José Francisco Giménez Albacete - Seguridad en equipos informáticos. IFCT0510

Establecida esta metodología general, se debe profundizar en conocer los riesgos más habituales de un equipo informático, y por lo tanto las posibles salvaguardas. Los riesgos son de naturaleza ambiental o del entorno, derivados del acceso físico, o derivados del acceso lógico a los equipos; por ejemplo, y respectivamente, un incendio, una desconexión accidental de un cable de alimentación, o un virus informático.

Por último, todo lo anterior se engloba en el Sistema de Gestión de la Seguridad de la Información,que es la forma de organizar los recursos para lograr una mejora continua en el objetivo de “asegurar la continuidad del negocio, minimizando riesgos y maximizando el ROI en seguridad”.

Las herramientas fundamentales de un SGSI serán: una política de seguridad, y una metodología para medir el riesgo.

Ejercicios de repaso y autoevaluación

1. De las siguientes frases, indique cuál es verdadera y cuál es falsa.

1 Una amenaza es la probabilidad de que haya un fallo que dañe los sistemas.VerdaderoFalso

2 Una amenaza es un posible hecho que dañaría los sistemas.VerdaderoFalso

3 Se puede eliminar una amenaza reduciendo su vulnerabilidad.VerdaderoFalso

2. Determine la fórmula correcta:

1 Riesgo = amenaza + vulnerabilidad.

2 Riesgo = probabilidad x vulnerabilidad.

3 Riesgo = impacto x vulnerabilidad.

4 Riesgo = probabilidad x daño.

3. Complete las siguientes definiciones:

1 _____________ es que la información esté disponible siempre que se necesite.

2 ______________es que la información solo esté accesible para quien esté autorizado a ello.

3 _____________ es que la información sea válida, exacta, y completa.

4 __________ o __________ es que el comportamiento de un sistema sea predecible, según su diseño y construcción.

4. Determine la combinación correcta de propiedades:

1 Fiabilidad = confidencialidad + precisión + exactitud.

2 Seguridad = confianza + integridad + disponibilidad.

3 Seguridad = confidencialidad + integridad + disponibilidad.

5. Complete la siguiente oración:

Un modelo de seguridad orientado a la gestión de riesgos, persigue organizar la gestión de la seguridad en base a dos factores: un método para __________________ y unas __________________.

6. Complete las siguientes definiciones:

1 ________________________ permite la elección de unas salvaguardas u otras, según unas directrices empresariales.

2 _______________________ permite ordenar los riesgos según su importancia, calculada cuantitativa o cualitativamente.

3 ______________ es el daño probable de una amenaza.

7. Determine la opción que elegiría:

1 Una salvaguarda que aporte mínimo retorno de la inversión.

2 Una contramedida que reduce un riesgo pero que tiene un precio alto.

3 Cuando es muy bajo, se puede asumir el riesgo sin hacer nada, y sin ser necesario informar a la Dirección.

8. Indique si es o no necesario verificar:

1 La temperatura máxima a la que pueden funcionar los ordenadores.

2 El nivel de tensión eléctrica que llega habitualmente al CPD.

3 El grosor de los paramentos del CPD y su construcción.

4 La existencia de pasos bajo el falso techo, entre el CPD y los recintos anexos.

9. Indique una salvaguarda preventiva ante amenaza de inundaciones, y una reactiva.

10. Indique 5 salvaguardas ante el riesgo de incendios en el CPD.

11. Indique 3 salvaguardas ante la difusión de software dañino.

12. ¿Qué contraseña será más compleja, una que tenga 5 dígitos, o una que tenga 3 caracteres usando mayúsculas o minúsculas?

13. Dibuje el diagrama de mejora continua de Deming.

14. ¿Cuáles de las siguientes salvaguardas no protegen a la información frente a la amenaza específica de los trabajadores?

1 Clausulas de responsabilidades legales en los contratos.

2 Un sistema de identificación y autenticación de usuarios.

3 Investigar los antecedentes.

15. Un SGSI...

1 ... permite implantar medidas de seguridad concretas para una amenaza.

2 ... corrige errores de implantación en las medidas de seguridad.

3 ... puede considerar los datos de carácter ético y cultural de la empresa.

Capítulo 2

Análisis de impacto de negocio

En el capítulo anterior, se resume como objetivo último de un SGSI asegurar la continuidad del negocio, minimizando los riesgos, y maximizando el retorno de la inversión en seguridad, a la vez que se permiten nuevas oportunidades para la empresa.La continuidad del negocio se refiere a su operación siempre que se necesite, y estará muy estrechamente relacionada con la disponibilidad de la información. Sin embargo, en la continuidad del negocio también interviene la integridad, pues la empresa no podrá operar si la información está disponible, pero no está completa ni es exacta. También se precisa de la confidencialidad, pues la operación de la empresa puede perder su valor si la información está expuesta a quien no debe conocerla.

Para asegurar la continuidad del negocio, hay que asegurar en todas sus dimensiones el sistema de información, empleando un criterio de evaluación de riesgos, con una etapa de análisis, y una etapa de gestión de riesgos. En esta evaluación del riesgo, se deben estudiar los activos que, bajo una amenaza, puedan sufrir un impacto o un daño. Si en la empresa existe un catálogo de activos, debería revisarse para confirmar que está actualizado; si no existe, habría que confeccionarlo.

También pueden concurrir circunstancias que obliguen a reducir el análisis a un conjunto mínimo de activos. En ese caso, ¿qué activos estudiar y cómo evaluar el impacto? El trabajo debe comenzar por lo más prioritario. Para asegurar la continuidad del negocio, el punto de partida recomendado es un análisis de impacto del negocio (o BIA a partir de sus iniciales en inglés, Business Impact Analysis) . En el BIA se estudian los procesos o funciones vitales del negocio, que dependan en cualquier medida de los sistemas de información.Una vez identificados, se determinará el coste que supone para el negocio una interrupción de esas funciones vitales.

Para una función o proceso de la empresa, el activo esencial será la propia información, es decir, los datos. Pero los datos solo existen en dependencia con otros activos, como los servicios (que se prestan gracias a los datos, o que son necesarios para producirlos), las aplicaciones (que procesan los datos), los equipos (que ejecutan las aplicaciones), los soportes (que almacenan los datos), las redes de comunicaciones (que transmiten los datos), las instalaciones (que albergan los equipos), y las personas (que operan los datos). Es habitual construir arboles de dependencia, que ilustren cómo un activo depende de otros para su correcto funcionamiento. La dependencia provoca así que el impacto y riesgo de los activos o componentes integrantesse vaya acumulando hacia el activo principal integrador,bajo estudio. La evaluación de riesgos para los equipos informáticos que intervengan en esas funciones vitales, permitirá conocer el coste de recuperación del servicio. En general, existirán salvaguardas de diferentes precios, que conducirán a diferentes tiempos de recuperación. Minimizando el coste total (suma del coste de la parada del servicio y del coste de la recuperación), se determina el tiempo de recuperación, las salvaguardas a implementar, y otros requerimientos de seguridad.