Actas Cibsi2017 UBA-1

IX Congreso iberoamericano
de seguridad informática
Universidad de Buenos Aires
Ciudad Autónoma de Buenos Aires, Argentina
1 al 3 de noviembre de 2017
Libro de Actas POSGRADO EN SEGURIDAD

INFORMATICA
Actas del IX Congreso Iberoamericano de Seguridad Informática
CIBSI2017, Buenos Aires, Argentina, 1 al 3 de Noviembre de 2017
Editores
Alberto E. Dams
Hugo A. Pagola
Luis E. Sánchez Crespo
Jorge Ramió Aguirre
Diseño de Tapas
Federico Dams
ISBN: 978-950-23-2811-9
©2017
Facultad de Ingeniería, Universidad de Buenos Aires, Argentina
Prefacio
Del 1 al 3 de Noviembre se celebró en la Universidad de Buenos Aires el IX Congreso
Iberoamericano de Seguridad Informática - CIBSI 2017. El congreso está organizado por la
Maestría en Seguridad Informática de la UBA en colaboración con la Red Temática Iberoamericana
de Criptografía y Seguridad de la Información Criptored.
Este espacio permitió a las empresas, entidades públicas, entornos militares, de defensa, centros
académicos y de investigación exponer sus avances y servicios vinculados con la seguridad,
facilitando el intercambio de conocimientos y la formación de redes de colaboración en este ámbito.
Participaron especialistas de Latinoamérica y de Europa. Entre otros de Argentina, Brasil,

Colombia, Ecuador, México, Perú, Uruguay, España y Francia. En esta novena edición del CIBSI,
se destacan las presencias de referentes internacionales en la materia como Hugo Scolnik Director
de la Maestría en Seguridad Informática de la UBA y Hugo Krawczyk Distinguished Research Staff
Member with the Cryptography Group at the IBM T.J. Watson Research Center.
Organización de la Conferencia
Comité Organizador
Hugo Pagola, Facultad de Ingeniería Universidad de Buenos Aires, Argentina
Alberto Dams, Facultad de Ingeniería Universidad de Buenos Aires, Argentina
Jorge Ramió Aguirre, Universidad Politécnica de Madrid, España
Luis E. Sánchez Crespo, Universidad de Castilla La Mancha, España
Comité Local
Facundo Caram, FIUBA, Argentina
Luis Catanzariti, UTNfrba, Argentina
Marcia Maggiore, MUBA, Argentina
Patricia Prandini, MUBA, Argentina
Comisión de Posgrado Maestría en Seguridad Informática UBA

Mg Ing Alberto Dams, Maestría en Seguridad Informática UBA, FIUBA, Argentina
Dr Pedro Hecht, Maestría en Seguridad Informática UBA, Argentina
Ing Hugo Pagola, Maestría en Seguridad Informática UBA, FIUBA, Argentina
Dr Ricardo Rivas, Maestría en Seguridad Informática UBA, FCE-UBA Argentina
Dr Raul Saroka, Maestría en Seguridad Informática UBA, FCE-UBA Argentina
Dr Hugo Scolnik, Maestría en Seguridad Informática UBA, FCEN-UBA Argentina
Comité del Programa
Marco Aurelio Amaral Henriques State University of Campinas - Unicamp, Brasil

Javier Areitio Universidad de Deusto, España
Rodolfo Baader Universidad de Buenos Aires, Argentina
Gustavo Betarte Facultad de Ingeniería, Universidad de la República, Uruguay
Carlos Blanco Bueno Universidad de Cantabria, España
Joan Borrell Universitat Autònoma de Barcelona, España
Pino Caballero-Gil DEIOC, Universidad de La Laguna, España
Jeimy Cano Universidad del Rosario, Colombia
Eduardo Carozo Universidad de Montevideo, Uruguay
Joan-Josep Climent Universitat d'Alacant, España
Roger Clotet Universidad Simón Bolívar, Venezuela
Alberto Dams Universidad de Buenos Aires, Argentina
José María De Fuentes Universidad Carlos III de Madrid, España
Josep Domingo-Ferrer Universitat Rovira i Virgili, España
José-Luis Ferrer-Gomila University of the Balearic Islands, España
Angélica Florez Abril Universidad Pontificia Bolivariana, Colombia
Walter Fuertes Universidad de las Fuerzas Armadas ESPE, Ecuador
Amparo Fuster-Sabater Institute of Applied Physics, Madrid, España
Giovana Garrido Universidad Tecnológica de Panamá
Lorena González Manzano Universidad Carlos III de Madrid, España
Juan Pedro Hecht Universidad de Buenos Aires, Argentina
Luis Hernández Encinas Institute of Physical and Information Technologies, España
Emilio Hernández Universidad Simón Bolívar, Venezuela
Leobardo Hernández Universidad Nacional Autónoma de México
Jordi Herrera Universitat Autònoma de Barcelona, España
Mónica Karel Huerta Universidad Politécnica Salesiana, Ecuador
Ángel Martin Del Rey Universidad de Salamanca, España
María Vanina Martínez Universidad Nacional del Sur in Bahía Blanca, Argentina
Vincenzo Mendillo Universidad Central de Venezuela
Gaspar Modelo-Howard Universidad Tecnológica de Panamá
Raúl Monge Universidad Técnica Federico Santa María, Chile
Karel Huerta Mónica Universidad Politécnica Salesiana, Ecuador
Guillermo Morales-Luna Centro de Investigación y Estudios Avanzados, Mexico
Alfonso Muñoz Criptored, España
Hugo Pagola UBA - Facultad de Ingeniería, Argentina
Graciela Pataro Universidad de Buenos Aires, Argentina
Alberto Peinado Universidad de Málaga, España
José Pirrone Universidad Católica Andres Bello, Venezuela
Gustavo Presman Universidad de Buenos Aires, Argentina
Jorge Ramio Universidad Politécnica de Madrid, España
Ricardo Rivas Universidad de Buenos Aires, Argentina
David Rosado University of Castilla-La Mancha, España
Luis Enrique Sánchez Crespo Universidad de Castilla La Mancha, España
Antonio Santos-Olmo Parra Sicaman Nuevas Tecnologías
Raul Saroka Universidad de Buenos Aires, Argentina
Hugo Scolnik Universidad de Buenos Aires, Argentina
Pablo Silberfich Universidad de Buenos Aires, Argentina
Jenny Torres Escuela Politécnica Nacional, Ecuador
Urko Zurutuza Mondragon University, España
Índice de artículos
Best security practices in software engineering with Essence 1
Francisco Arellano Méndez, Ma. Guadalupe Ibarguengoitia González, Mario
Piattini y David G. Rosado
Privacy by Design: de la abstracción jurídica a la práctica ingenieril 12
Flavia Badalán, Gustavo Betarte, Alejandro Blanco, Cecilia Montaña, Bárbara
Muracciole y Beatriz Rodríguez
Methodology to evaluate security in the Moodle platform 21
Alexander Barinas, Claudia Rodríguez y Helena Alemán
The NSA Surveillance Capabilities According to the Snowden Documents 26
Rafael Bonifaz
Riesgo y seguridad. Un continuo de confianza imperfecta 34
Jeimy Cano
Ataques de correlación sobre un LFSR vistos como un problema de decodificación por síndrome 40
Sara D. Cardell, Joan-Josep Climent y Alicia Roca
RISMATT: Sistema de gestión de riesgos tecnológicos, orientado a pequeñas y medianas empresas 45
Felipe Andrés Corredor Chavarro, Diego Izquierdo y Brayan Pineros
Proposal for creating the Colombian National Cyber security Observatory 53
Angélica Flórez Abril, Lenin Serrano, Alba Soraya Aguilar Jiménez, Luis Eduardo
Suárez, Alejandro Villarraga y Hugo Rodríguez
Generación de valores intermedios de forma paralela en ataques DPA 67
Alberto Fuentes Rodríguez, Luis Hernández Encinas, Agustín Martín Muñoz and
Bernardo Alarcos Alcázar
Security analysis of the device-stored data generated by Instant Messaging applications in Android devices 75
Víctor Gayoso Martínez, Luis Hernández Encinas, Agustín Muñoz y Marta Mojica López
Proposal of a non-invasive universal data audit methodology 83
Cintia V. Gioia, Jorge E. Eterovic y Aldo S. Igarza
Algoritmo de Detección de Fuga de Información aplicando Búsqueda kNN en Comportamientos de 91
Usuario
César Byron Guevara Maldonado y Janio Lincon Jadán Guerrero
SIIA: Sistema Integral de Inteligencia de Amenazas Aplicado al Cyber Dominio 99
Leobardo Hernández y Carlos Ayala
Post-Quantum Cryptography: An Elementary y Compact Key Exchange Scheme 111
Based on Octonions
Jorge Kamlofsky, Juan Hecht y Samira Abdel Masih
A Graph Approach to Improve Crimeware Analysis y Classiffication 118
Jorge Kamlofsky y Jorge Mieres
Using the PCAP library for anonymous communication using frame diffusion in GNU 124
Linux environments
Diego Leon, David Guevara, Franklin Mayorga y Ernesto Jiménez
Towards a Conceptual Model for Establishing a National Cybersecurity Strategy 130
Cícero Lisboa y Leonardo Lemes
SMiLeModel: A Model for the Secure Migration of Legacy Systems to Cloud Computing 144
Luis Marquez, David G. Rosado, HaralambosMouratidis y Eduardo
Fernandez-Medina
Performance Evaluation of a AΩ’ Consensus Algorithm in an Anonymous 154
Asynchronous System in different GNU/LINUX distribution
Rubén Nogales, Clay Aldás, David Guevara, Alberto Ríos y Ernesto Jiménez
Analysis of the Structural Model of the Cyber security Observatory using System 162
Dynamics
Diego Parada Serrano, Angélica Flórez Abril y Urbano Gómez Prada
Practical Guide To Implement An Academic Computing Security Incident Response 173
Team (Academic CSIRT)
Mario Ron, Rodrigo Vázquez, Nicolás Macía, Einar Lanfranco y Javier Díaz
Seguridad de la seguridad, un método empírico 188
Rossenbach
Windows Malware: Traces in the Host 199
Gonzalo Ruiz De Angeli, Juan Ignacio Alberdi, Bruno Constanzo, Hugo Curti and
Ana Haydée Di Iorio
Mitigación de DDoS en redes académicas e IXPs 207
Alejandro Sabolansky, Nicolás Macia, Paula Venosa, Einar Lanfranco y Francisco
Javier Díaz
Proceso para generación de análisis de riesgo de bajo coste utilizando los patronesreutilizables de 214
MARISMA
Luis Enrique Sánchez Crespo, Antonio Santos-Olmo Parra, Sara Camacho Estrada,
Ismael Caballero y Eduardo Fernández-Medina
Proceso para mantenimiento dinámico de un análisis de riesgos utilizando MARISMA 229
Luis Enrique Sánchez Crespo, Antonio Santos-Olmo Parra, Sara Camacho Estrada,
David G. Rosado y Eduardo Fernández-Medina
Proceso para generación de patrones de gestión de la seguridad reutilizables utilizando MARISMA 244
Antonio Santos-Olmo Parra, Luis Enrique Sánchez Crespo, Sara Camacho Estrada,
Esther Álvarez y Eduardo Fernández-Medina
Herramientas digitales de fuentes abiertas para la investigación criminal 259
Christian Javier Vila Toscano
Synced Hash-Based Signatures: Post-Quantum Authentication in a Blockchain 265
Santi Vives
Auditorias de Seguridad de información como estrategia pedagógica y factor integradorde la academia con 273
el sector productivo
Felipe Andrés Corredor Chavarro y Diana Cristina Franco Mora
Formación en ciberseguridad en los ámbitos de grado y postgrado en la Universidad Nacional de 280
La Plata
Francisco Javier Díaz, Lía Molinari, Paula Venosa, Einar Lanfranco, Nicolás Macia
and Alejandro Javier Sabolansky
eMarisma: Aplicación práctica en la asignatura de Seguridad de Sistemas Software 286
David G. Rosado, Luis Enrique Sánchez Crespo, Antonio Santos-Olmo Parra, Ismael
Caballero y Eduardo Fernández-Medina
Capture the Flag for Computer Security Learning 300
William R. Marchand, Edwin Vega y José Santillan
Challenges and proposals on information security education 304
Federico Pacheco
Seminario de Seguridad de la información como mecanismo de enseñanza,profundización y divulgación de 312
la seguridad de la información.
Claudia Patricia Santiago Cely
Francisco Arellano Méndez, Ma. Guadalupe. E. Ibargüengoitia González, Mario Piattini, David G. Rosado
Best security practices in software engineering with

Essence
Francisco Arellano Méndez Mario Piattini
Ma. Guadalupe. E. Ibargüengoitia González David G. Rosado
National Autonomous University of Mexico University of Castilla-La Mancha
franciscoarellanomendez@gmail.com {mario.piattini, David.GRosado}
gig@ciencias.unam.mx @uclm.es
Abstract- At present, it is recurrent to see news about failures of actuales bajo el precepto de entregar más calidad en menos
security of computer systems. As a result, frameworks and standards tiempo. Todo ello se puede conseguir al hacer la planeación
have been developed that help to incorporate security into inicial del proyecto incluyendo medidas para mejorar la
development processes, but most of them are complex to implement.
seguridad, ya que ésta no es un aspecto añadido al proyecto,
The main contribution of this work is "Essence Sec", a proposal that
allows the inclusion of security in the development making use of sino es la sumatoria de personas, procesos y tecnología. Por tal
Essence processes and the main security frameworks and standards motivo los involucrados deberían incluir en sus procesos de
for system development. It provides a vision with the principles of desarrollo temas de seguridad con la finalidad de solucionar
security to consider when carrying out a software project without esta problemática [2], [3].
radically altering its way of working.
En la actualidad se cuenta con una variedad de marcos y
Index Terms— Information Systems Security, Information
estándares [7] – [15] que permiten la incorporación de la
systems security methods, Development of Secure Systems.
seguridad en alguna medida dentro de los procesos de
Ingeniería de software con la finalidad de reducir estados
I. INTRODUCCIÓN viciados en la creación de un sistema. Todos ellos tienen
diferentes perspectivas para su implementación debido a que a
A ctualmente, dada la diversidad de proyectos y la
penetración que tienen las tecnologías de la información
en toda la sociedad, es común observar que los fallos de
sus funciones y practicas se adicionan ciertas áreas del ciclo de
vida sin que se tenga que modificar todo el proceso.
seguridad por parte de los Sistemas de Información (SI), toman
El desarrollo de software por parte de organizaciones se
relevancia y tienen un papel crítico en la economía mundial. Lo
que se traduce en que los sectores públicos y privados brinden realizan sin tener en consideración la preservación de la
un abanico de propuestas que pueden ser tomadas como seguridad informática dentro de sus procesos en el ciclo de
referencia en procesos para la evaluación y mejora de la vida, lo que ocasiona que al menos el 80% de las aplicaciones
seguridad de los sistemas. Sin embargo, a pesar de que creadas sufran vulnerabilidades graves, lo que provoca tener la
actualmente se cuenta con esa variedad de marcos y estándares información a expensas de cualquier atacante [2].
para la incorporación de la seguridad a la Ingeniería de
Software [7] – [15], éstos no son adoptados por parte de las Por tal motivo, se tiene interés en proporcionar una propuesta
organizaciones e independientes que desarrollan software por que permita a cualquier organización incluir temas de seguridad
múltiples factores ya sean humanos, ideológicos o monetarios. dentro del proceso de desarrollo de software. Al realizar una
revisión sistemática de las diferentes propuestas sobre enfoques
Sin embargo, cabe mencionar que no por el hecho de de desarrollo en donde se podría realizar la inclusión de la
implementar alguna de estas propuestas se resolverán todos los seguridad se optó por la Esencia [4],[5], debido en primer lugar
problemas, ya que ninguno es la “panacea” o provee una a que es un estándar del Object Management Group (OMG)
solución completa a la seguridad para todos los procesos dentro aprobado en 2014 que brinda los conceptos principales que
del ciclo de vida del desarrollo del SI ya que su misión es el tienen en común todos los desarrollos de software a través de
brindar una salvaguarda hasta los niveles mínimos aceptables un lenguaje común, permitiendo aplicarse a cualquier tipo de
que se plantee la organización [1]. desarrollo de software, así mismo permite representar mediante
sus elementos en el núcleo otras metodologías que se crean
Para lograr el objetivo de tener software seguro, las necesarias de incorporar de acuerdo a las necesidades del
organizaciones deberían incluir en sus procesos de desarrollo proyecto, brindando una propuesta sostenible y escalable [6].
medidas proactivas de seguridad que permitan brindar a sus
clientes, y a sí mismos, la certeza de la correcta preservación de En la presente investigación se propone la adición de
su información. Si ello se realiza de una forma no invasiva a sus aspectos de seguridad a la Esencia [4], que permitirá crear
procesos, se podrían incluir paulatinamente aspectos de sistemas robustos y con mejor tolerancia a fallos de seguridad.
seguridad, sin que se afecte la productividad, y a la larga En primer lugar, se creó un marco común de los aspectos de
permitir su inclusión y aceptación por parte de los interesados seguridad que son indispensables considerar en cualquier
en el desarrollo del sistema, logrando satisfacer las demandas desarrollo, tomando en consideración las diferentes propuestas
1
IX Congreso Iberoamericano de Seguridad Informática
de marcos y estándares que se encuentran disponibles. mantenimiento del software y aumentar la fiabilidad del
Posteriormente estos conceptos de seguridad se incorporarán a software en relación con errores relacionados con la seguridad
la Esencia siguiendo su filosofía, completando las listas de del software. Implementar Microsoft SDL implica la
control de algunos estados de las alfas, agregando espacios de modificación de los procesos de la organización de desarrollo
actividades para complementar la visión de seguridad y en de software mediante la integración de medidas a lo largo de
aquellos casos que se requiera la adicion de sub-alfas. todo el proceso de desarrollo que conducen a la mejora de la
seguridad del software, las cuales se agrupan en siete fases:
Este artículo se organiza de la siguiente forma: en la sección capacitación, requisitos, diseño, implementación, verificación,
II se presentan los trabajos que tienen relación con la presente liberación y respuesta. La figura 1 muestra las actividades clave
investigación tanto desde la perspectiva de seguridad, como de en Microsoft SDL.
Ingeniería de software. A continuación, en la sección III se
muestra la descripción general de la Esencia para tener un Formación
panorama de su forma de trabajar, y una vez teniendo las bases Requisitos
de la investigación, se presenta en la sección IV la propuesta, la Diseño
cual incluye una descripción de la armonización de modelos y Implementación
estándares de seguridad realizada con la integración en la Verificación
Esencia de estos conceptos de seguridad. Finalmente, se Lanzamiento
expresan las conclusiones en la sección V y las fuentes Respuesta
consultadas para la realización de la presente investigación.
Figura 1 "Ciclo de vida de Microsoft SDL"
II. TRABAJOS RELACIONADOS C. The Building Security In Maturity Model (BSIMM ) [9]
El modelo empezó como resultado de un estudio de análisis
Para la presente investigación se realizó una revisión del
realizado por varias empresas líderes en el desarrollo de
estado del arte de las principales propuestas que actualmente se software que estaban interesadas en implementar iniciativas de
utilizan por parte de las organizaciones para la inclusión de la seguridad a sus procesos de desarrollo. Tiene como objetivo
seguridad en el desarrollo de SI, con base en diferentes aspectos desarrollar un modelo de madurez. Adoptarlo suele ser lento
como lo es la institución que lo promueve, años de creación y debido al proceso de cambio que debe de realizarse, por lo que
actualización, aceptación y utilización por parte de industria, BSIMM proporciona una manera de evaluar el estado de las
etc. Este trabajo concluye que se cuentan con diversas organizaciones, definir qué cambios deben ser priorizados y
propuestas a implementar a diferentes niveles y áreas del demostrar el progreso obtenido. Como se ve en la figura 2,
desarrollo; dando como resultado la selección de las siguientes contiene 12 prácticas que están divididas en 4 dominios:
propuestas: Gobierno, Inteligencia, SSDL Touchpoints y desarrollo. En
conjunto suman un total de 113 actividades que miden el nivel
• ISO 27001 de seguridad dentro del proceso de desarrollo.
• SAMM
• BSIMM • 1 Estrategia y Métricas (SM)
• Métrica 3 Gobierno • 2 Política y Cumplimiento (CP)

• 3 Entrenamiento (T)
• Microsoft SDL
• 4 Modelos de ataque (AM)
• CISQ / ISO 25010 Inteligencia • 5 Diseño y caracteristicas de seguridad (SFD)
• Common Criteria • 6 Estandares y Requisitos (SR)
• NIST SDLC • 7 Análisis de la arquitectura (AA)

SSDL Touchpoints • 8 Revisión del código (CR)
• 9 Test de seguridad (ST)
A continuación se presentan estos modelos y estandares:

• 10 Pruebas de penetración (PT)
Desarrollo • 11 Entorno del software (SE)
• 12 Gestión de configuraciones y vulnerabilidades (CMVM)
A. ISO/IEC 27001 [7]
La ISO/IEC 27001 es una norma de seguridad de la Figura 2 "Estructura general de BSIMM"
información que especifica los requisitos para establecer,
implementar, operar, monitorear, revisar, mantener y mejorar D. The Software Assurance Maturity Model (SAMM) [10]
un Sistema de Gestión de Seguridad de la Información El Open Web Application Security Project (OWASP) es una
documentado (SGSI) así como los requisitos para la gestión de comunidad en línea que crea libremente artículos disponibles,
la implementación de los controles de seguridad. metodologías, documentación, herramientas y tecnologías en el
campo de la seguridad de aplicaciones web. Creó el “Software
B. El ciclo de vida de desarrollo de seguridad de Microsoft Assurance Maturity Model” (SAMM), el cual es un marco
(Microsoft SDL) [8] utilizable para ayudar a las organizaciones a formular e
Es un proceso de desarrollo de software utilizado y propuesto implementar una estrategia de seguridad en aplicaciones para
por Microsoft desde el 2002, para reducir los problemas de los riesgos existentes. La base de este modelo está construida
seguridad y resolver las vulnerabilidades de seguridad de alrededor de cuatro funciones de negocio relacionadas al
manera oportuna permitiendo reducir los costes de desarrollo de software, que a su vez incluyen una serie de
2
prácticas de seguridad relacionadas a cada función. Se pueden cumplir los objetivos identificados en términos de calidad,
observar en la Figura 3. coste y plazos. Adicionalmente contiene cuatro interfaces
Para estas prácticas se definen tres niveles de madurez como complementarias al proceso base: Aseguramiento de la calidad,
objetivos con la finalidad de implementarse de menos a más con seguridad, gestión de configuración y gestión de proyectos. De
la visión de ir optimizando el proceso paulatinamente lo que ellas se hace uso de la Interfaz de seguridad cuyo objetivo es el
conlleva a la reducción de estados viciados en la creación del incorporar en los sistemas de información mecanismos de
nuevo sistema. seguridad adicionales a los que se proponen en la propia
metodología, asegurando el desarrollo de cualquier tipo de
Desarrollo de
software
sistema a lo largo de los procesos que se realicen para su
obtención.
Gobierno Construcción Verificación Implementación

H. NIST Information Security [15]
Administración
“Security Considerations in the System Development Life
Estrategia y Evaluación de la Revisión de
metricas amenaza diseño
de Cycle”
vulnerabilidades
El National Institute of Standards and Technology (NIST)
Política y Requisitos de Revisión de Fortalecimiento Publicación Especial (SP) 800-64, fue desarrollado con la
cumplimiento seguridad código del ambiente
finalidad de ayudar a las agencias del gobierno federal de
Estados Unidos a integrar procesos de seguridad al ciclo de
Educación y
orientación
Arquitectura de
seguridad
Pruebas de
seguridad
Habilitación
operativa
vida del desarrollo de sistemas. Esta directriz se aplica a todos
los sistemas de información federales. Pretende ser un recurso
Figura 3 "Estructura general de SAMM" de referencia en lugar de un tutorial y debe implementarse junto
con otras publicaciones del NIST según requiera el proyecto.
E. Common Criteria (CC) [11]
La directriz describe los roles y responsabilidades clave de
Common Criteria (CC) es una norma internacional (ISO /
seguridad que se necesitan en el desarrollo de la mayoría de los
IEC 15408) para la seguridad informática. Su objetivo es
permitir a los usuarios especificar sus requisitos de seguridad, sistemas de información y, en segundo lugar, proporciona
permitir a los desarrolladores especificar los atributos de información para permitir que una persona entienda la relación
seguridad de sus productos y permitir a los evaluadores entre la seguridad de la información y el ciclo de vida del
determinar si los productos realmente cumplen con ambos. software.
Además, presenta requisitos para la seguridad de TI de un III. LA ESENCIA

producto o sistema bajo distintas categorías de requerimientos
funcionales y requisitos de aseguramiento. Los requisitos LaEsencia [4],[5] es un estándar de la OMG que define los
funcionales de CC definen el comportamiento de seguridad conceptos principales que tienen en común todos los desarrollos
deseado. Los requisitos de garantía son la base para ganar de software que en conjunto forman un método, ciclo de vida,
confianza en el hecho de que las medidas de seguridad proceso e incluso filosofía por lo que puede aplicarse a
solicitadas son efectivas e implementadas correctamente. cualquier tipo de desarrollo de software. Permite incorporar
prácticas profesionales de desarrollo ágil y tener gobernabilidad
en la organización sobre todos sus procesos.
F. CISQ [12]
El “Consortium for IT Software Quality” es un grupo
El núcleo de la Esencia proporciona los elementos comunes
comprometido a definir un estándar de métricas automatizables
para, entre otros aspectos, comparar métodos y ayudar en la
para medir la calidad y el tamaño del SW, con el objetivo de
toma de decisiones sobre prácticas a usar. Se organiza en tres
disminuir riesgos y costes, el cual en creo CISQ, una
áreas de interés, cada una enfocada a un aspecto especifico de
especificación para automatizar la medición de cuatro
la Ingeniería de software: cliente, solución y esfuerzo (Figura
características de calidad de software: Fiabilidad, Eficiencia de
4).
Rendimiento, Seguridad y Mantenimiento. De ellas este
artículo tomará como referencia la característica de Seguridad.
• Cliente
En esta área se revisa todo lo relativo a quien solicita el
La cual se encarga de brindar una solución para la protección
software, al uso actual y la explotación del sistema de
de 6 aspectos esenciales en la seguridad como lo es: La
software a producir.
confidencialidad, integridad, no repudio, autenticidad,
• Solución
responsabilidad y conformidad. Esto se logra gracias a la
En esta área se revisa lo relativo a la especificación y el
revisión de 19 características que se deben de cubrir a través de
desarrollo del sistema de software
20 reglas establecidas.
• Esfuerzo
G. Métrica 3 [13], [14] En esta área se revisa lo todo lo relativo al equipo y la
Ofrece un instrumento para la sistematización de actividades manera como ellos se enfocan en su trabajo
que dan soporte al ciclo de vida del software con la finalidad de
3
Competencias
Son las habilidades, capacidades, realizaciones,
conocimiento y destrezas necesarias para hacer una cierta clase
de trabajo. Estas competencias contienen una secuencia de
niveles que varían desde un nivel mínimo a uno máximo.
Típicamente, los niveles varían desde 0 (asistir) hasta 5
(innovar).
Figura 4 "Estructura General de los Alfas"
Cada área tiene Alfas, Espacios de Actividades y

Competencias específicas. A continuación se presentan estos
conceptos.
Alfa Figura 6 "Estructura General de Essence"

Se puede definir como la representación de las cosas
Tambien cabe resaltar que la Esencia cuenta con una serie de
esenciales para trabajar al desarrollar software; provee una
Anexos que le permiten adicionar aspectos que no se
descripción de la clase de cosas que un equipo debe gestionar,
consideraron como esenciales en los desarrollos de software.
usar y producir en cualquier esfuerzo de desarrollo de software. En la presente investigacion se hace uso del Anexo A
“Extensiones opcionales al Kernel”, este permite incluir
Un alfa representa un indicador crítico de lo que es prácticas que el Kernel no consideró o se presentan desde una
importante para monitorear y seguir una línea de progreso. perspectiva abstracta. Una de las formas para hacer uso de la
Cada Alfa contiene una serie de Estados independientes que Extensión del Kernel es el uso de Sub-Alfas, las cuales
deben ser cubiertos para cumplir con ella. A su vez los Estados permitan expresar el accionar de un Alfa a bajo nivel.
contienen una lista de control donde se especifica a detalle lo
que las actividades deben cumplir para que se alcance con éxito La Esencia incorpora algunos aspectos de seguridad dentro de
el estado (Figura 5). Cabe mencionar que la Esencia cuenta con sus actividades como lo es en el Alfa de Sistema de Software
7 alfas principales que son: Interesados, Oportunidad, en el Estado de “Con arquitectura seleccionada” al establecer la
Requisitos, Sistema de Software, Trabajo, Forma de trabajo y búsqueda de una arquitectura que permita combatir los riesgos
Equipo, donde cada una tiene sus respectivos estados y lista de técnicos clave, así como la definición de criterios para la
control . selección de la misma. Pero no se establece de manera regular
dentro de los demás Estados de las Alfas.
Por lo que se requiere extender la Esencia con aspectos de

seguridad, con la finalidad de que las organizaciones y la
academia puedan incorporarla desde el inicio de sus procesos
permitiendo tener software con mayor calidad.
IV. PROPUESTA
Figura 5 "Composición del Alfa" Para la realización de la propuesta de investigación se
presenta en primer lugar, la armonización de los diversos
Asi mismo, la Esencia cuenta con dos elementos que forman marcos y estándares de seguridad, realizada con la finalidad de
parte de su Estructura Genetal que son: Espacios de Actividades conocer las similitudes y diferencias que tienen, así como
y Competencias, mismas que pueden ser observadas en la figura obtener un marco común para su posterior implementación en
6. A continuación se describe sus caracteristicas: la Esencia, el cuál es el siguiente punto de la investigación, la
integración de la Esencia con esos marcos y estándares de
Espacios de actividad seguridad, donde primero se revisó una implementación ya
Complementan a las Alfas, estas proporcionan un conjunto realizada “Métrica 3” para conocer en qué áreas de la ingeniería
de actividades esenciales que normalmente se hacen en de software se había colocado los aspectos de seguridad para
Ingeniería de software. posteriormente presentar la incorporación de una guía con la
Esencia.
4
Finalmente se realizó la integración de los aspectos de Gobierno SG

seguridad de los marcos y normativas de seguridad Construcción SC
identificadas anteriormente con la Esencia, formando Essence- Verificación SV
Sec. Implementación SI
A. Armonización Donde se definen para cada una la Inicial de SAMM seguida de

La heterogeneidad de los marcos anteriores, sumada a las la inicial de cada función. Seguidamente las funciones cuentan
peculiaridades de cada organización, hace que la definición de con sus respectivas prácticas, por ejemplo, Gobierno tiene tres
un marco único o universal sea difícil de estructurar. Con el que son:
objetivo de desarrollar y satisfacer las necesidades de un
proyecto es necesario proveer un mecanismo, que de manera Gobierno SG
sistemática facilite la gestión e implementación de las técnicas Estrategia y métricas S G-EM
y/o métodos para la armonización de marcos. El propósito de Política y cumplimiento S G-PC
esta investigación es proponer una armonización de las Educación y orientación S G-EO
diferentes propuestas de inclusión de la seguridad en el
desarrollo de software, que permita identificar y definir Y ellas a su vez contienen ciertos niveles o características a
estrategias esenciales necesarias que conduzcan a su cumplir para lograr satisfacer las prácticas y éstas se señalan
implementación dentro del ciclo de vida del desarrollo de con un número consecutivo posterior al Id de la función a la que
software. corresponde, por ejemplo “Estrategia y métricas” contiene 2
que son:
El objetivo general de la armonización para esta
investigación es: Estrategia y métricas S G-EM
• Definir las áreas y funciones de seguridad que se Establecimiento de un plan S G-EM-1
consideran para incorporar la seguridad en el núcleo estratégico unificado para la
de la Esencia basándose en la armonización de las seguridad del SW
diferentes propuestas relacionadas. Medir el valor relativo de los S G-EM-2
Los objetivos específicos fueron: datos y bienes y luego elegir
• Conocer las diversas propuestas que implementan la la tolerancia al riesgo
seguridad en las diversas actividades realizadas
durante el ciclo de vida del desarrollo de software. Se tiene como resultado final la definición de las funciones
• Encontrar las diferencias y similitudes que se tienen establecidas en cada propuesta. A continuación, se expresan
entre ellas. como sería el resultado de la Función de Gobierno de SAMM
• Definir las áreas y funciones de seguridad que se
implementarán • SAMM
o Gobierno (S G)
Una vez que se identificaron los objetivos y lineamientos que § Estrategia y métricas (S G-EM)
se deben de seguir, así como los marcos y estándares a • Establecimiento de un plan estratégico
armonizar, se procedió a efectuar un análisis de la estructura unificado para la seguridad del SW (S G-
con la que se describen y la filosofía que siguen. Se llegó a la EM-1)
conclusión que para poder realizar un mapeo de manera • Medir el valor relativo de los datos y bienes y
uniforme se debía de considerar un marco común para luego elegir la tolerancia al riesgo (S G-EM-
homogenizarlo, de ahí que se eligió la estructura de la Esencia 2)
debido a que esta maneja una estructura simple que va de lo § Política y cumplimiento (S G-PC)
general a lo especifico debido a que en primer lugar define las • Cumplimiento de regulaciones implicadas al
características básicas en las Alfas, posteriormente define los SW (S G-PC-1)
Estados que integran a esas alfas y finalmente las actividades • Establecer base de seguridad y cumplimiento,
que se especifican para comprobar el estatus que tienen los y entender los riesgos del proyecto (S G-PC-
estados. 2)
§ Educación y orientación (S G-EO)
Con el propósito de poder llevar una mejor trazabilidad a • Ofrecer acceso a temas de programación
través de todas las propuestas y en la investigación, se segura e implementación (S G-EO-1)
estableció la necesidad de colocar identificadores únicos para • Educar a todo el personal en el ciclo de vida
cada una, permitiendo rastrear sus funciones y prácticas, un del SW con lineamientos específicos en
ejemplo es SAMM [10], donde se definen 4 funciones de desarrollo seguro (S G-EO-2)
negocio esenciales para su funcionamiento, las cuales son: • Hacer obligatorio el entrenamiento integral
(S G-EO-3)
SAMM S
5
Una vez que se efectuó el mapeo de cada una de las implementaban, así como diversas actividades que se
propuestas anteriormente descritas, se llevó a cabo el análisis expresaban de forma muy similar por lo que se vio la necesidad
para poder conocer la correlación que tenían entre ellas, donde de estudiar a fondo las propuestas para revisar sus actividades
se tomaron en consideración las similitudes y diferencias entre y el nivel de abstracción que contenían, teniendo como
ellas, los aspectos de la seguridad que se ven involucradas en el finalidad el comprender si su objetivo era el mismo o contenían
accionar de la propuesta, los roles y actividades que se deben alguna particularidad en su accionar con el fin de determinar
de implementar para lograr con éxito su implementación. todos los posibles aspectos de seguridad que se deben
considerar, así como las prácticas que son necesarias para poder
Durante el análisis se pudo observar que existían diversas lograr ese aspecto.
similitudes entre los aspectos de seguridad que se
Tabla 1 "Relación de los aspectos de seguridad con prácticas de los marcos y estándares"
Amenazas Requerimientos de Seguridad Pruebas Generales Entrenamiento Control de Procesos

S C-EA-1 M-SDL R 1 S V-PS-1 M-SDL T 1 B G-CP-2.3
SAMM BSIMM
S I-AV-1 M-SDL D 1 SAMM S V-PS-2 S G-EO-1 B G-SM-1.1
M-SDL D 3 S C-RS-1 S V-PS-3 SAMM S G-EO-2 SAMM S I-HO-1
Riesgos SAMM S C-RS-2 B ST-ST-?.? S G-EO-3 M 3 PSI-SEG 3.1
M-SDL R 3 S C-RS-3 BSIMM B ST-ST-1.3 B SM-1.3 NIST Ni 1
B I-MA-1.3 BSIMM B G-CP-1.2 B ST-ST-3.5 B G-T-1.1 NIST Ni 2
BSIMM
B I-MA-2.7 DSI-SEG 2.1 M-SDL V 1 B G-T-1.7 NIST Ni 3
BSIMM B ST-AA-1.4 M 3 DSI-SEG 3.1 ASI-SEG 3.1 B G-T-3.4 NIST Ni 4
B G-CP-2.2 IAS-SEG 2.1 DSI-SEG 4.1 M 3 CSI-SEG 3.1 NIST Ni 5
M 3
B ST-CR-1.5 Diseño CSI-SEG 2.1 Métricas y Apoyos NIST Ni 6
S C-EA-2 S C-AS-1 IAS-SEG 3.1 S I-HO-2 Estandarización de Procesos
SAMM SAMM
S V-RC-3 S C-AS-2 Ni 13 S C-EA-3 SAMM S I-HO-3
SAMM NIST
M-SDL R 2 S C-AS-3 Ni 14 B G-T-1.6 B ST-AA-2.2
EVS-SEG 3.1 S V-RD-1 Pen Testing B I-MA-1.2 BSIMM B ST-CR-3.5
EVS-SEG 4.1 Arquitectura B D-PT-1.1 B I-SFD-2.1 B I-SR-2.6
M 3
ASI-SEG 2.1 BSIMM B ST-AA-2.1 BSIMM B D-PT-1.3 B I-SFD-1.2 Ni 10
NIST
DSI-SEG 2.1 PSI-SEG 2.1 B D-PT-2.3 B G-SM-2.5 Ni 11
M 3
Ni 7 PSI-SEG 2.2 Pruebas Caja Negra B G-CP-1.3 Marcos y Regulaciones
BSIMM
NIST Ni 8 NIST Ni 12 M-SDL V 2 B ST-CR-1.6 B G-CP-2.5
BSIMM
Ni 9 Automatización de código BSIMM B ST-ST-2.1 B I-SR-1.1 B G-CP-1.1
Superficie de Ataque BSIMM B ST-CR-1.4 Herramientas B I-SR-1.2 M 3 EVS-SEG 3.1
D 2 SAMM S V-RC-2 M-SDL I 1 B I-SR-2.2
M-SDL
V 3 M-SDL I 3 SAMM S I-FA-1 B ST-ST-2.4
B D-PT-1.2
En la Tabla 1 se puede ver el resultado obtenido del análisis, 10. Marcos y Regulaciones
donde se pueden observar los aspectos de seguridad con las 11. Estandarización de Procesos
respectivas prácticas que fueron identificadas. Tomando como 12. Automatizaciones
ejemplo el aspecto de Riesgos, se pueden identificar 6 13. Control de Procesos
propuestas que lo implementan a diferentes niveles y eso se 14. Métricas
puede verificar revisando las actividades que están
relacionadas. Por ejemplo, en Microsoft SDL se observa solo Estos aspectos están fundamentados en diversas prácticas
en las actividades R2 y R3, en NIST se trabajan en las que se encontraron dentro de las propuestas analizadas donde
actividades Ni 7, Ni 8 y Ni 9 así subsecuentemente con las se obtuvo que perseguían objetivos en común por lo que se
demás propuestas. podían unificar, logrando una homogenización tanto para los
aspectos como las actividades, logrando que en su conjunto
Es así que, al concluir el análisis se encontraron 14 aspectos representen salvaguardas que ayuden a preservar la
de seguridad que se implementan en alguna medida en las Confidencialidad, Integridad y Disponibilidad (CIA) de un
propuestas referidas: sistema, siendo estas cualidades el centro de la seguridad de la
información, de modo que al hacer un uso adecuado de todas
1. Amenazas ayudará a que el sistema que se esté creando pueda mantener
2. Riesgos esas tres cualidades, pero siempre teniendo en mente que
3. Superficie de Ataque ningún sistema es infalible y que se busca minimizar los riesgos
4. Requisitos de Seguridad que pudiera tener el SI.
5. Diseño de seguridad
6. Arquitectura de seguridad Este tema cobra relevancia en un entorno donde tener una
7. Pruebas de seguridad buena correlación entre el costo beneficio de implementar o no
8. Entrenamiento ciertas medidas puede ser el principal factor para decidir si se
9. Herramientas aplica o no tal salvaguarda. De modo que parte de los objetivos
6
de la investigación es proporcionar una guía para la que se deben de implementar en un ciclo de vida de desarrollo,
implementación de la seguridad desde etapas iniciales en el por lo que se hizo uso de Métrica 3 [13], [14] propuesta del
ciclo de vida del sistema ya que entre más pronto se realicen las gobierno de España, que en su 3ª versión implementa una
detecciones y acciones de protección resultará más económica interfaz adicional de seguridad, por lo que sirve de precedente
su implementación, a diferencia de realizarla en etapas finales para la presente investigación. Por ello se realizó el análisis de
del desarrollo debido principalmente al re-trabajo que se tiene correlación de ésta con la Esencia para tener claro en donde se
que realizar. pueden implementar las actividades de seguridad identificadas
por Métrica 3.
B. Métrica 3 como base para implementación
En este punto se vio la necesidad de contar adicionalmente
con una visión ya establecida de las características de seguridad
Tabla 2 "Relación Esencia y Métrica 3"
Sistema de Forma de
Interesados Oportunidad Requisitos Trabajo Equipo Esencia
Software trabajo
Viabilidad del Diseño del Construcción del
Análisis del Sistema
Sistema Sistema Sistema
Métrica 3
Planificación Implementación
Mantenimiento
Tabla 3 "La Esencia y los aspectos de seguridad a considerar"
Sistema de Forma de
Interesados Oportunidad Requisitos Trabajo Equipo Esencia
Software trabajo
Amenazas Diseño Entrenamiento
Herramientas Control de
Riegos Arquitectura Control de Procesos
Procesos
Aspectos de
Superficie de Ataque Pruebas Normas y Regulaciones
Seguridad
Requisitos de Seguridad Estandarizaciones
Automatizaci
ones
Puesto que Métrica 3 cuenta con 7 funciones principales que integración de la seguridad dentro de una metodología de
se deben de implementar a lo largo del ciclo de vida para desarrollo de software expuesta en la sección III, se procedió a
desarrollar un sistema de manera segura las cuales son: realizar la siguiente etapa de la investigación, encargada de la
planificación del sistema, la viabilidad del sistema, análisis del integración de la armonización de los marcos y estándares de
sistema, diseño del sistema, construcción del sistema, seguridad con la Ingeniería de Software a través de la Esencia
implementación y mantenimiento. Al realizar el estudio de debido a que es un modelo de reciente creación ello en primer
estas 7 funciones se determinó en qué Alfas podrían estar lugar al ser un estándar de la OMG y seguido de la facilidad
involucrados sus actividades. para implementarse por las organizaciones y la adaptabilidad
En la Tabla 2, se presenta en qué Alfas de la Esencia se con otras propuestas.
podrían implementar las actividades de seguridad identificadas
en Métrica 3. Para poder llevar a cabo este proceso se tomaron en
consideración los siguientes puntos:
C. Definición de Alfas con los 14 aspectos de seguridad
• Se tomó la determinación de solo trabajar con 4 de las
Asimismo, se procedió a realizar el análisis de la correlación
7 Alfas, las cuales son:
de los 14 aspectos de seguridad que se obtuvieron en la
o Requisitos
armonización de los marcos y estándares con las Alfas de la
o Sistema de software
Esencia. Además, ya se cuenta con la visión de Métrica 3 con
o Forma de trabajo
respecto a en qué Alfas se pueden incorporar estos aspectos lo
o Equipo
que origina la propuesta de este trabajo llamada “Essence Sec”.
Debido a que en estas alfas es donde se presentan los aspectos
El análisis se puede observar en la Tabla 3, donde se
más críticos que se deben de considerar para la correcta
presentan las relaciones.
inclusión de la seguridad dentro de los procesos de la Esencia.
• Estas Alfas se mantuvieron lo más general posible.
D. Essence Sec o Por lo que únicamente se agregaron las Sub-
Al contar con el panorama general de la armonización de los Alfas que se creyeron necesarias de destacar
marcos y estándares referidas en la sección IV-A y la visión de sobre las prácticas.
7
• Se refinaron las listas de control, agregando un anexo el Alfa de Sistema de Software debido a que cada alfa contiene
a las listas con características de seguridad que se sus respectivos Estados y listas de control tradicional y de
deben tomar en cuenta para que ese Estado se cumpla seguridad respectivamente:
satisfactoriamente.
• Se agregaron actividades en los Espacios de Alfa: Sistema de Software
Actividades con la finalidad de tener un mayor detalle Para la inclusión de medidas de seguridad en el Alfa de
de aquellas que necesiten tener más claridad para su Sistema de Software se propone la inclusión de ítems extras en
implementación. las listas de control de los estados, permitiendo crear el software
con una arquitectura con medidas de seguridad incluidas y
Estos puntos se consideraron con la finalidad de que los adicionalmente contar con la verificación en las fases de
usuarios que actualmente hacen uso de la Esencia en su forma liberación, operación y el retiro del software.
simple puedan hacer uso de la Essence Sec sin que requieran
modificar sus procesos y su forma de trabajo, puesto que Los aspectos de seguridad que se proponen para la inclusión
únicamente se adicionan las medidas de seguridad a lo que ya de medidas de seguridad en el Alfa de Sistema de Software de
comúnmente trabajan en su día a día. la Esencia son:
A nuevos usuarios de la Esencia, les permitirá incluir medias • Diseño de seguridad
de seguridad en sus desarrollos de una forma más transparente. • Arquitectura de seguridad
• Pruebas de seguridad
También se tomó en consideración el nivel de los usuarios
respecto a la comprensión de temas de seguridad por lo que, Ya que en esta Alfa se realiza desde la selección de la
para los más expertos, únicamente con la especificación general arquitectura hasta la retirada.
podrán revisar para recordar las consideraciones de seguridad a
incorporar. Para los que apenas se están familiarizando con los Se proporciona en la Tabla 4, la lista de control con aspectos
temas de seguridad, se especifican más detalladamente las listas de seguridad que deben ser cubiertos para cada estado del, así
de control y actividades correspondientes. como los aspectos de seguridad que se ven inmiscuidos en su
realización:
Para ejemplificar la implementación realizada en la
investigación, se presenta 1 de las 4 Alfas con las que se trabajó,
Tabla 4 "Lista de verificación del Alfa Sistema de Software"
Estados
Control de Seguridad
Sistema de Software
Con arquitectura • Se tienen claras las particularidades del proyecto que impactan al diseño y arquitectura del sistema
seleccionada • Los servicios compartidos a los que hará uso el nuevo proyecto son claros y bien definidos.
• Los sistemas dependientes que están implicados con el nuevo proyecto han sido identificados.
• Se han identificado claramente los posibles escenarios a los que se enfrentará el sistema
• La definición de la arquitectura está alineada con la visión de seguridad.
• Los procesos de diseño son dirigidos hacia servicios y diseños seguros conocidos.
• Se cuenta con un esquema de integración de la seguridad claro y preciso
Demostrable • Las descripciones de la arquitectura están estandarizadas

• La integración con otros sistemas cumple las normas de seguridad establecidas
• Después de realizar una revisión integral, el sistema cumple con las normas de seguridad
establecidas
• El sistema aprobó los posibles escenarios de vulnerabilidades o limitaciones conocidas
• Los servicios compartidos y el riesgo compartido resultante han sido revisados
• Se revisaron las funciones, despreciando las inseguras
Usable • Se han verificado los controles de seguridad pactados en los requisitos.

• Se han efectuado las pruebas previstas para comprobar la seguridad en el sistema y se encuentran
dentro de los parámetros aceptados.
• La documentación de la aceptación de la seguridad del sistema está completa
Listo • La instalación del sistema se ha realizado de acuerdo a los lineamientos de seguridad pactados
• Los interesados aceptan que los objetivos de seguridad están reflejados en el funcionamiento del
sistema
8
Estados
Control de Seguridad
Sistema de Software
Operacional • La documentación de seguridad está actualizada y verificada

• Las actualizaciones y monitoreo de la configuración se realizan periódicamente
• La ejecución del plan de respuesta a incidentes se ha realizado satisfactoriamente de acuerdo a los
lineamientos
Retirado • Se ha realizado la retirada del sistema conforme al protocolo
• La documentación del cierre del sistema es clara y consistente
• La retirada del sistema se ha realizado conforme a las políticas vigentes
• La preservación de seguridad se ha realizado de acuerdo a las políticas de seguridad
Es así que, por ejemplo, para el Estado de “Listo” es b. Sirvieron como base para la obtención de
necesario cumplir con dos actividades que son: requisitos de seguridad
1. La instalación del sistema se ha realizado de acuerdo Requisitos 5. ¿Se identificaron aquellas medidas de
a los lineamientos de seguridad pactados seguridad a considerar en el entorno de desarrollo?
Requisitos 6. ¿Se definieron los umbrales de seguridad
2. Los interesados aceptan que los objetivos de seguridad maximos y minimos?
están reflejados en funcionamiento del sistema Requisitos 7. Se definieron todas las pruebas de seguridad
que permitan verificar que se cumplieron los
Adicionalmente, para el Alfa de Sistema de Software se requisitos
realizaron tres prácticas complementarias, con la finalidad de
facilitar la validación de los estados en cuestión. Estas fueron: En el Alfa de Trabajo se hace una revisión sobre las
1. Selección de la Arquitectura de Seguridad capacitaciones que debe de tener el equipo de proyecto, las
2. Implementación del sistema herramientas y bibliotecas a utilizar para el desarrollo. Las
3. Retirada Segura del Sistema preguntas que se incluyen en la Lista de verificación de esta alfa
son:
Trabajo -1: ¿Se establecieron principios de seguridad en la
ALFAS ADICIONALES
definición del trabajo a realizar?
Como se mencionó en la sección IV.B, se realizó un análisis Trabajo -2: Se realizó alguna capacitación para la realización
para realizar de forma satisfactoria la implementación de del proyecto.
aspectos de seguridad en los procesos de la Esencia, dando Trabajo -3: Se identificaron algunos repositorios de consulta
como resultado la selección de cuatro Alfas específicas: para solución de problemas y aseguramiento de
Requisitos, Sistema de software, Forma de trabajo y Trabajo. la seguridad.
Donde el Alfa de Sistema de Software se tomó de ejemplo para Trabajo -4: ¿Cómo se seleccionaron las herramientas a
este trabajo de investigación. utilizarse?
Trabajo -5: Se analizaron los detalles de seguridad de la
En el Alfa de Requisitos se busca identificar todos aquellos aplicación
requisitos de seguridad que ayuden a mitigar todos aquellos Trabajo -6: ¿Cómo fue la selección de middleware y
riesgos identificados hasta los niveles aceptables. bibliotecas? (versiones, autores)
Adicionalmente dentro de esta Alfa se considera el uso de una
Sub-Alfa que permita realizar de forma adecuada la Finalizando con en el Alfa de Forma de Trabajo se verifican
identificación de los requisitos a través de la realización de la todos los principios que se deben de considerar a la hora de
Evaluación de Riesgos de Seguridad para el proyecto en trabajar, pueden ser de forma regulatoria, estándares o normas.
cuestión. Las preguntas que se incluyen en la Lista de
verificación de esta alfa son: F Trabajo -1: ¿Se tomaron consideraciones relacionadas
Requisitos 1. ¿Se identificaron todas las posibles con la seguridad en la forma de trabajo del equipo?
complicaciones por la plataforma del proyecto? (Normas regulatorias, Principios de
Requisitos 2. ¿Las normativas y regulaciones que están estándares/normas)
asociadas al proyecto fueron procesadas y F Trabajo -2: ¿Cómo se realizó la organización del trabajo?
delimitadas? F Trabajo -3: ¿Comó se determinaron los roles y
Requisitos 3. ¿Se tenían claros los objetivos primarios de responsabilidades del equipo?
seguridad relacionados con el proyecto? F Trabajo -4: ¿Se realizó alguna clasificación de los datos
Requisitos 4. ¿Se llevó acabo alguna evaluación de riesgos que se utilizaran en el sistema? (La forma en que se
de seguridad del proyecto? categorizaron los datos para determinar su relevancia
a. ¿Cuál fue su procedimiento?
9
y poder tener medidas de seguridad para su [3] M. Piattini Velthuis, F. García Rubio, I. García Rodríguez de Guzmán, and
protección) F. J. Pino, Calidad de Sistemas de Información. 2015.
F Trabajo -5: ¿Se llevó a cabo algún seguimiento durante [4] I. Jacobson, P. Ng, P. McMahon, I. Spence, and S. Lidman, “Kernel and
el desarrollo del sistema para saber si se llevaba a cabo Language for Software Engineering Methods (Essence),” OMG. OMG,
las medidas de seguridad pactadas? USA, 2014.
F Trabajo -6: ¿Se lleva alguna retroalimentación con el [5] I. Jacobson, P.-W. Ng, P. E. McMahon, I. Spence, and S. Lidman, The
avance del trabajo? Essence of Software Engineering. USA: Addison - Wesley, 2013.
[6] I. Jacobson, P. W. Ng, P. E. McMahon, I. Spence, and S. Lidman, “La
Gracias a las listas de verificación de cada Alfa así como de esencia de la ingeniería de software: El núcleo de Semat,” Rev. Latinoam.
las Actividades que se encuentran asociadas a ellas, le permitirá Ing. Softw., vol. 1, no. 3, pp. 71–78, 2013.
a los administradores del proyecto identificar en qué fase del [7] ISO/IEC JTC! /SC27, “ISO/IEC 27001:2005 Information technology --
proyecto se encuentran, verificando las cosas que hicieron u les Security techniques -- Specification for an Information Security
hicieron falta de realizar, ello les brindará una visión de cómo Management System.,” Geneva, Switzerland, 2005.
se encuentra implementada la seguridad dentro de sus procesos [8] Microsoft, “Security Development Lifecycle for Agile Development.”
de desarrollo. Microsoft, 2009.
[9] A. B. Arkin et al., “Building Security In Maturity Model - Version 7.0.”
Las listas de verificación con toda su información, pueden 2016.
ser consultadas en [17] para su mayor referencia. [10] The Open Web Application Security Project, “Software Assurance
Maturity Model - Version 1.5.” OWASP, 2016.
V. CONCLUSIONES
[11] ISO/IEC_JTC1/SC27, “Information technology — Security techniques —
Al finalizar la presente investigación se identificó que, Evaluation criteria for IT security, ISO/IEC 15408:2005 (Common Criteria
existen diversas propuestas que tienen como finalidad el incluir v3.1),” 2012.
la seguridad en el desarrollo de software en diversos niveles, [12] Object Management Group, “Specifications for Automated Quality
pues las organizaciones no pueden identificar adecuadamente Characteristic Measures CISQ.” OMG, USA, 2012.
cuál propuesta es la más idónea para su uso. Es así que se [13] M. de H. y A. Públicas, “Metrica 3 Introducción,” Ministerio de Hacienda
definió Essence Sec para permitir a las organizaciones que y Administraciones Públicas. [Online]. Available:
cuentan o no con áreas de seguridad, el poder implementar http://administracionelectronica.gob.es/pae_Home/dms/pae_Home/docu
aspectos de seguridad a sus procesos de software ya que hace mentos/Documentacion/Metodologias-y-
uso de las características de la Esencia, e incorpora los criterios guias/Metricav3/METRICA_V3_Introduccion.pdf. [Accessed: 25-Apr-
de seguridad que son necesarios contemplar a la hora de estar 2017].
realizando un sistema, permitiendo a las organizaciones [14] Ministerio de Hacienda y Administraciones Públicas, “Metrica 3 Interfaz
producir desarrollos de forma repetible y organizada con de Seguridad.” [Online]. Available:
aspectos de seguridad incluidos. http://administracionelectronica.gob.es/pae_Home/dms/pae_Home/docu
mentos/Documentacion/Metodologias-y-
Como trabajo futuro es necesario realizar la validación del guias/Metricav3/METRICA_V3_Seguridad.pdf. [Accessed: 25-Apr-
trabajo a través de diversos casos de estudios que permitan 2017].
comprobar de forma práctica su uso y perfeccionarlo. [15] R. Kissel, K. Stine, M. Scholl, H. Rossman, J. Fahlsing, and J. Gulick,
“NIST Special Publication 800-64, Security Considerations in the
VI. AGRADECIMIENTOS Information System Development Life Cycle.” NIST, 2008.
[16] C. Pardo, F. García, F. J. Pino, M. Piattini, and M. T. Baldassarre, “Método
Este trabajo ha sido financiado el Programa de Apoyo a los de integración para soportar la armonización de múltiples modelos y
Estudios de Posgrado (UNAM) y el programa de becas del estándares,” in XVI Jornadas de Ingeniería del Software y Bases de Datos
CONACyT. (JISBD 2011), 2011.
[17] F. Arellano, “Modelo de Procesos para la Mitigación de Amenazas y
Este trabajo ha sido desarrollado dentro del Proyecto Vulnerabilidades de la Seguridad Informática en el Desarrollo de
SEQUOIA (TIN2015-63502-C3-1-R), cofinanciado por el Software,” National Autonomous University of Mexico, 2017.
Fondo Europeo de Desarrollo Regional (FEDER), Ministerio
de Economía y Competitividad (MINECO/FEDER), y por el Francisco Arellano Mendez is an BEng from the
proyecto GLOBALIA (PEII11-0291-5274) de la Consejería de Morelia Institute of Technology with specialization in
Educación, Ciencia y Cultura (Junta de Comunidades de Security and Information Management and is currently a
MSc student in Computer Science at the National
Castilla La Mancha) y Fondo Europeo de Desarrollo Regional Autonomous University of Mexico (UNAM). His research
FEDER. interests are software engineering, processes engineering and
Information security.
REFERENCIAS
[1] M. Piattini Velthuis and F. Hervada Vidal, Gobierno de las Tecnologías y

los Sistemas de Información. Ra~Ma, 2007.
[2] Trustwave, “Trustwave Global Security Report,” 2016.
10
Ma. Guadalupe E. Ibargüengoitia González is

a full Professor at the National Autonomous University of
Mexico (UNAM) in the Faculty of Sciences in the career of
Computer Science and in the Postgraduate in Science and
Engineering of Computing. He has taught courses in
Software Engineering since 1982 at the undergraduate level
and in 1993 at the postgraduate level. He has taught Software Engineering
courses at the undergraduate and master's level at national and international
universities. He has advised companies and organizations on software
development. Her research interest are software engineering and processes
engineering.
Mario Piattini is MSc and PhD in Computer Science

from the Politechnical University of Madrid. He is certified
information system auditor by ISACA (Information System
Audit and Control Association). He is Associate Professor at
the Escuela Superior de Informática of the Castilla- La
Mancha University (Spain). He is author of several books and
papers on databases, security, software engineering and information systems.
He leads the ALARCOS research group of the Department of Computer
Science at the University of Castilla- La Mancha, in Ciudad Real (Spain). His
research interests are: advanced database design, database quality, software
metrics, object-oriented metrics and software maintenance.
David G. Rosado has an MSc and PhD. in Computer

Science from the University of Málaga (Spain) and from the
University of Castilla-La Mancha (Spain), respectively. His
research activities are focused on security for Information
Systems and Cloud Computing. He has published several
papers in national and international conferences on these subjects, and he is co-
editor of a book and chapter books.
Author of several manuscripts in national and international journals
(Information Software Technology, System Architecture, Network and
Computer Applications, etc.). He is member of Program Committee of several
conferences and workshops nationals and internationals such as ICEIS, ICCGI,
CISIS, SBP, IAS, SDM, SECRYPT, COSE and international journals such as
Internet Research, JNCA, KNOSYS, JKSU, and so on. He is a member of the
GSyA research group of the Information Systems and Technologies
Department at the University of Castilla-La Mancha, in Ciudad Real, Spain.
11
Privacy by Design:
de la abstracción jurídica a la práctica ingenieril
Flavia Baladán, Gustavo Betarte, Alejando Blanco, Cecilia Montaña, Bárbara Muracciole, Beatriz Rodríguez
 correspondencia, ni de ataques a su honra o a su reputación.

Abstract— Privacy is a fundamental right recognized by the Toda persona tiene derecho a la protección de la ley contra
most important legal instruments for the protection and guarantee tales injerencias o ataques”. Similar texto ha sido recogido por
of human rights. Privacy by Design, a concept developed in the el artículo 17 del Pacto Internacional de Derechos Civiles y
1990s by Ann Cavoukian, constitutes both a conceptual and Políticos, de 16 de diciembre de 1966.En los ámbitos
practical development for the defense of that right. We discuss the regionales, la Convención Americana de Derechos Humanos
different views that exist on this discipline from a legal and
engineering perspective and put forward the understanding and
(Pacto de San José de Costa Rica) en su artículo 11 establece
preliminary conclusions that have been obtained as the result of a “[t]oda persona tiene derecho al respeto de su honra y al
research work carried out by a team of doctors in law, security reconocimiento de su dignidad. Nadie puede ser objeto de
and data scientists and computer engineers. It was of particular injerencias arbitrarias o abusivas en su vida privada, en la de
interest of this team to incorporate into the research hypotheses su familia, en su domicilio o en su correspondencia, ni de
the characteristics of the legal normative framework of Latin ataques ilegales a su honra o reputación. Toda persona tiene
America and in particular the one of Uruguay. derecho a la protección de la ley contra esas injerencias o esos
ataques”. En sentido conteste, el Convenio Europeo de
Index Terms— fundamental right, privacy by design, data Derechos Humanos dispone en su artículo 8 “[t]oda persona
protection, legal framework, privacy engineering. tiene derecho al respeto de su vida privada y familiar, de su
domicilio y de su correspondencia”. De igual forma se
pronuncia la Carta de los Derechos Fundamentales de la Unión
I. INTRODUCCIÖN Europea y el Tratado de Lisboa.
La privacidad es un derecho fundamental reconocido por los
instrumentos jurídicos más importantes de protección y Uno de los desarrollos conceptuales y prácticos para la defensa
garantía de los derechos humanos. Cuando hablamos de de este derecho lo constituye la denominada Privacidad por
derechos fundamentales, referimos a “aquellos derechos Diseño (en adelante e indistintamente PbD por sus siglas en
subjetivos esenciales o básicos, inherentes a los seres humanos inglés), que refiere a un concepto elaborado en la década de los
por su sola calidad de tales, sin distinción ni discriminación 90’ por Ann Cavoukian [2], en ese entonces comisionada de
alguna en función de factores tales como la nacionalidad, el información y privacidad de Ontario (Canadá). Este concepto
sexo, origen racial o étnico, credo o religión … por su alto surge como respuesta al entonces incipiente y creciente uso de
valor ético, todos estos derechos están reconocidos y las Tecnologías de la Información y Comunicaciones (TICs) y
protegidos por los Tratados Internacionales y las Cartas el tratamiento masivo de datos, así como a la necesidad de dar
Constitucionales de los Estados democráticos, destacando no cumplimiento al marco regulatorio y normativo de protección
solo la formulación de los mismos sino, además, las garantías de datos personales. La PbD tiene como objetivo que los
y fórmulas apropiadas para hacer valer su respeto y requerimientos de privacidad se consideren durante todo el
vigencia.”[1] ciclo de vida de los sistemas, de forma que ésta se convierta en
un modo predeterminado de construcción. En definitiva lo que
A nivel internacional cabe mencionar la Declaración Universal
se busca es no resignar la privacidad al cumplimiento de normas
de Derechos Humanos, de 10 de diciembre de 1948, que en su
técnicas y jurídicas. Cuando nos referimos a “sistemas” no solo
artículo 12 dispone “[n]adie será objeto de injerencias
arbitrarias en su vida privada, su familia, su domicilio o su estamos hablando de sistemas informáticos o de información,
Flavia Baladán es asesor letrado de la URCDP y AGESIC, Profesor Bárbara Muracciole es asesor letrado de la URCDP y AGESIC, Profesor
Adscripto aspirante de Informática Jurídica y Ayudante de Derecho Informático Adscripto aspirante de Informática Jurídica y Ayudante de Derecho Informático
de la Facultad de Derecho de la Universidad de la República, Uruguay de la Facultad de Derecho de la Universidad de la República, Uruguay
(flavia.baladan@agesic.gub.uy). (barbara.muracciole@agesic.gub.uy).
Gustavo Betarte es Profesor Titular del Instituto de Computación de la Beatriz Rodríguez es asesor letrado de la URCDP y AGESIC, Profesor
Facultad de Ingeniería de la Universidad de la República, Uruguay (e-mail Adscripto aspirante de Informática Jurídica y Ayudante de Derecho Informático
gustun@fing.edu.uy) y responsable del CSIRT Tilsor (e-mail: de la Facultad de Derecho de la Universidad de la República, Uruguay
gbetarte@tilsor.com.uy). (beatriz.rodriguez@agesic.gub.uy).
Alejandro Blanco es Profesor Adjunto del Instituto de Computación de la
Facultad de Ingeniería de la Universidad de la República, Uruguay (e-mail
ablanco@fing.edu.uy) .
María Cecilia Montaña es asesor letrado de AGESIC
(cecilia.montana@agesic.gub.uy).
12
sino también a los procesos de negocio y gobernanza de la comunicación, así como el uso –en todos sus aspectos– y la
organización, las tecnologías de comunicación involucrada y el propiedad de la información.” [3]
ecosistema completo de los sistemas de información. Ahora bien, estos fenómenos transformadores que, sin duda,
presentan grandes oportunidades, también entrañan peligros
En el año 2016 en el marco del centro de I+D Information and para los derechos humanos. Si bien aludimos a todos los
Communications Technologies for Verticals derechos civiles, políticos, económicos, sociales y culturales,
(ICT4V,http://www.ict4v.org) se creó un equipo de trabajo en cuanto “constituyen valores universalmente exigibles,
multidisciplinario integrado por ingenieros y abogados elaborados y desarrollados como parte esencial de una
pertenecientes a la Facultad de Ingeniería de la Universidad de conciencia univesal en un momento o período histórico
la República, la Agencia para el Desarrollo del Gobierno de determinado” [4], la referencia tecnológica posiciona en el ojo
Gestión Electrónica y la Sociedad de la Información y del de la tormenta a la intimidad, la privacidad y la protección de
Conocimiento (AGESIC), la Unidad Reguladora y de Control datos.
de Datos Personales (URCDP) y TILSOR S.A.1. El primer y Desarrollos tales como Big Data, Internet de las cosas (IoT),
principal objetivo de este equipo es estudiar y profundizar el wearables, aplicaciones (apps), sistemas de localización,
estado del arte de la disciplina de Privacy by Design, drones, realidad aumentada, inteligencia artificial, entre otros,
particularmente a nivel latinoamericano y desde una doble provocan la aparente pérdida de la privacidad de los usuarios
perspectiva técnica y jurídica, a fin de identificar los desafíos de desarrollos tecnológicos, creando una sensación de
nacionales en la materia y las perspectivas de progreso, desprotección y fomentando la idea que el consentimiento
mediante el estudio de la doctrina científica destacada en la agoniza y que la privacidad debe resignarse en pos de la
materia. Sus avances y conclusiones preliminares justifican la utilización de las mencionadas herramientas.
redacción de este documento. En este escenario y partiendo siempre de la concepción de la
persona como centro, la privacidad, en cuanto derecho
La estructura del resto de este artículo es la siguiente. La fundamental, debe garantizarse -más que nunca- sin mediar
sección II está dedicada a introducir en forma breve la actuación alguna de los usuarios finales de desarrollos
motivación de este trabajo. En la sección III se describe el tecnológicos, en concordancia con los textos legales tuitivos. A
contexto normativo internacional, regional y nacional. En la partir de esta realidad surge la dificultad de implementar y
sección IV se exponen los principios fundacionales de la PbD. armonizar las exigencias legales y reglamentarias, por lo que
En la sección V se discuten las diferentes visiones que existen resulta necesaria su revisión.
sobre esta disciplina, desde el mundo jurídico y técnico-
ingenieril, en particular, y se posiciona el entendimiento que III. CONTEXTO NORMATIVO
tienen los autores al respecto. La sección VI describe algunos Desde la ciencia jurídica, la Privacidad por Diseño nació como
resultados preliminares que se desprenden del avance que el una buena práctica pero con el devenir del tiempo ha sido
equipo de trabajo ha realizado. Finalmente, la sección VII recogida en instrumentos de reconocida importancia en lo que
describe trabajo futuro. a protección de datos se refiere, mostrando una clara evolución
en la materia.
II. MOTIVACIÓN
Toda investigación debe ser considerada a partir del contexto Un primer paso está marcado por la Resolución sobre PbD
circundante que la forja, en este sentido, no podemos soslayar emanada de la 32ª Conferencia Internacional de Protección de
al abordar Privacy by Design, el impacto de la Sociedad de la Datos, celebrada en Israel en el año 2010. Este documento
Información en los derechos humanos, particularmente en la recoge en forma expresa los principios fundacionales de la PbD
privacidad y la protección de datos personales. y exhorta a las autoridades nacionales a que fomenten su
adopción. Asimismo, invita a su promoción de la forma más
“La humanidad vive la revolución más grande y acelerada que amplia posible mediante la distribución de materiales, su
haya experimentado en su historia. El uso y continuo desarrollo inserción en la educación, y la incorporación de los principios
de las tecnologías de la información y comunicación -TIC- han en la formulación de las políticas públicas y la legislación en
cambiado y seguirán afectando nuestra forma de vida en todos cada una de sus jurisdicciones. Por último, la resolución
los ámbitos: la cultura, la política, el arte, la economía y, en fomenta en forma proactiva la investigación en la materia y su
general, todas las formas en que los seres humanos nos inclusión en las agendas que la abordan.
relacionamos. Estamos transitando, pues, por lo que se ha
denominado la “sociedad de la información”, la cual está Posteriormente, el 27 de abril de 2016 se aprobó el Reglamento
definida por la importancia que tienen las nuevas formas de (UE) 2016/679 del Parlamento Europeo y del Consejo relativo
a la protección de las personas físicas en lo que respecta al
1
FING - UDELAR. La Facultad de Ingeniería de la Universidad de la TILSOR S.A. Es una empresa uruguaya que se distingue por su
República aporta el conocimiento académico de su Grupo de Seguridad especialización en la entrega de servicios de misión crítica y de seguridad
Informática. informática. Es del interés de Tilsor promover, comprender e impulsar el
AGESIC – URCDP. La Unidad Reguladora y de Control de Datos paradigma de Privacidad desde el Diseño.
Personales es el órgano competente para estudiar, regular y controlar la
Privacidad desde el Diseño, por lo que su opinión experta es determinante en
todo proyecto que aborde el tema.
13
tratamiento de datos personales y a la libre circulación de estos A. Situación regional

datos, cuyo artículo 25 regula en forma expresa la protección América Latina, por su parte, se ha caracterizado por regular la
de datos desde el diseño y por defecto. De esta forma, por protección de datos personales pero no la privacidad desde el
primera vez desde su nacimiento la Privacidad por Diseño se diseño. En su mérito, podemos clasificar a los Estados
transforma de una práctica en una obligación legal de latinoamericanos en cuatro categorías:
aplicación directa a todos los países de la Unión Europea.
i. sin ley de protección de datos (Bolivia y Paraguay),
Sobre el contenido, es de destacar que esta norma establece que ii. con ley de protección de datos pero sin regulación
se debe tener en cuenta el estado de la técnica, el coste de la expresa de la PbD (Argentina, Colombia, Costa Rica,
aplicación y la naturaleza, el ámbito, el contexto, y los fines del México, Nicaragua, Perú, y Uruguay),
tratamiento, así como los riesgos de diversa probabilidad y iii. con ley de protección de datos en proceso de reforma
gravedad que entraña el tratamiento para los derechos y (Argentina y Chile) y
libertades de las personas físicas para aplicar la privacidad iv. con proyecto de ley (Ecuador, Brasil, Honduras y
desde el diseño. En su mérito, el responsable del tratamiento Panamá).
debe utilizar medidas técnicas y organizativas apropiadas como
la seudonimización, concebidas para aplicar de forma efectiva Hasta el momento, sólo Colombia ha incorporado a texto
los principios de protección de datos, así como la minimización expreso mediante el Decreto N° 1413, de 25 de agosto de 2017,
de datos, e integrar las garantías necesarias en el tratamiento. la privacidad desde el diseño y por defecto, así como las
medidas para garantizar su efectiva aplicación.
La conformidad con el Reglamento puede ser demostrada por
el responsable mediante la adopción de políticas internas y No obstante no será el único país en hacerlo, ya que el artículo
medidas que cumplan con los principios de protección de datos 38 de la reforma legal Argentina de protección de datos prevé
desde el diseño y por defecto. Agrega el citado artículo 25 que similar agregado, disponiendo que el responsable del
“Dichas medidas podrían consistir en reducir al máximo el tratamiento aplicará las medidas tecnológicas y organizativas
tratamiento de datos personales, seudonimizar lo antes posible tanto con anterioridad como durante el tratamiento de datos a
los datos personales, dar transparencia a las funciones y el fin de cumplir los principios y los derechos de los titulares de
tratamiento de datos personales, permitiendo a los interesados los datos. También las aplicará con miras a garantizar que, por
supervisar el tratamiento de datos y al responsable del defecto, solo sean objeto de tratamiento aquellos datos
tratamiento crear y mejorar elementos de seguridad”. personales que sean necesarios para cada uno de sus fines.
Además, el citado Reglamento establece que los principios de

la protección de datos desde el diseño y por defecto también B. Situación nacional
deben tenerse en cuenta en el contexto de los contratos
públicos.La aprobación del Reglamento General de Protección En Uruguay el derecho a la protección de datos personales se
de Datos impacta el sistema normativo uruguayo en la materia, encuentra regulado por la Ley Nº 18.331, de 11 de agosto de
especialmente en los aspectos relativos a la adecuación para la 2008, cuyas disposiciones no incluyen la Privacidad por Diseño
transferencia internacional de datos y al ámbito de aplicación a texto expreso.
territorial.
Sumariamente podemos decir que su artículo primero reconoce
Respecto de la adecuación y transferencia internacional de que el derecho a la protección de datos personales “es inherente
datos, en virtud que nuestro país deberá ordenar sus procesos y a la persona humana, por lo que está comprendido en el
normas internas para mantener la decisión de la Comisión artículo 72 de la Constitución de la República”, extendiendo
Europea que le confiere estatus de país confiable para importar su ámbito de aplicación subjetivo a las personas jurídicas, en
y exportar datos personales. [5] cuanto corresponda, extremo discutible debido a que,
justamente, referimos a derechos humanos.
Relacionado con la vocación extraterritorial, en tanto el
Reglamento habrá de aplicarse a responsables y encargados de Relacionado con los principios, en su artículo 5 la referida ley
tratamiento aún no establecidos en la Unión Europea, cuando dispone que la actuación de los responsables de las bases de
las actividades de bienes o servicios se realicen a interesados datos, tanto públicos como privados, y, en general, de todos
situados en la Unión o se dirija al control de su comportamiento. quienes actúen en relación a datos personales de terceros,
“Por ello que una empresa uruguaya (…) que ofrezca bienes o deberá ajustarse a los siguientes principios generales:
servicios a individuos en la UE o que controle su
comportamiento, deberá cumplir con el nuevo Reglamento de  Legalidad (artículo 6)
Protección de Datos. Y esto no solo implica cumplir con las  Veracidad (artículo 7)
obligaciones y respetar los derechos de los individuos, sino  Finalidad (artículo 8)
también designar un representante en la UE, salvo que la
 Previo consentimiento informado (artículo 9)
actividad de tratamiento de datos personales sea ocasional”. [6]
 Seguridad de los datos (artículo 10)
 Reserva (artículo 11)
 Responsabilidad (artículo 12)
14
usuario salvo que éste realice una acción o cambie su

Dichos principios generales servirán también de criterio configuración. La privacidad por defecto otorga un
interpretativo para resolver las cuestiones que puedan suscitarse mayor control sobre la información propia, ya que el
en la aplicación de las disposiciones pertinentes. usuario está protegido aunque no realice ninguna
acción. Más aún, en caso de decidir compartir la
Se consagra el consentimiento expreso como regla para la información, este principio sugiere implementar una
generalidad de los casos, y expreso y escrito para la categoría serie de buenas prácticas para asegurarla.
de datos sensibles (aquellos que revelen origen racial y étnico,  Privacidad integrada en el diseño
preferencias políticas, convicciones religiosas o morales,
afiliación sindical e informaciones referentes a la salud o a la Implica considerar la protección de datos personales
vida sexual). como un componente esencial del sistema que forma
su núcleo funcional y no está agregado, superpuesto o
Destacan categorías de datos especialmente protegidos, dentro añadido.
de los cuales se encuentran los datos sensibles, datos relativos
a la salud, a las telecomunicaciones, a las bases de datos con  Positive-sum, not zero
fines de publicidad y de la actividad comercial o crediticia. Se trata de evitar falsa dicotomías y probar que la
privacidad es complementaria y no opuesta a otros
Además de los principios rectores, la ley establece que el titular requisitos o funcionalidades.
de los datos tendrá derecho de:
 Protección durante todo el ciclo de vida
 Información (artículo 13)
 Acceso (artículo 14) La protección de la información se ha de configurar
 Rectificación (artículo 15) desde el momento en que se recaban los datos, y debe
 Actualización (artículo 15) durar durante todo su ciclo de vida hasta su
 Inclusión (artículo 15) destrucción, garantizando también que se eliminen de
 Supresión (artículo 15) forma segura y confidencial, respetando los periodos
 Impugnación a las valoraciones personales derivadas de retención establecidos.
de tratamientos automatizados y con efectos jurídicos  Visibilidad y transparencia (Keep it Open, trust but
(artículo 16) verify)
Esta ley crea un órgano de control con autonomía técnica y La entidad que trate los datos ha de estar sujeta a los
competencias expresas e implícitas, suficientes para velar por términos y condiciones informados desde un principio,
el cumplimiento de la ley, lo que incluye potestades los que no podrán modificarse sin el previo
sancionatorias administrativas. Por último, interesa resaltar la consentimiento del afectado. También podrá estar
instauración de un régimen jurisdiccional de protección de este sujeto a una verificación independiente.
derecho, mediante la acción de Habeas Data consistente en un  Respeto por la privacidad del usuario
proceso sumario y efectivo.
La idea de la PdD es mantener el sistema centrado en
IV. PRINCIPIOS FUNDACIONALES DE PRIVACY BY DESIGN el usuario. Los diseñadores del sistema tienen la
responsabilidad de proveer fuertes esquemas de
Si bien las regulaciones de protección de datos personales
privacidad por defecto, que recaben el consentimiento
especifican requerimientos de privacidad en lo relativo al
y fortalezcan las soluciones que son amigables para el
manejo de los datos personales, desde un punto de vista
usuario.
ingenieril ofrecen muy pocos detalles de su significado. La falta
de precisión se torna una dificultad a la hora de hacer el pasaje En el año 2011, pensando en las entidades que disponen de
de los requerimientos de privacidad a partir de marcos grandes y complejos sistemas informáticos creados sin
regulatorios legales, éticos o sociales a requerimientos de considerar la Privacidad por Diseño, Cavoukian desarrolla la
diseño e implementación de los sistemas que manipulan esos idea de Privacy by ReDesign (PbRD) [7] que consiste en:
datos. Cavoukian en su propuesta sintetiza estos requerimientos
en 7 principios fundacionales [2]:  Rethink, Redesign and Revive (repensar, rediseñar y
restablecer):
 Proactivo, no reactivo; tomemos acciones preventivas
o Rethink (repensar): revisar estrategias de
y no de recuperación.
mitigación de riesgos, procesos y sistemas,
La Privacidad por Diseño se anticipa a los riesgos, considerando opciones que otorguen una
tiene un carácter preventivo. Se trata de actuar antes mayor protección a la privacidad. Por
y no después de acaecidos los sucesos. ejemplo, revisando periodos de retención de
 Privacidad por defecto datos y controles de acceso.
Cualquier sistema ha de estar configurado de forma o Redesign (rediseñar): implementar mejoras

que, por defecto, no se comparta la información del en el funcionamiento de los sistemas
15
respetando la privacidad del usuario. Por Una conclusión importante a destacar del análisis de
ejemplo, valorar la disminución en el tipo de requerimientos de privacidad a partir del marco regulatorio
datos recabados. realizado en [8] es que no todo requerimiento legal o regulatorio
puede satisfacerse diseñando el sistema de TI en una forma
o Revive (restablecer): restablecer el sistema en específica. Dicho de otra forma, no todos los requerimientos
base a un nuevo enfoque más protector de la legales van a tener un impacto en el diseño de un sistema de TI.
privacidad. A modo de ejemplo podemos considerar el requerimiento de
Los 7 (siete) principios fundacionales de PbD han servido como "Procesamiento Legitimo", ya que una especificación precisa
punto de partida para su adopción en ámbitos gubernamentales de este concepto jurídico y su correspondiente implementación
y corporativos. Sin embargo, han sido fuertemente criticados técnica entendemos sería de difícil concreción.
debido a que el concepto de PbD permanece vago y tampoco Por otra parte, en [9] se presenta una taxonomía para clasificar
aporta información sobre cómo llevarlos a la práctica en el problemas de privacidad. En este trabajo el autor identifica 4
desarrollo de sistemas informáticos (las prácticas ingenieriles). grupos básicos de actividades que afectan la privacidad:
Algunos de los principios usan el término de PbD para
explicarse a sí mismos (p.e. privacidad integrada en el diseño)  recolección (y almacenamiento) de datos,
generando definiciones recursivas circulares (Privacidad por  procesamiento de información,
Diseño significa aplicar Privacidad por Diseño). Por otro lado,
 diseminación de la información (transferencia) e
resulta realmente difícil llevar a la práctica o traducir estos 7
(siete) principios de PbD a estrategias o metodologías de  invasión
diseño, análisis o desarrollo (el proceso de construcción) de los Si consideramos entonces un sistema de TI como un sistema de
sistemas informáticos. almacenamiento y procesamiento de información, en general
A. De los principios jurídicos a los requerimientos técnicos este cuenta con un sistema de base de datos. Más aun, la
legislación de datos personales se redactó teniendo en "mente"
En [8] en lugar de partir de los principios de PbD propuestos
este modelo.
por Cavoukian, se realiza un análisis de los requerimientos de
privacidad tomando como insumo marcos legales y regulatorios En resumen, a partir de los requerimientos derivados del marco
de protección de datos personales y privacidad. En este trabajo regulatorio y legal de protección de datos personales y
se tomó como punto de partida el marco regulatorio Europeo, privacidad, los 4 (cuatro) grupos básicos de actividades que
las guías de la OECD (Organization of Economic Co-Operation afectan la privacidad y el modelo subyacente de los sistemas de
and Development) y las especificaciones técnicas ISO 29100 información se pueden derivar 8 (ocho) estrategias de diseño de
(Privacy Framework). A partir de este análisis los autores privacidad: MINIMIZE, SEPARATE, AGGREGATE, HIDE,
INFORM, CONTROL, ENFORCE y DEMONSTRATE. Estas
derivan 8 (ocho) requerimientos de privacidad que tienen como
estrategias a su vez se pueden agrupar en dos clases: data-
objetivo satisfacer las exigencias legales. Estos son luego
oriented y process-oriented.
tomados como insumo para derivar las estrategias de diseño de
privacidad que den soporte a la construcción de sistemas de TI B. Hacia la construcción de sistemas PbD
que contemplen los requerimientos de privacidad en etapas Como bien sabemos la seguridad, así como la privacidad son
tempranas del desarrollo (diseño y análisis). Los requerimientos propiedades fundamentales de los sistemas que están
derivados en [8] para cumplir el marco legal y regulatorio de fuertemente influenciadas por el proceso de diseño y
protección de datos personales y privacidad analizados, son los construcción. No son propiedades que se puedan hacer cumplir
siguientes: (enforce) como un agregado al sistema luego de desarrollado
 Limitación de propósito sino que debe considerarse desde las etapas más tempranas y
durante todo su ciclo de vida.
 Minimización de los datos
 Calidad de los datos
 Transparencia (Openness en términos de la OECD)
 Data Subject Rights (en términos de consentimiento,
derecho de acceso, eliminar y rectificar datos
personales)
 Derecho al olvido
 Protección (seguridad) adecuada
 Portabilidad de los datos
 Notificación de los casos de violación de acceso a
datos personales.
 Auditoría y (quizás) asegurar el cumplimiento
(compliance).
16
de privacidad se basan en mecanismos básicos de ingeniería de

seguridad, por ejemplo, mecanismos para garantizar la
confidencialidad, integridad o disponibilidad, las actividades de
ingeniería de seguridad como el análisis de riesgos y amenazas
también deben acompañar el proceso. Existe poca experiencia
en el diseño de sistemas con la privacidad en mente, la que
adicionalmente es en general inaccesible para los diseñadores
de políticas que discuten los principios de Privacidad por
Diseño.
Una de las estrategias que ha sido recurrentemente utilizada

para el diseño de sistemas informáticos que preserven la
privacidad es la aplicación de técnicas de minimización. Por
minimización de datos se entiende la no recolección de datos
innecesarios para implementar en forma adecuada las
Figura I: PbD en el ciclo de vidad de desarrollo de sistemas funcionalidades del sistema, limitando así el posible impacto de
privacidad que tenga en este. Ahora bien, por minimización de
Como se ilustra en la Figura I las estrategias de diseño deberían datos, no solo nos referimos a los datos recolectados sino
asistir las etapas de desarrollo conceptual y análisis del ciclo de también a la exposición de estos fuera del dominio de confianza
vida de software (SDLC por sus siglas en inglés), los Privacy del titular de los datos (o usuario del sistema). Se debe ampliar
Design Patterns la etapa de diseño y las Privacy Enhanced el concepto y hacer referencia a las distintas estrategias de
technologies (PETs) deberían ser utilizadas durante la diseño que restrinjan el flujo de datos bajo el dominio o control
implementación. Ahora bien, se necesita poder contar con del usuario evitando así dominios controlados por terceros.
estrategias de diseño de privacidad y una metodología para su
aplicación en las etapas iniciales del SDLC. Este es uno de los En [12] se identifica como estrategia primaria de diseño de
principales desafíos a la hora de poner en práctica los principios privacidad la minimización del riesgo y la necesidad de
de PbD. confianza (need for trust). Por “riesgo”, se entiende limitar
siempre que sea posible la probabilidad y el impacto de un
En las últimas décadas se han propuesto y definido un amplio evento que provoque la perdida de privacidad. Por “necesidad
abanico de técnicas y tecnologías de Privacy Design Patterns y de confianza”, se hace referencia a limitar cuando sea posible
PETs, como ser Zero-knowlege Proofs, Private Information la dependencia a que otras entidades se comporten como es
Retrival (PIR), anonimización, Attributed Based Credentials esperado con respecto al manejo de datos sensibles. Por otro
(ABC), Differential Privacy entre otros. Sin embargo PbD debe lado, con “minimizar la necesidad de confianza” se refiere a una
primero considerarse a nivel del diseño, concepción o de la falta de confianza "emocional" en otras entidades. Este
arquitectura del sistema de software que se está diseñando. concepto está en realidad relacionado con que las entidades
Desde el punto de vista ingenieril esto es un desafío sobre el logren la funcionalidad del sistema, sin que la misma esté
cual actualmente se está investigando. condicionada a la recolección y procesamiento de grandes
volúmenes de datos sensibles que puedan llevarnos a la pérdida
V. PERSPECTIVAS TÉCNICAS Y JURÍDICAS de privacidad. En la mayoría de los casos, el concepto de
minimización de riesgos es equivalente a minimizar el riesgo
Existen visiones diferentes y complementarias del concepto de que se materialicen fugas de datos personales. La estrategia de
Privacidad por Diseño. Como se señala en [10], puede minimización en realidad está expresando una familia de
entenderse que es un concepto multifacético. Por un lado, en estrategias derivadas, como ser:
documentos legales se describe usualmente en términos muy
generales. Por otro, los computistas e ingenieros informáticos a  Minimización de recolección, limitando siempre que
menudo lo equiparan con el uso de estrategias, Privacy Design sea posible la cantidad de datos que son recolectados
Patterns o PETs. Sin embargo, entendemos que la Privacidad (capturados) y almacenados por el sistema.
por Diseño no es ni una recopilación de meros principios  Minimización de disclosure, restringir el flujo de
generales ni puede solo reducirse al uso de estrategias o información a aquellas partes (componentes) o
mecanismos, es un proceso que involucra variados entidades al que los datos están relacionados.
componentes tecnológicos y organizacionales que son usados
 Minimización de inferencias (linkability), que se
para implementar principios de privacidad y protección de
pueda hacer vinculando datos del sistema,
datos. Estos suelen ser derivados de requerimiento legales, a
pesar de que a menudo son insuficientemente especificados. La  Minimización de retención, de los datos en el sistema.
construcción de sistemas de información que garanticen
requerimientos de privacidad no es posible si esos requisitos no Persiste de todas formas la pregunta de cómo aplicar estas
son integrados desde el inicio en las actividades típicas de estrategias de diseño en el proceso de construcción de sistemas
ingeniería de sistemas. Dado que la mayoría de los requisitos informáticos. En los trabajos [13] y [12] se analiza este punto y
17
se propone una metodología basada en una serie de actividades Requerimientos de Principios y derechos
a seguir en la etapa de diseño del sistema. Otros trabajos [14, Privacidad Ley Nº 18.331
15] llegan a proponer un modelo formal como marco para [8]
desarrollar esta actividad.
Limitación de propósito Principio de legalidad (art.6)
En otra línea de investigación, se encuentran propuestas Principio de Finalidad (art. 8)
fundadas en una taxonomía para una mejor gobernanza de los Derecho a la información (art.
datos personales [16]. Este trabajo propone un modelo pre 13)
definido que ayude a las empresas a clasificar su información Principio de Veracidad (art.7)
para un mejor control del flujo de datos personales. Minimización de los datos
Principio de Finalidad (art.8)
Lo cierto es que esta es un área incipiente de investigación y Calidad de los datos Principio de Veracidad (art.7)
en evolución con pocas metodologías para su aplicación en
proyectos de desarrollo, las que cabe destacar requieren un alto Transparencia (Openness en Derecho a la Información (art.
nivel de expertise para su puesta en práctica, así como una términos de la OECD) 13)
regulación legal expresa que permita su efectivo desarrollo.
Data Subject Rights (en Principio del Previo
Actualmente el equipo de trabajo está investigando las
Consentimiento (art. 9)
metodologías y técnicas propuestas para validarlas en casos términos de consentimiento,
derecho de acceso, eliminar y Derecho de Acceso (art. 14)
prácticos. Si bien es cierto que la regulación de la privacidad y
rectificar datos personales) Derecho de rectificación,
la protección de datos personales otorgan un marco conceptual
actualización, inclusión o
para la aplicación de la Privacidad por Diseño, no puede
supresión (art. 15)
sostenerse que sea suficiente para exigir su efectiva
Derecho de impugnación de
implementación, y mucho menos la forma de hacerlo. Una
las valoraciones personales
constatación irrefutable al relevar el contexto normativo y
(art. 16)
repasar la evolución histórica de este concepto, resulta que debe
ser regulado a texto expreso para que su implementación se Derecho al olvido Principio de Veracidad (art. 7)
torne uniforme, de lo contrario, persistirá simplemente como Principio de Finalidad (art.8)
buena práctica. Derecho de supresión (art. 15)
Protección (seguridad) Principio de Seguridad (art.

En el caso de Uruguay, la ley Nº 18.331 sigue el anterior
10)
modelo europeo de protección de datos personales, tomando adecuada
como fuente de inspiración la Directiva 95/46/CE, así como la Derecho de Acceso (art. 14)
Ley Orgánica 15/999 española en la materia, que no preveían Portabilidad de los datos
su regulación en particular, debido a que se trataba de una teoría
incipiente de escaso desarrollo. Se considera necesario que Notificar los casos de Derecho de Información (art.
13)
próximas reformas legislativas incorporen la Privacidad por violación de acceso a datos
personales. Principio de Seguridad (art.
Diseño en el ordenamiento jurídico interno. 10)
Principio de Responsabilidad
VI. AVANCES (art. 12)
Dentro de los aspectos que han sido estudiados por el equipo de
trabajo, uno de los primeros consensos al que se arribó fue la
necesidad de trabajar en la armonización del vocabulario Auditoría y (quizás) asegurar Principio de Legalidad (art.
el cumplimiento 6)
técnico-ingenieril y jurídico, desde que se constató en reiteradas Derecho de Acceso (art. 14)
ocasiones las diferentes acepciones de un mismo término desde (compliance).
Derecho de rectificación,
ambos ámbitos. Este problema sucede con mucha frecuencia a actualización, inclusión o
la hora de la implementación de soluciones técnicas derivadas supresión (art. 15)
de requerimientos legales. En este sentido, se considera Derecho de impugnación de
necesario trabajar en forma conjunta para definir el alcance de las valoraciones personales
los conceptos utilizados en el marco de la PbD, con la finalidad (art. 16)
de homogeneizar su interpretación. Principio de Seguridad (art.
10)
Un resultado preliminar obtenido lo constituye el desarrollo, a Principio de Responsabilidad
partir del resumen de los 10 requerimientos de privacidad (art. 12)
presentados en [8] y derivados del marco jurídico europeo, las
guías de la OECD y la ISO 29100, del cotejo de estos Tabla 1: Cotejo de requerimientos de PbD y derechos de ley
requerimientos con los principios de la Ley Nº 18.331 a los
efectos de verificar su cumplimiento. La Tabla 1 presenta una La referida tabla fue elaborada en base a los requisitos jurídicos
descripción muy resumida del resultado del estudio contenidos en la Ley N° 18.331, según el razonamiento que se
comparativo realizado. describe a continuación.
18
Se considera que el requerimiento limitación de propósito, por el principio de seguridad que consiste en garantizar la
cumple con el principio de legalidad que establece que la seguridad y confidencialidad de los datos personales mediante
formación de bases no puede tener finalidades violatorias de la adopción de medidas tendientes a evitar la adulteración,
derechos humanos o ser contrarios a las leyes o a la moral pérdida, consulta o tratamiento no autorizado así como detectar
pública. Además, cumple con el principio de finalidad que desviaciones de información intencionales o no ya sea que los
indica que los datos sean utilizados para el propósito para el riesgos provengan de la acción humana o del medio técnico
cual fueron recolectados, y con el principio de información que utilizado. Los datos deberán ser almacenados en bases que
obliga a notificar al titular del tratamiento previsto al momento reúnan condiciones técnicas de integridad y seguridad, y de
de colecta de sus datos. modo que permitan el ejercicio del derecho de acceso de su
titular.
La minimización respeta los principios de veracidad y finalidad
en tanto los datos que se vayan a tratar no serán excesivos en Otro requerimiento es la portabilidad de los datos, este
relación con la finalidad para la cual se hubieren obtenido. requerimiento amplía el derecho de acceso que está regulado a
nivel nacional en los términos ya mencionados en virtud de que
La calidad de datos como requerimiento cumple con el el titular no solo puede acceder sino que puede traslado de sus
principio de veracidad en tanto los datos deben ser ciertos, datos directamente o exigir su traslado de un prestador a otro.
adecuados, ecuánimes, no excesivos, exactos y actualizados.
También se contempla el requerimiento de notificación en los
La transparencia contempla en todo el derecho a la información casos de violación de acceso a datos personales. Jurídicamente
frente a la recolección de datos debido a que es necesario nuestra regulación lo contiene en el derecho de información ya
informar previamente a los titulares en forma expresa, precisa descripto y en los principios de seguridad ya mencionados y de
e inequívoca la finalidad para la cual van a ser tratados, la responsabilidad que implica que quien decida sobre el uso y
existencia de la base de datos, la identidad y domicilio del tratamiento de datos responde por las violaciones a la normativa
responsable, el carácter obligatorio o facultativo de las vigente en la materia. Es importante destacar que el artículo 8º
respuestas al cuestionario que se le proponga, las consecuencias del Decreto Nº 414/009, de 31 de agosto de 2009, reglamentario
de proporcionar los datos o de la negativo a hacerlo o de su de la Ley, prevé expresamente la notificación a los titulares de
inexactitud, la posibilidad del titular de ejercer los derechos de datos cuando el responsable o encargado de la base de dato o
acceso, rectificación o supresión de los datos. tratamiento conozca de la ocurrencia de vulneraciones de
seguridad en cualquier fase del tratamiento que realice, que
Los data subject rights se conceptualizan en términos de sean susceptibles de afectar de forma significativa los derechos
consentimiento, derechos de acceso, eliminación y rectificación del interesado, debiendo informarles de este extremo.
de datos personales. Desde el punto de vista jurídico este
requerimiento prevé la observancia del principio de previo El último requerimiento consiste en auditoría y cumplimiento.
consentimiento informado entendido éste como una Desde la perspectiva legal éstos básicamente contemplan todos
manifestación libre, previa, expresa e informada que deberá los principios anteriores, con especial hincapié en los ya
documentarse. Además, refiere al cumplimiento del ejercicio mencionados de legalidad, seguridad y responsabilidad y los
de los derechos por parte del titular de acceder a toda la derechos de acceso, rectificación, actualización, inclusión,
información que se halle en bases de datos públicas o privadas, supresión y de impugnación de valoraciones personales.
a rectificarla, a actualizarla y suprimirla en los casos de
perjuicio a los derechos e intereses legítimos de terceros,
notorio error o contravención legal, o solicitar la inclusión si VII. TRABAJO FUTURO
correspondiere. Cuando se trate de bases de datos con fines de Un objetivo a lograr en el corto plazo es la elaboración de un glosario
publicidad el titular puede solicitar en cualquier momento el
de términos y conceptos que permiten caracterizar, entender y explicar
retiro o bloqueo de sus datos personales. Asimismo, se
las peculiaridades de la disciplina. En particular interesa documentar
considera que queda comprendido el derecho a la impugnación
las visiones, ya sean convergentes o complementarias, que surgen
de valoraciones personales cuando el titular es sometido a una
valoración de su comportamiento cuyo único fundamento sea desde el entendimiento e interpretaciones de esos conceptos tanto del
un tratamiento que ofrezca una definición de sus características dominio jurídico como del ingenieril.
o personalidad.
Asimismo, importa promover la regulación expresa en Uruguay
Otro requerimiento es el derecho al olvido. En este aspecto de la Privacidad por Diseño dentro del marco legal nacional de
desde una perspectiva jurídica este requerimiento contempla los protección de datos personales, con la finalidad de exigir su
principios de veracidad y finalidad así como el derecho de efectivo cumplimiento, teniendo especialmente en cuenta la
supresión. Esto es, los datos deben ser veraces, exactos y estar mirada técnico-ingenieril para evitar caer en exigencias
actualizados, ser utilizados para la finalidad para la cual fueron irrealizables que transformen la ley en letra muerta.
recabados teniendo el titular del dato el derecho a solicitar su
eliminación en los casos ya mencionados. En lo que respecta a metodologías y herramientas para el diseño e
implementación de mecanismos que provean soporte automatizado
Un requerimiento más es la protección (seguridad) adecuada. para la aplicación de técnicas de PbD, en la actualidad se está
Desde la óptica del Derecho este requerimiento queda abarcado investigando en dos líneas principales. Tomando como objetivo el
19
cumplimiento de las normas de privacidad que rigen sobre las bases [2] A. Cavoukian, Privacy by Design: The 7 Foundational Principles, reporte
técnico, Comisionada de Información y Privacidad de Ontario, enero
de datos registrales en Uruguay, se está avanzando en la definición de 2011 (versión revisada).
herramientas que puedan ser utilizadas tanto por los proveedores de [3] D. Hurley, La estrella polar: Los derechos humanos en la sociedad de la
datos como por los colectores para garantizar/validar que la información, versión en español, Auditoría Democrática Andina, Quito
2003.
manipulación de los datos que albergan esas bases se realiza en forma [4] G. Romero, Interés público y protección de datos personales con especial
acorde con lo estipulado por las normas referidas. En particular se está referencia a los Derechos Humanos, Seminario regional de Protección de
trabajando en el diseño de una API que exporta funcionalidades que Datos REDIPD, Montevideo 2010.
[5] Resolución 2012/484/UE de la Comisión Europea, de 21 de agosto de
permiten realizar consultas y modificaciones sobre una base de datos 2012
relacionales. La API está siendo concebida como un wrapper de [6] V. Pérez Asinari, Impacto en Uruguay del Nuevo Reglamento de la Unión
consultas SQL que incorpora la interpretación de instrucciones Europea sobre Protección de Datos Personales, Revista Uruguaya de
Protección de Datos Personales, Unidad Reguladora y de Control de
orientadas a definir políticas de privacidad. Complementariamente se Datos Personales, Número 1- Agosto 2016, Montevideo.
están investigando modelos algebraicos para la definición, [7] A. Cavoukian y C. Popa, Privacy by ReDesign: A Practical Freamework
manipulación y validación de políticas que incorporen reglas de los for Implementation. Information and Privacy Commissioner of Ontario,
Noviembre 2011.
cuatro tipos esenciales de requerimientos de privacidad: Propósito, [8] J. Hoepman, Privacy Design Strategies, ICT Syst. Secur. Priv. Prot. Adv.
Visibilidad, Granularidad y Retención. Inf. Commun. Technol., vol. 428, pp. 446–459, 2014.
[9] D. J. Solove, A Taxonomy of Privacy, Univ. Pa. Law Rev., vol. 154, no.
3, pp. 477–560, Jan. 2006.
Concurrentemente se ha comenzado a investigar técnicas de [10] G. Dezanis, J. Domingo-Ferrer, m. Hansen, J-H Hoepman, D. le Métayer,
R. Tirtea, S. Schiffner, Privacy and Data Protection by Design – from
anonimización y su aplicación en el dominio de Learning Analytics. policy to engineering, ENISA, 2014.
Miembros del equipo están participando en un proyecto que tiene [11] Bier C., Birnstill P., Krempel E., Vagts H., Beyerer J., Enhancing Privacy
como principal objetivo desarrollar herramientas que permitan aplicar by Design from a Developer’s Perspective. In: Preneel B., Ikonomou D.
políticas de privacidad a los procesos de inferencia de información que (eds) Privacy Technologies and Policy. APF 2012. LNCS, vol 8319.
Springer, 2014.
se ejecuten sobre grandes colecciones de datos provenientes de un [12] S. Gürses, C. Troncoso, C. Diaz, Engineering Privacy by Design
entorno educativo. Reloaded, Amst. Priv. Conf., 2015.
[13] S. Gürses, C. Troncoso, C. Diaz, Engineering Privacy by Design, In
Computers, Privacy & Data Protection, page 25, Brussels, 2011.
VIII. AGRADECIMIENTOS [14] T. Antignac, D. Le Métaver, Privacy by Design: From Technologies to
Los autores desean agradecer los comentarion e indicaciones Architectures (Position Paper). LNCS 8450, pp 1-17, 2014.
[15] K. Ghazinour, M. Majedi, K. Barker, A Lattice-based Privacy Aware
brindados por los evaluadores anónimos. Access Control Model. International Conference on Computational
Science and Engineering, 2009.
REFERENCIAS [16] C. Levallois-Barth, H. Zylberberg, A Purpose-Based Taxonomy for Better
Governance of Personal Data in the Internet of Things Era: The Example
[1] M. Bauzá, Derechos Fundamentales, Privacidad y Tecnología en of Wellness Data, Data Protection and Privacy; (In)visibilities and
equilibrio. Unidad Reguladora y de Control de Datos Personales, Infraestructures, Law, Governance and Technology Series, volume 36, pp
Montevideo 2013. 139-161, Springer, 2016.
20
Alexander Barinas, Claudia Rodríguez, Helena Alemán
Methodology to evaluate security in the Moodle

platform
Alexander Barinas – Claudia Rodríguez – Helena Alemán
Fundación Universitaria Juan de Castellanos
abarinas@jdc.edu.co – crodriguez@jdc.edu.co – haleman@jdc.edu.co
Abstract—This article describes the phases to evaluate the learning environments and will serve as a strategy to maintain
security level of a Web application, in this case the Moodle platform, the security of the information in a high degree of reliability,
through the design of a methodology based on security standards, as
well as the Open Web Application Security Project - OWASP, from both for the educational institutions and for the users.
which establishes criteria and metrics created in a spreadsheet to
evaluate the security of this platform, subsequently, investigates and II. LITERATURE REVIEW
selects tools for the analysis of vulnerabilities, finally proposes a
methodological guide of security evaluation, Which allows When talking about security, it is important to distinguish
determining the level of security in a quantitative and qualitative way the purposes of protection mainly focused on Information
according to the aspects of confidentiality, integrity and availability
of the information. Security and Data Protection, however, it is necessary before
Keywords: Security methodology, Information security, addressing the existing problem in learning platforms such as
Vulnerability, Moodle platform. Moodle, submit a description Of the most relevant theoretical
foundations that will serve as a basis for the development of
the proposed methodology, which are broken down as
I. INTRODUCTION follows:
Security is a key aspect that every system must incorporate, A. Web Security
so the concept of security in information systems is an area of Currently on the Internet you will find countless services
research that has become relevant both in educational and applications running on the net, from online commerce,
institutions and organizations with the aim of protecting The transactions that move huge amounts of money, web searches,
assets of its technological infrastructure, so that with the rise email, also social networking sites that contain important and
of the Internet and other applications on networks, the confidential information about their Members [1].
possibility of attacks has increased significantly. At present it
is essential that every system incorporates security aspects to While the number of connections to the network increases
protect against malicious attacks, reason that has motivated considerably, as well as the migration of applications and
companies and organizations to make important changes, users to Internet services, the demand for secure Web services
related to the strengthening of computer security, investing in grows; threats and consequences are evident as shown in
security mechanisms for the protection of their assets. Table I [2]. Undoubtedly, the most critical aspect of Internet
security lies in the actors that intervene directly in their use
Thanks also to the Internet, the use of educational platforms and provision of services, that is, users and web servers.
has become more widespread for the development of
academic processes, however, such platforms in this case As is well known, security failures in web servers are often
Moodle are not exempt from cyber-attacks, that is why, a caused by carelessness of protection mechanisms, failure of
detailed research work was done on the vulnerabilities that access control and protection of applications and data [3],
exist in this platform, and the result of it is summarized in the however, the greater number of Security problems that arise
present document, describing the design of a methodology that are due to defective writing or code errors by developers,
establishes the stages or phases to evaluate security in the since in many occasions, their objective is the functional
Moodle platform, the work begins with a research on the delivery of the application and downplaying the importance of
security regulations framework in web applications, then the the use of software development methodologies Secure
evaluation criteria are selected to be applied to the platform, SSDLC, without taking into account the risk that can run both
then security tests are applied through the use of tools, to the system and the information processed.
finally proceed to the validation of the methodology.
General aspects of website security.
The results obtained in each phase will be fundamental for
the achievement of the next phase, until the degree of security The most frequent purposes of an attack on a website may
in the Moodle platform can be measured. The proposed be [4-5]:
methodology will be very useful for the detection of possible
attacks and vulnerabilities that can be presented in these
21
- Leave the site out of service, which is known as Denial of - Implementation

Service (DoS). The reasons that lead to this type of attack can - Destruction of user of solid access
be to impede the access to the competition, to demonstrate processes. control
- mechanisms.
-
Disruption
technical skills or simply to attempt against the availability of
- -
Denial of Service
Availability
(DoS) attacks. Anonymity Implementation
the system.
- Disable disk or - Prevents of redundant
systems in
memory users from
-Modify the content of a site, to affect the image of an critical
-
doing their
Cuts in applications.
organization or simply for fun, undermining the integrity of work.
the system.
communication - Backups of
lines. vital
information.
- Obtain unauthorized information, in order to capture
- Incorrect - Cryptographic
sensitive information from people, such as bank account files,
Authentication
representatio techniques.
perform espionage of interest for the competition, affecting -
-
Impersonation of n of the user.
-
legitimate users. User
the confidentiality of the information. Belief in the Authentication
- validity of
-
Falsification of data
false Authorization
-Take control of the server in order to attack another server information. of users
without being discovered of its criminal actions, even used to
make an attack on the company where the server is.
B. Standard ISO 27001.
As information is an intangible asset and essential for the
Knowing that the motives of the attacks are diverse, from
functioning of any organization, it is essential to offer greater
that young person who wants to test their technical skills, to
importance to the assurance and conservation of the same, for
the acts of cyber-terrorists that can prevent the normal
this, it is necessary to have a normative standard that
operation of a company or obtain sensitive information. In this
determines the necessary aspects to approach this task in a
way, the success of an attack will depend on the thorough
Clear, documented and based on precise security objectives
analysis of the behavior of the website, its weaknesses or poor
way through an assessment of the risks to which the computer
access control. Faced with this case, there are several ways to
assets of an organization are exposed.
address the problem, taking into account the following
aspects:
ISO 27001 is the main standard of the 27000 series [6],
- Back up and retrieve information during the use of the
which contains the requirements of the Information Security
website, such as programming language, file structure,
Management System (ISMS) and its fundamental objective is
cookies, among others.
to protect the confidentiality, integrity and availability of
- Detect the hidden parts of the site: directories, database
information in any Type of organization. This is done by
structure.
identifying the potential drawbacks that can affect information
-Establish an attack strategy based on the information
(risk assessment) and by establishing controls to avoid these
collected.
problems (risk mitigation). Within the relevant aspects of
standard 27001, integrity is taken as references in order to
TABLE I. THREATS, CONSEQUENCES AND
verify that the information is correct and complete the
COUNTERMEASURES TO WEB SAFETY
availability to check that it is always available to the business
Threats Consequences Countermeasures
and the confidentiality to ensure that the information is used
- Viruses, backdoors
only by people who are authorized to do so. In addition, it is
and Trojan horses - Loss of
-
- Modification of user information
Data
Encryption
important to apply this standard as it contains the necessary
provisions and guidelines for the implementation of an ISMS
data. - Machine
-
Integrity
- Careless coding Compromise

Intrusion
detection
[7]. The controls and control objectives related to the
- Replacements or d
systems.
software, which are related within ISO 27001, Annex A of the
accidental erasures. - Vulnerability
- Abstracts
same, section A.12 (A.12.1.1 - A.12.2.4).
- Traffic modification to all other
threats.
checks
of messages in C. Open Web Application Security Project (OWASP)
transit. This open-source project (Community, Foundation, and
- Network monitoring Organization) is dedicated to identifying and combating the
- Capture information - Loss of - causes that make software unsafe, this non-profit organization
Confidentiality
Data
about network information Encryption concentrates its efforts on the management of methodologies
configuration.
- to support the Organizations to develop, purchase, maintain
- -
Classification
Unauthorized access Loss of of data and improve the security of computer applications. This
-
to files. confidentialit
- y Proxies Web organization establishes a set of standards that define and
Unauthorized remote
access to databases. establish the baseline to develop and conduct different types
and levels of security robustness of an application. In the case
of Web applications, the OWASP initiative is presented as an
22
important guide to be taken into account for the security of III. METHODOLOGY
this type of applications, since OWASP continually studies the The methodology used for the development of this research
most frequent vulnerabilities and attacks (Table II) and follows the process described in Fig. 1, where from a series of
proposes the ways of coping with these [8-9]. consecutive stages and composed of different activities the
security evaluation of the Moodle platform is carried out,
TABLE II. TOP OF VULNERABILITIES IN WEB APPLICATIONS (OWASP being able to measure The level of security in which it is and
2017). thus provide information that allows security administrators to
Vulnerability Description
make timely decisions and the formulation of contingency
Corresponds to the injection of code, with
A1 - Injection SQL injections being one of the most plans to mitigate possible risks.
common.
A2 - Broken This design was the result of the analysis and selection of
Corresponds to the mismanagement of
Authentication and standards, tools and methodologies in order to fulfill the
sessions in those applications that use
Session objectives proposed in the research.
authentication.
Management
A3 - Cross-Site It occurs when there is poor validation of the
Scripting (XSS) information entered by the attacker.
1. System
A4 - Broken
It may lead to unauthorized access to critical 2. Test design
information due to failure to restrict status
Access Control
authenticated users.
Corresponds to inadequate configurations that
A5 - Security
can impact the security of the application
Misconfiguration
itself.
It refers to the incorrect protection of critical 3. Vulnerability 4. Security
A6 - Sensitive Data
Exposure
data such as: credit card numbers, passwords, identification assessment
among others.
It is presented by insufficient mechanisms to
A7 - Insufficient
protect applications against the number of
Attack Protection
manual and automated attacks.
A8 - Cross-Site It allows an attacker to generate requests 5. Analysis of
Request Forgery about a vulnerable application from the results
(CSRF) victim's session.
A9 - Using Corresponds to the exploitation of libraries,
Components with frameworks and other vulnerable components
Fig. 1. Methodological design of security evaluation
Known by an attacker in order to gain access or
Vulnerabilities combine with other attacks.
A10 - Currently, modern applications connect to an A. System state phase
Underprotected API of some kind that is often unprotected In this phase the identification of the application to be
APIs and contains numerous vulnerabilities. evaluated (moodle platform) is performed, as well as the
recognition and registration of the characteristics of the private
network where the Web server is located as shown in Table
D. Moodle Platform. III, which Hosts the platform, operating system version,
It is a dynamic virtual learning environment, made up of updates, protection mechanisms, among others, taking into
software packages for creating web-based courses, allowing to account that the server equipment is without firewall
distribute various types of files such as texts, spreadsheets, protection with prior authorization of the technology manager
pdf, videos, and images, among others. Moodle is freely to perform security testing.
distributed (under the GNU Public License), i.e., this software
is copyrighted, but can be used and modified as long as the TABLE III. WEB SERVER FEATURES
source code is kept open for all [10-11]. CPU Intel Xeon 2.4 GHz
RAM 8 Gb
The development of Moodle was born as part of the Operative System Linux Red Hat 7 Enterprise version server
research work of Martin Dougiamas, Curtin University Stack LAMP
(Australia) [12], whose main objective of this project was to Web Server Apache
Data base MySQL 5.4
explore the possibilities offered by the Internet, from the point
Web Language PHP 5
of view of constructionist social pedagogy, in the teaching-
Platform Moodle 2.6.2
learning process. Moodle is the acronym for Modular Object
Oriented Dynamic Learning Environment, which was
To carry out these tests, they are done from a remote
designed to be able to develop content in accordance with the
computer with Linux operating system and running the
philosophy of Learning Objects.
security tools proposed and described in the next phase.
23
B. Test Design Phase At this stage, the test design defined in the previous phase is
In the test design phase, relevant security analysis tools applied to later perform the analysis of detected
were selected according to a previous research establishing the vulnerabilities, both with automatic and manual tests.
most appropriate to the particular case as shown in Table IV,
in addition it is sought to identify the vulnerabilities to be D. Safety assessment phase
evaluated according to OWASP 2017 top 10 and according to To follow up this phase, it was necessary to design a
the criteria defined in ISO 27001 which will complement the template in Microsoft Excel, Fig. 2., called (Security
evaluation. Assessment Metrics-template), this template has 20 questions,
which are represented in six metrics, in which each Metric has
TABLE IV. VULNERABILITY ANALYSIS TOOLS a value assigned according to the impact of the vulnerability in
W3af terms of Integrity, Availability and Confidentiality criteria,
Tools used for vulnerability analysis IronWASP which are calculated automatically when the evaluating agent
SQLMap determines whether or not a vulnerability exists (with YES or
NO) and an observation that must be written in the respective
In this stage, other activities are also carried out, such as the box.
design of appropriate metrics with their corresponding weights
described in Table V, which allow evaluating the level of
security of the Moodle platform.
TABLE V. DESCRIPTION OF WEIGHTS

Values taking
Weight
Metric into account
ing
OWASP
Configuration Management 15% 0 – 15
Management of encoding and input
24% 0 – 24
validation
Access Control and Authentication
16% 0 – 16
Management
Session management and user 16% 0 - 16
Errors and exceptions management 6% 0-6
Sensitive data management 23% 0 - 23
Taking as an example the metrics of management of coding

and input validation, which has a weighting of 24 points
according to the criteria of integrity (I), confidentiality (C) and
availability (A) as presented in Table VI, Each metric contains
Fig. 2. Security Assessment Template
security assessment questions with assigned values taking into
account the impact of vulnerability on the network in relation
E. Results Phase
to the exploitability, prevalence and vulnerability aspects
The results phase allows to obtain the values of each one of
according to OWASP.
the metrics, once all the metrics have been evaluated with
their respective aspects, one proceeds to establish or to obtain
TABLE VI. MANAGEMENT OF ENCODING AND INPUT VALIDATION
a result of the measurement or level of security by each of its
Nº Question I. C. A. YES/NO elements, integrity, confidentiality, and availability, as shown
Are there SQL injection in Table VII and its graphical representation according to Fig.
4 9 9 8
vulnerabilities?
3.
Are there Remote File
5 7 7 7
Inclusion vulnerabilities?
Are there Local File Inclusion TABLE VII. EVALUATION RESULTS OF THE MOODLE
6 5 5 6 PLATFORM
vulnerabilities?
Are there Cross Site Scripting Integrity 94
7 3 3 3
vulnerabilities? Confidentiality 94
Total: 24 24 24 Availability 86
Moodle Security 91,33
C. Vulnerability identification phase Level High
This stage starts with the download of the security analysis
tools from its official page (sqlmap, w3af, IronWASP), later it
is configured and executed each tool towards the web server
that is the objective of test analysis.
24
MOODLE SECURITY LEVEL The results of the research show the importance of having
the design of the methodology since it allowed to evaluate the
96 94 94
94 security of the virtual platform Moodle of Juan de Castellanos
91,33 University , which indicates that at this moment it is in a high
92
90 level of Security, however, it is necessary to continue applying
88 86 the methodology periodically for its evaluation, where it is
86 evident the level of security in which the institution is, in order
84
to take corrective measures against the possible threats that
82
appear.
Integrity Confidentiality Availability Moodle
security
REFERENCES
Fig. 3. Graphic result of the evaluation to Moodle
[1] A. Romero, “Aspectos básicos de la seguridad en aplicaciones Web”.
Available:http://www.seguridad.unam.mx/documento/?id=17, April
According to the evaluation template, this allows to show 2016.
the results of the evaluation graphically, at a quantitative level [2] E. Daltabuit, E., L. Hernández, G. Mallén and J. Vázquez, La seguridad
for each of its metrics and finally presents the result in a de la información. México: Limusa, 2007.
[3] R. Varsha and K.P. Jevitha, “Web Services Attacks and Security-A
quantitative and qualitative way according to Table VIII. This Systematic Literature Review”, Procedia Computer Science, Volume 93,
means that automatically in the template calculate the data 016, Pages 870-877, September 2016.
taking into account formulas and functions to obtain a final [4] A. Prakash, M. Satish, T. Sri Sai Bhargav and N. Bhalaji, “Detection
and Mitigation of Denial of Service Attacks Using Stratified
valuation with respect to the security state of the application; Architecture”, Procedia Computer Science, Volume 87, 2016, Pages
In this case the Moodle platform is in a high level of security, 275-280, June 2016.
that is to say, it is a reliable learning environment and [5] A. Carlin, M. Hammoudeh and O. Aldabbas, “Defence for Distributed
Denial of Service Attacks in Cloud Computing”, Procedia Computer
maintains robust security mechanisms, however, it lacks Science, Volume 73, 2015, Pages 490-497, December 2015.
restrictions of time, number or captcha for the requests of [6] ISO 27000.ES, El portal de ISO 27001, Available:
authentication of the User of the platform. http://www.iso27000.es/iso27000.html
[7] L. Gómez and P. Fernández, Cómo implantar un SGSI según UNE-
ISO/IEC 27001:2014 y su aplicación en el Esquema Nacional de
TABLE VIII. VALUES FOR EACH SCALE Seguridad. Madrid, ES: AENOR - Asociación Española de
Qualitative value Quantitative value Normalización y Certificación, ProQuest ebrary, 2015.
[8] OWASP Top Ten Project, Creative Commons, available:
Low level 0 – 60
https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project,
Medium level 61 – 90 April 2017.
High level 91 – 100 [9] A. López, OWASP Testing Guide v4.0. Guía de seguridad en
aplicaciones Web. Available:
https://www.incibe.es/blogs/post/Seguridad/BlogSeguridad/Articulo_y_
comentarios/Owasp_4, May 2016.
[10] T. Pérez, O. Arratia and D. Galisteo, Innovación en docencia
IV. CONCLUSIONS universitaria con moodle: casos prácticos. Alicante, ES: ECU, ProQuest
ebrary, 2011.
Information security is a problem that is affecting [11] H. Ueda and M. Nakamura, “GakuNinMoodle: Toward Robust E-
organizations, including the education sector, causing Learning Services Using Moodle in Japan”, Procedia Computer Science,
economic losses as well as in business processes. For this Volume 96, 2016, Pages 1710-1719, September 2016.
[12] J. Valverde, El software libre en la innovación educativa. Salamanca,
reason, it was necessary to design a methodology taking into ES: Ediciones Universidad de Salamanca, ProQuest ebrary, 2014.
account standards and organizations in charge to ensure the
security of web applications which were the inputs for its
design.
Alexander Barinas López Systems Engineer,
The proposed methodology will be very useful for the Specialist in Telematics, MSc in Computer Science.
detection of possible attacks and vulnerabilities that can be Professor, Juan de Castellanos University (Tunja,
Boyacá, Colombia), Member of the MUISCA
presented in this platform, allowing through its use to generate Research Group - IT and information security.
results that will help the directives of the educational
institutions to the decision making and in this way power
Claudia Rodriguez Barrera Systems Engineer, MSc
Improve or implement control mechanisms in the system. in Strategic Management, Specialty:
Telecommunications. Assistant professor, Juan de
The methodology provides tools to mitigate the risks to Castellanos University.
which an educational institution that uses the Moodle platform
is exposed in its teaching processes, and allows the creation of
plans and controls that ensure the information system, with the Helena Alemán Novoa Systems Engineer, Specialist
help of The methodology of risk analysis, institutions can in Pedagogy, MSc in Computer Security. Assistant
professor, Juan de Castellanos University, Member of
optimize their processes and obtain a return on investment. the MUISCA Research Group - IT and information
security.
25
The NSA Surveillance Capabilities According to the

Snowden Documents
Bonifaz Rafael
rafael@bonifaz.ec
Abstract.- On the year 2013, Edward Snowden leaked programas revelados. Adicionalmente se hace referencia a
thousands of documents to the journalists, Glenn Greenwald and noticias de prensa publicadas en la época cuando se hicieron
Laura Poitras. Those documents have been published in media
outlets from around the world. In this paper, the media reports públicos los documentos.
and the documents that support them are analyzed to increase Si bien existe mucha información publicada sobre la
the understanding of how the NSA works. It consists on filtración de Snowden estas son historias sueltas que muestran
organizing the information from what is known of the NSA, partes específicas del funcionamiento de esta agencia. Este
explaining how it collects information, and how it processes it. trabajo organiza la información publicada para que de esta
Finally, some of the spying operations performed by the NSA are
presented. manera se pueda tener una visión sistémica del
funcionamiento de la NSA. La metodología utilizada es de
Keywords NSA, Surveillance, Privacy, Snowden investigación bibliográfica y análisis exploratorio de la
I. INTRODUCCIÓN documentación publicada con el objetivo de conocer cómo
recolecta información, la analiza y realiza operaciones de
La Agencia Nacional de Seguridad de los Estados Unidos espionaje.
(NSA por sus siglas en inglés) se encarga de recolectar El tercer capítulo del libro “Snowden. Sin un Lugar Donde
comunicaciones a nivel global para analizarlas y generar Esconderse” muestra las capacidades de la NSA según
inteligencia. En el año 2013 Edward Snowden, contratista de documentos publicados hasta 2014. A diferencia de ese
la agencia, filtró miles de documentos secretos a los capítulo, aquí se presenta la información organizada y todas
periodistas Glenn Greenwald y Laura Poitras. Estos las fuentes por donde se puede profundizar la investigación de
documentos han evidenciado la capacidad de vigilancia de la cualquiera de los temas presentados. Este documento sirve
NSA y el trabajo coordinado que realiza con empresas como una primera lectura para profundizar la investigación
tecnológicas vulnerando la privacidad de las comunicaciones sobre el funcionamiento de la NSA.
digitales a nivel mundial. En primer lugar se analiza como la NSA recolecta miles de
Desde junio de 2013 a la fecha se han publicado varios millones de comunicaciones a nivel global. Esto lo puede
reportajes de prensa en diversos medios de comunicación al hacer gracias al trabajo coordinado con empresas
rededor del mundo. La Courage Foundation, organización que norteamericanas de telecomunicaciones y servicios en
protege a denunciantes, administra el portal Internet, la colaboración con agencias de otros países, a través
edwardsnowden.com donde, al momento de escribir este de ataques informáticos, operaciones en misiones diplomáticas
artículo, se han publicado 1530 documentos del archivo de alrededor del mundo y a través de la interceptación de señales
Snowden. Cada uno de estos documentos está enlazado con satelitales.
los artículos de prensa que los referencia. De esta manera se En segundo termino, se muestra como la información puede
podría saber si un documento se publicó en The Guardian, ser procesada en sistemas como XKEYSCORE que funciona
Washington Post, de The Intercept u otro. de manera similar al buscador de Google pero sobre
Las fuentes utilizadas para las secciones dos, tres y cuatro comunicaciones privadas. Para el año 2009 podía analizar
de este trabajo son varios de los documentos que filtró contenido de comunicaciones hasta por tres días y metadatos
Snowden, las publicaciones de prensa donde se hicieron hasta treinta días.
públicos estos documentos, el libro “Snowden. Sin un Lugar En tercer lugar, se verán algunas operaciones que ha
Donde Esconderse” escrito por Glenn Greenwald y artículos realizado la NSA a presidentes, políticos, países y
de terceros que permiten contextualizar la información organizaciones internacionales con el fin de obtener beneficios
analizada. para el gobierno de Estados Unidos y sus aliados.
Los artículos de prensa referenciados corresponden a Por último se realiza una breve descripción de como
medios de comunicación a los cuales Greenwald o Poitras podrían operar agencias de inteligencia de otros países gracias
dieron acceso a ciertos documentos . Específicamente se citan al software y hardware de vigilancia disponible para
reportajes de The Guardian de Inglaterra, Der Spiegel de gobiernos. Las fuentes son las revelaciones Spy Files
Alemania, L'Espresso de Italia, The New York Times de publicadas en Wikileaks entre los 2011 a 2014, así como
Estados Unidos, The Washinton Post de Estados Unidos, O también noticias que hacen referencia a estas filtraciones.
Globo de Brasil y el medio digital The Intercept fundado por Si bien este trabajo no analiza todos los documentos
Glenn Greenwald. publicados por Snowden permite tener una idea general sobre
El portal Electrospaces.net ha profundizado el análisis de el funcionamiento de esta agencia. Se espera que sirva como
los documentos publicados con una visión crítica. Esto lo hace fuente inicial para futuras investigaciones sobre la vigilancia
una fuente importante que facilita la comprensión de los masiva en Internet.
26
Bonifaz Rafael
II. RECOLECCIÓN DE INFORMACIÓN organismos multilaterales con los que también podrían
La herramienta “Informante sin Límites” permite a la NSA compartir información.
saber cuánta información se ha recolectado y desde donde se
lo ha hecho. A través de un mapa interactivo se puede ver la
cantidad de llamadas telefónicas y comunicaciones de internet
interceptadas[1].
En el libro “Sin un Lugar Donde Esconderse” Glenn
Greenwald detalla[2] que en 30 días la NSA había recolectado
“97 mil millones de e-mails y 124 mil millones de llamadas
telefónicas de todo el mundo.” Además este programa permite
ver cuántas comunicaciones se interceptan por país.
¿Cómo hace la NSA para recolectar tanta información a
nivel global? Según una diapositiva[3] secreta de la NSA
existen cinco formas en que esta agencia lo puede hacer como
muestra la figura 1.
Figura 2: Fuete: https://edwardsnowden.com
Gran parte de los documentos del archivo de Snowden que

están clasificados como secreto máximo son compartidos con
las agencias de inteligencia de los países de la Alianza de los
Cinco Ojos.
La GCHQ es la agencia de vigilancia de Reino Unido y la
colaboradora más estrecha de la NSA. Esta agencia mantiene
el programa de recolección de datos llamado TEMPORA. Un
documento secreto de la GCHQ dice que Tempora puede
almacenar datos y metadatos para que estos luego sean
accedidos por sistemas como XKEYSCORE. Según el
documento “TEMPORA almacena 10 veces más información
que el segundo XKEYSCORE más grande”.[6]
Figura 1: Fuente: https://edwardsnowden.com La información se recolecta principalmente a través de los
cables de Internet que atraviesan Reino Unido para conectar
El portal Electrospaces.net realizó un análisis basado en este Europa con Estados Unidos. Esto se logra gracias a la
y otros documentos[4]. El mismo determinó que: 3rd colaboración de empresas como Vodafone,Verizon y BT[7].
PARTY/LIASON se refiere a la información recolectada en
colaboración con otras agencias, REGIONAL a la información B. Embajadas y Consulados
En octubre de 2013 el semanario Alemán Der Spiegel
que obtiene a través de embajadas y consulados en el mundo,
publicó un artículo donde explica la forma en la que la NSA
CNE a la que se obtiene mediante ataques informáticos,
pudo haber espiado a Angela Merkel[8]. La investigación
LARGE CABLE a la información que se accede a través de
revela la existencia de unidades conformadas por agentes de la
empresas de comunicaciones y FORNSAT a través de la
NSA y la CIA conocida como “Servicio Especial de
interceptación comunicación de satélites.
Recolección” (SCS por sus siglas en inglés) que operan en
A. Colaboración con otros Países embajadas y consulados alrededor del mundo.
Según Greenwald existen tres niveles de relación entre la En diciembre de 2013 el diario Italiano L'Espresso[9]
NSA y agencias de otros países[2]. En primer lugar se realizó otra investigación basada en los documentos de
encuentran la Alianza de los Cinco Ojos de la que son Snowden donde se muestra que en Italia SCS trabaja en las
miembros Gran Bretaña, Canadá, Nueva Zelanda y Australia. ciudades de Roma y Milán. En las dos investigaciones se
La NSA colabora con estos países para espiar y no los espía destaca el hecho de que los agentes que trabajan en embajadas
salvo que funcionarios de dichos países lo soliciten. En y consulados disponen de inmunidad diplomática.
segundo lugar se encuentran países con los que la NSA Según L'Espresso en 2002 existían alrededor de 65 oficinas
establece alianzas específicas pero que a su vez son espiados SCS en el mundo y para 2010 este número creció a 80. En la
agresivamente. En tercer lugar se encuentran el resto de países figura número 1 se puede ver un listado parcial de las mismas
con los que la NSA no comparte información y que siempre dentro del cuadro Regional.
son espiados. En la figura 2 se puede ver un documento[5] de Las dos investigaciones denuncian la existencia de antenas
2013 que muestra los 2 primeros niveles de cooperación y de interceptación de comunicaciones celulares ubicadas en los
edificios de las embajadas norteamericanas. Las antenas se
27
ocultan detrás de ventanas falsas cubiertas con paneles BLARNEY es un programa paraguas que abarca a otros
dialéctricos que no interfieren con la transmisión de ondas programas. El más conocido es PRISM donde participan
radioeléctricas. A través de las mismas podrían interceptar las empresas de Internet como Microsoft, Google, Yahoo,
comunicaciones de celulares en las ciudades del mundo donde Facebook, Youtube, Skype y Apple. Estas empresas dan
operan. acceso a la información como correos electrónicos, chats,
videos, fotos, llamadas de voz/ip, archivos, actividad en redes
C. En Colaboración con Empresas de Comunicaciones e Internet
sociales y más[14] como se puede ver en la figura 4.
La NSA emplea directamente a unas 30,000 personas y
además mantiene contratos con 60,000 que trabajan en
empresas privadas. Tal es el caso de Snowden que trabajó
dentro de las oficinas de la NSA, pero oficialmente era
empleado de empresas como Dell y Booz Allen Hamilton[2].
El nombre de las empresas que colaboran es un secreto
resguardado por la agencia. En la figura 3 se puede ver una
diapositiva[10] que muestra el nombre de algunas de ellas y
las áreas en las que operan.
Figura 4: Fuente: https://edwardsnowden.com
A diferencia de STORMBREW y FAIRVIEW la

información no se la entrega de forma masiva a la NSA. Esta
se almacena en los servidores de las empresas y agentes de la
NSA deben realizar solicitudes para acceder al contenido. Este
trabajo se hace en conjunto con el FBI que es la agencia que
interactuá directamente con la empresas.
Figura 3: Fuente: https://edwardsnowden.com
Para realizar una solicitud de vigilancia a un objetivo esta
debe ser validada para asegurarse de no espiar a un ciudadano
La unidad de Operaciones de Fuentes Especiales (SSO por
de Estados Unidos. En caso de espiar a un norteamericano se
sus siglas en inglés) es la encargada de manejar las relaciones
debe conseguir una orden judicial de la corte FISA. Si el
entre la NSA y las corporaciones tecnológicas.
blanco de vigilancia no tiene nacionalidad estadounidense,
Gran parte de la recolección de datos se las hace
entonces no tiene ninguna protección legal[15].
directamente a través de los principales cables de fibra óptica
En el caso de Microsoft existe documentación que muestra
que son operados por empresas norteamericanas. Esto se lo
su relación con la NSA y el programa PRISM. Esta empresa
realiza a través de programas que llevan nombres como
trabajó con el FBI para facilitar el acceso a los archivos de
BLARNEY, FAIRVIEW y STORMBREW.
SkyDrive (hoy OneDrive) y ayudó a la NSA para que pueda
En el año 2015 The New York times realizó una
leer el trafico cifrado de Outlook.com. Nueve meses después
investigación[11] donde comparó información de los
de haber comprado Skype se triplicó la cantidad de video
documentos de Snowden con noticias conocidas. A través de
llamadas recolectadas a través de PRISM[16].
esto logró determinar que el programa FAIRVIEW se refiere a
Si bien en los documentos de Snowden no mencionan
AT&T, mientras que STORMBREW se refiere al trabajo
puertas traseras para los sistemas Windows se podría
realizado con Verizon.
sospechar esta posibilidad. El grupo anónimo ShadowBrokers
La NSA aprovecha el poder estratégico de las redes de fibra
obtuvo herramientas de ataque informático pertenecientes a la
óptica operadas por empresas norteamericanas para interceptar
NSA. Hicieron algunas publicaciones de estas herramientas en
comunicaciones y analizarlas luego en sistemas como
Internet y en una de ellas subieron código fuente para atacar
XKEYSCORE[12]. El análisis de The New York Times da a
sistemas operativos Windows. Gracias a esto se desarrollaron
entender que el trabajo entre la NSA y las empresas de
los ransomware WannaCry y Petya[17].
comunicaciones se realiza en los mejores términos. Pero si
¿Estas herramientas de la NSA explotaban vulnerabilidades
esto no fuera así, la NSA puede recurrir a presiones legales
desconocidas por Microsoft o era un trabajo similar al
como la que hizo a Verizon para recolectar metadatos de las
realizado con PRISM? Probablemente nunca se tenga la
comunicaciones de millones de usuarios dentro de Estados
respuesta ya que el funcionamiento de Windows es secreto.
Unidos en 2013[13].
28
Bonifaz Rafael
D. A través de explotación de redes Cabe destacar que las herramientas que la NSA no podía
Cuando la NSA no tiene acceso a ciertas comunicaciones vulnerar son todas software libre. Esto es una ventaja ya que el
busca la forma de penetrar en las redes de comunicación para código fuente de estos sistemas puede ser auditado lo que
accederlas. La unidad que se encarga de este trabajo se llama dificulta la posibilidad de añadir puertas traseras. Además se
TAO. pueden distribuir libremente por lo que se podría masificar su
Durante la mitad de la década pasada la unidad pudo atacar uso sin una barrera económica.
a 258 objetivos de vigilancia en 89 países. Solo en el año 2010
E. A Través de Señales Satelitales
condujo 279 operaciones a nivel global[18].
En agosto de 1988 el periodista británico Donald Campbell
Para realizar los ataques los agentes de TAO buscan
reveló un programa de espionaje global de comunicaciones
vulnerabilidades en los sistemas utilizados en las redes que
satelitales llevado a cabo por la NSA y la GCHQ conocida
quieren espiar. Der Spiegel cita un ejemplo en el cuál al
como ECHELON. En ese entonces ya se utilizaba
utilizar el sistema XKEYSCORE se puede identificar tráfico
computadoras para filtrar información relevante.[23]
solicitando la actualización de un sistema Windows. Esta
Esta información no tuvo mayor impacto hasta que en el
información resulta útil para TAO porque le permite
año 2001 el Parlamento Europeo publicó un informe sobre
identificar las vulnerabilidades que el sistema quiere parchar.
ECHELON donde se confirmó su existencia. El mismo se
Una vez conocida la vulnerabilidad es fácil realizar el
sustentó verificando la existencia de estaciones terrestres para
ataque[19].
vigilar satélites, material desclasificado, el testimonio de
Corporaciones como AT&T y Verizon tienen acceso a gran
periodistas como Duncan Campbell y Nicky Hager, así como
parte del tráfico de internet pero no a todo. Por este motivo a
también de empleados de las agencias de inteligencias[24].
la NSA le resulta interesante poder atacar los sistemas que
Según Campbell los documentos de Snowden confirman la
administran otros cables submarinos de fibra óptica. Tal es el
existencia de ECHELON pero con el nombre FORNSAT.[25]
caso del cable submarino SEA-ME-WE-4 que conecta a
La descripción de este programa consiste en estaciones
Europa con el norte de África, los países del Golfo Pérsico, las
terrestres alrededor del mundo que interceptan las
costas de India, Malasia y Tailandia.
comunicación de los satélites en el espacio. A diferencia de las
Para poder recolectar información de este cable, TAO tuvo
antenas parabólicas que apuntan a un satélite las antenas en
la misión de atacar a las empresas operadoras del mismo. En
estas estaciones son esféricas para apuntar a varios satélites a
ese entonces eran France Telecom (hoy Orange) y Telecom
la vez.[26]
Italia Sparkle[20].
La estación de Menwith Hill ubicada en Reino unido es la
Otra forma de atacar a las redes que se desea espiar consiste
que más información recolecta pero no es la única. En la
en enviar equipamiento de hardware con malware
figura 5 se puede ver un mapa mundial con las estaciones de
preinstalado. Para esto la NSA intercepta los paquetes de
FORNSAT distribuidas alrededor del mundo[27].
dispositivos de telecomunicaciones del correo tradicional. Una
vez interceptado el paquete, se lo abre y se implanta una
puerta trasera. Luego se lo devuelve para que llegue a su
destino final. Un documento secreto de junio de 2010 muestra
imágenes de un switch de marca Cisco[21]. Con esta estrategia
sería fácil interceptar las comunicaciones de redes LAN en
instituciones públicas.
La criptografía es una herramienta indispensable si se desea
proteger las comunicaciones. Esto puede llegar a complicar el
trabajo de análisis de información. Para esto la NSA tiene el
departamento conocido como Servicio de Criptoanálisis y
Explotación (CES por sus siglas en inglés).
Der Spiegel realizó una investigación extensa sobre los
esfuerzos de la NSA para vulnerar las seguridades de las
comunicaciones en internet[22]. Según la misma, en el año
2013 CES tenía un presupuesto $34.3 millones de dólares.
Entre los trabajos que realiza la NSA se encuentra el de
descifrar tráfico de redes VPNs o vulnerar las conexiones Figura 5: Fuente: https://edwardsnowden.com
HTTPS. Incluso intenta influenciar a los organismos de
estandarización como IETF para debilitar los estándares de
comunicaciones seguras. III. ANÁLISIS DE INFORMACIÓN
Sin embargo, en el mismo reportaje se menciona
La NSA cuenta con diversos sistemas para analizar la
herramientas que la NSA todavía no ha podido vulnerar. La
información recolectada. En una presentación[28] titulada
investigación muestra correos cifrados con PGP y mensajes de
“Filtrado Inteligente de tus datos: casos de estudio Brasil y
chat cifrados con OTR que no se pudieron descifrar. En lo que
México”(Traducción propia del inglés) la NSA describe cómo
se refiere al anonimato en internet Tor seguía siendo un
pudo acceder a información relevante de un mar de datos.
problema para la NSA.
29
Según ellos “Se podría encontrar una aguja en un pajar de una comunicaciones de un país donde exista algún texto
forma repetitiva y eficiente” (Traducción propia del inglés) determinado. De esta manera sin tener un objetivo de
En su primera aparición pública Edward Snowden dijo: "Yo, vigilancia determinado, al espiar las comunicaciones de todos
sentado en mi escritorio, tenía la facultad de intervenir al que se podrían identificar sospechosos.
fuera, desde un contador hasta un juez federal e incluso el Si bien la criptografía es una muy buena herramienta para
presidente, siempre y cuando tuviera su correo electrónico ocultar el contenido de los mensajes, se suele utilizar sin
personal."[29] ocultar los metadatos. Gracias a esto la NSA podría realizar
El programa de vigilancia al que hacía referencia es búsquedas de todos los correos cifrados de un país y
XKEYSCORE que permite analizar tráfico de Internet determinar a quienes vigilar más extensivamente. No porque
recolectado por la NSA. Si bien XKEYSCORE es uno de los sean sospechosos de algo, sino porque protegen sus
programas más documentos en el archivo de documentos de comunicaciones.
Snowden, no es el único. Sin embargo un análisis de sus IV. OPERACIONES REVELADAS
capacidades permite imaginar los alcances de procesamiento
de información de la NSA. La NSA sostiene que estos programas se realizan con el
Para el año 2009[30] tenía la capacidad de realizar objetivo de luchar contra el terrorismo. Varios documentos
búsquedas del contenido de las comunicaciones de Internet de publicados muestran que esto no siempre es así.
hasta tres días y metadatos hasta treinta días de antigüedad Dentro de una presentación digital del 21 de mayo de
como se puede ver en la figura 6. 2009[33] se muestra un listado parcial de 10 presidentes de
un total de 122 líderes a nivel mundial. En el mismo se
encuentra la canciller alemana Angela Merkel, pero también
los entonces presidentes de países latinoamericanos como
Perú, Guatemala y Colombia.
Estos no son los únicos líderes latinoamericanos que han
sido espiados por la NSA. En una presentación de 2012[28] se
muestra como se espió las comunicaciónes de la entonces
presidenta de Brasil Dilma Rousseff cómo se puede ver en la
figura 7. La misma presentación también muestra que se espió
al entonces candidato a presidente de México Enrique Peña
Nieto (hoy presidente). El espionaje se realizó sobre las
comunicaciones de los dos líderes y de varios de sus asesores
cercanos.
Figura 6: Fuente https://edwardsnowden.com
Las comunicaciones que resulten más interesantes se

podrían almacenar por más tiempo en otros sistemas. Por
ejemplo, el sistema PINWALE permite almacenar información
hasta por cinco años[31].
En el año 2015 el medio digital The Intercept realizó una
investigación titulada “XKEYSCORE: Google de la NSA para
el mundo de las Comunicaciones Privadas” (Traducción
propia del inglés). La misma se basa en 48 documentos
filtrados por Snowden[32].
Según la investigación, la NSA podría analizar el tráfico que
viaja por Internet y realizar búsquedas sobre el mismo. Gran
parte del tráfico de internet viaja cómo texto plano. Esto es Figura 7: Fuente: https://edwardsnowden.com
muy conveniente para la NSA ya que permite realizar
búsquedas sobre el mismo con gran nivel de detalle. Peña Nieto no es el único presidente mexicano en ser
A través de un buscador similar al de Google se podría espiado. En el año 2010 la NSA logró tomar control sobre el
buscar los correos electrónicos de una persona. Se podría servidor de correo electrónico de la presidencia de México.
realizar filtros sobre el tráfico de navegación desde una Gracias a esto se empezó a recolectar las comunicaciones del
determinada IP o desde un cookie del navegador web asociado presidente y su gabinete[34].
a un blanco de vigilancia. Espiar a líderes políticos del mundo pone a los Estados
Incluso se puede llegar a realizar búsquedas basadas en Unidos en ventaja sobre otros países. Esto se puede ver
texto. Por ejemplo, se podría realizar búsquedas de todas las claramente cuando se trata de negociaciones internacionales.
30
Bonifaz Rafael
Existen documentos que muestran que los Estados Unidos, a

través de la NSA, espió a las Naciones Unidas incluyendo al
secretario general y el Consejo de Seguridad[2].
Al finalizar la Cumbre de las Américas de 2009 el entonces
subsecretario de Estado, Thomas Shannon, escribió al jefe de
la NSA: “informes recibidos por la NSA nos permitieron
conocer a fondo los planes e intenciones de los otros
participantes de la cumbre.”[2]
El espionaje también se lo realiza para obtener información
sobre los recursos estratégicos de los Estados. Tal es el caso
del espionaje que realizó la NSA sobre los altos ejecutivos de
PDVSA. Para la NSA “entender PDVSA es entender el
corazón económico de Venezuela”[35] (Traducción propia del
inglés). Figura 8: Fuente: https://hipertextual.com
El Centro Seguridad de las Comunicaciones de Canadá
(CSEC por sus siglas en Inglés) espió en conjunto con la NSA
al Ministerio de Minas de Brasil[36]. Tres de las cuatro
empresas mineras más grandes del mundo son canadienses. VI. CONCLUSIONES
Tener información interna y las comunicación del ministerio La información expuesta en el presente trabajo permite
daría ventaja a empresas de Canadá al momento de negociar entender como la NSA recolecta y analiza información, así
contratos de explotación minera. como también, el tipo de operaciones que puede realizar con
Conocer como piensan naciones enteras resulta útil para estas capacidades
poder influenciar la opinión pública de estos países. Esto fue Gracias al trabajo coordinado con empresas como Verizon y
lo que intentó hacer Reino Unido a través de la GCHQ para AT&T, o través del programa TEMPORA de la GCHQ, la
favorecer la imagen de las Islas Malvinas como territorio NSA copia y almacena el tráfico que viaja por el backbone de
británico en América Latina.[37] Internet.
Las que participan en programa PRISM como Google,
V. OTRAS AGENCIAS DE INTELIGENCIA Microsoft, Yahoo, Apple, Facebook y otras, son fuente de
información para la NSA. Si bien la agencia no tiene acceso
En 2011 Wikileaks publicó documentos de empresas que directo a los servidores de estas empresas, lo solicita a través
venden herramientas de vigilancia a gobiernos alrededor del del FBI que interactuá directamente con ellas. Es decir son
mundo. Según esta filtración la empresa VASTech, de por lo menos dos las agencias pueden acceder a la información
Sudáfrica, oferta equipamiento con la capacidad para de PRISM.
interceptar las comunicación de naciones enteras. Empresas Con el objetivo de interceptar comunicaciones celulares en
como SS8 de Estados Unidos, HackingTeam de Italia y ciudades alrededor del mundo existen las unidades SCS. Las
Vupen de Francia desarrollan troyanos para secuestrar mismas están conformadas por agentes de la CIA y la NSA
computadoras y teléfonos celulares.[38] que operan como funcionarios diplomáticos por lo que gozan
Si existen empresas que venden tecnología de vigilancia de inmunidad. En 2010 existían ochenta de estas unidades en
para gobiernos entonces deben existir gobiernos que compran embajadas y consulados alrededor del mundo.
estas soluciones. En 2015 los sistemas de la empresa Las comunicaciones satelitales son espiadas desde
HackingTeam fueron vulnerados y se publicaron en Internet estaciones terrestres distribuidas por el mundo a través del
400 gigabytes de archivos confidenciales, que entre otros, programa FORNSAT. En 1988 esto ya fue denunciado por el
incluían correos electrónicos y código fuente. En la figura 8 se periodista británico Duncan Campbell cuando este programa
puede puede ver marcado con azul los países donde agencias se lo conocía como ECHELON.
gubernamentales contrataron servicios con HackingTeam.[39] Cuando la NSA no tiene acceso a cierta información recurre
Esta es una de las muchas empresas que vende servicios de a los ataques informáticos para obtenerla. TAO es la unidad
espionaje digital a gobiernos. Esto quiere decir que las que realiza este trabajo. Solo en 2010 realizó 299 operaciones
agencias de inteligencia de todo el mundo no necesitan en todo el mundo.
desarrollar tecnología propia para poder realizar espionaje Existen varios sistemas con los que la NSA puede procesar
digital ya que existe un mercado de empresas ofertando este la información recolectada. XKEYSCORE es un buscador,
servicio. similar al de Google, que permite realizar búsquedas sobre
Si bien cualquier gobierno puede comprar herramientas de comunicaciones privadas. A través del mismo se podría, por
vigilancia, ninguno tiene la capacidad de espiar en Internet ejemplo, obtener correos electrónicos, chats, comunicaciones
que tiene la NSA. Esto se debe a la facilidad de recolectar de voz sobre IP, historial de navegación, entre otros.
información, en particular por el dominio que tienen las Si la comunicación esta cifrada podría complicar el trabajo
empresas de tecnología norteamericanas como se describió en de la NSA. Sin embargo existe el Servicio de Criptoanálisis y
la sección 2C de este documento. Explotación que busca las formas de superar los protocolos de
31
cifrado. Ya sea a través de medios tecnológicos u otros como REFERENCIAS

influenciar a organismos de estándares. [1] G. Greenwald y E. MacAskill, “Boundless Informant: the NSA’s secret
Las capacidades que tiene la NSA son empleadas con fines tool to track global surveillance data”, The Guardian, 11-jun-2013. [En
que van más allá de la guerra contra el terrorismo. Se las línea]. Disponible en:
https://www.theguardian.com/world/2013/jun/08/nsa-boundless-
utiliza para buscar beneficio político o económico para informant-global-datamining. [Consultado: 19-jun-2017].
Estados Unidos y sus aliados. Los ejemplos sobran, pero se [2] Greenwald, Glenn, Snowden. Sin un Lugar Donde Esconderse, 1a ed.
puede mencionar algunos. Espiar al secretario Secretario Colombia: Ediciones B, 2014.
[3] “Worldwide SIGINT/Defense Cryptologic Platform”. [En línea].
General de Naciones Unidas o presidentes de países. Conocer Disponible en: https://edwardsnowden.com/2013/11/23/worldwide-
los recursos mineros y petroleros de Brasil y Venezuela. sigintdefense-cryptologic-platform/.
Utilizar la información recolectada para beneficiar la opinión [4] “NSA’s global interception network”, Electrospaces.net, 03-dic-2013.
[En línea]. Disponible en:
pública sobre Gran Bretaña y las Malvinas en América Latina https://electrospaces.blogspot.com.ar/2013/12/nsas-global-interception-
a través de campañas mediáticas. network.html. [Consultado: 19-jun-2017].
La información expuesta en este documento ya era de [5] McCarthy, Tom, “New NSA tool to quantify, track intelligence
collection revealed – live | World news | The Guardian”, 08-jun-2013.
conocimiento público. A pesar de esto los servicios de [En línea]. Disponible en:
empresas pertenecientes a PRISM son ampliamente utilizados. https://www.theguardian.com/world/2013/jun/08/nsa-surveillance-
En países como Ecuador o Argentina se ofertan los planes de prism-obama-live. [Consultado: 18-ene-2017].
[6] “TEMPORA — “The World’s Largest XKEYSCORE” — Is Now
celular con WhatsApp (propiedad de Facebook) ilimitado sin Available to Qualified NSA Users”. [En línea]. Disponible en:
consumir datos. Los clientes no son informados sobre los https://edwardsnowden.com/2014/07/23/tempora-the-worlds-largest-
riesgos a la privacidad que sufren al utilizar estos servicios. xkeyscore-is-now-available-to-qualified-nsa-users/.
[7] J. Ball, L. Harding, y J. Garside, “BT and Vodafone among telecoms
Cada vez son más las universidades que utilizan los companies passing details to GCHQ”, The Guardian, 02-ago-2013. [En
servicios en la nube de empresas como Google o Microsoft línea]. Disponible en:
para facilitar la comunicación y la colaboración dentro de https://www.theguardian.com/business/2013/aug/02/telecoms-bt-
vodafone-cables-gchq. [Consultado: 28-jun-2017].
estas organizaciones. ¿Son conscientes los rectores y decanos [8] Appelbaum, Jacob et al., “Embassy Espionage: The NSA’s Secret Spy
que contratan estos servicios sobre los riesgos a la privacidad? Hub in Berlin - SPIEGEL ONLINE - International”, SPIEGEL
La NSA no es la única agencia que espía las ONLINE, 27-oct-2013. [En línea]. Disponible en:
http://www.spiegel.de/international/germany/cover-story-how-nsa-spied-
comunicaciones digitales. Gobiernos alrededor del mundo on-merkel-cell-phone-from-berlin-embassy-a-930205.html.
contratan herramientas de vigilancia de empresas denunciadas [Consultado: 11-may-2017].
en los Spy Files. ¿Existe transparencia sobre el uso de estas [9] S. Maurizi y G. Greenwald, “Revealed: How the Nsa Targets Italy”,
l’Espresso, 05-dic-2013. [En línea]. Disponible en:
herramientas en las agencias gubernamentales? Sin los http://espresso.repubblica.it/inchieste/2013/12/05/news/revealed-how-
controles adecuados podrían ser utilizadas en contra de los the-nsa-targets-italy-1.144428. [Consultado: 15-may-2017].
propios ciudadanos. [10] “NSA Strategic Partnerships | Courage Snowden”. [En línea].
Disponible en: https://edwardsnowden.com/2014/05/15/nsa-strategic-
Internet esta cambiando la forma en la que vive la sociedad partnerships/. [Consultado: 29-jun-2017].
moderna de una manera que todavía no se acaba de [11] J. Angwin, C. Savage, J. Larson, H. Moltke, L. Poitras, y J. Risen,
comprender. Nunca antes fue tan fácil investigar sobre “AT&T Helped U.S. Spy on Internet on a Vast Scale”, The New York
Times, 15-ago-2015. [En línea]. Disponible en:
cualquier tema, expresar ideas de forma pública o https://www.nytimes.com/2015/08/16/us/politics/att-helped-nsa-spy-on-
comunicarse de forma rápida y barata con cualquier persona an-array-of-internet-traffic.html. [Consultado: 22-jun-2017].
sin importar su ubicación geográfica. De la misma manera [12] “SSO Corporate Portfolio Overview”. [En línea]. Disponible en:
https://edwardsnowden.com/2015/08/18/sso-corporate-portfolio-
nunca antes fue posible vigilar de forma masiva las overview/. [Consultado: 30-jun-2017].
comunicaciones de millones de personas a nivel mundial. [13] G. Greenwald, “NSA collecting phone records of millions of Verizon
Es importante buscar soluciones para que la sociedad pueda customers daily”, The Guardian, 06-jun-2013. [En línea]. Disponible en:
https://www.theguardian.com/world/2013/jun/06/nsa-phone-records-
aprovechar los beneficios de Internet sin poner en riesgo la verizon-court-order. [Consultado: 17-abr-2017].
privacidad de las personas. Se debe democratizar la seguridad [14] Gellman, Barton y Poitras, Laura, “U.S., British intelligence mining data
informática para que cualquier persona pueda utilizar Internet from nine U.S. Internet companies in broad secret program - The
Washington Post”, 07-jun-2013. [En línea]. Disponible en:
y comunicarse de forma segura. https://www.washingtonpost.com/investigations/us-intelligence-mining-
Descentralización de las comunicaciones, masificar del uso data-from-nine-us-internet-companies-in-broad-secret-
de criptografía mediante herramientas de software libre son program/2013/06/06/3a0c0da8-cebf-11e2-8845-
d970ccb04497_story.html. [Consultado: 16-oct-2016].
posibilidades que se deben investigar. Sin embargo, lo más [15] “Electrospaces.net: What is known about NSA’s PRISM program”,
importa es generar conciencia en la sociedad de que existe un Electrospaces.net, 23-abr-2014. [En línea]. Disponible en:
problema, solo entonces se podrá encontrar soluciones. http://electrospaces.blogspot.com.ar/2014/04/what-is-known-about-nsas-
prism-program.html. [Consultado: 18-ene-2017].
[16] G. Greenwald, E. MacAskill, L. Poitras, S. Ackerman, y D. Rushe,
“Microsoft handed the NSA access to encrypted messages”, The
AGRADECIMIENTOS Guardian, 12-jul-2013. [En línea]. Disponible en:
https://www.theguardian.com/world/2013/jul/11/microsoft-nsa-
A Edward Snowden que arriesgó su vida para que se pueda collaboration-user-data. [Consultado: 09-mar-2017].
conocer la verdad sobre la vigilancia a nivel mundial. [17] Barret, Brian, “The Encryption Debate Should End Right Now”,
A la Universidad de Buenos Aires por todo el conocimiento WIRED, 30-jun-2017. [En línea]. Disponible en:
https://www.wired.com/story/encryption-backdoors-shadow-brokers-
brindado en la Maestría de Seguridad Informática . vault-7-wannacry/. [Consultado: 01-jul-2017].
[18] Appelbaum, Jacob, L. Poitras, Laura, M. Rosenbanch, Stöcker,
Christian, Schindler, Jörg, y Stark, Holger, “Inside TAO : Documents
32
Bonifaz Rafael
Reveal Top NSA Hacking Unit (part 1)”, Spiegel Online, 29-dic-2013. [36] “American and Canadian Spies target Brazilian Energy and Mining
[En línea]. Disponible en: http://www.spiegel.de/international/world/the- Ministry”, Fantástico, 06-oct-2013. [En línea]. Disponible en:
nsa-uses-powerful-toolbox-in-effort-to-spy-on-global-networks-a- http://g1.globo.com/fantastico/noticia/2013/10/american-and-canadian-
940969.html. [Consultado: 01-jul-2017]. spies-target-brazilian-energy-and-mining-ministry.html. [Consultado:
[19] Appelbaum, Jacob, L. Poitras, M. Rosenbanch, Stöcker, Christian, 26-may-2017].
Schindler, Jörg, y Stark, Holger, “Inside TAO : Documents Reveal Top [37] Fishman, Andrew y G. Greenwald, “Britain Used Spy Team to Shape
NSA Hacking Unit (part 2)”, Spiegel Online, 29-dic-2013. [En línea]. Latin American Public Opinion on Falklands”, 02-abr-2015. [En línea].
Disponible en: http://www.spiegel.de/international/world/the-nsa-uses- Disponible en: https://theintercept.com/2015/04/02/gchq-argentina-
powerful-toolbox-in-effort-to-spy-on-global-networks-a-940969-2.html. falklands/. [Consultado: 01-jul-2017].
[Consultado: 01-jul-2017]. [38] “WikiLeaks - The Spy Files”, 01-dic-2011. [En línea]. Disponible en:
[20] Appelbaum, Jacob, Poitras, Laura, M. Rosenbanch, Stöcker, Christian, https://wikileaks.org/the-spyfiles.html. [Consultado: 06-sep-2017].
Schindler, Jörg, y H. Stark, Holger, “Inside TAO : Documents Reveal [39] F. Palazuelos, “Los países iberoamericanos que usaron a Hacking
Top NSA Hacking Unit (part 3)”, Spiegel Online, 29-dic-2013. [En Team”, Hipertextual, 06-jul-2015. [En línea]. Disponible en:
línea]. Disponible en: http://www.spiegel.de/international/world/the-nsa- https://hipertextual.com/2015/07/los-paises-iberoamericanos-que-
uses-powerful-toolbox-in-effort-to-spy-on-global-networks-a-940969- usaron-a-hacking-team-para-espiar. [Consultado: 28-ago-2017].
3.html. [Consultado: 01-jul-2017].
[21] “Stealthy Techniques Can Crack Some of SIGINT’s Hardest Targets | Rafael Bonifaz es ingeniero en sistemas de la Universidad
Courage Snowden”. [En línea]. Disponible en: San Francisco de Quito. Lleva más de 10 años promoviendo
https://edwardsnowden.com/2014/05/14/stealthy-techniques-can-crack- la adopción del software libre y 5 sensibilizando sobre la
some-of-sigints-hardest-targets/. [Consultado: 01-jul-2017]. importancia de la privacidad en el mundo digital y los
[22] Appelbaum, Jacob et al., “Prying Eyes: Inside the NSA’s War on riesgos de la vigilancia en Internet. Actualmente se
Internet Security”, SPIEGEL ONLINE, 28-dic-2014. [En línea]. encuentra cursando la Maestría de Seguridad Informática en
Disponible en: http://www.spiegel.de/international/germany/inside-the- la Universidad de Buenos Aires. Para su proyecto de especialización investiga
nsa-s-war-on-internet-security-a-1010361.html. [Consultado: 03-ene- los documentos revelados por Snowden.
2017].
[23] D. Campbell, “They’ve got it taped”, 12-ago-1988. [En línea].
Disponible en:
http://www.duncancampbell.org/menu/journalism/newstatesman/newstat
esman-1988/They%27ve%20got%20it%20taped.pdf.
[24] McCarthy Kieren, “This is how we know Echelon exists”, 14-nov-2001.
[En línea]. Disponible en:
https://www.theregister.co.uk/2001/09/14/this_is_how_we_know/.
[Consultado: 16-jul-2017].
[25] D. Campbell, “NSA: ‘yes, there is an ECHELON system’ |
DuncanCampbell.org”. [En línea]. Disponible en:
http://www.duncancampbell.org/content/nsa-yes-there-echelon-system.
[Consultado: 17-jul-2017].
[26] Gallagher, Ryan, “The NSA’s British Base at the Heart of U.S. Targeted
Killing”, The Intercept, 06-sep-2016. [En línea]. Disponible en:
https://theintercept.com/2016/09/06/nsa-menwith-hill-targeted-killing-
surveillance/. [Consultado: 14-jul-2017].
[27] “Primary FORNSAT Collection Operations”. [En línea]. Disponible en:
https://edwardsnowden.com/2014/07/23/primary-fornsat-collection-
operations/. [Consultado: 17-jul-2017].
[28] “Intelligently filtering your data: Brazil and Mexico case studies”. [En
línea]. Disponible en:
https://edwardsnowden.com/2013/12/18/intelligently-filtering-your-
data-brazil-and-mexico-case-studies/. [Consultado: 10-may-2017].
[29] B. M. Tecnología, “La poderosa herramienta de EE.UU. para vigilarlo
todo en internet”, BBC Mundo, 01-ago-2013. [En línea]. Disponible en:
http://www.bbc.com/mundo/noticias/2013/08/130801_tecnologia_snow
den_nsa_xkeyscore_dp. [Consultado: 22-abr-2017].
[30] “X-KEYSCORE as a SIGDEV tool”. [En línea]. Disponible en:
https://edwardsnowden.com/2015/07/22/x-keyscore-as-a-sigdev-tool/.
[Consultado: 03-mar-2017].
[31] G. Greenwald, “XKeyscore: NSA tool collects ‘nearly everything a user
does on the internet’”, The Guardian, 31-jul-2013. [En línea].
Disponible en: https://www.theguardian.com/world/2013/jul/31/nsa-top-
secret-program-online-data. [Consultado: 02-feb-2017].
[32] M. Marquis-Boire, G. Greenwald, y L. Micah, “NSA’s Google for the
World’s Private Communications”, The Intercept, 01-jul-2015. [En
línea]. Disponible en: https://theintercept.com/2015/07/01/nsas-google-
worlds-private-communications/. [Consultado: 02-feb-2017].
[33] “Content Extraction Analytics”, Content Extraction Analytics, 21-may-
2009. [En línea]. Disponible en:
https://edwardsnowden.com/2014/06/26/content-extraction-analytics/.
[34] L. Poitras, J. Glüsing, M. Rosenbanch, y H. Stark, “NSA Accessed
Mexican President’s Email”, SPIEGEL ONLINE, 20-oct-2013. [En
línea]. Disponible en: http://www.spiegel.de/international/world/nsa-
hacked-email-account-of-mexican-president-a-928817.html.
[Consultado: 11-may-2017].
[35] Greenwald, Glenn y Fishman, Andrew, “Overwhelmed NSA Surprised
to Discover Its Own Surveillance ‘Goldmine’ on Venezuela’s Oil
Executives”, The Intercept, 18-nov-2015. [En línea]. Disponible en:
https://theintercept.com/2015/11/18/overwhelmed-nsa-surprised-to-
discover-its-own-surveillance-goldmine-on-venezuelas-oil-executives/.
[Consultado: 26-may-2017].
33
Riesgo y seguridad. Un continuo de confianza

imperfecta
Jeimy J. Cano M.
Universidad del Rosario.
Escuela de Administración
jeimy.cano@urosario.edu.co
Abstract- Protecting information on the context of a volatile, persona frente a un entorno inestable, con el fin de que tome
uncertain, complex and ambiguous world, where there is less las decisiones necesarias y suficientes para estar concentrado
opportunity to keep secrets or confidential information, involves
exploring not only current and industry best practices, but en lo que puede ser y no, en lo que no ha sucedido [6], y así
people perceptions of risks about information, as a way of superar el dilema de control [5] que se plantea cuando no tiene
revealing the essence of the decisions they make to protect it. In la variedad suficiente para dar cuenta de la acción que debe
this sense, this article, considering social and systems sciences, tomar.
establishes a conceptual framework between risk and security as
a continuum of imperfect trust, based on the unstable behaviors
of individuals that enables them to develop three dynamic Proteger la información en el escenario de un mundo volátil,
capacities: proactive detection, informed action and permanent incierto, complejo y ambiguo [7], donde cada vez hay menos
unlearning, in order to establishes the risk threshold agreed by oportunidad para mantener secretos o información
the parties to act accordingly confidencial, implica explorar no solamente las buenas
Index Terms— Imperfect trust, information security, risk prácticas actuales y estándares de la industria, sino recabar en
profile, social sciences, systems thinking el imaginario de las personas y sus percepciones particulares
de los riesgos frente a la información, como una forma de
I. INTRODUCCIÓN revelar la esencia de las decisiones que ellas toman para
Por más de cincuenta años se han explorado respuestas al salvaguardarla.
reto de la protección de la información desde la perspectiva
técnica [1], socio-técnica [2], matemático formal [3], entre En este contexto, la contraposición entre riesgo y seguridad,
otras, las cuales han ofrecido vistas particularmente establece una vista complementaria que no busca opacar o
interesantes, motivando reflexiones que han sido capitalizadas resaltar alguna de ellas, sino explorar los puntos de conexión
en productos o servicios que hoy son parte integral de las existentes en el escenario particular de las decisiones de las
prácticas de las organizaciones modernas. personas frente al tratamiento de la información y cómo en
este reto de comprensión de relaciones circulares, es posible
Este ejercicio de la protección de la información, demanda establecer un marco de acción que oriente a los individuos
no sólo el conocimiento claro de los comportamientos de los para superar la presentación de los temas de seguridad basados
individuos y sus prácticas, sino el reconocimiento de su perfil en el miedo, las dudas y la incertidumbre [8].
de riesgos, del entendimiento de los inciertos, la ambigüedad,
la complejidad e historia personal [4] que subyace en la Por tanto, este documento para dar cuenta de sus reflexiones
experiencia de las personas, como quiera que es allí donde la se organiza de la siguiente manera: en la sección II se presenta
acción final de control o aseguramiento tiene el asidero de la una revisión del concepto de riesgo desde las ciencias sociales
práctica misma. y las perspectivas sistémicas, para luego en la sección III
incorporar el contexto como elemento articulador de las
Bajo este entendimiento, se hace necesario recurrir a las prácticas de seguridad y control. Seguidamente en la sección
ciencias sociales y las reflexiones sistémicas, para abordar la IV se presenta y explica el marco conceptual para el
realidad del riesgo, en dos perspectivas: desde un observador tratamiento de la información, el cual se ilustrará, en la
externo que reconoce un entorno y la dinámica de las sección V, con un ejercicio realizado en un grupo piloto de
relaciones que las personas establecen frente a la experiencia profesionales de un curso de posgrado aplicando una práctica
de lo incierto e inestable, así como desde un observador pedagógica denominada la “armonía de los contrarios” [9],
interno, que asume la complejidad del entorno y las decisiones para finalmente plantear algunas conclusiones sobre el marco
que debe tomar un individuo en el ejercicio de superar una planteado y su aplicación en la Sección VI.
situación ambigua o contradictoria [5].
II. RECREANDO EL CONCEPTO DE RIESGO. UNA REVISIÓN
Así las cosas, establecer un marco de protección de la DESDE LOS ESTUDIOS SOCIALES Y SISTÉMICOS
información basado en riesgos, reclama una lectura de doble El estudio del riesgo en el escenario de la protección de la
vía desde el entorno al individuo y viceversa, de tal forma que información tradicional se ha conceptualizado con una vista
se pueda balancear las exigencias propias de la dinámica de la
34
Jeimy J. Cano M.
negativa, como toda situación o acción contraria que puede la incertidumbre que lo mueve a la acción o lo paraliza frente
comprometer alguna de las características claves de la a la inminente amenaza que puede advertir en sus reflexiones.
seguridad de la información: confidencialidad, integridad y
disponibilidad, generando impacto adverso sobre los intereses La certeza es un estado mental subjetivo [14], que está
personales o empresariales que representa ese particular cimentado sobre conocimientos y experiencias previas, que
conjunto de datos procesados [10]. fundan la forma como una persona entiende una situación
particular con el fin de adjudicarle un calificativo de
Basado en este entendimiento, las personas y las exposición o no, el cual por lo general se encuentra asociado
organizaciones crean un imaginario de prevención y con una brecha de información y saber. Mientras esta brecha
advertencia sobre esas situaciones, los cuales hacen carrera sea mayor, mayor será su percepción de incierto e incapacidad
con marcada velocidad en las prácticas de seguridad y control para manejar la situación específica, creando un dilema de
donde el control de acceso, se configura como la práctica de control respecto de su flexibilidad para enfrentarla y distinguir
restricción natural para determinar quiénes pueden o no tener aspectos relevantes de aquella para tomar las acciones
conocimiento de una información particular. necesarias.
Estas restricciones responden a declaraciones de los dueños Este dilema de control [5] que implica no poder conocer y
de la información quienes definen como base la tupla: usuario, actuar respecto de una situación que se genera por fuera de los
acción, objeto, que delinea quién puede acceder, bajo que estándares y procedimientos conocidos o establecidos por la
acción: lectura, escritura, modificación y finalmente el organización y que con frecuencia son impactados por la
componente (u objeto) autorizado a ser afectado: archivo, base complejidad del entorno, fundan los nuevos normales de
de datos, registro, etc [11]. actuación de las personas dentro y fuera de las organizaciones.
La violación de las reglas definidas por el control acceso, En consecuencia, la protección de la información no sólo
establecen un atentado directo a la protección de la deberá estar asociada un procedimiento que cumplir o con un
información, como quiera que cada regla definida corresponde mecanismo de control de acceso que activar, que busca
con una forma de disminuir el incierto sobre condiciones disminuir o superar el dilema de control [5], sino con el
claves que se deben cuidar sobre una información específica, contexto donde opera la persona, comprendiendo la situación
lo que en últimas, custodia un interés particular de la que supera sus saberes y las variables del entorno que generan
organización respecto de los impactos de su revelación o ambigüedad e incertidumbre, para tomar la decisión que se
exposición fuera de los límites definidos por la empresa [12]. requiere.
Cuando se lee el riesgo desde la orilla de los científicos III. ALINEANDO EL CONTEXTO CON LAS PRÁCTICAS DE
sociales comprendemos que esta realidad es dependiente del SEGURIDAD Y CONTROL
contexto de las personas, cuya valoración positiva o negativa,
estará mediada por la experiencia particular de un individuo o Si bien es claro, que por lo general, las personas son
conjunto de personas, con el fin de tomar las acciones más responsables por el desarrollo de tareas que son
adecuadas al medio donde se encuentran [13]. En este sentido, inherentemente más complejas que su propia capacidad para
la historia de la persona, la ambigüedad, la incertidumbre y la distinguir y actuar, esto es lo que permite que ellas alcancen
complejidad [4] definen el marco general donde el individuo nuevos niveles de competencia y saber, para superar los retos
configura su nivel de percepción y exposición (ver Fig.1) para propios de cada organización en su entorno y sector de
establecer que tan sereno o inquieto se puede sentir respecto negocio. En este sentido, muchas de las actividades en la
de una situación particular. empresa requieren el apoyo de otros individuos para
comprender el desafío y dar cuenta de éste, lo que
necesariamente implica un aumento de la variedad y del
espectro de posibilidades que le permitan decidir sobre una
situación en particular.
Cuando en el ejercicio de protección de la información, las

