Componentes de la administración de los riesgos de seguridad

Necesidad de un programa de seguridad estratégico

 

La seguridad constituye el equilibrio entre la capacidad para mantener la facilidad de uso de los recursos en la organización y, a su vez, controlar el acceso a dichos recursos. La elaboración de un programa de seguridad que restrinja tanto a los usuarios como los ataques puede ser un proceso lento y costoso. Un programa de seguridad que se incline demasiado hacia el control podría generar descontento entre los usuarios con directivas que les impidan trabajar de manera eficaz.

 

Por el contrario, un programa de seguridad demasiado flexible podría crear una actitud complaciente entre los usuarios con respecto a la seguridad en el lugar de trabajo además de ofrecer más oportunidades para los atacantes. Para evitar entrar en otras cuestiones problemáticas, es fundamental informar sobre la importancia de la seguridad en la organización. Si los estatutos, directivas y planes de seguridad no se implementan "por completo", habrá más problemas en el futuro. Cuando la calidad es una parte esencial de los proyectos de tecnología de la información (TI) en los que la perfección constituye un principio fundamental, se debe aplicar ese mismo principio para asegurar un alto nivel de seguridad en la organización.

Un factor importante para el éxito de una infraestructura segura se relaciona con el desarrollo de un proceso eficaz de administración de riesgos de seguridad. A través de la eficacia en los procesos de identificación, evaluación, administración, mitigación y ejecución de los riesgos, al igual que mediante planes de contingencia, es posible reducir las probabilidades de que aparezca un riesgo y, en el caso de que éste se materialice, se podrá minimizar el impacto o las consecuencias.

 

La implementación, ejecución y optimización continua de los planes de seguridad de la organización se vuelven cada vez más importantes a medida que la tecnología evoluciona y surgen nuevos métodos para sacar provecho de ésta. Los programas de seguridad deben cambiar con el tiempo ya que necesitan de una atención constante para poder supervisar su eficacia y determinar cuándo es necesario desarrollar nuevas directivas y procedimientos. También deben tener en cuenta posibles derivaciones legales a través de los Planes de respuesta a incidencias diseñados para el entorno corporativo, ya que la posibilidad de recibir una demanda por errores en la seguridad puede suponer un problema grave.

 

En el proceso de evaluación del riesgo de seguridad existen ocho consideraciones básicas que deben abordarse:

 

•	Requisitos de seguridad para los activos. Definir todos los componentes de la infraestructura de la organización que requieran cualquier grado de protección, inclusive sistemas, redes, aplicaciones e información comercial. La valoración del activo debe llevarse a cabo en forma tanto cuantitativa como cualitativa para poder planear adecuadamente las contramedidas y protecciones.
•	Análisis de amenazas. Crear una lista de los programas para sacar provecho de los puntos débiles conocidos y determinar la posibilidad de una posible amenaza proveniente de cada uno de ellos. Un punto débil es un recurso que puede utilizar una amenaza para tener acceso a través de una vulnerabilidad en el entorno. Para poder realizar un análisis de amenazas adecuado, es necesario compilar una lista con los agentes de amenaza más comunes en el entorno. Una amenaza es cualquier peligro potencial para la información o los sistemas en el entorno. Un agente amenazante es la persona o el proceso que ataca a la red a través de un puerto vulnerable en el servidor de seguridad, o un proceso que se utiliza para obtener acceso a información de una forma que infringe las directivas de seguridad.
•	Identificación de exposiciones. Analizar el porcentaje de pérdida de activo a causa de cada amenaza identificada. La identificación y definición del valor de pérdida potencial de cada exposición es un componente fundamental en el análisis de riesgos de seguridad.
•	Evaluación de vulnerabilidad. Elaborar una lista completa de todas las vulnerabilidades existentes que se pueden usar contra aquellos activos que necesitan algún grado de protección. Una vulnerabilidad es cualquier debilidad en un sistema de información o en alguno de sus componentes (por ejemplo: procedimientos de seguridad del sistema, diseño de hardware, diseño de software y controles internos) que se puede aprovechar.
•	Desarrollo de contramedidas. Desarrollar una contramedida de riesgo de seguridad adecuada que sea lógica desde el punto de vista comercial, es decir, que sea rentable para proteger los activos de la organización.
•	Pruebas de penetración. Utilizar las pruebas de penetración para identificar las diferentes maneras en que un individuo no autorizado puede tener acceso a la organización. Entre los métodos comunes de pruebas de penetración se incluyen: • Exploración de recursos externos para identificar blancos potenciales. • War pinging(técnica de "detonación") para identificar direcciones de IP inseguras. War pinging es una herramienta que utilizan los intrusos para encontrar una serie de números de IP y descubrir qué números están en uso o responden dentro del tiempo establecido. Estos resultados se pueden guardar como archivos .csv e importarse a bases de datos. • Ingeniería social para localizar a aquellas personas que pudieran ser engañadas y revelen sus contraseñas o algún tipo de información de seguridad que pudiera proporcionar información confidencial accidentalmente. • Ingreso al edificio para determinar la facilidad de acceso físico a las instalaciones.

