Rama de la seguridad de la información que trata de proteger la información que utiliza una infraestructura informática y de telecomunicaciones para ser almacenada o transmitida. Diferenciamos los siguientes tipos:

• Seguridad física y lógica: en función de lo que se quiere proteger.
• Seguridad activa y pasiva: en función del momento en que tiene lugar la prevención.

Conjunto de medidas y procedimientos, tanto humanos como técnicos, que permiten proteger la integridad, confidencialidad y disponibilidad de la información:

Seguridad de la Información:

• Integridad
• Confidencialidad
• Disponibilidad
• No repudio
• Autenticación

Normas ISO/IEC 27000¹⁾: Es un conjunto internacional de estándares de la International Organization for Standarization y del International Electrotechnical Comission que definen el Sistema de Gestión de la Seguridad de la Información.

Terminología específica de ámbito se la seguridad de la información y de la informática:

Recurso del sistema necesario para una organización, es decir todo lo que tenga que ser protegido ante un eventual percance: Trabajadores, software, datos, archivos, hardware, sistemas de comunicación, etc.

Desde el punto de vista de Informática , los principales activos de una empresa son:

• Información: datos almacenados en cualquier tipo de soporte.
• Software: programas o aplicaciones que utiliza una emprea.
• Físicos: infraestructura tecnológica y física utilizada para almacenar procesar, gestionar o transmitir la información.
• Personal: usuarios que utilizan la estructura tecnológica y de comunicación para el manejo de la información.

Cualquier debilidad de un activo que pueda repercutir en el correcto funcionamiento del sistema informático. Pueden estar asociados a fallos en propia aplicación, en la configuración de un sistema operativo, en errores humanos, etc.

Por ejemplo, no utilizar ningún tipo de protección frente a ataques informáticos, como antivirus o firewalls, supone una vulnerabilidad.

Cualquier entidad o circunstancia que atente contra el buen funcionamiento de un sistema informático. En algunos casos serán involuntarias, y en la mayor parte de los casos serán intencionadas.

Se puede clasificar en:

• Amenazas pasivas: Su objetivo es obtener información relativa a la comunicación. Ej. sniffers: programas para monitorizar el tráfico de una red Wifi.
• Amenazas activas: Tratan de realizar algún cambio no autorizado en el estado del sistema.

MAGERIT es una metodología de análisis de riesgos, desarrollada por el Gobierno de España. Esta metodología hace otra clasificación de las amenazas:

Es una acción que trata de aprovechar una vulnerabilidad de un sistema informático para provocar un impacto sobre él o tomar el control del mismo. MAGERIT distingue entre ataques (acciones intencionadas) y errores (ataques fortuitos).

Normalmente un ataque informático sigue este patrón:

1. Reconocimiento: Obtener toda la información necesaria de la víctima, persona u organización
2. Exploración: Conseguir información necesaria del sistema a atacar. Por ejemplo: direcciones IP, nombres de host, datos de autenticación, etc.
3. Obtención de acceso: Usar la información anterior para intentar explotar alguna vulnerabilidad.
4. Mantener el acceso: Mantener una forma de acceso para futuros ataques.
5. Borrar huellas: Eliminar pruebas de la intrusión.

Existen una gran variedad de herramientas para mantener un nivél óptimo de seguridad, pero también hay estrategias que anulan estas herramientas, como es la ingeniería social.

Podemos entender por riesgo en el ámbito de la seguridad informática:

• UNE-71504:2008: evaluación del grado de exposición a que una amenaza se materialice sobre uno o más activos.
• Centro Criptológico Nacional: probabilidad de que una amenaza se materialice aprovechando una vulnerabilidad y causando un daño (impacto).

El riesgo es, por tanto, una Medida de la probabilidad de que se materialice una amenaza.

Además, existen diferentes niveles de riesgo a los que se expone un activo. El nivel dependerá de la probabilidad de que se materialice la amenaza, y el grado de impacto producido:

En conclussión, para realizar un Análisis de Riesgos se ha de tener en cuenta:

1. Activos que se desea proteger
2. Vulnerabilidades y amenazas sobre esos activos
3. Probabilidad de que estas amenazas se produzcan
4. Impacto de dicha amenazas

El alcance producido o daño causado en caso de que una amenaza se materialice. Ante una misma amenaza el impacto puede diferir según las medidas adoptadas previamente o la relevancia del activo.

