11.1 Integridad y cuidado de la información

Integridad de los datos

Se le conoce como la capacidad de garantizar que los datos no han sido modificados desde su creación sin autorización. 

Este es uno de los tres pilares fundamentales de la seguridad informática, junto con la confidencialidad y la disponibilidad de la información. 

En un diccionario disponible en línea, se define la “integridad de los datos” de este modo: 

Cualidad de la información que se considera exacta, completa, homogénea, sólida y coherente con la intención de los creadores de esos datos. Esta cualidad se obtiene cuando se impide eficazmente la inserción, modificación o destrucción no autorizada, sea accidental o intencional del contenido de una base de datos. La integridad de los datos es uno de los seis componentes fundamentales de la seguridad de la información1

Ataques a la integridad de datos.
Los ataques a la integridad de los datos consisten en la modificación intencional de los datos, sin autorización alguna, en algún momento de su ciclo de vida. 

1. No se realizan modificaciones de datos en un sistema por personal o procesos no autorizados. 
2. No se realizan modificaciones no autorizadas de datos por personal o procesos autorizados. 
3. Ataques a la Integridad de los Datos

El ciclo de vida de los datos comprende las siguientes etapas:

• Introducción, creación y/o adquisición de datos.

• Procesamiento y/o derivación de datos.

• Almacenamiento, replicación y distribución de datos.

• Archivado y recuperación de datos.

• Realización de copias de respaldo y restablecimiento de datos.

• Borrado, eliminación y destrucción de datos2.

¿Cómo Garantizar una Mayor Integridad de los Datos?

Para una empresa, es necesario conocer formas de garantizar la integridad de sus datos. Por ejemplo, puede realizar las siguientes prácticas:

La integridad de los datos asegura que:

- Los datos son consistentes, es decir, la información interna es consistente entre si misma y respecto de la situación real externa.  

Durante la indagación para la realización de esta entrada, me di cuenta de que este pilar es de mucha importancia para las empresas, pues los ejecutivos corporativos deben asegurarse de que nadie que no tenga el permiso acceda a información que no tiene el derecho de modificar, porque podría incluso generar graves pérdidas para la organización.

Los ataques a la integridad de los datos consisten en la modificación intencional de los datos, sin autorización alguna, en algún momento de su ciclo de vida. El ciclo de vida de los datos comprende las siguientes etapas:

Hace años que las organizaciones que operan tanto en el sector público como en el privado sufren alteraciones en sus sitios web, pero, más allá del eventual perjuicio a la reputación de una empresa, ninguno de los daños ocasionados puede considerarse “catastrófico”.

Las bombas lógicas, el software no autorizado que se introduce en un sistema por acción de las personas encargadas de programarlo/mantenerlo, los troyanos y demás virus similares también pueden afectar la integridad de los datos a través de la introducción de modificaciones (por ejemplo, al definir una fórmula incorrecta en una hoja de cálculo) o la encriptación de datos y posterior exigencia de un “rescate” para revelar la clave de desencriptación. En los últimos años se han producido numerosos ataques de características similares a las mencionadas, que afectan principalmente los discos duros de las computadoras personales. Debería esperarse que tarde o temprano se produzcan ataques de este tipo destinados a los servidores.

La modificación no autorizada de sistemas operativos (servidores y redes) y/o de software de aplicaciones (como los “backdoors” o códigos no documentados), tablas de bases de datos, datos de producción y configuración de infraestructura también se consideran ataques a la integridad de los datos. Es lógico suponer que los hallazgos de las auditorías de TI incluyen con regularidad las fallas producidas en procesos clave, particularmente en la gestión del acceso privilegiado, la gestión de cambios, la segregación de funciones y la supervisión de registros. Estas fallas posibilitan la introducción de modificaciones no autorizadas y dificultan su detección (hasta que se produce algún incidente).

Otro método de ataque a la integridad de los datos es la interferencia en los sistemas de control de supervisión y adquisición de datos (SCADA, Supervisory Control and Data Acquisition), como los que se utilizan en infraestructuras críticas (suministro de agua, electricidad, etc.) y procesos industriales.

Para evitar, o al menos minimizar las probabilidades, que alguna de las anteriores opciones vulnere la información corporativa es necesario vincular los esfuerzos de protección informática con la seguridad física, empezando por políticas bien definidas que delimiten el acceso a los datos dependiendo de los roles de los empleados dentro de la organización, así como mecanismos de protección que vayan de la mano de las políticas, de forma que sea posible detectar los acceso no autorizados tan pronto como sea posible, si no es que de manera inmediata.

Para el ingreso a las instalaciones se recomienda contar con una combinación de tarjetas inteligentes, circuito cerrado con videocámaras de seguridad (digitales, no análogas), vigilantes confiables y sistemas biométricos, y otras medidas, entre las que se recomienda también controlar el acceso a las salas y cerrar siempre con llave los despachos donde hay equipos informáticos, así como no ofrecer acceso cableado a las tomas de red que estén ubicadas en espacios de acceso común.

Además de proteger el hardware, cualquier política de seguridad debe incluir medidas de protección de los datos, pues la mayoría de los ataques tienen como objetivo robar información. La recomendación es cifrar los canales de comunicación y los documentos que se envían.

En lo que respecta a incidentes naturales, o incluso aquéllos originados accidentalmente por un error humano, la regla de oro para el resguardo y recuperación de los datos es realizar respaldos frecuentes y almacenar los mismos en una ubicación segura y alejada de las oficinas corporativas, de modo que se puedan recuperar en caso de cualquier incidente y garantizar así la continuidad del negocio.

Por otro lado, es necesario establecer una política adecuada de copias de seguridad en cualquier organización; los medios donde residen estas copias tendrán que estar protegidos físicamente. Los sites o espacios donde se ubican los servidores deberán cumplir con la normatividad correspondiente, como la relativa al cableado y la instalación de extintores y aire acondicionado.

Otro elemento importante en la protección de la información son los elementos no electrónicos que se emplean para transmitirla, fundamentalmente el papel. Es importante controlar los sistemas que permiten exportar información confidencial tanto en formato electrónico como no electrónico (impresoras, faxes, escáneres, etc.). Cualquier dispositivo que pueda emitir datos ha de estar situado en un área restringida; también es conveniente que sea de acceso restringido el lugar donde los usuarios recogen los documentos que envían a estos dispositivos.

Finalmente, se recomienda disponer de trituradoras de papel y evitar así que un posible atacante pueda obtener información rebuscando en la basura2.

Referencias 

 1 https://www.isaca.org/Journal/archives/2011/Volume-6/Pages/Data-Integrity-Information-Securitys-Poor-Relation-spanish.aspx
2 https://infosegur.wordpress.com/tag/integridad/
3 https://mmnetworkmx.wordpress.com/2011/05/25/cmo-garantizar-la-integridad-de-los-datos/