Seguridad Informática

Seguridad Informática

¿QUÉ ES SEGURIDAD?

Podemos entender como seguridad algo que es libre y exento de todo peligro daño o riesgo, cierto, indubitable y en cierta manera infalible, firme constante y que no está en peligro de faltar o caerse, algo que no es sospechoso.

Según la RAE, Seguridad es definida como cualidad de seguro y seguro queda definido como:

seguro, ra.

(Del lat. secūrus).

1. adj.Libre y exento de todo peligro, daño o riesgo.

2. adj. Cierto, indubitable y en cierta manera infalible.

3. adj. Firme, constante y que no está en peligro de faltar o caerse.

4. adj. No sospechoso.

Pero, ¿son estas definiciones aplicables a la seguridad informática?

¿Podemos conseguir un sistema Libre y exento de todo peligro, daño o riesgo?

Si nos vamos haciendo esta misma pregunta con cada una de las definiciones dadas por

la Rae vamos llegando a la misma respuesta:

No podemos garantizar que nuestro sistema va a estar en todo momento libre o exento de todo riesgo, que vaya a ser cierto, indubitable y en cierta manera infalible o que vaya a mantenerse firme y constante.

¿Por qué no podemos garantizarlo?

Porque existen una serie de amenazas constantes clasificadas en Amenazas Lógicas, Físicas, y Ambientales que de paliarse de forma completa afectarían a la disponibilidad de nuestro sistema lo que hace que su implementación no sea viable.

De hecho me voy a permitir citar al experto en seguridad Eugene H. Spafford citado también en otros libros sobre la materia:

"EL único sistema que es totalmente seguro es uno que se encuentra apagado y desconectado, metido en una caja fuerte de titanio que está enterrada en cemento, rodeada de gas nervioso y de un grupo de guardias fuertemente armado, ¡Y aun así no apostaría mi vida por ello!"

Todas las posibles amenazas, y terminología que nos os resulte familiar, la vamos a ir aclarando poco a poco, por tanto volvamos a nuestra pregunta inicial.

¿Qué es la seguridad informática?

Pues ya que existen innumerables definiciones para esta materia, nosotros diremos que:

La seguridad informática es una rama dentro de la ingeniera informática que se encarga del estudio y la puesta en funcionamiento de los diferentes métodos, herramientas y procesos para garantizar la Confidencialidad, Integridad, Disponibilidad, Autenticidad y no repudio de un sistema informático entendiéndose sistema informático como:

- “El conjunto de partes interrelacionadas, hardware, software y de recurso humanos que permite almacenar y procesar información.”

Bien, veamos a qué nos referimos en cada uno de los puntos de nuestra definición:

 Disponibilidad: Se refiere a la capacidad de que las aplicaciones, los datos y el sistema se encuentre accesible a los usuarios autorizados en todo momento o el tiempo previsto al incluir las suspensiones programadas debidas a actualizaciones mejoras programadas.

 Confidencialidad: La confidencialidad consiste en procurar un acceso confidencial al mensaje, la comunicación, los datos o al sistema en si. Quiere decir que sólo tendrán acceso personas o sistemas que hayan sido autorizados para ello y que estos no van a compartir esta información con terceros, haciendo de este modo que los datos resulten ajenos a quien no haya sido autorizado y por tanto confidenciales.

 Integridad de la información: Es la característica que hace que un sistema permanezca inalterado a no ser que estas modificaciones sean hechas por personal autorizado y queden registradas y documentadas. Un sistema integro es aquel que permite comprobar ni el propio sistema ni ninguna de sus partes ha sido manipulada en su forma original, es decir, es un sistema que no ha sido alterado.

 Autenticidad: Asegurar la identidad con certeza respeto al origen y procedencia de los datos, la información o el sistema. El objetivo que se pretende es la comprobación de que dichos datos o información provienen realmente de la fuente que dice ser.

 No repudio: No repudio quiere decir que ni el emisor ni el receptor de los datos pueden alegar que esa información no proviene de su fuente.

Una vez aclarados todos estos conceptos veamos cómo se relacionan entre si.

Si no existe la disponibilidad ya que el sistema se encuentra caído o sin servicio, el resto de los factores no son verificables, ya que los usuarios autorizados no tienen acceso así que no es posible procurarles un acceso confidencial ni verificar si los datos trasmitidos son íntegros y ya que no hay datos no hay origen ni destino del cual asegurar su certeza.

¿Se te ocurre algún ataque que afecte a la disponibilidad?

Los ataques los vamos a ver más adelante, pero aun así, puedes haber encontrado en algún momento una página pública a la que no fuese posible acceder.

Esto puede ser debido a una falta de previsión por parte de los administradores ya que están recibiendo más tráfico del esperado, o debido a un ataque que está generando más tráfico del soportado para bloquear el servicio.

Este tipo de ataque se conoce comúnmente como Dos, Deniegal of Service o denegación de servicio.

Lo mismo nos ocurre con el resto de las capas de la seguridad, están íntimamente relacionadas, sin la confidencialidad no podemos garantizar la integridad ya que si la información ha sido divulgada es probable que también haya podido ser modificada o nuestras claves sean conocidas por lo que exista la posibilidad de que un intruso esté actuando con nuestra identidad dentro del sistema.

La seguridad no es un conjunto de medidas que se toman por única vez, sino un proceso dinámico en el que todos los actores juegan un rol permanente y debe de abarcar tres áreas de incumbencia: Personas, Procesos y Tecnología.

Existen varias ramas y profesionales dentro de esta materia o estrechamente relacionados con ella, algunos de ellas son:

Analistas de sistemas: Definen las pautas del sistema, deciden la función y utilidad de ese sistema. Deben crear las políticas adecuadas para el uso del sistema. Elaboran los planes de seguridad de la información, de los equipos y crean los entornos de pruebas.

Pentesters: Se encargan de probar o intentar comprometer la seguridad de un sistema o de parte del mismo con el consentimiento de la empresa y a petición de la misma para elaborar un informe detallado de las vulnerabilidades encontradas y

...