Medios de almacenamiento entre otros

Medios de almacenamiento externo.Qué es?

Por almacenamiento externo se entiende cualquier formato de almacenamiento de datos que no está fijo de modo permanente dentro del equipo. Las ventajas residen en su facilidad de transporte derivadas de su rápido acceso, y poco tamaño y peso.

Principales medios de almacenamiento externo:

• Disco rígido portátil:

.

• CD-R:

.

• DVD-R:

.

• Unidad flash USB:

.

• Tarjeta de memoria:

Las tarjetas de memoria son dispositivos de almacenamiento de datos utilizados en cámaras digitales, notebooks, móviles, reproductores de música, consolas de videojuegos y otros dispositivos electrónicos. Las tarjetas de memoria permiten un medio de almacenamiento pequeño, rápido y resistente.

       Almacenamiento en línea:

Realizar el envío de tus archivos más importantes y de uso diario a un correo electrónico es una buena opción a la hora, no sólo de guardar una copia segura, sino también de acceder a los mismos desde cualquier lugar con acceso a Internet sin necesidad de estar frente a tu ordenador.

Con los clusters podemos procesar mucha más informacián que un ordenador independiente, pero ¿dónde guardamos esta informacián? Una posibilidad es utilizar los sistemas de almacenamiento de los nodos, sus discos duros, por ejemplo. Pero existen otras alternativas que nos permitirán un control y una gestión mucho mayores sobre los datos procesados, como las tecnologías NAS y SAN. 

6.1. Network Attached Storage

Los dispositivos NAS (Network Attached Storage) son dispositivos de almacenamiento específicos, a los cuales se accede utilizando protocolos de red, como NFS (Sistema de archivos de red), FTP (Protocolo de Transferencia de Archivos), CIFS (Common Internet File System nombre que adoptó Microsoft en 1998 para el protocolo SMB). O SMB (Server Message Block), como puedes ver en la siguiente figura. La idea consiste en que el usuario solicita al servidor un fichero completo y, cuando lo recibe, lo maneja localmente, lo cual hace que este tipo de tecnología sea ideal para el uso con ficheros de pequeño tamaño, ofreciendo la posibilidad de manejar una gran cantidad de ellos desde los equipos clientes. El uso de NAS permite, con bajo coste, realizar balanceo de carga y tolerancia a fallos, por lo que es cada vez más utilizado.

6.2. Storage Area Network

Una red SAN (Storage Area Network) o red con área de almacenamiento, está pensada para conectar servidores, discos de almacenamiento, etc., utilizando tecnologías de fibra (que alcanzan hasta 8Gb/s) usando protocolos como Isasi (Abreviatura de Internet SCSI, es un estándar que permite el uso del protocolo SCSI sobre redes TCP/IP). El funcionamiento se basa en las peticiones de datos que realizan las aplicaciones al servidor, que se ocupa de obtener los datos del disco concreto donde estén almacenados. Dependiendo de lo cantidad de información manejada, podremos optar por el uso de una u otra tecnología. Paro grandes volúmenes, sería conveniente utilizar una red SAN, mientras que paro pequeñas compañías lo idóneo sería un dispositivo NAS. Esto no quiere decir que ambas tecnologías sean excluyentes.

Leyes relacionadas con la seguridad de la información

En los siguientes apartados vamos a tratar las principales leyes relacionadas con la seguridad de la información: Ley de protección de datos de carácter personal y Ley de servicios de la información y el comercio electrónico.

5.1. Normativa que protege los datos personales

Muy a menudo, en nuestra vida diaria, nuestros datos personales son solicitados para realizar diversos trámites en empresas o en organismos tanto públicos como privados; por e¡emplo, cuando cambiamos de número de móvil o contratamos un nuevo proveedor servicios de Internet. Desde ese instante, nuestro nombre, apellidos, dirección, etc., pasan a formar parte de una serie de ficheros. Su gestión está regulada por la Ley de Protección de Datos de Carácter Personal (LO 15/1999), más conocida como LOPD, que se desarrolla en el RD 1720/2007, y es supervisada por la Agencia Española de Protección de Datos.
El ob¡etivo de esta ley es garantizar y proteger los derechos fundamentales y, especialmente, la intimidad de las personas físicas en relación con sus datos personales. Es decir, específica para qué se pueden usar, cómo debe ser el procedimiento de recogida que se debe aplicar y los derechos que tienen las personas a las que se refieren, entre otros aspectos.
Es habitual encontrar carteles donde se hacen referencia a esta ley, por ejemplo en las estaciones de RENTA o cuando rellenas tu matrícula.

