Inseguridad informática: Un concepto dual en seguridad informática.

Introducción

Al terminar un año e iniciar el siguiente, generalmente se presentan los resultados de la gestión del que concluye y se establecen los pronósticos sobre el venidero. El tema de seguridad informática no es ajeno a esta dinámica del mundo, es quizá uno de los tópicos donde los especialistas en el área buscan afanosamente establecer líneas de acción sobre características especiales de los acontecimientos que pasaron y podrán ser influyentes en el futuro.

Revisando algunos de los pronósticos para el 2004 en el tema de seguridad [GREGORY, P. 2003, SAVAGE, M. 2003] encontramos que temas como: el SPAM, los firewalls personales, los dispositivos de almacenamiento USB, organizaciones criminales en internet, las crecientes regulaciones en el ámbito tecnológico, entre otros, serán elementos importantes donde muchos cambios y actividades tomarán lugar y generarán eventos que impactarán las organizaciones y la operación de las mismas.

Observando las reflexiones sobre las predicciones y concentrándonos en la estructura de pensamiento plasmada en las mismas, es frecuente observar que estos pronósticos muchas veces responden a eventos que en el pasado han ocurrido y se manifiestan como posibles tendencias, reflejando un pensamiento lineal que sugiere continuidad y avance, pero algunas veces negación de los temas en sí mismos. Es decir, las predicciones responden a causas y efectos que pueden ser establecidos y revisados. Sin causas no habría efectos, lo que se conoce en la ciencia como dualismo.

El dualismo, ha sido factor clave para el desarrollo de muchos conceptos que hoy en día son fundamentales para el avance de la tecnología y la seguridad informática, pero no es la única estrategia para abordar los fenómenos de nuestra realidad. En la perspectiva del dualismo un sistema es seguro o inseguro, lo que implica reconocer y profundizar en un lado de línea de pensamiento. Es decir, o aplicamos técnicas de seguridad informática para reducir los riesgos e implementar controles, ó vemos como podemos saber que tantas vulnerabilidades tenemos que nos hacen inseguros, para tomar medidas correctivas.

En este sentido, presentamos la estrategia de la dualidad, como una manera complementaria de explorar los hechos mismos en el mundo, para reconocer las causas y los efectos en su contexto, sin negar la posibilidad de considerar que uno surge a partir del otro, es decir, reconocer que la seguridad informática surge a partir de considerar la inseguridad informática y viceversa; un continuo de aprendizaje que muchas veces no corresponde a una causa específica sino a la relaciones existentes entre los componentes objeto del análisis. (ver figura 2)

Con estas ideas planteadas se desarrolla este breve documento donde revisamos el concepto de inseguridad informática desde una perspectiva dual como una manera complementaria de comprender los elementos, relaciones y efectos de la seguridad informática en el contexto de una realidad cambiante y dinámica. Los planteamientos sugeridos en este artículo responden a reflexiones recogidas de la experiencia de la industria al tratar de enfrentar la variabilidad de los escenarios y sus vulnerabilidades y, las ideas de la academia para profundizar en eventos predecibles e inesperados de la dinámica entre la tecnología, la organización y los individuos.

La dualidad de la Inseguridad Informática

En múltiples investigaciones realizadas se considera el tema de la seguridad informática como una disciplina del conocimiento donde se busca cerrar la brecha de los eventos inesperados que puedan comprometer los activos de una organización y así contar con estrategias para avanzar ante cualquier eventualidad.

Consideremos ahora el estudio de la inseguridad informática, como una disciplina dual donde los académicos y practicantes de la industria buscan las maneras detalladas para que ocurran eventos inesperados, establecen las condiciones extremas de funcionamiento de los dispositivos o estrategias, todo con el fin de hacer caminar en condiciones límite la operación de la organización y sus negocios. La estrategia dual sugiere contextualizar en un escenario real la incertidumbre inherente de la seguridad informática para revisar entre otros aspectos: [SCHNEIER 2003, pag. 51]

¿Cómo funciona el sistema?

¿Cómo no funciona el sistema?

¿Cómo reacciona ante una falla?

¿Cómo hacerlo fallar?

Por tanto, la inseguridad informática como disciplina dual en el estudio de la seguridad informática, establece un paradigma complementario (es decir dual a la seguridad informática) que comprende las propiedades emergentes de los sistemas (analizados) bajo condiciones y realidades extremas, las cuales no son viables en una estrategia de protección causal (dualismo) sugerida por la seguridad informática actual. En este sentido, se quiere plantear la necesidad de revisar nuestra manera de abordar el tema de la protección de los activos de una organización, no solamente establecer las causas y los efectos, sino comprender las relaciones entre los objetos revisados y considerar las reacciones mismas de entre estas que pueden sugerir efectos no predecibles en los modelos causales.

