Guia de Ciberseguretat: Protecció de Dades i Sistemes Informàtics

Introducció a la Seguretat Informàtica

La seguretat informàtica és un estat de qualsevol tipus d'informació que indica que un sistema està lliure de perill, dany o risc. S'entén com a perill o dany tot allò que pugui afectar el seu funcionament directe o els resultats que se n'obtenen.

Auditories de Seguretat per a Empreses

Es realitzen auditories de seguretat on s'avalua la robustesa dels sistemes en diverses àrees clau:

Àrees d'Avaluació

• Equips:
  • Xifratge i contrasenyes
  • Desactivació de ports CD i USB
  • Manteniment preventiu (avaries, virus, etc.)
• Dades:
  • Protecció, redundància i xifratge
• Aplicacions:
  • Gestió de privilegis
  • Antivirus i antimalware
• Comunicacions:
  • Protocols d'accés segurs
  • Canals xifrats
  • Supervisió (spam, etc.)
  • Seguretat en Cloud Computing

Tipus d'Amenaces a la Seguretat

Seguretat Física

• Desastres naturals (incendis, inundacions, terratrèmols)
• Robatoris i sabotatges
• Falla del subministrament elèctric

Seguretat Lògica

• Virus, troians i programari maliciós (malware)
• Pèrdua o corrupció de dades
• Atacs a aplicacions (sovint utilitzades com a portes d'entrada)

Mecanismes de Seguretat

Seguretat Passiva

• Mecanismes de recuperació de dades i sistemes (còpies de seguretat, plans de contingència)

Seguretat Activa

• Mecanismes de protecció, detecció i prevenció d'incidents

Principis d'un Sistema Fiable (CIA Triad)

Confidencialitat

Només els elements autoritzats poden accedir als recursos que integren el sistema.

• Autenticació: Verificació de la identitat (contrasenya, targeta, biometria com empremta digital).
• Autorització: Gestió de privilegis i permisos d'accés, xifratge de dades.
• Auditoria (Accounting): Sistema pel qual l'empresa pot rastrejar l'origen d'un atac mitjançant informació interna (eficàcia i rastre) i monitorització d'extrem a extrem (E2E).

Integritat

Els recursos del sistema només poden ser modificats o alterats pels elements autoritzats, garantint la seva exactitud i completesa.

Disponibilitat

Els recursos del sistema han de romandre accessibles als elements autoritzats quan els necessitin.

Vulnerabilitats i Amenaces Específiques

Una vulnerabilitat és un defecte en una aplicació o sistema que pot ser aprofitat per un atacant.

Malware (Programari no Desitjat)

Programari que realitza operacions no autoritzades en un sistema.

• Exploit: Aprofitament d'una vulnerabilitat que pot portar a la pèrdua de control de la màquina.

Tipus de Malware Comuns

• Virus: Programes que procuren deixar inservible l'ordinador o corrompre dades.
• Cucs (Worms): Programes que es repliquen i acaparen recursos de l'ordinador o de la xarxa.
• Troians: Programes que s'amaguen darrere d'una aparença legítima i habiliten portes d'entrada per a altres programes maliciosos.

Accions i Prevenció de Malware

• Replicació: Capacitat de propagar-se.
• Falsos Antivirus: Programes que simulen ser antivirus per enganyar l'usuari.
• Segrest (Ransomware): Bloqueig de l'accés a dades o sistemes a canvi d'un rescat.
• Fonts Fiables: Descarregar programari només de fonts de confiança per evitar infeccions.

Tipus d'Atacs Informàtics

• Interrupció: El recurs es torna inaccessible o inutilitzable.
• Interceptació: Accés no autoritzat a un recurs.
• Modificació: Alteració no autoritzada d'un recurs.
• Fabricació: Creació de recursos falsos.

Tècniques d'Atac Comunes

• Enginyeria Social: Manipulació psicològica per obtenir informació.
• Phishing: Suplantació d'identitat per obtenir credencials.
• Keyloggers: Programes que registren les pulsacions de teclat.
• Força Bruta: Intent de desxifrar contrasenyes provant totes les combinacions possibles.
• Spoofing: Suplantació d'identitat (IP, correu electrònic, etc.).
• Sniffing: Interceptació de trànsit de xarxa.
• DoS (Denial of Service): Atac per esgotar els recursos d'un sistema i fer-lo inaccessible.
• DDoS (Distributed Denial of Service): Atac DoS coordinat des de múltiples fonts.

