Protección Data

BLOG

El conocimiento es poder (Francis Bacon)

Blog
Compartir Facebook Twitter Linkedin
JAVIER CASAL TAVASCI

Amenazas y vulnerabilidades a las que se enfrentan

En este artículo, les voy a describir –sin ánimo de ser exhaustivos– algunos ejemplos de amenazas y vulnerabilidades a las que estamos expuestos en el tratamiento de datos.

Amenazas

Por «amenaza» se puede entender todo factor de riesgo con potencial para causar daños y perjuicios a los interesados sobre cuyos datos de carácter personal se realiza un tratamiento. También se puede entender cualquier acción capaz de atentar contra la seguridad de la información.

Si bien no hay una clasificación universal, se pueden establecer cuatro categorías de las causas que generan una amenaza: no humanas, humanas involuntarias, intencionadas que necesitan presencia física y humana intencional que proviene de un origen remoto. Veamos ejemplos:

Amenazas no humanas

  • Incidentes causados por desastres naturales.
  • Incidentes causados por explosiones.
  • Sensibilidad de los equipos a la humedad, temperatura y agentes contaminantes.
  • Sensibilidad de los equipos a cambios de voltaje.

Amenazas humanas involuntarias

  • Errores de monitorización, registros y trazabilidad del tráfico de la información.
  • Errores de diseño en el desarrollo del software.
  • Errores de mantenimiento.
  • Errores en la transmisión de la información.
  • Cambio involuntario de datos de un sistema de información a otro.
  • Violaciones de la confidencialidad por parte de empleados o encargados del tratamiento.

Amenazas humanas intencionadas con presencia física

  • Accesos a la red o al sistema de información por personas no autorizadas.
  • Destrucción de registros y/o dispositivos.
  • Actos de vandalismo.
  • Robos o hurtos. 
  • Usos no autorizados del software.

Amenazas humanas intencionales con origen remoto

  • Códigos maliciosos.
  • Malware.
  • Fraudes.

Vulnerabilidades

Por otro lado, tenemos las vulnerabilidades de la organización, que son aquellos puntos débiles que afectan a la confidencialidad, la disponibilidad e integridad de la información, y que pueden ser de tipo físico, natural, de hardware, de software, de almacenamiento, de conexión o humanas.

Veamos algunos ejemplos de vulnerabilidades relacionadas con hardware y software:

  • Conservación inadecuada de los equipos por falta de mantenimiento y cuidado.
  • Inexistencia o falta de configuración de dispositivos de respaldo o contingencia.
  • Sistemas operativos conectados a una red sin contraseñas de acceso.
  • Configuraciones indebidas de los programas informáticos, que pueden llevar al uso abusivo de los recursos por usuarios mal intencionados.
  • Programas lectores que permiten la ejecución de códigos maliciosos.
  • Ausencia de sistemas de encriptación.

Si los soportes que almacenan la información no se utilizan de forma adecuada, el contenido de los mismos queda expuesto a una serie de factores que podrán afectar a la integridad, disponibilidad y confidencialidad de la información. Veamos algunos ejemplos:

  • Lugar de almacenamiento en locales insalubres o con alto nivel de humedad, moho, etc.
  • Superar los plazos de validez o caducidad previstos por el fabricante.
  • Defectos de fabricación.
  • Manipulación o uso incorrecto del soporte.

Fuentes de información

La información acerca de amenazas y vulnerabilidades puede proceder de diversas fuentes:

  • Consumos excesivos y repentinos de memoria o disco en servidores y equipos.
  • Anomalías de tráfico de red o picos de tráfico en horas inusuales.
  • Alertas generadas por antivirus.
  • Alertas de sistemas de detección/prevención de intrusión (IDS/IPS/ SANDBOX).
  • Análisis de registros en herramientas DLP (Data Loss Prevention).
  • Análisis de registros de conexiones realizadas a través de proxys corporativos
  • Análisis de registro de servidores y aplicaciones con intentos de acceso no autorizados.
  • Conexiones bloqueadas en los cortafuegos.
  • Notificaciones efectuadas por los usuarios ante la presencia de archivos sospechosos, comportamiento extraño de los equipos o dispositivos móviles, imposibilidad de acceder a determinados servicios, extravío o robo de dispositivos de almacenamiento o equipos con información.

En ocasiones, es posible que la detección del incidente se produzca a través de la comunicación de un tercero (proveedores de servicios informáticos, proveedores de servicios de Internet o fabricantes de soluciones de seguridad), por las comunicaciones de organismos públicos como el Instituto Nacional de Ciberseguridad (INCIBE), el Centro Criptológico Nacional (CCN), Fuerzas y Cuerpos de Seguridad del Estado o mediante información publicada en medios de comunicación y redes sociales.

Conclusión

Con este artículo no quiero asustar a nadie, solo pretendo que tomen conciencia de las amenazas y vulnerabilidades a las que estamos expuestos. 

Resulta innegable que las nuevas tecnologías presentan vulnerabilidades y no siempre disponemos de recursos suficientes para hacerles frente, de modo que debemos aceptar el riesgo residual y mantener un equilibrio entre el nivel de seguridad, los recursos disponibles y la funcionalidad deseada, teniendo en cuenta los siguientes elementos: 

  • Análisis de Riesgos.
  • Gestión de Riesgos.
  • Gobernanza.
  • Vigilancia.
  • Planes de contingencia.
error: Contenido protegido por derechos de propiedad intelectual. Se prohíbe su reproducción, transformación, distribución y comunicación pública a título lucrativo por cualquier medio y soporte. Advertir que la infracción de los derechos relativos a la propiedad intelectual es constitutiva de delito (arts. 270 y ss. CP).