Hola a todos.
Bienvenidos a la guía completa parasitoides Espi convertirse desde 0 hasta un profesional de seguridad
de la información y en este curso vamos a tratar todos los detalles y todos los tópicos que deben saber
ustedes para poder aprobar el examen de CCCP y no solo eso ir un poquito más allá convertirse en un
profesional de la seguridad informática o seguridad de la información.
Entonces para darles un poquito de contexto vamos a ir tocando en todos los dominios que corresponden
para el curso y luego vamos a ir entrando en cada detalle dentro de cada dominio.
Entonces dividimos estos dominios para que hicieran sentido y para que se puedan absorber de la forma
más fácil porque entendemos que el contenido es muy largo.
Entonces para hacérsela un poquito más fácil a ustedes lo hemos dividido en varios varios pedazos varias
piezas para que todo esto sea de fácil absorción para ustedes y nada.
Comenzamos como vieron en la introducción del vídeo somos dos personas los fundadores de los hackers
en este caso mi persona Alejandro Guinea y mi compañero Melitón Navas Fundamos esta empresa para poder
transmitirles todo el conocimiento en seguridad que hemos adquirido a través de muchos años de experiencia.
En mi caso certificaciones como obviamente cidades Espí y Zapp que es una de las especialidades que
le sigue al Celles ESP.
También tengo o SCP parapentes testing que por cierto tenemos un curso también de pruebas de penetración
y eso es algo que les interesa a más de 10 años de experiencia más de 15 años de experiencia en mi caso
entonces creo que están en muy buenas manos y bienvenidos al curso y como les había comentado al inicio
vamos a empezar con pedazos para que esto se les haga un poco más fácil de absorber y les haga más sentido
dándoles todo el contexto de que es la seguridad de la información en general y comenzamos.
Primero tenemos que tocarla como se le conoce la tríada de la seguridad o el Cornerstone como le dicen
en inglés que es la confidencialidad la integridad y la disponibilidad.
Preguntas es que es la confidencialidad que nadie puede dar la información no la confidencialidad es
que solamente la persona adecuada vea la información o la persona con autorización para ver esa información
pues la pueda ver.
Luego tenemos integridad que es que la información se cambia de una forma controlada porque muchas veces
pensamos que integrinas que la información no cambie y no la información puede cambiar sólo que de una
forma controlada y de una forma deseada.
Es decir si yo quiero que realmente la información cambie pues tener un registro o saber a qué Estado
quiero que se transforma la información etcétera etcétera entonces la integridad es que si cambio que
cambia de una forma controlada a un estado controlado que yo sé que cambió no no por el otro lado de
tener que la información cambió y que no me di cuenta o que de repente no quería que cambiara y cambió
eso es perder integridad y luego tenemos disponibilidad que al final también es parte de la seguridad
informática y es que la información esté lista a tiempo para las personas que necesiten ver la verdad
entonces si nos damos cuenta estas tres piedras angulares de la seguridad van entrelazadas.
Si a mí me dan una información a tiempo pero no está íntegra pues no me sirve de nada si a mi me da
una información íntegra pero no me la dan a tiempo tampoco me sirve de nada y si a mí me dan una información
íntegra y me daba tiempo pero también ni el hacker o la persona maliciosa la vio pues tampoco me sirve
mucho.
Estas son las tres Cornerstone como se les conoce en inglés a las tres piedras angulares de la seguridad
informática.
Ahora bien creo que se nos está escapando una piedra angular adicional si bien en muchos libros van
a encontrar que estas son las tres piedras angulares de la seguridad informática o los tres pilares
de la seguridad informática y si lo son también creo que deberíamos agregar ahí el no repudio qué significa
el no repudio que yo no pueda ver que yo no pueda negar perdón haber cambiado algo o alguien no pueda
negar haber dicho algo o haber enviado algo por ejemplo si me envió un correo que yo no pueda haber
negado haber enviado ese correo.
Si hay algún cambio sobre alguna cosa algún archivo etcétera etcétera yo no puede haber negado eso y
eso sé cómo se llega a tener con firmas digitales pero todo el tema de criptografía lo vamos a tocar
muy a detalle más adelante.
Pero estas son las tres piedras angulares de verdad y también en algunos libros lo pueden encontrar
como el reverso de estas tres piedras angulares por ejemplo confidencialidad pues el poder revelar la
información integridad la alteración no deseada a la información y la disponibilidad por la destrucción
de la información verdad.
También tenemos cuatro conceptos muy importantes y muy básicos en la seguridad informática que son la
identificación y la autenticación la autorización y el accountability como le dicen en inglés que significa
simplemente saber quién lo hizo cómo lo hizo a qué horas pasó como una especie de auditoría.
Entonces tenemos identificación la identificación podría ser que me estoy bloqueando mi página web o
una página de un banco etc etc. etc. La identificación podría ser mi nombre de usuario por ejemplo Alejandro
Guinea etcétera etcétera.
Un dos tres cuatro.
Ese podría ser mi usuario mi identificación ya me estoy identificando.
Ahora bien el sistema de decir Ok esa es tu identificación pero yo realmente necesito saber que tu dices
ser que realmente no me estás mintiendo básicamente.
Entonces ahí es donde entra la autorización que es la autorización la persona autenticación.
