El objetivo de la protección de nuestros Sistemas de Información debe ser el de preservar la:
– Confidencialidad: Asegurando que la información es accesible sólo a las personas autorizadas. Proteger la información contra accesos o divulgación no autorizadas. (control de accesos)
La falta de confidencialidad puede darse por indiscreciones voluntarias e involuntarias en cualquier tipo de soporte (magnético o papel) y su no preservación puede tener las siguientes consecuencias:
? Responsabilidad civil o administrativa del propietario del sistema siniestrado por los perjuicios causados a terceros
? Pérdidas cualitativas en distintos campos:
? Deontología
? Credibilidad
? Prestigio
? Imagen
? Pérdidas de fondos patrimoniales:
? Datos o programas no recuperables
? Información confidencial
? 'know-how'
? Pérdidas de explotación:
? Reducción de margen por falta de resultados o gastos suplementarios para mantener la funcionalidad precedente a la amenaza.
La medida principal, de carácter preventivo, para preservar la confidencialidad, a considerar en la concepción y desarrollo del sistema, es el diseño del control de accesos lógicos.
En su diseño se deben de tener en cuenta las siguientes consideraciones:
? Establecer los grupos de usuarios (estratificación de usuarios) por niveles de seguridad, asignando a cada uno, los tipos de accesos permitidos (lectura, modificación, tratamientos, periféricos)
? El acceso lógico al entorno corporativo se realiza bajo el control del producto R.A.C.F., por tanto es preciso diseñar los controles R.A.C.F. (posibles grupos a considerar y las medidas de auditoría a implementar) para la inclusión del sistema en desarrollo en el R.A.C.F.
? Si las funcionalidades anteriores. no se consideran suficientes será preciso crear un sistema de seguridad propio de la aplicación, diseñando:
? El acceso a las distintas aplicaciones y sus funciones por medio del sistema general de menús.
? nuevas funcionalidades, como por ejemplo, el control a nivel campos de transacción
? las necesidades de administración del sistema a crear
? los procedimientos de peticiones de autorizaciones de acceso al sistema.
? En el diseño del sistema de control de accesos debe considerarse la posibilidad de establecer controles extraordinarios para acceder al sistema, como por ejemplo:
? Especialización de terminales en entornos o transacciones específicas (autorización por terminales)
? Especialización de terminales por perfiles de usuario
? Asignación de terminal a un usuario
? Utilización de dispositivos de acceso físico (tarjetas, llaves, lector de huellas,…)
? Acceso con restricciones temporales
? No simultaneidad de terminales para un tipo de funcionalidad
? Inhabilitación del acceso por inactividad de terminal, utilización de protectores de pantalla con clave,…
? Inclusión dentro de la aplicación, como mínimo, del identificativo del usuario que realiza la transacción, incluyéndolo en la propia transacción (sirve también como pista de auditoría), terminal, fecha y hora.
? Se propondrá, en caso necesario, el sistema a implantar para la detección de intentos de violación, y las acciones a tomar (investigación, bloqueos, revocaciones, suspensiones)
? Se diseñaran las medidas a implantar para el control de las modificaciones en necesidades de acceso al sistema, como por ej.: bajas, traslados, personal externo,…
? La disponibilidad de la información del sistema para su tratamiento con herramientas de usuario final, puede acarrear la falta de confidencialidad de la misma. Por tanto, en el diseño del sistema se planteará el tipo posible de información a transferir al entorno microinformático, así como las medidas indispensables para preservar su confidencialidad (control de accesos con herramientas de usuario final, rastros a mantener en caso de transferencia de información a ordenadores personales)
– Integridad: Salvaguardando la precisión y exactitud de la información en todo momento. La integridad está relacionada con la garantía de la exactitud y la exhaustividad de los datos del sistema de información.
Puede darse por errores en la captura o validación, por un mal funcionamiento del sistema, mala voluntad (transacción aceptada pero no autorizada, programa ilegítimamente modificado, fichero alterado fraudulentamente, etc.) y puede tener consecuencias catastróficas para la empresa.
La falta de integridad de la información puede acarrear las siguientes consecuencias:
? Pérdidas de explotación:
? reducción de margen por falta de resultados o gastos suplementarios para mantener la funcionalidad precedente a la amenaza
? Pérdidas de fondos patrimoniales:
? datos o programas no recuperables
? información confidencial
? 'know-how'
? Responsabilidad civil o administrativa:
? del propietario del sistema siniestrado por los perjuicios causados a terceros
? Pérdidas cualitativas en distintos campos:
? Deontología
? Credibilidad
? Prestigio
? imagen
Las medidas a tener en cuenta en el momento de concebir y desarrollar el sistema, principalmente en el ámbito de la protección, para aminorar el impacto que puede provocar la falta de integridad de la información del S.I., son: la detección y tratamiento de errores y la implantación de pistas de auditoría. A continuación se detallan algunas de las consideraciones a tener en cuenta relacionadas con las mencionadas medidas.
