PROTECCION DE LA INFORMACION
Se entiende por seguridad de la información a todas aquellas medidas preventivas y reactivas del hombre, de las organizaciones y de los sistemas tecnológicos que permitan resguardar y proteger la información buscando mantener la confidencialidad, la disponibilidad e integridad de la misma.
El concepto de seguridad de la información no debe ser confundido con el de seguridad informática, ya que este último sólo se encarga de la seguridad en el medio informático, pudiendo encontrar información en diferentes medios o formas.
El campo de la seguridad de la información ha crecido y evolucionado considerablemente a partir de la Segunda Guerra Mundial, convirtiéndose en una carrera acreditada a nivel mundial. Este campo ofrece muchas áreas de especialización, incluidos la auditoría de sistemas de información, planificación de la continuidad del negocio, ciencia forense digital y administración de sistemas de gestión de seguridad, entre otros.
La información está centralizada y puede tener un alto valor. Puede ser divulgada, mal utilizada, ser robada, borrada o saboteada. Esto afecta su disponibilidad y la pone en riesgo. La información es poder, y según las posibilidades estratégicas que ofrece tener acceso a cierta información, ésta se clasifica como:
· Crítica: Es indispensable para la operación de la empresa.
· Valiosa: Es un activo de la empresa y muy valioso.
· Sensible: Debe de ser conocida por las personas autorizadas
La seguridad de la información comprende diversos aspectos entre ellos la disponibilidad, comunicación, identificación de problemas, análisis de riesgos, la integridad, confidencialidad, recuperación de los riesgos.
Confidencialidad
Es la propiedad de prevenir la divulgación de información a personas o sistemas no autorizados.
Integridad
Es la propiedad que busca mantener los datos libres de modificaciones no autorizadas.
Disponibilidad
La disponibilidad es la característica, cualidad o condición de la información de encontrarse a disposición de quienes deben acceder a ella, ya sean personas, procesos o aplicaciones.
Autenticación o autentificación
Es la propiedad que me permite identificar el generador de la información.
Protocolos de Seguridad de la Información
Los protocolos de seguridad son un conjunto de reglas que gobiernan dentro de la transmisión de datos entre la comunicación de dispositivos para ejercer una confidencialidad, integridad, autenticación y el no repudio de la información. Se componen de:
Criptografía (Cifrado de datos), se ocupa del cifrado de mensajes un mensaje es enviado por el emisor lo que hace es transposicionar u ocultar el mensaje hasta que llega a su destino y puede ser descifrado por el receptor.
Lógica (Estructura y secuencia). Llevar un orden en el cual se agrupan los datos del mensaje el significado del mensaje y saber cuando se va enviar el mensaje.
Autenticación. Es una validación de identificación es la técnica mediante la cual un proceso comprueba que el compañero de comunicación es quien se supone que es y no se trata de un impostor.
Es importante formular un plan de riesgo, soportarlo a lo largo de la organización y probarlo regularmente. Un buen plan de riesgo puede no sólo minimizar los efectos de una violación sino también, reducir la publicidad negativa.
Un plan de riesgo tiene un número de requerimientos, incluyendo:
Un equipo de expertos locales (un Equipo de respuesta a emergencias de computación)
Una estrategia legal revisada y aprobada
Soporte financiero de la compañía
Soporte ejecutivo de la gerencia superior
Un plan de acción factible y probado
Recursos físicos, tal como almacenamiento redundante, sistemas en stand by y servicios de respaldo
Una vez creado un plan de acción, este debe ser aceptado e implementado activamente.
La clasificación de las alternativas para manejar los posibles riegos que un activo o bien puede tener dentro de los procesos en una empresa lleva el nombre de manejo de riegos. Para ello se cuenta con las siguientes técnicas de manejo del riesgo:
- Evitar. El riesgo es evitado cuando la organización rechaza Ejemplo: No instalar empresas en zonas sísmicas
- Reducir. Cuando el riesgo no puede evitarse por tener varias dificultades de tipo operacional, la alternativa puede ser su reducción hasta el nivel más bajo posible. Ejemplo: No fumar en ciertas áreas, instalaciones eléctricas anti flama, planes de contingencia.
- Retener, Asumir o Aceptar el riesgo. Es uno de los métodos más comunes del manejo de riesgos, es la decisión de aceptar las consecuencias de la ocurrencia del evento. Puede ser voluntaria o involuntaria, la voluntaria. Ejemplo de asumir el riesgo: Con recursos propios se financian las pérdidas.
- Transferir. Es buscar un respaldo y compartir el riesgo con otros controles o entidades. Ejemplo: Transferir los costos a la compañía aseguradora
Medios de transmisión de ataques a los sistemas de seguridad
El mejor en soluciones de su clase permite una respuesta rápida a las amenazas emergentes, tales como:- Malware y spam propagado por e-mail.
- La propagación de malware y botnets.
- Los ataques de phishing alojados en sitios web.
- Los ataques contra el aumento de lenguaje de marcado extensible (XML) de tráfico, arquitectura orientada a servicios (SOA) y servicios web.
Los delitos cometidos mediante el uso de la computadora han crecido en tamaño, forma y variedad:
- Fraudes
- Falsificación
- Venta de información
- El caso del Banco Wells Fargo donde se evidencio que la protección de archivos era inadecuada, cuyo error costo USD 21.3 millones.
- El caso de la NASA donde dos alemanes ingresaron en archivos confidenciales.
