Ciberseguridad
Curso de
Reforzamiento
FASE 1
Seguridad de la
Información y
Ciberseguridad
Es importante comprender las diferencias entre la
Seguridad de la Información y la Ciberseguridad,
así como sus principales características.
La Seguridad de la Información es la
protección de la información contra el
acceso, uso, revelación, interrupción,
modificación o destrucción no autorizados
a fin de proteger la confidencialidad,
integridad y disponibilidad ya sea que esta
se encuentre de forma física o electrónica.
La aplicación cuidadosa de los controles de Seguridad de la
Información es vital para proteger los activos de información de
una organización, así como su reputación, posición legal, personal
y otros activos tangibles o intangibles.
Material propiedad de la Asociación de Bancos de México ABM, A.C.
Queda estrictamente prohibida su reproducción total o parcial sin la autorización de la ABM.
Desafortunadamente, existe la percepción La Seguridad de la Información
de que la Seguridad de la Información
entorpece la operación del negocio y
puede ayudar a habilitar
actividades diarias con la imposición de oportunidades e iniciativas de
controles. negocio, a través de la reducción
de riesgos y establecimiento de
mecanismos seguros.
Los beneficios de seguridad tienen costos directos e indirectos. Los costos
directos incluyen comprar, instalar y administrar medidas de seguridad
(por ejemplo: software de control de acceso y sistemas de supresión de
incendios).
Algunos ejemplos de costos indirectos son: espacio adicional de
almacenamiento, horas adicionales por controles de seguridad y segregación de
funciones y complejidad adicional a procesos, entre otros.
Cada Institución a través de su
administración organizacional es
responsable de diseñar y
establecer medidas y controles de
seguridad que consideren el costo
versus beneficio de su
implementación, tomando en
cuenta las decisiones basadas en
el riesgo.
Los líderes necesitan entender su misión dentro de la organización y cómo la
Seguridad de la Información apoya a esa misión. Una vez entendido lo anterior se
pueden definir alcances y requisitos de seguridad adecuados para ella.
Material propiedad de la Asociación de Bancos de México ABM, A.C.
Queda estrictamente prohibida su reproducción total o parcial sin la autorización de la ABM.
A continuación, te presentamos ocho elementos que
ayudan a entender de mejor forma la importancia de la
Seguridad de la Información en una organización:
1 Apoya la misión de la organización.
2 Es un elemento integral de la buena gestión.
3 Las protecciones de Seguridad de la Información se
implementan de manera que sean proporcionales al riesgo.
4 Las responsabilidades de Seguridad de la Información y la
rendición de cuentas son explícitas.
5 Los propietarios del sistema tienen responsabilidades de
Seguridad de la Información fuera de sus propias organizaciones.
6 Requiere un enfoque integral e integrado.
7 Se evalúa regularmente.
8 Está limitada por factores sociales.
La seguridad informática tiene por objetivo
proteger la confidencialidad, integridad y
disponibilidad de los dispositivos
informáticos, como computadoras,
teléfonos inteligentes y tabletas. Esto
incluye ruteadores, servidores de
información, bases de datos, y toda la
infraestructura tecnológica.
Material propiedad de la Asociación de Bancos de México ABM, A.C.
Queda estrictamente prohibida su reproducción total o parcial sin la autorización de la ABM.
La buena seguridad en el sistema de la
organización beneficia obviamente al
usuario de la banca electrónica.
Los roles y funciones de un sistema no
pueden estar restringidos a una sola
organización. En un sistema
interorganizacional, cada organización
se beneficia de asegurar el sistema. Por
ejemplo, para que la banca electrónica
tenga éxito, cada uno de los
participantes requiere controles de
seguridad para proteger sus recursos.
Sin embargo, la buena seguridad en el
sistema de la organización beneficia
obviamente al usuario de la banca
electrónica.
En el entorno actual existen diversas
amenazas internas y externas, que
mediante actividades fraudulentas,
programas malignos, brechas de
seguridad, publicidad engañosa, entre
otras formas, pudieran provocar graves
consecuencias, especialmente en lo
que respecta a la operación y a la
reputación de la organización.
Material propiedad de la Asociación de Bancos de México ABM, A.C.
Queda estrictamente prohibida su reproducción total o parcial sin la autorización de la ABM.
Los riesgos en materia de Seguridad de la Información
nunca pueden ser eliminados completamente. Por lo
tanto, es crucial manejar el riesgo estableciendo un
equilibrio entre la usabilidad y la implementación de los
controles de seguridad. El principal objetivo de la
gestión de riesgos es implementar protecciones de
seguridad que sean proporcionales al riesgo.
Para cada riesgo o para un conjunto de ellos es
necesario aplicar los controles adecuados para
proteger la confidencialidad, integridad y
disponibilidad de la información. Por el
contrario, el no hacerlo deja a la información
vulnerable a violaciones que podrían impedir o
incluso detener la misión de la Institución.
El ciberespacio es también conocido como Internet, cuando
hablamos de ello debemos pensar que es más allá que navegar
en la red de redes. Incluye los sistemas de hardware, software y
la información, así como a las personas y la interacción social
que sucede dentro. Entonces podemos definir como
Ciberseguridad a la preservación de la confidencialidad,
integridad y disponibilidad de la información en el ciberespacio.
Diversas publicaciones que se ocupan de la Ciberseguridad usan
el término de manera indistinta e intercambiable con el término
de Seguridad de la Información, sin embargo, este último
término tiene un mayor alcance, recordemos que abarca a la
información en su estado físico o electrónico.
