Introduccin

La seguridad informtica, de igual forma a como sucede

con la seguridad aplicada a otros entornos, trata de
minimizar los riesgos asociados al acceso y utilizacin de
determinado sistema de forma no autorizada y en general
malintencionada. Esta visin de la seguridad informtica
implica la necesidad de gestin, fundamentalmente gestin
del riesgo. Para ello, se deben evaluar y cuantifi car los
bienes a proteger, y en funcin de estos anlisis, implantar
medidas preventivas y correctivas que eliminen los riegos
asociados o que los reduzcan hasta niveles manejables.
En general cualquier persona considerara poco
razonable contratar a un agente de seguridad en exclusiva
para proteger su domicilio. Posiblemente sera una medida
de seguridad excelente para evitar accesos no autorizados a
nuestro domicilio, sin embargo, muy pocos lo consideraran,
simplemente por motivos econmicos. Tras evaluar el valor
de los bienes a proteger, lo habitual sera considerar otras
medidas ms acordes con el valor de nuestros bienes.
Podramos pensar en una puerta blindada, un conserje
compartido con otros vecinos o incluso un servicio de
vigilancia privada basada en sensores, alarmas y acceso
telefnico con una central de seguridad. Combinando estas
medidas preventivas con otras correctivas como podra ser
una pliza de seguro contra robo, alcanzaramos un nivel de
seguridad que podra considerarse adecuado. Muchas veces
sin hacerlo de forma explcita, habramos evaluado el valor
de nuestros bienes, los riesgos, el coste de las medidas de
seguridad disponibles en el mercado y el nivel de proteccin
que ofrecen.
En seguridad informtica, los principios mostrados con
nuestro ejemplo de seguridad en el domicilio son igualmente
aplicables. Las nicas diferencias aparecen por las
particularidades tcnicas asociadas a los sistemas
informticos. La valoracin econmica de los bienes a
proteger puede ser muchas veces una tarea compleja, la
casustica de los riesgos potenciales muy grande, y la
complejidad y diversidad de las medidas de seguridad
disponibles difi culta su seleccin. Sin embargo, el fondo
sigue siendo el mismo, seguridad implica proteger alguna
entidad frente a un conjunto de riesgos y en este caso
riesgos relacionados con los sistemas informticos.
En este artculo vamos a dar una visin general a los
aspectos ms relevantes de la seguridad informtica,
comenzando con una visin de la seguridad como
parte integral de la gestin empresarial, continuaremos
con la descripcin de las amenazas ms frecuentes
que pueden comprometer los sistemas informticos y
con la descripcin de las medidas ms efectivas para
contrarrestarlas.
Por
ltimo,
fi
nalizaremos
mencionando las actividades ms signifi cativas que
venimos realizando en el Instituto Tecnolgico de
Informtica en materia de seguridad.

Objetivos de la Seguridad Informtica

El objetivo de la seguridad informtica es proteger
los recursos informticos valiosos de la organizacin,
tales como la informacin, el hardware o el software. A
travs de la adopcin de las medidas adecuadas, la
seguridad informtica ayuda a la organizacin cumplir
sus objetivos, protegiendo sus recursos fi nancieros,
sus sistemas, su reputacin, su situacin legal, y otros

bienes
tanto
tangibles
como
inmateriales.
Desafortunadamente, en ocasiones se ve a la
seguridad informtica como algo que difi culta la
consecucin de los propios objetivos de la
organizacin, imponiendo normas y procedimientos
rgidos a los usuarios, a los sistemas y a los gestores.
Sin embargo debe verse a la seguridad informtica, no
como un objetivo en s mismo, sino como un medio de
apoyo a la consecucin de los objetivos de la
organizacin.
En general el principal objetivo de las empresas, es
obtener benefi cios y el de las organizaciones pblicas,
ofrecer un servicio efi ciente y de calidad a los usuarios.
En las empresas privadas, la seguridad informtica
debera apoyar la consecucin de benefi cios. Para ello
se deben proteger los sistemas para evitar las
potenciales prdidas que podran ocasionar la
degradacin de su funcionalidad o el acceso a los
sistemas por parte de personas no autorizadas. De
igual forma, las organizaciones pblicas deben
proteger sus sistemas para garantizar la oferta de sus
servicios de forma efi ciente y correcta.
En cualquier caso, los gestores de las diferentes
organizaciones deberan considerar los objetivos de la
propia organizacin e incorporar la seguridad de los
sistemas desde un punto de vista amplio, como un
medio con el que gestionar los riesgos que pueden
comprometer la consecucin de los propios objetivos,
donde la cuantifi cacin de los diferentes aspectos,
muchas veces econmica, debe ser central.

