SEGURIDAD DE LA INFORMACION
Profesor: Miguel ﾃ］gel Morell Analista de Sistemas Lic en Tecnologﾃｭa Educacional
Temario
Concepto de Seguridad Clasificación de medidas de protección Información comprometida Amenazas Actos intencionales Desastres naturales Seguridad física: Norma 17799 Mantenimiento de los equipos informáticos
Concepto de seguridad El término seguridad fue teniendo una evolución en el tiempo. Ya antes de Cristo se evidenciaron sistemas de seguridad en las pirámides, en la información que manejaban los romanos, los chinos, a fin de alertar, evitar, detectar, alarmar y reaccionar ante una amenaza real o supuesta. Podemos decir que: La Seguridad es una necesidad básica, estando interesada en la prevención de la vida y las posesiones, y que es tan antigua como la seguridad misma. Poseer información significaba ganar una guerra, obtener ganancias preanunciadas, adelantarse significativamente ante un evento con el objetivo de la adquisición de algo, para tener cierta ventaja. Hoy, la seguridad, desde el punto de vista legislativo, está en manos de los políticos, a quienes les toca decidir sobre su importancia. En cambio desde el punto de vista técnico, la seguridad está en manos de la dirección de las organizaciones y, en última instancia, en cada uno de nosotros y en nuestro grado de concientización respecto a la importancia de la información que maneja una institución.
De que se trata entonces? La Seguridad es hoy día una profesión compleja con funciones especializadas. Para dar una respuesta satisfactoria es necesario eliminar la incertidumbre y distinguir entre la seguridad filosófica y la operacional o práctica. Analicemos …….
En el problema planteado pueden apreciarse tres figuras
El poseedor del valor: Protector. Un aspirante a poseedor: Competidor–Agresor Un elemento a proteger: Valor
Los competidores (agresores) se pueden subdividir en:
Competidor Interno: es aquel que piensa que el interés de la organización está por encima de sus intereses y, por lo tanto, actúa para sobreponer su interés personal, provocando daños a la organización. Competidor Externo: es aquel que actúa para arrebatar al poseedor lo que para él significa un valor empresarial, institucional o personal (clientes, mercado, información, etc.).
Sin amenaza…. “La seguridad en un problema de contrariedad y competencia. Si no existe un competidor–amenaza el problema no es de seguridad” Si analizamos que no hay nada en peligro de ser sustraído o perdido, no habría nada que proteger.
Como solucionamos o cerramos el concepto? Este problema será solucionado satisfaciendo las necesidades de comprensión del concepto “Seguridad” y “Sistema Informático” en torno de alguien (organización o particular) que gestiona información. Para esto es necesario acoplar los principios de Seguridad expuestos en un contexto informático
Podemos definir lo siguiente? “El objetivo de la seguridad informática será mantener la Integridad, Disponibilidad, Privacidad (sus aspectos fundamentales), Control y Autenticidad de la información manejada por una computadora.”
Clasificación Definimos Dato como “la unidad mínima con la que compone cierta información”. “Datum” es una palabra latina, que significa “lo que se da” La Información “es una agregación de datos que tiene un significado específico más allá de cada uno de éstos” y tendrá un sentido particular según como y quien la procese. Por ej.: 1, 9, 8 y 7 son datos; su agregación 1987 es Información
Valorización de la Información Establecer el valor de la información es algo totalmente relativo, pues constituye un recurso que, en muchos casos, no se valora adecuadamente debido a su intangibilidad, cosa que no ocurre con los equipos, las aplicaciones y la documentación.