buenas prácticas y estándares no son suficientes para actuar en
consecuencia, se entra en el escenario de la incertidumbre,
Fig.1 Elementos de la percepción del riesgo (Basado en
donde se experimenta el estado de indeterminación frente a
ideas de: [4])
una causa y sus efectos, que lleva a interpretaciones legítimas
de las personas frente significados socialmente aceptados, los
En este escenario ausente de certezas, los individuos toman
cuales son conceptualizados en la historia personal particular
decisiones, algunos llevados por sus propios supuestos, otros
basada en momentos e impactos semejantes [4].
por las interpretaciones socialmente aceptadas o finalmente
teniendo claro que la situación que se le presenta supera sus
Lo anterior establece que si se tiene una situación donde los
saberes previos, con lo cual establece un umbral de manejo de
procesos y procedimientos asociados con la protección de la
35
información no logran dilucidar un estado concreto de humanas, es una imagen borrosa e incompleta del territorio.
resultados frente a los eventos inciertos, la experiencia Lo anterior demanda descubrir en cada momento, aspectos
personal, las interpretaciones propias y los saberes limitados complementarios de las interpretaciones efectuadas,
de los individuos entrarán a mediar y explorar, para establecer reconociendo que no se tiene la variedad requerida o
alternativas de actuación que pueden o no responder al nivel conocimientos necesarios para abordar una situación particular
de valoración esperado por la organización, con los impactos y por tanto, reconocer que no se sabe, es la experiencia más
que se puedan derivar de un tratamiento de la información de valiosa que se puede experimentar para poder “desaprender” y
forma no estándar. descubrir oportunidades inexploradas.
Para lograr una alineación respecto de las prácticas y las IV. MARCO CONCEPTUAL PARA EL TRATAMIENTO DE LA
inestabilidades del contexto en el ejercicio de asegurar la INFORMACIÓN: APORTES DESDE LAS CIENCIAS SOCIALES Y EL
información, es necesario revelar los supuestos e imaginarios PENSAMIENTO SISTÉMICO
de la seguridad de la información en los individuos [15], para
Plantear un marco de acción para el tratamiento de la
luego efectuar las interpretaciones ajustadas con las
información, en un escenario volátil e incierto, exige, entre
expectativas requeridas por la organización. Por tanto, si no
otros temas, comprender que las partes interesadas en proteger
posible determinar un estado futuro de una acción, habrá que
la información no son perfectas y que harán su mejor esfuerzo
focalizar la acción más en aquello que puede ser y no en algo
para concretar un nivel de exposición acordado, sin perjuicio
que no ha pasado [6], con el fin de procurar un cierre de la
de los posibles eventos adversos que se pueden presentar por
brecha informacional y de saberes que está en juego y motivar
efectos de la inevitabilidad de la falla.
una acción informada y ajustada con aquellos estados
relevantes que la empresa ha fijado como válidos.
Esto precisa entender que riesgo y seguridad son un
continuo de experiencias de confianza imperfecta, una
Dicha situación exige el desarrollo de unas capacidades
confianza que se funda en los comportamientos y decisiones
dinámicas [16] en los individuos, que les permita entre otros
inestables de las personas.
aspectos, detección proactiva para crear hipótesis sobre las
implicaciones futuras de los eventos y tendencias observadas;
Esto es, comprender que las circunstancias, los contextos y
acción informada, que entiende la brecha de saber e
contradicciones motivan actuaciones que pueden ser contrarias
información para movilizar su actuación y desaprendizaje
a lo esperado, una lectura de umbrales de tolerancia a fallas
permanente, que considerando los saberes previos, es capaz de
que sabe de la naturaleza limitada de las personas y su
conectar con las inestabilidades del entorno.
tendencia al error, que invita más a la reflexión y
confrontación de sus propias actuaciones, para construir en
En esta línea, la seguridad de la información no se asume
conjunto con otros y cerrar cada vez más estos umbrales, hasta
con una declaración cierta y estática, sino como un cuerpo de
definir aquel que es aceptado y tolerado por la empresa y su
conocimiento que evoluciona con el entorno, el cual se
perfil de riesgo.
reconfigura en cada instante en la dinámica de la protección de
la información, mediada por las capacidades dinámicas que
Confiar en que otra persona va asegurar un adecuado
deben ser desarrolladas en los individuos, habida cuenta que
tratamiento de la información, no reivindica una confianza
cada nueva situación incierta revela nuevas oportunidades
perfecta, sino una práctica imperfecta o perfectible, en la
para concretar nuevos espacios de conocimiento que permitan
medida que es posible prevenir o actuar con un margen de
una protección ajustada a los escenarios contingentes de las
error conocido y unos impactos delineados, como pilares de la
empresas.
formulación de umbrales de riesgo para los cuales tanto
individuos como empresa deben estar preparados y así,
El ejercicio de alineación del contexto con las prácticas de
continuar su espiral ascendente de aprendizaje o
seguridad y control, no obliga acciones exclusivamente de
desaprendizaje.
restricción para aumentar las certezas, sino un ejercicio de
amplificación de la variedad existente, es decir, incorporar
Bajo estos fundamentos, sólo cuando se entiende con
nuevas propuestas de protección, como quiera que se requiere
claridad el resultado incierto de lo que está en juego, se puede
alcanzar una estabilidad dinámica en un entorno particular y
comprender el nivel confiabilidad requerido frente a la
relevante que permite colaborar con otros, para asumir las
decisión de protección y de igual forma, sólo retando el nivel
diferentes expresiones de la complejidad que supone proteger
de confiabilidad actual disponible para los propósitos e
la información en un ambiente cambiante y con
intereses de las personas y de la empresa, es posible conocer el
discontinuidades tecnológicas permanentes [5].
resultado de incierto que puede generarse con la decisión que
se toma.
Esto es, desarrollar una postura sistémica de la realidad, que
reconoce que el mapa que se ha construido desde los
supuestos y creencias, donde se validan las decisiones
36
Jeimy J. Cano M.
La armonía de los contrarios metodológicamente plantea

una contraposición de dos perfiles naturales en seguridad de la
información: el analista de seguridad y el atacante. Mientras el
analista establece su paradigma de protección en una vista
lineal de riesgo-control, el atacante desafía el escenario
conocido y modifica su dinámica para crear un nuevo entorno,
que difícilmente podrá ver un analista en su ejercicio.
Considerando lo anterior, se plantea un caso particular

donde los procesos o procedimientos estándares no consideran
acciones concretas, lo que genera un escenario de
Fig.2 Riesgo y seguridad: Una relación de doble vía (Autoría incertidumbre y dudas que debe ser enfrentado por los
propia) participantes de un proceso o área particular de una
organización.
Lo anterior, demanda un ejercicio de comprensión de doble
vía entre riesgo y seguridad (Ver Fig.2), que habilita a las En el caso particular de la población intervenida, 17
personas para desarrollar las capacidades dinámicas estudiantes de un posgrado en gerencia de tecnología de
previamente comentadas (detección proactiva, acción información en Colombia, ingenieros de sistemas trabajando
informada y desaprendizaje permanente) con el fin de en empresas públicas y privadas, se les plantea el siguiente
establecer el rango de exposición acordado frente al resultado desafío, para el cual deben construir de forma conjunta una
de la acción que se ejecuta. Es decir, la confiabilidad no está respuesta que fuese ajustada con los niveles de riesgo y
en el riesgo cero o la protección ciento por ciento, sino en el cumplimiento de una organización ficticia.
cumplimiento de los umbrales definidos por las partes y las
acciones resilientes [17] establecidas para enfrentar los La situación propuesta sugiere que existe un archivo con
inciertos y la materialización de vulnerabilidades latentes o clave de la empresa, que debe ser consultado de forma
emergentes. inmediata para tomar decisiones que afectan el futuro de la
compañía, su buen nombre y que además compromete sus
De esta forma, el riesgo no se configura como un elemento niveles de cumplimiento. Dicho archivo a la fecha se
negativo per se, ni la seguridad como una función estática que encuentra cifrado y con control de acceso, y se desconoce la
busca el 100% de efectividad de sus acciones, sino como un contraseña de apertura.
continuo inestable que negocia rangos de tolerancia a la falla,
donde los individuos y las empresas construyen distinciones y Seguidamente se plantean tres interrogantes siguiendo el
prácticas de forma permanente para reconstruir las prácticas enfoque de la “armonía de los contrarios”, donde primero
conocidas y renovar los entendimientos de la protección más deben responder individualmente las preguntas 1 y 2, para
allá de la reducción de la incertidumbre reflejada en los luego, en plenaria con todos los participantes dar respuesta a
controles tradicionales expuestos en los estándares ISO. la pregunta 3:
1. Si usted fuese un atacante, ¿qué estrategias seguiría
para abrir el archivo?
V. APLICANDO EL MARCO CONCEPTUAL: RIESGO Y 2. Si usted fuese un consultor externo especializado, ¿qué
SEGURIDAD. UNA RELACIÓN DE DOBLE VÍA
estrategias recomendaría a la organización para tener
La aplicación de esta propuesta conceptual urge un enfoque acceso al archivo?
pedagógico distinto a la tradición mecanicista que ha 3. Si usted fuese el profesional a cargo en la empresa,
permeado las prácticas y procedimientos en seguridad de la sabiendo que es necesario e imprescindible tener acceso
información, como quiera que la relación planteada entre al contenido del archivo de forma inmediata, ¿qué
riesgo y seguridad se alimenta de rangos de tolerancia a fallas acciones tomaría para acceder al mismo?
y no de certezas, las cuales son naturales en las apuestas
pedagógicas tradicionales. Una vez los participantes se ven sorprendidos frente al reto
corporativo, consultan sus saberes previos siguiendo las
En este sentido, el enfoque pedagógico que se utiliza para provocaciones de los interrogantes planteados, para finalmente
desarrollar esta aproximación conceptual, denominado “la de forma conjunta dar respuesta al desafío en el contexto
armonía de los contrarios” [9] reconoce e integra tanto la organizacional, que es la pregunta número tres.
inevitabilidad de la falla como la aplicación de estándares y
prácticas probadas, entiende el error como parte natural de un Esta propuesta pedagógica no se centra en transmitir
proceso de toma de decisiones y acepta un sujeto diferenciado información, sino en habilitar en los participantes habilidades
de aprendizaje, que consultando sus saberes previos, se de análisis, evaluación y solución de retos en el contexto
determina con base en los problemas del contexto. empresarial, siguiendo la estrategia de aprendizaje basada en
casos. Por tanto, no procura encontrar una respuesta correcta
37
sino indagar y reflexionar en una situación particular, necesarias y, las conexiones nuevas que se elaboran basadas
consultando los hechos disponibles y sus saberes previos para tanto, en los conocimientos previos de los participantes, como
construir propuestas de solución ajustadas con la realidad en las respuestas desde la postura del atacante y del analista.
organizacional.
Los participantes establecen un marco de confianza
La estrategia de aprendizaje mediante casos demanda imperfecta enriquecido desde el contexto de la situación límite
apoyarse en los otros para aprovechar sus fortalezas y planteada y las contradicciones que el caso plantea, con el fin
competencias, favoreciendo una construcción de aprendizajes de establecer un umbral de riesgo conocido y acordado, que se
significativos y la atribución de sentido práctico a las ajuste a las exigencias de cumplimiento de la organización,
respuestas identificadas, que pocas veces se advierten en las que rete las consideraciones actuales de los procedimientos y
clases magistrales [18]. controles vigentes y sobremanera, permita repensar los niveles
de aseguramiento y control ahora desde situaciones inciertas.
Al revisar las respuestas individuales de los participantes
respecto del primer interrogante se advierten diversas El resultado de este ejercicio permite obtener vistas
estrategias que carecen de un marco ético de actuación como diferentes de una misma problemática, una práctica
son ingeniería social, fuerza bruta con aplicaciones enriquecida desde la experiencia concreta de los participantes
especializadas, creación de botnets distribuidas para quebrar la y una forma de pensar y actuar respecto de situaciones de
contraseña, consultas y solicitudes en foros cerrados e ilegales, excepción como la que se plantea en el caso, donde el umbral
phishing dirigido al dueño del archivo. de riesgo se construye y alinea con las expectativas
empresariales.
Las respuestas al segundo interrogante se enmarcan dentro
de recomendaciones asociadas con prácticas y estándares de VI. CONCLUSIONES
industria, que procuran un actuar ceñido a la legalidad de las
acciones que se deben aplicar como son usar programas de La práctica de seguridad y control que se tiene en la
revisión de metadatos, diagnóstico de los posibles tipos de actualidad responde a una lectura de la protección como
cifrado del archivo y uso posterior de herramientas restricción de eventos o inestabilidades, en procura de
específicas, consultar versiones previas del archivo para su alcanzar confiabilidad y estabilidad que satisface el imaginario
reconstrucción (con el riesgo de integridad que esto implica), de cero incidentes requerido por las organizaciones.
extraer la versión más reciente del documento del backup
disponible en la empresa para su revisión y ajuste. Lamentablemente este imaginario se debilita en el escenario
de volatilidades e inestabilidades que se presentan
Ya en el contexto organizacional, las propuestas construidas actualmente, como quiera que la inevitabilidad de la falla es la
de forma conjunta deben superar las tensiones propias entre constante que la inseguridad de la información utiliza para
las preguntas 1 y 2. Para ello, los participantes establecen una materializarla de forma inesperada, ocasionando percances a
serie de consideraciones que se deben tener en cuenta para nivel personal y organizacional que sacan de la zona cómoda
responder al reto: tanto a ejecutivos como a los profesionales de la seguridad de
a. Solicitar autorización de autoridad administrativa la información.
competente para adelantar el procedimiento que se
establezca. En consecuencia y dado que se hace necesario avanzar en
b. Consultar a colegas con situaciones similares para medio de un entorno incierto y vulnerable, tanto las personas
compartir experiencias. como las organizaciones debe tomar riesgos de forma
c. Contactar de forma inmediata a un consultor inteligente esto es, en un continuo de confianza imperfecta,
especializado, que puedan tener contactos expertos que que leído en términos prácticos conoce y acepta ver “los
permitan abrir el archivo. impactos estratégicos, las afectaciones tácticas, las lecciones
d. Habilitar el contacto con un “hacker”, teniendo en aprendidas y los grupos de interés que se pueden ver
cuenta el incierto ético de sus acciones, para quebrar la afectados” para formular “escenarios, prototipos, simulaciones
contraseña y tener acceso al contenido del archivo. y pruebas que permitan desconectar los supuestos de los
e. Restaurar la versión anterior más actualizada del conceptos actuales para reconectarlos y crear nuevas
archivo, declarando el nivel de integridad y precisión ganancias teóricas y prácticas antes inexistentes” [19].
que se puede tener, para responder a la solicitud de los
ejecutivos de la organización. En este sentido, si bien las normas, buenas prácticas y
estándares permiten un cuerpo de conocimiento base, se hace
Como se puede observar la propuesta colectiva admite un necesario dominar las capacidades dinámicas presentadas
umbral de riesgo acordado, un ejercicio de construcción de previamente, en el contexto de los riesgos que se deben tomar
hipótesis sobre las implicaciones futuras de los eventos que de manera inteligente, habida cuenta que no es la reducción de
todos los implicados conocen, las brechas de información y la incertidumbre lo que cuenta, sino el entendimiento del flujo
saber que deben considerarse para movilizar las acciones continuo de certezas e inciertos que proporciona el riesgo y la
seguridad para una persona y una organización.
38
Jeimy J. Cano M.
[10] Siponen, M. (2000) A conceptual foundation for organizational

information security awareness. Information Management & Computer
En consecuencia, toda acción educativa que se promueva Security. 8,1. 31-41. doi: 10.1108/09685220010371394
para comprender mejor el circuito circular entre riesgo y [11] Sandhu, R. y Samarati, P. (1994) Access control. Principles and
seguridad, ayudará a los involucrados a situarse y responder practices. IEEE Communications. September. 40-48.
[12] Vance, A. y Siponen, M. (2012) IS Security policy violations: a rational
de forma autónoma y responsable frente a los eventos choice perspective. Journal of Organizational and End User Computing.
inciertos que se presenten. Esto es, que cada persona deberá: 24, 1. January-March. 21-41.
• Conocer lo que hace, para lo cual necesita información, [13] Luhmann, N. (2006) Sociología del riesgo. México, México:
Universidad Iberoamericana - Instituto Tecnológico y de Estudios
capacidad de deliberación, juicio ético, capacidad de Superiores de Occidente, A.C (ITESO).
diálogo. [14] López-Barajas, E. (2009) Antropología, epistemología e innovación en
• Querer hacerlo, que implica voluntad, educación permanente. En López-Barajas, E. (Coord.) (2009) El
paradigma de la educación continua. Reto del siglo XXI. Madrid,
autoconocimiento, capacidad de autonomía, fortaleza, España: Narcea, S.A. 15-56
empatía, autorregulación. [15] Cano, J. (2015) Imaginarios sociales. Una herramienta sistémico-social
• Ponerlo en práctica, a partir de una conducta para transformar una cultura organizacional de seguridad de la
información. Memorias III Congreso Internacional en temas y
coherente, y una capacidad de realizar acciones problemas de investigación en Educación, Sociedad, Ciencia y
decididas, de articular los medios, de transformar el Tecnología. Universidad Santo Tomás. Bogotá, Colombia. Septiembre.
entorno, negociando los umbrales de riesgo de sus ISSN No. 2346-2558
[16] Teece, D., Peteraf, M. y Leih, S. (2016) Dynamic Capabilities and
acciones1. [20, p. 141] Organizational Agility: Risk, Uncertainty, and Strategy in the
Innovation Economy. California Management Review. 58, 4. Summer.
Por tanto, el imaginario actual de seguridad y control deberá 13-35
[17] Kaplan, J., Bailey, T., O’Halloran, D., Marcus, A. y Rezek, C. (2015)
evolucionar de la invulnerabilidad como fuente de confianza Beyond cybersecurity. Protecting your digital business. Hoboken, New
perfecta, a la vulnerabilidad y los umbrales de falla, como Jersey. USA: Wiley.
nuevo referente que se construye sobre la base de la confianza [18] Acosta, S. (2014) Pedagogía por competencias. Aprender a pensar.
México, México: Editorial Trillas.
imperfecta, la cual hace parte natural de los comportamientos [19] Cano, J. (2017) Riesgos inteligentes. Blog Frase de la Semana.
y decisiones inestables que las personas toman frente a Recuperado de: http://frasedelaseman.blogspot.com.co/2017/03/riesgos-
contextos y situaciones que se enmarcan fuera de los marcos inteligentes.html
[20] García, L., Ruiz, M. y García, M. (2009) Claves para la educación.
de seguridad y control vigentes. Actores, agentes y escenarios en la Sociedad actual. Madrid, España:
Narcea Ediciones – UNED.
AGRADECIMIENTOS
El autor agradece a los estudiantes del posgrado en gerencia Jeimy J. Cano M. Profesor Asociado de la Escuela de
de tecnología de información en Colombia por su Administración de la Universidad del Rosario. Ingeniero
participación en esta investigación. y Magister en Ing. de Sistemas y Computación por la
Universidad de los Andes. Ph.D en Administración de
Negocios por Newport University, CA. USA.
Especialista en Derecho Disciplinario por la Universidad
REFERENCIAS Externado de Colombia. Sus intereses de investigación
[1] DoD (1970) Security Controls for Computer Systems: Report of se centran en: ciberseguridad empresarial, seguridad de la información,
Defense Science Board Task Force on Computer Security. protección de datos personales, computación forense, pensamiento sistémico y
[2] Kowalski, S. (1994) IT Insecurity: A Multi-disciplinary Inquiry educación corporativa.
(Doctoral Thesis). Report No. 94-0004, ISBN91-7153207-2,
Department of Computer and Systems Sciences, KTH, Kista, Sweden.
[3] Bell, D. and La Padula, L. (1976) Secure computer system: Unified
exposition and Multics interpretation. Technical Report ESD-TR-75-
306, Mitre Corporation, Bedford, MA, March.
[4] Rosa, E., Renn, O. y McCright, A. (2014) The risk society revisited.
Social theory and governance. Philadelphia, Pennsylvania. USA:
Temple University Press.
[5] Espejo, R. y Reyes, A. (2016) Sistemas organizacionales. El manejo de
la complejidad con el modelo del sistema viable. Bogotá, Colombia:
Ediciones Uniandes – Universidad de Ibagué.
[6] Carmen, A. (2015) La ley del quizás. Cómo transformar la
incertidumbre en posibilidad. Barcelona, España: Editorial Urano.
[7] Johansen, B. (2009) Leaders Make the Future: Ten New Leadership
Skills for an Uncertain World. San Francisco, USA:Berrett-Koehler
Publishers.
[8] Saito, W. (2016) Moving beyond fear, uncertainty and doubt on cyber
attacks. World Economic Forum. Recuperado de:
https://www.weforum.org/agenda/2016/11/moving-beyond-fear-
uncertainty-and-doubt/
[9] Cano, J. (2016) La educación en seguridad de la información.
Reflexiones pedagógicas desde el pensamiento de sistemas. Memorias
3er Simposio Internacional en Temas y problemas de Investigación en
Educación: Complejidad y Escenarios de Paz. Universidad Santo
Tomás. Bogotá, Colombia. Agosto 25 a 27.
1
Las subrayas están fuera del texto original.
39
Ataques de correlación sobre un LFSR vistos como

un problema de decodificación por síndrome
Sara D. Cardell
Instituto de Matemática, Estatística e Computação Científica
Universidade Estadual de Campinas, Campinas, Brasil
Email: sdcardell@ime.unicamp.br
Joan-Josep Climent
Departament de Matemàtiques
Universitat d’Alacant, Alacant, España
Email: jcliment@ua.es
Alicia Roca
Departamento de Matemàtica Aplicada
Universitat Politècnica de València, València, España
Email: aroca@mat.upv.es
Abstract—A natural way of analyzing the stream of bits El primer ataque de correlación fue obra de Siegenthaler
produced by an LFSR is to understand it as an autonomous [18] y está basado en un modelo donde la secuencia cifrante
system. When a sequence of bits generated by an LFSR is es vista como una versión distorsionada, por causa del ruido
perturbed, it can be interpreted as a codeword in the binary
linear code generated from the matrices defining the system. del canal, de la salida de alguno de los LFSR; se asume
Then, the problem of finding the original sequence can be stated que el ruido es aditivo e independiente de la secuencia LFSR
as a decoding problem. In this paper, we propose two decoding subyacente. Más tarde, Meier y Staffelbach [13] presentaron
algorithms, one of them based on the representation technique of dos algoritmos diferentes para ataques de correlación básicos,
the syndromes by Becker et al. (volume 7237 of Lecture Notes in usando la correlación entre la secuencia cifrante y la secuencia
Computer Science, pages 520–536. Springer-Verlag, Berlin, 2012).
de salida de un LFSR. Otros ataques de correlación han sido
desarrollados desde entonces (véase, por ejemplo, [1], [3], [4],
Index Terms—LFSR, correlation attack, keystream sequence, [7], [8], [11], [15]–[17], [19], entre otros).
companion matrix, autonomous system, syndrome decoding.
En este trabajo, la secuencia producida por un LFSR es
vista como una palabra código de un cierto código bloque
I. I NTRODUCCIÓN lineal que se envía a través de un canal simétrico binario y
Los algoritmos de cifrado en flujo son los más rápidos entre queremos decodificar la palabra recibida.
los procedimientos de cifrado existentes y, por lo tanto, son Este trabajo está organizado como sigue: En la sección II,
utilizados en diversas aplicaciones tecnológicas. Un cifrador el problema de correlación es expresado como un problema
en flujo genera una secuencia pseudoaleatoria y, conocida code teoría de códigos. En la sección III, proporcionamos dos
mo secuencia cifrante. Además, si estamos usando el alfabeto algoritmos diferentes para recuperar el estado inicial de un
binario, el cifrado se hace bit a bit. LFSR dada la secuencia cifrante.
Sin embargo, conocida una secuencia de bits producidos
por un LFSR (Linear Feedback Shift Register), el algoritmo II. U N PROBLEMA DE DECODIFICACIÓN
de Berlekamp-Massey [12] encuentra el LFSR de mínima
Supongamos que el polinomio característico de un LFSR es
longitud que genera tal secuencia. La linealidad de estas
secuencias debe ser destruida para poder usarlas como secuen- f (x) = c0 + c1 x + c2 x2 + · · · + ck−1 xk−1 + xk ∈ F2 [x].
cias cifrantes.
Un método para destruir la linealidad y la predictibilidad Consideremos la matriz companion (véase [10])
de una secuencia de salida de un LFSR es usar la salida de
 
0 0 0 ··· 0 c0
varios LFSR como entrada a una función booleana no lineal, 1 0 0 · · · 0 c1 
diseñada con ciertas propiedades criptográficas para producir
 
0 1 0 · · · 0 c2 
k×k
una secuencia cifrante más resistente. En estos casos aparece, A = . . . ..  ∈ F2
 
..
 .. .. .. . .
con frecuencia, cierta correlación entre la secuencia cifrante

 
0 0 0 · · · 0 ck−2 
generada por el generador no lineal y la salida de alguno de
los LFSR implicados (véase, por ejemplo, el generador de 0 0 0 · · · 1 ck−1
Geffe [5] o el algoritmo A5/1 [6]). Los llamados ataques de de f (x), y la matriz columna
correlación se aprovechan de esta debilidad para atacar dichos T
0 ∈ Fk×1

generadores. C = 1 0 0 ··· 0 2 .
40
Sara D. Cardell, Joan-Josep Climent, Alicia Roca
= Ak C A2 A3 Ak−1 C = Ak .

1−ε AC ···
0 0
yt zt Así, podemos escribir la matriz generadora G de C como
ε ε

G = Ik Ak A2k A3k · · · A(m−2)k A(m−1)k
1 1
1−ε
que está en forma sistemática. Consecuentemente,
(Ak )T
 
Ik
Figura 1. Esquema de la transmisión a través de un canal simétrico binario  (A2k )T Ik 
 (A3k )T
 
Ik 
H= .. (2)
 
. . 
Podemos describir el LFSR definido por f (x) mediante un 
 . . 

sistema autónomo (A(m−2)k )T Ik 
(m−1)k T
xt+1 = xt A
(A ) Ik
t = 0, 1, 2 . . . (1)
yt = x t C es la matriz de control de paridad de C.
donde xt es el estado del sistema en el paso t-ésimo. Deno-
tamos por x0 el estado inicial. III. E L ALGORITMO DE DECODIFICACIÓN
Si consideramos un estado inicial x0 = (y0 , y1 , . . . , yk−1 ), A partir de ahora, supondremos que la secuencia de salida
entonces podemos obtener el bit t-ésimo, denotado por yt , para del LFSR definida por f (x) y la secuencia recibida son
t ≥ k, a partir de la expresión (1). Además, si suponemos que
f (x) es un polinomio primitivo, entonces sabemos que la se- y = (y 0 , y 1 , y 2 , . . . , y m−2 , y m−1 )
(3)
cuencia de salida y0 , y1 , . . . , yk−1 , yk , yk+1 , . . . tiene período z = (z 0 , z 1 , z 2 , . . . , z m−2 , z m−1 )
máximo 2k − 1. respectivamente, donde
Supongamos que n es un entero positivo tal que k <
n < 2k − 1. Entonces, podemos calcular la secuencia de y i = (yik , yik+1 , yik+2 , . . . , y(i+1)k−2 , y(i+1)k−1 )
salida y = (y0 , y1 , y2 , . . . , yk−1 , yk , yk+1 , . . . , yn−1 ) como z i = (zik , zik+1 , zik+2 , . . . , z(i+1)k−2 , z(i+1)k−1 )
y = x0 G donde
para i = 0, 1, 2, . . . , m − 2, m − 1.
G = C AC A2 C A3 C · · · An−2 C An−1 C .

Puesto que y ∈ C, tenemos que yH T = 0; i.e.,
Supongamos ahora que no conocemos ni la secuencia de

y 0 Ak A2k A3k · · · A(m−2)k A(m−1)k
salida y ni el estado inicial x0 , pero que conocemos la
+ y 1 y 2 y 3 · · · y m−2 y m−1
secuencia
= 0 0 0 ··· 0 0
z = (z0 , z1 , z2 , . . . , zk−1 , zk , zk+1 , . . . , zn−1 )
y, por lo tanto,
la cual está correlada con la secuencia y con probabilidad de
correlación 1 − ε (usualmente 0,25 ≤ ε ≤ 0,5). La idea de un y 0 Aik + y i = 0, para i = 1, 2, . . . , m − 1. (4)
ataque de correlación consiste en ver la secuencia z como una Esto quiere decir que (y 0 , y i ) es una palabra del código
perturbación de la secuencia y a través de un canal simétrico binario Ci de parámetros [2k, k] cuya matriz de control de
binario con ruido (véase la Figura 1) con P r(zt = yt ) = 1 − ε paridad es Hi = (Aik )T Ik , para i = 1, 2, . . . , m − 1.

(véase [13], [14]). (m−2)k
Así, la secuencia y, generada por un LFSR, puede ser Por otro lado, supongamos que s ∈ F2 es el síndrome
T
interpretada como una palabra del código lineal binario C de de z; i.e., zH = s, o equivalentemente
parámetros [n, k] generado por la matriz G, y la secuencia

z 0 Ak A2k A3k · · · A(m−2)k A(m−1)k
cifrante z puede ser vista como la secuencia recibida a
+ z 1 z 2 z 3 · · · z m−2 z m−1

través del canal. Por lo tanto, el ataque de correlación puede
ser reformulado como: Dada la palabra recibida z ∈ Fn2 , = s0 s1 s2 · · · sm−3 sm−2
encontrar la palabra código transmitida y ∈ C. Esto quie- con lo que
re decir, de acuerdo con lo comentado anteriormente, que
z = y + e, donde e ∈ Fn2 es un vector con peso de Hamming z 0 A(i+1)k + z i+1 = si , para i = 0, 1, 2, . . . , m − 2,
wt(e) = bεnc como promedio. donde
Supongamos ahora que n = mk para algún entero positivo
k
m con 1 < m < 2 k−1 . Como el sistema (1) está en forma si = (sik , sik+1 , sik+2 , . . . , s(i+1)k−2 , s(i+1)k−1 ),
reducida de observabilidad, tenemos que
para i = 0, 1, 2, . . . , m − 2. Puesto que z = y + e, tenemos
C AC A2 C A3 C · · · Ak−1 C = Ik

que
z i = y i + ei , para i = 0, 1, 2, . . . , m − 1, (5)
donde Ik denota la matriz identidad de tamaño k × k. Conse-
cuentemente y, en consecuencia,
e0 A(i+1)k + ei+1 = si ,
k
A C Ak+1 C Ak+2 C Ak+3 C · · · A2k−1 C

para i = 0, 1, 2, . . . , m − 2,
41
o equivalentemente, de paridad H que define el código debe ser transformada,

T mediante operaciones elementales, en una matriz sistemática.
e0 B + ẽ = s, (6)
La segunda parte corresponde al algoritmo de decodificación
donde propiamente.
Dada la estructura de la matriz H (véase la expresión (2)),
B T = Ak A2k A3k · · · A(m−2)k A(m−1)k ,

nuestro problema de decodificación viene ya dado en forma
ẽ = e1 e2 e3 · · · em−2 em−1 . sistemática. Por tanto, podemos aplicar directamente la segun-
da parte del algoritmo de [2]. Describimos a continuación las
Merece la pena recordar que estamos buscando un vector
ideas principales en las cuales se basa dicho algoritmo.
e ∈ Fn2 tal que eH T = s y wt(e) = w. Dado que la
probabilidad de error es ε, podemos suponer que wt(e0 ) = Esencialmente el método busca una aproximación del
bεn/mc = bεkc. vector ẽ0 en tres pasos. En cada paso, se obtiene un
Ahora, la expresión (6) proporciona el ataque por fuerza conjunto de vectores u ∈ F2k 2 de cierto peso de modo
bruta descrito en el algoritmo 1. que, para un r dado, las últimas r coordenadas de uQT
coinciden con un vector previamente elegido en Fr2 . Este
Algoritmo 1: proceso es gradual en el sentido que en el último paso
los vectores u ∈ F2k
2 seleccionados tienen peso p y uQ
T
input : H, s, y ω
coincide con el vector s0 . Por tanto, se satisface (7),
output: e ∈ Fn2 tal que eH T = s y wt(e) = ω
como se desea.
1 for e0 ∈ Fk2 tal que wt(e0 ) = bεkc do En cada paso el procedimiento es análogo, y utiliza el
2 calcular ẽ as ẽ = e0 B T + s % véase la algoritmo Merge-Join de [2], el cual está basado en un
expresión (6) algoritmo clásico de concordancia (matching algorithm)
3 sea e = (e0 , ẽ) diseñado por Knuth [9].
4 if wt(e) = ω then Para unos valores dado ρ, ν con 1 ≤ ρ ≤ 2k, 1 ≤ ν ≤ k
5 PARAR y t ∈ Fν2 , empezando con dos conjuntos de vectores
6 end U and V in F2k2 de peso aproximado ρ/2, el algoritmo
7 end Merge-Join produce un nuevo conjunto de vectores W
de peso ρ satisfaciendo la siguiente condición:
El segundo algoritmo está basado en la modificación de
n
W = u + v ∈ F2k 2 | u ∈ U, v ∈ V,
la técnica de representación de los síndromes propuesta por o
Becker et al. [2]. Debemos recordar que estamos buscando un wt(u + v) = ρ, ((u + v)QT )[k − ν + 1 : k] = t .
vector e ∈ Fn2 tal que eH T = s and wt(e) = w. Para mejorar
los cálculos, introducimos una hipótesis adicional sobre la El algoritmo Merge-Join es ejecutado cuatro veces en el
distribución de pesos del vector e. Buscamos vectores e, que paso 2, dos veces en el paso 1, y una vez en el paso final
puedan ser descompuestos como e = (ẽ0 , ẽ1 ) ∈ F22k × Fn−2k
2 0. Los conjuntos de entrada en cada paso provienen de
donde wt(ẽ0 ) = p, para algún p con 1 ≤ p ≤ 2k, las salidas en el paso anterior. Para comenzar, obtenemos
wt(ẽ1 ) = w − p, y eH T = s. Como estamos suponiendo cuatro pares de conjuntos de vectores de peso p2 /2
que los errores están uniformemente distribuidos, en promedio, mediante una búsqueda por fuerza bruta. En este caso,
p = wt(ẽ0 ) = b2kεc. Entonces, como consecuencia de la dado un par, las componentes no nulas de todos los
expresión (2), después de obtener el vector ẽ0 de vectores de uno de los conjuntos aparecen en posiciones
k
A distintas con respecto a las componentes no nulas de
T T
s0 = ẽ0 Q donde Q = , (7) todos los vectores del otro conjunto.
Ik
Existe otra idea clave que debemos tener en cuenta. Co-
podemos encontrar el vector ẽ1 como mo mencionamos anteriormente, en cada paso obtenemos
ẽ1 = ẽ0 [1 : k] RT + s̃1 (8) conjuntos de vectores de peso pi añadiendo vectores
provenientes de pares de conjuntos de vectores de peso
donde s̃1 = (s1 , s2 , . . . , sm−2 ) y pi+1 , con pi+1 = p2i + εi+1 , para i = 0, 1, 2, con
p0 = p y ε3 = 0. Por tanto, los vectores añadidos deben
RT = A2k A3k · · · A(m−2)k

A(m−1)k .
coincidir en εi+1 componentes no nulas.
Notemos que
A partir de ahora, usamos la siguiente notación: si u = k
esto permite la existencia de posibles vectores
(u1 , u2 , . . . , u` ) ∈ F`2 es un vector dado y 1 ≤ i ≤ j ≤ `, pi+1
entonces denotamos por u[i : j] el vector (ui , ui+1 , . . . , uj ) ∈ k k k
en lugar de y como > , donde
Fj−i+1
2 . pi /2 pi+1 pi /2
Así pues, debemos centrarnos en calcular eficientemente el pi+1 ≤ k/2, significa que tenemos más vectores posibles
vector ẽ0 . para analizar.
En [2], los autores proponen un algoritmo para decodi- El algoritmo está descrito a continuación (véase el algorit-
ficador códigos lineales aleatorios. Este algoritmo contiene mo 2). Empezando con la matriz Q, el vector s0 , y el entero p
dos partes principales. Para empezar, la matriz de control con 1 ≤ p ≤ 2k, el algoritmo nos permite obtener un conjunto
42
Sara D. Cardell, Joan-Josep Climent, Alicia Roca
L de vectores en F2k
2 cuyos elementos son candidatos para la
solución de (7). Algoritmo 2:
Primero, analizamos los cálculos realizados en los diferentes input : Q, s0, y p con 1 ≤ p ≤ 2k
niveles. Las observaciones que vienen a continuación tienen output: L = ẽ0 ∈ F2k T
2 | wt(ẽ0 ) = p, ẽ0 Q = s0
como objetivo proporcionar una explicación del comporta- % Véase la expresión (7)
miento de dicho algoritmo. 1 Definir p1 = p/2 + ε1 y p2 = p1 /2 + ε2 de forma que p1
Observación 1: Supongamos que elegimos los vectores v 1 ∈ y p2 sean números pares;
Fr21 y u1 , u3 ∈ Fr22 (véase la línea 3 del algoritmo 2), y 2 Elegir enteros aleatorios r1 , r2 tales que 1 ≤ r2 ≤ r1 ≤ k;
definamos los vectores v 2 ∈ Fr21 y u2 , u4 ∈ Fr22 (véase la 3 Elegir vectores aleatorios v 1 ∈ Fr21 , y u1 , u3 ∈ Fr22 ;
línea 4 del algoritmo 2). para i = 1, 2, 3, 4, creamos 4 Definir vectores
Entonces,
(3) (3) v 2 = s0 [k − r1 + 1 : k] + v 1 ,
los conjuntos básicos L2i−1 , L2i .
(i) (3) (i)
u2 = v 1 [r1 − r2 + 1 : r1 ] + u1 ,
A continuación, para i = 1, 2, 3, 4, si a1 ∈ L2i−1 y a2 ∈ u4 = v 2 [r1 − r2 + 1 : r1 ] + u3 ;
(3) (i) (i) (2)
L2i ,entonces a1 + a2 ∈ Li y 5 for i = 1, 2, 3, 4 do

(i) (i)
6 Elegir particiones aleatorias Pi = (P2i−1 , P2i ) de
a1 + a2 QT [k − r2 + 1 : k] = ui , {1, 2, . . . , 2k} tales que |P2i−1 | = |P2i|;
(3) (3)
y, por tanto, podemos obtener la igualdad de la expresión 7 Obtener los pares de conjuntos básicos L2i−1 , L2i
(9). Como los vectores del conjunto final son seleccionados tales que
(2)
como sumas de vectores de los conjuntos Li , esta propiedad (3)
n
L2i−1 = a = (a1 , a2 , . . . , a2k ) ∈ F2k
2 | wt(a) = p2 /2
garantiza que los vectores finales seleccionados coincidirán en o
las últimas r2 componentes del bloque s0 del síndrome. al = 0 para todo l ∈ P2i ,
(j) (2) (j) (2)
Análogamente, para j = 1, 2, si b1 ∈ L2j−1 y b2 ∈ L2j , n
(3)
(j) (j)
entonces b1 + b2 ∈ Lj y
(1) L2i = a = (a1 , a2 , . . . , a2k ) ∈ F2k
2 | wt(a) = p2 /2
o
(j) (j)
b1 + b2 QT [k − r1 + 1 : k] = v j 8 al = 0 para todo l ∈ P2i−1
y, por tanto, obtenemos la igualdad de la expresión (10). Del 9 end

mismo modo, podemos ver que la selección de vectores en este 10 for i = 1, 2, 3, 4 do
(3) (3)
paso garantiza la coincidencia de las últimas r1 componentes 11 Usar los conjuntos básicos L2i−1 , L2i , el vector
del bloque s0 del síndrome. ui , el entero p2 , y el algoritmo Merge-Join para
(1) (1)
Finalmente, si c1 ∈ L1 y c2 ∈ L2 , entonces obtener
n
c1 + c2 ∈ L y (c1 + c2 ) QT = s0 , (2) (i)
Li = a1 + a2 ∈ F2k
(i) (i) (3) (i) (3)
2 | a1 ∈ L2i−1 , a2 ∈ L2i ,

que era nuestro objetivo. (i) (i)
wt a1 + a2 = p2 y
Una vez obtenido el conjunto L, utilizamos el algoritmo 3
(i) (i)
o
(a1 + a2 )QT [k − r2 + 1 : k] = ui
para obtener un vector e tal que wt(e) = w y eH T = s. 12
Observación 2: Algunos cálculos preliminares realizados pa- 13 end

ra registros de longitud k con 8 ≤ k ≤ 16 muestran resultados 14 for j = 1, 2 do
(2) (2)
satisfactorios. El algoritmo 1 presenta mejores rendimientos en 15 Usar los conjuntos L2j−1 , L2j , el vector v j , el
términos de tiempo de ejecución para valores pequeños de k, entero p1 , y el algoritmo Merge-Join para obtener el
a pesar de que cuando k crece, los algoritmos 2 y 3 parecen conjunto
ser más eficientes. n
(1) (j) (j) (j) (2) (j) (2)
En el caso del algoritmo 2 hemos tomado p = wt(ẽ0 ) = Lj = b1 + b2 ∈ F2k 2 | b1 ∈ L2j−1 , b2 ∈ L2j ,
b2kεc, y para el resto de parámetros: ε1 , ε2 , r1 y r2 , asignamos
(j) (j)

los valores recomendados en [2], i.e., wt b1 + b2 = p1 y
o
0 < ε1 < 2k − p, (j) (j)
16 (b1 + b2 )QT [k − r1 + 1 : k] = v j
0 < ε2 < 2k − p1 ,
p
2k−p
r1 ≈ log2 R1 , donde R1 = p/2 ε1 , 17 end
p1 (1) (1)
2k−p
r2 ≈ log2 R2 , donde R2 = p1 /2 ε2
1
. 18 Utilizar los conjuntos L1 , L2 , el vector s0 , el entero
Como trabajo futuro, queremos ejecutar nuestros algoritmos p, y el algoritmo Merge-Join para obtener el conjunto
para valores mayores de k (con 16 < k ≤ 64).
n
(1) (1)
L = c1 + c2 ∈ F2k 2 | c1 ∈ L1 , c2 ∈ L2 ,
o
IV. D ISCUSIÓN wt(c1 + c2 ) = p y (c1 + c2 )QT = s0
Las secuencias de salida de los LFSR tienen buenas proprie-
dades criptogáficas, por ejemplo, tienen período alto y son casi
43

(1) (1) (2) (2) (3) (3) (4) (4)
a1 + a2 + a1 + a2 + a1 + a2 + a1 + a2 QT [k − r2 + 1 : k]
= u1 + u2 + u3 + u4 = (v 1 + v 2 ) [k − r2 + 1 : k] = s0 [k − r2 + 1 : k]. (9)

(1) (1) (2) (2)
b1 + b2 + b1 + b2 QT [k − r1 + 1 : k] = v 1 + v 2 = s0 [k − r1 + 1 : k]. (10)
Algoritmo 3: [2] A. Becker, A. Joux, A. May, and A. Meurer, “Decoding random binary
linear codes in 2n/20 : How 1 + 1 = 0 improves information set
input : H, s, L, ω decoding,” in Advances in Cryptology – EUROCRYPT 2012, ser. Lecture
output: e ∈ Fn2 tal que eH T = s y wt(e) = ω Notes in Computer Science, D. Pointcheval and T. Johansson, Eds.
Berlin: Springer-Verlag, 2012, vol. 7237, pp. 520–536.
1 for ẽ0 ∈ L do % wt(ẽ0 ) = p [3] A. Canteaut and M. Naya-Plasencia, “Correlation attacks on combination
2 Calcular ẽ1 ∈ Fn−2k
2 como ẽ1 = ẽ0 [1 : k] RT + s̃1 generators,” Cryptography and Communications, vol. 4, no. 3–4, pp.
147–171, 2012.
% véase la expresión (8) [4] V. V. Chepyzhov, T. Johansson, and B. Smeets, “A simple algorithm for
3 if wt(ẽ1 ) = ω − p then fast correlation attacks on stream ciphers,” in Fast Software Encryption
4 Definir e = (ẽ0 , ẽ1 ) – FSE 2000, ser. Lecture Notes in Computer Science, B. Schneier, Ed.
Berlin: Springer-Verlag, 2001, vol. 1978, pp. 181–195.
5 end [5] P. Geffe, “How to protect data with ciphers that are really hard to break,”
6 end Electronics, vol. 46, no. 1, pp. 99–101, 1973.
[6] J. D. Golić, “Cryptanalysis of alleged A5 stream cipher,” in Advances in
Cryptology – EUROCRYPT ’97, ser. Lecture Notes in Computer Science,
W. Fumy, Ed. Berlin: Springer-Verlag, 1997, vol. 1233, pp. 239–255.
[7] K. Jeong, J. Sung, S. Hong, S. Lee, J. Kim, and D. Hong, “Improved
equilibradas. Sin embargo, desde la aparición del algoritmo de fast correlation attack on the shrinking and self-shrinking generators,”
Berlekamp-Massey ya no se utilizan como secuencias cifran- in Progress in Cryptology – VIETCRYPT 2006, ser. Lecture Notes in
tes, dada su baja complejidad lineal. Una de las soluciones Computer Science, P. Q. Nguyen, Ed. Berlin: Springer-Verlag, 2006,
vol. 4341, pp. 260–270.
propuestas y bastante usada para acabar con la linealidad de [8] T. Johansson and F. Jönsson, “Theoretical analysis of a correlation
los LFSR es, por ejemplo, combinar varios LFSR a través de attack based on convolutional codes,” IEEE Transactions on Information
una función booleana no lineal. Por otro lado, aunque todavía Theory, vol. 48, no. 8, pp. 2173–2181, 2002.
[9] D. E. Knuth, The Art of Computer Programming. Sorting and Searching.
se usan LFSR en algunos tipos de generadores como los libres Boston, MA: Addison-Wesley, 1998, vol. 3.
de colisiones, la criptografía cuántica reemplaza eficazmente [10] R. Lidl and H. Niederreiter, Introduction to Finite Fields and Their
el uso de generadores LFSR de gran período. Por tanto, es de Applications. New York, NY: Cambridge University Press, 1986.
[11] P. Lu and L. Huang, “A new correlation attack on LFSR sequences with
esperar que en un futuro próximo el uso criptográfico de las high error tolerance,” Progress in Computer Science and Applied Logic,
secuencias producidas por LFSR tienda a ser sustituido por vol. 23, pp. 67–83, 2004.
otros algoritmos más seguros. [12] J. L. Massey, “Shift-register synthesis and BCH decoding,” IEEE
Transactions on Information Theory, vol. 15, no. 1, pp. 122–127, 1969.
En este trabajo, consideramos un LFSR como un sistema [13] W. Meier and O. Staffelbach, “Fast correlation attacks on stream
autónomo que da lugar a un código lineal e interpretamos la ciphers,” in Advances in Cryptology – EUROCRYPT’88, ser. Lecture
secuencia cifrante como la palabra recibida a través de un Notes in Computer Science, C. G. Günter, Ed. Berlin: Springer-Verlag,
1988, vol. 330, pp. 301–314.
canal simétrico binario con ruido correspondiente a una pala- [14] W. Meier and O. Staffelbach, “Fast correlation attacks on certain stream
bra código. A partir de esta idea, presentamos dos algoritmos ciphers,” Journal of Cryptology, vol. 1, no. 3, pp. 159–176, 1989.
de decodificación basados en el trabajo realizado por Becker [15] W. Meier, “Fast correlation attacks: methods and countermeasures,” in
Fast Software Encryption – FSE 2011, ser. Lecture Notes in Computer
et al. [2] en 2012. En las pruebas efectuadas, los resultados Science, A. Joux, Ed. Berlin: Springer-Verlag, 2011, vol. 6733, pp.
de los algoritmos son satisfactorios. En un próximo trabajo 55–67.
presentaremos los resultados numéricos correspondientes. [16] H. Molland, J. E. Mathiassen, and T. Helleseth, “Improved fast corre-
lation attack using low rate codes,” in Cryptography and Coding, ser.
Lecture Notes in Computer Science, K. G. Paterson, Ed. New York,
AGRADECIMIENTOS NY: Springer-Verlag, 2003, vol. 2898, pp. 67–81.
[17] M. Noorkami and F. Fekri, “A fast correlation attack via unequal error
El trabajo de S.D. Cardell ha sido financiado por FAPESP correcting LDPC codes,” in Topics in Cryptology – CT-RSA 2004, ser.
Lecture Notes in Computer Science, T. Okamoto, Ed. Berlin: Springer-
(número de proceso 2015/07246-0). El trabajo de J.-J. Climent Verlag, 2004, vol. 2964, pp. 54–46.
ha sido financiado parcialmente por los proyectos MIME- [18] T. Siegenthaler, “Decrypting a class of stream ciphers using ciphertext
CO MTM2015-68805-REDT y MTM2015-69138-REDT. El only,” IEEE Transactions on Computers, vol. 34, no. 1, pp. 81–85, 1985.
[19] B. Zhang, H. Wu, D. Feng, and F. Bao, “A fast correlation attack on
trabajo de A. Roca ha sido financiado parcialmente por los the shrinking generator,” in Topics in Cryptology – CT-RSA 2005, ser.
proyectos MINECO MTM2013-40960-P y MTM2015-68805- Lecture Notes in Computer Science, A. Menezes, Ed. Berlin: Springer-
REDT. Verlag, 2005, vol. 3376, pp. 72–86.
R EFERENCIAS
[1] M. Ågren, C. Löndahl, M. Hell, and T. Johansson, “A survey on fast
correlation attacks,” Cryptography and Communications, vol. 4, no. 3–4,
pp. 173–202, 2012.
44
Felipe Andrés Corredor, Diego Izquierdo, Brayan Piñeros
RISMATT: Sistema de gestión de riesgos

tecnológicos, orientado a pequeñas y medianas
empresas
Felipe Andrés Corredor, M.Sc.– Diego Izquierdo, Ing. – Brayan Piñeros
Universidad de los Llanos - Grupo de Investigación en tecnologías abiertas - GITECX
felcorredor@unillanos.edu.co - izquierdodiegof@gmail.com - bpineros@unillanos.edu.co
Abstract- The International Organization for Standardization

Existen documentos como el estándar ISO 31000 e ISO
(ISO) in its standard 27001 states that information security aims 27005, que orientan el que hacer de las empresas en la gestión
to "... protect information assets and minimize their risk from de riesgos; sin embargo, la mayoría de soluciones tecnológicas
threats ...". In the industry, there are standards that define que asisten el proceso de gestión de riesgo, están incorporadas
methodologies and good practices for risk management, such as como módulos de grandes sistemas ERP o software de
ISO 27005, ISO 31000, Octave, among others. Contrasting with licenciamiento restrictivo y costoso, dirigido a grandes
the current context, where PYMES do not have enough human,
empresas.
economic or technological resources to take on the technological
risk management process. Managing any type of risk generates
sensitive information about the organization, its vulnerabilities Con esta evidente necesidad para el sector de las Mipymes,
and threats, information that is not usually protected correctly. es de suma importancia brindar recursos tecnológicos por
here enters RISMATT, apart from helping in this process makes medio de los cuales se pueda llevar a cabo el proceso de
sure to protect this new information. gestión del riesgo, con la certeza de que el almacenamiento de
Index terms- ISO 27005, information security, risk los datos de la gestión de riesgos, cuenten con el nivel de
management, controls, sensitive data. confidencialidad e integridad suficiente. [2]
I. INTRODUCCIÓN
El gobierno de Colombia junto al Ministerio de las TIC
En Colombia hay más de dos millones y medio de dispone de documentación asequible a través de su sitio web,
microestablecimientos (Mipymes), que generan según el pero no provee iniciativas en torno a una herramienta de
DANE el 67% de los empleos del país y un aporte del 28% al software que guie y apoye este tipo de procesos de gestión del
PIB. Su dinamismo las ha llevado a incursionar en el entorno riesgo; por ahora solo se dispone de documentación para la
digital para hacer negocios, pero a paso más lento que las implementación de Sistemas de Gestión de Seguridad de la
grandes empresas. El gobierno nacional ha impulsado Información (SGSI) [3], quedándose corto en la solución.
iniciativas para reducir la brecha digital en este tipo de
empresas. Sin embargo, incursionar en el entorno TIC, El presente trabajo plantea una alternativa de solución, que
conlleva una serie de responsabilidades y riesgos sobre sus consiste en la realización de un sistema orientado a la web,
activos de información. La materialización de los riesgos llamado RISMATT, que actúa como asistente en la gestión de
puede generar daños en una organización, desde parar una riesgos de seguridad, basado en los estándares ISO 31000 e
actividad o proceso, hasta llevar a la quiebra. Lo anterior ISO 27005. El artículo presenta inicialmente el contexto del
genera una incertidumbre comúnmente llamada riesgo problema, describe luego el proceso metodológico para
corporativo. [1] continuar con la implementación, la discusión donde se realiza
un análisis de parámetros del sistema en un caso de prueba en
El CONPES 3854 de 2016, establece la POLÍTICA contexto real y finalmente las conclusiones de la investigación
NACIONAL DE SEGURIDAD DIGITAL en Colombia, realizada.
planteando que el Gobierno va a orientar sus estrategias hacia
la gestión de riesgos, pero también hacia la concienciación,
II. CONTEXTUALIZACIÓN DEL PROBLEMA
sensibilización y educación en seguridad digital para la
ciudadanía y el sector productivo. A su vez la OCDE ha Las PYMES generalmente no cuentan con el suficiente
definido unos principios para la gestión del riesgo digital, que recurso humano, económico o tecnológico para asumir de
plantean lo siguiente: ―… las organizaciones deben entender los manera formal una metodología de análisis y gestión de
riesgos de seguridad digital. Deben ser conscientes de que el riesgo riesgos organizacionales a nivel de riesgos y amenazas
de seguridad digital puede afectar el logro de sus objetivos tecnológicas sobre su infraestructura de Tecnologías de la
económicos y sociales, y el de otros. Deben estar educados al información (T.I.) [4]. El contexto evidencia que, aunque casi
respecto, poseer las habilidades necesarias para entender el riesgo, el 45% de las organizaciones en el contexto latinoamericano
administrarlo y evaluar su impacto‖. dirigen y supervisan programas de riesgos de seguridad de la
información; esto tiene lugar principalmente en empresas que
tienen más de 50 empleados [5].
45
Las organizaciones han adaptado sus procesos a las T.I., lo múltiples restricciones que determina su licenciamiento
cual genera un nuevo marco de eventos que podrían ocasionar privativo, así como la falta de documentación técnica y de
riesgos, por lo tanto, en función del cumplimiento de las usuario que no disponen para su uso [16]. De acuerdo con lo
misiones, procesos y la protección de los activos de la planteado anteriormente, es evidente que, ante la falta de una
institución, se hace estrictamente necesario mantener la adecuada gestión temprana de riesgos de seguridad, se genera
privacidad y seguridad de estos [5]. Siendo Colombia el país una alta probabilidad de incidentes [17], lo que a su vez
número uno de habla hispana en ataques informáticos (más del impactará negativamente a la organización en aspectos
20%), en donde seis millones de personas fueron víctimas de legales, continuidad del negocio, finanzas y prestigio
ataques informáticos en un mismo año. Se estima que del institucional, entre otros.
100% de los ataques, tan solo el 35% son bloqueados y el otro
65% es satisfactorio, pero lo que lo vuelve más crítico es que Por otra parte, es importante considerar las siguientes leyes de
escasamente el 5% de estos es detectado [6], [7]. Colombia, las cuales al incumplirse, pueden afectar
seriamente a la organización:
La cifra anual de víctimas de cibercriminales supera los 400
millones de personas, generando pérdidas alrededor de 113 Ley de Comercio Electrónico (Ley 527 de 1999 - ―por
billones de dólares, con gastos de 22 billones de dólares y medio de la cual se define y reglamenta el acceso y uso de los
aproximadamente 1.5 billones de horas para solucionar los mensajes de datos, del comercio electrónico y de las firmas
incidentes [8]. En Colombia se realizó un estudio, con más de digitales…‖). Legalización de Software - (Ley 603 de 2000) –
700 profesionales, de diferentes sectores económicos, donde ―los revisores fiscales, gerentes y representantes legales deben
se determinó que el 81% de las empresas no ha implementado verificar personalmente el cumplimiento de las normas sobre
herramientas para la gestión de riesgos, el 41% no revisa el propiedad intelectual y derechos de autor del software
marco normativo de seguridad de la información de la instalado en sus empresas…‖. La Resolución de la comisión
empresa (políticas de seguridad de la información), el 52% no de Regulación de Comunicaciones 2258 de 2009: Sobre
ha implementado en su empresa estándares internacionales seguridad de las redes de los proveedores de redes y servicios
para la seguridad de la información. El 47% nunca hizo de telecomunicaciones; Establece la obligación de
ninguna prueba o test de seguridad de las redes. Así mismo el implementar modelos de seguridad cumpliendo los principios
47% no cuenta con un plan de contingencia que le permita de confidencialidad de datos, integridad de datos y
continuar con los procesos de la empresa en caso de algún disponibilidad de los elementos de red, la información, los
evento indeseado. [6], [7]. servicios y las aplicaciones, así como medidas para
autenticación, acceso y no repudio. Y finalmente la Ley de
La gestión de riesgos a nivel corporativo generalmente se Protección de Datos Personales (Ley 1581 de 2012) establece
asume a través de estándares internacionales como ISO 27001, los derechos de las personas naturales para tener la potestad de
ISO 27002, ISO 27005, ISO 31000, OWASP y algunos autorizar, actualizar y rectificar la información personal que es
frameworks que sirven como guía para gestionar la almacenada en bases de datos o archivos.
información y crear políticas de seguridad, tales como: III. ESTADO DEL ARTE
COBIT, NIST 800-30, TIA-942, etc. La diversidad de normas
y criterios dificultan la decisión de asumir y seguir Como se puede observar en la ―Tabla 1‖, las tendencias en la
estrictamente uno solo, entre otros aspectos porque el mayoría de herramientas de software existentes para el apoyo
contenido de estos documentos, no definen de manera precisa de la gestión de la S.I. de una organización, son propias de
un proceso metodológico. Ante este panorama la investigación firmas de auditoría, restringidas y muchas veces costosas.
en el campo de la gestión de riesgos de seguridad, viene
Herramienta Descripción
planteando varios enfoques: Por un lado, los enfoques
cuantitativo (analizando probabilidad y consecuencias del OBIT Control Self- Es un software que ha sido desarrollado por
riesgo), cualitativos (el factor de riesgo determinado por el DATASEC (www.datasec-soft.com/sp/), en su
Assessment (CSA)
versión actual, se encuentran incorporados estándares
conocimiento del experto humano) e híbridos [9].Y desde otro mundiales como el marco COBIT® 4.0.
punto de vista, los enfoques a nivel de implementación y Desarrollada por SIGEA, compañía especializada en
análisis; donde se han desarrollado algunas implementaciones GxSGSI - Software la consultoría de sistemas basados en ISO 27001, ISO
20000, ISO 28000, UNE 71599, SPICE,
orientadas al análisis y valoración de listas de controles sobre de análisis de (www.sigea.es/). GxSGSI es un software de Análisis
TI y auditorias [10], [11] así como enfoques de análisis riesgos de Riesgos de seguridad bajo las normas UNE 71502
multidimensional de niveles de seguridad de los datos [11], e ISO 27001. País: España.
[12] y análisis de eventos de abusos sobre T.I. [13], GlobalSGSI desarrollada por AUDISEC (audisec.es),
GlobalSGSI es una herramienta web de gestión integral de la
incorporando en varios de estos casos algoritmos con norma ISO 27001. País: España.
inteligencia computacional. Desarrollada por el Centro Europeo de Empresas e
Innovación del Principado de Asturias, patrocinada
por IDN Servicios Integrales, el Centro de Excelencia
Existen herramientas de software presentes en el sector Securia SGSI de Software Libre, entre otras
productivo, como son: KRIO, Risk Management, Citicus (www.securia.es/forja/). Es software libre, pero es
ONE, ePULPO, securia entre otros [14][15], pero con las genérica, no está orientada a la web y su
funcionalidad aún es muy reducida.
46
Desarrollada por Ingenia, una empresa de servicios en información). Con el análisis se definieron las principales
T.I. (www.e-pulpo.es/). E-Pulpo: software de gestión
de la S.I. en las organizaciones, tanto en la
funcionalidades del sistema y los casos de uso. (Ver Fig. 1)
E-Pulpo administración pública como el sector privado: Fig. 1: Caso de uso general de Rismatt
Esquema Nacional de Seguridad (ENS), LOPD, SGSI
(ISO 27001), etc. País: España.
Proyecto financiado por la ―Consejería de Educación
y Ciencia de la Junta de Comunidades de Castilla-La
Mancha y los fondos FEDER‖. Es una herramienta
eMarisma principalmente pensada para optimizar y analizar
riesgos de negocio. (www.emarisma.com/). País:
España.
Tabla 1: Herramientas para el manejo de la seguridad de la información.
Aparte de las herramientas analizadas, se conocen trabajos

relacionados con ISO/IEC 27001 de 2013; como el caso de
Iqbal [2], en el que se presentan los aspectos para el desarrollo
de una base de datos que permita un uso eficaz de la norma
En este proceso de diseño se consideró como premisa el
ISO/IEC 27002; donde definieron como funcionalidades desde
cumplimiento de los servicios de confidencialidad, anonimato.
la base de datos: especificación del perfil de estándar,
y no repudio, para vincular las acciones efectuadas por los
recuperación de términos y definiciones, referenciar las
auditores. RISMATT Se definió con una arquitectura modular,
diferencias entre las versiones del estándar, apoyo en la
que garantizara su funcionamiento óptimo y el mantenimiento
verificación de controles de seguridad y renovación
para actualizaciones. (Ver descripción en ―Tabla 2‖). estas son
automática de esos controles.
los aspectos tenidos en cuenta para cumplir con los
Klaic, brinda una visión del estado actual y tendencias en el requerimientos de seguridad aquí mencionados.
campo de los métodos y herramientas para el apoyo a los
procesos de planificación, implementación y ejecución de la Módulo Descripción
política de seguridad de la información. [18]. Por otra parte, el Administración Interface de acceso a los demás módulos y
trabajo de Horváth [1] está relacionado con la experiencia de operaciones CRUD sobre aspectos del sistema.
un caso de aplicación de controles de seguridad basados en Inferencia Se busca con base en los datos alojados en el
servidor, para dar pronóstico a determinados
ISO/IEC 27002 para organizaciones pequeñas, en el cual se riesgos según la clasificación de la organización.
aplican específicamente 88 de los 133 controles. Establece Así como el impacto y la probabilidad de los
que no necesariamente se deben aplicar todos los controles a riesgos.
una empresa, ya que esto depende de la naturaleza, tamaño, Reportes Usado para presentar o exportar los resultados
finales de la auditoria para ayudar a la toma de
objetivos de la organización. decisiones.
Alertas Servicio de alerta hacia el auditor líder, sobre la
En Colombia, son escasos los antecedentes de herramientas de culminación de cada una de las fases de la
administración de información de controles de seguridad auditoria, no se transmite información sensible.
informática. Según ACIS [19]: ―Más del 66% de las empresas Autenticación Interface de acceso al sistema. Método simple
en Colombia no cuentan con una política de seguridad basado: en contraseña. También se integró un
mecanismo de captcha.
definida formalmente‖ y las regulaciones nacionales e Mediante canal cifrado para transferencia de datos
Comunicación
internacionales llevarán a las organizaciones en Colombia a sobre HTTPS, basado en certificado X.509.
fortalecer los sistemas de gestión de seguridad de la Cifrado de Uso de un algoritmo de cifrado netamente para
datos críticos como contraseñas.
información…‖. Por su lado, el Ministerio de Comunicaciones Datos
a través del Plan nacional de TIC Colombia 2008-2019 [20], Cifrado de Uso de un algoritmo de cifrado para el contenido
de los archivos en la base de datos.
también contempla la relevancia del sector de la seguridad Archivos
informática, donde plantea la asignación de recursos para Control de Permite o rechaza transacciones definidas en el
invertir en el Proyecto ―Seguridad informática para el sector sistema a usuarios según los privilegios que
acceso
poseen sobre los recursos a acceder.
público y privado‖ cuyo objetivo es ―Establecer lineamientos Tabla 2: Módulos y descripción
generales y prácticos en los temas de seguridad de la
información desde la perspectiva del ciudadano; de la El sistema está diseñado para un entorno mediano o
experiencia técnica y administrativa de las organizaciones, los pequeño, con un ámbito de cuatro roles, mencionados en la
estándares y las buenas prácticas; y de la protección de ―Tabla 3‖, cada uno con sus respectivos niveles de acceso.
infraestructura crítica de la nación‖. Permitiendo el manejo de la auditoria de una forma dinámica
IV. DESARROLLO METODOLÓGICO Y DISEÑO DE LA que facilite la colaboración de múltiples auditores.
ARQUITECTURA
Actor Descripción
Para el proceso de diseño de la arquitectura, del modelo de Administrador Interface de acceso a los demás módulos y
negocio y su base de datos, se contó con la participación de operaciones CRUD sobre aspectos del sistema.
Auditor Líder Usuario que crea la auditoria, agrega a los auditores
dos estudiantes de último semestre y dos ingenieros asistentes, maneja el CRUD de la auditoria,
investigadores (uno de ellos experto en seguridad de la bloquea las fases y genera el reporte.
47
Auditor Asistente Usuario encargado de ayudar a completar las fases Debido a que este proyecto y su metodología se basan en la
de la auditoria, suministrar información. correlación de dos normas las cuales no manejan la misma
Funcionario Persona que representa la organización auditada
encargada de supervisar el proceso de auditoria estructura ni los mismos puntos para la gestión de riesgos; se
Tabla 3: Actores / niveles de acceso estableció una metodología de cuatro fases (y sus respectivas
sub-fases) que orientan al auditor; las cuales se pueden revisar
Al ser la seguridad un aspecto importante en los en la ―Tabla 6‖.
requerimientos no funcionales del proyecto, se integraron a
Fase Descripción
través de los módulos, mecanismos para asegurar la En donde los auditores se ponen de acuerdo con sus
privacidad, el anonimato de los datos y credenciales de Reunión Inicio roles, el auditor líder crea la auditoria, Y se da una
acceso. Se puede observar los mecanismos de seguridad en ―la introducción al funcionamiento de la herramienta.
Tabla 4‖. Se realizan inspecciones y trabajo de campo para crear
Fase 1: Marco un marco de referencia de la organización y tener una
de referencia base para continuar las siguientes fases de la auditoria
Módulo Descripción de la mejor forma posible.
Cifrado de contraseña con AES a 256 en modo de Al igual que en la fase 1 se realizan inspecciones y
Autenticación Fase 2: trabajo de campo con el fin de verificar puntos como la
operación CBC. Librería de OpenSSl.
Integración y integración de la gestión del riesgo y verificar los
Cifrado de datos críticos con AES a 256 en modo de mecanismo y forma de comunicación dentro y fuera de
Cifrado de operación CBC. Librería OpenSSl. Al mismo tiempo a comunicación
la organización.
datos estos datos se les aplica una función HASH y se
guardan codificados en BASE64 ya que no se inserta Fase 3: Fase en donde establece el contexto de la organización,
confidenciales se diseñan instrumentos de acuerdo con sus necesidades
solo el dato cifrado, sino que también el HASH. Establecimiento
para poder evaluar los riesgos que se identificaran en la
Destinado a envió seguro de datos del sistema al del contexto y fase 4. Y se ponderan los criterios de evaluación del
HTTPS usuario en la capa de aplicación del modelo OSI
def. de criterios riesgo.
Módulo encargado de guardar las transacciones y toda
Transacciones Junto con RISMATT el auditor identificara los riesgos
la información relacionada con lo realizado por los Fase 4:
y logs existentes, los valorara según los criterios establecidos,
auditores en determinada auditoría Valoración. así como teniendo en cuenta las sugerencias del sistema.
Alertas sencillas por medio de correo electrónico. Con
Alertas Luego de acabar la auditoria se podrán generar reportes
el protocolo SMTP, así como con el protocolo SSL.
Generación de en donde aparecerán entre otras cosas las decisiones
Tabla 4: Mecanismos de seguridad
Informe tomadas por la organización y los auditores sobre el que
V. IMPLEMENTACIÓN hacer con los riesgos encontrados.
Tabla 6: Proceso de la metodología propuesta
Las herramientas tecnológicas usadas corresponden a
Lenguajes de programación, librerías, entornos de desarrollo, Los criterios establecidos en la fase 3, son creados por el
servidores web y base de datos, mecanismos de seguridad, auditor. RISMATT solo brinda una escala de calificación, la
herramientas de modelado, entre otras, las cuales fueron cual auditor tendrá en cuenta para cada riesgo. Esta
calificación es cualitativa, pero puede ser representada de
seleccionadas acorde a los requerimientos definidos en fases
forma cuantitativa por el auditor. Para la evaluación del riesgo
anteriores y cuyo licenciamiento es software libre. A
continuación, se presenta la ―Tabla 5‖, del software usado y su se creó un algoritmo sencillo con el fin de identificar la
aplicación en el proyecto: gravedad del riesgo según la evaluación.
INTERFAZ DE USUARIO
Módulo Herramien Licenc Tipo Descripción
ta ia A continuación se presentan los procesos más relevantes del
PHP- Lenguaje de Modulo encargado de entorno de auditoria que se realiza desde RISMATT, donde
Cifrado OpenSSL Programación cifrar archivos críticos también se explican los pasos y la metodología de verificación
Apache
de Datos MAC y librería para de las organizaciones. de riesgos utilizada, y algunas recomendaciones para la
BASE64 HASH.
seguridad de la información.
SwiftMailer Envió de alertas por
MIT API y
Alertas SMTP email de forma
protocolos
SSL segura.
Capa de seguridad
PHP-
Cifrado Lenguaje de para protección de
OpenSSL
de Apache Programación intercambio de
MAC
Archivos y librería archivos entre el
BASE64
sistema y el usuario.
Captcha para
GNU
Autentic cool-php- Librería en protección contra
GPL
ación captcha PHP ataques de password
v3
por fuerza bruta.
Registro de
Control
PHP Lenguaje de transacciones, y Fig. 2: Inicio del asistente de gestión de riesgos (RISMATT)
de Apache
programación control de acceso por RISMATT cuenta con la capacidad de agregar un número
acceso
medio de roles.
Inferenci Lenguaje de Algoritmos la
limitado de archivos según el apartado y la fase en la que se
PHP PHP encuentre el auditor.
a Programación valoración del riesgo
Tabla 5: Correlación de tecnologías con módulos.
PROCESO METODOLÓGICO DE LA AUDITORIA
48
VI. DISCUSIÓN
En este capítulo se aborda el caso de estudio, aplicado en la
Universidad de los Llanos, en las instalaciones del grupo de
investigación GITECX. La Universidad tiene definidos 17
procesos en su mapa de riesgos institucional, para el caso de
prueba se tomó el 47% de los procesos.
PROCESO RIESGO Prob. Imp.
Proliferación de logotipos y
símbolos institucionales
1 5 10
desconociendo del manual de
identidad visual
Fig. 3: Proceso de carga de archivos y llenado de formularios. Uso indebido de los canales,
COMUNICACIÓN
medios e información
INSTITUCIONAL 2 5 5
Se contempló un Panel administrativo donde se listan las institucional para favorecer
intereses particulares.
auditorias creadas con sus diferentes opciones CRUD.
Utilización de la marca y los
símbolos institucionales con
3 4 10
fines comerciales u otros
intereses personales
Perder la certificación del
GESTIÓN DE LA Sistema de Gestión de Calidad
4 3 10
CALIDAD SGC, otorgada por
ICONTEC.
Incumplimiento de planes de
5 estudio, mallas curriculares y 5 10
Fig. 4: Panel administrativo de auditorías.
proyectos docentes
Al momento de finalizar la auditoria, el auditor líder genera el DOCENCIA Incumplimiento de las
reporte y RISMATT crea automáticamente los análisis 6
responsabilidades académicas
5 10
estadísticos apoyados de gráficos, sobre la información asignadas por el Consejo de
Facultad
obtenida en la auditoría y la matriz de riesgos (Con capacidad Inicio de clases del estudiante
de exportación en formato xlsx). 7 5 5
sin formalizar la matrícula
Pérdida de confidencialidad de
BIENESTAR las HV e historias clínicas de
8 3 5
INSTITUCIONAL usuarios de los diferentes
programas de BI
Manipulación de la
GESTIÓN información financiera
9 5 5
FINANCIERA presupuestal para beneficio de
terceros
Hurto, apropiación, uso

10 indebido y aplicación diferente 5 10
Fig. 5: Gráficas de estadísticas por proceso creadas automáticamente al
de los bienes institucionales
generar el reporte de la auditoria.
GESTIÓN DE
Beneficios a terceros en la
BIENES Y
Así mismo, por cada proceso se puede analizar los riesgos, 11 selección de proveedores y 3 10
SERVICIOS
adjudicación de contratos
intercalando vistas con el informe general y el reporte
detallado. ―fig 5‖ Hurto de bienes institucionales
12 y de la comunidad 5 5
universitaria
Sustracción, eliminación o
GESTIÓN
13 manipulación de documentos, 3 10
DOCUMENTAL
archivos físicos y electrónicos
Incumplimiento de políticas y
14 3 10
medidas de seguridad
GESTIÓN DE TIC
Deterioro de infraestructura
15 3 10
tecnológica institucional
Tabla 7: Resumen de Mapa de riesgos, extraído para análisis de ISMATT
De los 60 riesgos institucionales se tomó el 25% y de 166

causas de estos riesgos solo se consideró el 29,5%. La muestra
de prueba se determinó por los riesgos que tuvieran una causa
asociada al uso de TIC, encontrando 49 causas con esta
condición. Se crearon los usuarios para el director de GITECX
Fig. 6: Gráficas de estadísticas generales creadas automáticamente al experto en seguridad de la información y para estudiantes
generar el reporte de la auditoria.
49
pertenecientes al grupo de investigación, por medio de la información corporativa, así como a la precisión de las
interfaz de RISMATT. transacciones realizadas. RISMATT cumple con las
características relevantes en gestión y análisis de riesgos,
RISMATT fue provisto con un sistema de autenticación orientadas a soporte de niveles de confidencialidad, reportes y
segura y cifrada con protocolos de seguridad para el envío de estadísticas, cifrado de datos, integridad y no repudio.
datos.
Despliegue de mecanismos de Seguridad en RISMATT
En este apartado se analizan los módulos presentados en la

―Tabla 5‖ y demás aspectos de seguridad contemplados para
el desarrollo del proyecto. Partiendo del hecho de que la
información que se maneja en este tipo de sistemas
corresponde a información crítica y altamente sensible para la
organización. Se hace necesario que se involucren sólidas
tecnologías y mecanismos de seguridad de la información:
Fig. 7: Módulo de autenticación del sistema RISMATT
En Colombia, el 4.85% de dominios han adoptado algún
El Sistema se instaló en cuatro equipos de cómputo del mecanismo para la transferencia de datos de forma segura
laboratorio del grupo de investigación GITECX. Se procedió a [21], para el caso de RISMATT se desplegó un protocolo
verificar la norma en el sistema y se usó el mapa de riesgos seguro (HTTPS). Se cuenta con un certificado X.509 de clave
definido para la Universidad y la documentación de los pública para el servidor, el cual es autofirmado por parte del
procesos que se auditaron. grupo de investigación GITECX.
Una vez autenticado el auditor líder, se registran los auditores Para evitar problemas de confidencialidad y otros aspectos
auxiliares y se procede a la realización de las fases de la externos al sistema, se planteó un manual de buenas prácticas
auditoria. Cada auditoria debe ser creada previamente para RISMATT, que permite el uso adecuado de la
mediante la funcionalidad de creación de auditoria. herramienta. De igual manera, se orientó el despliegue de
seguridad de RISMATT según las amenazas que se
encuentran en el top 10 de OWASP (2017) sobre riesgos de
seguridad en aplicaciones:
Para el uso de componentes con vulnerabilidades conocidas

―Fig. 10‖.
Fig. 10 Riesgo 9 de OWASP Top 10[22]

Fig. 8: Creación de auditoria.
Se verificó la procedencia de las librerías utilizadas para
Se logró evidenciar la funcionalidad de RISMATT, garantizar que proceden de fuentes oficiales, de igual forma se
verificando cada resultado de las fases y culminando la realizó la actualización periódica de estas librerías.
totalidad del proceso, analizando el informe final semi-
automático que se genera desde la interfaz web. Para evitar (CSRF) falsificación de petición en sitios cruzados
―Fig. 11‖.
Fig. 11 Riesgo A8 OWASP Top 10[22]
Se utilizó un token CSRF para cada inicio de sesión de los

usuarios activos, el cual es generado aleatoriamente con la
ayuda del framework Laravel.
El riesgo A7 de este top; protección insuficiente contra

ataques ―Fig. 12‖ incluye la defensa contra innumerable
número de atacantes y tipos de ataque.
Fig. 9: Panel de ingreso, bloqueo y progresos de la auditoria.
Se promueve cumplimiento total de la política de seguridad

además cuenta con mecanismos de seguridad que ayudan a Fig. 12: Riesgo A7 de OWASP Top 7[22]
mitigar los riesgos de ocurrencia de delitos y fraude sobre la
50
Algunas de las formas para defenderse de ataques, como la ya establecidas para cada uno, registradas desde la base de
fuerza bruta, fue la implementación del reCAPTCHA de datos.
google. Se protegieron muchos de los datos críticos de
aspectos como el daño a la integridad cifrándolos y
aplicándoles funciones HASH. Fig. 16: Riesgo A4 OWASP Top 10 [22]
En Rismatt los fragmentos HTML que son creados o incluyen
La exposición de datos sensibles ―Fig. 13‖. Uno de los puntos variables provenientes de los controladores ―el Backend‖ no
clave para la creación de este proyecto ha sido la relevancia son utilizados para volver al servidor, ni intactos ni
que se le ha dado al riesgo de la información crítica que se modificados. Para combatir el Cross-Site Scripting (XSS)
maneja ―los riesgos detectados de la organización‖. La ―Fig. 17‖.
seguridad para mantener el anonimato, la integridad y el no
repudio frente a los datos de las organizaciones ha sido el
principal aspecto de seguridad en el presente proyecto.
Fig. 17: Riesgo A3 OWASP Top 10 [22]
De igual forma los datos correspondientes a la sesión del

Fig. 13: Riesgo A6 de OWASP Top 10 [22] usuario en caso de ser usados en el documento HTML enviado
desde el servidor, estos han sido convertidos a variables
Para el manejo de esta información se han usado diferentes comunes sin relación a la sesión.
mecanismos de seguridad, empezando con el cifrado de datos
y el cifrado del contenido de los archivos que han de subir los La Ruptura de Autenticación y Administración de Sesión
auditores, el cual ha sido implementado con un cifrador ―Fig. 18‖. pretende cuidar los datos referentes a la sesión y a
simétrico (AES en modo CBC) y una llave de 256 bits. la autenticación de ataques.
OpenSSL fue seleccionada ante las alternativas de librerías
criptográficas (Blowfish o Mcrypt) debido a que en el proceso
de investigación, se encontró con la desactualización de estas,
y que OpenSSL se encuentra activa y en soporte. Fig. 18: Riesgo A2 OWASP Top 10 [22]
Para mantener la integridad de los datos se ha utilizado hMAC Algunas de las medidas tomadas para prevenir ataques que
para a su vez guardar la función resumen del mensaje en la puedan ir dirigidos a los datos de sesión y autenticación,
base de datos. Si el mensaje es adulterado no será posible incluyen la opción inhabilitada por parte de los formularios
descifrarlo; se sabrá si mensaje ha sido modificado. para guardar datos previamente ingresados, La variable de
sesión tiene un tiempo de caducidad, igualmente si la sesión es
terminada estas variables son destruidas.
Fig. 14: Muestra de los datos cifrados en la base de datos.
Por otra parte, al igual que en el punto A6 de este top los datos
Laravel ofrece documentación de configuración para el uso de sesión están en todo momento cifrados.
del desarrollador al momento de pasar a fase de producción.
Fig. 19: datos relacionados con la autenticación que son cifrados y

Fig. 15: Riesgo A5 OWASP Top 10[22] guardados en la base de datos.
Se han considerado aspectos como la desactivación del modo Unos de los ataques más comunes y efectivos hoy en día son
de desarrollador que integra Laravel con el cual al momento los usualmente llamados inyecciones de SQL ―Fig. 20‖.
de saltar un error, el usuario no tendrá información de este.
Como sistema operativo el servidor cuenta con Debían
GNU/Linux 8.3 (<jessie>). Cuenta con firewall para Fig. 20: Riesgo A1 OWASP Top 10 [22]
establecer reglas de acceso mediante los puertos. Así mismo
posee un detector de intrusos (Snort) que ejecuta un motor de RISMATT en ninguna parte de sus fases utiliza consultas
detección de ataques y escaneo de puertos permitiendo dinámicas y todas sus consultas están creadas de tal forma que
registrar, alertar y responder ante cualquier anomalía en la red. los auditores no ingresen directamente los datos con los que se
crean los scripts SQL se ha disminuido el posible ataque por
El servidor cuenta con una partición cifrada en la cual se Injection. Igualmente, los formularios están protegidos por
provee la instalación de la base de datos (activada con la validaciones del lado del servidor.
utilidad cryptsetup, usando el cifrador twofish). De tal forma
que permanezca cifrada en los momentos en el que el servidor Con este análisis de la seguridad, que se implementó en este
no esté en funcionamiento. Para la transición de la proyecto, con el propósito de garantizar la custodia de la
información se cuenta con un canal cifrado. información confidencial (los riesgos de seguridad de la
organización en una sola base de datos) se disminuye el riesgo
Para evitar ruptura del control de acceso ―Fig. 16‖. Se han de ataques exitosos al sistema. Y dejando una plantilla de
considerado cuatro roles para controlar acceso a transacciones
51
referencia para la revisión de la seguridad de las aplicaciones [8] A. Fallis, (2013) ―el riesgo y la falta de políticas de seguridad
informática una amenaza en las empresas certificadas basc,‖ J. Chem.
que manejan datos sensibles, que contienen debilidades de las Inf. Model., vol. 53, no. 9, pp. 1689–1699.
organizaciones, como es el caso de auditorías ISO27001 y el [9] A. Shameli-Sendi, R. Aghababaei-Barzegar, and M. Cheriet,
anexo 27002 (contiene no conformidades en temas de ―Taxonomy of Information Security Risk Assessment (ISRA),‖ Comput.
controles de seguridad), Procesos de Pentesting (Contiene Secur, vol. 57, pp. 14–30, 2016.
[10] K. Julisch, C. Suter, T. Woitalla, and O. Zimmermann, ―Compliance by
vulnerabilidades explotables de los sistemas computacionales Design - Bridging the Chasm Between Auditors and IT Architects,‖
y de comunicaciones de la organización), etc. Comput. Secur, vol. 30, no. 6–7, pp. 410–426, 2011.
[11] F. Rahimian, A. Bajaj, and W. Bradley, ―Estimation of deficiency risk
and prioritization of information security controls: A data-centric
VII. CONCLUSIONES approach,‖ Int. J. Account. Inf. Syst., vol. 20, pp. 38–64, 2016.
[12] M. M. Silva, A. P. H. de Gusmão, T. Poleto, L. C. e Silva, and A. P. C.
Se planteó una alternativa tecnológica que evidencia la S. Costa, ―A multidimensional approach to information security risk
posibilidad de construir una herramienta, aplicable a los management using FMEA and fuzzy theory,‖ Int. J. Inf. Manage., vol.
34, no. 6, pp. 733–740, 2014.
procesos de una organización que requiera rigurosidad en la [13] A. P. H. De Gusmão, L. C. E Silva, M. M. Silva, T. Poleto, and A. P. C.
gestión y análisis de riesgos de la seguridad de la información S. Costa, ―Information security risk analysis model using fuzzy decision
adoptando los servicios seguridad de la información. theory,‖ Int. J. Inf. Manage., vol. 36, no. 1, pp. 25–34, 2016.
[14] P. Kumar, S. Gupta, M. Agarwal, and U. Singh, ―Categorization and
standardization of accidental risk-criticality levels of human error to
El valor agregado de las herramientas de seguridad es la develop risk and safety management policy,‖ Saf. Sci., vol. 85, pp. 88–
capacidad de resguardar los datos sensibles que se están 98, Jun. 2016.
[15] C. Everett, ―A risky business: ISO 31000 and 27005 unwrapped,‖
procesando, por tal razón, al desarrollar o antes de adquirir Comput. Fraud Secur., vol. 2011, no. 2, pp. 5–7, Feb. 2011.
una herramienta de apoyo a los procesos de seguridad, debe [16] A. P. Fournaris and N. Sklavos, ―Secure embedded system hardware
realizarse un análisis de sus mecanismos de protección y design – A flexible security and trust enhanced approach q,‖ Comput.
Electr. Eng., vol. 40, no. 1, pp. 121–133, 2014.
capacidad de resistencia a ataques sobre la implementación, es [17] G. S. Mesa, ―VII Encuesta Latinoamericana de Seguridad de la
decir no solo limitarse a lo funcional, sino garantizar la Información Nuevos retos, nuevas realidades Demografía,‖ pp. 1–11,
confidencialidad, anonimato e integridad de los datos. En el 2015.
[18] Klaic, A.; Hadjina, N. (2011). Methods and tools for the development of
caso de RISMATT, aparte de la usabilidad que provee desde information security policy — A comparative literature review. MIPRO,
una interfaz intuitiva y la generación de reportes automáticos 2011 Proceedings of the 34th International Convention , vol., no.,
detallados, apoyados de gráficas y estadísticas que muestran pp.1532-1537, 23-27 May 2011. Disponible en: www.sinab.unal.edu.co/
[19] Almanza, A.; Cano, J. (2010). Investigación - Encuesta nacional
en detalle la cantidad de riesgos, las zonas de riesgo y los Seguridad informática en Colombia: Tendencias 2010. ACIS
distintos niveles de aceptación, se logró evidenciar que se (Asociación Colombiana de Ingenieros de Sistemas). Disponible en
implementaron los mecanismos de protección para mitigar el http://www.acis.org.co/fileadmin/Revista_115/investigacion.pdf
[20] Colombia. Ministerio de Comunicaciones. (2008). Plan Nacional de
riesgo de afectación a la información sensible. TIC´s 2008-2019. Disponible en:
www.medellin.edu.co/sites/Educativo/repositorio%20de%20recursos/Pl
AGRADECIMIENTOS an%20nacional%20de%20tecnologias%20de%20la%20informaci%C3
%B3n%20y%20telecomunicaciones.pdf.
Los autores expresan su gratitud a Dios y sus Familias, quienes [21] domilo.co, herramienta para el análisis de sitios web en:
siempre apoyaron este proceso. De igual manera, a la Universidad de www.domilo.co/estadisticas-del-internet-colombiano.
los Llanos por creer en este Proyecto de investigación y financiarlo. [22] Jeff Williams, Dave Wichers. (2017). OWASP TOP 10, OWASP. en:
www.owasp.org/index.php/Category:OWASP_Top_Ten_Project.
REFERENCIAS
Felipe Andrés Corredor. Magister en Software libre; en el
[1] Horváth, M.; Jakub, M. (2013). Implementation of security controls área de administración de redes y sistemas operativos.
according to ISO/IEC 27002 in a small organization. Quality Innovation
Especialista en Soluciones telemáticas e Ingeniero de
Prosperity, 13 (2), 48-54. Recuperado el 10 de octubre de 2011 de
Sistemas. Docente de planta e investigador de la Escuela de
DOAJ - Directory of Open Access Journals. Disponible en: www.qip-
ingeniería de la Universidad de los Llanos. Sus áreas de
journal.eu/files/2013/2013- 2/QIP_2_2013_Horvath.pdf
desempeño son la seguridad informática y los sistemas
[2] Iqbal, A.; Horie, D.; Goto, Y.; Jingde Cheng. (2014). A Database
distribuidos. Lidera el Grupo de investigación en Tecnologías abiertas
System for Effective Utilization of ISO/IEC 27002. In Proceedings of t
he 2014 Fourth International Conference on Frontier of Computer GITECX, reconocido por Colciencias.
Science and Technology (FCST '09). IEEE Computer Society,
Washington, DC, USA, 607-612. Recuperado el 8 de octubre de 2015 de Diego Izquierdo Ingeniero de Sistemas de la Universidad
la base de datos IEEE Xplore Digital Library. de los Llanos, Actualmente es integrante activo del Grupo
[3] CCP - MINTIC. (2016). Guía para la Implementación de Seguridad de de Investigación GITECX. Sus áreas de desempeño son el
la Información en una MIPYME. Guía Técnica Disponible en: desarrollo para móviles/web y la seguridad informática.
www.mintic.gov.co/gestionti/615/w3-article-5482.html
[4] ―Programa Nacional de Asistencia Técnica para el Fortalecimiento de las
Políticas de Empleo , Emprendimiento y Generación de Ingresos en el
ámbito Regional y Local diagnóstico Villavicencio,‖ pp. 1–137, 2011.
[5] M. Kubina, M. Varmus, and I. Kubinova, (2015) ―Use of big data for Brayan Piñeros Próximo a recibir su grado de Ingeniero
competitive advantage of company,‖ Procedia Econ. Financ. vol. 26, no. de Sistemas por la Universidad de los Llanos,
15, pp. 561–565. Actualmente es integrante activo del Grupo de
[6] M. De Rhodes, (2014) ―TENDENCIAS DE SEGURIDAD Investigación GITECX. Sus áreas de desempeño son el
CIBERNÉTICA EN AMÉRICA LATINA Y EL CARIBE,‖ pp. 100. desarrollo para móviles/web y la seguridad informática.
[7] M. Billón Currás, F. Lera López, and S.(2007) ―Evidencias del impacto
de las TIC en la productividad de la empresa. ¿Fin de la «paradoja de la
productividad» ?,‖ Cuad. Econ., vol. 30, no. 82, pp. 5–36.
52
Angélica Flórez, Lenin Serrano, Alba Aguilar, Luis Suárez, Alejandro Villarraga, Hugo Rodríguez
Proposal for creating the Colombian National

Cyber security Observatory
Angélica Flórez, Lenin Serrano, Alba Aguilar, Luis Suárez, Alejandro Villarraga y Hugo Rodríguez
Universidad Pontificia Bolivariana Seccional Bucaramanga
angelica.florez@upb.edu.co, lenin.serrano@upb.edu.co, alba.aguilar@upb.edu.co, luis.suarez@upb.edu.co,
alejandro.villarraga@upb.edu.co, hugo.rodriguez@upb.edu.co
Keywords— cyber security, ecosystem, observatory, viability. creación de un Observatorio Nacional de Ciberseguridad de
Colombia (ONC_COL) el cual tiene como misión el impulso y
Abstract— This paper proposes the creation of the Colombian apoyo al fortalecimiento de la Ciberseguridad y la Ciberdefensa
National Cyber Security Observatory, an entity to add value to the en el país. En el desarrollo del proyecto se realiza un análisis de
existing Cyber Security ecosystem, which impacts citizens, State, la situación actual de la Ciberseguridad en Colombia que
industry, critical infrastructure among others. This proposal led to
an analysis of the technical, legal and financial viability of its permita la identificación de las capacidades, las razones y la
implementation based on the key success factors, which would pave oportunidad de la creación del Observatorio, el análisis de
the way for it to become a critical agent of the national strategy. viabilidad técnica, legal y económico-financiera del mismo y el
plan de acción para la puesta en marcha [4].
I. INTRODUCCIÓN El estudio de viabilidad del ONC_COL propuesto servirá
tanto a las instituciones del Estado, como a las entidades
L a constante evolución de las Tecnologías de la
Información y las Comunicaciones (TIC) ha conllevado a
un incremento considerable en su adopción en los últimos años,
privadas, que tienen competencias en el ámbito de la
Ciberseguridad, en la toma de decisión de su implementación,
encontrando tendencias de cambio en el uso de tecnologías mediante la elaboración del plan de acción para su puesta en
como el Internet, las redes móviles, las suscripciones en marcha, la definición de recursos y el despliegue de planes
telefonía celular y móvil utilizados en cualquier actividad operativos que le permita convertirse en un agente de cambio y
económica, de tal manera que el dinamismo del sector TIC ha de fortalecimiento de la Ciberseguridad en el país.
impactado las economías a nivel mundial en los últimos años La organización del artículo es la siguiente: en la sección II
[1]. se presenta la conceptualización en Ciberseguridad y los
Las características actuales a nivel de amenazas existentes Observatorios de Ciberseguridad, así como el estado actual en
en Internet ha conllevado a repensar la manera en la cual se Colombia; la sección III describe la metodología para la
concibe y entiende el nuevo dominio de guerra denominado el realización la propuesta de viabilidad y la definición del
Ciberespacio y con ello la necesidad creciente del Observatorio; la Sección IV detalla la propuesta del
aseguramiento del mismo frente a las entidades que están en Observatorio Nacional de Ciberseguridad de Colombia; la
búsqueda de vulnerabilidades presentes en los sistemas, las Sección V describe el análisis de viabilidad técnico, legal y
infraestructuras y las personas, en búsqueda de impactar no solo financiero del Observatorio; la Sección VI presenta el plan de
una organización, sino que pueda escalar a una nación o un acción para la puesta en marcha del Observatorio; finalmente,
conjunto de naciones. se pueden encontrar las conclusiones en la Sección VII.
Esto ha creado un panorama de retos para el Estado
colombiano, quién debe hacer presencia y asegurarse que se II. CONCEPTUALIZACIÓN Y ESTADO DEL ARTE
cumplan los derechos y deberes de los ciudadanos, la industria, En este apartado se describen los conceptos y el marco
la academia, el Gobierno, entre otros; para ello el Gobierno de referencial consultado para el desarrollo de la investigación.
Colombia ha venido incrementando sus esfuerzos como lo
muestran los documentos del Consejo Nacional de Política A. Ciberseguridad y Ciberdefensa
Económica y Social CONPES 3701 de 2011 “Lineamientos de
política para la Ciberseguridad y Ciberdefensa” [2] y CONPES De acuerdo al CONPES 3854 y a la norma ISO 27032, se
3854 de 2016 “Política Nacional de Seguridad Digital” [3], entiende la Ciberseguridad como un proceso que busca la
textos que revelan a Colombia como un país muy vulnerable a protección de los usuarios, los activos (información,
amenazas cibernéticas por grupos o ciudadanos al margen de la infraestructura), las organizaciones que se encuentran en el
ley o intrusos en busca de información comercial. Ciberespacio mediante la aplicación de buenas prácticas, la
Colombia cuenta con un interesante número de entidades investigación y desarrollo, la gestión del riesgo, los controles y
dedicadas a la Ciberseguridad, las cuales establecen relaciones políticas de seguridad garantizando los principios de
y esquemas de cooperación con el fin de trabajar en un objetivo disponibilidad, confidencialidad, integridad, autenticación y no
común: enfrentar las amenazas que se presentan en el repudio [3] [5] [6].
Ciberespacio.
Este artículo se da como resultado del proyecto de Cuando se habla de Ciberespacio se hace referencia al
investigación denominado Estudio de viabilidad para la ambiente virtual, conectado a la Internet, en la cual se
53
comunican, interactúan e intercambian información los C. Estado Actual de la Ciberseguridad en Colombia

usuarios, las organizaciones con sus infraestructuras
tecnológicas [7]. El Gobierno Colombiano ha recorrido desde el año 2011 un
camino importante para la consolidación y definición de
Por otro lado, se entiende la Ciberdefensa como la protección estrategias y políticas en el área de Ciberseguridad, esto gracias
de la soberanía y los intereses de una nación en el dominio de a la implementación del CONPES 3701 en el cual se definieron
guerra denominado el Ciberespacio mediante el desarrollo de los lineamientos de política para la Ciberseguridad y la
capacidades militares para repeler y defender la integridad Ciberdefensa, el cual fue el punto de partida para la creación y
territorial, sus infraestructuras críticas de ataques cibernéticos consolidación de un Ecosistema de Ciberseguridad de
[3] [8]. Colombia [15].
B. Observatorios de Ciberseguridad Los actores claves creados a partir del CONPES 3701 en el
Ministerio de Defensa y el Ministerio de Tecnologías de la
Se define un observatorio de Ciberseguridad como una Información y las Comunicaciones iniciaron el trabajo de
entidad que realiza investigación a nivel de estudios y análisis coordinación de los aspectos en Ciberseguridad y Ciberdefensa.
en prácticas de seguridad, gestión de riesgos cibernéticos, Desde el Ministerio de Defensa se definieron los entes
confianza en el uso del Ciberespacio, sensibilización en coordinadores en Ciberseguridad y Ciberdefensa tales como el
Ciberseguridad, así como en la definición de métricas que Comando Conjunto Cibernético (CCOC), dependiente del
permitan generan informes a nivel estratégico definido a los Comando General de las Fuerzas Armadas, enfocado a nivel de
sectores de interés. El observatorio para desarrollar su función Ciberdefensa, cuya misión es prevenir y contrarrestar las
requiere de la definición de estrategias de colaboración público- amenazas y ataques cibernéticos que afectan la soberanía
privado para el intercambio de información de las diversas nacional en el Ciberespacio; el Grupo de Respuesta a
fuentes y para la validación de los resultados encontrados [9]. Emergencias Cibernéticas (ColCERT), perteneciente al
Viceministerio para las Políticas y Asuntos Internacionales en
la Dirección de Seguridad Pública y de Infraestructura, definido
A nivel mundial se han definido una serie de entidades que,
entre su misión la coordinación de los asuntos en
entre sus funciones como observatorios, realizan estudios y
Ciberseguridad y Ciberdefensa del país y su relación con
análisis a nivel de seguridad de la información y
CSIRT (Grupos de Respuesta a Incidentes Informáticos) con
Ciberseguridad. A continuación se detallan algunos de los
consultados: organismos internacionales; el Centro Cibernético Policial
(CCP), el cual tiene mayor trayectoria en el país, ya que inició
como la Unidad de Delitos Informáticos de la Dirección de
 En España se cuenta con el Instituto Nacional de Investigación Criminal e INTERPOL de la Policía Nacional –
Ciberseguridad de España (INCIBE), el cual entre sus DIJIN, encargado de investigar y judicializar los delitos
funciones cuenta con un observatorio de Ciberseguridad informáticos y cibernéticos [7].
dirigida a la ciudadanía y a la industria [10]; la asociación
Protegeles encargada de desarrollar estudios y guías para
En el Ministerio de Tecnologías de Información y las
la protección de infancia y las familias de las amenazas en
Comunicaciones, a través de la Dirección de Estándares y
Internet así como del uso de las TIC en España; la
Arquitecturas de TI se trabaja en la reglamentación, adopción
Asociación de Internautas.
de políticas, análisis de necesidades de investigación y
 El Centro de Investigación en crimen computacional
desarrollo que conlleven a la financiación de proyectos
(CCRC – The Computer Crime Computer), organización
relacionados al nodo de Ciberseguridad que conlleven al
de investigación científica que trabaja con centros de
fortalecimiento de capacidades del país [7] [15].
investigación y universidades en temas relacionados con
delitos informáticos [11].
 El Computer Forensics World, que investiga en la Con el fin de revisar el estado de avance y apropiación de los
generación de conocimiento en análisis de evidencia lineamientos y políticas en Ciberseguridad y Ciberdefensa, el
digital [12]. Gobierno Nacional a través de sus entidades coordinadoras en
el área desarrollaron misiones de asistencia técnicas en
 A nivel de normatividad legal internacional en
seguridad cibernética con expertos nacionales y con la
cibercrimen y delitos informáticos se encuentra el
Organización de Estados Americanos (OEA) en los años 2014
CyberCrime Law [13].
y 2015, de las cuales se generaron una serie de conclusiones y
 En Colombia se cuenta con el Observatorio del
recomendaciones enfocadas al fortalecimiento de las
Cibercrimen en el Centro Cibernético Policial en el cual
capacidades institucionales de Ciberseguridad y Ciberdefensa,
se realizan estudios, análisis e investigación sobre
el establecimiento y mejora de los marcos legales en
amenazas del cibercrimen en Colombia, se generan guías
Ciberseguridad, la generación de capacidades de
o cartillas de Ciberseguridad dirigidas a la ciudadanía, la
Ciberseguridad y Ciberdefensa y la cooperación internacional
industria y el gobierno basados en las necesidades actuales
y cooperación entre múltiples partes interesadas [16].
y en las investigaciones a nivel de cibercrimen [14].
54
Uno de los aspectos relevantes de las conclusiones obtenidas trabajan en el proyecto, esto es, acorde con las intenciones
en las comisiones de expertos nacionales fue la falta de una definidas en la investigación.
visión estratégica del país para abordar la Ciberseguridad, entre
otras cosas, debido a la falta de gestión del conocimiento en A continuación se detallan los FCE Internos definidos:
Ciberseguridad, así como la definición de una línea base en
Ciberseguridad que permita reconocer y evaluar el nivel de
1) Los objetivos del Observatorio deben estar alineados con
riesgo con el cual se cuenta en el país y con ello generar
las recomendaciones para el fortalecimiento de las
estrategias esenciales para la nación, [15]. capacidades del Estado en Ciberseguridad.
2) La propuesta de valor del Observatorio debe tener al menos
Debido a esa ausencia de visión estratégica clara del país y un destinatario claramente identificable que haga parte de
como recomendación y estrategia clara definida en la Política las entidades del Ecosistema de Ciberseguridad de
Nacional de Seguridad Digital (CONPES 3854), se creó en el Colombia (ECC), generando valor agregado a su misión y
año 2017 la Coordinación de Seguridad Digital de Colombia, a funciones.
nivel de Presidencia, nueva entidad del Ecosistema de 3) Las funciones del Observatorio deben tener un generador
Ciberseguridad de Colombia, que trabajará por la articulación de ingreso y gasto asociado de origen público o privado
de las funciones e institucionalidad con el fin de lograr los que permita el equilibrio de su financiación.
objetivos nacionales en seguridad digital [3]. 4) La entidad jurídica del Observatorio debe estar conforme
al ordenamiento legal colombiano, permitiendo la
Con el fin de aportar en la gestión del conocimiento en colaboración público-privado, que permita la realización
Ciberseguridad, se propone la creación del Observatorio de las funciones y misión definido en la propuesta del
Nacional de Ciberseguridad que aportará valor agregado a las Observatorio.
funciones de las entidades coordinadoras y responsables de la 5) El modelo de organización del Observatorio debe tener
implementación de la política de seguridad digital de Colombia como premisa la eficacia y eficiencia en la gestión,
[4]. Un observatorio en Ciberseguridad se concibe como una definiendo indicadores que permitan realizar control y
entidad que desarrollará investigación en área, estudios y seguimiento.
análisis, definición de métricas en Ciberseguridad, lo cual 6) La concepción del Observatorio parte de la necesidad de
permitirá reconocer el nivel de apropiación de estándares y tener un sistema de gestión de conocimiento en
normas así como el nivel de madurez en Ciberseguridad. Ciberseguridad en Colombia.
III. METODOLOGÍA PARA ELABORAR LA E. FCE Externos

PROPUESTA
Aquellos que dependen de la percepción, el consenso y la
En ésta sección se describe la metodología seguida para realizar aceptación de las entidades consideradas como claves en el
la propuesta y el análisis de viabilidad del Observatorio. Se Ecosistema de Ciberseguridad de Colombia, las cuales son
toma como referente los Factores Claves de Éxito (FCE), los determinantes para la viabilidad técnica, legal y económico-
cuales surgen en el ámbito del management con el fin de definir financiera.
técnicas para el análisis de la adaptación de las empresas a
cambios estratégicos, enfocándose en lo que se considera 1) Las recomendaciones para el fortalecimiento de las
relevante y la aplicación de los recursos de manera eficiente capacidades del Estado en Ciberseguridad deben ser
para la consecución de ventajas competitivas. validados con un porcentaje aceptable de las entidades
claves del ECC.
De acuerdo a [17], los FCE son un número limitado de áreas 2) La propuesta de valor, los objetivos y las funciones del
de actuación en búsqueda de resultados satisfactorios que Observatorio deben ser validadas por las entidades claves
aseguren un desempeño competitivo exitoso para un individuo, del ECC.
un proyecto o una organización. Los FCE definen condiciones 3) La entidad jurídica propuesta debe contemplar el análisis y
internas o externas que se consideran claves para la validación del impacto normativo que permitan el normal
consecución de una estrategia exitosa, realizando un análisis desarrollo de las funciones y objetivos misionales del
cualitativo de características como: el entorno económico y Observatorio.
social, la opinión de expertos, el análisis de competencias, la
evaluación interna, entre otros [18]. F. Premisas para el diseño organizacional
Los FCE identificados para el desarrollo del estudio de Para la definición de la propuesta del observatorio y posterior
viabilidad se dividieron en internos y externos. análisis de viabilidad se consideraron condiciones, restricciones
o especificaciones a partir del análisis de fortalecimiento de
D. FCE Internos capacidades en Ciberseguridad en las instituciones del Estado
colombiano, denominadas premisas.
Aquellos que son dependientes de los recursos humanos y
materiales del equipo de investigadores y profesionales que
55
Las premisas se estructuraron con base en la Agenda sobre PRE.ORG.05: la entidad jurídica del Observatorio debe estar
Ciberseguridad Global (GCA) definida por la Unión conforme con el ordenamiento legal colombiano y facilitar la
Internacional de Telecomunicaciones (UIT), teniendo en cuenta colaboración público-privada, así como proporcionar su debido
que el análisis de fortalecimiento de capacidades en gobierno y control.
Ciberseguridad de las instituciones del Estado colombiano
también fue desarrollado a partir de los aspectos definidos en la ii) Premisas Técnicas: se enfatiza en la existencia de
GCA: organizativos, técnicos, de capacitación, de coordinación estándares y normas que las entidades claves del ECC deben
y legales. conocer, implantar, certificar y mantener en los servicios y
productos ofertados, así como de los profesionales que trabajan
La definición de las premisas fue estructurada de acuerdo al en el ámbito de la Ciberseguridad, conllevando a la
ámbito de actuación del Observatorio, tales como: Centros de construcción de un clima de confianza digital que facilite la
Excelencia y Apropiación, Tanque de Pensamiento y Centro de transformación digital definida en Colombia.
Colaboración Público-Privada.
PRE.TEC.06: los programas operativos del Observatorio deben
En la Tabla 1 se presenta la matriz de premisas por ámbito de contemplar líneas de innovación que contribuyan al
actuación, identificando las premisas que se determinan de fortalecimiento de un ecosistema de innovación tecnológica
acuerdo al ámbito de actuación: nacional con la participación de la academia y los centros de
investigación.
Tabla 1. Matriz de Premisas por Ámbito de Actuación
PRE.TEC.07: los programas operativos del Observatorio deben
ÁMBITO DE ACTUACIÓN DEL ONC_COL promover el desarrollo de esquemas de estándares y normas
PREMISAS Centro de Centro de
DE DISEÑO Excelencia y
Tanque de
Colaboración para la acreditación de profesionales, productos y servicios.
Pensamiento
Apropiación Público-Privada
PRE.ORG.01 PRE.ORG.01 PRE.ORG.01 iii) Premisas Legales: se enfatiza en el desarrollo y
PRE.ORG.02 PRE.ORG.02 PRE.ORG.02
Organizativas PRE.ORG.03 PRE.ORG.03 PRE.ORG.03
reforzamiento del marco legal colombiano en Ciberseguridad.
PRE.ORG.04 PRE.ORG.04 PRE.ORG.04
PRE.ORG.05 PRE.ORG.05 PRE.ORG.05 PRE.LEG.08: los programas operativos del Observatorio deben
Técnicas PRE.TEC.06 PRE.TEC.07 promover, con la participación del sector privado, leyes y
Legales PRE.LEG.08
PRE.CAP.09
reglamentaciones en seguridad digital.
PRE.CAP.10
Capacitación
PRE.CAP.11 iv) Premisas de Capacitación: hace referencia a la
PRE.CAP.12 capacitación de profesionales, funcionales, estudiantes y
PRE.COO.13 PRE.COO.13 PRE.COO.13
Cooperación
PRE.COO.14 PRE.COO.14 PRE.COO.14
ciudadanía en general sobre los riesgos y la consolidación de
una cultura de seguridad digital.
i) Premisas Organizativas: identifica la existencia de una
visión y cultura institucional de Ciberseguridad para el PRE.CAP.09: los programas operativos del Observatorio deben
desarrollo de manera eficaz y eficiente de las capacidades en contener estudios de las necesidades de capacitación para
el área del Estado colombiano. ciudadanos, el sector privado, instituciones del Estado y el
sector defensa.
PRE.ORG.O1: los objetivos del Observatorio deben estar
alineados con al menos algunas de las recomendaciones para el PRE.CAP.10: se deben realizar estudios de necesidades de
fortalecimiento de capacidades de las instituciones del Estado capacitación para programas de formación en los diversos
en Ciberseguridad. niveles: técnico, tecnológico, profesional, con alto nivel de
calidad y acorde con normativas nacionales e internacionales.
PRE.ORG.O2: la propuesta de valor del Observatorio debe
tener al menos una entidad clave del ECC como destinatario, de PRE.CAP.11: los estudios de necesidades de capacitación
tal manera que le de valor agregado a su desempeño y no entre deben proponer métricas para asegurar que la inversión
en colisión o conflicto con sus funciones. realizada en capacitación y sensibilización responda a las
necesidades del entorno.
PRE.ORG.03: cada función del Observatorio debe tener un
generador de ingreso y gasto asociado, de origen público o PRE.CAP.12: los estudios de necesidades de capacitación
privado, que conlleve al equilibrio de su financiación. contarán con la participación de la academia y las entidades del
sector privado especializadas en capacitación y certificación
especializada en Ciberseguridad.
PRE.ORG.04: el modelo de organización del Observatorio
tendrá como premisa la eficacia y eficiencia de gestión,
identificando indicadores que permitan la evaluación y el v) Premisas de Cooperación: hace referencia a la
seguimiento de sus actuaciones. implementación de procesos sistemáticos eficientes que
56
permitan la integración e interacción de las entidades del procesos, relaciones, tecnología, métricas y controles
Gobierno y el sector privado. requeridos para la consecución de la misión y los objetivos
definidos (modelo organizacional).
PRE.COO.13: los planes operativos del Observatorio serán
diseñados, implementados y controlados en cooperación con el A. Misión
sector privado, creando mecanismos de cooperación formales
liderados por instituciones del Estado con competencias en el “Contribuir al fortalecimiento de las capacidades de
área, con especial énfasis en el intercambio de información de Ciberseguridad y Ciberdefensa del Estado colombiano, para la
incidentes. protección del Ciberespacio ante las amenazas cibernéticas a las
que están expuestos los ciudadanos, las instituciones del Estado
PRE.COO.14: los programas operativos deberán establecer un y las entidades del sector privado” [4].
proceso sistemático que involucre a todos los interesados
mediante la creación de un Grupo Nacional de Ciberseguridad B. Visión
para el intercambio de experiencias y conocimientos con la
participación de expertos nacionales e internacionales.
“Ser el centro de gestión del conocimiento del Ecosistema de
Ciberseguridad de Colombia, con vocación de aportar valor a
IV. PROPUESTA DEL OBSERVATORIO los ciudadanos, las instituciones del Estado y las entidades del
NACIONAL DE CIBERSEGURIDAD DE sector privado, para la prevención, defensa y respuesta ante
COLOMBIA amenazas cibernéticas” [4].
Se propone el Observatorio Nacional de Ciberseguridad de C. Valores

Colombia cono una entidad nueva del ECC que le va a dar valor
agregado a las capacidades actuales del mismo. Los valores que promueve el observatorio están basado en la
búsqueda de la excelencia en el área de Ciberseguridad y
El Ecosistemas de Ciberseguridad de Colombia está Ciberdefensa en el Estado colombiano; la vocación del servicio
compuesto de cinco componentes: las Entidades, hacen público que coadyuve en la consecución de las metas de los
referencia a las personas naturales o jurídicas consideradas actores claves del ECC; el desarrollo de procesos de mejora
agentes activos; los Activos, ya sea tangibles o intangibles de continua e innovación; garantizar la transparencia en los
pertenencia de las Entidades; las Amenazas, considerados como servicios que preste; promover la colaboración público-privada
los riesgos a los cuales están expuestos los Activos de las con entidades académicas, de investigación y del sector privado
Entidades; las Capacidades que poseen las Entidades para del ECC; garantizar la objetividad, la independencia, el rigor en
asegurar los Activos de dichas Amenazas; y las Relaciones que los resultados de los estudios y proyectos que desarrolle;
definen las interacciones entre todos los componentes del enfoque en resultados para la gestión eficaz y eficiente de los
ecosistema [7] [15] (Ver Fig. 1). recursos requeridos para lograr su misión [4].
D. Funciones
El Observatorio se define en un proceso de mejora continua en

sus actuaciones, razón por la cual se desarrolla un enfoque
PHVA (Planear, Hacer, Verificar y Actuar) de tal manera que
se desarrolle desde la planificación hasta la evaluación del
impacto de las actuaciones del Observatorio hacia el público
objetivo, tales como los ciudadanos, el sector privado y las
instituciones del Estado [19] [20]. De acuerdo a la Fig. 2, el
enfoque de mejora continua del Observatorio cuenta con la
etapa de análisis, en la cual se definen las métricas y los
indicadores del servicio o producto a desarrollar; la etapa de
planificación, en la cual se determina el público objetivo al cual
Figura 1. Modelo del Ecosistema de Ciberseguridad de Colombia va dirigido el servicio o producto, se definen los indicadores y
[7] [15] objetivos por sector y línea de actividad; la etapa de despliegue,
en la cual se definen las actuaciones a desarrollar; por último la
La definición del Observatorio se basa en el propósito etapa de control, en la cual se hace verificación de los
principal o razón de ser del mismo (la misión), las metas a resultados, de acuerdo al cumplimiento de los indicadores
lograr a mediano y largo plazo (la visión), los principios éticos definidos y el análisis del impacto sobre las métricas
sobre los cuales se sustenta la cultura del Observatorio (los institucionales, así como la actualización objetiva de los
valores), las actividades para la consecución de la misión (las indicadores y la revisión de los planes de actuación (Ver Fig.
funciones), las metas alcanzables de acuerdo a sus actuaciones 2).
(los Objetivos) y el conjunto de elementos tales como personas,
57
(Ciudadanos, Sector Privado, Entidades Públicas,

Infraestructura Crítica y Entidades de Ciberdefensa), y el jefe
del área administrativa con sus respectivos profesionales de
apoyo (Ver Fig. 4).
Figura 2. Enfoque de mejora continua del Observatorio Nacional de

Ciberseguridad de Colombia [19] [20] Figura 4. Estructura Organizativa propuesta del Observatorio
Nacional de Ciberseguridad de Colombia
Teniendo en cuenta los tres ámbitos de actuación del
Observatorio, se identifican las funciones a desarrollar de La organización del Observatorio se define de acuerdo a la
acuerdo a la misión, la visión y las recomendaciones definidas siguiente estructura matricial (Ver Fig. 5):
en el fortalecimiento de capacidades en Ciberseguridad del
Estado colombiano [21].
E. Objetivos
De acuerdo con la misión, visión y funciones del

Observatorio, se define como objetivo incrementar el nivel de
madurez de los actores claves del ECC, así como fortalecer las
capacidades de las mismas, contribuyendo a consolidar una
estrategia integral y un modelo de gestión del conocimiento en
Ciberseguridad, que conlleve a la generación de un clima de
confianza digital respecto al uso seguro y apropiación de las
Tecnologías de la Información y las Comunicaciones.
En la propuesta definida, a partir del objetivo general se han Figura 5. Estructura matricial del Observatorio Nacional de
definido una serie de objetivos específicos con sus respectivos Ciberseguridad de Colombia
indicadores, discriminado de acuerdo a las recomendaciones
definidas para el fortalecimiento de las capacidades en Los Sectores hacen referencia al público objetivo de cada
Ciberseguridad de las instituciones del Estado colombiano [21] plan operativo de acuerdo a los focos de las actuaciones del
(Ver Fig. 3). Observatorio en Ciberseguridad y Ciberdefensa:
- Ciudadanos
- Sector Privado
- Infraestructuras críticas
- Entidades del Estado y de Ciberdefensa
Las líneas de actividad se enfocan se dividen en dos:

métricas y estudios y análisis.
Figura 3. Esquema de la alineación de los objetivos del Observatorio V. ANÁLISIS DE LA VIABILIDAD TÉCNICA, LEGAL
Nacional de Ciberseguridad de Colombia con las recomendaciones Y ECONÓMICO-FINANCIERA DEL
del fortalecimiento de capacidades. OBSERVATORIO NACIONAL DE
CIBERSEGURIDAD DE COLOMBIA
F. Modelo Organizacional
A partir de la metodología planteada en la investigación, se
El Observatorio se define con una estructura organizativa en define el estudio de la viabilidad a nivel técnico, legal,
la cual se cuenta con un director, un jefe de proyectos con sus económico y financiero de la creación de Observatorio
respectivos gestores de proyectos por plan operativo por Sector Nacional de Ciberseguridad de Colombia, realizando fases de
58
validación con los actores claves del ECC, tales como el NA: No Aplica
Comando Conjunto Cibernético (CCOC), el Grupo de
Respuesta a Emergencias Cibernéticas de Colombia La ausencia de valor en un elemento en las tablas indica que
(ColCERT), el Centro Cibernético Policial (CCP) y el la premisa definida no tiene relación con las variables de
Ministerio de Tecnologías de la Información y las estudio (ámbitos de actuación y elementos de evaluación), por
Comunicaciones (MinTIC) de Colombia. lo tanto, no se deriva calificación alguna para el elemento.
El análisis de viabilidad se realiza con base en los FCE, tanto
internos como externos, y las premisas definidas para la A continuación se define el formato de las tablas definidas
definición de la propuesta del Modelo del Observatorio. para la valoración (ver Tabla 3):
Para el análisis de viabilidad se adopta la metodología de
Scenario Planning [22] descrita por Herman Kahn, en la cual Ámbitos de Actuación/Sectores/Líneas de
desarrolla una técnica para la descripción de historias o Actuación
Elemento de evaluación
escenarios de futuro como estrategia militar para el Ejército de Centros de Tanques de Centros de
los Estados Unidos [23]. Se plantea la definición de Escenarios Premisa Excelencia Pensamiento colaboración
de planificación del Observatorio, de acuerdo a cuatro criterios: público-
ámbitos de actuación, público objetivo, líneas de actividad y privado
Escenario
respuesta a recomendaciones para el fortalecimiento de la
A B C A B C A B C
Ciberseguridad de las instituciones del Estado colombiano [4] PRE.ORG.01
[21] (Ver Tabla 2). PRE.ORG.02
PRE.ORG.03
Tabla 2. Escenarios planificados para el Observatorio Nacional de PRE.ORG.04
Ciberseguridad de Colombia PRE.ORG.05
PRE.TEC.06
PRE.TEC.07
PRE.LEG.08
PRE.CAP.09
PRE.CAP.10
PRE.CAP.11
PRE.CAP.12
PRE.COO.13
PRE.COO.14
Tabla 3. Formato de las tabas definidas para la valoración del

En el Escenario A se plantea la respuesta completa a las
análisis de viabilidad técnico y económico-financiero
recomendaciones del fortalecimiento de la Ciberseguridad,
logrando impactar a todo el público objetivo para la realización
tanto de métricas como de estudios y análisis (PRE.ORG.01). Para el desarrollo de la viabilidad técnica y económico-
En el Escenario B se considera como respuesta parcial a las financiera se realizan 10 tablas, en las cuales se desarrollan los
recomendaciones del fortalecimiento de la Ciberseguridad, siguientes análisis:
impactando colectivos especiales considerados como claves en
el ECC, de tal manera que se logren definir tanto las métricas - Tabla de valoración de Ámbitos de actuación vs Nivel de
como el desarrollo de estudios y análisis. Coordinación con las entidades interesadas vs Escenario
En el Escenario C, considerado como limitado, se plantean vs Premisa.
aspectos que se pueden plantear al corto plazo, con una - Tabla de valoración de Ámbitos de Actuación vs Esfuerzo
inversión en recursos más baja, donde se logre impactar las de Difusión a Sectores vs Escenario vs Premisa.
entidades públicas y de Ciberdefensa, en el ámbito de actuación - Tabla de valoración de Ámbitos de Actuación vs Grado de
definido como tanque de pensamiento, para actividades Especialización de la Actividad vs Escenario vs Premisa.
asociadas al desarrollo tanto de métricas como de estudios y - Tabla de valoración del Público Objetivo Ciudadanos vs
análisis. Elementos de Evaluación vs Escenarios vs Premisas.
La metodología seguida para el desarrollo de la viabilidad se - Tabla de valoración del Público Objetivo Empresas del
plantea basado en el análisis de varios factores, entre ellos los Sector Privado vs Elementos de evaluación vs Escenarios
ámbitos de actuación, los sectores, las líneas de actividad, los vs Premisas.
elementos de evaluación, las premisas para la propuesta del - Tabla de Valoración del Público Objetivo Operadores de
Observatorio y los Escenarios. El análisis se desarrolla en tablas Infraestructura Crítica vs Elementos de evaluación vs
que combinan todos los factores y para cada elemento se realiza Escenarios vs Premisas.
una valoración cualitativa de acuerdo a la siguiente escala: - Tabla de Valoración del Público Objetivo Entidades
MA: Muy Alto Públicas vs Elementos de Evaluación vs Escenarios vs
A: Alto Premisas.
M: Medio
B: Bajo
59
- Tabla de Valoración del Público Objetivo Entidades de Ciberseguridad y Ciberdefensa que se encuentra en
Ciberdefensa vs Elementos de Evaluación vs Escenarios desarrollo a nivel nacional, a partir de las estrategias
vs Premisas. definida en el CONPES 3854 el cual define la política
- Tabla de valoración de la Línea de Actividad Estudios y nacional de seguridad digital de Colombia [3], se pueda
Análisis vs Elementos de Evaluación vs Escenarios vs acceder a la información clasificada que se requiere para
Premisas. la realización del objeto del Observatorio.
- Tabla de valoración de la Línea de Actividad Métricas vs
Elementos de Evaluación vs Escenarios vs Premisas.  Toda actividad relacionada con las comunicaciones,
interceptación, control y análisis de las mismas,
La valoración definida para la viabilidad se realiza con base corresponde a organismos que pertenezcan a la estructura
en el análisis desarrollado por los investigadores, la experticia, del Estado colombiano.
experiencia y consulta a los actores claves del ECC, además se
encuentra sujeta a las premisas consideradas para la definición Se concluye que los actores claves del ECC están dispuestos
del observatorio. Por tanto, la viabilidad técnica puede ser y consideran necesaria la existencia del Observatorio, no
expresada desde el análisis de sus ámbitos de actuación, público obstante, se hace necesaria la constitución del mismo como
objetivo y líneas de actividad para cada uno de los escenarios parte integrante de la estructura del Estado colombiano, bien
con el cruce de las premisas aplicadas, valorando el nivel de sea bajo la modalidad de entidad independiente o como parte
coordinación con las entidades claves, el esfuerzo de difusión y de una de ellas. A esta conclusión se llega luego de comprender
el grado de especialización de la actividad [4]. el carácter de la información a la cual se requiere obtener
acceso, la forma en que se han delegado las funciones en
materia de Ciberseguridad y Ciberdefensa a nivel nacional y el
A. Viabilidad legal tipo de condiciones en que deberá operar el Observatorio.
La viabilidad legal involucra el análisis de aspectos jurídicos

B. Viabilidad técnica
teniendo como premisas:
 El Observatorio sea constituido como una entidad con
capacidad de cumplir con los aspectos establecidos en los Como elementos de evaluación en la viabilidad son [4]:
FCE.  El nivel de coordinación con las entidades claves del
 El Observatorio debe contar con una fuente de Ecosistema de Ciberseguridad de Colombia para los
financiamiento para el desarrollo de su misión y sus públicos objetivos seleccionados.
funciones, ya sea mediante la celebración de convenios  El esfuerzo de difusión para los públicos objetivos
administrativos de apoyo a programas de interés público seleccionados.
previsto en los planes nacionales y regionales de  El grado de especialización de las líneas de actividad
desarrollo o con presupuesto propio. seleccionadas.
 El Observatorio permitirá el financiamiento de sus
actividades y proyectos por recursos que provengan de Luego de realizar el proceso de viabilidad, cruzando todas
aportes del sector privado o por la prestación de servicios las variables y valorando las 10 tablas de acuerdo a los
de acuerdo con su objeto. elementos definidos desde el punto de vista técnico, de acuerdo
a los esfuerzos operativos, los procesos que deben llevarse a
Adicionalmente, se contempla fundamental para la viabilidad cabo y los recursos materiales y humanos para la creación del
legal los siguientes elementos correspondientes al desarrollo de Observatorio Nacional de Ciberseguridad de Colombia en cada
la misión del Observatorio: uno de los escenarios planificados se obtiene la siguiente
puntuación general (Ver Fig. 6):
 El Observatorio requiere tener acceso a información de
carácter sensible para el desarrollo de los estudios y
análisis; dicha información puede surgir de operaciones de
inteligencia y contra-inteligencia, o debido a su contenido,
resulta ser confidencial por sus efectos de seguridad
nacional, razón por la cual no puede ser compartida a
terceros diferentes al Estado.
 El Estado colombiano tiene una necesidad sentida de la
existencia de una entidad Observatorio que permita
gestionar el conocimiento en Ciberseguridad. Por lo tanto, Figura 6. Puntuación de los Escenarios planificados para la
la constitución del Observatorio se considera, además de viabilidad técnica.
necesaria, viable bajo la modalidad de una entidad pública
o como un grupo perteneciente a una de las entidades • Escenario A: Calificado como Muy Alto, debido a que
existentes, con el propósito de que una vez sea incluida en requiere un nivel muy alto de coordinación con las entidades
la estructura del Estado, reciba de conformidad con la interesadas, así como de esfuerzo de difusión a públicos
normatividad nacional, y en especial la Ley de objetivo y grado de especialización. En consecuencia, se trata
de un escenario poco probable para el lanzamiento del
60
Observatorio, pero sería el ideal una vez consolidado un Luego de realizar el proceso de viabilidad, cruzando todas
escenario más conservador. las variables y valorando las 10 tablas de acuerdo a los
elementos definidos desde el punto de vista económico-
• Escenario B: Calificado como Alto, debido a que requiere financiero, la calificación de los escenarios con respecto al
un nivel Alto de coordinación con las entidades interesadas, así esfuerzo en el nivel de aporte de las entidades interesadas, y
como de esfuerzo de difusión a los públicos objetivo y grado de teniendo en cuenta que el aporte depende de la disponibilidad
especialización. En consecuencia, se trata de un escenario poco presupuestaria de dichas entidades para la creación del
probable para el lanzamiento del Observatorio, pero que puede Observatorio Nacional de Ciberseguridad de Colombia en cada
ser abordado una vez se haya consolidado un escenario más uno de los escenarios planificados se obtiene la siguiente
conservador. puntuación general (Ver Fig. 7):
• Escenario C: Calificado como de riesgo técnico moderado,

debido a que requiere un nivel medio de coordinación con las
entidades interesadas, así como de esfuerzo de difusión a los
públicos objetivo y grado de especialización. En consecuencia,
se trata de un escenario aconsejable para el lanzamiento del
Observatorio, de lógica evolución al escenario B una vez
consolidado y con futura proyección a evolución al escenario
A.
Figura 7. Puntuación de los Escenarios planificados para la
Como conclusión, luego de la validación con los actores viabilidad económico-financiera.
claves, a partir los escenarios planificados y de acuerdo al nivel
de apoyo requerido por las entidades interesadas coordinado • Escenario A: Calificado como de riesgo económico y
desde el Observatorio como entidad pública, los aspectos a financiero muy alto, debido a que, si bien presenta un nivel muy
tener en cuenta para el lanzamiento y evolución a los demás alto en aportes de recursos por las entidades interesadas, los
escenarios: costos de difusión a los públicos objetivo y de especialización
serán asimismo muy altos. En consecuencia, se trata de un
- Si existe un elevado apoyo a la constitución del Observatorio escenario calificado como poco probable para el lanzamiento
por parte del Gobierno Nacional y las entidades claves públicas del Observatorio, debido a la dificultad de lograr el equilibrio
del ECC, y un interés definido por los operadores de económico y financiero a corto plazo.
infraestructuras críticas, se recomienda iniciar por la
implementación del Escenario A, ayudados por tecnologías • Escenario B: Calificado como de riesgo económico y
para la coordinación de información, manejo de eventos y financiero alto, debido a que, si bien presenta un nivel alto de
análisis de datos; la convergencia de los sistemas debería incluir aporte de recursos por las entidades interesadas, los costos de
implementaciones de uso libre, software comercial, difusión al público objetivo y de especialización serán
computación en la nube y software para el análisis de grandes asimismo altos. En consecuencia, se trata de un escenario
cantidades de datos, con recursos materiales y humanos calificado como poco probable para el lanzamiento del
proporcionados por las entidades del ECC y del Observatorio ONC_COL, el cual puede ser abordado una vez consolidado un
mismo. escenario más conservador. Este escenario se hace necesario
verificar con los representantes de las entidades claves del
- Si es bajo el apoyo a la constitución del Observatorio por Ecosistema mediante una consulta especializada.
parte del Gobierno Nacional y las entidades claves públicas del
ECC, la mejor opción es el desarrollo del Escenario C con una • Escenario C: Calificado como de riesgo económico y
evolución a mediano o largo plazo al escenario B, soportado en financiero medio, debido a que los costos de difusión a los
tecnologías libres con un dominio centralizado de la públicos objetivo y de especialización presenta un nivel medio
información utilizando protocolos e implementaciones de uso o bajo de aporte de recursos por las entidades interesadas. En
libre que incluya desarrollos aportados por la academia. consecuencia, se trata de un escenario calificado como muy
probable para el lanzamiento del Observatorio.
C. Viabilidad económico-financiera
Como conclusión, a partir los escenarios planificados y de
Como elementos de evaluación en la viabilidad son [4]: acuerdo al nivel de apoyo requerido por las entidades
interesadas coordinado desde el Observatorio como entidad
 El nivel de aportación de recursos de las entidades
pública, los aspectos a tener en cuenta para el lanzamiento y
interesadas del Ecosistema de Ciberseguridad de
evolución son:
Colombia.
 El costo relativo de difusión para los públicos objetivos
- Si existe un elevado apoyo económico y financiero a la
seleccionados.
constitución del Observatorio por parte del Gobierno Nacional
 El costo relativo de especialización de las líneas de
y las entidades claves públicas del ECC, lanzamiento del
actividad seleccionadas.
Escenario A.
61
requeridos para su consecución. Se definen las hojas de ruta a

- Si es bajo el apoyo económico y financiero a la constitución corto, mediano y largo plazo, con base en los resultados de las
del Observatorio por parte del Gobierno Nacional y las fases anteriores: propuesta del Observatorio y estudio de
entidades claves públicas del ECC, la mejor opción es el viabilidad técnico, legal y económico-financiera.
lanzamiento del Escenario C con una evolución a mediano o
largo plazo al escenario B. 1) Hoja de ruta de acciones a corto plazo
VI. PLAN DE ACCIÓN PARA LA PUESTA EN En la Tabla 4 se presenta la hoja de ruta de acciones a corto
MARCHA DEL OBSERVATORIO NACIONAL plazo, en la cual se considera la socialización del plan de puesta
DE CIBERSEGURIDAD DE COLOMBIA en marcha del Observatorio, la puesta en marcha organizativa,
legal y económico-financiera de la entidad pública
Para la definición del plan de acción se define una metodología Observatorio Nacional de Ciberseguridad de Colombia. Se
que establezca buenas prácticas para la gestión del proyecto de estima un plazo de 12 meses para su ejecución.
puesta en marcha del Observatorio, contemplando las hojas de
ruta a corto, mediano y largo plazo. Para la definición del plan
de acción de definen una premisas de acciones organizativas,
legales y económico-financieras.
A. Premisas de acciones para la planificación de la

puesta en marcha
1) Premisas de acciones organizativas
 Establecer un acuerdo de carácter institucional en el

Gobierno Nacional para la determinación de las
competencias que asumirá el Observatorio y los aspectos
de organización, funcionamiento, así como la entidad de
la cual dependerá para su funcionamiento.
 Determinar la modalidad de constitución del Observatorio
como parte del Estado colombiano. De acuerdo al
CONPES 3854 [3], se propone que la entidad se encuentre
en el más alto nivel debido a su misión, inicialmente
planteada a nivel de Presidencia, en la Coordinación
Nacional de Seguridad Digital, o en el Ministerio de
Defensa como un Grupo Interno de Trabajo, equivalente
al ColCERT [24] [25].
 Una vez constituidos el Observatorio, se da lugar a suplir
el recurso humano requerido en la organización (Ver Fig. Tabla 4. Hoja de ruta de acciones a corto plazo [4]
4), la puesta en funcionamiento y el estrechamiento de
relaciones con las entidades del ECC. Los objetivos específicos planteados son los siguientes [4]:
2) Premisas de acciones económico-financieras OBJETIVO_01: Tomar la decisión de constituir el

Observatorio Nacional de Ciberseguridad de Colombia a partir
 Aprobación del plan de trabajo por parte de la Dirección de los resultados de los estudios de viabilidad realizados por el
de la entidad Observatorio constituida. Estado en desarrollo del CONPES 3854 del 11 de abril de 2016.
 Planificación y ejecución de los proyectos que se definan
como prioritarios de acuerdo al presupuesto asignado en OBJETIVO_02: Aprobar las competencias que de manera
los planes de acción para la puesta en marcha. definitiva asumirá el Observatorio Nacional de Ciberseguridad
 Establecimiento de acuerdos de carácter público-privado de Colombia y sus condiciones de funcionamiento,
con las entidades claves del ECC. organización, presupuesto y demás que corresponden.
B. Hoja de ruta para la puesta en marcha del OBJETIVO_03: Solicitar la creación de la entidad o el Grupo
Observatorio Interno de Trabajo Observatorio Nacional de Ciberseguridad de
Colombia como parte integrante del Estado colombiano.
Se entiende la hoja de ruta como los planes a definir, con una
secuencia estructurada de actividades y tareas para alcanzar los OBJETIVO_04: Crear la entidad o el Grupo Interno de Trabajo
objetivos (generales y específicos), con los plazos y recursos Observatorio Nacional de Ciberseguridad de Colombia
62
mediante resolución expedida por el Gobierno Nacional o el

Ministerio de Defensa Nacional.
OBJETIVO_05: Establecer acuerdos con entidades públicas y

privadas del ECC que permitan el desarrollo de los planes
operativos del Observatorio Nacional de Ciberseguridad de
Colombia.
2) Hoja de ruta de acciones a mediano plazo
En la Tabla 5 se presenta la hoja de ruta de acciones a mediano

plazo, en la cual se considera la puesta en marcha operativa del
Observatorio Nacional de Ciberseguridad de Colombia. Se
estima un plazo de 18 meses para su ejecución.
Los objetivos específicos planteados son los siguientes [4]:
OBJETIVO_06: Seleccionar el equipo directivo del

Observatorio Nacional de Ciberseguridad de Colombia para
llevar a cabo su respectivo nombramiento.
OBJETIVO_07: Definir el plan operativo del Observatorio de

acuerdo al Escenario A planteado en el modelo del
observatorio. Tabla 5. Hoja de ruta de acciones a mediano plazo [4]
OBJETIVO_08: Elaborar la planificación y el presupuesto de 3) Hoja de ruta de acciones a largo plazo

los proyectos a desarrollar en el corto plazo.
En la Tabla 6 se presenta la hoja de ruta de acciones a largo
OBJETIVO_09: Elaborar el cuadro de indicadores de gestión plazo, en la cual se considera la consolidación del Observatorio
del Observatorio de acuerdo a los proyectos definidos a corto Nacional de Ciberseguridad de Colombia. Se estima un plazo
plazo. de 18 meses para su ejecución.
OBJETIVO_10: Ejecutar y controlar el plan operativo del Los objetivos específicos planteados son los siguientes [4]:
Observatorio con los proyectos definidos a corto plazo.
OBJETIVO_12: Elaborar la planificación y el presupuesto de
OBJETIVO_ 11: Socializar y realizar rendición de cuentas de los proyectos a desarrollar a mediano plazo.
los resultados del Plan Operativo del Observatorio para el
Escenario A con los proyectos definidos en el corto plazo. OBJETIVO_13: Elaborar el cuadro de indicadores de gestión
del Observatorio de acuerdo a los proyectos definidos en el
mediano plazo.
OBJETIVO_14: Ejecutar y controlar el plan operativo del

Observatorio con los proyectos definidos a mediano plazo.
OBJETIVO_ 15: Socializar y realizar rendición de cuentas de

los resultados del Plan Operativo del Observatorio para el
Escenario A con los proyectos definidos en el mediano plazo.
OBJETIVO_16: Elaborar la planificación y el presupuesto de

los proyectos a desarrollar a largo plazo.
63
es de carácter sensible que puede surgir de operaciones de

inteligencia y contra-inteligencia o sencillamente por su
contenido resultar ser confidencial en cuanto a sus efectos para
la seguridad nacional, razón por la cual no puede ser compartida
con terceros al Estado. Tomando como base que el
Observatorio sea una entidad pública, y a partir de la validación,
se establece que en el plan de puesta en marcha se definan las
acciones para implementa el Escenario A, el cual se considera
completo debido a que cubre todos los aspectos definidos en el
análisis del fortalecimiento de capacidades en Ciberseguridad
de acuerdo con la propuesta del Observatorio y sus planes de
actuación.
Se plantea el plan de puesta en marcha del Observatorio
contemplando las hojas de ruta de acciones a corto, mediano y
largo plazo, lo cual permite la consolidación del Observatorio
en un plazo de cuatro años, logrando con ello la
implementación de un sistema de gestión del conocimiento en
Ciberseguridad que amplía la perspectiva y visión estratégica
de los actores con competencia en el área en el país.
AGRADECIMIENTOS
Los autores expresan agradecimiento a el Departamento

Administrativo de Ciencia, Tecnología e Innovación
Tabla 6. Hoja de ruta de acciones a largo plazo [4] (Colciencias), al Ministerio de Tecnologías de la Información y
la Comunicación (MinTIC), ya que el artículo se logra como
VII. CONCLUSIONES resultado del proyecto de investigación “Estudio de Viabilidad
para la Creación de un Observatorio Nacional de
El desarrollo de la investigación conllevó a la definición de Ciberseguridad de Colombia (ONC_COL)”, el cual fue
un Modelo del Observatorio Nacional de Ciberseguridad de aprobado en la convocatoria 668 de 2014 de Colciencias, para
Colombia basado en las necesidades reales del país para el el fortalecimiento de la Ciberseguridad en las instituciones del
fortalecimiento de la Ciberseguridad de las instituciones claves Estado. Adicionalmente se agradece a la Entidad Ejecutora del
del Ecosistema de Ciberseguridad de Colombia. proyecto: La Universidad Pontificia Bolivariana Seccional
Para lograr el planteamiento de un Observatorio que valide Bucaramanga y a las Empresas Beneficiarias del proyecto: TYT
las necesidades de los actores con competencia en el país, se S.A.S., ISL S.A., ESI de Colombia S.A.S. y TICService
levantó información de fuentes primarias y secundarias que Soluciones S.A.S. Finalmente se agradece a los consultores
permitieran el conocimiento del estado actual de la internacionales de la Empresa EstudNet S.L. quienes han
Ciberseguridad en Colombia, resultado evidenciado en el libro aportado de manera significativa en el desarrollo del proyecto.
“El Ecosistema de Ciberseguridad de Colombia” resultado de
la investigación desarrollada por los autores. REFERENCIAS
Para el desarrollo del análisis de viabilidad técnica, legal y
económico-financiera del Observatorio Nacional de [1] International Telecommunication Union, «Measuring
Ciberseguridad de Colombia, se realizaron una serie de the Information Society Report 2015,» 2015. [En línea].
reuniones de validaciones con los actores claves del ECC, lo Available: http://www.itu.int/en/ITU-
que permitió evidenciar el nivel de interés de los mismos, en D/Statistics/Documents/publications/misr2015/MISR20
particular del Comando Conjunto Cibernético y el Grupo de 15-w5.pdf. [Último acceso: Mayo 2017].
Respuesta a Emergencias Cibernéticas de Colombia
[2] Departamento Nacional de Planeación, «Lineamientos
(ColCERT), el Centro Cibernético Policial del Ministerio de
de política para Ciberseguridad y Ciberdefensa,» 14
Defensa y el Ministerio de TIC; adicionalmente, en la Política
Julio 2011. [En línea]. Available:
Nacional de Seguridad Digital (CONPES 3854) se evidencia la
http://www.mintic.gov.co/portal/604/w3-article-
necesidad de contar con un Observatorio de crímenes y delitos
3510.html.
en el entorno digital y centros de excelencia en seguridad
digital, instancias que dan cabida a las funciones y el modelo [3] Departamento de Planeación Nacional, «Política
propuesto del Observatorio. Nacional de Seguridad Digital,» 11 Abril 2016. [En
De acuerdo a los escenarios planteados en el análisis de línea]. Available:
viabilidad y a las recomendaciones de los actores claves en las https://colaboracion.dnp.gov.co/CDT/Conpes/Econ%C3
reuniones de validación, se consideró fundamental que el %B3micos/3854.pdf.
observatorio sea una entidad pública, lo que le permite realizar [4] A. Flórez A., L. J. Serrano G., A. S. Aguilar J., H. A.
su objeto, ya que la información a la cual requiere tener acceso Rodríguez V., A. Villarraga P. y L. E. Suárez C.,
64
«Informe Final del proyecto de investigación "Estudio [19] M. Walton, The Deming Management Method, Canadá:
de viabilidad para la creación de un Observatorio Preigee Books, 1986.
Nacional de Ciberseguridad de Colombia",» [20] Ž. Micić y M. Blagojević, «Knowledge acquisition in
Bucaramanga, 2016. information technology and software engineering
[5] International Organization for Standardization, towards excellence of information systems based on the
Information technology - Security techniques - standardisation platform,» Computer Standards &
Guidelines for cybersecurity, Switzerland: ISO/IEC, Interfaces, vol. 44, pp. 1-17, 2016.
2012. [21] A. Flórez y L. Serrano, «Estado Actual de la
[6] D. Jaramillo, A. Cabrera, M. Abad y A. Torres, Ciberseguridad en Colombia,» de XV Jornada
«Definition of Cybersecurity Business Framework Internacional de Seguridad Informática ACIS 2015,
based on ADM-TOGAF,» CISTI (Iberian Conference Bogotá, 2015.
on Information System & Technologies), vol. 1, pp. 562- [22] S. Phadnis, C. Caplice y Y. Sheffi, «How Scenario
567, 2015. Planning Influences Strategic Decisions,» Stanford
[7] A. Flórez, L. Serrano, U. Gómez, L. Suárez, A. Social Innovation Review, vol. 57, nº 4, pp. 24-27, 2016.
Villarraga y H. Rodríguez, «Analysis of Dynamic [23] H. Kahn, «The Columbia Encycplioedia, 6th ed.,»
Complexity of the Cyber Security Ecosystem of Encycolpedia.com, 2017. [En línea]. Available:
Colombia,» Future Internet, vol. 8, nº 3, p. 33, 2016. http://www.encyclopedia.com.
[8] F. Skopik, R. Settani y R. Fiedler, «A problem shared is [24] Mnisterio de Defensa Nacional, «Resolución 127 de
a problem halved: A survey on the dimensions of 2012,» 25 Enero 2012. [En línea]. Available:
collective cyber defense through security information http://www.icbf.gov.co/cargues/avance/docs/resolucion
sharing,» Computers & Security, vol. 60, pp. 154-176, _mindefensa_0127_2012.htm. [Último acceso: 12 Junio
2016. 2015].
[9] D. Parada, A. Flórez y U. Gómez, Modelo Estructural [25] Ministerio de Defensa Nacional, «Resolución 3933 de
de los Observatorios de Ciberseguridad, Medellín: 2013,» 6 Junio 2013. [En línea]. Available:
Universidad Pontificia Bolivariana, 2017. http://www.icbf.gov.co/cargues/avance/docs/resolucion
[10] Instituto Nacional de Ciberseguridad, «INCIBE. _mindefensa_3933_2013.htm. [Último acceso: 12 Junio
Instituto Nacional de Ciberseguridad,» 2017. [En línea]. 2015].
Available: https://www.incibe.es/.
[11] Computer Crime Research Center, «Computer Crime
Research Center,» 2017. [En línea]. Available:
http://www.crime-research.org. [Último acceso: 2017].
Angélica Flórez Abril, Master in Systems and Computer
[12] Computer Forensics Science World, «Computer Engineering from Universidad de los Andes, Bogotá (2002).
Forensics World,» 2017. [En línea]. Available: Systems Engineer from Universidad Francisco de Paula
www.computerforensicsworld.com/index.php. Santander, Cúcuta, Colombia (1998). Associate Professor at
the Systems and Informatics Engineering Faculty, Universidad
[13] Cybercrimedata AS, «CryberCrime Law,» 2016. [En Pontificia Bolivariana at Bucaramanga. Her current research
línea]. Available: interests are in the computer networking and information
http://www.cybercrimelaw.net/Cybercrimelaw.html. security areas. Member of Research Group in Informatic and
[Último acceso: 2017]. Telecommunications (INTELEC).
[14] Ministerio de Defensa Nacional - Policía Nacional,

«Centro Cibernético Policial,» 2017. [En línea]. Lenin Javier Serrano Gil, Master in Management,
Application and Software Development from Universidad
Available: https://caivirtual.policia.gov.co/. [Último Autónoma at Bucaramanga. Computer Security Specialist and
acceso: 2017]. Computer Engineer from Universidad Pontificia Bolivariana
[15] A. Flórez A., L. Serrano G., H. Rodríguez V., A. at Bucaramanga. Telecommunications Technologist from
Unidades Tecnológicas de Santander. Full-time Professor at
Villarraga P., L. Suárez C., A. Aguilar J. y U. Gómez P. the Systems and Informatics Engineering Faculty,
, El Ecosistema de Ciberseguridad de Colombia, Universidad Pontificia Bolivariana at Bucaramanga. Member of Research
Barranquilla: Ediciones Universidad Simón Bolívar, Group in Informatic and Telecommunications (INTELEC).
2016.
[16] Organización de los Estados Americanos, «Misión de Alba Soraya Aguilar Jiménez, PhD in Integration of
asistencia técnica en seguridad cibernética,» 4 Abril Information Technology at the organizations from
2014. [En línea]. Available: Universidad Politécnica de Valencia, Spain. Industrial
Engineer from Universidad Industrial de Santander,
http://www.oas.org/documents/spa/press/Recomendacio Colombia. Associate Professor of Industrial Engineering
nes_COLOMBIA_SPA.pdf. [Último acceso: 2015]. Faculty, Universidad Pontificia Bolivariana at Bucaramanga,
member of Research Group in Business, Education and
[17] J. F. Rockart y C. V. Bullen, «A primer on critical Information, Comunication Technologies (GeeTIC).
success factors,» Junio 1981. [En línea].
[18] G. Villegas, «Gestión por Factores Críticos de Éxito,»
Revista EAFIT, vol. 105, 2005.
65
Luis Eduardo Suárez Caicedo, Master in Business

Administration, ITESM (Mexico) in partnership with
Universidad Autónoma de Bucaramanga. Economist of
University Santo Tomás - Bucaramanga. Associate Professor
of Industrial Engineering Faculty, Universidad Pontificia
Bolivariana at Bucaramanga, member of Research Group in
Business, Education and Information, Comunication
Technologies (GeeTIC ).
Alejandro Villarraga Plaza, Magister E-Learning

Universitat Oberta de Catalunya and Universidad Autónoma
de Bucaramanga, degree in International Business
Universidad Pontificia Bolivariana. Business Management at
Universidad de La Sabana, Bogotá. Associate Professor of
Economics, Management and Businnes School in Universidad
Pontificia Bolivariana, member of Research Group in
Managment (GIA).
Hugo Armando Rodríguez Vera, degree in intellectual

property and new technologies from Universidad Externado
de Colombia, lawyer of the Pontificia Universidad Javeriana,
assistant professor from the law school of the Universidad
Pontificia Bolivariana and legal consultant on intellectual
property and new technologies.
66
Alberto Fuentes Rodríguez, Luis Hernández Encinas, Agustín Martín Muñoz, Bernardo Alarcos Alcázar
Generación de Valores Intermedios de Forma

Paralela en Ataques DPA
Alberto Fuentes Rodrı́guez, Luis Hernández Encinas, Agustı́n Martı́n Muñoz y Bernardo Alarcos Alcázar
Abstract—The aim of this work is to describe a module [1], [2]. Para garantizar esta seguridad se consideran diferentes
for the generation of intermediate values, within cryptographic aspectos, entre los que cabe destacar el tamaño del espacio de
computations, to be used in a Toolbox under development to claves, es decir, el número de todas las posibles claves que
carry out Differential Power Analysis attacks (DPA), probably
the most widely used among the side-channel attacks. These pueden emplearse. Ese tamaño debe ser lo suficientemente
attacks are a very powerful tool against physical implementation grande como para hacer inviables los ataques por fuerza
of cryptosystems in physical devices which, nowadays, include bruta. Además, debe analizarse la posibilidad de que puedan
generally different countermeasures. For the differential attack existir debilidades en los algoritmos empleados, esto es, debe
to be successful even in presence of those countermeasures and, garantizarse, hasta donde sea posible, la fortaleza del protocolo
in most of the cases, in presence of a great amount of noise in
the power consumption measurements (traces), a large number criptográfico.
of traces must be used. For this reason, it is very interesting Esta fortaleza se ha garantizado tradicionalmente mediante
to include in the Toolbox modules of parallel processing, which la prueba o convicción de que el algoritmo utilizado en el
allow to handle a large number of traces in a reasonably short proceso de cifrado, firma, etc., no es vulnerable a los clásicos
time. ataques considerados por los criptoanalistas: hombre en el
Resumen—En este trabajo se describe el módulo de generación medio, a medio camino, diferencial, etc. [3]. Por otra parte,
de valores intermedios para una Toolbox en desarrollo para la mayorı́a de las veces la seguridad de los protocolos es
realizar ataques por análisis diferencial de potencia (DPA),
hipotética o teórica, es decir, se supone que el algoritmo es
probablemente el tipo de ataque más extendido de entre los
de canal lateral. Los ataques diferenciales son una herramienta seguro en tanto no se conozca un procedimiento que sea capaz
muy potente para atacar las implementaciones fı́sicas de crip- de romperlo. Es el caso de los protocolos que fundamentan su
tosistemas en dispositivos fı́sicos que, hoy dı́a ya de modo seguridad en problemas matemáticos de la teorı́a de números,
generalizado, incluyen diferentes contramedidas. Para que el considerados difı́ciles por el tiempo que se tarda en encontrar
ataque tenga éxito a pesar de dichas contramedidas y de la una solución aunque se conozca el algoritmo que conduce a
existencia en la mayorı́a de las ocasiones de una gran cantidad
de ruido en las medidas de consumo de potencia, es preciso que ella, como es el caso de la factorización de números enteros
el número de trazas utilizadas para realizar el ataque diferencial para el criptosistema RSA [4], el logaritmo discreto [5], el
sea muy elevado. Por este motivo, resulta muy interesante incluir logaritmo elı́ptico [6], etc.
en la Toolbox módulos de procesamiento paralelo que permitan Una vez que un algoritmo se considera robusto desde el
manejar un gran número de trazas en una cantidad de tiempo punto de vista teórico, se implementa en un PC o en otros
razonable.
dispositivos fı́sicos de mayor portabilidad. De hecho, en los
Index Terms—Side-channel attacks, Toolbox, Differential últimos años, la proliferación de lápices de memoria, tabletas,
Power Analysis, DPA, Parallel processing.
tarjetas y teléfonos inteligentes, etc., su facilidad de uso,
Palabras clave—Ataques por canal lateral, Toolbox, Análisis comodidad y su capacidad de cómputo, ha facilitado que
Diferencial de Potencia, DPA, Procesamiento paralelo. los protocolos criptográficos sean implementados en estos
dispositivos.
I. I NTRODUCCI ÓN Desde la publicación de los artı́culos de Kocher [7] y Boneh
et al. [8], la confianza en la seguridad de los protocolos crip-
La seguridad de un protocolo criptográfico es una de sus
tográficos se ha puesto en entredicho. De hecho, la seguridad
principales propiedades; no importa si se trata de un cripto-
teórica de los algoritmos criptográficos no es suficiente como
sistema simétrico o asimétrico, un esquema de firma digital
para garantizar su seguridad práctica. Ello se debe a que a
o de voto electrónico, un protocolo de acuerdo de clave, etc.
la hora de implementar un protocolo existen diversos factores
Este trabajo fue enviado el 6 de septiembre de 2017. Este trabajo ha que deben tenerse en cuenta y que suelen ser ajenos a los
sido parcialmente subvencionado por la Comunidad de Madrid (España), aspectos teóricos. Además, un adversario que desee vulnerar
bajo el proyecto S2013/ICE-3095-CM (CIBERDINE) y por el Ministerio de
Economı́a y Competitividad (España) bajo el proyecto TIN2014-55325-C2-1- un protocolo siempre procurará atacar su parte más débil y,
R (ProCriCiS), cofinanciados con fondos FEDER. si la seguridad teórica ha sido probada, intentará atacar la
A. Fuentes Rodrı́guez, L. Hernández Encinas y A. Martı́n Muñoz están en el implementación práctica, es decir, buscará la información que
Departamento de Tecnologı́as de la Información y las Comunicaciones (TIC),
Instituto de Tecnologı́as Fı́sicas y de la Información (ITEFI), Consejo Superior pueda proporcionarle una implementación que sea insegura
de Investigaciones Cientı́ficas (CSIC), C/ Serrano 144, 28006-Madrid, España [1, Cap. 11]. Esta inseguridad puede deberse a una incorrecta
(emails: {alberto.fuentes, luis, agustin}@iec.csic.es) programación del software relativo al algoritmo empleado, o
B. Alarcos Alcázar está en la Escuela Politécnica, Universidad de Al-
calá, Carretera A2, Km 32, 28871-Alcalá de Henares, España (email: a que la implementación no impide que sea posible obtener
bernardo.alarcos@uah.es) determinada información a partir de la ejecución del software
67
en el dispositivo. de miles) y aumenta con la presencia de ruido en las medidas

Esta información que se puede obtener de la imple- (entendiendo como “ruido” todo lo que en una traza no
mentación fı́sica del criptosistema durante la ejecución del contiene información de interés para la obtención de la clave).
código puede estar relacionada, por ejemplo, con el tiempo El resto del trabajo se ha estructurado como sigue. La
de computación que tarda en ejecutarse el algoritmo [7], el sección II incluye un breve repaso de los fundamentos de
consumo de potencia eléctrica que supone el proceso que un ataque DPA. En la sección III se presenta el módulo de
está en marcha [9], la generación de ondas electromagnéticas procesado paralelo de valores intermedios de la Toolbox en
durante los cálculos [10], [11], la temperatura que alcanza desarrollo. La sección IV muestra los resultados obtenidos
el chip [12], o el ruido que produce mientras está haciendo de las pruebas realizadas y en la sección V se resumen las
las operaciones criptográficas [13]. Esas vı́as de obtención de principales conclusiones, esbozando el trabajo futuro.
información, se conocen como canales laterales, y por eso los
ataques que aprovechan esa información se denominan ataques II. D ESCRIPCI ÓN DE UN ATAQUE DPA
por canal lateral. Todos estos ataques consideran que las
magnitudes medibles anteriores dependen de las instrucciones, Para obtener la clave secreta, un atacante debe estar en
de las operaciones matemáticas y/o de los datos utilizados por posesión del dispositivo criptográfico a atacar y estimar (o
el procesador para realizar sus cálculos, de modo que si la conocer) el modelo de consumo energético. Cuanto más se
implementación no está lo suficientemente protegida es posible aproxime esta estimación a la realidad, menos información
obtener información relacionada con las claves a través de (trazas de consumo) se necesitará recabar para obtener la
estos canales alternativos/laterales. clave secreta. También es necesario conocer el algoritmo crip-
Una caracterı́stica importante de estos ataques es que son tográfico que se está usando y el texto claro o el texto cifrado
pasivos, esto es, no alteran el comportamiento del chip y, y tener capacidad para medir el consumo del dispositivo
por este motivo, no son fáciles de detectar, al contrario de mientras se realizan las operaciones criptográficas.
lo que ocurre con los ataques que, mediante disparos láser Para llevar a cabo un ataque de DPA, hay que realizar un
o provocando una alteración en las condiciones normales de gran numero operaciones criptográficas con distintos textos
funcionamiento del chip (por ejemplo sometiéndolo a excesos claros. Durante estas operaciones se almacenan los consumos
de voltaje), tratan de modificar el contenido de la memoria o el de potencia (trazas) ası́ como el texto claro o cifrado. Poste-
flujo de ejecución de un algoritmo; esas alteraciones provocan riormente se trata esta información para obtener la clave
fallos en los resultados de los algoritmos, y el análisis de esos secreta. El procedimiento del ataque se divide en los siguientes
fallos puede permitir obtener la clave criptográfica. En eso se pasos, mostrados esquemáticamente en la Figura 1 [15], [17]:
basan los ataques por inducción de fallos [14]. Este trabajo 1) Elegir un resultado intermedio del algoritmo crip-
se centra en uno de los principales tipos de ataque por canal tográfico ejecutado y que combine la clave secreta con
lateral, el análisis diferencial de potencia (DPA, Differential datos conocidos, generalmente el texto claro o cifrado.
Power Analysis). 2) Obtener un conjunto de trazas, midiendo el consumo de
En [15], en el marco del congreso CIBSI, los autores un cierto número, D, de operaciones de cifrado o des-
presentaron el diseño y los primeros resultados experimen- cifrado con distintos textos claros. Por cada operación se
tales de un conjunto de herramientas software para llevar a crea una traza de consumo con T mediciones a lo largo
cabo ataques DPA, demostrando que, globalmente, desarrollar del proceso. Este paso genera una matriz P de tamaño
el código utilizando herencias aporta mayores ventajas que D × T.
hacerlo utilizando plantillas, ya que la penalización de tiempos 3) Calcular el valor intermedio hipotético para cada
es inferior a un 10% y el código sigue una estructura orientada elección de la clave k. Si K es el numero total de
a objetos, lo cual es más apropiado con vistas al desarrollo de posibles valores para k, el resultado de este paso es una
la Toolbox (además de generar una codificación más limpia matriz V de tamaño D × K.
para las clases de alto nivel y permitir más fácilmente la 4) Aplicar a los valores intermedios, V , la transformación
modificación o ampliación por otros usuarios de la comunidad que pasa dichos valores a su consumo hipotético de
cientı́fica). Posteriormente, los mismos autores presentaron en acuerdo con el modelo de consumo elegido; los modelos
[16] el diseño y optimización de los módulos de entrada a la comúnmente utilizados son la distancia de Hamming y
Toolbox, incluyendo el control de un osciloscopio digital para el peso de Hamming [17, §3.3]. Esta transformación da
la adquisición de trazas y su alineamiento automático, y un como resultado una matriz H de tamaño D × K que
análisis sobre el rendimiento de la herramienta dependiendo contiene los valores de consumo hipotético.
de las diferentes posibilidades de representar internamente los 5) Comparar el consumo hipotético con las trazas de con-
valores de las trazas. sumo mediante métodos estadı́sticos. Esto genera una
En este trabajo se presenta un nuevo módulo para la Toolbox matriz R de tamaño K × T que contiene los resultados
en desarrollo, en el que se generan los valores intermedios de la comparación. Se pueden usar distintos algoritmos
para posteriormente realizar un análisis estadı́stico DPA. Se para realizar la comparación (diferencia de distancia de
propone un método de generación de valores intermedios medias, pruebas de máxima probabilidad, etc.).
basado en paralelización, lo que resulta idóneo para este tipo Si el método estadı́stico usa el coeficiente de correlación de
de ataque, dado que el número de trazas que es necesario Pearson, el ataque se conoce como análisis por correlación de
manipular es tı́picamente muy elevado (del orden de cientos potencia (CPA, Correlation Power Analysis) [18]. Comparado
68
Fig. 2. Traza con la clave supuesta 44. Se observan picos al correlar.
Fig. 3. Traza con la clave supuesta 59. No se observan al correlar.

Fig. 1. Diagrama de bloques de un ataque DPA.
ataque DPA, como el recientemente publicado en [21].

