GUIA PARA LA EVALUACION DE SEGURIDAD EN UNSISTEMA

Luz Marina Santos Universidad de Pamplona

lsantos@unipamplona.edu.coTeléfono: 5685303 Ext. 141

Carrera 9 # 5-53 2do. Piso Pamplona

Resumen

Este documento presentauna serie dedelineamientos básicosproductos de laexperiencia einvestigación para laevaluación de seguridaden un sistema, con elobjeto de articulardiversos conceptos ytécnicas para laidentificación yvaloración de riesgos.El artículo se enfocaprimordialmente en losmétodos de análisis deriesgos, checklist yauditoria.

Palabras claves

Riesgo, amenaza, impacto,frecuencia,vulnerabilidad, checklist,políticas de seguridad yauditoria.

1. INTRODUCCION

A nivel de investigacióny academia diversasmetodologías paraimplantar seguridad ensistemas han sidoplanteadas: Metodología deimplantación de seguridad enredes [ACOS-98], “Metodologíapara la implantación deseguridad en aplicacionesdistribuidas [SANT-99], etc;también se elaboran otraserie de metodologías poranalistas de seguridadque laboran en la empresaprivada.

Todas las metodologíasllegan a un punto dondese preguntan ¿cómovalorar el impacto quecausaría a un sistema laconsecución de unaamenaza?, la respuesta noes fácil, requiere de unanálisis serio por partedel grupo de personasencargado de realizardicha valoración.

El objetivo del presentees exponer y presentar

1

algunas reflexiones sobretres métodostradicionales paraevaluar la seguridad deun sistema: análisis deriesgos, listas dechequeo y auditoria.

En áreas donde laspérdidas esperadas yfrecuencia de lasamenazas están biendefinidas, el análisis deriesgos puede ser usado.Donde las pérdidasesperadas y frecuencia delas amenazas no estaclaro, se pueden usarinicialmente listas dechequeo para verificarlos principios yprácticas de seguridadestándares.Requerimientos deseguridad adicionalespueden ser determinadoscon métodos de auditoriao evaluaciones deprotección de seguridad.[FIPS-79]

2. APLICACIÓN DE LOSMETODOS DE EVALUACION

No se trata deespecificar en quéo cuáles casos se aplicaun método u otro, lostres se complementan conel objeto de evaluar laseguridad, lo que si es

posible diferenciar eslos espacios de tiempo enque se realizan.

Para empezar laevaluación de seguridaden un sistema resultabeneficioso aplicarlistas de chequeo, estasno son un sustituto delformal análisis deriesgos, más bien, alrealizarse constituye unpunto de partida a ésteen aquellos puntos quequedan sujetos arevisión. Además que sepueden tomar medidascorrectivas en formarápida, que no implicanmayor costo y esfuerzo.

El proceso de auditoriaes planeada pararealizarseperiódicamente, lo queindica que se llevará acabo tiempo después quese ha realizado unanálisis de riesgos, conel objeto de verificarsi se están cumpliendolos controles y políticasde seguridad previstosanteriormente.Independiente de siexiste en la organizacióno no informaciónestadística de loselementos que determinanlos riesgos, es

2

recomendable al grupoevaluador realizar elproceso de análisis deriesgos, así sea en formacualitativa, con elobjeto de crear estacultura en laorganización.

A continuación la tabla 1presenta los beneficios ydificultades quepresentan los métodostratados en esteartículo.

Tabla 1. Pros/ContrasMétodos/

PROS CONTRAS

AnálisisdeRiesgos

-Crea la cultura del riesgoy su manejo en unaorganización.-Expresa en mejores términoslas pérdidas al ocurrir unevento desfavorable.

Metodología cuantitativa-Las valoraciones sonobjetivas.-El valor de la informaciónes expresado en términosmonetarios.-El presupuesto destinado ala seguridad del sistemaesta basado en análisisconfiables y biensustentados.

Metodología cualitativa-No es necesario determinarel valor monetario de lainformación, ni lafrecuencia de las amenazas,ni el costo de las medidas atomar y del análisiscosto/beneficio.

-Existe resistencia a suaplicación, ya sea porignorancia, arrogancia omiedo.-Es un proceso que requieregran cantidad de tiempo y deinformación disponible.-Proceso costoso.