Puede ser:

• Impacto leve: no afecta prácticamente al funcionamiento de la empresa. Suele ocurrir cuando se han establecido pautas ante las amenazas y riesgos.
• Impacto grave: afecta seriamente a la empresa pudiendo llegar a la quiebra. O el ataque es imprevisto o no se han establecido pautas.

El estudio de los impactos debe de estar incluido en el Análisis de los riesgos.

El impacto depende de la importancia del activo y de las medidas adoptadas.

Un desastre es cualquier evento accidental, natural o malintencionado que interrumpe las operaciones o servicios habituales de una organización (ISO 270001). Por ejemplo, subida de tensión ó ataque DoS.

Un evento de este tipo puede destruir los activos de una empresa; es tanto o más difícil proteger los recursos lógicos que los físicos.

La seguridad debe pasar por la prevención, hasta la recuperación en caso de que se produzca un desastre.

Para que un sistema se pueda considerar seguro se debe garantizar que cumpla los principios básicos de la seguridad informática:

Garantizar que los datos no han sido modificados por individuos sin autorización desde su creación, sea de manera accidental o intencionada. Por ejemplo, si un usuario con permisos borra por accidente un registro de una base de datos, no se considera una violación de la integridad, ya que tiene permisos para ello.

La vulneración de la integridad tiene distinto significado dependiendo de dónde se produzca:

• Equipo de trabajo (ordenador): Un usuario no legítimo modifica información del sistema sin tener autorización para ello.
• Red de comunicaciones: Existe violación de la integridad cuando un atacante actúa como intermediario en una comunicación, modificandola y enviandosela al receptor (man-in-the-middle). Se puede proteger mediante una firma electrónica.

Garantizar que sólo personas autorizadas puedan a acceder a la información.

La vulneración de este principio afecta de forma diferente a equipos y redes:

• Equipo de trabajo (ordenador): Se produce una violación cuando un atacante consigue acceso a un equipo sin autorización, controlando sus recursos. Por ejemplo, obtención de claves de acceso o dejar el puesto de trabajo sin bloquear el equipo, permitiendo visualizar información confidencial.
• Red de comunicaciones: Se vulnera cuando un atacante accede a los mensajes que circulan por ella sin tener autorización. Se puede proteger mediante el cifrado de la información.

Es uno de los principales problemas a los que se enfrentan muchas empresas con la pérdida de información confidencial.

Garantizar que el sistema y los datos van a estar disponibles para el usuario autorizado en todo momento.

La violación de la disponibilidad también se da de forma distinta:

• Equipo de trabajo (ordenador): Cuando el usuario legítimo no puede usarlo, por ejemplo por virus.
• Redes de comunicaciones: Se consigue que un recursos deje de estar disponible a través de la red (Ataque DoS).

Garantizar la participación de ambas partes en una comunicación, tanto en origen como en destino. Este principio esta estándarizado en la ISO-7498-2

• En el origen: protege al receptor, garantizando que la persona que envía el mensaje no puede negar que es el emisor del mismo.
• En el destino: protege al emisor, ya que el receptor no puede negar que recibió el mensaje.

Comprobar la identidad de los participantes en una comunicación y garantizar que son quienes dicen ser. Una violación de este principio es la suplantación de identidad o el robo de contraseñas.

Podemos clasificar la seguridad dependiendo de los activos que queremos proteger, es decir, de los recursos del sistema de información necesario para el funcionamiento de la activadad.

Trata de proteger el hardware de los posibles desastres naturales (terremotos, inundaciones, incendios, sobrecargas) y humanos (robos, ataques).

Complementa a la seguridad física, protegiendo el software de los equipos informáticos, aplicaciones y datos, frente a robos, pérdida de datos, virus, modificaciones no autorizadas, ataques desde la red, etc.

Depende del momento preciso de actuación: antes de producirse el percance, de manera que se eviten daños en el sistema, o después de producirse el percance, minimizando el impacto ocasionado.

Se define como el conjunto de medidas que previenen e intentar evitar los daños en los sistemas informáticos.

Complementa a la seguridad activa, y se encarga de minimizar el impacto que haya ocasionado algún percance.

© 2025 Fernando Valdeón