 

Estas pruebas son útiles para incrementar la atención que una organización le presta a las directivas de seguridad. Una de las consideraciones más importantes al realizar una prueba de penetración es solicitar los servicios de un agente externo de conocida reputación.

 

•

Respuesta a incidencias. Un buen plan de respuesta a incidencias detalla los procedimientos específicos que se deben seguir a medida que obtiene más información sobre ataques a la organización. Por lo general, el orden a seguir en los procedimientos delineados en el programa de seguridad estará determinado por la naturaleza de los síntomas del ataque. Debido a que el tiempo es un factor fundamental, se deben implementar aquellos procedimientos que lleven menos tiempo antes de los que entrañen un período de tiempo más extenso.

•

Alcance de las tareas para asegurar los activos. Definir la cantidad total de trabajo, incluso el tiempo, el esfuerzo y el dinero necesarios para ofrecer la seguridad suficiente y para mantener la infraestructura general indicada desde el punto de vista del soporte y usuario final de la organización. El análisis coste-beneficio para una protección determinada debe derivar de un análisis de riesgo de seguridad adecuado junto al activo del coste total de propiedad (CTP) o del retorno de la inversión (RDI) de la organización.

Activos

 

Un activo es cualquier elemento en el entorno de la organización que podría necesitar algún grado de protección. Esto podría incluir componentes del balance general como aplicaciones de software o hardware y otros elementos menos tangibles como datos o personas. El fin de la seguridad es evitar que los activos queden expuestos a algún tipo de peligro y proteger la confidencialidad, integridad y disponibilidad de los datos. La preocupación de todas las corporaciones tiene que ver con el riesgo que implica la modificación de sus datos, lo cual degrada la integridad de la información comercial.

 

Los activos en sí también deben clasificarse de acuerdo a las medidas de protección que requiera cada uno. Entre las medidas se incluyen:

•	Prevención: medidas para evitar el daño, la alteración y el robo de los activos. Las medidas preventivas incluyen desde el bloqueo de la puerta de la habitación donde se encuentra el servidor hasta la implementación de directivas con un alto nivel de seguridad
•	Detección: medidas para detectar cuándo se han dañado, alterado, robado o puesto en riesgo los activos. Las medidas de detección incluyen mecanismos para determinar de qué manera se ha puesto en peligro un activo y, específicamente, quién fue el causante del daño. Existen distintas herramientas para la detección de intrusiones, daños o alteraciones y virus.
•	Reacción: medidas que permiten la recuperación de los activos, aún cuando un activo se ha perdido o dañado.

 

Estas medidas de protección se deben integrar con diferentes tipos de contramedidas. Las contramedidas, o protecciones, disminuyen el riesgo potencial que corre un activo de estar en peligro. Se han diseñado para eliminar vulnerabilidades o reducir el riesgo de que una amenaza se aproveche de una vulnerabilidad en un entorno de equipos.

Lo primero que se debe saber para poder desarrollar contramedidas es en qué forma podrían ponerse en peligro los activos de la organización mediante la enumeración de amenazas y riesgos relevantes a ellos. La lista siguiente contiene cinco principios a tener en cuenta al desarrollar un programa de seguridad para proteger los activos de la compañía. Cada uno de estos principios debe evaluarse de acuerdo con las necesidades de la compañía.

 