Metodología cuantitativa-No es práctico realizarvaloraciones cuantitativassin ayuda de herramientas ybases de conocimiento biensólidas.-Requieren una cantidadsustancial de información.-No existe un estándar sobreamenazas y sus frecuencias.

Metodología cualitativa-Toda valoración esesencialmente subjetiva, enprocesos y métricas.-La percepción de valorespuede no reflejar realmenteel actual valor del riesgo.

Listas dechequeo(Check-list)

-Existen en forma abundantey libre. (Listas de chequeotécnicas)-Fácil de aplicar, resumir ycomparar.-Flexibles-Su análisis es rápido,consiste en verificar si

-Arbitrario y subjetivo-Necesitan actualizarseconstantemente, en el casoque sean listas de chequeode tipo técnico.-Pueden no tratarnecesidades de un sistemaparticular.

3

existe o no existe uncontrol que es aplicable alsistema en análisis.-Se pueden aplicar medidascorrectivas de inmediato.

Auditoria

-Propicia el mejoramiento deprocedimientos en elsistema.-Reduce erroresorganizacionales-Promueve la aplicación delas políticas y estándaresde seguridad.-Descubre nuevas amenazas alsistema. (Retroalimenta elanálisis de riesgos)

-Aptitud negativa de losencargados de las partesauditadas.-Requiere tiempo y esfuerzo.-Requiere tener pistas deauditoria

4

3. ANALISIS DE RIESGOS

El proceso deidentificar, analizar yvalorar, mitigar otransferir el riesgo esgeneralmentecaracterizado como manejodel riesgo [KRAU-99]. Hayuna serie de preguntasque se hacen en esteproceso:

1.¿Que podría ocurrir?(amenaza)2.¿Sí ocurre, cuánto dañopodría causar? (impacto)3.¿Qué tan a menudopodría ocurrir?4.¿Qué tan ciertas sonlas respuestas a lasanteriores preguntas?

Una vez respondidasacertadamente lasanteriores preguntas, seresponden ahora lassiguientes:

1.¿Qué puede ser hecho?(mitigación del riesgo)2.¿Cuál es el costo de lamedida? (anual)3.¿Es la medidaefectiva? (análisiscosto/beneficio)

El manejo de riesgoscompara el costo deimplementar medidas deseguridad contra los

costos generados alocurrir un eventodesfavorable en elsistema que afectedirecta o indirectamentela prestación deservicios.

3.1 ETAPAS DEL ANALISISDE RIESGOS

El análisis de riesgosbusca cuantificar elimpacto de las amenazaspotenciales sobre unsistema, comprende cuatrosubetapas: planeacióndel análisis de riesgos,identificación deamenazas yvulnerabilidades,valoración del impacto yfrecuencia de escenariosrecurso/amenazas ytratamiento del riesgo.

3.1.1 Planeación delanálisis de riesgos

Si el sistema a evaluares muy complejo y laorganización es muygrande, es convenientepara el analista deseguridad elaborar unanálisis de riesgos porsubsistemas, lo quefacilitará también lapresentación ycomprensión de informespor parte de los

5

directivos de la empresa.Los siguientes ítemcorresponden la partepreliminar de el análisisde riesgos:

a)La dirección del análisis:con el objeto deinfluenciar el estilo deanálisis y la informaciónde salida del proceso devaloración del riesgo. Seidentifica el proceso devaloración del riesgo,tipo de salida requeriday necesidades críticas.b)El alcance: se determinael alcance del análisis.Cuales recursos delsistema requiere o no elanálisis de riesgos.Cuales agentes deamenazas no seránconsiderados, etc.c)Los límites: se defineen términos de límitesfísicos y lógicos. Ellímite físico indicadonde termina el sistemay comienza el sistema;indica lascaracterísticas de todaslas interfaces con otrossistemas. El límitelógico define la amplitudy profundidad delanálisis. d)Descripción delsistema: requerimientos(o misión) del sistema,concepto de operación, e

identificación de lanaturaleza de losrecursos del sistema.Está descripción proveelas bases paraposteriores análisis y esprerrequisito parainiciar la valoración deriesgos.e)Objeto del riesgo ycerteza requerida: elobjeto ayudará adeterminar si el riesgoestá en los límitesaceptables. La certezadefine el nivel deacierto para lavaloración del riesgo,este factor determina elnivel de esfuerzo en elanálisis.