Perfils d'Atacants

• Hacker: Expert informàtic amb motivació de repte o millora de la seguretat.
• Cracker: Individu amb intencions malicioses, sovint per lucre o dany.
• Script Kiddie: Aprenents que utilitzen eines predefinides sense coneixements profunds.
• Programadors de Malware: Creadors de programari maliciós.
• Sniffers: Especialistes en la intercepció i anàlisi de protocols de comunicació.
• Ciberterrorista: Cracker amb interessos polítics o econòmics a gran escala.

Gestió d'Accessos i Rols

Rols d'Usuari en Sistemes

• Creador del Sistema Operatiu: Desenvolupador del SO.
• Administrador: Disposa d'accés total i control sobre el sistema.
• Usuari:
  • Associat a un ordinador i una persona (risc de suplantació).
  • Pot ser local o de xarxa.
  • Pot tenir permisos normals o avançats.
• Convidats: Rols amb tasques i permisos mínims.

Gestió de la Seguretat de la Informació (ISO/IEC 27002:2009)

Legislació Aplicable en Seguretat de la Informació

• Ley Orgánica de Protección de Datos de Carácter Personal (LOPD): Establece las bases para proteger el tratamiento de los datos de carácter personal de las personas físicas.
• Ley de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI+CE): Establece obligaciones para las empresas que prestan servicios de la sociedad de la información.
• Ley de Propiedad Intelectual (LPI): Establece los derechos de autor en los entornos digitales.

Mecanismes de Defensa: Claus d'Accés Segures

Per garantir la seguretat de les contrasenyes, és fonamental:

• Utilitzar claus de gran longitud.
• Canviar regularment la clau.
• Utilitzar tots els tipus de caràcters possibles (majúscules, minúscules, números, símbols).
• No utilitzar paraules fàcilment identificables o dades personals.

Mecanismes de Defensa: Sistemes de Xifratge

• Criptografia: Aplicar un algorisme a un document per obtenir-ne un de nou (xifrat), fent-lo il·legible sense la clau adequada.

Seguretat Passiva i Protecció de Dades

Protecció del Centre de Processament de Dades (CPD)

Ubicació del CPD

• Aïllament físic i geogràfic per minimitzar riscos.

Subministrament Elèctric

• SAI (Sistema d'Alimentació Ininterrompuda) amb monitorització per garantir la continuïtat.

Detecció d'Incendis i Intrusions

Sistemes de detecció i alarma per a incendis i accessos no autoritzats.

Neteja i Manteniment

Protocols de neteja i manteniment regulars per evitar acumulació de pols i fallades.

Control d'Accés Físic

Mesures de seguretat per restringir l'accés físic al CPD (targetes, biometria).

Repositori de Còpies de Seguretat

Ubicació segura per a l'emmagatzematge de còpies de seguretat fora del CPD principal.

Emmagatzematge de Dades

• Discos Durs (HDD): Unitats d'emmagatzematge tradicionals.
• RAID (Redundant Array of Independent Disks): Grup de discos configurats per treballar conjuntament, amb l'objectiu d'obtenir més rendiment i fiabilitat.

Tipus d'Escriptura en RAIDs

1. Spanning: Els blocs s'escriuen en el primer disc fins que s'omple; després passen al següent i així successivament.
2. Stripping: Els blocs s'escriuen cada vegada en un disc diferent, millorant el rendiment.
3. Mirroring: Cada bloc que arriba al disc RAID 1 s'escriu en els dos discos alhora, proporcionant redundància.
4. Paritat: Cada dada que s'emmagatzema al RAID, s'aplica un procediment matemàtic per obtenir informació complementària i poder recuperar-la en cas de fallada d'un disc.

• Emmagatzematge en Xarxa i Servidors: Solucions d'emmagatzematge centralitzades.
• Emmagatzematge al Núvol i P2P: Opcions d'emmagatzematge distribuït i remot.