Los datos personales recogidos, serán tratados con su consentimiento
informado en los términos del artículo 5 de la Ley
Orgánica 15/ 1999, y de conformidad con los principios dispuestos
en la misma y en la Ley 8/2001, de la Comunidad de
Madrid, pudiendo ejercer el derecho de acceso, rectificación,
cancelación y oposición ante el responsable del fichero. Para
cualquier cuestión relacionada con esta materia, o si tiene usted
alguna sugerencia que permita mejorar este impreso, puede
dirigirse al teléfono de información administrativa 012.

o Protección de datos

La LOPD no solo la tenemos que conocer desde nuestra profesión como técnicos en sistemasmicroinformáticos y redes, sino también como particulares, ya que nuestros datos están almacenados en ficheros que deberán cumplir esta legislación.

o Medidas de seguridad

Como ya sabes, siempre que se vaya a crear un fichero de datos de carácter personal, es necesario solicitar la aprobación de la Agencia de Protección de Datos. Cuando se realiza esta solicitud es obligatorio especificar los datos que contendrá elfichero y el nivel de seguridad que se aplicará al fichero. Los niveles de seguridad son tres: básico, medio y alto. Los datos implicados en cada uno de ellos se muestran en la tabla siguiente sobre datos y seguridad:

Datos del fichero	Nivel de seguridad
Todos los datos de carácter personal tienen que tener como mínimo este nivel.	Básico
Referidos a infracciones administrativas (o penales), a gestión tributaria, datos fiscales y financieros. Datos que proporcionan información sobre las características o personalidad de las afectados.	Medio
Referidos a ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual.	Alto

El nivel que debe aplicarse es el más alto que corresponda a los datos incluidos en el fichero, es decir, si solo contiene los datos personales (nombre, apellidos y NIF) el nivel
es básico, pero si además se incluye la afiliación sindical, el nivel de seguridad del fichero será alto. Cada nivel tiene unas características de seguridad propias, como se ve en la tabla siguiente:

Nivel de seguridad	Característica de seguridad
Básico	Debe existir un documento de seguridad donde figuren las funciones y obligaciones de cada usuario del fichero. El responsable del fichero debe mantener una lista de usuarios y sus accesos actualizada. Las contraseñas de los usuarios (en caso de ser este el método de autenticación) serán cambiadas en un periodo no superior a un año. Es obligatorio crear un registro de las incidencias relacionadas con este fichero. Cualquier documento que contenga datos de carácter personal que se deseche tendrá que ser borrado o destruido. Habrá que realizar copias de seguridad como mínimo una vez a la semana.
Medio	Al menos una vez cada dos años una auditoría verificará que los procedimientos de seguridad aplicados son los correctos. Deben establecerse mecanismos para evitar el acceso reiterado no autorizado a los datos y sistemas de control de acceso a los lugares donde estén los equipos que almacenen los datos.
Alto	Los datos deben ser cifrados para que no se manipulen cuando se realice su transporte, por ejemplo, cuando se almacenen los datos en un portátil. También deberán cifrarse para realizar cualquier transmisión por redes públicas o inalámbricas. Las copias de seguridad deben almacenarse en un lugar físico diferente a los datos. Deberán registrarse los intentos de acceso a los datos de los dos últimos años como mínimo.

 

 

5.2. Normativa de los sistemas de información y comercio electrónico

La regulación de los sistemas de información es un tema muy extenso y complejo, tanto que existe un organismo, la Comisión del Mercado de las Telecomunicaciones (CMT), que establece las normas y procedimientos de los mercados nacionales de comunicaciones electrónicas y de servicios audiovisuales. La ley 34/2002 de servicios de la información y el comercio electrónico regula el régimen jurídico de los servicios de la sociedad de la información y la contratación por vía electrónica en las empresas que proporcionan estos servicios establecidos en España o en estados miembros de la Unión Europea. Algunos de los aspectos más importantes de esta ley son:

• Las empresas a las que afecta están obligadas a proporcionar información sobre nombre, domicilio, dirección de correo electrónico, número de identificación fiscal e información clara sobre el precio de los productos. Si esta información se incluye en la página web, la empresa estará cumpliendo con este requisito.

• Exculpa de responsabilidad, siempre que no tengan conocimiento efectivo de la información contenida en sus servidores, a empresas que se dedican al alojamiento o almacenamiento de datos o enlaces a datos incluidos por clientes.

• Establece la validez de los contratos realizados por vía electrónica. Para demostrar la existencia de dicho contrato jurídicamente es suficiente con la presentación del documento en formato electrónico. Por ejemplo en el caso de los billetes de transporte adquiridos a través de Internet, el documento electrónico justifica dicho  contrato.

La aplicacián de estas leyes ha derivado en acciones judiciales, como los siguientes ejemplos:

Ejemplo nº 1     Protección de Datos multa a Telefónica con 60.000 euros .La Agencia Española de Protección de Datos (AEPD) ha impuesto a Telefónica una multa de 60 101 ,21 euros por haber revelado datos de clientes a consecuencia de un problema técnico que sufrió el portal de Terra.
http://www.consumer.es/web/es/tecnolagia/2008/03/17/175496.php