•	Confidencialidad. La confidencialidad es una condición que se mantiene al asegurar que sólo los usuarios autorizados puedan tener acceso a la información. Garantiza el cumplimiento del nivel necesario de reserva en cada intersección del procesamiento de datos para evitar una revelación sin autorización. Un ejemplo de medidas ineficientes en cuanto a seguridad sería permitir el acceso de usuarios anónimos a información confidencial, como por ejemplo, un archivo compartido del departamento de recursos humanos.
•	Integridad. La integridad implica proteger la precisión y la totalidad de los métodos de información y procesamiento. Se mantiene cuando existe veracidad y confiabilidad de la información dentro del entorno del sistema, y cuando se evita la modificación no autorizada de datos. El almacenamiento de datos incorrectos dentro del sistema puede ser tan perjudicial como la misma pérdida de datos.
•	Autenticación. La autenticación es el proceso que comprueba que los usuarios son quienes dicen ser cuando inician sesión en un sistema. Por lo general, los nombres de usuario y las contraseñas cumplen con esta autenticación. Los métodos de autenticación más sofisticados incluyen el uso de tarjetas inteligentes, o biometría, incluido el escaneado de huella digital o retina. El proceso de autenticación no le garantiza al usuario el acceso a los recursos. Esto se logra a través del proceso de autorización. La pérdida de autenticación implica que no hay manera de determinar quién tiene acceso al activo.
•	Autorización. La autorización es el derecho que se le otorga a un individuo o proceso para usar el sistema y los datos almacenados en éste. Por lo general, un administrador del sistema configura la autorización y, posteriormente, la comprueba un equipo del entorno siguiendo alguna forma de identificación de usuario, como un número de identificación personal (PIN), un código o una contraseña. El proceso de autorización utiliza la autoridad de seguridad adecuada para determinar si un usuario debería tener acceso a los recursos. La pérdida de autorización implica que no existe forma alguna de determinar quién tiene permitido el acceso al activo.

 

 

 

Amenazas, exposiciones, vulnerabilidades y contramedidas

 

Si un agente amenazante da lugar a una amenaza y aprovecha una vulnerabilidad, el ataque genera un peligro potencial para la seguridad. El ataque puede dañar el activo, lo que afectaría su confidencialidad, integridad o disponibilidad. De este modo, el ataque expone a la compañía a posibles pérdidas. Sin embargo, estas exposiciones se pueden reducir mediante el uso de contramedidas.

En la tabla siguiente se proporciona una perspectiva unificada de los componentes clave en la administración de la seguridad.

Tabla 1: Componentes clave de seguridad

Componente	Definición
Amenaza	Una amenaza es cualquier peligro potencial para la información o los sistemas.
Agente amenazante	Un agente amenazante es la persona o el proceso que ataca a la red a través de un puerto vulnerable en el servidor de seguridad, o un proceso que se utiliza para tener acceso a información de una forma que infrinja las directivas de seguridad.
Vulnerabilidad	Una vulnerabilidad es un software, hardware o deficiencia de procedimiento que podría darle a un atacante o agente amenazante la oportunidad de introducirse en un equipo o red, y tener acceso a recursos dentro del entorno sin autorización.
Riesgo	Un riesgo es la posibilidad de que un agente amenazante se aproveche de una vulnerabilidad. Es el potencial de pérdida o la probabilidad de que una amenaza se aproveche de una vulnerabilidad.
Exposición	Una exposición se produce cuando un agente amenazante expone un activo de la compañía a una pérdida potencial. Una vulnerabilidad puede exponer una organización a posibles daños.
Contramedida	Una contramedida, o protección, puede reducir un riesgo. Las contramedidas incluyen configuraciones de software, hardware o procedimientos que eliminan una vulnerabilidad, o reducen las posibilidades de que un agente amenazante se aproveche de una vulnerabilidad.

 

La relación entre amenazas, vulnerabilidades y riesgos puede ser un concepto difícil de entender al principio. Cada amenaza y vulnerabilidad que se identifique dentro de la organización debe ser calificada y clasificada de acuerdo a un estándar, como baja, media o alta. La clasificación varía entre las distintas organizaciones y a veces también dentro de la misma organización. Por ejemplo, la amenaza de un terremoto es significativamente mayor para las oficinas que se encuentran cerca de una línea de error importante que para cualquier otro lugar. De forma similar, la vulnerabilidad del daño físico a equipos será muy alta para una organización que se dedique a la producción de equipos de electrónica extremadamente sensibles y frágiles, pero la misma vulnerabilidad será más baja para una compañía constructora.

La matriz de administración de riesgo ayuda a evaluar las amenazas y su impacto en la organización. El nivel de riesgo en su organización se incrementa con el nivel de amenaza y vulnerabilidad, como se indica en la ilustración siguiente.

Figura 1
Matriz de administración de riesgo

La matriz de administración de riesgo podría ser utilizada como una herramienta de la siguiente forma. Por ejemplo, la compañía podría tener dos tipos de sitios Web diferentes, uno sin fines lucrativos que brinde información comercial, o un sitio transaccional de servicios financieros que ofrece transacciones de venta integrales para los clientes.

