Seguridad informática

1. Introducción.

Entendemos por seguridad informática el conjunto de acciones, herramientas y dispositivos cuyo objetivo es dotar a un sistema informático de integridad, confidencialidad y disponibilidad.

Un sistema es integro si impide la modificación de la información a cualquier usuario que no haya sido autorizado con anterioridad.

Un sistema es confidencial si impide la visualización de datos a los usuarios que no tengan privilegios en el sistema.

Estas características que restringen el uso de la información deben ir unidas siempre al concepto de disponibilidad, pues los sistemas deben estar disponibles para que los usuarios autorizados puedan hacer un uso adecuado de ellos.

Según todo esto, ¿crees poseer un sistema informático seguro en tu casa o en tu aula de informática? ¿Puede ver tus archivos cualquier usuario que trabaje con tu mismo ordenador? ¿Proteges tu identidad usando contraseñas y claves de acceso?

2. ¿Contra qué nos debemos proteger?

Contra nosotros mismos, que en numerosas ocasiones borramos archivos sin darnos cuenta, eliminamos programas necesarios para la seguridad o aceptamos correos electrónicos perjudiciales para el sistema.

Contra los accidentes y averías que pueden hacer que se estropee nuestro ordenador y perdamos datos necesarios.

Contra usuarios intrusos que, bien desde el mismo ordenador, bien desde otro equipo de la red, puedan acceder a datos de nuestro equipo.

Contra software malicioso o malware, es decir, programas que aprovechan un acceso a nuestro ordenador para instalarse y obtener información, dañar el sistema o incluso llegar a inutilizarlo por completo.

3. Seguridad activa y pasiva

Podemos diferenciar dos tipos de herramientas o prácticas recomendables relacionadas con la seguridad:

Las técnicas de seguridad activa, cuyo fin es evitar daños a los sistemas informáticos:

1. El empleo de contraseñas adecuadas.

2. La encriptación de los datos.

3. El uso de software de seguridad informática.

Las técnicas o prácticas de seguridad pasiva, cuyo fin es minimizar los efectos o desastres causados por un accidente, un usuario o malware. Las practicas de seguridad pasiva mas recomendables son estas:

1. El uso de hardware adecuado frente a accidentes y averías (refrigeración del sistema, conexiones eléctricas adecuadas, utilización de dispositivos SAI, etcétera).

2. La realización de copias de seguridad de los datos y del sistema operativo en más de un soporte y en distintas ubicaciones físicas.

Una práctica muy aconsejable ya explicada anteriormente es la creación de particiones lógicas en el disco duro para poder almacenar archivos y back-up en una unidad distinta que el sistema operativo.

4. Las amenazas silenciosas

Nuestro ordenador se encuentra expuesto a una serie de pequeños programas o software malicioso que puede introducirse en el sistema por medio de los correos electrónicos, la navegación por páginas web falsas o infectadas, la transmisión de archivos contaminados desde soportes como discos magnéticos, unidades de memoria, CD, DVD, etcétera. Podemos encontrar los siguientes tiros de software malicioso:

Virus informático. Es un programa que se instala en el ordenador sin el conocimiento de su usuario y cuya finalidad es propagarse a otros equipos y ejecutar las acciones para las que fueron diseñados. Estas funciones van desde pequeñas bromas que no implican la destrucción de archivos, pasando por la ralentización o apagado del sistema, hasta la destrucción total de discos duros.

Gusano informático. Es un tipo de virus cuya finalidad es multiplicarse e infectar todos los nodos de una red de ordenadores. Aunque no suelen implicar la destrucción de archivos, si ralentizan el funcionamiento de los ordenadores infectados y de toda su red. Suelen acompañar a un correo electrónico malicioso y muchos tienen la capacidad de enviarse automáticamente a todos los contactos del programa gestor de correo. Independientemente de los sistemas de protección que utilicemos en nuestro ordenador, siempre es recomendable ser cauteloso a la hora de abrir correos electrónicos.

