Estrategias de Seguridad Informática y Control de Acceso Organizacional

¿Cómo proteger la información? (4A)

Primera línea de defensa

Política de seguridad: Documento sencillo que define las directrices organizativas en materia de seguridad. La política se suele dividir o apoyar en normativas que cubren áreas más específicas. Hasta ahora, no proporcionamos seguridad "directa": todo es papel. La política o las normativas se implantan mediante mecanismos de seguridad.

Flujo de implementación:
POLÍTICA DE SEGURIDAD → NORMATIVAS → MECANISMOS DE SEGURIDAD → IMPLANTACIÓN

Estructura de la Política de Seguridad Informática

Declaración de la Alta Gerencia:

• Políticas Organizacionales
• Políticas Funcionales
• Estándares (ISO) | Líneas Base (Baselines)
• Normas recomendadas (Guidelines)
• Procedimientos detallados

Organismos de referencia: IEEE, ISC, CERT.

Mecanismos de seguridad

• Prevención: Evitan desviaciones con respecto a la política de seguridad.
• Detección: Detectan dichas desviaciones si estas se producen.
• Recuperación: Aseguran el funcionamiento correcto tras una desviación.

Sistemas de detección de intrusiones, firewalls, antivirus, filtros de contenido, políticas, normas + conciencia de seguridad de cada usuario = SEGURIDAD INFORMÁTICA.

Resumen

La seguridad es un “proceso continuo” que debe ser retroalimentado constantemente y es de responsabilidad de todos los miembros de la institución.

Sistemas de Control de Acceso (4B)

Definición: Habilidad de solo permitir acceso al sistema o cualquiera de sus recursos a usuarios, programas y procesos debidamente autorizados. Es el otorgamiento y denegación de permisos de acceso a un recurso en base a un modelo de seguridad determinado. Es un conjunto completo de procedimientos ejecutados por hardware, software y administradores, para monitorear accesos, identificar usuarios requirentes de accesos, registrar intentos de acceso, y otorgar o denegar accesos de acuerdo a reglas predeterminadas.

¿Qué se busca proteger?

• Datos: Divulgación, modificación y copiado no autorizado.
• Sistemas: Uso, modificación y denegación de servicios no autorizados.

Es conveniente recordar que casi todos los sistemas operativos de red conocidos (NT, Unix, Vines, NetWare) están basados en una infraestructura física segura.

Principio de Mínimo Privilegio

Cualquier objeto (usuario, administrador, programa, sistema) debe tener el mínimo privilegio necesario, y posible, para realizar sus tareas específicas. El sistema de control de acceso debe otorgar aquellos permisos/derechos que aseguren que la tarea que se desea realizar se pueda hacer; no más, no menos.

Tipos de controles (5A)

Administrativos: Incluye políticas y procedimientos, Security Awareness (Concientización), entrenamiento, background checks (verificación de antecedentes), estudios de hábitos de trabajo, supervisión, etc.