Seguridad Física y Lógica

Seguridad Física: 

Es la aplicación de un conjunto de barreras  físicas y procedimientos de control para enfrentar amenazas físicas que puedan ocasionar daños en el hardware.

Este tipo de seguridad está enfocado a cubrir las amenazas ocasionadas tanto por el hombre como por la naturaleza del medio físico en que se encuentra ubicado el sistema. Las principales amenazas que se prevén son:

• Desastres naturales, incendios accidentales y cualquier variación producida por las condiciones ambientales.
• Amenazas ocasionadas por el hombre como robos o sabotajes.
• Disturbios internos y externos deliberados.

Para mantener el control efectivo, la evaluación permanentemente la seguridad física del sistema es la base para comenzar a integrar la seguridad como función primordial del mismo. Tener controlado el ambiente y acceso físico permite disminuir siniestros y tener un medio para minimizar riesgos y luchar contra accidentes.

Seguridad Lógica: 

Es la aplicación de un conjunto de barreras y procedimientos que garanticen la protección, así como el acceso a los datos y la información contenida en un sistema.

El activo más importante de un sistema informático es la información, es por ello, que la seguridad lógica debe ser considerada como un objetivo primordial primordial dentro de cualquier organización.

La seguridad lógica debe cumplir con los siguientes objetivos:

• Restringir el acceso a los programas y archivos.
• Asegurar que los usuarios puedan trabajar sin supervisión y no puedan realizar modificaciones ni a los programas ni a los archivos que no correspondan.
• Asegurar que se estén utilizando los datos, archivos y programas correctos mediante el procedimiento que se haya establecido.
• Verificar que la información transmitida sea recibida solamente por el destinatario al cual ha sido enviada y que la información recibida sea la misma que se transmitió.
• Contar con planes alternativos de emergencia para la transmisión de la información.

Identificación y Autentificación

Es la primera línea de defensa para la mayoría de los sistemas computarizados, permitiendo prevenir el ingreso de personas no autorizadas. Es la base para la mayor parte de los controles de acceso y para el seguimiento de las actividades de los usuarios.

Se denomina Identificación al momento en que el usuario se da a conocer en el sistema; y Autenticación a la verificación que realiza el sistema sobre esta identificación.

Al igual que se consideró para la seguridad física, y basada en ella, existen cuatro tipos de técnicas que permiten realizar la autenticación de la identidad del usuario, las cuales pueden ser utilizadas individualmente o combinadas:

- Algo que solamente el individuo conoce: por ejemplo una clave secreta de acceso o password, una clave criptográfica, un número de identificación personal o PIN, etc.

- Algo que la persona posee: por ejemplo una tarjeta magnética.

- Algo que el individuo es y que lo identifica inequívocamente: por ejemplo las huellas digitales o la voz.

- Algo que el individuo es capaz de hacer: por ejemplo los patrones de escritura.

 Modalidad de Acceso

Se refiere al modo de acceso que se permite al usuario sobre los recursos y a la información. Esta modalidad puede ser:

- Lectura: el usuario puede únicamente leer o visualizar la información pero no puede alterarla. Debe considerarse que la información puede ser copiada o impresa.

- Escritura: este tipo de acceso permite agregar datos, modificar o borrar información.

- Ejecución: este acceso otorga al usuario el privilegio de ejecutar programas.

- Borrado: permite al usuario eliminar recursos del sistema (como programas, campos de datos o archivos). El borrado es considerado una forma de modificación.

Además existen otras modalidades de acceso especiales, que generalmente se incluyen en los sistemas de aplicación:

- Creación: permite al usuario crear nuevos archivos, registros o campos.

- Búsqueda: permite listar los archivos de un directorio determinado.

Control de Acceso Interno

- Sincronización de passwords: consiste en permitir que un usuario acceda con la misma password a diferentes sistemas interrelacionados y, su actualización automática en todos ellos en caso de ser modificada.

