utiliza para hacer referencia al código fuente de otros elementos del software.

Gestión de la Seguridad de la Información

Responsabilidades

Se debe crear una política de seguridad consensuada con la cooperación de personas o grupos que se especialicen en diferentes temas dentro de la rama de la computación. Cada uno de los integrantes debe tener una responsabilidad acorde con el plan que se realiza.

Procedimiento

Una vez confeccionado el inventario y asumidos los riesgos, se procede a enumerar procedimientos para armar una política de seguridad. Estos puntos se realizarán por personas o grupos especializados y se contará con un responsable encargado de asegurar la misma. Algunas preguntas sirven de guía para realizar los procedimientos como:

• ¿Quién utilizará el recurso?: Es esencial saber quién o quiénes son las personas que integran el tratado de seguridad, para luego hablar sobre derechos, responsabilidades y medidas a tomar.
• ¿Cuál es el empleo de cada recurso?: Es necesario que se creen documentos o normas que los usuarios deben leer, aprender y seguir. Estas normas se reconocen como “políticas de uso aceptable”. Esta política de comportamiento debe especificar estrictamente cuáles son las acciones que están permitidas y cuáles no, salvo las acciones heredadas.
• ¿Cuáles son las obligaciones de los usuarios?: Los usuarios son responsables de los sistemas que utilizan para realizar su labor. Las reglas que tienen que seguir los empleados deberán cumplir con los requisitos que estaban fijados en un nuevo apartado de la política. Puntos a cubrir son: elección y cuidado de la contraseña, caducidad de las contraseñas, privacidad del correo electrónico, reglas a seguir independientemente de los recursos, privacidad de la información, tamaño máximo de uso para diferentes recursos.
• ¿Quién aprueba el uso de cada recurso?: Los recursos que la empresa dispone pueden ser diferentes para cada sector. Por lo tanto, se debe contar con alguien competente para realizar la tarea de autorización de los accesos.

Tipos de Distribución de Acceso

Existen 2 tipos de distribuciones de acceso:

• Distribución central: Donde todos los requerimientos son absorbidos por un solo núcleo.
• Distribución variada o sectorial: Todos los requerimientos son absorbidos por el núcleo correspondiente a cada sector.

El Administrador

Son aquellas personas que se encargan de controlar la administración de los sistemas de una empresa. Esta administración no puede ser ilimitada. Las políticas de seguridad deben nombrar y enumerar las reglas que el administrador está obligado a seguir.

Gestión de Incidentes de Seguridad

Siempre sucederá que algún individuo contradiga la política de seguridad, ya sea de forma consciente o inconsciente. Un individuo puede por descuido, por error o por intención quebrar las reglas que fueron impuestas, y es en este momento donde el apartado de incidentes entra en acción. Dependiendo del tipo de violación ejercida, se responderá de manera diferente, pero si no existen medidas escritas, el actuar se torna controvertido. Algunos ítems para tener en cuenta al momento del incidente son:

• ¿Es un usuario local o externo?
• ¿Hay intención?
• ¿Se consumó el hecho?
• ¿Por qué?

Estrategias de Respuesta a Incidentes

Cuando se comete la violación, se debe actuar correctamente porque se puede empeorar o mejorar la situación. Para el caso de violaciones intencionales, existen 2 estrategias conocidas en el mundo de la seguridad:

1. Proteger y proceder: Se refiere a asegurar y cuidar a fin de que no haya intención, y si la hay, actuar lo más rápido posible para que los servicios y recursos vuelvan a ser usados normalmente. La desventaja radica en que la rapidez no es sinónimo de identificación.
2. Perseguir y procesar: Consiste en monitorear e identificar al individuo. Si hay intención, se monitorea todo lo que el individuo realiza, así no solo se obtienen pruebas en su contra, sino que también se conocen sus técnicas y las debilidades del sistema.

Problemas Comunes de Seguridad

• Se crean diferentes puntos de acceso para usuarios.
• No se verifican los sistemas por defecto.
• No se actualizan las versiones de las aplicaciones utilizadas.
• Se confía demasiado en los empleados.
• Servidores públicos con autenticación débil o ausente.
• Servidores privados con autenticación débil o ausente.
• Se utilizan usuarios/claves deducibles y/o fáciles.

Modelos de Políticas de Seguridad

Modelo Bell-LaPadula

Consiste en dividir el permiso de acceso de los usuarios a la información en función de etiquetas de seguridad. Por ejemplo: en sistemas militares norteamericanos. Este modelo se centra en la confidencialidad y no en la integridad.

Modelo Clark-Wilson

Es un modelo que se basa en la jerarquización de aplicaciones para el manejo de información de parte de los usuarios. Este modelo se encuentra orientado a proteger la integridad de la información.