Existe Información que debe o puede ser pública y aquella que debe ser privada o clasificada según el criterio de exposición
Cual de las 2 es prioridad proteger? En esta última debemos maximizar nuestros esfuerzos para preservarla de ese modo reconociendo las siguientes características en la Información: Es Crítica: es indispensable para garantizar la continuidad operativa. Es Valiosa: es un activo institucional con valor en sí misma. Es Sensitiva: debe ser conocida por las personas que la procesan y sólo por ellas o personas autorizadas a tal efecto
Conceptos de protección de datos
La Integridad La Disponibilidad u Operatividad La Privacidad o Confidencialidad El Control La Autenticidad
INTEGRIDAD
DISPONIBILIDAD
PRIVACIDAD
CONTROL
AUTENTICIDAD
Hace que su contenido permanezca inalterado. Una falla de integridad puede estar dada por anomalías en el hardware, software, virus informáticos y/o modificación por Capacidad de estar siempre disponible para ser personas que se infiltran en el sistema procesada. Debe ser correctamente almacenada con el hardware y el software funcionando perfectamente y que se respeten los formatos para su recuperación en forma satisfactoria
Acceso solo a personas autorizadas. En casos de falta de confidencialidad, la Información puede provocar severos daños a una institución. sobre la información permite asegurar que sólo los usuarios autorizados pueden decidir cuando y como permitir el acceso a la misma
permite asegurar el origen de la información, validando el emisor de la misma, para evitar suplantación de identidades.
AMENAZAS PARA LA SEGURIDAD INFORMATICA
HUMANAS
MALICIOSAS
Externas
DESASTRES NATURALES
NO MALICIOSAS
Internas Empleados ignorantes
INCENDIOS INUNDACIONES TERREMOTOS
Políticas que garantizan la seguridad de un sistema informático
La Prevención (antes): todos los mecanismos que aumentan la seguridad (o fiabilidad) de un sistema durante su funcionamiento normal.
• Por ejemplo el cifrado de información para su posterior transmisión o ubicación especifica de un sistema informático
La Detección (durante): mecanismos orientados a revelar violaciones a la seguridad. • Generalmente son programas de auditoría.
La Recuperación (después): mecanismos que se aplican, cuando la violación o perjuicio del sistema ya se ha detectado, para retornar éste a su funcionamiento normal. • Por ejemplo recuperación desde las copias de seguridad (backup) realizadas.
la Seguridad Física consiste en la “aplicación de barreras físicas y procedimientos de control, como medidas de prevención y contramedidas ante amenazas a los recursos e información confidencial”
SEGURIDAD FISICA
Son controles y mecanismos de seguridad dentro y alrededor del Centro de C贸mputo as铆 como los medios de acceso remoto al y desde el mismo; implementados para proteger el hardware y medios de almacenamiento de datos
NORMA IRAM-ISO IEC 17799 Tecnología de la información Código de práctica para la administración de la seguridad de la información
SEGURIDAD FÍSICA Y AMBIENTAL
Áreas seguras:
Objetivo: Impedir accesos no autorizados, daños e interferencia a las sedes e información de la empresa.
• • • • •
Perímetro de seguridad física Controles de acceso físico Protección de oficinas, recintos e instalaciones Desarrollo de tareas en áreas protegidas Aislamiento de las áreas de entrega y carga
Seguridad del equipamiento: Objetivo: Impedir pérdidas, daños o exposiciones al riesgo de los activos e interrupción de las actividades de la empresa. El equipamiento debe estar físicamente protegido de las amenazas a la seguridad y los peligros del entorno
• • • • •
Ubicación y protección del equipamiento Suministros de energía Seguridad del cableado Mantenimiento de equipos Seguridad del equipamiento fuera del ámbito de la organización • Baja segura o reutilización de equipamiento.