 Ejemplo nº 2

Un grupo de jóvenes insulta y veja en 2006 a un chico de 17 años con síndrome de Dawn. Uno de ellos lo graba y acaba colgado en Google Video, el servicio de hospedaje de vídeos del gigante informático que más tarde adquiriría Youtube. La escena llega a recibir 5.500 visitas en dos meses y aparece entre los«vídeos más divertidos». ¿Quién es el responsable de lo dignidad del agredido, socavada en unas imágenes que alcanzaron una audiencia global? Un juez en Milán lo juzga desde hoy, centrándose en la responsabilidad de cuatro directivos de Google. Los altos cargos, entre los que se encuentra un vicepresidente de la empresa, se enfrentan a una acusación penal por difamar a la víctima y a Vivi Down, una asociación de personas con síndrome de down. Ademós, la Fiscalía les considera responsables del incumplimiento de la legislación italiana en materia de privacidad. 15/12/2009 Daniel Basteiro • Diario Público

de infosegur el 10 noviembre, 2013  •  Permalink

Amenazas y fraudes en los sistemas de la información

Durante los primeros meses de 2009, en España hemos vivido una época de crisis bfinanciera, lo que ocasionó numerosos despidos en las empresas. La situación produjo un aumento en los casos de robos de información confidencial por parte de los empleados despedidos, y puso en evidencia la falta de seguridad informática en dichas empresas.
La seguridad de un sistema real nunca será completa, pero el uso de buenas políticas de seguridad es imprescindible paro evitar y minimizar los daños.
El objetivo final de la seguridad es proteger lo que la empresa posee. Todo aquello que es propiedad de la empresa se denomina activo. Un activo es tanto el mobiliario de la oficina (sillas, mesas, estanterías), como los equipos informáticos (servidores, ordenadores de escritorio, impresoras), como los datos que se manejan (datos de clientes, facturas, personal). Cualquier daño que se produzca sobre estos activos tendrá un impacto en la empresa (Ver figura inferior).

Pasos para la mejora de la seguridad

4.1. Actuaciones para mejorar la seguridad

Los pasos a seguir para mejorar la seguridad son los siguientes:
• Identificar los activos, es decir, los elementos que la empresa quiere proteger.
• Formación de los trabajadores de las empresas en cuanto a materias de seguridad.
• Concienciación de la importancia de la seguridad informática para los trabajadores de la empresa.
• Evaluar los riesgos, considerando el impacto que pueden tener los daños que se produzcan sobre los activos y las vulnerabilidades del sistema.
• Diseñar el plan de actuación, que debe incluir:
a) Las medidas que traten de minimizar el impacto de los daños ya producidos. Es lo que hemos estudiado referido a la seguridad pasiva.
b) Las medidos que traten de prevenir los daños minimizando la existencia de vulnerabilidades. Se trata de la seguridad activa.
• Revisar periódicamente las medidas de seguridad adoptadas.

4.2. Vulnerabilidades

Las vulnerabilidades de un sistema son una puerta abierta para posibles ataques, de ahí que sea tan importante tenerlas en cuenta; en cualquier momento podrían ser apravechadas. Podemos diferenciar tres tipos de vulnerabilidades según cómo afectan a nuestra sistema:
• Vulnerabilidades ya conocidas sobre aplicaciones o sistemas instalados. Son vulnerabilidades de las que ya tienen conocimiento las empresas que desarrallan el programa al que afecta y para las cuales ya existe una solución, que se publica en forma de parche.
Existen listas de correo relacionadas con las noticias oficiales de seguridad que informan de la detección de esas vulnerabilidades y las publicaciones de los parches a las que podemos suscribirnos.
• Vulnerabilidades conocidas sobre aplicaciones no instaladas. Estas vulnerabilidades también son conocidas por las empresas desarrolladores de la aplicación, peropuesto que nosotros no tenemos dicha aplicación instalada no tendremos que actuar.
• Vulnerabilidades aún no conocidas. Estas vulnerabilidades aún no han sido detectadas por la empresa que desarrolla el programa, por lo que si otra persona ajena a dicha empresa detectara alguna, podría utilizarla contra todos los equipos que tienen instalado este pragrama.
Lograr que los sistemas y redes operen con seguridad resulta primordial para cualquier empresa y organismo. Esto ha llevado a que empresas como Microsoft dispongan dedepartamentos dedicados exclusivamente a la seguridad, como es Microsoft Security Response Center (MSRC). Sus funciones son, entre otras, evaluar los informes que los clientes proporcionan sobre posibles vulnerabilidades en sus productos, y preparar y divulgar revisiones y boletines de seguridad que respondan a estos informes.
Para ello clasifica las vulnerabilidades en función de su gravedad, lo que nos da una idea de los efectos que pueden tener en los sistemas. En la siguiente tabla puedes ver dicha clasificación de gravedad de vulnerabilidades:

Calificación	Definición
Crítica	Vulnerabilidad que puede permitir la propagación de un gusano de Internet sin la acción del usuario.
Importante	Vulnerabilidad que puede poner en peligro la confidencialidad, integridad o disponibilidad de los datos de los usuarios, o bien, la integridad o disponibilidad de los recursos de procesamiento.
Moderada	El impacto se puede reducir en gran medida a partir de factores como configuraciones predeterminadas, auditorías o la dificultad intrínseca en sacar partido a la vulnerabilidad.
Baja	Vulnerabilidad muy difícil de aprovechar o cuyo impacto es mínimo.

4.3. Tipos de amenazas

Un sistema informático se ve expuesto a un gran número de amenazas y ataques. En este apartado veremos una pequeña introducción a las clasificaciones más importantes. Para identificar las amenazas a las que está expuesto un sistema informático realizaremos tres clasificaciones: la primera de los tipos de atacantes, la segunda de los tipos de ataques que puede sufrir y la tercera de cómo actúan estos ataques. La Tabla inferior recoge, en la primera columna, los nombres con los que se han denominado a las personas que llevan a cabo los ataques; en la segunda columna,una pequeña definición que los caracteriza.

