Grados de seguridad informática
En la actualidad el manejo de la información dentro de
las organizaciones representa un punto primordial en el cual se debe de poner
atención, especialmente cuando se habla de seguridad. Esto significa que las
grandes cantidades de información representativa o generada por la organización
o sus usuarios, deben de mantenerse a salvo debido a que el conjunto de toda
esta información se traduce como el conocimiento de los procesos de la
organización y en muchos casos de sus estados y movimientos financieros. Sin
lugar a dudas el rol más importante cuando requerimos seguridad en la organización
es la aplicación de la misma y sus diferentes grados.
En un principio es preciso entender que la seguridad comúnmente
es asociada con la certeza, falta de riesgo o contingencia, sin embargo en el
área de la informática debemos manejar niveles ya que la seguridad absoluta en
esta área no es posible. Es asi que podemos definir la seguridad informática como el área de la
informática que se enfoca en la protección de la infraestructura computacional
y todo lo relacionado con esta, incluyendo la información contenida como software,
bases de datos, metadatos, archivos y todo lo que la organización valore
(activo) y signifique un riesgo si ésta llega a manos de otras personas. Se
apoya en un conjunto de estándares, protocolos, métodos, reglas, herramientas y
leyes que están encaminadas a obtener altos niveles de seguridad en los
sistemas informáticos. Dentro de los grados o niveles de seguridad podemos
encontrar dos divisiones estas son la seguridad externa e interna.
Cuando hablamos de seguridad externa nos referimos a las instalaciones
del sistema informático y al acceso que las personas pueden tener al mismo. Podemos
dividir la seguridad externa en seguridad física, refiriéndonos directamente a
las instalaciones, incluyendo medidas de prevención o recuperación en caso de
siniestros y el control de acceso al sistema y seguridad operacional la cual se
refiere a los mecanismos de seguridad, las políticas, niveles de autorización o
responsabilidad, métodos de acceso, protocolos de comunicación entre otros. Por
otro lado tenemos la seguridad interna la cual se refiere a la protección de
propio hardware o software, llamada propiamente seguridad lógica. Dentro de
esta última tenemos niveles establecidos por el Departamento de la Defensa
y el Centro de Seguridad Nacional de
Cómputo de Estados Unidos (NISC y DoD respectivamente por sus siglas en ingles)
en un documento llamado “Trusted Computer System Evaluation
Criteria” (Criterio de Evaluación de Confianza de Sistemas de Computo) conocido
como Orange Book, estos son:
Nivel D.- Este nivel contiene sólo una división y está
reservada para sistemas que han sido evaluados y no cumplen con ninguna
especificación de seguridad.
Nivel C1: Protección Discrecional.- Se requiere identificación
de usuarios que permite el acceso a distinta información. Cada usuario puede
manejar su información privada y se hace la distinción entre los usuarios y el
administrador del sistema, quien tiene control total de acceso.
Nivel C2: Protección de Acceso Controlado.- Este subnivel
fue diseñado para solucionar las debilidades del C1. Cuenta con características
adicionales que crean un ambiente de acceso controlado. Se debe llevar una
auditoria de accesos e intentos fallidos de acceso a objetos.
Nivel B1: Seguridad Etiquetada.- Este subnivel, es el
primero de los tres con que cuenta el nivel B. Soporta seguridad multinivel,
como la secreta y ultra secreta. Se establece que el dueño del archivo no puede
modificar los permisos de un objeto que está bajo control de acceso
obligatorio.
Nivel B2: Protección Estructurada.- Requiere que se
etiquete cada objeto de nivel superior por ser padre de un objeto inferior. La
Protección Estructurada es la primera que empieza a referirse al problema de un
objeto a un nivel más elevado de seguridad en comunicación con otro objeto a un
nivel inferior.
Nivel B3: Dominios de Seguridad.- Refuerza a los dominios
con la instalación de hardware: por ejemplo el hardware de administración de
memoria se usa para proteger el dominio de seguridad de acceso no autorizado a
la modificación de objetos de diferentes dominios de seguridad.
Nivel A: Protección Verificada.- Es el nivel más elevado,
incluye un proceso de diseño, control y verificación, mediante métodos formales
(matemáticos) para asegurar todos los procesos que realiza un usuario sobre el
sistema.
Es importante mencionar que para que se pueda tener un
nivel más elevado, se debe de contar con los niveles que le preceden. La
aplicación de estos estándares dentro de las organizaciones que cuenten con
sistemas informáticos nos ayudara a cumplir con la normativa internacional, lo
cual se traduce directamente en brindar los más altos niveles de seguridad
posibles en la actualidad a nuestras organizaciones, garantizando que se
cumplen los diversos aspectos de la seguridad informática.
No hay comentarios:
Publicar un comentario