Niveles de Seguridad Informática
El
estándar de niveles de seguridad mas utilizado
internacionalmente es el TCSEC Orange
Book2, desarrollado en 1983 de acuerdo a las normas de seguridad
en computadoras del Departamento de Defensa de los Estados
Unidos.
Los
niveles describen diferentes tipos de seguridad del Sistema
Operativo y se enumeran
desde el mínimo grado de seguridad al máximo.
Estos
niveles han sido la base de desarrollo de estándares europeos
(ITSEC/ITSEM) y luego
internacionales (ISO/IEC).
Cabe
aclarar que cada nivel requiere todos los niveles definidos
anteriormente: así el subnivel
B2 abarca los subniveles B1, C2, C1 y el D.
|
eguridad Lógica
Luego
de ver como nuestro sistema puede verse afectado por la falta de
Seguridad Física, es
importante recalcar que la mayoría de los daños que puede
sufrir un centro de cómputos no será sobre los medios
físicos sino contra información por él almacenada
y procesada.
Así,
la Seguridad Física, sólo es una parte del amplio espectro que
se debe cubrir para no
vivir con una sensación ficticia de seguridad. Como ya se ha
mencionado, el activo más importante que se posee es la
información, y por lo tanto deben existir técnicas, más allá
de la seguridad física, que la aseguren. Estas técnicas
las brinda la Seguridad Lógica.
Es
decir que la Seguridad Lógica consiste en la “aplicación de
barreras y procedimientos
que resguarden el acceso a los datos y sólo se permita acceder
a ellos a las personas autorizadas para hacerlo.”
Existe
un viejo dicho en la seguridad informática que dicta que “todo
lo que no está permitido
debe estar prohibido” y esto es lo que debe asegurar la
Seguridad Lógica.
Los
objetivos que se plantean serán:
1.
Restringir el acceso a los programas y archivos.
2.
Asegurar que los operadores puedan trabajar sin una supervisión
minuciosa y no puedan
modificar los programas ni los archivos que no correspondan.
3.
Asegurar que se estén utilizados los datos, archivos y
programas correctos en y por el
procedimiento correcto.
4.
Que la información transmitida sea recibida sólo por el
destinatario al cual ha sido enviada
y no a otro.
5.
Que la información recibida sea la misma que ha sido
transmitida.
6.
Que existan sistemas alternativos secundarios de transmisión
entre diferentes puntos.
7.
Que se disponga de pasos alternativos de emergencia para la
transmisión de información.
  |
Técnicas
para asegurar el sistema
- Codificar la información: Criptología, Criptografía y Criptociencia, contraseñas difíciles de averiguar a partir de datos personales del individuo.
- Vigilancia de red. Zona desmilitarizada
- Tecnologías repelentes o protectoras: cortafuegos, sistema de detección de intrusos -antispyware, antivirus, llaves para protección de software, etc. Mantener los sistemas de información con las actualizaciones que más impacten en la seguridad.
- Sistema de Respaldo Remoto. Servicio de backup remoto
- Respaldo de Información
La
información constituye el activo más importante de las empresas,
pudiendo verse afectada por muchos factores tales como robos,
incendios, fallas de disco, virus u otros. Desde el punto de vista de
la empresa, uno de los problemas más importantes que debe resolver
es la protección permanente de su información crítica.
La
medida más eficiente para la protección de los datos es determinar
una buena política de copias de seguridad o backups: Este debe
incluir copias de seguridad completa (los datos son almacenados en su
totalidad la primera vez) y copias de seguridad incrementales (sólo
se copian los ficheros creados o modificados desde el último
backup). Es vital para las empresas elaborar un plan de backup en
función del volumen de información generada y la cantidad de
equipos críticos.
Un
buen sistema de respaldo debe contar con ciertas características
indispensables:
- Continuo
El
respaldo de datos debe ser completamente automático y continuo. Debe
funcionar de forma transparente, sin intervenir en las tareas que se
encuentra realizando el usuario.
- Seguro
Muchos
softwares de respaldo incluyen encriptación de datos (128-448 bits),
lo cual debe ser hecho localmente en el equipo antes del envío de la
información.
