Seguridad de los Sistemas de Información (1)

La Seguridad de la Información es un tema que siempre me ha interesado, y que pienso es necesario hacerlo entender, eliminando tabúes y creencias más o menos orientadas, como que son conceptos sólo para expertos o que hay sistemas más seguros que otros. Espero poder desgranar algunos aspectos de este apasionante tema en algunos artículos semana a semana.

Para muchos la seguridad es un concepto ambiguo,  una sensación, más que algo concreto, objetivo.  Cuando hablamos de Sistemas de Información además es “complejo” y “complicado”,   que sólo necesita ser tratado en organizaciones importantes, y que cuesta mucho tiempo y dinero (y donde además, “como no sé, es fácil que me engañen”).

Pero siempre que almacenes o dispongas de datos esenciales para tu trabajo o tu disfrute es muy peligroso ignorar su valor real. Esto cobra especial importancia en un mundo conectado a través de Internet ¿Qué ocurre si pierdes tus datos? ¿Puedes reinstalar ese servidor si falla? ¿A qué afecta ese fallo? ¿Cuánto dinero te costará tenerlo parado? ¿Realmente necesitan tus datos  estar protegidos del acceso no autorizado? ¿Cumples las normativas legales? ¿Estás seguro de que tus datos o tus equipos no son manipulados (podemos entrar aquí incluso en el terreno de la paranoia) o utilizados con otros fines de los que crees? ¿Tienes un plan de contingencia ante un desastre, como una inundación del vecino de arriba sobre tus ordenadores? ¿Y que hay de tu vida digital, o la de tu empresa? Todos esos miles de emails, fotos, entradas en blogs, publicaciones...

Por ejemplo, si eres fotógrafo y utilizas técnicas digitales, ¿tienes tus originales guardados? ¿Y el trabajo de “revelado” de tus originales? ¿Qué hay de las presentaciones, o de tu agenda de contactos y clientes? ¿Proteges tus fotos confidenciales? ¿Has pensado exponer tus fotos bajo alguna licencia? ¿Y si pierdes tu portátil cuando estás de viaje?

En resumen… ¿Cuánto valen tus datos?

Como ves, la Seguridad en los Sistemas de Información abarca muchos aspectos y ámbitos. No es lo mismo la seguridad en tu hogar que en la empresa, ni se gestiona igual en una central nuclear que en una notaría.

Pero… ¿Qué es la Seguridad de la Información?

A mí me gusta decir que la seguridad en general se basa en tres pilares fundamentales, que deben complementarse:

• Disponibilidad:  La información debe poder ser accedida cuando sea necesario.
• Confidencialidad: Sólo debe ser accesible por quien esté autorizado.
• Integridad: La información a la que se accede debe ser correcta, y en algunos  casos irrefutable(que no se pueda negar la autoría).

En algunos ámbitos cobra más sentido uno u otro, pero en general,  si lo razonamos, son estos sus principios y deben ser sus objetivos básicos en todos los casos… Tal vez deberíamos añadir un cuarto pilar en algunos casos:

• Legalidad: Se debe cumplir la legislación aplicable en cada caso.

¿Y cómo conseguimos estos objetivos? Pues imprimiendo un sentido lógico a nuestro tratamiento de la información, orientándolo a implementar un Plan de Seguridad. Pero tranquilo… Si tu empresa es muy pequeña, o estás leyendo esto pensando en la seguridad en tu casa, ese plan será sencillo. Cuantos más servicios, equipos, información y usuarios tengas, más se complica la cosa… Y sobre todo, cuanto más valor tenga la información a proteger.

De todas formas,  piensa que una buena seguridad no tiene que suponer una gran inversión en tiempo y dinero. En muchas ocasiones, basta simplemente con una reorganización de recursos y roles, la configuración adecuada de las tecnologías y la adopción de metodologías existentes que se adaptan a cada necesidad.

Lo que sí hace falta es concienciación por parte de TODOS los usuarios implicados (empezando por la dirección, si piensas en una empresa).  Aunque creas que la seguridad son sólo conceptos como hacker, sniffer, ataques DOS, virus, pishing… también forma parte del mismo tema dejar la puerta de la sala de los servidores abierta,  un ordenador sin bloquearse automáticamente cuando su usuario está tomándose un café, o tener las copias de seguridad junto al sistema copiado.

