SEGURIDAD INFORMATICA

Introducción a la seguridad de la información.

“La seguridad no es un producto, sino un proceso” Bruce Schneier

Gestion del riesgo

Los riesgos no pueden eliminarse pero pueden reducirse con un poco de esfuerzo y una modesta inversión, la mayoría de ataques que se producen no tienen que ver con ataques informáticos sino más bien con fallos en software o hardware, robo fraude o ingeniería social, entre otros. Los usuarios internos son la mayor fuente de amenaza ya que ellos son los que conocen como funciona la empresa u organización y conocen el sistema.

Las medidas de seguridad no deben basarse en adquirir software o hardware de seguridad si no en la organización de las tareas, responsabilidades y concientización del personal. Por lo tanto la seguridad de la información trata de proteger archivos ya sea en un disco duro o en una base de datos.

Analisis:

Identificar cuáles son los activos a proteger.

Identificar las amenazas.

Identificar los riegos que pueden ocasionar las amenazas.

Identificar y evaluar los costos para reducir los riesgos.

Existen numerosas metodologías para la evaluación de los riesgos, una fuente de requisitos de seguridad viene dado por el conjunto de obligaciones legales, estatutarias y regulatorias como la Ley Orgánica de Protección de Datos de Carácter Personal. (LOPD).

Como resultado del análisis de riesgos se implementaran medidas de seguridad para combatir dichas amenazas, para combatir la amenaza se intenta reducir el riesgo o transferir el riesgo a otra organización, como última opción tenemos afrontar el riesgo debido a que la probabilidad de que ocurra es baja o las consecuencias económicas sean inferiores a combatirlas.

No sirve de nada si se refuerza un único perímetro, basta con que exista una sección débil para permitir en paso a las amenazas. La cadena siempre se rompe del eslabón más débil. Para alcanzar un nivel de seguridad aceptable se debe localizar los zonas más débiles y reforzarlas.

Amenazas a la Información.

Existen múltiples delitos dentro del mundo digital todos ellos ligados a la información que se aloja en el sistema, las amenazas a la información en la red pueden caracterizar modelando el sistema como un flujo de información desde una fuente. Las cuatro categorías generales de ataques son:

1. Creación de la información.- Si se introduce nueva información aparte de la q ya existía.

2. Modificación de la información.- Cambiar información dentro del sistema o al viajar por redes representa un riesgo de integridad de datos.

3. Intercepción de información.- Si grupos no autorizados acceden a la información es un ataque contra la confidencialidad de la información.

4. Interrupción de la información.- Cuando se altera la disponibilidad de los datos dentro del sistema los cuales viajan en redes de comunicación.

Gestión de la seguridad en el espacio

Todos los productos deben cumplir con lo siguiente:

o Prevenir. Evitar que los ataques tengan éxito

o Detectar. Controlar que todo esté en orden y alertar cuando se producen anomalías.

o Recuperar. Garantizar que si se produce un ataque la información podrá recuperarse y todo retornara a la normalidad.

Estos

...