PDF de programación - Políticas y Modelos de Seguridad

Políticas y Modelos
Políticas y Modelos

De Seguridad
De Seguridad

PUA: Romero, Carlos Alberto

2011

Introducción



Las instituciones se ven inmersas en
ambientes agresivos.

•

• Importancia y sensibilidad de la
información y servicios críticos.

La necesidad de las políticas



• Las políticas de alto nivel son pautas sobre la seguridad

de la información.

• Sin políticas es imposible la creación de sistemas

seguros.

• La institución de políticas de seguridad incluye las leyes,

normas y prácticas que regulan cómo una institución
gestiona y protege los recursos.



Las políticas de seguridad (I)

• Sistemas Abiertos / Cerrados:


- En un sistema cerrado, nada es accesible al menos que se


autorice expresamente.

que esté explícitamente denegado.



- En un sistema abierto o institución todo es accesible a menos

• Menos privilegio (lo que necesita conocer):


- Deben ser autorizadas sólo para tener acceso a los recursos


que necesitan.



- Hacer a la información lo más accesible posible.

• Maximizar el intercambio:

• Autorización:

utilizar qué recursos y cómo.



- Las normas explícitas deben definir quién puede

Las políticas de seguridad (II)

-Estas políticas definen qué debe o no debe realizarse.



• Obligación:

• Separación de los derechos:



sistema.

- Las funciones críticas deben ser asignadas a más de una persona o

- Debe llevar un registro de lo que se hizo y en qué momento.



• Auditoria:

• Control Centralizado / Descentralizado:



definir sus propias políticas.

- En un sistema descentralizado sus divisiones tienen autoridad para

- Una política administrativa separa la administración de



• Propiedad y administración:

los datos de su uso.

- La propiedad puede violar la separación de los
derechos cuando el usuario de la información también es
su administrador.



Las políticas de seguridad (III)



- Deben ser identificados y sus actuaciones

• Rendición de cuentas individuales:

grabadas y revisadas.
• Roles:


- Un grupo de derechos que se le da a los usuarios de acuerdo a


sus funciones.

• Nombre o número dependiendo de su control de

acceso:


- El acceso de control está designado por su número.


• Contenido- dependiendo del control de acceso-:
-El acceso a los datos depende de los requerimientos



de los archivos específicos.



Las políticas de seguridad (IV)



• Contexto-dependiendo
del control de acceso-:

depende de que otra
información también la
requiere.

- El acceso a los datos

• Historia-dependiendo
del control de acceso-:

subgrupos de requerimientos
para la decisión de acceso.

- Se considera todos o



Aplicación - Políticas Específicas (I)

- Los documentos son clasificados en función de la sensibilidad

1. Políticas de confidencialidad.
•


Clasificación de documentos:

de su información.
Categorías:

Originator controlled (ORCON):

estén en una lista específica hecha por el inventor.
Acceso a lo total:

datos agregados.


•

•


•


- Definen particiones verticales de los niveles.

-Un documento sólo se libera a las personas o unidades que

-Los usuarios están autorizados a leer sólo los valores de los

Aplicación - Políticas Específicas (II)

- Un documento no puede ser modificado o sólo se puede registrar las

-Los datos sólo se pueden modificar en la forma prescripta.

2. Políticas de integridad.
•


La integridad de los documentos:

modificaciones.
Cambio limitado:


•

3. Grupo de políticas.
•

•

•


Acciones autorizadas:

Rotación de los derechos:

Operación de la secuenciación:


- Sólo pueden realizar acciones para las que fueron autorizadas.

-Una tarea no debe ser realizada siempre por la misma persona.

-Los pasos de algunas tareas deben llevarse a cabo en un orden específico.

Aplicación - Políticas Específicas (III)

4. Políticas de conflicto de

intereses.
Política de Muralla:

“conflicto de intereses”.

-La información se agrupa en clases de

- Un usuario no puede tener dos

Conflicto de roles:

funciones que pueden implicar un conflicto
de intereses.



•



•



Sistema de políticas (I)

• La mayoría de estas políticas pueden

aplicarse también a bajo nivel.


• Otras políticas de sistema definen el



uso específico de algún sistema.

contraseña.

-Por ejemplo, una cuenta de usuario /


• Se pueden definir políticas para el

diseño y el uso de cualquier aspecto de
un sistema informático.

Sistema de políticas (II)

• Moffett y Sloman clasifican las políticas de sistemas de

seguridad en tres niveles:

- Éstas se aplican a cualquier institución.



1. Políticas generales:

2. Políticas específica:

3. Reglas de acceso:


- Estas se refieren a organizaciones específicas.

- Define especificaciones para el acceso a recursos
determinados.
Un error común es definir las políticas de bajo nivel sin
utilizar políticas de alto nivel como referencia.