En la ilustración siguiente se proporciona un modelo teórico que se utiliza para determinar las distintas amenazas, motivos y objetivos, métodos, puntos débiles y vulnerabilidades que podrían emplearse en contra de la organización en un ataque.

Figura 2

Esquema de las amenazas en los activos

En la ilustración anterior se describe un esquema simple y lógico que demuestra de qué forma los agentes amenazantes podrían poner en peligro a los activos. Los tres tipos de clasificación de amenazas se describen en el extremo izquierdo de la figura. La clasificación de amenazas identifica quién es el atacante o qué agentes están iniciando un ataque. Éstas incluyen amenazas benignas, amenazas malintencionadas e incidentes catastróficos.

Por lo general, los agentes amenazantes tienen motivos y objetivos que cumplir cuando intentan poner en riesgo la seguridad de los activos, como la ganancia financiera. Los agentes amenazantes utilizan herramientas, técnicas y métodos específicos para sacar provecho de ciertas vulnerabilidades de la seguridad de los activos. Las flechas que se muestran en la ilustración indican la ruta que podría tomar un atacante durante su intento de poner en peligro un activo y las vulnerabilidades de las que podría beneficiarse para llevarlo a cabo.

 

Clasificación de amenazas

 

Una amenaza es una persona, un lugar o una entidad que tiene la capacidad de tener acceso a los recursos y causar daño. Las amenazas pueden tener dos orígenes principales: humanas y eventos catastróficos. Las amenazas humanas se pueden subdividir en dos categorías: malintencionadas y benignas. Los "ataques" benignos provienen generalmente de usuarios y empleados que no cuentan con el entrenamiento necesario para operar equipos y no son conscientes de las distintas amenazas a la seguridad de los equipos. Los ataques malintencionados generalmente provienen de personas ajenas, o empleados descontentos o ex empleados que tienen un objetivo o fin específico por cumplir.

Tabla 2: Tipos de amenazas

Amenaza	Ejemplos
Incidentes catastróficos	Incendio, inundación, vientos fuertes, terremoto, corte de electricidad, ataques terroristas
Persona benigna	Empleados desinformados, usuarios desinformados
Persona malintencionada	Atacantes, espías industriales, gobiernos, soborno e ingeniería social

 

Incidentes catastróficos

Cualquier evento que esté relacionado con climas extremos, fenómenos naturales o incidentes catastróficos que puedan causar un daño severo a la infraestructura de la organización. Se puede sufrir la pérdida de información, el daño del hardware y la pérdida de productividad junto con la destrucción de otros servicios esenciales.

 

Errores mecánicos

Las amenazas mecánicas generalmente se pasan por alto. Éstas pueden incluir cortes de luz, errores de hardware e interrupciones de la red. La prevención de vulnerabilidades que pueden surgir de estos tipos de amenazas se logra a través de una planificación adecuada.

 

El agrupamiento de hardware, las cajas de electricidad redundantes para los centros de datos y un diseño sólido de redes ayudan a eliminar puntos de errores individuales en la organización que podrían causar errores mecánicos. Sin embargo, la implementación de estas medidas podría ser extremadamente costosa y se debe evaluar cuidadosamente para garantizar que el valor del activo justifique el uso de tales métodos.

 

Amenazas humanas

 

La amenazas humanas pueden aparecer de dos maneras diferentes: malintencionadas y benignas. Las amenazas benignas pueden causar graves problemas a la integridad de los datos a través de un error de usuario normal. Dentro de esta categoría se encuentran los errores de software, errores en el ingreso de datos y errores administrativos.

 

Ataques malintencionados

 

Las amenazas malintencionadas consisten en ataques llevados a cabo por empleados descontentos o malintencionados, ex—empleados o personas ajenas a la organización. Es probable que las personas que pertenecen a la organización tengan fines y objetivos específicos y, por lo general, dispondrán de algún tipo de acceso legítimo a los sistemas del entorno. Los empleados son el grupo que está más familiarizado con los equipos y las aplicaciones de la compañía, incluyendo el conocimiento de cuáles son los puntos débiles y las vulnerabilidades que podrían causarle el mayor daño a la organización. En el caso de estos tipos de ataque es casi imposible protegerse ya que son extremadamente difíciles de detectar.

 

Amenazas benignas

 

Los atacantes no son los únicos que pueden dañar una organización. La amenaza principal a la integridad de los datos proviene de usuarios no autorizados que no tienen conciencia de las acciones que están realizando. Los errores y las omisiones pueden ocasionar la pérdida, el daño o la alteración de datos importantes de la organización.

