Cifrado

Anexo 10 - ISO 27001

Video Tutoriales Class4crypt

Iniciativa de cursos online de acceso libre por el profesor Dr. Jorge Ramió, orientados a la obtención de la certificación profesional CriptoCert Certified Crypto Analyst

Explicación orientativa

El objetivo del presente dominio es el uso de sistemas y técnicas criptográficas para la protección de la información en base al análisis de riesgo efectuado, con el fin de asegurar una adecuada protección de su confidencialidad e integridad.

La aplicación de medidas de cifrado se debería desarrollar en base a una política sobre el uso de controles criptográficos y al establecimiento de una gestión de las claves que sustenta la aplicación de las técnicas criptográficas.

El objetivo es el de proteger la confidencialidad, autenticidad o integridad de la información mediante la ayuda de técnicas criptográficas.

Las organizaciones deberían utilizarán controles criptográficos para la protección de claves de acceso a sistemas, datos y servicios, para la transmisión de información clasificada y/o para el resguardo de aquella información relevante en atención a los resultados de la evaluación de riesgos realizada por la organización.

Sería necesario el desarrollo adicional de procedimientos y asignación de funciones respecto de la administración de claves, de la recuperación de información cifrada en caso de pérdida, compromiso o daño de las claves y en cuanto al reemplazo de las claves de cifrado.

El uso de algoritmos de cifrado (simétricos y/o asimétricos) y las longitudes de clave deberían ser revisadas periódicamente para aplicar las actualizaciones necesarias en atención a la seguridad requerida y los avances en técnicas de descifrado.

Las firmas digitales proporcionan un medio de protección de la autenticidad e integridad de los documentos electrónicos y, en algunas ocasiones, podría ser necesario asesoramiento legal para establecer acuerdos especiales que respalden su uso.

10.1 Controles criptográficos

El objetivo es garantizar un uso adecuado y eficaz de la criptografía para proteger la confidencialidad, la autenticidad y/o la integridad de la información.

Riesgos asociados

Una falta de protección o control en la gestión del cir permite la materialización de potenciales amenazas, entre otras posibles, como:

- Pérdida de servicios esenciales (telecomunicaciones)

- Compromiso de información (intercepción, espionaje en remoto, robo de equipos, recuperación desde medios reciclados o deshechados, divulgación, manipulación de software, ...)

- Acciones no autorizadas (uso no autorizado de equipos, corrupción de datos, comportamientos no autorizados, procesamiento ilegal de datos, ...)

Controles del riesgo

10.1.1 Política de uso de los controles criptográficos: Se debería desarrollar e implementar una política que regule el uso de controles criptográficos para la protección de la información.

10.1.2 Gestión de claves: Se debería desarrollar e implementar una política sobre el uso, la protección y el ciclo de vida de las claves criptográficas a través de todo su ciclo de vida.

Métricas asociadas

Porcentaje de sistemas que contienen datos valiosos o sensibles para los cuales se han implantado totalmente controles criptográficos apropiados (periodo de reporte de 3 a 12 meses).

Enlaces de ayuda

Sans: Modelo de ejemplo para la redacción de políticas relacionadas con el uso de cifrado (inglés).

MXC: Soluciones de cifrado de bajo costo en cifrado y firma digital, fáciles de usar y de alta seguridad para todo el mundo, desde grandes empresas a usuarios individuales.

GNU Project: Aplicación de la norma OpenPGP como se define en RFC4880. GnuPG permite cifrar y firmar sus datos y comunicación, cuenta con un sistema de gestión de clave versátil, así como módulos de acceso para todo tipo de directorios de clave pública. La versión 2 de GnuPG también proporciona soporte para S/MIME.

Northwestern: Tabla resumen descriptiva de diversos productos disponibles y sus funcionalidades de cifrado.

MANDOSs: Mandos es un sistema que permite que los servidores con sistemas de archivos raíz cifrados puedan ser reiniciados de forma desatendida y/o remota.

Crytool: JCrypTool (JCT) es una plataforma open-source y de e-learning que permite experimentar con aspectos de cifrado en Linux, MAC OS X y Windows.

Asistente DNI: Área de guía básica desde la que se podrá descargar los programas o drivers precisos para poder operar con el DNI electrónico (España).

VeraCript: Herramienta de cifrado de medios de almacenamiento para Windows, Mac OSX o Linux.

7-Zip: Herramienta de compresión y cifrado gratuita, incluso para uso comercial para Windows, Mac OSX o Linux.

AxCrypt: Software de encriptación para Windows con aplicación en repositorios Cloud. Requiere registro y hay opciones de pago con funcionalidades avanzadas.

Letsencrypt: Autoridad de Certificación gratuita, automatizada, y abierta para habilitar HTTPS en tu página de web. Algunos de sus patrocinadores incluyen a la Fundación Mozilla, Cisco Systems y colaboradores como la Universidad de Michigan, la Escuela de leyes de Stanford y la Fundación Linux.

SSL Labs: es un servicio gratuito que califica la configuración TLS/SSL de cualquier página web, esto puede ser útil para ver rápidamente si la empresa tiene un buen manejo de la gestión de la configuración.

Bitlocker: Función de protección de datos que se integra con el sistema operativo Windows y aborda las amenazas de robo de datos o exposición de computadoras perdidas, robadas o desmanteladas de manera inapropiada.

DiskCryptor: Solución de encriptación abierta para Windows/Linux que ofrece encriptación de todas las particiones de disco, incluida la partición del sistema. El hecho de que sea una solución abierta va en marcado contraste con la situación actual, donde la mayoría del software con una funcionalidad comparable es propietaria, lo que precisamente hace que sea inaceptable su uso para la protección de datos confidenciales.

FileVault: Para entorno MAC srive para el cifrado de disco completo FileVault (FileVault 2) utilizando cifrado XTS-AES-128 con una clave de 256 bits para ayudar a evitar el acceso no autorizado a la información del disco de inicio.

AES Crypt: Software de cifrado de archivos disponible en varios sistemas operativos que utiliza el estándar de cifrado avanzado (AES) estándar de la industria para cifrar archivos de forma fácil y segura.

ENISA - Secure Group Communications for incident response and operational communities: Listado de soluciones para la comunicación de incidentes y nivel de cifrado asociado.