La matriz del Riesgo

Si no tienes un sistema de seguridad implementado, o aunque lo tengas, hazte la siguiente reflexión:
¿Están todos mis datos a salvo de un desastre, según el nivel de riesgo que puedo asumir?Piensa en la siguiente matriz de riesgos: en el cuadrado "Crítico" estarán los riesgos para la seguridad que tengan un mayor impacto en la continuidad del flujo de información para las vulnerabilidades que se puedan producir con mayor frecuencia. Por ejemplo, si no tienes un antivirus, tienes una alta probabilidad de ser atacado y puedes llegar a perder datos. ¿Qué pasa si en tu hermosa sala de servidores ignífuga y blindada se para el aire acondicionado?

Seguiré profundizando en el tema, cuando vaya consiguiendo algo de tiempo...;)

Hoy es el Día de Internet

Hoy es el Día Mundial de las Telecomunicaciones y la Sociedad de la Información, popularmente "Día de Internet", que se celebra desde el año 2006. El lema de este año viene reflejado en el póster:

Internet tiene una importancia y un poder que aumenta en el tiempo en modo exponencial, porque entre sus principales bazas están la libertad y la igualdad de posibilidades, a priori, entre los usuarios. Esto molesta e inquieta a muchos, que no comprenden el posible alcance del nuevo medio, y que incluso ven como amenaza este avance tan rápido.

Y es que yo creo que ahora mismo hay sobre la mesa un conflicto sobre si intentar someter a la Red o no, al ser esta el último bastión de medios de comunicación imposible de dominar y una herramienta de movilización ciudadana. Y es que, en general, Internet es el último reducto de la libertad de expresión. Un ejemplo de esto lo tenemos en las convocatorias a "indignarse" ante el panorama político actual de la ya famosa plataforma "Democracia Real Ya". Pero no nos olvidemos de que casos recientes como las revueltas en los países árabes o las filtraciones publicadas por Wikileaks.

Algunos Estados se han dado cuenta que si quieres que algo realmente se mantenga en secreto debes actuar muy rápidamente (por ejemplo, captura, posible ejecución y desaparición del cuerpo de Bin Laden), pero en general, la mayoría de los que nos gobiernan y de los medios de comunicación se siguen mostrando sorprendidos por las capacidades de la Red. Y así, se ponen escollos a su crecimiento y desarrollo, con debates sobre la Neutralidad en la Red, intentando no acometer nuevos modelos de negocio (leyes antidescarga), o persiguiendo a quien difunde las barbaridades que se cometen (ataques a Wikileaks).

Internet está impulsando una revolución a través de la tecnología, una revolución más o menos silenciosa, que será determinante a corto plazo (creo que unos pocos años). Quien no comprenda esta revolución quedará fuera, apartado, o se enfrentará a ella. Así que estamos viviendo un tiempo de turbulencia en la Red, que se verá resuelta en poco tiempo para nuestro mayor gozo o disgusto.

A nivel más local, y así las cosas, parece que la Asociación de Internautas no está muy por la labor de celebrar cosas, y en su página web  muestra el descontento por la confusión de quienes mandan en nuestro país, que en lugar de una oportunidad ven una amenaza en el desarrollo de Internet. Y esto es porque, en realidad, desarrollar la Red alimentará a muchos, repartirá el pastel, y el pastel lo quieren sólo unos pocos.

Enlaces:
-Página principal (en español) del día: http://www.itu.int/wtisd/about/index-es.html
-Página del día de Internet en España e Iberoamérica: http://www.diadeinternet.org/2011/index.php?body=ppal
- Asociación de Internautas: http://www.internautas.org/

Navegadores: otra historia de Software Libre

Lo que sigue es una breve y mal redactada historia de los principales navegadores de Internet. No lo tomes como verdad absoluta.

Érase una vez una multinacional de Redmond que desarrolló un sistema operativo (no voy a entrar en la polémica de a quien se parecía) al que llamó Windows. Y Windows fue bueno para los usuarios, principalmente porque se regalaba, o se hacia la vista gorda para que se copiara y se distribuyera. Pero entonces llegó Internet, y a la multinacional le temblaron los bytes pensando cómo sería controlar la Web.

