Seguridad: Conjunto de medidas para preservar unas propiedades de un sistema informático. Estas propiedades son las siguientes:

1. Confidencialidad. Mantener la información en secreto, y hay dos técnicas para ello:


a. Control de acceso. Saber quién y cuando accede alguien al sistema.


b. Cifrado de la información. Cifrarla para que no pueda ser espiada.

2. Integridad de los datos. Esta propiedad garantiza que los datos a los que accedemos no han sido modificados por personas no autoriadas.

3. Autenticidad.
El origen de los datos es el correcto.
4. Disponibilidad.
Se asegura que los datos estarán disponibles cuando se necesiten.


No repudio: Un emisor de información no puede negar el hecho de que la ha emitido (ante un tercero). Se consigue mediante un contrato firmado en el que la persona se compromete a que todo documento con su firma digital lo ha firmado el.
Auditoria: revisar los procedimientos de seguridad que se han realizado en una determinada organización y comprobar que se están cumpliendo todas las medidas de seguridad.


Política de seguridad: Declaración de aquellas intenciones que van orientadas a mantener un sistema informático, para ello hay que hacer un análisis de qué se va a proteger, de qué se va a proteger y cómo se va a hacer. Determinar las vulnerabilidades y las amenazas que el sistema puede sufrir, determinar las medidas que vamos a establecer y monitorizar el cumplimiento de la seguridad.
El coste de proteger una información, debe ser menor que lo que se quiere proteger, y a su vez debe ser menor que lo que costaría romper el sistema.


Coste seguridad < Coste protegido < Coste romper sistema


Vulnerabilidades:
Punto en el que el sistema puede ser atacado
Tipos:

1. Física: Posibilidad que el sistema tiene de ser atacado físicamente, ya sea por robo, alteración o destrucción.
2. Natural: Desastres naturales o medioambientales (terremoto, fuego,…)
3. Hardware y software: Fallos que hagan al software poco fiables (bugs), fallos de integridad, confidencialidad…
4. Comunicaciones: Hackers, crackers…
5. Humana: Personas que administran y gestionan el sistema y/o usuarios (presencia), un sistema no debe tener usuarios o deben ponerse en una máquina distinta.


Tipos de amenazas:

1. Intercepción: Se consigue acceso a una parte del sistema sin autorización.
2. Modificación:
Se accede al sistema y además se puede cambiar el contenido.
3. Interrupción: Interrumpir (indefinida o momentáneamente) el funcionamiento del sistema. Puede ser accidental o intencionado.
4. Generación:
Información añadida n autorizada al sistema.
5. Naturales:
Físicas o involuntarias como descuidos en el equipo (físicos o de mantenimiento.
6. Intencionadas: Personas que atacan el sistema y vienen desde fuera.


Métodos de seguridad:
Limitar el coste de las medidas en función del coste de lo que vamos a proteger y el coste de atacarlo.
Tipos:

1. Físico: Medidas no informáticas que protejan el acceso físico al sistema y a los desastres: policía, cámaras, anti-incendios…
2. Lógico: Relacionado con el software, y organizativas (política de seguridad: auditoria, copias de seguridad, instalación y copia de software, implantación de criptografía…)
3. Administrativas: Medidas de personas responsables de la seguridad.
4. Legales: Disuasorias, en función de la legislación vigente.


Principios fundamentales de la seguridad informática.
Objetivo: Tener una serie de ideas básicas a la hora de diseñar un sistema de seguridad y cumplirlas.
1. P. Del menor privilegio: Cualquier objeto debe tener solamente aquellos privilegios que sean necesarios.
2. La seguridad no se obtiene escondiendo las vulnerabilidades.
3. La seguridad es una cadena y el eslabón más débil marca la seguridad del sistema.
4. Todo acceso al sistema debe pasar por un único punto de control.
5. La seguridad requiere la participación de todos los usuarios.
6. Defensa en profundidad para proteger el sistema por barreras una detrás de otra.
7. Las cosas cuanto más simples mejor.