Como se ha mencionado anteriormente, cuanto más ruido
con DPA, CPA requiere un menor número de trazas. Desde el haya en las medidas, mayor será el número de trazas necesarias
punto de vista práctico, en [19] se comenta que es posible con las que operar, lo cual indica que es de gran interés
mejorar la relación señal/ruido del ataque DPA si se usan disponer de módulos de procesado paralelo.
varios bits a la vez en la predicción.
A modo de ejemplo, las Figuras 2 y 3 muestran algunos III. T OOLBOX : PROCESAMIENTO PARALELO DE VALORES
de los resultados obtenidos al atacar el paso intermedio INTERMEDIOS HIPOT ÉTICOS
SubBytes de un cifrado AES utilizando el algoritmo de la
Un ataque de DPA requiere de la computación de una
diferencia de distancias medias de Kocher para el análisis
gran cantidad de datos. La Toolbox que estamos desarrollando
diferencial.
pretende aprovechar al máximo la arquitectura del computador
En tales figuras se muestra la correlación del consumo de para realizar las operaciones en el menor tiempo posible. Para
dos hipótesis de clave distintas respecto a las trazas tomadas. llevar a cabo esta optimización, se han analizado los tipos de
Como puede apreciarse, la Figura 3 muestra una traza difer- arquitecturas que permiten paralelizar las operaciones.
encial en la que los máximos y mı́nimos son muy uniformes,
mientras que en la Figura 2 aparecen claramente picos que
A. Taxonomı́a de Flynn
indican que existe una correlación entre el consumo producido
para ese valor del bit supuesto y el consumo real, lo que indica La taxonomı́a de Flynn [22] categoriza las arquitecturas
que el valor hipotético del bit es el correcto. Los cálculos según la concurrencia de instrucciones y datos de la siguiente
para la obtención de estas figuras se han hecho con una manera:
herramienta en Matlab disponible públicamente [20]. Existen • SISD (Single Instruction, Single Data): Computador se-
otros tutoriales para familiarizarse con los fundamentos de un cuencial para el que en cada ciclo de reloj se ejecuta una
69
instrucción afectando a un solo dato. Son arquitecturas D. Estrategias de paralelización

monoprocesador. Como hemos comentado anteriormente, cada elemento de
• MISD (Multiple Instruction, Single Data): Computador la matriz V se puede calcular independientemente. Esto nos
en el cual cada ciclo de reloj realiza múltiples operaciones permite dividir el problema en n subproblemas (cada uno
sobre un solo dato. Casi no existen casos prácticos para resuelto en un hilo de ejecución distinto), calculando en cada
este tipo de arquitecturas. subproblema la porción (D ×K)/n del total de los elementos.
• SIMD (Single Instruction, Multiple Data): Computador Idealmente, suponiendo un tamaño de problema M y un
vectorial en el que para cada ciclo de reloj se ejecuta una numero de procesadores P , esta solución nos deberı́a propor-
misma instrucción sobre varios datos. Son muy utilizadas cionar un escalado fuerte de M/P . Durante la fase de pruebas,
en procesadores GPU. veremos cómo afectan los elementos de la arquitectura del
• MIMD (Multiple Instruction, Multiple Data): Arquitec- computador a este resultado ideal.
tura con procesadores autónomos. En cada ciclo de reloj
varios procesadores ejecutan simultáneamente instruc- E. Necesidad de sincronización
ciones diferentes en datos diferentes. Son arquitecturas En primer lugar debemos comprobar si los distintos hilos de
multiprocesador o multinúcleo. ejecución necesitan exclusión mutua para acceder a los datos
Dado que las arquitecturas MIMD son las que la industria compartidos.
está apoyando con más fuerza actualmente, en este trabajo Los accesos a elementos que solo vayamos a leer no
vamos a centrarnos en optimizar la Toolbox para este tipo de requieren de exclusión mutua. En nuestro caso, tanto D como
arquitecturas. K van a ser accedidos en modo lectura.
Como se puede ver en la sección IV, por el tipo de datos En cuanto a accesos de escritura, como podemos ver en
a tratar, el procesamiento vectorial serı́a interesante. Además la Figura 4, eligiendo dos datos distintos di y dj y un valor
hay arquitecturas disponibles para este tipo de computación para la clave kh , la posición de la matriz V que debemos
(tarjetas gráficas). escribir varı́a (posiciones i, h o j, h respectivamente). De la
misma manera, si elegimos dos claves distintas y un mismo
dato, tampoco coincidirá la posición en V .
B. Cálculo de valores intermedios hipotéticos
Teniendo en cuenta la reflexión del párrafo anterior, si
Como se ha comentado en la sección II, los valores inter- repartimos el calculo de los valores vi,j entre los distintos
medios hipotéticos se calculan a través de los datos conocidos hilos, no deberı́a haber problemas en cuanto a la exclusión
(texto claro/cifrado) y las hipótesis sobre la clave. mutua en escritura, ya que dos hilos distintos no intentarı́an
El conjunto de datos conocido y el conjunto de hipótesis escribir en ningún momento la misma posición en V y por
sobre la clave se pueden ver como vectores de tamaño D y tanto en memoria.
K respectivamente. Estos se combinan uno a uno a través del
algoritmo criptográfico, obteniendo como resultado una matriz
de valores intermedios, V , de tamaño D × K.
Analizando este proceso se deduce que cada elemento v de
la matriz se puede calcular independientemente del resto de
los elementos.
C. Conveniencia de paralelización
Los ataques de tipo DPA requieren un gran número de
trazas (del orden de cientos de miles, como se ha mencionado
anteriormente), lo que supone utilizar la misma cantidad de
datos conocidos, D. A su vez, cuanto menor sea la relación
señal/ruido, mayor cantidad de trazas se deben tomar.
El tamaño del vector que contiene las hipótesis sobre la
clave es fijo, K. Dada la imposibilidad de tomar todo el
espacio de claves, se toma un subconjunto de la clave (1 byte
normalmente) y, a través de varios ataques DPA, se extrae la
clave completa.
La matriz resultante, V , tiene un tamaño D × K, por lo que
el cálculo de esta matriz tiene un impacto alto en cuanto al Fig. 4. Generación de valores intermedios hipotéticos en un ataque DPA.
tiempo total de ejecución del algoritmo de DPA.
Para hacer una Toolbox eficiente es necesario optimizar en
tiempo y memoria la generación de esta estructura de datos. F. Iterando a través de los elementos
Dado que cada elemento de la matriz se puede calcular indi- El cálculo de los valores intermedios hipotéticos necesita un
vidualmente, la paralelización de este cálculo es fundamental bucle anidado de dos niveles para iterar por todos los valores
para dicha optimización. posibles de D × K.
70
En principio es indiferente que la iteración del bucle exterior a la tecnologı́a hyper-threading (otro núcleo virtual por núcleo
corresponda a los datos o a las claves (la interior debe fı́sico).
corresponder con el otro valor), pero como los procesadores Para minimizar el ruido generado por otros procesos, se han
actuales pueden disponer de memoria caché, vamos a intentar hecho 10 mediciones en cada escenario posible, calculándose
aprovechar esta al máximo, ya que el acceso a datos en caché la media y la desviación estándar de las mediciones.
es mucho más rápido que en memoria principal. El Cuadro I muestra para cada número posible de hilos,
Dado que los elementos de los vectores D y K están dependiendo de si en el bucle interno se itera sobre datos
consecutivos en memoria, si la iteración se hace del primer o sobre claves, la media (segundos transcurridos) en obtener
elemento al último conseguiremos minimizar los fallos en la matriz V , ası́ como la desviación estándar de las 10
memoria caché, que se producirán cuando el dato pedido no mediciones.
se encuentre en memoria cache y se requiere un acceso a
memoria principal. TABLE I
D ATOS VS . CLAVE EN BUCLE INTERIOR
Los accesos a memoria del bucle interior se realizarán de
forma consecutiva en el tiempo, mientras que los del bucle 1 hilo 2 hilos 3 hilos 4 hilos
exterior se realizarán cada vez que termine el bucle interior.
Datos media (s) 12.188 6.262 6.118 6.233
Debido a que el tamaño de los dos vectores es diferente σ 0.022 0.124 0.225 0.522
(por el algoritmo DPA), intentaremos iterar el vector de menor Claves media (s) 11.719 6.054 5.961 5.575
tamaño en el bucle interior. Es posible que dicho vector sea σ 0.016 0.143 0.262 0.128
capaz de residir por completo en la memoria caché debido a
su reducido tamaño.
Calculemos el tamaño de cada vector: Analizando los resultados mostrados en el Cuadro I, se
• El tamaño de D viene dado por la cantidad de trazas
pueden sacar dos conclusiones:
capturadas (> 105 ). • Se ratifica la hipótesis planteada en la sección III-F,
• El tamaño de K corresponde con los valores hipotéticos esto es, la eficiencia aumenta cuando el vector de menor
de clave (para hacer posible el ataque se toma un sub- tamaño es iterado en el bucle interior.
conjunto de la clave n bytes ya que el tamaño de K no • A partir de 2 hilos, no se aprecia la mejorı́a esperada
debe de ser muy grande). Normalmente se toma 1 byte y aumenta la desviación estándar cuando se itera sobre
(con lo que el tamaño de K será 28 ). datos.
Como podemos observar, el tamaño de D es varios órdenes La segunda conclusión no se esperaba obtener en este
de magnitud superior al tamaño de K. De hecho si se toma estudio, por lo que se estudiarán sus causas en el siguiente
1 byte para representar la clave, este solo puede tomar 256 apartado.
valores, que caben en cualquier memoria caché.
B. Mejora de eficiencia según el número de hilos
IV. R ESULTADOS Como se observó en el apartado anterior, la eficiencia
Para validar las hipótesis realizadas en la sección III-F, mejora linealmente con el número de hilos empleados hasta
necesitamos hacer una serie de pruebas, ya que la memoria alcanzar dos hilos. Posteriormente, la mejoras en eficiencia no
caché es transparente al software y no podemos saber con siguen esta linealidad, aunque teóricamente aún hay núcleos
exactitud el número de fallos de caché y la razón por la que disponibles.
se producen los mismos. Ante esta pérdida de eficiencia podemos plantear las si-
guientes hipótesis.
A. Resultados experimentales • Hipótesis 1: Se está produciendo un cuello de botella al
escribir los resultados en la matriz V .
Para comprobar la mejora en eficiencia, determinaremos una
• Hipótesis 2: Los distintos hilos no se bloquean en
arquitectura sobre la que realizar las pruebas. En nuestro caso
ningún momento, por lo que los dos núcleos fı́sicos del
será un procesador Intel Core i3-3217U cuyas caracterı́sticas
procesador están trabajando a su lı́mite máximo.
principales son:
El escenario de la hipótesis 1 se producirı́a cuando varios
• 2 núcleos con tecnologı́a hyper-threading (un núcleo
núcleos están intentando escribir en posiciones cercanas de
virtual por cada núcleo fı́sico), 1.8 GHz.
memoria.
• Caché L1: 64kB (código), 64kB (datos).
Dicho cuello de botella se debe a los mecanismos que
• Caché L2: 512kB (256kB por núcleo).
implementa el procesador para mantener la coherencia de
• Caché L3: 3MB compartida.
caché entre los distintos núcleos.
Los casos de prueba se basarán en la variación de dos El problema se produce cuando un núcleo n1 quiere escribir
parámetros: una lı́nea de caché que está siendo utilizada por otro núcleo
• Datos o Clave iterados en el bucle interior. n2. En este escenario, la lı́nea de caché del núcleo n2 pasa a
• Número de hilos empleados para calcular V . estado inválido (ya que ha sido escrita por el núcleo n1). Si
El número de hilos empleado tendrá como valor máximo 4, n2 quiere escribir o leer datos en la misma lı́nea de caché se
ya que en dicho caso se estarán usando los dos núcleos junto producirá un fallo de caché y, por tanto, un retardo.
71
El escenario de la hipótesis 2 se producirı́a cuando un hilo, solo se aprecia mejora cuando los hilos no acceden a memoria
h1, que se está ejecutando en un núcleo del procesador no lleva (caso 1). En cualquier situación, la mejora no es lineal y se
cabo ninguna instrucción que bloquee dicho hilo y permite a asemeja a la obtenida con la Toolbox.
otro hilo, h2, aprovechar los ciclos de reloj desperdiciados por En el caso 5, los hilos escriben sobre la misma lı́nea de
el primer hilo h1. cache, creando conflictos entre las cachés de los distintos
Este caso se produce porque el procesador solo dispone de núcleos. Como se puede observar en el Cuadro II, la dismi-
dos núcleos fı́sicos, pero la tecnologı́a hyper-threading permite nución de rendimiento es considerable en cuanto tenemos más
que hilos dentro de un mismo proceso compartan núcleo. De de un hilo.
este modo cuando un hilo se bloquea por una operación, se La hipótesis 1 establece que no se produce una mejora lineal
ejecuta el otro hilo sin necesidad de realizar un cambio de debido a los conflictos en memoria caché. En los casos 1–
contexto a nivel de proceso. 4, no se produce este tipo de conflictos y sin embargo el
Si los hilos no ejecutan instrucciones que los bloqueen, la aumento de numero de hilos por encima del número de núcleos
tecnologı́a hyper-threading no podrı́a mejorar los resultados ya fı́sicos no mejora la eficiencia de forma lineal. Estos resultados
que los hilos estarı́an usando los núcleos fı́sicos de la manera invalidarı́an la hipótesis 1.
más eficiente posible. Si la hipótesis 2 fuese cierta, la eficiencia mejorarı́a de
Para averiguar cual de las dos hipótesis es la correcta se forma lineal hasta alcanzar el numero de núcleos fı́sicos. En
ha creado un programa de prueba que ejecuta una tarea con los casos 1–4 este hecho se verifica, ya que el procesador
distinto número de hilos. Dicho programa se configuró para cuenta con dos núcleos fı́sicos.
los siguientes casos: Para corroborar la hipótesis 2, calculemos los tiempos
• Caso 1: Los hilos no realizan ningún acceso a memoria. medios en obtener la matriz V iterando sobre claves en el
• Caso 2: Los hilos realizan lecturas de distintas lı́neas de bucle interior como se hizo en el Cuadro I, utilizando una
caché. arquitectura con cuatro núcleos fı́sicos (i7-7700):
• Caso 3: Los hilos realizan lecturas de la misma linea de • Cuatro núcleos con tecnologı́a hyper-threading (un
caché. núcleo virtual por cada núcleo fı́sico), 3.6 GHz.
• Caso 4: Los hilos realizan lecturas y escrituras de dis- • Caché L1: 128kB (código), 128kB (datos).
tintas lı́neas de caché. • Caché L2: 1024kB (256kB por núcleo).
• Caso 5: Los hilos realizan escrituras de la misma linea • Caché L3: 8MB compartida.
de caché. Los resultados obtenidos se pueden ver en la Figura 6.
La Figura 5 muestra los tiempos de ejecución (en segundos)
obtenidos para los casos 1–4 con distinto número de hilos. El
caso 5 se muestra en el Cuadro II ya que el orden de magnitud
de los valores de este caso es mucho mayor que los anteriores.
Fig. 6. Ejecución con cuatro núcleos fı́sicos
Los datos obtenidos muestran que la eficiencia crece lineal-

mente con el número de hilos hasta llegar al número de núcleos
Fig. 5. Hilos con distintos tipos de acceso a memoria (casos 1–4). fı́sicos. A partir de este punto, un mayor numero de hilos no
mejora la eficiencia. Estos resultados avalan la hipótesis 2.
TABLE II V. C ONCLUSIONES
E SCRITURAS DE LOS HILOS EN MISMA LINEA DE CACHE ( CASO 5)
A partir de los datos obtenidos en la sección IV, la primera
1 hilo 2 hilos 3 hilos 4 hilos conclusión que se puede obtener es que en el algoritmo DPA
es más eficiente iterar sobre las hipótesis de clave al ser un
Caso 5 Tiempo (s) 8.261 21.653 24.555 31.507
conjunto más pequeño y poder residir en memoria caché.
Como segunda conclusión, según lo expuesto en la
En los casos 1–4 se realizan lecturas en memoria o escrituras sección III-C, idealmente, la eficiencia deberı́a de crecer de
en distintas lı́neas de caché. Se aprecia que usando dos hilos el forma lineal con el número de hilos hasta alcanzar la cantidad
tiempo se reduce a la mitad. Si continuamos añadiendo hilos, de núcleos disponibles; sin embargo se ha verificado que esta
72
situación no se presenta, por lo que se plantearon dos posibles [14] M. Joye and M. Tunstall, Eds., Fault Analysis in Cryptography.
hipótesis: Springer publishing, 2012. [Online]. Available: http://www.springer.
com/in/book/9783642296550
• Los mecanismos que permiten la coherencia de caché [15] A. Fuentes, L. Hernandez, A. Martin, and B. Alarcos, “Design of a
entre distintos núcleos estaban reduciendo el rendimiento. Set of Software Tools for Side-Channel Attacks,” IEEE Latin America
• Los hilos no pasan a estado bloqueado, los núcleos
Transactions, vol. 13, no. 6, pp. 1966–1978, June 2015.
[16] A. Fuentes Rodrı́guez, L. Hernández Encinas, A. Martı́n Muñoz, and
virtuales (tecnologı́a hyper-threading) no mejoran el B. Alarcos Alcázar, “Design and optimization of the input modules of
rendimiento. a DPA toolbox,” Logic Journal of the IGPL, vol. 24, no. 1, pp. 16–28,
2016. [Online]. Available: +http://dx.doi.org/10.1093/jigpal/jzv041
Tras hacer distintas pruebas para refutar o corroborar las [17] S. Mangard, E. Oswald, and T. Popp, Power analysis attacks: Revealing
distintas hipótesis llegamos a la conclusión de que la segunda the secrets of smart cards (Advances in Information Security). Springer
hipótesis es la correcta. Science+Business Media, NY, USA, 2007.
Ası́ pues, a modo de resumen podemos afirmar que se deben [18] E. Brier, C. Clavier, and F. Olivier, “Correlation power analysis with a
leakage model,” Lecture Notes in Comput. Sci., vol. 3156, pp. 16–29,
usar tantos hilos como núcleos fı́sicos tenga el procesador, 2004.
dado que si utilizamos más hilos, no se aprecian mejoras [19] T. S. Messerges, E. A. Dabbish, and R. H. Sloan, “Examining smart-card
en el rendimiento. Además, no se deben reescribir desde security under the threat of power analysis attacks,” IEEE Transactions
on Computers, vol. 51, no. 5, pp. 541–552, May 2002.
diferentes hilos en la misma linea de caché, ya que esto influye [20] E. Oswald, “Dpabook.org. Guided Analysis of WS1. version 1.0,”
negativamente en el rendimiento. Institut for Applied Information Processing and Communications
Actualmente, la estructura de clases nos permite definir – IAIK. Technische Universität Graz (Austria), Tech. Rep. IAIK
- TR 2007/07/25, 2007, http://dpabook.iaik.tugraz.at/onlinematerial/
elementos muy concretos de un ataque DPA (ej. clase Interme- matlabscripts/WS1-Guided-Exercise.pdf.
diateValue). Aunque esto es correcto en un diseño orientado [21] J. Buček, M. Novotný, and F. Štěpánek, Practical Session: Differential
a objetos, el manejo de tal cantidad de objetos resta eficiencia Power Analysis for Beginners. Springer International Publishing, 2017,
ch. 4 of Hardware Security and Trust: Design and Deployment of
a la Toolbox. Integrated Circuits in a Threatened Environment, pp. 77–91. [Online].
Utilizando estos resultados como referencia, revisaremos las Available: http://dx.doi.org/10.1007/978-3-319-44318-8 4
clases y estructuras de datos que hemos implementado hasta [22] M. J. Flynn, “Some computer organizations and their effectiveness,”
IEEE Transactions on Computers, vol. 21, no. 9, pp. 948–960, 1972.
el momento, averiguando si podemos realizar alguna mejora
en eficiencia. Encontrando un equilibrio entre la granularidad
del diseño orientado a objetos y la eficiencia.
R EFERENCES Alberto Fuentes Rodrı́guez recibió su tı́tulo de
[1] A. Fúster Sabater, L. Hernández Encinas, A. Martı́n Muñoz, F. Mon- Master en Computer Science por la Universidad
toya Vitini, and J. Muñoz Masqué, Criptografı́a, protección de datos KTH Kungliga Tekniska Högskolan de Estocolmo,
y aplicaciones. Una guı́a para estudiantes y profesionales. Madrid, Suecia, en 2007. Ha trabajado en el INTA como
Spain: RA-MA, 2012. especialista en seguridad infommática desde 2007
[2] A. Menezes, P. van Oorschot, and S. Vanstone, Handbook of Applied hasta 2011, evaluando productos y sistemas con
Cryptography. Boca Raton, FL, USA: CRC Press, Inc., 1997. los estándares Common Criteria e ITSEC y, entre
[3] J. Daemen and J. Rijmen, The Design of Rijndael: AES-The Advanced 2011 y 2013 en EADS como consultor common
Encryption Standard. Berlı́n, Germany: Springer Verlag, 2002. criteria e investigador I+D. Tiene amplia experiencia
[4] R. Rivest, A. Shamir, and L. Adleman, “A method for obtaining digital en plataformas PKI, aplicaciones ad-hoc o pruebas
signatures and public-key cryptosystems,” Communications of the ACM, de penetración y análisis de vulnerabilidades de
vol. 21, no. 2, pp. 120–126, 1978. sistemas. En la actualidad es profesor en la Universidad Europea de Madrid
[5] T. ElGamal, “A public key cryptosystem and a signature scheme based y está realizando su tesis doctoral sobre el diseño e implementación de
on discrete logarithms,” IEEE Transactions on Information Theory, herramientas software para llevar acabo ataques por canal lateral a dispositivos
vol. 31, pp. 469–472, 1985. criptográficos.
[6] D. Hankerson, A. Menezes, and S. Vanstone, Guide to elliptic curve
cryptography. New York, NY, USA: Springer, 2004.
[7] P. Kocher, “Timing attacks on implementations of Diffie-Hellman, RSA,
DSS, and other systems,” Lecture Notes in Comput. Sci., vol. 1109, pp.
104–113, 1996. Dr. Luis Hernández Encinas obtuvo su licenciatura
[8] D. Boneh, R. DeMillo, and R. Lipton, “On the importance of checking en Matemáticas por la Universidad de Salamanca
cryptographic protocols for faults,” Lecture Notes in Comput. Sci., vol. (España) y su grado de Doctor en Matemáticas por
1233, pp. 37–51, 1997. la misma universidad en 1992. Es investigador en
[9] P. Kocher, J. Jaffe, B. Jun, and P. Rohatgi, “Introduction to differential el Departamento de Tratamiento de la Información
power analysis,” J. Cryptograp. Eng., vol. 1, pp. 5–27, 2011. [Online]. y Criptografı́a (TIC) en el Instituto de Tecnologı́as
Available: http://dx.doi.org/10.1007/s13389-011-0006-y Fı́sicas y de la Información (ITEFI), del Consejo
[10] S. Mangard, “Exploiting radiated emissions-EM attacks on crypto- Superior de Investigaciones Cientı́ficas (CSIC) en
graphic ICs,” in Proceedings of Austrochip 2003, 2003, pp. 13–16. Madrid (España). Ha participado en más de 30
[11] D. Genkin, L. Pachmanov, I. Pipman, and E. Tromer, “Stealing proyectos de investigación, es autor de 9 libros, 9
Keys from PCs Using a Radio: Cheap Electromagnetic Attacks on patentes, más de 150 artı́culos cientı́ficos, más de
Windowed Exponentiation,” Lecture Notes Comput. Sci., vol. 9293, pp. 100 contribuciones a workshops y congresos, ha dirigido 3 tesis doctorales y
207–228, 2015, https://eprint.iacr.org/2015/170.pdf. [Online]. Available: ha ejercido de revisor para diferentes revistas SCI y para muchos congresos
https://eprint.iacr.org/2015/170.pdf internacionales. Sus lı́neas de investigación actuales incluyen la Criptografı́a
[12] M. Hutter and J.-M. Schmidt, “The temperature side channel y el Criptoanálisis de criptosistemas de clave pública (RSA, ElGamal and
and heating fault attacks,” Lecture Notes Comput. Sci., pp. 219– Chor-Rivest), criptosistemas basados en curvas elı́pticas e hiperelı́pticas,
235, 2014, https://eprint.iacr.org/2014/190.pdf. [Online]. Available: Criptografı́a Gráfica, Generadores de números pseudoaleatorios, Esquemas
https://eprint.iacr.org/2014/190.pdf de firma digital, Protocolos de autenticación e identificación, Criptobiometrı́a,
[13] D. Genkin, A. Shamir, and E. Tromer, “RSA Key Extraction via Protocolos de compartición de secretos, ataques por canal lateral y problemas
Low-Bandwidth Acoustic Cryptanalysis,” Lecture Notes Comput. Sci, de la Teorı́a de Números. El Dr. Hernández Encinas es miembro de la
vol. 8616, pp. 444–461, 2014, https://www.cs.tau.ac.il/∼ tromer/papers/ International Association for Cryptologic Research (IACR).
acoustic-20131218.pdf.
73
Dr. Agustı́n Martı́n Muñoz es doctor en Ciencias

Fı́sicas por la Universidad Complutense de Madrid
desde 1995. En la actualidad es investigador en el
Instituto de Tecnologı́as Fı́sicas y de la Información
(ITEFI), del Consejo Superior de Investigaciones
Cientı́ficas (CSIC) en Madrid (España). Comenzó
su labor investigadora dedicado al desarrollo de
métodos numéricos en electromagnetismo para el
estudio de las interacciones entre la radiación elec-
tromagnética, principalmente de radiofrecuencia, y
diferentes entornos como los satélites artificiales o
los tejidos biológicos. En los últimos años ha centrado su interés en el
análisis de posibles vulnerabilidades de los sistemas de identificación por
radiofrecuencia (RFID), y en el estudio de las técnicas de ataque fı́sico a
dispositivos criptográficos. Ha publicado más de 30 artı́culos en revistas inter-
nacionales y presentado más de 60 comunicaciones a congresos nacionales e
internacionales. Asimismo, ha participado en más de 30 proyectos y contratos
de investigación, impartido numerosos cursos y seminarios, y es coautor de
3 patentes. El Dr. Martı́n Muñoz es miembro de la International Association
for Cryptologic Research (IACR).
Dr. Bernardo Alarcos Alcázar recibió su grado de

Doctor Ingeniero de Telecomunicaciones por la Uni-
versidad de Alcalá (España) en 2004 y su Máster en
Ingenierı́a de Telecomunicaciones por la UPM, Uni-
versidad Politécnica de Madrid (España) en 1979.
Desde 1999 ha trabajado en la Universidad de Alcalá
como Profesor Asociado. Su tesis doctoral trataba
sobre una propuesta de arquitectura de seguridad en
Redes Programables. Ha participado en más de 5
proyectos desarrollando actividades relacionadas con
la ciberseguridad. Los últimos proyectos en los que
está trabajando tratan sobre servicios Honeynet usando virtualización. Desde
2010 es miembro del Instituto Universitario de la Investigación en Ciencias
Policiales (IUICP), en el área de Informática forense.
74
V. Gayoso Martínez, L. Hernández Encinas, A. Martín Muñoz, M. Mojica López
Security analysis of the device-stored data

generated by Instant Messaging applications in
Android devices
V. Gayoso Martínez, L. Hernández Encinas, A. Martín Muñoz, and M. Mojica López
Abstract—This research analyses the device-stored data of four 2016. Telegram is an open-source application that implements
popular Instant Messaging applications for Android: WhatsApp a “secret chat” capability that uses end-to-end encryption [6].
Messenger, Telegram, Signal Private Messenger, and Wickr Me. Signal Private Messenger is another open-source application
After identifying the data files generated by each application, we
have focused in the databases that contain chat logs and media that implements end-to-end encryption and puts a strong
files exchanged between users, checking whether these data are emphasis on privacy and security by design [7]. Finally, Wickr
accessible to regular users or if a user with root privileges is Me has its main focus on privacy and security and, despite it
required, determining in both cases if the stored information is being originally closed-source software, it has recently opened
encrypted. In addition to that, this study analyses the security the code for public review (see [8] and [9]).
characteristics of the backup capabilities that these applications
implement. In this research work, we have analysed both the data that
any user can retrieve and the application files that can only
Index Terms—Android, Databases, Encryption, Instant Mes-
be accessed to by users having root privileges. Typically,
saging, Privacy, Signal, Telegram, WhatsApp, Wickr Me
the most sensitive data are located in the storage area that
requires root permission, where applications commonly store
I. I NTRODUCTION their databases and encryption keys. In the Android website
HE usage of mobile Instant Messaging applications,
T typically known as IM apps, has seen a steady increase
in the past few years. This is mainly due to the pervasiveness
for developers, this area is called “internal storage”, while the
area that does not require root permissions is referred to as
“external” storage [10]. Other researchers prefer the terms
of smartphones [1], which enable users to send text messages, “primary” and “secondary” storage [11]. However, in both
pictures, and video/audio files through a data connection. cases there is a risk of confusing those locations with the
Given that IM applications working with Wi-Fi or mobile phone’s internal memory and the storage capabilities provided
data connections eliminate the individual cost associated to by SD cards, so along this paper we will instead use the terms
the Short Message Service (SMS), large numbers of people “root storage” and “user storage”.
around the word have moved to IM services [2], changing Depending on the phone model and the researchers’ needs,
in the process the way people interact and share personal there are different techniques to gain access to the root storage.
information. This type of applications usually manage a lot Since many rootkits (the software whose goal is to enable
of personal data, and thus they have become a main target for access to the protected area) are of unknown origin, it is
third parties willing to obtain confidential information, which necessary to be cautious in order to prevent any unexpected
constitutes an important privacy and security threat for users. modification of the device. Following the approach mentioned
The goal of this contribution is to identify the data generated by Vidas et al. [12], we have used the Android recovery
by IM applications that are stored in Android smartphones, partition for installing the software that allowed us to obtain
analysing how secure they are against potential attackers. More root privileges. A detailed explanation of this process is
specifically, we have chosen four popular IM applications provided in the next sections.
that, in some way, emphasize security: WhatsApp Messenger, In addition to the databases used by the IM applications
Telegram, Signal Private Messenger, and Wickr Me. during their operation, some of these IM services provide
WhatsApp Messenger, one of the most widespread appli- backup utilities in order to enhance their usability, so users can
cations around the world [3], switched to end-to-end encryp- retrieve the conversations lost after replacing their device or
tion [4] and enabled a “Verify Security Codes” utility [5] in reinstalling the IM application. These backups usually include
all the messages exchanged by the user with his/her contacts
This paper was submitted on September 6, 2017. This work has been partly
supported by Ministerio de Economía y Competitividad (Spain) under the and are typically located in the user storage, which constitute a
project TIN2014-55325-C2-1-R (ProCriCiS), and by Comunidad de Madrid privacy threat if the proper files are not encrypted, as they are
(Spain) under the project S2013/ICE-3095-CM (CIBERDINE), cofinanced accessible by other applications and third-parties. Accordingly,
with the European Union FEDER funds.
Victor Gayoso Martínez, Luis Hernández Encinas, Agustín Martín Muñoz this contribution also assesses the security features of the
and Marta Mojica López are with the Department of Information and backup utilities provided by the four IM applications analysed.
Communications Technologies (TIC), Institute of Physical and Informa- Regarding related work, several projects have studied the
tion Technologies (ITEFI), Spanish National Research Council (CSIC), C/
Serrano 144, 28006-Madrid, Spain (emails: {victor.gayoso, luis, agustin, behaviour of IM applications, specially their privacy and
marta.mojica}@iec.csic.es). security aspects. In 2016, ENISA released a report containing a
75
guide on how to assess the privacy of online tools, among them Pictures Photos, WhatsApp Documents, WhatsAp
the IM applications [13]. In comparison, other researches focus Animated Gifs, and WallPaper.
on network analysis and potential communication protocol at- It is possible to find an encrypted copy of msgstore.db
tacks. For instance, Muller et al. [14] studied the vulnerabilities in the user storage at /storage/ emulated/
in relation to the authentication and validation mechanism, 0/WhatsApp/Databases/ in a file with the name
and Scheitle et al. [15] presented an extensive analysis of template msgstore [YYYY-MM-DD.X].db.crypt12.
communications patterns for some popular IM services. More Users can access the backup utility (provided by WhatsApp
similar to our work, Walnycky et al. [11] performed a forensic as part of the application) in order to update periodically this
study on the data sent and stored by twenty IM services, while database and synchronise it on Google Drive. It is possible to
Anglano [16] provided a forensic analysis of the artifacts left choose how often to upload the backup to Google Drive using
on Android devices by WhatsApp Messenger. the setting menu located at the path Settings→Chats→Chat
Compared with the previously existing works, our contri- backup→Google Drive Settings. These backup files are hidden
bution presents a study focused specifically on the security in the Google Drive Dashboard, so users cannot access them
analysis of the device-stored data of the four best known IM directly. However, there are non-official tools (for example the
applications which implement a strong security framework. In one described in [20]) for retrieving the backup databases from
the process, we have partially re-evaluated and updated some Google Drive using the Google account of the user.
of the previous studies with features not taken into account The key used for encrypting these backups is stored in the
by them due to the fact that these popular IM services are root storage at /data/data/com.whatsapp/files/
accustomed to providing frequent updates that include new key. One important detail is that the same key is used
characteristics. In addition to that, we have included in this for every backup. So, in the event of an attacker access-
work an analysis of the security of the backup tools provided ing this key, he/she could decrypt every backup. There
by these applications, a feature which so far has drawn few are several unofficial tools that help to decrypt the backup
attention but could become a source for data leakage affecting files msgstore-[YYYY-MM-DD.X].db.crypt12 using
the user’s privacy. the key stored in the root storage, for instance Omni-key [21]
To this end, Sections II, III, IV, and V describe the main and WhatsApp Viewer [22].
characteristics of WhatsApp Messenger, Telegram, Signal Recently, WhatsApp has added a new feature that allows
Private Messenger, and Wickr Me, respectively. After that, to send by email a chat history. It can be found in the
Section VI provides the detailed results of our evaluation along main view, following the path Settings→Chats→Chat his-
with a comparison of the four applications. Finally, Section tory→Email chat or within a conversation, using the options
VII presents the main conclusions and outlines future research More→Email chat. With that functionality users can send an
work in this area. email to whoever they want, attaching all the media files
exchanged with another user in a specific conversation as well
II. W HATS A PP M ESSENGER as a plaintext file that includes the text of the messages. All
of these files (text and media) are sent unencrypted and no
WhatsApp Messenger is a cross-platform privative IM ap- warning security message is shown before sending the email.
plication with more than one billion users across the world WhatsApp Messenger needs other databases located in
[3]. It provides user-to-user and group chat messaging where /data/data/com.whatsapp/databases/ for its reg-
users can exchange text, images, video, files or voice notes. In ular performance. In that sense, wa.db contains the details of
addition to that, it has also recently added a video call utility the contacts (number, name, status, timestamp, avatar picture,
[17]. The client application is available for mobile devices last connection, and WhatsApp account), with information
(Android, iOS, and Windows Phone) and for computers with retrieved from the phone book of the device and the profile
Windows or Mac operating systems [18]. data from the WhatsApp servers. The most valued element
Its encryption protocol has been designed by Signal de- inside wa.db is wa_contacts, whose main fields are
velopers and uses the elliptic curve Curve25519, AES-256, described in Table I.
and HMAC-SHA256 to exchange keys, encrypt data, and
authenticate messages, respectively [19]. TABLE I
WhatsApp Messenger stores the text messages into S TRUCTURE OF THE TABLE W A_C O N T A C T S
the database msgstore.db, that is located at the Field name Meaning

path /data/data/com.whatsapp/databases/ jid WhatsApp identifier
in the root storage. Neither the file msgstore.db nor is_whatsapp_user It contains 1 for WhatsApp users, 0 otherwise
the text messages inside that database are encrypted. number Phone number associated to the contact
thumb_ts Timestamp when user set current avatar image
Regarding the media files sent or received through status String with the current user’s status
chats, they are located on the user storage and are not display_name Contact’s name displayed on book phone
encrypted. Users can gain access to their media files at status_timestamp Timestamp when user set current status
the following directories which can be found inside the
path /storage/emulated/0/WhatsApp/Media/: Due to the release of the end-to-end encryption feature
WhatsApp Images, WhatsApp Audio, WhatsApp in 2016, the package com.whatsapp contains a database
Voice Notes, WhatsApp Video, WhatsApp Profile called axolotl.db that includes the keys, the data sessions
76
and all the remaining items that are needed by the Signal and /storage/emulated/0/Telegram/, respectively,
encryption protocol used by WhatsApp [23]. As a curiosity, it certainly seems that no chat text messages are stored locally
the motivation behind that name is that axolotl was the first in the device.
designation of the open-source cryptographic protocol that Regarding media files (pictures, video, and
WhatsApp implements since 2016 [24]. audio files) or any other content exchanged by
The most interesting tables in axolotl.db are: the users, they are locally stored unencrypted in
• Table identities: it includes the fields _id, /storage/emulated/0/Telegram/. In comparison,
recipient_id, registration_id, public_ secrets chats are not accesible from other devices: they can
key, private_key, next_prekey_id, and be accessed only from the device where the conversation
timestamp. took place due to the fact that it is an end-to-end encryption
• Table prekeys: it contains the fields _id, where the keys are not shared between the user’s devices.
prekey_id, sent_to_server, and record. Telegram developers claim that they are not planning to
• Table message_base_key: it includes the fields enable a backup utility because unencrypted local backups can
_id, msg_key_remote_jid, msg_key_from_me, put the users’ privacy at risk. Besides, they consider that the
msg_key_id, last_alice_base_key, and users’ cloud messages are immediately accessible from any of
timestamp. their devices [30], limiting the usefulness of backups.
There is another database called chatsettings.db that In spite of that, some independent developers have created
apparently contains user configuration data. However, no sig- ways to make backups of the cloud chats using the Telegram
nificant information has been found in that database. As a API and the Command-line interface for Telegram (CLI) (see
summary, we provide an overview of the WhatsApp Messen- for example [31] and [32]). Following the method devised
ger databases in Table II. by Pezeshki [31] (basically, a Lua script [33]), we were
able to acquire an unencrypted backup of every chat log
TABLE II in CVS format. Before using the Lua script, it is neces-
W HATS A PP DATABASES sary to log into the user’s Telegram account through the
File Content
Telegram CLI with the command bin/telegram-cli -k
wa.db Contacts details <public-server-key>. Figure 1 shows part of the CSV
msgstore.db Chats history backup file obtained during our tests.
axolotl.db Keys and encryption protocol data
chatsettings.db Configuration data
IV. S IGNAL P RIVATE M ESSENGER
Signal Private Messenger or simply “Signal”, formerly
III. T ELEGRAM known as TextSecure, is an open-source IM application that
Telegram is an open-source IM service available for An- provides user-to-user chats and group messaging, where users
droid, iOS, and Windows Phone mobile devices, as well as can exchange text or media files. Signal also offers voice
Windows, Mac, and Linux operating systems [25]. Telegram and video calls, and its Android application has more than
provides user-to-user and group messaging, where not only one million downloads from Google Play [34]. Signal is also
text but also all types of files can be sent. Telegram also available for iOS devices, and in both cases it provides end-
provides voice call capabilities, though that feature was not to-end encrypted chat and call services [7].
available to all the users at the time of writing this article Signal cryptographic protocol uses the elliptic curve
[26]. Its Android version has been downloaded more than 100 Curve25519 to share keys, AES-256 to encrypt data, and
million times from Google Play [27]. HMAC-SHA256 to authenticate messages [35].
Telegram encryption is based on 256-bit symmetric AES en- Signal stores its databases in /data/data/org.
cryption, 2048-bit RSA encryption, and Diffie-Hellman secure thoughtcrime.securesms/databases/. The file
key exchange [28]. canonical_address.db contains the phone numbers of
Telegram defines itself as a cloud service. As its authors the Signal contacts. The file whisper_directory.db
explain in their FAQ website, they store messages, photos, contains the phone numbers of the entire user’s phone book
videos and documents from the user’s cloud chats on their and some additional details if the contact is a Signal user, as
servers [29]. well as a timestamp indicating when the table was updated.
Telegram offers two different chats: Finally, the database messages.db contains the actual
• Cloud Chats that use encryption between the client and messages and chats details. Since messages.db includes
the server and that are stored encrypted in the Telegram several tables with a quantity of valuable data, we describe
Cloud (the default option). its more important tables below:
• Secret Chats that use client-to-client encryption (users • sms: The field body contains the (encrypted) sent and
need to enable the Secret Chat option). received messages, while the field address contains the
In both cases, messages are not recorded in the users’ de- receiver or sender phone numbers. Finally, the field date
vices but in the Telegram servers. After analysing the content stores the timestamps of the messages.
of the application directories in both the root and user storage, • draft: Its field value contains the messages not (yet)
located at /data/data/org.telegram.messenger/ sent in encrypted form.
77
Fig. 1. Example of a Telegram CSV backup file
• mms: This table is associated to the sent or received XML file that does not include media files (only text messages)
media files, where the field date contains the timestamps located at /storage/emulated/0/SignalPlaintext
associated to the sending or reception of the files. Backup.xml at the user storage.
• mms_addresses: This table contains information re-
lated to the senders or receivers of media files (basically, V. W ICKR M E
their phone numbers and internal IDs). Wickr Me Secure Messenger is a privative IM application
• part: This table is also related to the exchanged media that allows single users and groups to exchange text and media
files. While the field ct contains the file format (e.g. im- files. It is available for mobile devices (iOS and Android) and
age/jpeg), the field _data stores the path where the files for computers (Windows, Mac, and Linux) [36]. Currently,
are stored at /data/user/0/org.thoughtcrime. they have more than one million downloads from Google Play
securesms/app_parts/ using the naming conven- [37]. An special feature of this application is that it does not
tion part-<XXXXXXXX>.mms, the field thumbnail use the phone number as the user ID: the user needs to create
includes the path of the picture’s thumbnail, and the field an account and select a text string as ID.
data_size shows the file size in bytes. Its technical specifications mention that Wickr Messaging
• identities: This table contains a key for every chat Protocol encrypts with AES-256 and shares keys with ECDH
and user in the field key. As illustration, a sample key and elliptic curves of 521 bits [38].
is the string BRZ2KIu2MePnqWD+gnSEgYKOlt7IL/ Wickr Me stores data only in the root storage, in
PLvwh7m6jKl4kC. the path /data/data/com.mywickr.wickr2/. The
As it has been previously mentioned, pictures are stored database wickr_db uses a proprietary format, in comparison
encrypted as files with the extension mms at /data/user to the databases of the other analysed applications that use the
/0/org.thoughtcrime.securesms/app_parts/ SQLite format. Due to this reason, we have not been able to
along with a miniature view of each one. At the same time, retrieve data elements from this database.
a copy of these files is stored in the path /data/data/ Both the exchanged media files and text messages are stored
org.thoughtcrime.securesms/app_parts/. Both in encrypted form in the directory /data/data/com.my
locations belong to the root storage, so no picture is recorded wickr.wickr2/files/ with .wic extension, another
on the user storage unless the user selects the option Save to proprietary file format. In addition to the previous information,
storage and acknowledges a warning that informs him/her that the file keyFile seems to contain a unique account key, as
the file will be accessible by other applications. when logging in with different accounts credentials in the same
During our research, we have found a number of files device this file changes, while if we stayed logged in with the
that seem to be linked to the encryption protocol and its same account the file kept unmodified.
keys. On /data/data/org.thoughtcrime.secure The application uses another file, magic.mgc, that seems
sms/files/ the directories prekeys, sessions-v2, to be a SQLite database (the word SQLite appears in its binary
and signed_prekeys can be found. While prekeys and content), but that fails to be opened as such, which seems to
signed_prekeys store a big number of files related to indicate that it has additional proprietary headers. The raw
session keys, the folder sessions-v2 contains a file for inspection of the content of the file also shows that it includes
each contact (they are named after each user internal ID). words such as GPG, Key, and Certificate, so we consider
Apart of that, the directory /data/data/org.thought that this file could have valuable information related to the
crime.securesms/shared_prefs includes three XML encryption protocol.
files: SecureSMS-Preferences, org.thoughtcrime Wickr Me does not provide an option for copying the
.securesms_preferences, and WebViewChromium exchanged media files to the user storage. Apart from that,
Prefs. Those files contain unencrypted user and application it is not possible to copy the text messages to the clipboard,
configuration details, including passphrases, keys, and details neither there is a way to backup the chat logs.
about the encryption method.
Regarding the backup utility, Signal has an option to import VI. R ESULTS
and export plaintext backups, but there is no option to make The information presented in this section was obtained using
an encrypted backup directly. Before exporting the plaintext a computer with an Intel Core i7-2600K at 3.40GHz and a
backup, Signal warns about that fact. This backup is a plaintext rooted mobile phone LG G4. Table III shows the detailed
78
list of the devices, applications, and tools which were needed VII. C ONCLUSIONS
during the study.
In order to gain root privileges on the Android phone, we Given the results obtained, we can conclude that the data
have followed a tutorial published at xda-developers.com [39] exchanged through IM applications are, in most cases, stored
which basically consists in 4 steps: in the phone and thus it can become a privacy threat. Looking
at the comparison provided in Tables IV and V, we can
1) Unlock the bootloader of the LG phone following the state that WhatsApp is the most vulnerable application in that
official guidelines located at developer.lge.com [40]. context, because its exchanged files are accessible at the user
2) Download and copy the SuperSu zip installer file to the storage, and the same can be said about its plaintext backups
phone storage [41]. which do not present any warning to the user during their
3) Boot the phone into recovery mode using the Team generation.
Win Recovery Project (TWRP) custom recovery image In the opposite direction, Wickr Me would be the most
twrp-3.0.2-1-h815.img [42]. secure of the four IM applications analysed in that area, since
4) Use the install utility on TWRP to install the SuperSu its database uses a proprietary format possible encrypted, none
application and reboot the device [43]. of the files or messages are kept stored unencrypted and no
copy or backup option is given to the user. However, its
Tables IV and V summarize the results obtained. Every proprietary file format could be a potential leakage source.
application on Android has a directory within /data/data/
From the point of view of the users, it would be interesting
in the root storage that contains the application’s essen-
that developers clearly inform them about the security features
tial files. Regarding the four analysed applications, the
of their applications and the files kept on their devices after
home directories are com.whatsapp, org.telegram
users stop using their services, as most clients are unaware of
.messenger, org.thoughtcrime.securesms, and
the existence of those files that carry personal information.
com.mywickr.wickr2.
As for future work, due to the quick evolution of this type
In relation to the databases, they are located on /data of applications and the number of updates generated by their
/data/[app.package]/databases/ in the case of developers, it seems reasonable to extend this work including
WhatsApp, Signal, and Wickr Me, and on /data/data/ more IM applications at the same time that the latest security
[app.package]/files/ in the case of Telegram. All of features incorporated by each application are evaluated.
them use the SQLite v3 format, except Wickr Me.
Databases are not encrypted, except possibly the one created
by Wicker Me, which seems to have a proprietary format and R EFERENCES
due to that it cannot be stated if it is actually encrypted. Even
though Signal uses an unencrypted database, it encrypts the [1] Pew Research Center, “Smartphones are more common
in Europe, U.S., less so in developing countries,” 2016,
body of the messages before storing them in the database, http://www.pewglobal.org/2016/02/22/smartphone-ownership-and-
Telegram seems not to include the messages in databases, and internet-usage-continues-to-climb-in-emerging-economies/.
WhatsApp does not encrypt the text of any message. [2] Mobile Ecosystem Forum, “Mobile messaging report 2016,” 2016, http:
//mobileecosystemforum.com/mobile-messaging-report-2016/.
Besides, Signal and Wickr store the pictures in encrypted [3] WhatsApp Inc., “One billion,” 2016, https://blog.WhatsApp.com/616/
form, while Telegram does not store them when using the One-billion.
Secret Chat option. WhatsApp and Telegram (in its default [4] ——, “End-to-end encryption,” 2016, https://blog.WhatsApp.com/
10000618/end-to-end-encryption?
cloud chats) store pictures, videos, audio, and other exchanged [5] ——, “What is the ‘Verify security code’ screen in the contact info
files unencrypted in the user storage. screen?” 2016, https://www.WhatsApp.com/faq/en/general/28030015.
[6] Telegram, “Telegram F.A.Q–Security,” 2017, https://telegram.org/
Regarding the backup utilities, WhatsApp and Sig- faq#security.
nal have implemented that service as part of their offi- [7] Open Whisper Systems, “Privacy that fits in your pocket,” 2016, https:
cial applications. The WhatsApp database backup file is //whispersystems.org/.
msgstore-[YYYY-MM-DD.X].db.crypt12, which is [8] Wickr Inc., “Securely connecting the word,” 2017,
https://www.wickr.com/security/.
located in the user storage and is encrypted. The Signal backup [9] ——, “An implementation of the Wickr secure messaging protocol in
file, SignalPlaintextBackup.xml, is stored in the user C,” 2017, https://github.com/WickrInc/wickr-crypto-c.
storage and is not encrypted. There are non-official tools to [10] Android Open Source Project, “Storage options–Android developers,”
2016, https://developer.Android.com/guide/topics/data/data-
backup the Telegram chats history unencrypted, while Wicker storage.html.
Me does not have any backup utility. [11] D. Walnycky, I. Baggili, A. Marrington, J. Moore, and F. Breitinger,
“Network and device forensic analysis of Android social-messaging
In addition to the previous information, as it has been applications,” Digital Investigation, vol. 14, no. 1, pp. S77–S84, 2015,
explained in Section II, WhatsApp has an option to email http://www.sciencedirect.com/science/article/pii/S1742287615000547.
a plaintext chat history together with the pictures and files [12] T. Vidas, C. Zhang, and N. Christin, “Toward a general collec-
exchanged in that chat session. In that sense, this utility can tion methodology for Android devices,” Digital Investigation, vol. 8,
no. 1, pp. S14–S24, 2011, http://www.sciencedirect.com/science/article/
be considered as a unencrypted backup tool. pii/S1742287611000272.
The messages included in WhatsApp, Telegram or Signal [13] ENISA, “PETs control matrix: A systematic approach for assessing
online privacy tools,” 2016, https://www.enisa.europa.eu/news/enisa-
backups files are unencrypted. The WhatsApp backups are the news/enisas-pets-control-matrix-a-tool-to-evaluate-online-and-mobile-
only ones that include pictures, which are not encrypted. privacy-tools.
79
TABLE III
D EVICES AND TOOLS USED DURING THE STUDY
Device/Tool Use Version

Computer SSH access and analysis of the mobile data Windows 10 Pro
Mobile LG G4 Smartphone where all the IM applications analysed H815 (EU market)
in this work were installed
WhatsApp Messenger IM application 2.17.107 (15.03.17)
Telegram IM application 3.17.1 (26.02.17)
Signal Private Messenger IM application 4.1.0 (23.03.17)
Wickr Me IM application 2.6.4.1 (31.03.16)
Omni-Crypt Application to decrypt WhatsApp backups 3.0.2
DB Browser for SQLite SQLite/DB file viewer 3.8.0
WhatsApp-GD-Extractor Script to extract the WhatsApp backup from Google 1.1
Drive
SSHDroid SSH server for Android to gain access from the 2.1.2
computer
MobaXTerm SSH client with GUI options 9.1
TP-link USB Adapter Access Point manager TL-WN722N v.1.10
TWRP for LG G4 Custom recovery image for Android which allows to 3.0.2-1-h815
install third-party firmware
SuperSU Application that allows to gain root permission 6.9.2
Notepad++ Encoded plain text files reader 2.79
Android Debug Bridge (adb) Application that allows to gain access from a com- 25.0.3 (SDK)
puter to a mobile device through a USB connection
Telegram messenger CLI (tg) Command-line interface for Telegram 1.0
telegram-cli-backup Lua script for backups of Telegram messages into a 0.1
CSV file
Lua Scripting language 5.1
TABLE IV
S UMMARY OF THE RESULTS OBTAINED FOR W HATS A PP AND T ELEGRAM
WhatsApp Telegram
Databases location in the root storage data/data/com.whatsapp/databases/ data/data/org.telegram.messenger/
files/
Databases files msgstore.db cache4.db
wa.db
axolotl.db, chatsettings.db
Are the databases encrypted? No No
If not, are the individual messages No N/A (messages are not included)
encrypted?
Are the pictures encrypted? No No (cloud chat)
N/A (secret chat)
Is there any backup utility? Yes Non-official
Backup database location User storage N/A
Backup database file msgstore.db.crypt12 N/A
Is the backup database encrypted? Yes/No (the database created with backup utility No
is encrypted but the chat log from “Email Chat”
option is unencrypted)
If not, are the messages included en- No No
crypted?
Are the pictures encrypted? No N/A (the backup only includes text, media files
are not stored)
[14] R. Mueller, S. Schrittwieser, P. Fruehwirt, P. Kieseberg, and E. Weippl, //www.WhatsApp.com/download/.

“What’s new with WhatsApp & Co.? Revisiting the security of smart- [19] ——, “WhatsApp encryption overview,” 2017, https:
phone messaging applications,” in Proc. of the 16th International Con- //www.WhatsApp.com/security/WhatsApp-Security-Whitepaper.pdf.
ference on Information Integration and Web-based Applications. New [20] Elite Android Apps, “Allows WhatsApp users on Android to extract
York, NY, USA: ACM, 2014, pp. 142–151, http://doi.acm.org/10.1145/ their backed up WhatsApp data from Google Drive,” 2017, https:
2684200.2684328. //github.com/EliteAndroidApps/WhatsApp-GD-Extractor.
[15] Q. Scheitle, M. Wachs, J. Zirngibl, and G. Carle, “Analyzing locality [21] ——, “Omni-crypt–Android apps on Google Play,” 2017, https://
of mobile messaging traffic using the matador framework,” in Proc. play.google.com/store/apps/details?id=com.omnicrypt/.
Passive and Active Measurement: 17th International Conference-PAM
2016, T. Karagiannis and X. Dimitropoulos, Eds. Heraklion, Greece: [22] A. Mausch, “WhatsApp Viewer,” 2017, http://andreas-mausch.de/
Springer International Publishing, 2016, pp. 190–202, http://dx.doi.org/ WhatsApp-viewer/.
10.1007/978-3-319-30505-9_15. [23] Open Whisper Systems, “WhatsApp’s signal protocol integration is now
[16] C. Anglano, “Forensic analysis of WhatsApp messenger on Android complete,” 2016, https://whispersystems.org/blog/WhatsApp-complete/.
smartphones,” Digital Investigation, vol. 11, no. 3, pp. 201–213, 2014, [24] ——, “Signal on the outside, signal on the inside,” 2016, https://
http://www.sciencedirect.com/science/article/pii/S1742287614000437. whispersystems.org/blog/signal-inside-and-out/.
[17] Google, “Google Play–WhatsApp messenger,” 2017, https: [25] Telegram, “Telegram Messenger,” 2017, https://telegram.org/.
//play.google.com/store/apps/details?id=com.WhatsApp. [26] ——, “Can I make calls via Telegram?” 2017, https://telegram.org/
[18] WhatsApp Inc., “Download WhatsApp,” 2017, https: faq#q-can-i-make-calls-via-telegram.
80
TABLE V
S UMMARY OF THE RESULTS OBTAINED FOR S IGNAL AND W ICKR M E
Signal Wickr Me
Databases location in the root storage data/data/org.thoughtcrime.secure data/data/com.mywickr.wickr2/data
sms/databases/ bases/
Databases files _jobqueue-TextSecureJobs wickr_db.wic
canonical_address.db
whisper_directory.db
messages.db
Are the databases encrypted? No Probably (proprietary format)
If not, are the individual messages Yes N/A
encrypted?
Are the pictures encrypted? Yes Probably (proprietary format)
Is there any backup utility? Yes No
Backup database location User storage N/A
Backup database file SignalPlaintextBackup.xml N/A
Is the backup database encrypted? No N/A
If not, are the messages included en- No N/A
crypted?
Are the pictures encrypted? N/A (the backup only includes text, media files N/A
are not stored)
[27] Google, “Google Play–Telegram,” 2017, https://play.google.com/store/ Víctor Gayoso Martínez was born in Madrid
apps/details?id=org.telegram.messenger. (Spain) in 1975. He obtained his Degree in Telecom-
[28] Telegram, “Telegram F.A.Q–So how do you encrypt data?” 2017, https: munication Engineering from the Polytechnic Uni-
//telegram.org/faq#q-so-how-do-you-encrypt-data. versity of Madrid in 2002, and his Ph.D. in Telecom-
[29] ——, “Telegram Privacy Policy,” 2017, https://telegram.org/ munication Engineering at the same university in
privacy#cloud-chats. 2010. Since 1998, he has been working in topics
[30] ——, “Telegram F.A.Q–Why not just make all chats secret?” 2017, related to smart cards, Java technology, and public
https://telegram.org/faq#q-why-not-just-make-all-chats-secret. key cryptography in private companies, universities,
[31] S. Pezeshki, “A simple Lua script to backup Telegram messages into and public research institutions. He has published
a CSV or SQLite database,” 2016, https://github.com/psamim/telegram- more than 20 papers in international journals and
cli-backup. delivered more than 30 contributions to international
[32] H. Kranen, “HOW TO backup your Telegram chats if you don’t conferences. He is currently working at the Department of Information
fear the terminal,” 2014, https://www.haykranen.nl/2014/12/02/howto- Processing and Cryptography (TIC) located at the Institute of Physical and
backup-your-telegram-chats/. Information Technologies (ITEFI), which belongs to the Spanish National
[33] Lua, “The programming language Lua,” 2017, https://www.lua.org/. Research Council (CSIC).
[34] Google, “Google Play–Signal private messenger,” 2017, https://
play.google.com/store/apps/details?id=org.thoughtcrime.securesms.
[35] Open Whisper Systems, “Is it private? Can I trust it?” 2016,
https://support.whispersystems.org/hc/en-us/articles/212477768-Is-it-
private-Can-I-trust-it-.
[36] Wickr Inc., “Wickr–Personal,” 2017, https://www.wickr.com/
personal#medownload.
[37] Google, “Google Play–Wickr me,” 2017, https://play.google.com/store/
apps/details?id=com.mywickr.wickr2.
[38] Wickr Inc., “Wickr messaging protocol,” 2017, https://www.wickr.com/
security.
[39] BFruchtfliege, “[HOWTO] [LG G4] [H815] get unlock+TWRP+root in Luis Hernández Encinas was born in Navalmoral
1 Thread,” 2015, https://forum.xda-developers.com/g4/general/howto- de la Mata (Cáceres, Spain) in 1957. He is a re-
unlock-twrp-root-1-thread-t3130538. searcher at the Department of Information Process-
[40] LG Electronics, “How to unlock the Bootloader,” 2016, http:// ing and Cryptography (TIC) at the Institute of Phys-
developer.lge.com/resource/mobile/RetrieveBootloader.dev. ical and Information Technologies (ITEFI), Span-
[41] Coding Code Mobile Technology, “Supersu,” 2016, http: ish National Research Council (CSIC) in Madrid
//www.supersu.com/. (Spain). He obtained his Ph.D. in Mathematics at
[42] Team Win LLC, “TWRP for h815,” 2016, https://dl.twrp.me/h815/. the University of Salamanca (Spain) in 1992. He has
[43] Naldo Tech, “How To Root LG G4 (H815) Using SuperSU,” 2016, participated in more than 30 research projects. He is
http://www.naldotech.com/how-to-root-lg-g4-h815-using-supersu/. author of 9 books, 9 patents, more than 150 papers,
and more than 100 contributions to workshops and
conferences. He has delivered more than 50 seminars and lectures and belongs
to several international Committees about Cybersecurity. His current research
interests include Cryptography and Cryptanalysis of public key cryptosystems,
Graphic Cryptography, Pseudorandom number generators, Digital signature
schemes, Authentication and Identification protocols, Crypto-Biometry, Secret
sharing protocols, Side channel attacks, and Number Theory problems. For
more details, please visit http://www.itefi.csic.es/en/staff/hernandez-luis.
81
Agustín Martín Muñoz was born in 1965 in Madrid

(Spain). He obtained his Graduate in Physics at the
Complutense University of Madrid (Spain) in 1988,
and his Ph.D. in Physics at the same university in
1995. He is currently a researcher at the Depart-
ment of Information Processing and Cryptography
(TIC) of the Institute of Physical and Information
Technologies (ITEFI), Spanish National Research
Council (CSIC), in Madrid. He started his research
career dealing with the development of numerical
methods in electromagnetics to study the interaction
of electromagnetic radiation, especially in the radiofrequency range, with
different objects as satellites or biological tissues. His latest research interests
are focused on the analysis of possible vulnerabilities of radiofrequency
identification systems (RFID) and the study of techniques of physical attacks
to cryptographic devices. He has published more than 30 research papers in
international scientific journals and is co-author of a book and more than 60
contributions to peer reviewed workshops and conferences. He has participated
in more than 30 research projects and contracts, has taught several courses
and seminars, and is co-author of 3 patents. Dr. Martin Muñoz is member of
the International Association for Cryptologic Research (IACR).
Marta Mojica López was born in Tenerife (Spain)

in 1989. She obtained her Advanced Vocational
Educational and Training Certificate in Networked
Computer Systems Administration certified by the
Spanish Ministry of Education in 2015. Since 2013
she has been working with different technologies
like Pandora Monitoring Systems, Pentaho Business
Intelligence, Ushahidi Crowdsourcing Tool, and oth-
ers open-source applications. She has lately oriented
her research towards privacy and security analysis
for Android applications. She is currently working at
the Institute of Physical and Information Technologies (ITEFI), which belongs
to the Spanish National Research Council (CSIC).
82
Cintia V. Gioia, Jorge E. Eterovic, Aldo S. Igarza
Proposal of a non-invasive universal data audit

methodology
Cintia V. Gioia 1 – Jorge E. Eterovic 2 – Aldo S. Igarza 3
 situación crecen los casos de delitos informáticos asociados y

Abstract—Database audits became a necessary control, whose la necesidad de además de administrar los permisos y
difficulty is compounded by the increasing complexity and autorizaciones sobre los datos aplicar mecanismos
variety of new database technologies and unmanageable volumes
complementarios de auditorias para la obtención de
of data. Security threats increase exponentially, with new risks
appearing and existing ones increasing. This paper psroposes a trazabilidad de operaciones que sirvan como evidencia para la
Non-Invasive Data Universal Audit Methodology to audit detección de acciones maliciosas o potenciales riesgos.
relational databases in a general, simplified, reliable and
centralized manner without affecting their operations, in order to Gran parte de esta información crucial para la
obtain information on the execution of critical operations on organización está compuesta por datos personales de terceros
sensitive data stored in heterogeneous and cross-platform nacionales o internacionales, que por una u otra razón forman
relational database engines, providing the ability to perform both parte de las bases de datos. Por tal motivo es necesario
operations follow-up that shows the existence of potential risks to
facilitar la puesta en práctica y el cumplimiento de leyes de
prevent and alert intrusions such as detection of improper access
and malicious alterations, in order to protect the confidentiality, protección de datos personales tanto nacionales [5] [6] [7]
integrity and availability of protected information and to help como internacionales [8] [9] [10] [11] [12] [13].
comply with national and international laws on privacy and
protection of personal data in force, allowing you to know who is El crecimiento de las transacciones electrónicas y vía
doing, what is doing, which data, when and where. Internet, así como el auge de los servicios de base de datos en
la nube, incrementa la necesidad de proteger los accesos de
Index Terms—Audit Methodology, Database Information red y remotos a la información, haciendo que la labor del
Audit, Information Security, Relational Database Management aseguramiento de la información en las bases de datos sea
Systems
cada vez más exigente y especializada.
I. INTRODUCCIÓN Con la nueva normativa de protección de datos de la
Unión Europea Reglamento (UE) 2016/679 [10] [13], que
L AS organizaciones se encuentran continuamente
expuestas a amenazas internas y externas de seguridad
sobre sus datos. Los datos de los sistemas de información son
regirá a partir de 2018, todas las empresas están obligadas a
comunicar las brechas de seguridad que pudieran producirse,
el activo más importante para la consecución de los objetivos por lo que deberán extraer información constante sobre los
y continuidad de las organizaciones. El hecho de que esos intentos de intrusión y los accesos no autorizados y
datos y sus operaciones sean manipulados por seres humanos notificarlos en el plazo correspondiente. También será
directamente, a través de una variedad de aplicaciones o obligatorio comunicar los detalles del fallo a las personas
servicios les agrega un componente de error, voluntario o no, cuyos datos hayan podido verse afectados. Esta ley no sólo es
que implica un riesgo para la organización. de aplicación para todas las empresas europeas, sino también
En la actualidad la tecnología brinda la posibilidad de para aquellas empresas internacionales que gestionen datos de
recopilar y almacenar gran cantidad de información en base de usuarios residentes en la Unión Europea, por lo que deberán
datos y recuperarla en segundos sin mayor esfuerzo. Ante esta contar para tal efecto con un responsable visible en Europa.
En general las organizaciones almacenan y administran
1
Esp. Ing. C. V. Gioia, Ingeniera en Informática (UNLaM), Especialista en sus datos en Base Datos. Los Sistemas de Gestión de Base de
Criptografía y Seguridad Teleinformática (EST, Escuela Superior Técnica del Datos (SGBD) permiten el almacenamiento, manipulación y
Ejército Argentino), Buenos Aires, Argentina (e-mail: cgioia@unlam.edu.ar).
2
Mg. Ing. J. E. Eterovic, Ingeniero en Mecánica (UTN, Universidad consulta de los datos que resguardan. Existe el riesgo
Tecnológica Nacional), Especialista en Criptografía y Seguridad potencial que un usuario con permisos de acceso a una tabla
Teleinformática (EST, Escuela Superior Técnica del Ejército Argentino). puede acceder a ella dentro o por fuera de la aplicación sin ser
MBA en Dirección de Sistemas de Información (Universidad del Salvador),
Director de la carrera de Ingeniería Mecánica (UNLaM), Buenos Aires, descubierto y realizar acciones maliciosas sobre los datos
Argentina (email: eterovic@unlam.edu.ar). pudiendo alterar la integridad o disponibilidad de los mismos
3
Ing. A. S. Igarza, Ingeniero en Informática (UNLaM), Director del Centro según los permisos que posea, como también acceder a
de Registraciones Académicas de la Universidad Nacional de la Matanza
(UNLAM), Coordinador de la Carrera Ingeniería en Informática (UNLaM), información sensible o confidencial que por ley deben ser
Buenos Aires, Argentina (e-mail: asigarza@unlam.edu.ar). objeto de privacidad. Prevenir, evitar y restringir los riesgos de
83
acceder o manipular información sensible se convierte en una privacidad y protección de datos personales vigentes,
responsabilidad y un reto profesional difícil de llevar a cabo permitiendo conocer quién está haciendo, qué está haciendo,
para aquellos que trabajan cotidianamente como sobre cuál dato, cuándo y desde donde [5] [8].
Administradores de Seguridad de Bases de Datos a los cuales
En resumen se plantea dicha metodología como base para
les interesa garantizar la integridad, confidencialidad,
el diseño de una Infraestructura de Auditoria Universal de
disponibilidad y fiabilidad de la información [1].
Base de Datos - IAUDB (“Universal Audit Infrastructure Data
Se desprende entonces la necesidad de realizar Auditorias Base”) que unifica y garantiza la confiabilidad de todas las
Informáticas sobre las bases de datos [2] para poder analizar y actividades de un Auditor de Base de Datos, basada en la
aplicar controles de las actividades de los usuarios sobre los información segura recolectada a partir de Auditorías
datos y obtener la trazabilidad y evidencia de las mismas, Universales multiplataformas y aplicables a SGBD relacional,
tanto para detectar como para prevenir futuras acciones de manera de posibilitar realizar una investigación que se
maliciosas según patrones de comportamiento que pudieran pueda centrar en el análisis de evidencia digital obtenida y no
evidenciar potenciales riesgos. La implantación de estos en los retos tecnológicos o limitaciones individuales de cada
controles posibilita obtener mejoras continuas en la seguridad tipo de motor de base de datos.
de las bases, ya que permiten ajustar tanto de forma preventiva
como reactiva la seguridad de las bases de datos. El resultado II. MARCO NORMATIVO
de las auditorias permite analizar los distintos tipos de La Metodología de Auditoria Universal de Datos No
debilidades que pudieran existir en la configuración de Invasiva posibilita que los Auditores de Base de Datos puedan
seguridad de los SGBD, y a través de la evaluación de las validar el cumplimiento de diferentes normas y legislaciones,
vulnerabilidades y las potenciales amenazas determinar la principalmente en lo que se refiere a materia de protección de
exposición a los riesgos. datos personales, normas y estándares relacionadas con la
Considerando que existe diversidad de bases de datos seguridad de la información y su gestión en cada organización,
implementadas sobre diferentes sistemas gestores de base de así como apoyar la gestión de los riesgos para asegurar la
datos, los cuales a la vez se pueden instalar en diversos confidencialidad, integridad y disponibilidad de la
sistemas operativos y plataformas, incluso dentro de una información. La metodología es adaptable a las diferentes
misma organización, esto requiere disponer de tiempo y de legislaciones de protección de datos personales de los
personal calificado y especializado en cada tecnología diferentes países donde se pueda implementar, como también
involucrada. Esto sumado a que la ejecución de soluciones de a las medidas o necesidades específicas de seguridad de la
auditorias propietarias de cada tipo de SGBD en general información de las organizaciones según las normas o
afectan el rendimiento de las mismas, lo que termina estándares de seguridad en las que se basen la implementación
provocando en muchas ocasiones la desactivación de las de su Sistema de Gestión de Seguridad de la Información
mismas por parte de los mismos Administradores de Base de (SGSI) y la gestión de riesgos asociados.
Datos con el fin de no afectar la operatoria de los sistemas A. Normativas de Protección de Datos Personales en la
asociados [3]. República Argentina
Frente a este escenario surge la necesidad de contar con En la República Argentina se aplica la Ley 25.326 de
una metodología de auditoria de datos independiente de la Protección de Datos Personales (Ley de Habeas Data) [5],
plataforma o tipo de SGBD que unifique y simplifique los Decreto 1558/2001[6], Decreto 1.160/2010 [7] y las
mecanismos de control de las diferentes acciones realizadas Disposiciones DNPDP (Dirección Nacional de Protección de
sin afectar la operatoria de los sistemas asociados. Datos Personales, órgano descentralizado del Ministerio de
Justicia y Derechos Humanos de la Nación).
El presente trabajo propone una Metodología de Auditoria
Universal de Datos No Invasiva para auditar base de datos Considerando el importante papel que las bases de datos
relacionales [4], de forma general, simplificada, confiable y desempeñan en el mundo tecnológico, surge el derecho de las
centralizada sin afectar la operatoria de las mismas, con la personas a protegerse frente a la intromisión de los demás. El
finalidad de obtener información de la ejecución de régimen de protección de los datos personales permite que las
operaciones críticas sobre datos sensibles almacenados en personas ejerzan su legítimo poder de disposición y control
motores de base de datos relacionales heterogéneos y sobre los datos de carácter personal referidos a su persona que
multiplataforma, brindando la capacidad de realizar tanto se encuentran registrados en base de datos de terceros. Los
seguimientos de operaciones que evidencien la existencia de ciudadanos tienen la facultad de consentir la recolección,
riesgos potenciales para prevenir y alertar intrusiones como la obtención y el acceso a los datos personales, su posterior
detección de accesos indebidos y alteraciones maliciosas, con almacenamiento y tratamiento, así como su uso o usos
el fin de proteger la confidencialidad, integridad y posibles por un tercero, sea el Estado o un particular. Y este
disponibilidad de la información resguardada y ayudar a derecho a consentir el conocimiento y tratamiento de sus datos
cumplir con las leyes nacionales e internacionales sobre personales les da la facultad de saber en todo momento quién
dispone de sus datos personales y a qué uso los está
84
sometiendo, y, por otro lado, el poder oponerse a esa posesión manejo de información creado por ISACA (“Information
y usos. Systems Audit and Control Association”) y el ITGI (“IT
Governance Institute”) en 1992. Incluye un marco de
B. Normativas de Protección de Datos Personales
referencia para la información y la tecnología. COBIT 5
Internacionales
es la última edición mundialmente aceptado [17].
A nivel internacional rigen leyes de protección de 2) MAGERIT versión 3 (Método de Análisis y GEstión del
integridad y confidencialidad de los datos como ser: RIesgo del MinisTerio de Administraciones Públicas), es
1) La Ley Orgánica 15/1999 de Protección de Datos de el método de análisis y gestión del riesgo definido por la
Carácter Personal – LOPD, de España [8]. Administración Pública Española, elaborada por el
2) El Real Decreto 1720/2007, de 21 de diciembre de Consejo Superior de Administración Electrónica.
desarrollo de la Ley Orgánica de Protección de Datos. Se Actualizada en 2012 en su versión 3 [18].
trata de un desarrollo de la Ley Orgánica 15/99 de
Protección de Datos de 13 de diciembre; desarrolla tanto III. OBJETIVOS GENERALES
los principios de la ley, como las medidas de seguridad a Los objetivos generales de la Metodología de Auditoria
aplicar en los sistemas de información. [9]. Universal de Datos No Invasiva son:
3) Reglamento (UE) 2016/679 Del Parlamento Europeo y
1) Contar con los mecanismos adecuados para la evaluación
del Consejo de 27 de abril de 2016. Relativo a la
del cumplimiento de las leyes de protección de datos
protección de las personas físicas en lo que respecta al
personales nacionales e internaciones, tanto para personal
tratamiento de datos personales y a la libre circulación de
técnico como para auditores que no posean un alto nivel
estos datos y por el que se deroga la Directiva 95/46/CE
de conocimiento de cada una de las diferentes bases de
(Reglamento general de protección de datos). Las nuevas
datos y las plataformas donde se implementen,
reglas europeas en materia de protección de datos
permitiendo conocer y analizar el detalle de los accesos
pretenden devolver a los ciudadanos el control de sus
de lecturas y modificaciones sobre los datos sensibles.
datos personales y garantizar en toda la UE unos
2) Disponer de herramientas eficientes de auditoria que
estándares de protección elevados y adaptados al entorno
permitan incrementar la seguridad de la información
digital. También incluye nuevas normas mínimas sobre el
almacenada, incluyendo facilidades de análisis histórico
uso de datos para fines judiciales y policiales [10] [13].
sobre las operaciones sobre los datos, detección de
4) Sarbanes-Oxley 2002, Pub. L. No. 107-204, 116 Stat. 745
fraudes y sistemas de alertas temprana, para la prevención
(30 de julio de 2002) de los EE. UU. Ley de Reforma de
o respuesta rápida, incluso desatendida (autoprotección)
la Contabilidad Pública de Empresas y de Protección al
ante un intento de ataque.
Inversionista. (SOx) [11].
3) Brindar soporte al cumplimiento de requerimientos de la
5) Acuerdos de Basilea de Suiza, de aplicación a la industria
norma de seguridad IRAM-ISO/IEC 27001 aplicables a la
bancaria y financiera mundial, la 21 CFR parte 11 de
auditoria de datos sobre motores de base de datos [14].
Administración de Medicamentos y Alimentos – FDA
4) Facilitar la gestión y detección de los riesgos de la
(“Food and Drug Administration”) de los EE. UU. [12].
seguridad de la información en SGBD relacionales dando
C. Estándares ISO soporte a la aplicación de una metodología de
La familia ISO/IEC 27000 es el grupo de estándares administración de riesgos bajo normas como la ISO/IEC
emitida por la Organización Internacional de Normalización 27005:2011 [15] o MAGERIT v3 [18] o similares.
(ISO), dedicado a la definición de los SGSI. 5) Facilitar el proceso de evaluación de la eficacia del SGSI
[16] sobre la seguridad de los datos almacenados en
1) ISO/IEC 27001:2013: Describe cómo gestionar la SGBD relacionales bajo normas como ISO/IEC 27006.
seguridad de la información en una empresa. La revisión
más reciente fue publicada en 2013. Puede ser IV. METODOLOGÍA DE AUDITORIA UNIVERSAL DE DATOS NO
implementada en cualquier tipo de organización. [14]. INVASIVA
2) ISO/IEC 27005:2011: Suministra las directrices para la
La metodología planteada se basa en la configuración y
gestión de riesgos de seguridad de la información,
ejecución de Auditorias de Datos Universales sobre cualquier
aplicable a todo tipo de organizaciones, apoyando los
motor de bases de datos relacional independientemente de la
requisitos del sistema de gestión de seguridad de la
información definidos en ISO/IEC 27001. [15]. plataforma o sistema operativo donde se implementen.
3) ISO/IEC 27006 e ISO 19011: Facilita el proceso de Las auditorias de datos posibilitan obtener la evidencia de
evaluación de la eficacia del SGSI, de forma que la las operaciones y actividades que los usuarios o aplicaciones
evolución y la mejora continua del SGSI agregue valor a realizan sobre los datos que se consideran sensibles o críticos
la implementación y a la organización en general [16]. para luego revisar y aplicar controles sobre las actividades de
D. Guías y Buenas Prácticas los usuarios sobre los datos y detectar o prevenir futuras
acciones maliciosas. Deben basarse en las políticas de
1) COBIT (“Control Objetives for Information and related
Technology”) es un conjunto de buenas prácticas para el seguridad de la información de la organización.
85
A continuación se describen las etapas en las que se C. Configuración y Ejecución de Auditorias

fundamenta la metodología planteada. La configuración de auditoría de datos se basa en una
A. Relevamiento y Diagnóstico combinación de selección de los tipos de auditorias a utilizar,
los filtros de auditorias a aplicar, los filtros de almacenamiento
Si bien el presente trabajo se enfoca en auditorias de
de la información auditada a aplicar, la elección del
datos, propiamente en motores de base de datos relacionales,
mecanismo de almacenamiento seguro de la información
se entiende que cualquier estrategia de seguridad debe ser
auditada y la elección del nivel de protección de visualización
integral. Por tal motivo, el objetivo de la etapa de
de la información auditada.
relevamiento permite analizar la administración de seguridad
de la información implantada y detectar qué información es D. Análisis de Información Auditada y Retroalimentación
más vulnerable en el contexto de la organización pudiendo Con la evidencia recolectada por las auditorias se puede
reforzar aún más las auditorias de datos asociadas a las conocer, analizar y controlar las actividades de los usuarios
mismas en los casos de mayor riesgo. tanto para detectar acciones maliciosas que pueden afectar la
Las actividades generales de la etapa de relevamiento son: confidencialidad, integridad o disponibilidad de la
información, como para prevenir las mismas a futuro.
1) Clasificar la información crítica o sensible. Además, las ejecuciones de las auditorias de datos
2) Disponer y conocer las políticas y procedimientos de retroalimentan a la estrategia de seguridad aplicada al motor
seguridad existentes. de base de datos al detectar riesgos potenciales, por ejemplo, a
3) Relevar la infraestructura tecnológica general, los los que se expone ante el otorgamiento de determinados
servidores y motores de base de datos donde se permisos a usuarios o aplicaciones.
almacenan los datos a auditar, sistemas o aplicaciones que
las acceden. Conocer la seguridad general implantada en V. CONFIGURACIÓN DE AUDITORIAS DE DATOS
la infraestructura.
4) Relevar la estrategia de seguridad implantada en los A. Tipos de Auditorias
SGBD y en las bases de datos en si, incluso las políticas A continuación, se detallan los diferentes tipos de
de resguardo y planes de contingencia asociados. auditorias consideradas en la metodología y su finalidad.
5) Obtener información de las tablas que contengan la
1) Auditoria a nivel de operaciones de actualización
información crítica a auditar. Analizar los campos con
Auditar las diferentes operaciones de actualización de
información sensible y relaciones con otras tablas. Incluso
datos sobre una tabla, sea inserción, modificación y/o
investigar si existen algún tipo de replicación de la
eliminación de registros. Se registran como evidencia de
información crítica a auditar.
las auditorias las operaciones realizadas.
6) Determinar claramente qué sistemas acceden y manipulan
2) Auditoria a nivel de modificación de datos
la información sensible y de qué forman gestionan la
Auditar los cambios a nivel de modificación de datos
información y el acceso a la misma.
causados por la ejecución de operaciones de actualización
B. Análisis de Riesgos de la Información de datos de registros. Se registran como evidencia de las
Las auditorias de datos no deben afectar la eficiencia de auditorias el contenido afectado, el cual varía según el
los Sistemas Informáticos asociados, de manera de evitar tipo de operación asociada. En sentencias de inserción de
que por temas de disponibilidad o rendimiento las datos se resguardan los valores nuevos de los campos a
auditorias no se ejecuten. Por tal motivo, al configurar las auditar, en sentencias de actualización se resguardan los
auditorias necesarias se deben evaluar los riesgos valores anteriores y nuevos de los campos a auditar y en
potenciales sobre los datos sensibles y configurar las sentencias de eliminación se resguardan los valores de los
auditorias de manera de orientarlas realmente donde existe campos a auditar al momento de eliminar el registro. La
la amenaza para mantener el equilibrio adecuado entre la auditoria registra la evolución de los datos en la tabla
necesidad de resguardar la seguridad de la información y la auditando los registros nuevos, eliminados y modificados,
operatoria de los sistemas. manteniendo un historial de cambios sobre todos o
algunos de los campos de la tabla, según la criticidad.
El relevamiento y análisis de la información de la 3) Auditoria a nivel de estructuras de datos
infraestructura posibilita armar una matriz de riesgos Auditar los cambios de estructuras que afecten al formato
potenciales, donde se relacionan los riesgos a los que se de las tablas con información sensible, los cuales podrían
expone la información en relación no solo los tipos de causar una alteración directa o indirecta del contenido de
SGBD a auditar sino en relación con la infraestructura en las mismas. Incluso pueden afectar a la ejecución de las
general en sí y de la seguridad de la información en propias auditorias de datos.
general dentro del SGSI. Disponer de la matriz de riesgos a 4) Auditoria a nivel de operaciones de lectura de datos
los que se expone la información es la base para el diseño Auditar operaciones de lecturas en determinadas tablas o
de la estrategia de auditoria de datos a implementar. columnas, sin alcanzar el nivel de datos por registro, es
decir, se almacena solo la consulta asociada.
86
5) Auditoria a nivel de lectura de contenidos específicos horarios, fechas y/o duración de transacciones.
Auditar los datos leídos en determinadas tablas o
C. Filtros de almacenamiento de Información Auditada
columnas junto con la operación de lectura realizada.
6) Auditoria de información de contexto Se pueden aplicar filtros aplicados al nivel de
Auditar la información de contexto de las operaciones almacenamiento de la información auditada, de manera de
realizadas sobre las tablas: usuario de la base de datos y/o configurar el grado de la información a almacenar, y así evitar
del sistema operativo que ejecutó la operación, datos del resguardar registros completos de datos que sean innecesarios
origen de la conexión desde la cual se disparó la acción, a fines de las auditorias en sí, almacenando solo aquellos
duración de la transacción, fecha y hora de inicio y fin de campos identificatorios del registro y los campos sensibles a
la misma, aplicación de donde se realizó la operación. auditar o incluso solo las operaciones asociadas.
7) Auditoria de intentos fallidos de operaciones D. Almacenamiento Seguro de la Información Auditada
Auditar los intentos fallidos de operaciones de lecturas o
Es importante establecer el tipo de protección a aplicar a
modificaciones por falta de permisos, lo cual evidencia un
la información auditada en el almacenamiento de la misma,
comportamiento que debiera ser observado y tratado
considerando que la información es sensible tanto en su
según la política de seguridad de la organización.
almacenamiento original, como también en los registros de
B. Filtros de auditoria auditorias en si.
Las auditorias pueden producir cantidades copiosas de
La protección de los datos permite cumplir con
información, en especial las que auditan a nivel de contenidos
normativas y regulaciones relacionadas con la privacidad de
u operaciones de lecturas. Al momento de configurarlas se
los datos y con regulaciones específicas de determinados
debe buscar un compromiso entre auditar demasiados datos
sectores (financiero, salud, telecomunicaciones, etc.) o datos
que resulten onerosos de clasificar y agoten los recursos del
críticos para la organización en la propia solución. En los
sistema o auditar pocos datos causando la pérdida de registro
casos de información muy sensible donde se requiera un nivel
de eventos importantes. La metodología considera configurar
de protección adicional sobre el almacenamiento universal de
filtros de auditorias que permitan focalizar las auditorias en
datos se pueden implementar los siguientes métodos:
acciones que se consideran críticas sobre los datos sensibles,
según el contexto y los riesgos a los que están expuestos. Los 1) Cifrado de Datos
diferentes filtros detallados pueden combinarse según la Es posible cifrar los datos sensibles auditados en el
necesidad de auditoria a aplicar en las tablas sensibles. almacenamiento universal o los archivos de reportes de
auditoria utilizando los algoritmos de cifrados más seguros.
1) Filtros a nivel de operaciones de actualización 2) Firma Digital de Reportes de Auditorias
Para configurar auditar operaciones de inserción, Posibilita aplicar procesos de firma digital a los reportes de
modificación y/o de eliminación sobre tablas sensibles. auditorias o de notificaciones que se envíen por mail o se
2) Filtros a nivel de operaciones de lecturas
resguarden como archivos para garantizar la autenticidad,
Para configurar auditar operaciones de lecturas sobre
autoría e integridad de los mensajes de mail y de los
tablas sensibles.
documentos electrónicos.
3) Filtros a nivel de registros de datos
Permiten configurar auditar todos los registros de una E. Protección de Visualización de la Información Auditada
tabla sensible o los registros que cumplan con ciertos Considerando que los resultados de las auditorias se
criterios de selección sobre uno o varios campos sensibles pueden visualizar tanto en módulos del sistema como en
(tanto sobre los valores actuales y/o anteriores). reportes emitidos por el mismo, los niveles de protección de
4) Filtros a nivel de columnas de datos visualización son los siguientes:
Para configurar si se auditan todas las columnas de la
tabla o determinadas columnas según se cumpla una 1) Autorización de Visualización
condición sobre las mismas u otras columnas asociadas Permite configurar si determinada información auditada
(tanto sobre los valores actuales y/o anteriores). se visualizará o no en el sistema de auditoria y/o en los
5) Filtros a nivel de cambios de estructuras reportes por defecto o solo se visualizará para
Para configurar auditar determinadas operaciones de determinados usuarios o perfiles que se indiquen de forma
cambios de estructuras sobre tablas sensibles. explícita o según el nivel de privilegios de los usuarios.
6) Filtros a nivel de información de contexto 2) Visualización con Enmascaramiento
Permiten configurar auditorias a partir de la información Brinda la posibilidad de indicar que un determinado dato
de contexto de las operaciones a auditar. Se pueden
auditado se visualice con enmascaramiento por defecto y
aplicar filtros a nivel de usuarios (para auditar acciones de
que solo sea visible en texto claro para determinados
determinados usuarios o grupo de usuarios de la base de
usuarios o perfiles que así lo requieran o según el nivel de
datos y/o del sistema operativo), filtros a nivel de
privilegios de los usuarios. Se permite configurar el tipo
información de orígenes de conexiones o filtros basados
de enmascaramiento a aplicar al campo.
en auditar acciones ejecutadas en un rango de días,
87
3) Visualización con Enriquecimiento Posee una arquitectura escalable y tolerante a fallas que
Los diferentes nombres de campos de las tablas auditadas proporciona alta disponibilidad de componentes.
pueden ser visualizados con una descripción que
La arquitectura d IAUDB ofrece diferentes esquemas de
clarifique el contenido del campo. También pueden
despliegue, dando flexibilidad y adaptabilidad a la solución a
aplicarse transformaciones de visualización al contenido
implementar.
de los datos en tiempo real ya sea con finalidades de
protección, como de esclarecimiento del contenido. A. Módulos de IAUDB
A continuación, se detallan los módulos que forman parte
VI. REQUERIMIENTOS DE IMPLEMENTACIÓN DE LA de la arquitectura de IAUDB:
METODOLOGÍA DE AUDITORIA UNIVERSAL DE DATOS NO
INVASIVA 1) Módulo de Configuración de Auditorias
Se encarga de la administración, configuración,
Toda solución que requiera basarse en la metodología
seguimiento y control centralizado de las auditorias con
debe:
un alto nivel de abstracción sobre las diferentes
1) Garantizar la auditoria a nivel de datos y operaciones en plataformas y tipos de bases de datos auditadas. Posibilita
la diversidad de plataformas y SGBD relacionales la configuración de auditorias sobre tablas de diferentes
empleados en las organizaciones. servidores desde una consola principal. Permite
2) Configurar las auditorias de forma universal e configurar los tipos de auditorias, los filtros de auditorias,
independiente del tipo de base de datos relacional, que le los filtros de almacenamiento, los mecanismos de
permita al Auditor configurar las mismas sin necesidad de protección de la información auditada y la protección de
poseer conocimientos técnicos SGBD y así focalizarse en visualización de las mismas. Posee también la capacidad
las políticas de seguridad y en los riesgos detectados. de almacenar el historial de configuraciones en el tiempo
3) Asegurar que las auditorias detecten toda acción sobre los y los usuarios involucrados. Posibilita la configuración de
datos auditados independientemente de donde se ejecuten. alertas y validación de políticas en tiempo real.
4) Evitar la necesidad de modificar las bases de datos a
auditar para obtener pistas de auditorias. 2) Módulo de Ejecución y Seguimiento de Auditorias
5) Disponer de registros de los cambios realizados a los Se encarga de administrar la ejecución de las auditorias y
datos a auditar, registrando por quién, cuándo, desde de la visualización del estado de las mismas. En este
dónde y cómo, incluyendo aquellos que afectan la módulo se gestionan las acciones de inicio, pausa o fin de
estructura de las tablas que los contengan y los permisos. las auditorias a demanda o de forma planificada en
6) Permitir salvaguardar la confidencialidad de los datos, determinados días u horarios. Ofrece tableros de control
posibilitando auditar también los accesos de lectura. personalizables donde se pueden visualizar en tiempo real
7) Proporcionar diferentes niveles de protección sobre la la ejecución de las auditorias y sus estados.
información auditada, tanto en la visualización como en
3) Módulos Universales de Recolección de Datos
su almacenamiento seguro.
Módulos encargados de la recolección de datos de
8) Contar con herramientas eficientes de auditoria propias de
auditoria independientes del tipo de SGBD a auditar.
la solución para incrementar la seguridad del
Invocan a componentes especializados en la recolección
almacenamiento de la información auditada.
9) Facilitar la realización de análisis del resultado de las de auditoria para cada tipo de SGBD, basados en
auditorias para la detección de fraudes. soluciones no invasivas asegurando que no se vean
10) Disponer de sistemas de alertas tempranas ante la afectadas o interrumpidas las operaciones normales
detección de potenciales acciones maliciosas. asociadas a las bases de datos auditadas. Los diferentes
componentes de recolección se basan en una arquitectura
VII. ARQUITECTURA DE IAUDB de referencia general a aplicar en los recolectores para
garantizar la uniformidad de la comunicación con los
IAUDB (“Universal Audit Infrastructure Data Base”) es el
mismos y el encapsulamiento interno de las técnicas de
diseño de una Infraestructura Universal de Auditoria de Base
recopilación propias de cada tipo de SGBD a auditar.
de Datos que se basa en la Metodología de Auditoria
Universal de Datos No Invasiva. IAUDB implementa todos 4) Módulos de Balanceo de Carga
los requerimientos de dicha metodología. Módulo que brinda mecanismo de balanceo de carga de
las solicitudes de auditorias y los procesamientos
IAUDB se basa en un diseño de arquitectura modular
asociados y la transferencia de resultados a los
constituida por módulos interrelacionados que funcionan
almacenamientos universales.
como subsistemas con funciones específicas y en colaboración
para permitir en su conjunto una solución integral. Se basa en 5) Almacenamientos Universales de Auditorias
un diseño escalable y en capas de manera de facilitar futuras La información auditada es resguardada en
auditorias a nuevos tipos o versiones de SGBD relacionales. almacenamientos denominados Repositorios Universales,
los cuáles son heterogéneos y multiplataforma. Los
88
mismos pueden ser diferentes al tipo de SGBD donde se VIII. FUTURAS LÍNEAS DE INVESTIGACIÓN
encuentran alojadas las tablas a auditar, incluso ejecutarse A futuro se pretende extender el presente trabajo a
en sistemas operativos diferentes. Los resultados de las auditorias de datos a aplicar sobre base de datos no
auditorias pueden almacenarse en un Repositorio relacionales y base de datos en la nube.
Universal o en varios si se necesita equilibrar la carga de
los mismos o separar la información como parte de la Es de gran importancia poder extender y adecuar la
estrategia de auditoria. Es posible no generar los datos de metodología para poder ser aplicada a bases de datos de gran
auditoria en el mismo sistema donde reside la base de escala Big Data y poder auditar datos que van más allá de los
datos a auditar, evitando así que un usuario malicioso datos estructurados típicos, que pueden ser consultados por
altere la integridad de la información resultante de SGBD relacionales, frecuentemente para archivos sin
acciones recolectadas u obtenga información confidencial estructura, video digital, imágenes, datos de sensor, archivos
de registro (datos sin estructura) y en realidad cualquier dato
6) Módulo de Visualización de Resultados de Auditorias que no esté contenido en registros con distintos campos que
Módulo en el cual se visualizan los resultados de las puedan ser buscados. Dichos sistemas requieren de un uso
auditorias y se emiten los reportes aplicando los niveles responsable, absoluta confidencialidad y auditoría de los datos
de protección de datos configurados para la visualización. recolectados en lugares públicos y redes para garantizar la
Los reportes también pueden generarse de forma protección de los datos personales.
automática y enviarse por mail a destinatarios
configurados utilizando firma digital. Incluyen reportes IX. CONCLUSIONES
sobre las diferentes auditorias ejecutadas y el historial de
Las auditorias de base de datos se convirtieron en un
cambios de las configuraciones en el tiempo.
control necesario, cuya dificultad aumenta por la creciente
7) Módulo de Seguridad y Auditoría Propio complejidad y variedad de nuevas tecnologías de bases de
Este módulo se encarga de la administración de usuarios, datos y volúmenes inmanejables de datos. Las amenazas de
permisos de acceso y autorizaciones de acciones sobre los seguridad crecen exponencialmente, apareciendo nuevos
diferentes módulos según los roles y perfiles de los riesgos e incrementándose los existentes. Estas circunstancias
usuarios de forma granular. Permite visualizar han motivado la necesidad de proponer una metodología de
información de auditoria propia de IAUDB, ya que se auditoria de datos con mecanismos de configuración,
resguardan todas las acciones que realizan los usuarios seguimiento y control de auditorias que no impliquen tener
que configuren y ejecuten las auditorias. que recurrir a personal calificado para cada tipo de SGBD en
las diversas plataformas en que pueden estar montados.
8) Almacenamiento Universal de Configuraciones de
Auditorias La aplicación de la metodología y el diseño de la
Repositorio heterogéneo y multiplataforma donde se infraestructura IAUDB que la implementa, posibilita, facilita y
persiste la información para la configuración y ejecución da soporte de forma segura a la configuración, seguimiento y
de las auditorias. Almacenamiento de las estructuras de mantenimiento de auditorias de datos, permitiendo que las
tablas actuales e históricas que contienen los datos a mismas sean llevadas a cabo, controladas y analizadas por
auditar (metadatos de tablas) como de las configuraciones usuarios que no necesitan ser expertos o especialistas en
de las auditorias asociadas en el tiempo. determinados gestores de base de datos, posibilitando un nivel
de abstracción necesario para focalizarse en las auditorias en sí
9) Alertas y Validación de Políticas en Tiempo Real
y la prevención de intrusiones o riesgos potenciales, sin
Módulo que se encarga de la notificación de alertas ante
conocer en detalle las características o necesidades técnicas de
acciones que podrían involucrar potenciales riesgos
cada motor de base de datos y facilitando la puesta en práctica
mediante un modelo basado en listas de escalamiento.
de los requisitos de las leyes de Protección de Datos
Estas alertas se basarán en la detección de operaciones
Personales nacionales e internacionales. IAUDB se basa en
que se consideren riesgosas o pudiesen afectar la
preservar los principios fundamentales de la información:
ejecución de las auditorias de datos y se deba alertar a los
confidencialidad, integridad y disponibilidad, garantizando
responsables de seguridad y / o auditoria. Además,
que la información auditada también se encuentre protegida.
posibilita la ejecución de reglas de autoprotección ante
Permite conocer a qué riesgos están expuestos los datos,
una potencial violación de una política de seguridad de la
procurando evitar daños que afecten a los principios de la
información. Estas condiciones pueden basarse en la
información.
realización de determinadas operaciones desde orígenes
dudosos, con aplicaciones no autorizadas, operaciones La protección de datos se convirtió en un elemento
repetitivas o de aplicación masiva, operaciones sobre esencial y clave en la configuración de los modelos de
campos críticos o en fechas u horarios no habituales a la negocio, por tal motivo la auditoría de datos representa un
operatoria de la organización, por ejemplo. gran desafío, ya que los sistemas de gestión de base de datos
aumentan su complejidad con mayor rapidez que los
89
procedimientos y tecnologías diseñadas para su control y [18] MAGERIT v.3: Metodología de Análisis y Gestión de Riesgos de los
Sistemas de Información.
auditoria eficaz y segura. https://administracionelectronica.gob.es/pae_Home/pae_Documentacio
n/pae_Metodolog/pae_Magerit.html#.Wa_XzD5K200 (visitado en
AGRADECIMIENTOS Agosto de 2017)
[19] Ley 25.506 - Ley de Firma Digital., in Boletín Oficial de la República
Los autores desean agradecer al Departamento de Ingeniería Argentina. 2001.
e Investigaciones Tecnológicas (DIIT) de la Universidad [20] Hassan A. Afyouni; Database Security and Auditing: Protecting Data
Nacional de La Matanza (Buenos Aires, República Argentina) Integrity and Accessibility; 1st Edition; Cengage Lesarning Editorial;
por el apoyo al proyecto de investigación. Boston, MA, USA; 2006.
[21] Thomas Connolly, Carolyn Begg; Database Systems: A Practical
REFERENCIAS Approach to Design, Implementation, and Management; 6th Edition;
Pearson Education Ed; Essex, UK; 2015
[1] HR Pous, JS Ruiz, JLR López; Análisis forense de sistemas [22] G.O.Young,“Syntheticstructureofindustrial plastics,”in Plastics, 2nd
informáticos; Editorial Eureca Media; Barcelona, España; 2009. ed., vol. 3, J . Peters, E d . New Y o r k , NY, USA: McGraw-
[2] Ester Chicano Tejada; Auditoria de seguridad informática, 1ra edición; Hill,1964,pp.15–64.
IC Editorial; Málaga, España; 2014. [23] W.-K.Chen,LinearNetworksandSystems.Belmont, CA,
[3] Ron Ben-Natan; HowTo Secure and Audit Oracle 10g and 11g,; CRC USA:Wadsworth, 1993, pp. 123–135.
Press – Auerbach Publications;,Boca Ratón, FL, USA; 2009.
[4] Ron Ben-Natan; Implementing Database Security and Auditing; 1st
Edition; Elsevier Digital Press; Oxford, UK; 2005. Esp. Ing. Cintia V. Gioia
[5] Ley 25.326 de Protección de los Datos Personales; Buenos Nacida en Buenos Aires, Argentina. Ingeniera en
Aires,Argentina; Informática recibida en la Universidad Nacional de
http://servicios.infoleg.gob.ar/infolegInternet/anexos/60000- la Matanza (UNLaM). Especialista en Criptografia
64999/64790/norma.htm (visitado en Agosto de 2017) y Seguridad Teleinformática (EST, Escuela
[6] Decreto Reglamentario 1558/2001. Poder Ejecutivo Nacional (P.E.N.); Superior Técnica del Ejército Argentino).
Buenos Aires, Argentina; Finalizando sus estudios de Magister en
http://servicios.infoleg.gob.ar/infolegInternet/verNorma.do?id=70368 Informática (UNLaM), tésis en desarrollo. Se ha
(visitado en Agosto de 2017) desempeñado 21 años como docente universitaria en diferentes
[7] Decreto Nº 1.160/2010. Poder Ejecutivo Nacional (P.E.N.); Buenos Universidades (UNLaM, CAECE, UTN). Actualmente es Docente
Aires, Argentina; Universitaria Adjunta en UNLaM y colabora en la Coordinación de la
http://servicios.infoleg.gob.ar/infolegInternet/verNorma.do?id=170508 Tecnicatura en Desarrollo Web y Tecnicatura en Desarrollo de
(visitado en Agosto de 2017) Dispositivos Móviles de dicha Universidad. Investigadora categorizada.
[8] [8] Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos Posee trayectoria profesional como Gerente de Proyectos de Desarrollo,
de Carácter Personales; Madrid, España Calidad y Arquitectura de Aplicaciones en importantes compañias
https://www.lopd-proteccion-datos.com/sites/default/files/03-Ley- nacionales e internacionales. Ha participado y liderado proyectos de
Organica-15-1999-LOPD.pdf (visitado en Agosto de 2017) certificaciones de Calidad en procesos de desarrollo (IRAM ISO
[9] Real Decreto 1720/2007, de 21 de diciembre, Reglamento de desarrollo 9001:2008 / IRAM 9001:2015) en diversas compañías. Correo:
de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos cgioia@unlam.edu.ar.
de carácter personal (RLOPD); Madrid, España
https://www.lopd-proteccion-datos.com/sites/default/files/04-Real- Mg. Ing. Jorge Esteban Eterovic
Decreto-1720-2007.pdf (visitado en Agosto de 2017) Ingeniero Mecánico. Especialista en Criptografía y
[10] Reglamento (UE) 2016/679 Del Parlamento Europeo y del Consejo de Seguridad Teleinformática. MBA en Dirección de
27 de abril de 2016 [10]. Sistemas de Información. Docente en grado y
https://www.lopd-proteccion-datos.com/sites/default/files/05- posgrado en la UNLaM, UM, USAL, UTN y UCA
Reglamento-UE-2016-679-Del-Parlamento-Europeo-y-del-Consejo.pdf con 28 años de antigüedad. Director de proyectos
(visitado en Agosto de 2017) de Investigación. Autor de números científicos
[11] Sarbanes-Oxley Act of 2002, Pub. L. No. 107-204, 116 Stat. 745 (30 de sobre Seguridad de la Información publicados en
julio de 2002) de los EE. UU. distintos congresos nacionales. Director de la carrera de Ingeniería
http://www.soxlaw.com/ (visitado en Agosto de 2017) Mecánica de la Universidad Nacional de la Matanza (UNLaM). Consultor
[12] Acuerdos de Basilea de Suiza. free lance en Sistemas de Gestión de la Seguridad de la Información,
http://www.isciii.es/ISCIII/es/contenidos/fd-el-instituto/fd- Gestión de Riesgos de TI y Compliance. Director y jurado de numerosas
comunicacion/fd-noticias/08032013-Acuerdo-FDA.shtml (visitado en tesis de posgrado. Miembro de Concejo Académico Departamental del
Agosto de 2017) DIIT-UNLaM; del Comité Académico de la carrera de Especialización
[13] Reforma de la protección de datos - Nuevas reglas adaptadas a la era en Informática Médica del Instituto Universitario del HIBA y del Comité
digital. Académico de la Maestría en Dirección de Sistemas de Información de la
http://www.europarl.europa.eu/news/es/press- USAL. Evaluador de la CONEAU. Correo: eterovic@unlam.edu.ar.
room/20160407IPR21776/reforma-de-la-proteccion-de-datos-nuevas-
reglas-adaptadas-a-la-era-digital (visitado en Agosto de 2017) Ing. Aldo Santiago Igarza
[14] ISO/IEC 27001:2013 "Information technology - Security techniques - Nacido en Buenos Aires, Argentina. Ingeniero en
Information security management systems - Requirements" Informática. Director del Centro de
https://www.iso.org/standard/54534.html (visitado en Agosto de 2017) Registraciones Académicas de la Universidad
[15] ISO/IEC 27005:2011 - "Information technology - Security techniques - Nacional de la Matanza (UNLaM). Profesor
Information security risk management" Adjunto concursado e Investigador Categorizado.
https://www.iso.org/standard/56742.html (visitado en Agosto de 2017) Coordinador de la Carrera Ingeniería en
[16] ISO/IEC 27006, Information technology — Security techniques — Informatica de la UNLaM. Jefe de Catedra de la
Requirements for bodies providing audit and certification of asignatura Análisis de Sistemas de la Carrera
information security management systems. Ingeniería en Informática. Coordinador de las
https://www.iso.org/standard/62313.html (visitado en Agosto de 2017) Tecnicaturas en Diseño Web y en Desarrollo de Aplicaciones Móviles.
[17] Pablo Caneo G.; Cobit 5 para riesgos. Metodología. Una visión general; Codirector de proyectos de Realidad Aumentada. Consultor en temas de
ISACA Chile. Acreditación Universitaria. Asesor del Rectorado de la Universidad
https://www.isaca.org/chapters8/Montevideo/cigras/Documents/CIGRA Gaston Dachary (Misiones - Argentina). Miembro de la RISIIC
S2015/CIGRAS-2015.09.09-07- dependiente del CONFEDI, participante en RedUNCI. Miembro
Cobit%205%20para%20Riesgos.%20Metodologia.%20Una%20vision fundador del Consejo Profesional de Ciencias Informáticas de la
%20general-Pablo%20Caneo.pdf (visitado en Agosto de 2017) Provincia de Buenos Aires. Correo: asigarza@unlam.edu.ar.
90
César Byron Guevara Maldonado, Janio Lincon Jadán Guerrero
Algoritmo de Detección de Fuga de Información

aplicando Búsqueda kNN en Comportamientos
de Usuario

Abstract— The present work proposes an algorithm to detect I. INTRODUCCIÓN
data leakage and anomalies based on user behavior analysis in a
time series. The kNN search technique of normal patterns has
been applied in the execution of operations by users. The E L comportamiento humano es uno de los más grandes
dilemas de la inteligencia artificial como de la ciencia en
general, la cual ha intentado reproducir y predecir cada una de
algorithm was applied in a defined temporal space (three
operations executed by a user), in which a function of Euclidean las tareas, actividades y variedad de comportamientos con el
distance calculation between neighbors identified the fin de automatizar procesos de manera eficiente y que puedan
combination to detect if a behavior was normal, abnormal or ayudar al ser humano en su desempeño en la vida real. Una de
there was a information leakage. A variety of experiments have
estas áreas es la seguridad informática, la misma que tiene el
been carried out with information from real users of a computer
system, where time series for the classification of fraudulent objetivo de salvaguardar la información de manera óptima y
behaviors have been applied to evaluate the effectiveness and que pueda prevenir que los datos puedan ser manipulados por
efficiency of the algorithm and the Euclidean distance metric. personas o equipos fraudulentos.
El comportamiento de un usuario como del resto de la
Keywords - Detection of Information Leaks, Anomalies, naturaleza es secuencial y temporal, las series temporales
Temporal Series, kNN Search, Euclidean Distance. constituyen datos complejos que se pueden analizar en varios
enfoques del aprendizaje automático como lo presenta (Fu,
2011). Para clasificar estos datos se deben utilizar métricas de
distancia entre clases idénticas y separar las que corresponden
Resumen—El presente trabajo propone un algoritmo de
detección de fugas de información y de anomalías que se basan en a diferentes clases según sus valores en la serie temporal. Las
el comportamiento de usuario en una serie temporal. Se ha métricas más aplicadas son las basadas en el valor de uso más
aplicado la técnica de búsqueda kNN de patrones normales en la frecuente como la distancia euclidiana y la distorsión temporal
ejecución de operaciones dentro de un sistema por parte de los dinámica (Dynamic Time Warping) dtw, como lo presenta
usuarios. El algoritmo se aplica en un espacio temporal definido (Ding al et., 2008).
(tres operaciones ejecutadas por el usuario) donde una función
El estudio realizado por (Chaovalitwongse al et., 2007) fue
cálculo de distancia euclidiana entre los vecinos cercanos
identifica la combinación para detectarla como normal, anormal desarrollar una nueva técnica de clasificación que se utiliza
o fuga de información. Se ha realizado una variedad de para clasificar (epilepsia) cerebro normal y anormal
experimentos con información de usuarios reales de un sistema actividades a través de los análisis cuantitativos del
informático, donde para evaluar la efectividad y eficiencia del electroencefalograma (EEG). Esta técnica propuesta se basa
algoritmo, como de la métrica de la distancia euclidiana, se ha en la integración de enfoques sofisticados de minería de datos
aplicado las series de tiempo para la clasificación de
y la investigación de procesamiento de señal (es decir, la
comportamientos fraudulentos.
teoría del caos, vecino k-más cercano, y análisis estadístico de
Palabras clave—Detección de Fugas de Información, Anomalías, series temporales). La técnica presentó una clasificación
Serie Temporal, Búsqueda kNN, Distancia euclidiana. correcta EEG normales y anormales con una sensibilidad del
81,29% y una especificidad del 72,86%.
La principal aportación de este trabajo es aplicar métrica
euclidiana básica para discriminar una secuencia normal con
un clasificador kNN. El marco de clasificación para un
enfoque de aprendizaje automático se basa en la métrica de
distancia entre los vecinos más cercanos como lo presenta (Do
al. et, 2015) con óptimos resultados y aplicando series
César Byron Guevara Maldonado, Centro de Investigación en Mecatrónica
y Sistemas Interactivos (MIST), Universidad Tecnológica Indoamérica temporales como lo presenta (Weinberger al et., 2009).
(cesargue@ucm.es). El documento está organizado como sigue, en la sección 2 se
Janio Lincon Jadán Guerrero, Centro de Investigación en Mecatrónica y describen brevemente los datos utilizados y los algoritmos que
Sistemas Interactivos (MIST), Universidad Tecnológica Indoamérica
(janiojadan@uti.edu.ec).
se han aplicado. En la sección 3 se detalla la estructura de los
91
datos utilizada para la codificación, así como el proceso probabilidad de identificar las fugas. En algunos casos
propuesto para la detección de anomalías. La sección 4 también se puede inyectar datos a los registros, información
presenta y analiza los resultados. El artículo termina con las falsa, para mejorar aún más las probabilidades de detección de
conclusiones y trabajos futuros. fugas y la identificación del agente culpable.
II. TRABAJOS RELACIONADOS Investigaciones más recientes se aproximan al problema de

En la década de 1990, organizaciones como el Defense fuga de información de diferentes formas. Muchas de estas
Personnel and Security Research Center (PERSEREC) y la investigaciones proponen soluciones sofisticadas, usando
Corporación Research and Development (RAND) de los métodos de "Big Data" (Tene y Polonetsky, 2012), algoritmos
EEUU, centran su discurso académico sobre el tema de las de inteligencia artificial, o análisis estadísticos o gráficos.
amenazas internas a través de publicaciones y talleres Otras tendencias intentan distinguir y recrear el
(Anderson, 1999; Anderson, 2000; Anderson y Brackney, comportamiento del usuario a través de una semántica
2004). A partir de 2001, el CERT Insider Threat Center lingüística, el motivo de la comunicación, el correo
también comenzó a realizar investigaciones sobre este tema, electrónico o la mensajería instantánea.
iniciando el desarrollo de una base de datos de amenazas de
información privilegiada. Durante este período de tiempo, los En la investigación realizada por (Guevara, 2017) se ha
investigadores también han desarrollado modelos tanto para la trabajado con varios conjuntos de datos reales, tanto de red
identificación de las diferentes características de usuarios como de sistemas informáticos. Este estudio de la información
internos (las principales víctimas de la organización), como de los usuarios permitió desarrollar diversos modelos para la
del incidente en sí. El objetivo de estas investigaciones era detección de intrusos y de anomalías en el comportamiento de
centrarse en aspectos del comportamiento del delincuente al los usuarios. Además, fue la base fundamental para la creación
sustraer la información confidencial (Shaw et al., 1998): de la nueva estructura de datos secuencial, la cual permite
características psicológicas como la dependencia del describir de forma mucho más real y dinámica el
ordenador, la flexibilidad ética, y la falta de empatía como comportamiento de un usuario. Dicha estructura fue utilizada
indicadores potenciales de un riesgo para la conducta en los artículos como en (Guevara et al., 2016).
destructiva y potencialmente ilegal. En el enfoque más
específico del ámbito socio-técnico se analizan las III. MATERIALES Y MÉTODOS
características, rasgos de personalidad, comportamientos En un sistema informático, cada usuario ejecuta una
técnicos (incluidos los patrones de uso y ejecución de errores secuencia de tareas en función de su cargo que desempeña en
significativos) para identificar las fugas de datos. Estos la empresa o institución. El problema principal es identificar
indicadores son una medida ponderada que facilita la tarea de que comportamiento es normal y anormal de cada usuario, es
detección (Schultz, 2002). decir, distinguir si las tareas ejecutadas son las habituales o si
por el contrario son comportamientos de una posible actividad
La detección de fuga de datos propone soluciones basadas fraudulenta. La mejor manera para detectar posibles usos
en host y en red. Los basados en host analizan las actividades incorrectos o abusos de la información es la monitorización de
que puede realizar el atacante en el equipo víctima cuando las actividades de los usuarios del sistema para obtener
intenta adueñarse de la información. Posteriormente, previene muestras con las que poder determinar patrones de
su salida bloqueando recursos de hardware o de software. Un comportamiento normal o anómalo.
ejemplo de este tipo de sistemas es el presentado por (Jiang et
al., 2010), el mismo que aplica soluciones para detectar La información que se utilizó como base para este trabajo
malware sigiloso utilizando el escaneo del sistema operativo de investigación fue recopilado de una institución de gobierno
mediante un antivirus. Otro trabajo de detección de fugas es el del Ecuador, por lo que esta información es confidencial y los
realizado por (Borders y Prakash, 2009), que plantea incluir un datos se han codificado para salvaguardar su integridad.
cifrado de datos y la aplicación de políticas para restringir la
transferencia de datos sensibles. Estos métodos pueden Este conjunto de datos se ha recopilado las operaciones
complementarse y ser implementados de forma simultánea ejecutadas por usuarios autorizados en un sistema informático
para mejorar la detección de fugas de información. Uno de los sobre varios ficheros y repositorios. Las sesiones fueron
trabajos más conocidos sobre este tema es (Papadimitriou y registradas durante el período de 2011 a 2013. Para utilizar
García-Molina, 2011). Investiga el problema de un esta información fue necesario realizar una depuración y un
distribuidor que ha proporcionado información sensible a un procesamiento de los datos para obtener 20883 registros de
conjunto de agentes supuestamente de confianza (terceros). sesiones de usuario, la cual se considera el histórico de
Algunos de estos datos se han filtrado y se han hallado en un actividades normales de 10 usuarios del sistema informático.
lugar no autorizado (internet, PC, dispositivo de Se ha utilizado la estructura de datos propuesta en el trabajo de
almacenamiento, etc.). El distribuidor debe evaluar la (Guevara, 2017), como se presenta en la figura 1.
probabilidad de la procedencia de los datos filtrados y de los
agentes que lo realizaron. Se propone una estrategia de
asignación de datos (a través de los agentes) que mejoran la
92
Función de entrenamiento el cual para cada caso

, donde , agregar el caso a la estructura
representando los casos de aprendizaje.
Función de clasificación el cual dado un caso que debe
ser clasificado, sean los vecinos más cercanos a
en los casos de aprendizaje,
̂ ∑ donde
y 0 caso contrario en sea diferente. El valor ̂ obtenido por
el algoritmo como un estimador de es solo el valor más
común de entre los vecinos más cercanos a Si
elegimos ; entonces el vecino más cercano a calcula
su valor.
IV. ALGORITMO DE DETECCIÓN DE FUGAS DE INFORMACIÓN

El comportamiento de un usuario en un sistema
informático está determinado por las actividades que realiza,
como también la forma secuencial en las que el usuario las
ejecuta. Este comportamiento depende tanto de la carga de
trabajo como de las asignaciones o tareas que reciba según su
Fig.1. Diagrama de propuesta de estructura de datos secuencial con la base de
datos Ecuador (Guevara, 2017). posición en una institución. Es por eso que dicho
comportamiento es único y dinámico para cada uno de los
Para verificar el óptimo desempeño del algoritmo propuesto se usuarios. El algoritmo que vamos a desarrollar en este trabajo
han usado el conocimiento de un experto para comprobar que se basa en el análisis de una nueva secuencia de tareas llamada
la clasificación es correcta. Los algoritmos utilizados se Sesión Activa para identificar si existe o no algunas
describen a continuación. subsecuencias fraudulentas que puedan ser fugas de
información comparándolas con las sesiones históricas del
usuario.
A. K vecinos más cercanos – Clasificación
Para este trabajo hemos definido el conjunto de tareas
K vecinos más cercanos es un algoritmo simple que posibles (realizables por algún usuario del sistema) como
almacena todos los casos disponibles y clasifica nuevos casos { }, donde es el número total de tareas
sobre la base de una medida de similitud (por ejemplo, diferentes que se pueden ejecutar dentro del sistema. Cada
funciones de distancia). KNN se ha utilizado en la estimación tarea consiste en realizar una operación (Insert, Update,
estadística y reconocimiento de patrones que ya están en el Delete o Find) sobre un fichero. Existen tareas críticas
comienzo de 1970 como una técnica no paramétrica, como lo (tareas que contienen información importante para la
presenta en (Do et al. 2015). institución), donde y están definidas como
{ } donde m es el numero máximo de tareas criticas
Algoritmo KNN existentes en el sistema. Los usuarios que ejecutan estas tareas
Un caso se clasifica por mayoría de votos de sus vecinos, se definen como { } donde k=10 para este
con el caso que se le asigna a la clase más común entre sus K sistema, por otro lado los usuarios con posiciones similares se
vecinos más cercanos medidos por una función de la distancia. definen como { } donde es el numero de
Si K = 1, entonces el caso es simplemente asigna a la clase de
usuarios con el mismo cargo en la institución.
su vecino más cercano. Los casos de entrenamiento
Un conjunto de tareas ejecutadas en un determinado espacio
son vectores en un espacio multidimensional, cada caso está
de tiempo se ha definido como sesión de usuario S donde
descrito en términos de atributos considerando clases para
uU, siendo U el conjunto de usuarios del sistema, como una
la clasificación. Los valores de los atributos del i-ésimo
secuencia ordenada de tareas de tamaño variable z, es decir:
(donde ) se representan por el vector -dimensional,
. Por otro lado, el conjunto de sesiones
donde .
recopiladas y almacenadas en un periodo de tiempo
El espacio muestral está dividido en regiones por sectores determinado dentro de un archivo histórico del usuario u se
y etiquetas de los casos de entrenamiento. Un punto en el define como { }, donde es el número de
espacio es asignado a la clase si esta es la clase más sesiones realizadas por ese usuario u. A modo de ejemplo se
frecuente entre los casos de entrenamiento más cercanos. presentan 6 sesiones de diferente longitud que conforman
Generalmente se usa la distancia euclidiana, la cual está parte del histórico del usuario #8.
definida como ( ) √∑ . El algoritmo de { };
knn realiza dos funciones específicas que son: { }; { };
{ }; { };
{ }
93
continua con la siguiente subsecuencia hasta finalizar con la

Una nueva sesión del usuario u que es ejecutada fuera del sesión .
periodo de monitorización se denomina Sesión Activa y se Como ejemplo de esta etapa del algoritmo se presentan la
define como . Esta es la sesión que deseamos someter a figura 2, la cual determina un comportamiento 'normal' en la
evaluación para prevención y detección de fuga de subsecuencia { ) y un comportamiento de
información, como por ejemplo se presentan 2 sesiones activas 'posible fraude' en la subsecuencias { },
del usuario #8. { }, { }y { } de la
{ }; sesión activa .
{ };
El algoritmo propuesto para la detección de fugas de

información se realiza en dos pasos como se muestra a
continuación:
A. Búsqueda knn de subsecuencias fraudulentas en sesiones

Activas
En este paso se utiliza el histórico de sesiones del usuario

para entrenar el algoritmo knn con múltiples
subsecuencias de 3 tareas que contengan cada una de las
sesiones y así buscar si en la sesión activa contiene
tareas fraudulentas. En este procedimiento se realiza una
búsqueda tanto local como global de las subsecuencias, lo cual
permite que sea dinámico y adaptable al comportamiento
humano el cual es cambiante en el transcurso del tiempo.
El algoritmo realiza como primer análisis una búsqueda

local y si existiese un comportamiento que no corresponda a
ese grupo continua a ser analizado por una búsqueda global.
En el caso de que esa subsecuencia no exista en la búsqueda
global se determina que es fraudulenta y continua para
identificar si contiene información crítica lo cual puede ser
una fuga de información o solamente un comportamiento
anómalo.
A continuación se describe como se realiza la búsqueda

tanto local como global de subsecuencias fraudulentas.
1) Búsqueda knn local de subsecuencias fraudulentas
La búsqueda knn de forma local utiliza un conjunto de

datos conformado por subsecuencias de 3 tareas de las
sesiones según su posición en las que fueron ejecutadas,
como por ejemplo en la sesión { },
contiene varias subsecuencias de 3 tareas las cuales son
{ } en la posición 1 a 3, { } en la
posición 2 a 4, { } en la posición 3 a 5 y
{ } en la posición 4 a 6 y , donde el número de
subsecuencias viene dado por .
Se realiza este procedimiento con todas las sesiones del
histórico y se entrena al algoritmo de knn. Posteriormente se
realiza una búsqueda de las subsecuencias de la sesión
Fig. 2. Detección de comportamiento anormal en secuencias de tareas de
activa según su respectiva posición aplicando la
usuario.
distancia euclidiana descrita anteriormente, si la distancia es
distinta a cero es etiquetada como 'posible fraude' y continua En la figura 3 se presenta el comportamiento 'normal' en todas
su análisis con la búsqueda global de subsecuencias
fraudulentas, caso contrario es etiquetada como 'normal' y las subsecuencias de la sesión activa .
94
{ } y { } son detectadas como un

comportamiento de 'posible fuga de datos'.
Fig. 3. Detección de comportamiento normal en secuencias de tareas de

usuario.
1) Búsqueda knn global de subsecuencias fraudulentas
La búsqueda knn de forma global utiliza un conjunto de datos

conformado por subsecuencias de 3 tareas de las sesiones
de los usuarios con el mismo cargo. Con este conjunto de Fig. 4. Detección de fuga de datos en secuencias de tareas de usuario.
datos de subsecuencias con el mismo cargo se puede analizar
si el comportamiento 'posible fraude' es una secuencia de Con el resultado de las secuencias sq3, sq4 y sq5 se
tareas normales entre usuarios con las similares tareas procede a realizar el análisis en el siguiente paso el cual
asignadas o realmente es un comportamiento de 'fuga de identifica si estas subsecuencias tienen tareas con información
información'. Se realiza la búsqueda aplicando el algoritmo de crítica del sistema.
knn la distancia euclidiana descrita anteriormente, si la
distancia es diferente de cero entonces se etiqueta como B. Detección de tareas críticas en subsecuencias
'posible fuga de datos' y prosigue al siguiente paso de fraudulentas
detección de tareas críticas, caso contrario se etiqueta como
comportamiento 'normal de la función del usuario'. En este paso del algoritmo se propone identificar si las
subsecuencia detectadas como 'posible fuga de datos '
Como ejemplo de esta etapa del algoritmo se presentan la contienen información definida como importante y critica del
figura 4 donde se presenta la aplicación del algoritmo knn con sistema. Este procedimiento se realiza con una búsqueda
distancia euclidiana de las secuencias etiquetadas como cruzada entre el conjunto de datos y las subsecuencias ,
'posible fraude' en la búsqueda local de subsecuencias de la si existiese una o varias tareas críticas en las subsecuencias el
sesión activa . Se identificó que la subsecuencia algoritmo envía una alerta identificando a esa subsecuencia
{ } es un comportamiento 'normal de la función como 'fuga de información', caso contrario se etiquetaría como
del usuario', las subsecuencias { }, un 'comportamiento anómalo de bajo riesgo'. Como ejemplo
95
de esta etapa del algoritmo el conjunto de tareas criticas es resultados podría ser cuestionable, ya que pueden existir casos
{ }, donde el usuario #8 solo puede ejecutar atípicos de comportamientos en que uno o varios usuarios
las tareas y debido a su cargo C1. El resultado de la modifiquen su rol debido a nuevas responsabilidades (suplir a
búsqueda es el siguiente: compañeros, ser promovidos o reubicados en otra área) o no
poseer la suficiente información histórica para determinar su
La subsecuencia { } contiene la tarea por lo comportamiento de forma óptima.
que es identificado como 'fuga de información'.
La subsecuencia { } contiene la tarea por lo Para examinar la eficiencia del algoritmo propuesto en este
que es identificado como 'fuga de información'. trabajo hemos se han realizado pruebas supervisadas con diez
La subsecuencia { } no contiene las tareas usuarios del sistema real descrito previamente. Para cada uno
críticas por lo que es identificado como 'comportamiento de los 10 usuarios se han analizado las sesiones de sus
anómalo de bajo riesgo'. respectivos históricos. El número de sesiones varía entre 1 y 3
por día, dependiendo de cada usuario. La longitud de las
En la figura 5 se presenta un el diagrama de flujo que explica sesiones está en un rango entre 2 y 65 tareas ejecutadas, con
de mejor manera la detección de fugas de información una media de 13 tareas distintas. Durante estas sesiones, en su
aplicando el sistema propuesto. gran mayoría, los usuarios han realizado tareas adecuadas a su
puesto de trabajo. Por eso se han buscado subsecuencias
normales con la técnica de búsqueda knn, para que así el
sistema aprenda y de esta manera identificar comportamientos
fraudulentos que no correspondan al comportamiento normal
del usuario. Para entrenar al algoritmo es necesario utilizar las
sesiones de las bases de datos de cada usuario se ha utilizado
un 70% y para pruebas un 30 %, además, se ha generado un
25% de sesiones fraudulentas validar el algoritmo.
La clasificación del experto es igual con el resultado

obtenido del algoritmo, ya que se ha logrado que si el
resultado del algoritmo para una sesión es “normal” o
“comportamiento anómalo de bajo riesgo” y "fuga de
información", esas tareas se clasificaban como anómalas. Por
lo tanto, para los ejemplos mostrados anteriormente, la
clasificación del algoritmo es correcta en los tres casos.
La evaluación del desempeño del algoritmo se ha hecho de

la siguiente manera. Para un usuario, por ejemplo, el #6, hay
1683 sesiones almacenadas en su base de datos (histórico),
todas ellas correctas. Se utilizarán un 70% para el
entrenamiento (1178) y un 30 % para pruebas (505). Además
se han generado 379 sesiones anómalas para evaluar el
comportamiento fraudulento. El conjunto de pruebas lo
forman el 100% de las sesiones anómalas y el 30% de las
normales, por lo tanto, hay un total de 884 sesiones para
pruebas. Es decir, hay 881 sesiones que se han detectado
correctamente como normales o fraudulentas (99.66%), y 3
sesiones mal clasificadas (0.34%).
Para medir la eficiencia de la propuesta es importante calcular

las detecciones consideradas verdadero negativo (TN),
Fig. 5. Diagrama de flujo del algoritmo de detección de fugas de información.
verdadero positivo (TP), falso negativo (FN) y falso positivo
(FP), definidas como sigue:
Finalmente en el siguiente apartado se presentaran los
resultados de la aplicación del algoritmo de detección y
TN: sesión normal detectada como normal
posteriormente se presentaran las conclusiones que han
TP: sesión anómala correctamente detectada como fuga de
identificado en la realización de la investigación además de
información
futuros trabajos a realizarse en base a este trabajo.
FN: sesión anómala incorrectamente detectada como normal
FP: sesión normal incorrectamente detectada como fuga de
V. RESULTADOS
información.
En la aplicación del algoritmo propuesto se puede Para el usuario #6, la Tabla I muestra los valores obtenidos
evidenciar que posee una marcada dependencia de los datos para estos índices de funcionamiento.
del histórico de los usuarios. Por esta razón la eficiencia de los
96
TABLA I. El tiempo computacional del algoritmo está en torno a 0.32

TASAS DE CLASIFICACIÓN PARA EL USUARIO #6 segundos de media, lo cual es un margen aceptable para enviar
Algoritmo Experto Sesiones Etiqueta % una alarma y bloquear el acceso a ese usuario si hiciera falta.
Normal Normal 504 Verdadero 57.01
Negativo (TN) VI. CONCLUSIONES Y TRABAJOS FUTUROS
Fraude Fraude 377 Verdadero 42.65 En este trabajo se ha desarrollado un algoritmo para la
Positivo (TP) detección de fugas de información en sistemas informáticos.
Normal Fraude 1 Falso Positivo 0.11 El trabajo utiliza información del comportamiento de usuarios
(FP) autorizados que han ejecutado diversas tareas en un sistema
Fraude Normal 2 Falso Negativo 0.23 informático a lo largo de dos años.
(FN)
La identificación de las subsecuencias de tareas basada en
Es decir, el algoritmo funciona bien, con un porcentaje alto el histórico de cada usuario, proporciona un medio sencillo
de detección correcta. Las tasas de falsos negativos y falos para la creación de un perfil único de comportamiento. Debido
positivos son bajas, siendo mayor el caso de las sesiones a la escasez de actividades fraudulentas con las que entrenar al
detectadas como fraudulentas. sistema este trabajo pretende identificar cualquier
comportamiento fuera de lo común de una manera eficiente y
Este algoritmo se ha aplicado para los 10 usuarios de los dinámica. Posteriormente se ha aplicado un algoritmo
que se disponen de datos, obteniéndose los resultados de la búsqueda de vecinos más cercanos knn y distancia euclidiana
Tabla II. En la Tabla III se muestran las tasas de falsos para la localización de las subsecuencias fraudulentas.
positivos y negativos. La tasa de detección correcta, obtenida
como la media, es del 99,10%. Este algoritmo para la detección de comportamientos
fraudulentos se ha probado con datos reales con resultados
TABLA II. óptimos, avalando la eficiencia del procedimiento propuesto.
CLASIFICACIÓN DE SESIONES DE LOS USUARIOS POR EL SISTEMA Como investigación futura se propone aplicar a este trabajo
Detectados Detectados algoritmos de Big Data, que permitan reducir el tiempo de la
Correctamente Incorrectamente detección, lo cual es crítico para este tipo de sistemas.
User CC %CC IC %IC También se plantea incrementar la eficiencia mediante la
1 1105 99.19 9 0.81 combinación con otras técnicas de clasificación como la de los
2 910 99.78 2 0.22 algoritmos genéticos como UCS y XCS y las redes
3 930 99.25 7 0.75 neuronales.
4 1170 99.49 6 0.51
5 817 99.27 6 0.73 REFERENCIAS
6 881 99.66 3 0.34 [1] Anderson, R. H. (1999). "Research and Development Initiatives Focused
on Preventing, Detecting, and Responding to Insider Misuse of Critical
7 1020 99.61 4 0.39 Defense Information Systems". (No. RAND-CF-151-OSD).
8 953 98.35 16 1.65
9 1067 98.16 20 1.84 [2] Anderson, R. H., Bozek, T., Longstaff, T., Meitzler, W., Skroch, M.,
&VanWyk, K. (2000). "Research on mitigating the insider threat to
10 1039 98.39 17 1.61
information systems # 2". (RAND CF-163-DARPA). Technical report, RAND
Corporation.
TABLA III.
TASAS DE CLASIFICACIÓN [3] Anderson, R. H., &Brackney, R. (2004). "Understanding the insider
TP TN FP FN %Detection %False Alarm threat". RAND Corporation.
740 365 0 9 98.8 0
513 397 1 1 99.81 0.25 [4] Borders, K., & Prakash, A. (2009). "Quantifying information leaks in
448 482 4 3 99.33 0.82 outbound web traffic". In Security and Privacy, 30th IEEE Symposium on
573 597 1 5 99.13 0.17 (pp. 129-140).IEEE.
342 475 2 4 98.84 0.42
377 504 1 2 99.47 0.2 [5] Chaovalitwongse, W. A., Fan, Y. J., & Sachdeo, R. C. (2007). On the time
series $ k-nearest neighbor classification of abnormal brain activity. IEEE
549 471 1 3 99.46 0.21
Transactions on Systems, Man, and Cybernetics-Part A: Systems and
479 474 6 10 97.96 1.25 Humans, 37(6), 1005-1016.
589 478 12 8 98.66 2.45
654 385 14 3 99.54 3.51 [6] Ding, H., Trajcevski, G., Scheuermann, P., Wang, X., & Keogh, E. (2008).
Querying and mining of time series data: experimental comparison of
Si la tasa de error de falsos positivos fuera alta, el representations and distance measures. Proceedings of the VLDB Endowment,
algoritmo de detección puede ser poco práctico ya que 1(2), 1542-1552.
identifica erróneamente sesiones correctas como fraudulentas,
bloqueando el acceso y perjudicando el ritmo de trabajo del [7] Do, C. T., Douzal-Chouakria, A., Marié, S., & Rombaut, M. (2015,
usuario. August). Multiple Metric Learning for large margin kNN Classification of
97
time series. In Signal Processing Conference (EUSIPCO), 2015 23rd César Byron Guevara Maldonado es
European (pp. 2346-2350). IEEE. doctor de la Facultad de Informática de
la Universidad Complutense de Madrid
[8] Fu, T. C. (2011). A review on time series data mining. Engineering (UCM). Máster en Investigación
Applications of Artificial Intelligence, 24(1), 164-181.
Informática en la UCM e Ingeniero en
Sistemas e Informática de la Universidad
[9] Guevara, C., Santos, M., & López, V. (2017). Data Leakage Detection
de las Fuerzas Armadas ESPE.
Algorithm based on Task Sequences and Probabilities. Knowledge-Based
Actualmente docente investigador
Systems.
Tiempo completo en el Instituto de
[10] Guevara, C. B., Santos, M., & López, M. V. (2016a). Negative selection
Investigación, Desarrollo e Innovación
and knuth morris pratt algorithm for anomaly detection. IEEE Latin America de la Universidad Tecnológica Indoamérica del Ecuador.
Transactions, 14(3), 1473-1479.
Janio Lincon Jadán Guerrero es
[11] Jiang, X., Wang, X., & Xu, D. (2010). "Stealthy malware detection and Ingeniero en Sistemas en la Universidad
monitoring through VMM-based out of the box semantic view Central del Ecuador. Maestría en
reconstruction". ACM Transactions on Information and System Security Ciencias de la Computación en la
(TISSEC), 13(2), 12. Universidad de Costa Rica. Maestría en
Administración de empresas y
[12] Papadimitriou, P., & Garcia-Molina, H. (2011)."Data leakage detection". Marketing en la Universidad
Knowledge and Data Engineering, IEEE Transactions on, 23(1), 51-63. Tecnológica Indoamérica. Doctorado en
Computación en la Universidad de Costa
[13] Shaw, E., Ruby, K., & Post, J. (1998). "The insider threat to information Rica. Actualmente es el Director de Investigación de la
systems: The psychology of the dangerous insider". Security Awareness Universidad Tecnológica Indoamérica.
Bulletin, 2(98), 1-10.
[14] Schultz, E. E. (2002). "A framework for understanding and predicting

insider attacks". Computers & Security, 21(6), 526-531.
[15] Tene, O., & Polonetsky, J. (2012). Big data for all: Privacy and user
control in the age of analytics. Nw. J. Tech. & Intell. Prop., 11, xxvii.
[16] Weinberger, K. Q., & Saul, L. K. (2009). Distance metric learning for
large margin nearest neighbor classification. Journal of Machine Learning
Research, 10(Feb), 207-244.
98
C. Ayala, L. Hernández
SIIA: Sistema Integral de Inteligencia de Amenazas

Aplicado al Cyber Dominio
C. Ayala; L. Hernández
Universidad Nacional Autónoma de México; caar2000@gmail.com; leo@unam.mx
Abstract En este artículo se presenta el diseño e implementación también puede ser información que ayuda a obtener
de SIIA, un Sistema Integral de Inteligencia de Amenazas aplicado indicadores y advertencias de riesgos.
al Cyber Dominio. Este sistema se propone como una solución, La cyber inteligencia de amenazas se puede describir como el
basada en un sistema de inteligencia de amenazas, que integre las conocimiento basado en evidencia, incluyendo contexto,
cinco fases del ciclo de inteligencia: agregar información, mecanismos, indicadores, implicaciones y recomendaciones
contexto, clasificación de adversarios, analítica avanzada, accionables, acerca de la existencia de amenazas o peligros
tendencias y amenazas que sufren las organizaciones, con la a los recursos que pueden ser usados para informar decisiones
finalidad de proporcionar Cyber Conciencia Situacional (CCS) para relacionadas a la respuesta del sujeto hacia la amenaza o
mejorar la toma de decisiones. peligro [18]. Dentro del cyber dominio, la inteligencia de
amenazas representa la síntesis de información detallando
Keywords seguridad, información, inteligencia, amenazas,
cyber dominio, ataques, vulnerabilidades, analítica, detección y amenazas potenciales con un sólido conocimiento de la
prevención de intrusos estructura de red, operaciones y actividades [19].
El principal objetivo de la cyber inteligencia consiste en

I. INTRODUCCIÓN brindar la información correcta, en el momento correcto, con
el contexto apropiado, para disminuir significativamente la
Inteligencia Aplicada al Cyber Dominio cantidad de tiempo que lleva detectar las amenazas
El cyber dominio es un teatro de operaciones moderno y cibernéticas perjudiciales y responder ante ellas. En otras
necesita entendimiento holístico. Para defenderlo, o para palabras, para mejorar sustancialmente el tiempo promedio
adentrarse en acciones ofensivas, es necesario tener un de detección y el tiempo promedio de la respuesta a través de
entendimiento preciso del entorno operacional. El proceso un Curso de Acción (CoA) adecuado acorde a la organización
para identificar qué es y qué no es importante en SIIA, recae en
el ciclo de inteligencia.
Figura 1. Entorno operacional de SIIA
En el mundo de la información y seguridad informática, la Figura 2. Matriz de un Curso de Acción (CoA)

cyber inteligencia de amenazas es un campo joven en donde La cyber inteligencia de amenazas tiene un impacto importante
existen muchos documentos técnicos de inteligencia de en la reducción del tiempo de detección y respuesta ante las
amenazas que describen actividades muy diferentes bajo cyber amenazas [1].
la bandera de cyber inteligencia de amenazas. Igual que
con la inteligencia tradicional, una definición central es que El uso efectivo de la inteligencia en el proceso de
la inteligencia de amenazas es información que puede ayudar operaciones para la detección de cyber amenaza es una
en la toma de decisiones, con el objetivo de prevenir un herramienta tecnológica y de administración importante para
ataque o disminuir el tiempo en descubrirlo. La inteligencia la defensa en contra de operaciones y campañas maliciosas
99
en el cyber espacio. Las operaciones y campañas maliciosas

continuamente usan nuevos recursos y desarrollan nuevos
métodos para atacar a las organizaciones en el cyber
espacio. Con la naturaleza cambiante de la amenaza, la
inteligencia aplicada en los procesos de detección, debe
actuar con rapidez para recibir todas las ventajas. En
muchos casos, el valor de la inteligencia puede ayudar a
resolver cuestiones puntuales, simplificando los procesos y
capacidades de otros procesos analíticos en cuestión de horas.
Dependiendo de la precisión y confiabilidad de las fuentes de

información, la inteligencia de amenazas cubre los tres Figura 3. Ciclo de Inteligencia Aplicado al Cyber Dominio
aspectos temporales: pasado, presente y futuro. La
inteligencia permite identificar previamente II. SISTEMA INTEGRAL DE INTELIGENCIA DE
vulnerabilidades de red no identificadas, priorizando la AMENZAS APLICADO AL CYBER DOMINIO
investigación actual de acuerdo a las alertas de las actividades
de las amenazas y, finalmente, permite la monitorización de
la infraestructura para la prevención de ataques repetidos [2], En la actualidad, la implementación de sistemas de
[3], [4]. administración de calidad (SGC), sistemas de
administración de servicios orientados a ISO/IEC 20000,
Los beneficios que se obtienen alimplementarunsistemadeinteligencia de sistemas de administración de seguridad de la información
amenazas, son los siguientes: ISO/IEC 27000, son un requerimiento para demostrar
cumplimiento y orientación bajo procesos.
• Identificación y posibles mitigaciones de amenazas
SIIA implementa un Faro de Inteligencia Aplicada al Cyber
emergentes
Dominio en el cual se habilita un Sistema Integral de
• Apoyar casos de negocio de los usuarios para
Administración que proporcione soporte al Sistema
configurar el control de la red para combatir
Estratégico de Inteligencia Aplicado al Cyber dominio, con los
vulnerabilidades
siguientes componentes:
• Enriquecimiento directo de la política de seguridad de
los diversos sensores
• Análisis de tendencias para determinar la evolución
de las capacidades de los cyber adversarios
• Indicadores que resalten los vectores de ataque
actuales que podrían ser usados para explotar
la superficie de ataque de los usuarios
• Registrar cambios en las capacidades de los cyber
adversarios
• Entendimiento del ciclo operacional de los ataques
• Identificar oportunidades para explotar
vulnerabilidades potenciales de los cyber adversarios
• Establecer una mejor visualización del entorno y
amenazas
Figura 4. Sistema estratégico de inteligencia aplicado al Cyber dominio
• Comparar actividades observadas con
conocimiento de tácticas, técnicas y
El objetivo del Sistema Integral de Administración es
procedimientos (TTP) e indicadores de
proporcionar una visión global d e administración, con
compromiso (IOC)
enfoque a procesos, haciéndolos compatibles entre sí, de
• Implicaciones del compromiso y consejo accionable
forma que permita establecer objetivos alineados y facilitar la
toma de decisiones en materia de Inteligencia Aplicada al cyber
dominio.
100
II.1 DIAGRAMA CONCEPTUAL DEL SISTEMA DE o Cyberseguridad ISO/IEC 27032-1:2012 [6]

INTELIGENCIA SIIA o Controles de Seguridad Críticos del SANS
En la figura 5 se muestra un diagrama conceptual de SIIA, [7]
el cual refleja e integra en sus componentes, las fases del ciclo o Administración de Continuidad del Negocio
de inteligencia aplicado al cyber dominio que se describe en la ISO/IEC 22301 [8]
Figura 3.
El diseño de los meta procesos permitirá implementar los
siguientes objetivos:
• Integración eficiente del Sistema de
Administración de Calidad de los Servicios de
Soporte al Ciclo de Inteligencia: ISO/ IEC
20000-1:2011 y el Sistema de Administración de
Seguridad de la Información de Soporte al
Ciclo de Inteligencia: ISO/ IEC 27000- 1:2013.
• Establecer la directriz para asegurar la
implementación, operación, seguimiento y control
del Sistema Integral de Administración en materia
Figura 5. Diagrama conceptual de SIIA de Inteligencia Aplicado al Cyberdominio,
permitiendo la alineación hacia los objetivos
II.2 ARQUITECTURA GENERAL DEL SISTEMA DE estratégicos de CyberOpsec, mediante los siguientes
INTELIGENCIA SIIA Meta Procesos:
o Compromiso de la Alta Dirección
La infraestructura que soporta al sistema SIIA se puede o Comunicación Interna
esquematizar como una arquitectura general, la cual se describe o Control Documental
y muestra en la Figura 6. o Control de Registros
o Conciencia, Capacitación y Entrenamiento
o Administración de Requerimientos Legales,
Contractuales y Regulatorios
o Monitoreo y Evaluación
o Auditorías Internas
o Mejora del Sistema Integral de
Administración
Sistema de Administración de Calidad de los Servicios de

Soporte al Ciclo de Inteligencia aplicado al Cyber
Dominio. El Sistema de Administración Integral contempla
los requisitos de la norma ISO/ IEC 20000-1:2011,
permitiendo implementar un modelo de administración de
servicios de inteligencia aplicado al cyber dominio, a través de
Figura 6. Arquitectura general de SIIA un marco de procesos y mejores prácticas en administración de
servicios.
II.3 ESTRUCTURA DEL SISTEMA DE
INTELIGENCIA SIIA El Ciclo de Inteligencia aplicado al cyber dominio, diseña e
implementa su Sistema de Administración de Calidad de
La estructura del Sistema de Administración Integral de Servicios, a partir de los procesos, funciones y sistemas de
CyberOpsec en materia de Inteligencia Aplicado al información, utilizados para la entrega del servicio de
Cyberdominio, se compone de: inteligencia de amenazas de seguridad de la información,
• Meta Procesos del Sistema Integral de incluyendo todas las fases del Ciclo de Cyber Inteligencia,
Administración. El objetivo fundamental es la como son:
creación de un Modelo de Gobierno de Sistemas o Planeación y Dirección de Inteligencia
de Administración, permitiendo la integración o Colección
eficiente de diferentes sistemas, de acuerdo a las o Procesamiento y Explotación
necesidades de negocio y cumplimiento en materia o Análisis y Producción
de buenas prácticas, como pueden ser: o Diseminación
101
Así como los servicios de soporte al Ciclo de Cyber

Inteligencia:
o Administración Incidentes de Seguridad
o Análisis Forense
o Análisis de Vulnerabilidades y PenTest
o Servicios Administrados de Seguridad
o Centro de Operaciones de Red
o Mesa de Servicios
Se excluyen de este alcance, las actividades administrativas

de soporte de la organización t a l e s como: administración
de recursos humanos, contabilidad y finanzas, etcetera; así
como ta mb ié n otras actividades no relacionadas
directamente en la entrega de inteligencia del mismo o
realizadas por las diferentes unidades de soporte.
El Modelo del Sistema de Administración de Calidad de

los Servicios de soporte al Ciclo de inteligencia aplicado al Figura 7. Sistema de Administración de Calidad de los Servicios de Soporte al
Ciclo de Inteligencia Aplicada al Cyber Dominio
cyber dominio, permite:
• Creación de servicios relacionados a la inteligencia
Sistema de Administración de Seguridad de la
• Enfoque de procesos en materia de estrategia, diseño,
Información como Soporte al Ciclo de Inteligencia
transición y operación de Inteligencia.
El Ciclo de Inteligencia aplicado al cyber dominio diseña
• Enfoque de medición, creación de métricas e
e implementa su Sistema de Administración de seguridad
indicadores de procesos, servicios de soporte a
de la Información de soporte al ciclo de inteligencia, a partir de
la Inteligencia.
los procesos, funciones y sistemas de información,
• Identificación de requerimientos de niveles de
utilizados para la entrega del servicio de inteligencia de
servicio y entregables estratégicos, tácticos y
amenazas de seguridad de la información, incluyendo todas
operativos por cliente.
las fases del Ciclo de Cyber Inteligencia, antes mencionados.
Procesos de Resolución del Servicio de Inteligencia
Sistema de Administración de Seguridad de la
• Administración de Incidentes y Requerimientos
Información de Soporte al Ciclo de Inteligencia aplicado al
• Administración de Problemas
Cyber Dominio. El Sistema de Administración Integral
• Administración de Eventos, Alertas y Monitorización
contempla los requisitos de la norma ISO/ IEC 27000-1:2013.
de Inteligencia aplicado al cyberdominio.
Procesos de Control del Servicio de Inteligencia

• Administración de la Configuración
• Administración de Cambios
• Administración de Liberaciones y Entregas
Procesos de Relación del Servicio de Inteligencia

• Administración de Relación con el Negocio
• Administración de Proveedores
Procesos de Provisión del Servicio de Inteligencia

• Administración de Niveles de Servicio
• Administración de Informes
• Administración de Financiera Figura 8. Modelo del Sistema Integral de Administración
• Administración de la Capacidad
• Administración de Continuidad y Disponibilidad
• Administración de Seguridad de la Información
102
El Modelo del Sistema de Administración de Seguridad de la una estrategia aceptable para la organización. Por
Información en soporte al Ciclo de inteligencia permite: cada infraestructura y activo de información crítico
se identificarán, las amenazas, los agentes de
• Administración (contextualización, valoración, amenaza, la probabilidad y el impacto ante la
evaluación, análisis, tratamiento y seguimiento) de ocurrencia de los escenarios de riesgo, identificando
riesgos de seguridad en activos de información el nivel de riesgo.
utilizados en la operación e integración de la
Solución Tecnológica del sistema. • Definición de estrategia de cyber seguridad.
• Identificación y tratamiento de escenarios de riesgo Con base en las estrategias de mitigación y
o amenaza, en el Ciclo de Vida de Sistemas a través evitación asignadas a cada escenario de riesgo,
de la implementación de controles que minimicen la se definirán controles que deberán ser habilitados
probabilidad e impacto. por la organización de acuerdo a las prioridades a
• Administración bajo proceso de la identificación corto, mediano y largo plazo en materia de cyber
en tiempo real de amenazas o incidentes de inteligencia.
seguridad causados por Cyber Adversarios.
• Identificación, tratamiento y control de
escenarios de riesgo en las etapas de análisis,
diseño, construcción y liberación; así como
escenarios de cyber riesgo en la etapa de operación
del sistema.
• Alineación y cumplimiento de normativa vigente en Figura 9. Modelo Integral de servicios para la estrategia de
materia de seguridad de la información. Inteligencia Aplicada al Cyber Dominio
• Integración de un enfoque de administración de
seguridad de la información que asegure la III FASES DE SIIA
operación, confiabilidad y flujo de información del
sistema. SIIA se está desarrollando en fases para poder segregar cada
funcionalidad acorde al ciclo de inteligencia e ir validando la
Modelo Integral de servicios para la generación de la estabilidad, velocidad, y objetivos de manera estructurada,
Estrategia de Inteligencia escalable y sobre todo confiable. Las tres fases propuestas
Integración al diseño del sistema de t o d a s las fases del van desde la inteligencia de fuentes abiertas OSINT, pasando
ciclo de vida de inteligencia Planeación y Dirección, por la colección automatizada del entorno operativo, la
Colección, Procesamiento y Explotación, Análisis y obtención de información estratégica y el apoyo al Curso de
Producción, así como Diseminación. Acción por medio de acciones de respuesta que le permitan a
los usuarios no solo obtener capacidad analítica avanzada sino
La fase de Planeación y Dirección es vital para la también capacidad de respuesta para irrumpir las
generación de estrategia de cyber inteligencia por cliente, se campañas u operaciones que estén corriendo en la
mencionan a continuación las actividades relacionadas; organización y evitar que los cyber adversarios logren sus
objetivos.
• Análisis de arquitectura de seguridad de alto
nivel. Con base en la identificación de los servicios
núcleo del cliente o los procesos sustantivos, se
identifican las infraestructuras y los activos de
información que habilitan dichos servicios y procesos.
• Determinar el impacto al negocio. Identificar las

métricas y los recursos mínimos de recuperación de
infraestructuras y activos de información del
cliente. Con base en la identificación de los
procesos críticos de la organización, así como las
matrices de impacto, se deberá de elaborar el Figura 10. Fases de SIIA
catálogo de infraestructuras críticas y activos clave.
Funcionalidades sobresalientes por cada fase:
• Metodología de administración de riesgos de
inteligencia aplicado al cyber dominio. Se
establecen las directrices para la evaluación y la
administración de riesgos en la organización. Con
base en las estrategias de tratamiento de riesgo
definidas, se asocian para cada escenario de riesgo
103
• Malcode
• Botvrij.eu
• IBM XForce Exchange
Fase 1. OSINT
• Administración, control de acceso y membresías
personalizables
• Consulta de indicadores primarios
o Direcciones IP
o Dominios
o URLs
o Correo Electrónicos
• Enriquecimiento de indicadores con múltiples
alimentador de inteligencias
o Pasivos
Virus Total
AbuseIPDB
AllienVault OTX
Figura 12. Alimentador de inteligencia de SIIA
SANS ISC
Neutrino
BrigthCloud
Fase2.Alimentadordeinteligencia/FarodeInteligencia
Shodan
• Colector NSM
Whoisology)
• Generación del alimentador de inteligencia automático
o Contexto de indicadores del país
o Activos (NMAP)
• Alineación de indicadores con la Cadena de
• Reportes automatizados de análisis personalizables
Progresión de la Amenaza o Kill Chain
o HTML
o PDF • Indicadores maliciosos diversos
• Clasificación manual
• Histórico de consultas globales y por usuario
o Por parte del analista (Threat Hunter)
• Carga de inteligencia manual
o Clasificación automática
o SIIA Alimentador de inteligencia Manual
Regex muy puntuales que fácilmente
• Monitores de indicadores fuera de banda por perfil de
pueden clasificar los indicadores
usuario
• Generación de base de datos de indicadores alineados
a Kill Chain
• Cambio de clasificación bajo demanda o por
corrección de errores
• Reportes y visualizaciones alineados con Kill Chain
• Creación del Faro de Inteligencia de LATAM de
SIIA
o Gobierno
o Academia
o Financiero
Figura 11. OSINT en SIIA
Fase 1.1 Alimentador de inteligencias adicionales

Agregación de otros alimentadores de inteligencias
• Wot Figura 13. Mapa de calor con cadena de progresión de la amenaza
• Ransomware tracker
• Passive Total
104
Fase 2.2 Necesidad de Inteligencia Fase 3.1 Visualizaciones y CoA mejorado

• Centros de gravedad de los usuarios • Análisis de malware
o Entendimiento de los servicios críticos y BIA • Técnicas de engaño
[23] express por cuestionario • Algoritmo de clasificación
o Nessus [24] u OpenVAS [25] (XML) • Visualizaciones
• Inventario de activos
o Sistemas Operativos, Servicios, Protocolos
• Importación de archivos de AV y mapeo de servicios LasCincoFasesdelCiclodeInteligenciadeSIIA
o Generación de tags por perfil de usuario y 1. Planeación y Dirección
cliente de protocolos, aplicaciones, 2. Colección
servicios, sistemas operativos, etc… 3. Procesamiento y explotación
#apache #ssl #http 4. Análisis y producción
• Reportes de inteligencia estratégica generados 5. Diseminación
o Generación de tags para mapear contra el
inventario de cada cliente o perfil Planeación y Dirección
• Colector CSM
o Alimentador de inteligencias de En esta fase se obtiene información relevante del negocio de
vulnerabilidades nuestros usuarios ya sea por un cuestionario o por medio de
Generación de advertencias tempranas un escaneo activo. El objetivo es la Identificación de las
automatizados a los usuarios Necesidades de Inteligencia (NI) de nuestros usuarios,
riesgos, servicios críticos, amenazas potenciales acorde a
Fase 3.Mitigador su vertical, centros de gravedad, flujos operativos y
• El alimentador de inteligencia SIIA aplicado al Curso cualquier información que aporte valor para poder contestar
de Acción (CoA) preguntas en materia de riesgos o conciencia situacional
o Aplicación de ACLs dinámicas de los para el negocio. [SIIA Fase 1.4]
indicadores de direcciones IP con base Colección
en criticidad y confianza En esta fase se hace la colección de indicadores obtenida
o Reducir la superficie de vulnerabilidad directamente de la infraestructura tecnológica del cliente o
acorde a las amenazas que se presentan en del Faro de Inteligencia usando SIIA NGNSM. Una solución
desarrollada para le Faro de Inteligencia Aplicada al Cyber
tiempo real reportadas por SIIA
Dominio con la finalidad de poder colectar todos los
• Mitigador genérico y API observables necesarios para poder tomar decisiones.
o Hardware
o Phantom Playbooks [26] con terceros
NGFW, NGAV, IPS, Sandbox, Anti
Malware, Proxies
• Algoritmo de reducción por bloques para
mejorar el desempeño en búsquedas de
millones de indicadores
Figura 15. Diagrama de componentes del colector
Los dos procesos o metodologías de alto nivel que se aplican

son
Monitorización de Seguridad de la Red (NSM)
Figura 14. Treemap de los indicadores de SIIA
Es la colección, análisis y escalación de indicadores y
advertencias (I&W) para detectar y responder ante
intrusiones . NSM es céntrico a la amenaza y se enfoca en
el adversario y en datos en movimiento, tales como
105
• Alertas de NIDS agnóstica de la amenaza y de la vulnerabilidad existente en

• Bitácoras los usuarios.
• Paquetes
• Flujos IP
• Metadatos Procesamiento y Explotación
• Metadatos avanzados
Durante el procesamiento y explotación se realizan
funciones analíticas avanzada aplicando técnicas de
aprendizaje máquina sobre la información (Machine
Learning), análisis de malware tanto análisis estático como
análisis dinámico de manera automatizada y masiva para
poder hacer triaje entre tantos observables y enfocarnos
en los más importantes donde justifique el análisis manual.
Otras actividades en esta fase involucra el análisis de
PCAPs, enriquecimiento de datos y OSINT con fuentes
terceras como Emerging Threats, VirusTotal, Neutrino,
SANS ISC, AlienVault OTX, Crowdstrike, y otras bases de
datos abiertas de amenazas así como nuestro propio histórico
de clasificación.[SIIA Fase I]
Figura 16. Proceso de Monitorización de Seguridad de la Red (NSM)
Monitorización Continua de la Seguridad (CSM)

Monitorización Continua de la Seguridad (CSM) o
Diagnostico y Mitigación Continua (CDM) - US
Department of Homeland Security. CSM es céntrico a la
vulnerabilidad enfocado en la configuración y debilidades de
software y se enfoca en datos en reposo.
• Escaneo de vulnerabilidades
• Pruebas de penetración
Figura 18. Tipos de Cyber inteligencia de SIIA
• Monitorización de configuraciones
Análisis y Producción
En esta fase del ciclo de inteligencia aplicada al cyber
dominio los hallazgos se alinean con la Cadena de
Progresión de la amenaza y si se cuenta con suficiente
información con el Modelo Diamante, se aplican técnicas
analíticas estructuradas para contrastar hipótesis y
correlacionar las posibles operaciones y campañas de las
que esté siendo objeto el cliente por parte de un grupo o grupos
de cyber actores. [SIIA Fase 1.2]
Diseminación
En esta fase se entrega el producto terminado de todo el ciclo
Figura 17. Proceso de Monitorización Continua de la Seguridad (CSM) a través de reportes de inteligencia proporcionando
conciencia situacional a diversas audiencias objetivo:
Inteligencia Estratégica (Riesgos de Negocio),
Inteligencia Táctica (Manejadores de Incidentes),
CSM y NSM son complementarios y pilares para proporcionar Inteligencia Técnica (Administradores de Sistemas) e
inteligencia aplicada al cyber dominio. En particular, e s Inteligencia Operacional (Equipos de Caza). El resultado de
en esta fase dos de colección donde se logra una perspectiva esta fase termina con la compartición de inteligencia con la
106
audiencia objetivo (aquellos que pueden beneficiarse de ella estándares internacionales con la finalidad de
como tomadores de decisiones en el gobierno, la academia soportar los objetivos de alto nivel.
o iniciativa privada, investigadores de amenazas, analistas
de cyber inteligencia, analistas forenses y de respuesta a 2. Tecnología. El desarrollo de SIIA parte como
incidentes, administradores de seguridad o entusiastas) y así elemento diferenciador para aplicar la estrategia y
fomentar la colaboración para mejorar la cyber seguridad potencializar el talento humano a través de una
en nuestro país. Esta inteligencia es benéfica para Centros plataforma tecnológica específicamente
de Operaciones de Seguridad, CERTs o cualquier desarrollada para agregar valor en el contexto de
organización cuya estrategia defensiva se enfoque en amenazas a las que enfrenta nuestro país en el cyber
prevenir, detectar y responder ante amenazas y tenga dominio. La tecnología permitirá aplicar el ciclo de
roles específicos de monitorización y manejo de inteligencia para obtener respuestas importantes para
incidentes. SIIA Fase 2 por perfil de usuario. los diversos negocios y ámbitos donde aplique
tomar decisiones en materia de cyber seguridad e
inteligencia.
Estrategia del Faro de Inteligencia Aplicada al Cyber Dominio
Faro de Inteligencia Aplicada al Cyber Dominio 3. Gente. El personal del Faro de Inteligencia Aplicada
involucra cuatro pilares básicos para poder aportar valor, al Cyber Dominio cuenta con especialización en Cyber
innovación, investigación y diferenciadores a la audiencia Seguridad en diversas áreas y dominios tanto
objetivo. defensivos como ofensivos. Dentro de las capacidades
para el combate defensivo contamos con
Cuatro pilares del equipo del Faro de Inteligencia Aplicada al especialización en Respuesta a Incidentes, Detección
Cyber Dominio para el sistema SIIA de Intrusos, Forense Digital, Análisis de Malware,
1. Gente
NSM, Cyber Inteligencia, Análisis de Riesgos,
2. Procesos
Estrategia de Seguridad Digital, en la seguridad
3. Tecnología
ofensivas contamos con especialización en Red Team,
4. Inteligencia
Análisis de Vulnerabilidades, CSM y Pruebas de
Penetración. Ver Anexo al final de este documento para
el detalle de competencias del Faro de Inteligencia
Aplicada al Cyber Dominio.
Figura 20. Algunas certificaciones del personal del Faro de

Inteligencia Aplicada al Cyber Dominio
Inteligencia. La inteligencia es el producto que resulta del

análisis, evaluación, integración e interpretación de la
información recolectada por un servicio de inteligencia. Es el
proceso fundamental para poder proporcionar Conciencia
Situacional a los tomadores de decisión en los diversos ámbitos
del cyber dominio.
Figura 19. Pilares del Faro de Inteligencia Aplicada al Cyber Dominio

IV. RESULTADOS
1. Procesos. Como procesos entendemos la alineación
a buenas prácticas y desarrollo de una metodología Como resultado del diseño e implementación de este
propia escalable, accionable y que agregue Sistema Integral de Inteligencia de Amenazas para el Cyber
contexto y valor que integre transparentemente los Dominio denominado SIIA, se tienen los siguientes resultados
otros pilares fundamentales sin que se note
relevantes:
añadidura. Así el Faro de Inteligencia Aplicada al
1) Inteligencia accionable al contexto de cualquier
Cyber Dominio ha desarrollado una estrategia de
organización o país de Latinoamérica.- SIIA podrá
seguridad digital basada en inteligencia aplicada desarrollar un claro entendimiento del estado en relación
al cyber dominio fundamentada en varios con los ciber adversarios y su entorno, mostrando
107
inteligencia de amenazas que sufre el país por vertical sistema es proporcionar una visión global de
para poder dar contexto ante operaciones y campañas administración, implementando un enfoque de
horizontalmente entre diversas organizaciones del procesos en materia de Inteligencia Aplicada al ciber
mismo tipo y poder elaborar acciones conjuntas de dominio, con los siguientes componentes: Meta
colaboración, requerimiento fundamental para poder Procesos del Sistema Integral de Administración,
combatir efectivamente a adversarios avanzados y Sistema de Administración de Calidad de los Servicios
especializados con motivaciones símiles. de Soporte al Ciclo de Inteligencia y el Sistema de
Administración de Seguridad de la Información de
2) Aplicación de nuevos conceptos de defensa Soporte al Ciclo de Inteligencia, permitiendo dar
operativa para proteger redes y sistemas de cumplimiento a los siguientes marcos de referencia a
seguridad nacional.- Tratamiento del ciber espacio nivel mundial; Ciberseguridad ISO/IEC 27032-1:2012,
como un dominio operacional para organizar, Controles de Seguridad Críticos del SANS,
entrenar y equipar a las diversas organizaciones que Administración de Continuidad del Negocio ISO/IEC
soportan la estrategia de seguridad digital para tomar 2230, Norma ISO/ IEC 20000-1:2011, Norma ISO/
ventaja completa del potencial informativo del ciber IEC 27000- 1:2013.
espacio como teatro de operaciones para la defensa de la
infraestructura crítica 6) Implementa Visión Holística e Integral aplicando
Inteligencia interna, en contraste con Inteligencia
externa del cyber espacio.- SIIA permite colectar
3) Aplicación de Lenguaje Máquina [9] para generar múltiples fuentes de información dentro de la
tendencias y detección de amenazas no conocidas.- organización reduciendo los puntos ciegos. Esos
SIIA busca la aplicación de técnicas, algoritmos e observables son contrastados con inteligencia externa
investigación innovadora en materia de ciber que permiten categorizar y priorizar la respuesta
inteligencia sobre múltiples observables para ayudar contra los ciber adversarios.
a los analistas a encontrar patrones y atar puntos por
medio de la aplicación de aprendizaje automático o 7) Alineación con la cadena de Progresión de la
aprendizaje de máquina el cual es el subcampo de las Amenaza.- La cadena de progresión de la amenaza
ciencias de la computación y una rama de la permite estructurar operativamente, por fases, las
inteligencia artificial cuyo objetivo es desarrollar acciones ejecutadas por los ciber adversarios y de
técnicas que permitan a las computadoras aprender. esta manera responder tácticamente con el Curso de
De forma más concreta, se trata de crear programas Acción [11] más adecuado, dependiendo de las
capaces de generalizar comportamientos a partir de técnicas, tácticas y procedimientos aplicados por los
una información suministrada en forma de ejemplos. atacantes. De esta manera la organización podrá
SIIA buscará entender y clasificar dominios que sean tomar decisiones rápidas para evitar que los adversarios
legítimos o tengan una alta probabilidad de ser cumplan su objetivo, reduciendo así el impacto de un
generados aleatoriamente por medio de algoritmos de incidente de seguridad o evitando su materialización.
generación dinámica. Así como la aplicación de
similitudes computacionales corriendo algoritmos de 8) Aplicación de algoritmos de clasificación para la
clustering [10] jerárquico sobre ejecutables y la reducción de ruido de los alimentadores de
aplicación de generación de similitudes en datos inteligencia.- SIIA busca aportar contexto y valor
dispersos por medio de la exploración y entendimiento para mejorar la estrategia de cualquier organización
de peticiones HTTP legítimas basadas en estructuras basada en prevención, detección y respuesta. Es
peticiones de navegadores para la identificación de tráfico por ello que cada indicador que alimenta la base
malicioso. de datos relacionada a indicadores de amenazas,
sigue un proceso de clasificación estructurado para
darle peso a la calidad más que a la cantidad de
4) Implementa estrategia por omisión con inteligencia indicadores. De tal manera que se reduzca el ruido y se
aplicada al cyber dominio.- La instrumentación potencialice la señal.
tecnológica de SIIA contempla a la inteligencia como
ciclo operativo para mejorar la toma de decisiones. El
9) Modelo integral de servicios para generación de la
ciclo de inteligencia permite contrastar múltiples fuentes
estrategia de inteligencia.- SIIA habilita la estrategia
de información, aplicación de analítica avanzada y
de inteligencia de las organizaciones, de acuerdo a las
generación de tendencias para que las organizaciones
prioridades de las mismas a corto, mediano y largo
puedan enfocar recursos y atiendan lo prioritario en
plazo en materia de ciber inteligencia, habilitando
materia de riesgos de seguridad en el ciber dominio
controles de mitigación y evitación de riesgos, por lo
tanto se implementan modelos de servicios que permitan
5) SIIA implementa un Sistema Integral de ejecutar el análisis de la arquitectura de seguridad,
Administración de Inteligencia.- El objetivo de este determinar el impacto al negocio ante la materialización
108
de los riesgos del ciber dominio y así definir la para que se puedan beneficiar con resultados de inteligencia
estrategia de ciber seguridad por cliente, de acuerdo a su para su toma de decisiones.
contexto y normatividad relacionada. Este tipo de sistemas no es común encontrarlos en países
latinoamericanos, donde la recolección de información sobre
amenazas sea de ámbitos nacionales y regionales.
V. MEJORAS Y TRABAJO POR REALIZAR Con la integración de más empresas e instituciones se
avanzará de manera más rápida y certera en la conclusión y
Aunque SIIA está, ya en este momento, protegido por la Ley puesta en operación del mismo a nivel nacional primero y
Federal de Derechos de Autor con Número 03-2017- después a nivel regional.
031311370800-01, algunas de las patentes tecnológicas y
estratégicas que se deben optimizar y registrar son las
siguientes: VII. REFERENCIAS
[1] Arbor Network Special Report Vol. XII; Worldwide Infraestructure
1) Estrategia de Seguridad Digital Basada en un Security Report; https://arbornetworks.com/insight-into-the-global-
Sistema Integral de Administración de threat-landscape
[2] Jajodia S., Liu P., Swarup V., Wang C.; Cyber Situational awareness,
Inteligencia Issues and Research; Springer US, 2010, USA.
2) Meta Procesos del Sistema Integral de http://www.springer.com/br/book/9781441901392
Administración de Inteligencia [3] Lee R. M., Lee Roob; The Who, What, Where, When, Why and Who of
3) Inter Procesos del Sistema Integral de Administración Effective Threat Hunting; Sqrrl, 2016, USA;
http://www.sans.org/reading-room/whitepapers/analyst/who-what-
de Inteligencia where-when-effective-threat-hunting-36785
4) Metodología de Administración de Riesgos de [4] Jajodia S., Shakarian P., Subrahmanian V. S., Swarup V., Wang C.; Cyber
Inteligencia Warfare Building the Scientific Foundation; Springer International
5) Modelo Integral de servicios para la generación de la Publishing; 2015, USA;
https://link.springer.com/book/10.1007%2F978-3-319-14039-1
estrategia de Inteligencia [5] CERT Coordination Center;
6) Algoritmo de clasificación de indicadores de amenazas https://en.wikipedia.org/wiki/CERT_Coordination_Center
para la reducción del ruido [6] ISO/IEC 27032:2012; https://www.iso.org/standard/44375.html
7) Proceso de Clasificación de Indicadores Alineados [7] SANS; Critical Control Poster; 2016;
https://www.sans.org/media/critical-security-controls/critical-controls-
con la Cadena de Progresión de la Amenaza poster-2016.pdf
27 [8] Gestión de Continuidad del Negocio ISO 22301;
8) Algoritmo de Aprendizaje Máquina para la
https://www.bsigroup.com/es-MX/continuidad-delnegocio-ISO-22301/
Clasificación de Dominios Generados Aleatoriamente [9] Hussain Ibrar; Clustering in Machine Learning, 2011, USA;
9) Algoritmo de Aprendizaje Máquina para la http://www.cad.zju.edu.cn/home/zhx/csmath/lib/exe/fetch.php?media=2
Clasificación de Similitudes Computacionales en 011:presentation_ml_by_ibrar.pdf
[10] Cluster Analysis
Ejecutables. https://en.wikipedia.org/wiki/Cluster_analysis
10) Algoritmo de Aprendizaje Máquina para la [11] Bodeau D., Graubart R.; Characterizing Effects on the Cyber Adversary
Clasificación de Similitudes en Datos Dispersos por A Vocabulary for Analysis and Assessment; Bedford MA; 2013 USA.
medio de la Exploración y Entendimiento de https://www.mitre.org/sites/default/files/publications/characterizing-
effects-cyber-adversary-13-4173.pdf
Peticiones HTTP
[12] Eric M. H., Michael J. C., Roaham M. A., PhD.; Intelligence-Driven
Computer Netowork Defense Informed by Analysis of Adversary
Campaigns and Intrusion Kill Chains; Lockheed Martin Corporation;
VI. CONCLUSIONES 2014, USA.
https://www.lockheedmartin.com/content/dam/lockheed/data/corporate/
Un Sistema Integral de Inteligencia de Amenazas Aplicado documents/LM-White-Paper-Intel-Driven-Defense.pdf
[13] Las tecnologías de la información;
al Cyber Dominio resulta muy complejo en su diseño y más en http://dit.upm.es/~fsaez/intl/libro_complejidad/11-las-tecnologias-de-
su implementación debido a la gran cantidad de componentes, la-informacion.pdf
subsistemas, algoritmos, metodologías, estándares, etc. que [14] Wyman B., Scrivens W., Hoffman P., Rudis B.; The Monthly Security
deben integrarse. Awareness Newsletter For Computer User; Board; 2014, USA
https://securingthehuman.sans.org/newsletters/ouch/issues/OUCH-
En este artículo se trató de dar una visión completa pero 201307_en.pdf
bastante general, por esta razón muchos de sus descripciones, [15] Web Injection Process Used in Watering Hole Attacks; Sours Symantec.
diagramas conceptuales, arquitecturas, fases y demás etapas y https://www.symantec.com/content/en/us/about/media/pdfs/b-
fases, se presentan de forma esquemática, de sus componentes, istr_18_watering_hole_edits.en-us.pdf
[16] SANS; The Importance of Command and Control Analysis for Incident
funciones y objetivos. Response. https://digital-forensics.sans.org/blog/2014/03/31/the-
No obstante, este proyecto tiene un propósito importance-of-command-and-control-analysis-for-incident-response
fundamentalmente práctico y funcional, de tal manera que [17] SANS; Security Intelligence: Defining APT Campaigns.
interese de inmediato a instituciones de educación superior, de https://digital-forensics.sans.org/blog/2010/06/21/security-intelligence-
knowing-enemy
seguridad nacional, empresas y en general a los sectores [18] Definition: Threat Intelligence
públicos y privados para sumarse como patrocinadores y https://www.gartner.com/doc/2487216/definition%C2%AD%E2%80%
proveedores de información sobre amenazas en tiempo real 90threat-%C2%AD%E2%80%90intelligence
[19] National Cyber Security Centre.
109
https://www.ncsc.gov.uk/
[20] Carmen Aristegui revela el alcoholismo de Felipe Calderón.
https://www.youtube.com/watch?v=RAaiirLDAbo
[21] Delphy B.; Herramienta mimikatz; https://www.offensive-
security.com/metasploit-unleashed/mimikatz/
[22] Hutchins E. M., Cloppert M. J., M. A. Roham Ph.D.; Intelligence-Driven
Computer Network Defense Informed by Analysis of Aversary
Campaigns and Instrusion Kill Chains; Lockheed Martin Corporation
2014.
[23] Business Impact Analysis (BIA) on an Information System.
http://csrc.nist.gov/publications/nistpubs/800-34-rev1/sp800-34-
rev1_bia_template.docx
[24] Nessus; https://www.tenable.com/products/nessus-vulnerability-scanner
[25] Open Vas; http://www.openvas.org/
[26] Phantom; https://www.phantom.us/platform/
[27] Hussain I.; Clustering in Machine Learning; 2011;
http://www.cad.zju.edu.cn/home/zhx/csmath/lib/exe/fetch.php?media=2
011:presentation_ml_by_ibrar.pdf
Carlos Ayala Rocha egresado de la Facultad de

