• Buscar

Modelos formales de seguridad y control. Una reflexión no convencional de estrategias y prácticas probadas para un contexto digital

https://global-strategy.org/modelos-formales-de-seguridad-y-control-una-reflexion-no-convencional-de-estrategias-y-practicas-probadas-para-un-contexto-digital/ Modelos formales de seguridad y control. Una reflexión no convencional de estrategias y prácticas probadas para un contexto digital 2021-04-25 17:36:58 Jeimy Cano Blog post Estudios Globales Ciberseguridad
Print Friendly, PDF & Email

Global Strategy Report, 17/2021

Resumen: Analizar en detalle los principales modelos formales de seguridad y control desarrollados en los años 70 y 80 es un ejercicio de reconocimiento y encuentro con las estrategias más relevantes de protección de información que aún hoy son parte fundamental de los estándares y buenas prácticas disponibles a la fecha. En este sentido, hacer una revisión de estos modelos en clave del contexto digital, no sólo permite comprender el entorno de las amenazas conocidas, sino motivar propuestas y prácticas probada para enfrentar el reto de la inevitabilidad de la falla. Por tanto, este artículo detalla una reflexión no convencional alrededor de dichos modelos, con el fin de habilitar una postura vigilante y de falla segura que proporcione elementos para la construcción de una confianza digital imperfecta para un mundo hiperconectado, instantáneo, móvil y en la nube.

Introducción

El reto permanente de la seguridad y el control es mantener un estado confiable de operaciones de un sistema. Esto es, un concepto de interacción y uso que permita a los clientes saber que tienen un escenario conocido y estable para realizar sus actividades y concretar experiencias agradables al usar los productos y servicios de una empresa. Cuando se presenta un evento que saca a los individuos de este patrón base esperado, es donde se hace necesario activar los protocolos de la confianza imperfecta que habiliten medidas transitorias, experiencias más limitadas y aseguramiento de las transacciones efectuadas (Cano, 2017).

Estas condiciones naturales de las operaciones actuales, con sus altas y bajas, donde muchas veces no se define qué es lo “normal”, es lo que crea la zona de inciertos para los clientes, los cuales muchas veces no saben en qué momento o escenario están cuando algo no sale como se espera, lo que crea una sensación de inestabilidad y ambigüedad que se traduce en un descontento en general por la experiencia que se tiene en el uso de un producto o servicio (Cano, 2021).

En este sentido, los modelos formales de seguridad de la información establecen algunas ideas y revisiones básicas que pueden ser de utilidad en estos momentos, con el fin de ilustrar algunas propuestas previamente elaboradas y probadas, que permitan enmarcar las posibles zonas de inciertos de los clientes, con el fin de establecer ventanas de atención, reparación y ajuste que terminen fortaleciendo la relación con los beneficiarios de las experiencias y los usuarios de los productos digital y tecnológicamente modificados.

Revisar nuevamente las especificaciones propias de modelos centrados en el control de acceso, en la integridad, en los flujos de información y en las transacciones desarrollados en los años 70 y 80, ahora situados en una realidad hiperconectada e influenciada por conexiones emergentes y relaciones con ecosistemas digitales distintos, es retomar las bases de la seguridad de la información, volver a los fundamentos de control, para encontrar y repensar las propuestas de servicios innovadores con las estrategias de aseguramiento que vinculen la confiabilidad requerida para operar con la confianza necesaria.

En este sentido, en este documento se revisarán algunos elementos de los modelos de seguridad y control más representativos para asegurar el control de acceso, la integridad, los flujos de información y las transacciones, con el fin de encontrar nuevos lugares comunes en los servicios y operaciones digitales actuales, que permitan ilustrar alternativas que brinden confiabilidad a las empresas y mejores alternativas de confianza imperfecta para los clientes.

Modelos formales de seguridad y control. Un repaso conceptual y analítico

Cuando se estudian los modelos formales de seguridad y control, que dieron origen a muchas de las prácticas que tenemos hoy definidas en los estándares ISO y las buenas prácticas internacionales, se pueden identificar aquellos fundamentos básicos de aseguramiento que permanecen con el paso del tiempo y que leídos ahora en una realidad más digital e interconectada adquieren un sentido práctico para los retos que proponen los productos y servicios digitales actuales.

