José Francisco Giménez Albacete - Seguridad en equipos informáticos. IFCT0510

7. Piense la valoración CIA que podría tener el único administrador de la red de ordenadores de un despacho de abogados.

Nota

Los soportes de almacenamiento son una pieza esencial de un sistema de información, y en concreto, del sistema de copias de seguridad. Si la información tiene un nivel alto de confidencialidad, tan importante es conservarlos libres de accesos no permitidos, como destruirlos de manera irrecuperable al finalizar su periodo de vigencia, porque las copias no pueden almacenarse indefinidamente. Si la información tiene un nivel de integridad alto, las copias deben protegerse de modificaciones, ya que en caso de restaurarlas se introducirá información alterada; para ello puede servir conservar el hash de la información guardada, que se empleará como elemento de verificación de la copia antes de restaurarla.

Confidencialidad

Los requisitos de confidencialidad de los sistemas atienden al servicio que prestan, y heredan la confidencialidad de la información procesada o almacenada por el sistema.

Integridad

Los requisitos de integridad de los sistemas heredan la integridad de la información procesada o almacenada por el sistema, y además, reflejan la confianza o fiabilidad (predictibilidad) de los servicios prestados por el sistema en el proceso.

Disponibilidad

Los requisitos de disponibilidad heredan la clasificación de disponibilidad de la información del proceso, y se basan en el impacto que tendría para el proceso que estos no estuviesen disponibles.

La siguiente es una enumeración sencilla de los posibles elementos que intervienen en un proceso de negocio:

1 Equipos hardware de procesamiento: servidores, estaciones de trabajo críticas, estaciones de trabajo, ordenadores portátiles, dispositivos móviles como tablet-PC, PDA, smartphones, e impresoras.

2 Equipos de comunicaciones de red: router, switcher, firewalls, líneas de comunicaciones, centralitas telefónicas, faxes, terminales telefónicos fijos, y móviles.

3 Programas: sistemas operativos, aplicaciones y utilidades, y códigos fuente de programas.

4 Soportes de información: soportes con backup de sistemas operativos y aplicaciones, soportes con backup de código fuente de programas, y soportes con backup de datos (bases de datos y archivos).

5 Servicios de soporte: sistema eléctrico y de alimentación ininterrumpida, aire acondicionado, y elementos de fijación (armarios de rack y otra mecánica).

Actividades

8. Clasificar los requisitos de seguridad para los elementos que intervienen en los siguientes procesos de una tienda de ropa:

1 VENTA: personas (vendedor); sistemas (TPV, impresora, datáfono, aplicación de venta e inventario, y su base de datos).

2 INVENTARIO: personas (vendedor); sistemas (PDA, red wifi para descargar datos, ordenador, aplicación de venta e inventario y su base de datos).

Para determinar los sistemas de información que intervienen en un proceso, puede servir de ayuda partir de una narrativa del mismo, o una descripción textual.Habitualmente, esta descripción puede solicitarse por escrito, por ejemplo en un formulario de un BIA, o recogerse en el transcurso de una entrevista o reunión mixta.

Cuando el proceso es complejo, conviene dividirlo en fases o subprocesos. Para intentar asegurar la completitud en la narrativa de cada fase o subproceso, puede ayudar preguntarse si se encuentran respondidos siete aspectos fundamentales: ¿qué, quién, cuándo, cómo, dónde, por qué, y para qué?

Partiendo de la narrativa, se enumeran en listas independientes los elementos de cada tipo que intervengan en cada categoría: personas, sistemas, e información de entrada. Esta enumeración es importante, porque constituye una forma elemental del inventario básico de los activos de información del proceso.

Posteriormente, cada uno de estos elementos se relaciona con los demás mediante una acción que puede resumirse en un verbo (genera, autoriza, procesa, transmite, etc.).

De esta manera, se puede ordenar de manera jerárquica la dependencia de los componentes, y su progreso, hasta el resultado final. Gráficamente, la estructura se aproximará a la de un árbol invertido donde las hojas serán los componentes, los nodos intermedios serán resultados o hitos (generalmente coincidentes con sub-tareas o subprocesos), y en la raíz o punto más alto del diagrama, se encontrará el resultado o información de salida del proceso.

Nota

La dependencia jerárquica a modo de árbol, se emplea en el análisis de riesgos MAGERIT, al evaluar el “impacto repercutido” y el “riesgo repercutido” a partir de los impactos /riesgos de los elementos de los que depende un subproceso (nodo intermedio del árbol de dependencia invertido).

Aplicación práctica

El proceso crítico de una empresa es la venta por internet. Resumidamente, un comprador accede desde internet a la web de venta online, alojada en un servidor ubicado en la sede de la empresa. El servidor se comunica a través de un firewall con una base de datos interna, que solo sabe administrar una persona del departamento de informática. La venta tiene interrupciones breves, como sucede durante los trabajos de mantenimiento en la base de datos, que se advierten en la página web. Los elementos del servicio y sus valoraciones CIA (bajo = 1, medio = 2, alto = 3) son: