La seguridad de la información es el conjunto de medidas preventivas y reactivas de las organizaciones y de los sistemas tecnológicos que permiten resguardar y proteger la información buscando mantener la confidencialidad, disponibilidad e integridad de la misma.
El concepto de seguridad de la información no debe entenderse como seguridad informática, ya que mientras que la segunda únicamente se preocupa de la seguridad en un medio informático, la seguridad de la información se refiere a todos los soportes y formas disponibles.
La Seguridad de la información
La información se clasifica según sus posibilidades como:
- Critica: Indispensable y Necesaria para el desarrollo.
- Valiosa: Activo indispensable.
- Sensible: Acceso restringido a los datos
Para calcular cada concepto, necesitamos dos calculadores muy importantes:
- Riesgo: Materialización de vulnerabilidades, amenazas posibles, daño en caso de perdida,etc..
- Seguridad: Forma de protegerse o reducir el daño de los riesgos.
Protocolo AAA
Confidencialidad
La confidencialidad es la propiedad que impide la divulgación de información a personas o sistemas no autorizados limitando el acceso a dicha información a personal restringido. Por ejemplo, una transacción de una tarjeta de crédito o las nominas de una empresa son datos que solo deben acceder aquellas personas autorizadas explícitamente para el caso.
Integridad
La integridad es la propiedad que impide que los datos sean modificados por personal no autorizado. De esta forma es indiferente quien vea la información, lo importante es que la misma no reciba modificaciones.
Disponibilidad
La disponibilidad es la propiedad que requiere que los datos sean accesibles a quien debe acceder a ella. Es decir, la disponibilidad de un tienda online por ejemplo, debe ser cercana al 100% ya que cualquier momento que no esté disponible pueden ser ventas que se dejen de conseguir. Sobre este tema hablaremos más adelante en unos articulos sobre Alta Disponibilidad.
Servicios de Seguridad
Autenticación o Autentificación
Es un servicio que permite identificar el generador de los datos, ya sean cambios o simplemente acceso a un recurso.
Non Repudio
Este servicio permite certificar que todas las entidades en una comunicación han participado fehacientemente al menos en parte de la misma. Hay dos tipos de non repudio:
- Non Repudio en Origen: El emisor no puede negar ser el iniciador de la comunicación por que hay recursos que verifican el envió. Este tipo de prueba la envía el emisor.
- Non Repudio en Destino: El destinatario no puede negar haber recibido la comunicación por que hay recursos que verifican la recepción. Este tipo de pruebas las solicita el emisor y las envía el receptor. El ejemplo de este sistema es un Burofax o Carta Certificada al Destinatario, las cuales envían un documento certificado por terceros conforme el destinatario ha recibido (que no necesariamente leído) el envió.