 

Categorización de amenazas

 

Existen literalmente cientos de formas diferentes de categorizar amenazas. Microsoft desarrolló el método STRIDE (por la sigla en inglés que describe al método) para categorizar los siguientes tipos de amenazas malintencionadas: Imitación de identidad, Manipulación de datos, Rechazo, Revelación de información, Denegación del servicio, y Elevación de privilegios. A continuación se define cada uno de los componentes del método.

 

Imitación de identidad

 

Las amenazas de imitación de identidad incluyen cualquier actividad orientada a obtener acceso y utilizar, ilegalmente, la información de autenticación de otra persona, como pueden ser el nombre de usuario o la contraseña.

 

Puntos débiles

 

Es posible ingresar a un activo a través de una amenaza que utiliza una vulnerabilidad en el entorno de la organización. La siguiente tabla proporciona ejemplos de tres tipos clave de puntos débiles.

Tabla 3: Tipos de puntos débiles

Punto débil	Ejemplo
Punto de vulnerabilidad técnica	Ataque de fuerza bruta Desbordamiento de búfer Configuración errónea Reproducción de ataque Secuestro de sesiones
Recolección de información	Identificación de dirección Destrucción de documento (Document grinding) Identificación del SO Análisis de puerto Análisis de respuesta Ingeniería social Análisis de servicio y aplicación Enumeración de usuario Análisis de vulnerabilidad Fuga inalámbrica (Wireless leak)
Denegación del servicio (DoS)	Daño físico Extracción de recursos Modificación de recursos Saturación de recursos Desbordamiento de búfer

 

Ejemplo: Puntos débiles de atacantes malintencionados

 

Eliminación y alteración de información

 

Los atacantes malintencionados que eliminan o alteran información por lo general lo hacen porque quieren probar una operación determinada o como venganza por algo que ha pasado. Las personas malintencionadas que pertenecen a la organización normalmente actúan por resentimiento contra la organización y están disgustadas por algún motivo. Quienes no pertenecen a la organización, sin embargo, podrían atacar sólo para probar que el ataque es posible, o tal vez por la satisfacción de decir lo que han hecho.

 

Fraude y robo de información

 

La tecnología de la información es cada vez más la herramienta y, al mismo tiempo, el blanco del fraude y el robo. Los sistemas financieros que están diseñados y controlados adecuadamente pueden apoyar a la legislación necesaria o la solicitud de informes para prevenir el fraude. Los entornos de sistemas financieros no son los únicos sujetos a estos abusos. Otros blancos incluyen aquellos entornos que controlan el acceso a información personal, como agencias de crédito o de identidad, sistemas de acceso y seguimiento de personal, sistemas de inventario, sistemas de calificación escolar o sistemas de facturación del servicio telefónico de larga distancia.

Tabla 4: Tipos de vulnerabilidades

Vulnerabilidades	Ejemplos
Físicas	Puertas sin cerrojo
Naturales	Edificio corporativo construido sobre una línea de error
Hardware y software	Software antivirus y revisiones de sistema operativo desactualizados
Medios	Interferencia eléctrica
Comunicaciones	Protocolos no cifrados
Humanas	Procedimientos mal definidos y aplicaciones escritas de manera inadecuada

 

Riesgos

 

Un riesgo es la probabilidad de que un agente amenazante se aproveche de una vulnerabilidad, más el potencial de pérdida o la probabilidad de que una amenaza se beneficie de dicha vulnerabilidad. Si un servidor de seguridad presenta varios puertos abiertos, aumentará el riesgo de que un intruso pueda utilizar uno de ellos para tener acceso a la red mediante un método no autorizado.

Si los usuarios de su entorno no conocen adecuadamente los procesos y procedimientos de seguridad, aumenta el riesgo de que un empleado cometa un error y destruya información involuntariamente. Si una red no cuenta con un sistema de detección de intrusos, aumenta el riesgo de que no se descubra un ataque a tiempo. Reducir vulnerabilidades o agentes de amenaza disminuye el riesgo.

Contramedidas

 

Las contramedidas, o protecciones del sistema, mitigan el riesgo potencial. Una contramedida es todo elemento tal como una configuración de software, hardware o procedimiento que, al ser implementado, contrarresta una amenaza y vulnerabilidad para reducir el riesgo en un entorno informático.

Entre los ejemplos de contramedidas se incluyen: administración de contraseñas seguras, un guardia de seguridad, mecanismos para controlar el acceso dentro de un sistema operativo, implementación de contraseñas para el servicio básico de entrada y salida (BIOS) y capacitación en conocimientos sobre seguridad.