Análise de Riscos e Seguridade Informática

Tipos de Ameazas

• De Fabricación: Agregan información falsa ao sistema.
• Accidentais: Accidentes meteorolóxicos, incendios, inundacións, etc.
• Intencionadas: Debidas á acción humana, como a introdución de software malicioso.

Riscos

Denomínase risco á posibilidade de que se materialice unha ameaza aproveitando unha vulnerabilidade. A organización pode tomar tres alternativas:

• Asumilo sen facer nada. Isto é lóxico cando o prexuízo esperado non ten valor ou cando o custo das medidas de protección é máis alto ca a reparación do dano.
• Aplicar medidas para diminuílo ou anulalo.
• Transferilo (contratando un seguro).

Vulnerabilidades

Probabilidades de que unha ameaza se materialice contra un activo.

Ataques

Prodúcese un ataque (accidental ou deliberado) cando se materializa unha ameaza. En función do impacto, poden ser:

• Activos: Modifican, danan, suprimen ou agregan información.
• Pasivos: Acceden sen autorización aos datos do sistema.

Impactos

Son a consecuencia da materialización dunha ou máis ameazas sobre un ou varios activos, aproveitando a vulnerabilidade do sistema; é dicir, o dano causado.

Os impactos poden ser:

• Cuantitativos: Se os prexuízos poden cuantificarse economicamente.
• Cualitativos: Se non son cuantificables.

Proceso de Análise de Riscos

• Facer inventario e valoración dos activos.
• Identificar e valorar as ameazas.
• Identificar e avaliar as medidas de seguridade existentes.
• Identificar e valorar as vulnerabilidades.
• Identificar os obxectivos de seguridade.
• Determinar sistemas de medición de riscos.
• Determinar o impacto dun ataque.
• Identificar e seleccionar as medidas de protección.

Servizos de Seguridade

Integridade

Asegura que os datos do sistema non foron modificados nin cancelados por persoas ou entidades non autorizadas e que o contido das mensaxes recibidas sexa o correcto.

Confidencialidade

Proporciona protección contra a revelación deliberada ou accidental dos datos.

Dispoñibilidade

Permite que a información estea dispoñible cando o requiran as entidades autorizadas.

Autenticación (ou Identificación)

O sistema debe ser capaz de verificar que un usuario é quen di ser.