Fundamentos de la Seguridad de la Información: La Triada CIA, Amenazas y Gestión del Riesgo

Amenazas Fundamentales contra los Datos

Las amenazas que comprometen la seguridad de los datos se clasifican en:

• Interceptación
• Modificación
• Interrupción
• Fabricación

La Triada CIA: Pilares de la Seguridad de la Información

Los conceptos fundamentales en la seguridad de la información se resumen en la triada CIA: Confidentiality, Integrity, and Availability.

Confidencialidad (C)

Condición por la que la información no es divulgada a individuos, programas o procesos no autorizados. Su objetivo es asegurar que solo las personas apropiadas tengan acceso a la información.

Integridad (I)

Principio que asegura la exactitud y confiabilidad del sistema y sus datos. Implica que el sistema (software, hardware y comunicaciones) debe ser capaz de mantener y procesar los datos en forma correcta. Además, debe garantizar que el tráfico (transacciones, solicitudes, comandos, etc.) del origen al destino esté libre de modificaciones no autorizadas, tanto en la transmisión como en el almacenamiento.

Disponibilidad (A)

Asegura que la recepción y el acceso a los recursos sean correctos y oportunos para los usuarios autorizados.

Conceptos Clave en el Control de Acceso

Sujeto

Entidad activa que requiere acceso a un objeto.

Objeto

Entidad pasiva que contiene información (ej. PC, archivo, base de datos, directorio).

Control de Acceso

Mecanismo que proporciona la habilidad de controlar, restringir, monitorear y proteger la confidencialidad, integridad y disponibilidad de los recursos.

Activos de la Organización y su Valoración

Los activos son los recursos que forman parte del sistema y que deben ser protegidos.

Tipos de Activos

• Fungibles: Elementos que se consumen con el uso (generalmente de menor importancia estratégica).
• Hardware: Elementos físicos.
• Software: Programas lógicos.
• Datos: La información.
• Otros: Personas, infraestructuras, reputación, etc.

La Importancia Crítica de los Datos

Los datos son el activo más importante de una organización. Mientras que los activos fungibles son baratos y fáciles de reponer, y el hardware y software son reponibles (aunque puedan ser costosos), la destrucción, robo o modificación de la información conlleva:

• Dificultad (o imposibilidad) para reponerla.
• Daños incalculables.
• Pérdidas millonarias.

Cadena de Riesgos y Controles de Seguridad

Vulnerabilidad

Debilidad de cualquier tipo en un activo que compromete su seguridad.

Amenaza

Escenario en el que un evento o acción (deliberada o no) compromete la seguridad de un activo.

Riesgo

Probabilidad de que una amenaza se materialice aprovechando una vulnerabilidad.

Impacto

Medida del daño causado cuando el riesgo se materializa.

Defensas y Controles

Las medidas implementadas para eliminar la vulnerabilidad o la amenaza, o para disminuir el riesgo o el impacto asociados, se denominan defensas, salvaguardas o controles.