La susceptibilidad de la seguridad informática
¿Te llegó un correo electrónico de un proveedor con una liga para descargar tu factura, pero tú no contrataste ese servicio? ¿Recibiste una llamada y te dijeron que quieren confirmar un cargo no reconocido, pero no tienes cuenta con ese banco? Seguro te has topado con alguna situación parecida a esta, en la que, al momento de dar clic en la liga, se abrieron muchas páginas que no tienen sentido, todo esto da pie a la susceptibilidad de la seguridad informática.
O quizá fue el amigo de un amigo el que dio su número de tarjeta para validar que se trataba de una confusión de la persona que le llamaba. Siento mucho decirte, y al amigo de tu amigo, que han sido víctimas de robo de información. Parece alarmante, pero eso dependerá de qué tan valiosa sea esa información para ti. En el siguiente artículo, te mostraré algunas prácticas y estándares que se han definido a nivel mundial para definir y resguardar la información.
Las palabras: riesgo, vulnerabilidad, ataque, intrusión suenan demasiado familiares en tu día a día, ¿cierto? Hace un par de años no lo eran cuando se trataba de información digital.
James P. Anderson comenzó a darles sentido en su reporte de 1980 llamado Computer Security Threat Monitoring and Surveillance.
¿Qué áreas cubre la seguridad informática?
Comencemos señalando las cuatro áreas principales que cubre la seguridad informática contra la susceptibilidad de la seguridad informática:
- Confidencialidad
- Integridad
- Disponibilidad
- Autenticación
1. Confidencialidad
Solo los usuarios autorizados pueden acceder a nuestros recursos, datos e información. Proteger nuestra identidad en esta era digital es tan importante como no darle tu NIP del banco a nadie. En las organizaciones, contar con un sistema que te permita identificar y asignar roles con los accesos adecuados es el pilar más importante cuando hablamos de seguridad informática.
2. Integridad
Mantener con exactitud la información tal cual fue generada, sin ser manipulada ni alterada por personas o procesos no autorizados. En su reporte, James P. Anderson señala:
- Caso A – Intrusión externa:
- Intruso NO autorizado a uso de computadora.
- Intruso NO autorizado a uso de información o recurso informático.
- Caso B – Intrusión interna:
- Intruso autorizado a uso de computadora.
- Intruso NO autorizado a uso de información o recurso informático.
- Caso C – Abuso de confianza:
- Intruso autorizado a uso de computadora.
- Intruso autorizado a uso de información o recurso informático.
Lee también: Qué es la seguridad por capas y cómo se compone
3. Disponibilidad
Ya hemos comentado sobre la identidad e integridad informática, pero otro rubro en la seguridad de la información nos habla de que los datos deben estar disponibles para los usuarios cuando sea necesario, en otras palabras, que la información pueda ser recuperada en cualquier momento que se necesite. Esto es evitar su pérdida o bloqueo, bien sea por ataque malintencionado, mala operación accidental o situaciones de fuerza mayor.
4. Autenticación
Este último pilar en la seguridad informática nos da claridad al saber que estás comunicándote realmente con los que piensas que te estás comunicando.
Entonces, ¿qué medidas podemos tomar para el mantenimiento de la seguridad informática?
Antes que todo, tienes que recordar que es imposible eliminar el riesgo. Este siempre estará presente independientemente de las medidas que tomemos, por lo que debemos hablar de niveles de seguridad, y uno de los estándares más utilizado es el TCSEC (Trusted Computer System Evaluation Criteria), desarrollado por el departamento de defensa de EE. UU.
- División D. Protección mínima. Sin seguridad:
- El sistema entero no es confiable y no cumple con ninguna especificación de seguridad.
- División C. Protección Discrecional:
- Seguridad de acceso controlado. Limitaciones de acceso a los datos.
- División B. Protección Obligatoria:
- Los sistemas deben estar diseñados para ser resistentes al acceso de personas no autorizadas.
- División A. Protección Verificada:
- Los sistemas deben estar diseñados para ser altamente resistentes a la entrada de personas no autorizadas; pero la seguridad debe estar definida en la fase de análisis del sistema.
En cada organización se tiene que definir el nivel de seguridad y la tecnología que se implementará, y aún más importante, el valor que se le dará a la información que se va a proteger. Un recurso tan valioso no se puede solo almacenar y proteger, sino que se tiene que gestionar. Si lo haces con éxito, la competitividad de la organización será impulsada de una manera equivalente.
Si quieres conocer las herramientas que te pueden ayudar a fortalecer tu estrategia para evitar la susceptibilidad de la seguridad informática, en icorp podemos ayudarte.
