Hola, per començar a familiaritzar- nos en el món de la ciberseguretat
cal que entenguem alguns conceptes bàsics.
El primer és que el nivell de seguretat de qualsevol sistema ve
determinat per la seva baula més dèbil.
Els atacants sempre buscaran el punt més feble per des d'allà comprometre
tot el sistema.
Aquest punt d'entrada pot ser qualsevol, la xarxa internet, els
programes que s'hi executen, el maquinari que l'integra.
El que volem protegir ho denominarem actiu.
I un punt atacable, fràgil o dèbil en un sistema informàtic l'anomenarem
vulnerabilitat,
que vindria a ser sinònim de forat de seguretat o bretxa de seguretat.
És molt important conèixer les vulnerabilitats a les que estan
exposats als nostres actius.
Per això, quan un expert de ciberseguretat en detecta una,
es publica en un llistat global amb un codi que l'identifica perquè tota
la comunitat en sigui coneixedora.
Aquest identificador s'anomena CVE de l'anglès Common Vulnerability and
Exposure.
Si teniu curiositat, podeu consultar el llistat de vulnerabilitats
conegudes a aquesta pàgina web,
mantinguda per Mitre, una corporació originària de l'MIT que
S'encarrega de mantenir aquest llistat a nivell mundial.
Les vulnerabilitats són els punts dèbils.
Quan hi ha qualsevol cosa que pot usar aquesta vulnerabilitat, llavors
parlem d'amenaça.
És a dir, quan potencialment alguna cosa o algú que anomenarem actor
pot utilitzar una vulnerabilitat per comprometre el nostre sistema,
diem que estem davant d'una amenaça.
Hi ha diferents tipus d'amenaces, intencionals, no intencionals o
naturals.
Les intencionals són aquelles que estan dissenyades específicament per
explotar una vulnerabilitat.
Per exemple, un virus o un malware, o un atac de fissing per a enginyeria
social.
Les segones són les que succeeixen majoritàriament per a errors humans.
Per exemple, quan no bloquegem el nostre ordinador o decidim no
actualitzar l'antivirus.
I finalment, les naturals, tot i que molts cops no les tenim en compte,
també són font importants de perills als nostres sistemes,
com per exemple inundacions, incendis, fallades elèctriques o
terratrèmols,
i que també són importants per fer un bon anàlisi de riscos.
Perquè el risc és això, la probabilitat de malmetre o perdre un
actiu,
per exemple, una informació o un equip,
quan una amenaça es materialitza i s'aprofita d'explotar una
vulnerabilitat per fer-nos mal.
Si prenem, per exemple, el sistema que esteu utilitzant,
un servei de teleensenyament, com aquest MOOC, basat en una plataforma
web,
els actius serien la informació continguda,
des de les credencials dels usuaris, els documents, vídeos del contingut,
etc.
Hi hauria múltiples vulnerabilitats, des d'errades del codi de programació
fins a l'utilització de contrasenyes senzilles o errades en el
subministrament elèctric.
En els materials que complementen aquest vídeo,
en aquesta unitat aprendreu els conceptes d'amenaces, riscos
i els contraposarem amb els de serveis i mecanismes de seguretat,
que serà el que s'aprofundirà en la següent unitat, la seguretat de la
informació.
Quan nosaltres accedim a una pàgina web com Atenea,
que dona un servei de teleensenyament per a usuaris autoritzats
o qualsevol de les plataformes de streaming de continguts tan populars
a avui dia,
volem que l'accés al servei sigui només possible per a aquells que
tenen permís.
El servei de seguretat que assegura una identitat a internet s'anomena
autenticació.
Amb la garantia d'aquesta identitat podrem comprovar si un usuari té
permís o no.
Això ho anomenem servei de control d'accés.
El mateix passa amb la protecció del contingut.
Les dades volem accedir-les i llegir -les tal com el seu autor les ha
creat i publicat.
Volem evitar manipulacions per a terceres persones.
El servei de seguretat que ens ho garanteix s'anomena integritat.
Igualment, quan viatja per la xarxa,
el contingut podria ser capturat i llegit per usuaris que no tenen
aquests permisos.
Llavors, es posa en perill el secret de les dades.
El servei que ens protegeix les dades secretes de ser llegides per a altres
s'anomena confidencialitat.
Finalment, que la plataforma no caigui i estigui accessible sempre
que es vulgui
correspon al servei de disponibilitat
i que si passa alguna cosa, puguem buscar pistes i evidències del que ha
passat,
s'encarrega el servei de traçabilitat.
Menció a banda requereix el fet que les dades que tractem, de vegades,
tot i ser accedides de manera autoritzada,
sencera i sense manipulacions i en el moment que vulguem,
podem combinar-les o analitzar-les de manera que ens aportin informació
de l'àmbit de la vida personal o d'un individu o d'usuari.
Llavors, diem que hem de protegir la privacitat o privadesa.
Tots els serveis de seguretat que hem mencionat
desitjables en qualsevol sistema d'informació digital
es poden aconseguir de diferents maneres
i utilitzant diferents eines o mecanismes de seguretat.
Així, per exemple, garantir la identitat d'algú
es pot fer, entre altres, amb un certificat digital.
Per estar segurs que la informació és secreta, la podem xifrar.
I per saber que s'ha modificat, podem utilitzar funcions de hash.
Per oferir un servei sempre disponible
podem aplicar redundància i per esbrinar què ha passat
guardem registres o logs.
Els diferents mecanismes que es poden usar
per aconseguir cadascun dels serveis de seguretat
s'aniran repassant en les diferents unitats del mòdul
de criptografia i seguretat de les dades.
Ara, amb els materials adjunts i el qüestionari
podeu comprovar si heu adquirit els conceptes bàsics d'aquesta lliçó.