Una vez conocemos los recursos que debemos proteger es la hora de identificar
las vulnerabilidades y amenazas que se ciernen contra ellos. Una vulnerabilidad
es cualquier situación que pueda desembocar en un problema de seguridad, y
una amenaza es la acción específica que aprovecha una vulnerabilidad
para crear un problema de seguridad; entre ambas existe una estrecha relación:
sin vulnerabilidades no hay amenazas, y sin amenazas no hay vulnerabilidades.
Se suelen dividir las amenazas que existen sobre los sistemas informáticos
en tres grandes grupos, en función del ámbito o la forma en que se pueden
producir:
- Desastres del entorno.
Dentro de este grupo se incluyen todos los posibles problemas relacionados con
la ubicación del entorno de trabajo informático o de la propia
organización, así como con las personas que de una u otra forma están
relacionadas con el mismo. Por ejemplo, se han de tener en cuenta desastres
naturales (terremotos, inundaciones...), desastres producidos por elementos
cercanos, como los cortes de fluido eléctrico, y peligros relacionados con
operadores, programadores o usuarios del sistema.
- Amenazas en el sistema.
Bajo esta denominación se contemplan todas las vulnerabilidades de los
equipos y su software que pueden acarrear amenazas a la seguridad, como
fallos en el sistema operativo, medidas de protección que éste ofrece,
fallos en los programas, copias de seguridad...
- Amenazas en la red.
Cada día es menos común que una máquina trabaje aislada de todas las
demás; se tiende a comunicar equipos mediante redes locales, intranets o la
propia Internet, y esta interconexión acarrea nuevas - y peligrosas -
amenazas a la seguridad de los equipos, peligros que hasta el momento de la
conexión no se suelen tener en cuenta. Por ejemplo, es necesario analizar
aspectos relativos al cifrado de los datos en tránsito por la red, a proteger
una red local del resto de internet, o a instalar sistemas de autenticación
de usuarios remotos que necesitan acceder a ciertos recursos internos a la
organización (como un investigador que conecta desde su casa a través de
un módem).
Algo importante a la hora de analizar las amenazas a las que se enfrentan
nuestros sistemas es analizar los potenciales tipos de atacantes que pueden
intentar violar nuestra seguridad. Es algo normal que a la hora de hablar de
atacantes todo el mundo piense en crackers, en piratas informáticos mal
llamados hackers. No obstante, esto no es más que el fruto de la
repercusión que en todos los medios tienen estos individuos y sus acciones;
en realidad, la inmensa mayoría de problemas de seguridad vienen dados por
atacantes internos a la organización afectada. En organismos de I+D estos
atacantes suelen ser los propios estudiantes (rara vez el personal), así
como piratas externos a la entidad que aprovechan la habitualmente mala
protección de los sistemas universitarios para acceder a ellos y conseguir
así cierto status social dentro de un grupo de piratas. Los
conocimientos de estas personas en materias de sistemas operativos, redes o
seguridad informática suelen ser muy limitados, y sus actividades no suelen
entrañar muchos riesgos a no ser que se utilicen nuestros equipos para atacar
a otras organizaciones, en cuyo caso a los posibles problemas legales hay que
sumar la mala imagen que nuestras organizaciones adquieren.
No siempre hemos de contemplar a las amenazas como actos intencionados contra
nuestro sistema: muchos de los problemas pueden ser ocasionados por accidentes,
desde un operador que derrama una taza de café sobre una terminal hasta un
usuario que tropieza con el cable de alimentación de un servidor y lo
desconecta de la línea eléctrica, pasando por temas como el borrado
accidental de datos o los errores de programación; decir `no lo hice a
propósito' no ayuda nada en estos casos. Por supuesto, tampoco tenemos que
reducirnos a los accesos no autorizados al sistema: un usuario de nuestras
máquinas puede intentar conseguir privilegios que no le corresponden, una
persona externa a la organización puede lanzar un ataque de negación de
servicio contra la misma sin necesidad de conocer ni siquiera un login
y una contraseña, etc.
© 2002 Antonio Villalón Huerta
