Un Empeño Humano Lecciones de Shakespeare y otros
Email |
¿Desea imprimir?
Regístrese ahora
Por Matt Bishop y Deborah Frincke
Hace veinte años era poco común que las universidades ofrecieran una sola asignatura en la seguridad informática, la privacidad, o el aseguramiento informático. En 2005, la Agencia Nacional de Seguridad de los EE.UU. certificó 67 establecimientos académicos como Centros de Excelencia Académica para los Estudios sobre el Aseguramiento Informático, lo cual quiere decir que ofrecían programas académicos que se enfocaban en la seguridad informática. Un amplio abanico de universidades ofrecen clases en de forensia digital, la seguridad del comercio electrónico, el derecho sobre la privacidad, las normas de certificación, tales como los Criterios Comunes, y otros temas especializados.
Un aspecto positivo de esta proliferación es que estas clases técnicas permiten que los estudiantes, que antes se esforzaban por localizar esta información, ahora sí dispongan de ella. Un aspecto negativo proviene de la creencia, demasiado común, de que la seguridad informática no es nada más que un tema técnico. Esto pasa por alto el hecho de que los aspectos técnicos de la seguridad informática radiquen en los principios fundamentales comunes a muchos campos del saber. Igual a todos los principios, los estudiantes que ven su aplicación a varias carreras aprenden a adaptarlos a diferentes situaciones y contextos – dos puntos claves para el éxito profesional. En este artículo, destacaremos las disciplinas no informáticas de importancia que los estudios de grado o postgraduados en la carrera tecnológica hoy, a menudo descuidan.
Psicología
Para empezar considere que la piedra angular de la seguridad informática son las personas. Para entenderlas habrá que volver la atención al estudio de la mente y de la conducta: la psicología. Entre sus varias aplicaciones, la psicología nos puede ayudar a determinar por qué alguien querría encontrar brechas en las defensas de un sistema. ¿Qué beneficio espera sacar? ¿Por qué está atacando este sistema o sitio en particular en vez de otro? Esto, tiene relación directa con la simulación de amenazas y con el análisis de riesgos – para determinar cuáles son los recursos que deben ser protegidos y a dónde se deben dirigir los mejores esfuerzos por desarrollar mecanismos de seguridad.
La psicología también nos puede ayudar a determinar quién tiene mayor probabilidad de ser atacado. ¿Por qué divulgan las personas sus contraseñas? ¿Cómo es que los atacantes escogen a las víctimas que suelen abrir enlaces que dicen “oferta especial” o que abren adjuntos de correo electrónico que parecen provenir de personas conocidas? Las asignaturas en la psicología cognitiva examinan cómo entienden las personas tales estímulos y cómo y por qué reaccionan así. Con el apoyo de estos conocimientos, podemos rebajar al mínimo la probabilidad de que las personas vayan a reaccionar según los deseos de los atacantes. Esto se relaciona con los tipos de control, las advertencias, las claves visuales o auditivas, y otras defensas que tienen más probabilidad de ser eficaces y los que tienen más probabilidad de fracasar.
Otra aplicación de la psicología trata de entender cómo las personas pueden abrir brecha en las defensas de un sistema. Esto nos ayudará a determinar cuáles son los mecanismos específicos de seguridad que se deberán usar. ¿Es suficiente una contraseña que se marca para fines de la autenticación, o hace falta el análisis del ADN? El principio de la aceptabilidad psicológica – que dice que los mecanismos de seguridad no deben obstaculizar el acceso más, estando presentes los mecanismos, que si estuvieran ausentes – da a entender que los mecanismos de seguridad deben ser tan poco intrusos como sean posibles. También quiere decir que deben de ser diseñados para ser servibles.
Sin entender cómo se relacionan las personas con los mecanismos, es fácil echar la culpa a los usuarios por las brechas de seguridad que en realidad provienen de las deficiencias en esos mecanismos. Un mecanismo de seguridad debe resistir a los fallos y debe responder a los que lo han configurado, informándoles de los actos que tomará. Debe detectar toda posición contradictoria o anómala, debe dar por sentado que alguien quiere abrir brecha o evadirlo, y debe advertir al administrador. A menos que todas estas características estén presentes, no se puede culpar al usuario.
