A seguridade informática, tamén coñecida como ciberseguridade, é unha área relacionada coa informática e a telemática que se enfoca na protección da infraestrutura computacional e todo o vinculado coa mesma. Especialmente céntrase na información contida nunha computadora ou na circulante a través das redes de computadoras. Para isto existen unha serie de estándares, protocolos, métodos, regras, ferramentas, e leis concibidas para minimizar os posibles riscos á infraestrutura ou á propia información. A ciberseguridade comprende software (bases de datos, metadatos, ficheiros), hardware, redes de computadoras, e todo o que a organización entenda e valore como un risco se a información confidencial involucrada puidera chegar a mans doutras persoas, por exemplo, converténdose así en información privilexiada.
A definición de seguridade da información non debe confundirse coa de «seguridade informática». Esta última só se encárga da seguridade no medio informático, pero a información pode atoparse en diferentes medios ou formas, non exclusivamente en medios informáticos.
A seguridade da información baséase en métodos e procesos que procuran protexer os arquivos de información nas súas diferentes formas e estados, mentres que a seguridade informática trata sobre métodos e procesos técnicos para protexer a confidencialidade, dispoñibilidade e integridade da información.
A seguridade informática tamén inclúe á práctica de previr os ataques maliciosos ás computadoras e servidores, aos dispositivos móbiles, aos sistemas electrónicos, ás redes e os datos, etc.
Resumidamente, a seguridade nun ambiente de rede é a habilidade de identificar e eliminar vulnerabilidades. Unha definición xeral de seguridade debe tamén pór atención á necesidade de salvagardar a vantaxe organizacional, incluíndo información e equipos físicos como as mesmas computadoras. Ninguén a cargo da seguridade debe determinar quen ou cando pode tomar accións apropiadas sobre un elemento en específico. Cando se trata da seguridade dunha compañía, o que é apropiado varía segundo a organización. Independentemente, calquera compañía cunha rede debe ter unha política de seguridade que promova a conveniencia e a coordinación.
No campo da ciberseguridade, desenvolvéronse modelos de avaliación de riscos para xestionar de forma efectiva os aspectos relacionados co risco cibernético. Un destes modelos é o "cubo de McCumber" presentado por John McCumber no 1991. Este modelo revolucionario describiu os factores de risco da ciberseguridade nunha representación tridimensional semellante a un cubo. Cada unha das caras visibles do mesmo representa tres aspectos diferentes do risco cibernético que deben ser xestionados de maneira efectiva. Cada intersección no espazo tridimensional do cubo representa a combinación de tres compoñentes distintos (un compoñente de cada cara). É dicir, cada punto de unión do cubo representa a intersección de tres aspectos clave relacionados co risco cibernético. En particular, o minicubo situado na parte frontal, representa a intersección entre confidencialidade, tecnoloxía e procesamento. Este enfoque remarca a idea de implementar controis tecnolóxicos para salvagardar a privacidade dos datos durante o procesamento. O modelo do cubo de McCumber empregouse como unha ferramenta valiosa na avaliación e xestión de riscos da seguridade cibernética, permitindo ás organizacións identificar e abordar dun xeito máis efectivo as vulnerabilidades e ameazas na súa contorna dixital.
alt=Imaxe do Cubo de McCumber. No cubo móstranse palabras en cada cara: transmición, almacenamento e procesamento na superior; confidencialidade, integridade e dispoñibilidade na lateral e factores humanos, política e prácticas e tecnoloxía na inferior.|miniatura|Cubo de McCumber
Historia Con Internet e con outros avances tecnolóxicos importantes dos últimos anos, a ciberseguridade converteuse nun termo moi coñecido. No 1967, representantes da Corporación RAND e a Axencia de Seguridade Nacional publicaron por primeira vez unha investigación sobre as ameazas á seguridade no campo do tempo compartido de computadoras.
Obxectivos A seguridade informática ten como obxectivo establecer normas e medidas que minimicen os riscos á información e á infraestrutura informática. Estas normas inclúen aspectos como horarios de funcionamento, restricións de acceso, autorizacións, denegacións, perfís de usuario, plans de emerxencia, protocolos e todo o necesario para garantir un nivel axeitado de seguridade sen comprometer o rendemento dos traballadores e a organización en xeral.
En termos de activos protexidos, a seguridade informática é concibida para protexer os activos informáticos, entre os que se atopan os seguintes:
A infraestrutura computacional: é unha parte fundamental para o almacenamento e a xestión da información, así como para o funcionamento da organización. A función da seguridade informática nesta área é velar porque os equipos funcionen adecuadamente e anticiparse en caso de erros, roubos, incendios, sabotaxes, desastres naturais, fallos na subministración eléctrica e calquera outro factor que atente contra a infraestrutura informática. Os usuarios: son as persoas que empregan a estrutura tecnolóxica, a zona de comunicacións e que xestionan a información. Debe protexerse o sistema en xeral para que o uso por parte deles non poida pór en dúbida a seguridade da información nin que a información que manexan ou almacenan sexa vulnerable. A información: este é o principal activo. Utiliza e reside na infraestrutura computacional e é empregada polos usuarios. A seguridade informática ocúpase de protexer a confidencialidade, integridade e dispoñibilidade da información.
Roles e responsabilidades na Ciberseguridade e o Marco do ENS Dentro do ámbito da ciberseguridade, contar con roles e responsabilidades claramente definidos é fundamental para garantir unha xestión efectiva da seguridade da información. Neste senso, o Esquema Nacional de Seguridade (ENS) establece os roles básicos que deben existir nas organizacións para velar pola protección da información.