Ingeniería, UNAM, Consultor de Seguridad
Informática y Cyber Inteligencia con más de 12 años
de experiencia en el campo de la Seguridad
Informática, donde destacan seguridad en redes,
detección de intrusiones, respuesta a incidentes,
procesos de monitorización de seguridad en la red,
monitoreo continuo de seguridad, OPSEC, ciber
inteligencia y técnicas analíticas estructuradas para el análisis de inteligencia.
Es miembro del comité evaluador de LACNIC / LACSEC de seguridad
informática para Latinoamérica, fue revisor técnico del libro NMAP 6 network
exploration and security auditing cookbook . Actualmente es profesor en el
diplomado de Seguridad Informática de la UNAM. Es maestro en Inteligencia
y Contrainteligencia por el CISDE y la Universidad de Madrid. Miembro
fundador de la Asociación de Seguridad Informática Mexicana (ASIMX).
Asesor de la Junta de Miembros, Proctor y Mentor del SANS Institute. Ha sido
asesor de Seguridad en varias dependencias gubernamentales en el país como
Presidencia de la República, Cámara de Diputados, Pemex, CFE, SEDENA
entre otras. Cuenta con varias certificaciones de la industria como CISSP,
GREM, GCIA, GCIH, GCFA, GPEN, GCFA, GMON, GCCC, por citar
algunas y actualmente es Consultor de Seguridad Informática en Latinoamérica
para Arbor Networks.
Leobardo Hernández Audelo egresado de la Facultad

de Ciencias, UNAM, obtuvo el grado de Maestro en
Ciencias de la Computación por el IIMAS-UNAM con
Tesis sobre Protocolos Criptográficos de Autenticación.
La tesis doctoral se realiza sobre Aplicaciones de la
Criptografía a Soluciones de Problemas de Seguridad
Informática. Los últimos 23 años los ha dedicado a la
Seguridad Informática y a la Criptografía Aplicada en
trabajos de docencia, investigación y desarrollo como académico en la UNAM,
donde es Profesor de Carrera de Tiempo Completo.
110
Jorge Kamlofsky, Juan Pedro Hecht, Samira Abdel Masih
Post-Quantum Cryptography: An Elementary

and Compact Key Exchange Scheme Based on
Octonions
Jorge Kamlofsky – Juan Pedro Hecht – Samira Abdel Masih
Abstract—To start encrypted communications between two la factorización de grandes números enteros (IFP: Integer
entities using symmetric cryptography, an asymmetric Factorization Problem).
cryptography protocol like Diffie-Hellman is normally used En 1993 Peter Shor presentó un algoritmo que reduce la
to generate the required session keys. Most protocols are complejidad computacional del problema IFP mediante una
based on modular operations over integer's rings. Many are computadora cuántica [5]. A pesar que este dispositivo aún no
vulnerable to sub-exponential attacks or by using a quantum se había inventado, sólo la existencia del algoritmo, logró
computer. Cryptography based on non-commutative and non- debilitar a esta rama de la criptografía. Hoy su existencia es un
associative algebra is a growing trend as a solid option to hecho: la empresa D-Wave Systems ya vendió computadoras
reinforce these protocols. In particular, Hecht (2009) has cuánticas a Lockheed Martin, al laboratorio Los Alamos, a
presented a key exchange model based on the Diffie-Hellman Google y a la NASA, entre otros [6]. Además, IBM por su
protocol using matrices of order four with elements in Z 256,
lado, ofrece servicios en la nube con su computadora cuántica
that provides 128-bits keys also to devices with low computing
[7].
power. Kamlofsky et al (2015) presented a quickest model
using quaternions. Quaternions are four-component's vectors Desde inicios de este siglo ha crecido el interés por el
that form non-commutative rings structures. Octonions can desarrollo de criptosistemas asimétricos alternativos que sean
be formed from quaternions. It forms, non-commutative and resistentes a ataques de complejidad sub-exponencial y
non-associative structures (NCAS). This paper presents an ataques vía computadora cuántica [8 – 9]. La mayoría de estos
elementary and compact key exchange scheme using esquemas son denominados colectivamente como criptografía
octonions. post-cuántica [10]. O bien, por su naturaleza algebraica, se los
denomina criptografía no conmutativa [11]. Sobre esta línea,
Keywords— Asymmetric Cryptography, Post-quantum no se conocen ataques que hayan logrado resultados
cryptography, cryptography in non-commutative associative concretos. Dentro de esta línea, en [12] se presentó un
rings, NCAS cryptography. esquema de distribución de claves Diffie-Hellman basado en
un anillo de polinomios matriciales. Al sistema se lo denominó
I. INTRODUCCIÓN compacto debido a que no se requieren librerías de precisión
extendida, lo que hace posible su uso en procesadores de
A. Trabajos Relacionados menor porte. En [13] se implementó dicho esquema en un
Criptografía es una rama de la Matemática que trata el anillo de polinomios de cuaterniones, lo cual permitió la
problema de enviar información en forma confidencial a obtención de claves de la misma longitud (128 bits) con una
través de un medio inseguro: se cifra la información de mejora notoria en los tiempos de ejecución. En [14] se
manera que, aún cuando se encuentre disponible para presentó una mejora basada en el cambio del conjunto
cualquiera, no pueda ser utilizada, a menos que alguien numérico de módulo 8 bits a módulo 16 y 32 bits con
autorizado la descifre. En una comunicación cifrada, entonces, resultados remarcables.
pueden presentarse dos instancias diferentes: el intercambio La criptografía no conmutativa y no asociativa se presenta
seguro de claves y luego, con ello, el cifrado y descifrado del como una opción más robusta [15, 17]. Los octoniones
mensaje [1]. La Criptografía, entonces, se divide en dos conforman estructura de anillo no conmutativo no asociativo.
grandes ramas: de clave privada o simétrica, que cifra y En este trabajo, se presenta un esquema de intercambio de
descifra los mensajes y de clave pública o asimétrica, que claves basado en octoniones. Se lo llama ‘compacto’ debido a
logra el intercambio seguro de claves. que para su funcionamiento no requiere de librerías de
Diffie y Hellman fueron los pioneros de la criptografía precisión extendida. Más aún, el protocolo presentado solo
asimétrica: en 1976, en [2] presentaron el revolucionario realiza operaciones suma-producto, lo que permite que sea
concepto de criptografía de clave pública cuya seguridad aplicable a procesadores muy simples, de bajo porte. Por esto
radica en el problema de la intratabilidad del logaritmo se lo llama ‘elemental’.
discreto [3] (DLP: Discrete Logarithm Problem). Sin
embargo, por una cuestión de implementación práctica, el
esquema criptográfico de clave pública más usado hoy es RSA
[4]: su seguridad radica en el problema de la intratabilidad de
111
B. Motivación y Alcance: Las recomendaciones recientes de la NIST en la SP 800-131A

Las matrices y los cuaterniones conforman estructuras de Rev. 1 [18] para cifradores simétricos es usar claves de 256
anillos donde no se cumple la propiedad conmutativa. Los bits.
octoniones, además, no cumplen la propiedad asociativa.
Sediniones y otros números hipercomplejos de álgebras de Nociones Básicas de Criptografía Asimétrica. La
mayor dimensión tampoco cumplen la propiedad conmutativa criptografía asimétrica o de clave pública, usa elementos
ni asociativa, pero carecen de interés criptográfico ya que públicos que se comparten, y elementos privados que se
posee divisores de cero. mantienen en secreto. Generalmente usan propiedades y
En [12-14] se presentaron esquemas de intercambio de operaciones de aritmética modular en estructuras algebraicas
claves Diffie-Hellman compactos basados en matrices y de anillos de números enteros.
cuaterniones. Sin embargo, no hay implementación similar Ésta brindó, entre otras, soluciones al problema de
realizada con octoniones. presentar en forma segura claves para su uso en cifradores
simétricos: con Diffie-Hellman [2] ambas partes pueden
generar la misma clave simétrica intercambiando elementos y
C. Objetivo de este Trabajo: los algoritmos RSA [4] y ElGamal [19] permiten que se pueda
Presentar un esquema de intercambio de claves Diffie enviar esa clave simétrica cifrada a otro usuario usando su
Hellman Compacto usando álgebra no asociativa mediante clave pública.
octoniones.
Amenaza a la Criptografía: El Algoritmo de Shor y la
D. Relevancia del Tema: Computación Cuántica. En 1995 Peter Shor presentó un
La implementación del algoritmo de Shor en una algoritmo para computación cuántica basado en la
computadora cuántica es una realidad del futuro cercano. En transformada rápida de Fourier (FFT) que logra resolver en
caso de concretarse, la criptografía asimétrica clásica basada tiempo polinómico el problema IFP [5]. Es decir, permite
en campos numéricos conmutativos se encuentra bajo riesgo reducir drásticamente la complejidad del problema
de desaparición [30]. Los nuevos desarrollos en criptografía (considerado tentativamente de clase de complejidad temporal
post-cuántica, como el que aquí se presenta, permiten resolver NP) a niveles atacables [20].
esta debilidad. Una computadora cuántica usa qubits en lugar de bits. Un
qubit posee la superposición de los estados clásicos 0 y 1. Por
ello, se pueden realizar una cantidad exponencial de
E. Estructura del Trabajo:
operaciones en paralelo cuya potencia crece en relación con la
En la Sección 2 se presenta el marco teórico. En la Sección cantidad de qubits del computador cuántico.
3 se presenta al protocolo propuesto. La sección 4 contiene En 2001 se implementó el algoritmo de Shor en la primera
resultados experimentales. En la Sección 5 se presentan las computadora cuántica. En caso de convertirse en realidad
conclusiones y luego los trabajos futuros. práctica, hecho que da por sentado la NIST para un futuro
cercano [30], arrasa con la casi totalidad de los algoritmos en
la criptografía actual. Los más afectados serían los
II. MARCO TEÓRICO criptosistemas de clave pública RSA, las variantes de campos
A. La Importancia de la Criptografía en la Seguridad de las numéricos y ciertas variantes de campos algebraicos (Curvas
Comunicaciones: Elípticas) que emplean los algoritmos ElGamal y Diffie-
Nociones Básicas de Criptografía Simétrica. La Hellman [20].
Criptografía se ocupa de asegurar la integridad y
confidencialidad en las comunicaciones a través de un canal B. Criptografía Post-Cuántica Basada en Anillos no
inseguro. Para ello, el mensaje se transforma en el punto de Conmutativos y no Asociativos.
emisión mediante operaciones matemáticas de manera que sea Se utilizan estructuras de anillos de matrices cuadradas, de
imposible de interpretarlo mientras viaja en el canal inseguro, cuaterniones u octoniones entre otros, conformados por
o bien su costo en tiempo y/o recursos sean tan altos que su números enteros, por lo tanto, su seguridad radica en la
descubrimiento carezca de sentido. complejidad del tratamiento del problema DLP. Algunos
Se usan algoritmos criptográficos altamente robustos que esquemas como el presentado en [21] se basan en la dificultad
permiten además que la información se encripte bit a bit de resolver el problema SDP (Simple Descomposition
(cifradores de flujo) o en grupos de n-bits (cifradores de Problem) en un anillo no conmutativo de polinomios
bloque) permitiendo que puedan cifrarse comunicaciones en matriciales.
tiempo real [3]. Estos cifradores usan la misma clave para el Desde el punto de vista criptográfico, sólo se necesita estar
cifrado y descifrado del mensaje. A estos cifradores se los seguro de que no existe fórmula que permita reducir la
clasifica como Criptografía Simétrica. Criptosistemas complejidad del problema DLP (incluso con computadora
simétricos seguros como AES y 3DES, pueden iniciarse con cuántica). Y esto está garantizado ya que en los anillos no
claves de 128/192/256 bits o 112/168 bits respectivamente. conmutativos no existe forma de relacionar el determinante de
112
una matriz o bien sus eigenvalores con la potencia de la matriz asociativa, el álgebra de cuaterniones es asociativa, pero no
[22], parte de la clave privada, independientemente de la conmutativa. El álgebra de octoniones pierde la propiedad
cantidad de qubits que pudiera tener una computadora asociativa [24].
cuántica que ejecute el ataque. En [12] se muestran más
consideraciones de la seguridad de estos esquemas. Los Octoniones en la Física: Al principio, los octoniones no
Mientras que la seguridad de la mayoría de los protocolos parecieron ofrecer aplicaciones a la Geometría ni a la Física,
de la criptografía que usan álgebra no conmutativa se basa en por lo que fueron castigados a un rincón. En 1925, Elie Cartan
el problema del conjugado o sus derivados, la criptografía no los utilizó para descubrir el fenómeno de la trialdad, que es la
conmutativa y no asociativa se presenta como una línea simetría existente entre vectores y espinores en dimensión 8.
criptográfica más fuerte [15]. Kalta et al [16] ha generalizado Más tarde, en 1936, su importancia en Física fue vislumbrada
el ingenioso protocolo de intercambio de claves (KEP: de sus en un trabajo de Jordan, Von Neumann y Wigner sobre los
iniciales en inglés) Anshel-Anshel-Goldfeld para monoides fundamentos de la Mecánica Cuántica, aunque después no
[17] a un KEP para magmas, estableciendo la criptografía de hubo resultados relevantes [25].
clave pública no asociativa. Los octoniones conforman Según la teoría de cuerdas [26], en los niveles
estructura de anillo no conmutativo no asociativo, y son un fundamentales, el universo exhibe una simetría entre materia y
ejemplo de números hipercomplejos que conforman estructura fuerzas de la naturaleza: cada partícula de materia tiene
de magma. asociada una partícula que lleva una fuerza. A este concepto se
Aplicando la construcción de Cayley-Dickinson sobre lo denomina Super-simetría.
octoniones puede obtenerse una secuencia de álgebras de Si se tiene en cuenta el efecto del tiempo, se obtienen
dimensión 16, 32, 64 y más. Pero todas estas álgebras tienen super-simetrías en 3, 4, 6 y 10 dimensiones. Y en la teoría de
divisores de cero. Por lo tanto, por el momento parecen de cuerdas para 10 dimensiones las partículas de fuerza y materia
carecer de interés criptográfico [23]. se expresan mediante octoniones [27].
C. Origen y Uso de los Octoniones: D. Álgebra Básica de Octoniones:

Anillos no Conmutativos. Un anillo (A ; + ; .) es una Definición: Un octonión es una expresión de la forma
estructura algebraica (un conjunto A no vacío con las i=7
operaciones suma y producto) donde (A ; +) forman estructura o=α 0+ ∑ α i . ei donde α i ∈ R , e i son unidades
de grupo, y (A ; .) de semigrupo. Además, debe cumplir con la i=1
propiedad distributiva del producto respecto de la suma con imaginarias. Puede ser representado como un vector de 8
elementos del anillo. Será no conmutativo si no se verifica la componentes.
propiedad conmutativa del producto entre todos los elementos
de A. Suma: Sean los octoniones o1 = (a1 , b1 , c1 , d1 , e1 , f1 , g1 , h1)
El primer anillo de división (cuyos elementos no nulos son y o2 = (a2 , b2 , c2 , d2 , e2 , f2 , g2 , h2). La suma de dos
invertibles) no conmutativo fue el anillo de los cuaterniones octoniones resulta en otro octonión que se obtiene realizando
[23]. Otro ejemplo es el conjunto de matrices cuadradas de la suma componente a componente: o = o1 + o2 = (a1 + a2 , b1
orden n con coeficientes en A (simbolizado por Mn(A)), es un + b2 , c1 + c2 , d1 + d2 , e1 + e2 , f1 + f2 , g1 + g2 , h1 + h2).
anillo con respecto a las operaciones usuales de suma y La suma cumple las siguientes propiedades: Ley de
producto de matrices. Si n > 1, entonces Mn(A) no es composición interna, conmutativa, asociativa, existencia de
conmutativo. simétrico y elemento neutro.
Es importante destacar que los únicos elementos del
álgebra no conmutativa que conforman álgebras de división (y Producto: Las unidades imaginarias se multiplican según se
por ende no se generan divisores de cero), son los indica en la Tabla 1.
cuaterniones y los octoniones. Esto otorga mayor fortaleza a El producto de octoniones es cerrado, tiene elemento
los criptosistemas que los usan. neutro, pero no cumple las propiedades conmutativa ni
asociativa. El conjunto de Octoniones no nulos con la
Origen de los Octoniones: Fueron descubiertos por John T. operación ‘.’ (producto) forman una estructura de bucle (loop)
Graves en 1843, e independientemente por Arthur Cayley, de Moufang no asociativo [28].
quien lo publicó por primera vez en 1845. Por esta razón son a A los fines de detallar las operaciones con octoniones
veces llamados “Los números de Cayley”. necesarias para la implementación del modelo propuesto, lo
anteriormente descripto es suficiente. En [24] pueden
Un octonión puede formarse a partir de un par de
obtenerse más detalles acerca de las operaciones con
cuaterniones usando la construcción de Cayley-Dickson así
octoniones.
como los cuaterniones pueden formarse a partir de un par de
números complejos. Usando esto, a partir de un álgebra n-
dimensional puede obtenerse una nueva álgebra de dimensión
2n. Pero cada una de estas nuevas álgebras pierde una
propiedad: mientras el álgebra de complejos es conmutativa y
113
bus de datos del procesador. Así se logró mejorar la eficiencia

Tabla 1: Producto entre unidades imaginarias. en el procesamiento gracias a la reducción de cantidad de
rondas, logrando mejoras muy importantes en los tiempos de
· 1 e1 e2 e3 e4 e5 e6 e7 generación de claves.
1 1 e1 e2 e3 e4 e5 e6 e7 B. Resumen del Protocolo:

Alice elige dos octoniones aleatorios oA y oB, con elementos
e1 e1 -1 e4 e7 -e2 e6 -e5 -e3 de Zp=k*8-bits (con k = 1, 2 o 4). Luego elige como clave privada
un polinomio entero f(x) con coeficientes y exponentes en Z 16
e2 e2 -e4 -1 e5 e1 -e3 e7 -e6 tal que f(oA) ≠ 0 y dos números enteros aleatorios m y n en
Z251 y envía a Bob por el canal inseguro los elementos oA y oB.
e3 e3 -e7 -e5 -1 e6 e2 -e4 e1
Bob elige como clave privada un polinomio entero h(x) con
e4 e4 e2 -e1 -e6 -1 e7 e3 -e5 coeficientes y exponentes en Z16 tal que h(oA) ≠ 0 y dos
números enteros aleatorios r y s en Z251. Alice calcula su
e5 e5 -e6 e3 -e2 -e7 -1 e1 e4 token: rA = f(oA)m . oB . f(oA)n. Bob calcula el suyo: rB = h(oA)r .
oB . h(oA)s; y se los intercambian para el cálculo de las claves:
e6 e6 e5 -e7 e4 -e3 -e1 -1 e2 KA = f(oA)m . rB . f(oA)n (Alice), KB = h(oA)r . rA . h(oA)s (Bob).
Finalmente: KA = KB.
e7 e7 e3 e6 -e1 e5 -e4 -e2 -1 La clave obtenida para k = 1 posee 8 x 8 bits = 64 bits. Para
k = 2, la clave posee 8 x 16 bits = 128 bits y para k = 4 posee
8 x 32 = 256 bits. Para lograr una clave de 256 bits [18], el
proceso debe repetirse las veces que sea necesario, según cada
III. EL PROTOCOLO PROPUESTO caso o alternativamente expandir la clave aleatoria usando una
función Hashing criptográficamente segura.
A. Algunos Sistemas Compactos de Intercambio de Claves La figura 1 muestra un esquema del protocolo propuesto.
Diffie-Hellman Basados en Álgebra No Conmutativa:
Esquema Diffie - Hellman Compacto con Matrices
(DHCM). En [12] se presentó un sistema de intercambio de
claves Diffie Hellman [2] sobre anillos de matrices de enteros
con elementos en Z256, que utiliza como clave privada un
polinomio con coeficientes y exponentes en Z16.
Un par de ventajas surgen de ello. Primero: no se requiere
el uso de librerías de precisión extendida, por lo tanto, puede
ser usado en procesadores de pequeño porte. De allí la
calificación de compacto. La otra ventaja se relaciona con el
hecho que las matrices conforman estructura de anillo no
conmutativo. Gracias a ello, el esquema se presenta como
inmune a ataques cuánticos y ataques de complejidad sub-
exponencial.
La clave resultante es una matriz de orden 4 con elementos
en Z256 conformando así una clave de 128 bits, adecuada para Figura 1: Esquema del protocolo propuesto.
su uso en sistemas de cifrado simétrico tipo AES.
Seguridad Adicional: Si bien el uso tanto de cuaterniones
Esquema Diffie-Hellman Compacto con Cuaterniones como de octoniones garantiza la aparición de elementos nulos
(DHCQ). Diversas aplicaciones pueden implementarse con (por formar álgebras de división), y se verifica (dentro del
cuaterniones en lugar de matrices cuadradas, en menores algoritmo) que la valuación de las funciones polinómicas de
tiempos de ejecución [29]. Ello inspiró el desarrollo del las claves privadas no sea nula, el álgebra en el anillo de
esquema propuesto en [13], que resultó en un ahorro de enteros (en las componentes de los octoniones) posee
tiempo cercano al 50% bajo condiciones similares. El cálculo divisores de cero si el módulo no es primo, presentando
se realiza con cuaterniones con componentes enteros de Z 256 efectos no deseados. Para evitar este efecto, se trabaja con
de modo que cada cuaternión intercambiado conforma una módulo: el mayor primo menor a K*8 bits. Esto es: si k = 1,
clave de 32 bits. Por ello, para intercambiar claves de 128 bits, las componentes del octonión son elementos en Z251, si k = 2
se realizan 4 rondas de intercambio. sus componentes son elementos en Z65521 y si k = 4 sus
En [14] se presentó una variante donde las componentes del componentes son elementos en Z4294967279.
cuaternión son enteros donde el módulo es 8-bits, 16-bits o
32-bits de modo de adaptar el esquema a las dimensiones del Versiones Propuestas: El protocolo aquí propuesto se
114
presenta en tres versiones: DHECO8 (8 bits), DHECO16 (16 148)13 + 124.(157, 188, 177, 188, 203, 149, 217, 148) 12 + 76.
bits) y DHECO32 (32 bits). Las versiones dependen de que (157, 188, 177, 188, 203, 149, 217, 148)11 + 33.(157, 188,
cada componente del octonión sea un número entero Z251, 177, 188, 203, 149, 217, 148)10 + 166.(157, 188, 177, 188,
Z65521 o en Z4294967279. Cada intercambio de claves genera 64 203, 149, 217, 148)9 + 76.(157, 188, 177, 188, 203, 149, 217,
bits, 128 bits o 256 bits. Para obtener claves de 128 bits o 256 148)8 + 150.(157, 188, 177, 188, 203, 149, 217, 148)7 + 52.
bits debe repetirse el proceso las veces que se requiera. (157, 188, 177, 188, 203, 149, 217, 148)6 + 50.(157, 188, 177,
188, 203, 149, 217, 148)5 + 40.(157, 188, 177, 188, 203, 149,
217, 148)4 + 114.(157, 188, 177, 188, 203, 149, 217, 148)3 +
C. Un ejemplo numérico:
58.(157, 188, 177, 188, 203, 149, 217, 148)2 + 97.(157, 188,
Se presenta un ejemplo numérico de la implementación del 177, 188, 203, 149, 217, 148) + 5.(1, 0, 0, 0, 0, 0, 0, 0) =
protocolo propuesto: (112, 177, 184, 177, 99, 179, 227, 134).
Inicialización: rB = (112, 177, 184, 177, 99, 179, 227, 134)17 . (40, 207, 6,
(a) ALICE elige los elementos públicos: 33, 75, 79, 98, 54) . (112, 177, 184, 177, 99, 179, 227, 134) 177
= (90, 42, 17, 119, 150, 23, 110, 182).
oA = (157, 188, 177, 188, 203, 149, 217, 148) y o B = (40, 207,
6, 33, 75, 79, 98, 54). Bob envía a ALICE rB por el canal inseguro.
(b) ALICE elige su clave privada: Cálculo de Claves de sesión:
Elementos m = 4, n = 122 y el polinomio f(x) = 97x15 + 98x14 (g) ALICE calcula su clave:
+ 6x13 + 136x12 + 238x11 + 150x10 + 5x9 + 135x8 + 186x7 + KA = (161, 14, 128, 14, 178, 190, 147, 246)4 . (90, 42, 17, 119,
83x6 + 168x5 + 90x4 + 238x3 + 249x2 + 150x + 180. 150, 23, 110, 182) . (161, 14, 128, 14, 178, 190, 147, 246)122 =
(c) BOB elige su clave privada: (84, 242, 130, 31, 84, 244, 45, 20)
Elementos r = 17, s = 177 y el polinomio h(x) = 157x15 + (h) BOB calcula su clave:
48x14 + 53x13 + 124x12 + 76x11 + 33x10 + 166x9 + 76x8 + 150x7 KB = (112, 177, 184, 177, 99, 179, 227, 134)17 . (121, 3, 110,
+ 52x6 + 50x5 + 40x4 + 114x3 + 58x2 + 97x + 5. 243, 184, 230, 202, 171) . (112, 177, 184, 177, 99, 179, 227,
(d) ALICE envía a BOB los octoniones o A y oB por el canal 134)177 = (84, 242, 130, 31, 84, 244, 45, 20).
inseguro. Finalmente: KA = (84, 242, 130, 31, 84, 244, 45, 20) = KB.
Cálculo de tokens:
(e) ALICE calcula su token: D. Ventajas de la Solución:
f(157, 188, 177, 188, 203, 149, 217, 148) = 97.(157, 188, 177, Mayor Fortaleza: Los esquemas basados en álgebra no
188, 203, 149, 217, 148)15 + 98.(157, 188, 177, 188, 203, 149, asociativa son más resistentes que los criptosistemas no
217, 148)14 + 6.(157, 188, 177, 188, 203, 149, 217, 148) 13 + conmutativos.
136.(157, 188, 177, 188, 203, 149, 217, 148)12 + 238.(157,
188, 177, 188, 203, 149, 217, 148)11 + 150.(157, 188, 177, Criptosistema Compacto: Al no requerir de librerías de
188, 203, 149, 217, 148)10 + 5.(157, 188, 177, 188, 203, 149, precisión extendida, el esquema propuesto es apto para
217, 148)9 + 135.(157, 188, 177, 188, 203, 149, 217, 148)8 + procesadores de pequeño porte.
186.(157, 188, 177, 188, 203, 149, 217, 148)7 + 83.(157, 188,
177, 188, 203, 149, 217, 148)6 + 168.(157, 188, 177, 188, Criptosistema Elemental: Como para su implementación se
203, 149, 217, 148)5 + 90.(157, 188, 177, 188, 203, 149, 217, usan solo operaciones suma-producto, no se requiere de
148)4 + 238.(157, 188, 177, 188, 203, 149, 217, 148)3 + 249. ninguna librería específica, lo cual permite que sea
(157, 188, 177, 188, 203, 149, 217, 148)2 + 150.(157, 188, implementado con facilidad en dispositivos elementales.
177, 188, 203, 149, 217, 148) + 180.(1, 0, 0, 0, 0, 0, 0, 0) =
(161, 14, 128, 14, 178, 190, 147, 246). Inmunidad Frente a Ataques de Complejidad Sub-
exponencial: La criptografía basada en álgebra no
rA = (161, 14, 128, 14, 178, 190, 147, 246)4 . (40, 207, 6, 33, conmutativa es inmune a ataques de complejidad sub-
75, 79, 98, 54) . (161, 14, 128, 14, 178, 190, 147, 246) 122 = exponencial: a la fecha no se conocen ataques exitosos de este
(121, 3, 110, 243, 184, 230, 202, 171). tipo a esta línea criptográfica.
Alice envía a BOB rA por el canal inseguro.
Inmunidad Frente a Ataques de Computadora Cuántica:
(f) BOB calcula su token: Visto el estado actual del conocimiento en la materia, se
h(157, 188, 177, 188, 203, 149, 217, 148) = 157.(157, 188, conjetura con suficiente fundamento que el presente protocolo
177, 188, 203, 149, 217, 148)15 + 48.(157, 188, 177, 188, 203, resulta inmune a los ataques cuánticos y de computadoras
149, 217, 148)14 + 53.(157, 188, 177, 188, 203, 149, 217, cuánticas. Por tratarse de un sistema algebraico no
conmutativo y no asociativo, los octoniones no admiten
115
representación matricial. Las potencias se deben calcular en Tabla 2: Comparación de tiempos de procesamiento para la
forma exclusivamente recursiva, impidiendo la localización de obtención de 1000 claves de 256 bits con los diferentes esquemas.
potenciales generadores u órdenes multiplicativos por medio
del algoritmo de Shor, base del ataque cuántico que requiere
que la estructura sea un campo, es decir producto asociativo.
Seguridad y Performance parametrizable: Los elementos

m, n, r, s, el grado y los coeficientes de los polinomios que
conforman la clave privada son parámetros que pueden
variarse convenientemente para incrementar el espacio de
claves o bien para mejorar la performance del sistema.
E. Importancia de los Resultados:

La criptografía post-cuántica es un tema de sumo interés
mundial: La NIST (National Institute of Standards and
Technology) ha llamado a presentar propuestas e ideas acerca
del tema [30]. Y el modelo aquí propuesto cumple con los
requisitos pedidos.
IV. RESULTADOS EXPERIMENTALES

A. Resumen del Experimento:
Se analiza la demora promedio en la generación de 1000
claves de 256 bits y se la compara con los otros esquemas
basados en matrices y cuaterniones.
V. CONCLUSIONES
B. Equipamiento Usado:
El modelo propuesto es inmune a ataques de complejidad
El computador usado contiene un procesador Intel®
sub exponencial. Asimismo se presenta robusto frente a
Core™ i3-2328M CPU @ 2.20GHz × 4 y 3,7 GiB de memoria
ataques de computadora cuántica (Algoritmo Shor) por no
RAM. Se instaló una distribución GNU/Linux: Kali Rolling
emplear campos numéricos, y promete ser en general más
64-bit. Los algoritmos fueron programados en Python 2.7.10.
resistente que otros modelos basados en álgebra no
conmutativa, a pesar de tener mayores tiempos de
C. Datos Experimentales: procesamiento que otros esquemas.
La Tabla 2 muestra los tiempos de procesamiento para la Gracias a no requerir de librerías de precisión extendida,
obtención de 1000 claves para esquemas basados en matrices puede implementarse en procesadores de menor porte. Al
(DHCM), cuaterniones (DHCQ) y octoniones (DHECO), en realizarse íntegramente con operaciones sencillas, su alcance
módulo 8 bits, 16 bits y 32 bits. puede extenderse a dispositivos de procesamiento muy
El tiempo promedio (en segundos) para la obtención de elementales.
1000 claves con DHCM 8-bits fue 5,1080, con DHCQ 8-bits La posibilidad de poder variar parámetros de la clave
fue 3,7309, con DHECO 8-bits fue 14,1503 (Tabla 2.a). Para privada permite adaptar la solución según las necesidades del
16 bits los tiempos promedios obtenidos son (Tabla 2.b): usuario de seguridad y performance.
2,6836 para DHCM, 1,8967 para DHCQ y 7,1240 para
DHECO. Para 32 bits los resultados obtenidos son (Tabla 2.c):
4,9974 con DHCM, 1,8174 con DHCQ y 4,4769 con DHECO. VI. TRABAJOS FUTUROS
Como todos los coeficientes de variación (CV) son: CV < 0,1
El modelo propuesto será puesto a pruebas de fortaleza.
se acepta al promedio como indicador de tendencia central
Se implementarán las versiones del protocolo para 64 bits.
adecuado.
Se pretende desarrollar luego un esquema ElGamal basado
En este experimento generó 90.000 claves sin error.
en esta propuesta.
116
REFERENCIAS [27] Baez, John, and John Huerta. "Des octonions pour la théorie des
cordes." Pour la science 406 (2011): 70-75.
[1] Marrero Travieso, Yran: La Criptografía como elemento de la seguridad [28] Belousov, V. D. "Moufang loops", Hazewinkel, Michiel, Encyclopedia
informática. ACIMED 11.6 (2003). of Mathematics, Springer (2001).
[2] Diffie W., Hellman M.E: New directions in cryptography. IEEE [29] Kamlofsky J., Bergamini L.: Cuaterniones en Visión Robótica. V
Transactions on information theory, 22, 644-654, (1976). Congreso de Matemática Aplicada, Computacional e Industrial MACI,
[3] Menezes, Alfred J., Paul C. Van Oorschot, and Scott A. Vanstone: Tandil (2015).
Handbook of applied cryptography. CRC press (1996). [30] National Institute of Standards and Technology, Information
[4] Rivest, Ronald L., Adi Shamir, and Len Adleman. A method for Technology Laboratory – Computer Security Division. “Post-Quantum
obtaining digital signatures and public-key cryptosystems. Crypto Proyect”. [En línea], (2016) Disponible en: <http: //
Communications of the ACM 21.2, 120-126. (1978) csrc.nist.gov / groups / ST / post-quantum-crypto/>. Fecha de consulta:
[5] Shor P.: Polynomial-time algorithms for prime factorization and discrete 11/06/2017.
logarithms on a quantum computer, SIAM J. Comput., 5, 1484-1509
(1997) Jorge Kamlofsky. Graduated with a degree in Mathematics
[6] D-Wave-Systems Press Releases [en línea], (2016). Disponible en: in the Universidad Abierta Interamerican (UAI) and a
<http://www.dwavesys.com/news/press-releases>. Fecha de consulta: Specialist in Cryptography and IT Security in the Faculty of
05/06/2016. Engeneering of the Argentinean Army (EST-IUE). He is
[7] IBM: IBM Makes Quantum Computing Available on IBM Cloud to finishing a Master in IT in the UAI and doing a Doctorate in
Acceletare Innovation [En Linea], (2016). Disponible en: <https://www- Engeneering in the Faculty of Engeneering of the National
03.ibm.com/ press/ us/ en/ pressrelease/ 49661.wss>. Fecha de consulta: University of Lomas de Zamora (UNLZ). Actually he is
05/06/2016. profesor of Discrete Mahematics in the UAI and Profesor of
[8] Magliveras S.S., Stinson D.R., van Trung T.: New approaches to Algebta and Analytics Geometry in the National
designing public key cryptosystems using one-way functions and Technological Univertity (UTN). Also he is researcher in the Center of high
trapdoors in finite groups, Technical Report CORR, 2000-2049 (2000) studies on Information Techology (CAETI).
[9] Shpilrain V., Zapata G.: Combinatorial group theory and public-key
cryptography, Preprint arXiv/math.gr, 0410068 (2004)
[10] Barreto,P. et al: Introdução à criptografia pós-quântica, Minicursos do Pedro Hecht (M’2012). Se graduó como Licenciado en
Análisis de Sistemas (ESIO-DIGID), y Doctor de la
XIII Simpósio Brasileiro em Segurança da Informação e de Sistemas
Universidad de Buenos Aires (UBA). Actualmente es
Computacionais, SBSeg, (2013).
Profesor Titular de Criptografía I y II de la Maestría en
[11] Gerritzen L. et al (Editors): Algebraic Methods in Cryptography,
Seguridad Informática dependiente de las Facultades de
Contemporary Mathematics, AMS, Vol. 418, (2006) Cs. Económicas, Cs. Exactas y Naturales y de Ingeniería
[12] Hecht J.: Un modelo compacto de criptografía asimétrica empleando de la Universidad de Buenos Aires (UBA) e idéntico cargo
anillos no conmutativos. V Congreso Iberoamericano de Seguridad en la Facultad de Ingeniería del Ejército (EST-IUE). Además es el
Informática CIBSI, Montevideo (2009). Coordinador Académico de la citada Maestría (UBA), Profesor titular de
[13] Kamlofsky J.A., Hecht J.P, Abdel Masih S., and Hidalgo Izzi, O.: A Biofísica (UBA), Director de proyectos e investigador en modelos
Diffie-Hellman Compact Model Over Non-Commutative Rings Using matemáticos de UBACyT y Director titular de EUDEBA. Es miembro de
Quaternions. VIII Congreso Iberoamericano de Seguridad Criptored, IEEE Argentina, ACM SIGCSE, ACM SIGITE y otras. Área de
Informática CIBSI, Quito (2015). interés: álgebra no conmutativa aplicada a la criptografía.
[14] Kamlofsky, J.. “Improving a Compact Cipher Based on Non
Commutative Rings of Quaternion”. En XXII Congreso Argentino de
Ciencias de la Computación, (2016). Samira Abdel Masih. Se graduó de Licenciada en Matemática en la Facultad
[15] Kalka, A., and Teicher, M. "Non-associative key establishment protocols de Matemática, Astronomía y Física de la Universidad
and their implementation." Algebra and Computer Science 677 (2016): Nacional de Córdoba (UNC), y de Doctora en Ciencias
113. Matemáticas en la Facultad de Ciencias Exactas y Naturales
[16] Kalka, A. “Non-associative public-key cryptography”, arXiv preprint de la Universidad de Buenos Aires (UBA). Actualmente es
arXiv:1210.8270, (2012). Profesora Titular de Cálculo Infinitesimal II en la Facultad
[17] Anshel, I., Anshel, M. and Goldfeld, D. “An algebraic method for de Tecnología Informática de la Universidad Abierta
public-key cryptography”, Mathematical Research Letters 6 (1999), 1-5. Interamericana (UAI). También es investigadora en el
[18] Barker E., Roginsky, A. “Transitions: Recommendation for Centro de Altos Estudios en Tecnología Informática
Transitioning the Use of Cryptographic Algorithms and Key Lengths”. (CAETI), dependiente de la UAI.
NIST Special Publication 800-131A (2015).
[19] ElGamal, Taher. A Public Key Cryptosystem and a Signature Scheme
Based on Discrete Logarithms. En Advances in cryptology. Springer
Berlin Heidelberg, pp. 10–18 (1984).
[20] Hecht, JP.: Fundamentos de Computación Cuántica. Editorial .
Académica Española. ISBN 978-3-8484-7529-2 (2005).
[21] Cao Z., Xiaolei D., Wang L.: New public-key cryptosystems using
polynomials over non-commutative rings, Preprint arXiv/cr,
eprint.iacr.org/2007/009.pdf (2007).
[22] Eftekhari, M.: A Diffie–Hellman key exchange protocol using matrices
over non-commutative rings. Groups-Complexity-Cryptology, 4(1), pp.
167–176 (2012).
[23] Hamilton, W. R.: Lectures on Quaternions: Containing a Systematic
Statement of a New Mathematical Method, Hodges and Smith, (1853)
[24] Baez, J. The octonions. Bulletin of the American Mathematical Society
39.2 (2002): 145-205.
[25] Dixon, G. M. “Division Algebras: Octonions Quaternions Complex
Numbers and the Algebraic Design of Physics (Vol. 290)”. Springer
Science & Business Media,(2013).
[26] Woit, P. “String Theory: An Evaluation”. Department of Mathematics,
Columbia University .American Scientist, Vol. 90, no.2 (2002).
117
A Graph Approach to Improve Crimeware

Analysis and Classification
Jorge Kamlofsky – Jorge Mieres
Abstract— Crimeware is a software that performs illegal bits length can be found that cyphers 256 bits AES symetric
action against user running it over the Internet. Cyber-crime keys used to encrypt kidnapped data.
organizations distribute crimeware and spread it worldwide. The APWG recorded more phishing in 2016 than in any
Because crimewares are used over Internet, most of them are year since it began monitoring in 2004 [7]. The phishing
programmed in PHP. This programs have a root in the file activity trends report of 2016 states that the phishing attacks
‘index.php’ and theirs files and folders forms a tree structure was 65% over 2015. The top ten ranking of infected
from this. Therefore, to analyze crimewares using a graph machine’s rate is headed by Asian countries: China, Turkey,
approach is natural and suitable. In this paper, a model Taiwan. And all the rest of countries except Russia (6th
based of Graph Theory is used to find footprint of place), are from Latin America: Guatemala, Ecuador, Perú,
programmers in crimewares: a sample of more than 100 México, Venezuela and Brazil [7]. Because of its economic
crimewares was analyzed. The experimental results surprises. impact, Brazil has their own chapter in the repport.
Bots and crimewares are programmed for Internet.
Index Terms — Malware classification, Therefore, favorite programming language is PHP1. PHP has
Ransomware, botnets, crimeware. a clear tree structure with root in the “index.php” file where
the application starts. Many programmers normally organize
I. INTRODUCTION methods and/or functionalities in folders, each one with their
“index.php” file. And if a new program is needed, the
A. Related Works
P
programmer usually use to copy his folders, forming his own
hishing is a criminal mechanism that uses social programming pattern. This footprint can be presented by
engineering and technical tricks to steal personal graph theory. This paper present how to trace programmers
identity data of consumers and credentials from and/or to classify crimewares finding these footprints.
financial accounts. They use faked emails pretending to be
from legitimate companies and / or agencies, designed to
redirect consumers to fake websites, to steal personal B. Objectives of this Paper:
information and credentials for access to the original site. In To present a way to identify parts or components of a
many cases they installs crimeware on PCs to steal directly malware in order to improve crimeware classification or
credentials intercepting communications while the infected description.
user is transacting online [1]. To track the evolution of the crimeware and/or its
Phishing attacks are often the starting point of cyber components.
crime. The results obtained allow perpetrating the cyber
crime, not only for data collection, also for crimeware C. Relevance of the Topic:
installation. The APWG (Anti-Phishing Working Group)
The evolution of infection strategies and the monitoring of
defines Crimeware: software application designed for
infected machines propose the need to collect information of
financial crimes in on line environments. According to data interest around crimewares, which allow to collect, identify,
provided by Panda Labs (a member of APWG), during 2015, classify and analyze the source code of each crimeware, to
there was a strong increase in PUPs (Potentially Unwanted discover its potentiality and, according to this, propose
Programs) via software packages that install programs mitigation strategies to anticipate a potential attack.
without the user’s agreement. Ending 2015 a family of Analysis of the structure of the crimeware together with
crimeware caused chaos worldwide: Ransomware. It consists the source code provide the ability to collect punctual data
of a malware that kidnaps files or devices disabling certain that can be processed in order to generate a knowledge base
components [2] normally by cyphering data. and an analytical capacity to produce intelligence not only
In [3] Kaur and Kaur propose a clone detection algorithm during the crimeware analysis processes but also as a
(using neural networks) to determine the code clones and consequence of the processes collection, identification,
matching them with malware signatures in the repository for classification and analysis action; trying to find out who is
detecting Ransomwares. In order to describe, compare and behind these cybercriminal maneuvers.
understand ransomware, Gazet uses reverse engineering
techniques [4]. Wan presented a malware classifier that uses a
pattern classification algorithm [5]. In [6] Ruiz Azofra
describes cryptography behind malwares: in modern
ransomwares, two layers of RSA cypher with keys of 2048
1 http://php.net/manual/es/intro-whatis.php
118
Jorge Kamlofsky, Jorge Mieres
D. Our Contribution: a Service (SaaS) business model, called Crimeware-as-a-

The way as a programmer builds an application, and re- Service (CaaS).
uses its codes forms a footprint. This paper presents a way to
find and show this footprint. Effects. Cybercriminals can gain access to balance sheets of
worldwide companies and then manipulate stock values. They
can also make bank transfers, gain access to companies
E. Overview:
budget and financial statements; steal company's product
In section 2 the state of the art is presented. Section 3 plans and Intellectual property for industrial (and military)
presents the model proposed. Section 4 presents experimental espionage.
results and next, the importance of the findings. Section 6 Since Web attacks use security holes in browsers, the
presents the conclusions. In the end appear Future Works and problem has become a major one, compromising enterprises,
the References.
organizations and people around the world [10].
II. STATE OF THE ART
B. Crimeware:
A. Cybercrime:
Crimeware is a software that performs illegal actions
According with Gordon and Ford [8], the definitions of unanticipated by a user running the software. These actions
Cybercrime covers offenses ranging from criminal activity are intended to yield financial benefits to the distributor of the
against data to content and copyright infringement. However, software. Crimeware is an ubiquitous fact of life in modern
Zeviar-Geese [9] suggests that the definition is broader, on-line interactions. It is distributed via a wide variety of
including activities such as fraud, unauthorized access, child mechanisms and attacks [11].
pornography, and cyberstalking. The United Nations Manual APWG’s Crimeware Statistics categorize crimeware
on the Prevention and Control of Computer Related Crime attacks as follows, though the taxonomy will grow as
includes fraud, forgery, and unauthorized access [8] in its variations in attack code are spawned. Definition: Crimeware
cybercrime definition. is code designed with the intent of collecting information on
Researches shows that the number of people and the end-user in order to steal the user’s credentials. Unlike
businesses impacted by cybercrime is growing with no signs most generic keyloggers, phishing-based keyloggers have
of declining [7, 8]. tracking components, which attempt to monitor specific
actions (and specific organizations, such as financial
The Cybercrime Organization. Individual hackers that institutions, retailers, and e-commerce merchants) in order to
operates independently or groups of hackers with common target specific information [1].
goals have been replaced by hierarchical cybercrime
organizations. Target: Theft of Sensitive information. Crimeware can be
Surprisingly, they are well organized as traditional used to obtain many kind of confidential information like:
criminal organizations like The Cosa Nostra [10]. The boss: user-name and passwords, credit card numbers, bank account
He is the head of the organization, and normally does not numbers, and personal information. Also is used to obtain
meddle directly in crimes. The Under boss: Provides Trojans credentials in order to gain access into VPNs and then, to
and manages the Command and Control (C&C) of those steal industrial and/or commercial secrets, to build a denial-
Trojans. Campaign Manager: Operates beneath the under of-service attack or to encrypt compromised information and
boss. Each campaign manager have their own territory, then, offers to decrypt the data for a fee.
market, with specific characteristics (called “campaign”).
Affiliation Network: It is used to perform attacks and steal Scope. Crimeware is a subclass of a category of malware
data. They act as distributors. Attackers: Some just operate which refers generally to unwanted software that performs
malware. Other attackers hack legitimate sites by inserting malicious actions on user’s computer. In addition to
malicious code to be operated by another. Resellers: They crimeware, malware possibly includes legal but malicious
trade the stolen data. They implement pricing models for the software such as adware and spyware, illegal software without
different kinds of their products, even offering warranty in a commercial purpose, such as destructive viruses.
most cases. Crimeware not includes but can use, network analysis and
other legal tools with potential to be a part of an attack.
Crimeware Business Model. Cybercriminals use
sophisticated Criminal-2-Criminal (C2C) business models. Propagation. Crimeware generally is spread either by social
These cybercrime professionals use robust and scalable engineering or by exploiting security vulnerabilities. A typical
Crimeware that gives them maximum flexibility in terms of social engineering attack consist convincing a user to
C&C for stealing and trading data. They are deploying the download a file that contains malicious code. Example: an
'think global, act local' business strategy. They have email that invites you to see attractive pictures (pornography,
crimeware toolkits that consist in how-to software packages jokes, etc) and has attached malicious code, or sites offering
that guide attackers how to perform attacks step by step [10]. free accelerators or performance tools that also contains the
Crimeware toolkits creators also implements the Software as extra code (Rogue [2]). Security vulnerabilities are often
based on programming errors. For example in Web browsers
119
or plug-ins. Crimeware could take advantage of these and automatic techniques of analysis are used. The techniques of
install malicious code on the guest machine. These are called automatic analysis, can be classified in static and dynamic.
Exploits [2]. Static analysis gets features without code execution. It is
widespread since the technological barrier is low. In [13] the
Crimeware Variants. According Jacobsson and Zulfikar limits of these techniques are presented.
[10], there’s not a clear division between crimeware variants Dynamic analysis requires code execution in a controlled
because many attacks are hybrid: they use multiple environment. Greater complexity of malware requires a more
technologies. Keyloggers and Screenscrappers: Keyloggers complex analysis environment. In [12] the most used
are programs that monitor input of data into a machine. They dynamic analysis techniques are presented.
typically install themselves either into a web browser or as a
device driver. Screenscrappers monitor user’s input and a
D. Some Basic Definitions and Concepts of Graph Theory:
portion of the display. They can thwart alternatives on-screen
input security measures like on-screen keyboards. Both collect Graph: A graph G is a set of vertexes v∈V and edges e∈E
a set of credentials and then send it to a remote server. Email such that each edge of E is related to a pair of vertexes of V
and Messaging Redirectors: These are programs that intercept [14].
G = (V, E)
and transmit outgoing messages (emails or instant messages),
The above definition allows a graph to contain parallel
and sent an additional copy to an unintended address to
edges and / or loops.
which the attacker have access to. Session Hijackers: It refers
to an attack in which a legitimate user session is hijacked Simple Graph: The graph G is a simple graph if an only if
once the user established his or her credentials in order to there’s no parallel edges nor loops.
perform malicious actions. Web Trojans: These are malicious
programs that place fake login screens, in an effort to collect Complete Graph over n Vertexes: The graph G is a
credentials from specific sites. The information collected is complete graph if G is simple and exists a vertex that connect
stored locally and then, transmitted to the attacker. each of n vertexes of G.
Crimeware Based on Motivation and Intent. The term Graphs of Similarity: It consists of grouping similar objects
"crimeware" also includes the intent that motivates this into classes based on the properties of objects.
development. From this approach, certain classes of In order to construct a similarity graph, a similarity
crimeware can be identified as following. function must be presented. Usually these functions use some
Malware Kit: Programs that have a web management kind of distance between object’s properties. States as follow:
platform (usually written in PHP) from where the activities of s(v, w) = |pv1 – pw1| + |pv2 – pw2| + … + |pvn – pwn|
the infected computer are registered and monitored. And a
builder that allows you to develop custom malware. Examples where p are properties. Both graphs are similar if s < t (t: a
are ZeuS, SpyEye, Carber, etc. threshold value)
Exploit Kit: Programs that have a series of exploits pre-
compiled to be used by the attackers, being able to use all the Weighted Graph: It is a Graph that over each edge exists a
number (weight of the edge). It means, edges can have
exploits or not, usually written in PHP and that unlike the
different values.
first one does not include a constructor as well as the
"malwarekit" does not include exploits. The exploits kit Weight of a Graph: The weight of a graph is the sum of the
usually have a basic web administration. But the associated weights of the edges.
malware is usually distributed, generating a RAT (for
example PoisonIvy). Examples of Exploit kits are: BlackHole, Subgraph: A graph G’ = (V’, E’) is a subgraph of G = (V, E)
Phoenix, Eleonore, YES Exploit System if and only if:
DDoS Framework: Developments, usually in PHP, I) V '∈V and E '∈ E
intended to manage and monitor DDoS attacks. Examples of II) For all e' ∈E ' if e’ fall on in vi’ and vj’, then
DdoS Frameworks are: DirtJumper, RusKill. v i ' , v j ' ∈V '
Tree: A graph T is a tree if for each pair of vertexes of T

C. Malware Detection Technics:
exists only one path, without any parallel edge or loop.
Companies that fight against malware (Anti-virus
vendors) are receiving thousands of new samples every day. Tree with root: Is a tree where a vertex is designed as root.
The signatures that detect confirmed malicious threats are
mainly still created manually, so it is important to Subtree: If T is a tree, T’ is a subtree of T if T’ is a subgraph
discriminate between samples that pose a new unknown of T.
threat and those that are just mere variants of known malware
[12]. Star Graph: Is a tree with an internal vertex and k leaves
When malware is received, it is desired to know its
characteristics for identification and classification (analysis)
and then, to develop of countermeasures. Manual and
120
Representation: Graphs can be represented by sets, by draws IV. EXPERIMENTAL RESULTS

representing vertexes with small circles and edges with lines.
Graphs can also be represented by matrices. A. Overall Results:
The sample of 101 crimewares have a total of 23.662 files.
III. THE MODEL PROPOSED From these, 3430 files appear in more than one crimeware.
This means that almost 15% of files and folders are reused
A. A Brief description of the Model: codes.
Files and folders of each sample forms an unweighted and
simple tree with root in the name of the sample folder. B. Shared Subtrees:
For each sample of the set, the corresponding tree of files A shared subtree consist in a set of neighboring vertexes
and directories is obtained. that are present in more than one crimeware and form a tree
For each vertex and edge of the tree, its corresponding structure. The set of shared subtrees consists from just
MD5 hash is obtained and stored as a node or vertex. With isolated vertexes to more complex trees structures.
this, the files of the crimeware are compared by their content, Figure 1 shows a shared subtree between several
signed by MD5 hash. crimewares of the sample.
Based on the trees of each sample, we try to find subtrees system
in the rest of the samples and then interpret the results found.
Subtrees are shared by different crimewares. Therefore, a
graph that relates crimewares that has the same subtrees can reports_files.lng.en.php stats_os.lng.en.php jabberclass.php sys_user.lng.en.php
be built.
theme install
B. The experimental Environment:

Equipment: Experiments were made on a notebook Dell failed.png popupmenu.js Geobase.txt
Inspirion 3420 platform x86 64bits with 4 CPUs and 4GB
RAM. Operative system: Kali Linux Rolling based on a FIGURE 1: Subtrees shared between 7 crimewares.
Debian kernell. Algorithms were programmed in Python 2.7.
C. Relationship Star Graphs of Crimewares with Shared
Samples Used: The set used consists in 101 samples of Trees:
crimewares. They were delivered by a company of the sector:
MalwareIntelligence after requesting samples from several A higher level graph can be built with crimewares and
companies from the sector. shared trees as nodes: a weighted star graph where shared
vertexes are internal vertex and crimewares that have these
shared subtrees are leaves and the number of shared vertexes
C. Potential Users of this Model: is the weight of each edge.
Anti-malware companies: Enterprises that develop solutions Therefore, the weight of this graph could be a good
to detect and remove malware can develop a tool based on indicator of intensity of the relationship between crimewares:
this model to detect easily installed crimeware or if an the more crimewares sharing more vertexes, the greater
application is trying to install crimeware on a computer. weight of the relationship star graph. Table 1 shows weights
of the most prominent relationship star graphs.
Public Agencies to Combat Cybercrime: Cybercrime
divisions of Polices, Prosecution, or active organizations that Table 1: Outstanding Relationship Star Graphs.
fight against cybercrime can use these tools to help them
pursue authors and distributors. Shared
Vertexes
Number of
Repetitions
Weight of the
star graph
Crimewares containing shared vertices
240 9 2160 CoinerHTTP Bot, BlackHole_v1.0.3, Db0t v2

(m\xc3\xb6glicherweise Infected) Vorsicht,
Monitoring Centers: Entities responsible for the monitoring LibertyExploitSystem_2.11, Atrax, BlackHole
of the evolution of cybercrime and CERTs can use this model ExploitPack, coiner_2.0.1, Athena, AldiBOT
238 9 2142 [vOlk-Botnet]5.0.2(MX), vOlk-Botnet 4.0.2(MX),
to detect the appearance and analyze the evolution of the vOlk-Botnet 1.0.0(MX), Sapz(PE), [vOlk-Botnet]
v1.6(MX), UELP@(LatAm), vOlk-Botnet
dispersion of crimeware. 4.0(MX), Kyuss Exploit,
vOlk_iquitos_mod(LatAm)
180 7 1260 DatalifeExploitPack-0.12, multisploit, BankBOT,
ATDS, BlackEnergy.DDos.Bot.v1.8_VIP_,
D. Advantages of the Proposal: Baracuda, A-311DeathBackdoor
Ease of Understanding: Graphs facilitates understanding of 7 7 49 zeus Merry Chritsmas, Citadel 1.3.4.5
facts. In this case, shared subgraphs permits to build graphs Botnet(ZeuS_Clon),
Citadel_1.3.5.1(ZeuS_Clon), IceIX-1.5, Athena1,
of relationship between them. Familiarity or kinship between citadel_CP(ZeuS_Clon), panel
crimewares facilitate the analysis of it’s origin.

Figure 2 shows the heaviest relationship star graph of
Easy to implement: Graphs are easy to program. Subtrees crimewares with shared trees.
are built based on file’s trees.
121
emerging criminal software packages that help investigate

CoinerHTTP
Atrax Bot potential attack maneuvers, even during its execution.
Db0t v2 In this sense a case that motivated a recent line of
(m\xc3\xb6glicherweise
Infected) Vorsicht 240 240 coiner_2.0.1 investigation was the Latin American crimeware known as
240 240 "FlokiBot", that when studying the structure of its code and
Shared comparing it with other sources of crimeware, it was
BlackHole 240 vertexes 240
ExploitPack BlackHole_v1.0.3 established that it is based on version 2.0. 8.9 from a very
240 240 dangerous crimeware called ZeuS whose source code was
240 released in 2011.
Athena AldiBOT
Consequently, all processes arising from the crimeware
LibertyExploitSystem_2.11 analysis facilitate the documentation regarding its structure
and objectives to better understand its operation and thus
FIGURE 2: The heaviest relationship star graph of shared vertexes. create real-time mitigation procedures that can be coupled to
the Information Security Policy and / or Plan of Contingency.
On the other hand, during any investigation process in
D. Empty Files Star Graph: computer crimes is of utmost importance to try to find
During the experiment empty files were found in different patterns that by way of evidence allow the identification of
crimewares, with different names and extensions. This could the author (s), as well as any other indications related to the
be a pattern of the programmer. An unweighted star graph geographical origin of development malicious, target attack
could be drawn. The internal node could be a vertex called zone and potential casualties.
‘empty file’ and leaves, the name of crimewares
The following crimewares have at least an empty file: VI. CONCLUSIONS
ZEUS_1.3.1.1, CZ Stat_1.1.1-7a, BlackHole_v1.0.3, Because crimewares have a tree structure, an analysis
SpyEye_Mario-Mod, Carbon Grabber, zeus Merry Chritsmas, based on a graph approach is natural and adequate.
BlackEnergy.DDos.Bot.v1.8_VIP_, BetaBOT_v1.5, Carbon Starting from the search for shared subtrees, we obtained
form Grabber, ATDS, IceIX-1.5, SpyEye_v1.3, TinyBanker, two types of graphs star type that allow to show relations or
DirpJumper_v2, BManager_1.4, AldiBOT, carberp_, familiarity between different programs.
YESSploitSystem_2.0, BetaBOT, multisploit, Athena1, Seo The information obtained from a small sample is very
Sploit Pack, cc-grabbers admin panel bender edition, important, and its graph representation is very easy to
DirpJumper_v3, A-311DeathBackdoor, Citadel 1.3.4.5 Botnet understand, allowing improve the fight against cybercrime.
(ZeuS_Clon), Citadel_1.3.5.1 (ZeuS_Clon),
BetaBOT_v1.0.2.5, CrimeTime(LatAm), Mexico- VII. FUTURE WORKS
Kit_ss2EXE (LatAm), BlackHole ExploitPack, Cry217, In this paper, a model based on graph theory was
citadel_CP (ZeuS_Clon), Crimepack_3.1.3, Raterov1 presented. Its implementation in a sample resulted in the
[Mejorado] - (LatAm), Betabot_1.2.5, Db0t v2 obtaining of some specific graphs. Its implementation in
(m\xc3\xb6glicherweise Infected) Vorsicht, samples of larger size and variety can result in the creation of
DatalifeExploitPack-0.12, ReFF (LatAm), Carberp, new, more revealing and useful graphs.
Hugomixer_Drones_Master (LatAm), Kameleon,
YESSploitSystem_1.0, BManager, panel. REFERENCES
The sum of crimewares containing empty files is 43.
[1] Anti Phishing Working Group. “Phishing Attack Trends Report –
Therefore, the star graph of empty files have a central node 4Q2015”. [En Línea], (2016). Disponible en: <http:// docs.apwg.org / re-
and 43 vertexes (leaves). ports / apwg_trends_report_q4_2015.pdf>. Fecha de Consulta: 25 de Abril
de 2016.
[2] ESET. “Seguridad antimalware para Partners”, (2009)
V. SIGNIFICANCE OF THE FINDINGS [3] Kaur, Simarleen, and Arvinder Kaur. "Detection of malware of code clone
Recycling and reuse of files is much more frequent than using string pattern back propagation neural network algorithm." Indian
Journal of Science and Technology 9.33 (2016).
expected. By the presented approach reused files can be
[4] Ruiz Azofra, Eduardo. “Técnicas Criptográficas Utilizadas en Malware”,
tracked: it is possible to know who are behind criminal [En Línea], (2015). Disponible en: <http: // oa.upm.es / 38772 / 1 /
maneuvers. It is also possible to analyze the evolution of the PFC_EDUARDO_RUIZ_AZOFRA_2015.pdf>. Fecha de Consulta: 15 de
versions of crimeware and so, get an idea of the trends and Abril de 2017.
[5] Wan, Justin. "Malware detection using pattern classification." U.S. Patent
projections of the mutations of the crimeware and thereby No. 8,161,548. (2012).
anticipate cybercrime. [6] Gazet, Alexandre. "Comparative analysis of various ransomware virii."
From the point of view of investigation, all criminal Journal in computer virology 6.1 (2010): 77-90.
instruments leave evidence that can be linked intelligently [7] Anti Phishing Working Group. “Phishing Attack Trends Report –
4Q2016”. [En Línea], (2017). Disponible en: <http:// docs.apwg.org / re-
through different processes. Consequently, in-depth analysis ports / apwg_trends_report_q4_2016.pdf>. Fecha de Consulta: 15 de Abril
of these software packages is of paramount importance, de 2017.
mainly because it facilitates the detection and study of new [8] Gordon, Sarah, and Richard Ford. "On the definition and classification of
versions of crimeware based on others; including new and cybercrime." Journal in Computer Virology 2.1 (2006): 13-20.
122
[9] Zeviar-Geese, Gabriole. "The State of the Law on Cyberjursidiction and

Cybercrime on the Internet." Gonz. J. Int'l L. 1 (1997): 119.
[10] Ben-Itzhak, Yuval. "Organised cybercrime and payment cards." Card
Technology Today 21.2 (2009): 10-11.
[11] Jakobsson, Markus, and Zulfikar Ramzan. “Crimeware: understanding
new attacks and defenses.” Addison-Wesley Professional, (2008).
[12] Egele, Manuel, et al. "A survey on automated dynamic malware-analysis
techniques and tools." ACM Computing Surveys (CSUR) 44.2 (2012): 6.
[13] Moser, Andreas, Christopher Kruegel, and Engin Kirda. "Limits of static
analysis for malware detection." Computer security applications confer-
ence, 2007. ACSAC 2007. Twenty-third annual. IEEE, (2007).
[14] Johnsonbaugh, Richard. “Discrete Matematics”. Pearson Prentice Hall,
(2009).
Jorge Kamlofsky. Graduated with a degree in Mathematics in

the Universidad Abierta Interamerican (UAI) and a Specialist
in Cryptography and IT Security in the Faculty of Engeneering
of the Argentinean Army (EST-IUE). He is finishing a Master
in IT in the UAI and doing a Doctorate in Engeneering in the
Faculty of Engeneering of the National University of Lomas
de Zamora (UNLZ). Actually he is profesor of Discrete
Mahematics in the UAI and Profesor of Algebta and Analytics
Geometry in the National Technological Univertity (UTN). He
is researcher in the Center of high studies on Information
Techology (CAETI).
Jorge Mieres Jorge Mieres has more than 15 years of
experience in cybercriminal research and malware analysis.
In 2006 he founded MalwareIntelligence
(www.malwareint.com) and in recent years has been awarded
by Microsoft as MVP in Enterprise Security. Over the years
he has collaborated with investigations in companies and
police in Latin America. He is part of several private research
communities and is usually invited to speak at security events
and universities in Latin America. Jorge served as Senior
Threat Research & Iber-America Research Manager at the iSIGHT Partners'
Cyber Intelligence Company. Previously he was part of the research team of the
company Antivirus KasperskyLab (GReAT) and also of ESET Latin America..
123
Using the PCAP library for anonymous

communication using frame diffusion in
GNU Linux environments
Diego León 1, Franklin Mayorga 1, David Guevara 1, Javier Vargas 1 , Ernesto Jiménez 2
1
UTA - Universidad Técnica de Ambato, Ecuador
2
EPN - Escuela Politécnica Nacional – Programa Prometeo, Ecuador
2
UPM - Universidad Politécnica de Madrid, España
[dleon0074, fmayorga, dguevara, js.vargas]@uta.edu.ec, ernes@eui.upm.es
Abstract—This research shows the implementation of visibles dado por la necesidad de que los dispositivos de ruteo
anonymous communication using the PCAP library on necesitan conocer la dirección de origen y la dirección de
GNU/Linux operating systems. In network communication when destino donde se envia el paquete determinado [1].
protocols such as TCP or UDP are used, this communication
does not have a level of anonymity in the sense these protocols La librería PCAP (Packet CAPture library) es una
need to determine the source and destination addresses (in the arquitectura independiente que inicialmente fue diseñada para
case of TCP in the header of a segment, and in the case of UDP las interfaces de red de los sistemas operativos UNIX. La
in the header of a user datagram). One way to solve this problem librería provee de una interfaz de programación de
is to create an anonymous communication over the TCP/IP stack aplicaciones (API) para la captura y procesamiento de tramas
so that makes the origin/destination identification of the
interconnected equipment unnecessary. This paper propose a de tránsito en una red. Su uso es amplio, por ejemplo en varios
implementation a new approach of use of the library PCAP to programas de análisis de tráfico de red y detección de intrusos
provide a anonymous communication within in a network. For ([2], [3], [4], [5]). También se han realizado, usando esta
this, it will be used the technique of broadcasting Ethernet librería, diversas implementaciones en diferentes sistemas
frames, these data transmission units will have the same operativos. El principal objetivo con el cual fue creada la
identification between sending and receiving equipment in this librería fue poder capturar a bajo nivel los datos que forman
way it prevents the knowledge of the origin and destination of
parte del tráfico de una red, independientemente de cual sea el
the information, and will have the encryption of messages for
avoid the observability of content of transmitted data, in order sistema operativo, ya que cada sistema dispone de su propia
to maintain anonymity. forma particular de procesamiento de las unidades de datos
[6]. La librería PCAP está diseñada para ser usada con C y C+
Index Terms— Anonymous communication, Networking, +. Como tal, funciona en la mayoría de sistemas operativos
Broadcast, Ethernet frames, PCAP library UNIX (por ejemplo, GNU/Linux, Solaris, BSD). Respecto a
Windows, existe una versión denominada Winpcap.
I. INTRODUCCIÓN En este artículo se ha utilizado como ambiente de ejecución
Con la aparición y difusión de Internet se ha dado un aumento el sistema operativo Ubuntu, el cual es un sistema GNU Linux
en las comunicaciones ya sea entre usuarios y/o entre las basado en Debian. Ubuntu cuenta con una amplia gama de
aplicaciones. Esto ha originado nuevos requerimientos de compatibilidad de dispositivos, facilidad en la administración
niveles de seguridad y de privacidad. En la encriptación de de paquetes, disposición de compatibilidad y funcionamiento
comunicaciones de punto a punto se protege los datos durante existente con las librerías como PCAP.
la comunicación del acceso externo. No obstante, con este Debido a la naturaleza de la librería PCAP, de ser una
método no se oculta toda la información en la comunicación interfaz de alto nivel para sistemas de captura de paquetes, se
que se encuentra en tránsito. le ha utilizado con predominancia como parte de los
Un intruso dentro de la red aún puede comprender y adquirir analizadores de tráfico. Al implementarse estas funciones con
información en base al tráfico de unidades de datos y de los diferente enfoque en vez de ser usada solamente como una
dispositivos físicos. La exposición de la dirección de red en librería captura de unidades de datos, sino como la base para
las comunicaciones aún puede ocasionar brechas de seguridad la construcción y difusión de unidades de datos, de la
al posibilitar con facilidad la escucha de las unidades de datos comunicación dentro de una red, es posible implementar
como son las tramas y paquetes que posteriormente al mecanismos para cerrar brechas de seguridad como son la
realizarse un análisis del tráfico capturado se posibilita la exposición de direcciones de red.
capacidad de inferir del funcionamiento de la red, y En el presente trabajo de investigación se describe la
determinar los flujos de información, al observarse la implementación de la aplicación en cuestión denominada
cantidad de tramas que están en tránsito dentro de una red, y “Albatros” que hace uso de la técnica de anonimato de
examinar coincidencias y conexiones que se abren y cierran difusión de tramas utilizando la librería PCAP para la
durante un segmento de tiempo A pesar de que los datos comunicación anónima dentro de una red de servidores del
dentro de un paquete de comunicación estén encriptados, la sistema operativo Ubuntu GNU/ Linux .
información del direccionamiento de las unidades de datos son
124
Diego León, Franklin Mayorga, David Guevara, Javier Vargas, Ernesto Jiménez
La presente investigación está organizada de la siguiente distinguir del resto y el conjunto de receptores no observables
manera. En la siguiente sección, correspondiente al apartado tiene la propiedad de no poder distinguirse -desde el punto de
A, es la introducción de definiciones relacionadas con la vista de un atacante-, a un receptor del resto de los receptores
comunicación anónima. En el apartado B, se procede la de ese conjunto. La existencia de la relación de no
explicación del funcionamiento de la librería PCAP. Luego en observabilidad significa que de esta forma no es posible
el apartado C, se detalla la propuesta del diseño de la distinguir entre un emisor y un receptor que intercambian un
comunicación anónima considerando un nivel de anonimato mensaje, siendo imposible determinar que existe una relación
fiable dentro de una red. En la tercera sección, están los de envío-recepción.
resultados y análisis de las pruebas del trabajo experimental. No relacionabilidad Es la consideración por la cual un
Finalmente, las conclusiones acerca del trabajo y avances usuario puede hacer uso de múltiples recursos o procesos sin
logrados se encuentran en la sección cuarta. la posibilidad de que sea vinculado al uso de estos. La no
relacionabilidad está destinada a proteger la identificación del
usuario del perfilado de las operaciones que son realizadas.
II. MATERIALES Y MÉTODOS Ocultar la relación entre las diferentes invocaciones de un
A. Terminología proceso, o el acceso a un recurso, impedirá la recopilación de
este tipo de información.
En esta sección se presenta algunas definiciones relacionadas
con los aspectos relativos a las comunicaciones anónimas. Respecto a la visión de la comunicación, la no
Una referencia exhaustiva de los términos dentro del campo relacionabilidad significa que las entidades emisoras y
de la comunicación anónima han sido definidos por el estudio receptoras, como los mensajes, no están ni más ni menos
de Pfitzmann y Hansens, el cual ha sido modificado múltiples relacionadas con respecto a la información que se tiene antes
veces. La más reciente versión ha sido desarrollada en el 2010 de que un intruso pudiera ejecutar un ataque. Es decir, la
[7]. propiedad de la no relacionabilidad es la capacidad de no
poder vincular o determinar quién se comunica con quién.
Anonimato Según la RAE, el anonimato es la capacidad de
ser anónimo. Es decir, que la identidad de un individuo, Homonimia Según la RAE, es la condición de homónimos.
proceso o entidad sea desconocida. Para permitir el Es decir, la relación de un individuo con respecto a otros que
anonimato de un elemento, debe haber un conjunto apropiado disponen de una misma identificación. Dentro de una red de
de elementos que dispongan potencialmente de los mismos comunicación se presenta como la propiedad de identificar a
atributos. La capacidad de anonimato es el estado de no ser un conjunto de elementos con una nomenclatura especifica.
identificado dentro de un conjunto de individuos, denominado El estudio realizado de sistemas distribuidos homónimos [8],
conjunto de anonimato. No ser identificado tiene el se considera a la homonimia como la capacidad de que los
significado que el individuo no puede ser caracterizado o procesos dispongan de un mismo identificador y sea este
singularizarse de forma particular dentro del conjunto. identificador único para el conjunto de procesos predispuesto.
En un sistema que cuenta con una comunicación anónima Difusión (Broadcast) Es una técnica ya utilizada dentro de
debe contar con entidades actuantes, tales como los emisores, las redes de comunicaciones para la distribución de
que en el conjunto de anonimato consisten en los individuos información. Todos los participantes dentro de la red reciben
que podrían causar una acción. Con respecto a las entidades la misma información y seleccionan únicamente la
pasivas, tales como las receptoras, el conjunto de anonimato información de relevancia para el anfitrión. Esto permite
consiste en los elementos sobre los que se podría actuar. De imposibilitar a un atacante de poder determinar si una
esta manera, tanto el emisor como el receptor pueden ser información está dirigida hacia un receptor en particular [9].
anónimos únicamente en su respectivo conjunto de anonimato. Los aspectos a los que da protección esta técnica son: a) el
Es posible que el conjunto de anonimato puede variar respecto anonimato del receptor utilizando direcciones implícitas; b) la
al tiempo. no observabilidad del receptor respecto a los intrusos si se
No observabilidad Es el estado en que los valores actuales llegará a utilizar un tipo de tráfico de información de relleno;
de algunos de sus elementos no pueden ser determinados c) la no relacionabilidad de la pertenencia de los mensajes al
mediante sensores de salida: esto implica que su valor es receptor al utilizar direcciones implícitas en la comunicación
desconocido para el controlador y, consecuentemente, no será de los mensajes.
capaz de satisfacer las especificaciones de control referidas a El nivel de seguridad aumenta cuando se utiliza un
estas salidas. encriptado asimétrico. Respecto a los atacantes, en relación al
La no observabilidad considera la protección de los anonimato y la no relacionabilidad, se dispone de protección
mensajes en sí mismos, ya que se define como el estado de contra atacantes pasivos (observadores), tanto internos como
mensaje sea indistinguible dentro de un conjunto de mensajes externos. Con respecto a la no observabilidad, existe
del mismo tipo. Se podría decir que, al no ser observable, es mecanismo para la protección contra atacantes externos.
imposible distinguir entre un mensaje y el ruido aleatorio que Referente a las entidades de confianza de la red, al disponer
existieran dentro de una red. de claves de encriptación, si se determina utilizar tráfico de
De igual forma, en el caso del anonimato también se relleno y direcciones implícitas, no llega a ser necesario
disponen de conjuntos de elementos no observables con confiar en otra entidad ni en algún proveedor de servicios
respecto a esta propiedad. Es decir, el conjunto de emisores no externo.
observables tiene la propiedad de que cada emisor no se puede
125
126
127
128
129
Towards a Conceptual Model for Establishing a

National Cybersecurity Strategy
C. A. Lisboa ¹ – L. L. Fagundes ²
Universidade do Vale do Rio dos Sinos – UNISINOS
São Leopoldo, Rio Grande do Sul, BRASIL
Email: calisboa@edu.unisinos.br ¹, llemes@unisinos.br ²
Abstract— In addition to changing the everyday life of modern A relevância da TIC na economia, na organização da
societies, information and communication technology (ICT) has sociedade, no armazenamento da propriedade intelectual, na
changed the way countries store their intellectual property, how
they deliver their digital services, and how they control their gerência das informações dos governos e no controle das
critical infrastructures. Nations have become dependent on ICTs infraestruturas críticas, transformou o ciberespaço em uma área
and interruptions caused by vulnerabilities or sabotage in these estratégica para os países e, protegê-lo, tornou-se uma questão
infrastructures can jeopardize national sovereignty. In this de soberania nacional [4]. Fazendo uso de ameaças
scenario, many countries maintain cyber strategies for their cibernéticas, grupos organizados e Estados-nação, tentam
protection. This work presents the concepts for the establishment
of a national cybersecurity strategy through the Research method corromper a soberania de outros países através da exploração
of Grounded Theory. At the end of the analysis, a conceptual de vulnerabilidades em infraestruturas de TIC, para sabotar
model was conceived, relating all the concepts found. The research infraestruturas críticas, espionar planos militares e de governos,
shows that the concepts found are not definitive, but dynamic, and além de roubar segredos comerciais e industriais [5].
that the proposed model can be an alternative for the creation of Se estas ações criminosas, de Estado-nação ou de grupos
national cyber strategies or to review existing initiatives.
organizados, acabarem se concretizando, elas podem provocar
Index Terms— Cyber Defense, National Cyber Strategy, sério impacto social, econômico e político, o que pode abalar a
National Cybersecurity. segurança de uma nação [5]. Devido a isso, alguns países
I. INTRODUÇÃO mantêm estratégias de segurança cibernética, alinhadas com
suas estratégias nacionais de defesa.
O inventor da prensa gráfica, Johannes Gutenberg,
proporcionou as bases para uma sociedade orientada no
conhecimento e na aprendizagem de massa. Ele ficaria
Mas afinal, o que é uma estratégia nacional de segurança
cibernética? E quais são os componentes necessários para
promover a cibersegurança nacional? São estas questões que
impressionado com o potencial democrático e a capacidade de
este trabalho, ainda em desenvolvimento, busca responder,
disseminar informações proporcionado pela tecnologia da
através de uma análise de dados baseado na Teoria
informação e comunicação (TIC) [1].
Fundamentada (Grounded Theory).
Além de disseminar a informação, as TIC governam a
Este artigo está estruturado em dez partes. Após esta
condução da vida moderna, influenciando o cotidiano das
introdução, apresenta-se os objetivos, a justificativa para o
sociedades, seja na forma como se comunicam ou na condução
trabalho, o referencial teórico relacionado ao tema, a
de negócios [1].
metodologia, a apresentação dos resultados, o modelo
Nos negócios, a influência da TIC é cada vez maior na
conceitual e um estudo comparativo. Por fim, algumas
economia dos países. Segundo um levantamento do The Boston
considerações são feitas, com indicação de trabalhos futuros.
Consulting Group, entre os membros do G-20, a economia
digital contribui em média com 5,3% do PIB destes países, com
a perspectiva de, em alguns anos, ultrapassar setores como a II. OBJETIVOS
indústria e o varejo, podendo chegar a contribuir em 10% no Propor um modelo de estratégia nacional de segurança
PIB de alguns países deste bloco [2]. cibernética, demonstrando a relação de influência entre os
Da mesma maneira, os países tornam-se cada vez mais conceitos envolvidos.
dependentes de TIC em suas infraestruturas críticas, de
informação e de comunicação. Assim, quaisquer ameaças que A. Objetivos específicos
afetem a disponibilidade, integridade e confidencialidade
destes ativos, de alguma forma, atrapalham o funcionamento de • Descrever o que é uma estratégia nacional de segurança
nossas sociedades [3]. cibernética, e apresentar os conceitos necessários para sua
Essas ameaças provêm da exploração de vulnerabilidades condução, demonstrando, também, a relação de influência entre
contidas nas infraestruturas de tecnologia da informação e eles;
comunicações e, também, da falta de gestão de segurança da • Elaborar um modelo conceitual de estratégia nacional de
informação nas organizações [4]. segurança cibernética.
130
C. A. Lisboa, L. L. Fagundes
III. JUSTIFICATIVA B. O Cibercrime

Alguns casos de ataques à soberania de países, ocorridos nos O cibercrime ou crime cibernético é definido como o uso de
últimos anos, justificam a elaboração desta pesquisa. ferramentas digitais por criminosos para roubar ou realizar
Em abril de 2007, a Estônia sofreu uma série de ataques atividades ilegais [14]. O Tratado do Conselho Europeu sobre
cibernéticos em massa, destinados aos serviços de Internet do Crimes Cibernéticos definiu que os delitos do cibercrime vão
governo, mas bancos, jornais e emissoras de televisão privadas de atividades criminosas contra dados até infrações contra os
também foram afetadas. A Rússia foi suspeita da autoria do direitos autorais [15].
ataque e o caso foi considerado como primeiro ataque A International Organization for Standardization (ISO),
cibernético entre nações [6]. define o cibercrime como: “atividade criminal em que serviços
A sabotagem das instalações nucleares do Irã, em 2010, ou aplicativos no ciberespaço são usados para, ou são alvo de
através do vírus de computador Stuxnet, destruiu grande parte um crime, ou em que o ciberespaço é a fonte, ferramenta, alvo
de sua planta de enriquecimento de urânio. A suposta autoria ou local de um crime” [16].
foi imputada aos EUA e Israel [7]. Em uma definição mais ampla, a Organização das Nações
Em 2009, o ex-diplomata americano, James Lewis, revelou à Unidas inclui como atividades de cibercrime: o roubo, a fraude,
imprensa, que fontes da Central de Inteligência Americana os malwares (worms, vírus, trojans, backdoors), o acesso não
(CIA) e do Departamento de Defesa dos EUA, disseram que autorizado, a pornografia infantil, o hacking, o assédio, a
provocaram pelo menos dois apagões no sistema elétrico exploração sexual e os delitos que envolvem os direitos autorais
brasileiro, nos anos de 2005 e 2007 [8]. O Brasil também foi e de propriedade intelectual [17].
alvo do programa de vigilância mantido pelos EUA, que Atualmente, uma grande preocupação é o uso das técnicas de
monitoram e-mails e ligações telefônicas do governo brasileiro. cibercrime para ataques mais especializados e executados em
Fato revelado por Edward Snowden em 2013 e que provocou larga escala, que possam vir a atingir as Infraestruturas Críticas
mal-estar diplomático entre os governos destes países [9]. Nacionais. Uma das armas cibernéticas mais utilizadas pelos
Devido à complexidade e necessidade de informações criminosos são as botnets, que são redes robóticas de
detalhadas sobre infraestruturas, ataques deste tipo não são computadores “zumbis”, controlados remotamente, e que são
executados por usuários domésticos ou grupos hackers, mas uma ferramenta comum para atividades maliciosas na Internet
sim patrocinados por Estados-nação [10]. [6]. Outras atividades criminosas podem ser potencializadas
Casos como estes, que colocam em risco a soberania com o uso das botnets, como: a negação de serviço (DDoS), a
nacional, explicam porque as nações têm desenvolvido extorsão, roubo de identidade, spam e o phishing.
estratégias nacionais de segurança cibernética, alinhadas com Todas essas atividades criminosas também podem ser
sua estratégia de defesa nacional, para promover a proteção do utilizadas para prática de ciberterrorismo.
ciberespaço.
IV. REFERENCIAL TEÓRICO C. O Ciberterrorismo
Nessa seção serão apresentados os conceitos que suportam Para entender o significado, precisamos unir os conceitos de
essa pesquisa: terrorismo e ciberespaço. O ciberterrorismo caracteriza-se por
ataques ou ameaças contra computadores e redes, bem como às
A. Ciberespaço: informações neles armazenadas, quando feitos para intimidar
ou coagir um governo, ou seu povo, em prol de objetivos
A palavra ciberespaço apareceu pela primeira vez em um políticos ou sociais. Além disso, para se qualificar como
conto chamado “Burning Chrome”, publicado em 1982 e terrorismo cibernético, um ataque deve resultar em violência
escrito pelo autor americano Willian Gibson. Alguns anos contra pessoas ou propriedade, ou pelo menos causar danos
depois, a palavra ficou relacionada aos sistemas de suficientes para causar medo [18].
computadores conectados [11]. Como não há notícias de que os grupos terroristas tenham
Os EUA descrevem o ciberespaço como: “um domínio global dominado a tecnologia necessária para lançar ataques
dentro do ambiente de informação que consiste na rede cibernéticos de grande escala, até agora, os terroristas têm
interdependente de infraestruturas de tecnologia da informação utilizado a Internet para recrutamento, treinamento e
e dados residentes, incluindo a Internet, redes de arrecadação de fundos. Também utilizam a rede como uma
telecomunicações, sistemas informáticos, processadores e forma de propaganda, através de vídeos que mostram
controladores” [12]. Porém, essa definição esquece que as decapitações ou até mesmo ministrando treinamentos de
pessoas fazem parte do ciberespaço. maneira remota [6].
Na definição da Alemanha, além de incluir as infraestruturas As ações do ciberterrorismo devem ser combatidas,
de informação, ela destaca que: “Todos os atores da vida social principalmente, as que tenham as infraestruturas críticas como
e econômica usam as possibilidades oferecidas pelo alvo potencial.
ciberespaço e, como parte de um mundo cada vez mais
interconectado, o Estado, as infraestruturas críticas, as D. As Infraestruturas Críticas
empresas e os cidadãos na Alemanha dependem do
funcionamento fiável da informação e da tecnologia da As infraestruturas críticas são estruturas complexas e
comunicação e Internet. ” [13]. baseadas em sistemas cibernéticos que formam a linha de vida
131
de uma sociedade moderna, e sua operação, segura e confiável, A segurança da informação não é um produto ou uma
é de suma importância para a segurança nacional e a vida tecnologia, mas um processo [24], ela utiliza-se da implantação
econômica [4]. de controles adequados, que podem ser políticas,
Os países, conforme suas necessidades e visão estratégica, é procedimentos, funções de hardware/software e processos, que
que determinam quais são as suas Infraestruturas Críticas [19]. definem as regras sobre o ciclo de vida de informação:
Como exemplo, são descritos abaixo as infraestruturas críticas manuseio, armazenamento, transporte e descarte.
de Espanha, EUA e Austrália. Existem vários métodos no mercado que orientam boas
Na Espanha são 11 setores de infraestruturas críticas: a práticas de segurança da informação, uma das mais conhecidas
administração pública, o espaço aéreo, a indústria nuclear, as são as normas da “família” ISO 27000 ou ISMS (Information
instalações de pesquisa, o sistema de água, a Energia, o sistema Security Manager System). Este conjunto de normas contém
de saúde, a tecnologia da informação e comunicações, o sistema uma série de controles que têm como objetivo reduzir os riscos
de transporte, a alimentação e o sistema financeiro e tributário de ameaças sobre os ativos de informação. É importante que
[20]. fique claro, que há uma diferença entre a área do conhecimento
Nos EUA são 16 setores de infraestruturas críticas: o setor Segurança da Informação e a segurança relacionada a
químico, as instalações comerciais, as comunicações, as tecnologia da informação e das comunicações.
fábricas críticas, as barragens, a indústria de defesa, os serviços
de emergência, a energia, os serviços financeiros, a alimentação F. A Segurança de TIC
e agricultura, as instalações do governo, os cuidados de saúde e
Sua definição se assemelha ao de segurança da informação,
de saúde pública, a tecnologia da informação, os reatores
porém, a segurança de TIC, pode ser descrita como um serviço
nucleares e resíduos, o sistema de transporte e o sistema de
da segurança da informação, responsável pela proteção dos
saúde esgoto [21].
dados e fornecimento de recursos de TIC seguros [25].
Na Austrália são sete os setores de infraestruturas críticas: os
Na infraestrutura de TIC se processa o ciclo de vida da
bancos e o setor financeiro, as comunicações, a energia, os
informação, que corresponde ao manuseio, armazenamento,
alimentos e mantimentos, a saúde, os transportes e o serviço de
transporte e descarte dos dados, e em cada uma destas etapas do
água [22].
ciclo, são necessárias ações técnicas para mitigar os riscos dos
Muitas destas indústrias possuem os sistemas cibernéticos
ativos de informação. Essa gerência de riscos é uma das boas
como sua espinha dorsal, o que significa que um incidente de
práticas presentes nos conceitos da segurança da informação
segurança nos seus sistemas, pode ter impacto sobre a confiança
[3].
das operações seguras dos sistemas físicos que dependem deles.
Cabe a Segurança de TIC, manter os pilares de
Relatórios do governo americano, indicam a crescente ameaça
confidencialidade, integridade e disponibilidade e, ainda,
de ataques cibernéticos, cada vez mais sofisticados, em sua rede
acrescentar na proteção dos ativos, o não repúdio, a
elétrica e em outros sistemas de infraestruturas críticas [4].
autenticidade e confiabilidade dos ativos de informação [25].
Segundo o Departamento de Segurança Interna dos EUA,
dos 16 setores identificados como críticos, todos aumentaram
G. A Segurança Cibernética
sua dependência com a Internet para realizar as suas funções
básicas, tornando-os vulneráveis a ataques cibernéticos, que A segurança cibernética se baseia na segurança da
podem ser realizados por Estados-nação ou por grupos informação e na segurança de TIC, como blocos de construção
criminosos [4]. fundamentais. Entretanto, seus desafios ultrapassam a proteção
As medidas de proteção para as infraestruturas críticas são das informações, suas ações visam proteger a sociedade, os
elaboradas através das técnicas da Segurança da Informação, da governos e as empresas dos novos desafios do ciberespaço, tais
Segurança de TIC e da Segurança Cibernética. como: a espionagem cibernética, o ciberterrorismo e a ataque
cibernético entre países [25].
E. A Segurança da Informação Também cabe à segurança cibernética, a preocupação com
incidentes que não violam os pilares da confidencialidade,
A informação tem um valor que vai além das palavras
disponibilidade e integridade de ativos de informação, mas que
escritas, números e imagens, está presente nos conceitos, ideias
violam os direitos individuais envolvendo o uso de tecnologias
e marcas e, todos esses, são objetos que possuem um valor
da informação e comunicação, como no caso das práticas de
intangível [23]. Neste contexto, a segurança da informação é a
cyberbullying [25].
área do conhecimento que se dedica ao estudo da proteção de
Os governos em suas estratégias procuram definir o conceito
ativos contra: acesso não autorizados, alterações indevidas e
de segurança cibernética. Na Lituânia, por exemplo, é descrita
sua indisponibilidade [3].
como: “um conjunto de meios jurídicos, de difusão da
De forma ampla, pode-se dizer que esta proteção está
informação, organizacionais e técnicos destinados a tratar a
relacionada aos três requisitos principais: confidencialidade,
incidentes cibernéticos, também para restabelecer as atividades
integridade e disponibilidade. Além destes, existem outros
habituais de sistemas de gestão, de redes de comunicações
aspectos importantes para a segurança da informação que são:
eletrônicas, sistemas de informação ou processos industriais”
a autenticação, a conformidade, a autorização, a auditoria, a
[26].
autenticidade, a severidade, a relevância do ativo, a relevância
do processo de negócio, a criticidade e a irretratabilidade [3].
132
A Fig. 1 demonstra o correlacionamento entre a segurança da considerados os artigos dos últimos dez anos, mas a relevância,
informação, a segurança de TIC e a segurança cibernética e suas em número de citações, também foi considerada.
dependências em relação aos ativos de informação. Cada artigo encontrado foi selecionado com base na leitura
dos abstracts, que foram avaliados com foco nas questões de
pesquisa deste projeto.
A Fig. 2 ilustra o método de trabalho utilizado para selecionar

artigos, exibe também as etapas de pesquisa da Teoria
Fundamentada. No item B (Técnica de Análise de Dados), são
detalhadas as etapas de codificação utilizadas.
Figura 1. Relação entre Segurança da Informação, Segurança da TIC e

Segurança Cibernética. Fonte: [25]
H. A Defesa Cibernética
O conceito de Defesa e Segurança Cibernética são
complementares, porém, geralmente o conceito de defesa fica
mais adequado dentro de um contexto militar. Um exemplo Figura 2. Método de Trabalho
disso é a definição do Exército Brasileiro sobre defesa
cibernética: B. Técnica de Análise de Dados
“É conjunto de ações ofensivas, defensivas e exploratórias,
realizadas no Espaço Cibernético, no contexto de um Os artigos selecionados foram analisados, segundo as
planejamento nacional de nível estratégico, coordenado e técnicas da Teoria Fundamentada. Seus métodos se baseiam em
integrado pelo Ministério da Defesa, com as finalidades de diretrizes sistemáticas, ainda que flexíveis, para coletar e
proteger os sistemas de informação de interesse da Defesa analisar os dados visando à construção de teorias
Nacional, obter dados para a produção de conhecimento de “fundamentadas” nos próprios dados [29].
Inteligência e comprometer os sistemas de informação do A codificação foi a ferramenta utilizada neste processo de
oponente” [27]. análise pela Teoria Fundamentada, codificar significa
categorizar segmentos com dados com uma denominação
V. METODOLOGIA concisa, que, simultaneamente, resume e representa cada parte
Esta pesquisa é de natureza aplicada, caráter exploratório e dos dados [29].
abordagem qualitativa [28]. Nesta seção serão apresentados o Para que a codificação forneça os dados para a pesquisa, ela
método de pesquisa e os procedimentos metodológicos ocorre em três fases progressivas, que conceitualmente vão se
adotados. elevando, que são: Codificação Aberta, Codificação Axial e
Para responder ao objetivo deste trabalho, optou-se por Codificação Seletiva [29]. Nesta pesquisa, os dados foram
utilizar a Teoria Fundamentada como método de pesquisa. Na codificados com o uso do software MAXQDA 12 (Release
Teoria Fundamentada, o pesquisador, mediante procedimentos 12.3.1), utilizado para realizar análise de dados através da
diversos, reúne um volume de dados referentes a determinado Teoria Fundamentada.
fenômeno. Após compará-los, codificá-los e extrair suas A Tabela I exibe a descrição dos três tipos de codificação da
regularidades, conclui com teorias que emergiram desse Teoria Fundamentada e a quantidade de códigos gerados nesta
processo de análise. [28]. pesquisa em cada uma das etapas [29].
A. Desenvolvimento da pesquisa
Até o momento, foram selecionados 38 artigos coletados das
seguintes bases de pesquisa: IEEE, SCOPUS, EBSCO e
SCIELO. Uma primeira etapa de seleção consistiu no
levantamento dos artigos a partir das seguintes palavras-chave:
Cybersecurity Strategies, National Cyber Defense, National
Cyber Security Strategy, National Cybersecurity encontradas
em títulos, resumos e palavras-chave das publicações. Foram
133
TABELA I que engloba o maior número de subcategorias. Entre as

TIPOS DE CODIFICAÇÃO E QUANTIDADE DE CÓDIGOS principais, tem-se:
GERADOS NA PESQUISA
• Elaborar uma política de segurança cibernética: A
Códigos política de segurança cibernética contém os valores aos quais o
Codificação Descrição
Gerados país fica comprometido e suas diretrizes para o estabelecimento
Identifica as ideias principais em de sua estratégia. Na política da Austrália, por exemplo, o país
Aberta 101
segmentos de texto. está comprometido com a inovação, o crescimento econômico
Relaciona os códigos gerados na e a prosperidade do povo australiano. Estabelecendo cinco
Axial codificação aberta em categorias e 17 temas de ação prioritários como diretrizes para execução até
subcategorias. 2020. São eles: Uma parceria nacional em torno da
Conceitua as categorias principais de cibersegurança, a sensibilização da população, o
forma hierárquica com o objetivo de desenvolvimento de defesas cibernéticas fortes, influência
Seletiva 8 global e favorecer o crescimento e a inovação [30].
criar um conceito- chave, “core
category”. Nos EUA, o compromisso é com uma Internet aberta, segura,
interoperável e confiável que permita a prosperidade, a
A busca por artigos e a amostragem teórica são conduzidas segurança pública e o livre fluxo de comércio e de ideias. Para
para desenvolver as propriedades das categorias até que não isso, o país estabelece como objetivos estratégicos: a prevenção
surjam mais propriedades novas. Desta forma, as categorias de ataques cibernéticos contra infraestruturas críticas, redução
ficam saturadas com dados e, assim, torna-se possível de vulnerabilidades e minimizar os danos e tempos de
classificá-las e representá-las graficamente, de forma que se recuperação em caso de ocorrência de ataques cibernéticos
integrem a uma teoria emergente [29]. [31].
A análise dos artigos e a estrutura resultante da aplicação das
técnicas de codificação da Teoria Fundamentada possibilitou • Estruturas organizacionais: o Governo deve criar
encontrar os conceitos consolidados na Figura 3. estruturas organizacionais para implantar de maneira eficaz as
soluções de segurança cibernética para indivíduos,
organizações e agências governamentais. Estas estruturas
devem ser adequadas ao país e responder às necessidades
específicas da nação, ou seja, respeitando a cultura local, o
contexto econômico, a dimensão do país e o desenvolvimento
das infraestruturas de TIC [32].
Diferentes ministérios podem ser responsáveis pela
coordenação das questões de segurança cibernética e de
proteção das infraestruturas críticas. Citando alguns exemplos,
estes ministérios vão desde o Ministério da Justiça (como no
caso da Holanda e da Indonésia), do Ministério do Interior (na
Estônia e na Alemanha), o Ministério da Tecnologia (no caso
da Índia, Malásia e Tailândia) e o Ministério da Justiça e Defesa
(na Dinamarca) [33].
Alguns países definem uma autoridade cibernética nacional,
que serve para comunicar os ataques à segurança cibernética
Figura 3 - Resultado encontrado nas codificações.
nacional diretamente ao chefe de Estado e seus ministros de
VI. APRESENTAÇÃO DOS RESULTADOS defesa, este modelo é adotado pela Coreia do Sul [34].
Na Espanha, o Primeiro-Ministro detém a responsabilidade
A codificação através da Teoria Fundamentada levou à pela gestão, liderança e pela dinâmica da Política de Segurança
geração de oito conceitos (Governo, Forças Armadas, Nacional. Neste modelo, o chefe de Estado é apoiado em suas
Inteligência, CERT Nacional, Centro de Proteção de decisões por um Comitê Especializado em Cibersegurança, o
Infraestruturas Críticas, Setor Privado, Cooperação órgão é composto de órgãos governamentais com habilidades
Internacional e Regional), que são os elementos para uma em cibersegurança e integrado por especialistas do setor
estratégia de segurança cibernética propostos nesta pesquisa. privado, para coordenar as ações em conjunto [35].
Eles serão apresentados a seguir, desdobrados em suas
subcategorias principais, sustentando as ações ou atividades • O combate a cibercriminalidade: É responsabilidade
desempenhadas em cada conceito. do Governo assegurar que a sociedade esteja protegida do
cibercrime, para isso, deve promover formas de policiamento
C. Governo na Internet, para que as telecomunicações se tornem um
É o agente que possui as maiores responsabilidades em uma ambiente seguro para a sociedade [36].
estratégia de segurança cibernética, na codificação é o conceito
134
Além de medidas técnicas, outras devem ser adotadas. Em provedores anunciaram um programa que notifica os clientes
abril de 2015, o presidente dos EUA, Barack Obama, assinou que estiverem infectados por algum malware [47].
uma ordem executiva autorizando o Departamento do Tesouro
a acionar financeiramente qualquer pessoa que se utilize de • Mudança cultural e formação: A política e os
ataques cibernéticos para criar ameaças significativas à esforços legais, técnicos e operacionais não serão suficientes
segurança nacional, à política externa ou à saúde econômica dos até que uma cultura apropriada de cibersegurança seja
EUA [37]. desenvolvida e difundida entre profissionais e cidadãos. Este
A União Europeia adotou várias medidas para combater os ponto constitui um verdadeiro desafio para sustentar o
conteúdos nocivos e ilegais na Internet para proteger a desenvolvimento de uma sociedade de informação confiável
propriedade intelectual, os dados pessoais, promover o [32].
comércio eletrônico e reforçar a segurança das transações [38]. Além de difundir na população a cultura em cibersegurança,
Vários países possuem estruturas para combater o os países também se preocupam com a formação de
cibercrime. A Colômbia, por exemplo, trata o cibercrime profissionais que entendam de segurança cibernética. A França,
através do CCP (Centro Cibernético Policial), que desenvolve em seu Livro Branco, recomenda a formação de capital humano
trabalhos de prevenção, investigação e judicialização de delitos através do ensino de segurança cibernética nas universidades,
cibernéticos no país [39]. especialmente nos cursos das áreas de tecnologia da informação
A Austrália possui o Australian Cyber Security Center, que [48].
reúne a Polícia Federal Australiana, o CERT (Centro de Nos EUA, o Departamento de Defesa cita em sua estratégia,
Estudos, Resposta e Tratamento de Incidentes), agências de que pretende trabalhar com instituições de ensino para formar
inteligência e especialistas em investigações cibernéticas no uma força de trabalho focada em técnicas de cibersegurança e
combate ao cibercrime [40]. ciberdefesa [31].
A indiferença dos países em relação ao cibercrime, Na Espanha, o governo desenvolve medidas para
proporciona impunidade e cria desafios para os países em conscientizar os cidadãos, os profissionais e as empresas sobre
desenvolvimento. Se os países desenvolvidos, que possuem cibersegurança e o uso de novas tecnologias. Entre as medidas,
mais recursos e capacidades, forem mais agressivos em estão as atividades de sensibilização para que todos tenham
processar seus cibercriminosos, então os países em acesso a informações sobre vulnerabilidades, ameaças e como
desenvolvimento sofrerão menos ataques [41]. se proteger [35].
Alguns países, além de pensar na sensibilização e na
• Buscar a ciberresistência: Os países devem formação no ensino superior, preocupam-se em aumentar a
implementar medidas baseadas na dissuasão e na resiliência das conscientização desde a formação escolar, como é o caso de
infraestruturas que governam as funções vitais do Estado. A Austrália [30] e Espanha [35]. Que pensam em apoiar o
dissuasão consiste em persuadir o inimigo a não atacar, gerando desenvolvimento de módulos educacionais em cibersegurança,
no atacante a convicção de que o ataque será derrotado [42]. dirigidos a todos os níveis de ensino escolar.
Em sua política, o Reino Unido declara que deve se tornar
mais resistente a ataques cibernéticos, sendo mais capaz de • Governança em segurança da informação: Uma
proteger suas informações no ciberespaço [43]. A Lituânia boa governança em segurança da informação está no centro de
também declara em sua política a necessidade de reforçar a qualquer iniciativa bem-sucedida de segurança cibernética.
proteção do perímetro virtual do ciberespaço lituano contra os Pois, contribui para assegurar a máxima criação de valor entre
ataques cibernéticos externos [44]. as partes interessadas, sem se desviar dos valores e objetivos
As infraestruturas de segurança, baseadas em hardware e declarados e para garantir estratégias de implementação
software (como firewalls e sistemas de detecção de intrusão), e sustentáveis [49].
a implementação de controles de acesso, são importantes para Um estudo sobre os fatores de sucesso para a cibersegurança
satisfazer os requisitos de segurança das organizações. Porém, no Butão, cita o gerenciamento de riscos, o treinamento e
é interessante citar que países como a China, utilizam técnicas conscientização e elaboração de políticas como práticas
de censura como forma de proteção, argumentando que essa necessárias na implementação do governo eletrônico e
prática melhora a segurança cibernética do país [45]. gerenciamento da segurança cibernética [50].
Algumas nações implementam ferramentas para detectar A Bélgica, que possui uma estratégia de segurança
atividades maliciosas antes que elas provoquem efeitos cibernética com grande interesse na iniciativa privada,
adverso. É caso do governo da Tailândia, que bloqueia o acesso enquadra dez itens de segurança em três grandes áreas de
a sites como o YouTube e reprime a pornografia na Internet, governança da segurança da informação: visão, organização,
através de ferramentas de análise de conteúdo [46]. processos e mentalidade, para construir o alicerce da gestão
Uma prática citada por especialistas em segurança e pensada eficaz da segurança da informação [43].
por alguns países é o monitoramento e filtragem de conteúdo A governança em segurança da informação está presente em
nos provedores de Internet, com a intenção de reduzir as estratégias de vários países. Nos EUA, a Ordem Executiva
infecções por malwares enviados aos clientes. Isso já é 13.636, assinada pelo Presidente Obama, consiste de
considerado na Nova Zelândia, como forma de trazer benefícios orientações, práticas e normas para o setor privado, para
à sociedade, ao governo e aos negócios [39]. Na Holanda, os promover a proteção das infraestruturas críticas. A ideia desta
135
ordem executiva é ajudar as organizações a iniciarem um Um ataque cibernético pode ser comparado a um ataque
programa de segurança cibernética ou melhorar o que já existe. armado, se seus efeitos são comparáveis. Neste caso, o uso da
Fornecendo uma abordagem de risco, orientada à indústria e aos força convencional pode ser admitido, segundo a estratégia dos
setores de infraestruturas críticas, para reforçar sua segurança EUA [31].
cibernética [51].
Além de gerir riscos, a continuidade dos serviços de TI é • Para defender, você deve atacar: Refletir como um
pensada nas estratégias dos países e visto como fundamental atacante para se proteger e ter todos os recursos necessários
para a segurança da informação e a sobrevivência do negócio para fazer com sucesso seus ataques [43]. Um exemplo desta
como um todo [43]. prática, é o governo organizar uma equipe de resposta (ou
A ENISA (Agência Europeia para a Segurança de Redes e da através da unidade militar) para responder ao terrorismo
Informação) possui uma diretriz que contém recomendações cibernético [52].
para os Estados-membro e instituições europeias sobre como
gerir risco, vulnerabilidades e promover a gestão de • Executar ataques preventivos: A permissão de
continuidade de negócio [51]. ataque cibernético preventivo, é uma das definições da
estratégia cibernética dos EUA (UNITED STATES OF
D. Forças armadas AMERICA, 2015). Entretanto, também é apontado em artigos
como uma estratégia de caráter preventivo, constituindo-se
Para alguns países, a preocupação com segurança cibernética
como de reação lícita, mesmo sem esta nação ter avaliado
está registrada em sua estratégia de defesa nacional, e para
corretamente a atribuição do ataque a outro Estado [42].
outros, as atividades no ciberespaço são tão relevantes, que são
As ações proativas também podem ser necessárias para
doutrina militar. Desta forma, alguns países criaram estruturas
interromper informações, malwares ou atividades maliciosas
militares para a realização de operações de ataque e defesa no
hospedadas em sites, em suma, devem ser utilizadas para
ciberespaço.
neutralizar possíveis origens de ataque [38].
Os EUA possuem a USCYBERCOM (U.S. Cyber
Command), que foi criado em 2009 e é responsável pela
• Dissuasão pela negação: Baseia-se em negar seus
coordenação da defesa cibernética e das operações militares no
objetivos, convencendo o adversário de que ele não conseguirá
ciberespaço [31]. No caso americano, a criação de um comando
atingi-lo. Em outras palavras, visa persuadir o inimigo a não
militar cibernético foi necessária porque a agência de
atacar, deixando-o com a convicção de que o ataque será
inteligência, NSA (National Security Agency), é considerada,
derrotado, esta estratégia se baseia principalmente no conceito
por alguns militares, como uma organização civil e as leis
de resiliência [42].
americanas impedem que civis lutem em guerras [6].
Outros artigos pesquisados relatam as estratégias de
Em 2014, a China criou a primeira unidade de tropa do
dissuasão como uma estratégia complementar à defesa
chamado “Exército Azul”. Também responsável por operação
cibernética [38]. Na estratégia americana, a dissuasão é
de defesa e ataques cibernéticos [11]. Outro país asiático, a
abordada ao lado de redução de ameaças, redução de
Coreia do Norte, possui mais de 5.000 hackers em sua força de
vulnerabilidades, gestão de incidentes, entre outros [31].
comando, na unidade denominada 121, concentrada
exclusivamente na guerra cibernética, segundo relatórios sul-
E. Inteligência
coreanos [11].
Como outros exemplos de unidades militares cibernéticas Além de considerar o papel das Forças Armadas, é
têm-se: o Comando Conjunto Cibernético da Colômbia – fundamental considerar o papel da Inteligência na segurança
CCOC, dirigido pelo Comando Geral das Forças Armadas [39]. cibernética. As agências de inteligência são responsáveis pela
Na Espanha, o Mando de Conjunto de Ciberdefensa – MCCD é aquisição de dados e informações, também executam operações
o responsável pela defesa cibernética e fica subordinado ao secretas que podem abranger desde sabotagem até operações
Chefe do Estado-Maior da Defesa [35]. Em algumas políticas e psicológicas [33].
em artigos estudados, foi possível perceber algumas estratégias Em outra definição, temos que a guerra cibernética
adotas pelas unidades militares, tais como: compreende, na sua maior parte, atividades de espionagem
cibernética destinadas a obter segredos de Estado, roubar
• Assumir um compromisso de defesa e de resposta: segredos comerciais e obter vantagens militares [53].
Uma estratégia de segurança cibernética deve ser sobre um As agências de inteligência também podem trabalhar para
comportamento geral protetor, capaz de dirigir e controlar as garantir a transmissão segura dos dados do governo através da
capacidades de defesa e no desenvolvimento de planos de criptografia, como no caso do Serviço Federal de Proteção
resposta [32]. Russa (Spetssvyaz) e da sua Agência Federal de Comunicações
e Informação Governamentais (FAGCI/FAPSI). Trabalho
• Retaliação convencional: A resposta a um ataque semelhante ao realizado pela National Security Agency (NSA),
cibernético pode ser uma possibilidade, contudo, para alguns que lida com a criptologia no governo dos EUA [37].
países, não fica limitada ao domínio cibernético. O governo Não há dúvida, que o setor de Inteligência desempenha um
russo declarou que poderia responder a um ataque cibernético papel cada vez mais importante na segurança cibernética.
com qualquer uma de suas armas, incluindo nucleares [38].
136
Sendo que, em alguns países, é o setor de Inteligência que G. Centro de proteção de infraestruturas críticas
planeja e executa as operações no ciberespaço [33].
Um Centro de Proteção de Infraestruturas Críticas (CPIC), é
Poucos países têm o setor de inteligência operado por civis,
um órgão nacional, semelhante a um CERT, mas que atua,
é o caso do Quartel General de Comunicações do Reino Unido
exclusivamente, na prevenção, mitigação e resposta de
(GCHQ), que além de ser uma agência de inteligência de sinais,
incidentes cibernéticos contra as infraestruturas críticas (IC).
também é responsável pelo CERT do governo [33].
Este centro é um ponto de contato para troca de informações
A Austrália possui um modelo semelhante ao do Reino
entre o governo e os controladores de IC. Em alguns países, as
Unido, mas a Agência Australiana de Sinais (ASD), além de
ICs são controladas pela iniciativa privada, cabendo ao governo
coletar e analisar sinais de inteligência estrangeira, apoia o
a regulamentação dos serviços e da gestão de riscos.
Governo Australiano na tomada de decisão em assuntos
Na Espanha, o CNPIC (Centro Nacional para la Protección
militares e coordena o Centro Australiano de Cibersegurança
de las Infraestructuras Críticas) é o órgão que se encarrega de
[54].
impulsionar, coordenar e supervisionar todas as atividades de
Pelo seu papel, a Inteligência pode ser considerada o “motor”
proteção das ICs espanholas [58]. No modelo espanhol, quem
da segurança cibernética. Nos EUA, o setor é muito valorizado,
faz o contato com a indústria crítica, detecta e responde a
dado que o país possui dezesseis agências de Inteligência, que
incidentes é o CERTSI [59].
atuam de forma independente e coordenada pela U.S.
O modelo americano é baseado na gestão de riscos, e o ICS-
Inteligence Community, na coleta de informações para garantir
CERT (Industrial Control Systems Cyber Emergency Response
a segurança nacional [55].
Team) é o órgão que auxilia proprietários e operadores de IC a
Tanto o setor de Inteligência, assim como os CERTs coletam
identificar vulnerabilidades e a desenvolver estratégias de
informações sobre ameaças, porém, é interessante fazer uma
mitigação de riscos para reforçar a segurança cibernética [60].
distinção. Enquanto o CERT coleta e compartilha informações
Na Austrália, o TISN (Trusted Information Sharing Network)
sobre vulnerabilidades e suas soluções, a Inteligência explora
tem a função de reunir regularmente os sete grupos de
estas vulnerabilidades na tentativa de transformá-las em
infraestruturas críticas para compartilhar informações sobre
potenciais armas cibernéticas [33].
vulnerabilidades e construir iniciativas de resiliência e
continuidade de negócios [61]. A proteção cibernética efetiva é
F. CERT Nacional
realizada pelo CERT Austrália, que fornece acompanhamento
O objetivo de um CERT nacional é coletar informações sobre e apoio contra ameaças e vulnerabilidades para os proprietários
ameaças e vulnerabilidades, para fornecer e informar soluções e operadores de IC [61].
para as partes interessadas. Os CERTs têm como grande função Além do CPIC, os países, citados acima, adicionaram
a partilha de informações entre os agentes civis, militares, mecanismos regulatórios para a proteção de suas ICs. Os EUA
governo e o setor privado [33]. possuem a Executive Order 13636, a Presidential Decision
O trabalho do CERT é parte importante na defesa cibernética, Directive 8 e a Presidential Decision Directive 21. A Espanha
pois faz uma análise das ameaças, da consciência da situação, possui a Ley 8/2011 e o Real Decreto 704/2011.
da resiliência e é crucial para a gestão de crises e respostas a Outro controle utilizado pelos países é a elaboração de um
incidentes [33]. Também trabalha na formação de pessoal plano de implementação prático para as ICs, que também pode
qualificado, elabora guias de segurança, emite relatórios de estar na forma de uma declaração política. Nos EUA é o NIPP
cibersegurança e desenvolve ferramentas para combater (National Infraestructure Protection Plan), na Espanha é o
malwares e gerir riscos de segurança da informação. PNPIC (Plan Nacional de Proteección de Infraestructuras
Países que merecem a referência são os EUA, com o US- Criticas) e na Austrália é o Critical Infraestructure Resilience
CERT [56], e a Espanha, com o CCN-CERT [57], que Strategy.
trabalham de forma semelhante na emissão de alertas nacionais
e gestão sobre incidentes e vulnerabilidades para órgãos H. Órgãos reguladores
públicos e a iniciativa privada. Também oferecem serviços
Estabelecer um marco jurídico para a cibersegurança, em
como o sistema de alerta precoce, na tentativa de agir antes que
colaboração com atores governamentais e privados, com o
um incidente ocorra ou, pelo menos, detectar a primeira
intuito de identificar e tratar todos os riscos digitais, faz parte
ocorrência e, desta forma, reduzir o seu impacto. Na América
da estratégia de segurança cibernética [43].
do Sul, a referência é o Grupo de Respuesta a Emergencias
No entanto, esse quadro jurídico credível adotado na
Cibernéticas de Colombia (colCERT), a organização nacional
legislação nacional deve ser compatível com as normas
responsável pela coordenação das questões de cibersegurança e
internacionais e deve garantir a segurança dos usuários na
ciberdefesa na Colômbia [39].
Internet [43]. A legislação deve ser capaz de aumentar o nível
Devido à importância do trabalho realizado pelo CERT
de riscos percebidos e o nível de riscos que serão assumidos
nacional, alguns países transformaram o CERT em um centro
pelos cibercriminosos, através de medidas judiciais e policiais
de excelência em segurança cibernética, realizando um arranjo
adequadas [32].
institucional que facilita o compartilhamento de informações e
Medidas como a proteção ao comércio eletrônico devem ser
o trabalho em conjunto de equipes militares e civis na resposta
adotadas. É o caso do Reino Unido, cuja Lei do Comércio
a emergências de computadores. É o caso, por exemplo, da
Eletrônico de 2002, em conjunto com a Lei de Proteção de
França e da Austrália [33].
137
Dados de 1998, exige que os fornecedores estabeleçam uma Espanha considera fundamental a proteção do patrimônio
segurança adequada para os dados dos clientes [36]. tecnológico do país, bem como o da propriedade intelectual e
A Lituânia é outro exemplo, o país aprovou vários atos industrial do setor privado [35].
jurídicos estratégicos para promover a garantia de sua
segurança cibernética, como resoluções de governo e J. Cooperação regional e internacional
programas para desenvolvimento da segurança da informação.
Neste mundo interligado e devido à natureza do cibercrime,
A regulamentação jurídica do país corresponde à da União
é necessária a cooperação internacional. Não basta que as
Europeia, uma vez que implementa as medidas previstas na
estruturas organizacionais nacionais sejam eficazes para
estratégia do bloco [44].
responder às necessidades da nação. São necessárias, também,
O sucesso de uma estratégia de segurança cibernética passa
ações de colaboração com países em nível regional e
pela regulação das infraestruturas críticas, controle do
internacional [32].
cibercrime e ciberterrorismo e, além disso, deve estar em
Essas ações são necessárias, pois nenhum país pode fazer sua
conformidade com normas do Direito Internacional [42].
proteção sozinho. Instrumentos devem ser desenvolvidos para
No caso de um ataque cibernético, uma resposta equivocada
aperfeiçoar a cooperação internacional, para permitir que os
pode provocar uma violação do Direito Internacional. As
líderes desenvolvam relações de confiança [62]. Os governos
estratégias ativas de defesa parecem ser uma alternativa
podem, por exemplo, reforçar a cooperação com organizações
sustentável e juridicamente funcional para o Estado atacado que
internacionais, grupos e outros países, a fim de identificar a
não deseja permanecer indefeso [42].
origem e responder a ataques [34].
Entretanto, a atribuição de autoria de um ataque a um Estado,
Por outro lado, a ausência de cooperação internacional pode
mesmo quando ocorre a identificação do local de origem,
isolar alguns países e, devido a isso, torná-los refúgios para
constitui um desafio, pois o incidente pode ter sido provocado
criminosos. Um exemplo disso, é a falta de tratados ou acordos
por um indivíduo ou grupo, que não representa os interesses
internacionais entre a União Europeia e os EUA com a Rússia,
nacionais [42].
para lidar com ataques cibernéticos. O que permite que muitos
A ONU, através da Declaração sobre os Princípios de Direito
cibercriminosos radicados na Rússia operem no país e fiquem
Internacional de 1970, diz que os Estados são responsáveis por
impunes [63].
impedir que atos que possam lesar outro Estado sejam
Em 2014, computadores da Korea Hydro and Nuclear Power
cometidos em seu território [42]. Isso quer dizer que cada
(KHNP), empresa que controla as usinas nucleares da Coreia
Estado-membro tem o dever de proibir a proliferação das
do Sul, sofreram um ataque cibernético. Durante a investigação,
atividades que, conduzidas dentro do seu território, incitam a
endereços IP chineses foram identificados e o governo coreano
guerra civil ou o terrorismo em outras nações [42]
pediu ajuda ao governo chinês. Apesar da tímida cooperação
Desta forma, buscando aprimorar suas estratégias, os países
do governo chinês no caso, devido as suas relações com a
procuram manter os compromissos com a proteção dos direitos
Coreia do Norte, o gesto foi visto como positivo, mesmo sendo
fundamentais, tais como: a liberdade de expressão, a
uma cooperação superficial [64].
privacidade, a proteção dos dados e a igualdade de acesso à
Em 2007, a Estônia sofreu um severo ataque cibernético
Internet, compromissos que, geralmente, espelham o que é
contra suas infraestruturas de TIC, apesar de as suspeitas de
mencionado em suas constituições [53].
autoria da Rússia, nenhuma acusação oficial foi feita. O país
pediu ajuda em segurança cibernética para a OTAN
I. Setor privado
(Organização do Tratado do Atlântico Norte) [41]. No caso
Uma estratégia de segurança cibernética depende de uma estoniano, o país contava com Tratado de Assistência Jurídica
eficaz parceria entre as empresas, o governo, a academia e a Mútua com a Rússia, para o auxílio em investigações em caso
sociedade civil [32]. O estabelecimento de parcerias e a de ciberataques. Porém, a Rússia se recusou a ajudar [41].
cooperação entre todos os setores e a sociedade são questões
críticas [62]. VII. MODELO CONCEITUAL
Nos EUA, o setor privado é parte integrante do Plano
Nacional para Infraestruturas Críticas, isso porque muitas Após a descrição de todos os conceitos desenvolvidos,
destas indústrias são da iniciativa privada. O Departamento de através da análise da Teoria Fundamentada, é possível
Defesa do EUA trabalha em parceria com o setor privado para responder a segunda questão de pesquisa proposta: Quais são
ajudar a manter seu comércio e indústria seguros, buscando os componentes necessários para promover a cibersegurança
mantê-los preparados contra ciberataques e espionagem nacional?
cibernética. Além disso, considera o setor privado um dos O modelo conceitual proposto na Fig. 4 exibe os
pilares para a construção de uma força de trabalho capacitada componentes de uma estratégia nacional de segurança
em TIC [31]. cibernética e como eles se relacionam com seus fluxos de
A Austrália considera que, para possuir uma estratégia coordenação, regulamentação e compartilhamento de
cibernética forte, é necessário um trabalho em parceria entre informações.
governo, o setor privado e a comunidade. Um exemplo disso é
a localização do ACSC, que foi pensada para permitir um maior
trabalho coordenado entre o Governo e o Setor Privado [30]. A
138
Apoio da Academia
Cooperação Cooperação Técnica
Internacional e
Combate ao Cibercrime
Regional
Para estabelecer uma comparação entre modelos, a tabela III

estabelece os critérios utilizados para definir as comparações
com os demais modelos.
TABELA III
DEFINIÇÕES PARA AVALIAÇÃO DOS CONCEITOS DO MODELO
PROPOSTO COM OS DEMAIS MODELOS
Este item possui a mesma função

SIM √ no modelo proposto.
O modelo proposto não possui
Figura 4. Modelo conceitual de estratégia nacional de segurança cibernética.
NÃO × esta função.
O modelo proposto atende de
PARCIAL ● forma parcial este item.
VIII. ESTUDO COMPARATIVO
Esta seção faz um estudo comparativo entre os conceitos A. Estabelecendo as comparações com o ITU/GCI
sugeridos por este modelo conceitual, com as propostas O primeiro modelo a ser comparado com o modelo conceitual
definidas em outros modelos. proposto, é a pesquisa realizada em 2017 pelo ITU
Para que se possa estabelecer comparações, na tabela II, (Internacional Telecommunication Union), denominado de
temos os conceitos e, principais, ações do modelo conceitual Global Cybersecurity Index (GCI), que é uma pesquisa que
proposto por esta pesquisa. mede o compromisso de alguns países com a sua segurança
cibernética [65].
TABELA II
O GCI é baseado no Cybersecurity Capacity Maturity Model
PRINCIPAIS AÇÕES ENCONTRADAS NO MODELO CONCEITUAL
for Nations V.1.2 – (CMM), o modelo mede a maturidade dos
PROPOSTO NESTA PESQUISA
países quanto as suas estratégias de cibersegurança, e gira em
torno de cinco pilares que são: Legais, Técnicas, Organização,
CONCEITOS AÇÕES Capacidade e Cooperação.
Políticas de Segurança Cibernética Para estabelecer uma comparação, na tabela quatro, temos os
Estruturas Organizacionais pilares e sub-pilares utilizados pelo GCI. Estes serão
Governo Ciberresistência comparados com as definições da tabela III, para verificar se o
Governança de SI modelo conceitual proposto possui, em suas ações, definições
Cultura e Formação semelhantes ao ITU/GCI.
Ataque Preventivo
Dissuasão pela Negação TABELA IV
Forças Armadas
Defesa e Resposta PILARES E SUB-PILARES DO MODELO CONCEITUAL UTILIZADO
Retaliação Convencional PELO GCI
Espionagem e Contraespionagem
Inteligência Compartilhamento de Informações PILAR SUB-PILARES COMPARAÇÃO
Transmissão Segura de Dados Legislação criminal √
Resposta a incidentes Regulação de √
CERT Nacional Compartilhamento de Informações Legislação cibersegurança
Formação Treinamento em
×
Centro de Resposta a Incidentes cibersegurança
Proteção de Aplicação das Leis CERT Nacional √
Infraestuturas CERT do Governo ●
Compartilhamento de informações
Críticas (CPIC) CERTs setoriais ×
Lei de Inteligência Técnico Organizações padrão √
Órgãos
Lei de Combate ao Cibercrime Padrões e certificação para
Reguladores ×
Lei de Proteção às Infraestruturas Críticas profissionais
Compartilhamento de Informações Proteção online infantil ●
Setor Privado
Apoio à Indústria Cibernética Organização Estratégia √
139
Agência responsável √
Métricas de
●
cibersegurança
Padronização ×
Boas práticas √
Programas de P&D √
Campanhas de
●
conscientização pública
Cursos de formação
Capacidade
●
profissional
Programas nacionais de
educação e currículos √
acadêmicos
Mecanismos de incentivo √
Indústria doméstica de
●
cibersegurança
Figura 5. Onde os conceitos do modelo proposto ficariam representados dentro
Cooperação intra-estadual √
do ITU/GCI.
Acordos multilaterais √
Cooperação Participação internacional √ B. Estabelecendo as comparações com o BDI/OEA
Parcerias público-privadas √
Parcerias interagências √ Do mesmo modo, com a finalidade de fazer comparações, na
tabela cinco temos os itens utilizados na pesquisa realizada pelo
Realizando uma análise das diferenças encontradas, BID (Banco Interamericano de Desenvolvimento) e pela OEA
encontram-se abaixo: (Organização dos Estados Americanos) em 2016, denominada:
Ciberseguridad: Estamos preparados en América Latina y el
• Legislação: o modelo conceitual proposto não Caribe?
contempla uma legislação para treinamento em cibersegurança. Esta pesquisa também se baseia no CMM para medir a
• Técnico: o modelo conceitual proposto contempla a maturidade das estratégias de cibersegurança destes países.
criação de um CERT Nacional, que também trate as ações do Semelhante a comparação anterior, suas dimensões serão
governo, porém não cita os CERTs Setoriais. O modelo comparadas com as definições da tabela III, para verificar se o
conceitual proposto cita o combate ao cibercrime, mas não modelo conceitual proposto possui, em suas ações, definições
estabelece ações específicas para a proteção das crianças no semelhantes.
ciberespaço.
• Organização: os itens se correspondem, mas no TABELA V
modelo conceitual proposto não há de maneira clara a definição DIMENSÕES UTILIZADAS NA PESQUISA SOBRE
de métricas para a cibersegurança. CIBERSEGURANÇA REALIZADA PELO BID/OEA
• Capacidade: o modelo conceitual proposto não cita
claramente a adoção de padrões, conforme definido pelo item DIMENSÕES SUB-DIMENSÕES COMPARAÇÃO
Padronização. Mas todos os outros itens estão dentro das ações Estratégia oficial de
do conceito Governo, na promoção de campanhas e cursos de documentação
formação. A pesquisa cita a criação de uma indústria Política e nacional de √
cibernética nacional como uma questão de estratégia nacional, Estratégia segurança
mas não representa uma ação necessária para a segurança cibernética
nacional, na pesquisa realizada, poucos países contemplavam Defesa cibernética √
esta ação em suas estratégias. Mentalidade de
• Cooperação: o modelo conceitual proposto segurança √
contempla estas ações de cooperação internacional e regional. cibernética
Consciência de
Cultura e
A figura 5, exibe como ficam desdobrados os conceitos do segurança √
Sociedade
modelo proposto, dentro dos pilares do ITU/GCI. cibernética
Confiar no uso da
√
Internet
Privacidade Online √
Disponibilidade
nacional de ciber
Educação √
educação e
treinamento
140
Desenvolvimento
nacional de educação √
em cibersegurança
Formação e
iniciativas em
√
educação pública e
privada
Governança
corporativa,
√
conhecimentos e
padrões
Marcos jurídicos
para a segurança √
cibernética
Legislação Investigação legal ●
Divulgação
Figura 6. Onde os conceitos do modelo proposto ficariam representados
responsável da ● dentro do BDI/OEA.
informação
Aderência aos
√ IX. CONCLUSÃO
padrões
Organizações de Após o desenvolvimento teórico proporcionado na
coordenação de elaboração deste trabalho, será respondida a primeira questão
√
segurança de pesquisa proposta: O que é uma estratégia nacional de
cibernética segurança cibernética?
Resposta a incidentes √ É a adoção de medidas jurídicas, organizacionais, técnicas
Resiliência da e de cooperação internacional, guiadas pelos princípios da
Tecnologia infraestrutura √ Segurança da Informação, da Segurança de TIC e da
nacional Segurança Cibernética, destinadas a evitar, identificar,
Proteção da analisar e responder a incidentes cibernéticos, através de
infraestrutura crítica √ ações coordenadas pelo governo, executadas no âmbito civil e
nacional militar e suportadas por ações de inteligência, para proteger a
Gestão de crises × sociedade, os serviços de informação essenciais, a propriedade
Redundância digital × intelectual e as infraestruturas críticas contra ameaças
Mercado de cibernéticas, para assegurar a soberania nacional.
√ Entretanto, pensar no que é uma estratégia nacional de
cibersegurança
segurança cibernética é uma tarefa difícil, isso porque, não são
Realizando uma análise entre este o modelo do BDI/OEA e o evidentes quais os componentes necessários para sua formação
modelo conceitual proposto, é possível verificar que são poucas e como eles se relacionam. Esta dificuldade torna relevantes as
as diferenças encontradas. Elas são destacadas abaixo: questões de pesquisa que foram propostas no desenvolvimento
• Legislação: o modelo conceitual proposto não deste trabalho.
esclarece, de forma clara, o tratamento de investigações As convicções e as formas de abordagem da proteção
jurídicas, também não fornece maiores informações sobre a cibernética são considerações que diferem em cada nação.
divulgação responsável de informações. Entretanto, o nível cada vez maior de ameaça cibernética, exige
• Tecnologia: o modelo conceitual proposto não trata o dos países um envolvimento cada vez mais estratégico.
gerenciamento de crises, também não estabelece procedimentos Fazendo com que os governos estabeleçam metas e estratégias
para trabalhar a redundância digital. para lidar com sua segurança cibernética.
Este trabalho propôs na segunda questão de pesquisa, definir
A figura 6, exibe como ficam desdobrados os conceitos do que componentes são necessários para formar uma estratégia,
modelo proposto, dentro dos pilares do BDI/OEA. respondendo que são: Governo, Forças Armadas, Inteligência,
CERT, Centro de Proteção de Infraestruturas Críticas, Órgãos
Regulatórios, Setor Privado, Cooperação Internacional e
Regional. Estes componentes não são definitivos e devem
sofrer alterações, sempre que necessário, devido à dinâmica da
tecnologia e das ameaças que sempre se modificam.
Os conceitos desenvolvidos neste trabalho podem colaborar
com países que ainda não definiram suas necessidades de
141
segurança cibernética, além disso, pode auxiliar as nações, que [10] CHEN, Thomas. M.; ABU-NIMEH, Saeed. Lessons from Stuxnet.
Computer, v. 44, n. 4, p. 91-93, 2001. Disponível em:
já possuem estratégias, a fazer a revisão de suas definições. <http://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=5742014&i
Esta pesquisa traz como avanço um conceito capaz de snumber=5741994>.
relacionar os agentes, as organizações, a coordenação e os [11] SEVIS, Kamile Nur; SEKER, Ensar. Cyber warfare: terms, issues, laws
and controversies. In: Cyber Security And Protection Of Digital
meios que constroem uma estratégia nacional de segurança Services (Cyber Security), 2016 International Conference On. IEEE,
cibernética, algo que nem sempre é muito bem definido pelos 2016. p. 1-9.
países. Outra contribuição da pesquisa em questão é a criação http://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=7502348&isn
umber=7502334
de um modelo conceitual que busca identificar e estabelecer as [12] DEPARTMENT OF DEFENSE. 2013. Joint Publication 3-12:
diferentes relações entre esses componentes. Cyberspace Operations.
Comparando o modelo proposto com modelos de maturidade http://www.dtic.mil/doctrine/new_pubs/jp3_12R.pdf.
[13] GERMANY. Federal Ministry of the Interior.Cyber Security Strategy
existentes, verifica-se que precisa aprofundar-se em algumas for Germany. 2011.
questões, como: as métricas em cibersegurança, a legislação, o https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Publications/
treinamento de profissionais e a gestão de crises. CyberSecurity/Cyber_Security_Strategy_for_Germany.pdf?__blob=publ
icationFile
O cenário de mudanças tecnológicas, o surgimento de novas [14] SINGER, P. W.; FRIEDMAN, A. Cybersecurity and Cyberwar: what
ameaças cibernéticas e a troca de comando dos governos everyone needs to know. New York: Oxford University Press, 2014.
constituem, cada um, desafios permanentes à evolução das [15] CONVENTION on cybercrime. Budapest: Council of Europe, 2001.
https://rm.coe.int/CoERMPublicCommonSearchServices/DisplayDCTM
estratégias nacionais de segurança cibernética. Content?documentI d=0900001680081561.
[16] ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. NBR
ISO/EC 27032:2013: Tecnologia da informação: Técnicas de Segurança:
X. TRABALHOS FUTUROS Diretrizes para Segurança Cibernética. Rio de Janeiro, 2015.
[17] UNITED NATIONS CRIME CONGRESS, 13., 2015, Doha.
Seja em função das limitações comuns a qualquer trabalho de Proceedings.http://www.unis.unvienna.org/unis/en/events/2015/crime_c
pesquisa, seja pelo ineditismo do tema, são inúmeras as ongress_cybercrime.html.
oportunidades para trabalhos futuros relacionados direta ou [18] DOGRUL, Murat; ASLAN, Adil; CELIK, Eyyup. Developing an
international cooperation on cyber defense and deterrence against cyber
indiretamente com o modelo proposto, entre eles: terrorism. In: Cyber conflict (ICCC), 2011 3rd international conference
• Investigar de forma específica e detalhadas os on. IEEE, 2011. p. 1-15.
diferentes componentes do modelo conceitual descrito nesse http://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=5954698&isn
umber=5954687
artigo; [19] LI, H.; ROSENWALD, G. W.; JUNG, J. Strategic Power Infrastructure
• Desenvolver uma abordagem para avaliar de maneira Defense. Proceedings of the IEEE, v. 93, n. 5, p. 918-933, maio 2005.
sistemática a capacidade de resposta a incidentes dos países; [20] ESPAÑA. Ley 8/2011, de 28 de abril: por la que se establecen medidas
para laprotección de lasinfraestructuras críticas. Boletín Oficial del
• Comparar a capacidade dos exércitos cibernéticos; Estado, n. 102, abr. 2011.
• Desenvolver uma estratégia nacional para a educação https://www.boe.es/boe/dias/2011/04/29/pdfs/BOE-A-2011-7630.pdf
em segurança cibernética. [21] UNITED STATES OF AMERICA. Homeland security. NIPP 2013:
partnering for critical infraestructure security and resilience. 2013a.
Entre esses temas os autores estão iniciando um trabalho de https://www.dhs.gov/sites/default/files/publications/NIPP%202013_Part
investigação focado no desenvolvimento de uma estratégia nering%20for%20Critical%20Infrastructure%20Security%20and%20Re
nacional para aprimorar e desenvolver competências e silience_508_0.pdf.
[22] AUSTRALIA. Critical Infrastructure Resilience Strategy: plan, 2015a.
habilidades voltadas a segurança cibernética. http://www.tisn.gov.au/Documents/CriticalInfrastructureResilienceStrat
egyPlan.PDF.
[23] ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. NBR
REFERÊNCIAS ISO/EC 27002:2013: Tecnologia da informação: técnicas de segurança:
código de prática para controles de segurança da informação. Rio de
[1] BRIGGS, A.; BURKE, P. Uma história social da mídia: de Gutenberg à Janeiro, 2013.
Internet. Rio de Janeiro: Jorge Zahar, 2004. [24] MITNICK, Kevin D.; SIMON, William L. The art of deception:
[2] DEAN, David et al. The internet economy in the G-20: the $4.2 trillion Controlling the human element of security. John Wiley & Sons, 2011.
growth opportunity. [S. l.]: BCG Perspectives, 2012. [25] VON SOLMS, Rossouw; VAN NIEKERK, Johan. From information
[3] SÊMOLA, M. Gestão da segurança da informação: uma visão executiva. security to cyber security. Computers & Security, v. 38, p. 97-102, 2013.
2. ed. Rio de Janeiro: Elsevier Brasil, 2014. [26] LITHUANIA. Ministry of National Defence. The Cyber Security
[4] TEN, C. W.; MANIMARAN, G.; LIU, C. C. Cybersecurity for Critical Environment in Lithuania. 2015.
Infrastructures: Attack and Defense Modeling. IEEE Transactions on https://egov.nik.gov.pl/g/egov/LT/2015/CyberSecurity/The_Cyber_Secu
Systems, Man, and Cybernetics - Part A: systems and humans, v. 40, n. 4, rity_Environment_Lithuania_summary.pdf.
jul. 2010. p. 853-865. [27] BRASIL. Doutrina Militar de Defesa Cibernética. Portaria Normativa n.
[5] BAGHERI, Ali A.; GHORBANI, Ebrahim. The state of the art in 3.010/MD, de 18 de novembro de 2014, 2014a. Disponivel em:
critical infrastructure protection: a framework for convergence. Canada, http://www.defesa.gov.br/arquivos/legislacao/emcfa/publicacoes/doutrin
maio 2007. a/md31_m_07_defesa_cibernetica_1_2014.pdf.
[6] CLARKE, R. A.; KNAKE, R. K. Cyber War: the next threat to national [28] GIL, A. C. Como elaborar projetos de pesquisa. 5. ed. São Paulo: Atlas,
secutiry and what to do about it. [S.l.]: Harper Collins, 2011. 2010.
[7] SINGER, P. W.; FRIEDMAN, A. Cybersecurity and Cyberwar: what [29] CHARMAZ, Kathy. A construção da teoria fundamentada: guia prático
everyone needs to know. New York: Oxford University Press, 2014. para análise qualitativa. Bookman Editora, 2009.
[8] VALLE, Sabrina. Fontes da CIA afirmam que ataques de hackers já [30] AUSTRALIAN GOVERNMENT. Australia’s Cyber Security Strategy:
provocaram ao menos dois apagões no Brasil. O Globo, 2009. enabling innovation, growth & prosperity, 2016a.
http://oglobo.globo.com/economia/fontes-da-cia-afirmam-que-ataques- https://cybersecuritystrategy.dpmc.gov.au/assets/img/PMC-Cyber-
de-hackers-japrovocaram-ao-menos-dois-apagoes-no-brasil-3159097. Strategy.pdf.
[9] BRASIL. Senado Federal do Brasil. CPI da Espionagem: relatório final. [31] UNITED STATES OF AMERICA. Department of defense. The dod
2014b. Cyber Strategy. 2015a. Disponivel em:
https://www12.senado.leg.br/noticias/arquivos/2014/04/04/integra-do- http://www.defense.gov/Portals/1/features/2015/0415_cyber-
relatorio-deferraco. strategy/Final_2015_DoD_CYBER_STRATEGY_for_web.pdf.
142
[32] GHERNOUTI-HÉLIE, Solange. A national strategy for an effective [51] UNITED STATES OF AMERICA. Presidential Executive Order:
cybersecurity approach and culture. In: Availability, Reliability, and improving critical infraestructure cybersecurity. 2013.
Security, 2010. ARES'10 International Conference on. IEEE, 2010. p. https://obamawhitehouse.archives.gov/the-press-
370-373. office/2013/02/12/executive-order-improving-critical-infrastructure-
http://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=5438067&isn cybersecurity.
umber=5437988 [52] PARK, Dea-woo. Analysis and Comparison of Regulations for National
[33] BOEKE, Sergei; HEINL, Caitríona H.; VEENENDAAL, Matthijs A. Cybersecurity. International Journal of Security and Its Applications, v.
Civil-military relations and international military cooperation in cyber 10, n. 10, p. 207-214, 2016.
security: Common challenges & state practices across Asia and Europe. [53] ZAREEN, Muhammad Sharjeel et al. Cyber security challenges and
In: Cyber Conflict: Architectures in Cyberspace (CyCon), 2015 7th wayforward for developing countries. In: Information Assurance (NCIA),
International Conference on. IEEE, 2015. p. 69-80. 2013 2nd National Conference on. IEEE, 2013. p. 7-14.
http://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=7158469&isn [54] AUSTRALIAN SIGNALS DIRECTORATE. About ASD. 2014.
umber=7158456 http://www.asd.gov.au/about/index.htm.
[34] PARK, D.-W. Draft of National Cybersecurity Act. International Journal [55] UNITED STATES OF AMERICA. Inteligence Community. 2005.
of Security and its Applications, Vol.9 Nº11 (2015), pp. 105-112. https://www.dni.gov/index.php.
http://www.sersc.org/journals/IJSIA/vol9_no11_2015/11.pdf [56] UNITED STATES COMPUTER EMERGENCY READINESS TEAM.
[35] ESPAÑA. Departamento de Seguridad Nacional. Estrategia de About us. 2003. https://www.us-cert.gov/about-us.
Ciberseguridad Nacional. 2013. [57] CENTRO CRIPTOLÓGICO NACIONAL. Defensa Frente a Las
http://www.lamoncloa.gob.es/documents/20131332estrategiadeciberseg Ciberamenazas. 2016. https://www.ccn-cert.cni.es/sobre-
uridadx.pdf. nosotros/servicios-ccn-cert.html.
[36] SHORE, Malcolm; DU, Yi; ZEADALLY, Sherali. A Public‐Private [58] ESPAÑA. Centro Nacional Para La Protección de las Infraestrutuctas
Partnership Model for National Cybersecurity. Policy & Internet, v. 3, n. Críticas. CNPIC: presentación. 2007.
2, p. 1-23, 2011. http://cnpic.es/Presentacion/index.html.
[37] LEWIS, James A. National Perceptions of Cyber Threats. Strategic [59] CERT DE SEGURIDAD E INDUSTRIA. Qué es CERTSI, 2012.
Analysis, v. 38, n. 4, p. 566-576, 2014. https://www.certsi.es/sobre-certsi/que-es-certsi.
[38] DOGRUL, Murat; ASLAN, Adil; CELIK, Eyyup. Developing an [60] NATIONAL CYBERSECURITY AND COMMUNICATIONS
international cooperation on cyber defense and deterrence against cyber INTEGRATION CENTER. 2002.https://www.us-cert.gov/nccic.
terrorism. In: Cyber conflict (ICCC), 2011 3rd international conference [61] AUSTRALIA. Critical Infrastructure Resilience: policy statement,
on. IEEE, 2011. p. 1-15. 2015b.http://www.tisn.gov.au/Documents/CriticalInfrastructureResilien
http://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=5954698&isn ceStrategyPolicyStatement.pdf.
umber=5954687 [62] VAN VUUREN, J. et al. Development of a South African Cybersecurity
[39] COLOMBIA. Consejo Nacional de Política Económica y Social. Policy Implementation Framework. In: Proceedings of the International
Lineamientos de Política para Ciberseguridad y Ciberdefensa. 2011. Conference on Information Warfare and Security. 2013. p. 106-115.
http://www.mintic.gov.co/portal/604/articles-3510_documento.pdf. [63] KSHETRI, Nir; MURUGESAN, San. EU and US Cybersecurity
[40] AUSTRALIAN CYBER SECURITY CENTRE. [website]. 2014. strategies and their impact on businesses and consumers. Computer, v.
http://www.asd.gov.au/infosec/acsc.htm. 46, n. 10, p. 84-88, 2013.
[41] KOSTYUK, Nadiya. International and domestic challenges to http://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=6649968&isn
comprehensive national cybersecurity: A case study of the Czech umber=6649934
republic. Journal of Strategic Security, v. 7, n. 1, p. 68, 2014. [64] LEE, Kyung-bok; LIM, Jong-in. The Reality and Response of Cyber
[42] ROTONDO, Annachiara. Countering cyber threats: answers from Threats to Critical Infrastructure: A Case Study of the Cyber-terror Attack
international law. In: Cyber Conflict (CyCon US), International on the Korea Hydro & Nuclear Power Co., Ltd. TIIS, v. 10, n. 2, p. 857-
Conference on. IEEE, 2016. p. 1-7. 880, 2016.
http://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=7836625&isn [65] UNIVERSITY OF OXFORD. Global Cyber Security Capacity Centre:
umber=7836602 Cyber Security Capability Maturity Model – V1.2. 2017.
[43] ELKHANNOUBI, Hasna; BELAISSAOUI, Mustapha. A framework for https://www.itu.int/dms_pub/itu-d/opb/str/D-STR-GCI.01-2017-PDF-
an effective cybersecurity strategy implementation: Fundamental pillars E.pdf
identification. In: Intelligent Systems Design and Applications (ISDA), [66] BID/OEA; Ciberseguridad: ¿Estamos preparados en América Latina y el
2015 15th International Conference on. IEEE, 2015. p. 1-6. Caribe? 2016. https://publications.iadb.org/handle/11319/7449
http://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=7489156&isn
umber=7489153 Cícero Araujo Lisboa: Tecnólogo em Segurança da
[44] STITILIS, Darius; KLISAUSKAS, Valdas. Aspects of Cybersecurity: Informação (2017) pela Universidade do Vale do Rio dos
The Case of Legal Regulations in Lithuania. Journal of Security and Sinos — UNISINOS. Recebeu o Prêmio da Sociedade
Sustainability Issues. 2015 Vol.5 Nº1. DOI: Brasileira de Computação e o SAP Honor Student Award
http://dx.doi.org/10.9770/jssi.2015.5.1(4). (2017/2), como melhor aluno do Curso Superior de
[45] ZHENG, An Ka et al. Reflection of the Nation Cybersecurity's Evolution. Tecnologia em Segurança da Informação. Atua como Analista em Segurança
In: Applied Mechanics and Materials. Trans Tech Publications, 2013. p. da Informação na Companhia de Processamento de Dados do Rio Grande do
2553-2558. Sul (PROCERGS), desenvolvendo atividades relacionadas com Segurança,
[46] DEWAR, Robert S. The “triptych of cyber security”: A classifi cation of
Gestão de Riscos e Continuidade de Negócios. Profissional com experiência de
active cyber defence. In: Cyber Conflict (CyCon 2014), 2014 6th
15 anos de atuação no serviço público brasileiro. E-mail:
International Conference On. IEEE, 2014. p. 7-21.
calisboa@edu.unisinos.br.
http://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=6916392&isn
umber=6916383
[47] MOORE, Tyler. The economics of cybersecurity: Principles and policy
options. International Journal of Critical Infrastructure Protection, v. 3, n. Leonardo Lemes Fagundes: Doutorando em
3, p. 103-117, 2010. Engenharia de Produção e Sistemas, Mestre em
[48] FRENCH. Ministry of Defence. French White Paper. 2013. Computação Aplicada (2006) e Bacharel em Informática -
http://www.defense.gouv.fr/content/download/215253/2394121/file/Whi Habilitação em Análise de Sistemas (2002) pela
te%20paper%20on%20defense%20%202013.pdf. Universidade do Vale do Rio dos Sinos - UNISINOS.
[49] JAQUIRE, Victor; VON SOLMS, Basie. A Best Practice Strategy Professor e Coordenador da Graduação em Segurança da
Framework for Developing Countries to Secure Cyberspace. In: Iccws Informação nessa mesma instituição, professor de
2015-The Proceedings of the 10th International Conference on Cyber atividades relacionadas com Segurança, Riscos e Continuidades de Negócios
Warfare and Security: ICCWS2015. Academic Conferences Limited, em cursos de pós-graduação e instrutor da Escola Superior de Redes vinculada
2015. p. 472. [2] J. Clerk Maxwell, A Treatise on Electricity and a Rede Nacional de Pesquisa (RNP). Profissional com mais de 15 anos de
Magnetism, 3rd ed., vol. 2. Oxford: Clarendon, 1892, pp.68-73. experiência possui as seguintes certificações internacionais: Certified in Risk
[50] CHOEJEY, Pema; MURRAY, David; FUNG, Chun Che. Exploring and Information Systems Control™ (CRISC), Certified Business Continuity
Critical Success Factors for Cybersecurity in Bhutan's Government Professional (CBCP) e ISO 27001 Lead Auditor. E-mail: llemes@unisinos.br.
Organizations.
143
SMiLeModel: A Model for the Secure Migration

of Legacy Systems to Cloud Computing
Luis Márquez, David G. Rosado, Haralambos Mouratidis, Eduardo Fernández-Medina
 criminales y naciones [2]. Sin embargo, la seguridad se

Abstract— Cloud Computing is gaining importance and presenta como una de las barreras que este nuevo tipo de
receiving growing attention in scientific and industrial servicios tiene que superar para alcanzar su potencial
communities. The cloud model has motivated industry and completo [3].
academia to adopt Cloud Computing to host a wide spectrum of Los sistemas heredados suelen formar la columna vertebral
applications, ranging from high computationally intensive
de los sistemas informáticos empresariales, aunque estos
applications to lightweight services. Notwithstanding, the
migration of applications to Cloud Computing must be per- sistemas suelen plantear problemas como "fragilidad,
formed in a strategic and methodological manner, considering inflexibilidad, aislamiento, inexistencia, falta de apertura, etc."
elements such as application performance and availability, [4]. Las aplicaciones y sistemas heredados son un componente
security and privacy requirements, regulatory requirements, importante en casi todas las organizaciones establecidas. En
among others. Our research is focused on offering a framework todas las industrias, se está creando el impulso para migrar las
(called SMiLe2Cloud) to help migrating legacy systems to Cloud
aplicaciones a Cloud Computing. A la vez que se ahorran
Computing, taking into account the security features. In this
paper, we have defined a model with all concepts and elements costes, la velocidad de expansión y la escalabilidad encabezan
that are used in our framework, and that allows us to define la lista de motivaciones empresariales. Un número creciente
inputs and outputs in each of the stages of our migration process. de empresas considera Cloud Computing como una
A case study has been conducted applicating the model in our herramienta clave de la transformación del negocio que puede
framework, which allows us to analyze the results and proposing ayudar a mejorar el compromiso del cliente, forjar nuevas
improvements for our framework.
alianzas y generar ventajas competitivas [5]. Una vez las
Index Terms—Cloud Computing, Legacy systems, Migration,
inversiones ya han sido realizadas, es difícil abandonar los
Model, Security sistemas heredados a pesar de la disponibilidad de nuevas
tecnologías como Cloud. Sin embargo, muchos profesionales
I. INTRODUCCIÓN informáticos todavía están ávidos por empezar a aprovechar
los costes, la escala y otros beneficios del almacenamiento de
E L término "Cloud Computing" cubre una amplia variedad
de soluciones y entornos técnicos, incluyendo los
modelos: software como servicio (SaaS, Software-as-a-
objetos basado en Cloud. No obstante, la seguridad es uno de
los obstáculos que presentan desafíos al ejecutar aplicaciones
service), plataforma como servicio (PaaS, Platform-as-a- heredadas en la nube [6]. Actualmente, no hemos encontrado
service), o infraestructura como servicio (IaaS, infrastructure- trabajos con un enfoque centrado en la seguridad para los
as-a-service). Cloud Computing permite el aprovisionamiento procesos de migración de los sistemas heredados [7].
de servicios a través de la abstracción de recursos físicos y Para solventar esta carencia, hemos propuesto un marco de
virtuales. Cloud Computing está ganando popularidad entre trabajo (SMiLe2Cloud) para la migración segura de los
las empresas, y cuantos más datos y servicios se muevan a la sistemas heredados a la nube [8, 9]. Este marco de trabajo está
nube, más atención atrae de los investigadores de seguridad y apoyado por un conjunto de artefactos que nos permiten
los ciberdelincuentes [1]. Los proveedores de servicios de obtener y analizar los requisitos del sistema, definir y modelar
Cloud están construyendo confianza y atrayendo clientes. los requisitos de seguridad con atributos específicos de la
Además, los servicios en la nube continúan multiplicándose, nube, seleccionar los proveedores de Cloud más apropiados,
madurando y creciendo a un ritmo acelerado, proporcionando definir métricas o alinear los mecanismos de seguridad en los
nuevas oportunidades y amenazas a organizaciones, controles de la nube definidos por Cloud Security Alliance
(CSA) [10]. Para lograr este objetivo, es necesario
Luis Márquez, Spanish National Authority for Markets and Competition proporcionar una definición de nuestro modelo, el cual se basa
(CNMC), Madrid, 28004, Spain, luis.marquez@cnmc.es en el lenguaje de modelado extendido Secure Tropos [11]
David G. Rosado, GSyA Research Group, Department of Information
Systems and Technologies, University of Castilla-La Mancha, Ciudad Real,
añadiendo características de la nube.
13071, Spain, david.grosado@uclm.es Este artículo presenta nuestro modelo llamado
Haralambos Mouratidis, Secure and Dependable Software Systems "SMiLeModel" que guía el proceso de migración a la nube
(SenSe), University of Brighton, Brighton, BN2 4GJ, UK,
siguiendo las tareas definidas en nuestro marco de trabajo
H.Mouratidis@brighton.ac.uk
Eduardo Fernández-Medina, GSyA Research Group, Department of SMiLe2Cloud [9]. Definiremos el modelo utilizado en el
Information Systems and Technologies, University of Castilla-La Mancha, marco de trabajo SMiLe2Cloud y explicaremos en detalle
Ciudad Real, 13071, Spain, eduardo.fdezmedina@uclm.es cómo se utiliza el modelo en cada una de las actividades y
144
tareas de nuestro marco de trabajo. C. Conceptos principales de Secure Tropos

El resto de este artículo está estructurado de la siguiente Secure Tropos [15] combina conceptos de ingeniería de
manera: La sección 2 presenta el modelo SMiLeModel donde requisitos, para representar conceptos generales e ingeniería
se explican todos los conceptos, elementos y fundamentos. La de seguridad, para representar conceptos orientados a la
sección 3 describe cómo se utiliza el modelo en nuestro marco seguridad. Los principales conceptos se muestran en la Fig. 2.
de trabajo SMiLe2Cloud y qué elementos del modelo se usan Un objetivo representa una condición en el mundo que un
en cada una de las actividades y tareas que muestran los actor desea lograr [16]. En otras palabras, los objetivos
resultados obtenidos en estudio de caso. Finalmente, la representan los intereses estratégicos de los actores. Un actor
sección 4 muestra las conclusiones de nuestra investigación. representa una entidad que tiene intencionalidad y metas
estratégicas dentro del sistema multiagente o dentro de su
II. SMILEMODEL entorno organizacional [16]. Un actor puede ser un ser
En esta sección se presenta el modelo SMiLeModel. En humano, un sistema, o una organización. En el contexto de
primer lugar, se explican los fundamentos de esta Cloud Computing, también definimos una clase especial de
investigación. A continuación, se describe el marco de trabajo actor; un actor de la nube. Un actor de la nube es un actor que
SMiLeModel en detalle explicando los principales conceptos demuestra dos características únicas, proporciona un modelo
basados en Secure Tropos. Finalmente, se definen los nuevos de implementación y apoya un modelo de servicio. Vale la
conceptos de la extensión de Secure Tropos introducidos en el pena afirmar que, como actor, un actor de la nube también
modelo. hereda todos los atributos y asociaciones del actor, por
ejemplo, tiene metas, capacidades y requiere recursos [17].
A. Fundamentos También diferenciamos una clase especial de actor; un actor
Mouratidis y Giorgini [12] proponen Secure Tropos, que es malicioso. La intención de los actores maliciosos es introducir
una extensión de la metodología Tropos. El enfoque se basa amenazas al sistema, que explotan las vulnerabilidades [17].
en el concepto de restricción de seguridad para analizar los Un plan representa, a un nivel abstracto, una forma de hacer
requisitos de seguridad desde las primeras etapas del proceso algo [18]. El cumplimiento de una tarea puede ser un medio
de desarrollo. Similar a ese trabajo, Giorgini et al. [13] han para satisfacer una meta. Un recurso presenta una entidad
ampliado el marco de trabajo de trabajo de ingeniería de física o de información requerida por uno de los actores [18].
requisitos de i */Tropos para hacer frente a los requisitos de La principal preocupación al tratar con los recursos es la
seguridad. disponibilidad del recurso y quién es responsable de su
Mouratidis et al. [14] se centra en la integración de las entrega. Una restricción de seguridad es el concepto principal
características de seguridad capturadas a través de Secure introducido por Secure Tropos. Las restricciones de
Tropos en los procesos de negocio. La introducción de la seguridad se utilizan, en la metodología Secure Tropos, para
seguridad en los procesos de negocio requiere enfoques representar los requisitos de seguridad [19]. Una restricción
estructurados y flexibles, capaces de encapsular la lógica de de seguridad es una especialización del concepto de
las opciones de seguridad, alinearla con los objetivos restricción.
organizativos de alto nivel y facilitar decisiones bien Los objetivos de seguridad representan un conjunto de
informadas y conscientes del riesgo. También consideran el principios o reglas que contribuyen al logro de la seguridad
ecosistema organizacional y los requisitos de seguridad del sistema [19]. Estos principios identifican posibles
alrededor de los sistemas de software. Sin embargo, para soluciones a los problemas de seguridad y, por lo general, se
capturar completamente los requisitos de seguridad en el nivel pueden encontrar en forma de la política de seguridad de la
de cloud, las propiedades de la nube deben estar bien definidas organización. Ejemplos de tales objetivos son la autorización,
en función del contexto. la integridad y la disponibilidad. Una vulnerabilidad se define
como una debilidad o defecto, en términos de seguridad y
B. Modelo SMiLe
privacidad que existe de un recurso, un actor y/o una meta
El modelo que hemos definido es una versión simplificada [17]. Las vulnerabilidades son explotadas por amenazas,
del modelo definido en Mouratidis et al. [14] eliminando como un ataque o incidente dentro de un contexto específico.
algunos conceptos que no son esenciales para el marco de Una amenaza representa circunstancias que tienen el potencial
trabajo SMiLe2Cloud [9] (soft goal, por ejemplo) e de causar pérdida o un problema que puede poner en peligro
incluyendo algunas otras clases que abordan problemas las características de seguridad del sistema [17]. Las amenazas
particulares de seguridad en la nube, como controles pueden ser operacionalizadas por diferentes métodos de
específicos de la nube, o abordar aspectos particulares del ataque, cada uno de ellos explotando una serie de
marco de trabajo SMiLe2Cloud, como los controles de cloud, vulnerabilidades del sistema. Un método de ataque en Secure
las métricas de seguridad, propiedades o dimensiones. Nuestro Tropos es una acción que trata de causar una posible violación
modelo simplificado se puede ver en la Fig.1. de la seguridad en el sistema [19]. Los mecanismos de
seguridad representan métodos de seguridad estándar para
ayudar a satisfacer los objetivos de seguridad [19].
145
Fig. 1. El modelo SMiLe
Fig. 2. Conceptos principales de Secure Tropos
146
a través de los modelos estándares SaaS, PaaS, modelo IaaS

D. Conceptos SMiLeModel (SPI), que informa al usuario acerca de qué modelos de
El SMiLeModel incluye nuevos conceptos, cuya servicio se ven afectados para un control dado. Se describe la
representación gráfica se muestra en la Fig. 3: controles de la relación del control con el proveedor de servicios y el cliente.
nube, propiedades de seguridad, dimensiones y métricas de Por último, la aplicabilidad del alcance se da a través de una
migración de la nube. lista exhaustiva de normas y regulaciones, con el fin de
facilitar la transparencia.
Secure Tropos identifica los requisitos de seguridad
(modelados como restricciones de seguridad) y para cada uno
de ellos identifica un conjunto de objetivos de seguridad y un
conjunto de mecanismos de seguridad. Cada mecanismo de
Fig. 3. Conceptos del modelo SMiLe seguridad está relacionado con una o más propiedades de
seguridad definidas en IAS-octave (Confidencialidad,
Asegurar que las normas de seguridad y las directrices se Integridad, Disponibilidad, Responsabilidad, Auditoría,
sigan y se certifiquen es crucial para construir y mantener una Autenticidad, No Repudio y Privacidad) y con una o más
relación saludable basada en la confianza, la seguridad y la dimensiones de la cuarta dimensión del RMIAS
transparencia entre los proveedores de servicios en la nube y (Organizacional, Orientado a las personas, Técnico y Legal).
los clientes. Si bien es cierto hay muchos organismos de Para cada propiedad de seguridad y dimensiones existen
normalización que proporcionan una gran variedad de buenas algunos controles relacionados. Los controles de la nube están
prácticas, directrices y controles para la seguridad en Cloud alineados con los mecanismos de seguridad a través de
Computing, desafortunadamente, no hay estándares de facto propiedades y dimensiones de seguridad. En otros términos,
que estén universalmente aceptados y adoptados por los los controles de nube son implementaciones de los
proveedores de servicios en la nube. El CSA (Cloud Security mecanismos de seguridad para la nube.
Alliance) es una organización que tiene como objetivo Por otro lado, una vez que todo el proceso ha sido
proporcionar garantía de seguridad dentro de Cloud trasladado a la nube de una manera segura, es el momento de
Computing a través de varias directrices y normas. Una de sus verificar y validar la seguridad del sistema. Esta actividad está
ofertas es Cloud Control Matrix (CCM), que es un marco de basada en un repositorio de métricas de migración en la nube.
trabajo de control de seguridad para proveedores y clientes de Estas métricas evaluarán la disponibilidad de un mecanismo
la nube. El CCM tiene como objetivo guiar a los proveedores de seguridad, la corrección de una entidad de seguridad y el
y clientes de la nube en la evaluación de los riesgos de nivel de efectividad de un mecanismo de seguridad.
seguridad en las ofertas de la nube. Proporciona un análisis
detallado de los principios y conceptos de seguridad basados III. SMILEMODEL COMO GUÍA DEL PROCESO SMILE2CLOUD
en la "Orientación de seguridad para el área crítica de interés El proceso SMiLe2Cloud [9] consta de cinco actividades
en Cloud Computing v3.0" [20]. El marco de trabajo de dirigidas por 16 dominios de seguridad, descritos en [20] e
control consta de 16 dominios y 133 controles, los cuales son ilustrados en la Fig. 4.
referencias cruzadas a los estándares y regulaciones de El modelo SMiLe o SMiLeModel nos guía a través del
seguridad aceptadas por la industria. Cada dominio de control proceso SMiLe2Cloud. Cada actividad completa el modelo a
contiene una especificación que describe las condiciones y partir de un modelo simple.
políticas del control. La relevancia arquitectónica del control Posteriormente, se muestran las diferentes actividades del
se proporciona a través de varios campos que cubren la proceso SMiLe2Cloud y la aplicación del modelo SMiLe en
infraestructura de la nube; físico, red, computación, cada una de ellas. Para ello, se muestra un estudio de caso
almacenamiento, aplicación, y datos. La aplicabilidad del para explicar mejor el proceso.
dominio a los modelos de entrega de servicios en la nube se da
147
Fig. 4. Las Actividades de SMiLe2Cloud
procesos BPMN a partir del código fuente del sistema

A. Descripción del estudio de caso heredado, la refactorización del modelo de proceso extraído y
El sistema seleccionado para este estudio de caso es el una transformación de “proceso a objetivo” para crear un
módulo para Bulk Loads (REM), una aplicación utilizada por modelo de objetivo inicial a partir del modelo de proceso
la Comisión Nacional de los Mercados y la Competencia BPMN refactorizado.
(CNMC) para gestionar el intercambio de grandes cantidades El resultado será un modelo de proceso de negocio,
de datos entre la organización y sus clientes. Debido al alineado con los objetivos de alto nivel de la organización.
carácter delicado de los datos que se manejan, el sistema debe Este modelo de proceso operacionaliza los requisitos del
cumplir con una serie de requisitos de seguridad. Sus usuarios sistema capturados a nivel del modelo de objetivo.
deben tener un certificado criptográfico válido para fines de El SMiLeModel incluye este modelo de objetivos de
autenticación, mientras que los datos transmitidos deben ser requisitos del sistema. Esto incluye metas, actores, plan,
firmados y transferidos a través de un canal seguro para recursos y restricciones.
garantizar su autenticidad, integridad y confidencialidad. Caso de Estudio
Después de la transferencia, los usuarios deben poder
El resultado de la aplicación de la actividad de extracción al
descargar un archivo de registro con la información de entrega
caso de estudio es la definición del modelo de objetivos de
de datos.
requisitos del sistema REM, como se puede observar en la Fig.
B. Actividad de extracción 5. Se han identificado los siguientes objetivos: facilitar las
La extracción es la actividad (ver detalles en [21]) en la cual transferencias de archivos de gran tamaño, configurar la
los requisitos del sistema para el LIS se derivan del código conexión, finalizar la sesión, enviar parte, reiniciar la sesión,
real y la documentación técnica del LIS. Es un subproceso de actualizar los registros de transferencia, eliminar la sesión,
ingeniería inversa que es paralelo al subproceso de obtención descargar los registros de transferencia, firmar los registros de
del modelo arquitectónico general para el LIS. El proceso es transferencia, inicializar la sesión, agregar certificados
asistido por herramientas de ingeniería inversa con el fin de personalizados y CRL y comprobar los certificados de
facilitar las tareas y los pasos que el analista debe realizar para seguridad. Además, se ha identificado un recurso (registros de
establecer los diferentes requisitos y controles en su lugar. transferencia).
La actividad tiene tres fases: la extracción de modelos de
148
Fig. 5. Modelo de objetivos REM
SMiLe2Cloud.
C. Actividad de Análisis
Durante esta tarea, las limitaciones de seguridad, las
Durante esta actividad (ver detalles en [11]) se define el amenazas, los objetivos de seguridad y los mecanismos de
modelo de requisitos de seguridad, extendiendo la seguridad se identifican y se introducen en los objetivos de
metodología Secure Tropos [12] para la nube. Esta actividad SMiLeModel.
se compone de dos tareas: Análisis de los requisitos de Por lo tanto, el SMiLeModel incluye, como salida de esta
seguridad y la alineación de mecanismos de seguridad. tarea, los requisitos de seguridad del sistema, que incluye
 Análisis de los requisitos de seguridad. amenazas, restricciones de seguridad, objetivos de seguridad y
En la tarea "análisis de requisitos de seguridad" se utiliza mecanismos de seguridad.
SMiLeModel para derivar un conjunto de especificaciones de
requisitos de seguridad con el que el sistema debe cumplir con Caso de Estudio
los requisitos en el nuevo entorno. Los requisitos de seguridad El resultado de la aplicación del análisis de tareas de los
se obtienen principalmente analizando la actitud de una requisitos de seguridad al estudio de caso se muestra en la Fig.
organización hacia la seguridad y después de estudiar su 6. Se han identificado dos amenazas (espionaje y suplantación
política de seguridad. Los requisitos de seguridad se modelan de usuarios). Además, se han detectado cinco restricciones de
como restricciones de seguridad y para cada uno de ellos se seguridad: acceso sólo a usuarios autorizados, se debe permitir
identifica un conjunto de objetivos de seguridad y un conjunto la personalización de medidas de seguridad, la transferencia
de mecanismos de seguridad. de datos debe ser confidencial, no se deben modificar los
datos durante la transferencia, y la transferencia de datos no
El análisis de los requisitos de seguridad es una parte debe ser rechazada. Además, se han identificado los siguientes
fundamental del proceso SMiLe2Cloud, ya que los requisitos mecanismos de seguridad: la lista blanca de usuarios (o
de seguridad se extraen y se definen en función de los whitelist), inicio de sesión con certificado digital, certificados
requisitos del sistema obtenidos de la actividad anterior. La personalizados, marco de trabajos de firma de certificados
entrada para esta actividad son los requisitos del sistema avanzados, configuración de red personalizada, canal
obtenidos durante la actividad de extracción anterior, que se encriptado, símbolo de verificación y firma digital.
basa en el modelo BPMN y se convierte al modelo
149
Fig. 6. Requisitos de seguridad del Sistema REM
 Alinear el Mecanismo de Seguridad seguridad: confidencialidad, integridad, no repudio. Además,

El objetivo de esta tarea es mapear el mecanismo de se ha identificado la dimensión técnica.
seguridad identificado en el paso anterior con los controles de La lista de controles (nomenclatura utilizada por CCM) que
la nube especificados en el CCM. se aplican a las propiedades de seguridad identificadas
Para cada mecanismo de seguridad se identifican las (confidencialidad, integridad y no repudio) y a la dimensión
propiedades de seguridad y las dimensiones. Los controles de técnica se muestran en la Fig. 7: AIS-04 - Seguridad de
la nube están alineados con los mecanismos de seguridad a aplicación y de interfaz. Seguridad de los datos, EKM-01 -
través de propiedades y dimensiones de seguridad. Hay privilegio, EKM-02 - Generación de claves, EKM-03 -
algunos controles relacionados para cada propiedad de Protección de datos sensibles y MOS-11 - Encriptado.
seguridad y dimensiones.
El SMiLeModel incluye, como resultado de esta tarea, los
requisitos de seguridad del sistema alineados con los
Dominios CSA. Esto incluye propiedades de seguridad,
dimensiones y controles de la nube.
Caso de Estudio
Por ejemplo, para el mecanismo de seguridad ‘canal
encriptado’ se han identificado las siguientes propiedades de
150
despliegue se centra en el desarrollo de la especificación de

despliegue. Esta tarea se centra en el modelado de los
servicios de datos.
Finalmente, se lleva a cabo el proceso de la
implementación. Durante la tarea de implementación podría
ser necesario contratar los servicios y firmar el Acuerdo de
confidentiality integrity
non-
repudiation
technical
Nivel de Servicio (SLA, Service Level Agreement),
desarrollar los elementos de seguridad personalizados o
establecer todos los controles de seguridad en las condiciones
de trabajo.
El SMiLeModel no incluye ni la especificación ni la
implementación. Por lo tanto, la salida es el mismo
SMiLeModel que en la entrada.
AIS-04 EKM-01 EKM-02 EKM-03 MOS-11
Fig. 7. Controles Cloud del Caso de Estudio

F. Actividad de Evaluación
Una vez que todo el proceso se ha trasladado a la nube de
una manera segura, es hora de verificar y validar la seguridad
D. Actividad de Diseño del sistema.
La actividad de diseño (ver detalles en [22]) se centra en Un repositorio formal de métricas de seguridad en un
seleccionar el modelo de servicio y el modelo de despliegue entorno cambiante como la nube es de gran utilidad. En esta
en función de las necesidades del cliente, cumplimiento con tarea, el repositorio de métricas se aplicará a nuestro sistema.
los requisitos, recursos disponibles, etc. Para ello, se basa en la Es necesario un análisis de los resultados obtenidos en la
distinción realizada por el NIST (El Instituto Nacional de tarea anterior. Es necesario analizar si se han alcanzado todos
Normas y Tecnología) [23]. los requisitos del sistema, si se cubren todos los requisitos de
La actividad de diseño consta de dos tareas, “Identificación seguridad y si se completa la arquitectura.
del modelo de implementación y modelo de servicio” y Pero incluso si las especificaciones de seguridad se cumplen
“Selección del proveedor Cloud”. La primera tarea se centra como están escritas, basar nuestro proceso en un ciclo Deming
en la identificación del modelo de implementación y de significa una reevaluación continua de las posibles mejoras al
servicio al que se quiere migrar, dependiendo de las sistema. Los nuevos requisitos serán la entrada para la
necesidades del cliente, del cumplimiento de los requisitos, de actividad de análisis.
los recursos disponibles, etc. Una vez se seleccionan el El SMiLeModel incluye, como resultado de esta actividad,
modelo de implementación y el modelo de servicio, y una vez las diferentes métricas para verificar y validar la seguridad del
están disponibles los requisitos de seguridad del sistema sistema. Además, incluye los nuevos requisitos expresados
alineados con los dominios CSA, se puede seleccionar el como objetivos, actores, planes, recursos y restricciones.
proveedor de la nube que mejor se adapte a las necesidades de
seguridad basándose en la Cloud Security Alliance: CSA Caso de Estudio
STAR [24] (Security, Trust and Assurance Registry). El En el estudio de caso, las métricas que se han identificado
estándar STAR proporciona, para cada proveedor de la nube, para el mecanismo de seguridad—canal encriptado—se
la lista de controles que implementa. Una vez obtenida la lista muestran en la Fig. 8: disponibilidad del canal encriptado,
de proveedores Cloud que cumplen los requisitos de seguridad corrección del canal encriptado y la eficacia del canal
se selecciona uno u otro en función de otras variables como encriptado.
pueden ser el coste, las tecnologías a implementar, etc. Para
ello se realizará un análisis DAFO.
El SMiLeModel incluye, como salida de esta actividad, el
modelo de implementación y el modelo de servicio.
Caso de Estudio
En el estudio de caso (ver ejemplo en [22]) se ha
identificado el modelo de despliegue y el modelo de servicio. availability correctness effectiveness
En el sistema REM, el modelo de despliegue identificado es la
nube pública. Además, el modelo de servicio identificado es el
IaaS. Fig. 8. Métricas del Caso de Estudio
E. Actividad de despliegue
Una vez que hayamos seleccionado el modelo de servicio,
el modelo de despliegue y el proveedor de la nube, entonces
tiene lugar la actividad de despliegue. La actividad de
151
IV. CONCLUSIONES Y TRABAJO FUTURO [13] Giorgini, P., F. Massacci, and J. Mylopoulos. Requirement engineering
meets security: A case study on modelling secure electronic transactions
En este artículo hemos presentado SMiLeModel, un modelo by VISA and Mastercard. in International Conference on Conceptual
que da soporte al marco de trabajo SMiLe2Cloud en el Modeling. 2003. Springer.
[14] Mouratidis, H., N. Argyropoulos, and S. Shei, Security Requirements
proceso de migración de las características de seguridad de un Engineering for Cloud Computing: The Secure Tropos Approach, in
sistema heredado a un nuevo entorno como Cloud Computing. Domain-Specific Conceptual Modeling. 2016, Springer. p. 357-380.
Este modelo define conceptos extraídos de Secure Tropos, en [15] Mouratidis, H., A security oriented approach in the development of
multiagent systems: applied to the management of the health and social
el que está basado, y nuevos conceptos y elementos ampliados care needs of older people in England. 2004, University of Sheffield;.
para tener en cuenta las características de seguridad de los [16] Yu, E., Modelling Strategic Relationships for Process Reengineering.
sistemas basados en la nube. Este modelo se integra en todas PhD thesis, Computer Science Department, University of Toronto,
las etapas de nuestro marco de trabajo, y explicamos en detalle Toronto (Canada). 1995, Phd thesis, also appears as Technical Report
DKBS-TR-94-6, December 1994.
cómo se utilizan estos nuevos conceptos y elementos en cada [17] Mouratidis, H., et al., A framework to support selection of cloud
una de las actividades y tareas de nuestro marco de trabajo. Se providers based on security and privacy requirements. Journal of
presenta un estudio de caso que nos ha permitido mostrar los Systems and Software, 2013. 86(9): p. 2276-2293.
[18] Bresciani, P., et al., Tropos: An agent-oriented software development
resultados obtenidos en cada tarea del marco de trabajo y qué methodology. Autonomous Agents and Multi-Agent Systems, 2004.
elementos específicos del modelo se utilizan y cómo se 8(3): p. 203-236.
transforman. [19] Mouratidis, H., Secure software systems engineering: the Secure Tropos
approach. JSW, 2011. 6(3): p. 331-339.
Este trabajo nos ha ayudado a validar el modelo en nuestro [20] Cloud Security Alliance, Security Guidance for Critical Areas of Focus
marco de trabajo y hemos mejorado el modelo añadiendo in Cloud Computing V3.0. 2011.
conceptos y nuevos elementos que hemos considerado [21] Argyropoulos, N., et al. Eliciting security requirements for business
processes of legacy systems. in IFIP Working Conference on The
necesarios para dar un soporte coherente y completo a nuestro Practice of Enterprise Modeling. 2015. Springer.
marco de trabajo SMiLe2Cloud. [22] Marquez, L., et al., Design Activity in the Process of Migrating Security
Features to Cloud. IEEE Latin America Transactions, 2016. 14(6): p.
2846-2852.
AGRADECIMIENTOS
[23] NIST, The NIST Definition of Cloud Computing, P. Mell and T.
Este trabajo ha sido financiado por el proyecto SEQUOIA Grance, Editors. 2009, National Institute of Standards and Technology.
[24] Cloud Security Alliance. CSA Security, Trust & Assurance Registry
(Ministerio de Economía y Competitividad y Fondo Europeo (STAR). 2014; Available from: https://cloudsecurityalliance.org/star/.
de Desarrollo Regional FEDER, TIN2015-63502-C3-1-R).
Luis Márquez Alcañiz is civil servant in the

