Bueno ahora determinando los controles que vamos a utilizar.
Tenemos dos conceptos claves acá la certificación y la acreditación.
La certificación significa que el sistema ha sido certificado valga la redundancia para alcanzar los
requerimientos de seguridad del quién creen dueño de la información.
Es decir si nosotros decimos que un sistema está certificado es que alcanzó los requerimientos de seguridad
de ésta que fueron puestos por el dueño de la información.
Qué requerimientos o qué niveles de seguridad podríamos hablar.
Hay muchas medidas en algunos momentos vamos a ver por ejemplo el cómo tibia y luego tenemos la acreditación
que es la aceptación del dueño de la información de las del proceso de certificación verdad es decir
yo acepto yo como dueño de la información digo bueno el sistema debe tener esto si estos y estos criterios
de seguridad.
Y entonces cuando se certifica es que vino alguna persona puede ser externa o interna y dijo Bueno estos
son los requerimientos vamos a ver si realmente los cumple o no vamos a ver esto o lo otro y la acreditación
es que yo como dueño de la información digo Bueno entonces yo estoy de acuerdo o acepto los niveles
de de las.
O sea el nivel de certificación que se alcanzó y también eso significa que acepto el riesgo residual
el riesgo residual es simplemente el riesgo que queda después de haber aplicado una contramedida recuérdense
cuando vimos los tratamientos de riesgo que existen.
Tenemos aceptación mitigación transferencia y podemos evitarlo pero si decidimos por ejemplo mitigarlo
o recuérdense que también hablamos que nunca íbamos a poder llegar a un nivel cero entonces ese nivel
de riesgo que queda después de haber mitigado el riesgo corre el riesgo residual.
Entonces hacer la acreditación yo acepto ese riesgo residual verdad.
Entonces estos dos conceptos certificación y acreditación claves para el examen luego para certificar
o acreditar en este caso certificar algún sistema tenemos estándares y frameworks que podemos utilizar
por ejemplo si yo soy yo trabajo en un banco o una institución financiera en general y yo soy el dueño
de la información de una base de datos.
Por ejemplo yo digo Bueno si vamos a manejar tarjetas de crédito yo creo que yo quiero que tenga ciertos
niveles de seguridad.
Ahora bien yo tal vez no sé qué niveles de seguridad son los adecuados o que dictan las buenas prácticas
etcétera etcétera.
Para eso podría apoyarme en algún estándar en algún Framework por ejemplo en este caso PCI DSS Payment
Card Industry Data Security Standard verdad.
Podría por ejemplo también Octave que es Operational Critical threats acechen Bonneville Evaluation
de la Universidad de Carnegie Mellon y el cómo un proyecto Ciria verdad que es el cómo tibia Common
Core Ciria usa términos específicos cuando definen procesos para probar o para testear algún software
o alguna o algún producto verdad.
Ellos básicamente dicen Bueno vamos a testear este producto vamos a ver qué tanto nivel de seguridad
proveen y el proveedor puede decir una cosa pero yo como como parte tercera digamoslo ha sido parte
externa al proveedor lo voy a testear de una forma objetiva y no tan subjetiva como un probador que
lo que quiere es vender su producto.
Entonces para esto como Proactiva utiliza varios términos por ejemplo target of Evaluation que es el
sistema o el producto que se está evaluando el Security target que es la documentación describiendo
el target of Evaluation incluyendo los requerimientos de seguridad y el ambiente operacional donde va
a estar el producto a evaluarse verdad.
El Protection Profile que es un set de requerimientos independientes y objetivos para la categoría del
producto.
Por ejemplo si yo como coletilla va a evaluar un árbol pues ya tiene un Protection Profile definido
para lo que es un árbol o para lo que es un IPES o para lo que es un antivirus de verdad etcétera etcétera.
Luego tenemos el Evaluation Assurance Levels que es básicamente qué tan tan profundo vamos a llegar
a testear este producto porque ojo que esto tiene tiempo toma mucho tiempo y se tarda mucho entonces
puede haber un provedores y se evalúa mi producto aquí está el faraón entonces ya hay un protección
perfil definido para fourballs pero qué tanto voy a meterme a hablar voy a evaluar tal vez sólo funcionalidades
básicas o principales o voy a evaluar todo todo a mucho detalle entonces tenemos el Evaluation Nations
level para ese fin verdad y el Evaluation Front level tiene siete niveles que van desde el functional
deteste.
El nivel 2 3 4 5 6 y 7 verdadque Batman obviamente aumentando el nivel de detalle hasta llegar al nivel
7 que es formal y Verified de cine en tested verdad.
