Seguridad Informatica

1. ¿Qué es seguridad informática?

Es cualquier medida que impida la ejecución de operaciones no autorizadas sobre un sistema o red informática, cuyos efectos puedan conllevar daños sobre la información, comprometer su confidencialidad, autenticidad o integridad, disminuir el rendimiento de los equipos o bloquear el acceso de usuarios autorizados al sistema.

Existen otros aspectos a considerar:

- Cumplimiento de las regulaciones legales aplicables a cada sector o tipo de organización, dependiendo del marco legal de cada país.

- Control en el acceso a los servicios ofrecidos y la información guardada por un sistema informático.

- Control en el acceso y en la utilización de archivos protegidos por la ley, contenidos digitales con derechos de autor, archivos con datos de carácter personal, etc.

- Identificación de los autores de la información o de los mensajes.

- Registro del uso de los servicios de un sistema informático, etc.

Según la norma ISO/IEC 17799 define la seguridad informática como la preservación de su confidencialidad, su integridad y su disponibilidad (CIA en inglés). Dependiendo del tipo de información manejada y de los procesos realizados por una organización, esta podrá conceder más importancia a garantizar la confidencialidad, la integridad o la disponibilidad de sus activos de información.

La norma ISO 7498 la define como una serie de mecanismos que minimizan la vulnerabilidad de bienes y recursos en una organización.

Según INFOSEC Glossary 2000: Seguridad Informática son las medidas y controles que aseguran la CIA de los activos de los sistemas de información, incluyendo hardware, software, firmware y aquella información que procesan, almacenan y comunican.

La seguridad informática depende de diversos factores que se destacan a continuación:

- La sensibilización de los directivos y responsables de la organización, que deben ser consientes de la necesidad de destinar recursos a esta función.

- Los conocimientos, capacidades e implicación de los responsables del sistema informático: dominio de la tecnología utilizada en el sistema informático y conocimiento sobre las posibles amenazas y los tipos de ataques.

- La mentalización, formación y asunción de responsabilidades de todos los usuarios del sistema.

- La correcta instalación, configuración y mantenimiento de los equipos.

- La limitación en la asignación de los permisos y privilegios de los usuarios.

- El soporte de los fabricantes de hardware y software, con sus debidas actualizaciones.

- Contemplar además de las amenazas externas las amenazas internas, aplicando el principio de Defensa en Profundidad.

- Evitar políticas y procedimientos genéricos para adaptarse a los objetivos de seguridad.

2. ¿Cuáles son los objetivos de la seguridad informática?

Se pueden nombrar los siguientes objetivos:

- Minimizar y gestionar los riesgos y detectar posibles problemas y amenazas a la seguridad.

- Garantizar la adecuada utilización de los recursos y de las aplicaciones del sistema.

- Limitar las pérdidas y conseguir la adecuada recuperación del sistema en caso de un incidente de seguridad.

- Cumplir con el marco legal y con los requisitos impuestos por los clientes en sus contratos.

Para poder cumplir con los objetivos nombrados anteriormente una organización debe contemplar cuatro planos de actuación:

a) Técnico: tanto a nivel físico como a nivel lógico.

b) Legal: algunos países obligan por Ley a que en determinados sectores se implanten una serie de medidas de seguridad (sector de servicios financieros y sector sanitario en EEUU, protección de datos personales en todos los Estados miembros de la UE, etc.).

c) Humano: sensibilización y formación de empleados y directivos, definición de funciones y obligaciones del personal, etc.

d) Organizativo: definición e implantación de políticas de seguridad, planes, normas, procedimientos y buenas practicas de actuación.

3. ¿Qué es un Sistema de Gestión de la Seguridad de la Información?

Un Sistema de Gestión de la Seguridad de la Información (SGSI) se define como aquella parte del sistema general de gestión que comprende la política, la estructura organizativa, los procedimientos, los procesos y los recursos necesarios para implantar la gestión de la seguridad de la información en una organización.

Para gestionar la seguridad de la información se debe contemplar toda una serie de tareas y de procedimientos que permitan garantizar los niveles de seguridad exigibles en una organización, teniendo en cuenta que los riesgos no se pueden eliminar totalmente, pero sí se pueden gestionar. En este sentido conviene mencionar que en la práctica resulta imposible alcanzar la seguridad al 100%; por este motivo algunos expertos prefieren hablar de la fiabilidad del sistema informático,

...