3.1 Conceptos básicos de Seguridad Informática

La seguridad informática consiste en asegurar que los recursos del sistema de información (Material informático o programa) de una organización sean utilizados de la manera que se decidió y que el acceso a la información allí contenida así como su modificación solo sea posible a las personas que se encuentren acreditadas y dentro de los limites de su autorización.

Actualmente se considera aceptado que la seguridad de los datos y de la información comprende 4 aspectos fundamentales:

Confidencialidad

Confidencialidad es la propiedad de la información, por la que se garantiza que está accesible únicamente a personal autorizado a acceder a dicha información. La confidencialidad ha sido definida por la Organización Internacional de Estandarización (ISO) en la norma ISO/IEC 27002 como "garantizar que la información es accesible sólo para aquellos autorizados a tener acceso" y es una de las piedras angulares de la seguridad de la información. La confidencialidad es uno de los objetivos de diseño de muchos criptosistemas, hecha posible en la práctica gracias a las técnicas de criptografía moderna.

Confidencialidad en Informática:

La confidencialidad se entiende en el ámbito de la seguridad informática, como la protección de datos y de información intercambiada entre un emisor y uno o más destinatarios frente a terceros. Esto debe hacerse independientemente de la seguridad del sistema de comunicación utilizado: de hecho, un asunto de gran interés es el problema de garantizar la confidencialidad de la comunicación cuando el sistema es inherentemente inseguro (como Internet).

En un sistema que garantice la confidencialidad, un tercero que entra en posesión de la información intercambiada entre el remitente y el destinatario no es capaz de extraer ningún contenido inteligible. No existe ningún mecanismo de seguridad absolutamente seguro.

Integridad

El término integridad de datos se refiere a la corrección y complementación de los datos en, por ejemplo, una base de datos. Cuando los contenidos se modifican, la integridad de los datos almacenados puede perderse de muchas maneras:

Pueden añadirse datos no válidos a la base de datos, tales como un pedido que especifica un producto no existente.
Pueden modificarse datos existentes tomando un valor incorrecto, como por ejemplo si se reasigna un vendedor a una oficina no existente.
Los cambios en la base de datos pueden perderse debido a un error del sistema o a un fallo en el suministro de energía.
Los cambios pueden ser aplicados parcialmente, como por ejemplo si se añade un pedido de un producto sin ajustar la cantidad disponible para vender.

Una de las funciones importantes de un Sistema de Base de Datos Relacional es preservar la integridad de sus datos almacenados en la mayor medida posible.

Tipos de restricciones de integridad:

Datos Requeridos: Establece que una columna tenga un valor no vacío, o sea, que si o si tenga que ingresar algo.
Chequeo de Validez: Cuando se crea una tabla cada columna tiene un tipo de datos y el sistema asegura que solamente los datos del tipo especificado sean ingresados en la tabla. Por Ejemplo, si se espera un número de teléfono, no permitir un nombre u otro texto.
Integridad de entidad: Establece que la clave primaria de una tabla debe tener un valor único para cada fila de la tabla; si no, la base de datos perderá su integridad. Por ejemplo el uso del DNI para identificar personas.

Disponibilidad

Se trata de la capacidad de un servicio, de unos datos o de un sistema a ser accesible y utilizable por los usuarios autorizados cuando éstos lo requieran.

También se refiere a la seguridad en que la información pueda ser recuperada en el momento que se necesite, es decir, evitar su perdida o bloqueo.

La disponibilidad suele ser un factor muy importante en servidores o páginas masivamente grandes , como puede ser Facebook , ya que necesitan mantener la información disponible las 24 horas del día los 7 días de la semana.

Autenticación

La autenticación o autentificación es el acto o proceso de confirmar que algo (o alguien) es quien dice ser.

A la parte que se identifica se le llama probador. A la parte que verifica la identidad se la llama verificador. Es habitual que el probador sea un usuario que quiere acceder a ciertos recursos y el verificador sea un sistema que protege el acceso a dichos recursos y tiene que verificar que el que accede sea un usuario que tiene permisos para acceder a esos recursos.

Para poder tener autenticación es necesaria, como condición previa, la existencia de identidades biunívocamente identificadas de tal forma que se permita su identificación.

La seguridad informática también se refiere a la práctica de defender de ataques maliciosos, a las computadoras y los servidores, a los dispositivos móviles, a los sistemas electrónicos, a las redes y los datos, etc.

