5.5. OPERACIÓN Y SEGURIDAD

SEGURIDAD DE TELECOMUNICACIONES.

Auditoría de la continuidad de operaciones

Es uno de los puntos que nunca se deberían pasar por alto en una auditoria de seguridad, por las consecuencias que puede tener el no haberlo revisado o haberlo hecho sin la suficiente profundidad; no basta con ver un manual cuyo título sea Plan de Contingencias o denominación similar, sino que es imprescindible conocer si funcionaría con la garantías necesarias y cubriría los requerimientos en un tiempo inferior al fijado y con una duración suficiente.

En un plan de contingencia se presume que hay un lapso de tiempo, tiempo sobre el cual se declara la emergencia, y entran a operar una serie de procedimientos que permiten que el servicio se restablezca en el menor tiempo posible. Una vez resuelta la emergencia, se disparan otra serie de procedimientos que vuelven la operación a su normalidad, procesos que pueden ser bastante engorrosos de ejecutar, en especial cuando de sincronizar la información se trata. El enfoque del plan de contingencia se basa en la minimización del impacto financiero que pueda tener un desastre en la compañía, mientras que el plan de continuidad está orientado a asegurar la continuidad financiera, 101 satisfacciones del cliente y productividad a pesar de una catástrofe.

Auditoría de la seguridad.

La existencia de amenazas que afectan la disponibilidad, integridad y confidencialidad de los datos es real. Es crítico para las organizaciones identificar esas amenazas y adoptar recomendaciones que permitan prevenir, detectar y protegerse de ellas. La diversidad y la heterogeneidad de los sistemas de información que requieren las organizaciones actuales, sumado a la globalización a la que se enfrentan al conectar esos sistemas al mundo de Internet, genera un sinfín de incertidumbres en lo referente a la seguridad de la información. Las soluciones integrales de seguridad que abarcan desde el diagnóstico de la situación actual, hasta la implementación y puesta en marcha de las mismas en todos los niveles de la organización, incluyendo el análisis y la definición de los elementos de seguridad que deben ser implantados a nivel técnico.

Auditoría y control de la seguridad física.

Es muy importante ser consciente que por más que nuestra empresa sea la más segura desde el punto de vista de ataques externos (hackers, virus, ataques de sistema operativo, entre otros); la seguridad de la misma será nula si no se ha previsto como combatir un incendio o cualquier otro tipo de desastre natural y no tener presente políticas claras de recuperación. 84 La seguridad física es una de los aspectos más olvidados a la hora del diseño de un sistema informático. Si bien algunos de los aspectos de seguridad física básicos se prevén, otros, como la detección de un atacante interno a la empresa que intenta acceder físicamente a una sala de cómputo de la misma, no. Esto puede derivar en que para un atacante sea más fácil lograr tomar y copiar una cinta de respaldo de la sala de cómputo, que intentar acceder vía lógica a la misma. La seguridad física consiste en la aplicación de barreras físicas y procedimientos de control, como medidas de prevención y contramedidas ante amenazas a los recursos e información confidencial.

Auditoría y control de la seguridad lógica.

Después de ver como nuestro sistema puede verse afectado por la falta de seguridad física, es importante recalcar que la mayoría de los daños que puede sufrir un centro de cómputo no será sobre los medios físicos sino contra información por él almacenada y procesada. Así, la seguridad física sólo es una parte del amplio espectro que se debe cubrir para no vivir con una sensación ficticia de seguridad. Como ya se ha mencionado, el activo más importante que se posee es la información, y por lo tanto deben existir técnicas, más allá de la seguridad física que la asegure.

La seguridad lógica consiste en la aplicación de barreras y procedimientos que resguarden el acceso a los datos y sólo se permita acceder a ellos a las personas autorizadas para hacerlo. Existe un viejo dicho en la seguridad informática que dicta que “todo lo que no está permitido debe estar prohibido” y esto es lo que debe asegurar la seguridad lógica.