Explorando los Niveles de Seguridad en Sistemas y Datos Informáticos

Niveles de Seguridad y Principios Fundamentales

Comprender los diversos niveles de garantía que ofrecen los sistemas y las firmas electrónicas es crucial. Los beneficios y riesgos asociados deben ser evaluados cuidadosamente por cualquier persona, empresa o institución que considere adoptar estas tecnologías para el intercambio de mensajes de datos o documentos electrónicos.

Clasificación de Niveles de Seguridad (de menor a mayor exigencia)

Estos niveles establecen requisitos progresivos para la protección de la información:

• Nivel D: Sistemas con exigencias de seguridad mínimas. No se requiere ninguna característica particular para esta clasificación.
• Nivel C1: Deben permitir la separación entre datos y usuarios. Se debe poder limitar el acceso a determinados datos por parte de los usuarios, quienes tienen que identificarse y validarse para ser admitidos en el sistema.
• Nivel C2: Los usuarios deben poder permitir o denegar el acceso a datos a usuarios específicos. Se requiere una auditoría de accesos y de intentos fallidos de acceso a objetos (archivos, etc.).
• Nivel B1: Se exige el control de acceso obligatorio. A cada objeto del sistema (usuario o dato) se le asigna una etiqueta con un nivel de seguridad jerárquico (por ejemplo: alto secreto, secreto, reservado) y categorías (contabilidad, nóminas, ventas, etc.).
• Nivel B2: Debe contar con un modelo teórico de seguridad verificable. Ha de existir un rol de usuario con los privilegios necesarios para implementar las políticas de control, distinto al administrador del sistema. Los canales de entrada y salida deben estar restringidos para evitar fugas o la introducción indebida de datos.
• Nivel B3: Se requiere un argumento convincente de que el sistema es seguro y resistente. Debe poderse definir la protección para cada objeto individualmente. Tiene que existir un monitor de referencia que intercepte las peticiones de acceso, permitiéndolas o denegándolas según las políticas definidas. El sistema debe ser muy resistente a la penetración de intrusos y contar con una auditoría que permita detectar posibles violaciones de seguridad.
• Nivel A1: Cumplen los mismos requerimientos que los de nivel B3, pero adicionalmente, el modelo de seguridad definido debe estar comprobado formalmente mediante técnicas matemáticas o lógicas.

Principios de la Seguridad Informática

Toda organización debe mantenerse a la vanguardia de los procesos de cambio. En este contexto, disponer de información continua, confiable y oportuna constituye una ventaja fundamental. La seguridad informática es clave para proteger este activo.

Objetivos Esenciales de la Seguridad Informática

La seguridad informática debe garantizar:

• La disponibilidad de los sistemas de información (que estén operativos cuando se necesiten).
• La recuperación rápida y completa de los sistemas de información ante incidentes.
• La integridad de la información (que no sea modificada sin autorización).
• La confidencialidad de la información (que solo sea accesible por personal autorizado).