Segundo a Guía de Seguridade das TIC CCN-STIC 801, ademais das tres figuras principais mencionadas no artigo 10 do ENS (que son o Responsable da Información, o Responsable do Servizo e o Responsable da Seguridade), existen outros roles tamén importantes que poden desempeñar un papel relevante na xestión da seguridade da información.
Un destes roles é o Responsable do Sistema de Información, cuxa responsabilidade pode estar situada dentro da propia organización ou compartimentada entre a organización e terceiros (poden ser provedores de servizos públicos ou privados) no caso de sistemas de información externalizados. O Responsable do Sistema de Información debe garantir o emprego axeitado e o funcionamento correcto dos sistemas de información, así como implementar as medidas de seguridade precisas.
É importante remarcar que as competencias e responsabilidades dos roles arriba mencionados poden variar segundo a organización e o contexto específico. Porén, é fundamental que estes roles estean claramente definidos e que exista unha coordinación efectiva entre eles para poder asegurar unha xestión integral da seguridade da información.
O Marco do ENS proporciona unha guía e referencia para as organizacións á hora de implementar medidas de seguridade da información. Establécense nel os requisitos mínimos de seguridade que deben cumprir os sistemas e os servizos empregados polas administracións públicas, así como as pautas a seguir para avaliar e xestionar os riscos asociados á seguridade da información.
Ameazas ou riscos cibernéticos Non só deben ser consideradas as ameazas que xorden da programación e do funcionamento dun dispositivo de almacenamento, transmisión ou proceso, tamén existen outras circunstancias non informáticas que deben ser tomadas en conta. Moitas son a miúdo imprevisibles ou inevitables, polo que as únicas proteccións posibles son as redundancias e a descentralización, por exemplo mediante determinadas estruturas de redes no caso das comunicacións ou servidores en clúster para garantir a dispoñibilidade.
As ameazas poden ser causadas por:
Usuarios: causa do maior problema ligado á seguridade dun sistema informático. Nalgúns casos as súas accións causan problemas de seguridade, aínda que na maioría dos casos é porque teñen permisos sobredimensionados, non se lles restrinxiron accións innecesarias, etc. Programas maliciosos: programas destinados a prexudicar ou a facer un uso ilícito dos recursos do sistema. É instalado no computador, abrindo unha porta a intrusos ou modificando datos. Estes programas poden ser un virus informático, un verme informático, un troyano, unha bomba lóxica, un programa espía ou spyware, ... En xeral coñécense como malware. Erros de programación: a maioría dos erros de programación que se poden considerar unha ameaza informática é pola súa condición de poder ser usados como exploits polos crackers, aínda que se dan casos onde o mal desenvolvemento é, en si mesmo, unha ameaza. A actualización de parches dos sistemas operativos e das aplicacións permite evitar este tipo de ameazas. Intrusos: persoas que conseguen acceder aos datos ou programas aos cales non están autorizados (crackers, defacers, hackers, script kiddie ou script boy, viruxers, etc.). Sinistro (roubo, incendio, inundación): unha mala manipulación ou mala intención derivan na perda do material ou dos arquivos. Persoal técnico interno (técnicos de sistemas, administradores de bases de datos, técnicos de desenvolvemento, etc.): os motivos que se atopan entre os habituais son: disputas internas, problemas laborais, despedimentos, fins lucrativos, espionaxe, etc. Fallos electrónicos ou lóxicos dos sistemas informáticos en xeral.
Enxeñaría social A enxeñaría social é a práctica de obter información confidencial a través da manipulación de usuarios lexítimos. É unha técnica que poden usar certas persoas para obter información, acceso ou privilexios en sistemas de información, con resultados similares a un ataque a través da rede, saltándose toda a infraestrutura creada para combater programas maliciosos. Ademais, é un ataque máis eficiente, xa que é máis complexo de calcular e prever.
O principio que sustenta a enxeñaría social é o mesmo ca en calquera sistema: "os usuarios son o elo débil".
Tipos de ameazas Existen moitos xeitos de clasificar un ataque, ademais cada ataque pode recibir máis dunha clasificación. Por exemplo, un caso de phishing pode chegar a roubar o contrasinal dun usuario dunha rede social e con ela realizar unha suplantación da identidade para un posterior acoso (phishing, suplantación e acoso), pero o roubo do contrasinal pode usarse simplemente para cambiar a foto do perfil e deixalo todo nunha broma (sen que deixe de ser delito en ningún dos dous casos, polo menos en países con lexislación sobre o tema, como o é España).
Ameazas pola orixe O feito de conectar un sistema a unha contorna externa xera a posibilidade de que algún atacante poida entrar nela e furtar información ou alterar o funcionamento da rede. Porén, o feito de que a rede non estea conectada a unha contorna externa, como Internet, non garante a seguridade da mesma. De acordo co Computer Security Institute (CSI) de San Francisco, aproximadamente entre o 60 e o 80 por cento dos incidentes de rede son causados dende dentro da mesma. Baseado na orixe do ataque podemos dicir que existen dous tipos de ameazas:
Ameazas internas: xeralmente estas ameazas poden ser máis serias que as externas, por razóns como:
Se é por usuarios ou persoal técnico, coñecen a rede e saben como é o seu funcionamento, a localización da información, os datos de interese, etc. Ademais teñen algún nivel de acceso á rede polas mesmas necesidades do seu traballo, o que lles permite realizar movementos mínimos.