- Remoto
Los
datos deben quedar alojados en dependencias alejadas de la empresa.
- Mantención de versiones anteriores de los datos
Se
debe contar con un sistema que permita la recuperación de versiones
diarias, semanales y mensuales de los datos.
Hoy
en día los sistemas de respaldo de información online (Servicio de
backup remoto) están ganando terreno en las empresas y organismos
gubernamentales. La mayoría de los sistemas modernos de respaldo de
información online cuentan con las máximas medidas de seguridad y
disponibilidad de datos. Estos sistemas permiten a las empresas
crecer en volumen de información sin tener que estar preocupados de
aumentar su dotación física de servidores y sistemas de
almacenamiento.
Consideraciones
de software
Tener
instalado en la máquina únicamente el software necesario reduce
riesgos. Así mismo tener controlado el software asegura la calidad
de la procedencia del mismo (el software obtenido de forma ilegal o
sin garantías aumenta los riesgos). En todo caso un inventario de
software proporciona un método correcto de asegurar la reinstalación
en caso de desastre. El software con métodos de instalación rápidos
facilita también la reinstalación en caso de contingencia.
Existe
un software que es conocido por la cantidad de agujeros de seguridad
que introduce. Se pueden buscar alternativas que proporcionen iguales
funcionalidades pero permitiendo una seguridad extra.
Consideraciones
de una red
Los
puntos de entrada en la red son generalmente el correo, las
páginas web y
la entrada de ficheros desde discos, o de ordenadores ajenos,
como portátiles.
Mantener
al máximo el número de recursos de red sólo en modo lectura,
impide que ordenadores infectados propaguen virus. En el mismo
sentido se pueden reducir los permisos de los usuarios al mínimo.
Se
pueden centralizar los datos de forma que detectores de virus en modo
batch puedan trabajar durante el tiempo inactivo de las máquinas.
Controlar
y monitorizar el acceso a Internet puede detectar, en fases de
recuperación, cómo se ha introducido el virus.A zorra
Algunas
afirmaciones erróneas comunes acerca de la seguridad
- Mi sistema no es importante para un cracker
Esta
afirmación se basa en la idea de que no introducir contraseñas
seguras en una empresa no entraña riesgos pues ¿quién va a querer
obtener información mía?. Sin embargo, dado que los métodos de
contagio se realizan por medio de programas automáticos,
desde unas máquinas a otras, estos no distinguen buenos de malos,
interesantes de no interesantes, etc. Por tanto abrir sistemas y
dejarlos sin claves es facilitar la vida a los virus.
- Estoy protegido pues no abro archivos que no conozco
Esto
es falso, pues existen múltiples formas de contagio, además los
programas realizan acciones sin la supervisión del usuario poniendo
en riesgo los sistemas.
- Como tengo antivirus estoy protegido
En
general los programas antivirus no son capaces de detectar todas las
posibles formas de contagio existentes, ni las nuevas que pudieran
aparecer conforme los ordenadores aumenten las capacidades de
comunicación, además los antivirus son vulnerables
a desbordamientos de búfer que
hacen que la seguridad del sistema operativo se
vea más afectada aún.
- Como dispongo de un firewall no me contagio
Esto
únicamente proporciona una limitada capacidad de respuesta. Las
formas de infectarse en una red son múltiples. Unas provienen
directamente de accesos al sistema (de lo que protege un firewall) y
otras de conexiones que se realizan (de las que no me protege).
Emplear usuarios con altos privilegios para realizar conexiones puede
entrañar riesgos, además los firewalls de aplicación (los más
usados) no brindan protección suficiente contra el spoofing.
- Tengo un servidor web cuyo sistema operativo es un Unix actualizado a la fecha
Puede
que este protegido contra
ataques directamente hacia el núcleo, pero
si alguna de las aplicaciones web (PHP, Perl, Cpanel, etc.) está
desactualizada, un ataque sobre algún script de
dicha aplicación puede permitir que el atacante abra una shell y por
ende ejecutar comandos en el unix.
Has laoreet percipitur ad. Vide interesset in mei, no his legimus verterem. Et nostrum imperdiet appellantur usu, mnesarchum referrentur id vim.
0 comentarios:
Publicar un comentario