Cuales son las
amenazas informáticas y como
se pueden prevenir
- El ambiente de los sistemas de información que predominó hasta principios de la década de los noventa, –previo a la globalizan de las telecomunicaciones, las redes mundiales de tele proceso, la Internet, etcétera– tuvo como una de sus características más relevantes la de poseer entornos informáticos en los que se operaba de manera aislada o en redes privadas en las cuales, la seguridad impuesta por el acceso físico y algunas simples barreras informáticas bastaban para que la seguridad de la información en ellos contenida estuviese garantizada. Por lo mismo, no había mucha preocupación al respecto ni estrategias al efecto. En 1977, el senador Abrochara A. Rubifico, de Conectivo, ECUA, propuso una iniciativa de "Acta de Protección de los Sistemas de Cómputo Federales", la cual buscaba por primera vez definir crímenes y recomendar sanciones por dichos delitos.
CONCEPTOS FUNDAMENTALES DE LA SEGURIDAD INFORMÁTICA:
Para poder comprender el concepto integral de la seguridad informática, es indispensable entender los diversos conceptos básicos que la rigen, ya que de otra forma no es posible establecer una base de estudio. Los enunciaré a continuación y los desarrollaré con más detalle más adelante.
• Recursos Informáticos: el equipo de cómputo y telecomunicaciones; los sistemas, programas y aplicaciones, así como los datos e información de una organización. También se les conoce como "activos informáticos"
• Amenaza: fuente o causa potencial de eventos o incidentes no deseados que pueden resultar en daño a los recursos informáticos de la organización.
• Impacto: la medida del efecto nocivo de un evento.
• Vulnerabilidad: característica o circunstancia de debilidad de un recurso informático la cual es susceptible de ser explotada por una amenaza.
• Riesgo: la probabilidad de que un evento nocivo ocurra combinado con su impacto en la organización.
• Principio básico de la seguridad informática: la seguridad informática no es un producto, es un proceso.
El objetivo primario de la seguridad informática es el de mantener al mínimo los riesgos sobre los recursos informáticos, –todos los recursos– y garantizar así la continuidad de las operaciones de la organización al tiempo que se administra ese riesgo informático a un cierto costo aceptable. Para ello utilizaremos estructuras organizarles técnicas, administrativas, gerencia les o legales.
El objetivo secundario de la seguridad informática –y subrayo que es de nuestro especial interés desde el punto de vista de la preservación documental– consiste en garantizar que los documentos, registros y archivos informáticos de la organización mantengan siempre su confiabilidad total. Este concepto varía de acuerdo a distintos autores, a los contextos documentales y al tipo de organización a la que la información esté asociada. En un contexto archivista y en donde tratamos de interromper un enfoque de seguridad informática con uno de preservación digital, podemos establecer esa confiabilidad como la unión de seis características esenciales:
• permanencia
• accesibilidad
• disponibilidad
• confidencialidad (privacidad)
• autenticidad (integridad)
• aceptabilidad (no repudio)
Las amenazas, como ya hemos mencionado, consisten en la fuente o causa potencial de eventos o incidentes no deseados que pueden resultar en daño a los insumos informáticos de la organización y ulteriormente a ella misma. Entre ellas, identificamos como las principales:
•El advenimiento y proliferación de "malware" o "malicious software", programas cuyo objetivo es el de infiltrase en los sistemas sin conocimiento de su dueño, con objeto de causar daño o perjuicio al comportamiento del sistema y por tanto de la organización.
• La pérdida, destrucción, alteración, o sustracción de información por parte de personal de la organización debido a negligencia, dolo, mala capacitación, falta de responsabilidad laboral, mal uso, ignorancia, apagado o elusión de dispositivos de seguridad y/o buenas prácticas.
• La pérdida, destrucción, alteración, sustracción, consulta y divulgación de información por parte de personas o grupos externos malintencionados.
• El acceso no autorizado a conjuntos de información.
• La pérdida, destrucción o sustracción de información debida a vandalismo.
• Los ataques de negación de servicio o de intrusión a los sistemas de la organización por parte de ciber–criminales: personas o grupos malintencionados quienes apoyan o realizan actividades criminales y que usan estos ataques o amenazan con usarlos, como medios de presión o extorsión.
• Los "phishers", especializados en robo de identidades personales y otros ataques del tipo de "ingeniería social".6
• Los "spammers" y otros mercadotecnistas irresponsables y egoístas quienes saturan y desperdician el ancho de banda de las organizaciones.
• La pérdida o destrucción de información debida a accidentes y fallas del equipo: fallas de energía, fallas debidas a calentamiento, aterrizamiento, desmagnetización, rayadura o descompostura de dispositivos de almacenamiento, etcétera.
• La pérdida o destrucción de información debida a catástrofes naturales: inundaciones, tormentas, incendios, sismos, etcétera.
