Menos es más seguro

Protección y seguridad

El diseño y la administración de un sistema operativo deben asegurar que la información esté siempre íntegra, segura y disponible:

• Integridad: la información no sufre alteraciones.
• Seguridad (confidencialidad): la información sensible solo la ve quien debe, según niveles de confidencialidad.
• Disponibilidad: la información está cuando se necesita, aun si algo falla (tolerancia a fallos).

Cuando la computadora falla justo antes de entregar un proyecto, ¿qué duele más: el aparato o el trabajo y las fotos sin respaldo? La información es un activo, a veces irreemplazable, y en una organización vale más que el equipo. Aun así, muchas veces se ve el área de tecnología como un gasto y no como una inversión. Por eso conviene expresar su valor en dinero: horas fuera de línea restaurando respaldos, horas extra para volver a ingresar datos, o ventajas perdidas si la información confidencial cae en manos de la competencia.

Las amenazas también cambiaron. Los primeros programas malignos eran obra de script kiddies, jóvenes que entraban a un sistema solo para demostrar que podían. Hoy los atacantes buscan algo concreto: información que se vende, computadoras ajenas para usarlas o daño a un competidor.

El principio minimalista

La seguridad de un sistema es inversamente proporcional a la cantidad de software instalado, a la cantidad de personas con acceso y a la cantidad de accesos que tiene cada una. Cada programa, cuenta o permiso de más es una puerta más. Casos típicos difíciles de administrar: el gerente «todopoderoso» que pide acceso a todo, el gerente de TI y el desarrollador full stack que toca todas las capas.

De ahí sale el principio del menor privilegio: un usuario debe tener acceso a todo lo que necesita, y solamente a lo que necesita, para hacer su trabajo. El costo es claro: mayor seguridad implica menor usabilidad.

Áreas de seguridad

1. Física: que nadie sin autorización llegue al hardware. Es la primera área, y hay estándares para ella: ISO/IEC 27001 (sistema de gestión de seguridad de la información), PCI DSS (datos de tarjetas), ANSI/TIA-942 (diseño de centros de datos), los niveles Tier I a IV del Uptime Institute (disponibilidad), NIST SP 800-53 (controles), SAS 70, SSAE 16 e ISAE 3402 (evaluación de controles), HIPAA (datos de salud) y GDPR (datos personales en la Unión Europea).
2. De usuario: educar a las personas para no dar información, por irrelevante que parezca. La ingeniería social manipula a las personas, no a las máquinas: aprovecha la confianza, la credulidad, el miedo o la ignorancia con llamadas falsas, correos de phishing o suplantaciones. Puede saltarse las defensas técnicas más avanzadas, por eso la capacitación debe ser constante.
3. De red: cortafuegos bien configurados que solo dejen entrar lo autorizado. Es el área más conocida; se complementa con sistemas de detección de intrusos (IDS) y vigilantes (watchdogs).
4. De aplicación: los programas propios necesitan sus propias medidas, como usuarios distintos de los del sistema operativo o bases de datos cifradas. Un caso delicado es el inicio de sesión único (single sign-on).
5. De sistema operativo: no quedarse con la configuración que trae la instalación por omisión.

Amenazas y medidas básicas

• Virus: programas que se replican solos y dañan información, con objetivos muy diversos.
• Ransomware (secuestro de información): cifra tus archivos y pide un pago por la llave para descifrarlos.
• Botnet (robot network): usa tu equipo a distancia, sobre todo para enviar spam o lanzar ataques de denegación de servicio distribuidos (DDoS). Una variante reciente es la criptominería sin tu consentimiento.
• Phishing: sitios que suplantan a una entidad, como un banco, un servicio de correo o un sitio de juegos, para robar tus datos.
• Estafa (scam, ingeniería social): sitios o correos que buscan transferencias o compras fraudulentas.

Las medidas básicas no requieren conocimiento técnico avanzado: reconocer el sitio (que tenga referencias conocidas y prestigio, y buscar quién está detrás), revisar su certificado de seguridad, verificar el nombre exacto y verificar a dónde lleva cada enlace antes de abrirlo.

Antes de leer la respuesta