Pilares de la Ciberseguridad: Confiabilidad, Disponibilidad y Protección de Sistemas Críticos

1. Seguridad de la Información y Sistemas Críticos

Propiedades de los Sistemas Críticos

Confiabilidad sobre el sistema, su infraestructura y su funcionalidad.
Disponibilidad: asegurándose de que el sistema esté activo y funcionando en todo momento.
Fiabilidad: el sistema debe funcionar correctamente tal como se espera (corrección de detalles, precisión en la información).
Seguridad: al interactuar con los usuarios y el medio que lo rodea.
Protección: debe ser capaz de soportar ataques e intrusiones (integridad de datos, acceso de usuarios autorizado, garantía de autenticación).
Mantenimiento: tanto en su forma preventiva como correctiva.

La seguridad informática, ciberseguridad o seguridad de tecnologías de la información, es la disciplina que se encarga del manejo de la seguridad en los sistemas, la que contempla tanto el hardware (infraestructura computacional) como el software (la información, bases de datos, metadatos, archivos). Para ello se han desarrollado estándares, protocolos, métodos, metodologías, algoritmos y leyes cuyo objetivo es minimizar los posibles riesgos.

Factores Clave en la Seguridad Informática

Confidencialidad: preservar las restricciones autorizadas sobre la información, acceso y divulgación.
Integridad: proteger contra la modificación o destrucción indebida de la información.
Disponibilidad: garantizar el acceso oportuno y fiable a la información y su uso.

Definiciones Adicionales Relevantes

Autenticidad: información genuina, verificable y de confianza.
Rendición de Cuentas: la meta de seguridad genera el requisito de que las acciones de una entidad se rastreen exclusivamente a esa entidad.

Tipos Fundamentales de Sistemas Críticos

Sistemas de seguridad críticos: son sistemas cuyo mal funcionamiento puede provocar pérdidas de vida o generar un grave daño al medio ambiente, por ejemplo: el sistema de control de fabricación de algún producto químico.
Sistemas de misión críticos: son sistemas cuyo mal funcionamiento puede provocar errores en algunas actividades dirigidas por objetivos, por ejemplo: el sistema de navegación de una nave espacial.
Sistemas de negocios críticos: son sistemas cuyo mal funcionamiento puede provocar costes elevados para el negocio que lo utiliza, por ejemplo: un sistema de cuentas bancarias.

Niveles de Impacto de los Ataques

Bajo: la pérdida tiene un efecto adverso limitado sobre la organización, sus operaciones, activos o individuos, causando pérdidas financieras menores.
Moderado: la pérdida podría tener un efecto grave, con pérdidas financieras significativas y daño considerable a las personas, pero sin pérdida de vidas o lesiones serias y mortales.
Alto: la pérdida tiene un efecto adverso severo en la organización, sus operaciones, activos o individuos, incluyendo la pérdida de vidas o lesiones graves.

2. Confiabilidad

La confiabilidad es la habilidad de un sistema o componente para realizar las funciones requeridas bajo condiciones específicas durante periodos de tiempo determinados.

Atributos de la Confiabilidad

Disponibilidad: es la probabilidad de que en un momento dado el sistema funcionará, ejecutará y ofrecerá servicios útiles a los usuarios.
Fiabilidad: es la probabilidad, durante un tiempo determinado, de que el sistema brindará correctamente los servicios esperados por el usuario.
Protección: cuán probable es que el sistema cause daños a las personas o a su ambiente.
Seguridad: cuán probable es que el sistema pueda resistir intrusiones accidentales o deliberadas.

También se pueden considerar

Reparabilidad: las fallas se minimizan si se repara rápidamente.
Mantenibilidad: capacidad de adaptarse a nuevos requisitos y cambios para satisfacerlos.
Supervivencia: habilidad de un sistema para continuar entregando servicio mientras está bajo ataque.
Tolerancia a Errores: propiedad que forma parte de la usabilidad y refleja el diseño del sistema para evitar y tolerar los errores de entrada del usuario.

Maneras de Cuantificar la Confiabilidad

Predicción de la Confiabilidad: se realiza mediante un lineamiento de evaluación segura del programa y es fácilmente medible sobre las propiedades del código.
Estimación de la Confiabilidad: los modelos utilizados para realizar la estimación se basan en la estimación de las tasas de fallos.