3.1.2 Identificación deamenazas yvulnerabilidades

Las amenazas en elsistema provienen delpersonal encargado,personal externo, daño enequipos, caída deenlaces, etc. Al momentose tiene la informacióncomo lo muestra lasiguiente tabla.

Tabla 2. Relaciónrecurso/amenazas

Recurso Amenazas

6

Recurso1

Amenaza 1Amenaza 2....

Recurso2

Amenaza 1Amenaza 2....

Un análisis devulnerabilidades, porejemplo puede identificarsolo la ausencia demedidas para reducir losriesgos, lo anterior sepuede indicarcualitativamente enbinario como si o no. Seencuentran lasdebilidades ovulnerabilidad desde lossiguientes puntos devista.

Vulnerabilidades desoftware: errores deaplicaciones, erroresde sistemas operativos,rutinas de acceso noautorizados, serviciosno autorizados

Vulnerabilidades dehardware: inapropiadaoperación, fallas enmantenimiento,inadecuada seguridadfísica, falta deprotección contradesastres naturales

Vulnerabilidades dedatos: inadecuados

controles de acceso apersonal no autorizado

Vulnerabilidadesadministrativas:ausencia de políticasde seguridad, ausenciade cultura deseguridad, ausencia deprocedimientos, faltade educación yentrenamiento enseguridad

Vulnerabilidades decomunicaciones:inadecuados controlesde acceso a la red,inadecuados mecanismospara prevenir fallas encomunicaciones

Vulnerabilidades depersonal (empleados):inadecuados controlesde acceso físico,inadecuados controlesde acceso lógico

Por medio de entrevistascon cuestionariospreviamente diseñados quecontemplen los principiosy prácticas de seguridadgeneralmente aceptados,se encontrarán lasvulnerabilidades quetiene el sistema. Acontinuación serelacionan una serie defuentes de información

7

importantes a estasubetapa:

National Research CouncilReport “Computers at Risk”

National InformationInfraestructure Task Force(NITF) findings

Presidential National Securityand TelecommunicationsAdvisory Council (NSTAC)report

President’s Commission onCritical InfraestructureProtection (PCCIP) report

Para cada una de lasamenazas encontradas sedefine cualesvulnerabilidades presenta

el sistema que puedenllevar a su realización.Se forman escenariosrecurso/ amenaza/vulnerabilidades como loindica la tabla 3.

Algunas debilidadesobservadas en el sistema,dan píe a una serie derecomendaciones de seguridadiniciales que se puedenponer en práctica deinmediato, por logeneral implican bajoscostos, como respaldo aestos controles seimplanta lascorrespondientespolíticas de seguridad.

Tabla 3. Relación recurso/amenaza/vulnerabilidades

Recurso Amenaza Vulnerabilidades

Recurso 1

Amenaza 1Vulnerabilidad 1Vulnerabilidad 2...

Amenaza 2Vulnerabilidad 1Vulnerabilidad 2...

Recurso 2 Amenaza 1Vulnerabilidad 1Vulnerabilidad 2...

3.1.3 Valoración delimpacto y frecuencia deocurrencia de lasamenazas

a)Método cuantitativo: eneste punto se hace unarevisión de lainformación quepreviamente se ha

8

recolectado, lafrecuencia esta basadaen las diferentesbitácoras, logs y reportesde incidentes. El impactose determina en formacuantitativa tomandodiversos: criterios, peroen últimas todosrepresentan valoreseconómicos: valor del #de operaciones que dejael sistema de procesarpor la ocurrencia de unevento. Lo ideal es poderexpresar el impacto entérminos económicos.

El impacto se determinade la siguiente fórmula:[KRAU-99]

Los impactos afectan laconfidencialidad,integridad y

disponibilidad de losrecursos del sistema. Elimpacto de una amenaza ala integridad de losdatos es diferente a síocurre modificación odestrucción de los datos.Igual ocurre con elimpacto de una amenaza ala disponibilidad,depende del tiempo que elrecurso de redpermanezca no disponibley la frecuencia con queel sistema requiere losdatos. Al final de estasubetapa se genera latabla 4.