Recientemente en un ejercicio de construcción colectiva realizado con los estudiantes de la Maestría en Seguridad Digital de la Pontificia Universidad Javeriana en el curso de Estándares y Normativa de Seguridad (2021-I), se adelantó una reflexión en profundidad de algunos de los modelos formales más representativos con el fin de identificar los fundamentos de las prácticas actuales y cómo éstas, aún hoy siguen ofreciendo orientaciones prácticas y claves para dar cuenta con los retos y riesgos de las propuestas y servicios digitales de la actualidad.

Los modelos formales de seguridad y control revisados por los maestrantes (*) fueron:

  • Matriz de control de acceso (Lampson, B. W., 1971)
  • Bell-Lapadula (D. E. Bell & L. J. LaPadula, 1973)
  • Biba (Biba, K. J., 1975)
  • Lattice (Denning, 1976)
  • Harrizon-Ruzzo-Ullman (Harrison, Ruzzo & Ullman, 1976)
  • Take-Grant (Lypton & Snyder, 1977)
  • Clark-Wilson (Clark & Wilson, 1987)
  • Chinese Wall (Brewer & Nash, 1989)

Cada uno de estos modelos es fruto de la investigación y análisis de diferentes científicos en ciencias de la computación, matemáticas, contadores públicos, administradores, entre otros, los cuales respondieron a los retos particulares de cada momento de la dinámica del mundo y de las necesidades de manejo y control de la información, algunos en el contexto militar y otros en la dinámica empresarial.

Los aportes de cada uno de ellos se fueron consolidando con el paso de los años, para llegar a materializar un conjunto de estrategias que hoy se encuentran en los diferentes estándares y buenas prácticas, que muchas veces ignoran cuáles fueron sus orígenes. En este contexto, revisarlas en detalle permite desarrollar una vista en perspectiva para conectar las nuevas realidades del contexto digital, y así visualizar alternativas de protección que han sido diseñadas y probadas en el pasado.

Un resumen analítico de estos modelos se puede observar a continuación en la tabla 1:

Tabla 1. Revisión analítica de los modelos formales de seguridad y control

Nota: Esta tabla es el resultado de la revisión analítica de los modelos formales de seguridad y control: Matriz de control de acceso, Take-Grant, Bell-Lapadula, Lattice, Harrizon-Ruzzo-Ullman, Biba, Clark-Wilson y Chinese Wall, realizada por los estudiantes del curso “Estándares y Normas de Seguridad” 2021-I de la Maestría en Seguridad Digital de la Pontificia Universidad Javeriana en Colombia.

Como se puede observar al ver los detalles de cada uno de los modelos es posible identificar muchas de las prácticas de protección de la información que tenemos en la actualidad y los fundamentos de control que se usan en muchas aplicaciones y diseños de seguridad vigentes. Cada uno de ellos ha sido usado e implementado para responder a retos donde la información demandaba acciones concretas de protección y donde las condiciones por lo general eran agrestes o implicaban un alto nivel de exposición e impactos negativos por su inadecuado tratamiento.

Revisitando los modelos formales de seguridad y control. Una vista aplicada al contexto digital actual

Muchos de los retos que se tienen en la actualidad frente al aumento del flujo de información y el control de acceso a los datos, es cómo articular las expectativas de los clientes y balancear las prácticas de seguridad y control disponibles. A mayor conectividad y acoplamiento de las iniciativas digitales mayores sorpresas predecibles (Bazerman & Watkins, 2004) se podrán materializar en el uso de los productos y servicios propuestos por las organizaciones.

En este sentido, es viable traer algunas ideas de los modelos formales para darle forma a las prácticas de seguridad digital actuales y conectar no sólo las exigencias propias de confiabilidad de los productos y servicios, sino aumentar la confianza digital de los clientes frente a la interacción que tienen en el contexto digital.

En el escenario cibernético actual, donde el aumento de la densidad digital se consolida con cada nueva iniciativa empresarial, se revelan nuevos sistemas socio-técnicos que se caracterizan por: (Li, 2014)

  • Un nivel físico: que contiene una infraestructura donde se almacenan datos y se despliegan las aplicaciones.
  • Un nivel de aplicaciones: que contiene programas informáticos que procesan datos y ejecutan servicios.
  • Un nivel de negocios: que contiene servicios que se nutren de los datos y crean las experiencias novedosas para los clientes.
  • Un nivel de comportamientos: que contiene las actitudes y acciones de las personas frente al uso de los servicios y el cumplimiento de sus expectativas.