Troyano. Es una pequeña aplicación escondida en otros programas de utilidades, fondos de pantalla, imágenes etc., cuya finalidad no es destruir información, sino disponer de una puerta de entrada a nuestro ordenador para que otro usuario o aplicación recopile información de nuestro ordenador o incluso tome el control absoluto de nuestro equipo de una forma remota. Los sistemas de transmisión que utilizan son el acompañamiento con software y medios como la web, el correo electrónico, los chats o los servidores ftp.

Espía. Un programa espía o spyware es un programa que se instala en el ordenador sin conocimiento del usuario y cuya finalidad es recopilar información sobre el usuario para enviarla a servidores de Internet que son gestionados por compañías de publicidad. La información que recopila un espía suele ser utilizada para enviarnos spam o correo basura. Los ordenadores infectados con spyware ven muy ralentizada su conexión a Internet.

Dialers. Son programas que se instalan en el ordenador y utilizan el modem telefónico de conexión a Internet del usuario para realizar llamadas telefónicas de alto coste, lo que provoca grandes gastos al usuario y beneficios económicos al creador del dialer. Si la conexión a Internet se realiza mediante un router ADSL, se evita este problema. Es aconsejable indicar a nuestro proveedor telefónico que nos bloquee las llamadas a servicios telefónicos de pago (teléfonos 803,806 y 807).

Spam. También conocido como correo basura, consiste en el envío de correo electrónico publicitario de forma masiva a cualquier direcci6n de correo electrónico existente. Tiene como finalidad vender sus productos. Los principales perjuicios que nos ocasiona es la saturación de los servidores de correo y la ocultación de otros correos maliciosos. Muchos de los paquetes de software de seguridad actual incluyen filtros contra el correo no deseado.

Aparte de los filtros antispam, la opción Vista previa de encabezados (antes de su descarga) nos evita descargar correo no deseado desde el servidor.

Pharming. Consiste en la suplantación de páginas web por parte de un servidor local que está instalado en el equipo sin que el usuario lo sepa. La suplantación suele utilizarse para obtener datos bancarios de los usuarios y cometer delitos económicos.

Phishing (pesca de datos). Práctica delictiva que consiste en obtener información confidencial de los usuarios de banca electrónica mediante el envió de correos electrónicos que solicitan dicha información. Esta estafa se disimula dando al correo el aspecto oficial de nuestro banco y utilizando la misma imagen corporativa.

5. El antivirus

Un programa antivirus es un programa cuya finalidad es detectar, impedir la ejecución y eliminar software malicioso como virus informáticos, gusanos, espías y troyanos.

El funcionamiento de un programa antivirus consiste en comparar los archivos analizados con su base de datos de archivos maliciosos, también llamados firmas. Para que su funcionamiento sea efectivo, la base de datos debe estar actualizada, ya que aparecen nuevos virus constantemente. Los antivirus modernos disponen de servicios de actualización automática por Internet.

Muchos programas antivirus también funcionan con sistemas heuristicos. La técnica heuristical de un antivirus consiste en analizar el código interno del archivo y determinar si se trata de un virus aunque no se encuentre en su base de firmas maliciosas. Esta forma de trabajo es muy importante para detectar los nuevos virus que todavía no se han incluido en las bases de datos.

Los programas antivirus tienen distintos niveles de protección:

El nivel de residente, que consiste en ejecutar y analizar de forma continua los programas que se ejecutan en el ordenador, los correos entrantes y salientes, las páginas web, etcétera. El antivirus residente consume recursos de nuestro ordenador y puede ralentizar su funcionamiento.

El nivel de analisis completo consiste en el análisis de todo el ordenador, es decir, de todos los archivos de disco duro, del sector de arranque, de la memoria RAM, etc.