REFERENCIAS Spanish National Authority for Markets and
Competition (CNMC). He is leading the
[1] Symantec, Internet Securiyt Threat Report. 2016.
group of forensic it experts in the CNMC
[2] McAfee Labs, Predicciones sobre amenazas para 2016. 2016. and participates in the forensic it experts
[3] Telefónica, F., Ciberseguridad, la protección de la información en un group (FIT) of the Directorate General for
mundo digital, Ariel, Editor. 2016. Competition in the European Commission.
[4] Bisbal, J., et al. An overview of legacy information system migration. in
Software Engineering Conference, 1997. Asia Pacific... and
Previously he has been working in different
International Computer Science Conference 1997. APSEC'97 and public organisms like Ministry of Foreign Affairs and Spanish
ICSC'97. Proceedings. 1997. IEEE. Tax Agency. His email is luis.marquez@cnmc.es
[5] Council, C., Migrating applications to public cloud services: roadmap
for success. 2016.
[6] Weaver, G., Migrating Legacy System to the Cloud, in Storage
Performance and Cloud Enablement. 2017, AVERE. David G. Rosado holds a Ph.D. in Computer
[7] Márquez-Alcañiz, L., et al., Security in Legacy Systems Migration to the Science from University of Castilla-La
Cloud: A Systematic Mapping Study, in 11th International Workshop on Mancha and has an MSc in Computer
Security in Information Systems. 2014: Lisbon, Portugal. p. 93-100.
[8] Márquez Alcañiz, L., et al., Hacia un Proceso de Migracion de la
Science from the University of Málaga
Seguridad de Sistemas heredados al Cloud, in XIII Reunión Española (Spain). He is assistant Professor at the
sobre Criptología y Seguridad de la Información (RECSI 2014). 2014: Escuela Superior de Informática of the
Alicante. p. 191-196. University of Castilla-La Mancha at Ciudad
[9] Márquez, L., et al. A Framework for Secure Migration Processes of
Legacy Systems to the Cloud. in Fifth International Workshop on
Real (Spain). His research activities are focused on security
Information Systems Security Engineering - Advanced Information architectures, security for Information Systems and security in
Systems Engineering Workshops. 2015. Springer International Cloud Computing and Big Data. He is co-editor of several
Publishing. books and chapter books on these subjects, and has numerous
[10] Cloud Security Alliance. Cloud Controls Matrix V3.0.1. 2014; Available
from: https://cloudsecurityalliance.org/download/cloud-controls-matrix-
papers in national and international conferences. Author of
v3-0-1/. several manuscripts in national and international journals. He
[11] Shei, S., et al. Modelling secure cloud systems based on system has been acting as a member of many conference program
requirements. in Evolving Security and Privacy Requirements committees and as cochairs of some workshops such as
Engineering (ESPRE), 2015 IEEE 2nd Workshop on. 2015. IEEE.
[12] Mouratidis, H. and P. Giorgini, Secure Tropos: A Security-oriented
WOSIS and WISSE. He is a member of the GSyA research
Extension of the Tropos Methodology. International Journal of Software group of the Information Systems and Technologies
Engineering and Knowledge Engineering, 2007. 17(2): p. 285-309. Department at the University of Castilla-La Mancha, in
Ciudad Real, Spain. His email is david.grosado@uclm.es.
152
Haralambos Mouratidis is Reader in

Secure Systems and Software Development
at the School of Architecture, Computing
and Engineering (ACE) at the University of
East London (UEL). He holds a B.Eng.
(Hons) from the University of Wales,
Swansea (UK), and a M.Sc. and PhD from
the University of Sheffield (UK). Haris is co-director of the
Distributed Software Engineering Research Group. His
research interests lie in the area of secure software systems
engineering, requirements engineering, information systems
development and agent oriented software engineering. He has
published more than 100 papers and he has secured funding as
Principal Investigator from national – Engineering and
Physical Sciences Research Council, Royal Academy of
Engineering, Technology Strategy Board (TSB) - and
international – European Unionfunding bodies as well as
industrial funding -British Telecom, ELC, Powerchex -
towards his research. He is member of the ERCIM Security
and Trust Management Working Group and of the IFIP
Working Group 8.1: Design and Evaluation of Information
Systems. He is editor in Chief of the International Journal of
Agent Oriented Software Engineering and on the editorial
board of the Requirements Engineering Journal. His email is
H.Mouratidis@brighton.ac.uk
Eduardo Fernández-Medina holds a

PhD. and an MSc. In Computer Science
from the University of Sevilla. He is an
Associate Professor at the Escuela Superior
de Informática of the University of
Castilla-La Mancha in Ciudad Real (Spain)
(Computer Science Department, University
of Castilla La Mancha, Ciudad Real, Spain)- his research
activity being in the field of security in information systems,
and particularly in security in business processes, databases,
datawarehouses, and web services. Fernández-Medina is co-
editor of several books and chapter books on these subjects,
and has published several dozens of papers in national and
international conferences (BPM, UML, ER, ESORICS,
TRUSTBUS, etc.). He is author of several manuscripts in
national and international journals (Decision Support Systems,
Information Systems, ACM Sigmod Record, Information
Software Technology, Computers & Security, Computer
Standards and Interfaces, etc.). He leads the GSyA research
group of the Department of Computer Science at the
University of Castilla-La Mancha, in Ciudad Real, Spain and
belongs to various professional and research associations
(ATI, AEC, AENOR, etc.). His email is
eduardo.fdezmedina@uclm.es
153
Performance Evaluation of a AΩ’ Consensus

Algorithm in an Anonymous Asynchronous System
in different GNU/LINUX distribution
R. Nogales, C. Aldás, D. Guevara, A. Rios, E. Jimenez, D*
Universidad Técnica de Ambato, *Universidad Politécnica de Madrid
[re.nogales, clayaldas, dguevara, a.rios]@uta.edu.ec, * ernes@etsisi.upm.es
Abstract- Algorithm of Consensus is an asynchronous misma decisión. El proceso para llegar al consenso implica
anonymous system with AΩ', which provides anonymy and que cada proceso (pi) empiece en un estado de no-decisión y a
homonymy in communication between nodes that make a
consensus in distributed systems. In order to determine the su vez proponga un valor “v”.
performance of the algorithm in different distributions De esta manera los procesos pueden intercambiar valores, a
GNU/LINUX, two solutions are programmed using the continuación, cada proceso fija un valor en una variable de
programming language C# with a Mono programming decisión de tal manera que el valor decido es uno de los
environment to establish later an experimentation protocol, valores propuestos “v”, en este sentido, no pueden existir dos
which lets to measure performance in a computer system in the
cloud. Results shows how the optimization of the code for the procesos que tomen decisiones con valores diferentes al valor
algorithm presented improves the performance of the Algorithm propuesto “v” [3]. En la figura 1 se presenta un ejemplo de
in Memory, CPU, DISCO and net for the evaluated GNU/Linux consenso.
distributions.
Index Terms- Cloud Computing, consensus, c#, Para la detección de fallos en sistemas distribuidos
distributed systems, GNU/Linux. homónimos se implementa un protocolo para resolver el
consenso. Éste utiliza un detector de fallos con homónimos
(llamado HO, es decir, “homonymous-omega”) [4]. Este
I. INTRODUCCIÓN trabajo es muy importante porque resuelve el consenso en
Los sistemas distribuidos se definen como una colección de sistemas distribuidos con características muy avanzadas como
“n” procesos {p1, p2...pn} tal que cada par de procesos está la inclusión de procesos anónimos y la co-existencia de
interconectado mediante canales de comunicación procesos homónimos. La Homonimia es la compartición de un
unidireccionales [1]. Los sistemas distribuidos suelen ofrecer mismo identificador para varios dispositivos lo cual genera el
principalmente tareas de coordinación, siendo los principales problema de la asignación única de identificadores para
servicios que las implementan: múltiples dispositivos. La Anonimia se produce en
dispositivos que trabajan sin disponer de identificadores. En
• Detección de fallos función de lo expuesto, el presente estudio compara el
• Consenso rendimiento de dos soluciones de programación del algoritmo
de consenso AΩ' como se muestra en la figura 1, dicho
Desde la perspectiva de sistemas distribuidos, la detección algoritmo se basa en la adaptación del algoritmo de consenso
de fallos es un componente orientado a la detección del estado AAS[AΩ'] ("Sistema Anónimo Asíncrono aumentado con la
de equipos, siendo los posibles estados: versión anónima del detector de fallos Omega"), [5]. Las
soluciones propuestas son:
• Correcto
• Caído, por estar el equipo sin funcionamiento • Solución con programación lineal (ALG-1).
• Solución de programación con clases e hilos (ALG-2).
Dentro de este contexto, consenso también es un problema
fundamental en un sistema distribuido tolerante a fallos. En Es importante indicar que existen proyectos comerciales a
este sentido, la solución es establecer un algoritmo de nivel internacional como zookeeper, Cosul, Doozer, ETCD,
consenso, que permita intercambiar valores entre los equipos dedicados al estudio e implementación de consenso y
del sistema distribuido empleando las reglas del algoritmo de detección de fallos en sistemas distribuidos en la nube, sin
consenso [2]. Este componente se encuentra en el núcleo de embargo, los mencionados proyectos no han implementado
muchas aplicaciones distribuidas haciendo referencia a un anonimia ni homonimia.
conjunto de procesos que deben ponerse de acuerdo en un
valor con el objetivo de que todos los procesos tomen una
154
Víctor Morales Rocha, Oscar Ruiz Hernández, Luis Fernández Martínez, Ramón Parra Loera
En caso de no recibir ningún valor, el proceso mantiene en su

variable est el valor que ya tenía (caso a)).
Phase PH1 verifica la recepción del mismo valor propuesto

por todos los líderes en la mayoría de los equipos (es decir, en
la mitad más uno de los equipos). En esta fase se envía un
broadcast con el valor recibido en el equipo. Si todos los
valores recibidos son iguales, se asigna una variable como
true, caso contrario se asigna false.
Phase PH2 determina si la mayoría de los procesos han

recibido en la fase PH1 el mismo valor propuesto por lo
líderes.
En esta fase cada proceso envía un broadcast indicando si el

proceso recibió el mismo mensaje de una mayoría (con el
Figura 1: Ejemplo de consenso y elección de líder en la detección de fallos parámetro true). Al recibir los broadcasts de una mayoría se
[4]. comprueba si todos tienen el parámetro true. De ser así, se
toma esa decisión que viene en el parámetro est del broadcast.
En la siguiente sección se presenta una revisión del En caso contrario, se escoge uno de los valores est de un
algoritmo de consenso AO', donde se detallan sus fases y se paquete con true y se toma ese valor en el proceso para una
explica el funcionamiento de cada una. En la tercera sección nueva ronda del algoritmo de consenso.
se define y analizan los mecanismos de cómo aplicar buenas
prácticas de programación. En la cuarta sección se detalla la • La Tarea 2 difunde a todos los procesos la decisión
metodología utilizada para evaluar el rendimiento del tomada por el proceso.
algoritmo propuesto. En la quinta sección se analizan los
resultados obtenidos. Finalmente se muestran las conclusiones B. Buenas prácticas de programación
y el trabajo futuro.
Según definición de programación eficaz, las auditorías de
sistemas computacionales se abordan desde una perspectiva
II. DESARROLLO
general, independientemente de marcas de procesadores,
A. Algoritmo de consenso Acons en AAS[AΩ'] lenguajes de programación o sistemas operativos que se
empleen en el proceso [6]. Dentro del contexto de lenguajes
El Algoritmo de Consenso Acons en AAS[AΩ'] resuelve el de programación, existen formas para optimizar los procesos
consenso en Sistemas Anónimos Asíncronos. Este algoritmo en base al código fuente. Lo primero es reconocer el tipo de
es una adaptación del algoritmo basado en líder [5], que código si es compilado o interpretado, en segunda instancia
permite la coexistencia de varios líderes en un sistema revisar la memoria y ver el tipo de gestión ya sea manual o
anónimo, tal y como se detalla en la Figura 2. Para abordar la automática, finalmente el desarrollador deberá identificar el
solución el algoritmo presenta dos tareas. tipo de aplicación que se va a programar y si está orientado a
software específico para cliente -servidor o para aplicaciones
• La Tarea 1 se implanta a través de 3 fases: en la web.
Phase PH0 determina si el proceso obtenido por el detector

de fallos D es líder o no. Si no lo es, sale de la fase PH0. Si lo
es, comunica a los otros equipos el valor que propone para el
consenso. En esta fase PH0 se producen tres situaciones:
a) Existe cambio de líder.

b) No existe cambio de líder y el proceso es líder. En este
caso el proceso espera paquetes (PH0, true,ri,-) de todos los
líderes.
c) No existe cambio de líder y el proceso no es líder. En este
caso el proceso espera un paquete (PH0, false,r,-).
Al final de esta fase PH0, se asigna el menor de los valores

recibidos al proceso en su variable est (en los casos b) y c)).
155
En este sentido, se emplean herramientas especializadas para

un análisis detallado.
• La optimización que identifica el nivel de control que se

ejecuta en la aplicación se constituye en el tercer paso en la
determinación de la eficacia del software.
• El cuarto paso propone que para mejorar los resultados se

emplee la solución más simple. Esta solución permitirá
identificar cuellos de botella asociados a la capacidad de
almacenamiento de memoria, velocidad de la CPU, velocidad
de escritura o lectura del disco y el tráfico de la red [7].
En función de lo expuesto anteriormente, se programan
dos soluciones para el algoritmo de consenso AΩ', usando el
lenguaje de programación C# en un entorno de desarrollo
Mono Development sobre una distribución de GNU/Linux.
Dentro de la programación de las soluciones los elementos de
estudio involucrados en la demostración del rendimiento del
algoritmo son:
• Memoria
• CPU
• Disco
• Red
El entorno de experimentación está dispuesto en un

ambiente aislado a través de un sistema de computación en la
Nube utilizando Infrastructure-as-a-Service (IaaS) con
OpenStack, [8]. Debido a que la programación lineal permite
una comprensión y un entendimiento más ligero del programa
por la lectura secuencial del código dispuesto, se presenta
como la primera solución (ALG-1) según lo dispuesto en la
Figura 3.
La intención inicial corresponde a comprender el

funcionamiento del algoritmo de consenso con AΩ'. Una vez
Figura 2. Algoritmo Acons en un sistema AAS[AΩ' ] [5]
comprendido y en funcionamiento la versión de la solución en
programación lineal, se programa una nueva versión (ALG-2)
Una ventaja al momento de editar un código es que el
figura 4.
programador no tiene que ser un experto en el lenguaje que se
está desarrollando, ni tampoco editarlo línea a línea.
Para poder determinar la eficacia del software se siguen los
siguientes pasos:
• El primer paso es identificar el problema en función de
la eficiencia o rendimiento del software. Si el código de
programación se ejecuta de manera correcta se podría indicar
que el programa o aplicación es eficiente. La falta de
eficiencia se puede notar cuando el programa se cuelga o se
bloquea constantemente. En caso de un nuevo desarrollo el
código deberá tener comentarios con el objetivo de ser claro,
ordenado legible y modular brindando una fácil comprensión
del programa. Por otra parte, si la aplicación tiene problemas
al arrancar, tiene un elevado consumo de recursos, el
procesamiento de datos de entrada y salida suelen ser lentos,
indican que el problema está asociado al rendimiento de la
Figura 3. Programación lineal del Algoritmo de Consenso
aplicación.
• El segundo paso permitirá identificar el tipo de problema,
a través de un análisis objetivo de la aplicación o programa.
156
Figura 4. Algoritmo con Programación Orientada a Objetos
Dejando ver la utilización de la programación orientada a Figura 5. Topología de Red en Openstack

objetos caracterizada por:
Las características técnicas y recursos de las que dispone el
• Escribir código reutilizable, mantenible y escalable proyecto se presentan en la Tabla 1.
• Acceder a un mismo proceso iterativo
Tabla 1: Comparativa de Recursos
• Agrupar código por secciones comunes de desarrollo
RECURSOS CARACTERÍSTICAS
Con la finalidad de mejorar los aspectos de programación Red de datos 172.18.0.0/24
para valorar el algoritmo de consenso. Router virtual 172.18.0.1, 192.168.123.210
Instancias Fedora 20, Ubuntu LTS 12.4,
Centos 6.5
C. Metodología Hipervisor KVM
Fedora 20 512 MB RAM, 8GB Disco,
Para el desarrollo de la presente investigación, se plantea la IP: 172.18.0.21/24
Ubuntu LTS 12.4 512 MB RAM, 6GB Disco,
utilización del método científico experimental, en el que se IP: 172.18.0.14/24
pretende determinar el rendimiento del algoritmo de consenso Centos 6.5 512 MB RAM, 6GB Disco,
AΩ' en diferentes distribuciones GNU/Linux. Bajo la IP: 172.18.0.16/24
perspectiva de los paradigmas de programación lineal y
orientada a objetos. En este sentido, se compara el Método de experimentación
rendimiento de cada solución en una red con tres nodos con
distribuciones GNU/Linux diferentes (Centos, Fedora, El método de experimentación implica las siguientes
Ubuntu), se ejecuta cada solución programada tomando los actividades:
datos relacionados al rendimiento en cada distribución. Se
establece un protocolo de experimentación para mejorar la 1. Instalación de las dos versiones desarrolladas (ALG-1 y
fidelidad de los datos capturados en los parámetros ALG-2) del protocolo de consenso con AΩ'en cada uno
mencionados. de los servidores instalados en el entorno de
experimentación.
Entorno de experimentación
2. Instalación y configuración de la herramienta SAR parte
El entorno de experimentación es una nube privada tipo de Sysstat que permite tomar datos de rendimiento en
IaaS con Openstack y el hipervisor KVM [9]. cada uno de los servidores aplicando un formato
independiente para cada ítem medido y para cada
En este contexto, con OpenSatck se crea un proyecto servidor [10].
llamado CloudCedia. La topología de red del proyecto
CloudCedia en OpenStack se muestra en la Figura 5, que 3. La tabulación de la media aritmética del conjunto de
permite contar con una red aislada, para disponer de un datos estará programada a través de scripts en bash. En
entorno de experimentación fiable. cada servidor, se generará un archivo con el valor
respectivo del tstudent que determinará los niveles de
confianza.
157
4. Generación de gráficos comparativos utilizando scripts Tabla 2. Comparativo de algoritmos y diferencia de rendimiento en la
utilización de CPU
en bash con GnuPlot para mostrar histogramas e
intervalos de confianza [11]. ALG-1 ALG-2 DIFERENCIA
Fedora 20 98 % 72 % 26 %
La simulación se realiza 50 veces por minuto, equivalente a Ubuntu 78 % 68 % 10 %
LTS
7800 conexiones o solicitudes de conexión sucesivas por cada 14.04.1
servidor y por cada solución [11-12]. Centos 80 % 75 % 5%
server 6.5
III. RESULTADOS
A. Generalización
Dado que el valor del rendimiento de los dispositivos

testeados D = [CPU, MEM, HD, Red] para el algoritmo de
consenso AΩ' es desconocido, se tienen:
Figura 6. Utilización CPU

B. Utilización de CPU
C. Utilización de Memoria
En la figura 6 y tabla 2, se observa la diferencia de
consumo de CPU entre las distribuciones GNU/Linux En la tabla 3 y figura 7, se observa un comportamiento de
evaluadas. En la distribución de Fedora se observa que para el consumo de memoria idéntico entre el ALG1 y ALG2.
ALG-1existe un consumo del 98%, mientras que para el ALG- Además, se observa una diferencia a nivel de distribuciones
2 se observa un consumo del 72%, La distribución Ubuntu GNU/Linux donde Centos y Ubuntu presentan un menor
presenta un menor consumo con un valor del 78% en el ALG- consumo con el 66% y 69% respectivamente mientras que
1 y el 68% en el ALG-2, mientras que la distribución de Fedora deja ver un consumo del 92%.
Centos tiene un valor intermedio de consumo con un 80% en
ALG-1 y un 75 % en ALG-2. Estas diferencias se basan en el La igualdad de consumo en las soluciones algorítmicas
ámbito de funcionamiento de la CPU que consiste en: (ALG1 y ALG2) se basa en que el número de variables
utilizadas en las dos versiones del algoritmo son las mismas.
1. búsqueda de instrucciones Sin embargo, se observa que Fedora tiene un porcentaje mayor
en la utilización de este recurso, debido a que separa la
2. decodificación de instrucciones memoria de un proceso; de la memoria asignada a los demás
3. búsqueda de los operadores procesos excepto los hilos del mismo proceso. Fedora divide
el espacio de memoria para usuarios y para el Kernel. El
4. ejecución de la instrucción y espacio de memoria asignado al usuario permite ejecutar
5. almacenamiento de resultados varios procesos. Durante la experimentación solo existe un
proceso en ejecución por tanto la memoria es asignada casi en
su totalidad para este. Mientras que en las distribuciones de
Esto hace que en el ALG-1 al ser programación lineal todo Ubuntu y Centos, la utilización del disco implica un elevado
el código este en ejecución secuencial, mientras que el ALG-2 consumo de memoria, debido a esto el kernel se constituye
al ser programado con hilos y clases; estos se encuentran como un espacio de memoria que se almacena en su partición
disponibles para su ejecución individual al ser solicitados. Por raíz.
tanto, la búsqueda de instrucciones será local solo en esa clase,
del mismo modo procederá con la decodificación de
instrucciones, búsqueda de operadores y ejecución de las
instrucciones.
158
Tabla 3. Comparativo de algoritmos y diferencia de rendimiento en la

utilización de la memoria E. Utilización de la Red
ALG-1 ALG-2
Fedora 20 92 % 92 %
En las tablas 5 y 6; y en las figuras 9 y 10 respectivamente
Ubuntu LTS 69 % 69 % se presenta el desempeño sobre la red para paquetes
14.04.1 transmitidos y recibidos, el algoritmo de consenso en sus dos
Centos server 66 % 66 % soluciones tanto el ALG-1 como el ALG-2 utilizan la difusión
6.5
de broadcast para hacer conocer que los servidores ya han
llega a un consenso.
Tabla 5. Comparativos de algoritmos y diferencias de datos recibidos
ALG-1 ALG-2 DIFERENCIA

Fedora 20 78Kbps 48Kbps 30Kbps
Ubuntu 82Kbs 51Kbps 31Kbps
LTS
14.04.1
Centos 81Kbps 51Kbps 30Kbps
server 6.5
Tabla 6. Comparativos de algoritmos y diferencias de datos transmitidos

Fedora 20 48Kbps 29Kbps 19Kbps
Figura 7. Utilización de Memoria Ubuntu 38Kbs 23Kbps 15Kbps
LTS
D. Utilización de Disco Duro 14.04.1
Centos 35Kbps 22Kbps 13Kbps
En la figura 8 y tabla 4, se presenta el resultado del server 6.5
consumo de la utilización del disco para ALG-1, en las
distribuciones Centos y Fedora con un valor de 1.5 y para la
distribución Ubuntu el valor de 1.58. Se presenta los valores
de 1.37 para la distribución Centos y de 1.57 para la
distribución Ubuntu en relación a ALG-2.
Tabla 4. Comparativo de algoritmos y diferencia de rendimiento en la

utilización de Disco Duro

Fedora 20 1.5 1.42 0.08
Ubuntu 1.58 1.57 0.01
LTS
14.04.1
Centos 1.5 1.37 0.13
server 6.5
Figura 9. Red, datos recibidos
En la recepción de datos se observa que en el ALG-1 con la

distribución Fedora 20 consume 78 Kbps a 82 Kbps con la
distribución Ubuntu. En ALG-2 el comportamiento es de 48
Kbps con la distribución Fedora y de 51 Kbps con las
distribuciones Ubuntu y Centos
En la transmisión de datos se observa que en el ALG-1 con

la distribución Centos consume 35 Kbps a 48 Kbps con la
distribución Fedora. En ALG-2 el comportamiento es de 22
Figura 8. Utilización de disco duro. Kbps con la distribución Centos y de 29 Kbps con la
distribución Fedora.
159
AGRADECIMIENTOS
Esta investigación es parte del proyecto que se desarrolló en
tres Universidades ecuatorianas, la Escuela Politécnica
Nacional, la Universidad Técnica de Ambato y la Universidad
Técnica Particular de Loja, además cuenta con la colaboración
de la Universidad Politécnica de Madrid. Este trabajo ha sido
cofinanciado por CEDIA en la séptima y decima convocatoria
y asignado el código CEPRA-VII-05 y CEPRA-X-2016-01.
REFERENCIAS
[1] Attiya, H. and Welch, J. (2004). Distributed computing: fundamentals,
simulations, and advanced topics, volume 19. John Wiley & Sons.
[2] Hanna, F., Droz-Bartholet, L., and Lapayre, J.-C. (2014). Fault tolerance
management in collaborative systems: Performance comparison of
consensus algorithms. Proc. 2014 IEEE 18th Int. Conf. Comput.
Support. Coop. Work Des., pages 402–407.
Figura 10. Red, datos transmitidos [3] Chandra T, Toueg S (1996) Unreliable failure detectors for reliable
distributed system, Journal of ACM 43(2):225-267
[4] Arévalo S., Fernández Anta A., Imbs D., Jiménez E., Raynal. M. Failure
IV. CONCLUSIONES detectors in homonymous distributed systems (with an application to
consensus). Journal of Parallel and Distribed Computing 83: 83-95
En este artículo se ha demostrado que la utilización de (2015)
buenas prácticas de programación con la utilización de clases
[5] Jiménez E., Arévalo S., Herrera C., Tang J. Eventual election of
e hilos en el algoritmo de consenso en un sistema anónimo multiple leaders for solving consensus in anonymous systems. The
asincrónico AΩ' ha mejorado el rendimiento del uso de Journal of Supercomputing 71(10): 3726-3743 (2015)
recursos de memoria, CPU, disco y red utilizando diferentes
[6] Moroni, N. and Señas, P. (2005). Estrategias para la enseñanza de la
distribuciones GNU/Linux. programación. In I Jornadas de Educación en Informática y TICs en
Argentina.
El principal objetivo del presente artículo es determinar la
[7] Zhengyan, D. (2011). Aspect oriented programming technology and the
importancia del uso de buenas prácticas de programación en el strategy of its implementation. In Intelligence Science and Information
desarrollo de aplicaciones para la optimización de recursos Engineering (ISIE), 2011 International Conference on, pages 457–460.
que mejoren el rendimiento y seguridad, lo que permitirá una
[8] Mollah, M. B., Islam, K. R., and Islam, S. S. (2012). Next generation of
mejor gestión del código. computing through cloud computing technology. 2012 25th IEEE Can.
Conf. Electr. Comput. Eng., pages 1–6.
Así mismo, se observa de los resultados obtenidos que el
[9] Ibou, H. M. and Marquezan, C. (2013).
uso de clases e hilos en la programación del algoritmo de Openstack: The cloud os.
consenso en lo que respecta a la red tanto en la transmisión
como en la recepción de datos, los valores obtenidos son [10] Godard, S. (2010). Sysstat utilities home page.
http://sebastien.godard.pagesperso-orange.fr/
significativos en los sistemas operativos observados. Se
determina también una diferencia mínima en el consumo de [11] Peña Ortiz, R. (2013). Accurate workload design for web performance
Memoria y Disco, la cual es similar en la aplicación de ALG-1 evaluation.
y ALG-2. [12] Bouzid Z, Travers C Anonymity, failures, detectors and consensus. In
Proceedings of 26th international symposium on distributed computing
El uso de un sistema cloud privado con OpenStack permite (DISC), pp 427-428 (2012).
crear un entorno de experimentación aislado, lo cual garantiza
una toma de datos libre de influencia externa. Ruben Nogales. Magister en Redes y
Telecomunicaciones en la Universidad Técnica de
Ambato. Ingeniero en Sistemas Computacionales e
En cuanto al trabajo futuro, se pretende desarrollar un Informáticos en la Pontificia Universidad Católica de
entorno de pruebas para establecer un control de calidad en la Ecuador sede Ambato. Docente investigador de la
implementación de aplicaciones que aprovechen la anonimia u Facultad de Ingeniería en Sistemas Electrónica y
Industrial de la Universidad Técnica de Ambato
homonimia en entornos distribuidos a través de cloud
computing.
Clay Aldás. Maguister en Sistemas la Universidad
Técnica de Ambato. Ingeniero en Sistemas en la
Universidad Técnica de Ambato.
Docente investigador de la Facultad de Ingenieria en
Sistemas, Electrónica e Industrial de la Universidad
Técnica de Ambato.
160
David Guevara Máster en Redes y

Telecomunicaciones en la Universidad Técnica de
Ambato.
Ingeniero en sistemas, en la Universidad Técnica de
Ambato.
Docente investigador en la Facultad de Ingeniería en
Sistemas, Electrónica e Industrial de la Universidad
Técnica de Ambato
Alberto Ríos Ingeniero Eléctrico, especializado en

Sistemas y Redes Eléctricas, Instituto Politécnico de
Bielorrusia, Unión de Repúblicas Socialistas
Soviéticas, URSS, 1993. Master en Energías
Renovables, Universidad Europea de Madrid-
Iberdrola, España, 2004. Dr. en Ingeniería Eléctrica,
Universidad Carlos III de Madrid, España, 2007
Profesor Titular Principal, Universidad Técnica de
Ambato. Docente investigador en la Facultad de
Ingeniería en Sistemas, Electrónica e Industrial de la
Universidad Técnica de Ambato
Ernesto Jímenez Prometeo. PhD en informática

Escuela Politécnica Nacional (EPN) -Ecuador,
Universidad Politécnica Madrid (UPM) -España E.T.S
de Ing. de Sistemas Informáticos
161
Analysis of the Structural Model of the Cyber

security Observatory using System Dynamics
D. Parada, A. Flórez and U. Gómez
Universidad Pontificia Bolivariana Seccional Bucaramanga
diego.parada@upb.edu.co, angelica.florez@upb.edu.co, urbano.gomez@upb.edu.co
Keywords— Systems Dynamics, Cyber security, Cyber

security Observatory, Modeling, Causal Loop Diagram, Estos eventos son una muestra de la importancia y la
Stocks-Flows Diagram. dependencia que tiene el mundo de las Tecnologías de la
Información TI, al soportar y permitir la operacionalización de
Abstract— This paper presents an analysis of components los datos en tecnológicas, tales como: comercio electrónico (E-
defined in the Structural Model of the Cyber security Observatory commerce); intercambio electrónico de Datos (EDI –
(MEOCi) using System Dynamics. It is an approach for
understanding the behavior of the complex components that exist in
Electronic Data Interchange), B2B (Business to Business),
the model and their relationships. The proposed model adds colaboración abierta distribuida (Crowdsourcing), la web 2.0
significant value when considerable investments are pushed into the (redes sociales), almacenamiento y análisis de grandes
cyber security infrastructure of an organization. cantidades de datos (Big Data) [8], entre otras; además de la
importancia y dependencia, es de suma prioridad el
reconocimiento de las vulnerabilidades en las TI.
I. INTRODUCCION
Las vulnerabilidades son esos errores inherentes a TI dadas
L a seguridad informática es un característica obligatoria
de las organizaciones en los aspectos relacionados con las
Tecnologías de la Información (TI) y trasciende a un plano
por omisión o por fallas de configuración u omisión del
responsable de su configuración y administración, que pueden
estratégico integrado por los procesos de negocio, los usuarios desencadenar en el mal funcionamiento de los procesos de
o el recurso humano y el marco normativo (leyes o negocio soportados por TI [9], tal como se muestra en los
regulaciones) cuyo funcionamiento se considera esencial para eventos citados, ante ello la seguridad se hace sustancialmente
una nación o país [1]. una necesidad.
En los últimos años se han perpetuado diferentes eventos e Este artículo sirve como herramienta para mejorar la
incidentes de seguridad cibernética con escala a nivel mundial, comprensión de la Ciberseguridad, ya que presenta el Modelo
tales como: en 2009 hubo un incidente diplomático entre Rusia Estructural de los Observatorios de Ciberseguridad, como
y Estonia, el cual conllevó a que este último quedara sin modelo inédito y original que sirve como patrón que ayuda al
servicios financieros y eléctricos por varios días [2]; en 2010 entendimiento de los comportamientos que se generan en los
en una planta nuclear de Irán, un gusano tomó el control de mil diferentes subsistemas definidos en el mismo.
PLC y los reprogramó para su destrucción [3]; en 2012, en una
planta petrolera de Arabia Saudita, se realizó borrado de datos La organización del artículo es la siguiente: la sección II
debido a la infección de un malware a 35.000 computadores, describe el marco teórico y conceptual; la sección III describe
dejando a la petrolera sin funcionamiento [4]; en 2014, Sony el Modelo Estructural de los Observatorios de Ciberseguridad
Pictures fue vulnerado mediante un malware que permitió al propuesto; la sección IV detalla la propuesta del análisis de
atacante apoderarse de 100 TB entre material cinematográfico, complejidad del modelo desde la perspectiva de la dinámica de
sistemas. Finalmente, se pueden encontrar las conclusiones en
contraseñas de usuario y otra serie de datos [5]; en 2015 el
la Sección V.
sistema de navegación y control de la Jeep Cherokee fue
vulnerado, permitiendo al intruso tomar el control electrónico
II. MARCO CONCEPTUAL
del vehículo [6].
A. Ciberseguridad
El año 2017 se ha generado una serie de ciberataques,
mediante la utilización del malware tipo ransomware en sus
En el contexto de la seguridad, específicamente en la
variacions como WannaCry y PETYA, los cuales han afectado
Ciberseguridad entidades como la International Organization
a empresas y Estados, siendo los países latinoamericanos como
for Standardization a través de la norma ISO 27032, Agencia
Argentina, Chile, México, Brasil, Colombia y Ecuador
Europea de las Redes y la Seguridad de la Información
afectados, así como en Europa: Rusia, Ucrania y Taiwán en los
(ENISA- European Union Agency for Network and
cuales mayor escala ha tenido, impactando de manera
Information Security) en el documento “An evaluation
importante las infraestructuras críticas y las organizaciones [7].
framework for cyber security strategies” y la Union
162
D. Parada, A. Flórez, U. Gómez
International Telecomuncation (ITU-T) con el Índice Mundial funcional; luego realizar el análisis de dichas variables fue
de Ciberseguridad (IMC); han realizado sus respectivos concluyente la necesidad de centrarse en lo funcional, es decir,
aportes: en su quehacer y como resultado se entiende que un
observatorio debe contar con fuentes de información para la
- La norma ISO 27032 plantea una guía de buenas prácticas búsqueda de datos, materia prima para desarrollar su misión, a
de Ciberseguridad a la luz de la definición de los la cual se le aplica una metodología de investigación para el
siguientes elementos base: interesados, activos, análisis y validación de datos, esto genera productos, que son
vulnerabilidades, riesgo, controles, amenazas y agentes de organizados y publicados; como una función conexa el
amenazas, los cuales se encuentran relacionados y es observatorio podría prestar servicios a terceros [1].
denominado el Contexto General de la Seguridad [10].
C. Dinámica de Sistemas
- La ENISA sugiere un marco de trabajo que permite
evaluar las estrategias de Ciberseguridad en la Unión La DS es una metodología para modelar sistemas dinámicos
Europea, tales como: 1. Adoptar, fundamentar y evaluar reconocidos por la presencia de los ciclos de realimentación
una estrategia nacional de Ciberseguridad, 2. Desarrollar generados entre las variables que lo componen [15]). La DS
política de Ciberdefensa y capacidades, 3. Lograr comprende cinco lenguajes para la representación de los
Ciberresiliencia, 4. Reducir Cibercrimen, 4. Desarrollar sistemas, estos se generan en tres fases que se expresan a
recursos tecnológicos e industriales para la continuación:
Ciberseguridad y 5. Asegurar la infraestructura crítica de
información, estos elementos se permiten determinar un Conceptualización: dedicada a la comprensión del sistema de
marco de trabajo para orientar y evaluar el trabajo hecho estudio, en ella se debe generar la explicación en la Prosa
en Ciberseguridad [11]. (primer lenguaje de la DS).
- La ITU-T a través del IMC define un esquema de Formulación: dedicada a la representación en el lenguaje de
evaluación del nivel de incorporación o apropiación de la las influencias y el de Flujo-Nivel de la situación, cada relación
Ciberseguridad a nivel mundial a través de cinco Flujo-nivel corresponde a una ecuación en diferencias que se
componentes, tales como: las medidas jurídicas, las debe formular (lenguaje de las ecuaciones) junto con otros
medidas técnicas, las medidas organizativas, la creación elementos de dicho lenguaje para proceder a generar el lenguaje
de capacidades y los esquemas de cooperación, que de los comportamientos simulados que facilitan el análisis por
permiten generar indicadores con cuales propone una la generación de diferentes escenarios que surgen a partir de
medición de las capacidades en Ciberseguridad de una modificar las constantes que se agregan al modelo.
Nación; los resultados confiables del IMC depende como
la misma ITU-T lo afirma, de la colaboración para le Evaluación: a partir del conocimiento que otorga la
entrega de información por parte de los países miembros conceptualización se pueden tener los supuestos de los
en el reporte del trabajo que hacen en Ciberseguridad [12]. resultados que se deben generar, el contraste de estos con los
obtenidos en los comportamientos y con ello revisar cada fase
y cada lenguaje con el fin de optimizar el modelo y poder usarlo
B. Observatorio para generar los escenarios que permita el análisis y aprendizaje
del fenómeno de estudio.
La Real Academia Española define el término Observatorio
como: “lugar o posición que sirve para hacer observaciones. Dutta y Roy (2008) desarrollaron un modelo aplicando la DS
Conjunto del personal que, en instalaciones adecuadas y con realizado para explicar la interacción entre factores de
instrumentos adecuados, se dedica a observaciones” [13], por seguridad técnica y de comportamiento con el impacto que
otra lado desde la estructura etimológica, se tiene que su raíz generan en el valor de negocio y especialmente lo que
en la palabra observar, del latín observare y significa mirar con involucran infraestructura de TI [16]; algunos de los elementos
atención algo [14], con base en esto, se puede decir que un analizados en el modelo son los retrasos asociados con la
observatorio es un lugar (físico o virtual) que dedica sus percepción del riesgo y la mitigación lograda por las
recursos al estudio de un tema específico dado un contexto inversiones en tecnología de seguridad y capacitación de
determinado, con el fin de ser tratado a profundidad mediante usuario.
un proceso de: búsqueda, investigación, análisis y validación
frente al fenómeno estudiado. A partir de los referentes enunciados, su debido cuidado,
profundización y complemento, fue desarrollado el Modelo
La formalización del proceso que enmarca el trabajo del Estructural de los Observatorios de Ciberseguridad (MEOCi),
observatorio, fue hecha mediante la consulta de fuentes con el ánimo de contar una herramienta que propenda a través
secundarias de información a un número determinado de de la Dinámica de Sistemas, por medir el trabajo de la
observatorios, donde se identificaron 15 elementos que hacen Ciberseguridad en el marco del funcionamiento de un
parte de su operación tanto desde lo administrativo, hasta lo observatorio.
163
III. MODELO ESTRUCTURAL DE LOS Los elementos circundantes del MEOCi se definen y
OBSERVATORIOS DE CIBERSEGURIDAD establecen a partir del Índice Mundial de Ciberseguridad de la
Unión Internacional de Telecomunicaciones y de la Estrategia
La investigación plantea un Modelo Estructural de los de Ciberseguridad de la ENISA:
Observatorios de Ciberseguridad (MEOCi) en el cual se pueden
observar los subsistemas y sus relaciones, que integran los Gestión: la visión estratégica de la Ciberseguridad tomando
elementos de los marcos referenciales que se analizaron para el como referente el ciclo PHVA (Planear, Hacer, Verificar y
desarrollo de la propuesta: componentes de la seguridad, Actuar).
caracterización de la Ciberseguridad y de los observatorios. Los
Elementos que se sugieren para el Observatorio son Marco Jurídico: normatividad y legislación aplicable a los
Componentes de la Seguridad (Stakeholders, Activos, agentes de amenaza que se encuentren involucrados en un
Vulnerabilidades, Controles, Amenazas, Atacantes y Riesgo), cibercrimen, con referentes aplicables a nivel nacional e
Gestión de la Ciberseguridad, Marco Jurídico de la internacional.
Ciberseguridad, Infraestructura Crítica, Ciberdefensa,
Ciberresiliencia, Cooperación en Ciberseguridad, I + D en
Ciberdefensa: proceso reactivo que se activa ante la existencia
Ciberseguridad y el Observatorio de Ciberseguridad; la
de un ciberataque.
interacción entre ellos es presentada en la Fig. 1.
Ciberresiliencia: proceso requerido para la recuperación de la
En el centro del modelo se encuentran los Componentes de la operación a un estado normal luego de la ocurrencia de un
Seguridad, definidos a partir del análisis de los referentes en
evento inesperado.
seguridad, tales como CoBIT 5.0, ITIL v3, NIST SP800, ISO
27001, ISO 27032. En esta última norma se define la seguridad
desde la óptica funcional u operacional como el Contexto Investigación y Desarrollo (I+D): proceso en el cual se
General de la Seguridad (CGS), en la cual se establecen seis identifican las capacidades a fortalecer y las necesidades de
elementos que componen la seguridad: los interesados, los desarrollo en Ciberseguridad a través de la ejecución y
activos, las vulnerabilidades, el riesgo, los controles, las desarrollo de proyectos de investigación que solventen dichas
amenazas, y los agentes de amenazas, los cuales establecen sus necesidades.
relaciones basado en el interés de que los atacantes (agentes de
amenaza), gracias a la existencia del riesgo y las Cooperación: proceso formal para el intercambio de
vulnerabilidades de los activos de los interesados, enfocan su información y experiencia a nivel nacional e internacional que
atención en aprovecharse de dichas vulnerabilidades y con ello permita trabajar de manera conjunta los incidentes en
impactar los activos mediante la materialización del riesgo Ciberseguridad.
sobre los mismos; así mismo, los interesados definen los
controles a aplicar sobre los activos con el fin de reducir de Infraestructura crítica: proceso de identificación,
manera significativa el riesgo [1]. caracterización y protección de la infraestructura crítica
cibernética, definida como los servicios esenciales y
estratégicos de una organización que afectan los intereses de
una nación.
Observatorio de Ciberseguridad: entidad o subsistema que

define el público objetivo identificado, los estudios, análisis y
métricas necesarias que permiten obtener productos y servicios
que conlleven a gestionar el conocimiento en Ciberseguridad.
Luego de definido el MEOCi se conlleva a realizar el análisis

de su complejidad desde la Dinámica de Sistemas (DS), de tal
manera que se logre entender, explicar y pronosticar el
comportamiento de dicho modelo.
IV. ANÁLISIS DE LA COMPLEJIDAD DEL MEOCI
En [17] se desarrolló un análisis de la complejidad dinámica

del Ecosistema de Ciberseguridad de Colombia, el cual
presenta el comportamiento y permite el entendimiento del
Figura 1. Estructura de los Observatorios de Ciberseguridad [1]
fenómeno en estudio a partir del lenguaje de influencias,
explicados mediante ciclos de realimentación. Este trabajo se
concibió como resultado de la investigación denominada
“Estudio de viabilidad para la creación de un Observatorio
164
Nacional de Ciberseguridad de Colombia”; dicha investigación

conllevó a ampliar la cobertura y complejidad de la
Ciberseguridad dentro del marco de un Observatorio, teniendo
en cuenta que el enfoque reduccionista de sistemas aplicado en
la investigación en mención, deja abierta la probabilidad de
dejar elementos significativos por fuera del estudio del
fenómeno, por ello el desarrollo del Modelo Estructural de los
Observatorios de Ciberseguridad, se muestra como una
alternativa y oportunidad novedosa no solo en la
caracterización de los elementos que lo componen sino también
en permitir dar pasos que permiten medir la Ciberseguridad
dentro del marco de trabajo de un observatorio.
A. Lenguaje de prosa e influencias Figura 3. Primer ciclo de realimentación
El diagrama de influencias de la Fig. 2 representa la En la Fig. 4 se tiene el segundo ciclo de realimentación, en

complejidad del modelo, con base en las relaciones y la éste se puede observar que la existencia de los Componentes de
cardinalidad, existente entre subsistemas que se presentaron en la Seguridad, conllevan a la necesidad de un Marco Jurídico que
el MEOCi (Ver Fig. 1). Se utiliza el lenguaje de la prosa para vigile, controle y establezca un marco normativo que propenda
explicar los diversos ciclos de realimentación identificados en por la normalización de los procesos; por otro lado el Marco
el diagrama de influencias. Jurídico también brinda conocimiento generado de la
experiencia sobre la implementación mecanismos generados al
sancionar a los atacantes, dicho conocimiento es útil para
ahondar en la Investigación y Desarrollo (I+D) de tal manera
que se permita fortalecer los tratados de Cooperación, con todo
ello el Observatorio puede generar reportes, estadísticas,
informes, en fin cualquier tipo de publicación que ayude en
robustecer el funcionamiento de los Componentes de
Seguridad.
Figura 4. Segundo ciclo de realimentación

Figura 2. Diagrama de influencias de los Subsistemas del MEOCi
En la Fig. 5 se tiene el tercer ciclo de realimentación
En la Fig. 2 se evidencian algunos ciclos de realimentación,
identificado, donde se puede observar que la existencia de los
tal que, se pueda ahondar en el entendimiento del diagrama. En
Componentes de la Seguridad consolidados, necesita de la
las Figs. 3 al 7 se presentan cinco ciclos de realimentación
Gestión que propenda por la mejora continua de su
presentes:
funcionamiento, con ello se generan unas lecciones aprendidas
las cuales generan información que resulta de interés y con la
En la Fig. 3 se tiene el primer ciclo de realimentación, donde
cual se pueden mejorar la perspectiva de los tratados de
se pude observar que los componentes de seguridad necesitan
Cooperación, lo que a su vez ahonda en el mejoramiento de los
gestionarse, para consolidar la Ciberresiliencia de los activos
mandatos, permisiones y prohibiciones generados en el Marco
críticos, tal que, se pueda reintegrar el control de la
Jurídico, con los cuales se dictan directrices de control y
Infraestructura Crítica a su legítimo dueño luego de la
vigilancia para el funcionamiento de los Componentes de la
ocurrencia de una eventualidad; frente a esto la Ciberdefensa
Seguridad.
hará la respectiva correlación de eventos, tal que, permita
acudir a los tratados de Cooperación y con ello investigar, con
el fin de aplicar las sanciones establecidas en el Marco Jurídico,
de quien haya cometido un delito afectando los componentes de
la seguridad.
165
Figura 5. Tercer Ciclo de Realimentación
En la Fig. 6 se muestra el cuarto ciclo de realimentación

identificado, donde se puede observar que desde los Figura 7. Quinto ciclo de realimentación
Componentes de la Seguridad se genera el interés de hacer
Investigación y Desarrollo (I+D) con el fin de generar B. Diagramas de Flujo y Nivel
conocimiento, éste es utilizado para fortalecer los activos
críticos con los que opera la Infraestructura Crítica; sin
En el diagrama de Flujo – Nivel es generado mediante un
embargo, debido a la probabilidad de ocurrencia de una
proceso iterativo, con el fin de dar consistencia al resultado
eventualidad se establece que mediante la Ciberdefensa se
obtenido en el lenguaje de las influencias en donde se definen
dispondrá de unas capacidades para hacerle frente y con ellos
los parámetros y auxiliares, cuya función será contener las
tratar de degradar lo menos posible los Componentes de la
ecuaciones que formalizan el modelo matemático del fenómeno
Seguridad.
estudiado.
Para ahondar en las convenciones con las que se esboza un

diagrama de Flujo – Nivel, se puede observar en la Tabla 1 una
breve explicación al respecto:
Tabla 1: Convenciones de un diagrama Flujo – Nivel [1]

Símbolo Definición
Nube: representa la fuente del
flujo, cuando este es de entrada o
el sumidero cuando es de salida.
Figura 6. Cuarto ciclo de realimentación Flujo: permite el cálculo de la
variación de las unidades de los
En la Fig. 7 se muestra el quinto ciclo de realimentación elementos acumulables.
identificado, donde se puede observar que desde el subsistema Nivel: almacena los cambios o la
de Componentes de la Seguridad existe interés por invertir en variación de los flujos para los
Investigación y Desarrollo, lo cual a través de sus resultados elementos que se acumulan.
permita el mejoramiento de las capacidades en Ciberdefensa Auxiliar: permite el cálculo de los
para la atención de incidentes, que dependiente de su magnitud estímulos generados como
instancia la recuperación de desastres inherente a la respuesta a un paso de simulación.
Ciberresiliencia, ésta reporta sus lecciones aprendidas como
información relevante, tal que, el Observatorio pueda generar En la Fig. 8 se muestra una estructura básica del diagrama
publicaciones que permitan hacer correcciones en los procesos Flujo-Nivel donde el nivel Análisis de Riesgos (AnaRie),
soportados por los Componentes de la Seguridad. almacena la variación del flujo de entrada: Compromiso
(Compro), de tal manera que aumente su cantidad almacenada,
pero ésta disminuirá en función de la variación del flujo de
salida: Salida del Análisis de Riesgo (AnaRieSal); la
replicación de esta estructura básica, es la que se utiliza en todo
el modelo y se espera facilite la comprensión de la metodología
que propone la DS.
Figura 8. Estructura básica de un diagrama Flujo – Nivel
166
Gestión: los Stakeholders (Stake), dueños de Activos (Activo)

En la Fig. 9 es presentado un resumen de cada subsistema del de TI, declaran su Compromiso (Compro) con la
MEOCi, enseñado mediante las variables más importantes de Ciberseguridad, permitiendo el la realización de un Análisis de
cada uno, en donde se aprecian 16 Niveles con sus respetivos Riesgos (AnaRie), que permite identificar activos críticos que
flujos de entrada o salida, los cuales en el desarrollo de la hacen parte de la operación de la Infraestructura Crítica; así
siguiente sección permitirán la asignación de la correspondiente mismo permite calcular la probabilidad de ocurrencia de una
ecuación diferencial. falla, esto permite definir el tratamiento del riesgo, el cual a
través de auditorías programadas espera generar hallazgos para
formular Acciones Preventivas y Acciones Correctivas en aras
del desarrollo de la Política de Ciberseguridad (Politi) [18].
Marco Jurídico: el Stakeholder (Stake) depende de los

Mandatos, Permisiones y Prohibiciones (MPP), fundamentos
que regulan sus actuaciones; el cumplimiento de los MPP
redefine la forma de hacer el tratamiento del riesgo, al tiempo
permiten tener elementos para que el Estado ejerza sus
funciones jurisdiccionales y administrativas para sancionar a
los atacantes y Stakeholders que los incumplan [19].
Infraestructura Crítica (IC): el Stakeholder (Stake) a través

del análisis de riesgos, los servicios esenciales (SerEse) que
soportan los activos críticos, reconoce que pueden existir fallas
operativas (FallOpe) que puedan comprometer el
funcionamiento de la misma; consciente del impacto probable
establece, el modelo de aseguramiento, tal que, ante un fallo
operativo (FallOpe) la Ciberdefensa efectúa su acción reactiva
ante el ataque y recuperado el control se activa la
Ciberresiliencia para restablecer el normal funcionamiento de
la Infraestructura Crítica y con ello del servicio esencial [20].
Ciberdefensa: los Stakeholders (Stake) son agredidos

mediante la ejecución de ataques cibernéticos, ante esto, la
suspensión normal funcionamiento de la operación se activa el
plan de emergencia cibernética (Emerge), el cual dispone de las
capacidades (Capaci) para atender el incidente (AteInc), por un
lado, recupera el control, por otro lado, escala a la
Ciberresilencia para reestablecer el funcionamiento de la
Infraestructura Crítica; finalmente hace correlación de eventos
(CorEve), revisando registros de sucesos (Logs) que permitan
identificar al responsable [11] [21].
Ciberresiliencia: el Stakeholder (Stake) mediante un proceso

Figura 9. Diagrama Flujo-Nivel del MEOCi. Adaptado de [1]
proactivo hace cálculos con los cuales establece el RTO
(Recovery Time Objective) y el RPO (Recovery Point
A continuación, se realiza una breve descripción del
Objective), tal que, se identifiquen los procesos manuales que
funcionamiento de cada uno de los subsistemas del modelo
ante un desastre cibernético pueda seguir operando, esto
propuesto, tal que, se conozca sobre el proceso que circunda en
consiste en realizar una continua monitorización desde el
su cumplimiento de su labor:
momento que se haga del reporte por parte de la Ciberdefensa,
ya que se necesita volver al normal funcionamiento de la
Componentes de la Seguridad: depende directamente de la
operación, se verifican el RTO y el RPO, seguido de la
existencia de Stakeholders (Stake) quienes son dueños de
activación del DRP (Disaster Recovery Plan) para reestablecer
bienes o servicios en TI (Tecnologías de Información), los
el normal funcionamiento de la infraestructura crítica [22] [23]
cuales son soportados por activos (Activo) de TI que inherente
[24].
a su operación funcionan con vulnerabilidades (Vulner), por
ello los atacantes (Atacan) elaboran amenazas (Amenaz) para
Investigación y Desarrollo: el Stakeholder (Stake) identifica
aprovecharlas e impactar el valor de los activos (Activo) al
necesidades o falencias de conocimiento en TI, ante ello
degradarlo, por ello se aplican controles (Contro) para
propone proyectos para el desarrollo de capacitaciones que
minimizar la existencia de vulnerabilidades (Vulner) [10].
fortalezcan: el Marco Jurídico impulsando propuestas para el
establecimiento de MPP, la Gestión mediante la normalización
167
del tratamiento del riesgo y las Capacidades con base en Para el MEOCi son asignados valores en los parámetros del
pruebas de software y hardware (InsPrue) antes de salir a diagrama Flujo – Nivel, definiendo escenarios que permiten
producción; finalmente, se generan lecciones aprendidas con analizar el comportamiento de las variables en función de sus
las cuales se refuerzan los lazos de la Cooperación [25] [26]. ecuaciones a través del tiempo, ello, con el fin de encontrar un
pronóstico que dependerá de la interpretación de resultados.
Cooperación: el Stakeholder (Stake) debe analizar la
Ciberseguridad desde el subsistema de Gestión con el fin de D. Escenarios de Simulación
reconocer cómo se está haciendo el tratamiento del riesgo,
desde el subsistema de Ciberdefensa verificar los resultados de El modelo se desarrolló con el objeto de permitir la
la correlación de eventos, desde el subsistema I+D analizar los
comprensión, explicación y pronóstico de sistemas, esto último
resultados de las capacitaciones y, desde el subsistema
se da con la simulación de escenarios, posibilidad que brindan
Ciberresiliencia reconocer los resultados que arroja el DRP;
los modelos con DS modificando valores en ciertas variables
este análisis es conducente a la consulta de lecciones
cuya generación de los diferentes comportamientos permiten
aprendidas, las cuales serán el insumo preliminar del modus generar conclusiones y son considerados como experimentos
operandi del atacante, esto fomenta diálogos dando a conocer que pueden aprender sobre las situaciones que se presentarían
hallazgos mediante el intercambio de información mediante
en la realidad mediante la validación de hipótesis.
tratados establecidos [26].
Observatorio de Ciberseguridad: para su funcionamiento el En este artículo son presentados dos de los escenarios
Stakeholder (Stake) destina recursos para la generación de generados para mostrar la interrelación que hay entre las
proyectos los cuales requieren fuentes de información, obtenida variables del sistema:
mediante la consulta de los tratados y las lecciones aprendidas
y resultados de los proyectos de I + D, para lo cual se aplica una Escenario 1 con controles. El Stakeholder va a invertir el 30%
metodología de trabajo que conlleve a la generación de del valor de sus activos en controles, estos tendrán una
productos de nuevo conocimiento cuyo propósito será su efectividad en su aplicación del 50%, con la premisa que puede
divulgación mediante publicaciones que apoyen la toma de tolerar hasta el 90% del Riesgo (Ver Tabla 2).
decisiones para la mejora continua de sus procesos de
Ciberseguridad. Tabla 2. Condiciones iniciales Escenario 1 con controles
C. Ecuaciones Descripción Parámetro

Valor en
porcentaje
Porcentaje del valor de Activos en
Según [27] “la ecuación indica cómo evoluciona la variable de ConPorVal 0.3
controles
estado en función del flujo que determina su variación”. Para el Porcentaje de disminución de
ejemplo recordar la representación de la Fig. 8, donde la VulPorDis 0.5
vulnerabilidades
variable Compro (Compromiso, Flujo de entrada), la variable Riesgo tolerable RieTol 0.9
AnaRie (Análisis de Riesgo, nivel) y la variable AnaRieSal
(Análisis de Riesgo, Flujo de Salida) equivale a la expresión
diferencial en la ecuación (1) en términos de notación de Euler Escenario 2 sin controles. El Stakeholder no hace inversión
para la estructura Flujo – Nivel de la figura 8, así: controles, por lo tanto, no son disminuidas las vulnerabilidades,
aunque está dispuesto a tolerar el Riesgo en su máxima
d(AnaRie) expresión, es decir, asumirlo al 90% (Ver Tabla 3).
= 𝐹(𝑡)
dt (1)
𝐴𝑛𝑎𝑅𝑖𝑒(𝑡 + 1) = 𝐴𝑛𝑎𝑅𝑖𝑒(𝑡) + (𝐶𝑜𝑚𝑝𝑟𝑜(𝑡) Tabla 3. Condiciones iniciales Escenario 2 sin controles
− 𝐴𝑛𝑎𝑅𝑖𝑒𝑆𝑎𝑙(𝑡))
Valor en
El software de simulación realiza la evaluación del Descripción Parámetro
porcentaje
comportamiento de las ecuaciones en cada ciclo de simulación, Porcentaje del valor de Activos en
ConPorVal 0.0
para el ejemplo respecto a la Ecuación 1 donde: el nivel AnaRie controles
en un instante de tiempo (t+1) se obtiene de la suma de lo que Porcentaje de disminución de
VulPorDis 0.0
existía en el nivel AnaRie en el tiempo (t) más la suma del flujo vulnerabilidades
neto, es decir, (Compro(t)-AnaRieSal(t)); además es importante Riesgo tolerable RieTol 0.9
tener en cuenta que, en la DS no solo existe el Flujo – Nivel,
también están presentes parámetros, variables exógenas y E. Comportamientos
auxiliares, retardos, multiplicadores, clones, lógica difusa y
sectores; elementos que permiten enriquecer el desarrollo de un Las Figs. 10 a la 14 muestran los comportamientos del
modelo para su entendimiento, explicación y pronóstico. MEOCi bajo las condiciones de los Escenarios 1 y 2 con sus
respectivas interpretaciones en cuatro variables significativas
[1]:
168
En la Fig. 10 se aprecia el comportamiento de la variable insostenible y el riego se materializa en su máxima expresión,

Atacantes los cuales crecen exponencialmente en el Escenario llevando los activos a valores críticos.
1 sin controles, mientras que en el Escenario 2 con controles se
mantienen controlados por la eficiencia de los mismos.
Figura 12. Comportamiento de los Activos en el Escenario 2 sin

controles
En la Fig. 13 se aprecia en el comportamiento de la variable

Publicaciones hechas por el Observatorio, en donde se
evidencia que para el Escenario 1 con controles los productos
Figura 10. Comportamiento de los Atacantes en el Escenario 1 con desarrollados por éste cumplen con los indicadores de
controles y Escenario 2 sin controles publicación en 16 ocasiones, mientras que en el Escenario 2 sin
controles tan solo en dos ocasiones hay productos que cumplen
En la Fig. 11 se aprecia el comportamiento de la variable con los indicadores del Observatorio para ser publicados.
Activos los cuales crecen exponencialmente cuando hay
inversión en controles; además se evidencia la materialización
del riesgo debido a la relación de las amenazas y
vulnerabilidades, pero se mantienen en niveles muy por debajo
de los activos, esto muestra que los controles están cumpliendo
con su función de mitigación.
Figura 11. Comportamiento de los Activos en el Escenario 1 con

controles Figura 13. Comportamiento de las Publicaciones del Observatorio
en el Escenario 1 con controles y Escenario 2 sin controles
En la Fig. 12 se aprecia el comportamiento de la variable

En la Fig. 14 se aprecia el comportamiento de la efectividad
Activos, cuando no se hace inversión en controles su valor se
de los indicadores definidos por el Observatorio lo cual
deprecia debido a la materialización del riesgo, derivado de la
conlleva a la consecución de sus objetivos, donde se puede
relación de amenazas y vulnerabilidades; aunque en los
observar que la calidad de las publicaciones en el Escenario 2
primeros ciclos de simulación se valorizan, de ciclo 8 al 40 se
sin controles solo es del 50% en dos publicaciones, mientras
mantiene casi constante, llega un punto en que se hace
169
que en el Escenario 1 con controles en promedio logran una mismo, los cuales, pese a que se cumplen en ambos escenarios,
calidad del 82% en 16 publicaciones hechas. en un escenario con controles se puede observar que las
publicaciones ostentan una calidad superior a la de un escenario
sin controles.
V. CONCLUSIONES
Hablar de seguridad en cualquiera de sus contextos de

aplicación tiene consigo ligada una pregunta en torno a cuánto
invertir en el aseguramiento de la información; dicha pregunta
se debe replantear con el fin de conocer cuánto puede costar el
no hacerlo. El MEOCi desarrollado permite entender
pronosticar el impacto de los costos que generaría invertir o no
en Ciberseguridad, además de ser usado para explicar su
complejidad y funcionamiento dentro del marco de trabajo de
un observatorio.
Las hipótesis de la Ciberseguridad son coherentes con los

resultados obtenidos en las simulaciones de los escenarios
propuestos, los cuales permiten hacer una prospectiva de los
Observatorios de Ciberseguridad, pretendiendo convertirse en
Figura 14. Comportamiento de la efectividad de los indicadores
una herramienta para facilitar mediante la construcción de
definidos por el Observatorio en el Escenario 1 con controles y escenarios de simulación que permitan comprender de manera
Escenario 2 sin controles estructural y cuantitativa la estructura y procesos que la
componen.
F. Conclusiones del análisis
Se espera contar con la posibilidad de generar una
herramienta software que, facilite la interacción del usuario con
La existencia de atacantes depende directamente del valor de el modelo, tal que, mejore la experiencia en la generación de
los activos, es decir, se supone que un Stakeholder con un Good escenarios y la asignación de los valores para la configuración
Will alto, es el reflejo de tener activos de TI robustos, que se de los parámetros para correr simulaciones.
hacen interesantes y/o atractivos por los agentes de amenaza
para intentar vulnerar. Pese a que el Modelo Estructural de los Observatorios de
Ciberseguridad es una propuesta útil, teniendo en cuenta que es
La valoración de los activos tiene una relación directa con la un intento por medir la Ciberseguridad dentro del marco de
inversión o aplicación de controles y su efectividad, esto trabajo de un observatorio, pero necesita datos significativos
tácitamente muestra que hay un interés del Stakeholder previo como por ejemplo: ecuaciones, estadísticas o estudios que
reconocimiento de la información como activo generador de permitan la valoración de activos y de las vulnerabilidades; el
valor, pues son estos el soporte de la operacionalización de la cómo y a partir de qué se calcula la existencia de atacantes y en
información. qué proporción fabrican amenazas; cómo medir las
capacidades, los mandatos, permisiones y prohibiciones; entre
Las publicaciones que hace el Observatorio de otras variables. El correlacionar estos datos como trabajo futuro
Ciberseguridad, son generados o derivados de productos como permitirá contar con datos referentes que apoyen la precisión y
resultado de la ejecución de proyectos que, al pasar por los exactitud de los comportamientos arrojados en las
indicadores definidos por el Observatorio, independientemente simulaciones.
de la inversión de controles, se publican, la única diferencia
radica en la cantidad de publicaciones hechas, pues estas son AGRADECIMIENTOS
más frecuentes en un escenario con controles, ya que esto va
directamente relacionado con la valoración de los activos que Los autores agradecen a la Universidad Pontificia
permiten el desarrollo de investigación y desarrollo, y con ellos Bolivariana Seccional Bucaramanga por el apoyo brindado para
mejorar las capacidades en Ciberseguridad, tanto a nivel del la ejecución de la investigación.
subsistema de Ciberdefensa como el de Cooperación, por la
existencia de tratados que permitan el intercambio de REFERENCIAS
información, factor fundamental para desarrollar la misión
propia de un Observatorio.
[1] D. Parada, A. Flórez y U. Gómez, Modelo Estructural
de los Observatorios de Ciberseguridad, Medellín:
La frecuencia con la que el Observatorio de Ciberseguridad Universidad Pontificia Bolivariana, 2017.
hace publicaciones, depende de manera directa del
cumplimiento de los indicadores de calidad trazados por el
170
[2] Ministerio de Defensa Nacional de Colombia, [14] Diccionario Etimológico, «Radicación de la palabra
«Ciberseguridad y Ciberdefensa una primera Observar,» 2017. [En línea]. Available:
aproximación,» 2009. [En línea]. Available: http://etimologias.dechile.net/?observar. [Último
http://www.mindefensa.gov.co/irj/go/km/docs/Mindefen acceso: 23 11 2015].
sa/Documentos/descargas/estudios%20sectoriales/Notas [15] H. Andrade, I. Dyner, A. Espinosa, H. López y R.
%20de%20Investigacion/Ciberseguridad%20y%20ciber Sotaquirá, Pensamiento Sistémico, Diversidad en
defensa.pdf. [Último acceso: 18 10 2015]. búsqueda de unidad, Bucaramanga: Universidad
[3] «BBC iWonder,» 2015. [En línea]. Available: Industrial de Santander, 2001.
http://www.bbc.com/mundo/noticias/2015/10/151007_i [16] A. Dutta y R. Roy, «Dynamics of Organizational
wonder_finde_tecnologia_virus_stuxnet. [Último Information Security,» System Dynamics Review, vol.
acceso: 22 01 2016]. 24, nº 3, pp. 349-375, 2008.
[4] J. Pagliery, «The inside story of the biggest hack in [17] A. Flórez, L. Serrano, U. Gómez, L. Suárez, A.
history,» 5 Agosto 2015. [En línea]. Available: Villarraga y H. Rodríguez, «Analysis of Dynamic
http://money.cnn.com/2015/08/05/technology/aramco- Complexity of the Cyber Security Ecosystem of
hack/. [Último acceso: 22 01 2016]. Colombia,» Future Internet, vol. 8, nº 3, p. 33, 2016.
[5] J. Pagliery, «Las 5 claves del ciberataque contra Sony [18] International Organization for Standardization,
Pictures,» 9 Diciembre 2014. [En línea]. Available: Information Technology. Security Techniques.
http://cnnespanol.cnn.com/2014/12/09/las-5-claves-del- Information Security Management Systems.
ciberataque-contra-sony/#0. [Último acceso: 22 01 Requirements., Bogotá: ICONTEC Internacional, 2013.
2016].
[19] República de Colombia, Código Civil, 1887.
[6] D. De Blas, «Dos hackers prueban cómo pueden hacerse
[20] Reino de España, Ley 8/2011 para la Protección de las
con el control de tú coche en medio de una autopista,»
Infraestructuras Críticas, 2011.
23 Julio 2015. [En línea]. Available:
http://globbsecurity.com/hackers-prueban-hacerse- [21] T. S. Sector, «Índice mundial de ciberseguridad y
control-coche-35309/. [Último acceso: 22 01 2016]. perfiles de ciberbienestar,» 2015. [En línea]. Available:
https://www.itu.int/pub/D-STR-SECU-2015/es. [Último
[7] S. Pagnotta, «Welivesecurity,» 15 05 2017. [En línea].
acceso: 07 11 2015].
Available: https://www.welivesecurity.com/la-
es/2017/05/15/wannacryptor-todos-hablaron-de- [22] E. Hollnagel, D. Wood y N. Levenson, Ingeniería de la
seguridad/. [Último acceso: 20 05 2017]. Resiliencia, Madrid: Modus Laborandi, 2013.
[8] J. Calvo, D. Parada y A. Flórez, «Actualización del [23] W. Starbuck y M. Farjoun, Organization at the Limit:
Modelo de Arquitectura de Seguridad de la Información Lessons from the Columbia Disaster, Oxford: Wiley-
MASI 2.0,» de Actas del VII Congreso Iberoamericano Blackwell, 2005.
de Seguridad Informática CIBSI2013, Panáma, 2013. [24] A. Carvajal Rodriguez, BIA, Cumplimiento de normas y
[9] D. Parada y U. Gómez, «La Seguridad de la auditorías técnicas, Bucaramanga: Modulo
Información desde la Dinámica de Sistemas,» de Actas Especialización en Seguridad Informática, 2009.
del XIV Encuentro Colombiano de Dinámica de [25] D. Maughan y D. Balenson, «Crossing the "Valley of
Sistemas ECDS2016, Medellín, 2016. Death”: Transitioning Cybersecurity Research into
[10] International Organization for Standardization, Practice,» IEEE Security & Privacy Magazine, vol. 11,
Information technology - Security techniques - nº 2, pp. 14 - 23, 2013.
Guidelilnes for cybersecurity, ISO/IEC, 2012. [26] Departamento de Seguridad Nacional, Estrategía de
[11] D. Liveri y A. Sarri, «European Union Agency for Ciberseguridad Nacional, Madrid: Presidencia del
Network and Information Security,» 2014. [En línea]. Gobierno de España, 2013.
Available: [27] U. Gómez, H. Andrade y C. Vásquez, «Lineamientos
https://www.enisa.europa.eu/activities/Resilience-and- Metodológicos para construir Ambientes de
CIIP/national-cyber-security-strategies-ncsss/an- Aprendizaje en Sistemas Productivos Agropecuarios
evaluation-framework-for-cyber-security-strategies-1. soportados en Dinámica de Sistemas,» Infor. Tecnol.,
[Último acceso: 07 02 2016]. vol. 26, nº 4, pp. 125-136, 2015.
[12] International Telecommunication Union , «Índice [28] System Dynamics Society, «System Dynamics
mundial de ciberseguridad y perfiles de ciberbienestar,» Review,» 30 Mayo 2017. [En línea]. Available:
2015. [En línea]. Available: https://www.itu.int/pub/D- www.systemdynamics.org/.
STR-SECU-2015/es. [Último acceso: 07 11 2015].
[13] Real Academia Española, «Diccionario de la lengua
española,» Marzo 2016. [En línea]. Available:
http://dle.rae.es/?id=Qp3z5XH. [Último acceso: 29
Marzo 2016].
171
Diego Javier Parada Serrano, Master in Electronic

Engineering from Universidad Pontificia Bolivariana,
Bucaramanga (2017). Especialist in Computer Security, from
Universidad Pontifica Bolivariana, Bucaramanga (2010) and
Informatics Engineer from Universidad Pontificia
Bolivariana, Bucaramanga (2008). Certified Auditor in ISO
9001 and ISO 27001. Full-time Professor at the Systems and
Informatics Engineering Faculty, Universidad Pontificia
Bolivariana at Bucaramanga. Member of Research Group in Informatic and
Telecommunications (INTELEC).
Angélica Flórez Abril, Master in Systems and Computer

Engineering from Universidad de los Andes, Bogotá (2002).
Systems Engineer from Universidad Francisco de Paula
Santander, Cúcuta, Colombia (1998). Associate Professor at
the Systems and Informatics Engineering Faculty, Universidad
Pontificia Bolivariana at Bucaramanga. Her current research
interests are in the computer networking and information
security areas. Member of Research Group in Informatic and
Telecommunications (INTELEC).
Urbano Eliécer Gómez Prada, Master in Engineering in

Computer Sciences and Systems Engineer from Universidad
Industrial de Santander. Full-time Professor at the Systems
and Informatics Engineering Faculty, Universidad Pontificia
Bolivariana at Bucaramanga. Member of Comunidad
Colombiana de Dinámica de Sistemas. Member of Research
Group in Informatic and Telecommunications (INTELEC).
172
Mario Ron Egas, Rodrigo Vázquez Cañás, Einar Lanfranco, Nicolás Macía, Javier Díaz
Practical Guide To Implement An Academic

Computing Security Incident Response Team
(Academic CSIRT).
Mario Ron Egas 1,2,3 , Rodrigo Vázquez Cañás 2, Einar Lanfranco 3, Nicolás Macía 3, Javier Díaz 3
1Universidad
de las Fuerzas Armadas ESPE, Av. General Rumiñahui S/N, Sangolquí, Ecuador
2Facultad
de Ingeniería del Ejército - Escuela Superior Técnica, Av. Cabildo 15, C.A.Buenos Aires, Argentina
3Facultad de Informática – Universidad Nacional de La Plata, Calle 120 50, La Plata, Buenos Aires, Argentina
mbron@espe.edu.ec, rodrigo.vazquezc@gmail.com, nmacia@cert.unlp.edu.ar, einar@mail.info.unlp.edu.ar, jdiaz@unlp.edu.ar
Abstract— Computer security incidents require actions to Emergencias Computacionales (CERT) en la Universidad de
prevent, identify, stop and/or minimize a cyber attack and restore IT Carnegie Mellon, Pittsburg, Pensilvania para brindar atención
services. One component of a Secure Computer System is the a eventos similares [1].
Computer Security Incident Response Team (CSIRT) that monitors
the activities in cyberspace. The work of the National CSIRTs has El acrónimo CERT actualmente tiene algunas variantes
not produced the expected results, this has led the University to como: CERT (Computer Emergency Response Team), CIRT
create academic CSIRTs. In this context, and in order to promote (Computer Incident Response Team), IRT (Incident Response
this work, a Practical Guide is developed, which facilitates the Team), ERT (Emergency Response Team), CSIRT (Computer
creation of Academic CSIRT in the Universities of the region, Security Incident Response Team), SIRT(Security Incident
hoping to encourage the implementation of such useful solutions in
computer security.
Response Team), SERT (Security Emergency Response
Team) [2]. Los CSIRTs pueden ser académicos, comerciales,
Index terms— Cyberspace; Cybersecurity; Academic CSIRT; nacionales o internos. En varios países de la región como
Guide; Computer Security Incident Colombia, Ecuador, Chile, Brasil, Argentina y Perú, se han
I. INTRODUCCIÓN implementado CSIRTs Nacionales, para dar atención a los
requerimientos de seguridad, especialmente de las
En concordancia con el crecimiento del Internet y las redes infraestructuras críticas y de los organismos del Estado y
de datos, han crecido también las actividades maliciosas concomitante con esto algunos CSIRTs comerciales,
asociadas a la tecnología, que tienen impacto negativo en las implementados por entidades financieras; además se ha
personas y organizaciones tales como: pérdidas económicas, incursionado en la formación de CSIRTs Académicos,
pérdida de la credibilidad y confianza, implicaciones propiciados por universidades de la región, entre ellas la
judiciales, pérdida de vida humanas, multas económicas e Universidad Nacional de La Plata, de la que se tiene
inclusive problemas políticos y de soberanía. información para sistematizar el proceso de creación de estos
Los fabricantes y vendedores de soluciones tecnológicas, equipos de trabajo en las universidades ecuatorianas y de la
han desarrollado productos para asegurar la confidencialidad, región.
integridad y disponibilidad de la información que adquieren, A pesar de que las personas, empresas y organizaciones
procesan, almacenan y transmiten sus sistemas informáticos, públicas y privadas han sido sujetas de ataques a la integridad,
sin embargo, muchos de estos productos no ofrecen una confidencialidad y disponibilidad de la información, hasta el
protección completa contra las actividades maliciosas, que se momento no existen mecanismos adecuados, en número ni
realizan por medio de tecnologías cada vez más sofisticadas y cobertura, que permita proteger la información especialmente
que aprovechan las debilidades de las soluciones del mercado. de sus sistemas críticos.
La evolución tecnológica, requiere que los involucrados en La labor de los CSIRTs Nacionales no ha dado el fruto que
su uso y producción, se encuentren en constante actualización se esperaba, en muchos casos por falta de formación de
y aprendizaje de técnicas, métodos y herramientas, que les técnicos en el área o por falta de recursos, esto ha llevado a
permitan minimizar las amenazas y vulnerabilidades actuales que la Universidad tome conciencia de su rol en la
que existen, independientemente del tamaño de la capacitación de personal técnico.
organización y de la importancia del negocio; por esta
condición es importante contar con personal especializado En los países de la región se han implementado CSIRTs
para actuar en forma eficaz contra estas amenazas, mediante el académicos, que han servido para propiciar el uso de buenas
manejo adecuado de incidentes informáticos. prácticas de seguridad y formar personal idóneo que
fortalezca las unidades de seguridad de la información de las
En los años 80, el virus Moris infectó miles de empresas y organizaciones, pero esta iniciativa de la
computadoras con pérdidas cercanas a 96 millones de dólares; Academia no ha proliferado, de tal manera que en cada país,
esto condujo a la creación del Equipo de Repuesta a solo se cuenta con una o dos universidades que han creado
173
CSIRTs Académicos en forma efectiva y que han tratado de servicios muy costosos y que no están al alcance de las
expandir su influencia a otras instituciones universitarias, sin pequeñas y medianas empresas.
conseguir buenos resultados.
El presente trabajo pretende cubrir los aspectos
Entre los factores que afectan a la creación de CSIRTs fundamentales de la terminología relacionada al tema de la
Académicos, podemos contar con los siguientes: seguridad de la información, de tal manera que las personas
que utilicen el documento tengan un lenguaje común al que
• Apoyo insuficiente por parte de las autoridades
referirse, además de compatibilizar los términos, para que el
universitarias.
significado sea el que se pretende dar en la guía práctica.
• Proyectos de creación incompletos o demasiado ambiciosos,
Es importante también considerar el estado del arte, tanto a
con análisis financieros no justificados en organizaciones sin
nivel local como mundial, en cuanto a la seguridad de la
fines de lucro.
información, sus estándares, soluciones y características
• Escaso personal técnico debidamente formado y con específicas.
experiencia en el área.
Dentro de las soluciones se describen aquellas que
• Insuficiencia de recursos para la adquisición de equipos, conforman equipos de respuestas ante incidentes de seguridad
software e infraestructura tecnológica. de la información, su clasificación y características, su
configuración estructural, su modelo operativo, orientando
• Falta de capacitación al personal técnico interno. finalmente a las de corte académico.
• Incipiente conciencia colectiva acerca de las amenazas,
Se toma en cuenta también documentos publicados por
debilidades y vulnerabilidades de los sistemas de
organismos internacionales o de países desarrollados, que
información.
sirven de guía para la sistematización del conocimiento acerca
• Carencia de Políticas Nacionales e Institucionales de de la creación de CSIRTs en general, entre éstos la Guía de
Ciberseguridad. creación de un CERT/CSIRT del Centro Criptológico
Nacional de España, la norma NIST SP 800-61 Computer
• Inexistencia parcial o total de un Sistema de Gestión de la Security Incident Handler Guide del National Institute of
Seguridad de la Información. Standards and Technology de los Estados Unidos de América
Sin embargo de lo expuesto, existen ciertas características y por supuesto la guía de los creadores del CERT de la
de la Academia, que pueden coadyuvar a la solución de este Universidad de Carnagie Mellon.
problema tecnológico, entre las que podemos contar: Una de las fuentes principales de información y que
• Capacidad de investigación y actualización tecnológica permite sistematizar su experiencia, es el CSIRT de la
permanente. Universidad Nacional de La Plata; esta experiencia servirá
• Recurso humano: docentes y estudiantes (tesistas, pasantes) para analizar su recorrido durante los años precedentes y su
conocedores de la tecnología. desarrollo hasta la fecha actual, en que presta servicios a la
• Conocimiento y uso de herramientas tecnológicas libres de comunidad universitaria y mantiene interacción con
costo o de uso libre en investigación. organismos públicos y empresas privadas, así como con otros
• Capacidad de transferencia tecnológica. similares de ámbito internacional.
Las características antes descritas, unidas a la brecha La propuesta final constituye una guía, que pretende ser lo
digital existente en cada país, la falta de regulaciones ante suficientemente explicativa para que las universidades de la
incidentes de seguridad informática y la escasa formación y región, especialmente las argentinas y ecuatorianas puedan
capacitación en temas de seguridad, hacen de la implementar de una manera eficiente y eficaz un Centro de
implementación de CSIRTs académicos una solución a Respuesta ante Incidentes de Seguridad de la Información, que
mediano plazo que permite: identificar vulnerabilidades en cumpla con objetivos institucionales y que coadyuve a mejorar
una infraestructura tecnológica, mitigar el impacto de las las condiciones de seguridad de la información en la
amenazas informáticas, aplicar procedimientos de continuidad Universidad y el país en general.
del negocio ante incidentes informáticos y definir estándares La Guía comprende desde la concepción inicial del
para asegurar la confidencialidad, integridad y disponibilidad Proyecto, su diseño, tanto en la estructura organizacional
de la información. como en su infraestructura y procesos operativos, el plan de
Es muy importante considerar la contribución a la implantación que llevará al equipo en un desarrollo
formación y experiencia de técnicos en el área, que son progresivo como organización que presta servicios de apoyo
quienes realizarán transferencia de tecnología en las empresas en la aplicación de la seguridad de la información, hasta
e instituciones, dando de esta manera un mayor impulso a la finalmente llegar a los procesos de control y mejoramiento de
aplicación de metodologías y técnicas adecuadas de los servicios prestados.
protección de la información, esta condición difiere
sobremanera de las CSIRTs comerciales, en donde prima el
rédito del negocio, que en muchos casos, hace que brinden
174
II. EQUIPO DE RESPUESTA ANTE INCIDENTES DE seguridad, como auditorías o forensias, porque puede
SEGURIDAD INFORMÁTICA (CSIRT) - hacerlas directamente o centralizar la capacidad técnica para
DESCRIPCIÓN CONCEPTUAL. seleccionar un contratista o proveer parámetros para
identificarlo.
Se define al CSIRT como la capacidad, equipo, unidad u
organización que ofrece soporte y servicios a una comunidad • Mejora la gestión de la Seguridad de la Información, al
con el objeto de prevenir, gestionar y responder a incidentes de brindar sus servicios a las instituciones de la comunidad
seguridad de la información. Este concepto se materializa en desde un solo punto de distribución, con elevado grado de
un equipo de expertos, que dispone de medios y ejecuta especialización y dedicación exclusiva; esto incrementa la
procesos para gestionar e implantar de manera centralizada, las eficacia y eficiencia al detectar, gestionador y resolver los
acciones necesarias para mitigar riesgos relacionados con incidentes, considerando además que al mejorar los tiempos
ataques a los sistemas de información y brindar una respuesta de respuesta y resolución, se reduce las pérdidas económicas
rápida y eficaz si estos ataques se producen. No solamente y el impacto que causan los incidentes de seguridad.
gestionan los incidentes de seguridad, sino también prestan • Centraliza el conocimiento técnico de los usuarios de la
servicios de asistencia para mitigar riesgos (análisis de comunidad, al ofrecerles información necesaria para prevenir
riesgos), elaborar planes para recuperación después de un situaciones de riesgo, apoyo, asistencia y sensibilización en la
incidente, análisis forense y gestión de vulnerabilidades. gestión de incidentes.
El servicio fundamental de un CSIRT es el de gestión de • Ofrece un punto calificado en donde se gestiona y coordina
incidentes, pero también forma parte de un modelo integral de aspectos normativos y jurídicos asociados a los incidentes,
gestión de la seguridad de la información, con medios y allí se puede proteger en forma adecuada las evidencias
recursos que le permite entregar servicios proactivos y de alerta digitales si se necesitara.
temprana, servicios preventivos, servicios formativos y de
concienciación de la comunidad y otro tipo de servicios, entre • Permite hacer seguimiento de manera formal al desarrollo de
éstos: seguridad proactiva, asistencia en la calidad de la gestión la seguridad y establecer métricas de calidad de servicio,
de la seguridad, desarrollo de herramientas, detección de retorno de inversión o rendimiento, relacionadas con
intrusiones, sistemas de alerta temprana, publicación de alertas operaciones de seguridad.
sobre vulnerabilidades de software y hardware, información
• Aumenta la cooperación entre los usuarios de la comunidad,
acerca de amenazas como malware, actividades sospechosas o
al establecer un punto central de sensibilización y
de riesgo, publicación de buenas prácticas y recomendaciones
comunicación entre ellos.
de seguridad, análisis de riesgos, planes de continuidad y
recuperación de desastres, auditoría, evaluación y certificación
de productos de seguridad. B. Razones para crear un CSIRT Académico.
La Academia es uno de los sectores en donde las TIC
A. Beneficios de la gestión centralizada del CSIRT tienen mucha importancia, porque intervienen directamente en
el control de actividades académicas de registro/titulación, de
La centralización de actividades es una tendencia que
investigación y también en la prestación de servicios hacia las
permite mantener buenas prácticas en las organizaciones,
empresas y ciudadanos que tienen interés en el conocimiento,
cumplir con la normativa y afrontar los riesgos emergentes de
la innovación y el emprendimiento. Su importancia radica
un modo sistémico, eficiente y eficaz, algo difícil de lograr con
también, en el aporte importante que hace a la vigilancia
equipos dispersos y segmentados.
tecnológica y la formación y capacitación de personal técnico,
Para enfrentar las amenazas informáticas es necesario tener que más tarde se ocupará de labores críticas en el uso de la
un gran conocimiento organizativo, normativo y técnico, estar tecnología.
actualizado en seguridad, operación, mantenimiento de la
Las leyes y regulaciones nacionales exigen la
infraestructura y gestión de incidentes, mediante un proceso
implementación de un Esquema Nacional de Seguridad,
integral y centralizado que logre un impacto en la seguridad del
considerando que la Sociedad de la Información depende en
Sistema. Centralizar los recursos y procesos mediante el
gran medida, de la confianza que exista entre los ciudadanos en
CSIRT brinda las siguientes ventajas:
su relación a través de medios electrónicos. Es esencial una
• Mejora los tiempos de respuesta en la resolución de política de seguridad en el uso de la tecnología, que brinde
incidentes, al actuar como único punto de contacto para adecuada protección a la información como parte de ese
coordinar las acciones de contención y respuesta ante esquema, a fin de crear confianza en el uso de los medios
incidentes en la organización y también las acciones con electrónicos, aplicando medidas que garanticen la seguridad de
otros CERT, grupos y foros internacionales a los que no tiene los sistemas, los datos, las comunicaciones y los servicios
acceso una organización convencional. Mejora los tiempos electrónicos, permita así mismo, prestar servicios y custodiar la
de respuesta, al ofrecer sus conocimientos técnicos a quienes información de acuerdo con especificaciones funcionales, sin
necesitan recuperarse rápidamente de algún incidente de interrupciones o modificaciones, evitando que esa información
seguridad. llegue a conocimiento de personal no autorizado.
• Disminuye los costos de operación, al concentrar Existe dificultad en proteger los sistemas de información y
conocimiento altamente especializado en un sólo lugar, que sus servicios relacionados (algunos críticos), debido a la
además permite mejorar la calidad de la gestión técnica de acelerada evolución tecnológica del cibercrimen, que se puede
175
visualizar a través de los ataques que cada día son más • Los sistemas de información de la Academia se encuentran
complejos y difíciles de detectar y que requieren de una fuertemente enlazados entre sí y con el sector privado, a
permanente especialización y actualización de quienes se través de redes y grupos de investigación/vinculación, por
encuentran encargados de su protección. El marco actual de tanto, la seguridad tiene una nueva implicación y
seguridad de la información, se encuentra afectado por ciertas responsabilidad más allá del aseguramiento individual de
características del cibercrimen que se describen a continuación: cada sistema; esto conduce a que los sistemas tengan su
perímetro definido y los responsables de cada dominio de
• La motivación de los atacantes en días pasados, se refería a seguridad, se encuentren coordinados de tal manera que
su satisfacción personal y el prestigio alcanzado, ahora en puedan evitar territorios liberados y brechas que pudieran
cambio es el afán de lucro el que los motiva. El robo de afectar a la seguridad de la información o los servicios
información de tarjetas de crédito, blanqueo de dinero o robo prestados a su comunidad [3]. Se describe el papel y
de identidad asociado a inmigración illegal y otras características de los organismos que generan estándares,
actividades que evidencian la profesionalización y también se presenta algunas normas muy conocidas y
maduración del mercado del cibercrimen, se realiza a través utilizadas actualmente y finalmente se hace una apreciación
de hackers pagados por delincuentes tradicionales, dando sobre las políticas nacionales referidas a la Ciberseguridad.
lugar a un ecosistema económico propio, con especialistas en
código dañino, vendedores de servicios de hacking,
spammers, controladores de botnets, gestores de NIC III. REVISIÓN DEL MODELO ESPAÑOL PARA
anónimos, ISP 'colaboradores', especialistas en blanqueo de CREAR UN CSIRT [3].
dinero electrónico y otros más, que se forman inicialmente en Una función del Centro Criptológico Nacional de España
las universidades y centros de capacitación, sin los valores (CCN) es elaborar guías que permitan garantizar la seguridad
que la especialización en informática requiere para servir a la de los sistemas de información y las comunicaciones de la
sociedad. Existen entonces verdaderas escuelas del Administración Española. Los documentos CCN-STIC
cibercrimen, que llevan la delantera a los centros de conforman un marco de referencia para establecer la confianza
educacion técnica. en el uso de los medios electrónicos, en el acceso de los
• Se ha incrementado el hacking político/patriótico/social, que ciudadanos a los servicios públicos, como parte del Esquema
realmente no tiene gran impacto en los sistemas de Nacional de Seguridad (ENS).
información, pero que puede provocar desprestigio de las El Modelo Español para la creación de un CERT/CSIRT, se
autoridades de graves consecuencias y crear incertidumbre en presenta en la Guía de Seguridad (CCN-STIC-810)[3]: GUÍA
la comunidad universitaria o nacional. DE CREACIÓN DE UN CERT / CSIRT; que visualiza las
• Las amenazas persistentes avanzadas (APT), son una gran implicaciones cuando se pone en marcha un equipo de
preocupación de los estados y organizaciones respuesta: su diseño, desarrollo y funcionamiento en la
gubernamentales, porque se debe evitar que ciertos administración pública; consta de varios capítulos en los que se
gobiernos, grupos criminales o grupos de hackers describe la estrategia general, las experiencias y ámbitos en los
especializados, obtengan información sensible o clasificada, que actúan los CERT a nivel nacional, su normativa, buenas
manejada por los sistemas de información universitarios y prácticas y legislación aplicable, la formación e información
que se encuentran relacionados con sistemas que se requiere y las herramientas que comúnmente pueden ser
gubernamentales y de empresas nacionales de sectores usadas.
estratégicos, a través de sus proyectos de vinculación o El CERT está conformado por expertos que, empleando
extensión. procedimientos de actuación y comunicación, utilizan recursos
• De los ataques a escala global, se ha pasado a los que son para brindar servicios de gestión de incidentes de seguridad a
dirigidos hacia víctimas específicas, como en las APT que se una comunidad. La creación de un CERT no implica implantar
desarrollan nuevos tipos de ataques, para el caso en que un sólo tecnología, sino adoptar una serie de procesos
objetivo se resista a ser penetrado. Son ataques más conformados por recursos humanos, económicos y
complejos, sigilosos y personalizados y que tienen poca tecnológicos, que se gestionan en conformidad con políticas,
probabilidad de ser detectados con herramientas normas y regulaciones para cumplir objetivos específicos del
tradicionales. Esto implica mayor complejidad en la negocio.
investigación/detección/vigilancia tecnológica de nuevos El CERT trabaja en una función concreta del Sistema de
ataques, específicamente creados para la víctima. Gestión de la Seguridad de la Información (SGSI), que es la de
• Los ataques que se realizan actualmente son más complejos gestión de incidentes. En caso de que no se disponga de un
pero, algunos de ellos son muy fáciles de ejecutar y no SGSI estructurado, se recomienda que el CERT tenga su
requieren mayor especialización, el tiempo entre la detección propio SGSI; en ciertos casos, la madurez de su accionar y del
de una vulnerabilidad en un sistema y la creación de código modelo de negocio, permite evolucionar hacia el concepto de
dañino para atacarlo, se ha reducido considerablemente CSIRT, en donde se asume bajo este nuevo modelo, todas las
(vulnerabilidades día cero), se trabaja en la elaboración de actividades críticas de la gestión de la seguridad, absorbiendo
herramientas que buscan supuestamente difundir las nuevas las responsabilidades de unidades de seguridad, que
vulnerabilidades pero que, en algunos casos, derivan en previamente conformaban el área de gestión de la seguridad de
herramientas automatizadas de ataque. Todo esto aumenta la la información, en algunos casos se constituye como una
velocidad de ejecución de ataques. entidad propia, aparte del área de TIC.
176
A. Parámetros para crear un CERT Comunidad.- Es el colectivo al que se entregan los

Al igual que en cualquier servicio, es importante considerar servicios del CERT, puede ser parte o toda la organización o
la proporcionalidad de los recursos, con respecto a las varias organizaciones. Debe ser aprobada también por la
expectativas de demanda esperadas, por tanto, al dimensionarlo organización patrocinadora. Una vez establecidos los servicios
debe considerarse los siguientes parámetros: a prestarse, se puede subdividirla en grupos con diversos
niveles de asistencia. Puede ocurrir también que una misma
• Tamaño de la comunidad a la que presta servicio. comunidad sea atendida por varios CERTs, cada uno de los
• Grado de autoridad sobre los miembros de la comunidad y cuales brinde distintos tipos de servicios.
modelo de relación jerárquica.
• Tipo y nivel de servicio. Es importante considerar otros actores, con los que el
• Promoción y comunicación de servicios. CERT comparte conocimientos y coopera en la investigación y
• Proceso de maduración. resolución de incidentes mediante relaciones de confianza.
• Plan estratégico. (CERTs locales o internacionales, operadores de redes, ISP,
ASP).
Aunque de menor importancia, existen otros parámetros a
considerar como: la calidad de los controles aplicados, la Autoridad o modelo de relación con la comunidad.- De la
madurez de la gestión de la seguridad y el nivel de exposición forma en que el CERT establezca su relación con la comunidad
a los ataques. y el grado de autoridad que se establezca, dependerá el tipo y
nivel de servicios que ofrezca. Los tipos de autoridad que el
Aparte de los parámetros expuestos, se debe considerar CERT puede tener sobre su comunidad son: completa,
algunas variables que son determinantes en el diseño, compartida, nula o indirecta.
organización, instalación y operación de CSIRT, el
dimensionamiento de estas variables permitirá crearlo con Otro aspecto a considerar en la relación con la comunidad,
eficiencia y redundará en la eficacia de su accionar. Se puede es el tipo de contacto previo y compromiso que se establece
considerar las siguientes variables: entre las partes. Existen dos formas: la primera es una relación
contractual que se hace con cada miembro de la comunidad, en
• Objetivos estratégicos, metas y principales prioridades. donde se especifica las cuotas y formas de pago si existen, los
• Tipo de comunidad a la que preste servicios de aspectos legales respecto a la confidencialidad, la
sensibilización y respuesta de incidentes. responsabilidad o los acuerdos de nivel de servicio; la segunda
es una relación informal, en la que no se necesita un contacto
• Agentes externos principales u organismos con los que tendrá previo con el CERT, ni establecer un compromiso para
que colaborar de forma estrecha. beneficiarse de sus servicios. Puede haber casos en los que se
empleen las dos formas.
• Tipos de servicio que se ofrecerá y no ofrecerá el CSIRT a la
comunidad  Organización y funciones
• Partidas presupuestarias y financiamiento de inversión y Existen varios modelos para organizar un CERT, que
operación. dependen básicamente de la organización patrocinadora y de la
comunidad a la que presta servicios, entre éstos se tienen: el
B. Componentes de un CERT Modelo de Organización Independiente, el Modelo Integrado
 Organización patrocinadora en una Organización Preexistente, el Modelo “Campus” con
una sede central y sedes distribuidas con cierta independencia y
Un CSIRT generalmente es promovido por una el Modelo basado en el voluntariado que actúa “ad hoc” con un
organización patrocinadora pública o privada, que encuentra la grupo de especialistas voluntarios.
necesidad de proveer a una comunidad de la capacidad de
respuesta ante incidentes de seguridad informática. La relación Los recursos humanos son parte de la organización, por
del equipo de respuesta con la organización patrocinadora y tanto el personal participa de la estructura organizacional. Los
con la comunidad que recibe sus servicios, es fundamental para factores antes expuestos y la evolución del CERT determinan
el cumplimiento de sus objetivos y para definir el tipo de el número necesario de cada uno de ellos, aunque inicialmente
autoridad que se implementará. se deberá tener un Director General o Supervisor que gestione
el equipo, personal técnico que desarrolle y entregue los
 Misión, comunidad, autoridad. servicios e investigadores que lleven a cabo las
investigaciones y análisis que se requieran. Se puede contar
Para institucionalizarse, el CERT debe establecer el marco también con consultores que asistan al Director General en su
global para el desarrollo de su actividad, su plan estratégico, en trabajo, especialmente en los aspectos legales.
el que defina los conceptos e ideas y determine los objetivos y
la evolución de la organización. Los elementos que componen El Director del CERT debe tener amplia formación en
esta visión estratégica son los siguientes: seguridad y experiencia laboral en gestión de crisis y
continuidad de negocios. Los integrantes del equipo técnico
Misión.- La componen los objetivos de alto nivel para los operativo deben ser expertos en los servicios especializados
servicios que se ofrecen, a quién se lo hace y los criterios que que brinde el CERT, en cambio los investigadores deben tener
se aplican para priorizar sus actividades. Debe ser aprobada por extensos conocimientos en seguridad y experiencia en
la organización patrocinadora y comunicada a todos los proyectos relacionados.
relacionados.
177
En forma concreta, es conveniente que todo CERT tenga el  Objetivo del servicio, su propósito y naturaleza.
siguiente personal:  Definición, detalle del alcance del servicio y la
profundidad en el que se ofrece.
 Responsable del equipo
 Funciones de cada una de las partes.
 Responsable de los sistemas y seguridad de la
información.  Nivel de Servicio.
 Equipo de comunicación o relaciones públicas.  Parámetros de calidad que espera la comunidad.
 Equipo de gestión de incidentes.  Política de comunicación.
 Equipo de formación.  Prioridad que otorga el CERT a cada servicio.
Los servicios que ofrece un CERT, se pueden agrupar en
 Plataforma tecnológica
las siguientes categorías: servicios reactivos, proactivos y de
Es necesario proporcionar al CERT los medios valor añadido o de gestión de la calidad de la seguridad. Los
tecnológicos que le permitan prestar sus servicios de forma detalles de todos estos aspectos, servicios y operaciones se
adecuada; en general, se requiere una plataforma en Internet puede encontrar en los siguientes documentos: CCN-STIC 403
con un portal, Sistemas de Soporte a Operaciones y Sistemas “Gestión de Incidentes de Seguridad”; “Handbook for
de Back-Office (Investigación forense, investigación de código Computer Security Incident Teams”, del CERT/CC ; “Cómo
dañino). El diseño de esta infraestructura depende de la crear un CSIRT paso a paso”, de ENISA ; “A Collection of
cantidad de servicios prestados y su nivel de calidad, también good practices for CERT quality assurance”, de ENISA y
depende del financiamiento y presupuesto. Otro aspecto a “CERT-in-a-box ”, del GOVCERT.NL .
considerar es si se cuenta con personal técnico o se tercerizan
ciertos servicios.  Proceso de Gestión de Incidentes
Se debe establecer una política de uso de los sistemas, que Considerando su importancia y papel principal en el trabajo
determine si los miembros del CERT serán administradores de de un CERT, se debe desarrollar un proceso formal y adecuado
sus propios sistemas, si los equipos pueden utilizarse para uso de gestión de incidentes que consta de:
personal, qué páginas se pueden ver desde los sistemas del Primera Fase.- Es el inicio del trabajo en donde se desarrollan
CERT o qué software personal se puede instalar. También debe las siguientes actividades:
incluirse instrucciones respecto del uso apropiado de los
equipos, copias de seguridad, configuraciones de seguridad  Detección de eventos que reflejen actividades maliciosas.
para software y aplicaciones según normas aceptadas, buenas  Discriminación y filtrado de eventos.
prácticas en configuración de soluciones de seguridad,  Registro del caso en el sistema de gestión de incidentes.
instalación de actualizaciones de software o hardware y acceso Segunda fase. - Una vez identificado un incidente, se inicia la
remoto a los servicios del CERT para administración y/o fase de triaje en la que se realiza lo siguiente:
soporte de teletrabajo.
 Verificación de que no se trata de un falso positivo.
Es necesario determinar el emplazamiento físico del CERT,
para disponer de un lugar de trabajo cuyo acceso sea  Correlación de la información recibida con la información
restringido. Entre las instalaciones se puede considerar una del sistema de gestión.
oficina general, el área asegurada físicamente para reuniones,  Creación de un nuevo incidente o enlace del ticket con otro
oficinas individuales con acceso seguro, laboratorio de pruebas ya existente.
e instalaciones de formación.  Asignación del ticket al punto afectado sin enviarle
información.
Las instalaciones, la red y la infraestructura de  Clasificación del incidente según clasificación establecida.
telecomunicaciones, deben diseñarse con mucho cuidado para  Priorización del incidente.
proteger los sistemas, la información sensible y también las Tercera fase.- Se procede al registro y notificación a las partes
personas. Se debe elaborar un Plan de Seguridad de las afectadas.
instalaciones, que cumpla con normativas y buenas prácticas
actuales relativas a aquellas en donde se maneje información Cuarta fase.- Se realiza el seguimiento del incidente y el cierre,
sensible. Se debe establecer varios niveles de acceso, en donde en el seguimiento se colabora en la contención de daños,
los más seguros serán para aquellos en que se custodia los erradicación de las causas o efectos e implantación o mejora de
activos críticos (salas de almacenamiento de evidencias, de controles de seguridad que prevengan incidentes similares en el
proceso de datos o de operación). Los niveles de acceso deben futuro. Se colabora con las entidades afectadas para notificar
segregarse físicamente y contar con sistemas de control de los incidentes de gran impacto que se extiendan fuera del
acceso y vigilancia. ámbito de la comunidad.
Para un desarrollo detallado de este proceso se puede
 Catálogo de servicios consultar la Guía CCN- STIC 403 de Gestión de Incidentes de
El CERT debe establecer en forma detallada, un Catálogo Seguridad Informáticos.
de los servicios que proveerá a la Comunidad, en el que conste
su extensión, el nivel de asistencia y la forma como el usuario
tendrá acceso a ellos. Debe incluir los siguientes aspectos en
cada servicio:
178
IV. REVISIÓN DEL MODELO tareas técnicas y administrativas; las propias de los alumnos,
NORTEAMERICANO PARA UN CSIRT [4]. las de mantenimiento y administración de la red. En la
comunidad a la que sirve el CERT, se utiliza tecnología para
El documento NIST.SP.800-61r2, al que se refiere este
comunicación por mail, videoconferencia, aplicaciones
estudio fue elaborado por el Instituto Nacional de Estándares y
distribuidas y entornos virtuales de aprendizaje. La red de la
Tecnología (NIST), cumpliendo con la Ley Pública 107-347 :
UNLP cuenta al momento con más de 5000 equipos, pero la
Ley Federal de Gestión de Seguridad de la Información
administración de los recursos informáticos es descentralizada,
(FISMA) de 2002, de los Estados Unidos de América.
es decir que cada una de las unidades es responsable de
Corresponde a una guía para uso de las agencias federales, pero
administrar sus recursos y servicios.
puede ser utilizada por organizaciones no gubernamentales de
forma voluntaria y no está sujeto a derechos de autor. Cada red cuenta con personas encargadas de administrar
sus recursos informáticos, tanto la funcionalidad, como la
Esta publicación ayuda a mitigar los riesgos de incidentes
seguridad. Considerando la diversidad de tamaños, tecnologías,
de seguridad informática, con directrices eficaces y eficientes,
disponibilidad de recursos y necesidades, la cooperación de los
que permiten establecer un programa de respuesta a incidentes.
administradores es por demás complicada.
El objetivo principal del documento es detectar, analizar,
priorizar y manejar incidentes. Es necesario adaptar las La UNLP es el organismo responsable ante cualquier
directrices y soluciones recomendadas a las realidades locales. incidente en las redes que la componen, por tanto, necesita un
Se encuentra organizado en 4 secciones y 8 apéndices. En la grupo centralizado que actúe en temas relacionados con
sección 2, se establece la necesidad de respuesta a incidentes, seguridad informática, en el que los distintos equipos puedan
describe las estructuras posibles de un equipo de respuesta a apoyarse técnicamente, compartir una base de conocimientos e
incidentes y otros grupos relacionados. En la sección 3, se intercambiar experiencias. Para esto, se ha creado una lista de
enuncia el procedimiento básico para manejo de incidentes y administradores de redes y servicios de intercambio de
consejos para realizarlo de manera más efectiva. La sección 4 conocimientos y experiencias, también se ha creado un
aborda la coordinación de la respuesta a los incidentes y la repositorio de archivos, en donde se puede encontrar versiones
forma de compartir información. Los apéndices contienen de sistemas operativos, parches o actualizaciones de productos
información detallada de varios aspectos, que necesitan ser de software.
profundizados o ejemplificados en las secciones antes descritas
como: escenarios, listas de campos de datos, glosarios de Estos requerimientos, sumado al creciente número de
términos, recursos para planificación, preguntas frecuentes, incidentes reportados, ha convocado a la creación de un grupo
pasos a seguir al manejar una crisis y cambios en revisiones especializado en seguridad de la información, cuyos objetivos
anteriores. son coherentes con los de la UNLP, en cuanto a la
disponibilidad, integridad y confidencialidad de la información
El presente estudio se focaliza en la sección 2, que se publica, almacena y transmite en las redes internas y sus
específicamente en los lineamientos para desarrollar una contactos externos. Para su creación se ha tomado como
capacidad de respuesta a incidentes de seguridad informática, referencia el documento publicado por Carnegie Mellon
que implica tomar decisiones y ejecutar acciones importantes. University en el año 2007 [7].
La organización debe decidir acerca de los servicios que se
brinda, considerar los modelos y estructuras adecuadas y  Misión.- Según detalla su sitio web es: “prevenir, detectar,
seleccionar e implementar los equipos de respuesta. Se debe gestionar, mitigar e investigar problemas e incidentes de
elaborar un plan de respuesta a incidentes, la política y los seguridad, coordinando acciones para la protección de
procedimientos, de manera que el trabajo se efectúe en forma usuarios y servicios de la UNLP”.
eficaz, eficiente y consistente, y para que el equipo se  Objetivos [6]:
encuentre debidamente capacitado para cumplir sus funciones.
Se debe establecer en estos documentos las interacciones con – Minimizar incidentes de seguridad en la red de la UNLP
otros grupos dentro y fuera de la organización, medios de que puedan afectar a usuarios internos y externos.
comunicación y otros equipos de respuesta a incidentes. – Desarrollar herramientas y mecanismos adecuados para
detectar y prevenir situaciones que afecten la seguridad de
la información de los usuarios, redes y servicios de la
V. ANÁLISIS DE CASOS DE ESTUDIO DE CSIRTS
UNLP.
ACADÉMICOS EN LA REGIÓN.
– Interactuar con la comunidad de CSIRTs.
– Definir y promover buenas prácticas de ciberseguridad
A. Definición e Implementación de un CERT para un Ámbito
entre la comunidad universitaria y la sociedad en su
Universitario UNLP [5][6] .
conjunto.
El CERT-UNLP es parte del Centro Superior de – Investigar incidentes de seguridad y asesorar a instituciones
Procesamiento de la Información (CeSPI), que administra la y organismos públicos y/o privados de Argentina y otros
intranet de la Universidad Nacional de La Plata de Argentina países, en la prevención y mitigación de dichos incidentes.
(UNLP), que tiene 18 facultades con más de 90000 alumnos y
cinco Colegios Preuniversitarios con cerca de 5000 estudiantes.  Servicios que presta el CERT-UNLP [6]:
En este contexto, las actividades de docencia e investigación – Análisis de seguridad en redes, servicios y aplicaciones.
las realizan 10000 docentes asociados, de los cuales 3500 – Análisis forense digital.
hacen investigación en 141 centros o laboratorios, se añade las – Monitoreo de seguridad de redes.
179
– Asesoramiento en conformación de equipos de respuesta a consecutivos que se detallan a continuación en un tiempo

incidentes de seguridad (CSIRTs). programado de seis meses.
– Asesoramiento e implementación de seguridad en
protocolos de comunicación. • Recolección de información Relevante de la UTPL.- Se
– Asesoramiento e implementación de controles de aplican encuestas y se revisan documentos, para conocer los
seguridad. objetivos institucionales y la situación actual de los sistemas de
la Universidad, el tipo de incidentes que se reportan con mayor
– Diseño e implementación de Infraestructuras de clave frecuencia y saber a quién se reportan. Esta investigación sirve
pública (PKI). para definir los servicios que el CSIRT-UTPL brindará y su
– Capacitación en temáticas referidas a la ciberseguridad. estructura organizacional, su resumen se detalla a
– Consultoría y asesoramiento en ciberseguridad. continuación:
– Reporte de incidentes y servicios vulnerables.
– Asistencia en la resolución de incidentes de seguridad. La UTPL es una Universidad privada, administrada por la
Comunidad de Misioneros y Misioneras Identes, ofrece
 Actividades desarrolladas: educación superior de grado y postgrado en las modalidades de
estudio Presencial, Abierta y a Distancia, con sus variantes: a
 Análisis de requerimientos, para determinar los recursos Distancia tradicional, Semipresencial y Virtual. Cuenta con un
humanos e infraestructura. Este documento contiene las campus universitario, en el que se encuentran los Centros de
especificaciones de equipamiento necesario para el CERT. Transferencia de Tecnología, Extensión y Servicio y todas las
 Desarrollo de procedimientos y políticas sobre uso dependencias de la universidad.
razonable de la red.
 Análisis de herramientas para la gestión de incidentes de Existe diversidad de usuarios y servicios tecnológicos. La
seguridad. mayoría de incidentes son de origen interno, existe también los
 Definición de las listas de administradores y de repositorio de origen externo mediante código malicioso, en su mayoría
de actualizaciones. relacionados a problemas de red, modificación de páginas web,
 Desarrollo del sitio web (https://www.cert.unlp.edu.ar). denegación de servicios, ataques de virus y errores en entrada
de datos.
 Desarrollo de software de gestión de incidentes de
seguridad y formularios de reporte. Se realizan análisis de seguridad en los servidores,
 Participación en eventos internacionales de capacitación, monitoreo de claves, escaneo de vulnerabilidades, uso de las
colaboración y competición. Herramientas OSIM y OSIRIS, actualización de IDS y
 Asesoría en la creación de centros de similares configuraciones como: cierre de puertos, permisos de acceso y
características. uso de ACL, se aplican políticas de contraseñas, respaldos y
 Capacitación y concienciación sobre seguridad de la planes de contingencia. Se tiene constancia de los incidentes
información en diversos ámbitos. reportados hasta el momento, pero en varios registros
 Definición de un decálogo de seguridad informática, para descentralizados.
los usuarios de la red UNLP. Las políticas que se manejan internamente son conocidas,
 Difusión del Proyecto a través de jornadas de pero lamentablemente no son aplicadas por falta de auspicio o
concientización en seguridad de la información. por descuido de los usuarios. No existe un documento
• Actividades actuales consolidado de ellas, se encuentra en fase de aprobación.
 Definición formal de acuerdos de niveles de servicio (SLA) El grupo de Soporte Técnico maneja un HELPDESK para
con los usuarios y proveedores externos y con los internos llevar el registro de incidencias diarias, pero actualmente no
los OLA (Organizational level agrements), además con está en funcionamiento y se detectan otras falencias en el
eventuales proveedores externos los UC (underpinning control y seguridad de los sistemas.
contracts). • Diseño de la Visión del CSIRT – UTPL.- En este
 Definición formal del catálogo de servicios y definición documento se redacta la misión del equipo, la comunidad a la
completa de bases de datos de conocimiento, de errores que se brinda servicios, el modelo de organización, la forma de
conocidos y otras. financiamiento y la manera de comunicarse con otros grupos.
B. Creación de un Equipo de Respuesta a Incidentes de En el caso particular de la UTPL, se define lo siguiente:
Seguridad para la Universidad Técnica Particular de  Misión.- “Promover la investigación en temas de seguridad,
Loja-Ecuador CSIRT-UTPL[8] [9]. para de esta manera tomar medidas preventivas, establecer
De la información obtenida, que corresponde al diseño del procesos de respuesta que sean eficientes para mitigar los
Proyecto de creación de este CSIRT académico, se puede decir posibles daños que cualquier incidente ocasione en los
que se fundamenta en el modelo presentado por el RFC 2350 sistemas de información de la UTPL.”
[7], en donde, el primer paso es realizar la propuesta de  Funciones.- Realizar capacitación, difusión de alertas,
creación del Equipo y luego seguir con las actividades que a implementación de políticas de seguridad, recibir reportes
continuación se describen: de incidentes, facilitar respuestas inmediatas, llevar un
grupo formal de investigación y atención de incidentes.
• Plan estratégico de actividades.- Establece las actividades  Objetivos.- Formar parte del FIRST, incrementar los
para crear el CSIRT – UTPL, en base de objetivos niveles de seguridad en la UTPL, convertirse en punto de
180
apoyo para crear nuevos CSIRTs en el país y conformar un  Políticas y Procedimientos.- Se definen las políticas para el
grupo de investigación en temas de seguridad de la adecuado funcionamiento del CSIRT-UTPL, de acuerdo al
información. Dominio 9 de la Norma ISO 17799:2005 ,en lo
 Comunidad.- Personal docente y administrativo de la concerniente a políticas de Seguridad Física, de Red, de
Universidad, posteriormente alumnos, extensiones y Manejo de Desastres y Continuidad del Negocio. Se tiene
centros asociados del país. una norma propia con procedimientos específicos y
 Modelo organizacional.- Interno Centralizado, con total formularios de Reporte de Incidentes y Vulnerabilidades.
responsabilidad en el manejo de incidentes en la  Financiamiento y Presupuesto.- La fase inicial requiere de
organización, se encarga de evaluar la seguridad de la apoyo financiero completo de la Universidad, luego de
organización y brinda asesoría en seguridad a todos sus implementado se realizarán actividades de
miembros. La autoridad es compartida con la Dirección. El autofinanciamiento. El presupuesto inicial llega a $ 9760
CSIRT-UTPL es un departamento ubicado muy cerca de la USD y los costos incrementales llegan a $8500 USD.
Dirección y está compuesto por dos grupos, el Laboratorio
en donde se realiza investigación y proyectos y el equipo El proceso de implementación y el funcionamiento
NOC/SOC, que se encarga servicios reactivos, proactivos y adecuado del CSIRT-UTPL requiere tiempo, algunos aspectos,
envío de información sobre incidentes y vulnerabilidades. se van implementando de acuerdo a las necesidades y
crecimiento del equipo, para lograr al final ser aceptado como
 Relación con otros equipos.- Se ha establecido
miembro del FIRST.
comunicaciones con CSIRT-ANTEL de Uruguay, para que
sea sponsor de ingreso al FIRST. La comunicación con • Anunciar y Comenzar la operación.- Consiste en ejecutar
otros equipos es mediante reportes de alertas e incidentes, los pasos antes indicados en forma efectiva, brindar los
información sobre el CSIRT-UTPL y un portal Web. servicios definidos y difundir sus actividades.
 Índices de Medición.- Creación formal del Equipo CSIRT,
• Evaluar la efectividad del CSIRT – UTPL.- Sirve para
equipo de personas capacitado para responder a incidentes,
determinar que el CSIRT cumple las funciones para las que fue
realizando trabajos conjuntos con el grupo NOC/SOC,
creado y prepara al CSIRT para su aceptación en el FIRST, de
haciendo uso de metodologías para el manejo de incidentes
acuerdo a los índices de medición y las metas propuestas.
y políticas internas para el grupo y otros indicadores para
cada una de sus metas.
VI. DISEÑO DE UN MODELO PARA CREAR UN CSIRT
• Comunicar la Visión y Plan Operativo del CSIRT.- ACADÉMICO.
Mediante la publicación de un documento informativo según la
norma RFC 2350, se comunica los servicios del CSIRT-UTPL, A. Especificaciones generales de diseño.-
además en el Portal del CSIRT, se dispone de este documento
y una Sección de Preguntas Frecuentes en que se describe la  Consideraciones iniciales.
Visión y los servicios disponibles. Una vez revisada la bibliografía al respecto, es importante
• Implementación del equipo.- Las actividades señaladas realizar ciertas consideraciones como las que se exponen a
permiten la implementación del CSIRT-UTPL, para cumplirla, continuación, que pueden tomarse como parámetros de diseño,
se entrega la propuesta al Gerente de Proyectos de la UTPL para lograr un resultado aceptable en el contexto que se
para su aprobación, luego se desarrolla un proyecto piloto para pretende aplicar el modelo.
su ejecución.  La Academia, que la conforman las Instituciones de
 Personal que conforma el Equipo.- En base del modelo Educación Superior, especialmente las públicas, en la
organizacional, se establece el personal permanente en el mayoría de los países sudamericanos, son organizaciones
equipo que lo conforma un Líder de Grupo, el Equipo sin fines de lucro, por tanto, sus recursos económicos son
NOC/SOC y Soporte Técnico (HelpDesk), un limitados.
Desarrollador Web y el Equipo de Investigación. Además  La evolución tecnológica es permanente y muchas veces
se cuenta con la colaboración de personal de las áreas de los proveedores van delante del conocimiento y formación
Gestión Legal, Relaciones Públicas y Recursos Humanos. que brindan las universidades.
 Equipos e Infraestructura.- Se requiere de espacio físico  En carreras que utilizan tecnología, la práctica de métodos,
propio, telefonía, equipo de oficina, material de escritorio, procedimientos y herramientas, debe ser significativo, para
material bibliográfico, equipo de cómputo, software base y lograr una adecuada inserción del graduado en el mercado
aplicativo. Se cuenta con normas propias referentes a laboral o la industria.
seguridad física y planes de recuperación ante desastres.  La cooperación entre las instituciones que protegen la
 Servicios a brindar.- El objetivo de esta actividad es sociedad, debe ser mayor que la que tienen las personas y
establecer los servicios que se van a brindar en el Equipo organizaciones delictivas entre sí.
CISRT – UTPL, entre éstos, se enumeran los reactivos que  Existe mucha normativa y procedimientos jurídicos, que no
ejecuta el grupo NOC/SOC y los proactivos que lo hace el cubren la totalidad de delitos, ante lo cual la sociedad se
Laboratorio, además definen un Observatorio de mantiene indefensa.
Tecnología, servicios de Gestión y Calidad de la Seguridad,  Cuando se inicia un servicio sin costo, no es muy requerido
concientización, educación y capacitación. hasta cuando madura y es conocido.
181
 Los profesionales en seguridad certificados y con  Desarrollo de procedimientos y políticas sobre uso
experiencia, son costosos y muy demandados. razonable de la red.
 El mercado de proveedores de tecnología es muy  Análisis de herramientas para la gestión de incidentes de
competitivo y costoso. seguridad.
 Especificaciones.  Definición de las listas de administradores y de repositorio
de actualizaciones.
Las condiciones antes expuestas, conducen a ciertas
 Desarrollo del sitio web y desarrollo del software de
especificaciones que un modelo propuesto debería cumplir para
gestión de incidentes.
adaptarse de mejor manera al contexto universitario
latinoamericano, podrían ser las siguientes:  Participación en varios eventos internacionales.
 Asesoría en la creación de centros de similares
 Ser escalable y evolutivo. características.
 Tener contacto con otras organizaciones.  Capacitaciones y concienciación sobre seguridad de la
 Los costos iniciales no deben ser altos. información en diversos ámbitos.
 Permitir la participación de la comunidad universitaria:  Difusión del Proyecto a través de jornadas de
docentes, estudiantes, empleados. concientización en seguridad de la información.
 Utilizar herramientas que no tengan dependencia de  Definición formal de acuerdos de niveles de servicio
marcas.  Definición formal del catálogo de servicios
 Mantener la soberanía del país.  Definición completa de bases de datos de conocimiento, de
 Ser autosustentable. errores conocidos y otras.
 Fomentar la formación y capacitación permanente de sus
 CSIRT-UTPL- RFC 2350
cuadros.
 Facilitar la transferencia tecnológica.  Plan estratégico de actividades.
 Permitir el crecimiento de la comunidad de usuarios.  Recolección de información Relevante de la UTPL.
 Diseño de la Visión: misión, funciones, objetivos,
B. Elementos esenciales.- comunidad, modelo organizacional, relación con otros
De los modelos analizados en el presente estudio, se puede equipos, índices de medición.
obtener sus elementos coincidentes o comunes y que por  Comunicar la Visión y Plan Operativo del CSIRT
consideraciones técnicas, deben mantenerse en un modelo  Implementación del equipo: personal que conforma el
propuesto. Debemos incluir además, las experiencias de los Equipo, equipos e Infraestructura, servicios a brindar,
CSIRT Académicos presentados en el capítulo anterior. En la políticas y procedimientos, financiamiento y presupuesto.
Tabla I, se presenta un análisis comparativo de los elementos  Anunciar y Comenzar la operación.
que podemos considerar como los siguientes:  Evaluar la efectividad del CSIRT.
 Modelo Español:
Tabla I. Análisis comparativo de elementos para la creación
 Organización patrocinadora de un CERT.
 Misión

Español
CERT -
CERT -
Modelo
Modelo
Plataforma tecnológica
UNLP
UTPL
USA
 Catálogo de servicios
 Proceso de Gestión de Respuesta a Incidentes Factores
 Comunidad Análisis de la Organización X X X X
 Autoridad
 Organización y funciones Plan estratégico X X X X
 Modelo Norteamericano: Organización y funciones X X X X
 Política de respuesta a incidentes. Plataforma tecnológica X X X X
 Plan de respuesta. Catálogo de servicios X X X X
 Procedimientos de respuesta. Procedimientos de respuesta. X X X X
 Intercambio de información.
 Modelo de equipo de respuesta. Comunidad X X X X
 Selección del personal. Intercambio de Información X X X X
 Identificar otros grupos en la organización. Publicidad X X X
X
 Determinar los servicios.
Autoridad X
 CERT para un Ámbito Universitario UNLP.
Evaluación X
 Análisis de la Organización Universitaria Asesoría X
 Definición de objetivos
 Análisis de requerimientos para determinar los recursos
humanos e infraestructura necesarios para soportar el
servicio considerando la demanda
182
C. Concepción general del modelo.- cumpla un papel positivo en la vida del hombre, minimizando
El CSIRT Académico en definitiva ofrece servicios, por el riesgo inherente a su uso y protegiendo la información que
tanto debe ser implementado y diseñado como tal, en se adquiere, procesa, almacena y transmite en las redes
concordancia con las características específicas y condiciones informáticas.
del ambiente universitario, comprendiendo que su afán no es Existen muchos mecanismos para mantener la integridad,
económico, pero que necesita autofinanciamiento, que la idea confidencialidad y disponibilidad de la información, entre ellos
principal es la participación de docentes y estudiantes, porque podemos contar con el establecimiento y difusión de políticas,
servirá además para formar y capacitar cuadros técnicos que regulaciones, normas y buenas prácticas de aseguramiento del
realizarán su trabajo mediante pasantías. buen uso de los sistemas de información, la provisión e
Considerando que son servicios se hace referencia a ITIL, implementación de sistemas de software y hardware, que
que es una norma que determina la forma cómo debe ser permiten aplicar controles técnicos para proteger la
implementado un servicio, de ésta se puede tomar en cuenta información y también el establecimiento de grupos de
algunos aspectos para elaborar un modelo que básicamente profesionales e investigadores y organizaciones tanto privadas,
contenga las cinco fases de ITIL [10]: públicas, gubernamentales y no gubernamentales, cuya labor
sea realizar acciones, diseñar y crear métodos que sirvan para
 Estrategia del Servicio, en donde se diseña un plan de brindar seguridad y confianza en el empleo de la tecnología.
acción para desarrollar una Estrategia Organizacional, que
incluye la definición de cómo crear valor a través del servicio, Entre los equipos o grupos de trabajo y como una de las
el portafolio de servicios, el análisis de la demanda y la gestión soluciones ante las actividades no deseadas que se realizan en
financiera. las redes, se encuentran los equipos de respuesta a incidentes
de seguridad de los sistemas informáticos (CSIRT), que tienen
 Diseño, en esta fase se determina la arquitectura, procesos, la misión esencial de brindar soporte oportuno, eficiente y
políticas, documentación, que son parte del catálogo y niveles eficaz en el caso de que una amenaza actúe vulnerando los
de servicio, la capacidad instalada, la gestión de continuidad y sistemas informáticos organizacionales, con acciones
disponibilidad, los proveedores y la seguridad de información. preventivas y reactivas, para lo que cuentan con personal,
técnicas y medios adecuados.
 Transición del Servicio, se refiere a la gestión del cambio
que se produce por el nuevo servicio, en los activos y la La creación de un CSIRT Académico, constituye un aporte
configuración, el despliegue y entrega del servicio, la muy importante a la sociedad y al desarrollo científico, es el
validación y pruebas, la evaluación y la gestión del laboratorio natural en donde se experimentan y prueban
conocimiento del servicio con su sistematización. soluciones efectivas para proteger los sistemas informáticos, es
el sitio en donde se entrenan y forman los expertos en esta
 Operación del Servicio, se refiere a las mejores prácticas lucha permanente entre el bien y el mal, desde donde parten a
para poner en marcha y ofrecer el nivel y la calidad de servicio transferir la tecnología, conocimientos y experiencia a otros
que la Organización requiere, estableciendo los Acuerdos de CSIRT, ya sea participando en su creación o fortaleciendo sus
Nivel de Servicios (SLA, OLA), la productividad, gestión de cuadros técnicos.
eventos, gestión de incidentes, gestión de peticiones de
servicio, solución de problemas, gestión de fallas y gestión de Todavía existen muchas universidades que aún no han
acceso. optado por esta solución, por varias razones, entre ellas por no
contar con una guía fácil de seguir para la creación de un
 Mejora Continua de Servicios, en base de la estrategia de CSIRT, por falta de comprensión del riesgo por parte de las
evolución y desarrollo del servicio, se define qué medir, cómo autoridades universitarias o patrocinadoras o por la falta de
hacerlo, procesar los datos, analizarlos, presentar información soporte de una universidad que ya tenga esta experiencia.
útil e implementar mejoras en forma permanente.
Este trabajo trata de aportar en la solución del primer
problema, ofreciendo un manual práctico para lograr la
VII. PROPUESTA.
implementación de un equipo de respuesta, basado en modelos
Guía Práctica para la creación de un Centro Académico de probados y experiencias propias de la región latinoamericana,
Respuesta ante Incidentes de Seguridad Informática (CSIRT tomando de ellos las coincidencias básicas y añadiendo
Académico) algunos aportes que propone ITIL V3, que es una herramienta
de mucho prestigio en el diseño e implementación de servicios.
A. Introducción.
Algunas actividades serán referidas a otros manuales, en los
La tecnología actualmente es parte de la vida de las que puede encontrarse en forma detallada, en caso de
personas, los costos cada día menores y la facilidad de acceso a necesitarse, pero se anima a aquellas universidades con
ellos, permite su uso en forma masiva en todos los ámbitos experiencia en este tipo de proyectos, que con generosidad
socio-económicos y políticos en que se desenvuelve la brinden su apoyo decidido a otras que pretenden incursionar en
sociedad. la gestión de incidentes de seguridad informática, esto
El ser humano tiene la capacidad de convertir el uso de los permitirá la colaboración y el aumento de la masa crítica, para
medios tecnológicos en algo beneficioso o perjudicial para la beneficiar, no solamente a la comunidad universitaria, sino a
comunidad, de acuerdo a su naturaleza ética y sus particulares cada uno de los países en los que las universidades desarrollen
intereses; por tanto, es necesario asegurar que la tecnología su actividad.
183
B. Consideraciones generales las actividades previas, conducentes a elaborar la propuesta

Es importante tener claros los principios que permiten preliminar, que será presentada a la oficina o comisión de
organizar un proyecto, porque de ellos depende su proyectos de la universidad.
configuración, su organización, sus procesos y en definitiva su  Bitácora.- Es importante iniciar una bitácora, en donde se
trabajo diario. En el diseño especialmente, se debe aplicarlos, llevará el registro de todas las actividades que se realicen,
para que éste sea eficiente y efectivo. Es importante que las también debe designarse al responsable de esta actividad y
siguientes consideraciones se tomen en cuenta en el proyecto señalar la manera en que se realizará la comunicación entre
de creación de un CSIRT: los miembros del equipo.
 Las universidades estatales son organizaciones sin fines de  Estudio de la situación actual en la universidad.- Se
lucro, sus recursos económicos son limitados, por tanto la analizan los documentos organizacionales de la
eficiencia es muy importante, recuerde que no va a ser muy universidad: el Plan Estratégico Institucional y su Plan
fácil conseguir recursos, se debe aprovechar al máximo los Operativo Anual, el Plan Estratégico de TI y su Plan
ya existentes. Operativo, para revisar sus objetivos/estrategias y ver en
 La evolución tecnológica es permanente y muchas veces cuál de ellas estará encasillado el proyecto; el estatuto
los proveedores van delante del conocimiento y formación orgánico, para determinar la dependencia orgánica del
que se tiene en las universidades, por eso es necesario CSIRT; los procedimientos de creación de organismos, el
mantener contacto con los proveedores y buscar alianzas presupuesto disponible, los reglamentos internos, el Plan de
estratégicas. Continuidad, el documento de análisis de riesgos, los
convenios actuales con otras universidades u organismos
 La necesidad de práctica en las carreras de tecnología, le que dispongan de CSIRT o similares y otros documentos
van a brindar recursos humanos técnicos y opciones para pertinentes.
integrarlos a las actividades del CSIRT que no sean muy
costosas, como el procedimiento de pasantías o prácticas Se recoge información acerca de la configuración de las
preprofesionales. Los profesionales en seguridad redes de datos, la cantidad de usuarios, el equipamiento, la
certificados y con experiencia, son costosos y muy organización de los sistemas, las aplicaciones en uso,
demandados. registro de incidentes, políticas y procedimientos de
seguridad y otra información que sirva para definir la
 La cooperación entre organizaciones, no es muy fácil de demanda y los servicios que el CSIRT brindará, así como
conseguir, generalmente por el celo profesional e intereses su estructura y recursos.
que tiene cada una; es necesario poner mayor empeño en
este aspecto.  Definición de la entidad patrocinadora.- Se determina la
entidad que patrocina el CSIRT, debe ser aquella con
 Existe mucha normativa y procedimientos administrativos suficiente influencia, para que logre aceptación del
que cumplir para crear una nueva unidad en la universidad, proyecto por parte del Consejo Universitario o el
se requiere por tanto revisarlos al elaborar el proyecto. Organismo encargado de la aprobación de proyectos de este
tipo. Como es un ente académico, no es conveniente que se
 El mercado de proveedores de tecnología es muy encuentre bajo el control de los servicios TI orgánicos de la
competitivo y costoso, considere la posibilidad de trabajar universidad, sino más bien de un centro de investigación o
con herramientas libres o desarrolladas por otros CSIRT laboratorio relacionado.
Académicos.
 Preparación de la propuesta estratégica inicial.- El modelo
 El diseño de la organización debe ser escalable y evolutiva, pretende desarrollar sus actividades de forma consistente,
con costos iniciales bajos. de tal manera que pueda suspenderse o reformarse en cada
 Permita la participación de la comunidad universitaria: paso en que se avance con la aprobación de las partes
docentes, estudiantes, empleados. interesadas, que deben intervenir en todo el desarrollo, por
esta razón en primer lugar se elabora un documento que
 Planifique su proyecto para que sea autosustentable y contiene la propuesta para iniciar el proyecto de creación
permita el crecimiento de la comunidad de usuarios. del CSIRT, con los antecedentes y descripción de la
situación actual, el problema que se pretende resolver, la
C. Procedimiento solución que se propone, el objetivo general y los objetivos
 Fase I.- Planeamiento Estratégico. específicos del proyecto de creación, una estimación de
servicios que se prestarán, los costos generales tanto de
 Conformación del equipo inicial de proyecto.- Los inversión como de operación del CSIRT, su financiamiento,
promotores del proyecto se reúnen para definir quiénes el personal y recursos, de dónde se los puede obtener, es
conforman el equipo inicial, considerando docentes, decir, presentar una idea concreta de la factibilidad del
estudiantes, directivos y empleados de las TIC, su número proyecto, para que las autoridades brinden su apoyo a la
no debe ser excesivo (5), pero pueden contar con personal preparación de un proyecto formal de creación del CSIRT,
de apoyo, para labores adicionales. que contenga su Plan Estratégico, el diseño de su
organización, procesos, recursos y servicios. Es importante
 Definición del Plan inicial de trabajo.- El equipo inicial de en este momento, definir quién o quiénes lo elaborarán y en
proyecto, elabora un Plan de trabajo para desarrollar todas
184
qué tiempo y con qué costos se presentará el proyecto  Políticas y Procedimientos.- Las políticas se derivan de los
formal y sus documentos anexos. objetivos, las estrategias y los servicios que se prestarán y
se refieren a directrices o limitaciones de alto nivel que
 Presentación de la propuesta estratégica inicial.- El apoyo guían la ejecución de procedimientos, este documento debe
de la entidad patrocinadora, es importante para que pueda elaborarse inicialmente para proceder a redactar cada uno
aceptarse la presentación de la propuesta inicial, porque es de los procesos, procedimientos e instructivos necesarios
la que realiza el contacto con el Consejo Universitario o para el funcionamiento del CSIRT, se puede iniciar con
entidad que apruebe los proyectos. Es conveniente también, aquellos indispensables para que pueda empezar a
iniciar la difusión de la idea con los medios de información funcionar el equipo y luego completarlos conforme se
públicos universitarios, así como entrevistas y artículos de requieran. Los instructivos son indispensables para la
prensa que hagan alusión a este tema. capacitación y formación del personal. Para su elaboración
 Fase II.- Diseño. es conveniente utilizar los formatos que utilizan las normas
ISO y lo que recomienda el FIRST. Información
 Plan Estratégico del CSIRT.- Conseguida la aprobación de relacionada existe igualmente en manuales y guías
la factibilidad del proyecto, el personal designado elabora elaborados por los organismos señalados en el acápite
este documento que constituye la hoja de ruta del CSIRT en anterior.
los próximos años, desde su creación efectiva, hasta el
cumplimiento de la visión de futuro, el período de validez  Modelo organizacional.- Se determina el modelo
de este plan se encuentra en concordancia con el Plan organizacional, en base de los modelos existentes, la
Estratégico de la Universidad y el de TI. Los aspectos que organización por procesos, su ubicación dentro del
contiene tienen que ver con los principios, valores, misión, organigrama estructural de la universidad, su línea de
visión, objetivos, estrategias, políticas e indicadores de dependencia y autoridad, la misión y las responsabilidades
medición del cumplimiento de los objetivos y metas del CSIRT. Se define los cambios que deberán hacerse en
trazadas. el estatuto orgánico por procesos de la universidad.
 Plan Operativo Anual.- En base del Plan Estratégico del  Clasificación de puestos-especificaciones de clase.- En base
CSIRT, se elabora el Plan Operativo Anual, considerando del modelo organizacional y la organización por procesos,
las estrategias para el primer año y los proyectos que se se elabora el organigrama posicional del CSIRT (puestos y
deriven de ellas, es importante iniciar con la elaboración del adscritos a cada puesto), se diseña las descripciones de
presupuesto anual, que será refinado conforme avance el puesto del personal del equipo, señalando la denominación
diseño. del puesto, su objetivo, responsabilidades, características
del puesto, competencias técnicas/actitudinales, equipo,
 Análisis y gestión de la demanda.- Con los datos obtenidos autoridad y accesos. Es necesario considerar además, que
inicialmente y aquellos que sea necesario recabar, se ciertas responsabilidades en puestos de trabajo de otras
determina la comunidad a la que se prestará servicios, sus unidades organizacionales relacionadas, como relaciones
necesidades y requerimientos, el alcance y extensión de públicas, departamento legal y otros sufrirán
esta demanda y la proyección que tendrá en los próximos modificaciones debido a los nuevos procesos diseñados.
años, más detalle al respecto se puede consultar en ITIL
V3, no se debe olvidar la relación con otros organismos  Infraestructura y equipamiento.- Se especifica un espacio
similares y sus requerimientos, especialmente los físico propio, es preferible ubicar un espacio ya construído
gubernamentales y el cumplimiento de leyes y regulaciones para acondicionarlo, que se encuentre en un lugar protegido
específicas. físicamente, de acceso independiente, con riesgos mínimos
respecto de desastres naturales, energía principal y alterna,
 Portafolio de Servicios.- En base del análisis de la acceso a las redes de telefonía y datos, con espacios para
demanda, se establece los servicios requeridos por la los equipos y el personal, con seguridades y protección de
comunidad y se prioriza utilizando un matriz de impacto, acceso.
entre los servicios deberá establecerse los reactivos y los
proactivos, así como otros servicios que pueda prestar el En el equipamiento de oficina consta el amoblamiento
CSIRT y que serán analizados de acuerdo a su prioridad necesario, anaqueles, teléfonos y material de escritorio,
para que sean implantados, así mismo se determina el nivel material bibliográfico, equipo de cómputo, software base,
de estos servicios y los indicadores de evaluación de su aplicativos y al menos un sitio seguro para guardar
calidad. Para su elaboración se puede tomar en cuenta guías evidencias. Se debe incluir las suscripciones a bases de
y manuales elaborados por organismos internacionales, datos u organizaciones que proveen información,
como la ISO, ITU, NIST, CCN, ENISA y otros. suscripciones a material bibliográfico, revistas y
publicaciones.
 Relación con otros equipos.- Se identifica las
organizaciones o entidades con las que se tendrá contacto,  Planes de seguridad, de recuperación de desastres y
la forma de relación con ellas y los servicios que serán continuidad de servicios.- Se elabora los planes de
establecidos, como clientes o proveedores, así también seguridad física, lógica y de comunicaciones o se modifica
aquellos con los que se establecerán alianzas estratégicas y los ya existentes, incluyendo las instalaciones previstas y
las políticas para esa relación. los procesos diseñados.
185
 Presupuesto y Financiamiento.- Se elabora el presupuesto especificaciones técnicas, para la adquisición de equipo y

de inversión inicial y de operación anual del CSIRT, en materiales de oficina, hardware, software y suscripciones a
base de la organización diseñada y el equipamiento bases de datos, revistas, servicios de información y otros.
necesario. El cronograma de flujo de fondos de acuerdo a En caso de contratación de empleados, es necesario
los gastos planificados y las formas de financiamiento coordinar con la unidad de talento humano para su
disponibles. contratación o designación, debe entregarse los
requerimientos que constan en la descripción de los
 Diseño y cronograma de implantación del proyecto.- Se puestos, elaborada en la fase de diseño y se debe participar
determinan las actividades de implantación del proyecto, el en la selección del personal.
despliegue, capacitación, instalación, configuración,
validación y pruebas.  Instalación/configuraciones.- Se procede a instalar y
configurar el software y hardware y luego realizar las actas
 Definición de indicadores de evaluación de la implantación de entrega-recepción de todo el equipamiento adquirido,
del proyecto.- Es importante y necesario establecer los una vez revisado en relación con los requerimientos. En el
indicadores, productos, entregables y forma en que se caso de que la instalación haya sido contratada con
realizará la evaluación de la implantación del proyecto. capacitación, el acta se hará luego de ella. Es importante
 Discutir y aprobar el diseño.- Se debe mantener reuniones que en este momento se implemente el sitio web del
con las partes interesadas de la universidad y otras CSIRT.
relacionadas que tienen interés en el proyecto:  Capacitación.- Con el personal asignado se realiza la
departamento financiero, legal, TI, logística, desarrollo capacitación en los procesos diseñados y la evaluación de
institucional, para recibir sus observaciones respecto del desempeño de la capacitación recibida, de estas actividades
diseño y la ejecución del proyecto. se debe tener la constancia correspondiente.
 Elaborar el proyecto definitivo de creación del CSIRT.-  Pruebas.- Con el personal capacitado y conocidos los
Con todos los elementos antes configurados, se elabora el procesos de trabajo, se realizan pruebas y se validan, si
proyecto de acuerdo a la plantilla que utiliza cada existen errores, se corrigen y nuevamente se realizan las
universidad para este tipo de proyectos. pruebas hasta que estas sean satisfactorias. Se puede contar
con la presencia de expertos de otros CSIRT Académicos
que apoyen en estas actividades.
 Fase III.- Implantación.
 Acuerdos de Niveles de servicio.- Se firman los acuerdos
En esta fase se realiza la gestión del cambio de la situación de niveles de servicio (SLA, OLA) con los representantes
actual a la situación propuesta, por medio de la aprobación, la de la comunidad (clientes), proveedores de todo tipo, tanto
asignación de recursos, implantación y evaluación inicial del internos como externos, en formatos elaborados para el
proyecto, de conformidad al diseño anteriormente realizado. efecto, de tal manera que se tenga una clara conciencia del
 Aprobación del proyecto.- Una vez elaborado y revisado el tipo y calidad de servicios que se brindará.
proyecto por los interesados, se presenta al Consejo  Evaluación.- Con los parámetros de diseño establecidos se
Universitario o instacia de aprobación de proyectos en la procede a la evaluación, por parte del personal designado
Institución. Es importante elaborar una presentación con para esta actividad. Es conveniente coordinar previamente
medios audiovisuales para explicar el proyecto y designar la ayuda de personal de auditoría informática, quienes
un presentador, con las habilidades adecuadas para hacerlo presentarán el informe de manera expedita, para corregir
y la capacidad de resolver las inquietudes que se presenten. cualquier defecto en el proceso.
 Comunicar la Visión y Plan Operativo del CSIRT.- Una  Fase IV.- Operación.
vez aprobado el proyecto, es necesario hacer pública esta
decisión, por los medios de comunicación interna que tenga En este punto se entregan los servicios a los usuarios,
la universidad y los organismos relacionados con ella. Se aplicando las mejores prácticas que constan en los procesos,
presenta el Plan Estratégico en un formato adecuado, para procedimientos e instructivos preparados y probados con
que la comunidad preste interés a las actividades que se anterioridad. De su ejecución se lleva el registro y una base de
desarrollarán. datos de conocimientos que sirven para que el servicio sea más
rápido y efectivo. Las actividades se ejecutan en conformidad
 Asignación de recursos.- Con la copia del acta de con los SLA y OLA, realizados con los usuarios y proveedores.
aprobación del proyecto, se inicia en primer lugar la Se gestionan los eventos, los incidentes, las peticiones de
requisición de las certificaciones presupuestarias, que servicio, se realiza la solución de problemas, gestión de fallas y
permitirán al director del proyecto realizar las adquisiciones gestión de acceso a los servicios propuestos.
y contrataciones con posterioridad. Se coordina con la
unidad de desarrollo físico para la adecuación de las  Fase V.- Evaluación y mejora.
instalaciones y oficinas. En forma periódica, luego de haber entrado en operación el
 Adquisiciones, contrataciones.- De acuerdo con los servicio y de acuerdo a los indicadores establecidos en el Plan
procedimientos logísticos propios de cada universidad, es Estratégico del CSIRT, con ayuda de auditoría informática, se
necesario presentar los requerimientos y las realiza la evaluación de la calidad del servicio, de la
186
documentación pertinente, del registro de las actividades,  Como trabajo futuro a este estudio, sería importante
incidentes, respuestas, problemas, fallas y se elaboran elaborar modelos de procedimientos específicos,
recomendaciones para mejorar el servicio. Estas especialmente en lo que se refiere a la operación del
recomendaciones conforman un plan de mejoras que es servicio de respuesta a incidentes, tomando en cuenta las
redactado como un proyecto a ser aplicado en el siguiente guías publicadas hasta el momento por organismos
período, con el presupuesto y todos los recursos necesarios. internacionales y agencias gubernamentales de seguridad
de la información, siempre considerando las
particularidades de la Academia, su difusión libre y la
participación de aquellos que al momento se encuentren
ejecutando este tipo de prácticas.
AGRADECIMIENTOS
A los miembros del Centro de Respuestas de Incidentes de Seguridad
de la Universidad Nacional de La Plata (CERTUNLP) por su
colaboración en el desarrollo de este trabajo.
Este trabajo ha sido parcialmente financiado en el marco del proyecto
de investigación titulado: "Plataformas Computacionales de
Entrenamiento, Experimentación, Gestión y Mitigación de Ataques a
la Ciberseguridad", Código: ESPE-2015-PIC-019.
Figura 1.- Modelo para la Creación de un CSIRT Académico
REFERENCIAS
VIII. CONCLUSIONES [1] J. Moira, D. Stikvoort, P. Klaus, G. Killcrece, R. Ruefle, and M.
Zajicek, Handbook for Computer Security Incident Response Teams
 La evolución de la tecnología incide en todas las (CSIRTs), 2nd. Pittsburgh,PA,USA, 2003.
actividades de la sociedad tanto buenas como malas, esto [2] D. Rajnovik, Computer Incident Response and Product Security, 1st.
hace que las nuevas capacidades que brinda la tecnología, Indianapolis: Cisco Press, 2011.
deban acompañarse de aspectos relacionados al
[3] Centro Criptológico Nacional de ESpaña, GUÍA DE SEGURIDAD
aseguramiento de un uso adecuado, lo que a su vez requiere (CCN-STIC-810). España, 2011, p. 62.
de mayor desarrollo tecnológico en ese sentido.
[4] NIST, Computer Security Incident Handling Guide. USA, 2012, p. 79.
 Como parte de los mecanismos de aseguramiento del buen
[5] F. Mauricio, L. Einar, N. Macia, P. Venosa, L. Molinari, and J. Díaz,
uso de los sistemas de información, se han implementado “Definición e Implementación de un Centro de Atención de Incidentes
equipos de respuesta ante incidentes informáticos (CSIRT), (CERT) para un Ámbito Universitario,” 2012.
que actúan en diferentes ámbitos: comerciales,
gubernamentales, públicos, privados, reservados y también [6] UNLP, “http://www.cespi.unlp.edu.ar/cert,” 2017. [Online]. Available:
http://www.cespi.unlp.edu.ar/cert.
académicos.
[7] E. Guttman, “RFC2350,” 1988.
 Es importante la contribución que los CSIRT académicos
pueden hacer a la protección de la información, no sólo por [8] R. PILCO, “CREACION DE UN EQUIPO DE RESPUESTA A
INCIDENTES DE SEGURIDAD PARA LA UNIVERSIDAD
prestar servicios de respuesta a incidentes a la comunidad TÉCNICA PARTICULAR DE LOJA CSIRT-UTPL,” Universidad
universitaria y organizaciones relacionadas, sino también Técnica PArticular de Loja, Ecuador, 2008.
en su labor esencial que es generar nuevo conocimiento,
[9] UTPL, “http://csirt.utpl.edu.ec/,” 2017. [Online]. Available:
formar adecuadamente nuevos cuadros de profesionales e http://csirt.utpl.edu.ec/. [Accessed: 10-Apr-2017].
investigadores y transferir esa tecnología a la empresa e
industria. [10] AXELOS, ITIL® Service Strategy. 2011.
 Se han creado varios CSIRT en las universidades de la

región, pero el esfuerzo no se ha consolidado, es decir, no
existe un adecuado número de universidades que hayan
optado por esta solución, de los ejemplos analizados se
puede colegir, que el modelo elegido para su conformación,
es uno de los que se han publicado en esa época por
organismos de prestigio en el área de la seguridad de la
información.
 De los modelos analizados, existen coincidencias básicas
que pueden ser incluidas en un modelo general basado en
ITIL, que al final sirve de base para la propuesta de un
procedimiento práctico, que puede ser acondicionado a la
realidad universitaria de la región, con el objeto de
implantar una solución progresiva, eficiente y eficaz en la
respuesta a incidentes de seguridad de la información.
187
Seguridad de la seguridad, un método empírico

I. Rossenbach – June 2017
Abstract – “Security of security, an empirical aplicación: la toma de decisiones en situación de crisis.

methodology” is a study which aims at developing a En esta área, mencionaremos problemas específicos
method to help make reliable decisions in the security observados en una gran organización. Luego
field. It mainly focuses on how to avoid taking certain enumeramos los factores de riesgos humanos típicos que
wrong decisions when dealing with crisis or major pueden incidir desfavorablemente sobre la toma de
incidents. decisiones de seguridad. Para cada uno de estos factores,
deduciremos las preguntas operacionales que permitirán
Index Terms – Business continuity, business process ponerlos de manifiesto. Por último, confrontaremos estas
management, computer security, crisis management, preguntas con la lista de los problemas observados a fin
data security, decision making, decision theory, de verificar su pertinencia. Y veremos en consecuencia
human factors, incidents, organizational aspects, de qué manera el método propuesto es una eficaz
safety management, security management. herramienta de ayuda para evitar la toma de malas
decisiones.
Resumen – El presente estudio tiene por objeto el
desarrollo de un método de ayuda a la toma de
decisiones fiables en el ámbito de la seguridad, es II. LA SEGURIDAD
decir, cómo evitar tomar ciertas malas decisiones, en
particular en el dominio de la gestión de crisis o de Riesgos, amenazas y seguridad son conceptos
incidentes mayores. polisémicos, altamente cargados simbólicamente.
Designan una multitud de conceptos específicos y
Palabras claves – Aspectos organizacionales, diferentes. Agreguemos a esto que cada época influencia
continuidad en las operaciones, factores humanos, el significado de las palabras y que el siglo XXI anhela
gestión de crisis, gestión de la seguridad, gestión de seguridad, llevando esta temática a boca de todos y de
procesos, incidentes, seguridad, seguridad cualquier manera. Ejemplo de cacofonía conceptual y de
informática, seguridad de los datos, toma de errancias absurdas de cierto tipo de pensamiento
decisiones, teoría de la decisión securitario es llamar a la seguridad “primera libertad” [1].
Es fundamental nombrar correctamente las cosas de las
que vamos a hablar. Esto no reducirá las penas del
I. INTRODUCCION mundo pero al menos nos ayudará a pensar mejor.
La seguridad es una situación objetiva que se caracteriza
Este estudio tiene por objeto establecer un método para por la existencia de riesgos pero que están dominados.
tomar decisiones fiables en el ámbito de la seguridad. Puede referirse a riesgos accidentales (consecuencia
Empezaremos por definir los conceptos y las prácticas posible de acciones humanas involuntarias), o a actos
que analizaremos, y a continuación se hará hincapié en la malintencionados.
importancia del azar y de lo inesperado en cuestión de Los riesgos en sí son contingencias adversas que pueden
riesgos, ya que implican una gran dificultad o ser ciertas, potenciales o futuras. Derivan de la
imposibilidad para establecer métodos deterministas. Por probabilidad de que una amenaza “utilice”
otra parte, nuestras limitaciones humanas, individuales y intencionalmente o no, una vulnerabilidad.
colectivas, generan una gran incertidumbre en la toma de Si convenimos con el filósofo Spinoza [2] en que cada
decisiones. En particular, debido a factores psicológicos, cosa, individuo u organización, se esfuerza por
emocionales, y organizacionales. Para aumentar la perseverar en su ser, se deduce que procurarán minimizar
fiabilidad de esos procesos, una analogía resultará las contingencias adversas. Es decir, tratarán de
particularmente útil: ¿cómo pueden evitar los evolucionar en el espacio y en el tiempo, en estados en
programadores las vulnerabilidades más peligrosas y los cuales puedan dominar los riesgos que las amenazan.
frecuentes? Elegiremos a continuación, un campo de
188
I. Rossenbach
Lo que vemos aquí es que la seguridad, elemento realización puede ser perfectamente dominada. En teoría,
esencial de la vida, es el resultado de una dinámica de un modelo puede establecerse y su aplicación estricta
dominio. Para “ser”, toda cosa trata de dominar los puede ser perfectamente predecible. La situación es
riesgos que pesan sobre ella, ya sean endógenos o fundamentalmente diferente respecto a la seguridad. El
exógenos. conocimiento de las amenazas es necesariamente parcial;
Hay cuatro formas de abordar un riesgo: reducirlo, la evaluación de la probabilidad de los riesgos, es en el
aceptarlo, rechazarlo o transferirlo. La reducción del mejor de los casos estadística, en el peor cualitativa, pero
riesgo consiste en disminuir la probabilidad de que una nunca es cierta; la estimación del impacto de un incidente
amenaza se materialice o, si esto sucede, en reducir su tiene una importante dimensión imprevisible, aleatoria.
impacto y consecuencias. Aceptar el riesgo es considerar Continuando con el ejemplo de la sonda hacia Marte:
que su efecto indeseado, leve o letal, es aceptable sabemos fabricar la sonda, dominamos las técnicas;
teniendo en cuenta los objetivos, metas, intereses u sabemos cómo lanzar un cohete en órbita, y enviar la
obligaciones de la persona u organización en cuestión. sonda hacia otro planeta; sabemos calcular su
Rechazar el riesgo significa modificar lo que somos o lo movimiento en el espacio; sabemos predecir dónde caerá,
que hacemos a fin de evitar vulnerabilidades. Esto y como frenar su bajada en la atmósfera marciana. Por
equivale a no realizar una acción o a eliminar una supuesto, existen riesgos, no dominamos perfectamente
funcionalidad. Por último, transferir el riesgo es delegarlo todos los parámetros y la sonda suele estrellarse en el
a un tercero, con o sin su consentimiento. suelo marciano. Pero teníamos un modelo para hacerla
También hay que señalar que la seguridad es siempre el llegar a salvo. Por el contrario, si uno considera la
resultado de una dinámica, incluso cuando el sistema es seguridad de esta sonda, la modelización es muy difícil:
perfectamente estático y que no evoluciona. Por un lado, para protegerla de los ataques en su lugar de fabricación,
porque las amenazas externas pueden variar, y por otro no se conocen bien las amenazas (¿sabotaje por un
lado, porque la reacción, la reducción de los impactos de ingeniero depresivo? ¿Terrorismo? ¿Espionaje?). Para
un incidente necesariamente es siempre dinámica. asegurar la puesta en órbita de la sonda, sólo podemos
De esta característica dinámica se puede concluir que la intentar evitar lo que en el pasado ha causado accidentes;
seguridad siempre es un proceso, que involucra al para asegurar su amartisaje, tenemos poca experiencia,
individuo u organización, y nunca únicamente una muchas hipótesis.
metodología, un sistema, una competencia o un producto. Como hemos mencionado, la frontera es porosa entre
riesgos e impedimentos: un riesgo bien conocido, ya sea
porque se modeló eficazmente o porque tenemos
III. LO IMPREVISTO, FACTOR CLAVE DE LA suficientes datos estadísticos fiables, puede dejar de ser
SEGURIDAD un riesgo y convertirse en un impedimento, en un
elemento conocido que se sabe manejar.
Estas consideraciones ponen de relieve un elemento Pero concerniendo los riesgos que cada entidad intenta
esencial y constitutivo del riesgo y de la seguridad: lo dominar, teniendo en cuenta que las contingencias
inesperado. Por definición, las contingencias adversas, es adversas contienen una importante dimensión de
decir los riesgos, no son deterministas. Si lo son, imprevisto, no existen modelos deterministas.
entonces, se trata de impedimentos (y no de riesgos). Es Por lo tanto, muchos expertos y equipos de seguridad
decir que en el núcleo de cualquier acción y cualquier trabajan casi a ciegas, buscando en particular evitar el
reflexión acerca de la seguridad reside el futuro incierto, síndrome del “cisne negro” (cf. la “teoría del cisne
lo desconocido, el azar, la probabilidad. Términos que negro”, una metáfora que describe un acontecimiento
hablan de nuestra incapacidad fundamental para predecir imprevisible de muy escasa probabilidad pero teniendo,
el futuro. si se produce, consecuencias excepcionales [3]).
De esto se desprende una diferencia estructural entre un
procedimiento de seguridad y cualquier otro
procedimiento: no podemos enraizarnos en ningún IV. PERMITIR VERSUS IMPEDIR
modelo determinista. Por supuesto, hay muchas áreas en
las que los peligros pueden alterar los modelos teóricos La mayoría de las acciones humanas tienen como
utilizados. Tomemos por ejemplo el envío de una sonda a objetivo permitir que ciertas cosas sean posibles, crear
Marte. Muchos peligros pueden hacer fracasar una objetos que existen o procesos que tienen resultados
misión de este tipo. Sin embargo, la construcción y el predecibles. Administrar la seguridad es esencialmente
envío de una sonda utilizan modelos deterministas. Es diferente. Consiste en crear cosas e implementar procesos
decir que, sin considerar los errores y la falta de dedicados a impedir que ciertas cosas ocurran (la
información, y sin tener en cuenta la seguridad, la materialización de amenazas). Y si ocurren, que tengan el
189
más mínimo impacto. El conjunto de las posibilidades En ausencia de modelo satisfactorio, y dada la inmensa
que permiten un acontecimiento es menor que el dificultad – léase imposibilidad – de establecerlos, las
conjunto de las posibilidades que pueden impedir un analogías suelen ser el método más exitoso.
acontecimiento. La seguridad trata de este segundo
espectro de posibilidades.
Esto muestra que, debido a la importancia del factor de lo VI. UNA ANALOGIA FRUCTIFERA
imprevisto que dificulta la modelización de la seguridad,
y de la mayor cantidad de posibilidades desfavorables En los últimos años el dominio de la informática ha visto
que de posibilidades favorables, una concepción crecer exponencialmente “aplicaciones” a las que
mecanicista de la seguridad (es decir un conjunto acceden los usuarios, proveyendo servicios de
determinado de causas y consecuencias) es tratamiento de la información. La interacción con
necesariamente limitada. sistemas físicos aumenta la presencia y multiplica los
En la mayoría de los casos, las decisiones de seguridad se usos de tales aplicaciones.
apoyan sobre substitutos de leve fiabilidad: el Existen decenas de lenguajes de programación que
asesoramiento de expertos, de proveedores de soluciones, permiten el desarrollo de aplicaciones, miles de
o la evaluación comparativa, es decir, la comparación configuraciones materiales, cientos de miles de personas
con otras organizaciones similares. en todo el mundo tienen las capacidades para programar.
A partir de ahí, ¿cómo aumentar la fiabilidad de las La seguridad de estas aplicaciones se ha convertido en
decisiones?, ¿cómo evaluar los riesgos?, ¿cómo tomar una cuestión clave. Los resultados de tres años de
decisiones acerca de los riesgos?, ¿cómo reducir los pentests en un equipo que el suscripto dirigió, muestran
riesgos de un sistema complejo a un costo razonable?, que más del 60% de las vulnerabilidades que se
¿cómo decidir si se debe reducir o evitar los riesgos? y descubren son aplicativas (en el contexto de la
¿cómo organizar la reacción a la materialización de un organización que se toma como sujeto). Existen métodos
riesgo? y herramientas de análisis de código que detectan errores
de programación, lo que limita las posibles
vulnerabilidades. Sin embargo, estos análisis de código
V. UNA PROBLEMATICA, LA DECISION son muy costosos y son deficientes para detectar errores
funcionales (es decir, los errores de especificación).
La imposibilidad o dificultad de establecer modelos En los primeros años del siglo nació una comunidad:
deterministas para gestionar los riesgos tiene como Open Web Application Security Project (OWASP) cuyo
consecuencia que esta actividad dependa mucho de las trabajo es de libre acceso, y cuya misión es construir y
decisiones humanas. proponer recomendaciones, métodos y herramientas para
Pero la racionalidad del pensamiento humano y de los mejorar la seguridad de las aplicaciones web. El proyecto
comportamientos colectivos es limitada y no se puede que ha alcanzado rápidamente un gran éxito y que es
modelizar. Sin embargo, la psicología, los estudios sobre ahora una referencia es el “OWASP Top Ten” [4] (esta
el management y las organizaciones, el estudio de casos lista es referenciada por numerosas normas de seguridad,
de incidentes, ataques, desastres y de la manera en que tales como MITRE, PCI DSS, DISA, FTC, etc.). Su
los humanos han reaccionado, produjo una importante objetivo es identificar y enumerar los diez riesgos más
cantidad de conocimiento (problemas típicos, problemas críticos para la seguridad de las aplicaciones web.
conocidos y comportamientos problemáticos, La característica especial de esta lista es que no es el
individuales o colectivos, han sido arduamente resultado de “buenas prácticas” o la opinión de expertos
descriptos). (como las normas ISO), sino el resultado del análisis de
Nos encontramos en una situación en la que tenemos que cientos de miles de vulnerabilidades efectivamente
hacer frente a fenómenos poco o nada modelizados, descubiertas entre miles de clientes.
usando nuestros cerebros y nuestras organizaciones En el mismo sentido, el Center for Internet Security
cuyos funcionamientos son a menudo erráticos. En pocas publica el CIS Critical Security Controls for Effective
palabras: a menudo cometemos muchos errores al Cyber Defense (CIS CSC) [5]: una lista de veinte
momento de decidir y determinar acerca de la seguridad recomendaciones de seguridad. Si bien en este caso se
y de los riesgos. trata de medidas preventivas que cubren todo el espectro
Como parte de este estudio, nos concentraremos en una de la seguridad informática, la concepción de esta lista y
dimensión: tomar decisiones acerca de los riesgos en la priorización de sus artículos ha seguido el mismo
situación de crisis, ya sea por individuos u principio: proviene de la observación de un panel de
organizaciones. ataques reales.
190
I. Rossenbach
En ambos casos, estas listas se materializan en checklists. – Ocurrió que se hayan decidido medidas técnicas que no
El principio subyacente en ellas es que, dada la ausencia tenían ninguna posibilidad de resolver los problemas
de modelos de seguridad deterministas, una clave para (como reiniciar un servidor), sólo para que no se pueda
mejorar la seguridad de un sistema o de una aplicación es criticar ulteriormente el hecho de no haberlo intentado.
procurar que las vulnerabilidades más peligrosas y – Ocurrió que medidas de seguridad hayan impedido
comunes sean evitadas. reaccionar rápidamente a una crisis o incidente
Por analogía, intentaremos establecer una lista de errores importante, y que no existiera alguna posibilidad de
comúnmente cometidos en la toma de decisiones, y a anularlas en caso de circunstancias excepcionales.
continuación la confrontaremos al dominio de la toma de – A menudo, las células de crisis en las que participan
decisiones en situación de crisis. responsables de la empresa, solicitan demasiado a los
técnicos encargados de la resolución de la crisis. De esto
resulta a menudo una tensión desfavorable en contra del
VII. DECIDIR EN TIEMPOS DE CRISIS trabajo eficiente. En algunos casos incluso, se observó
una inversión de roles: las células de crisis comenzaron a
Una organización debe a veces gestionar la ordenar acciones precisas, en lugar de elegir entre las
materialización de riesgos, es decir incidentes o crisis de opciones propuestas por los técnicos y los expertos.
seguridad. La empresa estudiada tiene procesos de – A veces, debido a la urgencia de una crisis o de un
gestión de crisis bien establecidos. Dependiendo de la incidente mayor, se toman decisiones apoyándose sobre
gravedad de los incidentes, diferentes tipos de células de suposiciones falsas o erróneas que hubiesen sido
crisis pueden ser convocadas. Estas células tienen fácilmente descalificadas (a menudo, un técnico podría
prioridad sobre todas las demás actividades y permiten haber alertado rápidamente sobre el error). Si bien es
reunir en una misma unidad espacial y temporal importante saber decidir sin tener toda la información
responsables y técnicos. Sus objetivos principales necesaria, es igualmente vital poder confiar en algunas
consisten en decidir acciones y medidas de salida de certezas.
crisis y determinar la comunicación hacia el exterior. Las
decisiones pueden tomarse rápidamente, fuera de los
procedimientos estándar, para hacer frente a situaciones VIII. FACTORES DE RIESGOS HUMANOS
de emergencia. A través de los años, la organización
observada también aprendió la importancia de Si nos referimos a los estudios en el dominio del
comunicar correctamente con el fin de reducir la management, de la psicología, de las organizaciones, a
ansiedad de los empleados, clientes y usuarios. Sin las descripciones documentadas de crisis e incidentes
embargo, disfuncionamientos en las gestiones de crisis mayores, así como a la propia experiencia del autor,
son observados a menudo, sobre todo debido a la falta de podemos establecer una lista de factores que pueden
experiencia (hay pocos ataques o incidentes de causar la toma de malas decisiones en el campo de la
envergadura). seguridad.
Es probable que esta lista pueda aplicarse a muchas otras
Los disfuncionamientos frecuentemente observados son: áreas, pero nos centraremos en la seguridad.
– La organización prevista para gestionar las crisis no se
aplica cuando ocurre una crisis, ello acarrea Racionalidad limitada
improvisaciones que retrasan el retorno a la normalidad. Los individuos y los grupos tienen la intención de ser
– Dificultades de la jerarquía para distanciarse de las racionales, pero debido a sus capacidades cognitivas
acciones técnicas, dificultades de los técnicos para limitadas, lo logran parcialmente.
despojarse de los reflejos diarios. Para compensar esta debilidad, las organizaciones a
– Las lecciones de los incidentes están en general bien menudo piensan racionalizar sus decisiones mediante el
hechas, se deciden planes de acción, pero las lecciones uso de números [6].
sobre los problemas de la gestión de incidentes en sí se
formalizan ocasionalmente. Sesgo de confirmación
– Las conclusiones de los reportes que formalizan las Tendencia a favorecer la información y las ideas
lecciones suelen ser diluidas al transmitirse a la alta conocidas o aceptadas, ignorando, rechazando o
jerarquía. desvalorizando aquellos datos que las contradicen.
– Ciertas acciones deberían ser más discretas (como por Buscamos confirmar nuestras ideas, en lugar de
ejemplo solicitar un servicio de seguridad para investigar cuestionarlas [7].
sobre un caso), para no generar rumores que terminen
sumándose al estrés colectivo.
191
Sesgo de enacción Falso consenso

