Seguridad de la Información: Triada CIA, Control de Acceso, PKI y Gestión de Riesgos

Seguridad de la información: visión ejecutiva

La seguridad de la información es un componente esencial de la gestión empresarial. Su objetivo es proteger la información almacenada en medios informáticos, como PC, bases de datos y archivos, así como la infraestructura computacional.

Triada de la seguridad

La seguridad de la información se sustenta en tres pilares:

• Confidencialidad: acceso a la información solo por personal autorizado.
• Integridad: exactitud y completitud de la información y de los métodos de procesamiento.
• Disponibilidad: acceso a la información y a los recursos cuando se requieren.

Control de acceso

El control de acceso resguarda la confidencialidad: monitorea el acceso únicamente de personal autorizado. Existen tres tipos:

• De red: permite o deniega el acceso a los recursos de red. Ejemplo: firewall, IP, NAC.
• De plataforma (sesión): controla el acceso a los sistemas. Ejemplo: logon, intranet.
• De aplicación: controla el acceso a aplicaciones de alto nivel. Ejemplo: correo, cuentas bancarias, etc.

Control de acceso a la red (NAC)

• Mitiga ataques de día cero y busca fallas en las aplicaciones computacionales.
• Evita la conexión a la red de cualquier usuario sin permiso o sin los requisitos para ello.
• Pre-admisión, post-admisión: verifica si tiene permiso para ingresar; una vez dentro, verifica que siga cumpliendo los requisitos.
• Con/sin agente: con software corporativo, o sin software para usuarios externos.
• Cuarentena o portal cautivo: permite el acceso solo para que el usuario instale o configure los requisitos de la red.

Roles: RBAC (Control de Acceso Basado en Roles)

• Asigna privilegios según la función en la empresa.
• Se restringe según los roles de cada usuario.
• El rol corresponde al mismo cargo que en la empresa.
• Un usuario puede tener permisos mixtos, o bien pueden ingresar al mismo tipo de información.
• Simplifica la administración de usuarios y privilegios.
• Flujo: usuario → rol → recurso.

Modelo PKI

Aplicable a sistemas de negocios virtuales (B2B, B2C):

• Certificados digitales.
• Sistema de negociación.
• Proceso de enrolamiento.
• La regulación se delega a un tercero de confianza (autoridad certificadora), en lo que se conoce como e-certificado.

Administración de la seguridad

Es importante porque la información cambia constantemente en el tiempo.

Sistema de Gestión de Seguridad de la Información (SGSI)

Ciclo PHVA: Planear, Hacer, Verificar, Actuar.

• Planear: política de seguridad, alcance, identificación de riesgos, análisis y evaluación de riesgos, metodología de evaluación.
• Hacer: definir el plan de tratamiento, implantar el plan de riesgo, gestionar la operación, implementar controles.
• Verificar: monitorear y revisar la efectividad del sistema de seguridad.
• Actuar: implantar mejoras, aplicar acciones correctivas y comunicar acciones y mejoras.

El SGSI debe revisarse periódicamente, asignar los recursos necesarios y contar con el respaldo de la alta dirección.

Riesgo

El riesgo es una acción que puede causar pérdida total o parcial de la confidencialidad, disponibilidad o integridad (C, D, I).

Fórmula de cálculo del riesgo

• Amenaza: da idea de la probabilidad de ocurrencia.
• Vulnerabilidad: da idea de la falla o de su grado de exposición.
• Impacto: da idea del valor del daño que podría causar.

Ciclo de administración del riesgo

Preserva la operación de la empresa y minimiza el uso de recursos. Fases:

1. Identificación: del problema.
2. Análisis: de los problemas que podría causar.
3. Planificación: definición de la solución para los riesgos.
4. Monitoreo y control: verificar si la solución está operativa.

Indicadores

• ALE (Annual Loss Expectancy): pérdida esperada anual.
• ARO (Annual Rate of Occurrence): tasa anual de ocurrencia.
• SLE (Single Loss Expectancy): pérdida esperada por evento.

Nota: se usan las mismas fases del ciclo de riesgo.

Matriz de riesgo

• Riesgo = probabilidad × impacto.
• Prioriza el tratamiento del riesgo.
• Permite visualizar los riesgos de la empresa.

Factor de riesgo

Permite cuantificar el nivel de riesgo.

Acciones frente al riesgo

• Controlar: agregar controles o mejorar los existentes.
• Eliminar: eliminar el activo asociado al riesgo.
• Compartir: trasladar el riesgo a un tercero.
• Aceptar: determinar el valor del riesgo y asumirlo.
• Transferir: contratar un seguro para cubrir las pérdidas.