Fundamentos de Seguridad de la Información y Gestión de Riesgos

Objetivos de la Seguridad

• 1. Detectar los posibles problemas y amenazas a la seguridad.
• 2. Gestionar y minimizar los riesgos de seguridad.
• 3. Garantizar la correcta utilización de los recursos.
• 4. Limitar las pérdidas y recuperarse adecuadamente en caso de incidente.
• 5. Cumplir la legislación y los requisitos contractuales de seguridad.

Niveles de Madurez

• 1. Implantación de medidas básicas.
• 2. Adaptación al marco legal y las exigencias de clientes.
• 3. Gestión integral de la seguridad de la información.
• 4. Certificación de la gestión de la seguridad de la información.

Aspectos a Considerar en la Implantación de un SGSI

• 1. Formalizar la gestión de la seguridad de la información.
• 2. Analizar y gestionar los riesgos de seguridad.
• 3. Establecer los procesos de gestión de la seguridad (ciclo PDCA).
• 4. Certificar la gestión de la seguridad.

Esquema Nacional de Seguridad (ENS)

Principios básicos para gestionar la seguridad de las Administraciones Públicas:

• Seguridad como proceso integral.
• Gestión basada en los riesgos.
• Líneas de defensa.
• Vigilancia continua.
• Reevaluación periódica.
• Diferenciación de responsabilidades.
• Profesionalidad.
• Mínimo privilegio.
• Gestión del personal.

Definiciones Fundamentales

Definición de Norma

Es una colección de requisitos para sistemas o procedimientos que se deben cumplir obligatoriamente, proporcionando soporte a las políticas.

Definición de Directriz

Colección de sugerencias específicas para sistemas o procedimientos con el fin de alcanzar las mejores prácticas posibles.

Definición de Procedimiento

Secuencia obligatoria de acciones detalladas paso a paso que son necesarias para completar con éxito una tarea.

Tipos de Estimaciones del Riesgo

• 1. Riesgo Inherente: Estimado sin tener en cuenta las medidas de protección existentes.
• 2. Riesgo Actual: Estimado teniendo en cuenta las medidas de protección existentes.
• 3. Riesgo Residual: Estimado teniendo en cuenta las medidas de protección existentes y las nuevas medidas planificadas.

Criptosistema Híbrido (AES + RSA)

El funcionamiento de un sistema AES + RSA se desarrolla de la siguiente manera:

• 1. Se calculan las claves públicas y privadas mediante RSA en el emisor.
• 2. El destinatario genera la clave simétrica con AES y la cifra con la clave pública (mediante RSA) del emisor.
• 3. El destinatario le envía esa clave AES cifrada al emisor.
• 4. El emisor la descifra y la utiliza para realizar el cifrado.

Propiedades de una Función Hash

Una función hash debe contar con las siguientes propiedades:

• Bajo coste computacional.
• Determinismo.
• Uniformidad.
• Unidireccionalidad.
• Difusión.
• Resistencia débil a colisiones.
• Resistencia fuerte a colisiones.