Estándares de seguridad Hoy en día los estándares cumplen un papel importante en la sociedad y el desarrollo de actividades empresariales, sobre todo con la necesidad de implementar técnicas de gestión de calidad y la aprobación y certificación de diferentes productos en numerosos sectores. Razones por las cuales existen estándares de seguridad y justifican su desarrollo e implementación: 1. Suministrar normas de seguridad a los fabricantes de productos. Para efectuar de forma apropiada con este principio, los fabricantes de productos certificados deben ofrecer una documentación exhaustiva sobre la seguridad de sus productos. 2. Definir métricas de evaluación, de certificación y acreditación. Las evaluaciones y especificaciones no podrán ser elaboradas por el mismo fabricante o vendedor, sino que corresponderá esta tarea a organismos independientes acreditados. acreditados. 3. Transmitir la confianza necesaria a los usuarios y consumidores. Los usuarios de esta manera podrán comparar requerimientos específicos de seguridad, y así determinar si cumple con una serie de requisitos. Las metodologías definirán como deben realizarse la evaluación de acuerdo con los criterios utilizados, así mismo es necesario definir conceptos como son evaluación, certificación y acreditación. La evaluación evaluación consiste en el análisis de la capacidad de un determinado producto para proteger la información de acuerdo a unos criterios establecidos. La certificación certificación es el proceso que permite determinar la capacidad de un determinado producto para proteger la información de acuerdo a criterios establecidos. Tipos de certificación:
Certificación de de la seguridad seguridad de las tecnologías de la información.
Certificación de la seguridad criptologica.
Certificación de la seguridad física.
Certificación de la seguridad emanaciones radioeléctricas (según la normativa TEMPEST).
La acreditación permite valorar la capacidad de los sistemas informáticos para resistir, hasta un determinado nivel de confianza, accidentes o acciones maliciosas que puedan comprometer la confidencialidad, integridad, autenticidad y disponibilidad de la información que manejan.
Organismos responsables de la estandarización Los principales organismos internacionales, son por una parte, la Comisión Electroténica Internacional (IEC), responsable de la elaboración de normas electrotecnia y electrónica, y por otra parte, la Organización Internacional de Estandarización (ISO). Los documentos elaborados por ISO/IEC, son, principalmente, de dos tipos: Norma internacional (ISO/IEC): Norma elaborada por los miembros participantes en un comité técnico, subcomité o grupo de trabajo y aprobada por votación entre todos los participantes. Informe Técnico (TR): Documentos técnico elaborado para informar sobre los progresos técnicos de un tema determinado, dar recomendaciones sobre la ejecución de un trabajo y facilitar información y datos distintos a los que generalmente están contenidos en una norma. A nivel europeo cabe mencionar el Comité Europeo De Normalización (CEN), el Instituto Europeo de Normalización de las Telecomunicaciones (CENELEC), O EL Instituto Europeo de Normas de Telecomunicaciones (ETSI)
Estándares estadounidenses TCSEC: Trusted Computer System Evaluation Criteria. (Los Criterios de Evaluación de Sistemas Informáticos de Confianza) se desarrollan en 1985 por el centro de seguridad informática nacional de estados unidos, un organismo dependiente de la Agencia de Seguridad Nacional (NSA) responsable de la fiabilidad de los sistemas informáticos del gobierno de Estados Unidos. También son conocidos popularmente como el libro naranja por el color de las tapas de su publicación, y definen varias clases de sistemas de acuerdo a su nivel de seguridad: D, C1, C2, B1, B2, B3 Y A. Clase D (Sin seguridad): se otorgan a aquellos sistemas que no cumplen ninguna especificación de seguridad, es decir, no dispone de seguridad para hardware, el sistema operativo es inestable y no existe autenticación con respecto a los usuarios y sus derechos al acceso a la información. Clase C1 (Control de acceso direccional): el sistema informático distingue varios tipos de usuarios, disponiendo además de mecanismos fiables de autenticación con respecto a los usuarios y sus derechos al acceso a la información.
Clase C2 (Protección de Acceso Controlado): en estos niveles se deben de implementar mecanismos de auditoria de accesos e intentos fallidos de acceso a los objetos protegidos. Clase B1 (Seguridad Etiquetada): estos sistemas soportan la seguridad multinivel, mediante la cual a cada objeto del sistema (ya sea este un usuario, dato, fichero o recurso) se le asigna una etiqueta, con un nivel de seguridad jerárquico (alto secreto, secreto, reservado, etc). Clase B2 (Protección Estructurada): este caso se aplica a los sistemas que permiten establecer una jerarquía de objetos a la hora de definir las etiquetas de seguridad. Clase B3 (Dominios de Seguridad): el sistema informático contempla la implantación de dominios de seguridad, reforzados mediante hardware específico para facilitar la aplicación de políticas de acceso que se hallan definido. Clase A (Protección Verificada): se reserva para aquellos casos en los que se han utilizado métodos formales (técnicas matemáticas de verificación formal, para garantizar la seguridad en todas las tareas que realiza un usuario. FISCAM: Federal Information Systems Controls Audit Manual. Estándar de auditoría y control de la seguridad de los sistemas de información federales desarrollado de la oficina de contabilidad. DIST ST SP 800: estándar para la certificación de sistemas basados en las Tecnologías de la Información. Estándares Europeos ITSEC: Information Technology Security Evaluation Criteria. Los criterios de evaluación de la seguridad de las tecnologías de la información fueron desarrollados conjuntamente con Francia, Alemania y Holanda y el Reino Unido en 19 91. ITSEM: Information Technology Security Evaluation Methodology. se trata de la metodología que se ha definido correspondiente a los criterios ITSEC. Agencia Europea de Seguridad de la Información y las Redes. Funciones:
Obtener un conceso en materia de seguridad informática en Europa que permita mantener la disponibilidad y seguridad necesarias en las redes.
Proveer asistencia para la aplicación de nuevas normativas en este campo.
Dar soporte a la certificación y estandarización del mercado.
ESTANDARES INTERNACIONALES ISO/IEC 13335: Directrices para la gestión de la seguridad. Es un estándar que define un marco de referencia para las técnicas de gestión de riesgos y los criterios de selección. ISO/IEC 15408: Criterios comunes para la evaluación de determinados productos de seguridad, facilitando de este modo el proceso de certificación de los niveles y servicios de seguridad. ISO/IEC 21827: Ingeniería de la Seguridad de los Sistemas, se ha propuesto para facilitar la evaluación del nivel de madurez de los procesos relacionados con la Gestión de la Seguridad de la Información. COBIT: Requerimientos de seguridad establecidos por la ISACA. OCTAVE: Evaluación de Vulnerabilidades. ISO/IEC 15408: Estándar que define una serie de criterios de evaluación unificados y ampliamente aceptados a nivel internacional para evaluar la seguridad de los productos tecnológicos, conocidos como criterios comunes. Podemos distinguir distintos tipos de evaluación a la hora de aplicar los criterios comunes: Evaluación del perfil de protección: Consiste en demostrar que un criterio de protección determinado es completa. Evaluación de Declaración de Seguridad: En este caso se trataría de demostrar que esta declaración es completa. Evaluación del Objeto: Pretende demostrar que dicho objeto (producto o sistema a evaluar) cumple los requisitos de seguridad de la declaración de seguridad.