Los antivirus interactúan con las tareas programadas para así analizar periódicamente el sistema. Los análisis completos del sistema se van haciendo más rápidos cuanto más se repitan, ya que el antivirus marca los archivos en buen estado para evitarlos en posteriores análisis.

6. Cortafuegos

Un programa cortafuegos o firewall es un programa cuya finalidad es permitir o prohibir la comunicación entre las aplicaciones de nuestro equipo y la red, así como evitar ataques intrusos desde otros equipos hacia el nuestro mediante el protocolo TCP/IP.

Se encarga de controlar el tráfico entre nuestro equipo y la red local e Internet. Para que el funcionamiento de un cortafuegos sea eficaz debe tener configuradas una serie de reglas para las aplicaciones que tienen permiso de comunicación con la red (explorador de Internet, cliente de correo, aplicación de actualización del antivirus, etc.) y prohibir la comunicación de aplicaciones que no queremos que interactúen con Internet.

Cuando el cortafuegos detecta que una aplicación que intenta comunicarse con Internet no tiene configuradas las reglas al respecto, emerge una ventana que nos pregunta lo que debe hacer con esa comunicación.

7. Software antispam

El software antispam son programas basados en filtros capaces de detectar el correo basura, tanto desde el punto cliente (nuestro ordenador) como des-de el punto servidor (nuestro proveedor de correo).

El spam o correo basura es enviado masiva e indiscriminadamente por empresas de publicidad. La lucha contra el correo basura resulta compleja si se pretenden respetar al mismo tiempo los correos electrónicos normales.

Estos filtros analizan los correos electrónicos antes de ser descargados por el cliente. La forma de detección está basada en listas o bases de datos de correos spam, en el análisis de la existencia del remitente, etcétera.

Actualmente la mayoría de los antivirus tienen integrado un filtro antispam.

8. Software antiespia

Como ya hemos visto, los programas espía se instalan camuflados en nuestro ordenador cuando descargamos desde Internet utilidades gratuitas aparentemente inofensivas. Los spyware recopilan información sobre nuestras costumbres de navegación, los programas instalados, etc. y a menudo tiene la capacidad de secuestrar nuestra página de inicio del navegador y mandarnos a una página en blanco, de publicidad... mediante un funciona-miento conocido como hijacking.

El funcionamiento de los programas antiespia es similar al de los antivirus, pues compara los archivos de nuestro ordenador con una base de datos de archivos espías. Por eso, también en este caso es de suma importancia mantener actualizado al programa antiespia.

Este tipo de programas es compatible con el antivirus. Es aconsejable tener instalados ambos en nuestro equipo y que se ejecuten de forma residente, es decir, que analicen el

sistema de forma continua.

Los síntomas de un ordenador infectado por espías son la lentitud de funcionamiento y navegación por Internet, las excesivas ventanas emergentes en Internet y las ventanas emergentes en el sistema operativo al encender el ordenador.

Planeación de las necesidades de seguridad.

En el proceso de la planeación, se tienen que tomar en cuenta los siguientes tipos de necesidades, y priorizarlas de acuerdo al orden de importancia colocándolas en una tabla que refleje el tipo y la prioridad propuesta, cabe mencionar que se tienen que tomar en cuenta las necesidades del entorno operativo y de los usuarios.

Confidencialidad

Proteger la información para que nadie pueda leerla o copiarla, sin la autorización del propietario. Este tipo de seguridad no sólo protege toda la información en su conjunto sino también protege cada pedazo de información, pedazos que en sí mismos pueden parecer inocuos pero que pueden usarse para inferir otra información confidencial.

Integridad de datos

Proteger la información (incluyendo programas) para evitar que se borre o altere de cualquier manera, sin el permiso del dueño de la información. Los ítems de información que deben protegerse incluyen registros contables, cintas de respaldo, hora de creación de los archivos y la documentación.

