Diseño de seguridad
by Diocles Germán Avendaño Ponce
1. [1]Sugiere el siguiente modelo de seguridad de ejemplo: Para la implementación del modelo de seguridad se deben seguir los siguientes pasos: 1. Identificar y analizar los riesgos 2. Definir las políticas de seguridad 3. Diseñar la arquitectura de red
1.1. Identificar y analizar los riesgos: Lo más importante para poder iniciar con la implementación de un sistema de seguridad es tener claro qué se va a proteger. De este análisis se puede identificar los riesgos presentes en la organización y evaluar su impacto para establecer los controles y de esta manera mitigar los impactos más significativos.[1]
1.2. Definir las políticas de seguridad: Desde la arquitectura de los sistemas de información se puede cuantificar fácilmente los riesgos. Este modelo puede cubrir aspectos gerenciales, operacionales o puramente técnicos y puede ser diseñado para evaluar el riesgo de seguridad asociado con diferentes arquitecturas de red, o para evaluar el impacto en las diferentes políticas diseñadas para la seguridad organizacional.[1]
1.3. Diseñar la arquitectura de red: Dentro del diseño de esta arquitectura se analizan factores como: identificación de requerimientos, desarrollo de la estructura de la red, aprovisionamiento de hardware, diseño de elementos de seguridad, implementación y monitoreo. [1]
2. Beneficios de la implementación: Para implementar una buena arquitectura de seguridad en las organizaciones se debe pasar por la identificación y el análisis de riesgos, para conocer las necesidades y poder realizar un diseño de seguridad adecuado, cubriendo los requerimientos de seguridad y dejando a un lado las inversiones innecesarias que incrementan los costos de la seguridad. Se debe invertir en lo realmente sea necesario, se elegirán las herramientas adecuadas para ofrecerles a los clientes eficientemente y con mayor calidad los servicios y adquiriendo un nivel aceptable de prevención de los riesgos.[1]
2.1. Costo-beneficio: Para decidir si una herramienta o elemento de seguridad es necesario en una organización se requiere un buen análisis del riesgo. Ahora bien, si se analizan los virus informáticos en los equipos de la organización se puede observar que la probabilidad de ocurrencia es alta y que su impacto se evalúa por el tiempo que se perdió reparando el equipo, o por la información perdida debido a un daño en el mismo. Si se habla de un virus que se propagó por toda la empresa, el impacto sería desastroso; por lo tanto, los controles en este caso sería un buen antivirus comercial, que garantice el control y unas políticas claras de manejo de archivos, ya sea desde internet o desde unidades de almacenamiento removibles. También hay que analizar lo contrario, es decir, si para un riesgo bajo con una probabilidad baja y un impacto casi nulo, es necesario invertir mucho tiempo y recursos en su protección.[1]
3. Introducción: [1] Expresa que: En la actualidad, las oportunidades de negocio se apoyan en el uso de las nuevas tecnologías, las cuales vienen acompañadas de riesgos significativos en el manejo de la información.
3.1. Amenazas informáticas: Con la aparición y masificación del uso de las redes informáticas y en especial de Internet, las organizaciones implementaron gran variedad de servicios para facilitar el manejo de la información e incrementar sus posibilidades de negocios. Desafortunadamente, al mismo tiempo surgieron individuos que realizan actividades ilegales con el objetivo de irrumpir en los flujos de información privados y confidenciales, haciendo que esas redes se convirtieran en un entorno inseguro. [1]
3.2. Clasificación de las amenazas informáticas: Las organizaciones deben contar con suficiente experiencia para identificar los diferentes riesgos tecnológicos que pueden vulnerar su continuidad en el negocio. Estos riesgos se pueden clasificar como amenazas internas o externas; las primeras son generadas por factores internos de la organización y las segundas por factores externos. [1]
3.2.1. Amenazas externas. Se originan al interior de la organización y algunas de las más frecuentes son: virus gusanos, caballos de Troya, spam, represalias de exempleados, espionaje industrial o ingeniería social [2].
3.2.2. Amenazas: internas. Se generan al interior de la organización por los mismos usuarios, ya sea con o sin intención. Pueden ser muy costosas debido a que el infractor, por ejemplo, un empleado descontento, conoce muy bien la estructura organizacional, tiene mayor capacidad de movilidad dentro de la misma, mayor acceso y perspicacia para saber dónde reside la información sensible e importante. [1]