Sistemas De Control De Acceso

Sistemas de control de acceso. Son esenciales para proteger la confidencialidad, integridad y disponibilidad de la información, el activo más importante de una organización, pues permiten que los usuarios autorizados accedan solo a los recursos que ellos requieren e impide que los usuarios no autorizados accedan a recursos.

Introducción a los sistemas de control de acceso

El vertiginoso desarrollo alcanzado en las nuevas tecnologías de la informática y las comunicaciones ha llevado a la sociedad a entrar en lo que se ha dado en llamar “era de la información”. La información puede existir en muchas formas, impresa o escrita en papel, almacenada digitalmente, transmitida por correo postal o utilizando medios digitales, presentada en imágenes o expuesta en una conversación.

Cualquiera sea la forma que adquiere la información es un recurso que, como el resto de los activos importantes tiene un gran valor, siendo a veces incalculable, por contener la “vida” de una organización; es por eso que debe ser debidamente protegida independientemente de los medios por los cuales se distribuye o almacena. En esta “sociedad de la información” persisten las razones y motivos para mantener mecanismos de control de acceso sobre las áreas (seguridad física) y la información (seguridad lógica) que se desea proteger.

La seguridad física describe las medidas que previenen o detienen a intrusos antes de que accedan a una instalación, recurso o información almacenada en medios físicos. Inicialmente los controles de acceso físico se basaban esencialmente en el trabajo de los vigilantes, en el mejor de los casos asistidos por equipos de circuito cerrado de televisión (CCTV). Posteriormente, fueron incorporados los códigos electrónicos a las entradas de los locales y actualmente las tecnologías destinadas al control de acceso físico han tenido una importante evolución debido a la incorporación de las aplicaciones sustentadas en la biometría.

Los controles de acceso físico tienen una gran importancia puesto que si alguien que desee atacar un sistema tiene acceso físico al mismo, el resto de las medidas de seguridad implantadas se convierten en inútiles. Muchos ataques serían entonces triviales, como por ejemplo los de denegación de servicio; si es posible apagar un servidor que proporciona un servicio es evidente que nadie podrá utilizarlo. Otros ataques se simplifican enormemente, por ejemplo es más fácil obtener información copiando los ficheros o robando directamente los discos que los contienen, que acceder remotamente a los mismos. Incluso dependiendo el grado de vulnerabilidad del sistema es posible tomar el control total del mismo, por ejemplo reiniciándolo con un disco de recuperación que permita cambiar las claves de los usuarios.

Luego de ver como un sistema puede verse afectado por la falta de seguridad física, es importante recalcar que la mayoría de los daños que puede sufrir una organización no será sobre los medios físicos sino contra la información. La seguridad de la información, como se definió anteriormente, es la preservación de las siguientes características: confidencialidad, integridad y disponibilidad y se logra implementando un conjunto adecuado de controles, que abarcan políticas, prácticas, procedimientos, estructuras organizacionales y funciones del software. Entre las medidas de protección de la información esenciales para una institución se encuentra el control de acceso lógico a los recursos. A continuación se abordarán los conceptos fundamentales y las técnicas de control de acceso que pueden emplearse para proteger los sistemas informáticos.

Conceptos fundamentales

Un concepto técnico o lógico de acceso es la interacción entre un sujeto y un objeto que resulta en un flujo de información de uno al otro. El sujeto es la entidad que recibe o modifica la información o los datos contenida en los objetos, puede ser un usuario, programa, proceso, etc. Un objeto es la entidad que provee o contiene la información o los datos, puede ser un fichero, una base de datos, una computadora, un programa, una impresora o un dispositivo de almacenamiento. Estos roles de sujeto y objeto pueden intercambiarse en dos entidades que se comunican para cumplir una tarea, como pueden ser un programa y una base de datos o un proceso y un fichero.

Control de acceso es el proceso de conceder permisos a usuarios o grupos de acceder a objetos, tales como ficheros o impresoras en la red. El control de acceso está basado en tres conceptos fundamentales: identificación, autenticación y autorización.

El control de acceso incluye autenticar la identidad de los usuarios o grupos y autorizar el acceso a datos o recursos. Los controles de accesos son necesarios para proteger la confidencialidad, integridad y disponibilidad de los objetos, y por extensión de la información que contienen, pues permiten que los usuarios autorizados accedan solo a los recursos que ellos requieren para realizar sus tareas.

Técnicas de identificación y autenticación

Se denomina identificación a la acción por parte de un usuario de presentar su identidad a un sistema, usualmente se usa un identificador de usuario. Establece además que el usuario es responsable de las acciones que lleve a cabo en el sistema. Esto está relacionado con los registros de auditorias que permiten guardar las acciones realizadas dentro del sistema y rastrearlas hasta el usuario autenticado.

Autenticación es la verificación de que el usuario que trata de identificarse es válido, usualmente se implementa con una contraseña en el momento de iniciar una sesión. Existen cuatro tipos de técnicas que permiten realizar la autenticación de la identidad del usuario, las cuales pueden ser utilizadas individualmente o combinadas (autenticación de varios factores):

• Algo que solamente el individuo conoce: por ejemplo una contraseña.

• Algo que la persona posee: por ejemplo una tarjeta magnética.

• Algo que el individuo es y que lo identifica unívocamente: por ejemplo las huellas digitales.

• Algo que solo el individuo es capaz de hacer: por ejemplo los patrones de escritura.

La fortaleza de la autenticación es mayor mientras más factores se adicionen, generalmente solo se utilizan hasta 3 factores:

• 1 factor = contraseña

• 2 factores = contraseña + token

• 3 factores = contraseña + token + biometría

• 4

...