LA SEGURIDAD DE LA INFORMACIÓN

Se entiende por seguridad de la información a todas aquellas medidas preventivas y reactivas del hombre, de las organizaciones y de los sistemas tecnológicos que permitan resguardar y proteger la información buscando mantener la confidencialidad, la disponibilidad e integridad de la misma.

La información es poder, y según las posibilidades estratégicas que ofrece tener acceso a cierta información, ésta se clasifica como:

• Crítica: Es indispensable para la operación de la empresa.
• Valiosa: Es un activo de la empresa y muy valioso
• Sensible: Debe de ser conocida por las personas autorizadas.

Existen dos palabras muy importantes que son riesgo y seguridad:

• Riesgo: Es todo tipo de vulnerabilidades, amenazas que pueden ocurrir sin previo aviso y producir numerosas pérdidas para las empresas.Los riesgos más perjudiciales son a las tecnologías de información y comunicaciones.
• Seguridad: Es una forma de protección contra los riesgos.

La correcta Gestión de la Seguridad de la Información busca establecer y mantener programas, controles y políticas, que tengan como finalidad conservar la confidencialidad, integridad y disponibilidad de la información, si alguna de estas características falla no estamos ante nada seguro.

Confidencialidad:

Es la propiedad de prevenir la divulgación de información a personas o sistemas no autorizados. A groso modo, la confidencialidad es el acceso a la información únicamente por personas que cuenten con la debida autorización.

Integridad:

Es la propiedad que busca mantener los datos libres de modificaciones no autorizadas. (No es igual a integridad referencial en bases de datos.) A groso modo, la integridad es el mantener con exactitud la información tal cual fue generada, sin ser manipulada o alterada por personas o procesos no autorizados.

Disponibilidad:

La disponibilidad es la característica, cualidad o condición de la información de encontrarse a disposición de quienes deben acceder a ella, ya sean personas, procesos o aplicaciones. A groso modo, la disponibilidad es el acceso a la información y a los sistemas por personas autorizadas en el momento que así lo requieran.

Autenticación o autentificación

Es la propiedad que me permite identificar el generador de la información. Por ejemplo al recibir un mensaje de alguien, estar seguro que es de ese alguien el que lo ha mandado, y no una tercera persona haciéndose pasar por la otra (suplantación de identidad). En un sistema informático se suele conseguir este factor con el uso de cuentas de usuario y contraseñas de acceso.

Servicios de seguridad:

El objetivo de un servicio de seguridad es mejorar la seguridad de los sistemas de procesamiento de datos y la transferencia de información en las organizaciones. Los servicios de seguridad están diseñados para contrarrestar los ataques a la seguridad y hacen uso de uno o más mecanismos de seguridad para proporcionar el servicio.

No repudio:

Proporciona protección contra la interrupción, por parte de alguna de las entidades implicadas en la comunicación, de haber participado en toda o parte de la comunicación. El servicio de Seguridad de No repudio o irrenunciabilidad está estandarizado en la ISO-7498-2.

No Repudio de origen:

El emisor no puede negar que envío porque el destinatario tiene pruebas del envío, el receptor recibe una prueba infalsificable del origen del envío, lo cual evita que el emisor, de negar tal envío, tenga éxito ante el juicio de terceros. En este caso la prueba la crea el propio emisor y la recibe el destinatario.

• Prueba que el mensaje fue enviado por la parte específica.

No Repudio de destino:

El receptor no puede negar que recibió el mensaje porque el emisor tiene pruebas de la recepción. Este servicio proporciona al emisor la prueba de que el destinatario legítimo de un envío, realmente lo recibió, evitando que el receptor lo niegue posteriormente. En este caso la prueba irrefutable la crea el receptor y la recibe el emisor.

• Prueba que el mensaje fue recibido por la parte específica.

Si la autenticidad prueba quién es el autor de un documento y cuál es su destinatario, el “no repudio” prueba que el autor envió la comunicación (no repudio en origen) y que el destinatario la recibió (no repudio en destino).

El no repudio evita que el emisor o el receptor nieguen la transmisión de un mensaje.