- El caso de un muchacho de 15 años que entrando a la computadora de la Universidad de Berkeley en California destruyo gran cantidad de archivos.
- También se menciona el caso de un estudiante de una escuela que ingreso a una red canadiense con un procedimiento de admirable sencillez, otorgándose una identificación como un usuario de alta prioridad, y tomo el control de una embotelladora de Canadá.
- También el caso del empleado que vendió la lista de clientes de una compañía de venta de libros, lo que causo una pérdida de USD 3 millones.
- También el caso de estudiantes de Ingeniería electrónica donde accedieron al sistema de una Universidad de Colombia y cambiaron las notas de sus compañeros generando estragos en esta Universidad y retrasando labores, lo cual dejó grandes perdidas económicas y de tiempo.2
Los virus, troyanos, spyware, malware y demás código llamado malicioso (por las funciones que realiza y no por tratarse de un código erróneo), tienen como objetivo principal el ejecutar acciones no solicitadas por el usuario. Ejemplo: El virus llamado viernes trece o Jerusalén, que desactivó el conjunto de ordenadores de la defensa de Israel y que actualmente se ha extendido a todo el mundo.
Actores que amenazan la seguridad
- Un hacker es cualquier persona con amplios conocimientos en tecnología, bien puede ser informática, electrónica o comunicaciones, mantiene permanentemente actualizado y conoce a fondo todo lo relacionado con programación y sistemas complejos; es un investigador nato que se inclina ante todo por conocer lo relacionado con cadenas de datos cifrados y las posibilidades de acceder a cualquier tipo de "información segura". Su formación y las habilidades que poseen les da una experticia mayor que les permite acceder a sistemas de información seguros, sin ser descubiertos, y también les da la posibilidad de difundir sus conocimientos para que las demás personas se enteren de cómo es que realmente funciona la tecnología y conozcan las debilidades de sus propios sistemas de información.
- Un cracker, es aquella persona con comportamiento compulsivo, que alardea de su capacidad para reventar sistemas electrónicos e informáticos. Un cracker es un hábil conocedor de programación de Software y Hardware; diseña y fabrica programas de guerra y hardware para reventar software y comunicaciones como el teléfono, el correo electrónico o el control de otros computadores remotos.
- Un lamer Es una persona que alardea de pirata informático, cracker o hacker y solo intenta utilizar programas de FÁCIL manejo realizados por auténticos hackers.
- Un copyhacker' es una persona dedicada a falsificar y crackear hardware, específicamente en el sector de tarjetas inteligentes. Su estrategia radica en establecer amistad con los verdaderos Hackers, para copiarles los métodos de ruptura y después venderlos los bucaneros. Los copyhackers se interesan por poseer conocimientos de tecnología, son aficionados a las revistas técnicas y a leer todo lo que hay en la red. Su principal motivación es el dinero.
- Un "bucanero" es un comerciante que depende exclusivamente de la red para su actividad. Los "bucaneros" no poseen ningún tipo de formación en el área de los sistemas, si poseen un amplio conocimiento en área de los negocios.
- Un phreaker se caracterizan por poseer vastos conocimientos en el área de telefonía terrestre y móvil, incluso más que los propios técnicos de las compañías telefónicas; recientemente con el auge de los teléfonos móviles, han tenido que entrar también en el mundo de la informática y del procesamiento de datos.
- Un newbie o "novato de red" es un individuo que sin proponérselo tropieza con una página de hacking y descubre que en ella existen áreas de descarga de buenos programas de hackeo, baja todo lo que puede y empieza a trabajar con ellos.
- Un script kiddie o skid kiddie, es un simple usuario de Internet, sin conocimientos sobre hackeo o crackeo que, aunque aficionado a estos tema, no los conoce en profundidad limitándose a recopilar información de la red y a buscar programas que luego ejecuta, infectando en algunos casos de virus a sus propios equipos.
- Un tonto o descuidado, es un simple usuarios de la información, con o sin conocimientos sobre hackeo o crackeo que accidentalmente borra daña o modifica la información, ya sea en un mantenimiento de rutina o supervisión.
- Cortafuegos
- Administración de cuentas de usuarios
- Detección y prevención de intrusos
- Antivirus
- Infraestructura de llave publica
- Capas de Socket Segura (SSL)
- Conexión única "Single Sign on- SSO"
- Biometría
- Cifrado
- Cumplimiento de privacidad
- Acceso remoto
- Firma digital
- Intercambio electrónico de Datos "EDI" y Transferencia Electrónica de Fondos "EFT"
- Redes Virtuales Privadas "VPNs"
- Transferencia Electrónica Segura "SET"
- Informática Forense
- Recuperación de datos
- Tecnologías de monitoreo
Estándares de seguridad de la información
Otros estándares relacionados
Certificaciones
- CISM - CISM Certificaciones: Certified Information Security Manager
- CISSP - CISSP Certificaciones: Security Professional Certification
- GIAC - GIAC Certificaciones: Global Information Assurance Certification
Certificaciones independientes en seguridad de la información
- CISA- Certified Information Systems Auditor, ISACA
- CISM- Certified Information Security Manager, ISACA
- Lead Auditor ISO27001- Lead Auditor ISO 27001, BSI
- CISSP - Certified Information Systems Security Professional, ISC2
- SECURITY+, COMPTia - Computing Technology Industry Association
- CEH - Certified Ethical Hacker
- PCI DSS - PCI Data Security Standard
No hay comentarios:
Publicar un comentario