Nombre de los atacantes	Definición
Hackers	Expertos informáticos con una gran curiosidad por descubrir las vulnerabilidades de los sistemas pero sin motivación económica o dañina.
Crackers	Un hacker que, cuando rompe la seguridad de un sistema, lo hace con intención maliciosa, bien para dañarlo o para obtener un beneficio económico.
Phreakers	Crackers telefónicos, que sabotean las redes de telefonía para conseguir llamadas gratuitas.
Sniffers	Expertos en redes que analizan el tráfico para obtener información extrayéndola de los paquetes que se transmiten por la red.
Lammers	Chicos jóvenes sin grandes conocimientos de informática pero que se consideran a sí mismos hackers y se vanaglorian de ello.
Newbie	Hacker novato.
Ciberterrorista	Expertos en informática e intrusiones en la red que trabajan para países y organizaciones como espías y saboteadores informáticos.
Programadores de virus	Expertos en programación, redes y sistemas que crean programas dañinos que producen efectos no deseados en los sistemas o aplicaciones.
Carders	Personas que se dedican al ataque de los sistemas de tarjetas, como los cajeros automáticos.

En la tabla inferior se recogen los principales ataques que puede sufrir un sistema si se aprovechan sus vulnerabilidades.

Nombre del ataque	Definición
Interrupción	Un recurso del sistema o la red deja de estar disponible debido a un ataque.
Intercepción	Un intruso accede a la información de nuestro equipo o a la que enviamos por la red.
Modificación	La información ha sido modificada sin autorización, por lo que ya no es válida.
Fabricación	Se crea un producto (por ejemplo una página Web) difícil de distinguir del auténtico y que puede utilizarse para hacerse, por ejemplo, con información confidencial del usuario.

Los tipos de amenazas pueden clasificarse también en función de cómo actúan los ataques, siendo los principales los que se han incluido en la tabla  que aparece a continuación:

Ataque	¿Cómo actúa?
Spoofing	Suplanta la identidad de un PC o algún dato del mismo (coma su dirección MAC).
Sniffing	Monitoriza y analiza el tráfico de la red para hacerse con información.

 

4.4. Pautas de protección para nuestro sistema

Cualquier equipo conectado en red está expuesto a ser atacado. Como ya sabes, hay auténticos expertos informáticos que se dedican a buscar vulnerabilidades en los sistemas, dedicando mucho tiempo y esfuerzo a este fin. Para prateger tu sistema tendrás que ser más listo que ellos y dedicar también mucho tiempo y esfuerzo a esta tarea.
Algunas de las pautas que debes seguir son:
o No instalar nada que no sea necesario en los servidores.
o Actualizar todos los parches de seguridad. Muchos parches de seguridad corrigen vulnerabilidades de los programas por lo que es necesario mantener siempre actualizado
el sistema.
o Formar a los usuarios del sistema para que hagan uso de buenas prácticas.
o Instalar un firewall. Esta herramienta permite controlar el tráfico entre una red privada y una pública.
o Mantener copias de seguridad según las necesidades.
o Gestionar y revisar los logs del sistema. Los logs reflejan toda la actividad desarrollada en el sistema, por la que su revisión periódica puede detectar a tiempo un posible ataque.
o Sentido común y experiencia previa del administrador.

Clasificación de seguridad

Se pueden hacer diversas clasificaciones de la seguridad informática en función de distintos criterios.

Según el activo a proteger, es decir, todos los recursos del sistema de información necesarios para el correcto funcionamiento de la actividad de la empresa, distinguiremos entre seguridad física y lógica; en dependencia del momento preciso de actuación, entre seguridad pasiva y activa, según se actúe antes de producirse el percance, de tal manera que se eviten los daños en el sistema, o después del percance, minimizando los efectos ocasionados por el mismo.

3.1. Seguridad física y lógica

En este apartado distinguiremos los distintos tipos de seguridad en función del recurso a proteger.

o Seguridad física

Habitualmente nos centramos en protegernos de posibles hackers, virus … y nos olvidamos de un aspecto muy importante en la seguridad informática, la seguridad física. La seguridad física es aquella que trata de proteger el hardware (los equipos informáticos, el cableado … ) de los posibles desastres naturales (terremotos, tifones … ), de incendios, inundaciones, sobrecargas eléctricas, de robos y un sinfín de amenazas más.