Protocolos de Seguridad de la Información

Los protocolos de seguridad son un conjunto de reglas que gobiernan dentro de la transmisión de datos entre la comunicación de dispositivos para ejercer una confidencialidad, integridad, autenticación y el no repudio de la información.
Se componen de:

• Criptografía: Se ocupa del cifrado de mensajes un mensaje es enviado por el emisor lo que hace es transposicionar u ocultar el mensaje hasta que llega a su destino y puede ser descifrado por el receptor.
• Lógica: Llevar un orden en el cual se agrupan los datos del mensaje el significado del mensaje y saber cuándo se va enviar el mensaje.
• Autenticación: Es una validación de identificación es la técnica mediante la cual un proceso comprueba que el compañero de comunicación es quien se supone que es y no se trata de un impostor.

Planificación de la seguridad:

Los administradores de programas, los propietarios del sistema, y personal de seguridad en la organización debe entender el sistema de seguridad en el proceso de planificación.

Creación de un plan de respuesta a incidentes:

Desde la perspectiva del equipo de seguridad, no importa si ocurre una violación o abertura (pues tales eventos son una parte eventual de cuando se hacen negocios usando un método de poca confianza como lo es Internet), sino más bien cuando ocurre.

El plan de respuesta a incidentes puede ser dividido en cuatro fases:

• Acción inmediata para detener o minimizar el incidente
• Investigación del incidente
• Restauración de los recursos afectados
• Reporte del incidente a los canales apropiados

Una respuesta a incidentes debe ser decisiva y ejecutarse rápidamente. Debido a que hay muy poco espacio para errores, es crítico que se efectúen prácticas de emergencias y se midan los tiempos de respuesta.

De esta forma, es posible desarrollar una metodología que fomenta la velocidad y la precisión, minimizando el impacto de la indisponibilidad de los recursos y el daño potencial causado por el sistema en peligro.

Un plan de respuesta a incidentes tiene un número de requerimientos, incluyendo:

• Un equipo de expertos locales (un Equipo de respuesta a emergencias de computación)
• Una estrategia legal revisada y aprobada
• Soporte financiero de la compañía
• Soporte ejecutivo de la gerencia superior
• Un plan de acción factible y probado
• Recursos físicos, tal como almacenamiento redundante, sistemas en stand by y servicios de respaldo

Consideraciones legales:

Otros aspectos importantes a considerar en una respuesta a incidentes son las ramificaciones legales. Los planes de seguridad deberían ser desarrollados con miembros del equipo de asesoría jurídica o alguna forma de consultoría general. De la misma forma en que cada compañía debería tener su propia política de seguridad corporativa, cada compañía tiene su forma particular de manejar incidentes desde la perspectiva legal.

Planes de acción

Una vez creado un plan de acción, este debe ser aceptado e implementado activamente. Cualquier aspecto del plan que sea cuestionado durante la implementación activa lo más seguro es que resulte en un tiempo de respuesta pobre y tiempo fuera de servicio en el evento de una violación.

El manejo de riesgos:

Dentro de la seguridad en la información se lleva a cabo la clasificación de las alternativas para manejar los posibles riegos que un activo o bien puede tener dentro de los procesos en una empresa.

Para ello se cuenta con las siguientes técnicas de manejo del riesgo:

• Evitar: El riesgo es evitado cuando la organización rechaza aceptarlo, es decir, no se permite ningún tipo de exposición. Esto se logra simplemente con no comprometerse a realizar la acción que origine el riesgo.
• Reducir: Cuando el riesgo no puede evitarse por tener varias dificultades de tipo operacional, la alternativa puede ser su reducción hasta el nivel más bajo posible. Esta opción es la más económica y sencilla.
• Retener: Asumir o Aceptar el riesgo. Es uno de los métodos más comunes del manejo de riesgos, es la decisión de aceptar las consecuencias de la ocurrencia del evento. Puede ser voluntaria o involuntaria, la voluntaria se caracteriza por el reconocimiento de la existencia del riesgo y el acuerdo de asumir las pérdidas involucradas, esta decisión se da por falta de alternativas.
• Transferir: Es buscar un respaldo y compartir el riesgo con otros controles o entidades.