Entonces ustedes por ejemplo si están en busca de un árbol dicen Bueno vamos a ver que me provee más
mecanismos de seguridad y al Common y ver por ejemplo cualquier marca X GZ y ver este Farewell lo testean
de nivel 7 con el protección de un árbol y dio muy buenos resultados mientras que este otro Farewell
de repente lo testear a un nivel 3 o 4 con el protección por falta de un firewall y no tan buenos resultados
entonces podríamos tener un punto de vista mas objetivo en cuanto a que productos o servicios o software
podemos utilizar Broda y luego tenemos otros frameworks como Coby por ejemplo que es para el Gobierno
y gobernanza recuérdense que tratamos que es el Gobierno y que es la gobernanza de la información y
tenemos ITIL Information Technology Infrastructure Library que es un framework para proveer las mejor
las buenas prácticas de servicios de IT de verdad me gusta decir que ITIL es un framework para alinear
las metas de negocio a las metas de Heute.
Es decir yo como como como gerente de Hite por ejemplo o yo puedo decir si la meta de negocio es que
se vendan más productos por la banca en línea o se vendan productos en servicio en línea.
Pues yo voy a enfocarme en mantener disponibilidad 24 7 para nuestro servidor web por ejemplo.
Esto podríamos aplicarlo como ITIL y luego tenemos otros dos conceptos claves aparte de certificación
y acreditación que es Copping en taylorismo es COPINH es el proceso de determinar qué porciones de un
estándar van a ser empleados en una organización es decir si yo vengo y quiero ser el cumplimiento con
ISO veinti siete mil uno puedo decir bueno de los 18 puntos que me exige la ISO veinti siete mil uno
voy a aplicar el 14.1 1.1 el 8.5 .3 el 3.4 .5 etcétera etcétera.
Obviamente ISO tiene sus especialidades y sus y sus requerimientos donde el uno tiene que justificar
por qué si por qué no incluyó por qué si va a dejar afuera por qué no va a dejar fuera porque un riesgo
es aceptable porque no es aceptable etcétera etcétera pero básicamente es Copping es el proceso para
determinar qué porciones de un estándar van a ser empleados en una organización y si hay Loring es el
proceso de customizar o adecuar el scoop verdad.
El estándar para una organización es decir si yo puedo decir que voy a aplicar este este y este pedazo
del estándar ISO veinti siete mil uno.
Volvamos al ejemplo borda con Skopie pero con Telerín puedo decir bueno aparte de que me exige encriptar
información si estoy haciendo por ejemplo teletrabajo y yo voy a utilizar un VPN y me piden encriptar
información.
Pues yo voy a agregar un paso adicional y voy a decir que aparte de encriptar la información vamos a
aplicar otro.
Otra contramedida para tunear la información de una forma diferente etcétera etcétera verdad.
Esa es la diferencia entre Coppini Tailor.
Ahora bien volviendo al ejemplo de la de PN tenemos tres estados de la información o tres estados de
la data verdad.
En este caso tenemos data en reposo data en uso y data en movimiento.
Déjenme darles el ejemplo de la VPN cuando nosotros vamos a crear la VPN y vamos a enviar una información
con una base de datos.
En el momento en que la información está en la base de datos la data está en reposo.
Qué mecanismos de protección podemos utilizar.
Encriptación de disco duro controles de acceso para la información.
Una buena base de datos Enterprise etc..
La data está en reposo no se están ni usando ni está en movimiento.
La data en movimiento es cuando yo digo bueno lo vamos a poner a través de la VPN que puede ser Pisac
puede ser TLS etcétera etcétera.
Lo vamos a poner a través del VPN y va a viajar hacia el destino.
Entonces esas data en movimiento ahí se están moviendo y la data en USA es cuando llega el destino y
el destinatario lo que va a hacer es bueno vamos a agregar esta información al reporte x z la vamos
a multiplicar estos números vamos a sumar estos números la está utilizando ambos o bueno los tres estados
de la información tienen controles similares pero controles también específicos dependiendo del estado
en el que tenga otra vez podemos aplicar Encryption por ejemplo para data en reposo y podríamos utilizar
algoritmos asimétricos que si bien su performance no es muy bueno puede que nos sirvan para data en
reposo porque no se está utilizando.
Sin embargo si yo estoy transmitiendo la data o usándola posiblemente algoritmos asimétricos no sean
una buena opción porque su performance no es muy bueno.
Puede ser que algoritmos simétricos sean una buena opción.
No se preocupen estos temas de criptografía lo vamos a tratar muy a detalle más adelante.
Bueno eso es todo por hoy.
Espero les haya gustado y vemos muy pronto.