Seguridad de los Sistemas Computarizados.

8.1 La seguridad en computación. Análisis de riesgos.

La seguridad no es absoluta en los sistemas de computación, para tener seguridad absoluta se requiere de excesivos costos, lo cual no lo favorece.

Aún cuando queramos hacer un sistema único, en sistema corre bajo otro (S.O) que otro lo fabricó y cualquier persona que conozca del S.O, puede vulnerar mi S.O y quizás el Sistema de Aplicación. Por ende la seguridad absoluta es imposible.

La seguridad de los Sistemas Computarizados pueden ser vulnerables por 3 peligros.:

1.- Desastres naturales: incendio, inundación de salas donde está el equipo, descarga eléctrica que destruya el sistema informativo.

2.- Errores y omisiones humanas: errores y omisiones que se realizan sin intención. Ej. un operador destruye un archivo por poner mal una clave (error). El operador se olvidó de hacer el Backup (omisión).

3.- Actos intencionales: actos deliberados de personas por destruir, robar información, para hacer espionaje entre empresas. Pueden ser cometidas por personas dentro o fuera de la empresa.

Buscan sacar provecho (robar listado de clientes), o con el ánimo de causar daño.

Seguridad: puede referirse a:

• La seguridad de la información.: a que la información mantenga su integridad, no sea alterada, considerando que la información es un activo de la empresa y debemos evitar su pérdida, alteración.

• La seguridad del procesamiento de datos: confiabilidad de los sistemas, de modo de asegurar que los sistemas sean accesibles sólo a las personas autorizadas.

Privacidad: Se refiere al derecho inalienable que en principio tiene toda persona a determinar quién puede tener acceso a datos personales y en qué forma.

Derecho elemental, básico, de determinar qué información referida a sí mismo puede ser pública.

Las bases de datos de las empresas pueden verse si no tienen control de seguridad.

Antes no había legislación, ahora se han generado legislación que protege a las personas.

Confidencialidad de la información: También hay un concepto de reserva de la información como el de privacidad, pero en este caso obedece a un criterio de la empresa que determina qué información puede estar disponible a otra persona y qué información no, a través de cuestiones estratégicas- Ej. estructuras de costos (muchos gerentes no lo conocen, sólo pocas personas)Ej. se mantiene mucha reserva de cuánto se le paga a cada uno.

Integridad: se refiere a que la información mantenga su composición, que no sea alterada y se relaciona con Valor de la información.

Tiene valor si está disponible en un momento determinado y que sea íntegra, porque sino no tiene valor.

Propiedades del valor de la información:

• Capacidad para eliminar incertidumbre.

• Oportunidad: tener la información en el momento en que se la requiere.

• Inalterabilidad: composición.

• Disponibilidad: que esté cuando se la requiere.

Para encarar una estrategia de seguridad nos planteamos, qué función básica debe tener nuestra estrategia de seguridad?

Evitar el peligro: incendio(sistema de incendio)

Disuadir: sirve para seguridad Ej. que todo el mundo sepa que hay controles de acceso, claves, etc; y que hay sanciones, cámaras de TV, crea en un posible peligro, un riesgo o temor.

Prevenir: si puedo evitarlo , no hay problema. Es anticiparnos a la ocurrencia de algún suceso y da origen al plan de contingencia, donde se prevén hechos que pueden ocurrir y cuál sería su solución o cómo evitarlo.

Detección: si no puedo evitar, disuadir a quien lo iba a cometer, si no se lo pude prevenir, debo detectarlo con precisión y rapidez.

Recuperación y corrección: lo que detecté debo recuperar y corregir.

Prevención

Detección Plan de contingencia

Recuperación y Corrección

Plan de contingencia: Plan donde se prevén todos los hechos de posible ocurrencia y la manera de actuar.

Para definir una Estrategia de Seguridad que trate de neutralizar y si no de minimizar los peligros de la seguridad.

Va a estar destinada a neutralizar o minimizar la misma porque ésta no vulneren o dañen la integridad de la información.

Formas de encarar los peligros:

1).- Minimizar la posibilidad de ocurrencia: teniendo en cuenta el costo, todo peligro tiene una probabilidad de ocurrencia, puedo tratar de minimizarla. La seguridad total es imposible. ð seguridad ð costo.

2).- Reduciendo al máximo posible el daño sufrido: tenemos un sistema de claves, fue vulnerado, si no puedo evitar, se puede prever que cuando exista un acceso no autorizado no cause mucho daño. Si se bloquea todo el sistema, no se deja que modifiquen los archivos.

3).- Disponer la forma de recuperar de la manera más rápida posible los daños sufridos. Ej. en caso de archivos tener un sistema de recuperación a través de un backup.

4).-Después de ocurrido un daño de cualquier naturaleza, se hace una evaluación de lo ocurrido y un ajuste de las medidas de seguridad. Ej. si una persona vulnera mi sistema de claves, cambio mi sistema, sus claves y la forma de poner las claves.

No existe la posibilidad de mantener un nivel igual de seguridad en el tiempo, los hackers se perfeccionan y logran vulnerar el sistema. Por lo tanto hay que mejorar la seguridad.