Medios de transmisión de ataques a los sistemas de seguridad

Lo mejor en soluciones de su clase permite una respuesta rápida a las amenazas emergentes, tales como:

• Malware y spam propagado por e-mail.
• La propagación de malware y botnets.
• Los ataques de phishing alojados en sitios web.
• Los ataques contra el aumento de lenguaje de marcado extensible (XML) de tráfico, arquitectura orientada a servicios (SOA) y servicios web.

Estas soluciones ofrecen un camino a la migración y la integración. Como las amenazas emergentes, cada vez más generalizada, estos productos se vuelven más integrados en un enfoque de sistemas.

El enfoque de sistemas de gestión de la seguridad, dispone:

• Configuración de la política común de todos los productos
• Amenaza la inteligencia y la colaboración de eventos
• Reducción de la complejidad de configuración
• Análisis de riesgos eficaces y operativos de control

Los principales delitos hechos por computadora o por medio de computadoras son:

• Fraudes
• Falsificación
• Venta de información

Los virus, troyanos, spyware, malware y demás código llamado malicioso (por las funciones que realiza y no por tratarse de un código erróneo), tienen como objetivo principal el ejecutar acciones no solicitadas por el usuario, las cuales pueden ser desde, el acceso a una página no deseada, el redireccionamiento de algunas páginas de internet, suplantación de identidad o incluso la destrucción o daño temporal a los registros del sistemas, archivos y/o carpetas propias.

El virus informático es un programa elaborado accidental o intencionadamente, que se introduce y se transmite a través cualquier medio extraíble y transportable o de la misma red en la que se encuentre un equipo infectado, causando diversos tipos de daños a los sistemas.

Actores que amenazan la seguridad:

• Un hacker es cualquier persona con amplios conocimientos en tecnología, bien puede ser informática, electrónica o comunicaciones, mantiene permanentemente actualizado y conoce a fondo todo lo relacionado con programación y sistemas complejos.
• Un lamer Es una persona que alardea de pirata informático, cracker o hacker y solo intenta utilizar programas de F&Acute;CIL manejo realizados por auténticos hackers.
• Un copyhacker es una persona dedicada a falsificar y crackear hardware, específicamente en el sector de tarjetas inteligentes.

  Su estrategia radica en establecer amistad con los verdaderos Hackers, para copiarles los métodos de ruptura y después venderlos a los bucaneros.

• Un bucanero es un comerciante que depende exclusivamente de la red para su actividad.
  Los bucaneros no poseen ningún tipo de formación en el área de los sistemas, si poseen un amplio conocimiento en área de los negocios.
• Un phreaker se caracterizan por poseer vastos conocimientos en el área de telefonía terrestre y móvil, incluso más que los propios
  técnicos de las compañías telefónicas; recientemente con el auge de los teléfonos móviles, han tenido que entrar también
  en el mundo de la informática y del procesamiento de datos.
• Un newbie o novato de red es un individuo que sin proponérselo tropieza con una página de hacking y descubre que en ella existen áreas de descarga de buenos programas de hackeo, baja todo lo que puede y empieza a trabajar con ellos.
• Un script kiddie o skid kiddie, es un simple usuario de Internet, sin conocimientos sobre hackeo o crackeo que, aunque aficionado a estos temas, no los conoce en profundidad limitándose a recopilar información de la red y a buscar programas que luego ejecuta, infectando en algunos casos de virus a sus propios equipos.
• Un tonto o descuidado, es un simple usuario de la información, con o sin conocimientos sobre hackeo o crackeo que accidentalmente borra daña o modifica la información, ya sea en un mantenimiento de rutina o supervisión.

Otros conceptos:

Tecnologías: Las principales tecnologías referentes a la seguridad de la información en informática son:

• Cortafuegos
• Administración de cuentas de usuarios
• Detección y prevención de intrusos
• Antivirus
• Infraestructura de llave pública
• Capas de Socket Segura (SSL)
• Conexión única Single Sin on- SSO
• Biométria
• Cifrado
• Cumplimiento de privacidad
• Acceso remoto
• Firma digital
• Intercambio electrónico de Datos "EDI" y Transferencia Electrónica de Fondos EFT
• Redes Virtuales Privadas VPNs
• Transferencia Electrónica Segura SET
• Informática Forense
• Recuperación de datos
• Tecnologías de monitoreo

Atrás