Introducción

Hasta ahora hemos planteado tres preguntas en nuestra serie sobre seguridad de la información:

En este punto, debería poder identificar la información más importante, localizarla y reducir su huella al mínimo necesario para obtener su valor. El siguiente paso es considerar:

¿Qué objetivo de seguridad de la información busca alcanzar?

Goals

Es importante determinar el objetivo principal de sus medidas de seguridad de la información antes de decidir cuáles implementar. Tradicionalmente, este sería uno de tres objetivos, conocidos como la tríada de la CIA:

Confidencialidad. Proteger la información del acceso o divulgación no autorizados.
Integridad. Proteger la información de modificaciones o alteraciones no autorizadas.
Disponibilidad. Garantizar que las actividades autorizadas con la información puedan realizarse y no sean negadas.

Para los activistas y organizaciones sin fines de lucro que trabajan en espacios cívicos cerrados o en cuestiones de derechos y justicia, a menudo es necesario considerar un objetivo adicional:

Anonimato. Proteger la identidad de las partes o los vínculos entre ellas.

Determinando el objetivo

Debe decidir un objetivo principal para cada uno de sus activos de información más valiosos y sensibles. Luego puede implementar medidas de seguridad para lograr este objetivo y garantizar que otras medidas de seguridad no entren en conflicto con este objetivo o, al menos, si lo hacen, que el riesgo sea aceptable.

Durante un período de tiempo suficientemente largo, toda la información se hará pública o se destruirá. Si la información es pública, entonces los adversarios definitivamente pueden acceder a ella y es prácticamente seguro que se producirá el daño identificado. Si se destruye, entonces definitivamente no podrás usarlo para lograr el cambio positivo en el mundo que tus adversarios quieren evitar. Al decidir los objetivos de sus medidas de seguridad, es posible que desee determinar cuál de estos dos resultados sería el mejor (o el menos peor). Hay muchas maneras de fracasar, ¡así que fracasa bien!

Si sería mejor que la información se hiciera pública que destruirla, entonces disponibilidad y integridad probablemente sean importantes; Sin embargo, si sería mejor destruir la información que hacerla pública, entonces confidencialidad y anonimato probablemente sean importantes.

El anonimato suele ser el objetivo más difícil de lograr. Muchas tecnologías deben utilizar identificadores únicos para garantizar que los mensajes se dirijan a la persona o dispositivo correcto. Estos identificadores potencialmente revelan a la persona que usa un dispositivo, el dispositivo en sí y las partes que interactúan. Dada la dificultad de garantizar el anonimato, conviene comprobar si ya existen otros medios para identificar a las partes o los vínculos entre ellas, como declaraciones de impuestos o transferencias bancarias internacionales. Si es así, es posible que el anonimato ya se haya visto comprometido.

Una vez que haya identificado su objetivo de seguridad, puede que sea necesario volver a abordar la pregunta planteada anteriormente en esta serie: ¿dónde should la información será? Por ejemplo, ahora puede ser necesario implementar copias de seguridad seguras, por lo que aumentará el número de ubicaciones donde debería estar su información.

Metas en conflicto

Puede resultar tentador intentar alcanzar la mayoría (o incluso todos) estos objetivos cada vez, pero esto rara vez es posible. Las medidas utilizadas para lograr un objetivo generalmente no mejorarán los demás objetivos; de hecho, probablemente los socavarán.

Considere un escenario donde el objetivo de seguridad es la confidencialidad de un activo de información (es decir, desea protegerlo del acceso no autorizado). Este suele ser el primer (y único) aspecto de la seguridad de la información en el que piensa la gente. En general, el cifrado es una excelente medida de seguridad para lograr este objetivo. Pero supongamos que sólo existe una copia de la información y está cifrada: ¿qué sucede si olvida la contraseña? Ese activo de información ya no es accesible, por lo que disponibilidad se ve afectado negativamente (es decir, las actividades autorizadas con la información no pueden realizarse).

Por el contrario, si disponibilidad es el objetivo de seguridad, puede distribuir varias copias de la información en muchas ubicaciones para lograrlo. Pero entonces la probabilidad de una infracción aumenta dramáticamente, y por eso confidencialidad se ve impactado negativamente. (Tenga en cuenta que, por supuesto, la disponibilidad puede verse socavada sin que se viole la confidencialidad, por ejemplo, en el caso de un ataque de denegación de servicio distribuido).

En estos escenarios, lograr tanto la confidencialidad y La disponibilidad con confianza es un desafío.

Una nota sobre la colaboración

Como se mencionó anteriormente, la información puede estar en una variedad de estados y ubicaciones. Algunos de ellos estarán bajo su control, sobre otros tendrá control limitado y sobre otros no tendrá control. Para darse cuenta del valor de su información, es posible que necesite compartirla con otra organización. Lamentablemente, no puede garantizar que tengan el mismo objetivo de seguridad de la información que usted y que estén implementando medidas de seguridad equivalentes. Si esa información es confidencial, deberá considerar si desea compartirla con ellos en primer lugar.

Recuerde, sus adversarios no limitarán su atención a usted o a su organización, sino que mirarán el panorama más amplio, porque es posible que puedan lograr sus objetivos sin involucrarlo en absoluto.

Conclusión

Debe asumir que los adversarios son racionales y buscarán encontrar vulnerabilidades que violen la confidencialidad, integridad, disponibilidad y anonimato de su información valiosa y sensible. Es posible que no sean ellos quienes causen la infracción, y la publicación de su información en un volcado de datos no dirigido (o incluso sin que usted lo haga intencionalmente) puede ser igualmente dañino. Del mismo modo, la infracción puede provenir de una organización asociada y no estar bajo su control.

Ya sea dirigido o no, un ataque se centrará en el lugar donde la seguridad de su información es débil, no en el lugar donde es fuerte. Su enfoque debe coincidir con esta racionalidad. Comienza identificando el objetivo de sus medidas de seguridad. Cuando sabes qué medidas de seguridad debes lograr, puedes tomar una decisión informada y racional sobre qué implementar, y también aceptar los inevitables aspectos negativos que conllevan esas medidas.

En el próximo artículo, veremos los tipos de medidas de seguridad que podría considerar.