La industria de la seguridad de la información se basa en tres principales principios, la confidencialidad, integridad y disponibilidad (CIA). Sin embargo, existen principios adicionales que van de la mano con el principio de integridad, el no repudio, la autenticidad y rendición de cuentas. A continuación conozca todos los principios de la seguridad de la información
Los tres principios (CIA) forman el marco fundamental para el panorama de seguridad de cualquier organización. Además, los profesionales de la seguridad y de Operaciones deben evaluar continuamente las amenazas y vulnerabilidades en función del impacto potencial que tienen en la CIA en los activos de una organización. En su empresa, según el resultado de la evaluación, el equipo de seguridad implementará un conjunto de controles de seguridad para mitigar y reducir el riesgo dentro de su organización.
Todos los principios de la seguridad de la información
A continuación, detallamos cada uno de los principios de la seguridad de la información.
Confidencialidad
La información no debe divulgarse a personas, grupos, organizaciones o procesos no autorizados. Los datos son confidenciales cuando solo las personas autorizadas acceden a ellos. Para mantener la confidencialidad, las organizaciones deben adoptar e implementar todas las técnicas diseñadas para mantener la confidencialidad de los datos. La confidencialidad se puede violar de muchas maneras. A continuación algunos ejemplos:
- La confidencialidad se puede violar a través de ataques directos que están diseñados para obtener acceso no autorizado a la red de su empresa, incluidos, entre otros, sistemas, aplicaciones, bases de datos y otros componentes críticos. El reconocimiento de la red y el ataque man-in-the-middle son algunas de las muestras que un atacante puede usar para violar el marco de la CIA.
- Otro tipo tiene un enfoque no intencional, es el error humano, descuido o falta de controles de seguridad. Todos estos son ejemplos de un tipo no intencional donde una organización y los asociados juegan un papel vital.
- Algunos causantes son la falta de protección adecuada de las contraseñas (debido a la falta de una política de contraseñas correcta); intercambio de credenciales (descuido), espionaje físico, seguir de cerca; falta de cifrado de datos, sistema de autenticación débil y seguridad física inadecuada para proteger los activos críticos de las organizaciones.
Las organizaciones necesitan habilitar contramedidas para proteger la confidencialidad de los datos, lo que incluye:
- Clasificación y etiquetado de datos
- Fuerte control de acceso y mecanismo de autenticación.
- Cifrado de datos
- Adecuada concienciación y formación de los miembros del personal interno
- Provisión de acceso con privilegios mínimos
Integridad
La integridad se trata de garantizar que los datos no hayan sido manipulados y, por lo tanto, que se pueda confiar en ellos. El objetivo de este principio es salvaguardar la exactitud e integridad de los datos en todo momento. En términos simples, debemos evitar que se modifiquen de manera inapropiada los datos, ya sea por accidente o de forma intencionada.
Los datos no deben alterarse ni destruirse durante la transmisión y el almacenamiento. Esto implica asegurarse de que un sistema de información no sea manipulado por ninguna entidad no autorizada. Deben existir políticas para que los usuarios sepan cómo utilizar correctamente sus sistemas. Al igual que la confidencialidad, la integridad puede verse comprometida de muchas maneras. Ejemplo:
- El error humano (clasificado como un error no intencional) debido a la falta de atención puede afectar el error de codificación, el mecanismo de protección débil o las políticas inadecuadas.
Las organizaciones deben habilitar las siguientes contramedidas que protegerán la integridad de los datos:
- Cifrado
- Firmas digitales y certificados digitales
- Control de versiones de auditoría
- Fuerte mecanismo de autenticación y sistemas de control de acceso.
Al hablar de integridad, también debemos entender el concepto de no repudio, que va de la mano con la integridad. Cubriremos esto más adelante.
Disponibilidad
Significa que la información debe estar disponible cuando se necesite. Si bien debemos asegurarnos de que grupos no autorizados no puedan acceder a los datos, también debemos asegurarnos de que aquellos que tengan el permiso adecuado puedan acceder a ellos en todo momento. En otras palabras, debemos garantizar que los usuarios autorizados tengan acceso oportuno y confiable a los recursos cuando se necesitan.
Hay muchas cosas que pueden afectar la disponibilidad del sistema, incluidas, entre otras, fallas de hardware o software, fallas de energía, desastres naturales y, lo que es más importante, errores humanos.
Principios adicionales de la seguridad de la información
Aparte de los principios de confidencialidad, integridad y disponibilidad, hay principios adicionales que rigen el programa de seguridad de la información y van de la mano con la integridad y la autenticidad de los datos:
No repudio
En términos simples, es la incapacidad de negar algo. El no repudio significa que una de las partes no puede negar haber recibido un mensaje o transacción, ni la otra parte puede negar el envío del mismo. El no repudio ayuda a garantizar la integridad. Por ejemplo, mediante el uso de firmas digitales en el correo electrónico, un remitente no puede negar haber enviado un mensaje y el destinatario no puede afirmar que el mensaje recibido era diferente al enviado.
Autenticidad
Se refiere al estado de ser genuino, verificable o confiable. Verifica que los usuarios son quienes dicen ser y que cada entrada que llega al destino proviene de una fuente confiable. Este principio, si se aplica y se sigue correctamente, garantizará que los mensajes/transacciones válidos y genuinos se reciban de una fuente confiable solo a través de una transmisión válida.
Rendición de cuentas
La rendición de cuentas se refiere a la capacidad de rastrear la acción hasta la organización/entidad que es responsable de ella. Es muy importante para el aislamiento de fallas, detección, no repudio y disuasión.
Más artículos de interés