Disponibilidad

Proteger los servicios para que no se degraden o dejen de estar disponibles sin autorización. Si el sistema no está disponible cuando un usuario con autorización lo necesita, la consecuencia puede ser tan dañina como perder información que esté guardada en el sistema.

Consistencia

Asegurar que si el sistema se comporta como lo esperan los usuarios autorizados. Si los programas o el equipo repentinamente se comportan en forma radicalmente distinta a como lo hacían antes, en especial después de una actualización o de la eliminación de un error, puede suceder un desastre. Este tipo de seguridad también puede considerarse como asegurar que los datos y los programas que se usan sean los correctos.

Control

Reglamentar el acceso al sistema. Si individuos (o programas) desconocidos y no autorizados están en un sistema, puede presentarse un gran problema. Hay que preocuparse de cómo entraron, qué habrán podido hacer y quién más habrá entrado al sistema. La recuperación de un evento de esta naturaleza puede requerir mucho tiempo y dinero para

reconstruir y reinstalar el sistema, verificar que no se haya cambiado o divulgado algo importante, aunque en realidad no haya pasado nada.

Auditoría

Además de preocuparse acerca de usuarios no autorizados, los usuarios autorizados a veces se equivocan, o cometen actos maliciosos. Si esto sucede es necesario determinar qué se hizo, quién lo hizo y qué fue afectado. La única forma de lograr esto es tener un registro inexpugnable de la actividad que sucede en el sistema e identifica en forma no ambigua a todos los actores y acciones. En algunas aplicaciones críticas las trazas de auditoría pueden ser tan extensas que permiten deshacer las operaciones realizadas para ayudar a reestablecer al sistema a su estado correcto.

Análisis de Riesgos

El activo más importante que se posee es la información y, por lo tanto, deben existir técnicas que la aseguren, más allá de la seguridad física que se establezca sobre los equipos en los cuales se almacena. Estas técnicas las brinda la seguridad lógica que consiste en la aplicación de barreras y procedimientos que resguardan el acceso a los datos y sólo permiten acceder a ellos a las personas autorizadas para hacerlo.

Los medios para conseguirlo son:

1. Restringir el acceso (de personas de la organización y de las que no lo son) a los programas y archivos.

2. Asegurar que los operadores puedan trabajar pero que no puedan modificar los programas ni los archivos que no correspondan (sin una supervisión minuciosa).

3. Asegurar que se utilicen los datos, archivos y programas correctos en/y/por el procedimiento elegido.

4. Asegurar que la información transmitida sea la misma que reciba el destinatario al cual se ha enviado y que no le llegue a otro.

5. Asegurar que existan sistemas y pasos de emergencia alternativos de transmisión entre diferentes puntos.

6. Organizar a cada uno de los empleados por jerarquía informática, con claves distintas y permisos bien establecidos, en todos y cada uno de los sistemas o aplicaciones empleadas.

7. Actualizar constantemente las contraseñas de accesos a los sistemas de cómputo.

Elementos de un análisis de riesgo

Cuando se pretende diseñar una técnica para implementar un análisis de riesgo informático se pueden tomar los siguientes puntos como referencia a seguir:

1. Construir un perfil de las amenazas que esté basado en los activos de la organización.

2. Identificación de los activos de la organización.

3. Identificar las amenazas de cada uno de los activos listados.

4. Conocer las prácticas actuales de seguridad

5. Identificar las vulnerabilidades de la organización.

6. Identificar los requerimientos de seguridad de la organización.

7. Identificación de las vulnerabilidades dentro de la infraestructura tecnológica.

8. Detección de los componentes claves

9. Desarrollar planes y estrategias de seguridad que contengan los siguientes puntos:

Riesgo para los activos críticos

Medidas de riesgos

Estrategias de protección

Planes para reducir los riesgos.

