CATALAGOS DE ELEMENTOS DE MARGERIT
Johan Roque castro
CATALOGO DE ELEMENTOS
Facilitar la labor de las
personas que acometen el proyecto Homogeneizar los resultados
TIPOS DE ACTIVOS
Activos Esenciales:
La información
Los servicios
INFORMACION
Datos VitalesDatos Vitales
Datos de Carácter PersonalDatos de Carácter Personal
Datos ClasificadosDatos Clasificados
(A)Nivel Alto(B)Nivel Bajo(M)Nivel Medio
(A)Nivel Alto(B)Nivel Bajo(M)Nivel Medio
[C] nivel confidencial[R] difusión limitada[UC] sin clasificar[PUB] de carácter pública
[C] nivel confidencial[R] difusión limitada[UC] sin clasificar[PUB] de carácter pública
Esenciales para supervivencia de la OrganizaciónEsenciales para supervivencia de la Organización
ARQUITECTURA DEL SISTEMA
Permiten estructurar el sistema, definiendo su Arquitectura interna
sus Relaciones con el exterior.
[SAP] punto de [acceso al] servicio
[IP] punto de interconexión
[EXT] proporcionado por terceros: cuando para la prestación de nuestros servicios recurrimos a un tercero.
DATOS/INFORMACION
[test] datos de prueba
[backup] copias de respaldo
[exe] código ejecutable
[source] código fuente
[test] datos de prueba
[password] credenciales
[files] ficheros registro de actividad: validación de credenciales
CLAVES CRIPTOGRAFICAS:
Se emplea para proteger el secreto o autenticar a las partes
• Claves de cifra y firma• secreto compartido (clave simétrica) • clave pública de cifra y firma • clave privada de descifrado• Clave publica de verificación de firma
• claves de cifrado del canal• claves de autenticación• claves de verificación de autenticación
• claves de cifra
Protección de la información
Protección de comunicaciones
[disk] cifrado de soportes de información
[x509] certificados de clave pública
SERVICIOS
Función que satisface una necesidad delos usuarios (del servicio).
anónimo (sin requerir identificación del usuario)
a usuarios externos (bajo una relación contractual)
Almacenamiento y transferencia de ficheros
correo electrónico
SOFTWARE- APLICACIONES INFORMATICAS
Tareas que han sido automatizadas para su desempeño por un equipo informático
desarrollo propio (in house)
desarrollo a medida (subcontratado)
estándar (off the shelf)
servidor de aplicaciones servidor de correo electrónico sistema operativo sistema de backup
EQUIPAMIENTO INFORMATICO (HARDWARE)
Medios materiales, físicos, destinados a soportar directa O indirectamente los servicios que presta la organización,
grandes equipos
informática personal
informática móvil
periféricos medios de impresión escáneres dispositivos
soporte de la red Modemconmutadores encaminadores cortafuegos
REDES DE COMUNICACIONES
Incluyendo tanto instalaciones Dedicadas como servicios De comunicaciones contratados a terceros; pero siempre centrándose en que son medios de transporte que llevan datos de un sitio a otro.
red telefónica RDSI (red digital) X25 (red de datos)ADSL punto a punto comunicaciones radio red inalámbrica telefonía móvil por satélite red local
SOPORTES DEINFORMACION:
Dispositivos físicos que permiten almacenar in formación de forma permanente o, al menos, durante largos periodos de tiempo
Electrónicos
Discosdiscos virtualesalmacenamiento en reddisquetes cederrón (CD-ROM) memorias USB DVD cinta magnética tarjetas de memoria
No Electrónicos
material impresocinta de papel tarjetas perforadas
EQUIPAMIENTO AUXILIAR
Consideran otros equipos que sirven de soporte a los sistemas de información, sin estar directamente Relacionados con datos
fuentes de alimentación
sistemas de alimentación ininterrumpida
generadores eléctricos
equipos de climatización
cableado cable eléctrico fibra óptica
mobiliario: armarios, etc
cajas fuerte
INSTALACIONES
Lugares donde se Hospedan los sistemas De información Y comunicaciones
recinto
edificio
cuarto
plataformas móviles
vehículo terrestre: coche, etc. vehículo aéreo: avión, etc. vehículo marítimo: lancha, etc.
contenedores
canalización
instalaciones de respaldo
PERSONAS
Relacionadas con los sistemas de información
usuarios externos
usuarios internos
operadores
administradores de sistemas
administradores de comunicaciones administradores de BBDD
administradores de seguridad
desarrolladores / programadores
Subcontratas
proveedores
Dimensiones de Valoración
Características o atributo que hacen valioso un activo.
Criterios de Valoraciónuna escala detallada de diez valores
AMENAZAS
Causa potencial de un incidente que puede causar daños a un sistema de información o a una organización. [UNE 71504:2008]
Valoración de las Amenazas
Cuando un activo es víctima de una amenaza, no se ve afectado en todas sus dimensiones, ni en la misma cuantía. Una vez determinado que una amenaza puede perjudicar a un activo, hay que valorar su influencia en el valor del activo, en dos sentidos:
Degradación: cuán perjudicado resultaría el [valor del] activo.
Mide el daño causado por un incidente en el supuesto de que ocurriera.