La frecuencia se da enforma anual, por ejemplo,si una amenaza ocurre unavez en 10 años, tiene unafrecuencia de 1/10 ó 0.1;una amenaza ocurriendo 50veces en un año tiene unafrecuencia de 50.

Tabla 4. Recurso/Amenaza/Impactos

Integridad Datos Confiden-

cialidad

DisponibilidadModificac.

Destrucción

2hrs 24hrs

72hr

RecursoAmen.1

if

if

if

if

if

if

Amen. i i i i i i

9

2 f f f f f f........

b)Métodos cualitativos:estos métodos valoran deuna forma muy subjetivael riesgo, a loselementos para valorarlos riesgos generalmentese le asignan los valoresde alto, medio y bajo.

El grupo evaluador tengao no el impacto expresadoen términos económicospuede escoger un nivel deimpacto cualitativamentecomo bajo, medio o alto,teniendo en cuenta rangosde pérdidas económicas.

Algunas métodos utilizancomo elemento paravalorar los riesgos laposibilidad de ocurrenciade presentarse unaamenaza.

3.1.4 Cálculo delriesgo

a)Tener el impacto yfrecuencia(cuantitativo). Como entoda disciplina lapérdida es igual alproducto de los valoresde impacto y frecuenciade ocurrencia (i x f).

Para f, el periodo anuales el común tomado comoreferencia en lasmetodologías yherramientas paraanálisis de riesgos."Aquí el riesgo indica las pérdidasanuales que genera laamenaza". Se genera larelaciónrecurso/amenaza/impactoanual como indica tabla6.

b)Métodos cualitativos.No se tiene en cuenta lafrecuencia para valorarlos riesgos. La tabla 5muestra un claro ejemplodonde se emplea unamatrizimpacto/posibilidad deocurrencia de una amenazapara determinar el nivelde riesgo que se tiene."Aquí el riesgo indica las pérdidasante la posibilidad de presentarsela amenaza"

Tabla 5. Nivel del riesgoPosibilidad de ocurrencia

Impacto

Alta Media Baja

Alta A A MMedia A M MBaja B B B

10

Las áreas señaladas comoA indican que son riesgosque requieren prontaatención, las áreasmarcadas como B no esprioritario la toma demedidas

3.1.5 Tratamiento delriesgo

Luego del análisis deriesgos se procede adeterminar el tipo deacción a tomar para cadariesgo. Se estudian lasamenazas que presentanlos recursos del sistemay se determina si esposible la implantaciónde mecanismos quereduzcan o eliminen elriesgo, en caso contrariolas acciones a tomarserían la aceptación otransferencia del riesgo.

El costo de proteger lasaplicaciones de unaamenaza debe ser menorque el costo de larecuperación. Para eltratamiento de un riesgose puede seguir lasestrategias planteadas en[HIGU-94]: aceptar,transferir, eliminar,reducir.

A los anteriores seagrega la estrategia“evaluar”, en la cual loscontroles quedan en unestado de evaluación pordesconocerse la forma dellevarlo a cabo, requiereun tratamiento de másinvestigación y/oconsenso con el staff delsistema. Por lo generalen este tipo de casos lafecha queda por definir.

Tabla 6. Recurso/Amenaza/Impacto Anual

Integridad Datos Confidencialidad

Disponibilidad Rie

s.Modificac.

Destrucción

2hrs

24hrs

RecursoAmen.1

($) ($) ($) ($) ($) ($) ($)

Amen.2

($) ($) ($) ($) ($) ($) ($)

......

..

11

3.1.6 Mitigación delriesgo

El proceso de mitigaciónde riesgos se sigue encaso de que la acciónsobre el riesgo seareducirlo o eliminarlo,incluye como primeramedida la identificaciónde metas, cuyo propósitoes describir el estadodeseado resultantedespués de la mitigacióndel riesgo.

Posteriormente seidentifican lasestrategias a seguir paramitigar los riesgos. Supropósito es obteneralternativas de soluciónpara cada riesgo. [SANT-99]

El diseño de controles esun proceso que requierede mucho cuidado, se debetener presente toda

Tabla 7. Relación amenaza/estrategias/costo anual

RECURSO: XXXAMENAZA ESTRATEGIAS COSTO

Amenaza nEstrategia 1Estrategia ... Estrategia n

la información deseguridad obtenidaanteriormente. Seplantean cuestiones como:¿de qué forma puedoreducir vulnerabilidadesy por ende reducir elnivel de vulnerabilidad?,¿qué mecanismos aunque noreducen el nivel devulnerabilidad reducen elimpacto?, puede unmecanismo determinadoeliminar completamente laamenaza, etc.