• El advenimiento de tecnologías avanzadas tales como el cómputo mantuano, mismas que pueden ser utilizadas para desencalabrinar documentos, llaves, etcétera al combinar complejos principios físicos, matemáticos y constitucionales.
VULNERABILIDADES INFORMÁTICAS
Una vulnerabilidad es alguna característica o circunstancia de debilidad de un recurso informático la cual es susceptible de ser explotada por una amenaza, intencional o accidentalmente. Las vulnerabilidades pueden provenir de muchas fuentes, desde el diseño o implementación de los sistemas, los procedimientos de seguridad, los controles internos, etcétera; se trata en general de protecciones inadecuadas o insuficientes, tanto físicas como lógicas, procedimentales o legales de alguno de los recursos informáticos. Las vulnerabilidades al ser explotadas resultan en fisuras en la seguridad con potenciales impactos nocivos para la organización. Más detalladamente, provienen de:
• Fallas en el diseño o construcción de programas, sobre todo en aquellos que provienen de un mercado masivo; por ejemplo sistemas operativos, programas de aplicación, el protocolo de comunicaciones TCP/IP, etcétera.
• Uso de computadoras, programas y equipos de red de tipo genérico en aplicaciones críticas.
• Atención insuficiente al potencial error humano durante el diseño, implementación o explotación de sistemas, particularmente debidas a desviaciones u omisiones de buenas prácticas en estas etapas.
• Confianza excesiva en algún único dispositivo u oficina de seguridad.
• Relajamiento de las políticas y procedimientos de seguridad, debidos a falta de seguimiento de los mismos, producidas por un desempeño de seguridad adecuado durante cierto lapso.
• Fallas de seguimiento en el monitoreo o indicadores de seguridad.
• Pobre o nula gobernanza de los activos informáticos, debida principalmente a un mal seguimiento de esos activos y sus contextos de seguridad asociados de forma integral.
• Cambio frecuente de elementos de la plataforma informática.
• Falla en la adjudicación o seguimiento de responsabilidades.
• Planes de contingencia nulos o pobres, tanto para situaciones cotidianas como extremas.
• Ignorancia, negligencia o curiosidad por parte de usuarios en general de los sistemas.
• Equipos, programas y redes "heredados" de generaciones tecnológicas anteriores.
• Errores inherentes al diseño de microprocesadores y microcódigos que se encuentran en rutinas básicas o "núcleo" de los sistemas, o en el encriptado o virtualización.
• Falta de concentración del personal en general acerca de la importancia de la seguridad y responsabilidades compartidas e integrales.
Como se mencionó también, riesgo se define como la probabilidad de que un evento nocivo ocurra combinado con su impacto o efecto nocivo en la organización. Se materializa cuando una amenaza actúa sobre una vulnerabilidad y causa un impacto. Los principales riesgos se agrupan como:
• Sustracción de datos personales para usos malintencionados.
• Fugas de información, extracción o pérdida de información valiosa y/o privada.
• Introducción de programas maliciosos a los sistemas de la organización, que pueden ser utilizados para destruirlos u obstaculizarlos, usurpar recursos informáticos, extraer o alterar información sin autorización, ejecutar acciones ocultas, borrar actividades, robo y detentación de identidades, etcétera.
• Acciones de "ingeniería social" malintencionada: "phishing", "spam", espionaje, etcétera.
• Uso indebido de materiales sujetos a derechos de propiedad intelectual.
• Daño físico a instalaciones, equipos, programas, etcétera.
IMPACTOS
Los impactos son los efectos nocivos contra la información de la organización al materializarse una amenaza informática. Al suceder incidentes contra la seguridad informática pueden devenir en:
• Disrupción en las rutinas y procesos de la organización con posibles consecuencias a su capacidad operativa.
• Pérdida de la credibilidad y reputación de la organización por parte del consejo directivo de la organización, público en general, medios de información, etcétera.
• Costo político y social derivado de la divulgación de incidentes en la seguridad informática.
• Violación por parte de la organización a la normatividad acerca de confidencialidad y privacidad de datos de las personas.
• Multas, sanciones o fincado de responsabilidades por violaciones a normatividad de confidencialidad.
• Pérdida de la privacidad en registros y documentos de personas.
• Pérdida de confianza en las tecnologías de información por parte del personal de la organización y del público en general.
• Incremento sensible y no programado en gastos emergentes de seguridad.
• Costos de reemplazo de equipos, programas, y otros activos informáticos dañados, robados, perdidos o corrompidos en incidentes de seguridad.
• Políticas de seguridad. Es indispensable en toda organización que posea activos informáticos contar con políticas de seguridad documentadas y procedimientos internos de la organización acerca de las estrategias y disposiciones que guíen los principales rubros y áreas relacionados con la seguridad del los bienes informáticos y que permitan su actualización y revisión por parte de un comité de seguridad interno.