Controles generales
• Políticas de escritorios y pantallas limpias • Retiro de bienes
Perímetro de seguridad física a) El perímetro debe ser físicamente sólido. Las paredes externas del área deben ser de construcción sólida y todas las puertas que comunican con el exterior deben ser adecuadamente protegidas contra accesos no autorizados, por ej., mediante mecanismos de control, vallas, alarmas, cerraduras, etc. b) Debe existir un área de recepción atendida por personal u otros medios de control de acceso físico al área o edificio. El acceso a las distintas áreas y edificios debe estar restringido exclusivamente al personal autorizado. c) Las barreras físicas deben, si es necesario, extenderse desde el piso (real) hasta el techo (real), a fin de impedir el ingreso no autorizado y la contaminación ambiental, por ejemplo, la ocasionada por incendio e inundación. d) Todas las puertas de incendio de un perímetro de seguridad deben tener alarma y cerrarse automáticamente. VOLVER
Controles de acceso físico
Los visitantes de áreas protegidas deben ser supervisados o inspeccionados y la fecha y horario de su ingreso y egreso deben ser registrados. Sólo se debe permitir el acceso a los mismos con propósitos específicos y autorizados.
El acceso a la información sensible, y a las instalaciones de procesamiento de información, debe ser controlado y limitado exclusivamente a las personas autorizadas. Se deben utilizar controles de autenticación, por ej. tarjeta y número de identificación personal (PIN), para autorizar y validar todos los accesos. Debe mantenerse una pista protegida que permita auditar todos los accesos.
Se debe requerir que todo el personal exhiba alguna forma de identificación visible y se lo debe alentar a cuestionar la presencia de desconocidos no escoltados y a cualquier persona que no exhiba una identificación visible.
Se deben revisar y actualizar periódicamente los derechos de acceso a las áreas protegidas. VOLVER
Protección de oficinas, recintos e instalaciones
Las instalaciones clave deben ubicarse en lugares a los cuales no pueda acceder el público.
Los edificios deben ser discretos y ofrecer un señalamiento mínimo de su propósito, sin signos obvios, exteriores o interiores.
Las funciones y el equipamiento de soporte, por ej. fotocopiadoras, máquinas de fax, deben estar ubicados adecuadamente dentro del área protegida para evitar solicitudes de acceso, el cual podría comprometer la información.
Las puertas y ventanas deben estar bloqueadas. Se deben implementar adecuados sistemas de detección de intrusos. Los mismos deben ser instalados según estándares profesionales y probados periódicamente. Estos sistemas comprenderán todas las puertas exteriores y ventanas accesibles. Las áreas vacías deben tener alarmas activadas en todo momento. Las instalaciones de procesamiento de información administradas por la organización deben estar físicamente separadas de aquellas administradas por terceros.
Las guías telefónicas y listados de teléfonos internos que identifican las ubicaciones de las instalaciones de procesamiento de información sensible no deben ser fácilmente accesibles al público.
Los suministros a granel, como los útiles de escritorio, no deben ser almacenados en el área protegida hasta que sean requeridos. VOLVER
Desarrollo de tareas en áreas protegidas
El personal sólo debe tener conocimiento de la existencia de un área protegida, o de las actividades que se llevan a cabo dentro de la misma, según el criterio de necesidad de conocer. Se debe evitar el trabajo no controlado en las áreas protegidas tanto por razones de seguridad como para evitar la posibilidad de que se lleven a cabo actividades maliciosas. Las áreas protegidas desocupadas deben ser físicamente bloqueadas y periódicamente inspeccionadas. El personal del servicio de soporte externo debe tener acceso limitado a las áreas protegidas o a las instalaciones de procesamiento de información sensible. Este acceso debe ser otorgado solamente cuando sea necesario y debe ser autorizado y monitoreado. A menos que se autorice expresamente, no debe permitirse el ingreso de equipos fotográficos, de vídeo, audio u otro tipo de equipamiento que registre información.
VOLVER
Aislamiento de las áreas de entrega y carga
El acceso a las áreas de depósito, desde el exterior de la sede de la organización, debe estar limitado a personal que sea previamente identificado y autorizado.
El área de depósito debe ser diseñada de manera tal que los suministros puedan ser descargados sin que el personal que realiza la entrega acceda a otros sectores del edificio.
Todas las puertas exteriores de un área de depósito deben ser aseguradas cuando se abre la puerta interna.
El material entrante debe ser inspeccionado para descartar peligros potenciales (ver 7.2.l d) antes de ser trasladado desde el área de depósito hasta el lugar de uso.