Las estrategias aquíasignadas deben servaloradas en términoseconómicos para realizarun análisiscosto/beneficio, no sepueden plantearsoluciones que excedan elvalor del impacto paradeterminado riesgo.

4. OTROS METODOS DEEVALUACION DE SEGURIDAD

12

4.1 AUDITORIA

La auditoria examina siel sistema estacumpliendo con losrequerimientos deseguridad incluyendopolíticas de laorganización y delsistema. Dentro de lastécnicas a emplearincluye investigación,observación y pruebas.Una auditoria puedevariar ampliamente enalcance, examinar unsistema entero para elproceso de reacreditacióno puede investigar unsolo evento malicioso.

La auditoria puede serinterna o externa, ladiferencia puede radicaren la objetividad con quese realice. La auditoriainterna puede tenerconflictos de intereses,o al contrario, estarmotivado por el deseo demejorar la seguridad delsistema, además de serconocedores del sistemapueden encontrarproblemas ocultos.

La auditoria tomadocumentación existenteen cuanto a: políticasaplicables, análisis deriesgos, descripción de

procesos, lista decontroles. La ausencia dealgún documento ameritala recomendación de larealización del mismo.

Los procesos de auditoriacon el objeto de asegurarel funcionamientooperacional de laseguridad en un sistemaes planificada y basadaen la revisión de logs,por lo que a continuaciónse presenta laimportancia delestablecimiento de logs ycomo se aplica estecontrol.4.1.1 Establecimiento delogs. las pistas deauditoria o logs mantienenun registro de lasactividades que losadministradores yusuarios realizan sobreun sistema. Junto conherramientas yprocedimientos adecuados,los logs pueden ayudar adetectar violaciones deseguridad, problemas dedesempeño, etc. Los logsson usados como soportepara las operacionesrequeridas del sistemay/o medio para asegurarpolíticas.

Como soporte paraoperaciones, los logs son

13

usados para ayudar a losadministradores delsistema que no hansufrido daño por hackers,intrusos o problemastécnicos. Los logs deberíanregistrar como mínimo lossiguientes eventos:

Cualquier intento delogearse (exitoso y noexitoso)

Identidad Fecha Tiempo de cada intento

de entrada Fecha y tiempo de

salida Dispositivos usados Las funciones

ejecutadas.

Una auditoria podríaidentificar intentos delogin fallidos,especialmente si no selimita el número deintentos en el sistema.Algunos sistemas notienen la función deregistrar intentos deacceso fallidos, de estaforma sólo se puedemonitorear los intentosde acceso exitosos.

4.1.2 Aplicación delcontrol: dos procesosestán involucrados en laaplicación de logs :

definición e implantacióny revisión.

a)Definición eimplantación: alimplementar logs se debenconsiderar informaciónconfidencial y por lotanto requierenprotección contra borradoo modificación noautorizada. Fuertescontroles de acceso yencripción pueden sermecanismos efectivos parapreservar laconfidencialidad eintegridad. El acceso enlínea a logs debería estarestrictamente controlado,sólo visible al personalde administración que lorequiera para propósitosde revisión.

b)Revisión: los logsrequieren ser revisadosya sea ante la ocurrenciade un incidente deseguridad,automáticamente en tiemporeal (monitoreo) o poruna evaluación deseguridad planeada. Losadministradores delsistema determinarán lalongitud de los logs queserá mantenido. Para elsistema elestablecimiento de logsayudará en los aspectos

14

de control de acceso,reconstrucción de eventosy detección de intrusos.

-Control de acceso: loslogs trabajan en conjuntocon los controles deacceso lógico, las cualesrestringen el uso de losrecursos del sistema. Elacceso se concedeteniendo en cuenta lo queel usuario del sistemanecesite para realizarsus labores. Los logssirven para analizar lasacciones que los usuariosautorizados realizan,siempre que las cuentasy passwords de acceso nosean genéricos.

