Seguridad Física y Lógica

Seguridad Física: 

Es la aplicación de un conjunto de barreras  físicas y procedimientos de control para enfrentar amenazas físicas que puedan ocasionar daños en el hardware.

Este tipo de seguridad está enfocado a cubrir las amenazas ocasionadas tanto por el hombre como por la naturaleza del medio físico en que se encuentra ubicado el sistema. Las principales amenazas que se prevén son:

• Desastres naturales, incendios accidentales y cualquier variación producida por las condiciones ambientales.
• Amenazas ocasionadas por el hombre como robos o sabotajes.
• Disturbios internos y externos deliberados.

Para mantener el control efectivo, la evaluación permanentemente la seguridad física del sistema es la base para comenzar a integrar la seguridad como función primordial del mismo. Tener controlado el ambiente y acceso físico permite disminuir siniestros y tener un medio para minimizar riesgos y luchar contra accidentes.

Seguridad Lógica: 

Es la aplicación de un conjunto de barreras y procedimientos que garanticen la protección, así como el acceso a los datos y la información contenida en un sistema.

El activo más importante de un sistema informático es la información, es por ello, que la seguridad lógica debe ser considerada como un objetivo primordial primordial dentro de cualquier organización.

La seguridad lógica debe cumplir con los siguientes objetivos:

• Restringir el acceso a los programas y archivos.
• Asegurar que los usuarios puedan trabajar sin supervisión y no puedan realizar modificaciones ni a los programas ni a los archivos que no correspondan.
• Asegurar que se estén utilizando los datos, archivos y programas correctos mediante el procedimiento que se haya establecido.
• Verificar que la información transmitida sea recibida solamente por el destinatario al cual ha sido enviada y que la información recibida sea la misma que se transmitió.
• Contar con planes alternativos de emergencia para la transmisión de la información.

Identificación y Autentificación

Es la primera línea de defensa para la mayoría de los sistemas computarizados, permitiendo prevenir el ingreso de personas no autorizadas. Es la base para la mayor parte de los controles de acceso y para el seguimiento de las actividades de los usuarios.

Se denomina Identificación al momento en que el usuario se da a conocer en el sistema; y Autenticación a la verificación que realiza el sistema sobre esta identificación.

Al igual que se consideró para la seguridad física, y basada en ella, existen cuatro tipos de técnicas que permiten realizar la autenticación de la identidad del usuario, las cuales pueden ser utilizadas individualmente o combinadas:

- Algo que solamente el individuo conoce: por ejemplo una clave secreta de acceso o password, una clave criptográfica, un número de identificación personal o PIN, etc.

- Algo que la persona posee: por ejemplo una tarjeta magnética.

- Algo que el individuo es y que lo identifica inequívocamente: por ejemplo las huellas digitales o la voz.

- Algo que el individuo es capaz de hacer: por ejemplo los patrones de escritura.

 Modalidad de Acceso

Se refiere al modo de acceso que se permite al usuario sobre los recursos y a la información. Esta modalidad puede ser:

- Lectura: el usuario puede únicamente leer o visualizar la información pero no puede alterarla. Debe considerarse que la información puede ser copiada o impresa.

- Escritura: este tipo de acceso permite agregar datos, modificar o borrar información.

- Ejecución: este acceso otorga al usuario el privilegio de ejecutar programas.

- Borrado: permite al usuario eliminar recursos del sistema (como programas, campos de datos o archivos). El borrado es considerado una forma de modificación.

Además existen otras modalidades de acceso especiales, que generalmente se incluyen en los sistemas de aplicación:

- Creación: permite al usuario crear nuevos archivos, registros o campos.

- Búsqueda: permite listar los archivos de un directorio determinado.

Control de Acceso Interno

- Sincronización de passwords: consiste en permitir que un usuario acceda con la misma password a diferentes sistemas interrelacionados y, su actualización automática en todos ellos en caso de ser modificada.

Podría pensarse que esta es una característica negativa para la seguridad de un sistema, ya que una vez descubierta la clave de un usuario, se podría tener acceso a los múltiples sistemas a los que tiene acceso dicho usuario.

Sin embargo, estudios hechos muestran que las personas normalmente suelen manejar una sola password para todos los sitios a los que tengan acceso, y que si se los fuerza a elegir diferentes passwords tienden a guardarlas escritas para no olvidarlas, lo cual significa un riesgo aún mayor.

Para implementar la sincronización de passwords entre sistemas es necesario que todos ellos tengan un alto nivel de seguridad.