Podría pensarse que esta es una característica negativa para la seguridad de un sistema, ya que una vez descubierta la clave de un usuario, se podría tener acceso a los múltiples sistemas a los que tiene acceso dicho usuario.

Sin embargo, estudios hechos muestran que las personas normalmente suelen manejar una sola password para todos los sitios a los que tengan acceso, y que si se los fuerza a elegir diferentes passwords tienden a guardarlas escritas para no olvidarlas, lo cual significa un riesgo aún mayor.

Para implementar la sincronización de passwords entre sistemas es necesario que todos ellos tengan un alto nivel de seguridad.

- Caducidad y control: este mecanismo controla cuándo pueden y/o deben cambiar sus passwords los usuarios. Se define el período mínimo que debe pasar para que los usuarios puedan cambiar sus passwords, y un período máximo que puede transcurrir para que éstas caduquen.

Encriptación: La información encriptada solamente puede ser desencriptada por quienes posean la clave apropiada. La encriptación puede proveer de una potente medida de control de acceso. Este tema será abordado con profundidad en el Capítulo sobre Protección del presente.

Listas de Control de Accesos: Se refiere a un registro donde se encuentran los nombres de los usuarios que obtuvieron el permiso de acceso a un determinado recurso del sistema, así como la modalidad de acceso permitido. Este tipo de listas varían considerablemente en su capacidad y flexibilidad.

Límites sobre la Interfaz de Usuario: Esto límites, generalmente, son utilizados en conjunto con las listas de control de accesos y restringen a los usuarios a funciones específicas. Básicamente pueden ser de tres tipos: menús, vistas sobre la base de datos y límites físicos sobre la interfase de usuario. Por ejemplo los cajeros automáticos donde el usuario sólo puede ejecutar ciertas funciones presionando teclas específicas.

Etiquetas de Seguridad: Consiste en designaciones otorgadas a los recursos (como por ejemplo un archivo) que pueden utilizarse para varios propósitos como control de accesos, especificación de medidas de protección, etc. Estas etiquetas no son modificables.

Acciones Hostiles:

Los equipos de computo son posesiones muy valiosas para le empresas, y están expuestas al robo de da misma forma que las piezas de stock e incluso el dinero. Es frecuente que los operadores utilicen el computador de la empresa para realizar trabajos privados para las organizaciones. La información importante o confidencial puede ser fácilmente copiada. Muchas personas invierten millones en programas y archivos de información a los que dan menor protección que la que otorgan a una maquina de escribir o una calculadora. El software es una propiedad muy fácilmente sustraída, cintas y discos son fácilmente copiados sin dejar ningún rastro.

Medidas de Prevención ante Acciones Hostiles:

• Diseñar muebles para ordenadores de forma que se pueda asegurar fácilmente el equipo y sus periféricos.
• Creación de equipos de seguridad encargados de establecer y comprobar las técnicas de seguridad de los computadores. Este equipo debe estar compuesto por los encargados de los procesamientos de datos, seguridad, auditoria y usuario.
• Ejecución de análisis de riesgos en los sistemas que abarquen perdidas potenciales por accidentes, así como delitos intencionados.
• Realizar copias de seguridad tanto dentro como fuera de la organización para garantizar el resguardo de la información.
• Diseñar una lista de las aplicaciones de los computadores con posibles vulnerabilidades, que permitan diseñar planes y mecanismo de defensa.

Control de Acceso:

Estos controles pueden implementarse en el Sistema Operativo, sobre los sistemas de aplicación, en bases de datos, en un paquete específico de seguridad o en cualquier otro utilitario. Constituyen una importante ayuda para proteger al sistema operativo de la red, al sistema de aplicación y demás software de la utilización o modificaciones no autorizadas; para mantener la integridad de la información (restringiendo la cantidad de usuarios y procesos con acceso permitido) y para resguardar la información confidencial de accesos no autorizados.