El material entrante debe ser registrado, si corresponde al ingresar al sitio pertinente. VOLVER
Ubicación y protección del equipamiento
El equipamiento debe ser ubicado en un sitio que permita minimizar el acceso innecesario a las áreas de trabajo. Las instalaciones de procesamiento y almacenamiento de información, que manejan datos sensibles, deben ubicarse en un sitio que permita reducir el riesgo de falta de supervisión de las mismas durante su uso. Los ítems que requieren protección especial deben ser aislados para reducir el nivel general de protección requerida. Se deben adoptar controles para minimizar el riesgo de amenazas potenciales, por ej. • • • • • • • • • •
robo incendio explosivos humo; agua (o falta de suministro) polvo vibraciones efectos químicos interferencia en el suministro de energía eléctrica. radiación electromagnética.
La organización debe analizar su política respecto de comer, beber y fumar cerca de las instalaciones de procesamiento de información. Se deben monitorear las condiciones ambientales para verificar que las mismas no afecten de manera adversa el funcionamiento de las instalaciones de procesamiento de la información. Se debe tener en cuenta el uso de métodos de protección especial, como las membranas de teclado, para los equipos ubicados en ambientes industriales. Se debe considerar el impacto de un eventual desastre que tenga lugar en zonas próximas a la sede de la organización, por ej. un incendio en un edificio cercano, la filtración de agua desde el cielo raso o en pisos por debajo del nivel del suelo o una explosión en la calle.
VOLVER
Suministros de energía El equipamiento debe estar protegido con respecto a las posibles fallas en el suministro de energía u otras anomalías eléctricas. Se debe contar con un adecuado suministro de energía que esté de acuerdo con las especificaciones del fabricante o proveedor de los equipos. Entre las alternativas para asegurar la continuidad del suministro de energía podemos enumerar las siguientes:
múltiples bocas de suministro para evitar un único punto de falla en el suministro de energía suministro de energía ininterrumpible (UPS) generador de respaldo.
Se recomienda una UPS para asegurar el apagado regulado y sistemático o la ejecución continua del equipamiento que sustenta las operaciones críticas de la organización. Los planes de contingencia deben contemplar las acciones que han de emprenderse ante una falla de la UPS. Los equipos de UPS deben inspeccionarse periódicamente. Se debe tener en cuenta el empleo de un generador de respaldo si el procesamiento ha de continuar en caso de una falla prolongada en el suministro de energía. VOLVER
Seguridad del cableado
Las líneas de energía eléctrica y telecomunicaciones que se conectan con las instalaciones de procesamiento de información deben ser subterráneas, siempre que sea posible, o sujetas a una adecuada protección alternativa. El cableado de red debe estar protegido contra interceptación no autorizada o daño, por ejemplo mediante el uso de conductos o evitando trayectos que atraviesen áreas públicas. Los cables de energía deben estar separados de los cables de comunicaciones para evitar interferencias. Entre los controles adicionales a considerar para los sistemas sensibles o críticos se encuentran los siguientes
Instalación de conductos blindados y recintos o cajas con cerradura en los puntos terminales y de inspección. uso de rutas o medios de transmisión alternativos uso de cableado de fibra óptica iniciar barridos para eliminar dispositivos no autorizados conectados a los cables.