Tipos de Fallos

Fallos Transitorios: desaparecen luego de un tiempo.
Fallos Permanentes: no desaparecen hasta la reparación.
Fallos Intermitentes: fallos transitorios con cierta periodicidad.

Acciones para Evitar Fallos

Prevención de Fallos: evitarlos en el proceso de construcción.
Evitar Fallos: durante el diseño.
Eliminar Fallos: en el sistema ya construido, ejecutar correcciones.

Tolerancia a Fallos

En el proceso de diseño: especificación rigurosa de requisitos, aplicación de técnicas de diseño formales, uso de lenguajes abstractos y modulares, implementación en base a componentes.
En el proceso de testing: revisiones frecuentes, inspecciones rigurosas al código, verificación de funcionalidades.

Resultados de la Tolerancia a Fallos (No Absolutos)

Tolerancia Completa: por un intervalo de tiempo.
Degradación Aceptable: el sistema funciona con menores prestaciones hasta la reparación.
Parada Segura: hasta la reparación.

Buenas Prácticas para Generar Confiabilidad

Evitar la entrada de errores accidentales en el sistema durante la especificación y el desarrollo del software.
Diseñar procesos de verificación y validación para descubrir errores residuales que afecten la confiabilidad del sistema.
Desarrollar mecanismos de protección contra ataques externos que comprometan la disponibilidad o la seguridad del sistema.
Configurar correctamente el sistema utilizado y el software de apoyo según el entorno operacional.

Consecuencias de la Falta de Confiabilidad

Rechazo por parte de los usuarios.
Los costos de los fallos de funcionamiento del sistema pueden ser enormes.
Pérdida de información.

Tipos de Componentes del Sistema que Pueden Generar Fallos

El hardware del sistema por errores en el diseño.
El software del sistema por errores en la especificación, diseño o implementación.
Los usuarios del sistema debido a un uso incorrecto del mismo.

3. Disponibilidad y Fiabilidad

La fiabilidad de un sistema es la probabilidad de que el sistema funcione correctamente tal y como se ha especificado, mientras que la disponibilidad de un sistema es la probabilidad de que el sistema esté en disposición de funcionar para proporcionar los servicios ofertados a los usuarios que lo soliciten.

Definiciones Relacionadas con la Fiabilidad

Error humano: comportamiento humano que tiene como consecuencia la introducción de fallas en el sistema.
Fallo del sistema: evento que tiene lugar en algún instante cuando el sistema no funciona como esperan sus usuarios.
Error del sistema: estado erróneo del sistema que puede dar lugar a un comportamiento del mismo inesperado por el usuario.
Defecto o caída del sistema: característica de un sistema software que puede dar lugar a un error del sistema o que no se entregue un servicio.

Ambigüedades en la Percepción de la Fiabilidad

No todo el código del programa se ejecuta siempre.
Los errores son transitorios.
El sistema puede incluir mecanismos de detección de fallas y de protección.

Enfoques Complementarios para Mejorar la Fiabilidad

Evitación de Defectos o Fallas de Desarrollo: Ejemplos: evitar códigos del lenguaje de programación proclives al error, como punteros.
Detección y Eliminación de Defectos o Fallas de Desarrollo: técnicas de verificación y validación.
Tolerancia a Defectos o Fallas de Desarrollo: técnicas para asegurar que los defectos en el sistema no conduzcan a errores y caídas del sistema.

4. Seguridad

La seguridad es la propiedad del sistema de operar, normal o anormalmente, sin peligro de causar daño humano o al entorno del sistema.

Términos Clave en Seguridad

Activo: algo que tiene valor y requiere ser protegido, puede ser también software y datos.
Exposición: posible pérdida o daño.
Vulnerabilidad: debilidad que se puede usar para causar pérdida o daño.
Ataque: aprovechamiento de una vulnerabilidad, suele ser externo y deliberado.
Amenaza: circunstancia que puede causar pérdida o daño.
Control: medida de protección para reducir la vulnerabilidad.

Tipos de Amenazas

Amenazas a la confidencialidad del sistema y sus datos.
Amenazas a la integridad del sistema y sus datos.
Amenazas a la disponibilidad del sistema y sus datos.