-Reconstrucción deeventos: la operación delsistema no se escapa dela ocurrencia deproblemas, estos puedenser resueltos fácilmentecon la revisión de logspara hacer seguimiento alas últimas operacionesrealizadas y detectarcomo, cuando y porque seoriginó el problema. Elanálisis de los logs ayudaa distinguir si loserrores fueron inducidospor los operadores o porerrores del software.Adicionalmente, sí unproblema técnico ocurre

(por ejemplo daño dearchivos) los logs puedenayudar en el proceso derecuperación.

-Detección de intrusos:los logs deben diseñarse eimplementarse con lainformación apropiada queasista en la detección deintrusos. Las intrusionespueden detectarse entiempo real o después deocurrido el evento. Losequipos y sistemascríticos para el sistemapodrían tenerimplementado logs comoherramientas en líneapara monitorearconstantemente su estado,teniendo en cuenta noafecte el desempeño delsistema.

4.2 CHECKLIST

La lista de chequeo esconsiderada como unaherramienta de auditoria,es uno de los métodos deevaluación más viejosampliamente usados, enseguridad informáticaconsiste en revisar siexisten controlesadministrativos,operativos y técnicos,este proceso no evalúa laefectividad de loscontroles implantados.

15

Además se identifica quese cumplan los principiosde seguridad generalmenteaceptados (GSSPs).

Controles administrativos:estos controles hacenreferencia a larecolección de documentoscomo: políticas ynormatividad generalreferente a la seguridaddel sistema. [NIST1]

Controles operativos: estoscontroles hacenreferencia a losprocedimientos que sirvenpara asegurar losrequerimientos deseguridad. Ejemplo:planes de contingencia,manejo de incidentes,realización de backupsetc.

Controles técnicos: estoscontroles hacenreferencia a cualquierdispositivo de hardware osoftware que aseguran elcumplimiento de losrequerimientos deseguridad. Ejemplo:control de acceso yautorización, firewalls,mecanismos de auditoriade eventos, etc.

A continuación se ampliacada uno de los controles

enfocados a un sistema deredes:

Controles Administrativos Existe una política

especifica del sistemapara el manejo deseguridad

Existen políticas parael manejo de redes,sistemas operativos,aplicaciones, etc.

Existen políticas parael manejo de Internet Tipo de información

que puede sertransmitida

Tipos de sistemasque pueden serconectados a la red

Uso de firewalls ygateways seguros

Requerimientos paraautenticación deusuarios

Existen políticas parael manejo de otrasredes externas

Existe un enteencargado de darsolución a incidentesde seguridad

Las funciones deseguridad estánintegradas en lasfunciones del personal

Donde existan políticaslos siguientes tópicosson evaluados: Define el objetivo?

16

Esta respaldada por losdirectivos?

Define procedimientos,son claros yentendibles?

Indica la información,software y hardware aemplear?

Designa personalresponsable?

Dicta las penalidades yaccionesdisciplinarias?

Los procedimientos sonactualizadosperiódicamente?

Conoce los usuarios ypersonal adecuado laspolíticas?

Controles Operacionales Análisis de riesgos Separación de deberes Identificación del

personal clave Conocimiento y

entrenamiento depersonal

Efectiva administraciónde usuarios

Registro de intrusos Planes de contingencia Controles de acceso

físico Seguridad física contra

incendios

Controles Técnicos Identificación y

autenticación

Manejo de llaves Control de acceso

lógico Protección a puertos Firewalls, gateways

seguros Autenticación basada en

hots Auditoria Detección de intrusos Reconstrucción de

eventos Logs, revisión Criptografía Firmas electrónicas Certificados

Dependiendo del sistemaen análisis se establecelos seis o más relevantescontroles que seidentificaran con letrasmayúsculas. Los controlespueden tomar uno de cincoposibles estados:implantado (I), enproceso de ser implantado(P), control noexistente (N), sedesconoce su estado/porverificar (V) ó no aplica(X). Por ejemplo si elrecurso1 es un servidor yel control A es “Backupsde configuración y datosde equipos” el siguientecuadro indica que si seencuentra enfuncionamiento dichocontrol.