Análisis de riesgos

Es importante hacer un análisis porque no todos los peligros tienen una misma posibilidad de ocurrencia, ni producen los mismos daños.

Ej. la probabilidad de que un operador se equivoque es de15 ó 20 veces por día. La probabilidad de incendio: 1 en 5 años, mayor daño, inundación, 1 en 10 años.

Característica de Análisis de Riesgo:

1).- debe permitir cuantificar el daño que puede ocurrir, si no se puede cuantificar no tiene validez.

2).- Simplicidad: Método que permite a la empresa, en forma muy simple el análisis de riesgo.

3).- fácil de utilizar.

Elementos importantes:

1).-determinación del impacto que puede causar un peligro determinado. Esta determinación debe expresarse en términos monetarios. Ej. calcular cuanto cuesta perder un archivo, que no roben la lista de clientes, que por falla eléctrica se descomponga el sistema, etc.

2).- Determinar la probabilidad de ocurrencia.

Cualquier análisis requiere hacer estos dos elementos como mínimo.

Existen métodos:

• Courney, calcula la probabilidad de ocurrencia y el costo.

• Matriz de Riesgo

Qué hacer con el riesgo?

a).-Evitarlo (Ideal). Ej. el riesgo de que los programas fuente sean sustraídos por alguna persona., se que puede hacer? los llevo a mi casa.

Si no puedo evitarlo y conozco la probabilidad de la ocurrencia puedo:

b).- Tolerarlo o soportarlo: No puedo evitar totalmente el daño de un archivo, o el robo, pero puedo acotar el riesgo, minimizarlo. Hay que reducir la incertidumbre a través del análisis de riesgo

c).- Reducirlo.

d),- Transferir el riesgo: Ej. a través de un seguro.

8.2. Seguridad Física

Hay dos tipos de seguridad del sistema de Procesamiento de Datos:

• Parte física: Seguridad Física.

• Parte lógica: Seguridad Lógica.

Hardware y su entorno:

El peligro más común:

a).- Incendio: produce mayor daño físico, puede destruir el equipo y el soporte magnético (disquete, cintas, etc)

1.- Ubicación física: debemos tratar de que el computador y los medios magnéticos no estén en lugares con alta probabilidad de incendio. Por ej. que no estén al Este o sin cortina porque el sol destruye los medios magnéticos.

2.- Disposición física de los equipos (lay out) Hoy las instalaciones se hacen en base a redes. La tecnología permite ubicar un equipo en cualquier lugar, que no haya en un lugar reducido todo un excesivo equipo, donde va el cableado. Es importante que algún especialista se fije en esto, y que haya un sistema donde se lleve el cableado.

3.- Dispositivos de protección contra incendio: usar materiales no inflamables.

• Sensores de calor, humo, etc.

• Medios de extinción, que no sea con agua.

b).- Señales o Descarga: cuando se está cerca de un transformador se produce reacción, ej.

el cable coaxil es muy sensible a los rayos, etc.

Ej. cigarrillo: puede caer cenizas, polvo en los discos y lo pueden destruir.

El plan de contingencia debe incluir que debe hacer cada persona en estas situaciones y que no debe hacer.

Eventos:

• Riesgo intencional: Con fines determinados (estafa, fraude, robo).Ej. cuando un empleado no recibe sueldo y por eso borra un archivo.

• Riesgos accidentales: Pueden ser:

• Técnicos( fallas Hardware, de la CPU.

• Naturales (inundación, incendio, etc.)

Ejemplos:

• El caso de un Banco que previó la contingencia y alquiló un equipo igual, cuando el que estaba en uso cayó. Se realizó un sistema paralelo al sistema real .

• En materia de comunicaciones (Telecom.) .La empresa asignó personal técnico para probar una línea TE punto apunto y a parte las líneas funcionando normalmente.

La prueba se hizo el 3 de enero, el costo fue alto.

1. Resguardo de Archivo:

• Maestro

• Novedades

• Bases de Datos

Resguardan la integridad de los archivos.

Si se destruye el archivo perdemos todo (activo de la empresa)

2. También deben realizarse copias de resguardo del Software, tanto del:

software de aplicación como del software de base, para seguir contando con los elementos cuando éstos se destruyan.

Evitar el riesgo de quedarse con sólo una versión .

Si se destruye el archivo perdemos todo un activo de la empresa.

3- Back up del equipo es un procesamiento alternativo en caso de desperfecto de nuestro equipo o red .

Cualquier empresa mediana tiene más de un equipo; puedo asegurar el procesamiento cuando alguien me autorice a realizar el procesamiento en otro equipo y yo también puedo autorizar.

Se tiene asegurado el proceso en otro equipo cuando el primero no funciona.

Asegurar la posibilidad de un procedimiento alternativo para continuar el proceso en otro equipo para evitar detenciones ante un error.

Que forma o métodos se requieren organizar back up de archivos:

1_Duplicación directa -aplicable en sistemas de aplicación en patch (no son en tiempo real)

Hago el original y una copia . Ej: Liquidación de sueldos.

Hago archivo maestro actualizado.