•



Sistema de políticas (III)

- Algunas políticas se pueden aplicar a varios

sistemas:

• Aislamiento o contención:


- Un sistema debe estar aislados de los


sistemas externos.

• Compartir el control:


- Los recursos o la información deben ser


compartidos por los procesos o sistemas de forma
controlada.

• Sistemas sin memoria:



de sus ejecuciones pasadas.

- Un programa no debe tener ningún vestigio

• En general, el aislamiento y la participación en el

control se excluyen mutuamente cuando se aplica a
un proceso específico.

Ejemplos de políticas

• Muchas políticas comunes se refieren a aspectos de autorización.
• Las autorizaciones definidas deben ajustarse a las necesidades de la

aplicación.

• Lo siguiente es un posible conjunto de las políticas de un sistema

universitario, asumiendo también la política de un sistema cerrado:

- Un instructor puede ver toda la información sobre el curso que está
enseñando.
- Un instructor puede cambiar las calificaciones de los estudiantes en el curso en

que enseñanza.

- Un estudiante puede ver sus calificaciones del curso que está realizando.
- Un director de departamento puede añadir o suprimir cursos en su

departamento.
Los miembros del profesorado puede acceder a información sobre sí mismos.

-
- Un estudiante puede inscribirse en un curso.
- Un director de departamento puede ver información sobre su departamento y

pueden cambia la información sobre profesores y cursos.

- Un decano puede ver la información de todos los departamentos en su

universidad o facultad.

Uso de funciones en materia de

políticas

• Es importante definir las funciones con respecto a la información

producida.

* La persona que emite un documento.

* La persona que controla el acceso sobre el documento.

• Algunas posibles funciones con respecto a los documentos son:



• También podemos definir las funciones apropiadas para las personas de

- Fuente:

- Autorizador:

-Depositario:

-Usuario:

-Auditor:


*La persona que chequea las acciones, resultados, y los controla.

* La persona que guarda el documento de control y su uso.

* La persona que lee o modifica el documento.

acuerdo a sus funciones de trabajo.


- Por ejemplo, gerente, secretaria, estudiante, y el instructor.



Políticas Estándares

• En los EE.UU. la primera institución gubernamental a
cargo de las políticas de seguridad fue el Departamento
de Defensa.

• Se publicó un documento que enumera una serie de

requisitos para sistemas de seguridad (Libro Naranja) .

• Más tarde, el Instituto Nacional de Estándares y

Tecnología (NIST) ha desarrollado un conjunto de
documentos conocidos como los Criterios Comunes .

• Otras políticas se han definido por ECMA y la ISO.
• Las políticas para aplicaciones especializadas:


- La información médica: BMA en el Reino Unido y


la HIPAA en los EE.UU..

Oxley de los EE.UU..



- La información financiera: La Ley Sarbanes-/

Normas para las políticas

• El Modelo de Política del Núcleo de Información (PCIM) es un

modelo de política.

• Para ampliar el Modelo Común de información (CIM).
• La CIM define objetos genéricos.
•

Incluye sistemas, elementos administradores del sistema, elementos
físicos y lógicos, y los servicios.

• Se define una política de Estado y sus componentes, condiciones y

acciones.

- <condition set> hacer <action list>


• Las normas de política pueden ser simples o grupales (un patrón



compuesto).

• Las condiciones y acciones pueden ser parte de normas específicas o

ser almacenados en los repositorios de uso común por varias
normas.


Políticas de lenguajes

• IBM ha desarrollado una

Política de Lenguaje
Fiduciario.


• Usa XML para definir los

criterios de asignación.


• Las normas no pueden ser

heredadas.

Políticas en conflictos

• Es posible que los objetos a que se refiere

una política se superpongan con los de otra
política.


• El conflicto puede resolverse mediante



políticas tales como:



prioridades de cada Estado.

- “permisos tienen prioridad”;
- “negaciones tienen prioridad”;
- o mediante la adición explícita a las

Problemas con las políticas no

apropiadas

• Un ejemplo de un caso real:


- Un ex-empleado de Global


Crossing Holdings Ltd.
Descontento con esta, colocó
numerosos nombres, SSN, y fechas
de nacimiento de empleados de la
empresa en su sitio Web.

• El primer problema fue la no
aplicación de la necesidad de
conocer la política.

• El segundo problema fue similar, el

acceso a la información de
facturación debería haberse
limitado.

Propiedades e interacciones de las

políticas

• Algunas políticas pueden ser representadas

formalmente con el uso de modelos .

• Mientras que otros en su mayoría se describen con

palabras.

• Un buen conjunto de políticas pueden ser

reutilizables.

• Las política