Seguridad Informática
Introducción
Desde la llegada de internet a fines del siglo XX y principios del siglo XXI, el cambio tecnológico ha sido abismal. Hoy en día, tenemos de forma muy sencilla acceso a la información y al conocimiento gracias a esta red y a los equipos creados con hardware y software que nos proporcionan el medio físico y lógico para acceder. Sin embargo, no todo es color rosa, a medida que pasa el tiempo cada vez es más fácil acceder a internet gracias a las aplicaciones que son desarrolladas, de forma tal, que su uso sea mucho más fácil que antes. Por lo tanto, ésta “comodidad” hace que no sepamos, o ignoremos, el funcionamiento de una tecnología y los riesgos que esto supone en cuanto a seguridad. Podemos suponer que, la comodidad del uso de una tecnología, es inversamente proporcional a su seguridad.
A medida que pasa el tiempo cada vez son más los delitos informáticos que suceden a nivel mundial, y esto no se debe solo por “ciberdelicuentes profesionales” sino también, y principalmente, por la analfabetización tecnológica que poseen la mayoría de una sociedad en cuanto al uso de las tecnologías.
Teniendo todo esto en cuenta, podríamos decir que hoy en día, la información es el oro del siglo XXl. Entonces, la educación y el conocimiento deberían ser nuestras principales armas para protegernos de ataques informáticos y, principalmente, de la ignorancia.
¿Qué es la seguridad informática?
La seguridad informática es la disciplina que se encarga de proteger la Confidencialidad, Integridad y Disponibilidad de una organización con respecto a las personas y tecnologías que estas utilizan. Centra su trabajo en gestionar qué herramientas utilizar para dar la seguridad necesaria a la información como a los dispositivos que se utilicen en la organización.
Debemos ver a la seguridad como un proceso continuo que hay que gestionar conociendo siempre las vulnerabilidades y las amenazas que se ciñen sobre cualquier información, teniendo siempre en cuenta las causas de riesgo y la probabilidad de que ocurran, así como el impacto que puede tener.
La triada CID
A continuación veremos en detalle los pilares:
Confidencialidad
La confidencialidad es la propiedad que impide la divulgación de información a personas o sistemas no autorizados. A grandes rasgos, asegura el acceso a la información únicamente a aquellas personas que cuenten con la debida autorización.
Veamos un ejemplo:
Una transacción de tarjeta de crédito en Internet requiere que el número de tarjeta a ser transmitida sea desde el comprador al comerciante y, del comerciante a una red de procesamiento de transacciones. El sistema intenta hacer valer la confidencialidad mediante el cifrado del número de la tarjeta y los datos que contiene la banda magnética durante la transmisión de los mismos. Si una parte no autorizada obtiene el número de la tarjeta de algún modo, se ha producido una violación a la confidencialidad.
Integridad
La integridad es la propiedad que busca mantener los datos libres de modificaciones no autorizadas. Es decir, la misma busca mantener con exactitud la información tal cual fue generada, sin ser manipulada o alterada.
La violación de integridad se presenta, por ejemplo, cuando un atacante, programa o proceso (por malas configuraciones) modifica los datos importantes que son parte de la información. La integridad de un mensaje se preserva a través de otro conjunto de datos de comprobación que son fundamentales para esta disciplina. Estas herramientas son: la firma digital y los hash.
Disponibilidad
La disponibilidad es la condición de la información de encontrarse a disposición de quienes deben acceder a ella, ya sean personas, procesos o aplicaciones. Podemos definirla como el acceso a la información y a los sistemas por personas autorizadas en el momento que así lo requieran. Por ejemplo, cuando se quieren vender entradas para un partido de fútbol por internet y la página se cae. Esto se debe a la cantidad de peticiones por minuto que se realizan por parte de los clientes, o usuarios, de forma tal que el servidor se termina cayendo por la cantidad de demanda. Podemos decir que dicha organización no tuvo en cuenta la disponibilidad necesaria de sus equipos o servidores para aguantar la demanda de peticiones en la red.
En el caso de los sistemas informáticos utilizados para almacenar y procesar la información, los controles de seguridad utilizados para protegerlo, y los canales de comunicación protegidos que se utilizan para acceder a ella, deben estar funcionando correctamente.
El objetivo de los sistemas de alta disponibilidad es que deben estar disponibles en todo momento, evitando interrupciones del servicio debido a cortes de energía, fallos de hardware, y actualizaciones del sistema. Un ejemplo de esto puede ser limitando la cantidad de inicios de sesión de usuarios, bloquear direcciones que generen una cierta cantidad de peticiones en un tiempo determinado, tener herramientas o servidores de reemplazo por si otros se caen, etc..
¿Cómo proteger la información?
La defensa en profundidad apunta a implementar varias medidas de seguridad con el objetivo de proteger un mismo activo. Es una táctica que utiliza varias capas, en las que cada una provee un nivel de protección adicional a las demás.
Esta estrategia fue formulada por la Agencia Nacional de Seguridad de Estados Unidos (NSA, National Security Agency) con el objetivo de proteger información. En realidad, este concepto se utilizó como una estrategia militar, que buscaba retrasar más que prevenir, el avance del enemigo, lo que permitía ganar tiempo (muy valioso en el campo de batalla).
Debemos implementar dichas medidas basándonos en el paradigma de “Proteger, Detectar y Reaccionar”. Esto significa que, además de incorporar mecanismos de protección, debemos estar preparados para recibir ataques, e implementar métodos de detección y procedimientos que nos permitan reaccionar y recuperarnos de dichos ataques. Por tal motivo, es muy importante balancear el foco de las contramedidas en los tres elementos primarios de una organización: Personas, Tecnología y Operaciones. Veamos esto a continuación:
Personas
Las personas o empleados, pertenecientes a una organización, deben estar comprometidas con obtener el conocimiento necesario para hacer frente a nuevas amenazas. Para esto, son necesarias la creación de nuevas políticas y procedimientos, responsabilidad y asignación de roles, recursos y capacitación de los mismos.
También, es necesaria la implementación de medidas de seguridad física y control de personal para poder monitorizar las instalaciones críticas para la organización. Recordemos que, con estos procedimientos, no solo protegemos la seguridad de una empresa y organización, sino también a las personas dentro de la misma. Un ciberdelincuente puede usar información personal de un empleado para lograr su objetivo mediante amenazas o engaños psicológicos.
Tecnologías y Operaciones
Para asegurar que las tecnologías implementadas sean las correctas debemos implementar varios mecanismos de seguridad entre las amenazas y sus objetivos.
Cada una debe incluir mecanismos de protección y detección, como así también documentar todos los cambios realizados en la infraestructura, realizando análisis de seguridad periódicos e implementando métodos de recuperación y actualización de dichas tecnologías. Entonces, nos enfocaremos en las actividades necesarias para sostener la seguridad de la organización en las tareas del día a día.
En el home de Lathack tiene una breve descripción sobre la cantidad de delitos informáticos que han ocurrido en LATAM.
Por lo tanto, la seguridad informática no se trata si una organización o dispositivo va a sufrir un ataque. Sino cuándo y qué tan preparados y protegidos estamos para ese momento.