El cambio de enfoque sugiere otra aplicación de la psicología: entender al atacante. ¿Cómo podemos engañar a los atacantes para que desperdicien sus esfuerzos o para que tomen medidas que permitan a los defensores averiguar lo que aquéllos están haciendo, lo que quieren, y de dónde vienen? Cliff Stoll, autoridad reconocida sobre la seguridad informática, demostró los beneficios de aplicar la psicología básica a la defensa. Engañó al atacante para que éste descargara un archivo tan grande que dejó la línea telefónica del atacante abierta por suficiente tiempo para permitir a las autoridades rastrear la llamada – la cual fue una llamada internacional.
Literatura
Como la psicología, la literatura nos enseña sobre las personas. Las necesidades humanas y sociales fundamentales – de seguridad, amor, comprensión, conocimiento y privacidad– corren por las historias y mitos de toda cultura. Y, en efecto, muchas obras que no son técnicas encierran temas que tienen aplicación directa a las cuestiones técnicas. Las piezas teatrales de Shakespeare, por ejemplo, nos dan una idea clara de la necesidad de varios mecanismos de seguridad informática. Considere Una Comedia de errores, comedia en la cual todo el mundo toma a un gemelo por el otro. ¿Hay mejor metáfora por los problemas generados por la falta de autenticación? O, también, considere Julio César como ejemplo del estudio trágico de la amenaza que plantea un confidente – el asesino de César, Brutus, que era su amigo de mayor confianza. Una escena clave en El Mercader de Venecia demuestra el efecto de la imprecisión en las especificaciones.
Volviendo nuestra atención a las obras clásicas, encontramos que La Odisea de Homero presenta el uso más notorio del “programa malicioso” – el caballo original troyano. El ardid del que se aprovechó Odiseo para persuadir a los troyanos para que introdujeran el caballo dentro de la ciudad, abriendo brecha en las murallas municipales, impenetrables hasta ese momento, las advertencias de Casandra y de Laoconte a que no prestaron atención los troyanos, y el saqueo resultante de la ciudad ofrecen un ejemplo paralelo a los métodos de los atacantes que engañan a los usuarios para llevarlos a ejecutar programas que saltan por encima de los mecanismos de seguridad, así como las repercusiones desastrosas de la confianza mal puesta.
Las obras no ficticias son otra fuente de información útil. Tenga en cuenta El Arte de la Guerra de Sun Tzu. Esta obra con más de 2500 años de edad ilustra de forma brillante las mejores prácticas para atacar y defender sistemas con sus descripciones de la planificación, del acercamiento, de las estrategias, de la táctica, y, sobre todo, de lo que se debe evitar.
En un sentido más amplio, la literatura nos puede ayudar a considerar los supuestos subyacentes y el efecto del cambio. El hombre demolido de Alfred Bester pregunta cómo, en una sociedad con telepatológicos, alguien puede cometer un asesinato que no se puede detectar. “La Máquina de la Coartada” de Larry Niven mira los aparatos de teletransporte dentro del contexto del delito. La máquina de la verdad de James Halperin presenta un mundo donde los detectores de mentiras están disponibles dondequiera que se vaya. Todas estas obras examinan los efectos perturbadores de las nuevas tecnologías y las nuevas reglas y cómo reaccionan las sociedades a ellas. Los efectos de introducir nuevas tecnologías de seguridad o de cambiar políticas y procedimientos son menos dramáticos, pero un tema común a todos ellos persiste: tenemos que considerar cómo estos cambios van a afectar a las personas y debemos reconocer que estos cambios pueden generar efectos inesperados sobre ellos.
Otros temas
Junto con los aparatos del teléfono y el facsímile, el Internet ha desencadenado una revolución en la diseminación de conocimientos, y las sociedades están luchando por hacer frente a ese nuevo sistema mundial y con las cuestiones de seguridad y privacidad que éste presupone. Las perspectivas sobre este tema varían mucho con respecto a las múltiples jurisdicciones políticas a las que llega la red informática. A pesar de ello, ¿cuántos estudiantes se titulan con algo más que una comprensión superficial de los efectos prácticos de estas perspectivas diferentes? Las asignaturas sobre la ciencia política pueden ayudar a los estudiantes a entender las diferencias entre culturas y a prepararlos mejor para formular soluciones que tendrán una amplia acogida. Por ejemplo, las diferencias culturales entre los Estados Unidos, Francia y China, con respecto a la protección de la “privacidad”, tienen repercusiones enormes para los tipos de defensas, la auditoría, y las normas que corresponden al desarrollo económico – sobre todo cuando se extienden más allá de las fronteras nacionales. Es difícil conservar el respeto por las costumbres locales, a la vez que se apoya la interacción a nivel mundial, y lo más probable es que esta cuestión se haga aún más compleja –el tema si la interconectividad se ha convertido en una necesidad humana básica es una cuestión existencial para el siglo actual.