Mediante nuestras creencias y acciones, construimos la Falta de divulgación de las divergencias dentro de un
representación de nuestro entorno. Lo “ponemos en grupo. El proceso de toma de decisión es muy rápido,
escena” y tendemos a considerar como “real” lo que pero la calidad de las decisiones es mala [13].
parece “funcionar” en nuestra representación del mundo
(“veo lo que creo”). Pero lo que “funciona” puede ser Hubris
falso o sólo parcialmente cierto [8]. El narcisismo y la excesiva confianza en sí mismo
conduce a una sobreestimación de las propias
Historias versus estadísticas capacidades [14].
Preferimos la consistencia de una historia, de una
narración, a la realidad de las estadísticas (subrayemos, Sesgo de compromiso
sin embargo que no hay nada peor que estadísticas mal Vínculo afectivo entre un individuo u organización y su
interpretadas) [9] [10]. acción, resultado de varios tipos de factores psicológicos:
cálculo estratégico, obligación de justificarse ante sus
Rol del azar propios ojos, obligación de justificarse ante los demás. El
Somos deficientes para evaluar el rol de la casualidad en compromiso, si no se quiebra, lleva a la escalada:
la ocurrencia de eventos. tendencia a continuar una acción ineficaz y / o costosa y /
o demasiado arriesgada [15].
Falsedad de los recuerdos
Nuestros recuerdos son muy a menudo falsos o Estandarización del peligro
reconstruidos. Nunca son objetivos y siempre son el Situación en la que individuos u organizaciones viven
resultado de nuestra visión del mundo, pasada y presente. riesgos inicialmente considerados demasiado importantes
durante un tiempo suficiente como para convertirlos en
Falta de apertura respecto a la información algo común y corriente (dejando de considerarlos como
Los grupos humanos tienden sólo a tener en cuenta y sólo excepcionales).
a procesar la información reconocida y aceptada por
todos los miembros. Órdenes contradictorias
Un individuo o grupo está en presencia de órdenes
Sesgo de conformidad contradictorias cuando tiene que cumplir con
Los individuos tienden a adoptar la visión percibida expectativas o directivas imposibles de llevarse
como dominante en el grupo [11]. conjuntamente adelante. A veces ciertas obligaciones que
el individuo o grupo debe cumplir son conscientes, y
Groupthink otras, inconscientes (por ejemplo cuando entran en juego
Fenómeno de grupo mediante el cual el deseo de armonía manipulaciones de incentivos como el honor, el respeto,
y de conformidad perturba o quita racionalidad a los la amistad, la esperanza, etc.), lo cual permite obtener de
procesos de decisión. Los miembros del grupo tratan de estos individuos acciones que no “quieren” hacer.
minimizar los conflictos y llegan rápidamente a Ejemplos de estas directivas contradictorias: Por un lado
decisiones por consenso sin un análisis crítico de las aumentar el reporting y por el otro exigir autonomía;
alternativas, y aislándose de las influencias externas. exigir reactividad y al mismo tiempo pedir anticipación;
Condiciones que favorecen al groupthink: cohesión del exigir el desarrollo de nuevas actividades y a su vez un
grupo / aislamiento del grupo / preferencia del líder para control de costos; aumentar la seguridad y la libertad a la
una alternativa en particular / ausencia de procedimientos vez [16].
formalizados / homogeneidad socio-laboral e ideológica /
estrés significativo debido a presiones externas / Soluciones preferidas
debilitamiento de la autoestima en relación con Ciertas opciones son preferidas por los individuos u
dificultades recientes. organizaciones. Se trata de aquéllas que son o parecen:
Efectos sobre la decisión: examen incompleto de las – Obvias, de “sentido común” (entendido como la
alternativas / examen incompleto de los objetivos / expresión de la ideología dominante);
ausencia de consideración de los riesgos asociados a la – Irresistibles, a causa del hubris, o porque son
opción preferida / ausencia de reevaluación de soluciones dominantes o prometen beneficios o éxitos
alternativas inicialmente descartadas / búsqueda de excepcionales;
información limitada / sesgo de selección de las – Prácticas, es decir, que evitan considerar otras;
informaciones / ausencia de planes alternativos [12]. – Disponibles, validadas o experimentadas por otros;
– Fáciles de justificar.
192
I. Rossenbach
Arendt [17]). Estas renuncias a pensar por uno mismo

Encuadre de la situación pueden constituir factores clave para la comisión de actos
El encuadre de una situación es la forma que tienen los inmorales.
individuos de abarcar e interpretar tal situación o
problema. La manera de definir el encuadre a menudo Olvido
depende de cómo se plantea el problema. Puede ser La falta de memoria de una organización favorece la
influenciada por el lenguaje, las circunstancias, las repetición de problemas que ya se produjeron y para los
prioridades, la experiencia, la plausibilidad, las cuales ya habían sido estipuladas soluciones – buenas o
creencias... Un encuadre erróneo puede impedir ver “lo malas.
que es”, o hacer ver “lo que no es” (o que ya no es). El olvido provoca también, a menudo, una pérdida de
También revela una tendencia a evitar el riesgo ante la seguimiento de las acciones y decisiones a través del
posibilidad de un beneficio (oportunidad) y buscar el tiempo.
riesgo frente a la posibilidad de una pérdida (una
amenaza). Errores de razonamiento
Muchos errores de apreciación o de razonamiento pueden
Disfuncionamiento de los equipos influir negativamente en las tomas de decisiones.
Ciertos criterios pueden advertir sobre problemas de un Ejemplos de errores muy comunes:
equipo para tomar buenas decisiones: – Si A, entonces B. B. Entonces A;
– Fallos en el manejo de los factores humanos; – Ilusión de causalidad, donde sólo hay correlación;
– Falta de preparación para manejar imprevistos; – Generalizaciones abusivas (generalizar una observación
– Abundante jerarquía en los equipos; particular sin justificación);
– Relaciones de sumisión nefastas a la cohesión del – Enfoque inconsciente y arbitrario sobre ciertos
equipo; aspectos, descuidando los demás.
– Fallas de comunicación;
– Cultura de la culpa (reprimendas por los errores) la cual Dilución de la responsabilidad
neutraliza las iniciativas e impide un sano manejo de los Las decisiones colectivas, asumidas por todo el grupo,
errores; conducen a mayores asunciones de riesgos que aquéllas
– Dificultades para trabajar en un entorno heterogéneo; asumidas de manera individual [18].
– Exceso de confianza.
Comunicación defectuosa IX. ADAPTACION AL DOMINIO DE ESTUDIO

Ciertos elementos son esenciales para establecer una
buena comunicación con los terceros no implicados en el El objetivo de este estudio es obtener un método
proceso de decisión: operativo. Por lo tanto, conviene ahora aplicar los
– Asegurar la cohesión del discurso; factores anteriormente vistos al dominio de la toma de
– Enunciar los cambios, explicarlos, darles significado; decisiones en situación de crisis.
– Explicar lo que está en juego; Por otra parte, para que esto sea eficaz, cada tema será
– Promover los beneficios; traducido en forma de una o más preguntas. El resultado
– Contestar las preguntas y reducir la incertidumbre; será una lista de preguntas. Esta forma parece ser la más
– Crear las condiciones para que cada uno se implique y adecuado para realizar rápidamente un análisis sin
estimular la participación; interrumpir o dificultar el proceso observado.
– Guiar la progresión (etapas, plannings, futuro
previsible, etc.);
– No comunicar informaciones confidenciales o que X. LISTA DE PREGUNTAS
provoquen inútilmente ansiedad. Ahora vamos a tratar de deducir preguntas para cada
factor de riesgo identificado.
Renunciamiento ético El objetivo de estas preguntas es revelar un problema
Los individuos pueden renunciar a formular juicios éticos potencial.
y morales sobre sus acciones o sobre aquéllas que los
circundan, contentándose simplemente con obedecer a Racionalidad limitada
instrucciones o procedimientos. En tales casos, cesan de ¿Estamos dispuestos y preparados para decidir sin contar
pensar, renuncian a ello, ya que se consideran sólo como con todas las informaciones (lo que equivale a asumir
una pieza más de un engranaje, y que no tiene nada que que las decisiones no serán del todo racionales)?
decir (cf. el concepto de banalidad del mal de Hannah
193
¿Elegimos la primer solución satisfactoria que se Falso consenso

presenta en lugar de buscar la solución óptima? (lo que ¿Los participantes piden aclaraciones sobre las opiniones
constituiría el enfoque más racional) de los demás?
¿Se observan utilizaciones abusivas de números poco ¿Los participantes dan la bienvenida a las nuevas
fiables o de interpretación ambigua para “racionalizar” informaciones y discuten los datos ambiguos?
opciones? ¿Los participantes reformulan sus propuestas
incorporando las críticas recibidas en lugar de repetir los
Sesgo de confirmación mismos argumentos?
¿Se han elegido opciones porque se han considerado ¿Todos los participantes son activos en la discusión?
como obvias o de “sentido común”? ¿Los participantes pudieron expresar libremente su
¿Se han rechazado opciones sin análisis en base a un opinión (voto secreto si es necesario)?
argumento único rápidamente considerado?
Hubris
Sesgo de enacción ¿Hay decisiones presentadas como “obvias”?
¿Se toma en cuenta en el proceso de decisión que “lo que ¿Se cuestiona de manera igual a todos los participantes,
funciona” en situaciones normales puede no funcionar en inclusive a los muy activos?
situación de crisis? ¿Se explicitan argumentos del tipo “tendremos éxito
¿Cómo se empezó y como se llegó a considerar algo porque somos mejores que los demás”?
como “verdad” o certeza?
Sesgo de compromiso
Historias frente a las estadísticas ¿Hay responsables que se involucran demasiado en los
¿Es posible referirse a estadísticas fiables, pertinentes y asuntos técnicos debido a sus antiguas funciones
de definición clara? técnicas?
¿Hay algún responsable que parece demasiado
Rol del azar involucrado emocionalmente en la gestión de crisis?
¿Se tiene en cuenta la intervención de la casualidad o de
lo inesperado? Estandarización de peligro
¿Después de un incidente de seguridad importante, es
Falsedad de los recuerdos necesario modificar ciertas evaluaciones de riesgo
¿Son las referencias al pasado factuales y significativas previamente realizadas?
(recuerdos o datos)? ¿Después de la crisis, todas las root cause son
identificadas y tratadas?
Falta de apertura respecto a la información
¿Hay informaciones consideradas importantes por parte Órdenes contradictorias
de ciertos participantes, pero no tomadas en cuenta Durante la gestión de la crisis, ¿hay pedidos u órdenes
colectivamente? contradictorios (por ejemplo, exigir que los técnicos
propongan soluciones y que a la vez tengan en cuenta las
Sesgo de conformidad instrucciones técnicas de la jerarquía)?
¿Tuvo cada uno la oportunidad de expresar su opinión en
forma independiente (eventualmente anónima)? Soluciones preferidas
¿Hay alguna información que pueda ser considerada pero ¿Hay opciones para salir de la crisis que se consideran
que es rechazada por algunos? preferentemente porque parecen “obvias”, “irresistibles”,
“prácticas”, “disponibles” o “fácilmente justificables”?
Groupthink ¿Hay decisiones técnicas que sólo se deciden por miedo a
¿Ha surgido un consenso rápidamente? que se critique posteriormente el no haberlas tomado?
¿Existieron alternativas viables descartadas demasiado
rápido? Encuadre de la situación
¿Es el grupo muy homogéneo (funciones, experiencia, ¿Ha sido la descripción del contexto y de la situación de
personalidad)? crisis objeto de un análisis contradictorio?
¿La jerarquía o el líder expresan una fuerte preferencia ¿Serían las decisiones idénticas si, en vez de esperar un
hacia ciertas opciones? beneficio, se tratara de minimizar una pérdida (y a la
inversa)?
¿Hay diferencias en el análisis del contexto causadas por
elementos como el idioma o la cultura?
194
I. Rossenbach
Dilución de responsabilidad
Disfuncionamiento de los equipos ¿Aquéllos que asumen los riesgos residuales son
¿Hay relaciones de subordinación o excesiva abundancia identificados personalmente (por su nombre individual y
jerárquica nefastas para el funcionamiento de la célula de no por el de un comité o servicio)?
crisis?
¿Existen fallas en la comunicación interna en la célula de
crisis? XI. SIMULACION DE APLICACION
¿Se observa una cultura de la culpa que pueda neutralizar
las iniciativas (miedo al error)? Para comprobar la relevancia de nuestras preguntas,
¿Parecen los equipos preparados para manejar lo vamos a plantearlas frente a los problemas anteriormente
inesperado? identificados en el dominio de la toma de decisiones en
situaciones de crisis.
Falla en las comunicaciones
Si hay comunicación de crisis (hacia el exterior), ¿se El objetivo es determinar si nuestras preguntas permiten
cumplen los siguientes criterios?: coherencia del discurso identificar la aparición o la presencia de estos problemas
/ explicación del cambio, darle sentido / explicar lo que durante el proceso.
está en juego / valorar los beneficios / respuesta a las
preguntas y reducción de la incertidumbre / crear las Problemas identificados / Preguntas que permiten
condiciones para la participación y estimular la adhesión identificarlos
/ guiar la progresión / no comunicar información
confidencial o que genere innecesaria ansiedad. La organización prevista para gestionar las crisis no se
aplica cuando ocurre una crisis, ello acarrea
Renunciamiento ético improvisaciones que retrasan el retorno a la normalidad.
¿Las decisiones o acciones de resolución de la crisis en la Aunque este es un problema de organización que nuestro
que estoy involucrado o que estoy presenciando, son cuestionario no aborda directamente, lo siguiente puede
éticamente legítimas? alertar sobre fallas patentes: ¿Parecen los equipos
¿Las decisiones o acciones de resolución de crisis pueden preparados para manejar lo inesperado?
tener consecuencias éticamente inaceptables?
Dificultades de la jerarquía para distanciarse de las
Olvido acciones técnicas, dificultades de los técnicos para
¿Se ha constatado si ya han ocurrido crisis similares, y en despojarse de los reflejos diarios.
caso positivo, cuáles han sido las decisiones adoptadas? Dos preguntas pueden revelar este tipo de problema:
¿Las causas, circunstancias y acciones de resolución de la – ¿La jerarquía o el líder expresan una fuerte
crisis o del incidente llevan a formalizar objetivamente preferencia hacia ciertas opciones?
las lecciones aprendidas? – ¿Hay responsables que se involucran demasiado en los
¿Si se formalizaron las lecciones aprendidas, pero luego asuntos técnicos debido a sus antiguas funciones
estas se “diluyen” a los fines de su comunicación (interna técnicas?
o externa), se conserva y utiliza no obstante una versión
del documento que contenga todas las observaciones “en Las lecciones de los incidentes están en general bien
bruto”? hechas, se deciden planes de acción, pero las lecciones
¿Las acciones de resolución de los problemas (root sobre los problemas de la gestión de incidentes en sí se
cause) se siguen aplicando correctamente en el transcurso formalizan ocasionalmente.
del tiempo? La pregunta “¿Se efectúa un balance y formalización de
¿Se efectúa un balance y formalización de las lecciones las lecciones aprendidas específicamente acerca de
aprendidas específicamente acerca de cómo la cómo la organización ha manejado la crisis o el
organización ha manejado la crisis o el incidente (para incidente (para mejorar la gestión de crisis /
mejorar la gestión de crisis / incidentes)? incidentes)?” puede garantizar una mejoría continua en
el procedimiento de gestión de la crisis / incidente.
Errores de razonamiento
¿Hay errores lógicos básicos en el razonamiento? Las conclusiones de los reportes que formalizan las
lecciones suelen ser diluidas para su transmisión a la alta
jerarquía.
Las preguntas “¿Las causas, circunstancias y acciones
de resolución de la crisis o del incidente llevan a
195
formalizar objetivamente las lecciones aprendidas?” y de elegir entre las opciones propuestas por los técnicos y
“¿Si se formalizaron las lecciones aprendidas, pero los expertos.
luego estas se “diluyen” a los fines de su comunicación Tales acontecimientos negativos pueden detectarse
(interna o externa), se conserva y utiliza no obstante una usando las tres preguntas siguientes:
versión del documento que contenga todas las – Durante la gestión de la crisis, ¿hay pedidos u órdenes
observaciones “en bruto”” asegura que una vuelta de contradictorios (por ejemplo, exigir que los técnicos
experiencia útil será preparada y utilizada. propongan soluciones y que a la vez tengan en cuenta las
instrucciones técnicas de la jerarquía)?
Ciertas acciones deberían ser más discretas (como por – ¿La jerarquía o el líder expresan una fuerte
ejemplo solicitar un servicio de seguridad para investigar preferencia hacia ciertas opciones?
sobre un caso), para no generar rumores que terminen – ¿Hay responsables que se involucran demasiado en los
sumándose al estrés colectivo. asuntos técnicos debido a sus antiguas funciones
La siguiente pregunta sobre la comunicación, técnicas?
especialmente su último elemento puede evitar este tipo
de error: A veces, debido a la urgencia de una crisis o de un
“Si hay comunicación de crisis (hacia el exterior), se incidente mayor, se toman decisiones apoyándose sobre
cumplen los siguientes criterios?: coherencia del suposiciones falsas o erróneas que hubiesen sido
discurso / explicación del cambio, darle sentido / fácilmente descalificadas (a menudo, un técnico podría
explicar lo que está en juego / valorar los beneficios / haber alertado rápidamente sobre el error). Si bien es
respuesta a las preguntas y reducción de la importante saber decidir sin tener toda la información
incertidumbre / crear las condiciones para la necesaria, es igualmente vital poder confiar en algunas
participación y estimular la adhesión / guiar la certezas.
progresión / no comunicar información confidencial o La pregunta ¿Estamos dispuestos y preparados para
que genere innecesaria ansiedad.” decidir sin contar con todas las informaciones? (lo que
equivale a asumir que las decisiones no serán del todo
Ocurrió que se hayan decidido medidas técnicas que no racionales) subraya la importancia de este estado de
tenían ninguna posibilidad de resolver los problemas espíritu en situación de crisis, mientras que la pregunta
(como reiniciar un servidor), sólo para que no se pueda “¿Cómo se empezó y como se llegó a considerar algo
criticar ulteriormente el hecho de no haberlo intentado. como “verdad” o certeza?” debería alertar sobre la
La pregunta “¿Hay decisiones técnicas que sólo se necesidad de controlar las informaciones que justifican
deciden por miedo a que se critique posteriormente el no acciones estructurantes.
haberlas tomado?” revela específicamente este tipo de
acciones innecesarias.
XII. METODOS DE USO
Ocurrió que medidas de seguridad hayan impedido
reaccionar rápidamente a una crisis o incidente Esta metodología tiene como objetivo detectar
importante, y que no existiera posibilidad de anularlas en problemas, no resolverlos.
caso de circunstancias excepcionales. La mayoría de las preguntas buscan detectar problemas
Este problema, que se revela muy a menudo durante las de funcionamiento colectivo, es decir que sus lugares
crisis e incidentes mayores, se debería identificar al privilegiados de ejercicio son las reuniones, comités,
momento de definir las medidas de seguridad, por una grupos de trabajo, células de crisis.
pregunta específica como: “¿Es posible desactivar las Las preguntas deberían hacerse de manera continua (es
medidas de seguridad en caso de emergencia (por decir, llegados al final de la lista, volver al principio) a lo
ejemplo durante una crisis) y está previsto un largo de la gestión de la crisis o del incidente. La tarea
entrenamiento para ese tipo de situaciones?” requiere tomar distancia de las acciones de resolución.
Suponiendo que una célula de crisis está encabezada por
A menudo, las células de crisis en las que participan un director que toma las decisiones importantes en última
responsables de la empresa, solicitan demasiado a los instancia, que otra persona anima la reunión, coordina y
técnicos encargados de la resolución de la crisis. Esto toma notas, la tarea de desenrollar el cuestionario debe
genera con frecuencia una tensión desfavorable que confiarse a una tercera persona que intervenga sólo
perjudica la eficacia en el trabajo. En algunos casos cuando se detecta un problema en el transcurso de la
incluso, se observó una inversión de roles: las células de gestión de crisis.
crisis comenzaron a ordenar acciones precisas, en lugar
196
I. Rossenbach
XIII. CONCLUSION AGRADECIMIENTOS
El ejercicio de confrontación de los problemas El autor quiere agradecer a Yannick Meiller quien lo
específicos observados con las preguntas identificadas ayudó a desarrollar este trabajo en la ESCP Europe, a su
sugiere cierta relevancia. amigo y colega Paul Frausto quien le dio aliento y con
Sin embargo, este cuestionario no puede pretender ser quien mantuvo innumerables e interesantes discusiones
exhaustivo. Como las metodologías OWASP o CIS CSC acerca de la seguridad y a su esposa Laura Vagnoni por
mencionadas anteriormente, hay que considerarlo como su colaboración en la traducción al español, por su apoyo
un tamiz. Y su eficacia para permitir identificar y amor.
problemáticas comunes – aun si estas se manifiestan
siempre de manera particular – dependerá de la precisión
con que se formulen las preguntas y de la experiencia y REFERENCIAS
competencia de quien las haga.
A su vez, y al igual que los métodos citados, la presente [1] François Hollande en un discurso en Ajaccio el 24 de
metodología irá aumentando su eficacia al ser pulida por marzo 2012 (à 25mn23s); Jacques Chirac en un discurso
la confrontación con la realidad. Practicarla permitirá televisado en 1998 (à 7mn59).
afinar preguntas, descartar otras o añadir categorías [2] Baruch Spinoza, Éthique III, Proposition VI, 1677.
importantes de riesgos humanos. [3] Nassim Nicholas Taleb, Le hasard sauvage, 2001
A fin también de aumentar la eficacia de este [4] https://www.owasp.org/index.php/Category:
cuestionario, podrá ser útil agregar preguntas “positivas”, OWASP_Top_Ten_Project
es decir, no dedicadas a identificar problemas conocidos, [5] https://www.cisecurity.org/controls/
sino a resaltar las diferencias con ciertas prácticas [6] Herbert Simon, Administrative Behavior – A Study of
validadas por la experiencia. Decision-Making in Administrative Organization, 1947.
Una profundización del método deberá detallar los [7] Raymond S. Nickerson, “Confirmation Bias: A
aspectos temporales: ¿cómo determinar el momento Ubiquitous Phenomenon in Many Guises”, Review of
adecuado para tomar una decisión de seguridad?, ¿cómo General Psychology vol. 2, no. 2, 175-220, 1998.
evitar que las precauciones tomadas – para evitar malas [8] Karl Weick, “The Social Psychology of Organizing”,
decisiones – no terminen retrasando demasiado el 1969.
proceso de decisión? [9] Reid Hastie, Robyn M. Dawes, Rational Choice in an
Para facilitar la práctica de este método en condiciones Uncertain World: The Psychology of Judgment and
operacionales, se podrán hacer propuestas concretas para Decision Making, 2001.
su uso. Una herramienta podrá también ser concebida. [10] Tversky, A. and Kahneman, D., “Judgments of and
Por último, cabe destacar que al inicio del desarrollo de by representativeness”. In D. Kahneman, P. Slovic & A.
este método teníamos en mente completarlo con Tversky (Eds.), Judgment under uncertainty: Heuristics
recomendaciones que de alguna manera hubiesen venido and biases, 1982.
a contestar las cuestiones planteadas. Después de algunos [11] Solomon. E. Asch, “Effects of group pressure upon
intentos, resulta que esto reduciría la utilidad del método. the modification and distortion of judgment. In H.
Si nuestro método incorporara recomendaciones, serían Guetzkow (ed.) Groups, leadership and men, 1951.
o demasiado genéricas y por lo tanto no muy útiles, o [12] Irving Janis, Groupthink: Psychological Studies of
serían precisas, pero en tal caso inadaptadas a situaciones Policy Decisions and Fiascoes, 1982.
específicas. Además, las recomendaciones tendrían [13] L. Ross, D. Greene, P. House, The “false consensus
probablemente la desventaja de incitar a los usuarios del effect”: An egocentric bias in social perception and
método a consultarlas directamente como “soluciones”. attribution processes, 1977.
El principal interés del método es plantear preguntas. [14] P. Picone, G. Dagnino, A. Minà, The origin of
Incentivar a la reflexión. Alentar dudas. Incumbe a failure: A multidisciplinary appraisal of the hubris
aquéllos que lo utilizan la responsabilidad de imaginar hypothesis and proposed research agenda, 2014.
respuestas apropiadas a su propio contexto. Así [15] Robert-Vincent Joule, Jean-Léon Beauvois, La
planteado, este método no es una herramienta de ayuda a soumission librement consentie : Comment amener les
la toma de buenas decisiones de seguridad, sino más bien gens à faire librement ce qu’ils doivent faire ?, 1998.
una herramienta de ayuda para no tomar malas [16] G. Bateson, Double bind, 1969. Steps to an ecology
decisiones. of the mind: A revolutionary approach to man's
understanding of himself, 1972.
[17] H. Arendt, Eichmann à Jérusalem: Rapport sur la
banalité du mal, 1963.
197
[18] M. A. Wallach, N. Kogan, D. J. Bem, Group

influence on individual risk taking, 1962.
[19] http://www.patagonia2009.com
[20] I. S. Rossenbach, Une odyssée en Patagonie, La
Découvrance, 2013.
El presente estudio también se basa en el material del
curso “Seguridad / Seguridad y Gestión” de la ESCP
Europa, impartido en 2016 por Yannick Meiller, Jean-
Philippe Bouilloud Nathalie Prime, Florence Garrigues,
Carla Mendoza y Hervé Laroche.
El AUTOR
I. Rossenbach es experto en seguridad senior y jefe de

equipos de seguridad. Tras estudios de física, empezó a
trabajar en ciberseguridad en 1998. Ha sido consultor en
seguridad, jefe de proyectos de criptografía, instructor.
Creó y dirigió un equipo de pentests, ha sido responsable
de un equipo de seguridad operacional (SOC), realizó
una expedición en kayak por la Patagonia [19] [20], y es
actualmente responsable de un equipo de seguridad de
una gran institución pública francesa. En febrero de 2017
integró por un año el equipo de seguridad informática de
una organización internacional en Suiza, como experto y
especialista en ciberseguridad. En términos de
certificaciones, su doble interés por la técnica y el
management podría enunciarse así: 2015 GIAC web
Application Pentester y 2016 Security/Safety
management ESCP certified. Ha sido conferencista en
varios congresos, imparte cursos a nivel universitario
(Université Paris XIII en 2016 por ejemplo). Le interesan
todo tipo de riesgos, no sólo los riegos informáticos.
Considera que no sólo es cuestión de actuar bien y rápido
cuando se trata de seguridad, sino que también tenemos
que pensar la seguridad. La seguridad no es buena por
naturaleza. La seguridad no es un “derecho”. La
seguridad no sólo tiene que ver con reducir riesgos, sino
que es una manera de manejarlos. Y tenemos que pensar
como manejamos las cosas. www.cryptosec.org |
iro@cryptosec.org | Twitter @secucrypt
198
Gonzalo Ruiz De Angeli, Juan Ignacio Alberdi, Bruno Constanzo, Hugo Curti, Ana Haydée Di Iorio
Windows Malware: Traces in the Host

 por conceptos de análisis de memoria, procesos en memoria,

Abstract—In the present world of information and el formato de archivo de binarios ejecutables utilizado por
interconnection, malware is a latent threat. Just speaking of “ill- Windows tanto para programas como para librerías dinámicas
intended software” gives a too broad definition: malware has compartidas (DLLs), y conceptos del Registro de Windows.
evolved and taken different forms through the years. It is
necessary to know and understand the traces that remain in a
De cada tema se plantean posibles indicadores host-based (es
computer system after an infection. For years the information decir, propios del equipo analizado) que pueden utilizarse en
security community has focused on live analysis and response una investigación para determinar una infección por malware
against these threats, so there is a huge opportunity to adapt and dentro de un equipo. Finalmente, se presenta un método,
make post-mortem, host-based signatures. In this work, some aplicado en un ejemplo de cómo analizar estos indicadores en
features that may work as malware signatures for digital un caso real y se cierra con las conclusiones y trabajo futuro.
forensics experts are proposed.
Index Terms— Host-based signatures, malware, memory

forensics, DFIR, Windows registry, DLLs, Portable Executable. II. ANÁLISIS FORENSE DE MEMORIA PRINCIPAL
El análisis forense de memoria principal es base para la
confección de indicadores en el equipo (host-based) que
I. INTRODUCCIÓN permitan detectar la presencia de malware, aunque no es el
único análisis que se puede realizar para obtener métricas
E N la actualidad el mundo se encuentra fuertemente
conectado a través de Internet: las comunicaciones son
instantáneas a escala global, y prácticamente toda la
relevantes en este sentido.
Muchos indicadores pueden encontrarse en memoria,
información se encuentra disponible a través de la interacción algunos de manera exclusiva y otros replicado desde otras
fuentes, cargados por el sistema operativo en ella para agilizar
de múltiples sistemas de información distribuidos. El riesgo
su acceso. Por esta razón debería obtenerse un volcado de
constante para estos sistemas, y por extensión, para la vida
memoria del equipo que se va a analizar cuando aún se
moderna, consiste en un ataque de malware que sea capaz de
encuentra encendido luego de un ataque por malware, o
romper el frágil equilibrio en que coexisten y funcionan. No se eventualmente generar un volcado de memoria en base a la
plantea esto como una situación hipotética, es algo que ya ha ejecución de la imagen de disco obtenida en la etapa de
sucedido y que aún continúa sucediendo1. adquisición por medio de una máquina virtual[28].
Durante años los expertos en seguridad informática, También debe tenerse en cuenta que el malware moderno
antivirus e ingeniería inversa2 han investigado software trata de interactuar lo menos posible con métodos de
malicioso y desarrollado técnicas de análisis para detectar su persistencia clásicos, por ejemplo, se auto-elimina del disco
presencia[4, 5], analizar su funcionamiento[6, 7] y descubrir una vez que se ha ejecutado, o utiliza funciones de cifrado,
información relacionada con el malware. Estas técnicas están packing, u otras, que le permiten pasar desapercibido en los
enfocadas principalmente en el análisis en vivo de las medios de almacenamiento. Pese a todos esos intentos de
amenazas, y cómo contrarrestar su accionar, por lo que en ocultamiento, el malware, para ejecutarse tiene que ser un
ocasiones no son directamente aplicables a una investigación proceso cargado en memoria, debe descifrar su código, y
post-mortem en un entorno forense. Es necesario entonces como tal se puede obtener sus atributos de proceso de los que
hacer el trabajo de trasladar este conocimiento a la Informática pueden derivarse indicadores útiles para su detección.
Forense, de manera que pueda ser aplicable y útil en la Otro aspecto de suma importancia es que de un volcado de
realización de pericias informáticas. memoria es posible extraer claves de cifrado, ya sean del
En el presente trabajo se presenta un marco teórico compuesto sistema o utilizadas por el malware3, archivos cargados en
memoria por los procesos, o listados de conexiones activas
entre otros datos de interés que pueden ser complementarios a
Este trabajo fue enviado a revisión el día 15 de junio de 2017.
una investigación.
Gonzalo Ruiz De Angeli, Juan Ignacio Alberdi, Bruno Constanzo, Hugo
Curti y Ana Haydée Di Iorio son investigadores del Grupo de Investigación en El malware en general tiene como objetivo tomar control
Sistemas Operativos e Informática Forense de la Facultad de Ingeniería de del equipo, y para eso busca, en primer lugar, ejecutarse con el
Universidad FASTA, Mar del Plata, Buenos Aires, Argentina (email: mayor grado de privilegios posibles, y, en segundo lugar,
{ruizgon, ignacio_alberdi, bconstanzo, hcurti, diana}@ufasta.edu.ar). mantenerse oculto del usuario. Por esta razón, ante la hipótesis
.
1 Se pueden mencionar Blaster y Slammer como dos worms históricos[1], o
WannaCry como un ejemplo más reciente[2, 3]. 3 Ver WanaKiwi[8, 9], una herramienta para recuperar información de un
2 Entendiendo reverse engineering en el contexto de análisis de malware y ataque de WannaCry que escanea la memoria y permite recuperar las claves
sus mecanismos. de cifrado de los archivos afectados.
199
de una infección por malware, el análisis de memoria es una En la Fig. 1 puede verse la estructura de estos archivos,
herramienta fundamental ya que permite al analista donde se pueden analizar sus campos, tanto en ejecutables
informático partir de una búsqueda de procesos ocultos, y como en librerías compartidas, para extraer información (por
analizar las funciones utilizadas por estos, los archivos que ejemplo, las funciones exportadas).
han cargado en memoria, las conexiones que establecieron, y En la estructura del encabezado MS-DOS Header lo más
las entradas de registro que se podrían haber modificado. De importante es el puntero a _IMAGE_NT_HEADER, donde se
todos estos artefactos también es posible extraer indicadores aloja la firma “PE\x00\x00”, que confirma que se trata de
para sostener o rechazar esta hipótesis. un archivo Portable Executable. El campo más interesante en
Las principales estructuras de datos del sistema _IMAGE_NT_HEADER es el Data Directory, que contiene un
operativo[26, 27] Windows4 presentes en memoria, que arreglo de 16 elementos, del cual solo es relevante el primero:
permiten llevar a cabo este tipo de análisis son: Export Directory, que contiene la dirección virtual relativa
• _EPROCESS e _ETHREAD, que representan procesos (Relative Virtual Address, o RVA) del
e hilos respectivamente. _IMAGE_EXPORT_DIRECTORY. En esta última estructura
• _LDR_DATA_TABLE_ENTRY, que almacena hay tres elementos de interés con RVA:
información de una DLL. • Los nombres de las funciones: AddressOfNames.
• _FILE_OBJECT, un archivo cargado en memoria. • Las direcciones de las funciones: AddressOfFunctions.
• _CMHIVE, una entrada de Registro. • Un índice para buscar obtener la dirección de la función
• _TCP_CONNECTION, _UDP_CONNECTION y, propiamente dicha: AddressOfNamesOrdinals. Éste es
_SOCKET contienen información de conexiones un arreglo paralelo a AddressOfNames y provee el
abiertas. índice para buscar la dirección de la función en
El análisis de estas estructuras se verá en detalle en AddressOfFunctions con su nombre correspondiente en
próximas secciones. AddressOfNames.
Con esta información es posible construir un indicador de
III. FORMATO PORTABLE E XECUTABLE (PE) las funciones que potencialmente ejecutaría un proceso. A
partir de aquí, se puede profundizar el análisis en la búsqueda
Portable Executable es el formato de archivos binarios de hooks a las llamadas del sistema. Para ello es necesario en
ejecutables utilizado por Windows (por ejemplo, los archivos
cierto punto realizar un análisis de más bajo nivel, sobre el
.exe o .dll), que se basa en el formato COFF de Unix[10, 11].
código desensamblado. Ese tipo de análisis escapa a los
La implementación de PE permite que se pueda compartir
alcances de este trabajo.
código entre programas cargados en memoria, y así exportar
funcionalidad común desde librerías del sistema, o
desarrolladas por terceros. Por esta razón, el análisis de este IV. PROCESOS EN MEMORIA
tipo de archivos resulta útil: por un lado, porque el formato En Windows los procesos activos se organizan dentro de
mismo brinda información sobre el sistema operativo[12, 13], una lista doblemente enlazada en memoria. A partir de la
y por otro lado, en el caso de las DLLs es posible realizar un cabecera de la lista, se apunta a una estructura _EPROCESS
análisis de las funciones exportadas que quedarán disponibles (el primer proceso de la lista), y ésta tiene dos punteros: al
para que otros procesos utilicen. siguiente proceso (Flink) y al anterior (Blink). En el caso
del primer y último elemento de la lista, los punteros Flink y
Blink apuntan a la cabecera de la lista, respectivamente.
Estos punteros almacenan direcciones virtuales:
_LIST_ENTRY
{
struct _LIST_ENTRY* Flink;
struct _LIST_ENTRY* Blink;
}
Dado que el malware suele buscar ocultarse del usuario[14-
16], es muy común que se des-referencie de la lista de
procesos activos[17] (y garantice su ejecución contaminando
funciones de sistema[18, 19]). La Fig. 2 ilustra como un
malware en memoria se ocultaría de la lista de procesos
activos.
Combinando algunas técnicas de búsqueda y análisis de
estructuras, como el recorrido de la lista de procesos activos y
su comparación con las estructuras _EPROCESS halladas a
través de la técnica de pool-tag scanning[20, 21], es posible
confeccionar un indicador de procesos ocultos en memoria
Fig. 1 – Estructura de un archivo PE. principal.
4 El objeto de este trabajo es el sistema operativo Windows 7, sin embargo
el contenido desarrollado puede ser aplicable a otras versiones.
200
Fig. 2 – Proceso oculto en la lista de procesos activos.
V. DYNAMIC-LINK LIBRARIES (DLLS)

Las DLLs permiten que un proceso pueda hacer uso de
funcionalidad común sin la necesidad de reescribir código. La
utilización de algunas DLLs puede dar indicios de algún
comportamiento particular por parte del proceso que las
referencia, por ejemplo, aquellas funciones asociadas a Fig. 3 – Listas doblemente enlazadas de los módulos
conexiones, la creación de archivos, edición del Registro cargados por un proceso.
(RegOpenKey[6]), etc.
En memoria, las DLLs forman tres listas doblemente VI. REGISTRO DE WINDOWS
enlazadas, en las que todas las librerías cargadas se encuentran
presentes, pero cada lista lleva un orden distinto: El Registro de Windows es el repositorio de configuración
InLoadOrderModuleList, InMemoryOrderLinks e del sistema operativo. El hallazgo de determinadas entradas de
InInitializationOrderLinks. Estas listas son similares a la lista registro puede dar indicios sobre la presencia de malware en el
de procesos activos, ya que todas utilizan la estructura equipo.
_LIST_ENTRY. Entender la estructura del Registro de Windows permite
Si se realiza un análisis de las DLLs utilizadas por un comprender cuál es el alcance de cada entrada en la
proceso sospechoso, se puede saber cuáles son las funciones configuración, es decir, si se trata de una configuración global,
que podría llegar a ejecutar. A continuación, se muestra una si afecta a todos los usuarios, o a un usuario en particular. A
estructura _EPROCESS resumida: continuación, se da una breve explicación sobre cómo es la
typedef struct _EPROCESS organización jerárquica de esta base de datos de
{ configuraciones[22]:
struct _KPROCESS Pcb; • HKEY_LOCAL_MACHINE, abreviado como HKLM,
union _LARGE_INTEGER CreateTime; almacena configuraciones específicas del equipo local.
union _LARGE_INTEGER CreateTime; Algunas de sus sub-ramas más importantes son:
VOID* UniqueProcessId; o HKLM\SAM almacena información de todas
struct _LIST_ENTRY ActiveProcessLinks; las cuentas de usuario utilizadas en el equipo.
UINT8 ImageFileName[15]; o HKLM\SECURITY está vinculada a la base
struct _PEB* Peb; de datos de seguridad del dominio en el que ha
} iniciado sesión el usuario.
La estructura _PEB dentro de _EPROCESS tiene un o HKLM\SYSTEM contiene información sobre
puntero a _PEB_LDR_DATA[20], a través de la cual, se puede el programa de instalación del sistema de
acceder a la lista de DLLs cargadas por el proceso, recorriendo Windows, datos para el generador seguro de
la lista de estructuras _LDR_DATA_TABLE_ENTRY, como se números aleatorios (RNG), la lista de los
muestra en la Fig. 3. dispositivos montados actualmente que
De esta manera se puede construir un indicador de DLLs contienen un sistema de archivos, entre otros.
cargadas por proceso, que permitirá luego llevar a cabo un o HKLM\SOFTWARE contiene información
análisis más profundo sobre las funciones que un software vinculada a todo el software instalado en el
podría requerir de las DLLs del sistema, o aquellas que carga sistema actual.
por su cuenta. • HKEY_USERS, abreviado como HKU, contiene sub-
claves correspondientes a las claves
HKEY_CURRENT_USER de cada perfil de usuario
cargado activamente en el equipo.
• HKEY_CURRENT USER, abreviado como HKCU,
almacena configuraciones específicas del usuario con
sesión iniciada en ese momento.
• HKEY_CLASSES_ROOT, abreviado como HKCR,
contiene información sobre aplicaciones registradas y el
tratamiento de los distintos formatos de archivo.
201
• HKEY_CURRENT_CONFIG contiene información

sobre el perfil de hardware actual del sistema Como las estructuras _CMHIVE se encuentran dentro de
informático local. La información en pools de memoria con la etiqueta “CM10”, es posible
HKEY_CURRENT_CONFIG describe sólo las combinar la técnica de pool-tag scanning con el recorrido de
diferencias entre la configuración de hardware actual y la lista doblemente enlazada a través del atributo HiveList para
la configuración estándar. obtener todas las entradas de registro en memoria y construir
El análisis de las entradas de registro permite obtener un mapa de configuración del sistema, del usuario actual
información sobre la configuración del equipo. Por ejemplo: (Current User) y de un posible software malintencionado en el
• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersi equipo.
on\Run es una entrada de registro que puede ser
modificada por un proceso para lograr la autoejecución VII. CASO EJEMPLO: WANNACRY
del mismo al inicio del sistema. A continuación se muestra un análisis de un equipo
• HKCU\SOFTWARE\Microsoft\Windows\CurrentVersi infectado con el malware WannaCry. En este ejemplo, se parte
on\Run es otra entrada que puede modificarse con el de un volcado de memoria que se obtuvo del equipo a poco de
mismo propósito, pero desde el entorno del usuario. comenzar la ejecución del software malicioso. Para las tareas
• HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\C de análisis de memoria en este ejemplo se utilizará Volatility
urrentVersion\Run es otra entrada que abarca a los Framework[23, 24].
programas que por defecto deben cargarse en un En primer lugar, se empieza por una búsqueda de procesos
entorno de usuario nuevo. ocultos con el plugin psxview, que utiliza múltiples técnicas
En otras ramas del registro también es posible encontrar de búsqueda de procesos.
claves de cifrado, la ubicación de archivos infectados, o un Comando: vol.py –-plugins=./contrib/plugins/
malware ubicar los últimos programas utilizados en el equipo --profile=Win7SP1x86 -f M:\memdump.mem psxview
con el objetivo de infectarlos. Todo esto es sumamente rico Aclaración: por brevedad, y para mantener una cierta
para la confección de indicadores de malware. claridad en el ejemplo, se han recortado algunas filas y
Además del análisis de los archivos de registro en el disco, columnas del resultado obtenido.
también es posible analizar la memoria y en ella encontrar Salida:
entradas de registro relacionadas a los hilos propietarios. La Name PID pslist psscan ... ExitTime
estructura _CMHIVE representa un archivo de entrada de -------------- ---- ------ ------ ... --------
mcshield.exe 3168 True False ...
registro en disco, y posee un atributo _KTHREAD que es un svchost.exe 1180 True False ...
puntero a su hilo propietario. A continuación, se resumen la MsDtsSrvr.exe 1556 True False ...
estructura y el atributo de interés: svchost.exe 2228 True False ...
typedef struct _CMHIVE GoogleCrashHan 5200 True False ...
svchost.exe 1564 True False ...
{ chrome.exe 7680 True False ...
struct _HHIVE Hive; svchost.exe 2268 True False ...
struct _LIST_ENTRY HiveList; ...
struct _UNICODE_STRING FileFullPath; tasksche.exe 1392 True False ...
...
struct _UNICODE_STRING FileUserName; tasksche.exe 2808 True False ...
struct _UNICODE_STRING HiveRootPath; svchost.exe 1032 True False ...
struct _KTHREAD* CreatorOwner; @WanaDecryptor 7676 True False ...
} ...
System 4 True False ...
La estructura _HHIVE es un encabezado que brinda csrss.exe 6916 True False ...
información sobre el contenido de la entrada de registro. smss.exe 324 True False ...
Como se muestra en la Fig. 4, cada estructura _CMHIVE en csrss.exe 536 True False ...
RtHDVBg.exe 1432 True False ... 2017-05-16
memoria se relaciona con el resto de las entradas utilizadas 14:48:50 UTC+0000
por el hilo a través de una estructura _LIST_ENTRY, llamada RtHDVBg.exe 4620 True False ... 2017-05-16
HiveList, formando una lista doblemente enlazada. De esta 14:25:44 UTC+0000
N 0 True False ...
manera, es posible encontrar entradas de registro cargadas dllhost.exe 972 True False ...
por un determinado proceso. taskdl.exe 5752 True False ... 2017-05-16
14:57:50 UTC+0000
Como podemos observar, para los procesos más relevantes
involucrados con el mencionado malware, la salida de
Volatility no indica que estén intentado ocultarse, aunque si
utilizan nombres de procesos poco llamativos. Esto es
coherente con el modus operandi de los ransomware, que
particularmente, luego de haber cifrado los archivos, buscan
llamar la atención del usuario en lugar de ocultarse.
Fig. 4 – Elementos de la lista enlazada de entradas de registro.
202
Se continúa el análisis buscando identificar las DLLs C:\Windows\system32\SHLWAPI.dll

C:\Windows\system32\MSVCP60.dll
cargadas en memoria. Para esto, se obtiene el listado
utilizando el plugin dlllist5: ...
Comando: vol.py –-plugins=./contrib/plugins/
--profile=Win7SP1x86 -f M:\memdump.mem dlllist @WanaDecryptor pid: 7676
Command line :
Aclaración: sólo hemos dejado el campo “Path” de la salida "C:\ProgramData\zmlrzffkezkivj575\@WanaDecryptor@.
para cada proceso. exe"
Salida: Service Pack 1
tasksche.exe pid: 2808 Path

Command line : ----
C:\ProgramData\zmlrzffkezkivj575\tasksche.exe C:\ProgramData\zmlrzffkezkivj575\@WanaDecryptor@.e
Service Pack 1 xe
C:\Windows\SYSTEM32\ntdll.dll
Path C:\Windows\system32\kernel32.dll
---- C:\Windows\system32\KERNELBASE.dll
C:\ProgramData\zmlrzffkezkivj575\tasksche.exe C:\Windows\system32\MFC42.DLL
C:\Windows\SYSTEM32\ntdll.dll C:\Windows\system32\msvcrt.dll
C:\Windows\system32\kernel32.dll C:\Windows\system32\USER32.dll
C:\Windows\system32\KERNELBASE.dll C:\Windows\system32\GDI32.dll
C:\Windows\system32\USER32.dll C:\Windows\system32\LPK.dll
C:\Windows\system32\GDI32.dll C:\Windows\system32\USP10.dll
C:\Windows\system32\LPK.dll C:\Windows\system32\ole32.dll
C:\Windows\system32\USP10.dll C:\Windows\system32\RPCRT4.dll
C:\Windows\system32\msvcrt.dll C:\Windows\system32\OLEAUT32.dll
C:\Windows\system32\ADVAPI32.dll C:\Windows\system32\ODBC32.dll
C:\Windows\SYSTEM32\sechost.dll C:\Windows\system32\ADVAPI32.dll
C:\Windows\system32\RPCRT4.dll C:\Windows\SYSTEM32\sechost.dll
C:\Windows\system32\IMM32.DLL C:\Windows\system32\SHELL32.dll
C:\Windows\system32\MSCTF.dll C:\Windows\system32\SHLWAPI.dll
C:\Windows\system32\apphelp.dll C:\Windows\WinSxS\x86_microsoft.windows.common-
C:\Windows\system32\CRYPTSP.dll controls_6595b64144ccf1df_6.0.7601.17514_none_41e697
C:\Windows\system32\rsaenh.dll 5e2bd6f2b2\COMCTL32.dll
C:\Windows\system32\CRYPTBASE.dll C:\Windows\system32\urlmon.dll
C:\Windows\system32\SHELL32.dll C:\Windows\system32\api-ms-win-downlevel-ole32-l1-
C:\Windows\system32\SHLWAPI.dll 1-0.dll
C:\Windows\system32\MSVCP60.dll C:\Windows\system32\api-ms-win-downlevel-shlwapi-
C:\Windows\system32\ntmarta.dll l1-1-0.dll
C:\Windows\system32\WLDAP32.dll C:\Windows\system32\api-ms-win-downlevel-advapi32-
C:\Windows\system32\ole32.dll l1-1-0.dll
C:\Windows\system32\SspiCli.dll C:\Windows\system32\api-ms-win-downlevel-user32-
l1-1-0.dll
... C:\Windows\system32\api-ms-win-downlevel-version-
l1-1-0.dll
tasksche.exe pid: 1392 C:\Windows\system32\version.DLL
Command line : C:\Windows\system32\api-ms-win-downlevel-normaliz-
"C:\ProgramData\zmlrzffkezkivj575\tasksche.exe" l1-1-0.dll
Service Pack 1 C:\Windows\system32\normaliz.DLL
C:\Windows\system32\iertutil.dll
Path C:\Windows\system32\WININET.dll
---- C:\Windows\system32\USERENV.dll
C:\ProgramData\zmlrzffkezkivj575\tasksche.exe C:\Windows\system32\profapi.dll
C:\Windows\SYSTEM32\ntdll.dll C:\Windows\system32\MSVCP60.dll
C:\Windows\system32\kernel32.dll C:\Windows\system32\WS2_32.dll
C:\Windows\system32\KERNELBASE.dll C:\Windows\system32\NSI.dll
C:\Windows\system32\USER32.dll C:\Windows\system32\IMM32.DLL
C:\Windows\system32\GDI32.dll C:\Windows\system32\MSCTF.dll
C:\Windows\system32\LPK.dll C:\Windows\system32\odbcint.dll
C:\Windows\system32\USP10.dll C:\Windows\system32\RICHED32.DLL
C:\Windows\system32\msvcrt.dll C:\Windows\system32\RICHED20.dll
C:\Windows\system32\ADVAPI32.dll C:\Windows\system32\uxtheme.dll
C:\Windows\SYSTEM32\sechost.dll C:\Windows\system32\dwmapi.dll
C:\Windows\system32\RPCRT4.dll C:\Windows\system32\IconCodecService.dll
C:\Windows\system32\IMM32.DLL C:\Windows\system32\WindowsCodecs.dll
C:\Windows\system32\MSCTF.dll C:\Windows\system32\msls31.dll
C:\Windows\system32\apphelp.dll C:\Windows\system32\CRYPTBASE.dll
C:\Windows\system32\CRYPTSP.dll C:\Program Files\Unlocker\UnlockerHook.dll
C:\Windows\system32\rsaenh.dll
C:\Windows\system32\CRYPTBASE.dll Se puede observar en los resultados obtenidos que los
C:\Windows\system32\SHELL32.dll procesos involucrados están utilizando DLLs vinculadas a
funciones de cifrado: CRYPTSP.dll y CRYPTBASE.dll.
5 Nótese que no figura el proceso taskdl.exe porque al momento de realizar
el volcado de memoria, éste ya había finalizado.
203
Profundizando en este análisis, se buscan las funciones que ntdll.dll 1983 1884
exportan estas DLLs. De esta manera, se busca obtener un
indicador sobre la cantidad de funciones por librería y sus ntmarta.dll 22
respectivos nombres. Se pretende así entender un poco más ODBC32.dll 102 0
sobre la funcionalidad requerida por el software a las DLLs.
Lo que se hace es enumerar las funciones con el plugin ole32.dll 395 197,5
enumfunc, y luego procesar la salida para obtener los datos OLEAUT32.dll 405 0
de manera resumida (ver Tabla 1).
Del listado de DLLs cargadas por estos procesos, resulta profapi.dll 0
interesante analizar en particular CRYPTSP.dll. Antes de RICHED20.dll 9 0
continuar, es importante notar una diferencia no menor que se
observa entre los dos proceso @WannaDecryptor@.exe y RPCRT4.dll 541 540
tasksche.exe[25], y es que solo este último utiliza rsaenh.dll 27
CRYPTSP.dll. Esto se debe a que es el proceso encargado de
cifrar los datos en el equipo, mientras que sechost.dll 60 60
@WannaDecryptor@.exe es la aplicación encargada de SHELL32.dll 333 333
comunicarse con el usuario para pedir el rescate y brindar los
SHLWAPI.dll 369 369
datos de pago.
SspiCli.dll 48,5
Proceso UnlockerHook.dll 2 0
@Wanna… tasksche urlmon.dll 126 0
ADVAPI32.dll 806 806 USER32.dll 822 822
api-ms-win-downlevel-advapi32-l1-1-0.dll 145 0 USERENV.dll 48 0
api-ms-win-downlevel-normaliz-l1-1-0.dll 2 0 USP10.dll 44 44
api-ms-win-downlevel-ole32-l1-1-0.dll 48 0 uxtheme.dll 74 0
api-ms-win-downlevel-shlwapi-l1-1-0.dll 155 0 version.DLL 15 0
api-ms-win-downlevel-user32-l1-1-0.dll 22 0 WindowsCodecs.dll 115 0
api-ms-win-downlevel-version-l1-1-0.dll 6 0 WININET.dll 292 0
apphelp.dll 195 WLDAP32.dll 34
COMCTL32.dll 147 0 WS2_32.dll 167 0
CRYPTBASE.dll 11 11 Tabla 1 – Cantidad de funciones por DLLs de los procesos
maliciosos.
CRYPTSP.dll 41
dwmapi.dll 26 0 En la Tabla 2, se muestra un listado de las funciones

exportadas por CRYPTSP.dll. De este listado se puede
GDI32.dll 715 715 confirmar que ésta es la DLL que provee la funcionalidad de
iertutil.dll 40 0 cifrado al malware. Particularmente, la función
CryptRandomGen genera las claves AES que luego se utilizan
IMM32.DLL 134 134 para cifrar los archivos.
kernel32.dll 1365 1365
KERNELBASE.dll 633 633 Orden Dirección Función
LPK.dll 11 11 1 0x00000000754b4658 CheckSignatureInFile
MFC42.DLL 6 0 2 0x00000000754b4a53 CryptAcquireContextA
MSCTF.dll 71 71 3 0x00000000754b6b98 CryptAcquireContextW
msls31.dll 79 0 4 0x00000000754b3629 CryptContextAddRef
MSVCP60.dll 1307 1113 5 0x00000000754b5d1b CryptCreateHash

msvcrt.dll 1396 1396 6 0x00000000754b5c1b CryptDecrypt
normaliz.DLL 5 0 7 0x00000000754b5324 CryptDeriveKey
NSI.dll 26 0 8 0x00000000754b6135 CryptDestroyHash
204
VIII. CONCLUSIONES Y TRABAJO FUTURO

9 0x00000000754b54a3 CryptDestroyKey
El análisis de memoria es clave para la confección de
10 0x00000000754b5e3f CryptDuplicateHash indiciadores para la detección de malware, pero también hay
11 0x00000000754b5217 CryptDuplicateKey otros artefactos que se pueden encontrar en otros medios
digitales que aportan información relevante. Estos últimos
12 0x00000000754b5b18 CryptEncrypt pueden ser simples y no necesariamente concluyentes, pero si
13 0x00000000754b385e CryptEnumProviderTypesA aportar datos de utilidad para guiar el análisis y poder
demostrar la presencia de malware en un equipo, y además
14 0x00000000754b68fa CryptEnumProviderTypesW entender su comportamiento.
15 0x00000000754b3a86 CryptEnumProvidersA En general, el análisis preponderante es siempre “en vivo”,
contra sistemas activos y en el momento en que el ataque
16 0x00000000754b6a51 CryptEnumProvidersW sobre el sistema se está llevando a cabo, pero existe una
17 0x00000000754b588d CryptExportKey amplia posibilidad (y una demanda) de realizar este tipo de
estudios post-mortem.
18 0x00000000754b512b CryptGenKey En análisis de la memoria en base a un volcado realizado en
19 0x00000000754b5723 CryptGenRandom
el momento de del ataque (o luego, en base a una máquina
virtual que cargue una imagen forense del disco), el análisis
20 0x00000000754b6731 CryptGetDefaultProviderA del Registro de Windows y de las DLLs son ejemplos de lo
21 0x00000000754b70ea CryptGetDefaultProviderW
que es posible lograr, y de los indicadores que se pueden
construir, para entender cuál es objetivo de un ataque y cómo
22 0x00000000754b667c CryptGetHashParam se pretende lograrlo.
Se mostró cómo en base a las estructuras del sistema
23 0x00000000754b566e CryptGetKeyParam
operativo Windows, y complementando ese conocimiento con
24 0x00000000754b651a CryptGetProvParam desarrollos ya existentes (enfocados en otras problemáticas) se
pueden confeccionar indicadores que están adaptados a las
25 0x00000000754b57b3 CryptGetUserKey
necesidades forenses. Es importante continuar con este
26 0x00000000754b5f62 CryptHashData trabajo, para ir formulando otros indicadores, enfocados en
distintas fuentes de información forense.
27 0x00000000754b604a CryptHashSessionKey
También es importante seguir trabajando alrededor de los
28 0x00000000754b598d CryptImportKey indicadores, tanto los ya existentes como nuevos que podrían
formularse a futuro, para establecer una metodología probada
29 0x00000000754b36a0 CryptReleaseContext
de detección de malware en entornos forenses.
30 0x00000000754b65b0 CryptSetHashParam
AGRADECIMIENTOS
31 0x00000000754b55a2 CryptSetKeyParam
Los autores quieren agradecer al Decano de la Facultad de
32 0x00000000754b376b CryptSetProvParam Ingeniería de la Universidad FASTA, Ing. Roberto Giordano,
33 0x00000000754b6c83 CryptSetProviderA y a la Secretaria de Investigación de dicha Facultad, Lic.
Mónica Pascual.
34 0x00000000754b6d9f CryptSetProviderExA
También se extiende el agradecimiento a Fernando Greco,
35 0x00000000754b72b4 CryptSetProviderExW Ariel Podestá, Martín Castellote, Juan Ignacio Iturriaga y
Sebastián Lasia, integrantes del Grupo de Investigación en
36 0x00000000754b722b CryptSetProviderW
Sistemas Operativos e Informática Forense que colaboraron
37 0x00000000754b62ca CryptSignHashA con la escritura, edición y revisión de este trabajo.
38 0x00000000754b62ba CryptSignHashW
REFERENCIAS
39 0x00000000754b6472 CryptVerifySignatureA [1] M. Hypponen, The History and Evolution of Computer Viruses.
DEFCON 19, 2011.
40 0x00000000754b6462 CryptVerifySignatureW [2] M. Hutchins, How to Accidentally Stop a Global Cyber Attack.
Disponible en: https://www.malwaretech.com/2017/05/how-to-
41 0x00000000754b4658 SystemFunction035 accidentally-stop-a-global-cyber-attacks.html.
Tabla 2 – Funciones exportadas por CRYPTSP.dll. [3] M. Suiche, WannaCry – The largest ransom-ware infection in History.
Disponible en: https://blog.comae.io/wannacry-the-largest-ransom-ware-
infection-in-history-f37da8e30a58.
Se ha mostrado entonces cómo diferentes indicadores de [4] MISP – Malware Information Sharing Platform and Threat Sharing
procesos, en este caso originarios de la memoria, pueden ir http://www.misp-project.org/.
proveyendo información sobre un sistema, la presencia de [5] OpenIOC Framework http://www.openioc.org/.
malware (que en este caso era conocida), y cómo el acceso a [6] M. Sikorski, A. Honig, Practical Malware Analysis. No Starch Press,
San Francisco, California, EEUU, 2012. ISBN: 978-1-59327-290-6.
determinadas DLLs y funciones puede hacer evidente su [7] radare/r2 http://www.radare.org/r/.
función o propósito. [8] B. Delpy, wanakiwi, software disponible en:
https://github.com/gentilkiwi/wanakiwi. (2017).
205
[9] M. Suiche, WannaCry – Decrypting files with WanaKiwi+Demos,

disponible en: https://blog.comae.io/wannacry-decrypting-files-with- Hugo Curti es Ingeniero de Sistemas y Magíster en
wanakiwi-demo-86bafb81112d. Ingeniería de Sistemas recibido en la Universidad Nacional
[10] Microsoft, Microsoft Portable Executable and Common Object File del Centro de la Provincia de Buenos Aires. Se desempeña
Format Specification. Documentación oficial, disponible en: como Profesor Adjunto del Departamento de Computación
https://www.microsoft.com/en-us/download/details.aspx?id=19509. y Sistemas de la Facultad de Ciencias Exactas de dicha
[11] Microsoft, About COFF (Windows CE 5.0). Documentación oficial, Universidad, y como Profesor Titular de la Cátedra de
disponible en: https://msdn.microsoft.com/en-us/library/aa448549.aspx. Sistemas Distribuidos en la Univerisdad FASTA. Es miembro de varios
[12] M. Pietrek, Peering Inside the PE: A Tour of the Win32 Portable
grupos de investigación, entre los que se cuenta el Grupo de Investigación en
Executable File Format. Microsoft Systems Journal, Marzo 1994.
Sistemas Operativos e Informática Forenses. Ha presentado trabajos en
[13] A. Albertini, Exploring the Portable Executable format, 44 CON,
numerosos congresos nacionales e internacionales.
Londres, Inglaterra, Septiembre 2013. Disponible en:
https://www.slideshare.net/ange4771/44con2013-workshop-exploring-
the-portable-executable-format. Ana Haydée Di Iorio es ingeniera en Informática de
[14] A. H. Di Iorio, G. M. Ruiz de Angeli, J. I. Alberdi, B. Constanzo, A. la Universidad FASTA y Directora del InFo-Lab,
Podestá, M. Castellote, Quitando el Velo a la Memoria: Estructuras Laboratorio de Investigación y Desarrollo de Tecnología en
Ocultas y Malware. CIBSI 2015, Quito, Ecuador, 2015. Informática Forense. Es miembro de la Comisión Asesora
[15] J. Kong, Designing BSD Rootkits – An introduction to kernel hacking. de la Red de Laboratorios Forenses de Ciencia y Tecnología
No Starch Press, San Francisco, California, EEUU, 2007. ISBN: 978-1- del Ministerio de Ciencia Tecnología e Innovación
59327-142-8. Productiva de la República Argentina. Ha participado, presidido y dictado
[16] K. Lee, H. Hwang, K. Kim, B. Noh, Robust bootstrapping memory conferencias en numerosos congresos nacionales e internacionales.
analysis against anti-forensics. DFRWS USA 2016,
[17] J. Butler, DKOM (Direct Kernel Object Manipulation). Black Hat
Windows 2004, Seattle, EEUU, 2004.
[18] J. Butler, VICE – Catch the Hookers!. Black Hat USA 2004, Las Vegas,
EEUU, 2004.
[19] J. Kornblum, Windows Memory Forensics and Direct Kernel Object
Manipulation. DOD Cyber Crime Conference, 2011.
[20] M. H. Ligh, A. Case, J. Levy, A. Walters, The Art of Memory Forensics.
Wiley, Inianapolis, Indiana, EEUU. 2014. ISBN: 978 -1-118 -82509-9.
[21] A. Schuster, Searching for Processes and Threads in Microsoft Windows
Memory Dumps. DFRWS 2006, Lafayette, EEUU, Agosto 2006.
[22] Microsoft, About the Registry: Predefined Keys. Documentación
official, disponible en: https://msdn.microsoft.com/en-
us/library/windows/desktop/ms724836(v=vs.85).aspx.
[23] Volatility Framework, https://github.com/volatilityfoundation/volatility.
[24] Volatility Foundations, http://www.volatilityfoundation.org/.
[25] Panda Security, Informe #WannaCry. 2017, disponible en:
http://www.pandasecurity.com/spain/mediacenter/src/uploads/2017/05/I
nforme_WannaCry-es.pdf.
[26] M. Russinovich, D. Solomon, A. Ionescu, Windows Internals 5, 2009.
[27] M. Russinovich, D. Solomon, A. Ionescu, Windows Internals 6, 2012.
[28] A. H. Di Iorio, et al., El Rastro Digital del Delito, Editorial Universidad
FASTA, Mar del Plata, Argentina, 2017. ISBN: 978-987-1312-81-8.
Gonzalo Ruiz de Angeli es Ingeniero en Informática

de la Universidad FASTA, docente e investigador graduado
del Grupo de Investigación en Sistemas Operativos e
Informática Forense, y docente en Sistemas Distribuídos en
la carrera de Ingeniería en Informática. Co-autor de BIP-M
Framework, un software para el análisis forense de memoria
principal. Ha presentado trabajos en mútiples congresos nacionales e
internacionales.
Juan Ignacio Alberdi es Ingeniero en Informática de

la Universidad FASTA, docente e investigador graduado
del Grupo de Investigación en Sistemas Operativos e
Informática Forense, y docente en Sistemas Distribuídos en
la carrera de Ingeniería en Informática. Co-autor de BIP-M
Framework, un software para el análisis forense de
memoria principal. Ha presentado trabajos en mútiples congresos nacionales e
internacionales.
Bruno Constanzo es Ingeniero en Informática de la

Universidad FASTA, Investigador del InFo-Lab y docente
en materias de Ingeniería en Informática y Licenciatura en
Criminalística. Ha sido tutor en varios proyectos finales y
tésis vinculadas a la Informática Forense, y participó en
múltiples proyectos de investigación relacionados con la
temática. Ha presentado trabajos en numerosos congresos nacionales e
internacionales.
206
Alejandro Sabolansky, Nicolás Macia, Paula Venosa, Einar Lanfranco, Francisco Javier Díaz
Mitigación de DDoS en Redes Académicas e IXPs

Alejandro Sabolansky – Nicolás Macia – Paula Venosa – Einar Lanfranco – Francisco Javier Díaz
Laboratorio de Investigación en Nuevas Tecnologías Informáticas (LINTI)
asabolansky@linti.unlp.edu.ar - nmacia@cert.unlp.edu.ar - pvenosa@info.unlp.edu.ar -
einar@info.unlp.edu.ar – javierd@info.unlp.edu.ar
registrado ataques de más de 800Gbps, un 60% por arriba

Abstract - A volumetric DDoS attack is an attack whose que lo reportado el año previo [2].
objective is to make a service or network unavailable
through the generation of large volumes of traffic. Para mitigar los problemas que permiten la realización
Scrubbing centers are one of the most effective solutions to
mitigate this kind of problems. Scrubbing centers analyze
de ataques de DDoS, existen buenas prácticas aplicables
and catalog an organization's network traffic. The one por administradores de redes y servicios [3],[4]. Sin
considered malicious (DDoS, exploits, vulnerabilities, etc.) is embargo, el escenario habitual es que las mismas o no
eliminated before being sent to the client's network. In this son implementadas o su implementación no es del todo
paper Scrub UNLP is presented, a scrubbing center solution adecuada, por lo que los DDoS siguen generando graves
implemented with open source software. This article problemas en Internet. Como camino alternativo o
highlights the benefit of using Scrub UNLP within the
complementario a la aplicación las buenas prácticas
network of an IXP or NREN.
posibles, existen soluciones comerciales que permiten
detectar y mitigar ataques de DDoS en la nube.
Index Terms— DDoS, BGP, Scrubbing Center, IXP,
NREN
La proliferación de puntos de intercambio de tráfico en
nuestra región [5], donde organizaciones de diferente
envergadura se interconectan con el fin de mejorar la
I. INTRODUCCIÓN
comunicación local y nacional, presenta el desafío de
trasladar soluciones probadas en Internet a un ámbito
Los ataques de Denegación de servicio, especialmente donde los ataques no son solamente externos, sino que
en la modalidad distribuida, o DDoS, cada vez más pueden ser originados por los mismos miembros del IXP.
frecuentes, potentes y extensos, tienen hoy en día más Por otro lado, el despliegue en la región de lo que se
presencia en los medios de comunicación no conoce como “Internet 2” [6], una red con capacidades
especializados, dado que muchas veces, el afectado con avanzadas separada de lo que se conoce como Internet
este tipo de ataques termina siendo el ciudadano común. comercial, presenta otro posible lugar donde los ataques
Las plataformas objetivo incluyen servidores de DNS, pueden llevarse a cabo. Esta red cuenta cada vez con más
medios de comunicación, proveedores de Internet y participantes y mejores enlaces, y es por ello que tal vez
servidores donde se aloja el contenido de las redes sea provechoso para los atacantes utilizar esa
sociales, pero son los usuarios de ellas los que pierden el infraestructura como origen de ataques volumétricos.
acceso al servicio.
En general, el auge de IoT hizo que los ataques de
Si bien este tipo de ataques en general tienen como DDoS alcancen niveles inesperados años atrás. Cualquier
principal objetivo dejar sin servicio determinadas redes o usuario de Internet puede ser el origen de un ataque de
servidores, dependiendo de la modalidad o tipo de ataque DDoS. Un ejemplo de esto es la botnet Mirai1 la cuál fue
de DDoS, suelen ocurrir daños colaterales y terminar utilizada entre otros en el ataque de DDoS sufrido por los
afectando a otros servicios que forman parte de la servidores de nombres de Dyn en Octubre del 2016
infraestructura de la víctima. generando la caída de gran parte de los servicios más
utilizados en Internet [7].
Según estadísticas publicadas este año, en el último
tiempo los ataques de DDoS se han incrementado En este trabajo se presenta Scrub UNLP, una
considerablemente, por ejemplo la empresa NexusGuard herramienta que pretende facilitar el despliegue de
reporta en un 380%, en relación a los observados en el soluciones de mitigación de ataques de DDoS, tanto en
mismo período de 2016[1], Por otra parte, Arbor IXPs como en redes avanzadas e Internet comercial.
Networks menciona en su informe anual que se han
1
MIRAI - https://es.wikipedia.org/wiki/Mirai_(malware)
207
Scrub UNLP permite que redes utilizadas con fines

académicos y científicos puedan estar preparadas para En los últimos años, el ancho de banda de estos enlaces
afrontar problemas de DDoS contra sus organizaciones. se ha incrementado en forma considerable, tanto a nivel
Además, su uso cooperativo permitiría a ISPs pequeños nacional [9] como en las interconexiones con las redes
poder contar con una solución de este tipo a bajo costo. regionales e internacionales [10]. Además, se han
sumado una gran cantidad de instituciones a estas redes,
lo que se tradujo en una mayor utilización de los enlaces
II. IXP para acceder a los contenidos alojados en las
Un IXP o punto de intercambio de tráfico [8] es un organizaciones que forman parte de estas redes.
lugar donde dos o más sistemas autónomos se
interconectan con el fin de intercambiar tráfico.
Estas soluciones de interconexión tienen como IV. DDOS
objetivo principal hacer más eficiente el ruteo en Internet, Podemos definir a un ataque de DDoS como un ataque
ayudando a mantener el tráfico dentro de infraestructuras de denegación de servicio donde existen múltiples
locales, mejorar la calidad de servicio y la experiencia atacantes distribuidos y sincronizados que focalizan su
del usuario y principalmente reducir los costos de accionar en un mismo objetivo.
interconexión.
Un ataque de DDoS de tipo volumétrico tiene como
En Argentina, CABASE 2es la organización que objetivo dejar sin disponibilidad el acceso a un servicio.
promueve la implementación de IXPs y cuenta con más Esto se logra mediante la generación de grandes
de 20 IXPs regionales interconectados entre sí. Estos volúmenes de tráfico hacia la red o servicio que se quiere
puntos de intercambio de tráfico se ubican en diferentes afectar. Para ser perpetrado, una de las técnicas más
ciudades y lugares estratégicos del país. utilizadas por los atacantes es la amplificación y la
reflexión de los paquetes sobre distintos servicios
transportados sobre UDP.
III. REDES ACADÉMICAS
Las Universidades Nacionales e institutos En el proceso de amplificación, un atacante envía un
universitarios que forman parte del Consejo requerimiento que genera una respuesta con un volumen
Interuniversitario Nacional (CIN), se encuentran de datos mucho más grande al de la petición. Para la
interconectados a través de la Red de Interconexión reflexión del ataque, el atacante envía los requerimientos
Universitaria (RIU)3, mediante enlaces de 100 Mbps. utilizando una IP origen spoofeada5. La IP spoofeada será
Dicho enlace permite que las instituciones conectadas la IP a la que la respuesta amplificada se dirija. Mediante
puedan comunicarse entre ellas, y a su vez puedan el envío de muchos requerimientos spoofeados a distintos
acceder a diversos servicios entre los cuales se servicios amplificables en distintos servidores, el atacante
encuentran el SIU, el CIN, las cachés de Google y el logrará que la IP spoofeada reciba un gran volumen de
acceso a la Internet comercial. Algunas Universidades datos producto de todas las respuestas generadas.
cuentan con este servicio como el principal enlace de su
institución, accediendo únicamente a través del mismo a Según encuestas publicadas por reconocidos
Internet. proveedores de conectividad como la empresa Arbor
Networks [11] el vandalismo, las disputas políticas e
En forma simultánea, la Red Científica Nacional ideológicas y aspectos relacionados con el juego online,
Argentina (InnovaRed)4 provee conectividad a diversas lideran los motivos que llevan a un atacante a lanzar
instituciones del sector científico académico entre sí, y ataques de DDoS. Por el contrario las redes donde
permite, a su vez, la interconexión con redes avanzadas a predomina el intercambio de información científica, no
nivel internacional, a través de enlaces diferentes a los son consideradas atractivas como blancos de este tipo de
utilizados por la internet comercial. Su objetivo es ataques.
brindar un acceso de mayor calidad a diferentes servicios,
recursos y aplicaciones. Algunas instituciones se Lo mencionado anteriormente, lleva a que la
encuentran conectadas directamente a InnovaRed, prevención de posibles ataques de DDoS no sea un tema
mientras que otras utilizan su enlace existente de la RIU prioritario para la comunidad científica. Sin embargo, las
para acceder a ésta. razones por las cuáles se realizan este tipo de ataques
pueden mutar y es importante contar con una solución
2 testeada que pueda ser activada en el caso que sea
CABASE - http://www.cabase.org.ar
3 necesario defenderse de una de estas campañas.
RIU - http://www.riu.edu.ar
4
InnovaRed -
5
http://www.innova-red.net IP Spoofeada: Dirección IP adulterada.
208
origen posible sino también fragmentar el volumen del

ataque.
V. SOLUCIONES ACTUALES
Cuando se contrata un servicio de Scrubbing Center,
Para poder mitigar este tipo de ataques, diversas generalmente el mismo puede ser configurado en dos
empresas ofrecen soluciones que pueden ser contratadas modalidades. En la alternativa conocida como “always-
por los ISPs u organizaciones que cuenten con bloque de on”, la red o el servicio del cliente siempre se encuentra
direcciones IP y número de sistema autónomo, para que protegida por el centro de limpieza, independientemente
el ataque volumétrico no llegue a sus instalaciones y si la misma se encuentra bajo un ataque de DDoS o no.
sature sus enlaces, dejando sin servicio a todos sus En la solución que se conoce como “on-demand”, el
usuarios. Entre ellas podemos mencionar: cliente tiene la posibilidad de activar el servicio cuando
detecta que se encuentra bajo ataque.
RTBH6: En esta solución se establece un mecanismo
de coordinación entre el cliente y su ISP para poder En relación a las diferentes implementaciones, existen
mitigar el ataque lo más cercano al origen posible. La implementaciones que se basan en DNS para redirigir el
implementación de esta solución se basa en que el tráfico hacia los centros de limpieza, pero solamente son
protocolo BGP [12] y los actores intervinientes deben eficaces cuando se trata de servidores web u otros
acordar las condiciones técnicas para el correcto servicios accesibles mediante el servicio de nombres de
funcionamiento del mismo. Uno de los métodos consiste dominio. Cuando el cliente detecta que su sitio web se
en descartar el tráfico destinado a la IP atacada y filtrar el encuentra bajo un ataque, modifica los registros DNS
tráfico malicioso lo más cercano al origen posible. Esta apuntando a direcciones IP del Scrubbing Center, el cual
solución no previene la DoS hacia el equipo atacado, ya va a cumplir con las funciones de un WAF (Web
que el mismo no queda accesible, pero no compromete el Application Firewall) y va a enviar el tráfico limpio al
resto de los servicios de la red. servidor Web del cliente, donde reside la aplicación. Esto
se asemeja a lo que se conoce como Reverse Proxy.
UTRS7: Es un servicio brindado por la empresa Team
Cymru para mitigar ataques de denegación de servicio La alternativa más compleja permite que todo el tráfico
distribuidos. Cuando un usuario del servicio detecta que pueda ser analizado por el centro de limpieza,
un bloque IP de su propiedad se encuentra bajo ataque, lo independientemente que se trate una aplicación web o
informa mediante un anuncio BGP al servicio de UTRS, datagramas dirigidos a un servicio de streaming de video.
el cual lo analiza y luego lo anuncia al resto de los Para ello, se utiliza el protocolo BGP para forzar que el
miembros para que no envíen tráfico a la red indicada. tráfico pase por la infraestructura de análisis de tráfico
Los participantes que reciben dicha publicación, antes de alcanzar las redes destino. Una vez que se separa
descartan el tráfico dirigido a dicho bloque IP desde sus el tráfico malicioso del benigno, se envían los datos a la
redes. red del cliente final.
De esta manera, esta solución colaborativa, intenta

detener el ataque lo más cerca del origen posible, con el VI SOLUCIONES IMPLEMENTADAS EN IXP Y
fin de evitar la saturación de los enlaces de Internet. La REDES ACADEMICAS
eficacia de este método se basa en la cantidad e
importancia de los ISPs que están utilizando el servicio. Las soluciones de mitigación de DDoS, en general no
tienen en cuenta cuestiones propias de la arquitectura de
Scrubbing Center: Es un centro de limpieza o red en la que la organización protegida se conecta. Por
depurador de tráfico donde el tráfico es analizado y si es ejemplo, una solución tipo UTRS o Scrubing Center
catalogado como malicioso (DDoS, exploits, puede no ser efectiva dentro de la red de un IXP o dentro
vulnerabilidades, etc) es eliminado antes de ser enviado a de una red académica. En un ataque entre los miembros
la red del cliente. de una de estas redes no sería efectivo con UTRS si los
mismos no participan de dicho servicio. En el mismo
Los proveedores de este tipo de soluciones, sentido, una solución tipo Scrubbing Center no sería
generalmente son empresas con presencia en muchas efectiva si dentro de la red donde ocurre el ataque se
redes internacionales, incluyendo Tier 1. Esto les permite hacen publicaciones BGP de bloques de red más
tener presencia en distintas regiones del mundo para específicos que los que se hacen en Internet.
poder así no sólo limpiar el tráfico lo más cerca del
6
RTBH - https://www.he.net/adm/blackhole.html
7
UTRS - https://www.team-cymru.org/UTRS/
209
Otros escenarios de ejemplo ocurre en las NRENs8 del Laboratorio de Investigación en Nuevas Tecnologías
donde los ataques no atraviesan el backbone de Internet, Informáticas (LINTI)9 de la Facultad de Informática de la
sino que el origen y el destino de un ataque de DoS son UNLP, responsable de las asignaturas de grado y
parte de distintas NRENs de distintos países posgrado relacionadas con la temática, ha detectado la
interconectadas por los vínculos administrados por las necesidad de contar con un mecanismo que ayude a
entidades que nuclean a las redes de investigación de implementar soluciones de protección de DDoS en redes
cada continente. donde la topología de red es conocida y acotada, como
así también en comunidades donde los miembros
Además, las soluciones comerciales de Scrubbing participantes tengan la posibilidad de activar una
Center existentes en el mercado, son soluciones muy solución de mitigación de DDoS dividiendo los costos
robustas y completas pero que generalmente no pueden operativos de la misma de manera cooperativa.
ser alcanzadas por universidades y pequeños ISP, dado
que su costo es muy elevado [13]. Para poder llevar a cabo lo detallado anteriormente, se
desarrolló una solución del tipo Scrubbing Center
Otras razones que esgrimen los potenciales usuarios de utilizando tecnologías Open Source y estándares para la
este tipo de solución para no adquirir las mismas, está comunicación de sus distintos componentes: BGP y
relacionada con la falsa certeza de que nunca van a ser FlowSpec [17].
las víctimas de un ataque de DDoS, a esta técnica se la
suele denominar como la técnica del avestruz, es decir Una solución de este tipo, tiene como valor agregado
esconder la cabeza bajo tierra y esperar que no me suceda respecto de soluciones existentes de estar diseñada a
nada. La contratación o implementación de este tipo de medida en la red en la que se va a implementar. La
soluciones se lleva a cabo luego de haber sufrido una elección de la ubicación de los centros de limpieza de
denegación de servicio [14]. tráfico va a depender de donde sea conveniente realizar la
limpieza dentro de la red. Si los centros de limpieza se
Con respecto a posibles implementaciones en IXPs, instalan en locaciones cercanas al origen del tráfico, se
existen diversas soluciones que intentan mitigar este tipo está priorizando la utilización de los enlaces pero
de problemas. Estas soluciones son del tipo RTBH que complejiza la gestión de la solución. Por otra parte, si se
utilizan distintas comunidades predefinidas para señalizar instala la solución en el backbone de la red, se simplifica
IPs o bloques de red a ser filtrados. Este tipo de la operatoria, pero se utilizan los enlaces con tráfico no
alternativa, del mismo modo que la puede ofrecer un ISP deseado.
a sus clientes es posible de implementar en un IXP para La Fig. 1 representa una situación de tráfico normal.
que pueda ser utilizado por sus miembros [15].
En algunos organismos que gestionan la redes

avanzadas en otras regiones del mundo, como por
ejemplo Internet2 y Geant, que tienen operaciones en
EE.UU y Europa respectivamente, si se ha trabajado
fuertemente en soluciones de mitigación de ataques de
DDoS que pueden ser activadas al momento de un
ataque. Al igual que en lo que explicado para los IXP, en
algunas regiones se implementaron soluciones del tipo
RTBH [16].
Esto contrasta con la situación en nuestra región,

donde los organismos que administran las redes
científicas de nuestro país y Latinoamérica no han
difundido información respecto a trabajos relacionados
con esta problemática que se plantea.
Fig. 1. Tráfico normal
VII SOLUCION PROPUESTA Una ventaja de utilizar Scrub UNLP dentro de una red
académica o IXP es que dentro de dichas redes se pueden
realizar publicaciones BGP con prefijos más específicos
A partir del estudio y el análisis de esta problemática, para limpiar el tráfico. Una solución de scrubbing center
el equipo de docentes/investigadores de ciberseguridad
9
LINTI – Laboratorio de Investigación en Nuevas
8
NREN: National Research and Education Network Tecnologías Informáticas - https://www.linti.unlp.edu.ar
210
en la nube, no podría captar el tráfico de red de una  Limpiadores de tráfico. Tantos como sean
organización a proteger dado que en Internet, no se posibles. Se utiliza un servidor físico o virtual,
aceptan publicaciones BGP con prefijos más específicos con peering BGP con la red o ISP de la región
que /24 en IPv4 puesto que en general son bloqueadas. en la que se lo instala. Actualmente, la solución
La Fig. 2, representa la aplicación de la solución se basa en GNU/Linux y utiliza como software
scrubbing. de ruteo Quagga[19]. La comunicación con la
interfaz de gestión se realiza mediante anuncios
BGP y FlowSpec. Para estas comunicaciones se
utiliza ExaBGP [20]. Para la implementación de
las políticas de filtrado anunciadas vía
FlowSpec y aquellas configuradas en forma
predeterminada, se utiliza el framework de
Netfilter[21].
Cuando un cliente activa la protección, el tráfico
de red anunciado es interceptado por los centros
de limpieza, donde se lo analiza y el tráfico
considerado malicioso se descarta.
 Terminadores GRE [22]. Deben ser instalados

en la red del cliente para recibir el tráfico limpio
Fig 2 : A alto nivel
desde los Scubbing Center.
Scrub UNLP no realiza la detección del ataque de

VIII DETALLES DE LA SOLUCION DDoS, sino que se concentra en facilitar las cuestiones
relativas a la protección de la infraestructura. Sin
El origen de la solución tiene lugar en el ámbito embargo, es posible utilizar la modalidad “always-on” en
académico, como resultado de un trabajo final a partir de la cual la red anunciada está protegida en forma
un seminario de postgrado relacionado con la temática, permanente por los centros de limpieza de tráfico, donde
dictado por algunos de los autores de este trabajo y hay reglas de filtrado preestablecidas que mitigan los
realizado por alumnos que actualmente forman parte del ataques más conocidos.
staff del CSIRT académico de la UNLP: CERTUNLP10.
Para que el servicio sea efectivo, es deseable contar
Scrub UNLP es una solución de scrubbing center con infraestructura en diferentes locaciones para poder
gestionado a través de una plataforma web para que los instalar los Scrubbing Center. Para ello se propone contar
usuarios puedan activar los servicios de limpieza de con:
tráfico.
 Un servidor físico o virtual en Internet con
Los componentes de Scrub UNLP son: peering BGP a un proveedor local
 Un servidor físico o virtual en los IXPs con
 Interfaz web para la gestión de los peering BGP a la red del IXP.
requerimientos.  Un servidor físico o virtual en los backbone de
Esta interfaz desarrollada íntegramente en el RIU, Red Clara, InnovaRed con peering BGP al
framework Django, permite que el usuario ruteo de dicha red.
pueda indicar qué bloques IP de su organización
están siendo atacados. Esos bloques, son La herramienta fue pensada y diseñada para que que
anunciados a los centros de limpieza de tráfico una instancia de instalación sea utilizada por más de una
utilizando el protocolo BGP. Los centros de organización a la vez, permitiendo definir roles y perfiles
limpieza de tráfico, publicarán el bloque a que limitan el alcance de las acciones de los usuarios,
proteger preservando el ASN de origen, lo que principalmente lo relativo a los bloques IP que pueden
garantiza que la solución no genere anunciar en los Scrubbing Center configurados.
inconvenientes si se validan los anuncios de
prefijos con RPKI [18].
10
CERTUNLP – http://www.cert.unlp.edu.ar
211
IX RESULTADOS OBTENIDOS Y ESPERADOS ort_Q1_2017_EN.pdf

[2]https://pages.arbornetworks.com/rs/082-KNA-
La solución que se pretende implementar con el apoyo 087/images/12th_Worldwide_Infrastructure_Security_Report.pdf

de Scrub UNLP fue presentada en varios eventos [3]https://www.cert.br/docs/whitepapers/ddos/
nacionales y regionales, en el ámbito de ARNOG 11y [4]BCP38
LACNIC12. [5]https://www.cabase.org.ar/argentina-es-el-segundo-pais-de-la-
region-con-mas-centros-de-interconexion-a-internet/
Se espera que la misma pueda ser implementada en
[6]http://www.redclara.net/index.php/red-y-conectividad/redes-
breve en las redes académicas, tanto de Argentina como
en Latinoamérica, con el fin de mejorar la seguridad de avanzadas-en-el-mundo
estas redes de la región. [7]https://dyn.com/blog/dyn-analysis-summary-of-friday-october-21-
attack/
[8]http://www.internetsociety.org/sites/default/files/ISOC-PolicyBrief-
X TRABAJOS FUTUROS IXPs-20151030-es.pdf
[9]6https://www.riu.edu.ar/topologia.html
En una etapa posterior en el ciclo de desarrollo de [10]7https://www.redclara.net/index.php/en/noticias-y-
Scrub UNLP, se pretende agregar funcionalidad adicional
eventos/noticias/destacados/3348-redclara-quadrupled-the-capacity-of-
al sistema que permita mitigar algunos ataques de DDoS
its-backbone
conocidos en forma automática. Para llevar a cabo dicha
funcionalidad, se ha pensado en implementar: [11]https://www.arbornetworks.com/insight-into-the-global-threat-
landscape
 Filtros predeterminados para comunicaciones de [12]https://tools.ietf.org/html/rfc4271
servicios que no deberían estar expuestos: [13]https://serverius.net/2017/02/06/ddos-protection-comparison/
SSDP, Chargen, PortMapper, NetBIOS [14]https://www.sans.org/reading-room/whitepapers/analyst/ddos-
(Implementado en abril de 2017)
attacks-advancing-enduring-survey-34700
 Filtros en función de la cantidad de paquetes
enviados por IP de origen. El objetivo es filtrar [15]https://www.euro-ix.net/m/uploads/2015/10/26/e-TK-20151025-
solamente al que abusa de un servicio y no el Euro-IX_Status_Blackhole_BGP_Community.pdf
servicio de manera completa. (Implementado en [16]https://noc.net.internet2.edu/i2network/maps-
mayo de 2017) documentation/documentation/bgp-communities/bgp-communities.html
 Filtros en función del tamaño de los paquetes. [17]https://tools.ietf.org/html/rfc5575
 Filtros personalizados por cliente: La
[18]https://tools.ietf.org/html/rfc6480
herramienta debe permitir el uso o no de
[19] http://www.nongnu.org/quagga
distintos conjuntos de filtros.
 Integración con feeds externos: Bogons, [20]https://github.com/Exa-Networks/exabgp
DROPLIST [21]0https://www.netfilter.org/
 Implementación de centros de limpieza de [22]https://tools.ietf.org/html/rfc1701
tráfico utilizando otros firewalls y dispositivos
que procesen FlowSpec.
AGRADECIMIENTOS Sabolansky, Alejandro, Licenciado en

Informática, investigador del Laboratorio
en Investigación en nuevas Tecnologías
Los autores del paper quieren agradecer a miembros del Informáticas (LINTI), perteneciente a la
CERTUNLP, Cristian Barbaro, Gastón Bezzi, Mateo Durante y Facultad de Informática de la UNLP. Profesor Adjunto
Damián Rubio, por hacer realidad una idea diseñada en el en las materias Redes y comunicaciones y Redes y
seminario de Seguridad en Ruteo dictado en diciembre de 2016. servicios avanzados en Internet de las carreras de grado
de la casa de estudios. Profesor de la materia Seguridad y
Privacidad en Redes de la Maestría en Redes de Datos y
REFERENCIAS del seminario Seguridad en ruteo.
[1]https://www.nexusguard.com/hubfs/Nexusguard_DDoS_Threat_Rep Macia, Nicolás, Licenciado en Informática,

investigador del Laboratorio en
11
Investigación en nuevas Tecnologías
ARNOG: http://www.arnog.com.ar/AGENDA-Arnog.pdf Informáticas (LINTI), perteneciente a la
12
LACNIC 27: http://www.lacnic.net/web/eventos/lacnic27
212
Facultad de Informática de la UNLP. Profesor Adjunto

en las materias Introducción a los Sistemas Operativos y
Redes y servicios avanzados en Internet de las carreras de
grado de la casa de estudios. Profesor de la materia
Seguridad y Privacidad en Redes de la Maestría en Redes
de Datos y del seminario Seguridad en ruteo.
Venosa Paula, Licenciada en Informática,

investigadora del Laboratorio en
Informáticas (LINTI), de la Facultad de
Informática de la UNLP. Profesora Adjunta en las
materias Redes y Comunicaciones, y Seguridad y
Privacidad en Redes de las carreras de grado de la casa
de estudios. Profesora de la materia Seguridad y
Privacidad en Redes de la Maestría en Redes de Datos.
Lanfranco, Einar, Licenciado en

Informática, investigador del Laboratorio en
Informáticas (LINTI), perteneciente a la
Facultad de Informática de la UNLP. Director de Redes y
Comunicaciones Informáticas de la Facultad de
Informática de la UNLP. Profesor Adjunto en las
materias Introducción a la Forensia Digital y Desarrollo
Seguro de Aplicaciones de las carreras de grado de la
casa de estudios. Profesor de la materia Seguridad y
Díaz Francisco Javier, Licenciado en

Matemática, Director del Laboratorio en
Informáticas (LINTI), perteneciente a la Facultad de
materias Redes y comunicaciones y Redes y servicios
avanzados en Internet de las carreras de grado de la casa
de estudios. Profesor de la materia Seguridad y
Privacidad en Redes de la Maestría en Redes de Datos y
del seminario Seguridad en ruteo.
213
Proceso para Generación de Análisis de Riesgo de Bajo

Coste Utilizando los Patrones Reutilizables de MARISMA
L. E. Sánchez, A. Santos-Olmo, S. Camacho, I. Caballero, E. Fernandez-Medina
Abstract – The information society is increasingly dependent preocupen de proteger sus datos. De esta forma, las empresas
on Information Systems Security Management (ISMS) and ya han tomado conciencia de que la información y los
knowledge of the security risks associated with the value of its procesos que apoyan los sistemas y las redes son sus activos
assets. However, very few risk analysis methodologies have been
más importantes [6, 7]. Estos activos están sometidos a riesgos
produced so as to create systems with which to analyze risks in a
rapid and economical manner and which can, in turn, leave this de una gran variedad, que pueden afectar de forma crítica a la
system dynamically updated. This paper presents the "generation empresa. Así, la importancia de la seguridad en los sistemas
of analysis and risk treatment plan" process of the MARISMA de información viene avalada por numerosos trabajos [9-16],
methodology. This process allows a reusable and low cost risk por citar sólo algunos.
analysis to be obtained. The objective of MARISMA is to carry Algunos autores [17, 18] sugieren la realización de un
out a simplified and dynamic risk analysis that will be valid for
análisis de riesgos como parte fundamental en las PYMES, ya
all companies, including SMEs, and to provide solutions to the
problems identified during the application of the "Action que deben tener en cuenta que el valor y la sanción de los
Research" scientific method. This methodology is being directly datos robados o filtrados en una pequeña organización es el
applied to real cases, thus allowing a constant improvement to be mismo que para una grande, y por tanto debe tener controlado
made to its processes. el valor y los riesgos a los que esos activos están sometidos
 [19].
Index Terms — Cibersecurity, Information Systems Security Estudios centrados en la evaluación de riesgos [20-22],
Management, ISMS, Risk Analysis, SME, ISO27001, ISO27002, realizados sobre organizaciones en Europa y los EE.UU
ISO27005, Magerit. revelan que las PYMES se caracterizan por la falta de la
dedicación necesaria a la seguridad de TI, debido
I. INTRODUCCIÓN principalmente a la asignación de responsabilidades a personal
Estudios realizados han demostrado que para que las sin la debida formación. Asimismo, la mayoría de las
empresas puedan utilizar las tecnologías de la información y organizaciones carecen de políticas de seguridad y sistemas de
las comunicaciones con garantías es necesario disponer de evaluación del riesgo, llegando al caso en que el 73% de los
guías, métricas y herramientas que les permitan conocer en encuestados de PYMES de UK dijo realizar en su casa la
cada momento su nivel de seguridad y las vulnerabilidades evaluación de riesgos. Menos del 10% de los encuestados
que aún no han sido cubiertas [1-3]. El problema de conocer afirmó usar una herramienta de análisis de riesgos, y ninguno
los riesgos a los que están sometidos sus principales activos se utilizó una guía de referencia como podía ser la
acentúa especialmente en el caso de las pequeñas y medianas ISO/IEC27001:2013 [23]. Esto, junto con la escasa proporción
empresas, que cuentan con la limitación adicional de no tener de organizaciones que realmente emplea especialistas en
recursos humanos y económicos suficientes para realizar una seguridad, plantea dudas sobre la manera exhaustiva o eficaz
adecuada gestión [4, 5]. en que pueden haberse realizado dichos análisis.
Pero con la llegada de Internet, para las empresas es cada Al analizar las causas por las que no se había realizado el
vez más crítico implantar controles de seguridad que les análisis de riesgos se llegó a la conclusión de que dado que el
permitan conocer y controlar los riesgos a los que pueden estar análisis de riesgos es a menudo complejo y requiere
sometidas [6-8]. Gran parte de este cambio de mentalidad en conocimientos especializados [24], y que una evaluación de la
las empresas tiene su origen en el cambio social producido por situación actual requiere de herramientas de análisis de riesgos
Internet y la rapidez en el intercambio de información, que ha [25] comerciales, las cuales no son fáciles de usar sin
dado lugar a que las empresas empiecen a tomar conciencia conocimientos técnicos adecuados, es evidente que muchas
del valor que tiene la información para sus organizaciones y se PYMES no están preparadas para evaluarse los riesgos a sí
mismas. Aunque algunas PYMES ya habían tomado la

L. E. Sánchez, Universidad de Castilla-la Mancha (UCLM), España y determinación de externalizar dicho servicio, en general la
Universidad de las Fuerzas Armadas (ESPE), Proyecto Prometeo de la mayoría no había realizado dicha evaluación por la falta de
SENESCYT, Ecuador, Luisenrique@sanchezcrespo.org concienciación de su importancia.
A. Santos-Olmo, Departamento I+D+i, Sicaman Nuevas Tecnologías,
Tomelloso (Ciudad Real), España, Asolmo@sicaman-nt.com Sneza realiza un estudio sobre las PYMES considerando
S. Camacho, Universidad Técnica Ambato, Ecuador, los resultados del análisis de riesgos como clave para
saracamachoestrada1@yahoo.es garantizar que las políticas y procedimientos son realmente
I. Caballero, Grupo de Investigación Alarcos, Universidad de Castilla-la
Mancha, Ciudad Real España, Ismael.Caballero@uclm.es necesarios, llegando a la conclusión de que las PYMES deben
E. Fernandez-Medina, Grupo de Investigación GSyA, Universidad de guiarse por el riesgo de pérdidas de activos derivado del
Castilla-la Mancha, Ciudad Real, España, Eduardo.FdezMedina@uclm.es análisis de riesgos. Se debe persuadir a los propietarios de las
214
PYMES de emprender un escenario formal basado en el del riesgo podemos destacar MAGERIT v3 [33], OCTAVE
análisis de riesgos y la protección de los activos de [34] o CRAMM [35]. A pesar de ello, la gestión de la
información. Los recientes hallazgos de la seguridad de la seguridad no puede limitarse al análisis y la gestión del riesgo
información han puesto de manifiesto una fuerte correlación [36], sino que además de identificar y eliminar riesgos se ha
entre el proceso formal de evaluación de riesgos y los gastos de realizar de manera eficiente, obteniendo la compañía
de la seguridad de la información [26]. grandes ahorros de costes como consecuencia directa de una
Las principales conclusiones obtenidas es que los modelos mejor gestión de la seguridad [37]. Gracias al análisis de
de análisis y gestión del riesgo son fundamentales para los riesgos se podrán identificar los activos y conocer el nivel de
SGSIs (Sistemas de Gestión de Seguridad de la Información), seguridad que se debe aplicar. Los expertos también han
pero no existen metodologías que se adecuen al caso de las propuesto recientemente realizar un análisis de riesgos para
PYMES, y las existentes se muestran ineficientes. poder alinear las estrategias de la empresa y de la seguridad
Por lo tanto, y considerando que las PYMES representan [38], ya que esto hace que la empresa pase de tomar una
una gran mayoría de empresas tanto a nivel nacional como posición reactiva ante la seguridad a una proactiva.
internacional y son muy importantes para el tejido empresarial Por otro lado, algunos de los principales estándares de
de cualquier país, creemos que avanzar en la investigación gestión de la seguridad, han intentado incorporar dentro de sus
para mejorar los procesos de análisis y gestión del riesgo para procesos el análisis y la gestión del riesgo:
este tipo de empresas puede generar importantes aportaciones.  ISO/IEC27005 [39]: Establece las directrices para
Esto puede contribuir a mejorar no sólo la seguridad de las la gestión del riesgo en la seguridad de la
PYMES, sino también su nivel de competitividad. Por este información. Apoya los conceptos generales
motivo, a los largo de los últimos años hemos trabajado en especificados en la norma ISO/IEC27001 [23] y
elaborar un proceso simplificado que permita analizar y está diseñada para ayudar a la aplicación
gestionar el riesgo de seguridad en las PYMES [27-29], y satisfactoria de la seguridad de la información
además hemos construido una herramienta que automatiza basada en un enfoque de gestión de riesgos.
completamente la metodología [30], y lo hemos aplicado en  ISO/IEC21827/SSE–CMM [40, 41]: El modelo de
casos reales [31], lo que nos ha permitido validar tanto la capacidad y madurez en la ingeniería de seguridad
metodología como la herramienta. de sistemas describe las características esenciales
Toda la metodología de Análisis de Riesgos desarrollada, y de los procesos que deben existir en una
en especial las partes relacionadas con los controles, han sido organización para asegurar una buena seguridad.
aplicadas sobre la norma ISO/IEC27001 y en especial sobre el  ISO/IEC 15443 [42, 43]: Clasifica los métodos
Anexo A de ésta, que define los controles que deben existentes dependiendo del nivel de seguridad y de
cumplirse. Por lo tanto, y aunque esta metodología nace para la fase del aseguramiento.
poder extenderse a otros estándares internacionales,
 ISO/IEC2000/ITIL [44, 45]: ITIL ofrece un
actualmente sólo se ha validado su funcionamiento sobre el
elemento para una correcta gestión de riesgos: el
estándar internacional de la ISO/IEC27001.
conocimiento actualizado y detallado de todos los
El artículo continúa en la Sección 2 describiendo activos de la organización y de las relaciones,
brevemente las metodologías y modelos para el análisis y la pesos y dependencias entre ellos.
gestión del riesgo de la seguridad y su tendencia actual. En la
Sección 3 se introduce nuestra propuesta para el proceso de  COBIT [46]: Es una metodología para el adecuado
generación de análisis y tratamiento del riesgo utilizando control de los proyectos de tecnología, los flujos
de información y los riesgos que implica la falta de
MARISMA. Finalmente, en la Sección 4 concluimos
controles adecuados.
indicando cuál será el trabajo que desarrollaremos en el futuro.
El principal problema de estos procesos es su complejidad
II. ESTADO DEL ARTE para aplicarlos en el caso de las PYMES, ya que han sido
concebidos para grandes empresas [47-50]. Se justifica en
Con el propósito de reducir las carencias mostradas en el
repetidas ocasiones que la aplicación de este tipo de procesos
apartado anterior y reducir las pérdidas que éstas ocasionan,
para las PYMES es difícil y costosa. Además, las
han aparecido un gran número de procesos, marcos de trabajo
organizaciones, incluso las grandes, tienden más a adoptar
y métodos para la gestión del riesgo cuya necesidad de uso
grupos de procesos relacionados como un conjunto que a tratar
para proteger de forma eficaz los activos de una compañía está
los procesos de forma independiente [51].
siendo cada vez más reconocida y considerada por las
Por lo tanto, y como conclusión de este apartado, se puede
organizaciones, pero son ineficientes para las PYMES.
decir que es pertinente y oportuno abordar el problema de
En relación con los estándares más destacados se ha
desarrollar un nuevo proceso para el análisis y gestión del
podido constatar que la mayor parte de ellos han intentado
riesgo de la seguridad para los sistemas de información en las
incorporar procesos para el análisis y la gestión del riesgo,
PYMES, así como una herramienta que soporte este proceso,
pero que son muy difíciles de implementar y requieren una
tomando como base la problemática a que este tipo de
inversión demasiado alta que la mayoría de las PYMES no
compañías se enfrenta y que ha llevado a continuos fracasos
pueden asumir [32].
en los intentos de implantación hasta el momento.
Entre las principales propuestas para el análisis y gestión
215
III. METODOLOGÍA MARISMA un esquema (estructura generada mediante el subproceso

Para solucionar los problemas detectados en el análisis y GEAR) válido para un conjunto de compañías, realizando este
gestión del riesgo, se ha realizado un proceso orientado a las proceso con un reducido coste.
PYMES y enfocado a reducir los costes de generación y Es importante mencionar que este subproceso ha sido
mantenimiento del proceso de análisis y gestión del riesgo desarrollado para que, a partir de un conjunto mínimo de
denominado GAGR. Este proceso se ha obtenido mediante la información de la compañía (organigrama, lista de usuarios
aplicación del método de investigación en acción y se ha del sistema de información, roles, listas de verificación y lista
enmarcado dentro de una metodología (MARISMA) que de activos), se pueda generar una serie de documentos (nivel
acomete todos los aspectos relacionados con la gestión de la de seguridad actual, nivel de seguridad recomendable, matriz
seguridad [52, 53], y bajo la premisa de que cualquier sistemas de riesgos, plan de mejora, elementos de un SGSI) que dejen
de Análisis de Riesgos valido para las PYMES también será el sistema de gestión completamente definido y funcional.
extrapolable a grandes compañías. El objetivo de este proceso En la Figura 1 se puede ver el esquema básico de entradas,
es el de generar un análisis de riesgos de bajo coste mediante actividades y salidas que componen este subproceso:
la utilización de patrones reutilizables.  Entradas: Como entradas se recibirá un esquema de
Mediante la metodología MARISMA, podemos asociar el los existentes en el repositorio de esquemas, que se
análisis y la gestión del riesgo a los controles necesarios para adecue a las características de la compañía sobre la
la gestión de la seguridad y consta de tres procesos muy que se quiere generar el SGSI, así como información
importantes: de la empresa de tipo técnico y empresarial.
 Proceso 1 – Generación de Esquemas para el Análisis  Actividades: El subproceso estará formado por cuatro
de Riesgos (GEAR -o GEGS: Generación de actividades. Las actividades A2.2 y A2.3 no podrán
Esquemas para Gestión de Seguridad-): Se establece realizarse hasta la finalización de la A2.1 ya que
una estructura de relaciones entre los diferentes requieren de elementos generados por ésta para su
elementos involucrados en el análisis del riesgo y los correcto funcionamiento. La actividad A2.4 depende
controles necesarios para gestionar la seguridad. Estas de elementos generados por las actividades A2.2 y
relaciones se establecen mediante el conocimiento A2.3, por lo que tendrá que esperar a la finalización.
adquirido en las diferentes implantaciones, que es  Salidas: La salida producida por este subproceso
almacenado en una estructura denominada esquema consistirá en un conjunto de elementos seleccionados
para ser reutilizado con posterioridad, reduciendo los a partir del esquema y de la información introducida,
costes de generación de este proceso [54]. así como un conjunto de informes con información
 Proceso 2 – Generación del Análisis y Gestión del sobre el estado actual de la compañía y las medidas
Riesgo (GAGR -o GSGS: Generación del Sistema de que se tendrán que tomar para mejorar el nivel de
Gestión de Seguridad-): Mediante la selección del gestión de la seguridad.
esquema más adecuado y la identificación de un
pequeño conjunto de los principales activos se obtiene Entradas Actividades Salidas
un detallado mapa de la situación actual (análisis del

riesgo) y un plan de recomendaciones de cómo GSGS
Esquema SGSI
mejorarlo (gestión del riesgo). A2.2
 Proceso 3 – Mantenimiento Dinámico del Análisis de Información

A2.1 A2.4
A2.3 Conocimiento
empresa
Riesgos (MDAR -o MSGS: Mantenimiento del Sistema
de Gestión de Seguridad-): Mediante la utilización de Figura 1. Esquema simplificado a nivel de actividad del subproceso GAGR.
las matrices generadas, las cuáles interconectan los
diferentes artefactos, el sistema irá recalculando el
El generador de SGSIs se puede considerar una importante
análisis de riesgos según se produzcan incidentes de aportación de la metodología desarrollada, ya que permite
seguridad, fallen las métricas definidas o los auditores
generar los elementos que componen el SGSI con un coste
detecten “no conformidades” en los controles.
muy reducido.
En la Figura 2 se muestran las actividades del subproceso
En este artículo nos centramos en el segundo de los
de forma mucho más detallada, viendo cómo interactúan éstas
procesos que tiene por objetivo la generación del análisis de con el repositorio de SGSIs encargado de contener los
riesgos propiamente dicho y de un plan de tratamiento de
elementos que conforman los diferentes SGSIs generados:
riesgos automatizado que permita generar y mantener análisis
 A2.1 – Establecimiento del marco inicial de trabajo:
de riesgos de bajo coste.
Esta actividad se ocupa de tareas básicas pero
necesarias para crear un marco de trabajo inicial entre
IV. GAGR. PROCESO DE GENERACIÓN DE ANÁLISIS DE
el consultor de seguridad (CoS) encargado de la
RIESGOS CON MARISMA
generación del SGSI y la compañía objetivo del
El principal objetivo de este subproceso es permitir la mismo. Las tareas incluidas en esta actividad son: i)
generación de los elementos que formarán el sistema de nombramiento de un interlocutor válido; ii) análisis
gestión de la seguridad (SGSI) para una compañía, a partir de
216
del organigrama de la compañía; iii) adaptación de la  Incorporación de un conjunto de información básica y

lista de usuarios del sistema de información y los roles precisa de la compañía, que permita establecer un
desempeñados por cada uno de ellos al SGSI. punto de seguridad inicial, un punto de seguridad
 A2.2 – Establecimiento del nivel de madurez: Esta deseado y la estructura necesaria para evolucionar la
actividad se ocupa de establecer el punto inicial en que gestión de la seguridad.
se encuentra la compañía con respecto a la gestión de  Selección del esquema adecuado para el tipo de
la seguridad (nivel de madurez actual) y el punto que compañía.
sería deseable que la compañía alcanzara (nivel de  Simplicidad del proceso y eficiencia en recursos,
madurez deseable). principalmente en coste y tiempo.
 A2.3 – Realización del análisis de riesgos: Esta
actividad permite identificar los activos de la
B. Entrada y salida.
compañía y obtener una evaluación del riesgo al que
están sometidos estos activos, así como un plan de La generación de esquemas es un subproceso cuyas
mejora recomendando en qué controles debe la entradas se componen de:
compañía volcar sus esfuerzos para mejorar de la  Un esquema base seleccionado del repositorio de
forma más eficiente el nivel de seguridad. esquemas: Este esquema permitirá generar un SGSI
 A2.4– Generación del SGSI: Esta actividad tiene adecuado para la compañía con un coste muy
como objetivo generar los elementos que formarán el reducido.
SGSI de la compañía a partir del esquema  Interlocutor (Int) para la compañía: Será el
seleccionado y de toda la información recogida en las interlocutor nombrado por la alta dirección para
actividades anteriores. aportar toda la documentación al consultor de
seguridad (CoS) a lo largo del proceso de generación
del SGSI.
Información
Esquema
Empresa  Información básica de la empresa: La metodología
desarrollada requiere sólo del organigrama de la
compañía y de la lista de usuarios del sistema de
sP2 – GSGS Entrada
información con los roles que desempeñan dentro del
Entregable
A2.1
Actividad
sistema.
 Entrevista de información empresarial: Lista de
Establecimiento del marco de trabajo del SGSI
Repositorio de Repositorio
Esquemas Int, Org, lUxR
Flujo Información respuestas sobre información empresarial de la
Flujo Proceso
Int, Org, lUxR compañía, que se utilizará para determinar el máximo
Check-list A2.2
Establecimiento del nivel de madurez al que debe aspirar la compañía, para
Nivel de Madurez
Resultados
Check-list
evitar el sobredimensionamiento del sistema de
InfEmp, InfTec, InfNM y N. Madurez
gestión de seguridad.
Artefactos
A. Riesgos A2.3
Realización del  Entrevista de información técnica: Lista de respuestas
Análisis de Riesgos
InfAct, InfMR, InfPM

Lista Activos
Resultado
sobre el estado del sistema de información con
Artefactos
Generación SGSI
A. Riesgos
respecto a la seguridad, para determinar el estado
actual de la seguridad del mismo.
A2.4
Generación del SGSI
Artefactos
del SGSI
Repositorio de
SGSIs
 Lista de activos del sistema de información: Listado
InfSGSI de activos del sistema de información de la compañía,
intentando agrupar los activos en los menores grupos
posibles para reducir los costes de generación y
SGSI
gestión del análisis de riesgos.
Figura 2. Esquema detallado a nivel de actividad del proceso GAGR.
Mediante estas entradas, el conocimiento en materia de
gestión de la seguridad aportado por el consultor de seguridad
Al contrario que en el subproceso GEAR, aquí la (CoS) y el conocimiento que tiene el interlocutor (Int) sobre la
información generada, además de almacenarse en el compañía, se generará la estructura del SGSI, que se
repositorio de esquemas, genera documentos entregables para almacenará en el repositorio de SGSIs y que estará formada
que el consultor de seguridad (Cos) y el interlocutor (Int) por los siguientes elementos:
puedan analizar y validar los resultados obtenidos.  Tabla de usuarios del sistema de información y roles
asociados (lUxR): A partir de la lista de usuarios y
roles facilitada por el interlocutor (Int), el consultor de
A. Objetivos.
seguridad (CoS) generará una tabla que permita
Los principales objetivos que se han perseguido durante el asociar los usuarios del sistema de información con
desarrollo de las actividades que conforman este subproceso los roles del esquema seleccionado.
han sido:  Organigrama de la compañía (Org): En condiciones
217
normales este organigrama será idéntico al C. Actores.

organigrama de entrada, pero puede sufrir En la Tabla 1 se muestra en qué actividades y tareas tendrá
modificaciones para adaptarlos al SGSI, por lo que que intervenir cada uno de los tipos de actores definidos en la
también se puede considerar una salida del sistema. metodología. En la actividad actual participarán los siguientes
 Informe empresarial (InfEmp): Estará formado por las tipos de actores: consultor de seguridad (CoS) y el interlocutor
respuestas que el interlocutor ha dado a las preguntas designado por la compañía (Int).
de carácter empresarial realizadas por el consultor de
seguridad (CoS) y a los comentarios introducidos por
este último para clarificarlas. D. Actividades.
 Informe técnico (InfTec): Estará formado por las A continuación se describirán en detalle las entradas,
respuestas que el interlocutor ha dado a las preguntas salidas, relaciones y objetivos de cada una de las diferentes
de carácter técnico realizadas por el consultor de actividades y tareas que componen el subproceso GAGR de la
seguridad (CoS) y a los comentarios introducidos por metodología MARISMA.
este último para clarificarlas.
 Informe nivel de madurez (InfNM): Informe con las D.1. Actividad A2.1: Establecimiento del marco de trabajo
conclusiones del consultor de seguridad (CoS) con del SGSI.
respecto a los resultados obtenidos de las dos listas de
El principal objetivo de esta actividad es crear un marco de
verificación realizadas y el NMA y NMR de la
trabajo inicial entre el consultor de seguridad (CoS) encargado
compañía en el momento actual.
de la generación del SGSI y el cliente (Cl). En la Figura 3 se
 Informe de activos (InfAct): Listado de los activos del puede ver el esquema básico de entradas, tareas y salidas que
sistema de información detectados y sus valoraciones. componen esta actividad:
 Informe de matriz de riesgos (InfMR): Informe sobre  Entradas: Como entradas se recibirá: i) un esquema de
los riesgos existentes sobre los activos con respectos a los existentes en el repositorio de esquemas, que será
todos los artefactos involucrados en el análisis. seleccionado por el consultor de seguridad (CoS) en
 Informe del plan de mejora (InfPM): Informe base a las características de la compañía (sector y
detallado sobre los pasos que debe realizar la tamaño de la misma); ii) información de la compañía
compañía para aumentar de la forma más eficiente en la que se quiere implantar el SGSI.
posible su nivel de gestión de seguridad.  Tareas: El subproceso estará formado por tres tareas
 Informe de artefactos que componen el SGSI dependientes unas de otras. Estas tareas son: i)
(InfSGSI): Listado de todos los elementos que solicitud del interlocutor válido; ii) solicitud del
compondrán el SGSI (reglamentos, procedimientos, organigrama de la compañía; y iii) obtención de la
controles, etc) generado por el sistema. lista de usuarios del sistema de información y sus
Todo este conjunto de elementos, necesarios para poder roles.
generar el SGSI, son incluidos por una parte en el repositorio  Salidas: La salida producida por este subproceso
de SGSIs, y por otra parte se convierten en entregables que consistirá en una serie de entregables (notificación de
serán evaluados por el consultor de seguridad (CoS) y el la dirección del interlocutor válido de la compañía,
interlocutor de la compañía (Int). organigrama de la compañía, matriz de usuarios del
sistema de información y roles que desempeñarán
Tabla 1. Intervención de los actores en el proceso GAGR dentro del SGSI) para que el consultor de seguridad
MARISMA (CoS) pueda analizarlos. La información contenida en
GAGR estos entregables será almacenada en el repositorio de
A2.1: Establecimiento del marco de trabajo del SGSI.
SGSIs para que posteriormente pueda utilizarse en la
generación de los elementos que componen el SGSI
T2.1.1 T2.1.2 T2.1.3 de la compañía.
CoS, Int CoS, Int CoS, Int
A2.2: Establecimiento del nivel de madurez. Entradas Tareas Salidas
T2.2.1 T2.2.2 T2.2.3

Esquema GSGS – A2.1 Int, Org, lUxR
CoS, Int CoS, Int CoS
T2.1.1 T2.1.2 T2.1.3 1ª Parte
A2.3: Realización del análisis de riesgos. Información
Inf. SGSI
empresa Repositorio de
T2.3.1 T2.3.2 SGSIs
CoS, Int CoS Figura 3. Esquema simplificado a nivel de tarea de la actividad A2.1.
A2.4: Generación del SGSI.
T2.4.1 T2.4.2 En la Figura 4 se muestran las tareas de la actividad de
CoS CoS, Int
forma mucho más detallada, viendo cómo interactúan éstas
con el repositorio de SGSIs encargado de contener los
218
elementos que conforman los SGSIs. Cada tarea generará un que poseer tanto conocimiento técnicos como
entregable para su análisis por parte del consultor de seguridad conocimientos empresariales.
(CoS) y almacenará la información para que sea utilizada en  Tarea T2.1.2 – Solicitud del organigrama de la
actividades posteriores (actividad A2.4). compañía: La tarea T2.1.2 se ocupa de la obtención
del organigrama de la compañía, con el objetivo de
centrar el marco de trabajo, delimitando el alcance del
Lista de
Usuarios al S.I
Organigrama Interlocutor Esquema SGSI y determinando la complejidad de la empresa.
En esta tarea el consultor de seguridad (CoS) deberá
analizar el organigrama de la compañía para poder
Entrada determinar la parte que afecta al sistema de
sP2 – GSGS – A2.1
Entregable información y cómo adaptar el SGSI a dicha
T2.1.1 estructura. Es normal en las PYMES que muchas
Tarea
Solicitud del Interlocutor valido
Int:
Interlocutor Repositorio empresas no tengan totalmente claro el organigrama
Int
Org:
Flujo Información de la misma, por lo que el consultor de seguridad
Organigrama Flujo Proceso (CoS) puede realizar una labor previa de
T2.1.2 establecimiento o clarificación de los diferentes
Solicitud del Organigrama de la compañía
departamentos.
Org
Repositorio de  Tarea T2.1.3 – Obtención de la lista de usuarios del
SGSIs
S.I. y roles: La tarea T2.1.3 consiste en solicitar al
T2.1.3
lUxR:
interlocutor (Int) la lista de trabajadores de la
Obtención de la lista de usuarios al S.I. y roles
Lista de UsuariosxRoles
compañía que tienen acceso al sistema de información
InflUxR
de la misma y los roles que desempeñan dentro de la
empresa, con el objetivo de determinar cuáles de ellos
están asociados al sistema de información de la
compañía y correlacionarlos con los roles definidos
Int, Org, lUxR (durante la tarea T1.1.1) en el esquema seleccionado.
En las PYMES es habitual que los usuarios
Figura 4. Esquema detallado a nivel de tarea de la actividad A2.1. desempeñen varios roles a la vez, e incluso que un rol
sea desempeñado por varias personas. La metodología
A continuación describimos el objetivo de cada una de las MARISMA ha sido desarrollada pensando en este tipo
tareas: de configuraciones.
 Tarea T2.1.1 – Solicitud del interlocutor válido: Para
poder iniciar la actividad de generación del SGSI de la D.2. Actividad A2.2: Establecimiento del nivel de madurez.
compañía, se debe identificar al interlocutor (Int) que El principal objetivo de esta actividad es establecer el
acompañará al consultor de seguridad (Cos) durante punto inicial en que se encuentra la compañía con respecto a la
todo el proceso de consultoría y generación del SGSI, gestión de la seguridad (nivel de madurez actual) y el punto
para lo que se utilizará la tarea T2.1.1. El rol de que sería deseable que la compañía alcanzara (nivel de
interlocutor (Int) será ocupado por el director de madurez deseable). Para establecer estos niveles de seguridad
informática en el caso de que la compañía disponga de se realizarán dos entrevistas, mediante cuestionarios de
un departamento de informática, y en el caso de no valores limitados. En [55] se demostraron las ventajas de
existir dicho departamento este rol será asumido por la realizar entrevistas mediante cuestionarios que tienen pre–
persona más afín al sistema de información de la establecida una serie de preguntas con un número limitado de
compañía. Aunque a priori esta tarea puede parecer categorías de respuesta.
sencilla, es de gran importancia realizar una correcta En la Figura 5 se puede ver el esquema básico de entradas,
selección del interlocutor (Int) y negociar con la tareas y salidas que componen esta actividad:
dirección de la compañía que esta persona disponga  Entradas: Como entradas se recibirá: i) un esquema de
del tiempo necesario para garantizar que no se los existentes en el repositorio de esquemas, que será
produzcan retrasos en la elaboración del SGSI. Por seleccionado por el consultor de seguridad (CoS) en
otro lado esta persona hará de intermediador entre el base a las características de la compañía (sector y
consultor de seguridad (CoS) y todos los otros tamaño de la misma) del que se obtendrán los
miembros del sistema de información de la compañía, cuestionarios (uno empresarial y uno técnico) que se
por lo que es de vital importancia que cuente con el realizarán al cliente; ii) el interlocutor (Int) válido para
apoyo de la dirección de la misma. Por otro lado, el la compañía, el cual se encargará de responder los
interlocutor (Int) será la persona encargada de facilitar cuestionarios.
al consultor de seguridad (CoS) toda la información de  Tareas: El subproceso estará formado por tres tareas.
la compañía que éste requiera para el desarrollo y Estas tareas son: i) recogida de información
elaboración del subproceso GAGR, por lo que tendrá
219
empresarial; ii) recogida de información técnica del (CoS) y almacenará la información para que sea utilizada en
sistema de información; y iii) obtención del nivel de actividades posteriores (actividad A2.4).
madurez de la seguridad. Las Tareas T2.2.1 y T2.2.2 Mediante la definición de unas sencillas pero eficaces
son independientes y por tanto podrán ser realizadas características de la compañía se han establecido unas reglas
en paralelo, aunque al depender del interlocutor lo que permiten determinar el nivel de madurez actual de la
normal será procesarlas en serie. La Tarea T2.2.3 compañía y el que sería deseable que tuviera.
depende de los resultados anteriores y por tanto no Las tareas de esta actividad se apoyarán principalmente en
podrá acometerse hasta que no finalicen las anteriores. la parte segunda del esquema seleccionado, que se
 Salidas: La salida producida por este subproceso corresponde con los elementos generados durante la actividad
consistirá en una serie de entregables (informe A1.2 del subproceso GEAR.
empresarial, informe técnico y resultados del nivel de A continuación describimos el objetivo de cada una de las
madurez de la seguridad actual y deseable) para que el tareas:
consultor de seguridad (CoS) pueda analizarlos. La  Tarea T2.2.1 – Recogida de información empresarial:
información contenida en estos entregables será El objetivo de la tarea T2.2.1 es obtener información
almacenada en el repositorio de SGSIs para que empresarial de la compañía, mediante la realización de
posteriormente pueda utilizarse en la generación de los un sencillo cuestionario. Está información se utilizará
elementos que componen el SGSI de la compañía. para: i) seleccionar el esquema más adecuado para la
generación del SGSI; ii) determinar el nivel de
Entradas Tareas Salidas madurez deseable para la compañía, a partir de las
cuestiones sobre el tamaño y el sector al que pertenece
InfEmp, InfTec,
la empresa, coincidiendo con las técnicas planteadas
GSGS – A2.2
Esquema InfNM por [22]. Así mismo el sector al que pertenece la
T2.2.1
industria es un factor determinante en la puesta en
T2.2.3 2ª Parte
Int Inf. SGSI
Repositorio de
marcha de un SGSI [56, 57].
T2.2.2
SGSIs Esta tarea consiste en la realización de un
cuestionario empresarial al interlocutor (Int) de la
Figura 5. Esquema simplificado a nivel de tarea de la actividad A2.2.
compañía por parte del consultor de seguridad (CoS).
La metodología desarrollada se basa en utilizar un
conjunto de características intrínsecas a la compañía
para definir el nivel de madurez máximo al que la
Int Esquema
compañía debe evolucionar desde la situación actual.
Cada una de estas características o reglas de la
compañía tiene asociado un conjunto de valores que
permiten determinar el nivel de madurez deseable para
T2.2.1 InfEmp:
Recogida de Informe
Empresarial
la compañía. Estos valores de las reglas han sido
información Repositorio de
Check-list
empresarial SGSIs determinados a partir de la experiencia obtenida en las
InfTec:
InfEmp
Informe implantaciones de SGSIs, y han sido recalibrados
Técnico
gracias al método científico investigación–acción.
T2.2.2
Recogida de Para el esquema base desarrollado se ha obtenido un
Repositorio de información técnica
Esquemas conjunto reducido de las características que se han
InfTec
Nma y NMd:
Nivel de Madurez
considerado más destacables en las compañías: i)
Check-list
Actual y Deseable
Entrada número de empleados, ii) facturación anual, iii)
T2.2.3
Obtención del Entregable departamento de I+D+i, iv) número de empleados que
nivel de madurez
de la seguridad Tarea
utilizan el sistema de información, v) número de
Repositorio
InfNM personas asociadas directamente al departamento de
Flujo Información
Flujo Proceso
sistemas, vi) nivel de dependencia de la compañía del
outsourcing del sistema de información.
Se debe evitar que una compañía intente llegar a un
InfEmp, InfTec, InfNM
nivel de madurez que suponga el
sobredimensionamiento (utilizar más recursos de los
Figura 6. Esquema detallado a nivel de tarea de la actividad A2.2. necesarios, o distribuir la carga de forma errónea) en
la gestión de su sistema de seguridad, ya que esto
tendría consecuencias muy negativas para el conjunto
En la Figura 6 se muestran las tareas de la actividad de
del sistema porque supondría que la compañía
forma mucho más detallada, viendo cómo interactúan éstas
realizaría un sobre–esfuerzo que a medio plazo
derivaría en la retirada de recursos al no obtenerse los
elementos que conforman los SGSIs. Cada tarea generará un
resultados deseados, lo que aumentaría el riesgo de
entregable para su análisis por parte del consultor de seguridad
220
tener fallos graves en la gestión de la seguridad. restar peso a un valor se reducirá a 0.25 y para
 Tarea T2.2.2 – Recogida de información técnica del eliminarlo se establecerá un valor de 0. En caso de
S.I.: El objetivo de la tarea T2.2.2 es obtener querer darle mayor importancia se subirá a 0.75 y si el
información técnica de la compañía mediante la factor se considera fundamental para ese sector, se
realización de un detallado cuestionario. Esta puede subir el valor del peso a 1. Por ejemplo, en el
información se utilizará para: i) determinar el nivel de caso de una compañía de energías renovables el valor
cumplimiento de los controles de seguridad del SGSI; de su departamento de I+D+i es fundamental para su
ii) determinar el nivel de madurez actual de la evolución, por lo que el peso de este factor debe ser el
compañía. Esta tarea consiste en la realización de un máximo posible.
detallado cuestionario técnico al interlocutor (Int) de
la compañía por parte del consultor de seguridad Tabla 2. Pseudocódigo del algoritmo del nivel de madurez recomendado.
(CoS). Este último podrá incluir anotaciones a las
Algoritmo: Nivel de madurez deseable.
respuestas del interlocutor (Int), ya que al ser éstas de
Esquema = Se selecciona el esquema de trabajo.
tipo test para facilitar su respuesta, pueden requerir de
aclaraciones adicionales que el consultor de seguridad Empresa = Se selecciona la compañía sobre la que se realizará
(CoS) incluirá en el informe. el SGSI.
 Tarea T2.2.3 – Obtención del nivel de madurez de la SGSI = Se selecciona el SGSI para esa compañía.
seguridad: El objetivo de la tarea T2.2.3 es procesar Instancia del SGSI = Se selecciona la instancia concreta del
los datos obtenidos mediante cuestionarios en las SGSI.
tareas T2.2.1 y T2.2.2, utilizando para ello un
conjunto de ecuaciones, el algoritmo de nivel de 1º.– Se calcula el nivel de la compañía como la suma de la
madurez deseable (Tabla 2) y el algoritmo de nivel de valoración x peso de la reglas de madurez de la compañía,
madurez actual (Tabla 3). entre la valoración máxima a la que se puede acceder.
Para determinar el nivel de madurez deseable o 2º.– Se normaliza el resultado: Nivel1 = 0.00 a 0.25; Nivel2 =
recomendado de la compañía se utiliza la Ecuación 1. 0.25 a 0.75; Nivel3 = 0.75 a 1.00
Los distintos elementos de esta expresión son los
siguientes: i) Factores: Los factores representan un
Una vez determinado el nivel de madurez deseable
conjunto de parámetros que se han seleccionado y que
para la compañía, se determinará el nivel de madurez
afectan a la hora de determinar el nivel de madurez de
actual de la misma.
gestión de la seguridad adecuado para la compañía; ii)
PesoFactor: Es un parámetro corrector que permite
NSCn = Σ(VS)/ NSn
controlar las desviaciones que pueden producir las
características de compañías pertenecientes a ciertos  NSCn: Nivel de cumplimiento de seguridad de un control para
sectores y que se calibra en el esquema según la un nivel dado.
experiencia del grupo de expertos del dominio (GED).  VS: Valor del subcontrol.
Ej.: en el caso de compañías tecnológicas permite  NSn: Número de subcontroles para un control y para un nivel
aumentar el peso del factor “nº de personas asociadas dado.
al S.I”. Ecuación.2. Nivel de cumplimiento de la seguridad de un control para un
nivel.
NRM=Σ(PesoFactor*(ValoraciónFactor/ValorMáximoFactor))/ Para determinar el nivel de madurez actual de la
Σ(PesoFactor) compañía se determinará primero el nivel de
 Si el resultado está entre 0 – 0.25 se debe aplicar sólo el nivel1 cumplimiento de un control. Este nivel de
de madurez. cumplimiento se puede establecer para cada nivel de
 Si el resultado está entre 0.25 – 0.75 se debe aplicar hasta el madurez (Ecuación 2) o para todos los controles que
nivel2 de madurez. componen el SGSI (Ecuación 3). Una vez establecido
 Si el resultado está entre 0.75 – 1 se debe aplicar hasta el el nivel de cumplimiento de seguridad de cada control,
nivel3 de madurez. se puede establecer el nivel de cumplimiento a nivel
Ecuación 1. Nivel de madurez recomendado. de empresa para cada nivel de madurez (Ecuación 4) o
para toda la empresa (Ecuación 5).
Cada sector de los definidos tiene asociada una NSC = Σ(NSn)/ NNM
matriz de pesos. Esta matriz es fundamental para
evitar que las casuísticas de ciertos sectores  NSC: Nivel de cumplimiento de seguridad de un control.
determinen un nivel de seguridad superior al que  NSn: Número de subcontroles para un control y para un nivel
realmente puede soportar la infraestructura de la dado.
compañía. En condiciones normales el valor inicial  NNM: Número de niveles del modelo de madurez.
establecido para un peso será de 0.50 unidades, para Ecuación 3. Nivel de cumplimiento de la seguridad de un control.
221
Entradas Tareas Salidas

El nivel de cumplimiento de un control para un
nivel dado Ecuación 2) se utilizará en la tarea T2.3.2 GSGS – A2.3
Esquema InfAct, InfMR, InfPM
para determinar el plan de mejora.
T2.3.1 T2.3.2
3ª Parte
Inf. SGSI
Int
NSEn = Σ(NSCn)/ NCn Repositorio de
SGSIs
 NSEn: Nivel de cumplimiento de seguridad de la empresa para
un nivel. Activos
del S.I
 NSCn: Nivel de cumplimiento de seguridad de un control para

un nivel.
 NCn: Número de controles del nivel.
En la Figura 7 se puede ver el esquema básico de entradas,
Ecuación 4. Nivel de cumplimiento de la seguridad para un nivel.
tareas y salidas que componen esta actividad:
 Entradas: Como entradas se recibirá: i) un esquema de
NSE = Σ(NSC)/ NC los existentes en el repositorio de esquemas, que será
 NSE: Nivel de cumplimiento de seguridad de la empresa. seleccionado por el consultor de seguridad (CoS) en
base a las características de la compañía (sector y
 NSC: Nivel de cumplimiento de seguridad de un control.
tamaño de la misma), del que se obtendrán los
 NC: Número de controles. elementos necesarios para la realización del análisis de
Ecuación 5. Nivel de cumplimiento de la seguridad de la empresa. riesgos (listado de controles, listado tipos de activos,
listado de amenazas, listado de vulnerabilidades,
listado de criterios de riesgo, relaciones entre los tipos
El resultado obtenido se debe normalizar para obtener el
de activos y las vulnerabilidades, relaciones entre las
nivel de madurez actual, mediante la aplicación de los límites
amenazas y las vulnerabilidades, relaciones entre las
establecidos. El algoritmo que permite determinar el nivel de
madurez actual se puede ver en la Tabla 3. amenazas y los controles y relaciones entre los tipos
de activos, las vulnerabilidades y los criterios de
riesgo); ii) el interlocutor (Int) válido para la
Tabla 3. Pseudocódigo del algoritmo del nivel de madurez actual. compañía, el cual se encargará de definir los activos;
Algoritmo: Nivel de madurez actual. iii) un conjunto de activos del sistema de información,
Esquema = Se selecciona el esquema de trabajo. lo más generalistas posible (grano grueso).
 Tareas: El subproceso estará formado por dos tareas.
Empresa = Se selecciona la compañía sobre la que se realizará el
SGSI. Estas tareas son: i) identificación de activos; y ii)
generación de la matriz de riesgos y el plan de mejora.
SGSI = Se selecciona el SGSI para esa compañía.
La tarea T2.3.2 es dependiente de la T2.3.1, por lo que
Instancia del SGSI = Se selecciona la instancia concreta del SGSI. no podrá ejecutarse hasta la finalización de ésta.
 Salidas: La salida producida por este subproceso
1º.– Se calcula el nivel de cobertura para cada control como la consistirá en una serie de entregables (informe de
suma de los valores de sus subcontroles entre el número de activos del sistema de información, matriz de riesgos a
subcontroles por el valor máximo. los que están sometidos los activos del sistema de
2º.– El nivel actual será el nivel más bajo que tenga un control información y el plan de mejora recomendado por la
con nivel de cobertura inferior al 90%. metodología para afrontar las mejoras en la gestión de
3º.– Se normaliza el resultado: Nivel1 = 0.00 a 0.25; Nivel2 = la seguridad del SGSI) para que el consultor de
0.25 a 0.75; Nivel3 = 0.75 a 1.00 seguridad (CoS) pueda analizarlos. La información
contenida en estos entregables será almacenada en el
repositorio de SGSIs para que posteriormente pueda
D.3. Actividad A2.3: Realización del análisis de riesgos.
utilizarse en la generación de los elementos que
El principal objetivo de esta actividad es establecer una componen el SGSI de la compañía.
evaluación de los riesgos a los que se encuentran sometidos En la Figura 8 se pueden ver las tareas de la actividad de
los principales activos del sistema de información de la forma mucho más detallada, viendo cómo interactúan con el
compañía sobre la que se quiere implantar el SGSI, así como repositorio de SGSIs encargado de contener los elementos que
proponer un plan al responsable de seguridad (Cl/RS) para conforman los SGSIs. Cada tarea generará un entregable para
gestionar los riesgos de la forma más eficiente posible. su análisis por parte del consultor de seguridad (CoS) y
almacenará la información para que sea utilizada en
actividades posteriores (actividad A2.4).
222
Lista de
 Tarea T2.3.1 – Identificación de activos: El objetivo
Int Esquema
Activos del S.I de la tarea T2.3.1 es obtener un conjunto de los
activos que componen el sistema de información de la
Entrada
empresa. Los activos definidos son el objetivo
Entregable
principal hacia el que se enfoca el SGSI, ya que son
LAct:
T2.3.1
Identificación de activos
Lista de Tarea los elementos que se pretenden proteger, porque
Activos
Repositorio suponen valor para la compañía y en la mayor parte de
InfAct MR:
Matriz de
Flujo Información
los casos son su factor diferenciador con respecto a la
Riesgos Flujo Proceso
Check-list T2.3.2
competencia. Una de las diferencias principales que
PM:
Generación de la Matriz de Riesgos
y del Plan de Mejora
Plan de
Mejora
presenta el método para la evaluación del riesgo
InfMR, InfPM
presentado en la metodología frente a MAGERIT es
Repositorio de
Esquemas
Repositorio de que se busca que los activos sean lo más generales
SGSIs
(grano grueso), frente a MAGERIT que intenta
identificarlos de forma clara y precisa (grano fino). En
las PYMES se debe intentar definir un conjunto muy
InfAct, InfMR, InfPM pequeño y básico de activos, ya que su sistema de
Figura 8. Esquema detallado a nivel de tarea de la actividad A2.3.
información no permite la protección discriminada de
activos de baja atomicidad, ni puede soportar el coste
de gestión de los mismos. Por lo tanto, en esta tarea se
El desarrollo de esta actividad está basado en los buscarán activos generales que se puedan valorar de
propuestos por Stephenson que se centran en la sinergia entre forma sencilla tanto desde el punto de vista
la prueba técnica y el análisis de riesgos [58] tomando como cuantitativo como cualitativo. En esta tarea el
referencia la ISO/IEC27002 [59] y en la metodología de consultor de seguridad (CoS) deberá ayudar el
análisis de riesgos Magerit v3 [33]. interlocutor (Int) a identificar el conjunto de activos de
Estas metodologías suelen producir rechazo en el caso de valor que componen el S.I. de la compañía. Los
las PYMES debido a que éstas las perciben como demasiado resultados generados en esta tarea son fundamentales
complejas, a que requieren un enorme compromiso por parte para poder realizar una evaluación del riesgo y un plan
de los miembros de la compañía y a que los costes asociados a de mejora en la tarea T2.3.2.
los mismos no son aceptados por las compañías. Por ello, la
 Tarea T2.3.2 – Generación de matriz de riesgos y plan
metodología MARISMA, simplifica el proceso de evaluación
de mejora: El objetivo de la tarea T2.3.2 es realizar
del riesgo para adecuarlo a las PYMES.
una evaluación de los riesgos a los que están
Las principales bases sobre las que se define esta actividad
sometidos los activos de la empresa definidos en la
son: flexibilidad, simplicidad y eficiencia en costes (humanos
tarea T2.3.1. Esta tarea requiere de los datos
y temporales). Se trata pues de una actividad que pretende
generados durante la actividad A1.3 y de los activos
identificar con el menor coste posible los activos de la
identificados en la tarea T2.3.1 para generar una
compañía y los riesgos asociados, usando para ello los
matriz riesgos que muestre de forma detallada los
resultados generados en las actividades anteriores y unos
riesgos a los que está sometido cada activo y un plan
sencillos algoritmos.
de mejora que determine cómo acometer estos riesgos.
La parte de análisis de riesgos de la metodología
El plan de mejora se soporta sobre los resultados
desarrollada toma algunos aspectos de Magerit v3 [33] y
obtenidos de la matriz de riesgos. La matriz de riesgos
algunos aspectos de los análisis de riesgos clásicos, pero en
y el plan de mejora son utilizados por el consultor de
todo momento tiende a la simplificación.
seguridad (CoS) para determinar y analizar medidas
Para que esta actividad funcione de forma coherente se
adicionales y urgentes que deban tomarse en la
deben tener en cuenta las condiciones especiales de las
compañía para mitigar riesgos elevados sobre los
PYMES, en las que los usuarios no suelen tener ni el tiempo ni
activos de información de la compañía.
los conocimientos adecuados para aplicar de forma eficiente
El primer objetivo de esta tarea es generar una
metodologías de análisis de riesgos, ni para determinar de
matriz de riesgo que nos permita conocer los riesgos a
forma adecuada los activos de los sistemas de información.
los que está sometido cada activo de la compañía en
Al igual que en las actividades anteriores, cuando se trata
cada nivel de madurez y para cada elemento del
de PYMES no se busca la opción óptima sino una opción
análisis de riesgos (amenazas, vulnerabilidades y
razonablemente buena que permita grandes reducciones de
criterios de riesgo). El resultado será una tabla con las
tiempos a la hora de obtener el resultado.
siguientes columnas: i) Nivel: Nivel de Madurez de la
Las tareas de esta actividad se apoyarán principalmente en
seguridad; ii) Nombre y descripción del activo; iii)
la parte tercera del esquema seleccionado y en la lista de
Coste del activo: valor cuantitativo que tendría la
controles obtenida en el subproceso GEAR.
pérdida del activo para la compañía; iv) Valor
A continuación describimos el objetivo de cada una de las
estratégico: valor cualitativo que tendría la pérdida del
tareas:
activo; v) Tipo de activo; vi) Amenaza; vii)
223
Vulnerabilidad; viii) Criterios de riesgo; ix) Nivel de Tabla 4. Pseudocódigo del algoritmo de matriz de riesgos.
la amenaza (NA): Se determina teniendo en cuenta el Algoritmo: Matriz de riesgos.
impacto que produciría sobre un activo la explotación Esquema = Se selecciona el esquema de trabajo.
de una amenaza. La escala tendrá valores
comprendidos entre [bajo = 1, medio = 2, alto =3]; x) SGSI.
Nivel de probabilidad (P): Se define como la
probabilidad de ocurrencia de una vulnerabilidad en
función de criterios empíricos. La escala tendrá Instancia del SGSI = Se selecciona la instancia concreta del SGSI.
valores comprendidos entre [bajo = 1, medio = 2, alto
=3]; xi) Nivel de riesgo (NR): La definición del nivel 1º.– Se obtiene el nivel de cobertura de cada control de la
de riesgo (NR) se obtiene a partir de la probabilidad ISO/IEC27002 por niveles.
(P) de ocurrencia (vulnerabilidad) y el nivel de la 2º.– Se obtiene el impacto de las amenazas para cada activo y nivel,
amenaza (NA) (ver Ecuación 6) y xii) Nivel de control mediante la asociación de las matrices con tipos de activos x
o cobertura: Es el nivel de cumplimiento de un control amenazas x controles, obteniendo el nivel de cobertura media de los
de seguridad con respecto a un activo determinado, controles asociados al activo, la amenaza y el nivel y normalizando
sometido a una amenaza en un nivel de madurez dichos controles como [0.75 – 1.00] => Impacto = Bajo, [0.25 –
0.75] => Impacto = Medio, [0.00 – 0.25] => Impacto = Alto.
determinado, y que se obtiene a partir de las
Ecuaciones 7 y 8. Este dato es fundamental para poder 3º.– Se obtiene la probabilidad de ocurrencia de una vulnerabilidad
sobre un activo y un nivel, mediante la asociación de las matrices
obtener el plan de mejora, ya que el sistema utilizará con tipos de activos x vulnerabilidades x amenazas x controles,
el valor de NCCAA para planificar el orden en que obteniendo el nivel de cobertura media de los controles asociados al
deben mejorarse los controles para minimizar los activo, la vulnerabilidad y el nivel y normalizando dichos controles
riesgos. como [0.75 – 1.00] => Probabilidad de ocurrencia = Bajo, [0.25 –
0.75] => Probabilidad de ocurrencia = Medio, [0.00 – 0.25] =>
Probabilidad de ocurrencia = Alto.
NR = P * NA
4º.– Se obtiene la matriz de riesgo, para obtener el nivel de riesgo
 NR: Nivel de riesgo. de cada activo teniendo en cuenta las vulnerabilidades, amenazas y
 P: Probabilidad de ocurrencia de las vulnerabilidades. criterios de riesgos a los que está sometido, así como el nivel de
cobertura de los controles asociados a éste. Para ello se multiplican
 NA: Nivel de la amenaza. todas las matrices asociadas activo x tipo activo x amenazas x
Ecuación 6. Nivel de riesgo. vulnerabilidades x criterios riesgo x controles, asociados a las
probabilidades de impacto y ocurrencia obtenidas en los puntos
anteriores que determinarán el nivel de riesgo [1–7].
NCCAA(x,y,z) = Σ(VACAM)/NCAM
 NCCAA: Nivel de cobertura que ofrecen los controles actuales Una vez que se ha obtenido la matriz de riesgos, se utilizará
ubicados en el sistema para un activo X frente a una amenaza Y junto con la información generada en las tareas anteriores para
con respecto al nivel de seguridad Z. obtener el plan de mejora, mediante la aplicación del
 NCAM: Número de controles afectados por la amenaza para ese algoritmo del Plan de Mejora (aPM) (ver Tabla 5). Este
nivel. algoritmo funciona de forma recursiva, determinando el activo
 VACAM: Valor actual del control afectado por la amenaza para de mayor riesgo en el menor nivel de madurez, y aplicando el
cada uno de los niveles. control que permita mejorarlo con el menor coste, para
Ecuación 7. Nivel de cobertura de un control para el par activo–amenaza.
posteriormente recalcular todo el proceso y seleccionar el
siguiente mejor, hasta llegar al nivel de seguridad óptimo.
NCCA = Σ(NCCAA)/ NAA

Tabla 5. Pseudocódigo del algoritmo del plan de mejora.
 NCAA: Nivel de cobertura que ofrecen los controles actuales
Algoritmo: Plan de mejora.
ubicados en el sistema para un activo X frente a cualquier
amenaza. Esquema = Se selecciona el esquema de trabajo.
 NCCAA: Nivel de cobertura que ofrecen los controles actuales Empresa = Se selecciona la compañía sobre la que se realizará el
ubicados en el sistema para un activo X frente a una amenaza Y SGSI.
con respecto al nivel de seguridad Z. SGSI = Se selecciona el SGSI para esa compañía.
 NAA: Siendo NAA el número de amenazas que afectan al activo. Instancia del SGSI = Se selecciona la instancia concreta del SGSI.
Ecuación 8. Nivel de cobertura de un control para un activo.
1º.– Mientras el nivel de riesgo sea mayor que el riesgo asumible

(3)
Para poder obtener de una forma sencilla el riesgo al que está
sometido cada activo y el nivel de cobertura de cada control, 1.1º.– Se recalcula la matriz de riesgo ordenada por nivel
se utilizará el algoritmo de Matriz de Riesgos (aMR) (ver ascendente y riesgo descendente.
Tabla 4). 1.2º.– Queda algún elemento en la matriz de los niveles
224
alcanzables cuyo riesgo sea inaceptable. consistirá en: i) la aprobación de los entregables
1.2.1º.– Si => Salir del ciclo. obtenidos durante las actividades anteriores del
1.2.2º.– No => Siguiente ciclo. subproceso GAGR; ii) conocimiento para que el grupo
de expertos del dominio (GED) pueda refinar los
1.3º.– Se selecciona el primer registro de la matriz.
esquemas del subproceso GEAR; iii) los elementos
1.4º.– Se obtienen los controles asociados a ese registro de la que forman el SGSI de la compañía (un cuadro de
matriz.
mandos que indicará el nivel de seguridad para cada
1.5º.– Se selecciona el control que menos nivel de cobertura control relacionado con la gestión de seguridad de la
tenga. compañía; un conjunto de reglamentos, plantillas e
1.6º.– Se emite la recomendación completa de la evolución que instrucciones técnicas válidos para esa compañía en el
supondría aplicar el control. momento actual; un conjunto de métricas; un conjunto
1.7º.– Se actualiza el control a nivel de cumplimiento = total, de usuarios asociados a roles, que podrán ejecutar en
para que al recalcular la matriz se actualicen todos los pesos. función de su perfil una serie de procedimientos para
2º.– Fin ciclo. interactuar con el sistema de información de la
Aclaración: Con la modificación de cada control, se recalcula compañía; y un conjunto de reglamentos que se deben
nuevamente toda la matriz, porque los niveles de riesgos se pueden cumplir para el buen funcionamiento del SGSI).
ver alterados.
D.1. Actividad A2.4: Generación del SGSI. GSGS – A2.4

Esquema Conocimiento
El principal objetivo de esta actividad es generar los T2.4.1 T2.4.2
elementos que compondrán el SGSI para la compañía y Int, Org, lUxR, InfEmp, eSGSI
4ª Parte
InfTec, InfNM, InfAct,
obtener la aprobación del interlocutor (Int) designado por la InfMR, InfPM
1-3ª Parte
Inf. SGSI
compañía del resultado obtenido, o en caso contrario tomar las Inf. SGSI
Repositorio de
medidas pertinentes para subsanar las deficiencias (mediante Repositorio de
SGSIs
SGSIs
la alteración del esquema seleccionado, la selección de otro
esquema más adecuado, o corrigiendo las entradas del Figura 9. Esquema simplificado a nivel de tarea de la actividad A2.4.
subproceso).
En la Figura 9 se puede ver el esquema básico de entradas, En la Figura 10 se muestran las tareas de la actividad
tareas y salidas que componen esta actividad: de forma mucho más detallada, viendo cómo interactúan éstas
 Entradas: Como entradas se recibirá: i) un esquema de con el repositorio de SGSIs encargado de contener los
los existentes en el repositorio de esquemas, que será elementos que conforman los SGSIs.
seleccionado por el consultor de seguridad (CoS) en
base a las características de la compañía (sector y
InfEmp, InfTec, InfAct, InfMR,
tamaño de la misma) del que se obtendrán los Esquema Int, Org, lUxR
InfNM InfPM
elementos necesarios para la generación del SGSI
(listado de controles, listado de reglamentos, listado de
procedimientos, listado de registros, listado de sP2 – GSGS – A2.4
plantillas, listado de instrucciones técnicas, listado de T2.4.1
Generación de los objetos del SGSI
métricas, relaciones entre los reglamentos y los Lista Artefactos
Elementos
Esquemas
del SGSI
artefactos, relaciones entre los reglamentos y los
controles, relaciones entre los artefactos y los
controles, relaciones entre los procedimientos y los Repositorio de
Esquemas
Repositorio de
SGSIs
Entrada
Entregable
artefactos); ii) el interlocutor (Int) válido para la
Tarea
compañía, el cual se encargará de validar y aprobar el T2.4.2
Repositorio
Presentación de resultados al interlocutor
resultado obtenido; iii) los entregables generados Flujo Información
InfSGSI
durante las actividades anteriores del subproceso Flujo Proceso
GAGR para su aprobación por parte del interlocutor;

iv) el contenido del repositorio de SGSIs, generado
SGSI Conocimiento
durante las actividades anteriores del subproceso
GAGR. Figura 10. Esquema detallado a nivel de tarea de la actividad A2.4.
 Tareas: El subproceso estará formado por dos tareas.
Estas tareas son: i) generación de los objetos del
SGSI; y ii) presentación de resultados al interlocutor. Las tareas de esta actividad se apoyarán
La tarea T2.4.2 es dependiente de la T2.4.1, por lo que principalmente en la parte cuarta del esquema seleccionado,
no podrá ejecutarse hasta la finalización de ésta. que se corresponde con la generada durante la actividad A1.4,
y en la lista de controles obtenida en la tarea T1.2.2 del
subproceso GEAR.
225
A continuación describimos el objetivo de cada una de las Tabla 6. Pseudocódigo del algoritmo de generación del SGSI.
tareas: Algoritmo: Generación del SGSI.
 Tarea T2.4.1 – Generación de los objetos del SGSI: El Esquema = Se selecciona el esquema de trabajo.
principal objetivo de la tarea T2.4.1 es la selección de
los elementos (reglamentos, procedimientos y SGSI.
controles) que compondrán el SGSI de la compañía a
partir del esquema seleccionado y de los datos
obtenidos en las actividades anteriores del subproceso Instancia del SGSI = Se selecciona la instancia concreta del SGSI.
GAGR. Esta tarea no requiere de información 1º.– Se obtiene la lista de controles con su nivel de cobertura.
adicional a la ya obtenida, generando de forma 2º.– Se obtiene el nivel actual de la compañía. El nivel actual será el
totalmente automática el SGSI adecuado para la primer nivel que tenga un control para ese nivel con un cumplimiento
compañía mediante el algoritmo de generación de de la cobertura menor del 90%.
SGSIs (aSGSI). Este algoritmo (Ver Tabla 6) toma 3º.– Se determina el nivel deseable de la compañía a partir del perfil
como base las matrices de relaciones establecidas en de la misma.
el esquema seleccionado con la finalidad de activar los 4º.– Se obtiene la lista de controles existentes entre el nivel 1 y el
reglamentos y procedimientos que estén asociados a nivel actual, que son los que obligatoriamente se deben cumplir.
los controles del nivel de madurez recomendado para 5º.– Se obtiene la lista de controles existentes entre el nivel actual y
la compañía que se determinó en la actividad A2.2 el nivel deseable que además tengan un nivel de cobertura superior al
(por ejemplo para una compañía que debe alcanzar un 75%, ya que a medio plazo se deberán cumplir y actualmente ya se
nivel2 de madurez pero que actualmente se encuentra cumplen en gran medida.
en el nivel 1, el sistema activará sólo aquellos 6º.– A partir del conjunto de controles seleccionados se activarán,
procedimientos que se vean afectados por los usando la matriz de objetos x controles, los: procedimientos
relacionados, instrucciones técnicas, registros, plantillas y
controles de nivel 1 y nivel 2 cuyo nivel de
reglamentos.
cumplimiento en el momento actual sea superior al
7º.– A partir del conjunto de controles seleccionados se activarán las
75%. El resultado final de esta actividad será un
instrucciones técnicas relacionadas usando la matriz de objetos x
conjunto de reglamentos y un conjunto de controles.
procedimientos que deberán cumplirse para mejorar el
8º.– A partir del conjunto de controles seleccionados se activarán los
nivel de seguridad de la compañía. El SGSI será registros relacionados usando la matriz de objetos x controles.
dinámico, adaptándose a los cambios en los niveles de
cobertura de los controles y en los niveles de
plantillas relacionadas usando la matriz de objetos x controles.
seguridad según evolucione el sistema. La evolución
del sistema se medirá mediante: i) un conjunto de
normas relacionadas usando la matriz de normas x controles.
métricas definidas sobre el conjunto de elementos del
SGSI; ii) un sistema de denuncias por violación de las 11º.– Se insertan en esa instancia los objetos y normas seleccionados,
que conformarán el SGSI de la compañía.
normativas vigentes; y iii) mediante auditorías
periódicas externas. Los procedimientos seleccionados
pueden estar asociados a varios niveles de madurez, V. CONCLUSIONES.
algunos de los cuales sean superiores al actual o al En este artículo se ha presentado el proceso de generación
deseable, por lo que el sistema tendrá siempre en y tratamiento de análisis de riesgos de bajo coste que se ha
cuenta el nivel de madurez más bajo. desarrollado como parte de la metodología MARISMA, el
 Tarea T2.4.2 – Presentación de resultados al cual permite soportar los resultados generados durante la
interlocutor: En la tarea T2.4.2 se recoge toda la investigación y que cumple con los objetivos perseguidos,
información y entregables obtenidos durante las tareas especialmente la capacidad de generarse y mantenerse
anteriores del subproceso GAGR y se le presenta al actualizado a lo largo del tiempo con un bajo coste en recursos
interlocutor (Int) para análisis y aprobación. El humanos y económicos, lo que suponía dos de los grandes
interlocutor (Int), junto con el consultor de seguridad problemas de este tipo de sistemas para todas las compañías
(CoS), analizará los resultados obtenidos y en la que se realizó la investigación.
determinará posibles cambios que tengan que El análisis de riesgos para las PYMES deberá tener un
realizarse. En caso de ser necesario realizar cambios, coste de generación y mantenimiento muy reducido, aún a
el consultor de seguridad (CoS) enviará las costa de sacrificar precisión en el mismo, pero siempre
modificaciones pertinentes al grupo de expertos del manteniendo unos resultados con la calidad suficiente.
dominio (GED) para que modifiquen el esquema o Se ha definido cómo se puede utilizar este proceso y las
creen uno nuevo que se adapte a las necesidades de la mejoras que ofrece con respecto a otros modelos que afrontan
compañía. Una vez alterado el esquema se volverán a el problema de una forma más precisa y detallada, pero
realizar las tareas del subproceso GAGR hasta que el también más costosa, lo que no las hace válidas para PYMES.
resultado sea aceptado por el interlocutor (Int) y el El proceso ha sido validado con más de 20 compañías de
consultor de seguridad (CoS). España y Colombia, facilitadas por la empresa Sicaman
226
nuevas Tecnologías S.L. Las características ofrecidas por el [8]. Haufe, K., et al., ISMS core processes: A study. Procedia Computer
Science, 2016. 100: p. 339-346.
proceso y su orientación a las PYMES ha sido muy bien
[9]. Brinkley, D. and R. Schell, What Is There to Worry About? An
recibida, y su aplicación está resultando muy positiva ya que Introduction to the Computer Security Problem, in Information
permite a este tipo de empresas realizar una adecuada gestión Security, An Integrated Collection of Essays, M. Abrams, S.
del riesgo al que están sometidos los activos de su sistema de Jajodia, and H. Podell, Editors. 1995, IEEE Computer Society:
California.
información. Además, con este proceso se obtienen resultados
[10]. Chung, L., et al., Non-functional requirements in software
a corto plazo y se reducen los costes que supone el uso de engineering2000, Boston/Dordrecht/London: Kluwer Academic
otros procesos, consiguiendo un mayor grado de satisfacción. Publishers.
[11]. Dhillon, G., Information Security Management: Global challenges
El proceso MARISMA-AGR cumple con los objetivos in the new millennium2001: Idea Group Publishing.
propuestos, así como con los principios que según la OCDE [12]. Ghosh, A., C. Howell, and J. Whittaker, Building Software
[60] debe seguir todo proceso de evaluación del riesgo, según Securely from the Ground Up. IEEE Software, 2002. 19(1): p. 14-
el cual el sistema debe tener la capacidad de autoevaluar su 16.
[13]. Hall, A. and R. Chapman, Correctness by Construction:
riesgo de forma continuada en el tiempo. Developing a Commercial Secure System. IEEE Software, 2002.
Finalmente, se considera que el trabajo realizado debe ser 19(1): p. 18-25.
[14]. Jürjens, J. Towards Development of Secure Systems using UML. in
ampliado con nuevas especificaciones, nuevos esquemas, International Conference on the Fundamental Approaches to
mejorando los algoritmos de análisis y gestión del riesgo de Software Engineering (FASEiTAPS). 2001. Springer.
forma que puedan ofrecer planes más detallados y [15]. Masacci, F., M. Prest, and N. Zannone, Using a security
profundizando en el proceso con nuevos casos de estudio. requirements engineering methodology in practice: The
compílanse with the Italian data protection legislation. Computer
La mayor parte de las futuras mejoras del proceso se están Standards & Interfaces, 2005. 27: p. 445-455.
orientando a mejorar la precisión del mismo, pero siempre [16]. Walker, E., Software Development Security: A Risk Management
Perspective. The DoD Software Tech. Secure Software
respetando el principio de coste de recursos, es decir, se busca Engineering, 2005. 8(2): p. 15-18.
mejorar el proceso sin incurrir en costes de generación y [17]. Volonino, L. and S. Robinson. Principles and Practice of
mantenimiento del análisis de riesgos. Information Security. in 1 edition, Anderson, Natalie E. 2004. New
Jersey, EEUU.
[18]. Michalson, L., Information security and the law: threats and how
AGRADECIMIENTOS to manage them. Convergence, 2003. 4(3): p. 34-38.
Esta investigación ha sido co-financiada por los proyectos [19]. Cholez, H. and F. Girard, Maturity assessment and process
improvement for information security management in small and
SEQUOIA – Security and Quality in Processes with Big Data medium enterprises. Journal of Software: Evolution and Process,
and Analytics (TIN2015-63502-C3-1-R) financiados por el 2014. 26(5): p. 496-503.
“Ministerio de Economía y Competitividad y Fondo Europeo [20]. Dimopoulos, V., et al. Approaches to IT Security in Small and
Medium Enterprises. in 2nd Australian Information Security
de Desarrollo Regional FEDER”, del proyecto ERAVAC Management Conference, Securing the Future. 2004. Perth,
ISO25000 (13/16/IN/4/014) financiados por la ”Consejería de Western Australia: 73-82.
Economía, Empresas y Empleo” y del proyecto “Plataformas [21]. Holappa, J. and T. Wiander, Practical Implementation of ISO
Computacionales de Entrenamiento, Experimentación, 17799. Compliant Information Security Management System Using
Novel ASD Method., in Technical Report, V.T.R.C.o. Finland,
Gestión y Mitigación de Ataques a la Ciberseguridad - Editor 2006.
Código: ESPE-2015-PIC-019” financiado por la ESPE y [22]. Llvonen, L. Information Security Management in Finnish SMEs. in
CEDIA (Ecuador), y ha contado con la participación de la 5th European Conference on Information Warfare and Security
National Defence College. 2006. Helsinki, Finlan: 1-2 June 2006.
empresa Sicaman Nuevas Tecnologías (www.sicaman-nt.com) [23]. ISO/IEC27001, ISO/IEC 27001:2013, Information Technology -
que ha permitido validar los resultados. Security Techniques Information security management systemys -
Requirements., 2013.
[24]. Shaw, M., What makes good research in software engineering?
International Journal on Software Tools for Technology Transfer
Referencias (STTT), 2002. 4(1): p. 1-7.
[25]. Dimopoulos, V., et al. Factors affecting the adoption of IT risk
analysis. in Proceedings of 3rd European Conference on
[1]. Wiander, T. Implementing the ISO/IEC 17799 standard in practice Information Warfare and Security. 2004. Royal Holloway,
– experiences on audit phases. in AISC '08: Proceedings of the University of London: 28-29 June 2004.
sixth Australasian conference on Information security. 2008. [26]. ISBS, Information Security Breaches Survey 2006. Department of
Wollongong, Australia. Trade and Industry2006, UK.
[2]. Johnson, M., Cybercrime: Threats and Solutions, 2014. [27]. Sánchez, L.E., et al. Security Management in corporative IT
[3]. Von Solms, R., Information security management: processes and systems using maturity models, taking as base ISO/IEC 17799. in
metrics, 2014. International Symposium on Frontiers in Availability, Reliability
[4]. Wiander, T. and J. Holappa, Theoretical Framework of ISO 17799 and Security (FARES’06) in conjunction with ARES. 2006. Viena
Compliant. Information Security Management System Using Novel (Austria).
ASD Method., in Technical Report, V.T.R.C.o. Finland, Editor [28]. Sánchez, L.E., et al. MMISS-SME Practical Development:
2006. Maturity Model for Information Systems Security Management in
[5]. Whitman, M. and H. Mattord, Principles of information SMEs. in 9th International Conference on Enterprise Information
security2011: Cengage Learning. Systems (WOSIS’07). 2007b. Funchal, Madeira (Portugal). June.
[6]. Kluge, D. Formal Information Security Standards in German [29]. Sánchez, L.E., et al. Developing a model and a tool to manage the
Medium Enterprises. in CONISAR: The Conference on Information information security in Small and Medium Enterprises. in
Systems Applied Research. 2008. International Conference on Security and Cryptography
[7]. Dhillon, G. and J. Backhouse, Information System Security (SECRYPT’07). 2007a. Barcelona. Spain.: Junio.
Management in the New Millennium. Communications of the [30]. Sánchez, L.E., et al. SCMM-TOOL: Tool for computer automation
ACM, 2000. 43(7): p. 125-128. of the Information Security Management Systems. in 2nd
227
International conference on Software and Data Technologies [56]. Chang, S.E. and C.B. Ho, eds. Organizational factors to the
(ICSOFT‘07). . 2007c. Barcelona-España Septiembre. effectiveness of implementing information security management.
[31]. Sánchez, L.E., et al. Practical Application of a Security Industrial Management & Data Systems. Vol. 106. 2006. 345-361.
Management Maturity Model for SMEs Based on Predefined [57]. Hong, K.S., et al., An empirical study of information security
Schemas. in International Conference on Security and policy on information security elevation in Taiwan, in Information
Cryptography (SECRYPT’08). 2008. Porto–Portugal. Management & Computer Security2006. p. 104-115.
[32]. Gupta, A. and R. Hammond, Information systems security issues [58]. Stephenson, P., Forensic Análisis of Risks in Enterprise Systems.
and decisions for small businesses. Information Management & Law, Investigation and Ethics, 2004. sep/oct: p. 20-21.
Computer Security, 2005. 13(4): p. 297-310. [59]. ISO/IEC27002, ISO/IEC 27002:2013, the international standard
[33]. V3, M., Methodology for Information Systems Risk Analysis and Code of Practice for Information Security Management (en
Management (MAGERIT version 3), 2012, Ministerio de desarrollo). 2013.
Administraciones Públicas (Spain). [60]. OECD, OECD Guidelines for the Security of Information Systems
[34]. Alberts, C.J. and A.J. Dorofee, Managing Information Security and Networks: Towards a Culture of Security., O.f.E.C.-o.a.D.
Risks: The OCTAVE Approach., ed. A.-W.P. Co.2002. (OECD). Editor 2002: Paris.
[35]. CRAMMv5.0, CRAMM v5.0, CCTA Risk Analysis and
Management Method., 2003. Luis Enrique Sánchez is PhD and MsC in Computer
[36]. Siegel, C.A., T.R. Sagalow, and P. Serritella, Cyber-Risk Science and is an Professor at the Universidad de las
Management: Technical and Insurance Controls for Enterprise- Fuerzas Armadas (ESPE) of Latacunga (Ecuador), MSc in
Level Security. Security Management Practices, 2002. sept/oct: p. Information Systems Audit from the Polytechnic
33-49. University of Madrid, and Certified Information System
[37]. Garigue, R. and M. Stefaniu, Information Security Governance Auditor by ISACA. He is the Director of Professional
Reporting. Information Systems Security, 2003. sept/oct: p. 36-40. Services and R&D departments of the company Sicaman
[38]. Gerber, M. and R. Von Solms, Management of risk in the Nuevas Tecnologías S.L. COIICLM board or committee
information age. Computers & Security, 2005. 24(1): p. 16-30. member and responsible for the professional services committee. His research
[39]. ISO/IEC27005, ISO/IEC 27005:2011, Information Technology - activities are management security system. He participates in the GSyA
Security Techniques - Information Security Risk Management research group of the Department of Computer Science at the University of
Standard (under development). 2011. Castilla- LaMancha, in Ciudad Real (Spain).
[40]. SSE-CMM, Systems Security Engineering Capability Maturity
Model (SSE-CMM), Version 3.0. Department of Defense. Arlington Antonio Santos-Olmo is MsC in in Computer Science
VA. 326., 2003. and is an Assistant Professor at the Escuela Superior de
[41]. ISO/IEC21827, ISO/IEC 21827:2008, Information technology - Informática of the Universidad de Castilla- La Mancha
Systems Security Engineering - Capability Maturity Model (SSE- in Ciudad Real (Spain) (Computer Science Department,
CMM), 2008, ISO/IEC. p. 123. University of Castilla La Mancha, Ciudad Real, Spain),
[42]. ISO/IEC15443-1, ISO/IEC TR 15443-1:2012, Information MSc in Information Systems Audit from the
technology -- Security techniques -- A framework for IT security Polytechnic University of Madrid, and Certified
assurance -- Part 1: Overview and framework., 2012. Information System Auditor by ISACA. He is the
[43]. ISO/IEC15443-2, ISO/IEC TR 15443-2:2012, Information Director of Software Factory departments of the
technology -- Security techniques -- A framework for IT security company Sicaman Nuevas Tecnologías S.L. His research activities are
assurance -- Part 2: Assurance methods., 2012. management security system. He participates in the GSyA research group of
[44]. ISO/IEC20000-1, ISO/IEC 20000-1:2011, Information technology the Department of Computer Science at the University of Castilla- LaMancha.
- Service management - Part 1: Specification., 2011.
[45]. ISO/IEC20000-2, ISO/IEC 20000-2:2012, Information technology Sara Camacho Estrada is a Juris Doctor, Master in
- Service management - Part 2: Code of practice., 2012. Information Technology and Multimedia Education,
[46]. COBITv5.0, Cobit Guidelines, Information Security Audit and Master in Higher Education, Teaching and
Control Association, ISACA, Editor 2013. Administration. Director of the Languages Center for two
[47]. Batista, J. and A. Figueiredo, SPI in very small team: a case with periods at the Universidad Técnica de Ambato in Ecuador.
CMM. Software Process Improvement and Practice, 2000. 5(4): p. Vice-dean of the Education Faculty at the Universidad
243-250. Técnica de Ambato in Ecuador. Author and director of the
[48]. Hareton, L. and Y. Terence, A Process Framework for Small TEFL Master´s program at the Universidad Técnica de Ambato in Ecuador.
Projects. Software Process Improvement and Practice, 2001. 6: p. Author of a wide variety of programs like interactive software for learning
67-83. English, international accreditations, and language learning programs.
[49]. Tuffley, A., B. Grove, and M. G, SPICE For Small Organisations.
Software Process Improvement and Practice, 2004. 9: p. 23-31.
[50]. Calvo-Manzano, J.A., et al., Experiences in the Application of Ismael Caballero has an MSc and PhD in Computer
Software Process Improvement in SMES. Software Quality Science from the Escuela Superior de Informa´tica of the
Journal., 2004. 10(3): p. 261-273. Castilla-La Mancha University in Ciudad Real. He actually
[51]. Mekelburg, D., Sustaining Best Practices: How Real-World works as an assistant professor in the Department of
Software Organizations Improve Quality Processes. Software Information Systems and Technologiesat the University of
Quality Professional, 2005. 7(3): p. 4-13. Castilla-La Mancha, and he has also been working in the
[52]. Sánchez, L.E., et al., Managing Security and its Maturity in Small R&D Department of Indra Sistemas since 2006. His
and Medium-sized Enterprises. J. UCS, 2009. 15(15): p. 3038- research interests are focused on information quality
3058. management, information quality in SOA, and Global Software Development.
[53]. Santos-Olmo, A., et al., A Systematic Review of Methodologies and
Models for the Analysis and Management of Associative and Eduardo Fernández-Medina holds a PhD. and an MSc. in
Hierarchical Risk in SMEs, in 9th International Workshop on Computer Science from the University of Sevilla. He is
Security in Information Systems (WOSIS12) In conjunction with associate Professor at the Escuela Superior de Informática
11th International Conference on Enterprise Information Systems of the University of Castilla-La Mancha at Ciudad Real
(ICEIS12).2012: Wroclaw, Poland. p. 117 -124. (Spain), his research activity being in the field of security in
[54]. Sanchez, L.E., et al., ISMS Building for SMEs through the Reuse of databases and also in security metrics. Fernández-Medina is
Knowledge. Small and Medium Enterprises: Concepts, co-editor of several books and chapter books on these
Methodologies, Tools, and Applications, 2013: p. 394. subjects, and has several dozens of papers in national and international
[55]. Fontana, A. and J. Frey, The Interview, in The SAGE Handbook of conferences (DEXA, CAISE, UML, ER, etc.). Author of several manuscripts
Qualitative Research. 3rd edition, N.L. Denzin, Y, Editor 2005: in national and international journals (Information Software Technology,
Thousand Oaks, SAGE Publication. p. 695-727. Computers And Security, Information Systems Security, etc.), he is director of
the GSyA research group of the Information Systems and Technologies
228
L. E. Sánchez, A. Santos-Olmo, S. Camacho, D.G Rosado, E. Fernandez-Medina
Proceso para Mantenimiento Dinámico de un Análisis de

Riesgos Utilizando MARISMA
Abstract – The information society is increasingly dependent debe tener controlado el valor y los riesgos a los que esos
on Information Systems Security Management (ISMS) and activos están sometidos [11]. Otros autores [12] proponen la
knowledge of the security risks associated with the value of its necesidad de desarrollar un nuevo modelo de análisis de
riesgos (AR) pero orientándolo directamente a las PYMES,
rapid and economical manner and which can, in turn, leave this considerando que el uso de técnicas de análisis y gestión de
system dynamically updated. This paper presents the "dynamic riesgos, así como el papel de terceros, es necesario para poder
maintenance of a risk analysis" process of the MARISMA garantizar la seguridad del sistema de información de las
methodology. This process allows a reusable and low cost risk PYMES [13]. Aunque la investigación realizada se centra
analysis to be obtained. The objective of MARISMA is to carry inicialmente en las PYMES los resultados podrían aplicarse en
out a simplified and dynamic risk analysis that will be valid for
otros sectores como el de salud [14-16], o nuevas tecnologías
all companies, including SMEs, and to provide solutions to the
problems identified during the application of the "Action como el cloud computing [17, 18].
Research" scientific method. This methodology is being directly Algunos autores sugieren que no es suficiente con aplicar
applied to real cases, thus allowing a constant improvement to be un enfoque basado en análisis y gestión de riesgos [19] sino
made to its processes. que, además de identificar y eliminar riesgos, también este
 proceso se ha de realizar de manera eficiente, ahorrando
Index Terms — Cibersecurity, Information Systems Security dinero, consecuencia directa de una correcta gestión de la
Management, ISMS, Risk Analysis, SME, ISO27001, ISO27005, seguridad [20]. Otro de los aspectos críticos, es el control de
Magerit. los costes asociados a la gestión de la seguridad, de esta
forma, Mercuri [21] se propone asociar como parte
I. INTRODUCCIÓN fundamental del desarrollo de los SGSI (Sistema de Gestión
Estudios realizados han demostrado que para que las de Seguridad de la Información) los análisis de coste–
empresas puedan utilizar las tecnologías de la información y beneficio (CBA) en la fase del análisis de riesgos.
las comunicaciones con garantías es necesario disponer de Como tal, una de las cuestiones derivadas de las
guías, métricas y herramientas que les permitan conocer en conclusiones es la necesidad de obtener nuevas metodologías
cada momento su nivel de seguridad y las vulnerabilidades y modelos de análisis y gestión del riesgo que permitan
que aún no han sido cubiertas [1-4]. El problema de conocer adaptarse a las PYMES, con el objetivo de eliminar (o al
los riesgos a los que están sometidos sus principales activos se menos reducir) los inconvenientes y ayudar a estas sociedades
acentúa especialmente en el caso de las pequeñas y medianas a evaluar los riesgos a los que sus activos están expuestos y a
empresas, que cuentan con la limitación adicional de no tener establecer los controles de seguridad adecuados [22].
recursos humanos y económicos suficientes para realizar una Muchos autores consideran que el punto central de los
adecuada gestión [5, 6]. SGSI debe ser el análisis de riesgos. Entre ellas se puede
Pero con la llegada de Internet, para las empresas es cada destacar la propuesta de Barrientos [23] y UE CORAS (IST–
vez más crítico implantar controles de seguridad que les 2000–25031) [24, 25]. La propuesta de Barrientos [23] está
permitan conocer y controlar los riesgos a los que pueden estar basada en llevar a cabo un análisis relativo a la seguridad
sometidas [7, 8]. Algunos autores [9, 10] sugieren la informática para identificar el grado de vulnerabilidad y
realización de un análisis de riesgos como parte fundamental determinar los aspectos de mejora a ser llevados a cabo en la
en la PYME, ya que deben tener en cuenta que el valor y la organización con el objeto de reducir el riesgo. Por otro lado,
sanción de los datos robados o filtrados en una pequeña UE CORAS (IST–2000–25031) [24, 25] está desarrollando un
organización es el mismo que para una grande, y por tanto marco para el análisis de riesgos de seguridad que utiliza
UML2, AS/NZS 4360, ISO/IEC27001, RM–ODP6 y UP7.

