Accesos y seguridad en tecnología de la información
La información, los procesos, sistemas y redes que brindan apoyo se constituyen como importantes recursos de la empresa. La confidencialidad, integridad y disponibilidad de la información pueden ser esenciales para mantener la ventaja competitiva, el flujo de fondos, la rentabilidad, el cumplimiento de las leyes y la imagen comercial.
En las organizaciones, la infraestructura de tecnología de la información que se encuentra constituida por las redes y sistemas de información, se enfrentan en forma creciente con amenazas relativas a la seguridad, de diversos orígenes, incluyendo el fraude asistido por computadora, espionaje, sabotaje, vandalismo, incendio o inundación.
Requerimientos de Acceso y Seguridad
Para establecer las necesidades de los accesos y seguridad que le permitirán a la organización minimizar los riesgos asociados a las amenazas, existen tres recursos con los se pueden identificar los requisitos
en cuanto a seguridad (Administración del Riesgo, 1999), éstos se
mencionan a continuación:
1. Las evaluaciones de riesgos que enfrenta la organización. Con esta evaluación se logra identificar las amenazas que enfrenta la Arquitectura de la Tecnología de la información, además de las vulnerabilidades y probabilidades de ocurrencia, estimando el impacto potencial.
2. Los requisitos legales, normativos, reglamentarios y contractuales que deben
cumplir la organización, sus socios comerciales, los contratistas
y los prestadores de servicios.
3. Los procesos, objetivos y requisitos para el procesamiento de la
información, que ha desarrollado la organización para respaldar sus operaciones.
Evaluación de riesgos
La evaluación de riesgos es un proceso metódico que permite la
identificación de las amenazas a los procesos que afronta toda la
estructura de tecnología de la información de la organización. Para poder realizar una correcta evaluación de riesgos, se hace necesario tener en
cuenta aspectos como el impacto y la probabilidad de ocurrencia. (ISO and Comisión International Electrotechnical Commission., 2009).
Control de Acceso
Luego de haber identificado y evaluado los riesgos de seguridad, se deben seleccionar e implementar controles que garanticen la mitigación de los riesgos. De ahí, toma gran importancia una política de administración de
riesgos (Administración del Riesgo, 1999), que debe tener en cuenta el
costo de implementar los controles que logren minimizar su impacto y la
pérdida de la información.
Por lo tanto, parte del estudio de este fascículo va enfocado en desarrollar
los tipos de controles que permitan limitar los accesos y proveer seguridad
basada siempre en los principios de confiabilidad, integridad y disponibilidad de la información.
Control de acceso a la red
Estos controles tiene como finalidad la protección de los servicios de la red. Para lograrlo se deben asegurar todos los accesos a la red, ya sean internos o externos. Con la implementación de estos controles se garantiza una autenticación apropiada para las comunidades y equipos, y el control de acceso a los sistemas de información en general.
Igual que en los controles a los sistemas de información, los controles a la red deben partir de una política de utilización del servicio, es decir, establecer las reglas que logren proporcionar una conexión segura. (ISO/IEC, 2007) Un claro ejemplo de esto, es utilizar métodos de cifrados en el acceso a la red por medio inalámbrico como el cifrado de contraseñas.
Estos controles encierran la red y servicios que las comunidades acceden para procesar información, además, contemplan procedimientos de autorización para los usuarios que tienen acceso, junto con la gestión que permite proteger los servicios.
Una buena práctica en los controles de acceso a la red es implementar un camino forzado, que se refiere en tener el completo dominio de la trayecto
Control de acceso al sistema operativo
Los controles de acceso al sistema operativo se implementan con el fin deim pedir el acceso sin autorización a la terminal de usuario (computador, dispositivo portátil, entre otros). En este tipo de controles se deben desarrollar todos los mecanismos que logren proveer de seguridad y restringir el acceso a las terminales de usuario. Para hacerlo, es necesario implementar un conjunto de acciones, que van desde la identificación de la identidad del usuario, la toma de acciones en caso de presentarse un alto
número de intentos fallidos de acceder al sistema operativo, tener medios de autenticación que permitan una confiabilidad en las contraseñas (iso27000.es, 2005), entre otros.