Puedo hacerlo al final del día, pero si en el medio del día deja de funcionar se pierde toda la información.

2_Archivar diferenciando un archivo al comienzo del día , a partir de ahí la empresa determina en período de tiempo para generar archivos. (c/hora).

Genera archivo y se acota el riesgo de perder todo lo del día.

El archivo diferencial de la hora siguiente reemplaza al de la hora anterior.

Sistema de Back up automático:

• Cuando cerramos windows este cierra los archivos.

• Cuando cerramos un documento y no se pierde si queremos guardar los cambios.

El auditor debe quedar convencido de que los archivos de la empresa quedan asegurados con las copias de resguardo.

Dónde depositamos las copias?

Si tenemos todas las copias en el mismo lugar se destruyen todas juntas. (incendio)

Podemos guardar una a mano y otras en otro lugar distanciado.

Resguarda la integridad de los archivos

Con la información correcta

Y que estén disponibles en cualquier momento.

Seguridad Lógica

Se refiere a mantener la integridad inalterabilidad de la información contenida en archivos y base de datos de la empresa.

Diseño mi esquema de seguridad a través del software porque es el que dirige el proceso de obtener información.

La única forma que puede alterarse, perderse o robarse la información es a través del software.

El método más eficiente de mantener una seguridad lógica es a través de:

Passwords o claves: código que identifica a un usuario y que en base al sistema de seguridad que se diseñe e implemente tendrán o no acceso a determinada información.

Es un programa va a permitir que alguien entre o no a consultar y/o a modificar un archivo o no. Va a verificar si esa clave ingresa , si está grabado en el archivo, y si lo está lo deja entrar, sino no lo deja acceder.

1_ Definición de los criterios y tipos de acceso: las claves son efectivas pero hay que tener en cuenta a quien se le da esa clave , el auditor debe participar en el sistema de creación y entrega de clave.

Cada usuario distinto podrá acceder a varios archivos y no podrá acceder a otros y además determina si es para consulta, consulta y modificación, consulta modificación e impresión , etc. (facturación)

A que archivo accede cada usuario y para que?

El gerente no puede facturar , solo debe consultar.

El mejor análisis de necesidades y acceso de trabajo es el mejor sistema de seguridad.

2_Operatoria de la clave: implica

El tiempo de respuesta (20 seg. para poner la clave)

Cantidad de rechazos, a 3 rechazos bloquea el sistema (la terminal). Ese evento aparece en la terminal del administrador de seguridad.

3_ Forma de la clave:

Que no sea tan extensa, imposible de memorizar.

Que no sea tan pequeña, muy rápido de conocer.

4_Cambio periódico de la clave: las claves son personales pero no secretas a través del tiempo hay que cambiarlas.

A veces los sistemas en forma automática avisan que hay que cambiar la clave.

O tiene un comité (como los bancos) donde van a todos lados y con un acta las cambian (dan de baja la clave y dan de alta las claves nuevas), cada uno es responsable de su clave.

El auditor debe verificarla junto al administrador de seguridad.

• Elemento que posee el usuario . Tarjeta magnética o llave física, Ej.cajero automático.

No reemplaza el sistema de control lógico a través del software, pero lo complementa.

• Restricción al acceso físico Ej: tengo dos terminales en tesorería puedo tener normas de que nadie ingrese a tesorería que no este autorizado.

Acceder

Tener la tarjeta

conocer código(sin eso es muy difícil acceder).

• Característica física del usuario: dispositivo de oculista , huellas digitales, voz, impiden el acceso a personas a lugares no autorizados.

Delito informático: Toda aquella conducta ilícita que proviene de la utilización de sistemas informáticos.

Se han multiplicados la estafas o fraudes porque todo se hace por computadora.

Características:

• Facilidad para encubrir el hecho.

• Facilidad para borrar las pruebas.

1_ Por medio informático (computadora)

2- Requiere de cierta pericia . Media o superior a media. (conocimientos de computación)

3_Pueden realizarse sin ningún tipo de rastros

4_Mayor velocidad

5_Todavía no existe una legislación clara y explicita del delito informático.

6_Hecho que se da en un banco los propios bancos perjudicados son los que ocultan los hechos porque no quieren reconocer que no tiene seguridad.

Ética y confidencialidad:

Confidencialidad: lo que hace a mi persona y que otras no pueden verla.

Derecho de la confidencialidad - privacidad -: es un derecho personalísimo.

Debemos mantener la privacidad e intimidad de los derechos personales.

Los datos personales forman parte de ese derecho. Este derecho entro en peligro porque comienzan a funcionar las bases de datos que tiene mucha información.

Habeas Data: Toda persona podrá interponer esta acción para tomar conocimiento de los datos a ellas referidos y a su finalidad, que conste en registros o en bancos de datos públicos , o los privados destinados a proveer informes y en caso de falsedad o discriminación para exigir la supresión , (rectificación, confidencialidad o actualización de aquellos.)

Es la posibilidad que tiene una persona ante el juez de exigir a otra que los datos que tenga que son suyos ( que no están autorizados) le exija que los elimine.

8