Examen de seguridad de la información

Mañana tengo el primer examen del curso de seguridad de la información, aunque el examen sera totalmente teórico he de decir que hay bastante material del cual se puede extender mucha mas información. Aunque algunos temas ya los he tratado en el blog, varios de forma teórica/practica, otros de forma teórica, hoy les dejare un resumen de los temas que hemos visto durante el curso y que seguro hay cosas de las que puedes profundizar.

Partiendo de lo mas importante que es definir conceptos básicos de seguridad,con el fin de diferenciar términos como amenazas, ataques, riesgo, impacto, etc y comprender como estos se relacionan entre si y como la seguridad debe preservar la integridad, confidencialidad y disponibilidad de la información manteniendo un balance entre la operatividad/seguridad.

Ademas tratamos sobre el tema de hackers, como estos se clasifican y de la polémica que existe de diversos autores, también sobre ataques de defacement, como estos se realizan y que daños pueden ocasionar. La etapa para implementar la seguridad informática, consiste en establecer métodos y mecanismos diseñados para que los sistemas de información sean seguros, algunos mecanismos utilizados son los corta fuegos, los sistemas para la detección de intrusos, sistemas anti-malware, copias de seguridad, cifrados, certificados, auditorias, etc., apegados a un conjunto de políticas de seguridad establecidas acorde a las necesidades de la organización.

Algo verdaderamente importante es el hecho de tener métricas que permita establecer un nivel o estado de seguridad bajo el cual se encuentra una organización, las métricas de seguridad son las medidas de eficacia de los esfuerzos que una organización ha realizado durante una linea de tiempo y para poder realizar estas métricas existen modelos de madurez, como por ejemplo:

1. SSE-CMM, el cual esta orientado en ingeniería  de seguridad y desarrollo de software y cuenta con cinco niveles de madurez progresiva; 1 Realizado informalmente, 2 Planificado y perseguido, 3 Bien definido, 4 Controlado cuantitativamente, 5 continuamente mejorado.
2. COBIT, Centrado en procedimientos específicos de auditoria, sus cinco niveles de madurez  progresiva son; 1 Inicial/adhoc, 2 Repetible pero intuitivo, 3 Proceso definido, 4 Gestionado y  5 medible y Optimizado.

Existen mas modelos de madurez, pero la implementación de algunos de estos dependerá exclusivamente de la organización, los fines y objetivos que esta tenga.

Dentro de los procesos de la seguridad informática se tiene el control de acceso, en el cual se busca gestionar los permisos que tiene un usuario o grupo de usuarios sobre determinados objetos, para ello se hay diversas medidas que pueden implementarse, tanto de forma lógica, física como híbrida, como por ejemplo la implementación de sistemas biometricos para el acceso a un área determinada dentro de la organización, establecer un lista de control de acceso o ACL o solución similar, etc. Contingencia, que es todo lo concerniente al conjunto de medidas o planes desarrollados con el fin de implementarlos solo en caso de que ocurra un evento o catástrofe, es decir, cuando una amenaza se materialice y ocasione alguna perdida en la organización, los planes de contingencia ayudan a mitigar los daños y permiten una rápida recuperación ante ese evento, como por ejemplo la implementación de copias de seguridad, que seguro que te evitaran dolores de cabeza, cuando sufras algún tipo de perdida. Atención contra accidentes, esta bastante ligado con la contingencia, pues trata sobre la preparación con la que se cuenta en la organización para superar cualquier eventualidad sobre alguna perdida o daño contra algún activo de la organización.   

Antes de establecer los procesos de la seguridad informática debe de tomarse en cuenta el aseguramiento técnico y de personal ya que los proceso de la seguridad informática están relacionados con personas, negocios y tecnología, y debe existir una gestión del conocimiento, rotación de responsabilidades, gestión de errores, gestión de la documentación y ver el plan de seguridad informática como un trabajo continuo. El aseguramiento técnico se enfoca en todos los dispositivos y aplicaciones que nos permiten y ayudan a gestionar la seguridad en la organización y el aseguramiento de personal, esta dirigido a la cultura de seguridad por parte de los usuarios de la organización.

    Figura 1: Pirámide de los procesos de la seguridad informática.

La pirámide anterior define como se relacionan los procesos de la seguridad informática en los niveles estratégico, táctico y operacional de una organización, en el nivel estratégico se encuentran las políticas, pues es donde se especificara que es lo que se hará para proteger los activos de la organización, en el táctico residen las directrices de la organización,  es donde se definirán responsabilidades, es decir quien se encargara o actuara ante ciertos eventos y en el nivel operacional se encuentra el como se lograra cumplir con los dos anteriores, mediante un conjunto de normas y procedimientos.        

Otra forma de ver la seguridad informática mediante un proceso en si, es basándose en dos modelos:

1. El primer modelo contiene las directrices estratégicas, los controles operacionales y formación del personal.
2. El segundo consta de cuatro fases, basados en el circulo de Deming, Evaluación(Planear), Diseño(Hacer), Chequear(Verificar) y Actuar.    

Por supuesto no se puede dejar pasar por alto los campos de acción bajo los cuales se divide la seguridad informática, que son técnicas de seguridad, seguridad informática forense, seguridad física,etc. La utilización de software para mitigar y gestionar la perdida de datos.     

Y el tema de riesgos, donde el riesgo se puede calcular por medio de la formula, riesgo = probabilidad de amenaza * magnitud del daño. Así como los distintos riesgos que hay: Operativo, Financiero y tecnológico.

  
Saludos.

Lexer Pars.