- Caducidad y control: este mecanismo controla cuándo pueden y/o deben cambiar sus passwords los usuarios. Se define el período mínimo que debe pasar para que los usuarios puedan cambiar sus passwords, y un período máximo que puede transcurrir para que éstas caduquen.

Encriptación: La información encriptada solamente puede ser desencriptada por quienes posean la clave apropiada. La encriptación puede proveer de una potente medida de control de acceso. Este tema será abordado con profundidad en el Capítulo sobre Protección del presente.

Listas de Control de Accesos: Se refiere a un registro donde se encuentran los nombres de los usuarios que obtuvieron el permiso de acceso a un determinado recurso del sistema, así como la modalidad de acceso permitido. Este tipo de listas varían considerablemente en su capacidad y flexibilidad.

Límites sobre la Interfaz de Usuario: Esto límites, generalmente, son utilizados en conjunto con las listas de control de accesos y restringen a los usuarios a funciones específicas. Básicamente pueden ser de tres tipos: menús, vistas sobre la base de datos y límites físicos sobre la interfase de usuario. Por ejemplo los cajeros automáticos donde el usuario sólo puede ejecutar ciertas funciones presionando teclas específicas.

Etiquetas de Seguridad: Consiste en designaciones otorgadas a los recursos (como por ejemplo un archivo) que pueden utilizarse para varios propósitos como control de accesos, especificación de medidas de protección, etc. Estas etiquetas no son modificables.

Acciones Hostiles:

Los equipos de computo son posesiones muy valiosas para le empresas, y están expuestas al robo de da misma forma que las piezas de stock e incluso el dinero. Es frecuente que los operadores utilicen el computador de la empresa para realizar trabajos privados para las organizaciones. La información importante o confidencial puede ser fácilmente copiada. Muchas personas invierten millones en programas y archivos de información a los que dan menor protección que la que otorgan a una maquina de escribir o una calculadora. El software es una propiedad muy fácilmente sustraída, cintas y discos son fácilmente copiados sin dejar ningún rastro.

Medidas de Prevención ante Acciones Hostiles:

• Diseñar muebles para ordenadores de forma que se pueda asegurar fácilmente el equipo y sus periféricos.
• Creación de equipos de seguridad encargados de establecer y comprobar las técnicas de seguridad de los computadores. Este equipo debe estar compuesto por los encargados de los procesamientos de datos, seguridad, auditoria y usuario.
• Ejecución de análisis de riesgos en los sistemas que abarquen perdidas potenciales por accidentes, así como delitos intencionados.
• Realizar copias de seguridad tanto dentro como fuera de la organización para garantizar el resguardo de la información.
• Diseñar una lista de las aplicaciones de los computadores con posibles vulnerabilidades, que permitan diseñar planes y mecanismo de defensa.

Control de Acceso:

Estos controles pueden implementarse en el Sistema Operativo, sobre los sistemas de aplicación, en bases de datos, en un paquete específico de seguridad o en cualquier otro utilitario. Constituyen una importante ayuda para proteger al sistema operativo de la red, al sistema de aplicación y demás software de la utilización o modificaciones no autorizadas; para mantener la integridad de la información (restringiendo la cantidad de usuarios y procesos con acceso permitido) y para resguardar la información confidencial de accesos no autorizados.

Entre los mecanismo de control de acceso más utilizados se encuentran:

- Roles: El acceso a la información también puede controlarse a través de la función o rol del usuario que requiere dicho acceso. Algunos ejemplos de roles serían los siguientes: programador, líder de proyecto, gerente de un área usuaria, administrador del sistema, etc. En este caso los derechos de acceso pueden agruparse de acuerdo con el rol de los usuarios.

- Transacciones: También pueden implementarse controles a través de las transacciones, por ejemplo solicitando una clave al requerir el procesamiento de una transacción determinada.

- Limitaciones a los Servicios: Son restricciones que dependen de parámetros propios de la utilización de la aplicación o preestablecidos por el administrador del sistema. Un ejemplo podría ser que en la organización se disponga de licencias para la utilización simultánea de un determinado producto de software para cinco personas, en donde exista un control a nivel sistema que no permita la utilización del producto a un sexto usuario.

- Modalidad de Acceso

- Ubicación y Horario: El acceso a determinados recursos del sistema puede estar basado en la ubicación física o lógica de los datos o personas. En cuanto a los horarios, este tipo de controles permite limitar el acceso de los usuarios a determinadas horas de día o a determinados días de la semana. De esta forma se mantiene un control más restringido de los usuarios y zonas de ingreso. Se debe mencionar que estos dos tipos de controles siempre deben ir acompañados de alguno de los controles anteriormente mencionados.