Te invito a revisar el Video sobre el Triángulo CIA que comprende
los tres principios de Seguridad de la Información y
Ciberseguridad.
Material propiedad de la Asociación de Bancos de México ABM, A.C.
Queda estrictamente prohibida su reproducción total o parcial sin la autorización de la ABM.
Gestión de riesgos,
amenazas y
vulnerabilidades
Como hemos revisado en el Triángulo CIA, la
confidencialidad, integridad y disponibilidad son
elementos que deben ser tomados en cuenta
cuando se habla de la Seguridad de la Información
en una organización.
A fin de comprender mejor, a continuación, revisaremos diferentes palabras,
conceptos o situaciones que se encuentran ligados a la ejecución de la
Seguridad de la Información.
Muchas veces las palabras, “amenaza”, "vulnerabilidad", “control” y “riesgo”
son usadas para representar una misma situación, aunque estas tengan
significados diferentes y relaciones recíprocas. Es importante entender la
definición de cada una, y entender su relación con los otros conceptos.
Revisemos a continuación el significado de cada una de ellas.
Aprovechan
Amenazas Vulnerabilidades
Aumentan Exponen
Protegen de
Disminuyen
Controles R i e s g o s Activos
Marcan
Aumentan Tienen
Imponen Impactan si se
materializan
Requerimientos Valor de los
de seguridad activos
Material propiedad de la Asociación de Bancos de México ABM, A.C.
Queda estrictamente prohibida su reproducción total o parcial sin la autorización de la ABM.
Vulnerabilidad
Una vulnerabilidad es la debilidad
en un software, hardware, o proceso
que pueden darle a un atacante la
puerta abierta para entrar en una
computadora, una red, o un sistema y
tener acceso no autorizado a los
activos dentro de una organización. La
vulnerabilidad se caracteriza por la
ausencia o debilidad de un control que
podría ser explotado.
Material propiedad de la Asociación de Bancos de México ABM, A.C.
Queda estrictamente prohibida su reproducción total o parcial sin la autorización de la ABM.
Amenaza
Una amenaza es cualquier peligro potencial para la información
o los sistemas. La amenaza es alguien o algo, que identificará una
vulnerabilidad específica y lo usará contra la organización o los
usuarios.
Una amenaza podría ser:
Un intruso que accede a la red a través de un
puerto en el firewall
Un proceso que acceda a los datos en una forma
que viola la política de seguridad.
Un tornado que destruye una instalación
Un empleado que comete un error que pudiese
exponer a la información confidencial o destruir la
integridad de un archivo.
Riesgo
Un riesgo es la probabilidad de que una
amenaza se aproveche de una vulnerabilidad
y afecte la confidencialidad, integridad y/o
disponibilidad de la información.
Control
Un control, es la acción o “cosa” que mitiga el riesgo. Es
una configuración del software, hardware, o un
procedimiento que elimina una vulnerabilidad o reduce
el riesgo de que una amenaza pueda aprovecharse de
una vulnerabilidad.
Aplicando los controles correctos se puede eliminar la
vulnerabilidad y reducir el riesgo. La organización no
puede eliminar las amenazas, pero puede protegerse, y
de esta manera, impedir que se aprovechen de las
vulnerabilidades dentro de la organización.
Estos conceptos los podemos
entrelazar con el siguiente ejemplo:
Una compañía no actualiza de manera periódica el
directorio de firmas o huellas de virus en su Software
Antivirus. Esto es una vulnerabilidad.
Los atacantes constantemente están desarrollando nuevos
virus para vulnerar a los sistemas. Esta es una amenaza.
Existe la probabilidad de que un virus infecte los equipos y
cause daño. Esto es el riesgo.
Cuando un virus se infiltra en los sistemas, interrumpe las
operaciones y causa pérdida de información. Este es
el impacto.
Para mitigar este escenario, se realiza la actualización
periódica del Software Antivirus y la instalación en todos los
equipos de cómputo. Este es el control.
Reflexiona
¿Qué vulnerabilidades consideras
tiene tu organización
actualmente?
¿Qué impacto pueden tener las
vulnerabilidades en caso de ser
explotadas por una amenaza?
Estrategias para cambiar riesgos
Una organización puede adoptar cualquiera de las
siguientes estrategias para tratar los riesgos:
Mitigar:
La organización puede establecer controles
para eliminar la vulnerabilidad o reducir la
probabilidad de que materialice el riesgo.
Por ejemplo: el enviarle a un usuario un
código a su teléfono para validar su ingreso
al sistema, reduce el riesgo de que un
atacante ingrese con una contraseña débil.
Trasladar:
La organización puede trasladar a
un tercero el impacto de la
materialización del riesgo.
Por ejemplo: el contratar un seguro
contra robo, traslada el impacto
financiero a la aseguradora.
Eliminar:
La organización puede decidir eliminar el
objeto del riesgo, y por lo tanto eliminar el
riesgo también.
Por ejemplo: Una compañía puede decidir que
las operaciones con Criptomonedas tienen un
riesgo muy alto, por lo que, no las aceptan
como medio de pago.
Aceptar:
Una organización puede tomar la decisión
de vivir con el riesgo tal cual como está,
ya sea por que el costo de implantar el
control o de perder la oportunidad es
muy alto con respecto al impacto.
Por ejemplo: una compañía decide no
implantar un sistema de control de
acceso y cámaras de vigilancia para un
almacén, dado que el costo de los
controles es mayor al de los productos
que se encuentran allí almacenados.
Material propiedad de la Asociación de Bancos de México ABM, A.C.
Queda estrictamente prohibida su reproducción total o parcial sin la autorización de la ABM.