Gestin del Riesgo

La proteccin de los sistemas y de la informacin no
suele eliminar completamente la posibilidad de que
estos bienes sufran daos. En consecuencia, los
gestores deben implantar aquellas medidas de
seguridad que lleven los riesgos hasta niveles
aceptables, contando para ello con el coste de las
medidas a implantar, con el valor de los bienes a
proteger y con la cuantifi cacin de las prdidas que
podran derivarse de la aparicin de determinado
incidente de seguridad.
Los costes y benefi cios de la seguridad deberan
observarse cuidadosamente para asegurar que el
coste de las medidas de seguridad no excedan los
benefi cios potenciales. La seguridad debe ser
apropiada y proporcionada al valor de los sistemas, al
grado de dependencia de la organizacin a sus
servicios y a la probabilidad y dimensin de los daos
potenciales. Los requerimientos de seguridad variarn
por tanto, dependiendo de cada organizacin y de
cada sistema en particular.
En cualquier caso, la seguridad informtica exige
habilidad para gestionar los riesgos de forma
adecuada. Invirtiendo en medidas de seguridad, las
organizaciones pueden reducir la frecuencia y la
severidad de las prdidas relacionadas con
violaciones de la seguridad en sus sistemas. Por
ejemplo, una empresa puede estimar que est
sufriendo prdidas debidas a la manipulacin
fraudulenta de sus sistemas informticos de
inventariado, de contabilidad o de facturacin. En este
caso puede que ciertas medidas que mejoren los

controles de acceso, reduzcan las prdidas de forma

signifi cativa.
Las organizaciones que implantan medidas
adecuadas de seguridad, pueden obtener un conjunto
de benefi cios indirectos que tambin deberan
considerarse. Por ejemplo, una organizacin que
cuente con sistemas de seguridad avanzados, puede
desviar la atencin de potenciales intrusos hacia
vctimas menos protegidas, puede reducir la
frecuencia de aparicin de virus, puede generar una
mejor percepcin de los empleados y otros
colaboradores hacia la propia empresa, aumentando
la productividad y generando empata de los
empleados hacia los objetivos organizativos.
Sin embargo, los benefi cios que pueden obtenerse
con medidas de seguridad presentan costes tanto
directos como indirectos. Los costes directos suelen
ser sencillos de evaluar, incluyendo la compra,
instalacin y administracin de las medidas de
seguridad. Por su parte pueden observarse costes
indirectos, como decremento en el rendimiento de los
sistemas, pueden aparecer necesidades formativas
nuevas para la plantilla o incluso determinadas
medidas, como un excesivo celo en los controles,
pueden minar la moral de los empleados.
En muchos casos los costes asociados a las
medidas de seguridad pueden exceder a los benefi
cios esperados por su implantacin, en cuyo caso una
correcta gestin llevara a platearse su adopcin frente
a la posibilidad de simplemente tolerar el problema.

organizacin como fuentes potenciales de prdidas.

Conviene destacar que la importancia de una u otra
amenaza vara de forma signifi cativa entre organizaciones
distintas y que debera hacerse un estudio individualizado de
sus repercusiones concretas y de la probabilidad de su
aparicin.

1. Errores y omisiones
Los errores de los empleados al utilizar los sistemas
pueden comprometer la integridad de la informacin que
maneja la organizacin. Ni siquiera las aplicaciones ms sofi
sticadas estn libres de este tipo de problemas, que pueden
reducirse con refuerzos en controles de integridad de los
datos y con un adiestramiento adecuado del personal.
Muchas veces, simples errores pueden comprometer no
nicamente la integridad de los datos, sino incluso puede
que causen la aparicin de nuevas vulnerabilidades en los
sistemas. Este tipo de amenazas es si cabe ms relevante
en las empresas que se dedican al sector de las nuevas
tecnologas, desarrollando e implantando sistemas, muchas
veces interconectados entre diversas organizaciones. Un
simple error de programacin, en la administracin, o la
carencia de la formacin necesaria para evaluar las
implicaciones de seguridad de determinada aproximacin de
desarrollo, puede causar vulnerabilidades que afecten no
nicamente a las organizaciones usuarias de los sistemas,
sino tambin a las propias empresas que los desarrollan que
se podran ver muy perjudicadas en su imagen corporativa.