(Nota: el concepto subrayado no se especifica en el documento original)

Cuando se comprenden las interacciones y acoplamiento de estos cuatro niveles se advierte el carácter sistémico de las apuestas digitalmente innovadoras, las cuales se consolidan con los comportamientos de los individuos y que se traducen en el cumplimiento o no de las expectativas de las personas frente al producto o servicio desarrollado.

En este contexto, el flujo de información personal y de negocio (generalmente clasificado) se convierten en los elementos claves a cuidar comoquiera que se convierten en las “joyas de la corona” que se deben mantener protegidas, a pesar de los entornos agrestes que se presenten al moverse la organización en un escenario digital y tecnológicamente modificado (Koenig, 2020).

Así las cosas, los modelos formales de seguridad y control pueden sugerir ideas de aseguramiento que permitan establecer zonas de protección y control asistidas por una postura de falla segura (Khaiyum & Kumaraswamy, 2012), donde ante cualquier situación no prevista se lleve al sistema a una zona de confinamiento manejada y conocida por la organización y su equipo de seguridad/ciberseguridad.

Una revisión de cada uno de los niveles de los sistemas socio-técnicos leídos desde la confidencialidad, la integridad y la postura de falla segura (ver tabla 2), permite ver cómo algunas de las prácticas de los modelos formales revisados, se convierten en elementos claves de aseguramiento que permiten a los individuos mantener un escenario concreto de operación, y cuando algo se ejecuta fuera de los marcos establecidos, se establecen acciones concretas que terminan con una acción de contención que restringe el actuar de los posibles adversarios limitando sus acciones contrarias y consolidando la confianza imperfecta con los clientes.

Tabla 2. Revisión de las prácticas de los modelos formales de seguridad y control en el contexto de los sistemas socio-técnicos

Reflexiones finales

Entender que estamos en un mundo cada vez más sintonizado con sistemas socio-técnicos es reconocer una realidad más sistémica, de efectos en cascada y de afectaciones que se propagan a través de un tejido de interconexión a nivel físico, de aplicaciones, de negocios y comportamientos, donde la información se configura como el nuevo “poder” que da cuenta de las tensiones globales y habilita tanto a individuos, organizaciones y naciones para concretar promesas de valor que terminan en productos y servicios innovadores y disruptivos (Dupont, 2013).

Reconocer la dinámica actual y creciente del entorno digital, el aumento de “cosas conectadas” genera alertas de seguridad y control que deben ser leídas y atendidas tanto desde la perspectiva del negocio en función de su apetito al riesgo, como desde la perspectiva de riesgo para desarrollar las capacidades necesarias para atender cualquier evento desafortunado que se pueda generar (Fick, Lam & Leibowitz, 2018).

Es así como los modelos formales de seguridad y control creados y desarrollados hace más de tres décadas, ofrecen estrategias y prácticas probadas que pueden ser consideradas en la actualidad para enfrentar algunos de los retos que se tienen con un acelerado flujo de información personal y corporativa en los diferentes dispositivos disponibles a la fecha.

Estas prácticas fundadas en sólidos elementos conceptuales y debidamente validados a través de pruebas matemáticas, reglas y axiomas pueden tener un nuevo espacio común de acción, que si bien no serán aplicadas como se concibieron, si pueden ofrecer orientaciones para materializar estrategias de aseguramiento y fortalecimiento de la confianza digital imperfecta que se debe construir y consolidar con los clientes.

Los especialistas en ingeniería reversa afirman con frecuencia que la mejor forma de ir hacia adelante es “caminando hacia atrás” (Eilam, 2005), en este caso cuando regresamos a los modelos fundamentales donde parten las prácticas de seguridad y control, es posible visualizar nuevos escenarios retadores hacia adelante, con una carta de navegación que contiene algunos archipiélagos de certezas, para avanzar en medio de escenarios agrestes e inciertos sabiendo que siempre es posible mantener una postura de falla segura, que permite un margen de maniobra y limitar la propagación de los impactos provocados por el adversario.

 (*) Agradecimientos a los ingenieros Diana Bernal, Clara Campos, Maricela Londoño, Natalia Otero, José Leonardo Carrillo, Juan Felipe Castillo y Javier Marroquín, estudiantes de la Maestría en Seguridad Digital de la Pontificia Universidad Javeriana en Colombia por sus análisis y reflexiones para concretar el desarrollo de este documento.

Referencias

Bazerman, M. & Watkins, M. (2004) Predictable surprises. The disasters you should have seen coming and how to prevent them. Boston, MA. USA: Harvard Business School Press.