A. Santos-Olmo, Departamento I+D+i, Sicaman Nuevas Tecnologías, Siegel [19] señala que los modelos de seguridad
Tomelloso (Ciudad Real), España, Asolmo@sicaman-nt.com informática que se centran exclusivamente en modelos de
L. E. Sánchez, Universidad de Castilla-la Mancha (UCLM), España y eliminación de riesgos no son suficientes, y por otro lado
Universidad de las Fuerzas Armadas (ESPE), Proyecto Prometeo de la
SENESCYT, Ecuador, Luisenrique@sanchezcrespo.org Garigue [20] remarca que actualmente los gerentes no desean
S. Camacho, Universidad Técnica Ambato, Ecuador, saber sólo qué se ha realizado para mitigar los riesgos,
saracamachoestrada1@yahoo.es también se debe poder dar a conocer eficazmente que se ha
D.G. Rosado, Grupo de Investigación GSyA, Universidad de Castilla-la
Mancha, Ciudad Real, España, David.Grosado@uclm.es realizado esta tarea y si se ha conseguido ahorrar dinero.
E. Fernandez-Medina, Grupo de Investigación GSyA, Universidad de Uno de los aspectos cruciales que se extrae de las
Castilla-la Mancha, Ciudad Real, España, Eduardo.FdezMedina@uclm.es investigaciones, es que el análisis de riesgos es un proceso
229
costoso que no se puede repetir cada vez que se realiza una del riesgo podemos destacar MAGERIT [32], OCTAVE [33]
modificación. Por eso es importante desarrollar metodologías o CRAMM [34]. A pesar de ello, la gestión de la seguridad no
específicas que permitan mantener los resultados del análisis puede limitarse al análisis y la gestión del riesgo [19], sino que
de riesgos, es decir, procesos que permitan un análisis de además de identificar y eliminar riesgos se ha de realizar de
riesgos dinámico. El proyecto de la UE Coras [24, 25] hace de manera eficiente, obteniendo la compañía grandes ahorros de
este mantenimiento el punto principal de su modelo. costes como consecuencia directa de una mejor gestión de la
Las principales conclusiones obtenidas es que los modelos seguridad [20]. Gracias al análisis de riesgos se podrán
de análisis y gestión del riesgo son fundamentales para los identificar los activos y conocer el nivel de seguridad que se
SGSIs, pero no existen metodologías que se adecuen al caso debe aplicar. Los expertos también han propuesto
de las PYMES, y las existentes se muestran ineficientes para recientemente realizar un análisis de riesgos para poder alinear
este tipo de compañía. las estrategias de la empresa y de la seguridad [35], ya que
Por lo tanto, y considerando que las PYMES representan esto hace que la empresa pase de tomar una posición reactiva
una gran mayoría de empresas tanto a nivel nacional como ante la seguridad a una proactiva.
internacional y son muy importantes para el tejido empresarial Por otro lado, algunos de los principales estándares de
de cualquier país, creemos que avanzar en la investigación gestión de la seguridad, han intentado incorporar dentro de sus
para mejorar los procesos de análisis y gestión del riesgo para procesos el análisis y la gestión del riesgo:
este tipo de empresas puede generar importantes aportaciones.  ISO/IEC27005 [36]: Establece las directrices para
Esto puede contribuir a mejorar no sólo la seguridad de las la gestión del riesgo en la seguridad de la
PYMES, sino también su nivel de competitividad. Por este información. Apoya los conceptos generales
motivo, a los largo de los últimos años hemos trabajado en especificados en la norma ISO/IEC27001 [37] y
elaborar un proceso simplificado que permita analizar y está diseñada para ayudar a la aplicación
gestionar el riesgo de seguridad en las PYMES [26-28], y satisfactoria de la seguridad de la información
además hemos construido una herramienta que automatiza basada en un enfoque de gestión de riesgos.
completamente la metodología [29], y lo hemos aplicado en  ISO/IEC21827/SSE–CMM [38, 39]: El modelo de
casos reales [30], lo que nos ha permitido validar tanto la capacidad y madurez en la ingeniería de seguridad
metodología como la herramienta. de sistemas describe las características esenciales
Toda la metodología de Análisis de Riesgos desarrollada, y de los procesos que deben existir en una
en especial las partes relacionadas con los controles, han sido organización para asegurar una buena seguridad.
aplicadas sobre la norma ISO/IEC27001 y en especial sobre el  ISO/IEC 15443 [40, 41]: Clasifica los métodos
Anexo A de ésta, que define los controles que deben existentes dependiendo del nivel de seguridad y de
cumplirse. Por lo tanto, y aunque esta metodología nace para la fase del aseguramiento.
poder extenderse a otros estándares internacionales,
 ISO/IEC2000/ITIL [42, 43]: ITIL ofrece un
actualmente sólo se ha validado su funcionamiento sobre el
elemento para una correcta gestión de riesgos: el
estándar internacional de la ISO/IEC27001.
conocimiento actualizado y detallado de todos los
El artículo continúa en la Sección 2 describiendo activos de la organización y de las relaciones,
brevemente las metodologías y modelos para el análisis y la pesos y dependencias entre ellos.
gestión del riesgo de la seguridad y su tendencia actual. En la
Sección 3 se introduce nuestra propuesta para el proceso de  COBIT [44]: Es una metodología para el adecuado
mantenimiento de un análisis de riesgos dinámico utilizando control de los proyectos de tecnología, los flujos
MARISMA. Finalmente, en la Sección 4 concluimos
controles adecuados.
indicando cuál será el trabajo que desarrollaremos en el futuro.
El principal problema de estos procesos es su complejidad
II. ESTADO DEL ARTE para aplicarlos en el caso de las PYMES, ya que han sido
concebidos para grandes empresas [45-48]. Se justifica en
Con el propósito de reducir las carencias mostradas en el
repetidas ocasiones que la aplicación de este tipo de procesos
apartado anterior y reducir las pérdidas que éstas ocasionan,
para las PYMES es difícil y costosa. Además, las
han aparecido un gran número de procesos, marcos de trabajo
organizaciones, incluso las grandes, tienden más a adoptar
y métodos para la gestión del riesgo cuya necesidad de uso
grupos de procesos relacionados como un conjunto que a tratar
para proteger de forma eficaz los activos de una compañía está
los procesos de forma independiente [49].
siendo cada vez más reconocida y considerada por las
Por lo tanto, y como conclusión de este apartado, se puede
organizaciones, pero son ineficientes para las PYMES.
decir que es pertinente y oportuno abordar el problema de
En relación con los estándares más destacados se ha
desarrollar un nuevo proceso para el análisis y gestión del
podido constatar que la mayor parte de ellos han intentado
riesgo de la seguridad para los sistemas de información en las
incorporar procesos para el análisis y la gestión del riesgo,
PYMES, así como una herramienta que soporte este proceso,
pero que son muy difíciles de implementar y requieren una
tomando como base la problemática a que este tipo de
inversión demasiado alta que la mayoría de las PYMES no
compañías se enfrenta y que ha llevado a continuos fracasos
pueden asumir [31].
en los intentos de implantación hasta el momento.
Entre las principales propuestas para el análisis y gestión
230
III. METODOLOGÍA MARISMA entregables generados en el subproceso GAGR y los

Para solucionar los problemas detectados en el análisis y elementos que componen el SGSI.
gestión del riesgo, se ha realizado un proceso orientado a las Este subproceso ha sido desarrollado para que sea muy
PYMES y enfocado a reducir los costes de mantenimiento del fácil y cómodo para los usuarios del sistema de información su
proceso de análisis y gestión del riesgo denominado MDAR. cumplimiento, simplificando las tareas que lo componen.
Este proceso se ha obtenido mediante la aplicación del método En la Figura 1 se puede ver el esquema básico de
de investigación en acción y se ha enmarcado dentro de una entradas, actividades y salidas que componen este subproceso:
metodología (MARISMA) que acomete todos los aspectos  Entradas: Como entradas se recibirá un conjunto de
relacionados con la gestión de la seguridad [14, 50], y bajo la elementos (reglamentos, procedimientos, controles y
premisa de que cualquier sistemas de Análisis de Riesgos su nivel de cumplimiento actual) que componen el
valido para las PYMES también será extrapolable a grandes SGSI.
compañías. El objetivo de este proceso es el de generar un  Actividades: El subproceso estará formado por tres
análisis de riesgos de bajo coste mediante la utilización de actividades. Las actividades A3.2 y A3.3 siempre
patrones reutilizables. requerirán de haber realizado primero la actividad
Mediante la metodología MARISMA, podemos asociar el A3.1 para poder ejecutarse, y podrán hacerlo tantas
análisis y la gestión del riesgo a los controles necesarios para veces como sea necesario durante el ciclo de vida
la gestión de la seguridad y consta de tres procesos muy (representado por un reloj en el esquema).
importantes:  Salidas: La salida producida por este subproceso
 Proceso 1 – Generación de Esquemas para el Análisis consistirá en: i) un conjunto de entregables
de Riesgos (GEAR -o GEGS: Generación de (certificado de cultura de la seguridad, instancias de
Esquemas para Gestión de Seguridad-): Se establece ejecución de los procedimientos generales, instancias
una estructura de relaciones entre los diferentes de ejecución del procedimiento de denuncia, cambios
elementos involucrados en el análisis del riesgo y los de estados en los niveles de cumplimiento de los
controles necesarios para gestionar la seguridad. Estas controles que componen el cuadro de mandos) que
relaciones se establecen mediante el conocimiento servirán de apoyo al auditor de seguridad (AuS) y al
adquirido en las diferentes implantaciones, que es responsable de seguridad (Cl/RS) para tomar medidas
almacenado en una estructura denominada esquema que mejoren la gestión de la seguridad; ii) datos e
para ser reutilizado con posterioridad, reduciendo los información estadística obtenida durante el
costes de generación de este proceso [51]. funcionamiento diario del SGSI que se almacenará en
 Proceso 2 – Generación del Análisis y Gestión del el repositorio de información del SGSI para mantener
Riesgo (GAGR -o GSGS: Generación del Sistema de actualizado el cuadro de mandos del sistema; y iii)
Gestión de Seguridad-): Mediante la selección del conocimiento útil para que el grupo de expertos del
esquema más adecuado y la identificación de un dominio puedan mejorar los esquemas existentes y
pequeño conjunto de los principales activos se obtiene crear nuevos esquemas.
un detallado mapa de la situación actual (análisis del
riesgo) y un plan de recomendaciones de cómo Entradas Actividad Salidas
mejorarlo (gestión del riesgo).
 Proceso 3 – Mantenimiento Dinámico del Análisis de MSGS Conocimiento
Riesgos (MDAR -o MSGS: Mantenimiento del Sistema para esquemas
de Gestión de Seguridad-): Mediante la utilización de A3.2
SGSI
las matrices generadas, las cuáles interconectan los A3.1 cCS, pGen, pDen,
mPP, mVS, mCS,
diferentes artefactos, el sistema irá recalculando el A3.3 mGS, CMs,
InfAud, InfAle
análisis de riesgos según se produzcan incidentes de
seguridad, fallen las métricas definidas o los auditores
detecten “no conformidades” en los controles. Repositorio de
Información
del SGSIs
En este artículo nos centramos en el tercero de los procesos Figura 1. Esquema simplificado a nivel de actividad del subproceso MDAR.
que tiene por objetivo el mantenimiento del análisis de riesgos
de forma que se evite tenerlo que repetir cada vez que se
En la Figura 2 se muestran las actividades del subproceso
produzca una modificación, permitiendo reducir los costes y
de forma mucho más detallada, viendo cómo interactúan éstas
hacerlo viable en el tiempo.
IV. MDAR. MANTENIMIENTO DINÁMICO DEL ANÁLISIS DE elementos que conforman los diferentes SGSIs generados.
RIESGOS CON MARISMA
Los principales objetivos de las actividades de este
subproceso son:
El principal objetivo de este subproceso es permitir y dar  A3.1 – Obtener o renovar el certificado de cultura de
soporte a la compañía para que pueda gestionar la seguridad seguridad: Esta actividad se ocupa de introducir de
del sistema de información, utilizando para ello los
231
forma progresiva la cultura de seguridad entre los seguridad del sistema de información y puedan tomar
usuarios del sistema, recomendándoles la realización medidas correctoras. Las tareas incluidas en esta
de forma periódica de exámenes de verificación de sus actividad son: i) la gestión del cuadro de mandos de
conocimientos con respecto a los reglamentos que seguridad; ii) la gestión de la periodicidad de los
componen el sistema de información de la compañía, objetivos; iii) la gestión de las violaciones en los
y limitando la entrada al sistema de información reglamentos de seguridad; iv) la gestión de los
mientras no demuestren que poseen un mínimo certificados de seguridad; v) la realización de
conocimiento de dichos reglamentos. auditorías periódicas; vi) la gestión de las métricas
generales; y vii) la gestión del sistema de alertas.
SGSI
Debido a que el subproceso MDAR no tiene un final
determinado para las tareas, éstas podrán ejecutarse siempre
Entrada que sea necesario para mantener la correcta gestión de la
sP3 – MSGS
Entregable
seguridad del sistema de información. Esto se ha representado
Actividad
Repositorio
en la Figura 2 mediante la imagen de un reloj.
Repositorio de
Flujo Información SGSIs La información generada en este subproceso se almacenará
Flujo Proceso
Artefactos en el repositorio de información del SGSI, y los entregables se
Artefactos SGSI
SGSI Artefactos
SGSI generarán para que el auditor de seguridad (AuS) y el
A3.1
Obtener o renovar el certificado
de cultura de seguridad
responsable de seguridad (Cl/RS) puedan analizarlos y tomar
cCS medidas las medidas correctoras pertinentes para
mPP, mVS,
solucionarlos.
A3.2 mCS, mGS A3.3
cCs: Certificado pGen
Ejecutar
cultura de Seguimiento del
seguridad
procedimientos
pDen CMs, InfAud, cumplimiento del SGSI
del SGSI
InfAle
A. Objetivos.
Inf. Procedimiento
Información Métricas
+
Cuadro de Mandos
Los principios básicos considerados durante el desarrollo
Repositorio de
Información del
de las actividades que conforman este subproceso son:
SGSIs
 Aportar a los usuarios del sistema de información los
elementos necesarios para poder trabajar con él,
Conocimiento
manteniendo una adecuada gestión de la seguridad y
Esquema Refinado con un coste de recursos reducido y adecuado a las
Figura 2. Esquema detallado a nivel de actividad del subproceso MDAR. PYMES.
 Permitir al responsable de seguridad (Cl/RS) conocer
en todo momento el nivel de madurez de la gestión de
 A3.2 – Ejecutar procedimientos del SGSI: Esta
seguridad del sistema de información de la compañía
actividad permite a los usuarios del sistema de
y el nivel de cumplimiento de cada uno de los
información realizar de forma organizada procesos
controles o salvaguardas que lo componen,
que afectan a la seguridad del sistema de información
permitiéndole tomar en el menor plazo posible
y que, por tanto, requieren un cierto grado de gestión.
medidas correctoras.
Estos procedimientos se han dividido en dos tipos: i)
 Incorporar la gestión de la seguridad como una pieza
Procedimientos generales: Contienen las operaciones
más de la compañía, creando una cultura de seguridad
que deben realizar los usuarios para poder interactuar
alrededor de ella.
con el sistema de información de la empresa,
manteniendo una adecuada gestión del mismo y el
cumplimiento de los controles de seguridad. Es decir, B. Entrada y salida.
permitirán a los usuarios del sistema de información El mantenimiento del SGSI es un subproceso cuyas
interactuar con éste de una forma organizada y segura; entradas se componen de:
y ii) Procedimiento de denuncia: Este procedimiento  Un Plan de mejora (PM) y una Matriz de riesgos (MR)
especial permite a los usuarios del sistema de que servirán al auditor de seguridad (AuS) y al
información notificar fallos y violaciones en la responsable de seguridad (Cl/RS) para poder acometer
seguridad del sistema de información, ayudando a mejoras en la seguridad del sistema de información.
tomar medidas correctivas.  Un conjunto de elementos seleccionados del esquema
 A2.3 – Seguimiento del cumplimiento del SGSI: Esta del SGSI, que componen la base del SGSI
actividad se ocupa de mantener actualizado el nivel de propiamente dicho: i) reglamentos seleccionados; ii)
madurez y el nivel de cumplimiento de los controles procedimientos activos; iii) roles del SGSI asociados a
que componen el SGSI de la compañía, con el los procedimientos; iv) controles de seguridad con su
objetivo de permitir que tanto el responsable de nivel de cumplimiento actual que servirán para
seguridad (Cl/RS) como el auditor de seguridad (AuS) inicializar los valores del cuadro de mandos de
tengan conocimiento lo antes posible de pérdidas de
232
seguridad (CMs) del sistema de información; v) esquemas existentes o crear nuevos esquemas mediante el
conjunto de métricas. subproceso GEAR.
Mediante estas entradas y la ayuda del auditor de

C. Actores.
seguridad (AuS) y del responsable de seguridad (Cl/RS), se
pondrá en funcionamiento el SGSI de la compañía, que estará En la Tabla 1 se muestra en qué actividades y tareas tendrá
formado por una serie de salidas que realimentarán y que intervenir cada uno de los tipos de actores definidos en la
mantendrán actualizado el SGSI: metodología.
 Certificados de cultura de la seguridad (cCS): Es el En la actividad actual participarán los siguientes tipos de
certificado que se entrega a los usuarios del sistema de actores: el cliente (Cl), con todos los roles asociados al mismo,
información y que les autoriza a poder acceder al y el auditor de seguridad (AuS).
mismo. Todos los usuarios del departamento de sistemas tendrán
como mínimo el perfil de usuario del sistema de información
 Procedimientos generales (proGen): Cuando se ejecuta
(Cl/US), y adicionalmente podrán tener asignados otros
uno de los procedimientos que se incluyó en el
perfiles de los presentes en la lista. Por ello, para simplificar la
esquema del subproceso GEAR y se seleccionó
Tabla 1, se ha puesto sólo el perfil de usuario del sistema de
durante el subproceso GAGR, se crea una instancia
información (Cl/US) en lugar de todos los perfiles posibles del
del mismo que es el conjunto de datos generados para
cliente (Cl).
esa ejecución en concreto.
 Procedimiento de denuncia (proDen): Esta salida
Tabla 1. Intervención de los actores en el proceso MDAR
consiste en la instancia de ejecución del procedimiento
de denuncia, y está formada por los datos recogidos a MARISMA
lo largo de todo el proceso de ejecución del mismo. MDAR
 Cuadro de mandos de seguridad (CMs): Esta salida A3.1: Obtener certificado de cultura de seguridad.
contiene el nivel de cumplimiento de los controles de
T3.1.1
seguridad que componen el cuadro de mandos al
finalizar la tarea T3.3.1. Cl/US
 Métricas de periodicidad de los procedimientos A3.2: Renovar el certificado de cultura de seguridad.
(mPP): Esta salida contiene el estado de la T3.2.1
periodicidad de los procedimientos del SGSI al Cl/US
finalizar la tarea T3.3.2.
A3.3: Ejecutar procedimientos del SGSI.
 Métricas de violaciones de seguridad (mVS): Esta
salida contiene el estado de las violaciones de T3.3.1
seguridad activas en el sistema al finalizar la tarea Cl/US
T3.3.3. A3.4: Activar procedimiento de denuncia.
 Métricas de cultura de seguridad (mCS): Esta salida T3.4.1
contiene el estado de la cultura de seguridad para cada
Cl/US
usuario que forma parte del SGSI al finalizar la tarea
T3.3.4. A3.5: Seguimiento del cumplimiento del SGSI.
 Informe de auditorías (InfAud): Informe de las T3.5.1 T3.5.2 T3.5.3 T3.5.4 T3.5.5 T3.5.6 T3.5.7
diferencias existentes entre los niveles de Cl/RS Cl/RS Cl/RS AuS Cl/RS Cl/RS Cl/RS
cumplimiento de los controles que componen el
cuadro de mandos de seguridad y los medidos por el
auditor de seguridad (AuS). D. Actividades.
 Métricas generales de seguridad (mGS): Esta salida A continuación se describirán en detalle las entradas,
contiene las medidas de diferentes parámetros del salidas, relaciones y objetivos de cada una de las diferentes
SGSI que aportan las métricas generales activas en el actividades y tareas que componen el subproceso MDAR de la
sistema. metodología MGSM–PYME.
 Informe de alertas (InfAle): Esta salida contiene el
informe de las últimas alertas de seguridad que se han
producido en el SGSI.
D.1. Actividad A3.1: Obtener o renovar el certificado de CS
Las salidas de este subproceso se almacenarán en el El principal objetivo de esta actividad es establecer una
repositorio de SGSIs para ir actualizando los valores del cultura de seguridad básica en los usuarios que tendrán que
cuadro de mandos y, por otra parte, se generarán entregables trabajar con el sistema de información de la compañía, sin la
para que puedan ser analizados por el auditor de seguridad cual no podrán acceder al mismo.
(AuS), el responsable de seguridad (Cl/RS) y para que el Durante el desarrollo de la investigación se han probado
grupo de expertos del dominio (GED) puedan refinar los diversos métodos para establecer una cultura de la seguridad
233
en la compañía. Finalmente, el procedimiento que se ha SGSI o asistir a un curso de gestión de seguridad para
determinado implantar consiste en la realización de una serie adquirir el nivel de conocimientos adecuados para
de cuestionarios de seguridad asociados al reglamento del acceder al sistema. Dentro de esta tarea existen dos
SGSI, con el objetivo de mantener y mejorar la cultura de la procesos diferenciados: i) Obtención del certificado de
seguridad de la compañía sin que tenga un coste alto de cultura de la seguridad.; ii) Renovación del certificado
mantenimiento. de cultura de la seguridad.
La idea principal es requerir un “certificado de nivel
cultural” con respecto al sistema de la información a los
usuarios del mismo, certificado que puede ser retirado y que SGSI
debe ser renovado periódicamente para garantizar que se sigue
manteniendo dicho nivel de cultura de seguridad.
La actividad ha demostrado que, por su sencillez y el poco sP3 – MSGS – A3.1
tiempo que requiere, va creando de forma progresiva una
cultura de la seguridad en los usuarios. La automatización de T3.1.1
la misma evita costes adicionales de mantenimiento y Realización del Test de
Cultura de Seguridad
planificación, y hace que la cultura de seguridad se mantenga
Gener. Examen
como algo inherente al propio sistema de información. con Artefactos cCS Resultados
SGSI Examen
Entrada
En la ¡Error! No se encuentra el origen de la referencia.
Entregable
se puede ver el esquema básico de entradas, tareas y salidas
que componen esta actividad: Tarea
Repositorio de
 Entradas: Como entradas se recibirán las respuestas de Repositorio de
SGSIs
Información de Repositorio
SGSI
los usuarios al cuestionario de preguntas sobre el Flujo Información
reglamento generado por el sistema. Flujo Proceso
 Tareas: El subproceso estará formado por una sola

tarea que se ocupará de la emisión de los certificados
de seguridad.
 Salidas: La salida producida por este subproceso cCs
consistirá en el certificado de cultura de seguridad en

el caso de que la nota obtenida en el cuestionario sea
superior a cinco o la denegación del certificado en
caso contrario. Si se suspende el examen, se En la Figura 4 se puede ver en detalle el diagrama
recomendará al usuario el estudio del manual de de flujo de los diferentes pasos que conforman el
seguridad incluido en el SGSI o bien la asistencia a un primero de estos procesos (obtención del certificado
curso de gestión de seguridad para aumentar los de cultura de la seguridad). La primera vez que el
conocimientos en la materia. usuario accede al sistema de información, deberá
aceptar la política de seguridad de la empresa. De esta
En la Figura 3 muestra la tarea de la actividad de forma forma se garantiza que el usuario lea, aunque sea de
mucho más detallada, viendo cómo interactúa ésta con el forma rápida, la política de la empresa (mejorando la
repositorio de información de SGSIs encargado de contener cultura de seguridad). Después, el usuario deberá
los certificados de seguridad concedidos y la nota obtenida. pasar un test inicial compuesto por unas veinte
A continuación describimos el objetivo de cada una de las preguntas extraídas al azar a partir del SGSI de la
tareas: compañía.
 Tarea T3.1.1 – Realización del test de cultura de Mientras el usuario no consiga obtener más del 50%
seguridad: El objetivo de la tarea T.3.1.1 es realizar de respuestas correctas en el test se considera que su
una evaluación de los conocimiento que un usuario “cultura de seguridad” para el sistema de información
que desea acceder al sistema de información de la de la compañía no es adecuada y deberá realizar otro
compañía tiene con respecto al reglamento que examen hasta conseguir una calificación superior o
compone el SGSI, determinando si está preparado o igual a cinco. El usuario no podrá acceder al sistema
no para acceder al mismo. El limitar el acceso al de información de la compañía hasta que no alcance
sistema de información a los usuarios, hasta que un nivel adecuado de “cultura de seguridad”. De esta
consigan demostrar que tienen unos conocimientos forma se garantiza implantar la cultura de una forma
básicos de cómo deben actuar con él, es un control que eficiente. Una vez que el usuario consiga el aprobado
ayuda a mitigar los riesgos a los que está sometido el su nota se guardará en un registro, se le concederá un
sistema, obligando a los usuarios a incrementar su certificado de “cultura de seguridad” y se le dará
cultura de seguridad de forma progresiva y con un acceso al sistema de información. La nota obtenida
bajo coste. En el caso de que un usuario suspenda un será importante para poder mantener el certificado
examen, deberá volver a estudiar la información del obtenido en el tiempo, ya que ésta se verá modificada
234
por otras tareas del sistema. Durante el S.I.

Activación por Caducidad del Certificado
de Nivel Cultural
Antes del S.I.
Aviso Caducidad del

Certificado
Aceptación
Politica de Seguridad No
¿Realizar Normativa
Si
No Test?
Normativa Test de Cultura de

20 preguntas
¿Politica ¿Ha caducado
Seguridad
Aceptada? No
el certificado
Si
Si Si ¿Aprobado?
No
20 preguntas Programar Aviso Bloqueo de acceso al

Test Inicial de para el día Siguiente S.I. Si
Cultura de Seguridad
Concesión de puntos
y certificado de Nota
Nivel Cultural Obtenida
No
Certificado
Nivel Cultural Si
¿Aprobado?
Certificado
Acceso al S.I.
Nivel Cultural
No se autoriza el
Si
acceso al S.I.
Concesión de puntos Nota obtenida

y Certificado de
Nivel Cultural Figura 5. Esquema de renovación de un certificado de la CS.
Para evitar interferir en el trabajo diario de los

Acceso al S.I. usuarios, la notificación de caducidad del certificado
se produce desde 1 mes antes de ser efectiva, de forma
que el usuario puede postergar la realización de los
test al momento que desee dentro de ese periodo. El
sistema diariamente le irá recordando el tiempo que
resta para que caduque su certificado. Llegada la fecha
Figura 4. Obtención inicial de un certificado de “cultura de seguridad”. de caducidad, si el usuario no ha realizado y aprobado
el test se bloqueará su acceso al sistema de
información hasta que consiga renovar el certificado.
El segundo de los procesos que componen la tarea
Dado que el tiempo consumido por recurso (TcR) es
de “realización del test de cultura de seguridad” es la
uno de los factores principales de éxito para la
renovación del certificado de cultura de la seguridad
metodología (en particular en el caso de las PYMES),
(CS), ya sea por la caducidad del mismo o por la
se han realizado estimaciones del tiempo que podría
pérdida de puntos de la calificación. Los pasos de este
costar la implantación de la cultura de seguridad,
proceso se pueden ver en detalle en el diagrama de
llegando a la conclusión de que la sencillez del
flujo de la Figura 5.
proceso lo hace totalmente aceptable para las PYMES
Se ha establecido un periodo de renovación del
(se ha estimado que la obtención inicial del certificado
certificado de cultura de la seguridad de 1 año, aunque
podría llevar entre 1 y 2 horas, en torno a 90 minutos
esta cifra podría reducirse a 6 meses para acelerar el
para la lectura de la política de seguridad y el
establecimiento de la cultura de la seguridad de la
entendimiento de los elementos del SGSI, y unos 30
información. Debido a la sencillez del procedimiento
minutos para la realización y aprobación de test). Esta
no es aconsejable relajar más el tiempo de la
inversión de tiempo se realizaría sólo inicialmente ya
renovación de los certificados, porque podría
que, aunque el certificado se debe renovar de forma
degradarse la cultura de seguridad (ej.: se considera
periódica, la política de seguridad sólo se debe leer y
que un tiempo de 2 años sería contraproducente), ni
aprobar inicialmente.
forzarlo demasiado porque podría producir rechazo
La experiencia obtenida a partir de los casos de
entre los usuarios (Ej.: se considera que un tiempo
prueba demuestra que los usuarios del sistema de
inferior a 6 meses crearía rechazo entre los usuarios).
información consideran esta inversión de tiempo
razonable, a su vez la necesidad de obtener el
certificado para poder acceder al sistema de
información, hace que no sea cuestionada por ellos.
235
Por último, merece la pena destacar que los Entradas Tareas Salidas
usuarios que intentaron saltarse la lectura de la política
de seguridad para ahorrar tiempo tuvieron que repetir
varias veces los test, invirtiendo finalmente el mismo MSGS – A3.2
Datos
tiempo que si hubieran leído la política. Cualquiera de usuarios
los dos caminos se puede considerar correcto, ya que T3.2.1
pGen, pDen
ambos conducen al objetivo de introducir en los
usuarios la semilla inicial de la “cultura de seguridad”. cCs T3.2.2
Con esta sencilla tarea los usuarios nunca pierden
conciencia de la importancia de mantener actualizado
su nivel de cultura de la seguridad. Así mismo, dado
eSGSI
que los test se realizan al azar mediante combinación Repositorio de
de preguntas de los reglamentos de seguridad Información de
SGSIs
activados en la compañía, los usuarios van tomando
conciencia cada vez mayor de estos reglamentos, de Figura 6. Esquema simplificado a nivel de tarea de la actividad A3.2.
una forma intuitiva y con un coste mínimo.
En la Figura 7 se muestran las actividades del
D.2. Actividad A3.2: Ejecutar procedimientos del SGSI subproceso de forma mucho más detallada, viendo cómo
interactúan éstas con el repositorio de SGSIs encargado de
Esta actividad tiene como principal objetivo permitir a los
contener las estadísticas y los datos introducidos por los
usuarios del sistema de información la ejecución de los usuarios del sistema de información durante el trabajo diario
procedimientos que contienen los procesos necesarios para con el SGSI.
mantener el SGSI de la compañía.
La ejecución de uno de los procedimientos pertenecientes
al SGSI producirá una instancia del procedimiento, que será el Datos
eSGSI cCs
conjunto de datos únicos introducidos durante la ejecución de usuarios
ese procedimiento.
En la Figura 6 se puede ver el esquema básico de sP3 – MSGS – A3.2
entradas, tareas y salidas que componen esta actividad:
 Entradas: Como entradas se recibirán: i) el certificado Estructura
T3.2.1
Activar procedimiento Resultados
Procedimiento general Procedimientos
de cultura de seguridad, ya que sin él no se puede
acceder al sistema de información de la empresa; ii) pGen
los datos de entrada de los usuarios de la empresa para Repositorio de Entrada

Repositorio de
la fase del procedimiento que se esté ejecutando; iii) SGSIs
Información de
Entregable
SGSI
del repositorio de información del SGSI se obtendrán Tarea
pDen
los datos de la fase anterior de la instancia del Estructura
Procedimiento
Resultado
Procedimiento
Repositorio
T3.2.2
procedimiento que se está ejecutando. Denuncia
Activar procedimiento de
Denuncia
Flujo Información
 Tareas: El subproceso estará formado por dos tareas denuncia

Flujo Proceso
que son independientes y que se corresponden con los

dos tipos de procedimientos existentes en el sistema
(generales y de denuncia). pGen, pDen

consistirá en un informe que contenga toda la
información generada en la instancia de cada fase del
procedimiento durante la ejecución del mismo, con el Los procedimientos se encuentran divididos en fases. Cada
objetivo de que el auditor de seguridad (AuS) y el fase de un procedimiento puede ser ejecutada por un usuario
responsable de seguridad (Cl/RS) puedan analizarla y diferente.
determinar mejoras en los procedimientos. A continuación describimos el objetivo de cada una de las
tareas:
 Tarea T3.2.1 – Activar procedimiento general:
Mediante la tarea T3.2.1 se puede iniciar una instancia
de unos de los procedimientos generales que forman
parte del SGSI de la compañía. El objetivo de estos
procedimientos es permitir a los usuarios del sistema
de información realizar las operaciones que afectan a
la seguridad de éste de una forma organizada. Los
procedimientos tienen asignada una política de
236
seguridad a nivel de fase, de tal forma que sólo La tarea se inicia cuando un usuario del sistema de
aquellos roles que tengan acceso a las fases podrán información detecta una violación de seguridad o un
participar en el proceso. Sólo aquellos roles que incumplimiento de una regla del reglamento aprobado
tengan acceso a la fase inicial de un procedimiento para el SGSI de la compañía y decide poner en
podrán iniciar una instancia del mismo, y sólo los que conocimiento del responsable de seguridad (Cl/RS)
tengan acceso a la fase final podrán finalizar dicha dicha violación. Éste recibe la denuncia y determina si
instancia. Las fases intermedias podrán ser ejecutadas está justificada o no. En el caso de considerarla
por aquellas personas que tengan los roles adecuados justificada aprobará la misma, lo que causará una
y hayan sido designados como receptores de dicha disminución del nivel de seguridad de los controles
fase por el usuario responsable de la fase anterior asociados a esa regla (mediante la matriz definida en
(Figura 8). Cuando un usuario inicia un la T1.4.8).
procedimiento, el sistema irá de forma automática Este procedimiento posibilita que las violaciones en
activando las fases y solicitando las operaciones el reglamento del SGSI afecten de forma directa e
necesarias para pasar a la siguiente fase a cada uno de inmediata al cuadro de mando, sin necesidad de
los usuarios involucrados, como se puede ver en la esperar que un auditor venga a revisar el sistema. Así
Figura 8. De esta forma, hasta que el usuario mismo se ven afectados todos los niveles del cuadro
responsable de una fase no dé la aprobación de la de mandos, alertando a la gerencia de forma sencilla
misma, el procedimiento quedará pendiente y el cuando algo va mal, sin necesidad de esperar a la
sistema almacenará los retrasos ocasionados para un auditoría anual o bi–anual que realiza un auditor
posterior análisis. Durante la ejecución de los externo para poder tomar decisiones. Al poder tomarse
procedimientos se genera información estadística de decisiones cuando los problemas aparecen, sin
los tiempos de ejecución de cada fase y el origen de necesidad de esperar un periodo largo de tiempo, se
los retrasos producidos, con el objetivo de poder tomar evita el efecto dominó que se produce al empezar a
decisiones que los hagan más eficientes. degradarse controles de seguridad y carecer de la
información necesaria para aplicar las medidas
Fases correctivas antes de que afecten a otros controles. Por
Fases último, se evita el efecto de desorientación que
1
3 2
produce al responsable de seguridad (Cl/RS) conocer
5 4
la existencia de fallos en el sistema, pero no su origen.
7 6
Usuario 9
8
Procedimientos 10 Usuario
Figura 8. Flujo de actividad en procedimientos. Bajar nivel

seguridad
Denuncia
 Tarea T3.2.2 – Activar procedimiento de denuncia: El

objetivo de la tarea T3.2.2 es gestionar y evaluar las -1% -1%
∏
violaciones de seguridad y mantener actualizado el Reglamento-
nivel de seguridad de los controles. El perfil más Controles -1% -1%
importante en este procedimiento es el responsable de
seguridad (Cl/RS). El esquema general de este Almacén de Control de
procedimiento se puede ver en la Figura 9, y es el Controles Sanciones
encargado de gestionar las denuncias por parte de un
usuario del sistema sobre el incumplimiento de una
regla de un reglamento.
Bajar nivel
seguridad Cuadro de Mandos de
Seguridad
Denuncia Sentencia
Usuario Control Figura 10. Esquema de activación de un procedimiento de denuncia.
de calidad
En la Figura 10 se puede ver un esquema del

Rechazada
funcionamiento de este procedimiento internamente.
Figura 9. Esquema del procedimiento de denuncia. Utilizando la matriz de reglamentos–controles
determina qué controles tienen que recibir la sanción.
237
Estos controles se sancionan con un –1% de nivel de seguridad (AuS) y el responsable de seguridad (Cl/RS)
cumplimiento, pero esta sanción sólo durará un puedan analizarla y determinar mejoras en los
periodo de tiempo (normalmente 1 año), por lo que se mismos.
almacenará en un deposito denominado “control de
sanciones”. El valor del nivel del cumplimiento del En la Figura 12 se muestran las actividades del subproceso
control se actualizará en el cuadro de mandos, tanto al de forma mucho más detallada, viendo cómo interactúan éstas
aprobarse la sanción como al caducar la misma. con el repositorio de SGSIs encargado de contener las
estadísticas y los datos introducidos por los usuarios del
D.3. Actividad A3.3: Seguimiento del cumplimiento del SGSI sistema de información durante el trabajo diario con el SGSI.
Esta actividad tiene como principal objetivo mantener
actualizado el nivel de madurez del SGSI y conocer en todo Datos eSGSI cCs
usuarios
momento el nivel de cumplimiento de los controles de
seguridad que forman parte del SGSI de la compañía.
sP3 – MSGS – A3.3
mPP mVS
T3.3.2 T3.3.3
Gestionando la Gestionando las
Datos
MSGS – A3.2 Periodicidad de los Proced. violaciones de Seguridad
mCS InfAud
usuarios
T3.3.1 T3.3.5 mPP, mVS, mCS,
mGS, InfAud, InfAle, T.3.4 T.3.5
eSGSI CMs Gestionando los Realizando Auditorias
T3.3.2 Certificados de C.Seguridad Periódicas
T3.3.6 mGS InfAle
cCs T3.3.3 T3.3.7 Conocimiento T.3.6 T.3.7

Gestionando las Métricas Gestionando el
Generales Sistemas de Alertas
T3.3.4 CMs
T3.3.1
Gestionando el Cuadro
Valores periódicos de Mandos de Seguridad
De Métricas Alertas
Repositorio de Seguridad
Nivel inicial
Información de de Seguridad
Niveles de los
SGSIs Nivel Seguridad Resultados
Certificados de
Por Control Auditorias
C. Seguridad
Repositorio de Manuales
Figura 11. Esquema simplificado a nivel de tarea de la actividad A3.3. Valores métricas
SGSIs
Actualizando
Procedimientos Niveles
Seguridad
Repositorio de
En la Figura 11 se puede ver el esquema básico de Información del
SGSIs
entradas, tareas y salidas que componen esta actividad: Entrada Repositorio
 Entradas: Como entradas se recibirán: i) el certificado Entregable Flujo Información
Tareas Flujo Proceso

de cultura de seguridad ya, que sin él no se puede
acceder al sistema de información de la empresa; ii)
datos de entrada de los usuarios (ej.: mediciones de los mPP, mVS, mCS, mGS,
InfAud, InfAle, CMs
Conocimiento
Esquema Refinado
niveles de cumplimiento de los controles por parte del
auditor de seguridad como parte del proceso de
recalibrado); iii) del repositorio de información del
SGSI se obtendrá información de cambios en el nivel Cada una de las tareas definidas en esta actividad tiene un
de cumplimiento de los controles de seguridad. objetivo claramente definido para mantener actualizado el
 Tareas: El subproceso estará formado por siete tareas sistema, que es:
que son independientes y que se irán ejecutando
 T3.3.1 – Gestionando el cuadro de mandos de
cuando sea necesario, sin una limitación temporal
seguridad: Permite al responsable de seguridad
(representada por un reloj en el esquema). Estas tareas
(Cl/RS) tener conocimiento en todo momento del
son: i) gestión del cuadro de mandos de seguridad; ii)
nivel de la gestión de la seguridad del sistema de
gestión de la periodicidad de los procedimientos; iii)
información sin tener que esperar a costosas y tardías
gestión de las violaciones de seguridad; iv) gestión de
auditorías externas.
los certificados de cultura de la seguridad; v)
 T3.3.2 – Gestionar la periodicidad de los
realización de las auditorías periódicas; vi) realización
procedimientos: Permite medir el impacto de
de métricas generales; vii) gestión del sistema de
incumplir la ejecución de un procedimiento sobre el
alertas.
sistema.
 T3.3.3 – Gestionar las violaciones de seguridad:
consistirá en una serie de informes asociados a
Permite medir el impacto que tendrá el
cambios en los niveles de cumplimiento de los
incumplimiento de una regla de seguridad de uno de
controles de seguridad y a violaciones de los
los reglamentos aprobados en el SGSI sobre el resto
reglamentos, con el objetivo de que el auditor de
238
de artefactos que conforman el sistema. evolucionar el nivel de cumplimiento de los controles de

 T3.3.4 – Gestionar los certificados de cultura de la seguridad de forma dinámica sin que sea obligatoria, aunque sí
seguridad: Permite medir el nivel de los usuarios con aconsejable, la intervención de auditores externos. De esta
respecto a la cultura de seguridad de la compañía, para forma, la compañía no tiene que esperar a la llegada de
tomar medidas correctoras (Ej. cursos de auditores externos para conocer cómo está evolucionando la
concienciación o seguridad). seguridad del sistema de información, sino que el sistema la
 T3.3.5 – Realización de auditorías periódicas: Los actualiza constantemente cambiando el nivel de seguridad de
realizará de forma periódica un auditor externo como los controles y reajustando todos los objetos del sistema.
mecanismo de recalibración del CMs. El resultado de cada cambio se ve reflejado en el nivel de
 T3.3.6 – Realización de métricas generales: Permite cumplimiento de los controles del cuadro de mandos de
medir otros factores específicos del SGSI asociados al seguridad, que se convierte en el centro de control del
funcionamiento de los procedimientos y controles (ej.: responsable de seguridad (Cl/RS) de la empresa para analizar
tiempo de respuesta a incidentes de seguridad). la evolución del sistema y tomar medidas correctivas.
 T3.3.7 – Gestionar el sistema de alertas: Facilita que el A continuación describimos el objetivo de cada una de las
responsable de seguridad (RS) tenga constancia de tareas:
fallos o distorsiones en la gestión de la seguridad del  Tarea T3.3.1 – Gestionar el cuadro de mandos de
S.I. sin tener que estar supervisándolo de forma controles de seguridad: La tarea T3.3.1 tiene como
constante. objetivo realizar actualizaciones en los controles de
Dentro de estas tareas, las T3.3.2, T3.3.3, T3.3.4, T3.3.5 y seguridad que componen el cuadro de mandos. La
T3.3.6 generan valores que alteran el nivel de seguridad de la ausencia de este cuadro de mandos de seguridad en las
compañía representado en el cuadro de mandos (T3.3.1), lo compañías hace que no tengan capacidad de tomar
que puede producir alertas en el sistema (T3.3.7). En la Tabla decisiones en materia de seguridad a corto plazo, ya
2 se puede ver el efecto que tiene sobre los controles de que dependen de la visita de los auditores
seguridad la activación de cada una de esas tareas. periódicamente (aproximadamente cada dos años)
para poder determinar qué controles se han ido
Tabla 2. Cuadro de métricas de autorregulación del nivel de seguridad degenerando con el tiempo. Sin embargo en la
metodología MGSM–PYME la existencia de un
Efecto
sobre
cuadro de mandos de seguridad dinámico hace que el
Tarea Condiciones de activación responsable de seguridad (Cl/RS) tenga en todo
control
es momento conocimiento de aquellos controles de
seguridad que requieren mayor supervisión y sobre los
T3.3.2:
Sube y Cada ejecución de procedimientos, cada mes que se deben tomar medidas correctoras.
Periodicida
baja el y cada tres meses. Penalización de –1% ó  Tarea T3.3.2 – Gestionar la periodicidad de los
d de los
nivel +1% de los controles asociados.
proced. procedimientos: La tarea T3.3.2 muestra una de las
Cuando el responsable de seguridad aprueba métricas específicas de la metodología, cuyo objetivo
una denuncia, el usuario denunciado es es dotar a cada procedimiento de una periodicidad de
sancionado con: ejecución (tiempo mínimo en que el procedimiento
T3.3.3: Baja el debe ser ejecutado). De esta forma, cuando uno de los
–1 punto del certificado de cultura de
Denuncias nivel
seguridad. procedimientos del SGSI pasa más del periodo
–1% de los controles asociados al mínimo que tiene definido sin ejecutarse, lanza una
reglamento incumplido. alerta cuyo objetivo es reducir el nivel de seguridad de
Anual y bi–anualmente. los controles asociados a ese procedimiento del SGSI
Sube y
T3.3.5: y a los elementos asociados al mismo. El responsable
baja el Actualiza todos los controles con los nuevos
Auditorías de seguridad (Cl/RS) determina en última instancia si
nivel valores.
tiene sentido o no disminuir la seguridad. Por el
T3.3.6: Sube y
baja el
De forma constante cuando un contrario, cuando un procedimiento se ejecuta antes de
Métricas
procedimiento lo requiera. cumplirse la periodicidad establecida, hace que se
generales nivel
incremente el nivel de cumplimiento de los controles
Al entrar en el S.I., al llegar al nivel mínimo
de puntos permitidos, anualmente. asociados. El sistema de periodicidad de los objetos ha
T3.3.4: sido planificado para que se vaya autorregulando
Certificado Sube y Cada pregunta del examen:
anualmente, por lo que inicialmente se establece que
s de cultura baja el  Fallada –0,1% de los controles
de nivel todos los objetos tienen una periodicidad mensual (ej.:
asociados. si el primer año un procedimiento se ejecuta 50 veces,
seguridad  Acertada +0,1% de los controles
el año siguiente la periodicidad de dicho
asociados.
procedimiento pasara a ser 365/50, es decir,
semanalmente; el siguiente año se realizará la media
Esta actividad se ha diseñado para que permita al SGSI con toda la información de la base de datos relativa a
239
la periodicidad del objeto, hasta que se consiga la del usuario que cometió la violación de seguridad.
periodicidad más cercana a la realidad. Por el Cada violación implica la pérdida de un 1 punto del
contrario, si un procedimiento se debe ejecutar sólo 2 certificado de cultura de la seguridad (NCS) que el
veces al año, inicialmente se disparará cada mes, y el usuario tenía hasta el momento, y que era el resultado
responsable de seguridad determinará si realmente se de la nota obtenida en el test de cultura de seguridad,
está incumpliendo el procedimiento, en cuyo caso menos los puntos que ya hubiera perdido durante el
aprobará la penalización (–1%), o por el contrario no periodo de validez de ese certificado por violaciones
ha sido necesario ejecutarlo, en cuyo caso anulará la de la normativa activa en la compañía. Si la pérdida de
penalización). De esta forma, cada procedimiento puntos debida a violaciones de seguridad hace que la
periódicamente intenta recordar su existencia al puntuación del certificado de cultura de la seguridad
responsable de seguridad (Cl/RS) regulando el nivel baje de los 5 puntos, se le quitará al usuario el
de cumplimiento (NC) de los controles asociados. certificado, y con ello el acceso al sistema de
 Tarea T3.3.3 – Gestionar las violaciones de seguridad: información de la compañía, hasta que vuelva a
El objetivo de la tarea T3.3.3 es aportar otro aprobar el examen y así obtenga un nuevo certificado
mecanismo de medición que permita mantener de seguridad. Todo este proceso se puede ver en la
actualizado el nivel de la gestión de la seguridad en la Figura 13. Este proceso sirve como control preventivo
compañía. Esta tarea permite controlar las violaciones para que los usuarios del sistema de información sean
del reglamento de seguridad del SGSI de la compañía, conscientes de que las violaciones de las normativas
penalizando los controles asociados a las reglas que se tienen un coste. Así mismo, la medida no es
han violado en el caso de que el responsable de excesivamente grave y por tanto los usuarios no la ven
seguridad (Cl/RS) considere que realmente ha existido con rechazo. Este control no tiene un coste de gestión
una violación. Al contrario que en los mecanismos de representativo, ni en tiempo ni en recursos para la
autorregulación incluidos en otras tareas, el porcentaje compañía, pero supone un importante refuerzo para
de la penalización en el sistema de denuncias es alta establecer una correcta cultura de seguridad en la
dado que existe una evidencia de la violación del compañía.
reglamento de seguridad. En la metodología se ha
establecido una penalización del 1% de valor total de Durante el S.I.
Activación por Incidencia de Seguridad
los controles de seguridad que estén relacionados con
la regla incumplida y un 1 punto menos en el
certificado de cultura de la seguridad del usuario del
-1 Certificado
sistema de información que ha ocasionado la Denuncia aprobada
Nivel Cultural
violación. Esta tarea sólo tiene carácter sancionador,
no existiendo mecanismo en la misma que permita
¿Nivel
aumentar el nivel de cumplimiento de los controles o Cultural <5?
del certificado de cultura de la seguridad. Por último,
se ha determinado no premiar al usuario que efectúa la Si Normativa
Nota
denuncia para evitar que ésta quede invalidada por Retirada del
Obtenida
Certificado de Nivel
ello. Cultural 20 preguntas
Bloqueo de acceso al
 Tarea T3.3.4 – Gestionar los certificados de cultura de S.I.
seguridad: El objetivo de la tarea T3.3.4 es actualizar Test de Cultura de
Seguridad
la puntuación de los certificados de cultura de
Si
seguridad y de los controles de seguridad asociados a No
estos cuando se producen ciertas acciones: i)
¿Aprobado?
violaciones del reglamento de seguridad; y ii) cuando
se pierde el certificado de cultura de la seguridad por Si
tener menos puntos de los requeridos. A lo largo de la
Concesión de puntos
investigación se ha determinado que cuanto mayor es y certificado de
la cultura de seguridad de la compañía, mayor es el Nivel Cultural
número de denuncias que llegan de parte de los Si

usuarios, máxime cuando dichas denuncias no
Acceso al S.I.
implican actualmente sanciones graves contra los
denunciados. Cuando se realiza una denuncia de un
incidente de seguridad y el responsable de seguridad
considera que está justificada y, por lo tanto la
aprueba, además de verse afectado el nivel de
Figura 13. Alteración del NCS por una violación de la normativa.
seguridad global de la compañía se ve afectada la
puntuación del certificado de cultura de la seguridad
240
 Tarea T3.3.5 – Realización de auditorías periódicas: información del estado de la seguridad del SGSI
El objetivo de la tarea T3.3.5 es la realización de mediante el uso de una serie de métricas generales.
auditorías externas, que servirán para recalibrar los Estas métricas no afectan de forma directa al nivel de
niveles de cumplimiento de los controles de seguridad cumplimiento de los controles del SGSI, pero aportan
que componen el cuadro de mandos del SGSI. Esta información al responsable de seguridad (Cl/RS) sobre
tarea consiste en la realización de una lista de medidas que debe tomar para mejorar la gestión de la
verificación (que podría ser la realizada en la tarea seguridad del sistema de información. El responsable
T1.2.2) por parte del auditor de seguridad (AuS) y de seguridad (Cl/RS) puede determinar alterar el valor
comparar el resultado del nivel de cumplimiento de los niveles de cumplimiento de los controles de
obtenido para cada control de seguridad del SGSI en seguridad de forma manual, a partir de la información
la evaluación del auditor externo de seguridad (AuS) aportada por estas métricas, en caso de que lo
con el nivel de cumplimiento actual del cuadro de considere conveniente.
mandos, con el objetivo de: i) determinar las  Tarea T3.3.7 – Gestionar el sistema de alertas: El
variaciones existentes entre los controles y determinar objetivo de la tarea T3.3.7 es evitar que el responsable
las causas de las mismas y qué métricas han de seguridad (Cl/RS) tenga que estar continuamente
funcionado de forma incorrecta; y ii) recalibrar el analizando todos los controles del cuadro de mandos
cuadro de mandos, actualizando de nuevo el nivel de de seguridad para determinar si se está produciendo
cumplimiento de los controles de seguridad. La degeneración del sistema. Esta tarea envía una alerta
metodología se ha planteado para reducir la necesidad al responsable de seguridad (Cl/RS) cuando el nivel de
de las auditorías periódicas, por dos motivos: i) el cumplimiento de un control supera uno de los límites
primero es que suponen un elevado coste para la establecidos (ej.: 0–10%, 10–25%, 25–50%, 50–75%,
empresa; y ii) el segundo es que al realizarse en 75–90%, 90–100%), indicándole que se ha producido
periodos de tiempo largos (ej.: cada dos años), no un cambio desde el limite X al Y, y las causas que lo
sirven para tomar medidas a corto plazo, que son las han motivado. De esa forma el responsable de
que realmente suponen un ahorro de coste a la seguridad (Cl/RS) puede determinar si las causas han
empresa al mantener el nivel de la seguridad. A lo sido objetivas o se trata de una mala interpretación del
largo de la investigación se ha llegado a la conclusión sistema y, por tanto, puede volver a regular el nivel
de que si el responsable de seguridad detecta en una del control. En la Figura 14 se puede ver gráficamente
fase temprana la degeneración de un control de el flujo seguido por la tarea.
seguridad es muy fácil determinar y aplicar medidas
correctivas, ya que el control tan sólo está sufriendo Cambio
de nivel
una degeneración, pero sigue teniendo los pilares
sobre los que aplicar las medidas correctivas. Por el Alerta
contrario, si un nivel empieza a degenerar y este
Recalculo Cuadros de Mandos de
procedimiento se alarga en el tiempo sin tomar Controles Seguridad Aceptar
Cambios
medidas correctoras, finalmente el control pierde toda Notificación
alerta
Responsable Sentencia
Seguridad
su consistencia, requiriendo de un esfuerzo enorme
Metricas Rechazada
para volver a cumplirlo. Esto es debido a que cuando
un control se degrada durante un largo espacio de Figura 14. Sistema de alertas para control de niveles de seguridad
tiempo termina afectando negativamente a la cultura
de seguridad de la compañía. Por lo tanto, la V. CONCLUSIONES.
metodología evita depender sólo de las auditorias En este artículo se ha presentado el proceso que permite el
periódicas (ej.: bi–anuales), dejando éstas como un mantenimiento dinámico de un análisis de riesgos a lo largo
mero mecanismo de auto–regulación para determinar del tiempo, el cual permite soportar los resultados generados
pequeñas desviaciones que se han podido producir. durante la investigación y que cumple con los objetivos
Los resultados de la auditoría a nivel de cumplimiento perseguidos, especialmente la capacidad de generarse y
de los controles de seguridad no deberían diferir en mantenerse actualizado a lo largo del tiempo con un bajo coste
más de un 5% del nivel de cumplimiento que en recursos humanos y económicos, lo que suponía dos de los
actualmente tiene el cuadro de mandos de seguridad grandes problemas de este tipo de sistemas para todas las
del SGSI. En caso contrario, se deberían determinar compañías en la que se realizó la investigación.
las causas de la desviación: i) mal funcionamiento de El análisis de riesgos para las PYMES deberá tener un
las métricas definidas; ii) falta de métricas; iii) coste de generación y mantenimiento muy reducido, aún a
utilización incorrecta del SGSI por parte de los costa de sacrificar precisión en el mismo, pero siempre
usuarios; iv) falta de supervisión del responsable de manteniendo unos resultados con la calidad suficiente.
seguridad (Cl/RS), v) etc. Se ha definido cómo se puede utilizar este proceso y las
 Tarea T3.3.6 – Gestionar las métricas generales: El mejoras que ofrece con respecto a otros modelos que afrontan
objetivo de la tarea T3.3.6 es aportar nueva el problema de una forma más precisa y detallada, pero
241
también más costosa, lo que no las hace válidas para el caso de [5] Wiander, T. and J. Holappa, Theoretical Framework of ISO 17799
Compliant. Information Security Management System Using
las PYMES. Novel ASD Method., in Technical Report, V.T.R.C.o. Finland,
El proceso ha sido validado con más de 20 compañías de Editor 2006.
España y Colombia, facilitadas por la empresa Sicaman [6] Whitman, M. and H. Mattord, Principles of information
security2011: Cengage Learning.
nuevas Tecnologías S.L. Las características ofrecidas por el [7] Kluge, D. Formal Information Security Standards in German
proceso y su orientación a las PYMES ha sido muy bien Medium Enterprises. in CONISAR: The Conference on
recibida, y su aplicación está resultando muy positiva ya que Information Systems Applied Research. 2008.
permite a este tipo de empresas realizar una adecuada gestión [8] Dhillon, G. and J. Backhouse, Information System Security
Management in the New Millennium. Communications of the
del riesgo al que están sometidos los activos de su sistema de ACM, 2000. 43(7): p. 125-128.
información, haciéndola sostenible a lo largo del tiempo, y [9] Volonino, L. and S. Robinson. Principles and Practice of
permitiéndole conocer en tiempo real como este riesgo se ve Information Security. in 1 edition, Anderson, Natalie E. 2004. New
alterado. Además, con este proceso se obtienen resultados a Jersey, EEUU.
[10] Michalson, L., Information security and the law: threats and how
corto plazo y se reducen los costes que supone el uso de otros to manage them. Convergence, 2003. 4(3): p. 34-38.
procesos, consiguiendo un mayor grado de satisfacción de la [11] Cholez, H. and F. Girard, Maturity assessment and process
empresa. improvement for information security management in small and
medium enterprises. Journal of Software: Evolution and Process,
El proceso MDAR de MARISMA cumple con los 2014. 26(5): p. 496-503.
objetivos propuestos, así como con los principios que según la [12] Spinellis, D. and D. Gritzalis. Information Security Best Practise
OCDE [52] debe seguir todo proceso de evaluación del riesgo, Dissemination: The ISA-EUNET Approach. in WISE 1:First
World Conference on Information Security Education. 1999.
según el cual el sistema debe tener la capacidad de autoevaluar [13] Candiwan, C. Analysis of ISO27001 Implementation for
su riesgo de forma continuada en el tiempo, proponiendo Enterprises and SMEs in Indonesia. in The International
medidas. Conference on Cyber-Crime Investigation and Cyber Security
(ICCICS2014). 2014. The Society of Digital Information and
Finalmente, se considera que el trabajo realizado debe ser Wireless Communication.
ampliado con nuevas especificaciones, nuevos esquemas, [14] Sánchez, L.E., et al., Managing Security and its Maturity in Small
mejorando los algoritmos de análisis y gestión del riesgo de and Medium-sized Enterprises. J. UCS, 2009. 15(15): p. 3038-
3058.
forma que puedan ofrecer planes más detallados y [15] Vivas, T., A. Zambrano, and M. Huerta. Mechanisms of security
profundizando en el proceso con nuevos casos de estudio. based on digital certificates applied in a telemedicine network. in
La mayor parte de las futuras mejoras del proceso se están Engineering in Medicine and Biology Society, 2008. EMBS 2008.
30th Annual International Conference of the IEEE. 2008.
orientando a mejorar la precisión del mismo, pero siempre [16] Vivas, T., et al., Aplicación de Mecanismos de Seguridad en una
respetando el principio de coste de recursos, es decir, se busca Red de Telemedicina Basados en Certificados Digitales, in IV
mejorar el proceso sin incurrir en costes de generación y Latin American Congress on Biomedical Engineering 2007,
Bioengineering Solutions for Latin America Health, C. Müller-
mantenimiento del análisis de riesgos.
Karger, S. Wong, and A. La Cruz, Editors. 2008, Springer Berlin
Heidelberg. p. 971-974.
AGRADECIMIENTOS [17] Alebrahim, A., D. Hatebur, and L. Goeke. Pattern-based and ISO
27001 compliant risk analysis for cloud systems. in Evolving
Esta investigación ha sido co-financiada por los proyectos Security and Privacy Requirements Engineering (ESPRE), 2014
SEQUOIA – Security and Quality in Processes with Big Data IEEE 1st Workshop on. 2014.
and Analytics (TIN2015-63502-C3-1-R) financiados por el [18] Tariq, M.I. and V. Santarcangelo. Analysis of ISO 27001: 2013
Controls Effectiveness for Cloud Computing. in ICISSP. 2016.
“Ministerio de Economía y Competitividad y Fondo Europeo [19] Siegel, C.A., T.R. Sagalow, and P. Serritella, Cyber-Risk
de Desarrollo Regional FEDER”, del proyecto ERAVAC Management: Technical and Insurance Controls for Enterprise-
ISO25000 (13/16/IN/4/014) financiados por la ”Consejería de Level Security. Security Management Practices, 2002. sept/oct: p.
33-49.
Economía, Empresas y Empleo” y del proyecto “Plataformas [20] Garigue, R. and M. Stefaniu, Information Security Governance
Computacionales de Entrenamiento, Experimentación, Reporting. Information Systems Security, 2003. sept/oct: p. 36-40.
Gestión y Mitigación de Ataques a la Ciberseguridad - [21] Mercuri, R.T., Analyzing security costs. Communication of the
ACM, 2003. 46: p. 15-18.
Código: ESPE-2015-PIC-019” financiado por la ESPE y [22] Bugdol, M. and P. Jedynak, Integration of Standardized
CEDIA (Ecuador), y ha contado con la participación de la Management Systems, in Integrated Management Systems2015,
empresa Sicaman Nuevas Tecnologías (www.sicaman-nt.com) Springer International Publishing. p. 129-160.
que ha permitido validar los resultados. [23] Barrientos, A.M. and K.A. Areiza, Integration of a safety
management system withan information quality management
system., in Master’s thesis2005, Universidad EAFIT.
[24] Lund, M.S., F.d. Braber, and K. Stolen, Proceedings of the Seventh
European Conference On Software Maintenance And
Referencias Reengineering (CSMR’03). IEEE, 2003.
[25] Fredriksen, R., et al. The CORAS framework for a model-based
[1] Wiander, T. Implementing the ISO/IEC 17799 standard in practice risk management process. in 21st International Conference on
– experiences on audit phases. in AISC '08: Proceedings of the Computer Safety, Reliability and Security (Safecomp 2002). 2002.
sixth Australasian conference on Information security. 2008. Springer: LNCS 2434.
Wollongong, Australia. [26] Sánchez, L.E., et al. Security Management in corporative IT
[2] Johnson, M., Cybercrime: Threats and Solutions, 2014. systems using maturity models, taking as base ISO/IEC 17799. in
[3] Von Solms, R., Information security management: processes and International Symposium on Frontiers in Availability, Reliability
metrics, 2014. and Security (FARES’06) in conjunction with ARES. 2006. Viena
[4] Pinheiro, F.S. and W.R. Júnior, INFORMATION SECURITY (Austria).
AND ISO 27001. Revista de Gestão & Tecnologia, 2016. 3(3).
242
[27] Sánchez, L.E., et al. MMISS-SME Practical Development: [52] OECD, OECD Guidelines for the Security of Information Systems
Maturity Model for Information Systems Security Management in and Networks: Towards a Culture of Security., O.f.E.C.-o.a.D.
SMEs. in 9th International Conference on Enterprise Information (OECD). Editor 2002: Paris.
Systems (WOSIS’07). 2007b. Funchal, Madeira (Portugal). June.
[28] Sánchez, L.E., et al. Developing a model and a tool to manage the Luis Enrique Sánchez is PhD and MsC in Computer
information security in Small and Medium Enterprises. in Science and is a Professor at the University of Castilla-la
International Conference on Security and Cryptography Mancha (Ciudad Real, Spain), MSc in Information
(SECRYPT’07). 2007a. Barcelona. Spain.: Junio. Systems Audit from the Polytechnic University of
[29] Sánchez, L.E., et al. SCMM-TOOL: Tool for computer automation Madrid, and Certified Information System Auditor by
of the Information Security Management Systems. in 2nd ISACA. He is the Director of Professional Services and
International conference on Software and Data Technologies R&D departments of the company Sicaman Nuevas
(ICSOFT‘07). . 2007c. Barcelona-España Septiembre. Tecnologías S.L. COIICLM board or committee member
[30] Sánchez, L.E., et al. Practical Application of a Security and responsible for the professional services committee.
Management Maturity Model for SMEs Based on Predefined His research activities are management security system, security metrics, data
Schemas. in International Conference on Security and mining, data cleaning, and business intelligence. He participates in the GSyA
Cryptography (SECRYPT’08). 2008. Porto–Portugal. research group of the Department of Computer Science at the University of
[31] Gupta, A. and R. Hammond, Information systems security issues Castilla- LaMancha, in Ciudad Real (Spain).
and decisions for small businesses. Information Management &
Computer Security, 2005. 13(4): p. 297-310. Antonio Santos-Olmo is MsC in in Computer Science and
[32] V3, M., Methodology for Information Systems Risk Analysis and is an Assistant Professor at the Escuela Superior de
Management (MAGERIT version 3), 2012, Ministerio de Informática of the Universidad de Castilla- La Mancha in
Administraciones Públicas (Spain). Ciudad Real (Spain) (Computer Science Department,
[33] Alberts, C.J. and A.J. Dorofee, Managing Information Security University of Castilla La Mancha, Ciudad Real, Spain),
Risks: The OCTAVE Approach., ed. A.-W.P. Co.2002. MSc in Information Systems Audit from the Polytechnic
[34] CRAMMv5.0, CRAMM v5.0, CCTA Risk Analysis and University of Madrid, and Certified Information System
Management Method., 2003. Auditor by ISACA. He is the Director of Software Factory departments of the
[35] Gerber, M. and R. Von Solms, Management of risk in the company Sicaman Nuevas Tecnologías S.L. His research activities are
information age. Computers & Security, 2005. 24(1): p. 16-30. management security system, security metrics, data mining, data cleaning, and
[36] ISO/IEC27005, ISO/IEC 27005:2011, Information Technology - business intelligence. He participates in the GSyA research group of the
Security Techniques - Information Security Risk Management Department of Computer Science at the University of Castilla- LaMancha, in
Standard (under development). 2011. Ciudad Real (Spain).
[37] ISO/IEC27001, ISO/IEC 27001:2013, Information Technology -
Security Techniques Information security management systemys - Sara Camacho Estrada is a Juris Doctor, Master in
Requirements., 2013. Information Technology and Multimedia Education,
[38] SSE-CMM, Systems Security Engineering Capability Maturity Master in Higher Education, Teaching and
Model (SSE-CMM), Version 3.0. Department of Defense. Administration. Director of the Languages Center for two
Arlington VA. 326., 2003. periods at the Universidad Técnica de Ambato in Ecuador.
[39] ISO/IEC21827, ISO/IEC 21827:2008, Information technology - Vice-dean of the Education Faculty at the Universidad
Systems Security Engineering - Capability Maturity Model (SSE- Técnica de Ambato in Ecuador. Author and director of the
CMM), 2008, ISO/IEC. p. 123. TEFL Master´s program at the Universidad Técnica de
[40] ISO/IEC15443-1, ISO/IEC TR 15443-1:2012, Information Ambato in Ecuador. Author of a wide variety of programs like interactive
technology -- Security techniques -- A framework for IT security software for learning English, international accreditations, and language
assurance -- Part 1: Overview and framework., 2012. learning programs.
[41] ISO/IEC15443-2, ISO/IEC TR 15443-2:2012, Information
technology -- Security techniques -- A framework for IT security David G. Rosado has an MSc and PhD. in Computer
assurance -- Part 2: Assurance methods., 2012. Science from the University of Málaga (Spain) and from the
[42] ISO/IEC20000-1, ISO/IEC 20000-1:2011, Information technology University of Castilla-La Mancha (Spain), respectively. His
- Service management - Part 1: Specification., 2011. research activities are focused on security for Information
[43] ISO/IEC20000-2, ISO/IEC 20000-2:2012, Information technology Systems and Cloud Computing. He has published several
- Service management - Part 2: Code of practice., 2012. papers in national and international conferences on these
[44] COBITv5.0, Cobit Guidelines, Information Security Audit and subjects, and he is co-editor of a book and chapter books.
Control Association, ISACA, Editor 2013. Author of several manuscripts in national and international
[45] Batista, J. and A. Figueiredo, SPI in very small team: a case with journals (Information Software Technology, System Architecture, Network
CMM. Software Process Improvement and Practice, 2000. 5(4): p. and Computer Applications, etc.). He is member of Program Committee of
243-250. several conferences and workshops nationals and internationals such as
[46] Hareton, L. and Y. Terence, A Process Framework for Small ICEIS, ICCGI, CISIS, SBP, IAS, SDM, SECRYPT, COSE and international
Projects. Software Process Improvement and Practice, 2001. 6: p. journals such as Internet Research, JNCA, KNOSYS, JKSU, and so on. He is
67-83. a member of the GSyA research group of the Information Systems and
[47] Tuffley, A., B. Grove, and M. G, SPICE For Small Organisations. Technologies Department at the University of Castilla-La Mancha, in Ciudad
Software Process Improvement and Practice, 2004. 9: p. 23-31. Real, Spain.
[48] Calvo-Manzano, J.A., et al., Experiences in the Application of
Software Process Improvement in SMES. Software Quality Eduardo Fernández-Medina holds a PhD. and an MSc. in
Journal., 2004. 10(3): p. 261-273. Computer Science from the University of Sevilla. He is
[49] Mekelburg, D., Sustaining Best Practices: How Real-World associate Professor at the Escuela Superior de Informática
Software Organizations Improve Quality Processes. Software of the University of Castilla-La Mancha at Ciudad Real
Quality Professional, 2005. 7(3): p. 4-13. (Spain), his research activity being in the field of security in
[50] Santos-Olmo, A., et al., A Systematic Review of Methodologies databases, datawarehouses, web services and information
and Models for the Analysis and Management of Associative and systems, and also in security metrics. Fernández-Medina is
Hierarchical Risk in SMEs, in 9th International Workshop on co-editor of several books and chapter books on these subjects, and has
Security in Information Systems (WOSIS12) In conjunction with several dozens of papers in national and international conferences (DEXA,
11th International Conference on Enterprise Information Systems CAISE, UML, ER, etc.). Author of several manuscripts in national and
(ICEIS12).2012: Wroclaw, Poland. p. 117 -124. international journals (Information Software Technology, Computers And
[51] Sanchez, L.E., et al., ISMS Building for SMEs through the Reuse Security, Information Systems Security, etc.), he is director of the GSyA
of Knowledge. Small and Medium Enterprises: Concepts, research group of the Information Systems and Technologies Department at
Methodologies, Tools, and Applications, 2013: p. 394. the University of Castilla-La Mancha, in Ciudad Real, Spain.
243
Proceso para Generación de Patrones de Gestión de la

Seguridad Reutilizables Utilizando MARISMA
A. Santos-Olmo, L. E. Sánchez, S. Camacho, E. Álvarez, E. Fernandez-Medina
Abstract – The information society is increasingly dependent seguridad en los sistemas de información viene avalada por
on Information Systems Security Management (ISMS) and numerosos trabajos [8-15], por citar sólo algunos.
knowledge of the security risks associated with the value of its Algunos autores [16, 17] sugieren la realización de un
análisis de riesgos como parte fundamental en las PYMES, ya
rapid and economical manner and which can, in turn, leave this que deben tener en cuenta que el valor y la sanción de los
system dynamically updated. This paper presents the "pattern datos robados o filtrados en una pequeña organización es el
generation" process of the MARISMA methodology. This process mismo que para una grande, y por tanto debe tener controlado
allows a reusable and low cost risk analysis to be obtained. The el valor y los riesgos a los que esos activos están sometidos
objective of MARISMA is to carry out a simplified and dynamic [18]. Aunque la investigación realizada se centra inicialmente
risk analysis that will be valid for all companies, including SMEs,
en las PYMES los resultados podrían aplicarse en otros
and to provide solutions to the problems identified during the
application of the "Action Research" scientific method. This sectores como el de salud [19-21], o nuevas tecnologías como
methodology is being directly applied to real cases, thus allowing el cloud computing [22, 23].
a constant improvement to be made to its processes. Otros autores sugieren que no es suficiente con aplicar un
 enfoque basado en análisis y gestión de riesgos [24] sino que,
Index Terms — Cibersecurity, Information Systems Security además de identificar y eliminar riesgos, también este proceso
Management, ISMS, Risk Analysis, SME, ISO27001, ISO27002, se ha de realizar de manera eficiente, ahorrando dinero,
ISO27005, Magerit. consecuencia directa de una correcta gestión de la seguridad
[25].
I. INTRODUCCIÓN Las principales conclusiones obtenidas es que los modelos
Estudios realizados han demostrado que para que las de análisis y gestión del riesgo son fundamentales para los
empresas puedan utilizar las tecnologías de la información y SGSIs (Sistemas de Gestión de Seguridad de la Información),
las comunicaciones con garantías es necesario disponer de pero no existen metodologías que se adecuen al caso de las
guías, métricas y herramientas que les permitan conocer en PYMES, y las existentes se muestran ineficientes.
cada momento su nivel de seguridad y las vulnerabilidades Por lo tanto, y considerando que las PYMES representan
que aún no han sido cubiertas [1-3]. El problema de conocer una gran mayoría de empresas tanto a nivel nacional como
los riesgos a los que están sometidos sus principales activos se internacional y son muy importantes para el tejido empresarial
acentúa especialmente en el caso de las pequeñas y medianas de cualquier país, creemos que avanzar en la investigación
empresas, que cuentan con la limitación adicional de no tener para mejorar los procesos de análisis y gestión del riesgo para
recursos humanos y económicos suficientes para realizar una este tipo de empresas puede generar importantes aportaciones.
adecuada gestión [4, 5]. Esto puede contribuir a mejorar no sólo la seguridad de las
Pero con la llegada de Internet, para las empresas es cada PYMES, sino también su nivel de competitividad. Por este
vez más crítico implantar controles de seguridad que les motivo, a los largo de los últimos años hemos trabajado en
permitan conocer y controlar los riesgos a los que pueden estar elaborar una metodología que permita analizar y gestionar el
sometidas [6, 7]. Gran parte de este cambio de mentalidad en riesgo de seguridad [26-28], y además hemos construido una
las empresas tiene su origen en el cambio social producido por herramienta que automatiza completamente la metodología
Internet y la rapidez en el intercambio de información, que ha [29], y lo hemos aplicado en casos reales [30], lo que nos ha
dado lugar a que las empresas empiecen a tomar conciencia permitido validar tanto la metodología como la herramienta.
del valor que tiene la información para sus organizaciones y se Toda la metodología de Análisis de Riesgos desarrollada, y
preocupen de proteger sus datos. Así, la importancia de la en especial las partes relacionadas con los controles, han sido
aplicadas sobre la norma ISO/IEC27001 y en especial sobre el
Anexo A de ésta, que define los controles que deben

A. Santos-Olmo, Departamento I+D+i, Sicaman Nuevas Tecnologías, cumplirse. Por lo tanto, y aunque esta metodología nace para
Tomelloso (Ciudad Real), España, Asolmo@sicaman-nt.com poder extenderse a otros estándares internacionales,
L. E. Sánchez, Universidad de Castilla-la Mancha (UCLM), España y
Universidad de las Fuerzas Armadas (ESPE), Proyecto Prometeo de la actualmente sólo se ha validado su funcionamiento sobre el
SENESCYT, Ecuador, Luisenrique@sanchezcrespo.org estándar internacional de la ISO/IEC27001.
S. Camacho, Universidad Técnica Ambato, Ecuador, Este artículo tiene como objetivo presentar una parte de
saracamachoestrada1@yahoo.es
E. Álvarez, Fundación In-Nova, Toledo, España, Ealvarez@in-nova.org esa metodología, en concreto el proceso de generación del
E. Fernandez-Medina, Grupo de Investigación GSyA, Universidad de análisis y el plan de tratamiento de riesgos que se ha
Castilla-la Mancha, Ciudad Real, España, Eduardo.FdezMedina@uclm.es desarrollado como parte de la metodología MARISMA, y que
244
tiene como objetivo principal reducir los costes de generación  ISO/IEC 15443 [40, 41]: Clasifica los métodos
y mantenimiento del análisis de riesgos, al poderse generar existentes dependiendo del nivel de seguridad y de
mediante la utilización de patrones reutilizables. la fase del aseguramiento.
El artículo continúa en la Sección 2 describiendo  ISO/IEC2000/ITIL [42, 43]: ITIL ofrece un
brevemente las metodologías y modelos para el análisis y la elemento para una correcta gestión de riesgos: el
gestión del riesgo de la seguridad y su tendencia actual. En la conocimiento actualizado y detallado de todos los
Sección 3 se introduce nuestra propuesta para el proceso de activos de la organización y de las relaciones,
generación de patrones reutilizables utilizando MARISMA. pesos y dependencias entre ellos.
Finalmente, en la Sección 4 concluimos indicando cuál será el
 COBIT [44]: Es una metodología para el adecuado
trabajo que desarrollaremos en el futuro. control de los proyectos de tecnología, los flujos
II. ESTADO DEL ARTE controles adecuados.
Con el propósito de reducir las carencias mostradas en el El principal problema de estos procesos es su complejidad
apartado anterior y reducir las pérdidas que éstas ocasionan, para aplicarlos en el caso de las PYMES, ya que han sido
han aparecido un gran número de procesos, marcos de trabajo concebidos para grandes empresas [45-48]. Se justifica en
y métodos para la gestión del riesgo cuya necesidad de uso repetidas ocasiones que la aplicación de este tipo de procesos
para proteger de forma eficaz los activos de una compañía está para las PYMES es difícil y costosa. Además, las
siendo cada vez más reconocida y considerada por las organizaciones, incluso las grandes, tienden más a adoptar
organizaciones, pero que como se ha mostrado son ineficientes grupos de procesos relacionados como un conjunto que a tratar
para el caso de las PYMES. los procesos de forma independiente [49].
En relación con los estándares más destacados se ha Por lo tanto, y como conclusión de este apartado, se puede
podido constatar que la mayor parte de ellos han intentado decir que es pertinente y oportuno abordar el problema de
incorporar procesos para el análisis y la gestión del riesgo, desarrollar un nuevo proceso para el análisis y gestión del
pero que son muy difíciles de implementar y requieren una riesgo de la seguridad para los sistemas de información en las
inversión demasiado alta que la mayoría de las PYMES no PYMES, así como una herramienta que soporte este proceso,
pueden asumir [31]. tomando como base la problemática a que este tipo de
Entre las principales propuestas para el análisis y gestión compañías se enfrenta y que ha llevado a continuos fracasos
del riesgo podemos destacar MAGERIT [32], OCTAVE [33] en los intentos de implantación hasta el momento.
o CRAMM [34]. A pesar de ello, la gestión de la seguridad no
puede limitarse al análisis y la gestión del riesgo [24], sino que III. METODOLOGÍA MARISMA
además de identificar y eliminar riesgos se ha de realizar de
manera eficiente, obteniendo la compañía grandes ahorros de Para solucionar los problemas detectados en el análisis y
costes como consecuencia directa de una mejor gestión de la gestión del riesgo, se ha realizado un proceso orientado a las
seguridad [25]. Gracias al análisis de riesgos se podrán PYMES y enfocado a reducir los costes de generación y
identificar los activos y conocer el nivel de seguridad que se mantenimiento del proceso de análisis y gestión del riesgo
debe aplicar. Los expertos también han propuesto denominado GEAR. Este proceso se ha obtenido mediante la
recientemente realizar un análisis de riesgos para poder alinear aplicación del método de investigación en acción y se ha
las estrategias de la empresa y de la seguridad [35], ya que enmarcado dentro de una metodología (MARISMA) que
esto hace que la empresa pase de tomar una posición reactiva acomete todos los aspectos relacionados con la gestión de la
ante la seguridad a una proactiva. seguridad [19, 50], y bajo la premisa de que cualquier sistemas
Por otro lado, algunos de los principales estándares de de Análisis de Riesgos valido para las PYMES también será
gestión de la seguridad, han intentado incorporar dentro de sus extrapolable a grandes compañías.
procesos el análisis y la gestión del riesgo: Esta metodología asocia el análisis y la gestión del riesgo a
los controles necesarios para la gestión de la seguridad y
 ISO/IEC27005 [36]: Establece las directrices para
la gestión del riesgo en la seguridad de la consta de tres procesos muy importantes:
información. Apoya los conceptos generales  Proceso 1 – Generación de Esquemas para el Análisis
especificados en la norma ISO/IEC27001 [37] y de Riesgos (GEAR -o GEGS: Generación de
está diseñada para ayudar a la aplicación Esquemas para Gestión de Seguridad-): Se establece
satisfactoria de la seguridad de la información una estructura de relaciones entre los diferentes
basada en un enfoque de gestión de riesgos. elementos involucrados en el análisis del riesgo y los
controles necesarios para gestionar la seguridad. Estas
 ISO/IEC21827/SSE–CMM [38, 39]: El modelo de
capacidad y madurez en la ingeniería de seguridad relaciones se establecen mediante el conocimiento
de sistemas describe las características esenciales adquirido en las diferentes implantaciones, que es
de los procesos que deben existir en una almacenado en una estructura denominada esquema
organización para asegurar una buena seguridad en para ser reutilizado con posterioridad, reduciendo los
los sistemas. costes de generación de este proceso [51].
 Proceso 2 – Generación del Análisis y Gestión del
245
Riesgo (GAGR -o GSGS: Generación del Sistema de hasta la finalización de la A1.1 ya que requiere de
Gestión de Seguridad-): Mediante la selección del elementos generados por ésta para su correcto
esquema más adecuado y la identificación de un funcionamiento. La actividad A1.3 y A1.4 dependen
pequeño conjunto de los principales activos se obtiene de elementos generados por la A1.2, por lo que
un detallado mapa de la situación actual (análisis del tendrán que esperar a la finalización de la misma.
riesgo) y un plan de recomendaciones de cómo Entre las actividades A1.3 y A1.4 no existen
mejorarlo (gestión del riesgo). dependencias temporales por lo que pueden ejecutarse
 Proceso 3 – Mantenimiento Dinámico del Análisis de de forma paralela.
Riesgos (MDAR -o MSGS: Mantenimiento del Sistema  Salidas: La salida producida por este subproceso
de Gestión de Seguridad-): Mediante la utilización de consistirá en un esquema completo formado por todos
las matrices generadas, las cuáles interconectan los los elementos necesarios para construir un SGSI y las
diferentes artefactos, el sistema irá recalculando el relaciones existentes entre estos elementos.
análisis de riesgos según se produzcan incidentes de
seguridad, fallen las métricas definidas o los auditores El generador de esquemas se puede considerar como una
detecten “no conformidades” en los controles. de las principales aportaciones de la metodología desarrollada.
Así mismo representa un potente banco de pruebas para poder
En este artículo nos centramos en el primero de los analizar diferentes configuraciones de SGSI sobre los modelos
procesos que tiene por objetivo la generación de un patrón desarrollados, ya que permite estudiar en detalle cómo influye
reutilizable que permita generar y mantener análisis de riesgos el elegir unos elementos u otros, o diferentes relaciones a la
de bajo coste. hora de generar un SGSI y posteriormente interactuar con él.
IV. GEAR. PROCESO DE GENERACIÓN DE PATRONES CON

Conocimiento Normativas, guías de buenas prácticas,
MARISMA. de expertos Metodologías, … asociadas a la
en seguridad gestión de la seguridad
El principal objetivo de este proceso que forma parte de la
metodología MARISMA, es permitir la generación de un
esquema/patrón (que es una estructura formada por los sP1 – GEGS Entrada
Entregable
principales elementos que intervienen en un SGSI y sus A1.1
Actividad
relaciones para un determinado tipo de compañías que Generación de tablas maestras
Repositorio
comparten características comunes – mismo sector y mismo Listas Flujo Información
Maestras
tamaño) que pueda ser utilizado posteriormente para reducir A1.2 Niveles
Flujo Proceso
Madurez
los tiempos y costes de generación de un SGSI para una Generación de tablas
del Nivel de Madurez
Artefactos
compañía. Para Controles
Y Reglas de Madurez
Repositorio de
Esquemas
Entradas Actividades Salidas
A1.3 Controles
Generación de tablas del
GEGS Análisis de Riesgos Artefactos
Conocimiento Análisis de Riesgos
de expertos
en seguridad
A1.1 A1.2 A1.3 ESGSI
Roles,
Esquema A1.4 Controles
Normativas, Generación de tablas de
metodologías, A1.4 biblioteca de objetos
guías … asociadas Artefactos
a la gestión de Para generar el SGSI
la seguridad
Figura 1. Esquema simplificado a nivel de actividad del subproceso GEAR.

ESGSI
Esquema

Figura 2. Esquema detallado a nivel de actividad del subproceso GEAR.
actividades y salidas que componen este subproceso:
 Entradas: Como entradas se recibirá el conocimiento
del grupo de expertos del dominio de seguridad En la Figura 2 se pueden ver las actividades del subproceso de
(GED) obtenido durante el proceso de implantación de forma mucho más detallada, viendo cómo interactúan éstas
con el repositorio de esquemas encargado de contener los
SGSIs, este conocimiento es recurrente e incremental
elementos que conforman los diferentes esquemas del sistema.
durante todo el ciclo de vida de la metodología. La
Aunque existen dependencias entre las diferentes actividades,
segunda de las entradas estará formada por un
no existen entregables entre ellas, ya que el resultado de cada
conjunto de elementos procedentes de normativas, actividad es almacenado en el repositorio, de forma que la
guías de buenas prácticas y otras metodologías siguiente actividad obtiene los datos necesarios del mismo.
existentes que serán utilizadas junto con un esquema
para la construcción de un SGSI. Actualmente el repositorio de esquemas se compone de un
solo elemento denominado esquema base (EB). Este esquema
 Actividades: El subproceso estará formado por cuatro
ha sido obtenido mediante el conocimiento adquirido por el
actividades. La actividad A1.2 no podrá realizarse
grupo de expertos del dominio (GED) y el posterior
246
refinamiento por medio de la aplicación de la metodología en evolución de la gestión de la seguridad en el sistema

diversos clientes de la empresa SNT (como parte del grupo de información. La metodología está preparada para
crítico de referencia). Su principal utilidad es servir de base soportar el número de niveles de madurez que se
para la creación de nuevos esquemas más especializados, con deseen. Para la creación de esta parte del esquema
el objetivo de evitar que se tengan que crear esquemas desde base, y al estar la metodología orientada a PYMES, se
cero, lo que supondría un enorme esfuerzo. han tenido en cuenta las investigaciones realizadas por
[53] que proponen un modelo de madurez formado
por 4 niveles, y las de Areiza [54] y Vicente Aceituno
A. Objetivos.
[55] que proponen modelos de 5 niveles, utilizando
Los principales objetivos que se han perseguido durante el finalmente un modelo de 3 niveles parecido al
desarrollo de las actividades que conforman este subproceso propuesto [53], al ser este el que mejores resultados ha
han sido: arrojado en las investigaciones.
 Incorporación de los controles y niveles de  Un conjunto de reglas de madurez y sus valores: Este
madurez necesarios para establecer el adecuado conjunto de reglas de madurez se utilizarán para
nivel de seguridad. definir el nivel de seguridad deseable para la
 Incorporación de los elementos necesarios para compañía, es decir, el máximo nivel de madurez que
la realización del proceso de análisis y gestión debería poder alcanzar en base a sus características
del riesgo (tipos de activos, amenazas, estructurales. Para desarrollar el esquema base se ha
vulnerabilidades y criterios de riesgo). utilizado un conjunto básico de preguntas, obtenidas a
 Incorporación de los elementos necesarios para partir del estudio realizado de los datos económicos de
la realización del proceso de generación de un las empresas aportadas en el INE. Parte del estudio
SGSI (procedimientos, reglamentos, plantillas, realizado con los informes estadísticos obtenidos del
registros, instrucciones técnicas y métricas). INE se muestra en la subsección 4.5.1.1 de este
 Establecer relaciones entre los diferentes capítulo.
elementos seleccionados, con el objetivo de  Una selección de posibles subcontroles, controles,
automatizar tareas. objetivos de control y secciones asociados a niveles de
madurez: Este conjunto de controles representan las
 Promover la reusabilidad de los esquemas
salvaguardas que actuarán y se medirán para gestionar
mediante la asociación de los mismos a
la seguridad del sistema de información a lo largo de
compañías con características comunes (mismo
todo el ciclo de vida. Los controles seleccionados
sector de actividad empresarial, mismo tamaño),
con el objetivo de reducir los tiempos y costes de serán utilizados para medir el nivel de seguridad
generación de un SGSI. actual de la compañía y serán utilizados en el análisis
de riesgos y la generación del SGSI. Para la creación
de esta parte del esquema base se ha utilizado un
B. Entrada y salida. conjunto de controles extraídos de la guía de buenas
La generación de esquemas es un subproceso cuyas prácticas ISO/IEC27002 [56].
entradas se componen de:  Un conjunto de listados asociados con los artefactos
 Una selección de roles o perfiles asociados a tareas del análisis de riesgos (tipos de activos,
de un sistema de información. Sólo aquellos usuarios vulnerabilidades, amenazas y criterios de riesgo):
de la compañía que se asocien con uno de esos roles se Estos elementos servirán para evaluar el riesgo al que
verán afectados por el SGSI. Un usuario puede tener están sometidos los activos de la compañía. El
asignados varios roles. Los roles son muy importantes contenido de este conjunto de artefactos y las
dado que el correcto funcionamiento de los relaciones que se establecerán entre ellos es necesario
procedimientos del SGSI se apoya en ellos. Para la para la realización del análisis de riesgos. La creación
creación de esta parte del esquema base, y al estar la de los elementos que componen esta parte del
metodología orientada a PYMES, se han seleccionado esquema base se ha basado en el contenido de la
un conjunto de los roles propuestos en COBIT [52]. metodología de análisis de riesgos Magerit v3 [57] y
 Una selección de sectores de actividad empresarial: el estándar ISO/IEC27005 [58].
Los sectores de actividad representan una división de  Un conjunto de listados asociados con los artefactos
empresas en grupos, según el trabajo que realizan. de generación del SGSI (reglamentos, procedimientos,
Para la creación de esta parte del esquema base, y al plantillas, registros, instrucciones técnicas y
estar la metodología orientada a PYMES, se ha métricas): Estos elementos serán los que definirán qué
utilizado la lista de sectores propuesta por el gobierno y cómo deben operar e interactuar los usuarios con el
Español en el código nacional de actividades sistema de información de la compañía para una
económicas Español (CNAE) en su nivel más general. correcta gestión de seguridad. La creación de los
 Una selección de posibles niveles de madurez: Estos elementos que componen está parte del esquema base
niveles permitirán determinar diferentes niveles de se ha basado en: i) el contenido de la guía de buenas
247
prácticas ISO/IEC27002 [56] para el desarrollo de los Los esquemas se encuentran en constante evolución,
procedimientos, reglamentos, registros, plantillas e actualizándose con los nuevos conocimientos obtenidos por el
instrucciones técnicas; ii) el contenido del estándar arquitecto en gestión de la seguridad (AGS) y el grupo de
ISO/IEC27004 [59] para el desarrollo de los expertos del dominio (GED) en cada nueva implantación.
elementos de las métricas y el cuadro de mandos; y iii)
el contenido del estándar ISO/IEC27001 [37] para
determinar las relaciones a establecer entre los C. Actores.
diferentes elementos de la metodología. En la Tabla 1 se muestra en qué actividades y tareas
tendrán que intervenir cada uno de los tipos de actores
Mediante estas entradas y el conocimiento del arquitecto definidos en la metodología.
en gestión de la seguridad AGS y del grupo de expertos del En el subproceso GEAR participarán los siguientes tipos
dominio (GED), se generará un esquema que se almacenará en de actores: arquitecto en gestión de la seguridad (AGS) y el
el repositorio de esquemas y que estará formado por: grupo de expertos del dominio (GED).
 Un subconjunto de los elementos de entrada: Incluirá
los niveles de madurez que tendrá el sistema, o los D. Actividades.
sectores a los que afectará el esquema, controles que
se tendrán en cuenta para establecer el nivel madurez A continuación se describirán en detalle las entradas,
de seguridad actual, y reglas que se utilizarán para salidas, relaciones y objetivos de cada una de las diferentes
obtener el nivel de madurez. actividades y tareas que componen el subproceso GEAR de la
metodología MARISMA.
 Una serie de matrices de asociación que permiten
reducir el tiempo de generación del SGSI y que
relacionan entre sí los elementos seleccionados en las D.1. Actividad A1.1 – Generación de tablas maestras.
entradas. Estas matrices se dividen en dos tipos: i) El principal objetivo de esta actividad es determinar cuáles
Análisis de riesgos: Permiten reducir el tiempo de son los elementos de carácter general que más pueden
generación del análisis de riesgos, aunque la precisión adecuarse al esquema que se está creando.
obtenida es menor que con otras metodologías como En la Figura 3 se puede ver el esquema básico de entradas,
Magerit [57], pero la calidad de los resultados tareas y salidas que componen esta actividad:
obtenidos es suficiente para el caso de las PYMES; ii)  Entradas: Como entradas se recibirá el conocimiento
Generación del SGSI: Permiten que el sistema pueda del grupo de expertos del dominio de seguridad
generar un SGSI adecuado para la compañía, (GED) obtenido durante el proceso de implantación de
minimizando la intervención de un consultor de SGSIs, y un conjunto de: i) roles (para el esquema
seguridad (CoS) y el coste asociado al mismo. base se han utilizados los propuestos por ISACA); ii)
Todo este conjunto de elementos, necesarios para poder sectores empresariales (para el esquema base se han
generar el sistema de gestión del sistema de información de la utilizado los propuestos en el CNAE); iii) niveles de
compañía, son incluidos en el repositorio de esquemas para el madurez (para el esquema base se ha aplicado una
SGSI, junto con las relaciones existentes entre ellos que variación cercana a la propuesta por [53]).
representan parte del conocimiento práctico aportado por el  Tareas: El subproceso estará formado por tres tareas
grupo de expertos del dominio (GED). independientes unas de otras. Estas tareas son: i)
establecimiento de los roles del esquema; ii)
Tabla 1. Intervención de los actores en el proceso GEAR
establecimiento de los sectores empresariales; y iii)
MARISMA
establecimiento de los niveles de madurez.
GEAR
A2.1: Establecimiento del marco de trabajo del SGSI. consistirá en un subconjunto de los elementos de
T2.1.1 T2.1.2 T2.1.3 entrada, que se almacenarán en el repositorio de
AGS, GED AGS, GED AGS, GED esquemas y que se corresponden con la primera parte
de los elementos de los que se compondrá el esquema
A2.2: Establecimiento del nivel de madurez.
que se quiere generar.
T2.2.1 T2.2.2 T2.2.3 Entradas Tareas Salidas
AGS, GED AGS, GED AGS, GED

GEGS – A1.1
A2.3: Realización del análisis de riesgos. Conocimiento
de expertos T1.1.1
en seguridad
T2.3.1 T2.3.2 T2.3.3
1ª Parte
AGS, GED AGS, GED AGS, GED T1.1.2 del Esquema Repositorio de
Esquemas
Lista de Roles, Sectores
A2.4: Generación del SGSI. y niveles de madurez
T1.1.3
T2.4.1 T2.4.2
AGS, GED AGS, GED Figura 3. Esquema simplificado a nivel de tarea de la actividad A1.1.
248
 Tarea T1.1.3 – Establecimiento de los niveles de

En la Figura 4 se pueden ver las tareas de la actividad de madurez: La tarea T1.1.3 se ocupa de seleccionar el
forma mucho más detallada, viendo cómo interactúan éstas número de niveles de madurez del SGSI de la
con el repositorio de esquemas encargado de contener los compañía. Para el esquema base desarrollado se
elementos que conforman los diferentes esquemas del sistema. analizaron diferentes modelos de madurez basados en
No existen entregables entre las diferentes tareas, ya que el tres, cuatro y cinco niveles [53-55]. Aun cuando la
resultado de cada tarea es almacenado en el repositorio, para metodología propuesta admite cualquier número de
que puedan ser utilizados por otras tareas. niveles de madurez, los resultados de las
investigaciones realizadas durante la elaboración de la
metodología permitieron determinar que el número de
Lista de Lista de Lista de Conocimiento de
N. Madurez Sectores Roles expertos en seguridad
niveles de madurez que más se adecua al caso de las
PYMES era de tres.
sP1 – GEGS – A1.1 Entrada
Entregable D.2. Actividad A1.2 – Generación de tablas del nivel de

T1.1.1 madurez.
Tarea
Establecimiento de los roles del esquema
Repositorio
El principal objetivo de esta actividad es determinar los
Flujo Información
SubLista
controles y reglas de madurez que más pueden adecuarse al
Roles Flujo Proceso
esquema que se está creando, y que serán utilizados
T1.1.2
Establecimiento de los sectores empresariales posteriormente para determinar el nivel de madurez de la
SubLista seguridad de la compañía actualmente y hasta qué nivel de
Sectores Repositorio de
Esquemas
madurez sería aconsejable que evolucionase.
SubLista
N.Madurez
T1.1.3 Entradas Tareas Salidas
Establecimiento de los Niveles de Madurez
GEGS – A1.2
Figura 4. Esquema detallado a nivel de tarea de la actividad A1.1. 1ª Parte
Repositorio de del Esquema T1.2.1 2ª Parte
Esquemas del Esquema Repositorio de
A continuación describimos el objetivo de cada una de las Esquemas
tareas: T1.2.2
 Tarea T1.1.1 – Establecimiento de los roles del
Conocimiento
de expertos
en seguridad
esquema: La tarea T1.1.1 se ocupa de seleccionar la
lista inicial roles que se asociarán con actividades del
Lista de controles
sistema de información. En el esquema base y reglas de madurez
desarrollado con la metodología se ha partido de la
lista de roles para sistemas de la información,
extraídos de otras metodologías como COBIT [52] de
ISACA y del conocimiento adquirido por el arquitecto
de gestión de la seguridad (AGS) y el grupo de
expertos del dominio (GED) para seleccionar los que
tareas y salidas que componen esta actividad:
más se adecuan al caso de las PYMES. Para la
 Entradas: Como entradas se recibirá el conocimiento
elaboración del esquema base se ha seleccionado un
del grupo de expertos del dominio de seguridad
subconjunto de dichos roles, que se verán en detalle en
(GED) obtenido durante el proceso de implantación de
el capítulo 6 al analizar el caso de estudio.
SGSIs, los niveles de madurez obtenidos en la tarea
 Tarea T1.1.2 – Establecimiento de los sectores T1.1.3 y un conjunto de: i) reglas de madurez, que se
empresariales: La tarea T1.1.2 se ocupa de utilizarán para definir el nivel de seguridad deseable
seleccionar la lista inicial de sectores de actividad para la compañía, es decir, el máximo nivel de
empresarial que permita incluir a cualquier tipo de madurez que debería poder alcanzar en base a sus
compañía. En la elaboración del esquema base se características estructurales (para el esquema base se
utilizó como conjunto de sectores por actividad han obtenido a partir de un estudio realizado sobre
empresarial recomendado por la metodología el del datos del INE y mostrado en el apartado 4.5.1.1); ii)
CNAE Español nivel 1, que tiene 59 grupos de controles de seguridad (para el esquema base se han
actividades empresariales, ya que el nivel de detalles utilizados los propuestos en la guía de buenas
de otros niveles superiores era demasiado grande para prácticas de la ISO/IEC27002 [56]).
el caso de las PYMES (220 grupos de actividad  Tareas: El subproceso estará formado por dos tareas
empresarial en el caso del CNAE nivel2, 501 grupos independientes, que tendrán que seleccionar los
de actividad empresarial en el caso del CNAE nivel3). elementos que posteriormente se utilizarán para
249
determinar el nivel de madurez actual y deseable para Con el objetivo de obtener una mayor precisión a la
la compañía. Estas tareas son: i) establecimiento de las hora de determinar el cumplimiento de los controles,
reglas de madurez, establecimiento de los controles. estos son divididos en subcontroles que permitan
 Salidas: La salida producida por este subproceso determinar con la mayor precisión posible el
consistirá en un subconjunto de los elementos de cumplimiento o no de un aspecto de seguridad muy
entrada, los cuales se almacenarán en el repositorio de concreto. La idea de dividir en el mayor número
esquemas y que se corresponden con la segunda parte posible de preguntas cada control de la norma está
de los elementos de los que se compondrá el esquema orientada a obtener la mayor precisión con la menor
que se quiere generar. complejidad. Con el uso de subcontroles, los usuarios
sólo tienen que responder con una sencilla lista de
En la Figura 6 se pueden ver las tareas de la actividad de valores (no aplica, si, parcialmente, no) a cada una de
forma mucho más detallada, viendo cómo interactúan éstas la preguntas, permitiendo obtener un nivel de
con el repositorio de esquemas encargado de contener los cumplimiento de los controles [0 – 100%] mucho más
elementos que conforman los diferentes esquemas del sistema. preciso que si las cuestiones se realizaran a nivel de
No existen entregables entre las diferentes tareas, ya que el control.
resultado de cada tarea es almacenado en el repositorio, para Para el desarrollo del esquema base se ha utilizado
que puedan ser utilizados por otras tareas. la guía de buenas prácticas ISO/IEC27002 [56], de la
cual se ha extraído la lista de controles, obteniendo
Conocimiento de
896 subcontroles que permiten determinar de forma
Lista de Lista de
Controles R. Madurez expertos en seguridad muy precisa la seguridad del sistema de información
de una compañía. Inicialmente la investigación se
Entrada
realizó con la guía de buenas prácticas
sP1 – GEGS – A1.2 ISO/IEC17799:2000 [60] obteniendo un cuestionario
Entregable
T1.2.1
Tarea
de 735 preguntas o subcontroles.
Establecimiento de las reglas de madurez
Reglas de Repositorio Aunque el número de subcontroles puede parecer
Madurez
Flujo Información muy elevado para el caso de las PYMES, no es así
Flujo Proceso dado que es una tarea que se realiza una sola vez a lo
T1.2.2 largo del SGSI y que las preguntas y respuestas
Establecimiento de los controles del modelo
Controles
requeridas son muy sencillas.
Repositorio de
Niveles de madurez Esquemas
Figura 6. Esquema detallado a nivel de tarea de la actividad A1.2. D.3. Actividad A1.3 – Generación de tablas del nivel de
madurez.
A continuación describimos el objetivo de cada una de las El principal objetivo de esta actividad es seleccionar los
tareas: elementos necesarios para poder realizar, en actividades
 Tarea T1.2.1 – Establecimiento de las reglas de posteriores de la metodología, un análisis de riesgo básico y de
madurez: La tarea T1.2.1 se ocupa de seleccionar el bajo coste sobre los activos que componen el sistema de
conjunto de reglas que permitirán posteriormente información de la compañía que se adapte a los requerimientos
establecer el nivel de madurez de la seguridad del de las PYMES.
sistema de información más adecuado para la Esta actividad está basada en el principio de que los
compañía. El esquema base se ha desarrollado elementos que participan en un análisis de riesgos y sus
inicialmente con un sencillo conjunto de seis de reglas relaciones tienen un alto grado de coincidencia cuando se
con tres a cuatro valores seleccionables cada una. Este aplican en PYMES que tienen características parecidas
conjunto, aunque sencillo, se ha mostrado eficiente a (mismo sector y mismo tamaño), por lo que se pueden
la hora de determinar el nivel de madurez adecuado establecer dichas relaciones a priori eliminando el coste de
para las PYMES. tener que analizarlas una por una mediante una labor de
consultoría en cada caso. Aun cuando existan diferencias entre
 Tarea T1.2.2 – Establecimiento de los controles: La unas y otras, éstas son irrelevantes con respecto a la
tarea T1.2.2 se ocupa de seleccionar un conjunto de configuración final del SGSI obtenido para el caso de las
controles que servirán posteriormente para diversas PYMES, dado que este tipo de empresas priorizan el coste a
tareas: i) servir de salvaguardas para el SGSI; ii) medir obtener un resultado con un alto grado de precisión.
el nivel de madurez de la gestión de la seguridad Aunque el análisis de riesgos es una de las partes
actual de la compañía; iii) establecer un plan de fundamentales en la norma ISO/IEC27001 [37] y se encuentra
mejora de la gestión de la seguridad; iv) y seleccionar descrita en detalle en el estándar ISO/IEC27005 [58], el
los elementos que compondrán el SGSI de la principal objetivo del análisis de riesgos incluido en la
compañía. metodología desarrollada es que sea lo menos costoso posible,
utilizando una serie de técnicas y matrices predefinidas,
250
aunque obteniendo un resultado con la suficiente calidad. forma mucho más detallada, mostrando cómo interactúan éstas
En la Figura 7 se puede ver el esquema básico de entradas, con el repositorio de esquemas encargado de contener los
tareas y salidas que componen esta actividad: elementos que conforman los diferentes esquemas del sistema.
 Entradas: Como entradas se recibirá el conocimiento No existen entregables entre las diferentes tareas, ya que el
del grupo de expertos del dominio de seguridad resultado de cada tarea es almacenado en el repositorio, para
(GED) obtenido durante el proceso de implantación de que puedan ser utilizados por otras tareas.
SGSIs, los controles seleccionados en la tarea T1.2.2
que se encuentran almacenados en el repositorio de
Lista de Lista de Lista de Lista de Conocimiento de
esquemas y un conjunto de elementos (tipos de C. Riesgo Vulnerabilid. Amenazas Activos expertos en seguridad
activos, amenazas, vulnerabilidades y criterios de

riesgo) necesarios para elaboración del análisis de sP1 – GEGS – A1.3
Entrada
riesgos (en el esquema base desarrollado la selección Entregable

T1.3.1
SubLista Tarea
de estos elementos se ha basado en el contenido de la Selección de Tipos de Activos T. Activos
Repositorio
metodología de análisis de riesgos Magerit [57] y del
Flujo Información
estándar ISO/IEC27005 [58]). T1.3.2
Selección de Amenazas
SubLista
Amenazas Flujo Proceso
SubLista
Entradas Tareas Salidas Vulnerabil.
T1.3.3
Selección de Vulnerabilidades
SubLista
C.Riesgo
GEGS – A1.3
T1.3.4 TA+V
Repositorio de Selección de
Esquemas T1.3.1 T1.3.5 Criterios de Riesgo
2ª Parte Asociación
del Esquema TA-V
Repositorio de
Conocimiento T1.3.2 T1.3.6 3ª Parte Esquemas
de expertos
del Esquema Repositorio de
T1.3.5 Am+V
en seguridad Establecimiento de relaciones entre
Esquemas tipos de activos-vulnerabilidades
T1.3.3 T1.3.7
Asociación
Metodología Am-V
de análisis
T1.3.4 T1.3.8 T1.3.6 Am+C
de riesgos Establecimiento de relaciones entre
amenazas-vulnerabilidades
Asociación
Am-C
Figura 7. Esquema simplificado a nivel de tarea de la actividad A1.3. T1.3.7

Ac+V+CR
Establecimiento de relaciones entre
amenazas-controles
 Tareas: El subproceso estará formado por ocho tareas. Asociación

Ac-V-CR C: Controles
Estas tareas son: i) selección de tipos de activos; ii) T1.3.8
Establecimiento de relaciones entre T.Activos-
TA: Tipos de Activos
Am: Amenazas
selección de amenazas; iii) selección de vulnerabilidades-criterios de riesgo V: Vulnerabilidades
CR: Criterios de Riesgo.
vulnerabilidades; iv) selección de criterios de riesgo;

v) establecimiento de relaciones entre tipos de activos
y vulnerabilidades; vi) establecimiento de relaciones
A continuación, se analizarán uno por uno los diferentes
entre amenazas y vulnerabilidades; vii)
elementos (tipos de activos, amenazas, vulnerabilidades,
establecimiento de relaciones entre amenazas y
impactos y riesgo y matrices de asociación) de los que se
controles; viii) establecimiento de relaciones entre
compone el análisis de riesgos propuesto en la nueva
tipos de activos, vulnerabilidades y criterios de riesgo.
metodología y los valores que estos elementos pueden tomar:
Las cuatro primeras tareas son independientes y
 Tarea T1.3.1 – Selección de tipos de activos: La tarea
permiten seleccionar los elementos de entrada. Las
T1.3.1 se ocupa de seleccionar el conjunto de tipos de
otras cuatro tareas se ocupan de establecer las
activos que formarán parte del esquema que se está
relaciones existentes entre las familias de elementos
construyendo. Los tipos de activos se utilizarán
de las tareas T1.3.1 a T1.3.4. Estas relaciones se
posteriormente para diversas tareas: i) agrupar los
establecen a partir del conocimiento del grupo de
activos del sistema de información; ii) se relacionarán
expertos del dominio (GED) y de los continuos
con otros elementos del análisis de riesgos para
refinamientos obtenidos de la implantación de la
facilitar la automatización del mismo. El conjunto de
metodología.
tipos de activos será seleccionado en base a las
metodologías, normas, etc que se determinen como
consistirá en un subconjunto de los elementos de
entradas de la tarea y al conocimiento adquirido por el
entrada y las relaciones establecidas entre ellos, los
grupo de expertos del domino (GED) a lo largo de la
cuales se almacenarán en el repositorio de esquemas y
implantación. La selección del conjunto de tipos de
que se corresponden con la tercera parte de los
activos que conforma el esquema base está basado en
elementos de los que se compondrá el esquema que se
la metodología de análisis de riesgos Magerit [57] y en
quiere generar.
el estándar ISO/IEC27005 [58]. Para el esquema
En la Figura 8 se pueden ver las tareas de la actividad de
actual se ha definido un conjunto de 23 tipos de
251
activos. elementos del análisis de riesgos, con el objetivo de

 Tarea T1.3.2 – Selección de amenazas: La tarea poder automatizar y reducir los costes a la hora de
T1.3.2 se ocupa de seleccionar el conjunto de evaluar el riesgo al que están sometidos los activos de
amenazas que formarán parte del esquema que se está un sistema de información. El conjunto de criterios de
construyendo. Una amenaza se define como un evento riesgo será seleccionado en base a las metodologías,
que puede desencadenar un incidente en la normas, etc que se determinen como entradas de la
organización, produciendo daños materiales o tarea y al conocimiento adquirido por el grupo de
pérdidas inmateriales en sus activos [57]. Estas expertos del domino (GED) a lo largo de la
amenazas se relacionarán en tareas posteriores con implantación.
otros elementos del análisis de riesgos, con el objetivo La selección del conjunto de criterios de riesgo que
de poder automatizar y reducir los costes a la hora de conforma el esquema base está basada en la
evaluar el riesgo al que están sometidos los activos de metodología de análisis de riesgos Magerit [57] y en el
un sistema de información. El conjunto de amenazas estándar ISO/IEC27005 [58], aunque se ha
será seleccionado en base a las metodologías, normas, simplificado ya que el conjunto ofrecido por Magerit
etc que se determinen como entradas de la tarea y al [57] se muestra demasiado complejo para la estructura
conocimiento adquirido por el grupo de expertos del sencilla de las PYMES, por lo que para el modelo se
domino (GED) a lo largo de la implantación. La han seleccionado los más importantes, prescindiendo
selección del conjunto de amenazas que conforma el del resto (aunque la metodología puede soportar un
esquema base está basada en la metodología de conjunto de criterios de riesgo más complejo). El
análisis de riesgos Magerit [57] y en el estándar conjunto de criterios de riesgo definidos para el
ISO/IEC27005 [58]. Estas amenazas están agrupadas esquema base está formado por cuatro elementos: i)
en un conjunto de categorías: naturales, accidentales, Confidencialidad: Característica que evita el acceso o
ataques intencionados, errores no intencionados, la divulgación de información a individuos o procesos
personal. Para el esquema actual se han definido un no autorizados; ii) Integridad: La integridad está
conjunto de 51 amenazas asociadas a 6 tipos de vinculada a la fiabilidad funcional del sistema de
amenazas. información, su eficacia para cumplir las funciones del
 Tarea T1.3.3 – Selección de vulnerabilidades: La sistema; iii) Disponibilidad: Característica que
tarea T1.3.3 se ocupa de seleccionar el conjunto de previene la denegación no autorizada de accesos a los
vulnerabilidades que formarán parte del esquema que activos; iv) Legalidad: Se trata de evaluar la
se está construyendo. Una vulnerabilidad se define importancia del activo con respecto al cumplimiento
como una debilidad o falta de control que permitiría o de la legislación vigente.
facilitaría que una amenaza actuase contra un activo  Tarea T1.3.5 – Establecer relaciones entre tipos de
del sistema que presenta la citada debilidad [57]. Estas activos y vulnerabilidades: La tarea T1.3.5 se ocupa
vulnerabilidades se relacionarán en tareas posteriores de establecer las relaciones existentes entre los
con otros elementos del análisis de riesgos, con el elementos que componen el conjunto de tipos de
objetivo de poder automatizar y reducir los costes a la activos y los elementos que componen el conjunto de
hora de evaluar el riesgo al que están sometidos los vulnerabilidades para un esquema determinado. El
activos de un sistema de información. El conjunto de objetivo principal de este conjunto de asociaciones es
vulnerabilidades será seleccionado en base a las establecer relaciones entre los elementos del SGSI
metodologías, normas, etc, que se determinen como para poder realizar una evaluación del riesgo de bajo
entradas de la tarea y al conocimiento adquirido por el coste en la actividad A2.3. Estas asociaciones se
grupo de expertos del domino (GED) a lo largo de la establecen por el grupo de expertos del dominio
implantación. La selección del conjunto de (GED) en base al conocimiento adquirido en
vulnerabilidades que conforma el esquema base está diferentes implantaciones del SGSI. Para el esquema
basada en la metodología de análisis de riesgos base actual, se han establecido 237 relaciones entre el
Magerit [57] y en el estándar ISO/IEC27005 [58]. conjunto de tipos de activos y el conjunto de
Para el esquema actual se han definido un conjunto de vulnerabilidades del esquema, en base al conocimiento
48 vulnerabilidades. adquirido a lo largo de la investigación.
 Tarea T1.3.4 – Selección de criterios de riesgo: La  Tarea T1.3.6 – Establecer relaciones entre amenazas
tarea T1.3.4 se ocupa de seleccionar el conjunto de y vulnerabilidades: La tarea T1.3.6 se ocupa de
criterios de riesgo que formarán parte del esquema que establecer las relaciones existentes entre los elementos
se está construyendo. Los criterios de riesgo se que componen el conjunto de amenazas y los
definen como aquellos criterios que permiten estimar elementos que componen el conjunto de
el grado de exposición a que una amenaza se vulnerabilidades para un esquema determinado. El
materialice sobre uno o más activos causando daños o objetivo principal de este conjunto de asociaciones es
perjuicios a la organización. Estos criterios de riesgo establecer relaciones entre los elementos del SGSI
se relacionarán en tareas posteriores con otros para poder realizar una evaluación del riesgo de bajo
252
coste en la actividad A2.3. Estas asociaciones se se pueden establecer dichas relaciones a priori eliminando el
establecen por el grupo de expertos del dominio coste de tener que analizarlas una por una mediante una labor
(GED) en base al conocimiento adquirido en de consultoría en cada caso. Aun cuando existan diferencias
diferentes implantaciones del SGSI. Para el esquema entre unas y otras, estas son irrelevantes con respecto a la
base actual, se han establecido 79 relaciones entre el configuración final del SGSI obtenido para el caso de las
conjunto de amenazas y el conjunto de PYMES, dado que estas priorizan el coste a obtener un
vulnerabilidades, en base al conocimiento adquirido a resultado con un alto grado de precisión.
lo largo de la investigación. En la Figura 9 se puede ver el esquema básico de
 Tarea T1.3.7 – Establecer relaciones entre amenazas entradas, tareas y salidas que componen esta actividad:
y controles: La tarea T1.3.7 se ocupa de establecer las  Entradas: Como entradas se recibirá el conocimiento
relaciones existentes entre los elementos que del grupo de expertos del dominio de seguridad
componen el conjunto de amenazas y los elementos (GED) obtenido durante el proceso de implantación de
que componen el conjunto de controles para un SGSIs, los controles seleccionados en la tarea T1.2.2
esquema determinado. El objetivo principal de este que se encuentran almacenados en el repositorio de
conjunto de asociaciones es establecer relaciones entre esquemas y un conjunto elementos (reglamentos,
los elementos del SGSI para poder realizar una procedimientos, plantillas, registros, instrucciones
evaluación del riesgo de bajo coste en la actividad técnicas y métricas) necesarios para elaboración de un
A2.3. Estas asociaciones se establecen por el grupo de SGSI. En el esquema base desarrollado la selección de
expertos del dominio (GED) en base al conocimiento estos elementos se ha basado en: i) el contenido de la
adquirido en diferentes implantaciones del SGSI. Para guía de buenas prácticas ISO/IEC27002 [56] para el
el esquema base actual, se han establecido 1014 desarrollo de los procedimientos, reglamentos,
relaciones entre el conjunto de amenazas y el conjunto registros, plantillas e instrucciones técnicas; ii) el
de controles del esquema actual, en base al contenido del estándar ISO/IEC27004 [59] para el
conocimiento adquirido a lo largo de la investigación. desarrollo de los elementos de las métricas y el cuadro
 Tarea T1.3.8 – Establecer relaciones entre tipos de de mandos; y iii) el contenido del estándar
activos, vulnerabilidades y criterios de riesgo: La ISO/IEC27001 [37] para determinar las relaciones a
tarea T1.3.8 se ocupa de establecer las relaciones establecer entre los diferentes elementos de la
existentes entre los elementos que componen el metodología.
conjunto de tipos de activos, los elementos que Entradas Tareas Salidas
componen el conjunto de vulnerabilidades y los GEGS – A1.4

elementos que componen el conjunto de criterios de Repositorio de
Esquemas T1.4.1 T1.4.7
riesgo para un esquema determinado.
2ª Parte
El objetivo principal de este conjunto de del Esquema T1.4.2 T1.4.8
asociaciones es establecer relaciones entre los

Conocimiento T1.4.3 T1.4.9
elementos del SGSI para poder realizar una evaluación de expertos
4ª Parte
del Esquema Repositorio de
en seguridad Esquemas
del riesgo de bajo coste en la actividad A2.3. Estas T1.4.4 T1.4.10
asociaciones se establecen por el grupo de expertos
del dominio (GED) en base al conocimiento adquirido Metodologías
T1.4.5
de SGSIs
en diferentes implantaciones del SGSI. Para el
T1.4.6
esquema base actual, se han establecido 345
relaciones entre el conjunto de tipos de activos, el
conjunto de vulnerabilidades y el conjunto de criterios Figura 9. Esquema simplificado a nivel de tarea de la actividad A1.4.
de del esquema actual, en base al conocimiento
adquirido a lo largo de la investigación.
 Tareas: El subproceso estará formado por diez tareas.
Estas tareas son: i) selección de reglamentos; ii)
D.4. Actividad A1.4 – Generación de tablas de la biblioteca selección de procedimientos; iii) selección de
de artefactos. registros; iv) selección de plantillas; v) selección de
El principal objetivo de esta actividad es seleccionar los instrucciones técnicas; vi) selección de métricas; vii)
elementos necesarios para poder realizar, en actividades establecimiento de relaciones entre reglamentos y
posteriores de la metodología, el subconjunto de estos artefactos; viii) establecimiento de relaciones entre
elementos que conformarán el SGSI para una compañía y las reglamentos y controles; ix) establecimiento de
relaciones existentes entre ellos. relaciones entre artefactos y controles; x)
Esta actividad está basada en el principio de que la establecimiento de relaciones entre procedimientos y
estructura de las PYMES con características parecidas (mismo artefactos. Las seis primeras tareas son independientes
sector y mismo tamaño) comparte la mayor parte de relaciones y permiten seleccionar los elementos de entrada. Las
en cuanto a los elementos que componen un SGSI, por lo que otras cuatro tareas representan las relaciones existentes
entre las familias de elementos de las tareas T1.4.1 a
253
T1.4.5. Estas relaciones se establecen a partir del iii) servir de base para el procedimiento de denuncia
conocimiento del grupo de expertos del dominio de la tarea T3.2.2; iv) actualizar los niveles de
(GED) y de los continuos refinamientos obtenidos de seguridad de los controles de seguridad que componen
la implantación de la metodología. el SGSI (actividad A3.3). El conjunto de reglamentos
 Salidas: La salida producida por este subproceso será seleccionado en base a las metodologías, normas,
consistirá en un subconjunto de los elementos de etc que se determinen como entradas de la tarea y al
entrada y las relaciones establecidas entre ellos, los conocimiento adquirido por el grupo de expertos del
cuales se almacenarán en el repositorio de esquemas y domino (GED) a lo largo de la implantación. Un
que se corresponden con la cuarta parte de los reglamento está formado por un conjunto de reglas,
elementos de los que se compondrá el esquema que se cada una de las cuales está asociada con otros
quiere generar. artefactos del SGSI. Su cumplimiento es necesario
En la Figura 10 se pueden ver las tareas de la actividad de para el correcto funcionamiento del SGSI generado. El
forma mucho más detallada, viendo cómo interactúan éstas incumplimiento de una regla afecta a todos los
con el repositorio de esquemas encargado de contener los elementos que componen el SGSI, los cuales a su vez
elementos que conforman los diferentes esquemas del sistema. están asociados con los controles que componen el
No existen entregables entre las diferentes tareas, ya que el cuadro de mandos de seguridad del sistema, con lo
resultado de cada tarea es almacenado en el repositorio, para que al incumplirse una regla se degradan los controles
que puedan ser utilizados por otras tareas. de seguridad asociados a la misma. De esta operativa
se ocupa la actividad A3.3 y permite mantener
Conocimiento
actualizado el nivel de seguridad del sistema de forma
Lista de Lista de Lista de Lista de Lista de Lista de
Métricas I. Técnicas Plantillas Registros Procedim. Reglamentos de expertos
en seguridad
automática. La selección del conjunto de reglamentos
que conforma el esquema base, está basada en la guía
Entrada de buenas prácticas ISO/IEC27002 [56]. Para el
sP1 – GEGS – A1.4
Entregable
esquema actual se han definido un conjunto de 264
T1.4.1 Tarea
Selección de Reglamentos
SubLista Repositorio
reglas, aunque lo normal es que al generarse el SGSI
Reglas
T1.4.2 Flujo Información de la compañía durante la actividad A2.4, se
Selección de Procedimientos Flujo Proceso
SubLista
Procedim.
A: Artefactos ( Ap - plantillas, Ar
seleccione solo un pequeño conjunto de reglas para
- registros, Ait - instrucciones
T1.4.3
Selección de Registros
técnicas). formar parte del SGSI.
Prc: Procedimientos.

SubLista
Registros R: Reglamentos.
M: Métricas. Tarea T1.4.2 – Selección de procedimientos: La tarea
T1.4.4 C: Controles.
Selección de Plantillas SubLista
Plantillas
T1.4.2 se ocupa de seleccionar el conjunto de
T1.4.5 SubLista procedimientos que formarán parte del esquema que
Selección de I.Técnicas
Instrucciones Técnicas se está construyendo. Los procedimientos se utilizarán
SubLista
T1.4.6 Métricas posteriormente para diversas tareas: i) establecer
Selección de Métricas
Asociación
R-A asociaciones con otros elementos del SGSI (tareas
T1.4.7
R+A
T1.4.10); ii) generar el SGSI (tarea T2.4.1); iii) servir
Establecimiento de relaciones
entre reglamentos-artefactos de base a los procedimientos que forman el SGSI
R+C
(actividad A3.2); iv) actualizar los niveles de
T1.4.8
entre reglamentos-controles
Asociación
Repositorio de
Esquemas
seguridad de los controles de seguridad que componen
R-C
A+C el SGSI (actividad A3.3). El conjunto de

T1.4.9
Establecimiento de relaciones Asociación
procedimientos será seleccionado en base a las
A-C
entre artefactos-controles
metodologías, normas, etc que se determinen como
Prc+A
T1.4.10
entradas de la tarea y al conocimiento adquirido por el
Asociación
entre procedimientos-artefactos
Prc-A grupo de expertos del domino (GED) a lo largo de la
implantación. Un procedimiento está formado por un
Figura 10. Esquema detallado a nivel de tarea de la actividad A1.4. conjunto de fases que a su vez tienen asociados. La
selección del conjunto de reglamentos que conforma
A continuación, se analizarán uno por uno los diferentes el esquema base está basada en la guía de buenas
elementos (reglamentos, procedimientos, plantillas, registros, prácticas ISO/IEC27002 [56] y el contenido del
instrucciones técnicas y métricas) de los que se compone el estándar ISO/IEC27001 [37]. Para el esquema actual
SGSI propuesto en la nueva metodología: se han definido un conjunto de 50 procedimientos,
 Tarea T1.4.1 – Selección de reglamentos: La tarea aunque lo normal es que al generarse el SGSI de la
T1.4.1 se ocupa de seleccionar el conjunto de compañía durante la actividad A2.4, se seleccione sólo
reglamentos que formarán parte del esquema que se un pequeño conjunto de procedimientos para formar
está construyendo. Los reglamentos se utilizarán parte del SGSI.
posteriormente para diversas tareas: i) establecer  Tarea T1.4.3 - Selección de registros: La tarea T1.4.3
asociaciones con otros elementos del SGSI (tareas se ocupa de seleccionar el conjunto de registros que
T1.4.7 y T1.4.8); ii) generar el SGSI (tarea T2.4.1); formarán parte del esquema que se está construyendo.
254
Los registros se utilizarán posteriormente para Las métricas permiten conocer o estimar el valor de
diversas tareas: i) establecer asociaciones con otros ciertas características del sistema de información. Las
elementos del SGSI (tareas T1.4.7, T1.4.9 y T1.4.10); métricas seleccionadas se utilizarán para la actividad
ii) generar el SGSI (tarea T2.4.1); iii) servir de base a A3.3. El conjunto de métricas será seleccionado en
los procedimientos que forman el SGSI (actividad base a las metodologías, normas, etc que se
A3.2); iv) actualizar los niveles de seguridad de los determinen como entradas de la tarea y al
controles de seguridad que componen el SGSI conocimiento adquirido por el grupo de expertos del
(actividad A3.3). El conjunto de registros será domino (GED) a lo largo de la implantación. La
seleccionado en base a las metodologías, normas, etc selección del conjunto de métricas que conforma el
que se determinen como entradas de la tarea y al esquema base está basada en el estándar
conocimiento adquirido por el grupo de expertos del ISO/IEC27004 [59].
domino (GED) a lo largo de la implantación. La  Tarea T1.4.7 – Establecer relaciones entre
selección del conjunto de registros que conforma el reglamentos y artefactos: La tarea T1.4.7 se ocupa de
esquema base está basada en la guía de buenas establecer las relaciones existentes entre los elementos
prácticas ISO/IEC27002 [61] y el contenido del que componen el conjunto de reglamentos y los
estándar ISO/IEC27001 [37]. Los registros que se elementos que componen el conjunto de artefactos
utilizarán en el SGSI generado dependerán de los (procedimientos, plantillas, registros e instrucciones
procedimientos que formen parte de ese SGSI. técnicas) para un esquema determinado. El objetivo
 Tarea T1.4.4 – Selección de plantillas: La tarea T1.4.4 principal de este conjunto de asociaciones es
se ocupa de seleccionar el conjunto de plantillas que establecer relaciones entre los elementos del SGSI
formarán parte del esquema que se está construyendo. para poder generar de forma automática los
Las plantillas suelen contener documentos formales componentes que deben formar parte del SGSI
necesarios para el cumplimiento de los (actividad A2.4). Este conjunto de relaciones es
procedimientos. Las plantillas se utilizarán utilizado por el algoritmo de generación del SGSI
posteriormente en las mismas tareas que los registros. (actividad A2.4) para, a partir de la información
El conjunto de plantillas será seleccionado en base a generada en las actividades A1.2 y A1.3, generar la
las metodologías, normas, etc que se determinen como estructura del SGSI de la compañía. Para el esquema
entradas de la tarea y al conocimiento adquirido por el base actual, se han establecido 762 relaciones entre el
grupo de expertos del domino (GED) a lo largo de la conjunto de reglas y el conjunto de artefactos, en base
implantación. La selección del conjunto de plantillas al conocimiento adquirido a lo largo de la
que conforma el esquema base está basada en la guía investigación.
de buenas prácticas ISO/IEC27002 [61] y el contenido  Tarea T1.4.8 – Establecer relaciones entre
del estándar ISO/IEC27001 [37]. Las plantillas que se reglamentos y controles: La tarea T1.4.8 se ocupa de
utilizarán en el SGSI generado dependerán de los establecer las relaciones existentes entre los elementos
procedimientos que formen parte de ese SGSI. que componen el conjunto de reglamentos y los
 Tarea T1.4.5 – Selección de instrucciones técnicas: La elementos que componen el conjunto de controles para
tarea T1.4.5 se ocupa de seleccionar el conjunto de un esquema determinado. El objetivo principal de este
instrucciones técnicas que formarán parte del esquema conjunto de asociaciones es establecer relaciones entre
que se está construyendo. Las instrucciones técnicas los elementos del SGSI para poder generar de forma
son documentos técnicos de apoyo para la ejecución automática los componentes que deben formar parte
de los procedimientos. Las instrucciones técnicas se del SGSI (actividad A2.4). Este conjunto de relaciones
utilizarán posteriormente en las mismas tareas que los es utilizado por el algoritmo de generación del SGSI
registros y las plantillas. El conjunto de instrucciones (actividad A2.4) para generar la estructura del SGSI
técnicas será seleccionado en base a las metodologías, de la compañía. Para el esquema base actual, se han
normas, etc que se determinen como entradas de la establecido 431 relaciones entre el conjunto de reglas
tarea y al conocimiento adquirido por el grupo de y el conjunto de controles, en base al conocimiento
expertos del domino (GED) a lo largo de la adquirido a lo largo de la investigación.
implantación. La selección del conjunto de  Tarea T1.4.9 – Establecer relaciones entre artefactos
instrucciones técnicas que conforma el esquema base y controles: La tarea T1.4.9 se ocupa de establecer las
está basada en la guía de buenas prácticas relaciones existentes entre los elementos que
ISO/IEC27002 [56] y el contenido del estándar componen el conjunto de artefactos (procedimientos,
ISO/IEC27001 [37]. Las instrucciones técnicas que se plantillas, registros e instrucciones técnicas) y los
utilizarán en el SGSI generado dependerán de los elementos que componen el conjunto de controles para
procedimientos que formen parte de ese SGSI. un esquema determinado. El objetivo principal de este
 Tarea T1.4.6 – Selección de métricas: La tarea T1.4.6 conjunto de asociaciones es establecer relaciones entre
se ocupa de seleccionar el conjunto de métricas que los elementos del SGSI para poder generar de forma
formarán parte del esquema que se está construyendo. automática los componentes que deben formar parte
255
del SGSI (actividad A2.4). Estas asociaciones se recibidos, y su aplicación está resultando muy positiva ya que
establecen por el grupo de expertos del dominio permite a este tipo de empresas realizar una adecuada gestión
(GED) en base al conocimiento adquirido en del riesgo al que están sometidos los activos de su sistema de
diferentes implantaciones del SGSI. Este conjunto de información. Además, con este proceso se obtienen resultados
relaciones es utilizado por el algoritmo de generación a corto plazo y se reducen los costes que supone el uso de
del SGSI (actividad A2.4) para generar la estructura otros procesos, consiguiendo un mayor grado de satisfacción
del SGSI de la compañía. Para el esquema base actual, de la empresa.
se han establecido 449 relaciones entre el conjunto de Actualmente tres de las actividades presentadas han sido
artefactos y el conjunto de controles, en base al implementadas dentro de la herramienta eMARISMA y
conocimiento adquirido a lo largo de la investigación. aplicadas con éxito en empresas de España y Colombia.
 Tarea T1.4.10 – Establecer relaciones entre El proceso MARISMA-AGR cumple con los objetivos
procedimientos y artefactos: La tarea T1.4.10 se propuestos, así como con los principios que según la OCDE
ocupa de establecer las relaciones existentes entre los [62] debe seguir todo proceso de evaluación del riesgo, según
elementos que componen el conjunto de el cual el sistema debe tener la capacidad de autoevaluar su
procedimientos y el conjunto de artefactos (plantillas, riesgo de forma continuada en el tiempo.
registros e instrucciones técnicas) para un esquema Finalmente, se considera que el trabajo realizado debe ser
determinado. El objetivo principal de este conjunto de ampliado con nuevas especificaciones, nuevos esquemas,
asociaciones es establecer relaciones entre los mejorando los algoritmos de análisis y gestión del riesgo de
elementos del SGSI para poder generar de forma forma que puedan ofrecer planes más detallados y
automática los componentes que deben formar parte profundizando en el proceso con nuevos casos de estudio.
del SGSI (actividad A2.4). Estas asociaciones se La mayor parte de las futuras mejoras del proceso se están
establecen por el grupo de expertos del dominio orientando a mejorar la precisión del mismo, pero siempre
(GED) en base al conocimiento adquirido en respetando el principio de coste de recursos, es decir, se busca
diferentes implantaciones del SGSI. Este conjunto de mejorar el proceso sin incurrir en costes de generación y
relaciones es utilizado por el algoritmo de generación mantenimiento del análisis de riesgos.
del SGSI (actividad A2.4) para generar la estructura
del SGSI de la compañía. Para el esquema base AGRADECIMIENTOS
actual, se han establecido 176 relaciones entre el Esta investigación ha sido co-financiada por los proyectos
conjunto de procedimientos y el conjunto de SEQUOIA – Security and Quality in Processes with Big Data
artefactos, en base al conocimiento adquirido a lo and Analytics (TIN2015-63502-C3-1-R) financiados por el
largo de la investigación. “Ministerio de Economía y Competitividad y Fondo Europeo
de Desarrollo Regional FEDER”, del proyecto ERAVAC
ISO25000 (13/16/IN/4/014) financiados por la ”Consejería de
V. CONCLUSIONES. Economía, Empresas y Empleo” y del proyecto “Plataformas
En este artículo se ha presentado el proceso de generación Computacionales de Entrenamiento, Experimentación,
de patrones reutilizables para la generación de análisis de Gestión y Mitigación de Ataques a la Ciberseguridad -
riegos de bajo coste que se ha desarrollado como parte de la Código: ESPE-2015-PIC-019” financiado por la ESPE y
metodología MARISMA, el cual permite soportar los CEDIA (Ecuador), y ha contado con la participación de la
resultados generados durante la investigación y que cumple empresa Sicaman Nuevas Tecnologías (www.sicaman-nt.com)
con los objetivos perseguidos, especialmente la capacidad de que ha permitido validar los resultados.
generarse y mantenerse actualizado a lo largo del tiempo con
un bajo coste en recursos humanos y económicos, lo que
suponía dos de los grandes problemas de este tipo de sistemas
para todas las compañías en la que se realizó la investigación. Referencias
El análisis de riesgos para las PYMES deberá tener un
[1] Wiander, T. Implementing the ISO/IEC 17799 standard in practice
coste de generación y mantenimiento muy reducido, aún a – experiences on audit phases. in AISC '08: Proceedings of the
costa de sacrificar precisión en el mismo, pero siempre sixth Australasian conference on Information security. 2008.
manteniendo unos resultados con la calidad suficiente, Wollongong, Australia.
mediante la utilización de patrones reutilizables se consigue [2] Johnson, M., Cybercrime: Threats and Solutions, 2014.
[3] Von Solms, R., Information security management: processes and
este objetivo. metrics, 2014.
Se ha definido cómo se puede utilizar este proceso y las [4] Wiander, T. and J. Holappa, Theoretical Framework of ISO 17799
Compliant. Information Security Management System Using
mejoras que ofrece con respecto a otros modelos que afrontan Novel ASD Method., in Technical Report, V.T.R.C.o. Finland,
el problema de una forma más precisa y detallada, pero Editor 2006.
también más costosa, lo que no las hace válidas para el caso de [5] Whitman, M. and H. Mattord, Principles of information
las PYMES. security2011: Cengage Learning.
[6] Kluge, D. Formal Information Security Standards in German
Tanto las características ofrecidas por el proceso como su Medium Enterprises. in CONISAR: The Conference on
orientación a las PYMES han sido aspectos muy bien Information Systems Applied Research. 2008.
256
[7] Dhillon, G. and J. Backhouse, Information System Security International Conference on Security and Cryptography
Management in the New Millennium. Communications of the (SECRYPT’07). 2007a. Barcelona. Spain.: Junio.
ACM, 2000. 43(7): p. 125-128. [29] Sánchez, L.E., et al. SCMM-TOOL: Tool for computer automation
[8] Brinkley, D. and R. Schell, What Is There to Worry About? An of the Information Security Management Systems. in 2nd
Introduction to the Computer Security Problem, in Information International conference on Software and Data Technologies
Security, An Integrated Collection of Essays, M. Abrams, S. (ICSOFT‘07). . 2007c. Barcelona-España Septiembre.
Jajodia, and H. Podell, Editors. 1995, IEEE Computer Society: [30] Sánchez, L.E., et al. Practical Application of a Security
California. Management Maturity Model for SMEs Based on Predefined
[9] Chung, L., et al., Non-functional requirements in software Schemas. in International Conference on Security and
engineering2000, Boston/Dordrecht/London: Kluwer Academic Cryptography (SECRYPT’08). 2008. Porto–Portugal.
Publishers. [31] Gupta, A. and R. Hammond, Information systems security issues
[10] Dhillon, G., Information Security Management: Global challenges and decisions for small businesses. Information Management &
in the new millennium2001: Idea Group Publishing. Computer Security, 2005. 13(4): p. 297-310.
[11] Ghosh, A., C. Howell, and J. Whittaker, Building Software [32] V3, M., Methodology for Information Systems Risk Analysis and
Securely from the Ground Up. IEEE Software, 2002. 19(1): p. 14- Management (MAGERIT version 3), 2012, Ministerio de
16. Administraciones Públicas (Spain).
[12] Hall, A. and R. Chapman, Correctness by Construction: [33] Alberts, C.J. and A.J. Dorofee, Managing Information Security
Developing a Commercial Secure System. IEEE Software, 2002. Risks: The OCTAVE Approach., ed. A.-W.P. Co.2002.
19(1): p. 18-25. [34] CRAMMv5.0, CRAMM v5.0, CCTA Risk Analysis and
[13] Jürjens, J. Towards Development of Secure Systems using UML. Management Method., 2003.
in International Conference on the Fundamental Approaches to [35] Gerber, M. and R. Von Solms, Management of risk in the
Software Engineering (FASEiTAPS). 2001. Springer. information age. Computers & Security, 2005. 24(1): p. 16-30.
[14] Masacci, F., M. Prest, and N. Zannone, Using a security [36] ISO/IEC27005, ISO/IEC 27005:2011, Information Technology -
requirements engineering methodology in practice: The Security Techniques - Information Security Risk Management
compílanse with the Italian data protection legislation. Computer Standard (under development). 2011.
Standards & Interfaces, 2005. 27: p. 445-455. [37] ISO/IEC27001, ISO/IEC 27001:2013, Information Technology -
[15] Walker, E., Software Development Security: A Risk Management Security Techniques Information security management systemys -
Perspective. The DoD Software Tech. Secure Software Requirements., 2013.
Engineering, 2005. 8(2): p. 15-18. [38] SSE-CMM, Systems Security Engineering Capability Maturity
[16] Volonino, L. and S. Robinson. Principles and Practice of Model (SSE-CMM), Version 3.0. Department of Defense.
Information Security. in 1 edition, Anderson, Natalie E. 2004. New Arlington VA. 326., 2003.
Jersey, EEUU. [39] ISO/IEC21827, ISO/IEC 21827:2008, Information technology -
[17] Michalson, L., Information security and the law: threats and how Systems Security Engineering - Capability Maturity Model (SSE-
to manage them. Convergence, 2003. 4(3): p. 34-38. CMM), 2008, ISO/IEC. p. 123.
[18] Cholez, H. and F. Girard, Maturity assessment and process [40] ISO/IEC15443-1, ISO/IEC TR 15443-1:2012, Information
improvement for information security management in small and technology -- Security techniques -- A framework for IT security
medium enterprises. Journal of Software: Evolution and Process, assurance -- Part 1: Overview and framework., 2012.
2014. 26(5): p. 496-503. [41] ISO/IEC15443-2, ISO/IEC TR 15443-2:2012, Information
[19] Sánchez, L.E., et al., Managing Security and its Maturity in Small technology -- Security techniques -- A framework for IT security
and Medium-sized Enterprises. J. UCS, 2009. 15(15): p. 3038- assurance -- Part 2: Assurance methods., 2012.
3058. [42] ISO/IEC20000-1, ISO/IEC 20000-1:2011, Information technology
[20] Vivas, T., A. Zambrano, and M. Huerta. Mechanisms of security - Service management - Part 1: Specification., 2011.
based on digital certificates applied in a telemedicine network. in [43] ISO/IEC20000-2, ISO/IEC 20000-2:2012, Information technology
Engineering in Medicine and Biology Society, 2008. EMBS 2008. - Service management - Part 2: Code of practice., 2012.
30th Annual International Conference of the IEEE. 2008. [44] COBITv5.0, Cobit Guidelines, Information Security Audit and
[21] Vivas, T., et al., Aplicación de Mecanismos de Seguridad en una Control Association, ISACA, Editor 2013.
Red de Telemedicina Basados en Certificados Digitales, in IV [45] Batista, J. and A. Figueiredo, SPI in very small team: a case with
Latin American Congress on Biomedical Engineering 2007, CMM. Software Process Improvement and Practice, 2000. 5(4): p.
Bioengineering Solutions for Latin America Health, C. Müller- 243-250.
Karger, S. Wong, and A. La Cruz, Editors. 2008, Springer Berlin [46] Hareton, L. and Y. Terence, A Process Framework for Small
Heidelberg. p. 971-974. Projects. Software Process Improvement and Practice, 2001. 6: p.
[22] Alebrahim, A., D. Hatebur, and L. Goeke. Pattern-based and ISO 67-83.
27001 compliant risk analysis for cloud systems. in Evolving [47] Tuffley, A., B. Grove, and M. G, SPICE For Small Organisations.
Security and Privacy Requirements Engineering (ESPRE), 2014 Software Process Improvement and Practice, 2004. 9: p. 23-31.
IEEE 1st Workshop on. 2014. [48] Calvo-Manzano, J.A., et al., Experiences in the Application of
[23] Tariq, M.I. and V. Santarcangelo. Analysis of ISO 27001: 2013 Software Process Improvement in SMES. Software Quality
Controls Effectiveness for Cloud Computing. in ICISSP. 2016. Journal., 2004. 10(3): p. 261-273.
[24] Siegel, C.A., T.R. Sagalow, and P. Serritella, Cyber-Risk [49] Mekelburg, D., Sustaining Best Practices: How Real-World
Management: Technical and Insurance Controls for Enterprise- Software Organizations Improve Quality Processes. Software
Level Security. Security Management Practices, 2002. sept/oct: p. Quality Professional, 2005. 7(3): p. 4-13.
33-49. [50] Santos-Olmo, A., et al., A Systematic Review of Methodologies
[25] Garigue, R. and M. Stefaniu, Information Security Governance and Models for the Analysis and Management of Associative and
Reporting. Information Systems Security, 2003. sept/oct: p. 36-40. Hierarchical Risk in SMEs, in 9th International Workshop on
[26] Sánchez, L.E., et al. Security Management in corporative IT Security in Information Systems (WOSIS12) In conjunction with
systems using maturity models, taking as base ISO/IEC 17799. in 11th International Conference on Enterprise Information Systems
International Symposium on Frontiers in Availability, Reliability (ICEIS12).2012: Wroclaw, Poland. p. 117 -124.
and Security (FARES’06) in conjunction with ARES. 2006. Viena [51] Sanchez, L.E., et al., ISMS Building for SMEs through the Reuse
(Austria). of Knowledge. Small and Medium Enterprises: Concepts,
[27] Sánchez, L.E., et al. MMISS-SME Practical Development: Methodologies, Tools, and Applications, 2013: p. 394.
Maturity Model for Information Systems Security Management in [52] COBITv4.0, Cobit Guidelines, Information Security Audit and
SMEs. in 9th International Conference on Enterprise Information Control Association, 2006.
Systems (WOSIS’07). 2007b. Funchal, Madeira (Portugal). June. [53] Eloff, J. and M. Eloff, Information Security Management - A New
[28] Sánchez, L.E., et al. Developing a model and a tool to manage the Paradigm. Annual research conference of the South African
information security in Small and Medium Enterprises. in institute of computer scientists and information technologists on
Enablement through technology SAICSIT´03, 2003: p. 130-136.
257
[54] Areiza, K.A., et al., Hacia un modelo de madurez para la seguridad

de la información. IV Congreso Internacional de Auditoría y Esther Álvarez President of Private Foundation In-nova
Seguridad de la Información, 2005b. Dic (2005). and Research of the UPM. Consultant in strategic
[55] ISM3, Information security management matury model (ISM3 communications programs radio, mobile and wireless both
v.2.0), 2007, ISM3 Consortium. public and private sectors and in civil and military.
[56] ISO/IEC27002, ISO/IEC 27002:2013, the international standard Currently a member of the board of the Delegation of
Code of Practice for Information Security Management (en COIT (Association of Telecommunications Engineers)
desarrollo). 2013. CLM, representative of Castilla La Mancha in the groups of the free and
[57] MageritV3, Methodology for Information Systems Risk Analysis COIT New Technologies of the National Coordinator of the Treatment
and Management., in Ministerio de Hacienda y Administraciones Research Chair in Digital Image at the Madrid Polytechnic University of
Públicas2012: Spain. Madrid. PhD in Information Systems specializing in Business ETSI
[58] ISO/IEC27005, ISO/IEC 27005, Information Technology - Industriales (UPM) and the Specialty Program Communications Signals,
Security Techniques - Information Security Risk Management Systems and Radiocommunications Department SSR ETSI
Standard (under development). 2008. Telecomunicaciones (UPM).
[59] ISO/IEC27004, ISO/IEC FCD 27004, Information Technology -
Security Techniques - Information Security Metrics and
Measurement (under development). 2009. Eduardo Fernández-Medina holds a PhD. and an MSc. in
[60] ISO/IEC17799, ISO/IEC 17799, Information Technology - Computer Science from the University of Sevilla. He is
Security Techniques - Code of practice for information security associate Professor at the Escuela Superior de Informática
management, 2000. of the University of Castilla-La Mancha at Ciudad Real
[61] ISO/IEC27002, ISO/IEC 27002, Information Technology - (Spain), his research activity being in the field of security in
Security Techniques - The international standard Code of Practice databases, datawarehouses, web services and information
for Information Security Management., 2007. systems, and also in security metrics. Fernández-Medina is co-editor of
[62] OECD, OECD Guidelines for the Security of Information Systems several books and chapter books on these subjects, and has several dozens of
and Networks: Towards a Culture of Security., O.f.E.C.-o.a.D. papers in national and international conferences (DEXA, CAISE, UML, ER,
(OECD). Editor 2002: Paris. etc.). Author of several manuscripts in national and international journals
(Information Software Technology, Computers And Security, Information
Antonio Santos-Olmo is MsC in in Computer Science and Systems Security, etc.), he is director of the GSyA research group of the
is an Assistant Professor at the Escuela Superior de Information Systems and Technologies Department at the University of
Informática of the Universidad de Castilla- La Mancha in Castilla-La Mancha, in Ciudad Real, Spain.
Ciudad Real (Spain) (Computer Science Department,
University of Castilla La Mancha, Ciudad Real, Spain),
MSc in Information Systems Audit from the Polytechnic
University of Madrid, and Certified Information System
Auditor by ISACA. He is the Director of Software Factory departments of the
company Sicaman Nuevas Tecnologías S.L. His research activities are
management security system, security metrics, data mining, data cleaning, and
business intelligence. He participates in the GSyA research group of the
Department of Computer Science at the University of Castilla- LaMancha, in
Ciudad Real (Spain).
Luis Enrique Sánchez is PhD and MsC in Computer

Science and is a Professor at the Universidad of Castilla-
la Mancha (Ciudad Real, Spain), MSc in Information
Systems Audit from the Polytechnic University of
Madrid, and Certified Information System Auditor by
ISACA. He is the Director of Professional Services and
R&D departments of the company Sicaman Nuevas
Tecnologías S.L. COIICLM board or committee member
and responsible for the professional services committee.
His research activities are management security system, security metrics, data
mining, data cleaning, and business intelligence. He participates in the GSyA
research group of the Department of Computer Science at the University of
Castilla- LaMancha, in Ciudad Real (Spain).
Sara Camacho Estrada is a Juris Doctor, Master in

Information Technology and Multimedia Education,
Master in Higher Education, Teaching and
Administration. Director of the Languages Center for
two periods at the Universidad Técnica de Ambato in
Ecuador. Vice-dean of the Education Faculty at the
Universidad Técnica de Ambato in Ecuador. Author and
director of the TEFL Master´s program at the
Universidad Técnica de Ambato in Ecuador. Author of a
wide variety of programs like interactive software for learning English,
international accreditations, and language learning programs.
258
Christian Javier Vila
Herramientas digitales de fuentes abiertas para

la investigación criminal
Christian Javier Vila, CTO, ISEC Global Inc.
 veces a través de dispositivos móviles y computadoras1, que

Abstract— Hoy el crimen organizado cifra sus comunicaciones, pre-configurados de fábrica se conectan cada 15 segundos
transporta contrabando con alta tecnología, se mueve en para actualizar estados de correos electrónicos, redes sociales,
arquitecturas digitales complejas: redes de anonimato, carpetas de fotografías, ubicaciones GPS.
inhibidores de señales; en contrapartida la investigación criminal
se encuentra reducida a técnicas antiguas de búsqueda de
En un día común por ejemplo se pueden listar más de
información. 2.000.000 (dos millones) de dispositivos conectados a internet
Es el propósito de este trabajo definir recursos de búsqueda de sólo en Argentina2, muchos de ellos comprenden a Internet de
información y relacionarlos con conceptos de criminalística las Cosas.
moderna para que finalmente las agencias de investigación Inclusive indicadores similares se observan sobre
criminal -Fiscalías, Policías- puedan trabajar sobre la definición distintas tecnologías que necesitan estar conectadas;
de procedimientos comunes de investigación para la persecución transacciones de comercio electrónico, sensores e interfaces de
del delito.
distintos sistemas industriales, servidores de datos; todo esto
Index Terms— análisis de entorno digital, big data, refleja una hiperactividad digital que en el comienzo del nuevo
criminalística moderna, herramientas digitales, huella digital, milenio se denominó innovación tecnológica.
información de fuentes abiertas, innovación, internet,
investigación digital, perfilado digital, personificación del Planteo del Problema: Esta masividad de información
individuo, registro de información, seguridad de la información, alimenta el concepto de “BIG DATA” 3, terabytes de datos
sombra digital digital. que muchos de ellos están disponibles como fuente abierta
puede ser utilizado para resolver un delito.
Sería imposible que de forma dinámica y efectiva un
I. INTRODUCCIÓN
investigador pudiera bucear entre terabytes de datos
L a delincuencia está en continua evolución y adaptación. El

crimen organizado, el tráfico ilícito de drogas y el
terrorismo han sido las fuentes principales de
compuestos por un espectro de información que va desde un
“me gusta” pasando por las coordenadas geográficas de un
twit hasta zapatos deportivos (wereables) o aplicaciones
preocupación en las últimas dos décadas; este tipo de móviles que suben a internet una ruta trazada.
delincuencia utiliza medios tecnológicos para producción,
comercialización, comunicaciones, transporte, ocultamiento,
etc.
Sin embargo hay algo que nunca los delincuentes van a
dejar de tener: vida social, hoy esta actividad deja huellas
digitales; si se logra generar sinergia entre los conceptos
básicos de criminalística moderna y toda esta información
que la delincuencia deja en Internet y sus recursos (Redes
Sociales, Internet de las Cosas, Blogs, Intranets, etc.) se podrá Fig. 1. Ruta trazada por un deportista y fotografías subidas por la aplicación
mejorar las técnicas de investigación de las agencias para dispositivos móviles “Wikiloc”.
gubernamentales.
La información del tipo “open source” o de “fuentes Entonces, a ciencia cierta, es necesario utilizar herramientas
abiertas” es de utilidad en una investigación criminal para de búsqueda, captura, administración y proceso de esos datos
aportar datos, inclusive con valor probatorio para llegar al fin en un tiempo razonable; y con una orientación que cumpla
común en toda investigación criminal: la verdad histórica de con las premisas básicas de criminalística moderna; la
los hechos. respuesta a ¿qué?, ¿cómo?, ¿dónde?, ¿cuándo? y ¿quién o
quiénes?.
II. PLANTEO DEL PROBLEMA, CONCEPTO E INDICADORES
Indicadores: En un día común más de 3.000.000.000 (tres
mil millones) de habitantes accede a internet al menos 100 1
Fuente: Interworld Stats; http://www.internetworldstats.com/stats.htm
2
Fuente: Shodan; https://www.shodan.io/search?query=country%3Aar
3
El presente trabajo fue realizado el 10 de Septiembre de 2017 por Christian Big Data: conjuntos de datos tan grandes que aplicaciones informáticas
Javier Vila, CTO Chief Technology Officer de ISEC Global Inc., Argentina tradicionales de procesamiento de datos no son suficientes para tratar con
(christian.vila@isec-global.com) ellos.
259
Justificación de un cambio necesario: Tradicionalmente permite obtener nueva información, relevante para el
los procesos judiciales se apoyaban en resultados de tareas de esclarecimiento de un hecho.
ciencias como antropología, física, química, biología; …es un proceso continuo, concatenado, de revisión y que
posteriormente se sumó informática como generador de valor está en interrelación con los diversos estudios realizados en
probatorio en la investigación y persecución del delito. una misma causa. Permite que el criminalista logre el
El nuevo milenio desembarca con una innovación esclarecimiento del delito, colabore con la captura del autor o
tecnológica, la prueba deja de estar solamente en un autores y el descubrimiento de la verdad.”[3]. Enrique E. J.
almacenamiento de memoria que se copia bit a bit, ahora la Prueguer, El práctico en la Investigación de Homicidio.
podemos encontrar en elementos tan disímiles como baldosas
inteligentes4, sensores deportivos conectados a la nube, la Metodología Práctica: Habiendo definido estas premisas a
nube misma como fuente de información. continuación se realiza un análisis profundo de las etapas de
En este sentido los profesionales de INFO-Lab, Argentina investigación de fuentes abiertas para la investigación
definen: criminal:
“De la pronta adaptación y capacidad de respuesta que
tenga la justicia (con el auxilio imprescindible de una
A. Reconocimiento (huella digital):
Criminalística dotada de conocimientos, métodos y técnicas
adecuadas), dependerá en gran medida la calidad de sus Inicialmente se enumera toda la actividad digital de los
respuestas frente a estos nuevos desafíos”.[1] Info-Lab, El sospechosos enfocados en tres hilos conductores: presencia en
Rastro Digital del Delito. internet, actividad en redes sociales y tecnología que utiliza.
En consecuencia es el objeto principal del presente Generando un listado pormenorizado de su presencia en
estudio definir una metodología práctica para los nuevos internet: webs, blogs, foros, todas las cuentas de correo
investigadores del delito, que permita hacer eficiente la electrónico; toda la actividad en redes sociales y toda la
búsqueda de información en estos entornos digitales de tecnología que posee todos los dispositivos telefónicos
fuentes abiertas. móviles, todos los dispositivos de internet de las cosas,
computadoras, etc.
III. METODOLOGÍA “Esto implica una exploración y seguimiento detallado de
las redes sociales más activas: Linkedin, Twitter, Facebook,
Estrategia: la actividad social del entorno del delincuente
Google+ e Instagram con el fin de establecer un perfil
deja huellas, los dispositivos tecnológicos que utiliza también.
particular, la dinámica de sus conexiones, las posturas en sus
En este sentido definimos una metodología de búsqueda y
publicaciones y sobre manera, la frecuencia con que hace
registro de información en cinco etapas[2]:
frecuencia en cada una de ellas” [5] . Jeimy Cano, Anatomía
de un ataque basado en redes.
A. Reconocimiento (huella digital). Estas exploraciones y seguimientos detallados entregan
información no sólo para un inventario de actividades
B. Análisis de entorno (sombra digital).
digitales sino que también colaboran en una categorización
C. Profiling digital. de esta actividad, por ejemplo para definir si una cuenta de
D. Personificación del individuo. facebook se utiliza para actividades delictivas y se emplean de
forma muy frecuente.
E. Snapshot y registro de información. En relación a la tecnología utilizada por el objetivo habrá
que identificar dispositivos móviles, equipos de comunicación,
Asimismo existen algunos conceptos básicos de laptops, dispositivos iot (internet de las cosas), arquitecturas
criminalística que habrá que tener siempre presente. de seguridad física, arquitecturas de seguridad lógica.
La investigación deberá conducirse desde lo general hacia Toda esta información generará un inventario tecnológico
lo particular y desde lo particular hacia el pequeño detalle; que colaborará en distintos aspectos como geo-localización,
su enfoque principal deberá ser el de la búsqueda de los posibles intercepciones de comunicaciones, grado de
autores del hecho y su modus operandis. conocimiento tecnológico del sospechoso; inclusive cooperan
Toda la información conducente y relevante debe ser con información importante en delitos en los que necesiten
registrada con criterios de valor probatorio de evidencia realizar allanamientos y otros operativos similares.
digital. Consecuentemente cada una de estas ocurrencias pueden ser
La forma de investigar deberá ser sistemática, continua y cargadas en un inventario de datos y clasificadas según el
meta-analítica; veamos el concepto criminalístico de meta- tipo de evento, deben contener toda la información que la
análisis: categorice en relación con el objetivo y el tipo de delito
“En criminalística es el estudio integral de todos los perseguido.
elementos o evidencias (aunque hayan sido analizadas Algunos eventos posibles serían:
particularmente), ya que la interrelación de los estudios nos
 Sospechoso A, usuario de Facebook “el chacal”, fecha del
dato 01-10-17; de uso delictivo vende objetos robados en
4
Fuente: iPaviment; http://ipavement.com/apps.html
260
diversos grupos de su región, sin información pública, los información podría tener eventos que contienen ejemplos
datos se obtienen de grupos cerrados de ventas con un como los siguientes:
promedio de 2 (dos) posteos diarios.
 Sospechoso A, usuario de Facebook “Christian Valente”,  Sospechoso C, fusil ak47, usuario “Tony Carp”
fecha del dato 02-10-17; de uso social, cuenta personal (cepita123@gmail.com) de Youtube, fecha de data 03-10-
del causante, útil para reconocimiento del entorno 17; Canal de Youtube, postea un video mostrando uso de
(lugares, amistades, familiares, asociados), de uso poco AK 47, link directo
frecuente con un promedio de 1 (un) posteo cada dos https://www.youtube.com/channel/UCRbp0.
meses.  Sospechoso A, cámara de vigilancia, ip 190.x.x.x, fecha
 Sospechoso B, Usuario Twitter , @tony_carp, fecha del de dato 10-11-17; pertenece a vivienda lindera al NE de la
dato 03-10-17; de uso social, útil para reconocimiento de vivienda particular Sospechoso A vista a toda la cuadra,
usos de #hashtags frecuentes y seguidores, 7 (siete) accesible sin contraseña link directo
posteos diarios. https://www.shodan.io/host/190.x.x.x.
 Sospechoso B, Smartphone, marca Solarin (Sirin Labs –  Sospechoso C, Fusil AK 47, fecha de dato 12-10-17;
Israel), +5429958545XX, fecha del dato 01-11-17, exhibido en imagen subida con el celular,
utilizado para ocultar comunicaciones mediante cifrado de https://www.facebook.com/photo.php?fbid=93399930675
256-bit de chip a chip (obtenido de imágenes de su cuenta 1715.
de Instagram “Antonio Carp”)  Grupo de Facebook "meto bala", fecha de dato 12-10-17,
 Sospechoso B, router de perímetro marca Zyxel modelo participantes Sospechoso A, B y C; link
xx, fecha de data 01-11-17, ip 181.46.x.x; en vivienda https://www.facebook.com/search/str/meto%20bala/storie
particular https://www.shodan.io/host/181.46.x.x. s-keyword
 Sospechoso C, wereable de zapatos deportivos y  Sospechoso C, vivienda de veraneo, fecha de dato 02-10-
aplicación web “Wikiloc”, usuario “pedro piedra, fecha 17; propietario casa en Las Grutas, Río Negro-ARG,
de data 25-12-17; revela coordenadas geográficas de https://twitter.com/bienesonline/status/542430740898541
ubicaciones y fotografías con metadatos, 569.
https://es.wikiloc.com/rutas/outdoor/argentina.  Sospechoso A, Condena Homicidio Simple, fecha de dato
10-10-17; prisión desde 10-10-1998 en U12–NQN,
http://datos.gob.ar/dataset/internos-del-servicio-
B. Análisis de entorno (sombra digital):
penitenciario-federal---spf
Luego es necesario analizar el entorno del delincuente con  Sospechoso B, Condena Robo Agravado, fecha de dato
una observación similar al punto anterior -presencia en 10-10-17; prisión desde 12-05-2000 en U12–NQN,
internet y tecnologías- pero en este caso a terceras partes y http://datos.gob.ar/dataset/internos-del-servicio-
toda la información que esté relacionada con el sospechoso y penitenciario-federal---spf, coincide con Sospechoso A
con el delito; evitado generar una excesiva cantidad de
información de actividades digitales que en definitiva no Se generará una matriz de información como la siguiente:
aporten información con el hecho delictual investigado.
De las fuentes abiertas de información se buscarán
identificar relaciones familiares, amistades, personas de
iguales intereses, personas con alto intercambio de posteos en
redes sociales.
En esta etapa se recomienda la utilización de herramientas
de OSINT5 y para grandes caudales de información y
búsquedas se podría utilizar Maltego6 o alguna similar.
Se continua completando la planilla de inventarios pero en
este caso habrá que relacionar el evento con el Sospechoso
para ligar los datos:
 Sospechoso A, usuario Facebook “javier.toscano”, fecha

de dato 10-10-17, amigo usuario Facebook “Christian
Valente” (hermano), de uso social, útil para definir
lugares de estadía del sospechoso (ver álbum de fotos
“mis viajes”)
Para el caso anterior la relación que liga el evento con el
sospechoso A es ser amigo en Facebook. La matriz de
Fig. 1.Matriz de Información de eventos.

