Fundamentos de seguridad informática: pilares, amenazas y medidas LOPD

Resumen

El documento repasa los pilares de la seguridad de la información (confidencialidad, autenticación, autorización, cifrado, disponibilidad, integridad y no repudio), los tipos de ataques informáticos y las amenazas más comunes. Incluye también buenas prácticas para el técnico en seguridad y los tres niveles de medidas de la LOPD para proteger los datos personales.

Puntos clave

La confidencialidad garantiza que la información solo sea utilizada por personas o máquinas autorizadas.
La autenticación verifica que una persona o máquina es quien dice ser; la autorización gestiona los privilegios sobre la información.
Los cuatro tipos de ataques son interrupción, interceptación, modificación y fabricación (suplantación de la identidad del destino).
El phishing crea una web idéntica a la original para robar credenciales; los keyloggers registran las teclas pulsadas; la fuerza bruta prueba combinaciones masivas para descifrar contraseñas.
El principio de menor privilegio recomienda minimizar el software instalado en los equipos.
La LOPD establece tres niveles de medidas: básico (identificación, registro de incidencias y copia semanal), medio (auditoría externa cada dos años y control de acceso físico) y alto (cifrado y registro de todas las operaciones).

Ponte a prueba

Pilares de la Seguridad de la Información

Confidencialidad: La información solo debe ser utilizada por personas o máquinas autorizadas.
Autenticación: Proceso para verificar que la persona o máquina es quien dice ser.
Autorización: Gestión de los privilegios que los usuarios tienen sobre la información.
Cifrado: Mecanismo para garantizar que, si no se está autenticado, no se pueda acceder a información restringida.
Disponibilidad: Garantía de poder acceder a los recursos con normalidad.
Integridad: Asegurar que los datos queden almacenados tal y como espera el usuario.
No repudio: Relación entre dos partes en la cual ninguna podrá negar un acuerdo o transacción realizada.

Tipos de Ataques Informáticos

A. Interrupción: Corte o denegación en la prestación de un servicio.
B. Interceptación: Copia no autorizada de información durante su transmisión.
C. Modificación: Alteración de la información para provocar un fallo o defecto.
D. Fabricación: El atacante suplanta la identidad del destino.

Amenazas comunes

Phishing: Creación de una web idéntica a la original para el robo de credenciales.
Keyloggers: Troyanos instalados en las máquinas capaces de registrar las teclas pulsadas.
Fuerza bruta: Generación masiva de combinaciones posibles para descifrar contraseñas.

Buenas Prácticas en Seguridad

Funciones del técnico en seguridad:

Localizar activos a proteger y revisar periódicamente las copias de seguridad.
Redactar y revisar regularmente los planes de adaptación ante catástrofes.
Minimizar el software instalado (principio de menor privilegio) y mantenerse al día en informes de seguridad.
Configurar actualizaciones automáticas.
Impartir formación continua a los usuarios.
Revisar los registros (logs) del sistema.
Auditar la lista de equipos activos y usuarios.

LOPD: Protección de Datos Personales

Existen tres niveles de medidas para proteger el tratamiento de datos personales:

Nivel Básico

Aplicable a cualquier fichero de datos de carácter personal. Las medidas incluyen:

Identificar y autenticar a los usuarios que traten estos datos.
Mantener un registro de incidencias del fichero.
Realizar una copia de seguridad semanal.

Nivel Medio

Aplicable a informes financieros, cuestiones penales, etc. Las medidas incluyen:

Todas las medidas del nivel básico.
Auditoría externa cada dos años sobre seguridad.
Control de acceso físico a los sistemas de almacenamiento.

Nivel Alto

Aplicable a datos sobre ideología, vida sexual, historial médico, etc. Las medidas incluyen:

Cifrado y registro de todas las operaciones realizadas sobre los ficheros incluidos en este nivel.

Preguntas frecuentes

¿Qué es el principio de menor privilegio?

Es una buena práctica de seguridad que consiste en minimizar el software instalado y los permisos concedidos, de forma que cada usuario o sistema solo tenga los accesos estrictamente necesarios.

¿Qué medidas incluye el nivel básico de la LOPD?

Incluye identificar y autenticar a los usuarios que tratan los datos, mantener un registro de incidencias del fichero y realizar una copia de seguridad semanal. Se aplica a cualquier fichero de datos personales.

¿Qué diferencia hay entre autenticación y autorización?

La autenticación verifica la identidad de la persona o máquina, mientras que la autorización gestiona los privilegios que esa persona tiene sobre la información.