2. Intrusiones

Amenazas
Los sistemas informticos son vulnerables a
multitud de amenazas que pueden ocasionar daos
que resulten en prdidas signifi cativas. Los daos
pueden variar desde simples errores en el

Artculos Tcnicos

uso de aplicaciones de gestin que comprometan la

integridad de los datos, hasta catstrofes que inutilicen la
totalidad de los sistemas. Las prdidas pueden aparecer por
la actividad de intrusos externos a la organizacin, por
accesos fraudulentos, por accesos no autorizados, por el uso
errneo de los sistemas por parte de empleados propios, o
por la aparicin de eventualidades en general destructivas.
Los efectos de las diversas amenazas puedes ser muy
variados. Unos pueden comprometer la integridad de la
informacin o de los sistemas, otros pueden degradar la
disponibilidad de los servicios y otros pueden estar
relacionados con la confi dencialidad de la informacin. En
cualquier caso una correcta gestin de los riesgos debe
implicar un profundo conocimiento de las vulnerabilidades de
los sistemas y de las amenazas que los pueden explotar. Las
propias caractersticas de las organizaciones deben infl uir
en las medidas de seguridad que resulten ms adecuadas y
ms efi cientes en trminos de costes, para contrarrestar las
amenazas o incluso para tolerarlas conociendo en todo caso
sus implicaciones.
A continuacin vamos a mostrar las amenazas ms
frecuentes que deberan ser tenidas en cuenta por toda

Bajo esta amenaza se incluyen tanto actividades

claramente fraudulentas, como
meras intrusiones
efectuadas por determinados individuos con el nico fi n de
probar sus habilidades o incluso actos de sabotaje,
terrorismo informtico o espionaje industrial. Las actividades
fraudulentas, incluido el robo, puede que sean las ms
preocupantes para muchas organizaciones, sobre todo para
aquellas que tengan bienes de elevado valor, gestionados
mediante sistemas informticos. Ejemplos de este tipo de
organizaciones pueden ser las entidades fi nancieras, los
organismos pblicos que generen acreditaciones ofi ciales o
incluso empresas de distribucin o comercio electrnico,
donde los sistemas informticos pueden ser

Actualidad TIC

susceptibles de alteracin malintencionada con objeto de

obtener provecho econmico.
Los autores de las intrusiones pueden ser tanto externos
a la propia organizacin, como internos. Es reseable
destacar que muchos estudios sobre fraudes y robos
mediante tecnologas de la informacin coinciden en sealar
que la mayora de las actividades fraudulentas son
realizadas por personal vinculado a la propia organizacin.
Pueden ser empleados con acceso a sistemas o informacin
no controlada, antiguos empleados con conocimientos tanto
de los sistemas como de las medidas de seguridad internas
o personas vinculadas en cierta forma con la organizacin y
que gozan de determinados privilegios que muchas veces se
esconden bajo aparentes relaciones cordiales con la propia
empresa.

En muchos casos las intrusiones generan importantes

daos econmicos, pero en todos los casos causan una
importante sensacin de desproteccin en toda la
organizacin, que se agrava si no es posible identifi car a los
autores de las intrusiones, las tcnicas empleadas para
cometerlas o los objetivos que persiguen.
La creciente importancia de las intrusiones maliciosas en
los sistemas informticos la podemos encontrar refl ejada en
el siguiente

1988 1989 1990 1991 1992 1993 1994 1995 1996 1997 1998 1999 2000
2001 2002

Figura 1: Evolucin de las incidencias intervenidas por el

CERT/CC (fuente: www.cert.org).
grfi co, donde se puede observar el alarmante incremento
de incidentes de seguridad ocurrido en los ltimos aos.
Concretamente el grfi co muestra el nmero de
incidentes ocasionados por intrusiones, y comunicados al
CERT, un organismo de reconocido prestigio internacional
dedicado a la prevencin y anlisis de los incidentes de
seguridad aparecidos en Internet. Conviene destacar que las
cifras nicamente muestran los datos comunicados al CERT,
y que vienen a representar a las intrusiones efectuadas por
parte de individuos externos a las propias organizaciones.
Los datos se refi eren a todo el mundo, sin embargo tambin
destacamos que las cifras provienen mayoritariamente de
grandes empresas, asentadas fundamentalmente en los
Estados Unidos, Europa y Japn. Sin embargo, pese a lo
parcial de las cifras, no deja de resultar ilustrativa la curva de
crecimiento y las magnitudes de los incidentes constatados.

3. Accidentes y desastres
Eventualidades tan cotidianas como la simple rotura de
una caera, la prdida de fl uido elctrico o la rotura de
equipos o mecanismos de comunicaciones pueden tener
efectos claramente negativos sobre los sistemas de
informacin. Debe incluso contemplarse la posibilidad de
aparicin de eventos ms graves, como incendios, atentados
terroristas, inundaciones causadas por la propia naturaleza,
tormentas
elctricas
o
actividades
reivindicativas
descontroladas de determinados colectivos.