Clasificación de Sistemas por Criticidad de Seguridad

Sistemas de seguridad críticos primarios: sistemas de software integrados cuyas fallas pueden causar que el hardware asociado falle y amenace a personas de manera directa. Por ejemplo, el sistema de control de suministro de insulina.
Sistemas de seguridad críticos secundarios: sistemas cuyas fallas resultan en fallos en otro sistema (socio-técnico), y estos podrían tener consecuencias en su seguridad. Por ejemplo, MHC-PMS (patient information system for mental health care) es crítico de la seguridad ya que una falla puede llevar a una prescripción de tratamiento inapropiada.

Un Sistema Fiable No es Necesariamente Seguro Debido a

Una especificación incompleta.
Un mal comportamiento del hardware (comportamiento impredecible).
Los operadores del sistema pueden generar entradas que no son individualmente correctas.

Enfoques para Mejorar la Seguridad

Evitación de Contingencias o Vulnerabilidades: en el diseño del sistema.
Detección y Eliminación de Contingencias o Ataques: el sistema se diseña para que las contingencias se detecten y eliminen antes de que provoquen un accidente.
Limitación de Exposición (Daños) y Recuperación: el sistema incluye características de protección que minimizan el daño que puede resultar de un accidente.

5. Protección

La protección es el atributo del sistema que refleja su capacidad de protegerse de ataques externos, sean accidentales o provocados. Este atributo es fundamental en sistemas abiertos, comúnmente conectados a Internet.

Clasificación del Software Crítico para la Protección

Software Primario Crítico para la Protección: sirve como controlador en un sistema. El mal funcionamiento de este puede repercutir en el hardware, lo cual derivaría en una lesión humana o daño ambiental.
Software Secundario Crítico para la Protección: podría repercutir indirectamente en una lesión. Por ejemplo, los sistemas CAD.

Tipos de Daños Causados por Ataques Externos

Denegación de servicio: el sistema entra en un estado en que sus servicios normales no están disponibles.
Corrupción de programas o datos: los componentes software pueden ser alterados de forma no autorizada, lo que puede afectar la fiabilidad y la seguridad.
Revelación de información confidencial: la información gestionada puede ser expuesta a personas no autorizadas.

Términos Clave Relacionados con la Protección

Exposición: posible pérdida o daño en un sistema informático.
Vulnerabilidad: debilidad en un sistema que se puede aprovechar para provocar pérdidas o daños.
Ataque: aprovechamiento de la vulnerabilidad de un sistema.
Amenazas: circunstancias que potencialmente pueden provocar pérdidas o daños.
Control: medida de protección para reducir la vulnerabilidad del sistema.

Enfoques para Mejorar la Protección

Evitar la Vulnerabilidad.
Detección y Neutralización de Ataques.
Limitación de Exposición.

6. Sistemas de Gestión de Seguridad de la Información (SGSI)

Un SGSI considera 4 procesos básicos (Ciclo PDCA – Planificar, Hacer, Verificar, Actuar):

Planificar: es el proceso de establecer políticas, objetivos, procesos y procedimientos de gestión de riesgos, según los requerimientos de la organización.
Hacer: son los procesos de control necesarios durante la operación con el objetivo de reducir los riesgos.
Verificar: es la evaluación de lo aplicado, mediante auditorías.
Actuar: considera acciones correctivas y preventivas necesarias.

La gestión de riesgos es crítica en esta estructura y debe considerar:

Evitar Riesgos: en los cambios bruscos en los procesos, a través del control.
Reducir los Riesgos: al nivel más bajo posible, mediante la optimización de procedimientos.
Retener Riesgos: asumiendo los riesgos residuales.
Transferir Riesgos a Terceros: con respaldos contractuales con otras entidades.

La funcionalidad del Sistema se traduce en Políticas y Estándares, que son el conjunto de medidas, metodologías, normas y políticas definidas con el objetivo de garantizar la seguridad informática. Estas se plasman en manuales organizacionales de estricto cumplimiento para los profesionales del área y los usuarios generales, y deben considerar:

Alcance del documento.
Resultado del análisis de riesgos realizado.
Lineamientos generales de administración y organización de las TIC (responsabilidades y funciones administrativas).
Vigencia de los procedimientos.
Tipos y obligaciones de los usuarios, niveles de responsabilidad y sanciones.
Seguridad física y medioambiental de la información y bienes informáticos, controles de acceso, seguridad en áreas de trabajo, ubicación de equipos, mantenimiento, acciones ante daños o pérdidas de equipos.
Administración de los centros de cómputo, respaldo de la información, adquisición de hardware y software, administración y seguridad de las redes, administración de sistemas de mensajería y correo electrónico, controles ante virus, malware, software malicioso, acceso a internet.
Planes de contingencia.
Manejo del acceso lógico, perfiles de usuario, contraseñas, accesos remotos.
Propiedad intelectual.

