Rama de la seguridad de la información que trata de proteger la información que utiliza una infraestructura informática y de telecomunicaciones para ser almacenada o transmitida. Diferenciamos los siguientes tipos:

• Seguridad física y lógica: en función de lo que se quiere proteger.
• Seguridad activa y pasiva: en función del momento en que tiene lugar la prevención.

Conjunto de medidas y procedimientos, tanto humanos como técnicos, que permiten proteger la integridad, confidencialidad y disponibilidad de la información:

Seguridad de la Información:

• Integridad
• Confidencialidad
• Disponibilidad
• No repudio
• Autenticación

Normas ISO/IEC 27000¹⁾: Es un conjunto internacional de estándares de la International Organization for Standarization y del International Electrotechnical Comission que definen el Sistema de Gestión de la Seguridad de la Información.

Terminología específica de ámbito se la seguridad de la información y de la informática:

Recurso del sistema necesario para una organización, es decir todo lo que tenga que ser protegido ante un eventual percance: Trabajadores, software, datos, archivos, hardware, sistemas de comunicación, etc.

Desde el punto de vista de Informática , los principales activos de una empresa son:

• Información: datos almacenados en cualquier tipo de soporte.
• Software: programas o aplicaciones que utiliza una emprea.
• Físicos: infraestructura tecnológica y física utilizada para almacenar procesar, gestionar o transmitir la información.
• Personal: usuarios que utilizan la estructura tecnológica y de comunicación para el manejo de la información.

Cualquier debilidad de un activo que pueda repercutir en el correcto funcionamiento del sistema informático. Pueden estar asociados a fallos en propia aplicación, en la configuración de un sistema operativo, en errores humanos, etc.

Por ejemplo, no utilizar ningún tipo de protección frente a ataques informáticos, como antivirus o firewalls, supone una vulnerabilidad.

Cualquier entidad o circunstancia que atente contra el buen funcionamiento de un sistema informático. En algunos casos serán involuntarias, y en la mayor parte de los casos serán intencionadas.

Se puede clasificar en:

• Amenazas pasivas: Su objetivo es obtener información relativa a la comunicación. Ej. sniffers: programas para monitorizar el tráfico de una red Wifi.
• Amenazas activas: Tratan de realizar algún cambio no autorizado en el estado del sistema.

MAGERIT es una metodología de análisis de riesgos, desarrollada por el Gobierno de España. Esta metodología hace otra clasificación de las amenazas:

Es una acción que trata de aprovechar una vulnerabilidad de un sistema informático para provocar un impacto sobre él o tomar el control del mismo. MAGERIT distingue entre ataques (acciones intencionadas) y errores (ataques fortuitos).

Normalmente un ataque informático sigue este patrón:

1. Reconocimiento: Obtener toda la información necesaria de la víctima, persona u organización
2. Exploración: Conseguir información necesaria del sistema a atacar. Por ejemplo: direcciones IP, nombres de host, datos de autenticación, etc.
3. Obtención de acceso: Usar la información anterior para intentar explotar alguna vulnerabilidad.
4. Mantener el acceso: Mantener una forma de acceso para futuros ataques.
5. Borrar huellas: Eliminar pruebas de la intrusión.

Existen una gran variedad de herramientas para mantener un nivél óptimo de seguridad, pero también hay estrategias que anulan estas herramientas, como es la ingeniería social.

Podemos entender por riesgo en el ámbito de la seguridad informática:

• UNE-71504:2008: evaluación del grado de exposición a que una amenaza se materialice sobre uno o más activos.
• Centro Criptológico Nacional: probabilidad de que una amenaza se materialice aprovechando una vulnerabilidad y causando un daño (impacto).

El riesgo es, por tanto, una Medida de la probabilidad de que se materialice una amenaza.

Además, existen diferentes niveles de riesgo a los que se expone un activo. El nivel dependerá de la probabilidad de que se materialice la amenaza, y el grado de impacto producido:

En conclussión, para realizar un Análisis de Riesgos se ha de tener en cuenta:

1. Activos que se desea proteger
2. Vulnerabilidades y amenazas sobre esos activos
3. Probabilidad de que estas amenazas se produzcan
4. Impacto de dicha amenazas

El alcance producido o daño causado en caso de que una amenaza se materialice. Dos organizaciones se verán afectadas en diferente medida ante la misma amenaza dependiendo de las medidas adoptadas.