A continuación vamos a enumerar las principales amenazas y los mecanismos para salvaguardarnos de las mismas:

Amenazas	Mecanismos de defensa
Incendios	• El mobiliario de los centros de cálculo debe ser ignífugo. • Evitar la localización del centro de procesamiento de datos cerca de zonas donde se manejen o almacenen sustancias inflamables o explosivos. • Deben existir sistemas antiincendios, detectores de humo, rociadores de gas, extintores … para sofocar el incendio en el menor tiempo posible y así evitar que se propague ocasionando numerosas pérdidas materiales.
Inundaciones	•Evitar la ubicación de los centros de cálculo en las plantas bajas de los edificios para protegerse de la entrada de aguas superficiales. • Impermeabilizar las paredes y techos del CPD. Sellar las puertas para evitar la entrada de agua proveniente de las plantas superiores.
Robos	•Proteger los centros de cálculo mediante puertas con medidas biométricas, cámaras de seguridad, vigilantes jurados … ; con todas estas medidas pretendemos evitar la entrada de personal no autorizado.
Señales electromagnéticas	•Evitar la ubicación de los centros de cálculo próximos a lugares con gran radiación de señales electromagnéticas, pues pueden interferir en el correcto funcionamiento de los equipos informáticos y del cableado de red. • En caso de no poder evitar la ubicación en zonas con grandes emisiones de este tipo de señales deberemos proteger el centro frente de dichas emisiones mediante el uso de filtros o de cableado especial, o si es posible, utilizar fibra óptica, que no es sensible a este tipo de interferencias.
Apagones	•Para evitar los apagones colocaremos Sistemas de Alimentación Ininterrumpida, SAl, que proporcionan corriente eléctrica durante un periodo de tiempo suficiente.
Sobrecargas eléctricas	•Además de proporcionar alimentación, los SAl profesionales incorporan filtros para evitar picos de tensión, es decir, estabilizan la señal eléctrico.
Desastres naturales	•Estando en continuo contacto con el Instituto Geográfico Nocional y la Agencia Estatal de Meteorología, organismos que informan sobre los movimientos sísmicos y meteorológicos en España.

o Seguridad lógica

La seguridad lógica complementa a la seguridad física, protegiendo el software de los equipos informáticos, es decir, las aplicaciones y los datos de usuario, de robos, de pérdida de datos, entrada de virus informáticos, modificaciones no autorizadas de los datos, ataques desde la red, etc. Las principales amenazas y mecanismos en seguridad lógica,  para salvaguardarnos de las mismas:

Amenazas	Mecanismos de Defensa
Robos	•Cifrar la información almacenada en los soportes para que en caso de robo no sea legible. • Utilizar contraseñas para evitar el acceso a la información. • Sistemas biométricos (uso de huella dactilar, tarjetas identificadoras, caligrafía … ).
Pérdida de información	•Realizar copias de seguridad para poder restaurar la información perdida. • Uso de sistemas tolerantes a fallos, elección del sistema de ficheros del sistema operativo adecuado. • Uso de conjunto de discos redundantes, protege contra la pérdida de datos y proporciona la recuperación de los datos en tiempo real.
Pérdida de integridad en la información	• Uso de programas de chequeo del equipo, SiSoft Sandra 2000, TuneUp … • Mediante la firma digital en el envío de información a través de mensajes enviados por la red. • Uso de la instrucción del sistema operativo Windows  sfc (system file checker).
Entrada de virus	• Uso de antivirus, que evite que se infecten los equipos con programas malintencionados.
Ataques desde la red	•Firewall, autorizando y auditando las conexiones permitidas. • Programas de monitorización. • Servidores Proxys, autorizando y auditando las conexiones permitidas.
Modificaciones no autorizadas	• Uso de contraseñas que no permitan el acceso a la información. • Uso de listas de control de acceso. • Cifrar documentos.

3.2. Seguridad activa y pasiva

Como se comentó al inicio del apartado 3, aquí el criterio de clasificación es el momento en el que se ponen en marcha las medidas oportunas.

o Seguridad activa

La seguridad activa la podemos definir como el conjunto de medidas que previenen e intentan evitar los daños en los sistemas informáticos. A continuación, vamos o enumerar las principales técnicas de seguridad activa:

Amenazas	Mecanismos de Defensa
Uso de contraseñas	Previene el acceso a recursos por parte de personas no autorizadas.
Listas de control de acceso	Previene el acceso a los ficheros por parte de personal no autorizado.
Encriptación	Evita que personas sin autorización puedan interpretar la información.
Uso de software de seguridad informática	Previene de virus informáticos y de entradas indeseadas al sistema informático.
Firmas y certificados digitales	Permite comprobar la procedencia, autenticidad e integridad de los mensajes.
Sistemas de ficheros con tolerancia a fallos	Previene fallos de integridad en caso de apagones de sincronización o comunicación.
Cuotas de disco	Previene que ciertos usuarios hagan un uso indebido de la capacidad de disco.

En las fotos inferiores  podemos ver dos ejemplos de seguridad activa y pasiva. Las tarjetas inteligentes, ejemplo de seguridad activa, impiden el acceso a personas no autorizadas a los recursos, y los SAl (sistemas de alimentación ininterrumpida) permiten mantener los equipos encendidos el tiempo necesario para guardar la información una vez que se ha producido el desastre del apagón de luz).

           

Objetivos de la seguridad informática

Si estudiamos las múltiples definiciones que de seguridad informática dan las distintas entidades, deduciremos los objetivos de la seguridad informática. Según la IS027002, “La seguridad de la informacián se puede caracterizar por la preservación de:
• Confidencialidad: asegura que el acceso a la información está adecuadamente autorizado.
• Integridad: salvaguarda la precisión y completitud de la información y sus métodos de proceso
• Disponibilidad: Asegura que los usuarios autorizados pueden acceder a la información cuando la necesitan”.