4. Lgica maliciosa
Entre estas amenazas encontramos los virus, los
gusanos, los caballos de Troya y las bombas lgicas.
Aun existiendo diferencias tcnicas entre ellas, el nexo
comn a todas estas amenazas consiste en que se
trata de software creado en general para causar dao.
Los costes asociados a su aparicin pueden ser signifi
cativos y varan en funcin de la virulencia de sus
acciones. Pueden suponer simplemente prdidas

debidas a la dedicacin de personal y recursos a su

eliminacin o prdidas mucho mayores si resultan
afectados, corrompidos o destruidos sistemas crticos
para la organizacin.

5. Amenazas a la privacidad de las personas

La acumulacin de enormes cantidades de datos de
carcter personal por entidades pblicas y privadas,
unida a la capacidad de los sistemas informticos para
combinar y procesar las informaciones vienen
generando claras amenazas a la privacidad de los
individuos. La constatacin de estas amenazas por
parte de la mayora de pases ha llevado a la
elaboracin de leyes y normas que limitan el
tratamiento de los datos de carcter personal.
Estas amenazas no slo afectan a los individuos,
sino tambin a toda organizacin que manipule
informacin sensible de personas. De no observarse la
legislacin vigente y en caso de no implantar las
medidas adecuadas para su cumplimiento, se pueden
derivar prdidas, tanto econmicas por las
correspondientes multas, como de imagen corporativa.

Medidas de Seguridad
Existe un gran abanico de medidas de seguridad que
pueden reducir el riesgo de prdidas debidas a la
aparicin de incidentes en los sistemas informticos.
Muchas veces al hablar de medidas de seguridad, solo
se mencionan las meramente tcnicas, como
cortafuegos, antivirus o sistemas de copias de
respaldo. Sin embargo, las medidas ms efectivas
suelen ser las medidas de gestin planteadas a medio
y largo plazo desde un punto de vista estratgico y
tctico.
A continuacin mencionaremos brevemente las
medidas y sistemas de seguridad ms frecuentes
agrupndolas bajo dos aspectos. Medidas de gestin y
medidas tcnicas. Las primeras deben ser implantadas
por los gestores de las organizaciones como parte de
los planes estratgicos y tcticos, mientras que las
segundas se corresponden con herramientas y
sistemas tcnicos diseados para evitar, controlar o
recuperar los daos que pueden sufrir los sistemas por
la aparicin de determinadas amenazas de seguridad.

1. Medidas de gestin
Los gestores de toda organizacin deberan
contemplar la seguridad informtica como parte
integral de las estrategias y tcticas corporativas. Una
vez plasmada la importancia de los sistemas para la
consecucin de los propios objetivos y los riesgos que
puede suponer para la empresa la prdida de
integridad de su informacin, la indisponibilidad de sus
sistemas o la violacin de la confi dencialidad de su
informacin, pueden plantearse con mayor rigor el
resto de medidas encaminadas a servir a los objetivos
empresariales.
Emanando de la vertiente estratgica de la
informacin y de los sistemas corporativos, suelen
generarse dos herramientas de gestin no menos

importantes: las polticas de seguridad y el plan de

contingencia.
Las polticas de seguridad de una organizacin son
las normas y procedimientos internos que deben
seguir los integrantes de la organizacin para respetar
los requerimientos de seguridad que deseen
preservarse. Debe describirse la criticidad de los
sistemas y de la informacin, los roles de cada puesto
de trabajo y la mecnica de acceso a los sistemas,
herramientas, documentacin y cualquier otra
componente del sistema de informacin. Resulta
frecuente desglosar las polticas de seguridad en
procedimientos detallados para cada componente del
sistema de forma individualizada, as por ejemplo,
pueden crearse documentos que describan las
polticas de tratamiento de correos electrnicos,
polticas de uso de Internet, de copias de respaldo, de
tratamiento de virus y otra lgica maliciosa, polticas
formativas en materia de seguridad para la plantilla,
etc. Conviene destacar que las polticas de seguridad
deben emanar de la estrategia corporativa y que se
trata de documentos que deberan conocer todos los
integrantes de la plantilla.
Por su parte, el plan de contingencia describe los
procedimientos que deben seguirse ante la aparicin
de eventualidades signifi cativas que puedan suponer
graves consecuencias para la organizacin. Debe
detallarse los pasos a seguir, por ejemplo en caso de
destruccin total de los sistemas por inundacin,
fuego, etc. Muchas veces la simple elaboracin del
plan descubre defectos en los sistemas que pueden
ser paliados con relativa facilidad. Por ejemplo puede
descubrirse que no se mantienen copias de respaldo
de informacin crucial para la empresa en lugares
fsicamente seguros, o al menos en lugares distantes
a la ubicacin de los sistemas susceptibles de daos.

