Bases de la Seguridad Informática
Fiabilidad
Existe una frase que se ha hecho famosa dentro del mundo de la
seguridad. Eugene Spafford, profesor de ciencias informáticas en la Universidad
Purdue (Indiana, EEUU) y experto en seguridad de datos, dijo que “el único
sistema seguro es aquel que está apagado y desconectado, enterrado en un
refugio de cemento, rodeado por gas venenoso y custodiado por guardianes bien
pagados y muy bien armados. Aún así, yo no apostaría mi vida por él”.
Hablar de seguridad informática en términos absolutos es imposible y por
ese motivo se habla mas bien de fiabilidad del sistema, que, en realidad es una
relajación del primer término.
Definimos la Fiabilidad como la probabilidad de que un sistema se
comporte tal y como se espera de él.
En general, un sistema será seguro o fiable si podemos garantizar tres
aspectos:
·
Confidencialidad: acceso a la
información solo mediante autorización y de forma controlada.
·
Integridad: modificación de
la información solo mediante autorización.
·
Disponibilidad: la información
del sistema debe permanecer accesible mediante autorización.
Existe otra propiedad de los sistemas que es la Confiabilidad, entendida
como nivel de calidad del servicio que se ofrece. Pero esta propiedad, que hace
referencia a la disponibilidad, estaría al mismo nivel que la seguridad. En
nuestro caso mantenemos la Disponibilidad como un aspecto de la seguridad.
Confidencialidad
En general el término 'confidencial' hace referencia a "Que se hace
o se dice en confianza o con seguridad recíproca entre dos o más personas."
En términos de seguridad de la información, la confidencialidad hace
referencia a la necesidad de ocultar o mantener secreto sobre determinada
información o recursos.
El objetivo de la confidencialidad es, entonces, prevenir la divulgación
no autorizada de la información.
En general, cualquier empresa pública o privada y de cualquier ámbito de
actuación requiere que cierta información no sea accedida por diferentes
motivos. Uno de los ejemplos mas típicos es el del ejército de un país. Además,
es sabido que los logros mas importantes en materia de seguridad siempre van
ligados a temas estratégicos militares.
Por otra parte, determinadas empresas a menudo desarrollan diseños que
deben proteger de sus competidores. La sostenibilidad de la empresa así como su
posicionamiento en el mercado pueden depender de forma directa de la
implementación de estos diseños y, por ese motivo, deben protegerlos mediante
mecanismos de control de acceso que aseguren la confidencialidad de esas
informaciones.
Un ejemplo típico de mecanismo que garantice la confidencialidad es la
Criptografía, cuyo objetivo es cifrar o encriptar los datos para que resulten
incomprensibles a aquellos usuarios que no disponen de los permisos
suficientes.
Pero, incluso en esta circunstancia, existe un dato sensible que hay que
proteger y es la clave de encriptación. Esta clave es necesaria para que el
usuario adecuado pueda descifrar la información recibida y en función del tipo
de mecanismo de encriptación utilizado, la clave puede/debe viajar por la red,
pudiendo ser capturada mediante herramientas diseñadas para ello. Si se produce
esta situación, la confidencialidad de la operación realizada (sea bancaria,
administrativa o de cualquier tipo) queda comprometida.
Integridad
En general, el término 'integridad' hace referencia a una cualidad de
'íntegro' e indica "Que no carece de ninguna de sus partes." y
relativo a personas "Recta, proba, intachable.".
En términos de seguridad de la información, la integridad hace
referencia a la la fidelidad de la información o recursos, y normalmente se
expresa en lo referente a prevenir el cambio impropio o desautorizado.
El objetivo de la integridad es, entonces, prevenir modificaciones no
autorizadas de la información.
La integridad hace referencia a:
·
la integridad de los datos (el volumen de la información)
·
la integridad del origen (la fuente de los datos, llamada autenticación)
Es importante hacer hincapié en la integridad del origen, ya que puede
afectar a su exactitud, credibilidad y confianza que las personas ponen en la
información.
A menudo ocurre que al hablar de integridad de la información no se da
en estos dos aspectos.
Por ejemplo, cuando un periódico difunde una información cuya fuente no
es correcta, podemos decir que se mantiene la integridad de la información ya
que se difunde por medio impreso, pero sin embargo, al ser la fuente de esa
información errónea no se está manteniendo la integridad del origen, ya que la
fuente no es correcta.
Disponibilidad
En general, el término 'disponibilidad' hace referencia a una cualidad
de 'disponible' y dicho de una cosa "Que se puede disponer libremente de
ella o que está lista para usarse o utilizarse."
En términos de seguridad de la información, la disponibilidad hace
referencia a que la información del sistema debe permanecer accesible a
elementos autorizados.
El objetivo de la disponibilidad es, entonces, prevenir interrupciones
no autorizadas/controladas de los recursos informáticos.
En términos de seguridad informática “un sistema está disponible cuando
su diseño e implementación permite deliberadamente negar el acceso a datos o
servicios determinados”. Es decir, un sistema es disponible si permite no estar
disponible.
Y un sistema 'no disponible' es tan malo como no tener sistema. No
sirve.
Como resumen de las bases de la seguridad informática que hemos
comentado, podemos decir que la seguridad consiste en mantener el equilibrio
adecuado entre estos tres factores. No tiene sentido conseguir la
confidencialidad para un archivo si es a costa de que ni tan siquiera el usuario
administrador pueda acceder a él, ya que se está negando la disponibilidad.