Otra de las definiciones de lo seguridad informática dada por INFOSEC Glossary 2000: “Seguridad Informática son las medidas y controles que aseguran la confidencialidad, integridad y disponibilidad de los activos de los sistemas de información, incluyendo hardware, software, firmware y aquella información que procesan, almacenan y comunican”.
De estas definiciones podemos deducir que los principales objetivos de la seguridad informática son:
• Confidencialidad: consiste en la capacidad de garantizar que la información, almacenada en el sistema informático o transmitida por la red, solamente va a estar disponible para aquellas personas autorizadas a acceder a dicha información, es decir, que si los contenidos cayesen en manos ajenas, estas no podrían acceder a la información o a su interpretación. Este es uno de los principales problemas a los que se enfrentan muchas empresas; en los últimos años se ha incrementado el robo de los portátiles con la consecuente pérdida de información confidencial, de clientes, líneas de negocio …etc.
• Disponibilidad: la definiremos como la capacidad de garantizar que tanto el sistema como los datos van a estar disponibles al usuario en todo momento. Pensemos, por ejemplo, en la importancia que tiene este objetivo para una empresa encargada de impartir ciclos formativos a distancia. Constantemente está recibiendo consultas, descargas a su sitio web, etc., por lo que siempre deberá estar disponible para sus usuarios.
• Integridad: diremos que es la capacidad de garantizar que los datos no han sido modificados desde su creación sin autorización. La información que disponemos es válida y consistente. Este objetivo es muy importante cuando estamos realizando trámites bancarios por Internet. Se deberá garantizar que ningún intruso pueda capturar y modificar los datos en tránsito.
• No repudio: este objetivo garantiza la participación de las partes en una comunicación. En toda comunicación, existe un emisor y un receptor, por lo que podemos distinguir dos tipos de no repudio: a) No repudio en origen: garantiza que la persona que envía el mensaje no puede negar que es el emisor del mismo, ya que el receptor tendrá pruebas del envío. b) No repudio en destino: El receptor no puede negar que recibió el mensaje, porque el emisor tiene pruebas de la recepción del mismo. Este servicio es muy importante en las transacciones comerciales por Internet, ya que incrementa la confianza entre las partes en las comunicaciones.

Para conseguir los objetivos mostrados en la figura anterior se utilizan los siguientes mecanismos:o Autenticación, que permite identificar al emisor de un mensaje, al creador de un documento o al equipo que se conecta a una red o a un servicio.
o Autorización, que controla el acceso de los usuarios a zonas restringidas, a distintos equipos y servicios después de haber superado el proceso de autenticación.
o Auditoría, que verifica el correcto funcionamiento de las políticas o medidas de seguridad tomadas.
o Encriptación, que ayuda a ocultar la información transmitida por la red o almacenada en los equipos, para que cualquier persona ajena no autorizada, sin el algoritmo y clave de descifrado, pueda acceder a los datos que se quieren proteger.
o Realización de copias de seguridad e imágenes de respaldo, para que en caso de fallos nos permita la recuperación de la información perdida o dañada.
o Antivirus, como su nombre indica, consiste en un programa que permite estar protegido contra las amenazas de los virus.
o Cortafuegos o firewall, programa que audita y evita los intentos de conexión no deseados en ambos sentidos, desde los equipos hacia la red y viceversa.
o Servidores proxys, consiste en ordenadores con software especial, que hacen de intermediario entre la red interna de una empresa y una red externa, como pueda ser  Internet. Estos servidores, entre otras acciones, auditan y autorizan los accesos de los usuarios a distintos tipos de servicios como el de FTP (transferencia de ficheros), o el Web (acceso a páginas de Internet).
o Utilización firma electrónica o certificado digital, son mecanismos que garantizan la identidad de una persona o entidad evitando el no repudio en las comunicaciones o en la firma de documentos. También se utilizan mucho hoy en día para establecer comunicaciones seguras entre el PC del usuario y los servidores de Internet como las páginas web de los bancos.
o Conjunto de leyes encaminadas a la protección de datos personales que obligan a las empresas a asegurar su confidencialidad.

Seguridad informática ¿por qué?

El espectacular auge de Internet y de los servicios telemáticos ha hecho que los ordenadores y las redes se conviertan en un elemento cotidiano en nuestras casas y en un instrumento imprescindible en 

las tareas de las empresas. Ya no tenemos necesidad de ir al banco para conocer los movimientos realizados en nuestra cuenta bancaria, ni para realizar transferencias … directamente podemos realizar dichas operaciones desde el ordenador de casa. Lo mismo ocurre con las empresas; sea cual sea su tamaño, disponen de equipos conectados a Internet que les ayudan en sus procesos productivos. Cualquier fallo en los mismos puede suponer una gran pérdida económica ocasionada por el parón producido, bien por la pérdida de información o por el mal funcionamiento de los equipos informáticos, de modo que es muy importante asegurar un correcto funcionamiento de los sistemas y redes informáticas. Uno de los principales problemas a los que se enfrenta la seguridad informática es la creencia de muchos usuarios de que a ellos nunca les va a pasar lo que a otros.  Con unas buenas políticas de seguridad, tanto físicas como lógicas, conseguiremos que nuestros sistemas sean menos vulnerables a las distintas amenazas. Sí, menos vulnerables: nadie puede asegurar que su sistema sea cien por cien seguro, hasta la seguridad de la NASA y del Pentágono han sido violadas por hackers. Hay una lucha permanente entre los técnicos protectores del sistema y los que buscan rendimientos económicos fáciles, o simplemente su minuto de gloria al superar el reto de asomarse al otro lada de la barrera de protección. Tenemos que intentar lograr un nivel de seguridad razonable y estar preparados para que, cuando se produzcan los ataques, los daños puedan ser evitados en unos porcentajes que se aproximen al ciento por cien o en caso contrario haber sido lo suficientemente precavidos para realizar las copias de seguridad y de esta manera volver a poner en funcionamiento los sistemas en el menor tiempo posible     

