Las 10 Leyes Inmutables de la Seguridad
La gente del área
de seguridad en Microsoft tiene un decálogo que llaman: las 10 leyes
inmutables
de la seguridad, que es el resultado de años de atención a sus clientes
con
todo tipo de problemáticas. Si bien el adjetivo “inmutables” suena
pretencioso,
pues nada es definitivo cuando se habla de seguridad informática, estos
diez
puntos son una guía estupenda para ser más conscientes al respecto. Mi
recomendación es que los imprimas –en papel reciclando, por supuesto– y
los
pegues al lado de tu computadora para darles un repaso de cuando en
cuando,
como un pequeño Zen; tal vez un día te conviertas en un experto –un buen
hacker, por qué no– que cree su propio decálogo y lo comparta con los
demás.
Sin más preámbulo, aquí los tienes:
Ley #1. Si un maloso puede persuadirte de
ejecutar su
programa en tu computadora, ya no es más tu computadora.
Ley #2. Si un maloso puede alterar el
sistema
operativo de tu
computadora, ya no es más tu computadora.
Ley #3. Si un maloso tienes acceso físico
sin
restricciones a
tu computadora, ya no es más tu computadora.
Ley #4. Si permites que un maloso suba
programas a tu
sitio
web, ya no es más tu sitio web.
Ley #5. Las contraseñas débiles triunfan
sobre la
seguridad
fuerte.
Ley #6. Una computadora es tan segura
como digno de
confianza
sea su administrador.
Ley #7. Los datos cifrados son tan
seguros como la
llave que
los descifra.
Ley #8. Un antivirus desactualizado es
apenas mejor
que no
tener antivirus.
Ley #9. El anonimato absoluto no existe,
ni en la
vida real
ni en la red.
Ley #10. La tecnología no es la solución a
todas las
cosas.
Conceptos Básicos de
Seguridad
Seguridad:
Sector de la informática cuya función es
establecer
medidas de protección y/o seguridad para garantizar el correcto
funcionamiento
de un sistema informático.
Whackers:
expertos especializados. Se mueven por dinero
y
fama. Provocan daños al sistema.
Crackers: expertos
especializados. Se mueven por fama y
satisfacción personal. Causan daño.
Crashers:
Inhabilitan el sistema, tienen conocimientos
informáticos, les mueve el dinero o el aprendizaje. Causan daño.
Lamer:
Conocimientos informáticos nulos. Sus
intereses son
la fama, la experiencia y la satisfación personal. Causan daños.
Phreakers:
tienen amplios conocimientos informáticos y
se
mueven por dinero.
Script
kiddies: Muy similares a
los
lamer.
Newbies:
Tienen conocimientos informáticos básicos. Su
motivación es aprender. No causan daño.
Cifrado.
Evita que la información viaje sin protección
(en
texto plano) a través de la red.
El
software anti-malware.
Programa
que detecta, bloquea y elimina programas maliciosos para la seguridad
del
sistema.
Los
cortafuegos. Sirve para
bloquear
el trafico entrante en la red que pueda ser peligroso.
Spoofing.
Hace referencia al uso de técnicas de
suplantación
de identidad generalmente con usos maliciosos o de investigación.
Se pueden
clasificar los ataques de spoofing, en función de la tecnología
utilizada. Entre ellos tenemos el IP spoofing (quizás el más conocido),
ARP
spoofing, DNS spoofing, Web spoofing o email spoofing, aunque en general
se
puede englobar dentro de spoofing cualquier tecnología de red
susceptible de
sufrir suplantaciones de identidad.
Pishing.
Es un término informático que denomina un
tipo de
delito encuadrado dentro del ámbito de las estafas cibernéticas, y que
se
comete mediante el uso de un tipo de ingeniería social caracterizado por
intentar adquirir información confidencial de forma fraudulenta (como
puede ser
una contraseña o información detallada sobre tarjetas de crédito u otra
información bancaria). El estafador, conocido como phisher, se
hace
pasar por una persona o empresa de confianza en una aparente
comunicación
oficial electrónica, por lo común un correo electrónico, o algún sistema
de
mensajería instantánea o incluso utilizando también llamadas
telefónicas.
Troyano: se caracteriza por
engañar a los usuarios
disfrazándose de programas o archivos legítimos/benignos
Virus: es un malware que
tiene por objeto alterar el
normal
funcionamiento de la computadora, sin el permiso o el conocimiento del
usuario.
Worms: Estos malwares son
tan dañinos que son capaces
de
hacer caer cientos de páginas Web y servidores Web muy potentes.
Vulnerabilidad:
Probabilidad de que una
amenaza se materialice contra
un activo.
Las medidas de
seguridad en la protección de datos de carácter personal.
