Integridad de los Datos
- 1. La integridad de los datos: el aspecto más relegado de la seguridad de la informaciónEl tema de la seguridad de la información ha cobrado visibilidad en distintos ámbitos: en el trabajo, en el hogar y durante el traslado de un lugar a otro. Se trata, principalmente, de prevenir los ataques destinados a restringir la disponibilidad (por ejemplo, la denegación del servicio) y a introducir software malintencionado (malware) que permita a un tercero manipular datos e información sin autorización (por ejemplo, para robar, divulgar, modificar o destruir datos). El gusano informático Stuxnet, que fue descubierto en el año 2010, alteró el funcionamiento de un proceso industrial, ya que fue diseñado con la finalidad de dañar equipos físicos y modificar las indicaciones de los operadores a cargo de la supervisión, para impedir, de este modo, que se identificara cualquier anomalía en los equipos.1 Si esta modalidad de ataque a la integridad de los datos (denominado también “ataque semántico”) se hubiera replicado en otros sistemas, podría haber causado
- 2. La confidencialidad es un concepto que se puede explicar fácilmente, pero solo tiene alguna utilidad cuando los datos y documentos han sido clasificados en categorías —como “público”, “restringido a”, “embargado hasta” y “reservado”— que reflejan la necesidad que tiene una empresa de protegerlos. No es conveniente que los técnicos que se encargan de la infraestructura y servicios de TI se ocupen de realizar esta clasificación, ya que probablemente no tengan un conocimiento cabal del negocio. Por lo tanto, el control y el proceso de clasificación de datos debe quedar en manos del personal del negocio, mientras que los proveedores de servicios y soluciones de TI deben ocuparse de proporcionar las herramientas y los procesos necesarios, como son los controles para la gestión de accesos e identidades y la encriptación. El método más sencillo para medir la confidencialidad tiene una lógica binaria: el carácter confidencial de la información puede haberse preservado (si la información no se ha divulgado) o no (si se ha divulgado). Lamentablemente, este método no resulta demasiado útil, ya que no refleja los efectos de la divulgación de los datos, que abarcan desde situaciones bochornosas hasta atentados contra la seguridad nacional. Si analizamos la noción de integridad, la situación se torna más compleja, porque se trata de un concepto que puede tener distintas interpretaciones.
- 3. ¿Cómo Garantizar una Mayor Integridad de los Datos? Debe complementarse con la formalización de las responsabilidades correspondientes a los procesos de negocio y TI (Tecnologías de la Información). Delimitación de responsabilidades en la Empresa En todo programa de aseguramiento de la integridad de los datosdeben estar definidas las responsabilidades: › De “detección y detención” (“Detect, Deter” o 2D) › De “prevención y preparación” (“Prevent, Prepare” o 2P); y › De “respuesta y recuperación” (“Respond, Recover” o 2R).
- 4. Las buenas prácticas a adoptar son: •Tomar posesión de los datos y asumir la responsabilidad de garantizar su integridad. Para tomar el control de la información, se debe realizar una evaluación de valores que permita calcular el costo potencial de la pérdida de la integridad de los datos y contemple las pérdidas económicas directas. •Controlar los derechos y privilegios de acceso. Los principios de necesidad de conocer (need to know, NtK) y mínimos privilegios (least privilege, LP) constituyen prácticas eficaces. Los administradores y/o programadores a cargo de la gestión de las aplicaciones en las unidades de negocios deberían, al menos, mantener un registro que consigne quiénes tienen acceso a qué datos, además de asegurarse de que se mantengan y revisen los registros de cambios. Una vez que se han aplicado los principios de NtK y LP, el acceso privilegiado sigue siendo un tema delicado, ya que permite acceder libremente a los datos de producción y códigos fuente. •Segregación de funciones (SoD). Este es un concepto de probada eficacia práctica, en el que seguramente harán hincapié las auditorías internas cuando se revisen sistemas y
- 5. Responsabilidades de los equipos de apoyo de TI yusuarios finales Deben responsabilizarse de la creación de cuentas y credenciales deacceso a los sistemas y datos, de que estas estén documentadas y que solo deben usarse cuando sehayan concedido formalmente las autorizaciones pertinentes. Responsabilidades de la Auditoría Interna Los auditores se ocupan de determinar en qué medida se hanrespetado las responsabilidades de las unidades de negocio y del equipo de TI respecto de la preservaciónde la integridad de los datos.
- 6. Ataques a la Integridad de los Datos Los ataques a la integridad de los datos consisten en la modificación intencional de los datos, sin autorización alguna, en algún momento de su ciclo de vida. En el contexto del presente artículo, el ciclo de vida de los datos comprende las siguientes etapas: Introducción, creación y/o adquisición de datos. Procesamiento y/o derivación de datos. Almacenamiento, replicación y distribución de datos. Archivado y recuperación de datos. Realización de copias de respaldo y restablecimiento de datos. Borrado, eliminación y destrucción de datos.
- 7. Hace años que las organizaciones que operan tanto en el sector público como en el privado sufren alteraciones en sus sitios web, pero, más allá del eventual perjuicio a la reputación de una empresa, ninguno de los daños ocasionados puede considerarse “catastrófico”. Las bombas lógicas, el software no autorizado que se introduce en un sistema por acción de las personas encargadas de programarlo/mantenerlo, los troyanos y demás virus similares también pueden afectar la integridad de los datos a través de la introducción de modificaciones (por ejemplo, al definir una fórmula incorrecta en una hoja de cálculo) o la encriptación de datos y posterior exigencia de un “rescate” para revelar la clave de desencriptación. En los últimos años se han producido numerosos ataques de características similares a las mencionadas, que afectan principalmente los discos duros de las computadoras personales. Debería esperarse que tarde o temprano se produzcan ataques de este tipo destinados a los servidores.