o Seguridad pasiva

La seguridad pasiva complementa a la seguridad activa y se encarga de minimizar los efectos que haya ocasionado algún percance. A continuación enumeramos las técnicas más importantes de seguridad pasiva:

Técnicas de seguridad pasiva	¿Cómo minimiza?
Conjunto  discos redundantes	Podemos restaurar información que no es válida ni consistente.
SAl	Una vez que la corriente se pierde las bateríos del SAl se ponen en funcionamiento proporcionando la corriente necesaria para el correcto funcionamiento.
Realización de copias de seguridad	A partir de las copias realizadas, podemos recuperar la información en caso de pérdida de datos.

Amenazas y fraudes en los sistemas de la información

Durante los primeros meses de 2009, en España hemos vivido una época de crisis financiera, lo que ocasionó numerosos despidos en las empresas. La situación produjo un aumento en los casos de robos de información confidencial por parte de los empleados despedidos, y puso en evidencia la falta de seguridad informática en dichas empresas.
La seguridad de un sistema real nunca será completa, pero el uso de buenas políticas de seguridad es imprescindible paro evitar y minimizar los daños.
El objetivo final de la seguridad es proteger lo que la empresa posee. Todo aquello que es propiedad de la empresa se denomina activo. Un activo es tanto el mobiliario de la oficina (sillas, mesas, estanterías), como los equipos informáticos (servidores, ordenadores de escritorio, impresoras), como los datos que se manejan (datos de clientes, facturas, personal). Cualquier daño que se produzca sobre estos activos tendrá un impacto en la empresa (Ver figura inferior).

Pasos para la mejora de la seguridad

4.1. Actuaciones para mejorar la seguridad

Los pasos a seguir para mejorar la seguridad son los siguientes:
• Identificar los activos, es decir, los elementos que la empresa quiere proteger.
• Formación de los trabajadores de las empresas en cuanto a materias de seguridad.
• Concienciación de la importancia de la seguridad informática para los trabajadores de la empresa.
• Evaluar los riesgos, considerando el impacto que pueden tener los daños que se produzcan sobre los activos y las vulnerabilidades del sistema.
• Diseñar el plan de actuación, que debe incluir:
a) Las medidas que traten de minimizar el impacto de los daños ya producidos. Es lo que hemos estudiado referido a la seguridad pasiva.
b) Las medidos que traten de prevenir los daños minimizando la existencia de vulnerabilidades. Se trata de la seguridad activa.
• Revisar periódicamente las medidas de seguridad adoptadas.

4.2. Vulnerabilidades

Las vulnerabilidades de un sistema son una puerta abierta para posibles ataques, de ahí que sea tan importante tenerlas en cuenta; en cualquier momento podrían ser apravechadas. Podemos diferenciar tres tipos de vulnerabilidades según cómo afectan a nuestra sistema:
• Vulnerabilidades ya conocidas sobre aplicaciones o sistemas instalados. Son vulnerabilidades de las que ya tienen conocimiento las empresas que desarrallan el programa al que afecta y para las cuales ya existe una solución, que se publica en forma de parche.
Existen listas de correo relacionadas con las noticias oficiales de seguridad que informan de la detección de esas vulnerabilidades y las publicaciones de los parches a las que podemos suscribirnos.
• Vulnerabilidades conocidas sobre aplicaciones no instaladas. Estas vulnerabilidades también son conocidas por las empresas desarrolladores de la aplicación, peropuesto que nosotros no tenemos dicha aplicación instalada no tendremos que actuar.
• Vulnerabilidades aún no conocidas. Estas vulnerabilidades aún no han sido detectadas por la empresa que desarrolla el programa, por lo que si otra persona ajena a dicha empresa detectara alguna, podría utilizarla contra todos los equipos que tienen instalado este pragrama.
Lograr que los sistemas y redes operen con seguridad resulta primordial para cualquier empresa y organismo. Esto ha llevado a que empresas como Microsoft dispongan dedepartamentos dedicados exclusivamente a la seguridad, como es Microsoft Security Response Center (MSRC). Sus funciones son, entre otras, evaluar los informes que los clientes proporcionan sobre posibles vulnerabilidades en sus productos, y preparar y divulgar revisiones y boletines de seguridad que respondan a estos informes.
Para ello clasifica las vulnerabilidades en función de su gravedad, lo que nos da una idea de los efectos que pueden tener en los sistemas. En la siguiente tabla puedes ver dicha clasificación de gravedad de vulnerabilidades:

Calificación	Definición
Crítica	Vulnerabilidad que puede permitir la propagación de un gusano de Internet sin la acción del usuario.
Importante	Vulnerabilidad que puede poner en peligro la confidencialidad, integridad o disponibilidad de los datos de los usuarios, o bien, la integridad o disponibilidad de los recursos de procesamiento.
Moderada	El impacto se puede reducir en gran medida a partir de factores como configuraciones predeterminadas, auditorías o la dificultad intrínseca en sacar partido a la vulnerabilidad.
Baja	Vulnerabilidad muy difícil de aprovechar o cuyo impacto es mínimo.