Entre los mecanismo de control de acceso más utilizados se encuentran:

- Roles: El acceso a la información también puede controlarse a través de la función o rol del usuario que requiere dicho acceso. Algunos ejemplos de roles serían los siguientes: programador, líder de proyecto, gerente de un área usuaria, administrador del sistema, etc. En este caso los derechos de acceso pueden agruparse de acuerdo con el rol de los usuarios.

- Transacciones: También pueden implementarse controles a través de las transacciones, por ejemplo solicitando una clave al requerir el procesamiento de una transacción determinada.

- Limitaciones a los Servicios: Son restricciones que dependen de parámetros propios de la utilización de la aplicación o preestablecidos por el administrador del sistema. Un ejemplo podría ser que en la organización se disponga de licencias para la utilización simultánea de un determinado producto de software para cinco personas, en donde exista un control a nivel sistema que no permita la utilización del producto a un sexto usuario.

- Modalidad de Acceso

- Ubicación y Horario: El acceso a determinados recursos del sistema puede estar basado en la ubicación física o lógica de los datos o personas. En cuanto a los horarios, este tipo de controles permite limitar el acceso de los usuarios a determinadas horas de día o a determinados días de la semana. De esta forma se mantiene un control más restringido de los usuarios y zonas de ingreso. Se debe mencionar que estos dos tipos de controles siempre deben ir acompañados de alguno de los controles anteriormente mencionados.

Glosario de Términos

Cuando se habla se Seguridad Informática, se hace referencia a la habilidad de identificar y eliminar las vulnerabilidades, y salvaguardar la ventaja organizacional, esto incluye información y equipos físicos, tales como los computadores. Cuando se trata de la seguridad de una organización o empresa, esta puede variar de acuerdo a las necesidades que presenta, por ellos cualquier organización que posea una red debe contar con un conjunto de normas y políticas dirigidas a conveniencia. Para comprender mejor en que consiste la seguridad informática en necesario conocer algunos términos:

Sistema Informático: Es el resultado de la integración de cuatro elementos importantes: hardware, software, datos y usuarios, para hacer posible el procesamiento de los datos de forma automática mediante el uso del computador.

Datos: Son el conjunto de símbolos que representan situaciones, condiciones o valores, y son la materia prima que es procesada para producir la información.

Información: Es el resultado del procesamiento o transformación de los datos. Esta información es significativa para el usuario; es almacenada y procesada por un computador, independientemente si están conectados o no a un sistema de redes. 

Activo: Es todo elemento que forma parte del proceso de la comunicación, partiendo desde la información, el emisor, el medio por el cual ha de transmitirse, hasta llegar a su receptor. Son elementos que la seguridad debe mantener protegidos.

Sistema de Seguridad: Es un software que instala en el computador con la finalidad de evitar accesos no autorizados, proteger la intimidad, así como otros derechos individuales.

Medidas de Seguridad: Es todo aquel conjunto de prácticas que al ser integradas constituyen una solución eficaz de la seguridad de la información.

Seguridad Informática: Es la disciplina que se encarga de diseñar las normas, procedimientos, métodos y técnicas, dirigidas a promover condiciones seguras y confiables para el procesamientos de los datos dentro de un sistema informático. 

Seguridad Lógica: Hace referencia a la seguridad en el uso de software y los sistemas, la protección de los datos, procesos y programas, así como el acceso ordenado y autorizado de los usuarios a la información; involucra las medidas que establecen los administradores de recursos, para minimizar los riesgos de seguridad.

Seguridad Física: Son todos aquellos mecanismos de prevención y detección, implementados para proteger el hardware y los medios de almacenamiento de los datos.

Confidencialidad: Se refiere a la privacidad de los elementos de información almacenados y procesados en un sistema informático. 

Integridad: Hace referencia a la validez y consistencia de los elementos de información almacenados y procesados en un sistema informático. 

Disponibilidad: Es la continuidad de acceso a los elementos de información almacenados y procesados en un sistema informático.

Autenticidad: Es el mecanismo que permite conocer si la persona que esta accediendo a un sistema, es realmente quien debe acceder y no una persona indebida.