En el ámbito de la detección y tratamiento de errores:
? Diseñar los controles que permitan:
? garantizar la integridad de los datos en la entrada, edición y validación
? asegurar que todas las entradas se procesan a través de controles de entrada, tales como número de secuencia, totales de control, etc.
? asegurar la totalidad y exactitud de los datos transmitidos por teleproceso y en el proceso de transacciones. Estos controles pueden consistir en: números de secuencias, control de totales, caracteres de inicio y final, confirmaciones de envío. En el caso de que la transmisión sea errónea deben estar preparadas las acciones correctoras a llevar a cabo (reinicio manual o automático de la transmisión, borrado de la información errónea.)
? comprobar la veracidad de la información de importes y cantidades
? garantizar el tratamiento de ficheros con datos rechazados, en suspenso, erróneos. una vez resueltas sus deficiencias.
? asegurar la accesibilidad a información interrelacionada en caso de borrado de alguna de ella
? Identificar los posibles errores, establecer sus consecuencias y las acciones correctoras a realizar
? Establecer reglas para el tratamiento y corrección de tratamientos incompletos e inexactos
? Establecer cuadres o controles a realizar entre aplicaciones
? Establecer la realización de pruebas para detectar omisiones en números de secuencias, totales batch erróneos, datos omitidos, datos que no corresponden a la fecha de tratamiento
? Establecer la realización de pruebas para asegurar que se mantiene la integridad de ficheros después de un fallo de programa
? Diseñar los procedimientos de conversión que permitan:
? Planificar la implantación del sistema en paralelo con el anterior, preveyendo la disponibilidad de copias de seguridad y planificando las marchas atrás
? comparar los resultados de ambos procesos
? realizar unas rutinas de validación de datos a utilizar en la conversión, verificando que los datos se convierten en su totalidad
? identificar todos los posibles errores a encontrar en el proceso de conversión
? mantener un rastro de auditoria de las actividades de operación durante los procesos de conversión
? Establecer un plan de retorno al sistema antiguo en el caso de que la conversión no funcione
? Diseñar los procedimientos de recuperación y rearranque que permitan:
? establecer el tiempo a mantener los documentos fuente utilizados por el usuario para reconstruir transacciones en caso necesario
? definir las acciones a tomar en caso de procesos contra bases de datos que terminen de forma anormal
? establecer los criterios de los procesos de recuperación de transacciones
? garantizar que no se pierde información, que no se duplica y que la integridad de las bases de datos no ha sido afectada.
En el ámbito de la implantación de pistas de auditoria:
? Establecer las pistas de auditoría necesarias para verificar el flujo de las diversas transacciones por los procesos del SI de forma que se posibilite el seguimiento de las transacciones desde el documento origen hasta el total de control y viceversa
? Definir campos de datos y registros para las pistas de auditoría, y su forma de almacenamiento
? Definir las características de las pistas de auditoría establecidas:
? las instrucciones para su utilización
? las instrucciones para la realización de pruebas
? el tiempo que se guardará
? las generaciones a mantener
? cuando y como borrarlas cuando ya no son necesarias
Establecer las acciones a llevar a cabo con el log del sistema (revisión, conservación,…)
– Disponibilidad: Asegurando que los usuarios autorizados tienen acceso en todo momento a la información y a los activos cuando son requeridos.
La disponibilidad de los sistemas de información está relacionada con la continuidad del servicio. Tiene en cuenta toda indisponibilidad prolongada, total o parcial, del sistema de información y puede lanzar, en función de su duración, una serie de actividades o procedimientos que aseguren la continuidad de dicho servicio.
La indisponibilidad de datos, informaciones y sistemas de información, sin elementos alternativos que permitan la continuidad del servicio, puede provocar las siguientes consecuencias:
? Pérdidas de explotación:
? reducción de margen por falta de resultados o gastos suplementarios para mantener la funcionalidad precedente a la amenaza
? Responsabilidad civil o administrativa:
? del propietario del sistema siniestrado por los perjuicios causados a terceros
? Pérdidas cualitativas en distintos campos:
? Deontología
? Credibilidad
? Prestigio
? Imagen
Las medidas a tener en cuenta en el momento de concebir y desarrollar el sistema, principalmente en el ámbito de la protección, para aminorar el impacto que puede provocar la indisponibilidad de alguno de los elementos del SI, son : la salvaguarda de los datos y respaldo de dispositivos periféricos.