4.3. Tipos de amenazas

Un sistema informático se ve expuesto a un gran número de amenazas y ataques. En este apartado veremos una pequeña introducción a las clasificaciones más importantes. Para identificar las amenazas a las que está expuesto un sistema informático realizaremos tres clasificaciones: la primera de los tipos de atacantes, la segunda de los tipos de ataques que puede sufrir y la tercera de cómo actúan estos ataques. La Tabla inferior recoge, en la primera columna, los nombres con los que se han denominado a las personas que llevan a cabo los ataques; en la segunda columna,una pequeña definición que los caracteriza.

Nombre de los atacantes	Definición
Hackers	Expertos informáticos con una gran curiosidad por descubrir las vulnerabilidades de los sistemas pero sin motivación económica o dañina.
Crackers	Un hacker que, cuando rompe la seguridad de un sistema, lo hace con intención maliciosa, bien para dañarlo o para obtener un beneficio económico.
Phreakers	Crackers telefónicos, que sabotean las redes de telefonía para conseguir llamadas gratuitas.
Sniffers	Expertos en redes que analizan el tráfico para obtener información extrayéndola de los paquetes que se transmiten por la red.
Lammers	Chicos jóvenes sin grandes conocimientos de informática pero que se consideran a sí mismos hackers y se vanaglorian de ello.
Newbie	Hacker novato.
Ciberterrorista	Expertos en informática e intrusiones en la red que trabajan para países y organizaciones como espías y saboteadores informáticos.
Programadores de virus	Expertos en programación, redes y sistemas que crean programas dañinos que producen efectos no deseados en los sistemas o aplicaciones.
Carders	Personas que se dedican al ataque de los sistemas de tarjetas, como los cajeros automáticos.

En la tabla inferior se recogen los principales ataques que puede sufrir un sistema si se aprovechan sus vulnerabilidades.

Nombre del ataque	Definición
Interrupción	Un recurso del sistema o la red deja de estar disponible debido a un ataque.
Intercepción	Un intruso accede a la información de nuestro equipo o a la que enviamos por la red.
Modificación	La información ha sido modificada sin autorización, por lo que ya no es válida.
Fabricación	Se crea un producto (por ejemplo una página Web) difícil de distinguir del auténtico y que puede utilizarse para hacerse, por ejemplo, con información confidencial del usuario.

Los tipos de amenazas pueden clasificarse también en función de cómo actúan los ataques, siendo los principales los que se han incluido en la tabla  que aparece a continuación:

Ataque	¿Cómo actúa?
Spoofing	Suplanta la identidad de un PC o algún dato del mismo (coma su dirección MAC).
Sniffing	Monitoriza y analiza el tráfico de la red para hacerse con información.
Conexión no autorizada	Se buscan agujeros de la seguridad de un equipo o un servidor, y cuando se descubren, se realiza una conexión no autorizada a los mismos.
Malware	Se introducen programas malintencionados (virus, troyanos o gusanos) en nuestro equipo, dañando el sistema de múltiples formas.
Keyloggers	Se utiliza una herramienta que permite conocer todo lo que el usuario escribe a través del teclado, e incluso pueden realizar capturas de pantallas.
Denegación de Servicio	Interrumpe el servicio que se está ofreciendo en servidores o redes de ordenadores. También denominado DoS (denial of Service).
Ingeniería social	Se obtiene información confidencial de una persona u organismo para utilizarla con fines maliciosos. Los ejemplos más llamativos son el phishing y el spam.
Phishing	Se engaña al usuario para obtener su información confidencial suplantando la identidad de un organismo o página web de Internet.

4.4. Pautas de protección para nuestro sistema

Cualquier equipo conectado en red está expuesto a ser atacado. Como ya sabes, hay auténticos expertos informáticos que se dedican a buscar vulnerabilidades en los sistemas, dedicando mucho tiempo y esfuerzo a este fin. Para prateger tu sistema tendrás que ser más listo que ellos y dedicar también mucho tiempo y esfuerzo a esta tarea.
Algunas de las pautas que debes seguir son:
o No instalar nada que no sea necesario en los servidores.
o Actualizar todos los parches de seguridad. Muchos parches de seguridad corrigen vulnerabilidades de los programas por lo que es necesario mantener siempre actualizado
el sistema.
o Formar a los usuarios del sistema para que hagan uso de buenas prácticas.
o Instalar un firewall. Esta herramienta permite controlar el tráfico entre una red privada y una pública.
o Mantener copias de seguridad según las necesidades.