17

Tabla 8. Estado de los controles técnicos

ControlesTécnicos

Estado de los controlesA B C D E F

SistemaRecurso1 I N P N N NRecurso2 I N P N N N......Recurson I N P N N N

5. CONCLUSIONES

En Colombia lasorganizaciones y/oempresas no cuentan conregistros acerca de losincidentes de seguridad,lo que dificulta la laborde determinar el impactode los riesgos entérminos económicos,necesitando considerarseen la mayoría de loscasos una serie decomplicadas matrices paradeterminar el impacto delos riesgos en términoscualitativos de alto,medio o bajo, siendo estoademás un procesobastante polémico ydesgastante al interiorde las Organizaciones.

Como recomendación deseguridad fundamental alas empresas esimportante empezar a

llevar registros sobreincidentes de seguridadcon el fin de dar mayorconfiabilidad y mejorarlos resultados en elciclo de vida delanálisis de riesgos.

Es indispensableretroalimentar elprocceso de análisis deriesgos que obedecen alos siguientes:realización de cambios enel sistema, incidentes deseguridad y revisionesperiódicas. [ORTI-88]

Son de vital importanciapara el analista deseguridad informática lapuesta en práctica de losmétodos de checklist yauditoría para determinarcontroles ausentes en elsistema, ya que estasherramientas se basan enestándares mínimos de

18

seguridad que debecumplir todo sistema, laausencia de alguno deellos implica larecomendación inmediatadel cumplimiento de esta.

6. REFERENCIAS

[ACOS-98] Beatríz Acosta.Metodología de Implantación deSeguridad en Redes, Tesis dePostgrado en Ingenieríade Sistemas yComputación, Universidadde los Andes, 1998.

[FIPS-79] FederalInformation ProcessingStandards PublicationsFIPS PUB65 - Guidelinefor Automatic DataProcessing Risk Analysis,1979.

[HIGU-94] HigueraRonald, et al., "AnIntroduction to team riskmanagement", CarnegieMellon University,Pensilvania, 1.994.

[KRAU-99] Micki Krauseand Harold F. Tipton.“Handbook of InformationSecurity Management”, 1999

[NIST1] NIST ComputerSecurity Handbook.

[ORTI-99] John CarlosOrtíz, “Metodología paraevaluación de seguridad ensistemas distribuidos”, Tesisde Postgrado enIngeniería de Sistemas yComputación, Universidadde los Andes, 1999.

[SANT-99] Santos LuzMarina, “Metodologia para laimplantación de seguridad enaplicaciones distribuidas”. Tesisde Postgrado enIngeniería de Sistemas yComputación, Universidadde los Andes.

7. AUTORALuz Marina Santos JaimesIngeniera de SistemasMagíster en Ingeniería y Sistemas y Computación, Univ. de los AndesOcupación actual: Docentede tiempo completo Universidad de PamplonaArea de interés: seguridad computacional, internet, sistemas distribuidos y trabajo cooperativo.Correo: lsantos@unipamplona.edu.coteléfono: 5685303 Ext. 141 5681672

8. GLOSARIO

19

Una amenaza es cualquierevento que puede causardaño sobre los recursosdel sistema.

Las vulnerabilidades sonpuntos débiles deseguridad que presenta elsistema que podríanpermitir la ocurrencia deuna amenaza. El Factor de exposiciónrepresenta una medida dela magnitud de pérdidas oimpacto sobre el valor deun recurso, es expresadocomo un porcentaje que vadesde 0% a 100%.

Los recursos de unsistema pueden ser denaturaleza tangible ointangible, su valordepende de su naturaleza.Los recursos tangiblesincluyen hardware,documentación, ypresupuesto que soportanel almacenamiento,procesamiento y entregade la información, suvalor típicamente se daen el costo dereemplazarlos. El valorde los recursosintangibles como porejemplo la información,puede darse en el costo ytiempo de recuperación dela misma, o en el valorde la confidencialidad,integridad ydisponibilidad de lainformación (ISSA-published GIVreference).

Impacto (i) es el dañopotencial sobre unsistema cuando unaamenaza se presenta. Estedaño puede ser expresadoen términos cuantitativoso cualitativos.

La frecuencia de ocurrencia (f)determina las veces queuna amenaza puede ocurriren un periodo de tiempo.La frecuencia se da en

20

número de ocurrencias poraño.

Posibilidad de ocurrencia: esuna medida cualitativaque indica la opción quetiene la amenaza dematerializarse o no.

21