TAREA 1
Utilizando la siguiente información,
Realiza un resumen sobre los objetivos de la seguridad informática y las amenazas a esta:
Seguridad
Informática
La seguridad informática,
también conocida como ciberseguridad, es el área relacionada con la
informática que se enfoca en la protección de la infraestructura
computacional y todo lo relacionado con esta y, especialmente, la
información contenida en una computadora o circulante a través de
las redes de computadoras.
La ciberseguridad
comprende software (bases de datos, metadatos, archivos), hardware,
redes de computadoras y todo lo que la organización valore y
signifique un riesgo si esta información confidencial llega a manos
de otras personas, convirtiéndose, por ejemplo, en información
privilegiada. Para ello existen una serie de estándares, protocolos,
métodos, reglas, herramientas y leyes concebidas para minimizar los
posibles riesgos a la infraestructura o a la información.
En conclusión, la
seguridad informática es la disciplina que se ocupa de diseñar las
normas, procedimientos, métodos y técnicas destinados a conseguir
un sistema de información seguro y confiable.
Objetivos
de la seguridad informática
La seguridad informática
debe proteger:
• La
infraestructura computacional: es una parte fundamental para el
almacenamiento y gestión de la información, así como para el
funcionamiento mismo de la organización. La función de la seguridad
informática en esta área es velar por que los equipos funcionen
adecuadamente y anticiparse en caso de fallos, robos, incendios,
sabotajes, desastres naturales, fallos en el suministro eléctrico y
cualquier otro factor que atente contra la infraestructura
informática.
• Los usuarios:
son las personas que utilizan la estructura tecnológica, zona de
comunicaciones y que gestionan la información. Debe protegerse el
sistema en general para que el uso por parte de ellos no pueda poner
en entredicho la seguridad de la información y tampoco que la
información que manejan o almacenan sea vulnerable.
• La
información: esta es el principal activo. Utiliza y reside en la
infraestructura computacional y es utilizada por los usuarios.
Para ello, la seguridad
informática debe establecer normas que minimicen los riesgos a la
información o infraestructura informática. Estas normas incluyen
horarios de funcionamiento, restricciones a ciertos lugares,
autorizaciones, denegaciones, perfiles de usuario, planes de
emergencia, protocolos y todo lo necesario que permita un buen nivel
de seguridad informática minimizando el impacto en el desempeño de
los trabajadores y de la organización en general y como principal
contribuyente al uso de programas realizados por programadores.
Amenazas
No sólo las amenazas que
surgen de la programación y el funcionamiento de un dispositivo de
almacenamiento, transmisión o proceso deben ser consideradas,
también hay otras circunstancias no informáticas que deben ser
tomadas en cuenta. Muchas son a menudo imprevisibles o inevitables,
de modo que las únicas protecciones posibles son las redundancias y
la descentralización, por ejemplo mediante determinadas estructuras
de redes en el caso de las comunicaciones o servidores en clúster
para la disponibilidad.
Las
amenazas pueden ser causadas por:
• Usuarios:
causa del mayor problema ligado a la seguridad de un sistema
informático. En algunos casos sus acciones causan problemas de
seguridad, si bien en la mayoría de los casos es porque tienen
permisos sobredimensionados, no se les han restringido acciones
innecesarias, etc.
• Programas
maliciosos: programas destinados a perjudicar o a hacer un uso
ilícito de los recursos del sistema. Es instalado en el ordenador,
abriendo una puerta a intrusos o bien modificando los datos. Estos
programas pueden ser un virus informático, un gusano informático,
un troyano, una bomba lógica, un programa espía o spyware, en
general conocidos como malware.
• Errores de
programación: la mayoría de los errores de programación que se
pueden considerar como una amenaza informática es por su condición
de poder ser usados como exploits por los crackers, aunque se dan
casos donde el mal desarrollo es, en sí mismo, una amenaza. La
actualización de parches de los sistemas operativos y aplicaciones
permite evitar este tipo de amenazas.
• Intrusos:
personas que consiguen acceder a los datos o programas a los cuales
no están autorizados (crackers, defacers, hackers, script kiddie o
script boy, viruxers, etc.).
• Un siniestro:
(robo, incendio, inundación): una mala manipulación o mala
intención derivan en la pérdida del material o de los archivos.
• Personal técnico
interno: técnicos de sistemas, administradores de bases de
datos, técnicos de desarrollo, etc. Los motivos que se encuentran
entre los habituales son: disputas internas, problemas laborales,
despidos, fines lucrativos, espionaje, etc.
• Fallos
electrónicos o lógicos de los sistemas informáticos en general.
• Catástrofes
naturales: rayos, terremotos, inundaciones, rayos cósmicos, etc.
El
tipo de amenazas según el efecto que causan:
• Robo de
información.
• Destrucción de
información.
• Anulación del
funcionamiento de los sistemas o efectos que tiendan a ello.
• Suplantación de la
identidad, publicidad de datos personales o confidenciales, cambio de
información, venta de datos personales, etc.
• Robo de dinero,
estafas,...
Riesgo
de exposición a una amenaza
Análisis
de riesgos
El análisis de riesgos informáticos es un proceso que
comprende la identificación de activos informáticos, sus
vulnerabilidades y amenazas a los que se encuentran expuestos así
como su probabilidad de ocurrencia y el impacto de las mismas, a fin
de determinar los controles adecuados para aceptar, disminuir,
transferir o evitar la ocurrencia del riesgo.
Teniendo en cuenta que la explotación de un riesgo
causaría daños o pérdidas financieras o administrativas a una
empresa u organización, se tiene la necesidad de poder estimar la
magnitud del impacto del riesgo a que se encuentra expuesta mediante
la aplicación de controles. Dichos controles, para que sean
efectivos, deben ser implementados en conjunto formando una
arquitectura de seguridad con la finalidad de preservar las
propiedades de confidencialidad, integridad y disponibilidad de los
recursos objetos de riesgo.
Elementos
de un análisis de riesgo
El proceso de análisis de riesgo genera habitualmente
un documento al cual se le conoce como matriz de riesgo. En este
documento se muestran los elementos identificados, la manera en que
se relacionan y los cálculos realizados. Este análisis de riesgo es
indispensable para lograr una correcta administración del riesgo. La
administración del riesgo hace referencia a la gestión de los
recursos de la organización. Existen diferentes tipos de riesgos
como el riesgo residual y riesgo total así como también el
tratamiento del riesgo, evaluación del riesgo y gestión del riesgo
entre otras. La fórmula para determinar el riesgo total es:
RT (Riesgo Total) = Probabilidad x Impacto Promedio
A partir de esta fórmula determinaremos su tratamiento
y después de aplicar los controles podremos obtener el riesgo
residual.