Factor de Riesgo: Es la existencia de elementos, fenómenos, ambiente y acciones humanas que poseen una capacidad potencial de producir daños y cuya probabilidad de ocurrencia depende de la eliminación y control del elemento nocivo.

Factor Ambiental: Son factores externos tales como, lluvias, inundaciones, terremotos, tormentas, rayos, suciedad, humedad, calor, entre otros.

Factor Tecnológico: Pueden ser de diversos orígenes, fallas de hardware, software, aire acondicionado, servicio eléctrico, ataques por virus informáticos.

Factor Humano: Dentro de ellos se encuentran hurtos, adulteraciones, fraude, modificaciones, revelación, perdida, sabotaje, vandalismo, crackers, hackers, falsificación, robo de contraseñas entre otros.

Virus Informático: Es un programa de computación que se reproduce a sí mismo y esta diseñado de forma malintencionada para alterar el funcionamiento de un sistema sin permiso y sin consentimiento del usuario. Pueden pasar desapercibidos, y van desde inofensivos hasta avanzados que causan la inestabilidad del sistema.

Auto-reproducción: Es la capacidad que tiene el programa de replicarse, es decir hacer copias de sí mismo, sin intervención del usuario.

Infección: Es la capacidad que tiene el código de alojarse en otros programas, distintos al portador original.

Virus de Internet: Se alojan en el código de las páginas web, cuando el usuario ingresa al sitio, el virus se descarga y ejecuta en el sistema, pudiendo modificar o destruir la información almacenada.

Troyanos: Es un software malicioso que se presenta al usuario como un programa legítimo e inofensivo, pero una vez ejecutado, otorga al atacante acceso remoto al equipo infectado.

Gusanos: Son programas que se copian en archivos distintos en cadena hasta crear múltiples replicas y tienen como objetivo colapsar el sistema.

Hackers: Persona con conocimientos técnicos en el área informática y que dirige sus habilidades para invadir sistemas a los que no tiene acceso autorizado.

Crackers: Persona con avanzados conocimientos técnicos en informática y que enfoca sus habilidades hacia la invasión de sistemas con el fin de destruirlo parcialmente u obtener beneficios personales.

Encriptación o cifrado de datos: Es el proceso que se sigue para enmascarar los datos, con el objetivo de que sean incomprensibles para cualquier agente no autorizado.

Programas antivirus: Son programas que ejercen el control preventivo, detective y correctivo sobre ataques de virus a un sistema. 

Programas Firewall: Son programas que ejercen el control preventivo y detectivo sobre intrusiones no deseadas a un sistema. 

Tomando en cuenta los conceptos anteriormente expuestos, podemos observar que la seguridad informática tiene como premisa primordial la preservación de la integridad de la información así como del hardware, evitando para ello cualquier tipo de intrusión o ataque a través de virus informáticos que puedan de una forma u otra poner en riesgo el valor más grande con el que cuenta un sistema, la información, por lo que deben implementarse normativas con la finalidad de proteger y garantizar la disponibilidad de los datos de un sistema informático dentro de cualquier organización.  

 

Análisis de Riesgo Informáticos

Análisis de Riesgo

Comprende la identificación de activos informáticos, sus vulnerabilidades y amenazas a los que se encuentran expuestos, así como; su probabilidad de ocurrencia y el impacto de las mismas, a fin de determinar los controles adecuados para aceptar, disminuir, transferir o evitar la ocurrencia del riesgo.

Para adentrarnos en el tema es importante conocer algunos conceptos previos:

Amenaza. Es un evento que puede causar un incidente de seguridad en una empresa u organización produciendo pérdidas o daños potenciales en sus activos.

Vulnerabilidad. Es una debilidad que puede ser explotada con la materialización de una o varias amenazas a un activo.

Riesgo. Es un incidente o situación, que ocurre en un sitio concreto en un intervalo de tiempo determinado, con consecuencia negativas o positivas que pueden afectar el cumplimiento de los objetivos.

Impacto: Es la medición de las consecuencias al materializar las amenazas.