El primer navegador verdaderamente popular fue el Netscape, que funcionaba en Windows y casi todos los UNIX. Rápidamente se impuso como "el mejor navegador" porque era intuitivo, sencillo y fácil de usar. La referida multinacional, al ver el éxito de Netscape, lo primero que intentó fue imponer MSN con el Windows 95. MSN (Microsoft Service Network) era básicamente un navegador con acceso casi exclusivo a un portal de la propia empresa, que te decía lo que tenías que ver, como buscar, qué pensar...y las cosas típicas que hacían antes los portales. Te daba también una cuenta de correo y otros regalos...

Como a muchos usuarios no les gusto la idea de pasar por el aro, seguían usando el navegador Netscape, que instalaban sobre Windows y que  permitía acceder a todos los sitios de Internet, y no sólo a los promocionados en MSN. Entonces muchos usuarios eran técnicos y estudiantes...

La multinacional, viendo que perdía la batalla del control de la Web, decidió entonces fabricar y regalar su navegador, el Internet Explorer (IE) incluyéndolo gratis por defecto en su sistema operativo Windows. Además, se aseguró que todos los PCs llevaran Windows e IE, y que el IE fuera el navegador por defecto. El usuario ya no tenía que pagar por el Netscape, aunque este último era mucho mejor que el IE. Es más, para utilizar Netscape en Windows había que resolver algunos aspectos de configuración, aspectos en los que el usuario no técnico, evidentemente, no le apetecía meterse.

Netscape perdió adeptos rápidamente. Para salvar el código y poder seguir combatiendo contra el IE lo liberaron, y se creó la fundación Mozilla que gestionó a una comunidad de desarrolladores de software libre, dedicada desde ese momento a mejorar el código de Netscape, y de donde nacieron varios productos. En Mozilla decidieron reescribir de nuevo el código desde cero, y eso iba a necesitar mucho tiempo.

Mientras tanto, en Redmond se echaron a dormir, porque tras sacar el IE5 Netscape ya prácticamente no existía, y no pensaban que Mozilla les haría daño... Y pasaron unos años muy felices para la multinacional, porque por cada PC que se vendía en el mundo ellos cobraban, aunque nunca fueran fabricantes, y todos llevaban el IE5 (llegaron a tener el 95% de la cuota).  Ya desde las versiones anteriores pasaban de seguir los estándares de la W3C, porque como todo el mundo usaba su explorador, ellos imponían sus estándares. Y así, facilitaban el uso de su propia tecnología (por ejemplo, ActiveX) y estorbaban la tecnología de sus competidores (por ejemplo, Java). Yo mismo creí que el único explorador válido era el IE.

Entonces la fundación Mozilla sacó el Firefox. Y hete aquí que poco a poco, con el boca a boca, Firefox fue haciéndose un hueco, quitando usuarios a IE, en parte porque a los usuarios no les gustaba el monopolio, pero también por su indiscutible calidad. El mejor invento fueron las "extensiones", donde desarrolladores y empresas de todo el mundo podían ampliar la funcionalidad del navegador, y Firefox tenía miles de extensiones.

A causa del avance de Firefox (que recordemos tardó en salir porque se reescribió desde cero), en Redmond tuvieron que "ponerse las pilas" y volver a poner en marcha otra vez la producción de nuevas versiones de IE. Como Firefox era más compatible con los estándares establecidos por el W3C, el IE tuvo que cumplirlos y, tras pasar por los tribunales antimonopolio, la multinacional tuvo que admitir otros navegadores en Windows, permitir Java, e incluso no instalar IE por defecto.

Esto ha dado alas a otros como Google, que creó su propio navegador, el Chrome (utilizando algo del motor de Firefox) y a Aplle, que creó el Safari.



Estadística de uso de navegadores en febrero 2011. Fuente: Netmarketshare



También es de rigor mencionar a Opera, desde siempre ahí, especializándose sobre todo en dispositivos móviles (donde es líder), y que continuamente ha sido el más innovador de todos, aunque con una audiencia injústamente menor.