VOLVER
Mantenimiento de equipos
El equipamiento debe mantenerse de acuerdo con los intervalos servicio y especificaciones recomendados por el proveedor. Sólo el personal de mantenimiento autorizado puede brindar mantenimiento y llevar a cabo reparaciones en el equipamiento. Se deben mantener registros de todas las fallas supuestas o reales y de todo el mantenimiento preventivo y correctivo. Deben implementarse controles cuando se retiran equipos de la sede de la organización para su mantenimiento (ver también 7.2.6 con respecto a borrado, borrado permanente y sobre escritura de datos). VOLVER
Seguridad del equipamiento fuera del ámbito de la organización
Autorizado por el nivel gerencial, sin importar quien es el propietario del mismo. La seguridad provista debe ser equivalente a la suministrada dentro del ámbito de la organización Se deben considerar los siguientes lineamientos: El equipamiento y dispositivos retirados del ámbito de la organización no deben permanecer desatendidos en lugares públicos. Las computadoras personales deben ser transportadas como equipaje de mano y de ser posible enmascaradas, durante el viaje. Se deben respetar permanentemente las instrucciones del fabricante, por ej. protección por exposición a campos electromagnéticos fuertes. Los controles de trabajo en domicilio deben ser determinados a partir de un análisis de riesgo y se aplicarán controles adecuados según corresponda, por ej. gabinetes de archivo con cerradura, política de escritorios limpios y control de acceso a computadoras. Una adecuada cobertura de seguro debe estar en orden para proteger el equipamiento fuera del ámbito de la organización. 1.
VOLVER
Baja segura o reutilización de equipamiento
La información puede verse comprometida por una desafectación descuidada o una reutilización del equipamiento. Los medios de almacenamiento conteniendo material sensitivo, deben ser físicamente destruidos o sobrescritos en forma segura en vez de utilizar las funciones de borrado estándar.
Todos los elementos del equipamiento que contengan dispositivos de almacenamiento, por ej. discos rígidos no removibles, deben ser controlados para asegurar que todos los datos sensitivos y el software bajo licencia, han sido eliminados o sobrescritos antes de su baja.
Puede ser necesario realizar un análisis de riesgo a fin de determinar si medios de almacenamiento dañados, conteniendo datos sensitivos, deben ser destruidos, reparados o desechados. VOLVER
Políticas de escritorios y pantallas limpias Se deben aplicar los siguientes lineamientos.
Cuando corresponda, los documentos en papel y los medios informáticos deben ser almacenados bajo llave en gabinetes y/u otro tipo de mobiliario seguro cuando no están siendo utilizados, especialmente fuera del horario de trabajo. La información sensible o crítica de la empresa debe guardarse bajo llave (preferentemente en una caja fuerte o gabinete a prueba de incendios) cuando no está en uso, especialmente cuando no hay personal en la oficina Las computadoras personales, terminales e impresoras no deben dejarse conectadas cuando están desatendidas y las mismas deben ser protegidas mediante cerraduras de seguridad, contraseñas u otros controles cuando no están en uso. Se deben proteger los puntos de recepción y envío de correo y las máquinas de fax y telex no atendidas Las fotocopiadoras deben estar bloqueadas (o protegidas de alguna manera, del uso no autorizado) fuera del horario normal de trabajo, La información sensible o confidencial, una vez impresa, debe ser retirada de la impresora inmediatamente.
Las principales amenazas que se prevén en la seguridad física son: •Desastres naturales, incendios accidentales tormentas e inundaciones. •Amenazas ocasionadas por el hombre. •Disturbios, sabotajes internos y externos deliberados.
Tipos de Desastres Incendios: El área en la que se encuentran las computadoras debe estar en un local que no sea combustible o inflamable. El local no debe situarse encima, debajo o adyacente a áreas donde se procesen, fabriquen o almacenen materiales inflamables, explosivos, gases tóxicos o sustancias radioactivas. Las paredes deben hacerse de materiales incombustibles y extenderse desde el suelo al techo. Debe construirse un "falso piso" instalado sobre el piso real, con materiales incombustibles y resistentes al fuego. No debe estar permitido fumar en el área de proceso. Deben emplearse muebles incombustibles, y cestos metálicos para papeles. Deben evitarse los materiales plásticos e inflamables. El piso y el techo en el recinto del centro de cómputo y de almacenamiento de los medios magnéticos deben ser impermeables.
