Control de acceso lógico y políticas de seguridad

Control de acceso lógico

El control de acceso lógico es la principal línea de defensa para la mayoría de los sistemas, permitiendo prevenir el ingreso de personas no autorizadas a la información de los mismos.

Procesos de control de acceso

Para realizar la tarea de controlar el acceso se emplean 2 procesos: la identificación y la autenticación. Una de las posibles técnicas para implementar esta única identificación de usuarios sería la utilización de un servidor de autenticaciones sobre el cual los usuarios se identifican y que se encarga luego de autenticar al usuario sobre los restantes equipos a los que éste pueda acceder.

Ataques comunes

Los sistemas de control de acceso protegidos con contraseña, suelen ser un punto crítico de la seguridad y por ello suelen recibir distintos tipos de ataques, los más comunes son:

• Ataque de fuerza bruta: se intenta recuperar una clave probando todas las combinaciones posibles
• Ataque de diccionario: intentar averiguar una clave probando todas las palabras de un diccionario.

Una forma sencilla de proteger un sistema contra estos ataques es establecer un número máximo de tentativas, de esta forma se bloquea el sistema automáticamente después de un número de intentos fallidos.

Política de contraseñas

Las contraseñas son las claves que se utilizan para obtener acceso a información personal que se ha almacenado en el equipo y aplicaciones, como en los entornos web. Para que una contraseña sea segura se recomienda:

• Longitud mínima: 8 caracteres lo ideal sería 14.
• Combinación de caracteres: num-mayus-minu-caract especiales.

Algunos métodos que suelen emplearse para crear contraseñas resultan fáciles de adivinar, a fin de evitar contraseñas poco seguras, se recomienda:

• No incluir secuencias ni caracteres repetidos.
• No utilizar el nombre de inicio de sesión.
• No utilizar palabras de diccionario de ningún idioma.
• Utilizar varias contraseñas para distintos entornos.
• Evitar la opción de contraseña en blanco.
• No revelar la contraseña a nadie y no escribirla en equipos que no controlas.
• Cambiar las contraseñas con regularidad.

Política de usuarios y grupos

La definición de cuentas de usuario y su asignación a perfiles determinados, grupos o roles, así como la asignación de privilegios sobre los objetos del sistema es uno de los aspectos fundamentales de la seguridad, y una de las tareas fundamentales del administrador de sistemas.

Este proceso lleva generalmente cuatro pasos:

• Definición de puestos: separación de funciones posibles y dar permisos de acceso requeridos por cada puesto para la ejecución de las tareas asignadas.
• Determinación de la sensibilidad del puesto: determinar si una función requiere permisos críticos que le permitan alterar procesos, visualizar información confidencial, etc.
• Elección de la persona para cada puesto: requiere considerar los requerimientos de experiencia y conocimientos técnicos necesarios para cada puesto.
• Formación inicial y continua de los usuarios: deben conocer las pautas organizacionales, su responsabilidad en cuanto a la seguridad informática y lo que se espera de él.