6.1. Análisis Costo/Beneficio

Este procedimiento es vital para la implementación de un Sistema de Gestión de Seguridad de la Información (SGSI). Existen diversos modelos y metodologías para su implementación, siendo la ISO 27001 una de las más utilizadas.

El análisis costo/beneficio es un elemento esencial en la decisión de implementar un SGSI. La gestión de la seguridad de la información conlleva una serie de costos generales asociados que suelen vincularse a:

Inventarios: es fundamental conocer el valor de los activos de la organización, lo que implica identificarlos, definirlos, describirlos y valorarlos.
La implantación de un sistema de mejora continua definido por el propio estándar.
Análisis permanente de riesgos, tanto nuevos como existentes.
Desarrollar planes de contingencia y continuidad.
La implementación de diversos controles de seguridad y control de riesgos.
Mantenimiento del sistema durante un periodo de tiempo prolongado.

Cálculo de la Rentabilidad de la Implementación de un SGSI (Metodologías que Requieren Evaluar)

Costo de implantación.
Ahorro al reducir y eliminar fallas (revisión de históricos).
Mejora en el posicionamiento en el mercado y la imagen de la organización.
Costos en capacitación y consultorías externas.
Costos tecnológicos.
Costos hora/hombre en identificar riesgos, mejorar e implementar procedimientos y políticas.
Costo de certificación y costos operativos y de mantenimiento.

Procedimiento para el Análisis de Costo de la Información

Establecer una visión general de la seguridad de la información, a partir de los antecedentes, estructura organizacional, descripción y crecimiento en al menos diez años.
Recopilar la información sobre los activos informáticos, de manera sistemática, definiendo claramente (Guía de Administración de Riesgos de Microsoft).
Evaluación cuantitativa y cualitativa de riesgos, que debe calcular el costo generado por incidentes de seguridad y el beneficio de la mitigación de los riesgos; para ello se usan metodologías como MAGERIT, OCTAVE, AS/NZS, BS7799, ISO 27005.
Análisis costo/beneficio: se deben sumar los costos totales de cada activo con los costos de la implementación de los controles. Luego se calcula el ROSI (Retorno de la Inversión en Seguridad – Return of Security Investment) que mide la relación entre el retorno que produce una inversión y la propia inversión; este es un indicador asociado al ROI (Return of Investment), utilizado para evaluar si una inversión es justificable.

Glosario

DES-EEE3: Tres encriptaciones DES con tres claves distintas.
EFP: Electronic Frontier Foundation.
GF: Campos de Galois.
PKC: Encriptación de clave pública.
RC4: Rivest Cipher 4.
KSA: Key Scheduling Algorithm.
WAP: Wireless Application Protocol.
WEP: Wired Equivalent Privacy.
DRM: Digital Rights Management.
IDEA: International Data Encryption Algorithm.
MITM: Man-in-the-middle attack.
SAFER: SECURE AND FAST ENCRYPTION ROUTINE.
DES: Data Encryption Standard.
S-BOX: Substitution box, recibe m bits y devuelve n bits.
RSA: Rivest Shamir Adleman.
TPF: Test de Primaridad de Fermat.
TLS: Transport Layer Security.
PKI: Infraestructura de clave pública.
DSA: Digital Signature Algorithm.
SHA-1: Secure Hash Algorithm 1.
ECC: Criptografía de curvas elípticas.
AES: Advanced Encryption Standard.
OTP: One-Time Pad.
NP-hard: Nondeterministic Polynomial Time Hard.
GMR: Goldwasser-Micali-Rivest.
RPR: Random Point Reference.
E2EE: End-to-End Encryption.
DUKPT: Derived Unique Key Per Transaction.
PGP: Pretty Good Privacy.