2. Medidas tcnicas
Existen innumerables herramientas y sistemas de
seguridad orientadas a preservar la integridad, confi
dencialidad y disponibilidad de informacin y sistemas.
La oferta en este sentido es muy numerosa y toda
organizacin debera dedicar un esfuerzo signifi cativo
a su estudio y seleccin. En este breve artculo, ms
que describir con detalle todas las herramientas y
medidas de seguridad aplicables y sus variaciones
disponibles en el mercado, nos limitaremos a
mencionar las tcnicas ms utilizadas, apuntando fi
nalmente algunas de las ms novedosas.
Entre las tcnicas ms consolidadas encontramos
las copias de respaldo, los antivirus, los cortafuegos,
los mecanismos de autenticacin y la criptografa. Las
copias de respaldo y en general cualquier forma de
redundancia, se encaminan a garantizar la
disponibilidad de los sistemas frente a cualquier
eventualidad.
Los antivirus pretenden evitar la aparicin de lgica
maliciosa y en caso de infeccin tratan de eliminarla
de los sistemas. Entre los antivirus conviene destacar
aquellos que inspeccionan los correos electrnicos
evitando la infeccin de sus destinatarios. Por su parte,
los cortafuegos tratan de reducir el nmero de vas
potenciales de acceso a los sistemas corporativos

desde el exterior, estableciendo limitaciones al nmero

de equipos y de servicios visibles. Otra de las tcnicas
imprescindibles en toda organizacin la forman los
mecanismos de autenticacin. Estos mecanismos
pueden variar desde esquemas simples basados en
los pares usuario contrasea, hasta complejos
sistemas distribuidos basados en credenciales o

Artculos Tcnicos

sistemas de autenticacin biomtricos basados en el

reconocimiento mecanizado de caractersticas fsicas de las
personas. Por ltimo, todo esquema de seguridad debe
contemplar en una u otra medida el cifrado de informacin
sensible. A veces puede ser sufi ciente el cifrado de las
contraseas, mientras que en otras resulta imprescindible el
cifrado de las comunicaciones y de las bases de datos.
Como medidas ms avanzadas, podemos mencionar la
esteganografa, la deteccin de vulnerabilidades y la
deteccin de intrusos. Las tcnicas esteganogrfi cas tratan
de ocultar informacin. A diferencia de la criptografa, que
trata de hacer indescifrable la informacin, la esteganografa
trata de evitar que siquiera se note su existencia. Por ejemplo
las empresas dedicadas a producir documentos digitales,
pueden estar interesadas en incluir determinada marca
invisible de forma que sea demostrable su autora y puedan
perseguirse copias ilegales.
Las herramientas de deteccin de vulnerabilidades suelen
verse como herramientas de auditoria, que pueden mostrar
las vas que con mayor probabilidad utilizaran los intrusos
para acceder a los sistemas. Por ltimo, los sistemas de
deteccin de intrusos tratan de descubrir, muchas veces en
tiempo real, accesos no autorizados a los sistemas, tanto
desde el exterior de la organizacin, como desde dentro de
las propias instalaciones de la empresa.

Seguridad en el Instituto Tecnolgico de

Informtica
El rea de Sistemas Fiables del Instituto Tecnolgico de
Informtica, centra su trabajo en la investigacin y desarrollo
de entornos orientados a aumentar la fi abilidad y la
disponibilidad, donde la seguridad informtica se plantea
como uno de los ejes fundamentales.
En esta rea vienen realizndose proyectos de
consultora y auditora de seguridad informtica, cubrindose
los aspectos estratgicos, tcticos y tcnicos de los sistemas
informticos. El objetivo de estos proyectos consiste en la
elaboracin de un procedimiento de consultora utilizable por
terceras empresas consultoras.
Adems de la consultora, se estn desarrollando diversos
proyectos de investigacin y desarrollo, entre los que
destacan IntruDec y TigerWeb. El primero consiste en un
sistema de deteccin de intrusos basado en el
reconocimiento de patrones de conducta sospechosos,
observables al analizar el trfi co en la red y al analizar la
actividad de los equipos informticos. Por su parte,
TigerWeb es una herramienta de deteccin de
vulnerabilidades perimetrales. Con esta herramienta se
puede obtener una visin aproximada de las vas ms
fcilmente explotables por potenciales intrusos para acceder
a los sistemas desde el exterior de la organizacin.