La degradación se suele caracterizar como una fracción del valor del activo y así aparecen expresiones como que un activo se ha visto “totalmente degradado”, o “degradado en una pequeña fracción”.
MA Muy alta Casi seguro Fácil
A Alta Muy alto medio
M Media posible difícil
B baja Poco probable Muy difícil
MB Muy baja Muy caro Extremadamente difícil
Probabilidad: cuán probable o improbable es que se materialice laamenaza.La probabilidad de ocurrencia es más compleja de determinar y de expresar. A veces se modela cualitativamente por medio de alguna escala nominal.A veces se modela numéricamente como una frecuencia de ocurrencia. Es habitual usar 1 año como referencia, de forma que se recurre a la tasa anual de ocurrencia como medida de la probabilidad de que algo ocurra. Son valores típicos:
MA 100 Muy frecuente A diario
A 10 Frecuente mensualmente
M 1 Normal una vez al año
B 1/10 Poco frecuente cada varios años
MB 1/100 Muy poco frecuente siglos
Se presenta a continuación un catálogo de amenazas posibles sobre los activos de un sistema de información. Para cada amenaza se presenta un cuadro como el siguiente:
[código] descripción sucinta de l o que puede pasar
Ti pos de activos:
que se pueden ver afectados por este tipo de amenazas
Dimensiones:de seguridad que se pueden verafecta das por este tipo deamenaza, ordenadas de más amenos relevante
Descripción:complementaria o más detallada de la amenaza: lo que le puede ocurrir aactivos del tipo indicado con las consecuencias indicadas
1. Desastres naturales
Sucesos que pueden ocurrir sin intervención de los seres humanos como causa directa o indirecta.
Origen: Natural (accidental)
1.1. Fuego
1.2.Daños por agua
1.3. Desastres naturales
2. De origen industrial
Sucesos que pueden ocurrir de forma accidental, derivados de la actividad humana de tipo industrial. Estas amenazas pueden darse de forma accidental o deliberada.
2.1. Fuego2.2.Daños por agua2.3.Desastres industriales2.4.Contaminación mecánica2.5.Contaminación electromagnética2.6.Avería de origen físico o lógico2.7.Corte del suministro eléctrico2.8.Condiciones inadecuadas de temperatura o humedad2.9.Fallo de servicios de comunicaciones2.10.Interrupción de otros servicios y suministros esenciales2.11.Degradación de los soportes de almacenamiento de la información2.12.Emanaciones electromagnéticas
3. Errores y fallos no intencionados
Fallos no intencionales causados por las personas.La numeración no es consecutiva, sino que está alineada con los ataques deliberados, muchas veces de naturaleza similar a los errores no intencionados, difiriendo únicamente en el propósito del sujeto.
Origen:
Humano (accidental)
1.Errores de los usuarios2.Errores del administrador3.Errores de monitorización (log)4.Errores de configuración5.Difusión de software dañino6.Errores de [re-]encaminamiento7.Errores de secuencia8.Alteración accidental de la información9.Destrucción de información10.Fugas de información11.Vulnerabilidades de los programas (software)12.Errores de mantenimiento / actualización de programas (software)13.Errores de mantenimiento / actualización de equipos (hardware)14.Caída del sistema por agotamiento de recursos15.Pérdida de equipos16.Indisponibilidad del personal
4. Ataques intencionados
Fallos deliberados causados por las personas.La numeración no es consecutiva para coordinarla con los errores no intencionados, muchas ve ces de naturaleza similar a los ataques deliberados, difiriendo únicamente en el propósito del sujeto.
Origen:
Humano (deliberado)
1.Manipulación de los registros de actividad (log)2.Manipulación de la configuración3.Suplantación de la identidad del usuario4.Abuso de privilegios de acceso5.Uso no previsto6.Difusión de software dañino7.Encaminamiento de mensajes8.Alteración de secuencia
9.Acceso no autorizado10.Análisis de tráfico11.Repudio12.Interceptación de información (escucha)13.Modificación deliberada de la información14.Destrucción de información15.Divulgación de información16.Manipulación de programas17.Manipulación de los equipos18.Denegación de servicio19.Robo20.Ataque destructivo21.Ocupación enemiga22.Indisponibilidad del personal23.Extorsión24.Ingeniería social (picaresca)
SALVAGUARDAS
Se definen las salvaguardas o contra medidas como aquellos procedimientos o mecanismos tecnológicos que reducen el riesgo.
Ante el amplio abanico de posibles salvaguardas a considerar, se deben tener en cuenta los siguientes aspectos:
Tipo de activos a proteger, pues cada tipo se protege de una forma específica.Dimensión o dimensiones de seguridad querequieren protección.Amenazas de las que necesitamos protegernos.Si existen salvaguardas alternativas.
Existen diferentes tipos de salvaguardas que tienen un efecto de reducción de degradación y de la probabilidad.
Valoración de salvaguardas
Las salvaguardas se caracterizan, además de por su existencia, por su eficacia frente al riesgo.
Entre una eficacia del 0% para aquellas que faltan y el 100% para aquellas que son idóneas y que están perfectamente implantadas, se estimará un grado de eficacia real en cada caso concreto.
Se puede emplear una escala de madurez que recoja en forma de factor corrector la confianza que merece el proceso de gestión de la salvaguarda.
Identificación y valoración de salvaguardas de la tienda
Recommended