Todas las empresas,
independientemente de
su tamaño,
organización y volumen de negocio, son conscientes de la importancia de
tener
implantadas una serie de políticas de Seguridad tendentes a garantizar
la
continuidad de su negocio en el caso de que se produzcan incidencias,
fallos,
actuaciones malintencionadas por parte de terceros, pérdidas
accidentales o
desastres que afecten a los datos e informaciones que son almacenados y
tratados,
ya sea a través de sistemas informáticos como en otro tipo de soportes,
como el
papel.
MEDIDAS DE SEGURIDAD
BÁSICO MEDIO
ALTO
Identificación y Autenticación:
1.- Existencia de una lista
actualizada de usuarios autorizados que tengan acceso autorizado al
sistema de
información (art.11.1 y 12.3).
2.-
Procedimientos de identificación y autenticación informáticos:
a) Contraseñas: procedimiento
de creación, asignación, conservación y cambio periódico (art.11.2 y
11.3).
b) Identificación de usuario,
de manera inequívoca y personalizada (art.18.1).
c) Limitación de acceso
incorrecto reiterado (art.18.2).
Control
de Acceso:
1.-
Los usuarios tendrán únicamente acceso a los datos/recursos de acuerdo a
su
puesto laboral y tareas definidas en el documento (art.12.1).
2.-
Deberán implantarse mecanismos que eviten el acceso no autorizado a
otros
recursos: establecimiento de perfiles de usuario (art.12.2).
3.-
Control de acceso físico a servidores y CPD (art.19).
4.-
De cada acceso se guardarán: identificación usuario, fecha y hora,
fichero
accedido, tipo de acceso y su autorización o denegación, guardando la
información que permita identificar registro accedido (art.24.2).
5.-
Los mecanismos de acceso estarán bajo el control directo del Responsable
de
Seguridad, sin que pueda permitirse la desactivación (art.24.3).
6.-
Registro y conservación de accesos lógicos al fichero por un plazo no
inferior
a 2 años (art.24.4).
7.-
Para accesos a través de redes de telecomunicaciones, deberán tener las
mismas
medidas que para accesos en modo local (art.5).
Funciones
y obligaciones del personal:
1.-
Definición en el Documento de Seguridad de las funciones y obligaciones
de
grupos de usuarios y/o perfiles (art.9.1).
2.-
Conocimiento por parte del personal de las normas y medidas de seguridad
que
les son aplicables (art.9.2).
3.-
Identificación y funciones del/los Responsables de Seguridad (art.15 y
16).
4.-
Trabajo fuera de ubicación principal debe ser expresamente autorizado
(art.6).
5.-
Listado de personal con acceso a Servidores y/o CPD (art.19).
6.-
Listado de personal con privilegios administrativos informáticos sobre
aplicaciones y ficheros (art.12.4).
Estructura
de los Ficheros y del Sistema
Informático:
1.-
Descripción y estructura informática del Fichero (campos ID)
2.-
Descripción y estructura del Sistema Informático (enumeración de
equipos,
redes, programas, etc...)
Gestión
de Soportes:
1.-
Identificación, inventariado y almacenamiento (art.13.1).
2.-
Autorización necesaria para salida de soportes (art.13.2).
3.-
Cifrado de soportes en caso de operaciones externas de mantenimiento
(art.20.4).
4.-
Medidas y procedimientos para la destrucción de soportes (art.20.3).
5.-
Registro de Entrada de Soportes (art.20.1).
6.-
Registro de Salida de Soportes (art.20.2).
7.-
Distribución de soportes con mecanismos de cifrado de datos (art.26).
Ficheros
Temporales:
Aplicación
de mismo nivel de seguridad que fichero origen (art.7).
Registro
de Incidencias:
1.-
Contenido mínimo: tipo de incidencia, momento en que se produce, efectos
producidos, persona que comunica, medidas adoptadas (art.10).
2.-
Contenido adicional: Procedimiento de restauración de datos, datos
restaurados
y datos grabados manualmente (art.21.1)
Procedimientos
de Copias de Respaldo y
Recuperación
datos:
1.-
Deberán garantizar la restauración de los datos al momento anterior a
producirse la pérdida (art.14.2).
2.-
Realización de copias de backup al menos con una frecuencia semanal
(art.14.3).
3.-
Necesaria autorización para la ejecución de procedimientos de
restauración de
datos (art.21.2).
4.-
Almacenamiento externo de copias y procedimientos de restauración de
datos
(art.25).
Pruebas
con datos reales:
Aplicación
de mismas medidas según nivel de seguridad de los datos (art.22).
Actualización
y Auditoria:
1.-
Revisión y actualización del Documento de Seguridad en función de
cambios
relevantes en la
Organización (art.8.3).
2.-
Auditoria cada 2 años. Conservación de Informe a disposición AEPD
(art.17).
3.-
Revisión periódica de la información de control de los accesos
informáticos a
ficheros y aplicaciones (art.24.5).
Medidas
específicas para datos en soporte
papel:
1.-
Control de acceso a la documentación.
2.-
Medidas de conservación y almacenamiento.
3.-
Procedimientos y mecanismos de destrucción que impidan posterior
recuperación
de la información que contienen.
