Seguridad de los sistemas de información, centros de proceso de datos

Cómo se protege un sistema de información de principio a fin: qué se protege y contra qué, cómo se mide el riesgo y se decide qué hacer con él, con qué normas y herramientas se gestiona, de qué ataques hay que defenderse, cómo se controla quién entra, y cómo se construye y se explota la sala donde vive todo eso.

• 1Contexto del temaCómo se protege un sistema de información de principio a fin, desde qué se protege y contra qué hasta la sala física donde vive, y por qué este tema es la base de los demás de seguridad.2
• 2Fundamentos de la seguridadEl punto de partida: qué es un activo, las cinco dimensiones que hay que preservar sobre él, y las dos formas de clasificar las medidas de seguridad, por el momento en que actúan y por la naturaleza de lo que protegen.9
• 3Análisis de riesgosEl vocabulario exacto con el que se mide el riesgo (activo, amenaza, vulnerabilidad, impacto y riesgo), qué se puede decidir hacer con él, y las metodologías y herramientas con que se hace en la Administración española.10
• 4ISO 27000, ENS y CCNCómo se convierte la seguridad en un proceso permanente y no en una lista de compras: la familia ISO/IEC 27000 y su sistema de gestión, el encaje del Esquema Nacional de Seguridad, y el catálogo de herramientas con que el Centro Criptológico Nacional apoya al sector público.12
• 5Amenazas y ataquesEl panorama de lo que hay ahí fuera: quién ataca y con qué nombre se le conoce, las familias de software malicioso, los ataques a aplicaciones web, las técnicas de suplantación, la denegación de servicio, cómo se cataloga una vulnerabilidad y con qué herramientas se audita todo ello.13
• 6Control de accesoCómo se decide quién entra y qué puede hacer: las cuatro operaciones que se confunden a diario, los factores con los que se demuestra la identidad, y los protocolos con los que todo eso se centraliza, se federa y se delega.10
• 7Criptografía y firma digitalLas técnicas criptográficas que sostienen todo lo demás: cifrado simétrico y asimétrico, funciones resumen, la mecánica de la firma digital, el catálogo de protocolos seguros y el control remoto de puestos.6
• 8El CPDLa sala por dentro: cómo se organiza el equipamiento en armarios, dónde se ubica y cómo se construye, cómo se le quita el calor, de dónde saca la corriente cuando falla la red, cómo se controla quién entra y se apaga un fuego, y qué es un centro de respaldo.10
• 9Disponibilidad y eficiencia del CPDCómo se mide lo que un centro de datos promete y lo que cuesta: la redundancia y su notación, los cuatro niveles Tier con su disponibilidad, la norma TIA-942, las métricas de eficiencia energética encabezadas por el PUE, y la gestión diaria de las incidencias.10