Protección de Sistemas Informáticos: Principios, Mecanismos y Normativa

1) Introducción a la Seguridad Informática

La seguridad informática es una disciplina que engloba técnicas, aplicaciones y dispositivos para asegurar la integridad y privacidad de la información en sistemas informáticos. Su objetivo es minimizar riesgos y garantizar la confidencialidad, integridad y disponibilidad de los datos, previniendo daños causados por intrusos. Para ello, es crucial:

1. Identificar los peligros.
2. Clasificarlos.
3. Implementar la mejor protección posible.

En el entorno empresarial, donde los equipos están conectados a Internet, cualquier fallo puede generar pérdidas económicas. Por lo tanto, es esencial asegurar el correcto funcionamiento de sistemas y redes mediante políticas de seguridad robustas, copias de seguridad y preparación ante posibles ataques.

Principios Fundamentales

La seguridad informática se basa en tres principios:

1. Acceso más fácil: Los intrusos aprovechan la vía de ataque más sencilla, ya sea interna o externa, dificultando el análisis de riesgos.
2. Caducidad del secreto: La información confidencial debe protegerse solo mientras tenga valor, lo que implica fortalecer los sistemas de cifrado.
3. Eficiencia de las medidas: Las medidas de seguridad deben ser efectivas, eficientes y apropiadas, pasando desapercibidas para el usuario. Ningún sistema es efectivo hasta que se necesita.

2) Objetivos de la Seguridad Informática

La seguridad de la información se centra en preservar:

• Confidencialidad: Asegura que solo usuarios autorizados accedan a la información. Un documento es confidencial si solo lo comprende su destinatario autorizado.

• Integridad: Salvaguarda la precisión y completitud de la información y sus procesos, garantizando que no haya sido modificada sin autorización.

• Disponibilidad: Asegura que usuarios autorizados puedan acceder a la información cuando la necesiten.

• No repudio: Garantiza la participación de las partes en una comunicación, tanto en origen (el emisor no puede negar el envío) como en destino (el receptor no puede negar la recepción).

En resumen, la seguridad informática son las medidas y controles que aseguran la confidencialidad, integridad y disponibilidad de los activos de los Sistemas de Información, incluyendo hardware, software, firmware y la información que procesan, almacenan y comunican.

Mecanismos de Seguridad

Para alcanzar estos objetivos, se utilizan los siguientes mecanismos:

• Autenticación: Identifica al emisor de un mensaje, creador de un documento o equipo que se conecta a una red.
• Autorización: Controla el acceso de usuarios a zonas restringidas, equipos y servicios tras la autenticación.
• Encriptación: Oculta la información transmitida o almacenada, haciéndola ilegible para intrusos.
• Copias de seguridad e imágenes de respaldo: Permiten recuperar información en caso de fallo o ataque.
• Antivirus: Aplicaciones para prevenir, detectar y eliminar programas maliciosos.
• Cortafuegos (firewall): Evita conexiones no deseadas.
• Servidores proxy: Intermedian entre la red interna y externa.
• Firma electrónica o certificado digital: Garantizan la identidad y el no repudio.
• Marco legal: Leyes de protección de datos personales que obligan a las empresas a asegurar la confidencialidad.

3) Clasificación de la Seguridad

Seguridad Física

Barreras físicas y mecanismos de control para proteger el hardware de amenazas físicas, complementándose con la seguridad lógica. Ejemplos:

• Cerrar con llave la sala de ordenadores.
• Sistemas antiincendios (mobiliario ignífugo, detectores de humo, extintores, etc.).
• Cámaras de seguridad y vigilancia humana.
• Control de sistemas eléctricos y de ventilación.

Seguridad Lógica

Protección del software, datos, procesos y programas, controlando el acceso de usuarios. Incluye:

• Restringir acceso a programas y archivos con claves.
• Asignar limitaciones a usuarios.
• Asegurar el uso correcto de archivos y programas.
• Controlar flujos de entrada/salida de información.

La seguridad lógica protege el software y los datos de robos, pérdidas de información, virus, ataques y modificaciones no autorizadas. Se implementa a nivel de sistema operativo, aplicación, base de datos, archivo o firmware.

Seguridad Activa

Conjunto de elementos para evitar y reducir riesgos. Recomendaciones:

• Utilizar usuarios sin privilegios de administrador.
• Usar contraseñas fuertes.
• Realizar copias de seguridad periódicas.
• Mantener el antivirus actualizado.
• Actualizar el sistema operativo con parches de seguridad.
• Usar el sentido común.
• Tener un usuario auxiliar.
• No abrir enlaces desconocidos.
• Tener cuidado con descargas y programas de prueba.
• Precaución con archivos VBS, scripts y ejecutables.