Tipos de extintores para áreas de computación Extintores a base de productos Halogenados Actúan, al igual que los extintores a base de polvo, interrumpiendo la reacción química del triángulo de fuego. Tienen la ventaja de ser agentes limpios, son aptos para fuegos de las clases A, B y C. Los extintores de HCFC 123 bajo presión son diseñados para proteger áreas que contienen riesgos de fuego Clase A (combustibles sólidos), Clase B (combustibles líquidos y gaseosos) y Clase C (equipos eléctricos energizados). Aplicaciones típicas: áreas de computadoras, comunicaciones, bibliotecas, documentos, galerías de arte, laboratorios, etc.
Extintores de Agua Vaporizada Los matafuegos de agua pulverizada son diseñados para proteger todas las áreas que contienen riesgos de fuegos Clase A (combustibles sólidos) y Clase C (equipos eléctricos energizados) en forma eficiente y segura. Tienen una boquilla de salida especialmente diseñada para producir una salida del agua en forma de niebla , que sumado a que el agente extintor es agua destilada, lo convierten en un agente extintor que no conduce la electricidad y además no daña los equipos electrónicos que no son atacados por el fuego. Aplicaciones típicas son: servicios aéreos, edificios de departamentos, bancos museos oficinas, hospitales, centro de cómputos, industrias electrónicas, centro de telecomunicaciones, escuelas, supermercados, etc.
Inundaciones Se las define como la invasión de agua por exceso de escurrimientos superficiales o por acumulación en terrenos planos, ocasionada por falta de drenaje ya sea natural o artificial. Esta es una de las causas de mayores desastres en centros de cómputos. Además de las causas naturales de inundaciones, puede existir la posibilidad de una inundación provocada por la necesidad de apagar un incendio en un piso superior. Para evitar este inconveniente se pueden tomar las siguientes medidas: construir un techo impermeable para evitar el paso de agua desde un nivel superior y acondicionar las puertas para contener el agua que bajase por las escaleras.
Condiciones Climatológicas
Normalmente se reciben por anticipado los avisos de tormentas, tempestades, tifones y catástrofes sísmicas similares. Las condiciones atmosféricas severas se asocian a ciertas partes del mundo y la probabilidad de que ocurran está documentada. La frecuencia y severidad de su ocurrencia deben ser tenidas en cuenta al decidir la construcción de un edificio. La comprobación de los informes climatológicos o la existencia de un servicio que notifique la proximidad de una tormenta severa, permite que se tomen precauciones adicionales, tales como la retirada de objetos móviles, la provisión de calor, iluminación o combustible para la emergencia.
Terremotos Estos fenómenos sísmicos pueden ser tan poco intensos que solamente instrumentos muy sensibles los detectan o tan intensos que causan la destrucción de edificios y hasta la pérdida de vidas humanas. El problema es que en la actualidad, estos fenómenos están ocurriendo en lugares donde no se los asociaba. Por fortuna los daños en las zonas improbables suelen ser ligeros.
Acciones Hostiles Robo: La información importante o confidencial puede ser fácilmente copiada. Las computadoras son posesiones valiosas de las empresas y están expuestas. El software, es una propiedad muy fácilmente sustraíble y las cintas y discos son fácilmente copiados sin dejar ningún rastro. Fraude: Cada año, millones de dólares son sustraídos de empresas y, en muchas ocasiones, las computadoras han sido utilizadas como instrumento para dichos fines. Sabotaje: uno de los retos más duros. Este puede ser un empleado o un sujeto ajeno a la propia empresa. Físicamente, los imanes son las herramientas a las que se recurre, ya que con una ligera pasada la información desaparece. Las líneas de comunicaciones y eléctricas pueden ser cortadas
Control de Accesos Guardias Detector de metales Sistemas Biométricos Verificador de firmas Protección electrónica
Conclusiones Evaluar y controlar permanentemente la seguridad física del edificio es la base para o comenzar a integrar la seguridad como una función primordial dentro de cualquier organismo. • Tener controlado el ambiente y acceso físico permite: • disminuir siniestros • trabajar mejor manteniendo la sensación de seguridad • descartar falsas hipótesis si se produjeran incidentes • tener los medios para luchar contra accidentes