Biba, K. J. (1975) Integrity Considerations for Secure Computer Systems, MTR-3153, The Mitre Corporation, June. http://seclab.cs.ucdavis.edu/projects/history/papers/biba75.pdf   (Biba Model)

Brewer, D. & Nash, M. (1989) The chinese wall security policy. In Proceedings of the 1989 IEEE Symposium on Security and Privacy. May. 206-214. https://www.cs.purdue.edu/homes/ninghui/readings/AccessControl/brewer_nash_89.pdf   (Chinese Wall Model)

Cano, J. (2017) Riesgo y seguridad. Un continuo de confianza imperfecta. En Dams, A., Pagola, H., Sánchez, L. y Ramio, J. (eds) (2017) Actas IX Congreso Iberoamericano de Seguridad de la Información. Universidad de Buenos Aires – Universidad Politécnica de Madrid. 34-39

Cano, J. (2021). Ciberseguridad empresarial. Reflexiones y retos para los ejecutivos del siglo XXI. Bogotá, Colombia: Lemoine Editores.

Clark, David D. & Wilson, David R. (1987) A Comparison of Commercial and Military Computer Security Policies; in Proceedings of the 1987 IEEE Symposium on Research in Security and Privacy (SP’87), May, Oakland, CA. pp. 184–193. https://groups.csail.mit.edu/ana/Publications/PubPDFs/A%20Comparison%20of%20Commercial%20and%20Military%20Computer%20Security%20Policies.pdf   (Clark-Wilson)

D. E. Bell & L. J. LaPadula. (1973) Secure computer systems: mathematical foundation.  Technical report, MITRE Corp., Bedford, MA, Tech. Rep. 2547, Volume I. March. – http://www-personal.umich.edu/~cja/LPS12b/refs/belllapadula1.pdf   (Bell-Lapadula)

Denning, D. (1976) Lattice Model of Secure Information Flow. Communications of ACM. 19(5). May.  http://www.cse.psu.edu/~trj1/cse543-s15/docs/denning_lattice.pdf   (Lattice Model)

Dupont, B. (2013). Cybersecurity Futures: How Can We Regulate Emergent Risks?. Technology Innovation Management Review. 3(7): 6-11. http://doi.org/10.22215/timreview/700 

Eilam, E. (2005). Reversing. Secrets of reverse engineering. Indianapolis, IN. USA: John Wiley & Sons.

Fick, N., Lam, J. & Leibowitz, S. (2018). More Is Not Always Better: A Value-Based Approach To Cyber-Risk Oversight. https://www.endgame.com/news/more-not-always-better-value-based-approach-cyber-risk-oversight

Harrison, M., Ruzzo, W. & Ullman, J. (1976) Protection in Operating Systems. Communications of the ACM. 19(8). 461-471. https://profsandhu.com/cs5323_s17/Harrison-Ruzzo-Ullman76.pdf   (Harrison-Ruzzo-Ullman)

Khaiyum, S. & Kumaraswamy, Y. (2012). Failure Modes in Embedded Systems and Its Prevention. Digital Signal Processing. https://vixra.org/abs/1208.0153

Koenig, D. (2020). The board member’s guide to risk. Northfield, Minnesota. USA: (b)right Governance.

Lampson, B. W. (1971) Protection. Proc. Fifth Princeton Symposium on Information Sciences and Systems, Princeton University, March 1971, pp. 437-443. https://www.academia.edu/41013017/Protection  (Access control matrix Model)

Li T., Horkoff J. (2014) Dealing with Security Requirements for Socio-Technical Systems: A Holistic Approach. En: Jarke M. et al. (eds) Advanced Information Systems Engineering. CAiSE 2014. Lecture Notes in Computer Science, vol 8484. Springer. https://doi.org/10.1007/978-3-319-07881-6_20

Lypton, R. & Snyder, L. (1977) A Linear Time Algorithm for Deciding Subject Security. Journal of the Association for Computing Machinery. 24(3).  July. 455-464 – https://www.cs.nmt.edu/~doshin/t/s06/cs589/pub/2.JLS-TG.pdf   (Take-Grant)


Editado por: Global Strategy. Lugar de edición: Granada (España). ISSN 2695-8937

Avatar
Jeimy Cano

Profesor Universitario y Consultor Internacional en Ciberseguridad y Ciberdefensa. Ph.D en Administración y Ph.D en Educación. Docente en varios posgrados en seguridad de la información, ciberseguridad y cibercrimen en Colombia.

Ver todos los artículos
Avatar Jeimy Cano