Seguritecnia 372

40 SEGURITECNIA Febrero 2011 bien porque dicha información confi- dencial pudiera caer en manos de nues- tra competencia o en las de posibles ci- berdelincuentes. Evidentemente, el pro- blema se agrava en función del tipo de información que manejemos, pero, en cualquier caso, debemos tener en cuenta que somos humanos y, como tal, en ocasiones, cometemos errores. Por otro lado, cada vez son más habi- tuales las noticias relacionadas con las fugas de información intencionadas, ca- sos de espionaje industrial o filtracio- nes de información por parte de traba- jadores descontentos que se apropian de esta información sensible. Un ejem- plo que casi todos los aficionados a los deportes de motor recordarán se pro- dujo hace aproximadamente tres años, cuando se destapó una trama de espio- naje en uno de los deportes con mayor inversión económica, la Fórmula 1. Se trata del archiconocido caso McLaren– Ferrari. A pesar de que es uno de los de- portes en los que se realizan inversio- nes millonarias, en este caso la motiva- ción fue la frustración de un trabajador, que esperaba un ascenso que no se produjo. Parece un problema de índole menor, pero el impacto en cambio fue muy importante. Como parte de las actividades de es- pionaje industrial, se están prodigando cada vez más los casos de ciberespio- naje. Buen ejemplo de ello fue la bau- tizada como “Operación Aurora”, un so- fisticado ataque a varias multinacionales de gran tamaño destapado en enero de 2010. Según algunas hipótesis, el obje- tivo de esta operación fue el robo de información confidencial de las distin- tas empresas atacadas, entre ellas, las tecnológicas Google y Adobe. Para ello, seleccionaron estratégicamente miem- bros de cada compañía y, mediante una vulnerabilidad de día cero, infectaron sus ordenadores con un malware con el que controlaban remotamente los siste- mas informáticos infectados. Otro ejemplo más reciente es Stux- net, que infecta sistemas Windows ex- plotando vulnerabilidades Zero day, al igual que en la “Operación Aurora”, pero en este caso está especialmente creado para espiar y reconfigurar sistemas de Supervisión, Control y Adquisición de Datos o SCADA (del inglés Supervisory Control And Data Acquisition ), utilizados para la gestión y control de las infraes- tructuras críticas. Con un simple vistazo sobre la realidad diaria de nuestro trabajo, y centrándonos en las tecnologías de la información, po- demos ver cómo cada vez disponemos de más canales por los que gestionar y transferir la información. Algunos ejem- plos muy recientes de ello son las re- des sociales o los dispositivos móviles. La protección y monitorización de estos ca- nales y de la información que circula por ellos es uno de los grandes retos que te- nemos los profesionales de la Seguridad TI. Para ello, es muy importante tener claro los distintos estados de la informa- ción en función de su ubicación: ▪ Información en reposo: Los datos que residen en los sistemas de archi- vos, bases de datos y cualquier otro medio de almacenamiento tradicio- nal y normalmente alojados en los centros de datos de las empresas. ▪ Información en tránsito: Son los da- tos que se mueven hacia el exterior de la empresa a través de redes públi- cas, habitualmente Internet. ▪ Información en el punto final ( en- dpoint ): Se trata de datos almacena- dos en los terminales de los usua- rios o en dispositivos de almacena- miento portables (por ejemplo: USB, A ctualmente, uno de los acti- vos más preciados para una empresa es la información, y especialmente la información sensible o confidencial. Pero, ¿qué es la informa- ción sensible? Existen muchas definicio- nes, pero en el entorno empresarial una de las más completas, desde mi punto de vista, es la siguiente: “Aquella infor- mación, así definida por su propietario, cuya revelación, alteración, pérdida o destrucción puede producir daños im- portantes a la organización propietaria de la misma”. Teniendo en cuenta que cada vez más cantidad de información está en formato electrónico, como pro- fesionales del sector de las TI y, en con- creto, de la Seguridad de la Informa- ción, nuestra misión fundamental es protegerla. Como ya hemos oído o leído en mul- titud de ocasiones, la pérdida de infor- mación sensible puede producirse acci- dental o malintencionadamente, pero, en cualquier caso, puede y suele acarrear un daño económico y de prestigio, afec- tando a la empresa y su marca asociada. Realmente es más sencillo de lo que parece perder información sensible o dejarla expuesta a diferentes riesgos y amenazas. ¿Quién, por ejemplo, no ha enviado algún correo electrónico a un destinatario erróneo? No es muy atre- vido decir que puede ser una situación usual en cualquier persona que utilice de forma intensiva el correo electró- nico, aunque sea enviando informa- ción poco relevante. Pero, ¿qué sucede- ría si la información enviada en ese co- rreo electrónico fuese confidencial para la empresa?, ¿y si la transmisión de esa información sin el consentimiento del propietario de la misma estuviera in- cumpliendo alguna ley? Pues probable- mente tendríamos un serio problema, La importancia y la necesidad de proteger la información sensible Javier Berciano / Coordinador de Servicios reactivos de Inteco-CERT Seguridad de la Información