El análisis costo/beneficio es una importante técnica que nos ayuda en la toma de decisiones, pues brinda información necesaria para determinar si una actividad es rentable, o por el contrario representa un impráctico desperdicio de recursos.Este tipo de análisis consiste básicamente  en la comparación de los costos invertidos en un proyecto con los beneficios que se planean obtener de su realización.Primero debe entenderse que los costos son tangibles, es decir, se pueden medir en alguna unidad económica, mientras que los beneficios pueden ser intangibles, es decir, pueden darse en forma objetiva o subjetiva.Dependiendo del enfoque que use una organización, el análisis costo beneficio puede ser un proceso independiente del análisis de riesgo, pero es necesario que todos los controles instaurados sean evaluados en términos de funcionalidad y viabilidad.

En el campo de seguridad informática, tanto para el análisis de riesgo como para el análisis costo beneficio deben tomarse en cuenta tres costos o valores fundamentales:

- Costo del sistema informático (Ca): valor de los recursos y la información a proteger.

- Costos de los medios necesarios (Cr): los medios y el costo respectivo que un criptoanalista requiere para romper las medidas de seguridad establecidas en el sistema.

- Costo de las medidas de seguridad necesarias (Cs): medidas y su costo para salvaguardar los bienes informáticos.

Para que la política de seguridad del sistema sea lógica debe cumplirse la siguiente relación:

Cr > Ca >Cs

Técnicas para asegurar el sistema

Codificar la información: Criptología, Criptografía y Criptociencia, contraseñas difíciles de averiguar a partir de datos personales del individuo.

Vigilancia de red. Zona desmilitarizada

Tecnologías repelentes o protectoras: cortafuegos, sistema de detección de intrusos - antispyware, antivirus, llaves para protección de software, etc. Mantener los sistemas de información con las actualizaciones que más impacten en la seguridad.

Sistema de Respaldo Remoto. Servicio de backup remoto

Respaldo de Información

La información constituye el activo más importante de las empresas, pudiendo verse afectada por muchos factores tales como robos, incendios, fallas de disco, virus u otros. Desde el punto de vista de la empresa, uno de los problemas más importantes que debe resolver es la protección permanente de su información crítica.

La medida más eficiente para la protección de los datos es determinar una buena política de copias de seguridad o backups: Este debe incluir copias de seguridad completa (los datos son almacenados en su totalidad la primera vez) y copias de seguridad incrementales (sólo se copian los ficheros creados o modificados desde el último backup). Es vital para las empresas elaborar un plan de backup en función del volumen de información generada y la cantidad de equipos críticos.

Un buen sistema de respaldo debe contar con ciertas características indispensables:

Continuo

El respaldo de datos debe ser completamente automático y continuo. Debe funcionar de forma transparente, sin intervenir en las tareas que se encuentra realizando el usuario.

Seguro

Muchos softwares de respaldo incluyen encriptación de datos (128-448 bits), lo cual debe ser hecho localmente en el equipo antes del envío de la información.

Remoto

Los datos deben quedar alojados en dependencias alejadas de la empresa.

Mantención de versiones anteriores de los datos

Se debe contar con un sistema que permita la recuperación de versiones diarias, semanales y mensuales de los datos.

Hoy en día los sistemas de respaldo de información online (Servicio de backup remoto) están ganando terreno en las empresas y organismos gubernamentales. La mayoría de los sistemas modernos de respaldo de información online cuentan con las máximas medidas de seguridad y disponibilidad de datos. Estos sistemas permiten a las empresas crecer en volumen de información sin tener que estar preocupados de aumentar su dotación física de servidores y sistemas de almacenamiento.

Organismos oficiales de seguridad informática

Existen organismos oficiales encargados de asegurar servicios de prevención de riesgos y asistencia a los tratamientos de incidencias, tales como el CERT/CC (Computer Emergency Response Team Coordination Center) del SEI (Software Engineering Institute) de la Carnegie Mellon University el cual es un centro de alerta y reacción frente a los ataques informáticos, destinados a las empresas o administradores, pero generalmente estas informaciones son accesibles a todo el mundo.