Otras técnicas incluyen:

• Uso de contraseñas.
• Listas de control de acceso.
• Encriptación.
• Software de seguridad informática.
• Firma y certificados digitales.
• Sistemas de archivos tolerantes a fallos.
• Cuotas de disco.

Seguridad Pasiva

Medidas para minimizar el impacto de un ataque y activar mecanismos de recuperación:

• Conjunto de discos redundantes (RAID): Para restaurar información.
• Sistema de alimentación ininterrumpida (SAI): Para mantener el sistema funcionando durante cortes de energía.
• Copias de seguridad: Para restaurar información perdida.

4) Amenazas y Fraudes en Sistemas de Información

La seguridad de la información busca proteger los activos de la empresa (hardware, software, datos, etc.). Cualquier daño tiene un impacto en la empresa.

Actualizaciones para Mejorar la Seguridad

• Identificar los activos a proteger.
• Formar y concienciar a los trabajadores sobre seguridad.
• Evaluar riesgos.
• Diseñar un plan de actuación que incluya:
  • Medidas para minimizar el impacto de daños (seguridad pasiva).
  • Medidas para prevenir daños (seguridad activa).
• Revisar y adecuar las medidas de seguridad periódicamente.

Vulnerabilidades

Debilidades que comprometen la seguridad del sistema. Tipos:

• Conocidas sobre aplicaciones o sistemas instalados.
• Conocidas sobre aplicaciones no instaladas.
• Aún no conocidas.

Las vulnerabilidades se clasifican por gravedad:

• Crítica: Permite la propagación de gusanos.
• Importante: Compromete la confidencialidad, integridad o disponibilidad de datos.
• Moderada: Impacto reducido por configuraciones o auditorías.
• Baja: Difícil de aprovechar y con impacto mínimo.

Amenazas de Seguridad

. Tipos. Amenaza es el escenario en el que una acción o suceso, deliberado o no, compromete la seguridad de un elemento del sistema informático. Cuando se detecta una vulnerabilidad y no existe una amenaza asociada, puede ocurrir que el suceso se produzca y nuestro sistema estará en riesgo.

Si se produce el riesgo, el sistema informático sufrirá daños que habrá que valorar cualitativa y cuantitativamente, a esto se le llama “impacto”.
.
Para disminuir el impacto producido, debemos proteger el sistema mediante defensas o salvaguardas Las amenazas más destacadas son:

-Amenazas software: software malintencionado, virus, espías, troyanos, gusanos, etc.
-Amenazas físicas: robos, incendios, catástrofes naturales, etc.
-Amenazas humanas: pueden estar incluidas en las dos anteriores, se pueden englobar en 2 tipos:

-Intrusos, como piratas informáticos.
-Fallos humanos de los propios usuarios del sistema informático.

Los diferentes atacantes pueden ser:

-Hackers: expertos informáticos con gran curiosidad por descubrir vulnerabilidades pero sin motivación económica o dañina. -Crackers: es un hacker que si lo usa para fines económicos o dañinos. -Phreakers: crackers telefónicos, que sabotean las redes de telefonía para conseguir llamadas gratuitas. -Sniffers: analizan el tráfico para obtener información extrayéndola de los paquetes que se transmiten por la red. -Lammers: personas jóvenes sin conocimientos que se consideran hackers. -Newbie: hacker novato. -Ciberterrorista: experto en informática e intrusiones en la red que trabajan para países y organizaciones espía y saboteadores informáticos. -Programadores de virus: crean programas dañinos que producen efectos no deseados en los sistemas o aplicaciones. -Carders: personas dedicadas al ataque de los sistemas de tarjetas, como cajeros automáticos.

Principales ataques que puede sufrir un sistema:

-Interrupción: recurso del sistema a la red que deja de estar disponible por un ataque. -Intercepción: un intruso accede a la información de nuestro equipo o a lo que enviamos por la red. -Modificación: información modificada sin autorización, por lo que no es válida. -Fabricación: se crea algo que puede robar información confidencial del usuario.

La clasificación de las amenazas sería:

-Spooling: suplanta la identidad de un PC o algún dato. -Sniffing: monitoriza y analiza el tráfico de la red para obtener información. -Conexión no autorizada: buscan agujeros de la seguridad de un equipo o servidor, y se conectan a ellos. -Malware: se introducen programas malintencionados en nuestro equipo. -Keyloggers: herramienta que permite conocer todo lo que el usuario escribe e incluso realizar capturas de pantalla. -Denegación de servicio: interrumpe el servicio que se ofrece en servidores o redes de ordenadores. -Ingeniería social: se obtiene información confidencial de una persona u organismo para usarla de forma malintencionada.-Phishing: engaña al usuario para obtener su información confidencial suplantando la identidad de un organismo o página web de internet.

