5.3- Amenazas y Vulnerabilidades

Amenzas

Son agentes capaces de explotar los fallos de seguridad que denominamos puntos débiles y, como consecuencia de ello, causar pérdidas o daños a los activos de una empresa.
Los activos están constantemente sometidos a amenazas que pueden colocar en riesgo la integridad, confidencialidad y disponibilidad de la información. Estas amenazas siempre existirán y están relacionadas a causas que representan riesgos, las cuales pueden ser: causas naturales o no naturales, causas internas o externas
Uno de los objetivos de la seguridad de la información es impedir que las amenazas exploten puntos débiles y afecten alguno de los principios básicos de la seguridad de la información (integridad, disponibilidad, confidencialidad), causando daños al negocio de las empresas.

Tipos de amenazas

Las amenazas son constantes y pueden ocurrir en cualquier momento. Esta relación de frecuencia-tiempo, se basa en el concepto de riesgo, lo cual representa la probabilidad de que una amenaza se concrete por medio de una vulnerabilidad o punto débil. Las mismas se podrán dividir en tres grandes grupos:
1. Amenazas naturales condiciones de la naturaleza y la intemperie que podrán causar daños a los activos, tales como fuego, inundación, terremotos.
2. Intencionales son amenazas deliberadas, fraudes, vandalismo, sabotajes, espionaje, invasiones y ataques, robos y hurtos de información, entre otras.
3. Involuntarias – son amenazas resultantes de acciones inconscientes de usuarios, por virus electrónicos, muchas veces causadas por la falta de conocimiento en el uso de los activos, tales como errores y accidentes.

Las amenazas siempre han existido y es de esperarse que conforme avance la tecnología también surgirán nuevas formas en las que la información puede llegar a estar expuesta.

Vulnerabilidades

Son los puntos débiles que, al ser explotados por amenazas, afectan la confidencialidad, disponibilidad e integridad de la información de un individuo o empresa. Uno de los primeros pasos para la implementación de la seguridad es rastrear y eliminar los puntos débiles de un ambiente de tecnología de la información.
Al ser identificados los puntos débiles, será posible dimensionar los riesgos a los cuales el ambiente está expuesto y definir las  medidas de seguridad apropiadas para su corrección.
Los puntos débiles dependen de la forma en que se organizó el ambiente en que se maneja la información y con la presencia de elementos que perjudican el uso adecuado de la información y del medio en que la misma se está utilizando.

Tipos de amenazas

Físicas

Los puntos débiles de orden físico son aquellos presentes en los ambientes en los cuales la información se está manejando o almacenando físicamente, como ejemplos de este tipo de vulnerabilidad se distinguen:

  • Instalaciones inadecuadas del espacio de trabajo,
  • Ausencia de recursos para el combate a incendios,
  • disposición desorganizada de cables de energía y de red,
  • Ausencia de identificación de personas y de locales, etc.

Naturales

Son aquellos relacionados con las condiciones de la naturaleza que puedan colocar en riesgo la información.
La probabilidad de estar expuestos a las amenazas naturales es determinante en la elección y montaje de un ambiente. Se deberán tomar cuidados especiales con el local, podemos citar:

  • Ambientes sin protección contra incendios,
  • Locales próximos a ríos propensos a inundaciones,
  • Infraestructura incapaz de resistir a las manifestaciones de la naturaleza como terremotos, maremotos, huracanes etc.

De Hardware

Los posibles defectos en la fabricación o configuración de los equipos de la empresa que pudieran permitir el ataque o alteración de los mismos, podemos mencionar:

  • La ausencia de actualizaciones conforme con las orientaciones de los fabricantes de los programas que se utilizan
  • Conservación inadecuada de los equipos.
  • La falta de configuración de respaldos o equipos de contingencia

Por ello, la seguridad de la información busca evaluar: si el hardware utilizado está dimensionado correctamente para sus funciones. Si posee área de almacenamiento suficiente, procesamiento y velocidad adecuados.

De software

Los puntos débiles de aplicaciones permiten que ocurran accesos indebidos a sistemas informáticos incluso sin el conocimiento de un usuario o administrador de red, entre éstos destacamos:
La configuración e instalación indebidas de los programas de computadora, que podrán llevar al uso abusivo de los recursos por parte de usuarios mal intencionados. A veces la libertad de uso implica el aumento del riesgo.
Las aplicaciones son los elementos que realizan la lectura de la información y que permiten el acceso de los usuarios a dichos datos en medio electrónico y, por esta razón, se convierten en el objetivo predilecto de agentes causantes de amenazas.