Ahí es donde entra la autenticación es decir si yo le dije que soy Alejandro Guinea un dos tres por
entonces tengo que autenticar y tengo que demostrar que realmente soy esa persona y eso lo concibo como
un password con un RFEDI y con una tarjeta de acceso etcétera etcétera verdad en autenticación tenemos
tres cosas para autenticar algo que soy algo que tengo y algo que sé en este caso algo que sé podría
hacer un password algo que tengo podría ser un token una tarjeta de proximidad y algo que soy pues los
famosos biométricos se están agregando otros temas como por ejemplo la geolocalización para saber dónde
estoy.
Entonces todo esto para reforzar los controles de acceso y luego tenemos la autorización es decir bueno
yo ya sé que el sistema ya sabe que es Alejandro el que está tratando de accesar pero realmente a que
tengo acceso yo tengo acceso a la base de datos confidencial posiblemente si posiblemente no tengo acceso
a la base de datos semi confidencial o secreta o top secret etc etcétera depende de la clasificación
de la información que da o no pero esa es la autorización es saber a qué tengo yo derechos y luego el
accountability que es básicamente la responsabilidad.
O qué hice sobre la información que básicamente se obtuvo si yo tengo acceso tengo permisos de acceder
a la base de datos confidencial.
Está bien me dan acceso pero qué hice en esa base datos borré algún archivo no borré actualicé ingresar
información nueva solo consulté qué fue lo que hice.
Entonces bajo esta bajo esta perspectiva tenemos dos conceptos claves dentro de la seguridad informática
el primero es los menos privilegios o privilegios y a veces traduzco los términos que les digo en español.
Si de pronto por ahí leen algún libro en inglés pues que les haga sentido los términos los temas que
estamos hablando ahorita entonces tenemos menos privilegios que ese privilegio y las necesidades de
saber o el nicho no.
Qué necesito saber yo.
Entonces el Privilege lo que significa es que un usuario debería tener los accesos mínimos en este caso
la autorización que habíamos hablado verdad requeridos para hacer su trabajo y nada más.
Es decir si tú vas a hacer a un DBA o un contador pues tienes los permisos única y exclusivamente para
hacer ese trabajo no hay más permisos no necesitas tener más permisos.
Y luego tenemos el 1 que es más granular si quieren ver una diferencia entre el 1 y el 2 Privilege.
El nicho no es más granular que el Liset Privilege en este caso si el usuario necesita saber un pedazo
de información específico por ejemplo yo soy el contador otra vez y bueno yo tengo acceso al sistema
al sistema al sistema sé que donde contabilidad pero de repente yo también necesito saber algún tema
de planilla de recursos humanos entonces me dan específicamente el acceso únicamente a lo que genera
la planilla al mes pero yo no tengo idea de cuánto gana persona a persona de personas.
Yo sólo sé que al mes pagamos 5 dólares de planilla no sé algo por el estilo.
Entonces esa es la diferencia entre chinitos que al final son dos conceptos que van de la mano y no
los podemos dejar a un lado si estamos tocando la identidad autenticación autorización y a concebirla
y luego tenemos la famosa pregunta bueno y entonces cuál de todas estas medidas tenemos que utilizar
porque regulase que no podemos dejar a un lado el negocio siempre tenemos un negocio al cual reportar
o al cual responder el cual no podemos tampoco llegar a entorpecer a entorpecer.
Perdón por el simple hecho de aplicar seguridad informática también tenemos que volvernos un poco de
consultores de negocio o sea al final nosotros como occisos o como profesionales de seguridad informática
nuestro derecho o nuestro perdón nuestro nuestra obligación es dar a conocer todas las soluciones en
términos de riesgos pero eso lo vamos a ver más adelante no se preocupen.
Entonces en este sentido tenemos la famosa defensa en lo profundo Defense in-depth que significa esto
es aplicar varias capas de seguridad tomando en cuenta la confidencialidad la integridad la disponibilidad
por ejemplo si yo sé que necesito la información que sea altamente disponible pues vamos a agregar un
sitio redundante vamos a agregar enlaces redundantes vamos a agregar servidores vamos a agregar Feil
hover vamos a agregar muchas soluciones que si falla una pues ahí está la otra.
Entonces el tema acá es poner la mayor cantidad de barreras posibles porque créanme no hay sistema infalible
en esta vida Hardwell que les puedan vender en el mercado es el sistema infalible siempre vamos a tener
un ojito por donde el hacker pudo haber entrado.
Entonces qué mejor que tener un sistema que tenga varias capas de defensa verdad.
Si le hace la analogía muchas veces de una cebolla que tiene varias capas donde si se quita una hasta
la otra si se quita la otra y al final lo que queremos lo que queremos es detectar si en alguna de esas
capas podemos ver qué es lo que estaba haciendo o alertar.
Si tenemos un Secure Operation Center o Sock como es como se le conoce comúnmente podríamos ver que
tal vez se les pasó la alerta del fãtbol pero no se les pasó la alerta del GPS o tal vez se le pasó
también la alerta del GPS pero no se les pasó la alerta del malware o del antivirus que se tenía verdad.
Entonces esa es la idea de Defensa in-depth y bueno más adelante vamos a tocar temas de regulatorios
y de leyes para seguir con este curso.