Mecanismos de Seguridad

-Mecanismos software o lógicos: cortafuegos, antivirus, antispam, etc.

-Mecanismos hardware o físicos: SAI, extintores, cámaras de seguridad, etc.
Para los equipos conectados a la red, debemos:

-No instalar nada que no sea necesario en los servidores. -Actualizar todos los parches de seguridad. -Formar a los usuarios del sistema para que hagan un buen uso. -Instalar un firewall. -Mantener copias de seguridad. -Gestionar y revisar los logs del sistema. -Sentido común y experiencia previa del administrador.

Leyes relacionadas con la seguridad de la información

Normativa que protege los datos personales

La ley de protección de datos de carácter personal es supervisada por la Agencia Española de Protección de Datos.
Su objetivo es garantizar y proteger los derechos fundamentales y la intimidad de las personas físicas.
Establece una serie de obligaciones para la protección de los datos contenidos en ficheros automatizados que poseen empresas y administraciones públicas. Se resume en:
-LEGALIZAR: todos los ficheros personales deben estar inscritos y legalizados ante la AEPD. -LEGITIMAR: los datos personales recogidos por la empresa deben contar con el consentimiento del afectado y cumplir con unos principios básicos:

1-Principio del consentimiento del afectado
2-Principio de información, el empresario debe:

                1-Avisar de la existencia de un fichero al que se incorporarán los datos solicitados
                2-Del carácter obligatorio o facultativo de consignar determinados datos.
                3-De las consecuencias de la obtención de los datos.
                4-De la posibilidad del ejercicio de los derechos de acceso, rectificación, cancelación u oposición al tratamiento de los datos.
                5-De la identidad y dirección del responsable del tratamiento o de su representante.

3-Principio de calidad de los datos: los datos se recogerán para una finalidad y no podrán ser destinados por el responsable del fichero a otras finalidades. Derechos reconocidos por la ley: Acceso, Modificación, Oposición y Cancelación.

Medidas de Seguridad: cuando se solicita la aprobación de la Agencia de protección de datos debemos especificar los que contendrá el fichero y el nivel de seguridad que se aplicará:

-Básico: los datos de carácter personal tienen que tener como mínimo este nivel. -Medio: se refieren a infracciones, gestión tributaria, datos fiscales y financieros y/o datos que proporcionan información sobre características o personalidades. -Alto: ideología, afiliación sindical, religión, creencias, raza, salud, o vida sexual.

Legislación sobre los servicios de la sociedad de la información y comercio electrónico (LSSI-CE)

Regula todo lo relativo a la contratación por vía electrónica y las comunicaciones comerciales por vía electrónica y las comunicaciones comerciales. (Compras y comercio por internet). Algunos aspectos importantes son:

-Las empresas afectadas están obligadas a proporcionar información sobre sus productos. -Exculpa de responsabilidad, si no tienen conocimiento de la información de sus servidores. -Establece la validez de los contenidos realizados electrónicamente.

Ley sobre Normas Reguladores de Firma electrónica

Fue aprobado para fomentar la incorporación de nuevas tecnologías. Regula la firma electrónica, su eficacia jurídica y la prestación de servicios de certificación.

“Se denomina prestador de servicios de certificación la persona física o jurídica que expide certificados electrónicos o presta otros servicios en la relación con la firma digital”

“La firma electrónica es el conjunto de datos en forma electrónica, consignados junto a otros o asociados con ellos, que pueden ser utilizados como medio de identificación del firmante”.

¿Cómo funciona la firma electrónica?

El emisor obtiene un resumen del mismo a través de una función hash. Se aplican a bloques de cualquier tamaño y crean un resultado fijo y pequeño. El resumen obtenido se cifra con clave privada del firmante y se obtiene la firma electrónica del documento.

Funciones principales que ofrece la firma electrónica

-Identificación del firmante -Integridad del contenido firmado -No repudio del firmante

Ley sobre Normas Reguladoras del DNI electrónico

-Acreditar electrónicamente y de forma real la identidad de la persona -Firmar digitalmente documentos electrónicos, otorgándoles una validez jurídica equivalente a la que les proporciona la firma manuscrita.

Podemos usar el DNIe para:

-Realizar compras -Hacer trámites completos con administraciones públicas. -Realizar transacciones seguras con bancos -Acceder al edificio donde trabajamos -Utilizar de forma segura nuestro ordenador personal -Participar en una conversación por internet con la certeza de que nuestro interlocutor es quien realmente es