SEGURIDAD EN UNIX Y REDES

254CAPÍTULO 16. POLÍTICAS Y NORMATIVAeste control en favor de un usuario malicioso compromete la seguridad del sistema hacia elresto de usuarios.16.2 Análisis de riesgosEl término análisis de riesgos hace referencia al proceso necesario para responder a tres cuestionesbásicas sobre nuestra seguridad:• ¿qué queremos proteger?• ¿contra quién o qué lo queremos proteger?• ¿cómo lo queremos proteger?Tras conocer y evaluar los riesgos a los que nos enfrentamos podremos implementar las solucionesprácticas – los mecanismos – para minimizar sus efectos. Vamos a intentar de entrar con más detalleen cómo dar respuesta a cada una de estas preguntas:16.2.1 Identificación de recursosDebemos identificar todos los recursos cuya integridad pueda ser amenazada de cualquier forma;por ejemplo, [C + 91] define básicamente los siguientes:• HardwareProcesadores, tarjetas, teclados, terminales, estaciones de trabajo, ordenadores personales,impresoras, unidades de disco, líneas de comunicación, servidores, routers. . .• SoftwareCódigos fuente y objeto, utilidades, programas de diagnóstico, sistemas operativos, programasde comunicación. . .• InformaciónEn ejecución, almacenados en línea, almacenados fuera de línea, en comunicación, bases dedatos. . .• PersonasUsuarios, operadores. . .• AccesoriosPapel, cintas, tóners. . .Aparte del recurso en sí (algo tangible, como un router) hemos de considerar la visión intangiblede cada uno de estos recursos (por ejemplo la capacidad para seguir trabajando sin ese router). Esdifícil generar estos aspectos intangibles de los recursos, ya que es algo que va a depender de cadaorganización, su funcionamiento, sus seguros, sus normas. . . No obstante, siempre hemos de teneren cuenta algunos aspectos comunes: privacidad de los usuarios, imagen pública de la organización,reputación, satisfacción del personal y de los clientes – en el caso de una universidad, de los alumnos–, capacidad de procesamiento ante un fallo. . .Con los recursos correctamente identificados se ha de generar una lista final, que ya incluirá todolo que necesitamos proteger en nuestra organización.16.2.2 Identificación de amenazasUna vez conocemos los recursos que debemos proteger es la hora de identificar las vulnerabilidadesy amenazas que se ciernen contra ellos. Una vulnerabilidad es cualquier situación que pueda desembocaren un problema de seguridad, y una amenaza es la acción específica que aprovecha una