A continuación se detallan algunas de las consideraciones a tener en cuenta relacionadas con las mencionadas medidas.
En la salvaguarda de datos:
? Establecer la política a seguir y diseñar los procedimientos para la realización de las copias de seguridad de la información y los programas del SI, con la periodicidad que se estime necesaria para garantizar la recuperación de la misma a la situación anterior a detectar cualquier incidencia. Se debe considerar:
? la responsabilidad del usuario en la realización periódica de copias de seguridad en el caso de la informática distribuida del SI y las consignas para su custodia
? la periodicidad (diaria, semanal, mensual, aperiódica), el tipo de copia (total o incremental), el número de generaciones a conservar para garantizar la recuperación, los periodos de retención, los diferentes niveles (aplicaciones, datos)
? Diseñar los procedimientos de recuperación de las copias anteriores para cada base de datos, fichero, librería de programa,… estableciendo:
? el plan de pruebas a seguir para comprobar la correcta recuperación de las copias
? la información que se perdería
? las acciones a realizar por los usuarios para recuperar la información perdida.
? Establecer los procedimientos de funcionamiento degradado, para que en caso de fallo del sistema se permita un servicio limitado.
En el respaldo de elementos periféricos:
? Estudiar las consecuencias de indisponibilidad o fallos en el hardware local (impresoras, terminales, servidores, unidades de control,…), servicios esenciales (energía eléctrica), comunicaciones – teleproceso y diseñar los procedimientos de respaldo que permitan la continuidad del servicio con medios alternativos
? Establecer por funcionalidades del sistema el posible servicio degradado, considerando: el tiempo máximo sin servicio, las fechas críticas de disponibilidad, el grupo mínimo de usuarios, las funcionalidades mínimas a mantener, incremento de tiempos de respuesta,..
Finalmente recalcar que el objetivo final de la Seguridad, debe ser la protección eficaz y eficiente, mediante un enfoque preventivo, proactivo, reactivo y dinámico de uno de los activos más valiosos para los procesos de negocio.
Imagen
El presente informe forma parte de un plan de acción llevado a cabo en mi empresa y del que soy responsable. El contenido de este informe tiene como objetivo – asegurar que la seguridad está imbuida dentro de los sistemas de información. Esto se tendrá que considerar en las fases de diseño e implantación de los procesos de negocio que se lleven a cabo. Resultando así más económico en cuanto a costes y por supuesto más seguro desde el principio hasta el final de cada proyecto. Todos los requerimientos de seguridad deben ser incluidos y tenidos en cuenta desde la fase de "Requerimientos de un proyecto" que se consensuarán y documentarán, formando parte del proceso de negocio global para un sistema de información –
La finalidad es comprobar el grado de cumplimiento de dicha normativa, y elaborar unas conclusiones o recomendaciones para futuras mejoras al respecto.
Se hablará con todos los responsables de desarrollo para la correcta implantación de estas normas en todos los nuevos desarrollos y asegurar que se ha tenido en cuenta en los ya existentes.
2.1.2- Análisis y especificación de los requerimientos de seguridad
Se deben especificar los requerimientos de control, así como considerar los controles que han de ser incorporados en el sistema. Estas consideraciones también tendrán efecto a la hora de evaluar paquetes de software para aplicaciones del negocio.
Los controles de implementación de estas mediadas de seguridad resultan menos costosos a la hora de implantarlos si se realizan en la fase de diseño.
Podemos definir la Seguridad Informática como cualquier medida que impida la ejecución de operaciones no autorizadas sobre un sistema o red informática, cuyos efectos puedan conllevar daños sobre la información, comprometer su confidencialidad, autenticidad o integridad, disminuir el rendimiento de los equipos o bloquear el acceso de usuarios autorizados al sistema.
? Es necesario considerar otros aspectos o cuestiones relacionados cuando se habla de la Seguridad Informática:
? Cumplimiento de las regulaciones legales aplicables a cada sector o tipo de organización, dependiendo del marco legal de cada país.
? Control en el acceso a los servicios ofrecidos y la información guardada por un sistema Informático.
? Control en el acceso y utilización de ficheros protegidos por la ley: contenidos digitales con derechos de autor, ficheros con datos de carácter personal, etc.
? Identificación de los autores de la información o de los mensajes.
? Registro del uso de los servicios de un sistema informático, etc.
La norma ISO/IEC 17799 se define la Seguridad de la Información como la preservación de su confidencialidad, su integridad y su disponibilidad.
Autor:
Sandro León Gonzales