Para hacer frente a los desafíos de los riesgos y del análisis de costos/beneficios sociales, los estudiantes en la tecnología pueden sacar mucho provecho de las asignaturas en la económica y los negocios. Por ejemplo, ¿cuánto cuesta en realidad a un campus universitario enseñar a todos los estudiantes entrantes de primer año a instalar y mantener la protección más actualizada contra virus en sus computadoras portátiles? ¿Cuánto cuesta dejar de hacerlo? ¿No es más economizante repartir copias gratuitas de programas informáticas de antivirus a los estudiantes entrantes o hacer cumplir una política, que exige que los programas informáticos de antivirus estén actualizados antes de que conecten sus computadoras a los sistemas en el campus universitario? Es difícil determinar los costos comerciales de la seguridad de por sí, mucho menos computarlos y hacer que las personas se pongan de acuerdo sobre las cuestiones, como si se debe nde incluir los salarios de los administradores de sistemas y del personal en la mesa de apoyo técnico a base de las horas realmente trabajadas, o si sería mejor excluir dichos salarios porque ese personal iba a cobrarlos el dinero de todas formas.
Esto demuestra la necesidad de la capacidad para persuadir. Son raras las veces que los analistas de seguridad simplemente deciden que hay que poner en marcha un mecanismo o una política de seguridad y que luego exijan que se haga. Por lo normal, tienen que convencer a los de la gerencia que existe una necesidad de tal cambio. Esto quiere decir que tienen que presentar motivos comerciales que lo justifiquen – demostrar que el costo de dejar de hacerlo es mayor que el costo de ponerlo en marcha – lo cual exige conocimientos comerciales, así como la capacidad para analizar alternativas, para expresar información en forma escrita, y para hacer presentaciones públicas. Estas destrezas caen dentro del dominio del inglés como idioma y la retórica (o sea, el arte del bien decir ante el público) – dos materias más que valen la pena de estudiar en la carrera tecnológica.
Podría decirse que esto nos lleva al aspecto no técnico de mayor importancia de la formación del estudiante en la seguridad informática: el estudio del trabajo en equipo y la dinámica de equipos. Aunque ya se considera una disciplina fundamental en la sociedad moderna, a menudo salta por encima de esta materia o, cuanto más, se enseña simplemente por organizar a los estudiantes en grupos, diciéndoles que colaboren en el mismo proyecto. Dos problemas interrelacionados a menudo se plantean con esta perspectiva: algunos miembros del equipo se encargan de la mayor parte del trabajo, mientras los otros se descuidan de sus responsabilidades, creyendo (o sabiendo) que los demás miembros del equipo compensarían por su ausencia, para evitar que todos sufran. Una asignatura que imparte un maestro que sabe bien organizar a los equipos y a enseñar a los miembros a colaborar es de alto valor. Puede que sea muy útil para que los estudiantes de seguridad participen en los deportes de equipo porque los buenos entrenadores están muy diestros en ese aspecto.
Y, por fin, la seguridad informática tiene que ver más con las personas que con las computadoras y la información. Las soluciones sobre la seguridad que dejan de tener en cuenta la naturaleza humana quedan predestinadas al fracaso. Hemos podido tocar solamente unas cuantas áreas de investigación que no son técnicas con aplicación directa a la seguridad informática y computacional. Muchas otras disciplinas también ofrecen lecciones igualmente pertinentes, pero el espacio aquí impide que hablemos de todas ellas. Tanto los estudiantes tradicionales como los de la educación profesional contínua pueden ampliar el horizonte más allá de los libros de última novedad sobre la seguridad de redes para abarcar otras posibilidades de igual importancia pero menos obvias.
Matt Bishop es miembro del Instituto de Ingenieros Eléctricos y Electrónicos [IEEE] y profesor de ciencia informática en la Universidad de California, Davis. Para comunicarse con él, diríjase al bishop@cs.ucdavis.edu
Deborah Frincke es miembro del Instituto de Ingenieros Eléctricos y Electrónicos [IEEE] y científica principal del Grupo de Seguridad Cibernética del Laboratorio Nacional del Pacífico del Noroeste. Para comunicarse con ella, diríjase al deborah.frincke@pnl.gov
Para informarse en mayor detalle sobre el Instituto de Ingenieros Eléctricos y Electrónicos, favor de visitar al www.ieee.org
