SEGURIDAD de la información

Seguridad de la información / Seguridad informática

Existen muchas definiciones del término seguridad. Simplificando, y en general, podemos definir la seguridad como: "Característica que indica que un sistema esta libre de todo peligro, daño o riesgo." (Villalón)

Cuando hablamos de seguridad de la información estamos indicando que dicha información tiene una relevancia especial en un contexto determinado y que, por tanto, hay que proteger. La Seguridad de la Información se puede definir como conjunto de medidas técnicas, organizativas y legales que permiten a la organización asegurar la confidencialidad, integridad y disponibilidad de su sistema de información.

Hasta la aparición y difusión del uso de los sistemas informáticos, toda la información de interés de una organización se guardaba en papel y se almacenaba en grandes cantidades de abultados archivadores. Datos de los clientes o proveedores de la organización, o de los empleados quedaban registrados en papel, con todos los problemas que luego acarreaba su almacenaje, transporte, acceso y procesado.

Los sistemas informáticos permiten la digitalización de todo este volumen de información reduciendo el espacio ocupado, pero, sobre todo, facilitando su análisis y procesado. Se gana en 'espacio', acceso, rapidez en el procesado de dicha información y mejoras en la presentación de dicha información. Pero aparecen otros problemas ligados a esas facilidades. Si es mas fácil transportar la información también hay mas posibilidades de que desaparezca 'por el camino'. Si es mas fácil acceder a ella también es mas fácil modificar su contenido, etc.

Existen también diferentes definiciones del término Seguridad Informática. De ellas nos quedamos con la definición ofrecida por el estándar para la seguridad de la información ISO/IEC 27001, que fue aprobado y publicado en octubre de 2005 por la International Organization for Standardization (ISO) y por la comisión International Electrotechnical Commission (IEC).

“La seguridad informática consiste en la implantación de un conjunto de medidas técnicas destinadas a preservar la confidencialidad, la integridad y la disponibilidad de la información, pudiendo, además, abarcar otras propiedades, como la autenticidad, la responsabilidad, la fiabilidad y el no repudio.”

Pilares de la Seguridad Informática

Confidencialidad. Hace referencia a la necesidad de ocultar o mantener secreto sobre determinada información o recursos. En otras palabras, el objetivo de la confidencialidad es prevenir la divulgación no autorizada de la información. En general, cualquier empresa pública o privada y de cualquier ámbito de actuación requiere que cierta información no sea accedida por diferentes motivos. Uno de los ejemplos mas típicos es el del ejército de un país. Además, es sabido que los logros mas importantes en materia de seguridad siempre van ligados a temas estratégicos militares.

Un ejemplo típico de mecanismo que garantice la confidencialidad es la Criptografía, cuyo objetivo es cifrar o encriptar los datos para que resulten incomprensibles a aquellos usuarios que no disponen de los permisos suficientes.

Integridad. En términos de seguridad de la información, la integridad hace referencia a la la fidelidad de la información o recursos, y normalmente se expresa en lo referente a prevenir el cambio impropio o desautorizado. El objetivo de la integridad es, entonces, prevenir modificaciones no autorizadas de la información. La integridad hace referencia a:

• la integridad de los datos (el volumen de la información)

• la integridad del origen (la fuente de los datos, llamada autenticación)

Es importante hacer hincapié en la integridad del origen, ya que puede afectar a su exactitud, credibilidad y confianza que las personas ponen en la información. Por ejemplo, cuando un periódico difunde una información cuya fuente no es correcta, podemos decir que se mantiene la integridad de la información ya que se difunde por medio impreso, pero sin embargo, al ser la fuente de esa información errónea no se está manteniendo la integridad del origen, ya que la fuente no es correcta.

Disponibilidad. En términos de seguridad de la información, la disponibilidad hace referencia a que la información del sistema debe permanecer accesible a elementos autorizados. El objetivo de la disponibilidad es, entonces, prevenir interrupciones no autorizadas/controladas de los recursos informáticos.

En términos de seguridad informática “un sistema está disponible cuando su diseño e implementación permite deliberadamente negar el acceso a datos o servicios determinados”. Es decir, un sistema es disponible si permite no estar disponible. Y un sistema 'no disponible' es tan malo como no tener sistema. No sirve.

Como resumen de las bases de la seguridad informática que hemos comentado, podemos decir que la seguridad consiste en mantener el equilibrio adecuado entre estos tres factores. No tiene sentido conseguir la confidencialidad para un archivo si es a costa de que ni tan siquiera el usuario administrador pueda acceder a él, ya que se está negando la disponibilidad.

Que Son Los Delitos Informáticos?

Los delitos informáticos son todos aquellos actos que permiten los agravios, daños o perjuicios en contra de las personas, grupos de ellas, entidades o instituciones y que por lo general son ejecutados por medio del uso de las computadoras y a través del mundo virtual del Internet. Estos delitos informáticos no necesariamente pueden ser cometidos totalmente por estos medios, sino también a partir de los mismos.

Dentro de los ataques que pueden ser dañinos y hasta resultar destructivos, siendo realizados por medio de las computadoras y en algunas ocasiones con la ayuda de terceros, son algunos de los siguientes:

• Claves programáticas espías: conocidas como troyanos.

• Estafas a través de subastas en línea.

• Divulgación indebida de contenidos

• Pornografía infantil en Internet

• Violación a los derechos de autor

• Piratería en Internet.

Ingeniería Social: La ingeniería social es el conjunto de técnicas psicológicas y habilidades sociales utilizadas de forma consciente y premeditada por un atacante informático para engañar y/o manipular al usuario para que realicen acciones o divulguen información confidencial, infecten la computadora con malware o abran enlaces a sitios infectados.

Casi todos los tipos de ataques conllevan algún tipo de ingeniería social. Por ejemplo, los correos electrónicos de "phishing" y estafas de virus, con un gran contenido social. Los correos electrónicos de phishing intentan convencer a los usuarios de que su origen es legítimo con fin de obtener información personal o datos de la empresa, por insignificante que parezcan. Por otra parte, los correos que contienen archivos adjuntos con virus a menudo aparentan provenir de contactos confiables, en ocasiones con contenido multimedia que parece inofensivo, como videos "divertidos" o "tiernos".

El ser humano es el eslabón más débil dentro de la seguridad informática; no sirve de nada un antivirus si mediante una conversación, un correo electrónico o una llamada se logra manipular a la persona para obtener datos privados de ella. Esta es la razón por la que de este tipo de ataques es muy difícil defenderse, ya que no se puede eliminar con software o hardware, simplemente se puede minimizar el riesgo de sufrir estos ataques con el conocimiento de que existen estas técnicas de engaño.