Amenazas

No solamente las amenazas que surgen de la programación y el funcionamiento de un dispositivo de almacenamiento, transmisión o proceso deben ser consideradas, también hay otras circunstancias no informáticas que deben ser tomadas en cuenta. Muchas son a menudo imprevisibles o inevitables, de modo que las únicas protecciones posibles son las redundancias y la descentralización, por ejemplo mediante determinadas estructuras de redes en el caso de las comunicaciones o servidores en clúster para la disponibilidad.

Las amenazas pueden ser causadas por:

Usuarios:

Causa del mayor problema ligado a la seguridad de un sistema informático. En algunos casos sus acciones causan problemas de seguridad, si bien en la mayoría de los casos es porque tienen permisos sobredimensionados, no se les han restringido acciones innecesarias, etc.

Programas maliciosos:

Programas destinados a perjudicar o a hacer un uso ilícito de los recursos del sistema. Es instalado en el ordenador, abriendo una puerta a intrusos o bien modificando los datos. Estos programas pueden ser un virus informático, un gusano informático, un troyano, una bomba lógica, un programa espía o spyware, en general conocidos como malware.

Errores de programación:

La mayoría de los errores de programación que se pueden considerar como una amenaza informática es por su condición de poder ser usados como exploits por los crackers, aunque se dan casos donde el mal desarrollo es, en sí mismo, una amenaza. La actualización de parches de los sistemas operativos y aplicaciones permite evitar este tipo de amenazas.

Intrusos:

Personas que consiguen acceder a los datos o programas a los cuales no están autorizados (crackers, defacers, hackers, script kiddie o script boy, viruxers, etc.).

Un siniestro (robo, incendio, inundación): una mala manipulación o mala intención derivan en la pérdida del material o de los archivos.

Personal técnico interno:

Técnicos de sistemas, administradores de bases de datos, técnicos de desarrollo, etc. Los motivos que se encuentran entre los habituales son: disputas internas, problemas laborales, despidos, fines lucrativos, espionaje, etc.

Fallos electrónicos o lógicos de los sistemas informáticos en general

En seguridad informática, una amenaza es un evento que puede producir daños en los activos de un sistema; lo pueden provocar usuarios internos o ajenos a la empresa.

Cualquier sistema informático está expuesto a las siguientes amenazas:

Actos criminales o motivados por la política organizacional

naturalmente su origen es humano y en muchas ocasiones explotan las vulnerabilidades derivadas de la ausencia o deficiencia de controles de acceso y autenticación, así como la detección y prevención de intrusos. Algunas son:

Robo físico.
Espionaje digital.
Allanamiento físico.
Sabotaje.
Infiltración.
Violación de derechos de autor.
Extorsión.

Incidentes de origen físico

Están fuera del control humano, derivados de la influencia inherente de factores ambientales y sólo pueden ser mitigados con medidas preventivas:

Incendios, sismos y desastres naturales.
Polvo y partículas ambientales.
Sobrecargas en la red eléctrica.
Fallas eléctricas.
Campos electromagnéticos externos.
Fallas circunstanciales en los sistemas.

Negligencia y malas decisiones

Son difíciles de predecir debido a su origen humano no intencional y provienen de personas que tienen influencia sobre los sistemas en alguna medida o en algún momento de su constitución u operación. Estás incluyen:

Falta de capacitación y sensibilización sobre riesgos.
Mal manejo de sistemas y herramientas.
Uso de software no autorizado.
Eliminación accidental de datos.
Infección de sistemas.
Transmisión no cifrada de datos críticos.
Falta de discreción.
Negligencia en el uso de contraseñas.
Sobrepasar autoridades.
Falta de definición de perfil, privilegios y restricciones del personal.
Falta de mantenimiento físico (proceso, repuestos e insumos).
Falta de actualización de software (proceso y recursos).
Fallas en permisos de usuarios (acceso a archivos).
Acceso electrónico no autorizado.
Red expuesta.
Dependencia de servicio técnico externo.
Ausencia de documentación.

Existen muchos otros riesgos, según la complejidad y tamaño de los sistemas, así como diferentes clasificaciones que se pueden utilizar para obtener un análisis más detallado.

* Conceptos básicos sobre Seguridad Informática