Todo lo que he contado es muy general (es de lo que me acuerdo, y espero no haber metido la pata), pero lo que está claro es que todo esto no habría sido posible sin la filosofía del software libre. Si Firefox no hubiera amenazado al IE5, seguiríamos con un sólo navegador y ejecutando sólo software realizado por una empresa. Yo pensaba que así sería hace 10 años. Y eso es una de las peores cosas que le podría haber pasado a Internet.

La importancia del Control de Internet

Internet tiene mucha más importancia como gigantesca Red Social de lo que somos capaces de imaginar, y así vemos que los acontecimientos que se viven en Egipto, continuación de los de Túnez, tienen su fortaleza en Internet, porque es principlamente a través de la Red como se contagian.

• En Túnez, todo se inició con ataques de Anonymous en respuesta al suicidio de un informático, y con la revelación de la corrupción con los famosos papeles de Wikileaks.


• En Egipto, han ordenado el cese de actividad a los ISP (proveedores de servicio) en todo el país (una orden de la que no conozco precedentes antes en ningún sitio), porque todo el mundo se comunicaba a través de twitter.


• China ha bloqueado la palabra "Egipto" en los microbloggs tipo twitter.


• El efecto contagio amenaza a países como Jordania y Yemen.


• En la India hay manifestaciones de miles de ciudadanos contra la corrupción. De momento, se quedan en eso.


• Ya se habla de Marruecos y Siria también.


• Y el petróleo vuelve a subir, impulsado por el riesgo de inestabilidad que se teme se produzca en los regímenes dictatoriales de Oriente Medio productores de crudo.

mapa parcial de Internet en el año 2005 (Wikipedia)

También hemos visto los intentos contínuos en el último año de conseguir avances en "dominar" Internet:

• Se debate la neutralidad en la Red, que "de momento" parece garantizada, aunque el hecho de que se pusiera en debate ya huele mal, porque si existe la tecnología para crear negocio, se usará, y es complicado de demostrar que se está usando...


• Se atienden a las demandas de EEUU en cuanto a las leyes "antipiratería" que, de paso, permiten la censura en Internet, en Francia, Reino Unido y España, entre otros... 


• EEUU comienza a realizar los trámites para aprobar el "Interruptor de apagado de Internet", pretendiendo crear también una nueva agencia de "control", la NCCC (National Center for Cybersecurity and Communications), cuyas competencias están por ver...


• Ataques infructuosos a Wikileaks, e intentos de bloquear su actividad. 


• Censuras en China y en otros países.

Si tan sólo hace un par de años alguien expusiera todo lo que ha pasado como una posibilidad nos habría sonado a todos como si se tratara de una película de Ciencia-Ficción. Y aún hoy día nos parece imposible o poco creible, lo que está demostrado por la "pasividad" con la que reaccionan tanto Europa como los EEUU.

Internet es "molesta" para muchos, porque no se calla. Es como ese niño malcriado del vecino, siempre incordiando, pero con temas mucho más importantes. La diferencia es que Internet debe seguir siendo libre, mientras que al chiquillo malcriado hay que "educarlo" para que se calle un rato y para que piense en lo "conveniente" en cada caso.

Estamos en una época decisiva: si "educamos" Intenet para que se comporte como unos pocos desean, se acabaron las posibilidades de verdaderas libertades civiles. Yo soy optimista, y creo que la propia naturaleza de la Red hará que los gobernantes terminen asumiendo y liderando un mundo más global y ecuánime.  ¿A que parece increíble? Seguro que los que pensaron en el hipertexto o en el protocolo TCP/IP no sabían hasta donde podría llegar todo...

Internet debe seguir siendo una Red Neutral

Manifiesto por una Red neutral, (del Blog de Enrique Dans)


(Si te sientes cómodo y representado por este texto, dale toda la difusión que puedas y quieras: reprodúcelo, enlázalo, tradúcelo, compártelo, vótalo… todas esas cosas que puedes hacer con total tranquilidad y libertad gracias, precisamente, al hecho de que tenemos todavía una red neutral. Hagamos posible el seguir teniéndola)


Los ciudadanos y las empresas usuarias de Internet adheridas a este texto MANIFESTAMOS:

1. Que Internet es una Red Neutral por diseño, desde su creación hasta su actual implementación, en la que la información fluye de manera libre, sin discriminación alguna en función de origen, destino, protocolo o contenido.
2. Que las empresas, emprendedores y usuarios de Internet han podido crear servicios y productos en esa Red Neutral sin necesidad de autorizaciones ni acuerdos previos, dando lugar a una barrera de entrada prácticamente inexistente que ha permitido la explosión creativa, de innovación y de servicios que define el estado de la red actual.
3. Que todos los usuarios, emprendedores y empresas de Internet han podido definir y ofrecer sus servicios en condiciones de igualdad llevando el concepto de la libre competencia hasta extremos nunca antes conocidos.
4. Que Internet es el vehículo de libre expresión, libre información y desarrollo social más importante con el que cuentan ciudadanos y empresas. Su naturaleza no debe ser puesta en riesgo bajo ningún concepto.
5. Que para posibilitar esa Red Neutral las operadoras deben transportar paquetes de datos de manera neutral sin erigirse en “aduaneros” del tráfico y sin favorecer o perjudicar a unos contenidos por encima de otros.
6. Que la gestión del tráfico en situaciones puntuales y excepcionales de saturación de las redes debe acometerse de forma transparente, de acuerdo a criterios homogéneos de interés público y no discriminatorios ni comerciales.
7. Que dicha restricción excepcional del tráfico por parte de las operadoras no puede convertirse en una alternativa sostenida a la inversión en redes.
8. Que dicha Red Neutral se ve amenazada por operadoras interesadas en llegar a acuerdos comerciales por los que se privilegie o degrade el contenido según su relación comercial con la operadora.
9. Que algunos operadores del mercado quieren “redefinir” la Red Neutral para manejarla de acuerdo con sus intereses, y esa pretensión debe ser evitada; la definición de las reglas fundamentales del funcionamiento de Internet debe basarse en el interés de quienes la usan, no de quienes la proveen.
10. Que la respuesta ante esta amenaza para la red no puede ser la inacción: no hacer nada equivale a permitir que intereses privados puedan de facto llevar a cabo prácticas que afectan a las libertades fundamentales de los ciudadanos y la capacidad de las empresas para competir en igualdad de condiciones.
11. Que es preciso y urgente instar al Gobierno a proteger de manera clara e inequívoca la Red Neutral, con el fin de proteger el valor de Internet de cara al desarrollo de una economía más productiva, moderna, eficiente y libre de injerencias e intromisiones indebidas. Para ello es preciso que cualquier moción que se apruebe vincule de manera indisoluble la definición de Red Neutral en el contenido de la futura ley que se promueve, y no condicione su aplicación a cuestiones que poco tienen que ver con ésta.

La Red Neutral es un concepto claro y definido en el ámbito académico, donde no suscita debate: los ciudadanos y las empresas tienen derecho a que el tráfico de datos recibido o generado no sea manipulado, tergiversado, impedido, desviado, priorizado o retrasado en función del tipo de contenido, del protocolo o aplicación utilizado, del origen o destino de la comunicación ni de cualquier otra consideración ajena a la de su propia voluntad. Ese tráfico se tratará como una comunicación privada y exclusivamente bajo mandato judicial podrá ser espiado, trazado, archivado o analizado en su contenido, como correspondencia privada que es en realidad.

Europa, y España en particular, se encuentran en medio de una crisis económica tan importante que obligará al cambio radical de su modelo productivo, y a un mejor aprovechamiento de la creatividad de sus ciudadanos. La Red Neutral es crucial a la hora de preservar un ecosistema que favorezca la competencia e innovación para la creación de los innumerables productos y servicios que quedan por inventar y descubrir. La capacidad de trabajar en red, de manera colaborativa, y en mercados conectados, afectará a todos los sectores y todas las empresas de nuestro país, lo que convierte a Internet en un factor clave actual y futuro en nuestro desarrollo económico y social, determinando en gran medida el nivel de competitividad del país. De ahí nuestra profunda preocupación por la preservación de la Red Neutral. Por eso instamos con urgencia al Gobierno español a ser proactivo en el contexto europeo y a legislar de manera clara e inequívoca en ese sentido.

(Blog de Enrique Dans)
Ver también "La Neutralidad en las carreteras", de GurusBlog.