Puede ser:

• Impacto leve: no afecta prácticamente al funcionamiento de la empresa. Se da cuando se han identificado las amenazan y existen medidas de protección en caso de que se materialicen.
• Impacto grave: afecta seriamente a la empresa pudiendo ocasionar su quiebra. Se dan cuando no se han considerado las consecuencias que supone la materialización de una amenaza.

El impacto depende de la importancia del activo y de las medidas adoptadas. Identificar los impactos es uno de los objetivos del Análisis de riesgos

Un desastre es cualquier evento accidental, natural o malintencionado que interrumpe las operaciones o servicios habituales de una organización (ISO 270001). Por ejemplo, la caida de un servidor debido a una subida de tensión o un ataque.

Un evento de este tipo puede destruir los activos de una empresa. Originalmente se planteaba la destrucción de activos físicos. A día de hoy la principal forma de desastre afecta a los recursos lógicos: la información. Un desasttre de este tipo puede llegar a generar el cese de la actividad económica.

Estar preparado para cualquier tipo de desastre de modo que se reduzca el impacto ocasionado; deben desarrollar un Plan de Contingencia.

Para que un sistema se pueda considerar seguro se debe garantizar que cumpla los principios básicos de la seguridad informática:

Garantizar que la información solo pueda ser alterada por las personas autorizadas, independientemente de si es de manera accidental o intencionada. Por ejemplo, si un usuario con permisos borra por accidente un registro de una base de datos, no se considera una violación de la integridad, ya que tiene permisos para ello.

La vulneración de la integridad tiene distinto significado dependiendo de dónde se produzca:

• Equipo de trabajo (ordenador): Existe violación de la integridad cuando un usuario no legítimo modifica información del sistema sin tener autorización para ello.
• Red de comunicaciones: Existe violación de la integridad cuando un atacante actúa como intermediario en una comunicación, modificandola y enviandosela al receptor (man-in-the-middle). Se puede proteger mediante una firma electrónica.

Garantizar que la información solo es accesible e interpretada por personas o sistemas autorizados.

La vulneración de este principio afecta de forma diferente a equipos y redes:

• Equipo de trabajo (ordenador): Se produce una violación cuando un atacante consigue acceso a un equipo sin autorización, controlando sus recursos. Por ejemplo, obtención de claves de acceso o dejar el puesto de trabajo sin bloquear el equipo, permitiendo visualizar información confidencial.
• Red de comunicaciones: Se produce una violación cuando un atacante accede a los mensajes que circulan por ella sin tener autorización. Se puede proteger mediante el cifrado de la información.

Asegurar que la información es accesible en todo momento para los usuarios legítimos.

La violación de la disponibilidad también se da de forma distinta:

• Equipo de trabajo (ordenador): Cuando los usuarios que deben tener acceso a él, no pueden usarlo. Por ejemplo un Ransomware encriptando la información.
• Redes de comunicaciones: Se consigue que un recurso deje de estar disponible para otros usuarios que acceden a él desde la red. Ejemplo: un Ataque de Denegación de Servicio que bloquea un servidor web.

Garantizar la participación de ambas partes en una comunicación, tanto en origen como en destino. Este principio esta estándarizado en la ISO-7498-2

• En el origen: protege al receptor, garantizando que la persona que envía el mensaje no puede negar que es el emisor del mismo.
• En el destino: protege al emisor, ya que el receptor no puede negar que recibió el mensaje.

Comprobar la identidad de los participantes en una comunicación y garantizar que son quienes dicen ser. Una violación de este principio es la suplantación de identidad o el robo de contraseñas.

Podemos clasificar la seguridad dependiendo de los activos que queremos proteger, es decir, de los recursos del sistema de información necesario para el funcionamiento de la activadad.

Trata de proteger el hardware de los posibles desastres naturales (terremotos, inundaciones, incendios, sobrecargas) y humanos (robos, ataques).

Complementa a la seguridad física, protegiendo el software de los equipos informáticos, aplicaciones y datos, frente a robos, pérdida de datos, virus, modificaciones no autorizadas, ataques desde la red, etc.

Depende del momento preciso de actuación: antes de producirse el percance, de manera que se eviten daños en el sistema, o después de producirse el percance, minimizando el impacto ocasionado.

Se define como el conjunto de medidas que previenen e intentar evitar los daños en los sistemas informáticos.

Complementa a la seguridad activa, y se encarga de minimizar el impacto que haya ocasionado algún percance.

© 2024 Fernando Valdeón