  • Programas lectores de e-mail que permiten la ejecución de códigos maliciosos,
  • Editores de texto que permiten la ejecución de virus de macro etc.
  • Programas para la automatización de procesos
  • Los sistemas operativos conectados a una red.

De Almacenamiento

Los medios de almacenamiento son los soportes físicos o magnéticos que se utilizan para almacenar la información.
Entre los tipos de soporte o medios de almacenamiento de la información que están expuestos podemos citar: memorias USB, disquetes, CD-roms, cintas magnéticas, discos duros de los servidores y de las bases de datos, así como lo que  está registrado en papel.
Si los soportes que almacenan información, no se utilizan de forma adecuada, el contenido en los mismos podrá estar vulnerable a una serie de factores que podrán afectar la integridad, disponibilidad y confidencialidad de la información.

  • Plazo de validez y caducidad, defecto de fabricación,
  • Uso incorrecto,
  • Lugar de almacenamiento en locales insalubres o con alto nivel de, humedad, magnetismo o estática, moho, etc.

De comunicación

Donde sea que la información se transite, ya sea vía cable, satélite, fibra óptica u ondas de radio, debe existir seguridad. El éxito en el tránsito de los datos es un aspecto crucial en la implementación de la seguridad de la información.
Hay un gran intercambio de datos a través de medios de comunicación que rompen barreras físicas tales como teléfono, Internet, WAP, fax, télex etc.
Siendo así, estos medios deberán recibir tratamiento de seguridad adecuado con el propósito de evitar que: Cualquier falla en la comunicación haga que una información quede no disponible para sus usuarios, o por el contrario, estar disponible para quien no posee derechos de acceso.

  • La ausencia de sistemas de encriptación en las comunicaciones que pudieran permitir que personas ajenas a la organización obtengan información privilegiada.
  • La mala elección de sistemas de comunicación para envío de mensajes de alta prioridad de la empresa pudiera provocar que  no alcanzaran el destino esperado o bien se interceptara el mensaje en su tránsito.

Humanas

Esta categoría de vulnerabilidad está relacionada con los daños que las personas pueden causar a la información y al ambiente tecnológico que la soporta.
Los puntos débiles humanos también pueden ser intencionales o no. Muchas veces, los errores y accidentes que amenazan a la seguridad de la información ocurren en ambientes institucionales. La mayor vulnerabilidad es el desconocimiento de las medidas de seguridad adecuadas para ser adoptadas por cada elemento constituyente, principalmente los miembros internos de la empresa.
Destacamos dos puntos débiles humanos por su grado de frecuencia: la falta de capacitación específica para la ejecución de las actividades inherentes a las funciones de cada uno, la falta de conciencia de seguridad para las actividades de rutina, los errores, omisiones, insatisfacciones etc.
En lo que se refiere a las vulnerabilidades humanas de origen externo, podemos considerar todas aquéllas que puedan ser exploradas por amenazas como: vandalismo, estafas, invasiones, etc.

  • Contraseñas débiles,
  • Falta de uso de criptografía en la comunicación,
  • Compartimiento de identificadores tales como nombre de usuario o credencial de acceso,  etc.
Anuncios

14 comentarios en “5.3- Amenazas y Vulnerabilidades

  1. Noticia: Empleados Principales Responsables de Problemas de Seguridad
    Las empresas dispones de reglas claras sobre el uso y administración de los recursos informáticos, sin embargo los empleados no las cumplen.
    1/5 de los encuestados dicen haber alterado la configuración de la computadora asignada, especialmente la instalación de programas
    1/3 de los consultas admitió abandonar su PC con la sesión abierta
    66% usa la computadora del trabajo para: descargar mñusica, entrar a la banca o compra en-línea
    44% ha prestado la PC o Celular a terceros para fines no laborales
    La investigación fue realizada por Cisco a 1000 directopres de informática y 1000 empleados en Inglatera y EE UU.
    (DiarioTI, 2008)

¿Cuál es tu opinión? sobre el tema

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s