La mayor parte de los profesionales de seguridad de la información, especialmente consultores y aquellos que tienen certificaciones de seguridad que no nombraré, así como numerosos estándares consideran que los conceptos de Confidencialidad, Integridad y Disponibilidad resumen adecuadamente los objetivos fundamentales de la seguridad de la información. Estos conceptos se utilizan en auditorias, análisis de riesgos, gestión y desarrollo de nuevos estándares. Ahora bien, estos conceptos presentan varios problemas que están sin resolver:
- Son incompletos. Hay quien complementa los tres conceptos mencionados con otros como. Posesion, Utilidad, Riesgo, Autenticación, Autorización, Auditoría, No-Repudio y Accountability. Esto implica que según qué cóctel de complemento haya elegido la persona o empresa que realiza una tarea relacionada con seguridad de la información, esta se realizará de una forma distinta (llamo a esto una variabilidad elevada). Puede que alguien no considere esto un problema. Pensar que según el médico que me toque me van a diagnosticar algo distinto, y que según el arquitecto que me toque, el edificio donde vivo durará cien años o se caerá mañana, no me parece una situación deseable. Cuando algo es realmente importante, es necesario que el trabajo se realice de la forma más consistente posible.
- Son ambiguos. Muchos profesionales e incluso estandares dan definiciones ligeramente distintas de Confidencialidad, Integridad y Disponibilidad. Esto aumenta la variabilidad, lo que no es deseable.
- No están definidos operacionalmente. Una definición operacional define un concepto mediante el proceso que se utiliza para medirlo, sin intentar definir su esencia. Al no ser definiciones operacionales, no es posible definir otros conceptos útiles como Amenazas, Incidentes, Vulnerabilidad o Debilidad en términos de Confidencialidad, Integridad y Disponibilidad, lo que incrementa la variabilidad. He visto numerosos debates en los que profesionales con años de experiencia no conseguían llegar a una acuerdo acerca de qué es un Incidente o una Vulnerabilidad. Me pregunto como puedes gestionar algo si ni siquiera lo puedes definir. Y no, una defnicion personal que sobre la que no hay un acuerdo amplio, no es válida.
- No tienen unidades de medida. Esto impide de forma cuantitativa la seguridad de la información. Sin medidas cuantitativas es imposible la optimización de recursos.
El uso de conceptos ambiguos, incompletos y que no están definidos operacionalmente crea una serie de problemas para la gestión de la seguridad de la información. La comunicación entre especialistas y el negocio es difícil. Demostrar el valor que aporta al negocio la seguridad de la información es difícil. En general nos complican la vida más que nos la simplifican. Se desperdicia tiempo, se invierte donde no tiene sentido invertir, y se deja de invertir donde se debería.
Llevo varios años hablando en artículos y presentaciones sobre esto, recientemente en la NoConName y en la reunión de la ISACA Madrid, pero quizá está crítica no tiene sentido o no tiene valor, porque no he escuchado comentarios apoyándola.
Creo que las necesidades de seguridad de un negocio no tienen porque coincidir con las marcadas por ningún estándar de cumplimiento. Mis opiniones sobre el cumplimiento normativo mejor las expresaré en otra ocasión.
Inspirado por el James Randi Foundation Challenge, que ofrece un millón de dólares a quien pruebe tener capacidades paranormales, he decidido crear el Desafío O-ISM3. Con este desafío pretendo demostrar, mediante un caso práctico, que confidencialidad, integridad y disponibilidad no son imprescindibles, y de hecho ni siquiera son necesarias para entender las necesidades de seguridad de una organización.
Afortunadamente existe una alternativa, que es la utilización de conceptos definidos operacionalmente, que no son ambiguos, no son incompletos y tienen unidades de medida Estos conceptos son los "objetivos de seguridad" de O-ISM3, un estándar que vengo promoviendo desde hace años.
Os animo a difundir estas ideas, entrar en el debate y participar en el Desafío O-ISM3.
Contribución gracias a Vicente Aceituno