Cuando se plantean las condiciones de análisis de la seguridad y las pruebas de los elementos de los sistemas se consideran, entre otros, algunos elementos comunes como son: [WHITTAKER 2003, pag. 3]

Se requiere que el equipo de pruebas trabaje sobre la descripción del comportamiento del producto o sistema,

Se requiere que el producto o sistema sea ejecutado en un ambiente real o simulado,

Se requiere que la funcionalidad del producto o sistema sea explorada de una manera metódica y que los resultados de las pruebas bien sean positivos o negativos, puedan ser analizados en contexto y así ofrecer un concepto formal del mismo;

en este contexto, las relaciones causales deben ser determinadas y concretadas de tal manera que sea posible detallar y sustentar los posibles estados exhibidos por el sistema al ser sometido a las pruebas de comportamiento sugeridas dentro del dominio de la definición del producto mismo. Esta estrategia si bien aporta elementos detallados sobre el sistema y su funcionamiento futuro, nos ofrece pocas luces sobre comportamientos inesperados y condiciones extremas de operación, dado que no se abre la posibilidad a una lógica de la inseguridad informática como reflexión dual del ejercicio.

Al revisar la inseguridad informática como estrategia de pensamiento estratégico reconocemos que un sistema es tan seguro como su falla de seguridad más reciente, que cuando ocurre o se manifiesta un problema de seguridad las personas se vuelven mas experimentadas y saben que hacer, que los sistemas mal diseñados (pensamiento natural en seguridad informática) no están preparados para fallar (pensamiento dual en inseguridad informática). En pocas palabras, mantener a tus amigos cerca, pero más cerca de tus enemigos.

La inseguridad informática como pensamiento dual en seguridad informática descubre que las relaciones entre los elementos del sistema son capaces de producir efectos positivos y negativos, los cuales son capaces de comprometer su supervivencia. En este sentido, comprender la inseguridad informática como el dual de la seguridad informática, en el contexto organizacional, representada esta última en sus participantes, sus procesos y tecnología [CANO 2004], nos permite revisar las propiedades emergentes de la seguridad informática en un escenario con múltiples variables, repensar la seguridad misma mas allá de una directriz de la corporación, como una mente pensante que aprende y evoluciona en su hacer.

Explorando la dualidad de la Seguridad: La mente segura

El concepto de la organización como una mente pensante y actuante, con un pensamiento complementario (dual) nos sugiere que la seguridad informática, como una distinción mas de la organización, representa una dinámica de acción que podríamos recrear considerando los elementos de la mente segura sugeridos por Day. Para Day [DAY 2003, pág.5] una mente segura consiste en la revisión y práctica de virtudes y reglas de seguridad con el fin de tomar decisiones claras, consistentes y efectivas. Complementario a esta propuesta, la existencia de la mente insegura, como realidad presente de la organización, es un punto de análisis adicional que se considera, no solo para dar sentido a la práctica de las virtudes y reglas de seguridad, sino para mantener la perspectiva de la incertidumbre inherente al proceso de la seguridad informática.

La mente insegura como dual de la mente segura, puede sugerir elementos de análisis de situaciones extremas en las organizaciones que lleven no solamente a considerar las vulnerabilidades y riesgos de las información de los procesos de la empresa, sino repensar los procesos mismos para hacerlos mas confiables, en la medida que se consideren las diferentes perspectivas de la seguridad implícitas en cada uno de los participantes de los mismos. La mente insegura es una posibilidad de caminar y entender la senda del análisis de riesgos como un modelo de hacking [HORTON, M y MUGGE, C. 2003, pág.38] consistente de reconocimiento del sistema objetivo, manipulación y compromiso del objetivo, apalancamiento del ataque y conquista de nuevos objetivos.

En razón a lo anterior, la mente insegura, al igual que la inseguridad informática son parte de un mismo continuo que busca entender que la seguridad informática como necesidad organizacional, no es mas que el resultado de una propiedad emergente de un sistema que conoce sus condiciones extremas, su operación límite, así como sus recursos y posibilidades para darle sentido a la razón de su misión.

 Las virtudes de la seguridad son:  La seguridad deber ser una consideración diaria, la seguridad debe ser un esfuerzo comunitario, las prácticas de seguridad deben mantener un foco generalizado, las prácticas de seguridad deben incluir medidas de entrenamiento para todo el personal de la organización.

Las reglas de seguridad son: Regla del menor privilegio, Regla de los cambios, Regla de la confianza, Regla del eslabón más débil, Regla de separación, Regla de los tres procesos, Regla de la acción preventiva y Regla de la respuesta apropiada e inmediata