Algunos de los principales objetivos de control y acciones dentro de este dominio son:
• Políticas y procedimientos internos generales de seguridad informática.
• Políticas de acceso a instalaciones sensibles.
• Políticas y procedimientos de inventarios de bienes informáticos
• Políticas y procedimientos de respaldo de datos.
• Políticas y procedimientos de resguardo de información.
• Políticas y procedimientos para asignación de usuarios y lineamientos normativos de acceso.
• Políticas y procedimientos para la creación y mantenimiento de software.
• Aspectos formales para la seguridad organizational. La existencia de un marco formal de seguridad que debe integrar la organización, formados por una oficina o comité de administración de la seguridad de la información, un oficial de seguridad —Information System Security Officer— ISSO, un equipo de recuperación contra desastres, auditorías y revisiones externas a la infraestructura de seguridad así como controles a los servicios de tercerización –outsourcing–, entre otros aspectos. Algunos de los principales objetivos de control y acciones dentro de este dominio son:
• Elaboración de diagnósticos de seguridad.
• Establecimiento de personas, áreas o comités específicamente creados para la seguridad informática.
• Clasificación y control de activos. El análisis de riesgos utiliza un inventario de activos de información —instalaciones, equipos, programas, datos, personas—, que deberá ser administrado y controlado con base en ciertos criterios de clasificación y etiquetado respecto de la información; es decir, los activos deben ser etiquetados de acuerdo con su nivel de confidencialidad y sensibilidad.
Algunos de los principales objetivos de control y acciones dentro de este dominio son:
• Definición de políticas y procedimientos claramente establecidos y distribuidos para la realización de inventarios de equipos, programas y procesos, así como para cambios, modificaciones y baja de los mismos.
• Realización de inventarios y clasificación de activos informáticos en cuanto a infraestructura de equipo de cómputo de alto rendimiento, equipo de comunicaciones, equipo donde se procesa o genera información sensible, equipo cotidiano.
• Realización de un inventario completo de bases de datos y sistemas y aplicaciones informáticos.
• Establecer y dar seguimiento a la periodicidad de estos inventarios
Es necesario recordar siempre que en el medio informático, en realidad no existe la "seguridad informática" total ya que el riesgo o probabilidad de que un evento nocivo ocurra nunca es cero. Hoy en día no existe en el planeta ninguna organización cien por ciento segura y por ello los expertos en el tema prefieren manejar en la actualidad el principio de "administración calculada del riesgo". Esto significa que el proceso de lograr la seguridad informática nunca está concluido, y nunca es total y absoluto. Por más que la organización se esfuerce, cada día surgen nuevas amenazas, riesgos y vulnerabilidades dentro de los activos informáticos y por lo mismo el proceso debe ser permanente y evolutivo: siempre será perfeccionable. El riesgo crecerá en proporción al tiempo en el que las medidas de seguridad funcionen adecuadamente y no haya incidentes mayores. La confianza lleva a bajar la guardia y nuevas vulnerabilidades aparecen. Por ello debe continuarse en este esfuerzo permanentemente para mantener al día la metodología, las políticas de seguridad, los procedimientos, los controles y las medidas de seguridad de los activos informáticos manteniendo siempre así un nivel de seguridad adecuado y una administración del riesgo razonable; todo ello a un costo proporcional y razonable al valor de los bienes informáticos guardados.
Algunas de las recomendaciones puntuales a este propósito:
• Revisar periódicamente mediante un plan al efecto las normas, políticas, procedimientos y controles de la seguridad informática para perfeccionarlos y mantenerlos actualizados.
• Consolidar un grupo o comité oficial de seguridad informática con personas, funciones y responsabilidades perfectamente establecidas.
• Migrar periódicamente hacia las nuevas versiones de los estándares metodológicos; siguiendo con nuestro ejemplo esto significaría migrar del ISO / 17799 hacia al ISO / IEC 27002 y sus derivados: 27001, 27003, etcétera. Pero ello debe hacerse en cualquier estándar que se hubiese adoptado en la organización. Esto debe hacerse cuando aparezcan y se estabilicen las nuevas ediciones del mismo.
• De los inventarios, auditorías, bitácoras, etcétera se obtienen siempre mediciones acerca de algunas estrategias y controles que siempre faltan de implementar en toda organización o que deben perfeccionarse; debe hacerse una revisión equivalente para evaluar los riesgos y actuar al efecto.
• Establecer los dominios de acción y objetivos que no satisfagan del todo a lo estipulado por la organización e incidir con mayor rigor en ellos.
• Deben implantarse métricas estandarizadas para evaluar a futuro el estado y los avances de la seguridad informática. En este sentido serán útiles metodologías tales como el ISO 27004 o semejantes.
AMENAZAS INFORMATICAS
PREZI AMENAZAS INFORMATICAS