5
OSINT: Open Source Intelligence, inteligencia de fuentes abiertas
6
Maltego: Herramienta de minería de datos en internet, autor Paterva Inc.
261
Es de destacar que esta matriz no es estática sino que se web, reconocimiento de dispositivos wireless en la zona
puede modificar, agregar o borrar columnas de datos según la (análisis de espectro wireless con herramienta Kismet),
necesidad de la investigación y del delito investigado. dispositivos iot (internet de las cosas) que pudieran ayudar en
Asimismo se pueden realizar gráficos de relaciones para la investigación en la zona (utilizando herramienta Shodan),
facilitar la investigación ya que son complejos y abundantes búsqueda de información técnica de los automóviles del
los datos obtenidos. sospechoso.
Fig. 3. Gráfico de relaciones de los eventos.
C. Profiling digital:
Fig. 5. Inventario de dispositivos conectados a internet en el mismo rango
En esta tercera etapa se profundiza la búsqueda de datos
geográfico de la figura 4.
de los eventos más importantes de la matriz actual,
inclusive se podría agregar una columna de ponderación así se
pueden definir los datos de importancia. También se podría bucear en internet información
Algunas técnicas posibles para recaudar más relacionada con armamento y medidas de protección que
información son: monitoreo en profundidad de las cuentas pudiere poseer el sospechoso o su entrono esto colaborará en
identificadas en cada una de las redes sociales, búsqueda de entregar información para procedimientos posteriores que se le
coincidencias de los #hashtag que usa con frecuencia con pudieran practicar por orden judicial allanamientos, capturas,
otras cuentas en la misma red social, análisis de las menciones etc.
que tiene y de las palabras clave que son utilizadas para Toda esta tarea retroalimentará la matriz de información,
generar las publicaciones en las redes sociales, búsqueda de incluso podrá agregar nuevos eventos, para todo esto serán
actividad en redes sociales en las zonas geográficas obtenidas útiles técnicas y herramientas de OSINT.
(considerar las fechas de cada data). Esta etapa facilitará para la validación de datos, la
planificación y la toma de decisiones para futuros
procedimientos judiciales al conocer de antemano la
tecnología, la infraestructura y la capacidad de repeler en caso
de allanamientos u otros operativos similares.
D. Personificación del individuo

Al llegar a este punto la investigación ya se posee
abundante información del objetivo y de los sospechosos.
Esta etapa se basa en la generación de mayor tráfico para
los casos en que los resultados de búsquedas anteriores sean
escasos o se quiera generar mayor cantidad de datos.
Se generarán nuevos perfiles afines en redes sociales con
cuentas personificadas, publicaciones consistentes en el
tiempo, con seguidores semejantes a los de las cuentas de los
Fig. 4. Twits realizados en un entorno de 50 metros de una coordenada GPS sospechosos.
durante un período de tiempo. Seguidamente se escribirán múltiples entradas en las redes
sociales usando palabras claves, #hashtags y léxico similar
En relación a profundizar la información de los inventarios a lo investigado, fotos semejantes a los escenarios originales
de tecnología y dependiendo del delito perseguido se podrían de los sospechosos, seguir a personas o empresas similares,
realizar algunas técnicas de ethical hacking; por ejemplo participar de los mismos grupos y foros; para crear la
geo-localización de dispositivos, capturas de actividad de la
262
sensación de confianza y consistencia que se espera a través OSint framework: autor Justin Nordine, conjunto de
de las conexiones, seguidores y amigos. herramientas enfocadas en obtener información de fuentes
Ya generada esa confianza se intentarán obtener distintos abiertas, para minería de datos en fuentes abiertas, disponible
tipos de evidencias que reforzarán la información por en www.github.com/lockfale/osint-framework.
ejemplo la identificación de tecnologías que usan los Online Internet Search Tool: autor Michael Bazzel,
sospechosos o los puntos de conexión a internet tanto de sus conjunto de herramientas para minería de datos de fuentes
dispositivos y computadoras como de la tecnología que abiertas orientado principalmente a análisis de actividad en
pudieran utilizar (iot, cámaras ip, etc.) redes sociales, disponible en www.inteltechniques.com.
Se pueden utilizar distintas técnicas para identificación del Tinfoleak: autor Vicente Aguilera Díaz, realiza un análisis
orígenes de las ip, algunos ejemplos: profundo de actividad de una cuenta de Twitter, obtiene
múltiples indicadores estadísticos y geo-localización, además
 La herramienta Tinfoleak7 entregará información realiza análisis de hashtags, menciones y likes en función de
de coordenadas geográficas en la red social fechas de utilidad para el concepto de verdad histórica de los
Twitter. hechos, disponible en www.vicenteaguileradiaz.com/tools/.
 El sitio web www.whatstheirip.com entregará Shodan: autor John Matherly, motor de búsqueda de
información de dirección ip más la de las dispositivos conectados a internet, permitiendo realizar
coordenadas geográficas. búsquedas filtradas que identifican geográficamente los
 Análisis del código source de un mail recibido. elementos conectados a internet y a través de su banner de
respuesta los identifica, incluye búsqueda de dispositivos de
La mayoría de estas técnicas tienen un componente de IOT (internet de las cosas) además tiene muchas otras
ingeniería social o ataques similares basados en la utilidades que escapan al alcance del presente trabajo,
confianza, cabe destacar que a esta altura los sospechosos disponible en www.shodan.io .
tienen cierta sensación de confianza que facilitará el éxito del Kismet: autor Mike Kershaw, herramienta de análisis pasivo
ataque. de tráfico de red wireless, sniffer y detector de intrusos de red,
Toda esta tarea nuevamente retroalimentará la matriz de posee plugins que permiten evaluar protocolos diferentes a
información, incluso podrá agregar nuevos eventos, para todo 802.11 a, b, c, n, disponible en http://www.kismetwireless.net.
esto serán útiles técnicas y herramientas de OSINT. Maltego CE: autor Paterva Inc., es una herramienta de
múltiples utilidades en referencia a minería de datos tanto de
actividades de las personas en internet y redes sociales como
E. Snapshot y registro de información:
también de los dispositivos conectados a internet, tiene
Como última etapa se hará un registro de todo lo actuado también la capacidad de automatizar múltiples búsquedas;
hasta el momento como si realizara una imagen genera gráficos de utilidad para análisis de información con
instantánea de toda la investigación, relaciones complejas, disponible en www.paterva.com.
Comprenderá la matriz de información y todos los gráficos What´s their ip: herramienta que entrega información de
de relaciones que, en este momento de la investigación, están dirección ip más geo-localización (coordenadas geográficas),
en su estado de mayor información posible. disponible en www.whatstheirip.com.
Muchas veces cuando se registra mucha cantidad de HashCheck: chequeo de integridad, autor Christopher
información es conveniente parcializar estos gráficos para Gurnee, aplicación que permite generar y guardar suma de
mayor comprensión. verificación para los archivos que serán registrados como
Asimismo habrá que hacer un nuevo análisis de estos evidencias, capaz de utilizar algoritmos CRC-32, MD4, MD5,
elementos para descartar información redundante o que SHA-1, disponible en www.github.com/gurnec/HashCheck.
sea innecesaria para la investigación.
Durante toda la investigación se generaron elementos de V. OBSERVACIONES FINALES
valor probatorio en la causa, entonces será necesario
La metodología propuesta en el presente trabajo debe
registrar todo lo que es de valor probatorio cumpliendo con los
analizarse como un modelo dinámico y flexible, tanto en las
requisitos de adquisición, registro y resguardo de evidencia
matrices y gráficos como en las conclusiones que arrojen los
digital y obedeciendo a lo normado por la Judicatura
análisis de ellas; ya que investigar un delito como el robo o
interviniente.
hurto en la vía pública requiere cierto tipo de búsquedas de
IV. HERRAMIENTAS A UTILIZAR información muy diferentes al delito de comercialización de
estupefacientes.
Existen variados tipos de herramientas ya que para este Si bien las cinco etapas son consecutivas, es importante
trabajo se efectúan técnicas diferentes de búsqueda para cada considerar que pueden existir redefiniciones en la
escenario. investigación, algunos resultados de las etapas posteriores
Definiremos algunas de las herramientas para los escenarios pueden modificar la primer etapa; por ejemplo puede
posibles que el investigador encontrará: aumentar la lista de sospechosos luego de analizar la actividad
7
en redes sociales, puede aumentar y/o disminuir el inventario
Tinfoleak: herramienta de análisis de red social Twitter, autor Vicente
Aguilera Díaz.
de dispositivos que utiliza un sospechoso.
263
En todas las investigaciones habrá que tener bien claro de Especialista en Ethical Hacking, Computer Forensics y Ciberdelitos;
antemano cuándo terminar y qué registrar ya que estas dos con más de 300 consultorías y objetivos cumplidos en empresas de
Latinoamérica.
características evitarán ciclos interminables y una cantidad
Especialista en Investigación de Homicidios (Criminalística, mat n°
demasiado grande de información. 510, Asociación de Criminalística de Argentina.
Recuerde que estará buceando dentro de Big Data y sus Subinspector (re) de la Policía de Seguridad Aeroportuaria, Jefe de
tecnologías asociadas; y los fundamentos de este trabajo Área Inteligencia Criminal Unidad Operacional Neuquén.
serán responder: qué, como cuando, donde y Auxiliar de Inteligencia – Fuerza Aérea Argentina.
principalmente quien o quienes.
VI. CONCLUSIÓN
"No hables a oídos del necio, porque menospreciará la
prudencia de tus razones." Prov. 23:9
La información que describe esta ponencia intenta hacer

frente a la complejidad de acceso a los recursos de
información comprendido por big data, más internet, más
redes sociales, más blogs, más sitios web, más dispositivos
conectados a internet, y la lista continúa…
Entregando un modelo de metodología a los investigadores
criminalísticos y los forenses informáticos, quienes son los
profesionales que efectivamente podrán utilizar estas
herramientas y recursos de forma eficiente para la
investigación, prevención y persecución del delito.
AGRADECIMIENTOS
El autor quiere agradecer a todos las profesionales citados
en las referencias quienes desde su aporte en estudios y
trabajos realizados redefinen una nueva forma de investigar
dentro de esta innovación tecnológica del nuevo milenio y en
definitiva “bajar” a ojos y conciencia humana los indicios
digitales, para que se convierten en evidencia dentro este mar
de información compuesto por Big Data y sus tecnologías
asociadas.
También un agradecimiento muy profundo a su Esposa
Mónica, a sus 5 Hijos y a su hermano Martin quienes con
mucha paciencia comprendieron y apoyaron al autor en esta
profesión de Seguridad de la Información demanda mucho
tiempo y esfuerzo.
REFERENCIAS
[1] InFo-Lab – Argentina, El Rastro digital del delito, 1º ed. p
53.
[2] Jeimy Cano, Anatomía de un ataque basado en redes, feb.
2017, disponible en
http://insecurityit.blogspot.com.ar/2017/02/anatomia-de-un-
ataque-basado-en-redes.html.
[3] Enrique E. J. Prueguer, El práctico en la Investigación de
Homicidios, 1º ed. p 19.
AUTOR
Christian Javier Vila, Subinspector (re) Policía
(ARG), CTO ISEC Global Inc.
Profesional Seguridad de la Información, ISEC +
Information Security Engineer Certified, Director
de iCoaching – Centro de elearning de ISEC
Global Inc, Editor de Contenidos Infosecuritynews
- Newsletter ciberseguridad; Instructor
internacional de Ethical Hacking, Computer
Forensics y Ciberseguridad (Latam).
264
Santi J. Vives Maccallini
Synced Hash-Based Signatures: Post-Quantum

Authentication in a Blockchain
santi.x256@gmail.com
Abstract- A new post-quantum, hash-based signature (HBS) This paper studies the generation of hash-based signatures
scheme is introduced. In known HBS, the size and cost of each in conjunction with a blockchain, like bitcoin. A blockchain is
signature increase as the number of messages one wishes to sign
increase. In real-world applications, requiring large volumes of a public, decentralized, immutable database. Once inserted in
signatures, they can become impractical. This paper studies HBS in a blockchain, signatures become public.
a blockchain, like bitcoin: a public, decentralized database. The The proposed scheme shows that, when all signatures are
proposed HBS scheme shows that, when all signatures are known, known, it is possible to construct many-times signatures more
quite the opposite is possible: the signatures can become more efficient than the OTS they are built from, rather than less. A
efficient as the number of signatures grows. Authenticating large
volumes of messages results less costly on average than method is introduced to transform a one-time signature into an
authenticating only a few. unlimited many-times scheme.
Index Terms—post-quantum cryptography, hash-based signatures,
authentication, blockchain. The size of each signature remains constant, and the
verification cost decreases as the number of signatures grows.
I. INTRODUCTION II. 2. BACKGROUND

The security of classical signatures -such as RSA, DSA,
ECDSA, and Schnorr- relies both on the existence of a secure A. One-Time Signatures
hash function, and the intractability of a problem such as the
discrete logarithm. In contrast, hash-based signatures (HBS) Lamport proved a method to transform a hash function into
rely only on the first. This property makes HBS resistant a signature that is secure as long as each key is used only once
against quantum computers, capable of breaking the discrete [2].
logarithm using Shor's algorithm [1].
The one-time signature (OTS) does not rely on the hardness
Despite their tighter security, hash-based signatures never of some arithmetic problem like the discrete logarithm, nor
reached widespread acceptance for practical reasons. any other assumption. Breaking the OTS reduces to the
problem of breaking the hash function it is build from. So, an
HBS transform a hash function into a one-time signature OTS is secure as long as the hash function is secure.
(OTS) scheme, only useful to authenticate one message per
key. Then, the OTS is transformed into a many-times scheme In practice, usually a keyed hash function is used (for
(MTS), useful to sign an unlimited (or at least large) number example, an HMAC) to make each hash instance unique and
of messages. In both, the difficulty of breaking a signature increase the difficulty to an attacker [3].
reduces to the problem of breaking the hash function they are
built from. There are many different one-time signature schemes. This
paper will consider a broad family of signatures that includes
In known MTS constructions, the size and cost of each Lamport [2], and Winternitz [4] as special cases.
signatures depends on the maximum number of signatures that
can be authenticated from a single key: if a key is used to sign The proposed scheme requires an OTS that uses a hash
a million signatures, those signatures will be more costly and chain as its main building block (Fig. 1, left). To construct a
much larger than others from a key that can only sign ten. In chain, a hash function is applied a number of times over a
applications that require the authentication of a large number value vn in the private key, until obtaining a value pn in the
of messages, the size and cost can grow to the point of being public key. A signature requires multiple chains, represented
impractical. by each column in the illustration (Fig. 1, right).
265
For a OTS scheme to be secure against forgery, it means

that those hashes must be insufficient to generate another
signature. That condition restricts the set of tuples that can be
valid within a scheme.
Applying the hash function allows to compute hashes that

correspond to smaller un values, and their complementary
larger yn values. Then, in every possible pair of valid u tuples,
each tuple must have at least one part un that is greater than
the same part in the other tuple. In other words:
Fig. 1 If a verification tuple u corresponds to a valid

signature, a second, distinct tuple u' with each
Generally, an OTS works as follows: u'n ≤ un does not (lemma 1).
First, a private key is created. The key is an L-tuple, with For example, if a tuple (0, 1, 2, 3) corresponds to a valid
each element chosen at random, with the same size in bits as signature within a scheme, a second tuple (0, 0, 2, 3) cannot be
the hash function output. valid, since all of its values can be computed from the first.
Then, to create the keys, Alice iterates the keyed hash B. Many-Times Signatures
function z times over each value in the private key. The result
is the public key. Merkle proved that a one-time signature can be transformed
into a many-times signature scheme [5]. To do so, he
To sign a message, Alice maps a hash m of the message into introduced the Merkle Tree
a tuple u. The function that maps m into u depends on the OTS
algorithm. Through this paper, u will be referred as the
verification tuple. Each part in the verification tuple takes
values in the range 0...z.
Alice computes a complementary signing tuple y, such that

y and u add up to the L-tuple (z, z, ...). With each value
satisfying yn = z - un.
Alice iterates the hash function over each value in the

private key, a number of times given by y. And publishes the
result as the signature. The signature is represented by the
dotted blocks in the illustration.
Then, to verify Bob completes the path from the signature Fig. 2
to the top of the graph, iterating the hash function u times over
each value in the signature. The signature is valid if the To create the keys, Alice generates as many OTSs as
resulting hash outputs and the public key match. messages she wishes to sign. The public keys of the OTSs are
hashed and placed at the leaves of the tree. Then, all values are
In the example (Fig. 1), with L=6 and z=4, the tuple u is (2, hashed in pairs until reaching the root of the tree at the top.
1, 0, 2, 1, 2), and the corresponding tuple y is (2, 3, 4, 2, 3, 2). The root is the many-times public key.
Where:
(2, 1, 0, 2, 1, 2) + To sign a message, Alice chooses an unused OTS and makes
(2, 3, 4, 2, 3, 2) = public the hashes needed to authenticate the OTS to the root
(4, 4, 4, 4, 4, 4) (the purple values in the figure).
Security: There are later variants of the scheme (XMSS, and

SPHINCS) [6] [8]. They are out of the scope of this paper, so
Once a signature becomes public, all hashes going from the they'll be commented briefly. In the variants, each OTS is used
signature to the public key become public as well. They can be to authenticate the root of another tree. The process is
easily computed by applying the hash function. repeated, forming and hypertree. An OTS from the final tree is
266
then used to authenticate the actual message. There is no A. Stream

longer need to compute all the final OTSs when creating the
keys. Thus it is possible to generate keys able to authenticate To sign many messages, rather than creating a new set of
very large number of messages. But, by replacing simple chains for each signature, it would be better to have one large
hashes in the authentication path with intermediate OTSs, the set of many chains. We will take a few as needed for each
schemes increase the size of each signature and its verification signature and prove they are members of the set.
cost.
Let’s define a long but finite set of chains, as in figure 3,
The Problem: and hash each public key at the top, from right to left. Each
hash value hn takes as input the public key below it (pn) and
The Merkle Tree itself has proven to be useful in lots of the hash value to the right (hn+1). Will make public the
applications. But it never reached widespread use as a leftmost hash h0.
signature scheme.
In the Merkle signature and its variants, the size and cost
depend on the number of signatures. As the number grows, the
tree becomes larger. And, as a result, the size and cost of each
signature increase as well. The signatures can get quite large,
to the point of being impractical for most applications.
In addition, the signature is stateful. The signer needs to Fig. 3

keep track of the number of messages he signs to avoid using
an OTS more than once. A memory failure could make the
signer reuse an OTS and degrade the security. A sequence of public keys p0, p1, ..., pn can be
authenticated against h0 by including the hash value hn+1. To
C. Blockchain verify the values, they must be hashed from right to left, the
same way the stream was created, to compute the sequence
Usually, the security of transactions relies on the h’n, h’n-1, ..., h’0. The resulting value h’0 must be checked
assumption that a third party acting as a middleman (for against h0.
example, a bank) is honest. Bitcoin [7] removes the need for a
middleman. Rather than relying in people and institutions not Extension:
misbehaving, the authenticity and correctest of the
transactions are secured using a cryptographic construction. To obtain an unlimited number of signatures, it should be
possible to extend the stream as needed. To do that, a new
To do so, the blockchain (or chain of blocks) is introduced: stream can be generated, and the previous one can be used to
it is a timestamped, decentralized, and immutable database. sign a message together with the leftmost h'0 value of the new
Each block in the chain contains a set of signed messages stream:
combined in a Merkle Tree. sign (message || h'0 )
A blockchain, as a cryptographic primitive, ensures that B. Signing

anyone observing a block is observing the same information,
without modifications nor omissions. Once included in the Let's start by generating the first signature, the same way as
blockchain, anyone can observe the number of signatures with the OTS (Fig. 4, top). First, let’s map a message to its
generated from each key, and what those signatures are. corresponding u tuple. Then, let’s compute the corresponding
tuple y. Using the first chains from the stream, let’s iterate the
hash function y times over the private key to compute the
III. A SIMPLE SYNCED SIGNATURE
signature.
This section explains the basics of how synced signatures Figure 4, at the top, shows our first signature. In our
work. First, how chains are created. Then, how those chains example, u=(2, 1, 0, 2, 1, 2). The illustration, to the left,
are used generate synced signatures in conjunction with a shows the hashes that become public. To the right, the values
blockchain. from u that the chains encode.
267
encode the remaining values. From top to bottom, counting

from where we left.
In our example, the unspent hashes in the stack can encode

the following ranges of values:
a: 0...1, b: 0...2, c: 0...3, d: 0...1, e: 0...2, f: 0...1
To finish, the signer will publish the hashes in the stack that
correspond to values from our tuple u. Four values can be
encoded from u:
u: (1, ∅, 2, ∅, 1, 0)
Two positions are missing (b and d). So, two extra chains
from the stream are needed. Let’s assign the new chains to the
missing positions (letters) in order: the first chain to b, the
second to d.
Fig. 4 The chains from the stack at those positions encoded the
values 0, 1, 2 and 0, 1 respectively. So, we'll assign the
remaining values to the stream: 3, 4 to the first chain and 2, 3,
Then, the signature and the hn value must be published to 4 to the other. From top to bottom.
the blockchain. Now is when things start to get a bit different.
Let’s append to the signature the hashes that correspond to
For a one-time signature to remain secure, it is important the two remaining positions in u :
that the hashes from one signature are never reused for
another. This is usually achieved by discarding the chains u: (∅, 4, ∅, 2, ∅, ∅)
from an OTS after its use.
Figure 3, at the bottom, show our second signature. To the
But once the signature is inserted in a public blockchain left, the hashes that become public with our signature. To the
something interesting happens. The hashes going from the right, the values from u encoded by the the stack and the the
signature to the public key are known to everyone now, and stream.
cannot be reused. The hashes at the bottom, from the private
key to the preimage of the signature, remain unknown. Since The resulting synced signature can be represented using
everyone can observe in the blockchain which hashes are three tuples: ustack, ustream, and pos:
already used, the remaining unspent hashes can be safely used
to authenticate a next signature. The first tuple ustack indicates the number of hash
iterations to the first hashes in the signature, until obtaining
Now, Let’s generate a second signature, using the set of the known values in the stack.
chains from the past signature (we'll call that set the stack), The tuple ustream indicates the number of hash iterations
and new chains from the stream. to last hashes in the signature, until obtaining the values at the
top of each chain in the stream.
Let’s assign the possible values in un to the unspent hashes And pos indicates the positions of the used the chains in
in each chain from the stack, from top to bottom: 0, 1, .... As the stack.
shown in figure 3 at the bottom.
In our example, the mapping from u to the synced signature
To generate the signature, let’s make public the hashes that is:
correspond to the tuple u from our second message. In our u = (1, 4, 2, 2, 1, 0) →
example, u=(1, 4, 2, 2, 1, 0). ustack, ustream, pos = (2, 3, 2, 1), (1, 0), (0, 2, 4, 5)
Since the number of unspent hashes in the stack is smaller Notice in the figure that in the synced signature, the 0
than originally, some parts from u cannot be encoded by them. (zero) value of the u tuple isn't encoded by the upper known
When a chain from the stack is insufficient to encode a part in hash. It is encoded by the hash below it instead (its preimage).
u, the signer will need to take a new chain from the stream to We want the signer to prove in all cases he knows a new hash
268
from the chain. When using the stream, that isn't necessary, IV. GENERALIZATION TO MANY SIGNATURES
since the hash at the top is unknown.
Now, let’s extended the scheme from two signatures to
Size: The size of the signature is the same as before. But the many. Each signature will be authenticate using the unspent
size of public key has expanded. Since the new signature
values from all previous chains.
authenticates in part to the previous signature, that previous
signature has become part of the public key.
A. Stack
Cost: If the values in the verification tuple u are random with
uniform distribution, nearly half of those values will be
encoded using the chains from the stack. And the other half
will be encoded using chains from the stream. Verification will
require nearly half the number of hash function iterations.
Then, the synced signature will have the same length as the Fig. 5
initial signature, but nearly half the expected verification cost.
C. Security Lets’s create a stack, containing all chains with unspent

values from previous signatures (Fig. 5).
Since the values in the u tuple are encoded from top to
bottom (Fig. 3), the u values known from the synced signature Each chain has an spent part (in purple, above the line), that
are only useful to compute smaller u values.. So, the synced is already known and cannot be reused. And an unspent,
signature is secure as long as the original OTS is secure (from unknown part, that ranges from the private key to the
lemma 1, section 2.1). preimage of the last known hash. The chains are sorted in the
stack in the same order they had in the stream.
In fact, the range of known values is smaller in the synced
signature than in the original OTS. After each signature, the chains that are completely spent
will be discarded .
The positions (letters) within the u tuple that the chains in
the stream encode are determined by the used chains in the B. Signing
stack.
As the number of signatures grows, there will be more
Since the length of the signature is constant, a fixed number chains in the stack. To make the signature more efficient, we
of chains must be used. To modify those positions, an attacker want to use all of them to encode the u tuple. So, rather than
would need to discard a known value and publish an encoding the values at a position (letter) from u using a single
additional, unused value from a different chain. Either from chain, we will split those values among multiple chains in the
the stack or from the stream. In both cases, a forgery would stack.
require a value that is not known, and cannot be obtained
without breaking the hash function. In other words:
If the signature consists of a fixed number of

hashes, an attacker cannot replace values from
chains at given positions (in the stack or the
stream) to a different set of positions without
breaking the hash function (lemma 2).
Synced State:
The signatures is stateful, but the the signer does not need to
store the state. Signer and verifiers synchronize the state of the
signature using the blockchain. By observing the blockchain,
the signer and the verifiers can recover the number of
signatures, the hash values that were spent and cannot be
reused, and the hash values that remain unspent and can be
used to authenticate a new message.
Fig. 6
269
Let’s start by grouping the chains in the stack as evenly as

possible. And let’s assign each group to a position in the tuple
u, indicated by a letter (Fig. 6, left). Each row in the figure
contains a group of chains, and its letter.
Then, let’s assign the possible values in the u tuple to the

hashes in each group (Fig. 6, right). From top to bottom in
each chain, and from the first chain in a group to the last. The
same as before, we'll use the stream if needed to encode the
remaining values.
In the example, a tuple u=(7, 1, 12, 6, 3) is mapped to the

synced signature as follows:
u = (7, 1, 12, 6, 3) →
ustack, ustream, pos = (2, 2, 1), (2, 0), (2, 4, 16)
C. Security Fig. 7
The security follows the same principles as before: To encode the first position in u, we'll use a number of
chains La from the stack, given by:
From the values in the synced signature, and attacker could
only compute smaller u tuple values. So, the signature is La = ceiling (Lstack / Lu)
secure as long as the original OTS is secure (from lemma 1,
section 2.1). Let’s assign the hashes in those La chains to encode the
value from the u in the same way as before, using the stream if
Like before, the letters that correspond to the chains in the necessary.
stream are determined by the used chains in the stack. Since
the number of hashes in the signature is fixed, an attacker Now, suppose a chained is used at position n in the stack,
cannot change the positions without breaking the hash counting from zero. The following chains (n+1, n+2, ...) are
function (from lemma 2, section 3.3). not needed for this encoding. So, we will reuse them to encode
the next value from u.
V. ADAPTIVE ENCODING
Let’s recompute the number of remaining chains from the
stack, and the remaining values to encode from the tuple u:
To encode the verification tuple u, the stack was split into
groups, and used a single chain from each group.
L'stack = Lstack – (n + 1)
L'u = Lu – 1
As a result, there are combinations of chains that don't
encode any message. For example, a signature taking values
Now, let’s recompute La, using the same equation as before.
from two chains in the first row (at position a) has no
We'll take the next La chains, starting from position n to
meaning.
encode the next value from u.
It would be better to use all possible combinations of
The procedure must be repeated until all values from u are
chains, to maximize the number of distinct tuples the stack can
encoded, as illustrated in figure 8.
encode. To achieve that, an adaptive method can be used,
where the values assigned to each chain depend on the chain
The mapping in our example has become:
that was used before.
u = (7, 1, 12, 6, 3) →
The method (Fig. 7) works as follow:
ustack, ustream, pos = (2, 2, 1, 1), (2), (2, 3, 11, 13)
Suppose we want to encode a tuple with length L u, and we
have a stack with a number of chains Lstack .
270
For example, if we have 16 values to encode (0...15), 5

chains from the stack, and an extra chain from the stream, we
will assign at most 3.
Since the number of unspent hashes in each chain is

random, the number may also be smaller than ideal. So, rather
than applying the same limit to all chains, we will recompute
the limit for each. In our example, after assigning the first 3
values (0, 1, 2), we'll update the number of remaining values
and remaining chains, and we'll use the same equation to
recompute the limit.
After assigning 3 values, we have 13 values and 4+1 chains

remaining. The next limit becomes:
...
limit = ceiling (13 / (4 + 1)) = 3
Fig. 8
We will repeat the procedure, until all values are assigned to
the chains, as in table 1.
A. Security
Remaining La+1 Limit Unspent Assigned
Now, the position of each used chain from the stack 16 5+1 3 4 3
modifies the value the next chain encodes.
14 4+1 3 1 1
Since the length of the signature is constant, to modify the 13 3+1 3 5 3
position an attacker would need to publish a value from a
different chain, either from the stack or the stream. Like 10 2+1 3 2 2
before, the attacker needs a value that is unknown, and cannot 8 1+1 4 3 3
be obtained without breaking the hash function (from lemma
5 0+1 4 16 4
2, section 3.3).
Table 1
VI. BALANCED CHAINS
VII. CALCULATIONS
We will estimate the cost of a synced many-times signature,

and see how it compares against the OTS it is made of. A
... signer will use the scheme to sign a sequence of many
messages m0, m1, m2, .... The initial, zeroth signature will
Fig. 9 have the same cost as the OTS. And each consecutive
signature is expected to cost less than the signatures before.
When we assign the possible values from the u tuple to the
We'll use u tuples with length 18 and each part in the range
hashes in the stack, it is possible that all values end up
0...212−1. Those values were chosen to match a Winternitz
encoded in the first few chains. To minimize the cost of
OTS with parameters bits=192 and w=12.
verification, they should be as evenly distributed as possible
among the chains.
We will run a large number of simulations and average the
cost from all samples. to estimate to expected cost of each of
For that purpose, let’s limit the amount assigned to each
the 100 signatures, from the 0th to the 99th. Figure 10 shows
chain. Suppose we have g values to encode (0...15). And La+1
the results.
chains to encode them, La from the stack and an extra one
from the stream if needed. We will limit the values a single
As the plot shows (Fig 10.), the cost reduction can be quite
chain can encode to:
drastic: the 99th signature costs only 5.8% compared to the
initial OTS.
limit = ceiling (g / ( La + 1))
271
each signature and keep a maximum number of chains: the last

ones, or the ones with most unspent values.
B. A Smaller Blockchain
As more signatures are added, many intermediate hashes

from each chain are published. Those values can be easily
computed by iterating the hash function over the known value
at the bottom of the chain.
Each signature contains hashes from the stack, and from the
stream. The ones from the stream increase the amount of
information. The ones from the stack only update existing
information, since older values in the same chain in the stack
can be pruned and reconstructed from the newer one.
Fig. 10
Then, a synced blockchain would require storing all
messages, but only the hashes from the latest signatures. Most
VIII. COMPARISON TO OTHER SCHEMES hash values from older signatures can be removed from the
blockchain database, without any loss of information.
Table 2 shows the public key, and signatures sizes of the
SPHINCS, and XMSSTM schemes for comparison (XMSSTM is X. CONCLUSIONS
an optimized variation of XMSS) [9]. The synced signature is
256-bit to match the others, with a Winternitz parameter
w=10. Previously known hash-based, many-times schemes grow in
size and cost as the number of needed signatures grows. This
can make the signatures impractical in real-world applications.
Scheme Total messages Public key Signature
(bits) (bits)
This papers has shown that is possible to transform an OTS
XMSSMT 210 544 39 704 into a many-times signature that is more efficient than the
XMSSMT 220 544 44 840 OTS it is made of, rather than less.
MT 60
XMSS 2 544 67 136 The proposed scheme permits an unlimited number of
Sphincs-256 virt. unlimited 8 448 328 000 signatures. The size of the signatures is constant, and the same
as in the OTS. The verification cost starts the same as in the
Synced-Wots unlimited ≥ 512 7 424 OTS and decreases with each new signature, becoming more
and more efficient as the number of signatures grows.
Table 2
REFERENCES
TM
Notice that XMSS , and SPHINCS signatures grow in size as
the maximum capacity of messages grows, while synced [1] Buchmann, Dahmen, and Szydlo. “Hash-based digital signature
schemes,” in "Post-Quantum Cryptography," 2009.
signatures remain short. For the synced signature, the size of [2] Leslie Lamport, “Constructing Digital Signatures from a One Way
the public key corresponds to the initial value: since synced Function,” 1979.
signatures authenticate to past signatures, as more messages [3] Buchmann, Dahmen, Ereth, and Hülsing, "On the security of the
Winternitz one-time signature scheme ," 2011.
are signed and included in the blockchain, they became part of [4] Ralph C. Merkle, “Secrecy, Authentication, and Public Key
the public key. Systems,” 1979.
[5] Ralph C. Merkle, “A Certified Digital Signature,” 1989.
[6] Buchmann, Dahmen, and Hülsing, "XMSS -- A practical forward
IX. FURTHER IMPROVEMENTS secure signature scheme based on minimal security assumptions,"
2011.
[7] Satoshi Nakamoto, “Bitcoin: A Peer-to-Peer Electronic Cash
System,” 2008.
A. Limited Stack [8] Bernstein, Hopwood, Hülsing, Lange, Niederhagen,
Papachristodoulou, Schneider, Schwabe, Wilcox-O'Hearn,
We could impose a limit to the size of the stack, to prevent “SPHINCS: practical stateless hash-based signatures,” 2015.
[9] Kampanakis, Fluhrer, “LMS vs XMSS: Comparison of two Hash-
it from growing. To achieve that, we could trim the stack after Based Signature Standards,” 2017.
272
Diana Cristina Franco, Felipe Andrés Corredor
Auditorías de Seguridad de información como

estrategia pedagógica y factor integrador de la
academia con el sector productivo
Diana Cristina Franco, M.Sc. – Felipe Andrés Corredor, M.Sc.
Universidad de los Llanos - Grupo de Investigación en tecnologías abiertas - GITECX
felcorredor@unillanos.edu.co - dfranco@unillanos.edu.co
Abstract-- This work presents a pedagogical strategy Aunque es clara la importancia de esta disciplina en el
developed in an advanced course on information security contexto global y nacional; falta mejorar la sinergia entre el
(S.I.) in the Engineering programs of a Colombian esfuerzo que hace la academia por un lado y las acciones de la
University. Through the final project of the course, an
attempt is made to mitigate the problematic situation of industria por otro. Es muy importante aprovechar el momento
divergence of the S.I. Between the academic sector and de la transición del estudiante a Profesional, involucrándolos
industry, as well as smooth the transition from student to en procesos conjuntos que le aporten beneficios tanto a la
engineer. The pedagogical strategy envisages the carrying comunidad académica, así como a la industria. Y es aquí
out of security audits in companies of the region and the donde tanto el ejercicio docente como la habilidad que este
analysis of the results of all the audits applied in the last imponga para canalizar sus estrategias pedagógicas [14]
three years on the region. durante las últimas fases del proceso de formación profesional
Index terms- Information Security, ISO 27002, (últimos semestres), cobran una gran relevancia.
Pedagogical Strategy, Cibersecurity training, Security
Auditing. La Universidad de los Llanos es una de las 16
Universidades Colombianas de orden nacional y asume la
formación de más de 6000 estudiantes, disponiendo en su
oferta académica programas de ingeniería de sistemas e
I. INTRODUCCIÓN ingeniería electrónica desde el año 1997. Estos programas
tienen definido en su plan de estudios, un área de
profundización denominada teleinformática y dentro de esta
L A seguridad de la información (S.I.) es un aspecto que
viene consolidándose en los diferentes sectores
económicos y sociales, pero el éxito o fracaso la estrategia
área se estableció un curso de profundización en Seguridad de
la información.
de defensa y protección en ciberseguridad, dependen
principalmente de las personas, quienes desde su ejercicio El presente trabajo describe el proceso académico que se sigue
profesional, lideran y orientan estos procesos en cada en un curso avanzado de seguridad de información (último
organización. En Colombia, el 65% de las organizaciones semestre de un programa de ingeniería de sistemas e
grandes, dispone de un profesional para la S.I. (48% con el ingeniería electrónica) para realizar auditorías en las
cargo de CISO y el 27% de Oficial de Seguridad Informática) organizaciones de la región. Desde el año 2014, se inició la
[1]. Profundizando un nivel más, se puede plantear que el aplicación de la estrategia de realización de un proyecto de
ejercicio profesional es influenciado por el proceso de final de curso; enmarcado en un proceso de auditoría de
formación en la universidad, el conocimiento del contexto por controles de seguridad (orientado por el Profesor del curso) en
parte del profesional en S.I. y la percepción que tenga la las empresas de la región, logrando asumir a la fecha 35
industria del tema de la S.I para proveer cargos y recursos. auditorías a 13 organizaciones públicas y 22 privadas. Los
datos obtenidos en las auditorias, son analizados y arrojan
Los lineamientos definidos internacionalmente para la cifras importantes y actualizadas del contexto regional, de la
formación de profesionales en carreras afines con las ciencias caracterización de la población auditada, los niveles de
computacionales, plantean la seguridad como objeto de seguridad generales y específicos, y la adecuada inversión de
estudio fundamental en los cinco enfoques profesionales recursos en temas de seguridad.
definidos por ACM e IEEE. La S.I. siempre está presente en Se permite de esta manera que los nuevos estudiantes y los
las áreas fundamentales de formación y tiene un lugar recién graduados, conozcan el contexto regional con un mayor
privilegiado el núcleo del conocimiento de los planes de nivel de detalle y sea objeto de retroalimentación en el proceso
estudio en cada uno estos enfoques de la carrera [2]. De la iterativo que se retoma cada semestre.
misma manera la S.I. es una de las 22 tendencias
tecnológicas, más relevantes, definidas por IEEE para el año El artículo inicialmente describe el planteamiento del
2022. [3] y una las 10 tendencias del momento en lo referente problema, posteriormente presenta el desarrollo de la
a “Adaptive Security Architecture” [13] estrategia pedagógica y de formación, luego, en el capítulo de
discusión se analizan los resultados de aplicación de la
273
IV Taller Iberoamericano de Enseñanza e Innovación Educativa en Seguridad de la Información
estrategia y finalmente se presentan las conclusiones de todo La formación de profesionales en Tecnologías de Información
el proceso. (T.I.) y Ciencias de la computación siempre contempla el
aspecto de la formación en seguridad, como se resume en la
siguiente tabla, de acuerdo con lo planteado por ACM e IEEE
II. CONTEXTO DEL PROBLEMA
en sus guías curriculares.
Según el SNIES (Sistema Nacional de Información de CURSO/ÁR
ENFOQUE DESCRIPCIÓN AÑO
EA
Educación superior), Colombia cuenta con 267 instituciones CE-SEC Es Una de las 12 áreas
de educación superior activas que ofertan 4264 programas del conocimiento en el núcleo.
académicos profesionales; 132 son Instituciones universitarias CE-SEC (Body of Knowledge) de los
Computer
Information planes de estudio bajo este
y 135 son Universidades (56 Oficiales y 79 Privadas). Engineerin 2016
Security enfoque. Se plantea como
Actualmente solo 16 Universidades Oficiales son de orden g “material that should be included
nacional (Su presupuesto proviene del gobierno nacional)[4]. in all computer engineering
curricula”. [5]
La Universidad de los Llanos es una Universidad Oficial de IAS ES una de las 18 áreas de
IAS -
orden nacional, que oferta 17 programas profesionales, Information
conocimiento en el núcleo del
actualmente tiene más 500 estudiantes en los programas de Computer plan de estudios; Dispone de seis
Assurance 2013
Science horas en el núcleo y 31,5 horas de
Ingeniería de sistemas e ingeniería electrónica y más de 1000 and
lAS distribuidas en otras áreas.
Security
egresados de estos dos programas. [6]
IT Security Es una de las siete Capacidades
And Risk de alto nivel en el plan de
Manageme estudios… Inmersa en cursos de
nt. “SECURING DATA AND
Informatio
INFRASTRUCTURE”, IS 2010.2 2010
n Systems DATA AND INFORMATION
Data and MANAGEMENT y IS 2010.3
Informat. ENTERPRISE ARCHITECTURE2. [7]
Managem.
Information
Informatio
Assurance IAS es uno de los 13
n
and componentes del núcleo del 2008
Technolog
Security conocimiento [8].
y
(IAS)
Software SEC es una de las 10 áreas del
SEC –
Engineerin conocimiento, también presenta
Security 2014
g temas distribuidos de manera
(20 H) transversal en otros cursos. [9]
Figura 1. Sesión Práctica en laboratorio del curso de seguridad de la Información. – Tabla 1. Análisis de enfoques curriculares de ACM-IEEE para incluir la seguridad
Universidad de los Llanos. en su núcleo de formación.
El documento CONPES 3854 establece la necesidad de

mejorar las competencias en seguridad informática y hace
obligatoria la impartición de una cátedra en seguridad digital
en Colombia, a nivel de educación básica y media y plantea de
manera opcional lo mismo en las Universidades [10].
La asociación Colombiana de Ingenieros de sistemas, ACIS,

identificó las siguientes brechas en el tema de la formación en
seguridad y plantea que se deben desarrollar por parte de la
academia, competencias asociadas a: la experiencia,
habilidades gerenciales (liderazgo, rendición de cuentas,
comunicación, etc), habilidades para entender el negocio,
habilidades para comunicar e interconectar negocios y
necesidades en materia de seguridad de la información así
Figura 1. Sesión Práctica en laboratorio del curso de seguridad de la Información. – como formación académica. Se establece que el 79% de la
Universidad de los Llanos. industria requiere de estas competencias en seguridad de la
información [1]. Como falencia adicional, se determinó que en
Los programas asociados a las TIC, ofertados en Colombia, Latinoamérica existe una percepción muy baja de la oferta de
cuyos núcleos básicos de conocimiento son INGENIERÍA DE programas académicos de formación en seguridad; solo el
SISTEMAS, TELEMÁTICA Y AFINES con 233 programas 14% del sector productivo, percibe que se están ofertando
académicos Profesionales, e, INGENIERÍA ELECTRONÍCA, programas académicos de grado y posgrado en esta área.
TELECOMUNICACIONES Y AFINES con 125 programas,
que corresponden al 8,3% del total de programas ofertados en Dejando en evidencia que la industria y la academia persiguen
el país [4]. propósitos diferentes y no hay una sinergia para perfilar
profesionalmente los egresados que asumirán el rol de la
seguridad en las organizaciones. Por tal razón la estrategia de
274
la práctica en la empresa para realizar auditoria, involucra al Contexto general.

estudiante de manera temprana, con el ejercicio de la
profesión y el contexto organizacional. 2 Presentación de Contexto regional del estado de la seguridad,
producto de auditoria de semestres anteriores
III. DESARROLLO DE LA ESTRATEGIA 3 Entrega y explicación de documentos con lineamientos del
proyecto y formatos.
En la Universidad de los Llanos, desde la Facultad de Ciencias 4 Conformación de grupos y definición de roles del equipo
Básicas e Ingeniería, se desarrollan los programas auditor.
profesionales de ingeniería de sistemas (Acreditado de Alta 5 Asignación de empresas – objeto de auditoria. (obtención de
calidad por el ministerio de educación nacional - MEN) e carta de autorización de la empresa a estudiantes)
Ingeniería electrónica. Dentro de sus planes de estudio los
programas establecen líneas de profundización, y existe una 6 Inicia Realización de la auditoria.
línea que se llama Teleinformática la cual es asumida por los 7 Primer Momento de entrega: Revisión de avance del proyecto.
dos programas, a través de tres cursos que van desde octavo a (Contextualización de la organización, Análisis de
décimo semestre. información organizacional, activos de información,
Identificación de riesgos y ponderación de aspectos, etc)
Dentro de la línea de Teleinformática, se desarrolla un curso 8 Continúa Realización de la auditoria.
denominado seguridad de la información, el cual es impartido 9 Entrega de informes de auditoría al profesor, dos días antes de
a estudiantes de Ingeniería de sistemas e ingeniería electrónica
la sustentación final.
en el último semestre (décimo) de sus respectivos planes de
10 Sustentación final – Privada (Sólo estudiantes y Profesor).
estudio.
11 Entrega de los informes de auditoría (únicamente los avalados
Este curso de seguridad, se definió como teórico-práctico
por el profesor).
con una intensidad de cuatro créditos académicos (12 horas
semanales, seis directas con el profesor y seis independientes, Tabla 3. Metodología propuesta para el desarrollo de la estrategia pedagógica
además de dos horas adicionales para tutoría). La estrategia
consiste en una orientación inicial del curso a temas éticos,
legales, matemáticos y de seguridad informática, para luego
asumir los temas de gestión de seguridad, orientados a lo
organizacional. El curso plantea la realización de un proyecto
final, en grupos de tres estudiantes, con la obligatoriedad de
realizarlo en una empresa u organización de la región; para lo
cual el profesor ya tiene establecido el contacto con algunas
empresas de la región, dando libertad al estudiante de
conseguir por su cuenta otra empresa.
# Unidad temática
1 Fundamentos Figura 3. Presentación de lineamientos del proyecto de semestre. –Universidad de
2 Aspectos legales los Llanos.
3 Ética
4 Criptografía
5 Seguridad en sistemas operativos
6 Seguridad en redes
7 Seguridad en servicios Telemáticos
8 Políticas de seguridad y estándares
Tabla 2. Ejes temáticos del Curso de Seguridad de la Información de la Universidad
de los Llanos
El proyecto consiste en la realización de un ejercicio de

auditoria sobre el estándar ISO-27001 (pero orientado
específicamente a los aspectos del anexo A de la norma - ISO Figura 4. Socialización de auditorías anteriores. –Universidad de los Llanos.
27002, por la limitante de tiempo) y referenciando el estándar
ISO 19011. La metodología establecida en 11 fases, para el El curso de profundización en Seguridad de la información se
desarrollo de la estrategia pedagógica se describe en la viene impartiendo desde el año 2011, y el proyecto final de
siguiente tabla: semestre estaba orientado a configurar un entorno seguro, para
un sistema de información en internet. En el año 2014, este
Fase Descripción diseño de curso fue modificado para que ese aspecto que se
1 Introducción al tema, Definición de conceptos necesarios y desarrollaba como proyecto de semestre, se asumiera dentro
de la estrategia pedagógica de talleres en el espacio de práctica
275
de laboratorio, articulando seis sesiones secuenciales de lugar) – seguridad de la información (4to lugar)) son los
talleres y desarrollar esas competencias. Esto con el propósito cuatro primeros aspectos en 23 ítems definidos.
de incorporar la nueva estrategia del proyecto de auditoria de
seguridad de información [15], articulada con el sector
productivo, logrando así realizar 35 auditorías de seguridad en
empresas y organizaciones de la ciudad de Villavicencio,
como se indica en la Fig. 5:
Figura 7. Resultado encuesta estudiantes, sobre temas estratégicos del nuevo plan de
estudios de ingeniería de sistemas.
Esta información contrastada con 25 egresados, donde se

planteó exactamente la misma pregunta ¿cuáles temas
Figura 5. Distribución porcentual de las empresas auditadas según sector
económico. estratégicos se proyectan con gran impacto en la actualidad y
es necesario asumir en un nuevo plan de estudios?, se
mantuvo la tendencia; la ciberseguridad (riesgo cibernético y
amenaza tecnológica (3er lugar) – seguridad de la información
La estrategia se complementa con actualización curricular, (4to lugar)).
seguimiento a la percepción de los estudiantes y actividades
extracurriculares promovidas por el profesor del curso,
incentivando la participación activa de los estudiantes en estos
eventos.
Figura 8. Resultado encuesta egresados, sobre temas estratégicos del nuevo plan de
estudios de ingeniería de sistemas.
Figura 6. Evento de ciberseguridad organizado dentro de la estrategia –Universidad

de los Llanos.
IV. DISCUSIÓN
Se realizó seguimiento con los estudiantes del programa de El proyecto de semestre ha permitido obtener información
ingeniería de sistemas, para actualización del plan de estudios,
donde se tomó una muestra de 50 estudiantes de semestre del contexto regional, identificando aspecto puntuales, que son
superior a quinto; a los estudiantes se les aplicó un de interés y utilidad para los nuevos estudiantes, así como para
instrumento de levantamiento de información [11], en el cual la industria regional.
se logró evidenciar que para los estudiantes: “la Se encontró en primera medida que la seguridad de la
ciberseguridad es uno de los principales temas estratégicos, información está siendo desatendida por un alto número de
que se proyectan con gran impacto en la actualidad y es organizaciones y solo el 17% de las organizaciones asumen
necesario asumir en un nuevo plan de estudios”. Junto a Big buenas prácticas de seguridad de información y se clasifican
Data (1er lugar) y las ciudades inteligentes (tercer lugar), la con un buen nivel de seguridad (obtuvieron una calificación
ciberseguridad (riesgo cibernético y amenaza tecnológica (2do
276
superior al 75%, en la relación de nivel de cumplimiento

contra nivel de importancia del aspecto).
CF = ∑ (PDi * VCi) (1)

CF= Calificación general.
PD=Ponderación del dominio.
VC=Valoración de cumplimiento
Figura 10. Proporción gráfica de los pesos en los dominios
En el aspecto de la valoración del cumplimiento se evidencia,

una tendencia a que dominios influenciados por otros procesos
organizacionales (no solo el de seguridad), son los mejor
valorados; la gestión de activos y la seguridad en el recurso
humano están asociados a la gestión de talento humano y la
gestión de recursos en los cuales su implementación tiene un
mayor grado de maduración a nivel organizacional.
Figura 9. Distribución porcentual del nivel de seguridad de las empresas auditadas
Es crítico el bajo cumplimiento en el dominio de la política de
Acogiendo los aspectos de segundo nivel, establecidos en el seguridad y la gestión de la continuidad del negocio (los dos
anexo A del estándar ISO 27002 (Actualmente se está de menor valoración), ya que son fundamentales para
trabajando en la correlación con la actualización de la última establecer las estrategias de una buena gestión y operación de
versión que incluye el ítem de criptografía), entendidos como la seguridad en la organización [12].
los dominios de aplicación del estándar, se obtienen los
promedios del total de auditorías, con sus respectivos grados
de cumplimiento.
Peso de Valor de
Dominio
Dominio Cumplimiento
Política de seguridad 5,40 34,60
Seguridad organizacional 9,65 53,13
Gestión de activos 5,40 62,37
Seguridad del recurso humano 8,28 62,59
Seguridad física y ambiental 12,48 54,09
Gestión de comunicac. y 15,78 56,36
operaciones
Control de acceso 15,20 52,75
Adquisición, desarrollo y 8,54 39,37
mantenimiento de los SI
Gestión de incidentes de 5,68 38,39
seguridad de la información Figura 10. Nivel de cumplimiento de las empresas auditadas
Gestión de la continuidad del 5,38 38,27
negocio Es importante correlacionar el nivel de relevancia contra el
Cumplimiento 6,44 49,08 grado de cumplimiento de cada dominio, con el propósito de
determinar la coherencia y utilidad de las inversiones en
Tabla 3. Relación de Peso contra Cumplimiento en empresas auditadas seguridad que está asumiendo la organización. Es decir si se
está invirtiendo en lo realmente importante o se está
Se encontró una tendencia a ponderar con mayor peso los desperdiciando el recurso en acciones irrelevantes para mitigar
dominios más cercanos al aspecto tecnológico, como es el la inseguridad (estado indeseable).
caso de Control de acceso, Gestión de comunicaciones y
operaciones y Seguridad física y ambiental, entendiendo que Revisando el respectivo peso por cada dominio, se determinó
solo 3 de 11 dominios asumen el 43,4% del total del peso en una escala del 100% el grado de importancia entre los
(importancia). Lo cual debe ser revisado en el proceso de diferentes dominios:
retroalimentación de la estrategia.
Relev = PDi / G Máx (PDi … PDn) (2)
Obteniendo de esta manera que en la región; las empresas

tienen cuatro dominios en el estado indeseable, ya que hay una
diferencia de más de 25 puntos porcentuales entre relevancia y
cumplimiento.
277
Puntos de Diferencia V. CONCLUSIONES

Dominio
Porcentual
. La realización de auditorías de seguridad en el marco de
Gestión de activos 28,17
una estrategia pedagógica en un curso de seguridad de la
Seguridad física y ambiental 25,03
Gestión de comunicac. y operaciones 43,64
información generan cifras importantes y actualizadas del
Control de acceso 43,56 contexto regional, de la caracterización de la población
auditada, los niveles de seguridad generales y específicos, y la
Tabla 4. Sesión Práctica en laboratorio del curso de seguridad de la Información. –
Universidad de los Llanos. adecuada inversión de recursos en temas de seguridad, los
cuales retroalimentan el proceso de formación y fortalecen el
La siguiente grafica refleja lo planteado anteriormente, donde lazo con el sector productivo.
las empresas auditadas, no están atendiendo de manera
adecuada las inversiones en los aspectos relevantes, lo cual Tanto egresados como estudiantes conciben la
sigue siendo objeto de retroalimentación con estudiantes, ciberseguridad como uno de los principales temas
egresados y el sector de la industria regional.
estratégicos, que se proyectan con gran impacto en la
actualidad y es necesario asumir en los nuevos planes de
estudio. La comunidad académica local coincide con los
lineamientos curriculares de ACM e IEEE, quienes involucran
la seguridad de la información como componente implícito de
los planes de estudio.
La seguridad de la información está siendo desatendida por

un alto número de organizaciones y solo el 17% de estas,
asumen buenas prácticas de seguridad de información y se
clasifican con un buen nivel de seguridad (calificación
superior al 75%, en la relación de nivel de cumplimiento
contra nivel de importancia del aspecto), por lo tanto hay un
83% de organizaciones que deben asumir planes de
mejoramiento y salir del grupo que desatiende la seguridad.
Figura 11. Correlación de Importancia – cumplimiento, empresas audiatadas.
El trabajo de acompañamiento del profesor a los estudiantes
Finalmente, es de resaltar que los estudiantes de Ingeniería de en el proceso de auditoria es fundamental para que los
sistemas son conscientes del espacio y la oportunidad laboral estudiantes, con poca experiencia, hagan planteamientos
que se presenta en el contexto regional de la S.I., así como el subjetivos en la ponderación, ya que se encontró que hay
agrado por esta área, para ejercer la profesión. Ante la tendencia a ponderar con mayor peso los dominios más
indagación a Estudiantes sobre lo siguiente: ¿En cuales cercanos al aspecto tecnológico, como es el caso de Control
Sectores económicos de la industria le gustaría trabajar?, la de acceso, Gestión de comunicaciones y operaciones y
seguridad de la información, junto al desarrollo en
aplicaciones web y las aplicaciones móviles, son los más Seguridad física y ambiental, entendiendo que solo 3 de 11
apetecidos por los futuros ingenieros de sistemas. dominios asumen el 43,4% del total del peso (importancia).
Es importante correlacionar el nivel de relevancia contra el

grado de cumplimiento de cada dominio, con el propósito de
determinar la coherencia y utilidad de las inversiones en
seguridad que está asumiendo la organización. Es decir si se
está invirtiendo en lo realmente importante o se está
desperdiciando el recurso en acciones irrelevantes para mitigar
la inseguridad (estado indeseable).
AGRADECIMIENTOS
Los autores expresan su gratitud a Dios y sus Familias,
quienes siempre apoyaron este proceso. De igual manera, a la
Universidad de los Llanos y al grupo de Investigación en
tecnologías abiertas - GITECX, por creer en este Proyecto.
Figura 12. Sectores de la industria preferido por estudiantes para ejercer la

profesión
278
REFERENCIAS
[1] ACSIS, "VII Encuesta Latinoamericana de seguridad de
la información", Acsis, Bogotá, 2016.
[2] ACM, "The Curriculum Guidelines for Undergraduate
Degree Programs in Information Systems is complete and
approved 2010", ACM, 2013.
[3] IEEE – Computer Society "IEEE CS 2022 Report", vol.
1, no. 1, ed, 2016.
[4] "Sistema Nacional de Información de la Educación
Superior", Snies.mineducacion.gov.co, 2017. [Online].
Available:
https://snies.mineducacion.gov.co/consultasnies/institucio
n. [Accessed: 15- Jun- 2017].
[5] ACM, "Computer Engineering Curricula 2016", ACM,
2016.
[6 ] ACM, "Computer Science Curricula 2013", ACM,
2013.
[7] ACM, "The Curriculum Guidelines for Undergraduate
Degree Programs in Information Systems is complete and
approved 2010", ACM, 2013.
[8] ACM, "The Computing Curricula Information
Technology Volume is complete and approved 2008",
ACM, 2013.
[9] ACM, "Curriculum Guidelines for Undergraduate
Degree Programs in Software Engineering 2014", ACM,
2013.
[10] CONPES, "Política Nacional de seguridad digital",
Conpes 3854, Bogotá-Colombia, 2016.
[11] F. Corredor, M. Díaz, D. Rivera and D. Franco,
"Sistema web de soporte al levantamiento de información
en proyectos de investigación (silian).", Memorias del
congreso internacional de ciencias e ingeniería, vol. 1, no.
1, 2017.
[12] A. Torres and D. Hernando, Evaluación de seguridad a
sistemas de información en cuanto a ataques maliciosos
con base en normatividad, tendencias, impacto y técnicas
vigentes para ambientes empresariales a nivel nacional.,
1st ed. Bogotá, Cund.: Universidad de la Sabana., 2016.
[13] Gartner, "The Top 10 Strategic Technology Trends for
2017", Gartner, 2017.
[14]J. Torres, D. Acevedo and P. Montero, "Proyectos de Aula
Semestrales como Estrategia Pedagógica para la
Formación en Ingeniería", Científicas de América Latina
y el Caribe, España y Portugal, vol. 9, no. 3, 2016.
[15]E. Rodríguez Sandoval, É. Vargas Solano and J. Luna
Cortés, "Evaluación de la estrategia “aprendizaje basado
en proyectos”", Educ, vol. 13, no. 1, 2017.
Diana Cristina Franco Mora Magister en Software libre; del

área de administración de redes y sistemas operativos.
Especialista en Soluciones telemáticas e Ingeniera de
Sistemas. Docente de tiempo completo e investigadora de la
Escuela de ingeniería de la Universidad de los Llanos. Sus
áreas de desempeño son la teleinformática y el Software libre.
Es integrante activa del Grupo de investigación en Tecnologías abiertas
GITECX, reconocido por Colciencias.
Felipe Andrés Corredor Magister en Software libre; del área

de administración de redes y sistemas operativos. Especialista
en Soluciones telemáticas e Ingeniero de Sistemas. Docente
de planta e investigador de la Escuela de ingeniería de la
Universidad de los Llanos. Sus áreas de desempeño son la
seguridad informática y los sistemas distribuidos. Lidera el
Grupo de investigación en Tecnologías abiertas GITECX, reconocido por
Colciencias.
279
Formación en ciberseguridad en los ámbitos de

grado y postgrado en la Universidad Nacional de
La Plata
Francisco Javier Díaz – Paula Venosa – Einar Lanfranco – Nicolás Macia – Alejandro Sabolansky – Lía Molinari
Laboratorio de Investigación en Nuevas Tecnologías Informáticas (LINTI)
jdiaz@unlp.edu.ar - pvenosa@info.unlp.edu.ar - einar@info.unlp.edu.ar -nmacia@cert.unlp.edu.ar –
asabolansky@linti.unlp.edu.ar - lmolinari@info.unlp.edu.ar
Octubre del 2016 generando la caída de gran parte de

Abstract—Information is the main asset of any Internet3.
organization. That is why it must be properly En este contexto, generar capacidades, habilidades y
protected in order to minimize the risks to which it is conocimientos en ciberseguridad son elementos claves
exposed. The goal of generating cybersecurity skills, para entender y gestionar adecuadamente los riesgos a los
abilities and knowledge in our students helps them que se exponen los activos de información y sus
understand and properly manage the risks to which responsables.
the assets of an organization are exposed. This paper Quienes dedicamos una parte importante de nuestra
presents the cybersecurity training proposal currently actividad profesional a la formación de graduados y
offered at Informatics School of the National postgraduados de carreras vinculadas a las TICs,
University of La Plata (UNLP). entendemos que tenemos la responsabilidad de proveer
conocimientos, metodologías y prácticas para fortalecer a
Index Terms—security, privacy, forensic, secured nuestros alumnos (e indirectamente, a las organizaciones
development of applications
donde ellos trabajen) en materia de ciberseguridad.
Nuestro desafío es motivarlos y transmitirles los
conocimientos que les permitan crear y mantener sus
I. INTRODUCCIÓN
sistemas “más seguros”; ser administradores de redes y
servicios “más protegidos”; ser responsables de la gestión
Hoy en día, la información es el principal activo de una de seguridad de una organización. Estos objetivos deben
organización (activo como concepto de aquello que tiene imprescindiblemente iniciarse con fomentar en la
valor para ella). Esta información debe ser protegida organización usuarios más conscientes, que colaboren en
adecuadamente, objetivo que se hace complejo ante la la protección de la información, y minimizar
oferta de diversos servicios mediante Internet, y la razonablemente su exposición.
relación que se establece con usuarios u organizaciones En este trabajo se presenta la propuesta de formación
desconocidas hasta el momento. en ciberseguridad brindada actualmente por la Facultad
Tecnologías emergentes (cuando no disruptivas) como de Informática de la Universidad Nacional de La Plata
Internet of Things (IoT) o nuevas modalidades como (UNLP) en el marco de las carreras Licenciatura en
Bring Your Own Device (BYOD) son desafíos para Informática, Licenciatura en Sistemas e Ingeniería en
quienes definen e implementan políticas, estrategias y computación. Se describe cómo los objetivos planteados
acciones referentes a la seguridad de la información en determinaron la propuesta de nuevas asignaturas, su
las organizaciones [1]. trayectoria y su motivación. Además se menciona la
Los ataques han atraído la atención de diferentes evolución de esta línea de trabajo tanto en lo que hace a
medios de comunicación, lo que aporta a la difusión y la los contenidos como a la metodología de enseñanza y a
concientización. Tomemos como ejemplo el caso del las herramientas utilizadas. Asimismo transmite la
ransomware WannaCry1 y la botnet de dispositivos IoT experiencia del equipo de docentes/investigadores de
Mirai2 la cual fue utilizada entre otros en el ataque de ciberseguridad del Laboratorio de Investigación en
DDoS sufrido por los servidores de nombres de Dyn en Nuevas Tecnologías Informáticas (LINTI) 4de la
https://es.wikipedia.org/wiki/Ciberataque_a_Dyn_de_octubr
1
https://es.wikipedia.org/wiki/WannaCry e_de_2016
2 4
https://es.wikipedia.org/wiki/Mirai_(malware) https://www.linti.unlp.edu.ar
280
Francisco Javier Díaz, Paula Venosa, Einar Lanfranco, Nicolás Macia, Alejandro Sabolansky, Lía Molinari
Facultad de Informática de la UNLP, responsable de las del equipo, lo que habilita un proceso de enseñanza
asignaturas de grado y posgrado relacionadas con el sustentado en conocimientos y experiencia.
tema. SyPeR comenzó a dictarse en nuestra Facultad como
El enriquecimiento en conocimientos y experiencias optativa de la carrera Licenciatura en Informática Plan
tanto de las cátedras como de los proyectos de 90, a cargo del Profesor Francisco Javier Díaz y la
investigación en el LINTI, está dado por la entonces Jefe de Trabajos Prácticos Paula Venosa.
transversalidad de la temática que afecta todas las áreas. Siendo en aquel entonces la única materia que abordaba
La retroalimentación que se ha definido, posibilita que la problemática de la ciberseguridad, los diferentes temas
unos se nutran de otros, y viceversa, a partir del eran tratados en forma general y se profundizaba sobre
conocimiento y su aplicación en el campo. alguno específico. Hoy la inclusión de diferentes
asignaturas relacionadas con ciberseguridad permite
II. ASIGNATURAS DE GRADO VINCULADAS A
profundizar y definir cierto grado de especialización.
CIBERSEGURIDAD EN LA FACULTAD DE
Actualmente, SyPeR puede considerarse como la más
INFORMÁTICA DE LA UNLP
genérica y abarcativa de todas.
En esta sección se especifican temas detallados que SyPeR, que comienza a dictarse en el 2002, tiene como
forman parte de un título principal, como el de objetivo brindar al alumno una visión integral de la
“Desarrollo de Contenidos”. seguridad de la información, a partir de:
Actualmente los planes de estudio de la Facultad  comprender conceptos básicos relacionados a la
incluyen en su propuesta de grado, 4 asignaturas seguridad;
vinculadas a temáticas de ciberseguridad:  analizar distintas herramientas que permitan
 Seguridad y Privacidad en Redes5, comúnmente abordar riesgos existentes;
llamada SyPeR.  aprender técnicas para analizar la seguridad de
 Desarrollo Seguro de aplicaciones6. la red, de sus servicios y de las aplicaciones;
 Redes y servicios avanzados en Internet7.  estudiar normas, mecanismos, protocolos y
 Introducción a la Forensia Digital8. herramientas que pueden ayudar a proteger a la
Las asignaturas son semestrales y optativas para el organización, a sus redes, servicios y las
alumno. Se cursan en los últimos dos años de las aplicaciones que en ellas residen.
carreras. Es nuestro objetivo que el alumno, concientizado y
Desarrollo seguro de aplicaciones es del área Ingeniería capacitado en cuanto a la protección de la información de
de Software y se dicta en la Licenciatura en Sistemas y la organización, sea vehículo de difusión y proacción en
en Ingeniería en Computación, mientras que las otras 3 los diferentes ámbitos donde participe o interactúe en su
forman parte de la oferta del área de Arquitectura, vida profesional, social o familiar.
Sistemas Operativos y Redes, y se dictan para los El surgimiento y la masividad de nuevas tecnologías y
alumnos tanto de las Licenciaturas en Informática y modalidad de comunicación habilita el surgimiento de
Sistemas como de Ingeniería en Computación. vulnerabilidades y se crean nuevas formas de explotarlas
En el año 2002, siguiendo la tendencia de América permanentemente. Afortunadamente, también aparecen
Latina respecto a la creación de asignaturas dedicadas nuevas metodologías y herramientas de defensa. Esto
100% a la seguridad de la información en el marco de requiere una actualización constante de los contenidos de
carreras de grado [2], el LINTI propuso la inclusión de la materia, incorporando año a año los nuevos problemas
asignaturas relacionadas con la temática. La de seguridad y las nuevas tácticas y herramientas que se
investigación constante y el trabajo de campo concluyen pueden aplicar relacionadas con las distintas unidades
en la formación constante y reconocida labor profesional temáticas. [2]
En el año 2013 comenzó a dictarse la asignatura
“Desarrollo Seguro de Aplicaciones”. Si bien una unidad
5
http://info.unlp.edu.ar/wp- temática de SyPeR estaba dedicada a abordar las
content/uploads/2015/05/Seguridad_y_Privacidad_en_Redes-2015.pdf
6
problemáticas asociadas a la seguridad de las
http://info.unlp.edu.ar/wp-
content/uploads/2015/05/Desarrollo-seguro-de-aplicaciones-2015.pdf
aplicaciones web9, la aparición de nuevas amenazas que
7
http://info.unlp.edu.ar/wp- explotaban vulnerabilidades del desarrollo de
content/uploads/2015/05/Redes_y_Servicios_Avanzados_en_Internet_-
_Op-ARSO_-_LI_-_LS_2015.pdf
8 9
http://info.unlp.edu.ar/wp-
content/uploads/2015/05/Tecnologia_de_Identificacion_Automatica_- https://www.owasp.org/index.php/Category:OWASP_Top_
_Op-ARSO_-_LI_-LS.pdf Ten_Project
281
aplicaciones ameritaban preparar a los alumnos de la Vale destacar que desde el año 2014 la UNLP es Centro
Licenciatura en sistemas, cuya formación apunta al de Excelencia en Ciberseguridad, elegido por la Unión
desarrollo de aplicaciones y sistemas informáticos. Internacional de Telecomunicaciones (ITU),
Consideramos “un deber” que los alumnos adquieran y organización de las Naciones Unidas. “Introducción a la
consoliden habilidades en relación a la seguridad en Forensia Digital” fue uno de los cursos aceptados a ser
todas las etapas del desarrollo de software, desde su ofrecido mediante este organismo internacional en su
concepción hasta su implementación, testeo y oferta de capacitación10. En la asignatura se recorren las
mantenimiento. etapas de un proceso forense digital, profundizando cada
En SyPeR los contenidos se limitan a comprender las una de ellas, ejemplificando con el uso de herramientas
vulnerabilidades en aplicaciones web, cómo descubrir su libres que permitan la recolección, extracción, análisis y
presencia y aprender posibles mecanismos de mitigación presentación de resultados. Como el análisis forense se
de las mismas. En “Desarrollo Seguro de Aplicaciones” relaciona no sólo con la tarea de investigador, sino
se profundizan estas temáticas a lo largo de todo un también con la de perito o con relación directa con la
semestre, en el que los alumnos aprenden no sólo a Justicia, se busca hacer referencia de manera constante a
identificar los problemas, sino también a testearlos, las buenas prácticas y usos internacionales y regionales,
descubrirlos, explotarlos, y solucionarlos adquiriendo incluyendo durante la cursada la disertación de peritos de
buenas prácticas de desarrollo. Todo esto se implementa reconocida trayectoria. De esta manera, alumnos y
mediante la incorporación y uso de herramientas libres docentes se enriquecen con una visión realista y
por parte de los alumnos. La característica de libre profesional cuando se aplican las herramientas y
garantiza que pueda ser utilizada rápidamente y sin costo, metodologías en el mundo real.
y aplicarlas en su ámbito profesional inmediatamente. Todas estas asignaturas tienen un enfoque práctico. A
La asignatura “Redes y servicios avanzados en Internet” partir de las demostraciones realizadas en clase o de los
se dictó por primera vez en el año 2013. Aporta a los trabajos que en ellas se realizan, los alumnos adquieren
alumnos una visión global del funcionamiento de experiencia en el descubrimiento y la mitigación de
Internet, identificando actores intervinientes e problemas de seguridad. En todas ellas se finaliza la
interrelaciones entre los mismos. Si bien los temas cursada con algún trabajo práctico integrador que incluye
abordados en esta materia se centran en conceptos todos los temas vistos durante la cursada, no quedando
avanzados sobre redes y son relevantes para la formación solamente en conceptos teóricos.
del futuro egresado, cabe destacar que estos temas Todas las temáticas son aplicables en el mundo real en
también son importantes en el desarrollo de especialistas forma inmediata, ya que tanto el contenido como las
en seguridad informática, dado que la comprensión de los herramientas con las que se trabaja son continuamente
mismos permiten vislumbrar detalles internos propios del actualizadas año a año. Vale agregar que todo lo visto es
funcionamiento de Internet a nivel global y prevenir de uso libre, por lo que está disponible para los alumnos
ataques a las infraestructuras, como ser los ataques de sin necesidad de pagar ningún tipo de licenciamiento.
denegación de servicio distribuidos (DDoS) que afectan
las infraestructuras sobre las que se sustenta la propia III. FORMACIÓN EN CIBERSEGURIDAD EN EL
Internet. Esta formación es de gran valor para los MARCO DEL POSTGRADO
profesionales que trabajen en entornos de gestión de
En el marco de la Especialidad de Redes y Seguridad y el
infraestructuras de redes, como pueden ser un Network
Máster en Redes de Datos dictado por la Facultad de
Operation Center (NOC), un Network Access Points
Informática, se dicta la asignatura “Seguridad y
(NAP) o un Internet Service Provider (ISP);
Privacidad en Redes”. Tiene una carga de 100 hs y un
La asignatura “Introducción a la Forensia Digital” fue
contenido similar al de la materia de grado SyPeR,
incorporada en el corriente año, como oferta de grado
adaptado a la formación de postgrado y con la
ante la necesidad de dar respuesta a diversas necesidades.
particularidad de que hay alumnos que la cursan a
En un mundo digital cada vez son más los conflictos que
distancia.
requieren la participación de un analista forense digital
En este caso se aprovechan los recursos como el
ante hechos de cibercrimen que trabaje en esta “nueva”
BigBlueButton para ofrecer la clase virtual a quienes
escena del crimen. Además se observa que hay una gran
cursan remotamente [https://bigbluebutton.org/]
demanda de la temática tanto en los cursos de postgrado,
integrado a la plataforma Moodle en la cual se publican
como de externos.
10
http://www.itu.int/es/Pages/default.aspx
282
teorías, prácticas, se generan discusiones a través de los de extensión se viene trabajando desde el año 2009 en
foros y se publican evaluaciones de las distintas unidades concientización en seguridad de la información para
como forma de autoevaluación previa a la instancia del niños, jóvenes y adultos mayores.
Más allá de que el mismo equipo de docentes de las
examen.
asignaturas vinculadas a ciberseguridad fue el que
A partir del cambio de plan de estudios de la Maestría en impulsó e impulsa dichas iniciativas, es importante
Redes de Datos, se incorpora el seminario “Seguridad en destacar la participación de alumnos de las asignaturas en
ruteo”. En el mismo se analizan distintos problemas de estas actividades organizadas a lo largo de estos años.
seguridad existentes en Internet que afectan al tráfico de En estas actividades se incluyen materiales, herramientas
distintas redes y servicios. Entre los ataques analizados se y actividades que surgieron de los contenidos básicos de
encuentran: Robo de rutas, MITM por robo de rutas, la asignatura Seguridad y Privacidad en Redes, adaptadas
a los distintos rangos etarios y teniendo como eje que son
ataques de reflexión y amplificación, DDoS, botnets. En
actividades de concientización, donde la idea es
función de estos problemas, se analizan mecanismos de “sembrar” la curiosidad y la preocupación en lo que hace
mitigación utilizando sincronización BGP sobre los que al uso seguro y responsable de Internet y de las
se elaboran distintas actividades prácticas: RTBH, tecnologías de la información.
Sinkholes, servicios tipo UTRS, centros de limpieza de
tráfico. Además se mencionan buenas prácticas en la B. CERTUNLP
aplicación de filtros: BCP 38, bogons, servicios
amplificables. CERTUNLP, CSIRT académico de la UNLP, presta
Desde el año 2014 se han dictado también diversos servicios de gestión de incidentes en el ámbito de la Red
cursos de ciberseguridad en el marco del doctorado en de la UNLP desde el año 2008. Actualmente bajo la
Ciencias de la Computación de nuestra Facultad, entre coordinación de 3 de los autores de este artículo.
Los conceptos básicos necesarios para brindar los
ellos “Seguridad en Redes” en 2014 y Conceptos
servicios de éste o cualquier otro CSIRT están contenidos
Avanzados de Seguridad de la Información” en 2015.
en las asignaturas de grado mencionadas en la sección
“II” del presente artículo. Entre ellos podemos mencionar
IV. PROYECTOS VINCULADOS A
el servicio de pentest relacionados con los contenidos de
CIBERSEGURIDAD Y SU RELACIÓN CON LAS
“Desarrollo Seguro de aplicaciones”, el servicio de
ASIGNATURAS DICTADAS
auditoría de redes y monitoreo relacionado con
Entre los proyectos de ciberseguridad llevados adelanto contenidos de “Seguridad y Privacidad en Redes”, el
por docentes e investigadores del LINTI, se destacan: servicio de análisis forense relacionado con contenidos
 Actividades de concientización en seguridad de de “Introducción a la forensia digital”. Esto nos da la
la información, dirigidas niños, adolescentes, pauta de que los alumnos de estas materias cuentan con
padres y abuelos en el marco de distintos una base sólida para desarrollarse profesionalmente en el
proyectos. ámbito de un CSIRT. De hecho, a partir del año 2009,
 La conformación y operación del CSIRT alumnos de estas asignaturas han formado parte del
académico CERTUNLP 11, que brinda respuesta equipo CSIRT CERTUNLP realizando allí sus primeras
a incidentes de seguridad en la Universidad experiencias laborales.
Nacional de La Plata. Por otra parte, la experiencia que surge de prestar a diario
 La implementación y el mantenimiento de la estos servicios y de la investigación que se realiza como
infraestructura de clave pública para e-ciencia parte de la mejora continua de los procesos, enriquece a
de Argentina: PKIGrid UNLP12. los docentes que vuelcan los nuevos conocimientos en el
 La postulación y designación de la UNLP como aula, dando una visión práctica y actual a sus alumnos.
Centro de Excelencia de la ITU para la región
de las Américas. C. PKIGrid UNLP
UNLP Grid es la infraestructura que soporta las

actividades de e-ciencia de la comunidad académica
A. Concientización en seguridad Argentina. Fue creada en el año 2007. La misma tiene
como objetivo gestionar los certificados digitales
En el contexto de las actividades realizadas en proyectos asociados a proyectos de GRID. PKIGrid es miembro de
11
http://www.cert.unlp.edu.ar
12
http://pkigrid.unlp.edu.ar
283
TAGPMA13 y su certificado raíz está disponible en el promueven una conducta ética en cuanto a
repositorio TACAR14, desde el cual se puede validar la proteger la privacidad, y ser conscientes de la
integridad de su certificado raíz[3] sensibilidad de la información que pueden
obtener.
Además, PKIGrid está acreditada por IGTF15. El
certificado raíz de PKIGrid está incluido en las Listas de
 En un mundo cada vez más conectado,
Distribución de IGTF. surgen nuevas amenazas, ante el uso de nuevas
Este es un ejemplo tangible de aplicaciones que utilizan tecnologías o modalidades de comunicación. Es
criptografía de clave pública, tema que abordamos en las imprescindible incluir asignaturas con
cátedras de Seguridad y Privacidad de redes de grado y contenidos que las incorpore, en pos de
postgrado, y ha dado lugar a varias tesinas de grado a lo promover una formación integral del graduado.
largo de los últimos años [4] [5].
 Consideramos que los conceptos
D. La UNLP como Centro de Excelencia (CoE) en relacionados con la ciberseguridad, deben ser
ciberseguridad de la ITU incluidos desde los primeros años de la carrera
debido a su transversalidad. Es tan importante
Este grupo de docentes/investigadores representa a la enseñar a hacer consultas SQL como capacitar
UNLP en el Centro de excelencia en la esfera prioritaria sobre inyecciones SQL. Esto está relacionado
“Ciberseguridad” de la ITU. Miembros del mismo con la metodología de enseñanza, la cual debe
participaron durante los años 2014, 2015 y 2016 de la considerar a la seguridad como un aspecto
comisión de estudio ITU-T SG17:Security de la UIT, relevante al momento de abordar temáticas
donde se abordan temas actuales de seguridad de la relativas al diseño, planificación y ejecución de
información. proyectos.
Como parte de este proyecto, se han diseñado y ofrecido
a la comunidad diversos cursos en temáticas de  La industria reafirma continuamente la
ciberseguridad anclados en los conocimientos y la necesidad de avanzar en cuestiones de seguridad
experiencia del dictado de las distintas asignaturas a y apoya nuestra creencia en que la formación de
cargo de este equipo durante más de 15 años. recursos con capacidades específicas en la
temática es fundamental. En los últimos años se
V.CONCLUSIONES observa un creciente interés en reducir los
problemas de seguridad en dispositivos y
De lo antes expuesto se puede concluir que: aplicaciones. Por ejemplo, en las cuestiones
relacionadas con el desarrollo de aplicaciones,
los framework han incorporado en sus últimas
 El enfoque práctico que se les da a las
versiones componentes que ayudan a crear
asignaturas permite la transmisión de
aplicaciones más seguras o incluso existen
conocimientos y formación de recursos
iniciativas en distintas empresas para pagar por
humanos en la temática. Es muy gratificante
reportes de bugs en sus aplicaciones.
cuando los alumnos comentan que aplicaron lo
aprendido y que les resultó útil para mejorar
aspectos relacionados con la seguridad tanto en
REFERENCIAS
sus trabajos como en sus hogares.
[1] P. Venosa, N. Macia, C. Piazza, S. Pacheco, Dispositivos móviles y
 Permite al alumno aplicar lo que se le da a modo el fenómeno del BYOD. Su impacto en la seguridad de las
de demostración en el aula en el mundo real. organizaciones” Paula Venosa, Nicolás Macia, Carlos Damián Piazza
Orlando y Sebastián Exequiel Pacheco Veliz, 2016, CACIC 2016. p.
Esto hace que se interese y motive con la
1125-1134
asignatura y la actualización continua. Este [2] F. J. Díaz, P. Venosa, N. Macia, A. Sabolansky, J. Bogado, Enseñar
enfoque práctico exige una dedicación constante y aprender Seguridad y Privacidad en Redes en la UNLP: SyPeR, 2014,
del docente. Todos los días se difunden nuevas Teyet.
[3]F. J. Díaz, V. Ambrosi, M. Luengo, N. Macia, P. Venosa,
amenazas. Mantener una actualización adecuada L.Molinari. Adaptando OpenCA para implementar una PKI para e-
demanda tiempo y esfuerzo. Science, XII Congreso Argentino de Ciencias de la Computación, 2006.
[4] A. Sabolansky, Importancia de contar con un servicio de sellado
 En las asignaturas relacionadas con la seguridad digital de tiempo en una PKI, tesina de grado,
http://sedici.unlp.edu.ar/handle/10915/18770.
se utilizan herramientas que pueden obtener y [5] [G. Celada, J. M. Filandini, Ampliación y mejora de servicios en la
divulgar información sensible. Los docentes infraestructura de clave pública para e-ciencia de la UNLP (PKIGrid
UNLP, Tesina de grado, http://sedici.unlp.edu.ar/handle/10915/59094.
13
http://www.tagpma.org
14
http://www.tacar.org/repos
15
https://www.igtf.net
284
servicios avanzados en Internet de las carreras de grado

Díaz Francisco Javier, Licenciado en de la casa de estudios. Profesor de la materia Seguridad y
Matemática, Director del Laboratorio en Privacidad en Redes de la Maestría en Redes de Datos y
Investigación en nuevas Tecnologías del seminario Seguridad en ruteo.
Informáticas (LINTI), perteneciente a la Facultad de
Informática de la UNLP. Profesor Adjunto en las Molinari, Lia. Master en Redes de Datos,
materias Redes y comunicaciones y Redes y servicios investigadora del Laboratorio en
avanzados en Internet de las carreras de grado de la casa Investigación en Nuevas Tecnologías
de estudios. Profesor de la materia Seguridad y Informáticas (LINTI), de la Facultad de
Privacidad en Redes de la Maestría en Redes de Datos y Informática de la UNLP. Profesora Titular de grado y
del seminario Seguridad en ruteo. posgrado en asignaturas de Sistemas Operativos.
Coordinadora ante ITU del Centro de Excelencia (CoE)
Venosa Paula, Licenciada en Informática, de la UNLP. Certificaciones CISM y CISA, otorgadas
investigadora del Laboratorio en por ISACA
Informáticas (LINTI), de la Facultad de
Informática de la UNLP. Profesora Adjunta en las
materias Redes y Comunicaciones, y Seguridad y
Privacidad en Redes de las carreras de grado de la casa
de estudios. Profesora de la materia Seguridad y
Lanfranco, Einar, Licenciado en

Informática, investigador del Laboratorio en
Facultad de Informática de la UNLP. Director de Redes y
Comunicaciones Informáticas de la Facultad de
materias Introducción a la Forensia Digital y Desarrollo
Seguro de Aplicaciones de las carreras de grado de la
casa de estudios. Profesor de la materia Seguridad y
Macia, Nicolás, Licenciado en Informática,

investigador del Laboratorio en
en las materias Introducción a los Sistemas Operativos y
Redes y servicios avanzados en Internet de las carreras de
grado de la casa de estudios. Profesor de la materia
Seguridad y Privacidad en Redes de la Maestría en Redes
de Datos y del seminario Seguridad en ruteo .
Sabolansky, Alejandro, Licenciado en

Informática, investigador del Laboratorio
en Investigación en nuevas Tecnologías
en las materias Redes y comunicaciones y Redes y
285
eMarisma: Aplicación Práctica en la Asignatura

de Seguridad de Sistemas Software
D.G. Rosado, L. E. Sánchez, A. Santos-Olmo, I. Caballero, E. Fernandez-Medina
Abstract — We currently live in a world that is increasingly Tecnologías, especializada en el mismo campo y con
requesting a greater link between universities and enterprises. capacidad de validar los resultados de la investigación en
The concept of technology transference is becoming of vital clientes. Durante los últimos 15 años ambas entidades han
importance for the engineers in Europe and Latin America, since
trabajado en desarrollar una metodología para gestión de
it comprises a mechanism by which to adapt to a constantly
changing world led by new technologies. The objective of this seguridad y análisis de riesgos denominada MARISMA [1, 2],
paper is to show the results obtained during research into Cyber que ha ido evolucionando mediante la aplicación de dos
Security carried out in conjunction by the GSyA group from the técnicas de investigación muy utilizadas en el campo de la
University College of the University of Castilla-La Mancha and Ingeniería del Software denominadas “Revisión Sistemática
the Sicman Nuevas Tecnologías company, whose objective was de la Literatura” e “Investigación en Acción” [3-7]. Esta
the development of a product denominated as eMARISMA and
metodología ha sido completada con una herramienta que da
its subsequent introduction into the subject of Software Systems
Security, which is taught as an intensification of Software soporte a la misma llamada eMARISMA [8], accesible en
Engineering. The introduction of the product has enabled us to modelo SaaS.
analyze the students' perception and use of it, thus allowing us to En el año 2017 y después de más de una década de
obtain relevant results for our research. validación en el sector privado se ha decidido dar un paso más
y comenzar su implantación dentro del sistema universitario,
Index Terms — Technology Transfer, Degree in Computer de forma que los alumnos puedan disponer de una herramienta
Engineering, MARISMA, Risk Analysis. con la que practicar y enfrentarse a casos reales. Una
herramienta nacida del alineamiento entre la Universidad y la
I. INTRODUCCIÓN Empresa y con una clara orientación práctica, pero
Actualmente, Europa se encuentra inmersa en el proceso manteniendo siempre el rigor científico. Está herramienta
de convergencia de la educación superior, que es fundamental adicionalmente presenta funcionalidades que permiten asociar
para el futuro de algunas carreras, y por ello es muy riesgos entre diferentes análisis de riesgos, con lo que a futuro
importante ser capaces de adaptar los nuevos planes de estudio se tiene la posibilidad de realizar prácticas más complejas,
a las necesidades reales del mercado en este sector. En el caso asociando resultados de diferentes grupos, o incluso entre
de la Ingeniería Informática, las empresas y los profesionales diferentes universidades.
están demandando perfiles cada vez más especializados y que En este artículo se presentan algunos de los resultados
se adapten a una o varias certificaciones profesionales obtenidos por los alumnos al utilizar eMARISMA en la
internacionales. Además, estos profesionales deben haber asignatura Seguridad de Sistemas Software, la cual forma
trabajado con herramientas reales del mercado que les hayan parte de la intensificación de Ingeniería del Software
acercado lo máximo posible a la realidad de la empresa. Por lo impartida en la Escuela Superior de Ingeniería Informática del
tanto, es muy importante que los nuevos estudios estén muy Campus de Ciudad (Universidad de Castilla-la Mancha). Esta
enfocados a las necesidades profesionales sin perder el rigor investigación ha supuesto la creación de equipos docentes
científico exigible en una ingeniería, y para conseguir este multidisciplinares, con experiencia académica pero también
objetivo es fundamental que estos nuevos planes de estudio con experiencia profesional.
tengan una orientación que facilite la transferencia tecnológica El artículo estará formado por ocho secciones: En la
entre la Universidad y la Empresa. segunda sección ponemos en contexto la importancia del
Para lograr el objetivo propuesto se alinearon los momento actual de creación de planes de estudio y de la
intereses del Grupo de Investigación GSyA, especializado en transferencia tecnológica. En la tercera sección se analizará la
Seguridad Informática, y la empresa Sicaman Nuevas estructura general del plan de estudios para la Ingeniería
Informática propuesta en la Universidad de Castilla-la
Mancha. En la cuarta sección se analizará la asignatura que se
D. G. Rosado, Grupo de Investigación GSyA, Universidad de Castilla-la ha utilizada para investigación. En la quinta sección se
Mancha, Ciudad Real, España, David.Garcia@uclm.es introducirá la metodología MARISMA y la herramienta que la
L. E. Sánchez, Grupo de Investigación GSyA, Universidad de Castilla-la
Mancha, Ciudad Real, España, Luisenrique@sanchezcrespo.org soporta. En la sexta sección se plantea la práctica que los
A. Santos-Olmo, Departamento I+D+i, Sicaman Nuevas Tecnologías, alumnos deben acometer. En la séptima sección se analizarán
Tomelloso (Ciudad Real), España, asolmo@sicaman-nt.com algunos de los resultados obtenidos durante la investigación.
I. Caballero, Grupo de Investigación Alarcos, Universidad de Castilla-la
Mancha, Ciudad Real España, Ismael.Caballero@uclm.es Finalmente, en la última sección describiremos las principales
E. Fernandez-Medina, Grupo de Investigación GSyA, Universidad de conclusiones obtenidas hasta el momento y los siguientes
Castilla-la Mancha, Ciudad Real, España, Eduardo.FdezMedina@uclm.es pasos.
286
II. ESTADO DEL ARTE obtención de un título que, por una parte, se centrará en
El Espacio Europeo de Educación Superior (EEES) se aspectos generalistas, haciendo que el estudiante adquiera al
inicia con la Declaración de la Sorbona de 1998, que destacó menos las competencias transversales de formación básica
el papel de las Universidades en el desarrollo de la dimensión comunes a la rama de informática y, por otra parte, las
cultural y de la Europa del conocimiento, y se amplía con las competencias de al menos una de las especializaciones
Declaraciones de Bolonia (Junio de 1999), de Praga (2001) y recomendadas por la ACM (de las 4 ofertadas en la UCLM).
de Berlín (Septiembre de 2003) y Bergen (Mayo de 2005). En
ellas se acordó promover y desarrollar en los países
participantes la reforma de la estructura y la organización de
las enseñanzas universitarias para estimular la construcción de
un Espacio Europeo de Educación Superior con el objetivo de
favorecer la movilidad y las oportunidades de empleo, y
además hacer que estos nuevos planes de estudio y su
implantación se adaptasen a las demandas de las empresas [9],
de forma que sirvan para hacer que los nuevos profesionales
aumenten la productividad del tejido empresarial Europeo
[10].
Actualmente, la mayor parte de los grados ya se han
definido, pero gran parte de las Universidades Europeas se
encuentran en pleno proceso de implantación de los nuevos Figura 1. Estructura del Título de Ingeniero en Informática de la UCLM
planes de estudio del Grado en Ingeniería Informática,
basándose para ello en las intensificaciones propuestas por la Desde el punto de vista metodológico, el diseño del Plan
ACM [11], las cuales están muy orientadas a competencias de Estudios se basó en un análisis descendente, partiendo de
excesivamente complejas y difusas, y que en algunos casos ya las competencias hasta llegar a las asignaturas. Las unidades
están siendo revisadas por otros investigadores [12-14]. de enseñanza-aprendizaje se agruparon temáticamente por
En el caso del grado en ingeniería informática, los nuevos materias y cada materia se dividió en una o varias asignaturas
planes se han orientado a la existencia de un grado único con afines desde un punto de vista temático.
cinco especialidades o intensificaciones. Estas cinco La investigación realizada se centró principalmente en la
intensificaciones se corresponden con las Tecnologías intensificación de Ingeniería del Software propuesta para el
Específicas de la Resolución de 8 de junio de 2009 de la nuevo grado en ingeniería informática, que está basada en la
Secretaría General de Universidades, por la que se da "Guía para la creación del Cuerpo de Ingeniería de Software
publicidad al Acuerdo del Consejo de Universidades que para el Conocimiento” (SWEBOK)" [23-26], donde se definen
establece recomendaciones para la propuesta por las las competencias y conocimientos que, según el IEEE, un
Universidades de memorias de solicitud de títulos oficiales del Ingeniero del Software debería haber obtenido al finalizar los
ámbito de la Ingeniería Técnica Informática (BOE Num. 187 estudios (ej.: proyectos de Ingeniería del Software, Seguridad
del 4/8/2009), y las propuestas por la ACM [11], y que son: y Auditoría, cubriendo todos los aspectos del ciclo de vida
Ciencias de la Computación [15], Ingeniería del Software relacionados con ellos...). El principal problema detectado en
[16], Ingeniería de Computadores [17], Sistemas de estas competencias es que son complejas y difusas a la hora de
Información [18] y Tecnologías de la Información [19]. poder aplicarlas, tanto para los alumnos como para las
Actualmente, muchas instituciones e investigadores están empresas [27, 28], y tampoco permiten responder a preguntas
trabajando para unificar y complementar el grado de como: ¿Los conocimientos asociados con estas competencias
ingeniería informática, tomando como base el modelo USA han sido realmente obtenidos por el alumno? ¿En qué medida
[20] o el modelo Europeo [21]. Algunas investigaciones han han sido obtenidos? ¿Son las competencias obtenidas las que
considerado que el problema no estaba tanto en el contenido necesitan realmente las empresas?
de los dominios como en el mecanismo de aprendizaje, Y es en este proceso de cambio, definición e implantación
centrándose en buscar metodologías de enseñanza ágiles [22] de los nuevos planes de estudio donde está el punto crítico
que permitan la transferencia de conocimiento útil a los para el futuro de algunos estudios tan nuevos, tan cambiantes
alumnos para su incorporación en el mundo laboral. y de los que depende tanto el progreso de la sociedad como es
Es decir, se considera crítico en esta nueva etapa de las el caso de la Ingeniería Informática [29]. Por lo tanto, es muy
universidades conseguir hacer más prácticas las ingenierías, y importante ser capaces de adaptar los nuevos planes de estudio
hacer que los conocimientos aportados sean útiles para los a las necesidades reales del mercado [30, 31], siendo capaces
alumnos y los acerquen a sus futuros puestos de trabajo. de implantarlos de una forma correcta que permita alinearlos
con las competencias a las que se orientan y a las necesidades
III. GRADO DE INGENIERÍA INFORMÁTICA EN LA UCLM de las empresas. En el caso de la Ingeniería Informática, las
empresas y los profesionales están demandando perfiles cada
En el caso de la UCLM (Universidad de Castilla-la vez más especializados [32], por lo que es muy importante que
Mancha), la nueva propuesta del plan de estudios (ver Figura los nuevos estudios estén muy enfocados a poder obtener una
1) está dividida en un conjunto de bloques orientados a la
287
serie de competencias objetivas y medibles, y que éstas estén riesgos potenciales asociados que pudieran
alineadas con las necesidades profesionales [33], sin perder el presentarse.
rigor científico exigible en una ingeniería.  Capacidad de trabajo en equipo.
Para conseguir este objetivo es fundamental que la  Capacidad de trabajo en equipo interdisciplinar.
implantación de estos nuevos planes de estudio tenga una  Capacidad de relación interpersonal.
orientación que facilite su alineamiento con las necesidades  Reconocimiento a la diversidad, la igualdad y la
reales de las empresas. Es crítico que exista una comunicación multiculturalidad.
continua entre la Universidad y la Empresa, y que la primera  Razonamiento crítico.
sea capaz de desarrollar proyectos y herramientas en  Aprendizaje autónomo.
conjunción con la segunda que puedan ser aplicadas en las
 Adaptación a nuevas situaciones.
asignaturas de la carrera con el objetivo de facilitar la
 Creatividad.
posterior incorporación de los alumnos al mundo laboral, ya
 Capacidad de liderazgo.
que esto puede suponer una importante ventaja competitiva
para ellos, ayudándoles a decidir el mejor puesto de trabajo  Capacidad de iniciativa y espíritu emprendedor.
que pueden ocupar en el futuro.  Tener motivación por la calidad.
No debemos olvidar que estas técnicas y herramientas que
permiten al alumno tomar una mejor orientación laboral al C. Objetivos que se persiguen
finalizar sus estudios se traducen en una mejora de la Los objetivos que se persiguen en esta asignatura se
productividad de la empresa al poder contratar a los alumnos centran en que el alumno sea capaz de:
más adecuados para las competencias buscadas, lo que se  Identificar, modelar e integrar los requisitos de
traduce a su vez en mejoras salariales que pueden superar el
seguridad del software en el proceso de su desarrollo.
10% [34].
 Conocer las principales técnicas y servicios de
seguridad del software.
IV. ASIGNATURA DE SEGURIDAD DE SISTEMAS SOFTWARE
 Conocer las normas, estándares y legislación más
Dentro de la intensificación o mención de Ingeniería del relevante sobre seguridad del software.
Software, analizada en el apartado anterior, existe una
asignatura, que es el caso que estudiamos, denominada
Seguridad de Sistemas Software de 6 créditos ECTS cuya D. Práctica relacionada con eMARISMA
descripción detallada se explica a continuación. La práctica que se ha planteado a los alumnos coincidiendo
con el tema de Gestión de seguridad y Riesgos, así como con
la correspondencia directa con la competencia de la capacidad
A. Contenido
de identificar, evaluar y gestionar los riesgos potenciales, y
El contenido (o descriptores) que se ha definido para esta otras muchas de forma indirecta, consiste en realizar un
asignatura y que ha dado lugar a la división por temas es el análisis de riesgos de un sistema de información utilizando los
siguiente: servicios y funciones que nos ofrece eMARISMA. Los
 Fundamentos de seguridad. detalles de la práctica se explican más adelante.
 Seguridad organizativa. La práctica está acorde a las competencias y contenidos de
 Requisitos de seguridad. la asignatura y, además, el uso de una herramienta real les
 Seguridad en desarrollo de software. acercará más al mundo empresarial y facilitará la labor del
 Seguridad de sistemas de información. docente a la hora de explicar y analizar los contenidos de la
 Riesgos de seguridad. asignatura y los resultados obtenidos por los alumnos.
 Servicios de seguridad.
 Gestión de seguridad. E. Alumnos
 Certificación, normas y estándares para la seguridad.
En el curso 2016-2017 se ha contado con 21 alumnos
matriculados en la asignatura de Seguridad de Sistemas
B. Competencias Software. La mayoría de estos alumnos estaba también
Las competencias propias de la asignatura que se han matriculado del resto de asignaturas de la intensificación de
definido son las siguientes: Ingeniería del Software, lo que hizo más fácil disponer de la
 Capacidad de análisis, síntesis y evaluación. especificación y definición de un proyecto a corto plazo para
 Capacidad de organización y planificación. un sistema de información realizado en otra asignatura
denominada Gestión de Proyectos Software (GPS). A los
 Capacidad de gestión de la información.
pocos alumnos que no estaban matriculados en GPS se les
 Capacidad de resolución de problemas aplicando
asignó a un grupo que tenían dicho proyecto para que pudieran
técnicas de ingeniería.
trabajar juntos.
 Capacidad para argumentar y justificar lógicamente
las decisiones tomadas y las opiniones.
 Capacidad de identificar, evaluar y gestionar los
288
V. MARISMA MARISMA
Fruto de 15 años de investigación realizada entre GSyA y Conceptos
Sicaman dentro del campo de la Gestión de la Seguridad nació
la metodología MARISMA, con el objetivo de solucionar los
GEAR GAGR MDAR
problemas detectados en el análisis y gestión del riesgo y en
los Sistemas de Gestión de Seguridad de la Información de las
PYMES. La idea era desarrollar un mecanismo de análisis de Figura 2. Esquema de procesos de MARISMA
riesgos basado en patrones reutilizables, de bajo coste y
dinámicos. Este apartado se divide a su vez en dos sub-apartados. En
MARISMA acomete todos los aspectos relacionados con el primero de ellos exponemos una definiciones que
la gestión de la seguridad y el análisis de riesgos [6, 7], y se permitirán entender la metodología (sólo se exponen las
crea bajo la premisa de que cualquier sistemas de Análisis de definiciones que están dentro del alcance de la práctica), y en
Riesgos valido para las PYMES también será extrapolable a el segundo nos centramos en la herramienta eMARISMA que
grandes compañías. da soporte a la metodología, y que es la que ha sido utilizada
Esta metodología asocia el análisis y la gestión del riesgo a por los alumnos para realizar la práctica.
los controles necesarios para la gestión de la seguridad y
consta de tres procesos muy importantes:
A. Definiciones previas.
 Proceso 1 – Generación de Esquemas para el Análisis
de Riesgos (GEAR): Se establece una estructura de A continuación, se describen los principales conceptos,
relaciones entre los diferentes elementos involucrados que intervienen en la metodología:
en el análisis del riesgos y los controles necesarios  Patrón: Estructura formada por los principales
para gestionar la seguridad. Estas relaciones se elementos de un SGSI y las relaciones entre ellos, que
establecen mediante el conocimiento adquirido en las puede ser reutilizado por un conjunto de compañías
diferentes implantaciones, que es almacenado en una con características comunes (mismo sector y tamaño)
estructura denominada esquema para ser reutilizado a partir del conocimiento adquirido con la
con posterioridad, reduciendo los costes de generación implantación de la metodología MARISMA y
de este proceso [35]. posteriores refinamientos [36].
 Proceso 2 – Generación del Análisis y Gestión del  Análisis de riesgos: Proceso sistemático para estimar
Riesgo (GAGR): Mediante la selección del esquema la magnitud de los riesgos a que está expuesta una
más adecuado y la identificación de un pequeño organización [37]. La metodología MARISMA
conjunto de los principales activos se obtiene un incluye un sencillo método para estimar el riesgo a
detallado mapa de la situación actual (análisis del partir de un conjunto básico de activos.
riesgo) y un plan de recomendaciones de cómo  Activo: Recursos del sistema de información, o
mejorarlo (gestión del riesgo). relacionados con éste, necesarios para que la
 Proceso 3 – Mantenimiento Dinámico del Análisis de organización funcione correctamente y alcance los
Riesgos (MDAR): Mediante la utilización de las objetivos propuestos por su dirección.
matrices generadas, las cuáles interconectan los  Activo de grano grueso: La metodología MARISMA
diferentes artefactos, el sistema irá recalculando el funciona bajo activos de grano grueso, que son
análisis de riesgos según se produzcan incidentes de aquellos que agrupan activos que están sometidos a las
seguridad, fallen las métricas definidas o los auditores mismas amenazas, mismos criterios de riesgo, mismas
detecten “no conformidades” en los controles. vulnerabilidades y mismo valor estratégico. Dado que,
por lo tanto, activarían los mismos riesgos y controles
En la Figura 2 se pueden ver de forma resumida los tres se tratan de forma unificada dentro del análisis de
procesos que componen la metodología MARISMA, y cómo riesgos.
intercambian información entre ellos. La información  Activo de grano fino: Son los activos de valor para la
generada en el proceso GEAR será utilizada por los otros dos compañía al nivel más bajo de agregación.
procesos. De igual forma, la información generada en el  Controles: Mecanismos que nos permiten proteger los
proceso GAGR será necesaria para el proceso MDAR. Esto no activos de las amenazas que intentan aprovechar las
implica que siempre se deban ejecutar los tres procesos para vulnerabilidades en estos para producir un impacto
obtener un resultado, sino que debe existir un Esquema sobre algún criterio de riesgo de nuestros activos de
generado previamente por el proceso GEAR para que se pueda valor.
ejecutar el GAGR.  Sub-controles: Divisiones a mayor detalle de los
controles. En ocasiones los controles son demasiado
difusos, o intentan abordar demasiada información
para permitir que el usuario dé una respuesta
coherente sobre el nivel de cumplimiento
(Si/Parcialmente/No).
289
 Amenaza: Evento que puede desencadenar un equipo formado por Sicaman-GSyA creó la herramienta
incidente en la organización, produciendo daños eMARISMA (www.eMarisma.com).
materiales o pérdidas inmateriales en sus activos. El objetivo de este sub-apartado es explicar a grandes
 Vulnerabilidad: Debilidad o falta de control que rasgos el funcionamiento de la misma, centrándonos sólo en
permitiría o facilitaría que una amenaza actuase contra aquellas parte que están dentro del alcance de la práctica, la
un activo del sistema que presenta la citada debilidad. cuál se centró sólo en el proceso GAGR, quedando por lo
En el caso de MARISMA, las vulnerabilidades se tanto fuera del alcance de la misma los otros dos procesos
calculan como la ausencia o debilidad de un control en (GEAR y MDAR).
la lista de controles base, que en el esquema Para la realización de la práctica, a los alumnos se les
seleccionado para la investigación está basada en facilitó acceso a la herramienta, desarrollada en modelo SaaS,
controles y sub-controles derivados de la de forma que no suponga ningún problema de acceso para
ISO27001:2013. alumnos y profesores, y que además estos puedan realizar
 Criterios de riesgo: Criterios que permiten estimar el proyectos internacionales de cooperación. En la Figura 4 se
grado de exposición a que una amenaza se materialice puede ver la zona en la que el profesor (que en este caso toma
sobre uno o más dimensiones valorables de los activos la figura del consultor) crea los diferentes proyectos de los
causando daños o perjuicios a la organización. alumnos.
 Matriz Amenazas x Tipos de Activos: Es una matriz
que nos permite relacionar qué amenazas afectan a las
diferentes familias de activos.
 Matriz Amenazas x Controles: Es una matriz que
permite relacionar qué controles permiten proteger a
los activos frente a cada amenaza. Dado que no se ha
encontrado ninguna normativa que tuviera esta matriz,
se ha tenido que extraer en base a la experiencia
(Know-How) de los consultores involucrados en el
proceso, aplicando la metodología científica
Investigación en Acción.
Figura 4. Proyectos creados por el profesor (consultor).
Controles Vulnerabilidades
ISO27001:2013
Para la creación de estos proyectos, el profesor
Dominios
Obj. Control previamente ha seleccionado el patrón que desea utilizar. En la
Controles Figura 5 podemos ver un patrón de MARISMA . En este caso
ISO27002:2013
SubControles Vulnerabilidades
concreto, el profesor ha seleccionado un patrón para análisis
Amenazas Matrices de riesgos basado en ISO27001:2013 y Magerit v3.0
Tipo Amenaza Matriz
Controles x
Amenaza
Amenazas
ISO27005:2011
MAGERIT v3.0 Activos Matriz
Tipos de Activos Amenaza x Tipos
de Activos x
Activos Grano Grueso Criterios de
Activos de Grano Fino Riesgo
Criterios de riesgo
KNOW-HOW
Figura 3. Elementos que componen el sistema base y sus relaciones.
En el esquema de la Figura 3 se puede ver cómo todos

elementos se interrelacionan unos con otros y el origen que se
ha utilizado para generar el esquema base que se está
utilizando actualmente, y que básicamente parte de cuatro
fuentes (ISO27001:2013, ISO27002:2013, ISO27005:2011,
MAGERIT v3.0) y la Experiencia adquirida mediante la
técnica de Investigación en Acción.
B. eMARISMA. Figura 5. Visión de un patrón en eMARISMA.

Con el objetivo de dar soporte a la metodología creada, el
290
Una vez que los alumnos tienen sus diferentes proyectos

creados, pueden acceder a los mismos como si fueran los
clientes y acometer sus análisis de riesgos. Para ello irán
realizando los diferentes pasos que describimos a
continuación:
- Paso 1º.- Creación de activos de grano grueso dentro
del alcance de la auditoría (ver Figura 6).
Figura 9. Matriz Activos x Amenazas.
- Paso 5º.- Generación del Análisis de Riesgos: Gracias

al nivel de automatización de la herramienta al
utilizar patrones, se puede generar de forma muy
rápida un análisis de riesgos (ver Figura 10).
Figura 6. Activos de Grano Grueso.
- Paso 2º.- Realización del Checklist para determinar el

nivel de cumplimiento de controles (ver Figura 7).
Figura 10. Generación Análisis de Riesgos.
- Paso 6º.- Generación del Plan de Tratamiento de

Riesgos: Se genera de forma automática mediante un
algoritmo recursivo de mejora continua (ver Figura
11).
Figura 7. Checklist de nivel de cumplimiento de controles.
- Paso 3º.- Definición de las amenazas, determinando

la probabilidad de ocurrencia de las mismas y el
impacto en caso de que ocurra (ver Figura 8).
Figura 11. Plan de Tratamiento de Riesgos.
Por otro lado, en todo momento la herramienta permitirá al

alumno tener una visualización grafica del estado de la
compañía, mediante diagramas de Kiviat, mapas de riesgos,
cuadros de mandos de controles, etc.
Figura 8. Listado de amenazas y características de las mismas. A continuación mostramos algunas de las opciones
visuales de la herramienta:
- Paso 4º.- Generación de matriz de Activos x - Cuadro de mandos para el seguimiento del nivel de
Amenazas: El sistema genera de forma automática cumplimiento de los controles (ver Figura 12).
dicha matriz (ver Figura 9).
291
Figura 12. Cuadro de Mandos de cumplimiento de Controles. Figura 16. Mapa de Riesgos.
- Diagramas de Kiviat para el seguimiento del nivel de La herramienta tiene otras muchas opciones, pero se han
cumplimiento de los controles (ver Figura 13). dejado fuera al no estar contenidas dentro del alcance de la
práctica definida para los alumnos.
VI. PRÁCTICA PLANTEADA A LOS ALUMNOS

La práctica que se planteó a los alumnos en la asignatura
de Seguridad de Sistemas Software consistía en realizar un
análisis de riesgos valorando los activos, identificando
amenazas, definiendo la probabilidad y calculando el riesgo.
Para la realización de la práctica se facilitó el uso de la
herramienta eMARISMA para que los alumnos pudieran hacer
todas las tareas planteadas, que fueron adaptadas a la
Figura 13. Diagrama de Kiviat de cumplimiento de Controles. herramienta para que pudieran obtener los resultados
esperados de forma automática. Dichas tareas consistían en:
- Diagramas de Activos de granos grueso (ver Figura  Completar el Checklist de la compañía y generar un
14). informe. (Servirá para guiar y recordar los puntos que
deben ser inspeccionados en función de los
conocimientos que se tienen sobre las características y
riesgos).
 Identificar los Activos.
 Identificar las Amenazas con el porcentaje de
probabilidad y degradación.
 Definir Activos por Amenazas teniendo en cuenta las
dimensiones de seguridad: Confidencialidad,
Integridad, Disponibilidad, Autenticidad y
Trazabilidad.
 Realizar el análisis de riesgos (“Matriz de riesgos”) y
Figura 14. Diagrama de Activos. el plan de tratamiento.
 Generar los informes.
- Gráfico de amenazas definidas (ver Figura 15).
 Analizar los resultados gráficos obtenidos.
 Definir las conclusiones a partir de los resultados.
La asignatura tenía 21 alumnos matriculados en el curso

2016-2017, como se ha dicho anteriormente. Los alumnos se
dividieron en equipos de entre 2 a 4 miembros, y cada equipo
tenía un proyecto diferente que había definido y especificado
en la asignatura GPS de la intensificación. Con ese proyecto
pedimos a cada equipo que, por parejas o individualmente,
realizaran el análisis de riesgos de su propio proyecto. De esta
forma podemos obtener, en la mayoría de proyectos, más de
Figura 15. Gráfico de Amenazas. un análisis de riesgos por proyecto para luego comparar los
resultados obtenidos.
- Mapa de Riesgos globales (ver Figura 16). Por tanto, tenemos 7 proyectos diferentes, y para cada uno
de ellos al menos un análisis de riesgos realizado con
eMarisma. En la Tabla I podemos ver los proyectos
292
disponibles, los miembros por cada uno de ellos y el número lavadora y que sea capaz de conectarse a la aplicación móvil.
de análisis que se hicieron para cada proyecto.
Tabla I. Proyectos de la práctica.

D. Proyecto D
Proyecto Análisis Miembros Total análisis Integración de los videos de las distintas cámaras de una
Análisis 1 2 planta de fabricación de vino para crear un video promocional.
Proyecto A 2
Análisis 2 2 Se instalaron cámaras para grabar a los trabajadores realizando
Análisis 1 2 sus tareas y se hicieron entrevistas personales. Para la
Proyecto B Análisis 2 2 3
elaboración de los videos se desarrollaron una serie de
Análisis 3 2
Análisis 1 1
aplicaciones permitían editar y montar los videos. La
Proyecto C Análisis 2 2 3 publicación de los videos se ha hecho a través de las redes
Análisis 3 2 sociales y la página web, donde además se permite la venta de
Análisis 1 2 vinos.
Proyecto D 2
Análisis 2 2
Proyecto E Análisis 1 2 1 VII. RESULTADOS DE LA INVESTIGACIÓN
El objetivo de este apartado es analizar los resultados
Los proyectos que nos interesan para su estudio son
obtenidos por cada alumno de los casos planteados y extraer
aquellos que han obtenido al menos dos análisis, ya que el
algunas conclusiones que permitan mejorar la práctica para el
objetivo de este artículo es analizar las diferencias o puntos en
siguiente año.
común que se pueden obtener al realizar un análisis de riesgos
Los resultados se han analizado por cada equipo y en cuatro
para un mismo proyecto hecho por diferentes equipos de
dimensiones de valoración:
personas. Como se puede ver en la Tabla I, los proyectos que
 Activos identificados.
vamos a estudiar son los proyectos A, B, C y D.
A continuación, vamos a describir brevemente en qué  Valoración de los controles.
consisten los proyectos para que se puedan ver y entender los  Valoración de las amenazas.
resultados generados en cada uno de ellos. Por ejemplo, los  Riesgos obtenidos.
activos identificados, riesgos, amenazas, etc.
El Equipo 4, perteneciente al proyecto C, se descarta
finalmente porque no realiza la práctica, por lo que finalmente
A. Proyecto A el proyecto C queda con dos sujetos de prueba.
Desarrollo de apps compatibles con los próximos
dispositivos que salgan al mercado con una nueva versión de
A. Activos Identificados
sistema operativo, tanto por parte de nuestra empresa como
para los propios usuarios, bajo un determinado control de Uno de los primeros pasos que un Consultor o un cliente
requisitos, que garantice la sincronización de dispositivos de debe realizar a la hora de valorar los riesgos es conocer cuáles
forma sencilla. Por tanto, se facilita a los clientes o usuarios son sus activos de valor asociados al Sistema de Información
que desarrollen sus propias aplicaciones y puedan entrar a (activos InfSys).
formar parte de la línea de desarrollo de la empresa si pasa los Ante este trabajo surge la duda de si diferentes consultores
criterios y requisitos de calidad establecidos. ven de la misma forma los activos, y esta es la primera
cuestión que pretendemos analizar con los resultados de la
práctica: ¿Ante el mismo caso práctico los alumnos han
B. Proyecto B identificado los mismos activos de información?
Página web para mostrar vehículos y explicar todas sus
ventajas. Además, la web contará con un configurador de - Proyecto A (ver Figura 17): El Equipo 1 ha
vehículos donde se podrán seleccionar todos nuestros identificado 8 activos, mientras que el Equipo 9 ha
productos y configurarlos a su gusto, al igual que dar la identificado 7 activos.
oportunidad de generar un presupuesto online que llegará
directamente a nuestro departamento. La web será amigable y
muy usable para los usuarios. Además será adaptable a todo
tipo de dispositivos. También tiene la opción de reserva de
vehículos.
C. Proyecto C
Desarrollo de la web de una empresa para promocionar y
Figura 17. Resultados Activos – Proyecto A (Equipos 1 y 9).
vender productos de domótica, así como el diseño y desarrollo
de una aplicación móvil para la utilización de una lavadora de - Proyecto B (ver Figura 18): El Equipo 2 ha
acuerdo al paradigma IoT. También engloba la construcción identificado 7 activos, mientras que el Equipo 7 ha
del hardware y software necesario a incluir en la propia
293
identificado 9 activos y el Equipo 8 ha identificado 4 hora de identificar los activos de información de una
activos. compañía, que es algo de gran valor en el sector empresarial.
También de la comparación de los resultados se puede
extraer que no sólo los activos identificados son diferentes,
sino que también lo son las tipologías de los mismos.
Finalmente, desde el grupo de investigación GSyA se
analizará si parte del error puede consistir en la necesidad de
que los casos prácticos definidos deban acotarse mejor, con lo
que encontramos otra ventaja del uso de la herramienta y es
que permite identificar casos prácticos cuya descripción puede
ser confusa para los alumnos.
B. Valoración de los Controles

En este apartado analizaremos los resultados obtenidos por
Figura 18. Resultados Activos – Proyecto B (Equipos 2, 7 y 8). los alumnos a partir de la entrevista realizada con el profesor
sobre cada caso de estudio.
- Proyecto C (ver Figura 19): El Equipo 3 ha - Proyecto A (ver Figura 21): Los niveles de
identificado 7 activos mientras el Equipo 10 ha cumplimiento de los controles obtenidos por los dos
identificado 7 activos. Existe una concordancia del equipos son totalmente diferentes para el mismo caso.
100% entre los activos identificados por ambos
equipos de trabajo.
Figura 19. Resultados Activos – Proyecto C (Equipos 3 y 10).
- Proyecto D (ver Figura 20): El Equipo 5 ha

identificado 11 activos y el Equipo 6 ha identificado
8 activos.
Figura 20. Resultados Activos – Proyecto D (Equipos 5 y 6).
Como conclusión de este primer análisis podemos ver

cómo tan sólo en uno de los cuatro proyectos los alumnos han
coincidido a la hora de identificar los activos.
Este es un resultado de valor y que coincide con una
Figura 21. Resultados Controles – Proyecto A (Equipos 1 y 9).
percepción de la empresa Sicaman, que detectó previamente
que diferentes consultores sobre los mismos casos - Proyecto B (ver Figura 22): Los niveles de
identificaban activos diferentes. Por lo tanto, nos encontramos cumplimiento de los controles obtenidos por los dos
ante un problema que tienen los análisis de riesgos en la equipos son totalmente diferentes para el mismo caso.
actualidad en el mundo real y que hemos replicado en la
universidad, con lo que nos encontramos que la aplicación de
estos casos por parte de los alumnos nos puede ayudar a ir
aplicando técnicas que permitan reducir el grado de error a la
294
y se realizan de forma rápida como ha sido el caso de la

práctica, el entrevistador toma muchas decisiones que pueden
alterar los resultados.
Figura 23. Resultados Controles – Proyecto C (Equipos 3 y 10).
Figura 22. Resultados Controles – Proyecto B (Equipos 2, 7 y 8).
- Proyecto C (ver Figura 23): Los niveles de

cumplimiento de los controles obtenidos por los dos
equipos son diferentes para el mismo caso, aunque se
aproximan en más del 50%.
- Proyecto D (ver Figura 24): Los niveles de
cumplimiento de los controles obtenidos por los dos
equipos son totalmente diferentes para el mismo caso.
Como vemos, a partir del análisis de los resultados

podemos obtener algunas conclusiones claras:
- El proyecto C ha sido el que más similitudes ha
obtenido.
- El resto de proyectos han obtenido resultados
completamente diferentes de la entrevista.
Este resultado también coincide con otra de las Figura 24. Resultados Controles – Proyecto D (Equipos 5 y 6).
problemáticas identificadas en las empresas clientes de
Sicaman, y es que los resultados del nivel de cobertura de los De cara al año siguiente sería interesante analizar cómo
controles son diferentes dependiendo de la percepción del reducir ese grado de incertidumbre, haciendo que la entrevista
entrevistador. Además cuando las entrevistas no son detalladas
295
sea mucho más detallada o incluso partiendo de proyectos con

mucho más detalle respecto al nivel de cumplimiento de los
controles.
C. Valoración de las Amenazas

En este apartado analizaremos cómo han valorado los
alumnos las propiedades de “Probabilidad de Ocurrencia” y
“Probabilidad de Degradación” frente a una lista de amenazas
dadas.
- Proyecto A (ver Figura 25): La percepción de los dos Figura 27. Resultados Amenazas – Proyecto C (Equipos 3 y 10).
equipos del “Porcentaje de Ocurrencia” y del
“Porcentaje de Degradación” es totalmente diferente - Proyecto D (ver Figura 28): La percepción de los dos
para el mismo caso. equipos del “Porcentaje de Ocurrencia” y del
“Porcentaje de Degradación” es totalmente diferente
para el mismo caso.
Figura 25. Resultados Amenazas – Proyecto A (Equipos 1 y 9).
- Proyecto B (ver Figura 26): La percepción de los dos Figura 28. Resultados Amenazas – Proyecto D (Equipos 5 y 6).
equipos del “Porcentaje de Ocurrencia” y del
“Porcentaje de Degradación” es totalmente diferente Como podemos ver, y al igual que en los dos casos
para el mismo caso. anteriores, el Proyecto C ha sido el que ha obtenido resultados
más aproximados. Sin embargo, los demás equipos han
tomado decisiones totalmente diferentes para el mismo caso,
lo que altera el resto de resultados del análisis de riesgos.
D. Riesgos Obtenidos
En este último apartado analizaremos el mapa de riesgos
que se obtiene y que depende de las decisiones tomadas en
cada uno de los tres apartados anteriores.
- Proyecto A (ver Figura 29): Los niveles de riesgos

finales obtenidos por los dos equipos son totalmente
diferentes para el mismo caso, con niveles de riesgo
mucho más elevados en el segundo caso.
- Proyecto B (ver Figura 30): Los niveles de riesgos
finales obtenidos por los dos equipos son diferentes
para el mismo caso. Como podemos ver, el Equipo 2
no tiene riesgos relevantes mientras que en el Equipo
Figura 26. Resultados Amenazas – Proyecto B (Equipos 2, 7 y 8). 7 aparecen algunos. Aun así, ambos proyectos
obtienen riesgos contenidos dentro de un margen de
- Proyecto C (ver Figura 27): La percepción de los dos error aceptable. El resultado obtenido para el Equipo
equipos del “Porcentaje de Ocurrencia” y del 8 es totalmente diferente a los dos anteriores.
“Porcentaje de Degradación” es muy parecida, con
una proximidad del 75%.
296
- Proyecto C (ver Figura 31): Los niveles de riesgos

finales obtenidos por los dos equipos son diferentes
para el mismo caso, aunque se mantienen dentro de
un rango aceptable de diferencia, con un riesgo total
alrededor de 250 en ambos casos.
Figura 29. Resultados Mapa de Riesgos – Proyecto A (Equipos 1 y 9).
Figura 31. Resultados Mapa de Riesgos – Proyecto C (Equipos 3 y 10).
- Proyecto D (ver Figura 32): Los niveles de riesgos

finales obtenidos por los dos equipos son totalmente
diferentes para el mismo caso.
Figura 30. Resultados Mapa de Riesgos – Proyecto A (Equipos 2, 7 y 8). Figura 32. Resultados Mapa de Riesgos – Proyecto D (Equipos 5 y 6).
297
Como podemos ver, y al igual que en los casos anteriores, AGRADECIMIENTOS

el Proyecto C ha sido el que ha obtenido resultados más Esta investigación ha sido co-financiada por los proyectos
aproximados. Sin embargo, en los demás proyectos los SEQUOIA – Security and Quality in Processes with Big Data
equipos han tomado decisiones totalmente diferentes para el and Analytics (TIN2015-63502-C3-1-R) financiados por el
mismo caso, lo que altera el resto de resultados del análisis de “Ministerio de Economía y Competitividad y Fondo Europeo
riesgos, dando en algunos casos mapas de riesgos totalmente de Desarrollo Regional FEDER”, del proyecto ERAVAC
diferentes (Ej: Proyecto D). ISO25000 (13/16/IN/4/014) financiados por la ”Consejería de
Economía, Empresas y Empleo” y del proyecto “Plataformas
VIII. CONCLUSIONES Y TRABAJOS FUTUROS Computacionales de Entrenamiento, Experimentación,
La experiencia de haber abordado esta investigación ha Gestión y Mitigación de Ataques a la Ciberseguridad -
supuesto un esfuerzo muy importante para todos los Código: ESPE-2015-PIC-019” financiado por la ESPE y
participantes, tanto del sector público (profesores y CEDIA (Ecuador), y ha contado con la participación de la
universidad) como del privado (empresas asociadas). Se debe empresa Sicaman Nuevas Tecnologías (www.sicaman-nt.com)
destacar la buena disposición que todos los participantes del que ha permitido validar los resultados.
proyecto han mostrado en todo momento, aun cuando debían
compaginar el proyecto con otras actividades cotidianas como
la investigación y la docencia para la gente del sector público, Referencias
y las tareas de dirección, gestión, etc., en el caso de los
participantes del sector privado. Pero el esfuerzo realizado por [1] Sánchez, L.E., et al. SCMM-TOOL: Tool for computer automation
todos ellos ha merecido la pena, ya que va a permitirles of the Information Security Management Systems. in 2nd
ofrecer un mejor valor. International conference on Software and Data Technologies
(ICSOFT‘07). . 2007c. Barcelona-España Septiembre.
En el caso de las empresas, ha permitido utilizar una [2] Sánchez, L.E., et al. Practical Application of a Security
herramienta que ha sido testada en casos reales y validar que Management Maturity Model for SMEs Based on Predefined
las conclusiones y resultados obtenidos por los alumnos Schemas. in International Conference on Security and
Cryptography (SECRYPT’08). 2008. Porto–Portugal.
coincidían con los problemas que ellos también se estaban [3] Sánchez, L.E., et al. Security Management in corporative IT
encontrando en la empresa. systems using maturity models, taking as base ISO/IEC 17799. in
En el caso de la Universidad, el uso de la herramienta ha International Symposium on Frontiers in Availability, Reliability
permitido a los alumnos tener un acercamiento a casos reales y and Security (FARES’06) in conjunction with ARES. 2006. Viena
(Austria).
poder acceder a una herramienta que está siendo utilizada en el [4] Sánchez, L.E., et al. MMISS-SME Practical Development:
mundo empresarial. Además, ha supuesto el primer paso para Maturity Model for Information Systems Security Management in
contar con un laboratorio de investigación en el campo del SMEs. in 9th International Conference on Enterprise Information
Systems (WOSIS’07). 2007b. Funchal, Madeira (Portugal). June.
análisis de riesgos de seguridad dentro de la universidad, al [5] Sánchez, L.E., et al. Developing a model and a tool to manage the
verificar que los resultados obtenidos por los alumnos son information security in Small and Medium Enterprises. in
parecidos a los que se obtienen por las empresas consultoras, International Conference on Security and Cryptography
(SECRYPT’07). 2007a. Barcelona. Spain.: Junio.
cometiendo los mismos errores que ellos y por lo tanto [6] Sánchez, L.E., et al., Managing Security and its Maturity in Small
permitiendo que puedan ser verificadas las potenciales and Medium-sized Enterprises. J. UCS, 2009. 15(15): p. 3038-
mejoras. 3058.
[7] Santos-Olmo, A., et al., A Systematic Review of Methodologies
Otro de los aspectos importantes obtenidos es la capacidad and Models for the Analysis and Management of Associative and
de poder guardar y comparar los resultados de un año a otro, Hierarchical Risk in SMEs, in 9th International Workshop on
analizando cómo la práctica mejora y permitiendo ver la Security in Information Systems (WOSIS12) In conjunction with
11th International Conference on Enterprise Information Systems
evolución de los alumnos. (ICEIS12).2012: Wroclaw, Poland. p. 117 -124.
También debemos destacar que esta tan solo ha sido una [8] Parra, A.S.O., et al., Methodology for Dynamic Analysis and Risk
primera aproximación para utilizar el potencial de Management on ISO27001. IEEE Latin America Transactions,
eMARISMA, y que el objetivo es ir mejorando la práctica en 2016. 14(6): p. 2897-2911.
[9] Pereira, C., et al. The European Computer Science Project: A
años posteriores para utilizar todo el potencial de la Platform for Convergence of Learning and Teaching. in DLC&W
herramienta. 2006. 2006. Lisbon, Portugal: October 2006.
Uno de los objetivos perseguidos en los próximos años es [10] Forbes, N.M., P, Computer science today in the European Union.
Computing in Science & Engineering, 2002. 4(1): p. 10-14.
que eMARISMA sea adoptado por más universidades y así [11] ACM, Computer science curriculum 2008: An interim revision of
aprovechar su capacidad de compartir riesgos para crear una CS 2001, in Review Task Force, R.f.t. Interim, Editor 2008, ACM.
macro-práctica entre varias universidades. Esto permitiría a [12] Sahami, M., et al., Computer science curriculum 2013: reviewing
the strawman report from the ACM/IEEE-CS task force, in
los alumnos analizar cómo los riesgos de unos pueden afectar Proceedings of the 43rd ACM technical symposium on Computer
a activos asociados, creando una macro-red de riesgos Science Education2012, ACM: Raleigh, North Carolina, USA. p.
asociativos y jerárquicos aprovechando la potencialidad de la 3-4.
[13] Milosz, M., et al., COMPARISON OF EXISTING COMPUTING
herramienta a la hora de asociar y compartir activos. También CURRICULA AND THE NEW ACM-IEEE COMPUTING
permitiría aprovechar su capacidad para realizar análisis de CURRICULA 2013. EDULEARN14 Proceedings, 2014: p. 5808-
riesgos dinámicos y multi-patrón, que son funcionalidades que 5818.
[14] Martinez, J.E.P., J. Garcia Martin, and A.S. Alonso. Teamwork
han quedado fuera del alcance de la práctica actual. competence and academic motivation in computer science
298
engineering studies. in Global Engineering Education Conference David G. Rosado has an MSc and PhD. in Computer
(EDUCON), 2014 IEEE. 2014. Science from the University of Málaga (Spain) and from the
[15] CC2001, Computing Curricula 2001. Computer Science, University of Castilla-La Mancha (Spain), respectively. His
I.C.S.a.A.f.C. Machinery, Editor 2001. research activities are focused on security for Information
[16] SE2004, Curriculum Guidelines for Undergraduate Degree Systems and Cloud Computing. He has published several
Programs in Software Engineering, I.C.S.A.f.C. Machinery, Editor papers in national and international conferences on these
2004. subjects, and he is co-editor of a book and chapter books.
[17] CE2004, Curriculum Guidelines for Undergraduate Degree Author of several manuscripts in national and international journals
Programs in Computer Engineering, I.C.S.A.f.C. Machinery, (Information Software Technology, System Architecture, Network and
Editor 2004. Computer Applications, etc.). He is member of Program Committee of several
[18] Gorgone, J., et al., MSIS 2006: Model Curriculum and Guidelines conferences and workshops nationals and internationals such as ICEIS,
for Graduate Degree Programs in Information Systems. ICCGI, CISIS, SBP, IAS, SDM, SECRYPT, COSE and international journals
Communications of AIS, 2006. 38(2): p. 121-196. such as Internet Research, JNCA, KNOSYS, JKSU, and so on. He is a
[19] Lunt, B., et al., Curriculum Guidelines for Undergraduate Degree member of the GSyA research group of the Information Systems and
Programs in Information Technology, in Association for Technologies Department at the University of Castilla-La Mancha, in Ciudad
Computing Machinery (ACM), I.C. Society, Editor 2008. Real, Spain.
[20] Pyster, A., et al., Master’s Degrees in Software Engineering: An
Analysis of 28 University Programs. IEEE Software, 2009: p. 95- Luis Enrique Sánchez is PhD and MsC in Computer
101. Science and is an Professor at the Universidad of Castilla-
[21] Lago, P., et al. Towards a European Master Programme on Global la Mancha (Spain), MSc in Information Systems Audit
Software Engineering. in 20th Conference on Software from the Polytechnic University of Madrid, and Certified
Engineering Education & Training (CSEET'07). 2007. Information System Auditor by ISACA. He is the Director
[22] Rico, D. and H. Sayani. Use of Agile Methods in Software of Professional Services and R&D departments of the
Engineering Education. in Agile Conference, 2009. 2009. Chicago, company Sicaman Nuevas Tecnologías S.L. COIICLM
USA. board or committee member and responsible for the
[23] Lavrischeva, E.M. Classification of Software Engineering professional services committee. His research activities are management
Disciplines. in Kibernetika i Sistemnyi Analiz. 2008. security system, security metrics, data mining, data cleaning, and business
[24] Society, I.C., P. Bourque, and R.E. Fairley, Guide to the Software intelligence. He participates in the GSyA research group of the Department of
Engineering Body of Knowledge (SWEBOK(R)): Version Computer Science at the University of Castilla- LaMancha, in Ciudad Real
3.02014: IEEE Computer Society Press. 346. (Spain). He belongs to various professional and research associations
[25] Bourque, P. and R.E. Fairley, Guide to the software engineering (COIICLM, ATI, ASIA, ISACA, eSEC, INTECO, etc).
body of knowledge (SWEBOK (R)): Version 3.02014: IEEE
Computer Society Press. Antonio Santos-Olmo is MsC in in Computer Science
[26] Alarifi, A., et al., SECDEP: Software engineering curricula and is an Assistant Professor at the Escuela Superior de
development and evaluation process using SWEBOK. Information Informática of the Universidad de Castilla- La Mancha
and Software Technology, 2016. 74: p. 114-126. in Ciudad Real (Spain) (Computer Science Department,
[27] Samarthyam, G., et al., FOCUS: an adaptation of a SWEBOK- University of Castilla La Mancha, Ciudad Real, Spain),
based curriculum for industry requirements, in Proceedings of the MSc in Information Systems Audit from the Polytechnic
34th International Conference on Software Engineering2012, IEEE University of Madrid, and Certified Information System
Press: Zurich, Switzerland. p. 1215-1224. Auditor by ISACA. He is the Director of Software
[28] Alarcón, A., N. Martinez, and J. Sandoval, Use of Learning Factory departments of the company Sicaman Nuevas Tecnologías S.L. His
Strategies of SWEBOK© Guide Proposed Knowledge Areas, in research activities are management security system, security metrics, data
7th International Conference on Knowledge Management in mining, data cleaning, and business intelligence. He participates in the GSyA
Organizations: Service and Cloud Computing, L. Uden, et al., research group of the Department of Computer Science at the University of
Editors. 2013, Springer Berlin Heidelberg. p. 243-254. Castilla- LaMancha, in Ciudad Real (Spain). He belongs to various
[29] Lethbridge, T., et al. Improving software practice through professional and research associations (COIICLM, ATI, ASIA, ISACA,
education: Challenges and future trends. in Future of Software eSEC, INTECO, etc).
Engineering(FOSE'07). 2007.
[30] Thompson, J. Software Engineering Practice and Education An
International View. in SEESE’08. 2008. Leipzig, Germany. Ismael Caballero has an MSc and PhD in Computer
[31] Fairley, R.E.D., P. Bourque, and J. Keppler. The impact of Science from the Escuela Superior de Informa´tica of the
SWEBOK Version 3 on software engineering education and Castilla-La Mancha University in Ciudad Real. He actually
training. in Software Engineering Education and Training works as an assistant professor in the Department of
(CSEE&T), 2014 IEEE 27th Conference on. 2014. Information Systems and Technologiesat the University of
[32] García García, M.J. and L. Fernández Sanz, Opinión de los Castilla-La Mancha, and he has also been working in the
profesionales TIC acerca de la formación y las certificaciones R&D Department of Indra Sistemas since 2006. His
personales, in Certificaciones profesionales en las TIC2007, mayo- research interests are focused on information quality
junio 2007: Novática. p. 32-39. management, information quality in SOA, and Global Software Development.
[33] Seidman, S.B. Software Engineering Certification Schemes. in
Computer, 2008. 2008. Eduardo Fernández-Medina holds a PhD. and an MSc. in
[34] Willmer, D. Today's Most In-Demand Certifications. 2010 [cited Computer Science from the University of Sevilla. He is
2010 26 July 2010]. associate Professor at the Escuela Superior de Informática
[35] Sanchez, L.E., et al., ISMS Building for SMEs through the Reuse of the University of Castilla-La Mancha at Ciudad Real
of Knowledge. Small and Medium Enterprises: Concepts, (Spain), his research activity being in the field of security
Methodologies, Tools, and Applications, 2013: p. 394. in databases, datawarehouses, web services and
[36] Sánchez, L.E., et al. Building ISMS Through Knowledge Reuse. in information systems, and also in security metrics.
7th International Conference on Trust, Privacy & Security in Fernández-Medina is co-editor of several books and chapter books on these
Digital Business (TRUSTBUS'10). 2010. Bilbao, Spain. subjects, and has several dozens of papers in national and international
[37] V3, M., Methodology for Information Systems Risk Analysis and conferences (DEXA, CAISE, UML, ER, etc.). Author of several manuscripts
Management (MAGERIT version 3), 2012, Ministerio de in national and international journals (Information Software Technology,
Administraciones Públicas (Spain). Computers And Security, Information Systems Security, etc.), he is director of
the GSyA research group of the Information Systems and Technologies
He belongs to various professional and research associations (ATI, AEC, ISO,
IFIP WG11.3 etc.).
299
Capture the Flag for Computer Security Learning

William R. Marchand – Edwin Vega – José Santillan
Universidad Nacional Agraria de la Selva
william.marchand@unas.edu.pe – edwin.vega@unas.edu.pe – jose.santillan@unas.edu.pe
Abstract—This article is a preview of a project that informática, y explican también, que el factor de los recursos
includes learning method based on challenges and necesarios para implementar este tipo de método en la
problems, called Capture the Flag; which aims to improve
the skills and competencies of university students in enseñanza de seguridad informática suele ser una limitante
courses related to computer security. An application case importante, sobre todo en los referidos al estilo de ataque y
is presented with two groups, one of which uses the defensa, o interactivos.
Capture the Flag during Computer Security course, Este estudio se orienta a reforzar las habilidades técnicas en
resulting in an increase in the average grades and a seguridad informática aplicando conceptos de CtF en un
decrease in the percentage of disapproved. There was also
a positive perception of students who had experience with escenario donde los estudiantes o equipos ganadores de las
the Capture the Flag. The constraint identified is the competencias no sean los únicos promovidos o aprobados, sino
requirement of computational resources for the que aquellos que no logren culminar o ganar el CtF puedan ser
construction of this type of challenges, especially in those of considerados hasta los niveles alcanzados, incluyendo
attack-defense style. procedimientos, uso de herramientas, y aplicación de
Index Terms—CtF, security, learning, capture the flag, conceptos.
cybersecurity, computer security, network security, computer El alcance de este artículo incluye la presentación de un
hacking, education. ejemplo de aplicación de CtF, el resultado en términos de
calificaciones de dos grupos, de los cuales, uno de ellos tuvo
I. INTRODUCCIÓN clases con inclusión de CtF y el otro no; también se muestra el
resultado de una encuesta de percepción aplicado a los
E L proceso de aprendizaje a nivel universitario está
sufriendo cambios importantes, por ejemplo, la transición
del protagonismo del docente al estudiante, o en los enfoques
estudiantes que tuvieron experiencia con la inclusión de CtFs
en el proceso de aprendizaje del curso de Taller de Seguridad
del desarrollo de contenidos, de una orientación por objetivos Informática de la Escuela Profesional de Ingeniería en
a una por competencias, donde el estudiante debe desarrollar Informática y Sistemas de la UNAS.
las habilidades y capacidades necesarias para enfrentarse a las
II. CONCEPTOS PREVIOS
exigencias de la sociedad y del mercado laboral, y en este
caso, relacionado a la seguridad informática. El método propuesto está basado en los métodos de
En este proyecto, se aborda el aprendizaje de la seguridad aprendizaje basado en retos, aprendizaje basado en problemas,
informática en los cursos universitarios de pre grado de la y el enfoque de captura la bandera.
Universidad Nacional Agraria de la Selva (UNAS), de Tingo El objetivo de este método propuesto es promover el
María, Perú, considerando la aplicación de un enfoque basado aprendizaje de la seguridad informática desde la perspectiva de
en problemas y desafíos, denominado Capture the Flag (CtF) la seguridad ofensiva, con un enfoque en la competencia entre
o Captura la Bandera, motivando la competencia entre equipos grupos de estudiantes, poniendo a prueba el trabajo en equipo,
de estudiantes de una clase. Los escenarios son construidos de pensamiento lateral, capacidad de respuesta, y aplicación de
acuerdo al tema según el silabo del curso, y en la que conocimientos teóricos.
eventualmente deberán aplicar conocimientos previos y uso de Los métodos de aprendizaje en las que se basa la propuesta
herramientas para lograr el objetivo. se comentan a continuación.
Un aspecto interesante que destacar, es lo manifestado por A. Aprendizaje basado en problemas.
Gonzales-Tablas sobre las competencias interpersonales en la Este método tuvo orígenes en disciplinas de ciencias de la
educación superior, en la que se afirma que no es una salud, en las Facultades de Medicina en la Universidad de
tendencia muy utilizada en la actualidad, sin embargo, existen McMaster, Canadá, aproximadamente en la década de los años
argumentos que apoyan el uso de esta forma de enseñanza. 50. Entre las características principales de este método se
Aunque se destaca que la satisfacción por un modelo para pueden indicar: trabajo en equipo, interdisciplinariedad,
reforzar habilidades basado en concursos de múltiples premios aprendizaje en y para la comunidad; además de contemplar
es alta, aun se requieren mayores experimentos al respecto [1]. diversos enfoques metodológicos de pedagogía como, casos
En contraste, casos como los presentados por investigadores de basados en conferencia, clases basadas en casos, método del
la Universidad de California-USA [2], Universidad de Amrita - caso, investigación activa de problemas, y estudio reiterativo
India [3], Universidad de Birmingham-UK [4], Universidad de de problemas [7]. De los enfoques mencionados, la
Alaska Fairbanks-USA [5], y la Universidad Kagawa-Japón investigación activa de problemas es que se puede relacionar
[6], entre otros, manifiestan la creciente introducción en la con mayor grado con el método de Capture the Flag, en el
educación de los CtFs, principalmente en seguridad sentido que promueve que los estudiantes puedan integrar
300
William R. Marchand, Edwin Vega, José Santillan
conocimientos para solucionar problemas. Además, se extrae universitarios al finalizar el curso, sin embargo la edición
el enfoque orientado al estudiante como protagonista del 2016-2017 se hizo extensivo a equipos que no sean
proceso de aprendizaje y el docente como facilitador, necesariamente universitarios, lo que conllevó a algunos
promoviendo una cultura colaborativa, con formación de problemas de comportamiento de competidores, tal como lo
grupos de estudiantes que aborden un problema, estimulandose mencionan en su sitio web https://ictf.cs.ucsb.edu/. Esta
la investigación y busqueda de información sobre el problema competencia tiene matices de los estilos basados en desafíos e
[8] [9]. interactivos, de los cuales, un CtF interactivo tiene la limitante
de exigencia de recursos para su diseño, desarrollo y ejecución
B. Aprendizaje basado en retos
[2], y esto también se puede percibir en la cantidad de CtFs de
Este método aborda casos reales y abiertos, a diferencia del
este tipo, en el sitio web CTFTime.org, de las 110
enfoque de aprendizaje basado en problemas que presenta
competiciones del 2017, solo 11 son del tipo interactivo
casos que generalmente pueden ser ficticios. Asimismo, el
(ataque-defensa) [14].
aprendizaje basado en retos propuesto por el Instituto
Por lo tanto, un CtF consisten básicamente en lograr obtener
Tecnológico de Monterrey de México [10], está fundamentado
una bandera del oponente mientras se protege el territorio [15],
en el modelo desarrollado por Apple Challenge Based
o resolver un desafío o problema que, en el contexto de la
Learning, cuyas características principales es la búsqueda de
seguridad informática, la bandera puede ser un archivo, una
soluciones a problemas del mundo real, con trabajo
credencial, el acceso a un equipo, etc., que se obtiene de un
interdisciplinario y cooperativo [11]. Uno de los factores
grupo rival o de objetivos pre-diseñados.
importantes del modelo de Apple es la presentación y difusión
de las estrategias de solución a los desafíos planteados
haciendo uso de la tecnología.
III. CAPTURE THE FLAG APLICADO AL APRENDIZAJE DE
C. Capture the Flag (CtF) SEGURIDAD INFORMÁTICA
Este concepto tiene sus antecedentes en el entorno militar, En esta sección se muestra un ejemplo del uso del esquema
con un enfoque de juego entre equipos, rojo y azul; donde el de CtF para el aprendizaje de seguridad informática en cursos
equipo rojo se ocupa del ataque, y el equipo azul de la defensa. de pregrado universitario, tomando como caso de estudio el
El propósito de estos “juegos” era probar la fortaleza militar; curso de Taller de Seguridad Informática de la carrera de
así como poner a prueba instalaciones físicas críticas como Ingeniería en Informática y Sistemas de la Universidad
centros nucleares o centros tecnológicos [12]. Nacional Agraria de la Selva, durante el semestre 2017-1. La
En el campo de la tecnología, y especialmente en la particularidad de la propuesta es que, es aplicada durante todo
informática, se puede afirmar que el contexto de la seguridad el periodo lectivo en la que se desarrolla el curso, vale decir
informática se identifican equipos rojos y azules como roles en durante 17 semanas.
un escenario no necesariamente de un “juego”; sino, en una Por cada tema de unidad según el silabo formulado, se
realidad de constantes ataques informáticos llevados a cabo construye al menos un CfF de estilo jeopardy o basado en
por cibercriminales y los defensores de los sistemas (redes, desafíos, que permita medir el grado de aprendizaje de los
aplicaciones, infraestructuras de TI en general) asumidos por fundamente teóricos referidos a seguridad, incluido el uso de
los administradores de sistemas de TI. herramientas necesarias para afrontar el CtF.
A partir del antecedente mencionado, el concepto de Capture Como ejemplo, se considera el tema de sistemas de cifrado y
the Flag fue generalizándose en diferentes niveles de las firma digital desarrollado generalmente en la tercera unidad
actividades tecnológicas y de entretenimiento (juegos del curso. Se realiza la explicación teórica, el uso de GNU
infantiles, películas, juegos informáticos, etc.), es utilizado en Privacy Guard (GPG) como aplicación, además de
diferentes entornos, siendo uno de ellos la seguridad herramientas complementarias como el uso de una herramienta
informática. Actualmente se pueden distinguir dos formas de de escaneo de red como nmap y el framework Metasploit para
CtF, las basadas en desafíos, y las interactivas [13]. Aunque pruebas de explotación; finalmente se plantea un CtF basado
para el profesor Vigna de la Universidad de California en en la topología mostrada en la Fig. 1.
Santa Bárbara, fundador de la competencia iCTF, afirma que El objetivo final del CtF es ubicar y descifrar el archivo
un CtF propiamente dicho es de tipo interactivo, donde los bandera almacenado en el SVR02 (servidor de archivos); para
equipos en competencia deben defender y atacar, sin embargo, ello cada equipo, en primer lugar, deberá competir por
en el sitio web CTFTime.org se presentan como CtF ambos localizar y descargar la clave pública utilizada para firmar y
tipos de estilos, siendo la competencia basada en desafíos cifrar el archivo bandera, además de seguir las pistas que se
conocida también como tipo jeopardy, en la que no existe encuentran en el servidor SVR01 (servidor web),
necesariamente la interacción directa con otros equipos [14]. constituyéndose en la primera bandera. Para lograr ubicar el
Generalmente, en la actualidad un CtF es conocido como tal, archivo en SVR01, lo primero que deberá realizar el
tanto si es del tipo basado en desafíos como el interactivo. competidor es aprovechar una vulnerabilidad de aplicaciones
Uno de los casos interesantes relacionado a la enseñanza web, en este caso, SQL Injection (SQLi) para autenticarse en la
universitaria de la seguridad informática, es el desarrollado en aplicación y buscar dentro de una sección con archivos
la Universidad de California, que desde el año 2003 ha ido descargables, el archivo con la clave pública necesaria para
ofreciendo anualmente la competencia para equipos
301
descifrar la bandera del SVR02, y las pistas para llegar al Es importante resaltar que, el grupo que recibió la aplicación
equipo final. de CtFs para el proceso de aprendizaje del curso de Taller de
Seguridad Informática del semestre 2017-1, expresó su
percepción de satisfacción mediante una encuesta, cuyos
resultados se presentan en la Tabla II. Respecto al tiempo para
resolver un CtF, solo el 64.3% está de acuerdo con el tiempo
para resolverlo, y se cree que es debido a la dinámica
requerida de coordinación de equipo, búsqueda de información
y la posible complejidad del desafío a resolver, lo cual nos
indica que es necesario evaluar la formulación de los CtFs,
considerando escenarios menos complejos o con menos
cantidad de banderas a capturar, siendo puntuales en la
temática para ser abordados por un espacio de 120 minutos
aproximadamente.
TABLA II
RESULTADOS DE ENCUESTA DE PERCEPCIÓN DE SATISFACCIÓN
Fig. 1. Topología para CtF de firma digital y cifrado.
Ni en
En De
Ítem desacuerdo,
desacuerdo acuerdo
ni de acuerdo
La segunda fase del CtF es encontrar el archivo bandera El método CtF utilizado en
clase, es eficiente para
final; y para tal propósito las pistas encontradas en el SVR01 asimilar los conceptos 0% 7.1% 92.9%
son importantes, entre ellas, el rango de direcciones IP donde teóricos de seguridad
se ubica el SVR02, sistema operativo, posibles protocolos informática.
Utilizar el método CtF, me
vulnerables, y exploits posibles. Para el ejemplo, el protocolo motiva en el proceso de
vulnerable es un servicio FTP bajo Windows (PCMAN FTP aprendizaje del curso de 0% 14.3% 85.7%
Server 2.0.7), cuyo exploit puede descargarse del sitio web Taller de Seguridad
Exploit Database. El equipo competidor deberá descargar en Informática.
Con los desafíos propuesto,
la terminal del grupo el archivo bandera final cifrado, verificar aplico conocimientos
la firma, identificar al emisor, y finalmente descifrar el previos como redes,
archivo, que para el caso es una imagen. protocolos, servidores,
0% 14.3% 85.7%
direccionamiento, etc. que
Para llevar a cabo estas tareas, se deben aplicar me ayuda a consolidar el
conocimientos previos como, puertos y protocolos de capa de aprendizaje en Seguridad
transporte y aplicación, vulnerabilidades de aplicaciones web, Informática.
El tiempo para resolver un
lenguaje SQL, direccionamiento IPv4, función de un exploit, 14.3% 21.4% 64.3%
CtF es adecuado.
concepto de payload en un proceso de ataque con exploits,
entre otros temas relacionados.
De esta forma se construyen los desafíos para cada unidad Como parte de los trabajos futuros, está pendiente el proceso
definida en el curso, pero como se menciona en el ejemplo, es de validación del método, para verificar la influencia
necesario en la mayoría de ellos la aplicación de significativa y directa en el aprendizaje, interés y desarrollo de
conocimientos previamente adquiridos, y que no las capacidades y habilidades de los futuros profesionales de
necesariamente son parte del curso es si mismo, sino que informática en temas de seguridad.
debieron ser abordados en cursos anteriores.
En la Tabla I, se puede observar los resultados obtenidos con IV. CONCLUSIONES
la aplicación de CtF en el grupo de estudiantes del semestre De acuerdo con los resultados de la comparación de grupos,
2017-1, en comparación con el grupo del semestre 2016-2, se observa un incremento en el promedio de calificación y una
quienes no recibieron la aplicación de CtFs en el desarrollo del disminución en el porcentaje de desaprobados para el grupo en
curso. Estos primeros resultados suponen una mejora en el el que se utilizó CtFs respecto al grupo que no recibió este tipo
rendimiento de los estudiantes y sus calificaciones; aunque método. Asimismo, las encuestas de percepción de satisfacción
puede ser prematuro afirmar que es 100% debido al uso de los aplicado a los estudiantes que tuvieron la experiencia de los
CtFs, puesto que no son las únicas evaluaciones durante el CtFs en estos primeros avances del proyecto, muestran un
proceso de aprendizaje del curso, que para este experimento no impacto positivo, lo que indica en principio, que es un método
fueron considerados. efectivo para afianzar las capacidades y habilidades en temas
TABLA I relacionados a la seguridad informática, promoviendo el
RESULTADOS DE LOS DOS GRUPOS DE COMPARACIÓN trabajo en equipo, la colaboración y la competencia, sin
Semestre Cantidad de Porcentaje de Calificación
embargo, es necesario realizar más experimentos.
alumnos desaprobados promedio
Un factor importante para la eficacia del método es la
disponibilidad de recursos computacionales que permitan
2016-2 15 53% 9.9
2017-1 14 38% 11.8
302
William R. Marchand, Edwin Vega, José Santillan
construir los escenarios adecuados en complejidad y cantidad

para cada CtF, sobre todo para aquellos que son del estilo Edwin Vega Ingeniero en Informática y
ataque y defensa. Sistemas de la Universidad Nacional
Agraria de la Selva. Profesor auxiliar en
REFERENCIAS la UNAS, con mas de 10 años de
[1] A. I. González-tablas, J. M. De Fuentes, and J. L. Hernández-ardieta, experiencia. Miembro IEEE. Coordinador
“Leveraging Quiz-based Multiple-prize Web Tournaments for del área de gestión de soluciones de TI
Reinforcing Routine Mathematical Skills,” Educ. Technol. Soc., vol. 16, del Centro de Tecnologías de la
no. 3, pp. 28–43, 2013.
[2] N. Childers, B. Boe, L. Cavallaro, L. Cavedon, M. Egele, and G. Vigna,
Información y Comunicación de la UNAS.
“Organizing Large Scale Hacking Competitions,” in Proceedings of the
Conference on Detection of Intrusions and Malware and Vulnerability José Santillan Ingeniero en Informática y
Assessment (DIMVA), 2010. Sistemas de la Universidad Nacional
[3] K. Boopathi, S. Sreejith, and A. Bithin, “Learning Cyber Security Agraria de la Selva. Profesor auxiliar en la
Through Gamificatio,” Indian J. Sci. Technol., vol. 8, no. 7, pp. 642–
649, 2015.
UNAS, con mas de 5 años de experiencia.
[4] T. Chothia and C. Novakovic, “An Offline Capture The Flag-Style Miembro IEEE. Coordinador del área de
Virtual Machine and an Assessment of its Value for Cybersecurity gestión de la red corporativa en el Centro
Education,” in Usenix Summit on Gaming, Games, and Gamification in de Tecnologías de la Información y
Security Education (3GSE 15), 2015.
[5] L. McDaniel, E. Talvi, and B. Hay, “Capture the flag as cyber security
Comunicación de la UNAS.
introduction,” Proc. Annu. Hawaii Int. Conf. Syst. Sci., vol. 2016–
March, pp. 5479–5486, 2016.
[6] M. Nakaya, T. Abe, and H. Tominaga, “Implementation and Trial
Practices for Hacking Competition CTF as Introductory Educational
Experience for Information Literacy and Security Learning,” in Fifth
International Conference on Informatics and Applications, 2016, no. 1,
pp. 57–62.
[7] A. Morral et al., “Aprendizaje basado en problemas,” Rev. Fisioter.,
vol. 1, no. 1, 2002.
[8] P. Morales and V. Landa, “Aprendizaje Basado En Problemas,”
Theoria, vol. 13, no. 1, pp. 145–157, 2004.
[9] C. E. Calvopiña and S. A. Bassante, “Aprendizaje basado en problemas.
Un análisis crítico,” Rev. Publicando, vol. 3, no. 9, pp. 341–350, 2016.
[10] Instituto Tecnologico de Monterrey, Aprendizaje basado en Retos, 1st
ed. Mexico: Editorial Instituto Tecnológico y de Estudios Superiores de
Monterrey, 2016.
[11] Apple, “Challenge Based Learning. A Classroom Guide,” 2010.
[12] R. Mejia, “Red team, blue team How to run an effective simulation,”
NetworkWorld from IDG, 2017. [Online]. Available:
https://www.networkworld.com/article/2278686/lan-wan/red-team--
blue-team--how-to-run-an-effective-simulation.html. [Accessed: 25-
Aug-2017].
[13] G. Vigna et al., “Ten Years of iCTF : The Good , The Bad , and The
Ugly,” in USENIX Summit on Gaming, Games and Gamification in
Security Education (3GSE), 2014.
[14] “CTFTime,” 2017. [Online]. Available: https://ctftime.org/. [Accessed:
25-Aug-2017].
[15] H. Huang, J. Ding, W. Zhang, and C. J. Tomlin, “A Differential Game
Approach to Planning in Adversarial Scenarios : A Case Study on
Capture-the-Flag,” in In Robotics and Automation (ICRA), 2011 IEEE
International Conference on, 2011, pp. 1451–1456.
William Marchand Ingeniero de

Sistemas otorgado por la Universidad
Nacional del Centro del Perú, con
maestría en Dirección Estratégica de TI
de la Universidad de Piura, con 16 años
de experiencia académica en UNAS,
UDH, UPLA. Desde el año 2004 es
profesor asociado en la UNAS. Ha impartido más de 90 curso
de pregrado en diferentes universidades. Instructor CISCO por
10 años. Posee múltiples certificaciones de la Industria como
PMP, ITIL Foundation, CCNA, MTA. Director del Centro de
Tecnologías de Información y Comunicación de la
Universidad Nacional Agraria de la Selva. Miembro Senior de
la IEEE.
303
Challenges and proposals on information

security education
Federico G. Pacheco, Universidad Tecnológica Nacional
federico.pacheco@gmail.com
 de ellas, desde una perspectiva educativa. Este enfoque ha sido
Abstract- This work analyzes the different challenges and tomado históricamente solo desde lo defensivo, que es un
difficulties that arise when addressing the teaching of information terreno más fértil en el ámbito académico, tanto para ser
security at different levels of education, based on a classification estudiado, como para ser investigado, y por ende también
proposal that defines different dimensions of analysis for its
enseñado. No obstante, se ha planteado numerosas veces la idea
approach. In addition, proposals are stated to facilitate the
development of educational processes related to the subject, and de complementar la visión de la educación en seguridad,
suggestions are made as potential solutions to the limitations that presentando como contraste la temática en términos
appear in teaching practice. Finally, a case of analysis is presented, ofensivos[2].
which incorporates the concepts exposed, applied to the creation
of a teaching program, implemented in an argentinian national A. Seguridad defensiva
university.
En seguridad defensiva se suele asumir que existe un factor
Index Terms— Keywords Information Security Education,
de riesgo que podrá ser cualquier sujeto (considerado como
Educational challenges, Educational proposals. entidad activa) que tenga cierta probabilidad de producir un
evento que afecte negativamente a los activos de información.
I. INTRODUCCIÓN
Esto hace que se tomen medidas de diferente tipo (físicas,
Cada temática cuenta con su propia dificultad intrínseca a la lógicas y administrativas) orientadas a reducir, mitigar, o
hora de ser enseñada en contextos educativos, diferenciándose transferir dichos riesgos. En efecto, la seguridad de la
esta dificultad, de la existente en el tema en sí mismo. En este información puede ser interpretada en su totalidad, como la
sentido, y sin ánimo de presentar una taxonomía estricta, ni de propia gestión de riesgos[3]. Las tareas defensivas están
ahondar en variantes más específicas, podemos mencionar presentes en todo momento de las operaciones de una
distintas clasificaciones analizables para los conocimientos en organización, considerándose en principio, que las decisiones
seguridad de la información, como ser: en materia de seguridad defensiva son adecuadas mientras el
 Seguridad defensiva y ofensiva. sistema (en su concepción más amplia) permanezca en
 Seguridad técnica y no técnica. equilibrio. La seguridad defensiva se basa en estándares y
 Seguridad teórica y práctica. normativas bien conocidos, fundamentados en conjuntos de
buenas prácticas, que no sufren cambios bruscos a lo largo del
A la vez, cualesquiera de estas variantes pueden combinarse tiempo, sino que son más bien graduales, según el mercado y el
para generar enfoques puntuales, como ser "seguridad negocio lo requieren. Podemos afirmar a partir de las
defensiva, técnica y práctica", "seguridad ofensiva, no técnica observaciones del funcionamiento de las empresas, y las
y teórica", etcétera. Cada una de estas dimensiones trae búsquedas laborales en redes de empleos, que la gran mayoría
aparejado un desafío específico en la manera de ser enseñado, de las actividades operacionales de una organización están
por lo que no es suficiente con tener un enfoque único a la hora abarcadas bajo esta dimensión.
de pensar en términos educativos. A esto debe sumarse la
existencia de una dinámica específica que se presenta en los En esta dimensión, el desafío principal en educación es
cursos relacionados con la seguridad de la información, que proveer un modelo con la mayor amplitud posible, que permita
ciertamente ha sido analizada y estudiada en el pasado[1]. comprender las temáticas de extremo a extremo, aunque no
necesariamente conocerlas en profundidad en una primera
instancia de análisis. Esto implica entender todos los aspectos
I. SEGURIDAD DEFENSIVA Y OFENSIVA
de seguridad que se presentan en las organizaciones, que en
En esta primera clasificación, encontramos que la seguridad muchos ámbitos se los conoce con el nombre de "dominios". Es
puede pensarse desde las actividades cotidianas y operativas de decir que el estudio de la seguridad defensiva abarca el
una organización (defensiva) y desde la realización de conocimiento de todos los aspectos que conforman las
evaluaciones con ciertas características, que buscan hallar las principales actividades operativas (cotidianas), tácticas (de
vulnerabilidades en la misma, a distintos niveles (ofensiva). Se mediano plazo) y estratégicas (de largo plazo). La
detallan a continuación los aspectos fundamentales de cada una particularidad de este desafío es justamente la gran cantidad de
304
Federico G. Pacheco
temas abarcados, que además por ser muchos de ellos de metodología, como lo pueden ser los sesgos de confirmación, y
naturaleza diferente entre sí, se dificulta su comprensión en la posibilidad de generalización[5].
entornos estudiantiles con perfiles heterogéneos. Por ejemplo,
considerando algunos dominios tales como: legislación y - Evaluación según aplicación de criterios: si bien los
normativas, sistemas de control de acceso, continuidad del formatos de evaluación deberían ser estudiados
negocio, o telecomunicaciones, puede estimarse que, específicamente. Se han obtenido buenos resultados al utilizar
dependiendo del área de conocimiento previo del estudiante, sistemas no basados en la simple retención de información, sino
contará con mayor o menor facilidad para el entendimiento de en la aplicación de criterios que se hayan formado durante el
los mismos, según su afinidad. Otro desafío importante es el dictado de las clases, de forma progresiva, sistemática, y de
orden en el que se presenta tal cantidad de temas. Un enfoque a complejidad gradual. Para esto puede utilizarse la evaluación
este respecto es tomar en cuenta el orden en que se presentan en del tipo opción múltiple (multiple choice) que puede ser
los estándares o normas de referencia, como ser ISO 27.000, altamente efectiva si cada pregunta está correctamente
que ya cuenta en sí con un criterio de presentación, aunque no desarrollada, aunque pueden llevar a resultados poco
necesariamente dicho orden es adecuado a los fines didácticos. representativos si son administrados o redactados de forma
Otro de los enfoques es el de tomar el orden propuesto por el inapropiada[6].
común de la bibliografía, teniendo en cuenta los textos de
mayor importancia en la industria. B. Seguridad Ofensiva
En la dimensión de la seguridad ofensiva se encuentra un
Los aspectos más sólidos de la dimensión defensiva a nivel enfoque diametralmente opuesto al anterior, que se diferencia
educativo, radican en que los cambios graduales permiten por distintas causas. Primeramente, porque las actividades
realizar ajustes progresivos en los programas, y además con ese abordadas en este aspecto no se realizan por lo general de
ritmo, los docentes pueden permanecer actualizados con mayor manera continua, sino con cierta periodicidad, en el mejor de
facilidad en relación a los nuevos conocimientos producidos en los casos, aunque las tendencias actuales indican que en el
el ámbito. futuro sí se realizarán de manera continua. Es importante
mencionar que no debe caerse en la confusión de creer que la
Propuestas seguridad ofensiva equivale de forma directa a las evaluaciones
Algunas de las propuestas específicas para abordar la seguridad de seguridad, ya que incluso éstas últimas pueden realizarse de
defensiva a nivel educativo son las siguientes: forma no ofensiva, según el modelo de análisis aplicado. Los
modelos de seguridad ofensiva se clasifican normalmente como
- Role playing: realizar actividades donde se simulen roles y de caja negra, gris y blanca, según sea el conocimiento de cada
se propongan interacciones y situaciones en las que deben una de las partes (la evaluadora y la evaluada) y a la vez cuentan
tomarse decisiones en escenarios que vayan de menor a mayor con otras variables que permiten categorizarlos. En la seguridad
complejidad, pasando por situaciones sencillas y evidentes, y ofensiva, en particular, suele tomarse principalmente un
llegando hasta aquellas que presenten conflictos de intereses, e enfoque de caja negra, en el cual se desconocen por parte del
involucren diversas áreas y personas. Las actividades de evaluador los detalles específicos del sistema a ser estudiado
asignación de roles conforman una de las técnicas más (sea éste un sistema informático, un proceso o procedimiento, o
eficientes que se han probado en la práctica docente, y permiten un elemento físico) lo que permite que la evaluación se asemeje
adoptar puntos de vista que combina el rol en sí, con la propia lo máximo posible a lo que ocurriría si una acción semejante
personalidad y capacidades, pero requieren para ser efectivas fuera ejercida por un potencial atacante. Pero la diferencia más
requieren el verdadero involucramiento por parte de los importante con otro tipo de evaluaciones, es que las pruebas que
estudiantes[4]. Este tipo de ejercicios puede realizarse entre se ejecutan, no suelen ser conocidas a priori con detalle por la
individuos o entre grupos, haciendo foco en la aplicación de parte que es evaluada, quedando el evaluador en una situación
conceptos para su resolución. de evidente ventaja, tal como ocurriría también en un escenario
real.
- Análisis de casos: tomar casos conocidos de la industria es
una de las propuestas más robustas desde el punto de vista El principal desafío en esta dimensión es que, para
educativo, considerando que es uno de los modelos utilizados desarrollar actividades de seguridad ofensiva, se debe contar
en las escuelas de negocios desde hace décadas. Para el caso, con un tipo de manera de pensar muy particular, que con
deben lograrse armar casos reales, que normalmente requerirán frecuencia es reconocida como "mentalidad hacker"[7]. Esta
aprobación de la organización correspondiente antes de poder mentalidad suele contar de forma combinada con una alta dosis
exponerse, pero que pueden servirle a la vez para lograr de curiosidad, un alto nivel de conocimiento en diversas áreas,
visibilidad entre los estudiantes y profesionales. y una alta capacidad de persistencia y creatividad aplicada.
Adicionalmente, pueden utilizarse casos públicamente Dadas las características de las cualidades antedichas, se
conocidos, donde los detalles se pueden encontrar de fuentes de adiciona una dificultad desde el punto de vista educativo que es
información abiertas. Para el desarrollo, selección y aplicación la de que sea posible enseñar tales cualidades, y sobre lo cual
de casos de estudio, deben considerarse una preparación no se ha llegado a un acuerdo unánime. Adicionalmente,
detallada que evite algunas de las debilidades del uso de dicha durante los últimos años se ha notado un aumento de la
305
necesidad de introducir el enfoque ofensivo en la enseñanza que

tiene como última instancia, la protección[8]. A. Seguridad técnica
Si bien puede considerarse como técnico a cualquier
Propuestas: conjunto de conocimientos específicos sobre una temática, en
Algunas de las propuestas específicas para abordar la seguridad este caso hace referencia a la tecnología, por lo que lo
ofensiva a nivel educativo son las siguientes: consideraremos en ese sentido. El aspecto técnico de la
seguridad se caracteriza por construirse sus conceptos de forma
- Fomentar el pensamiento lateral: los profesionales de la mayormente piramidal, lo que implica que se requiere de una
seguridad ofensiva se ven beneficiados por las maneras base sólida de para crear el siguiente nivel de conocimientos,
alternativas de pensar, que los llevan a encontrar posibles muchos de los cuales no son específicamente de seguridad, sino
modos de vulnerar sistemas y acceder a recursos que no fueron también de tecnología. Es decir que, por ejemplo, para entender
previstos para ser utilizados de dicha manera. Este tipo de los conceptos de seguridad en redes de datos, debe conocerse
pensamiento puede fomentarse mediante la realización de primero lo relacionado a las redes de datos en sí, y lo mismo
ejercicios que estimulen la creatividad, y permitan tomar para entender la seguridad en los sistemas operativos, o en
perspectiva de las situaciones específicas sobre las que se cualquier aspecto. Esto ubica la seguridad "en la punta de un
trabaja normalmente. Esta forma de pensar, normalmente iceberg" que requiere de una gran cantidad de elementos
llamada “fuera de la caja” puede proveer ventajas competitivas previos que deben no solo conocerse meramente como datos
en el mercado laboral, a cualquier profesional de la seguridad aislados, sino además tenerse mayormente asimilados. Si bien
ofensiva. Además, el pensamiento lateral está siendo cada vez esto se da también en otras categorías clasificatorias de la
más estudiado en ámbitos académicos en su aplicación seguridad, y puede encontrarse en el enfoque teórico, defensivo,
específica a disciplinas relacionadas con la seguridad y demás, lo cierto es que en el aspecto técnico esto se produce
ofensiva[9]. de forma más marcada, en tanto que la falta de un determinado
conocimiento puede evitar la comprensión de otro.
- Presentar situaciones y problemas que pueden ser encarados
de múltiples maneras: la mayoría de los problemas pueden ser El principal desafío en esta dimensión es que el avance de la
encarados mediante múltiples enfoques de solución. Aunque al tecnología se produce de manera muy acelerada, haciendo que
principio resulta dificultoso abandonar la forma típica en que se torne muy dificultoso adquirir los nuevos conocimientos para
las personas tienden a pensar para resolver problemas, es mantenerse actualizado en cada aspecto necesario. Esto se pone
posible crear la conciencia de que no existe una única manera. de manifiesto aún más cuando se trata de seguridad técnica
Esto ocurre de forma natural cuando distintos estudiantes ofensiva, ya que prácticamente cada día o cada algunos pocos
plantean soluciones válidas para un mismo problema, lo que días, surgen nuevas técnicas, herramientas, y aplicaciones, y el
lleva al resto a pensar que a cualquier otro podría también evaluador debe conocerlas aunque no necesariamente el
habérsele ocurrido, aceptando así que a ellos mismos podrían evaluado. Esta situación define una limitación muy clara en
ocurrírseles. Se ha encontrado que es de gran ayuda suponer la cuanto a lo educativo, ya que se vuelve muy dificultoso
forma en que pensaría un atacante, y tratar de mantener su mantenerse al día.
misma forma de pensar.
Propuestas
- Pensar en términos de resultados específicos: la mentalidad Algunas de las propuestas específicas para abordar la seguridad
de seguridad ofensiva también puede desarrollarse técnica a nivel educativo son las siguientes:
proponiéndose objetivos puntuales, sin aclarar la manera de
conseguirlos, para que el desafío esté en saber utilizar las - Desarrollo de las bases: esto es, la construcción de
técnicas o herramientas adecuadas para cada ocasión. Dado que fundamentos sólidos que permitan la comprensión de temas de
la cantidad de recursos disponibles (conocimientos, técnicas, un nivel superior con mayor facilidad. Para esto deben
herramientas, etcétera) es muy grande, lo más importante pasa considerarse las brechas individuales a cubrir, que deberán ser
a ser el saber encontrar el adecuado. consideradas del lado del estudiante, como parte de su propio
trabajo de comprensión de los temas. Esta situación pone de
manifiesto, en algunos casos, que existen más temas
II. SEGURIDAD TÉCNICA Y NO TÉCNICA
desconocidos de los que el estudiante consideraba para sí
En la segunda categoría propuesta, encontramos por un lado mismo, por lo que este punto debe ser especialmente
las actividades que incluyen mayormente conocimientos sobre considerado.
tecnología, computación, e informática en general (técnica) y
por el otro aquellas que se relacionan más con el factor humano, - Inclusión de pre requisitos: se recomienda que, a la hora de
el entorno físico y ambiental, y los procesos (no técnica). Cada tomar cursos con alto contenido técnico, o que requieren
una de ellas tiene sus particularidades a la hora de ser encarada fundamentos técnicos sólidos para la construcción de nuevos
en el terreno educativo, y en efecto, han sido abordadas como conocimientos, se considere algún tipo de validación de
una dimensión de particular importancia a la hora de desarrollar conocimientos, ya sea en modo de entrevistas personales, como
temarios para cursos de seguridad de la información[10]. de algún tipo de autoevaluación. De esta manera se puede lograr
306
Federico G. Pacheco
que las personas eviten situaciones de frustración posterior, así

como también puedan evitar la aparición de expectativas Propuestas
inadecuadas. Algunas de las propuestas específicas para abordar la seguridad
no técnica a nivel educativo son las siguientes:
- Actualización grupal mediante lectura y análisis de noticias
de actualidad y publicaciones relacionadas. Esta sencilla - Relatos y anécdotas. Para ejemplificar el aspecto humano,
metodología permite que se despliegue la aplicación de se sugiere utilizar las anécdotas y el "storytelling" a fin de
conceptos técnicos en situaciones del mundo real, así como transmitir ideas de situaciones típicas. De hecho, no es
también fomentar el pensamiento crítico y las cuestiones éticas necesario que los hechos coincidan por completo con la
en cuanto al uso de la tecnología. Adicionalmente, esto ayuda a realidad, ya que pueden existir detalles que no se puedan
mejorar la interacción grupal y ofrece la posibilidad de comunicar por cuestiones de confidencialidad o privacidad,
establecer una dinámica de aprendizaje menos ortodoxa. pero sí deben reflejar aquello que se pretenda manifestar como
ejemplo, y que pueda llevar a conclusiones de interés. Esta
- Acceso a material de apoyo actualizado: la posibilidad de técnica es de gran interés en el mundo educativo, dado que
proveer material adicional en lugar de recomendar directamente promueve el pensamiento crítico y la comprensión de
bibliografía, permite que se facilite el acceso a los contenidos de una forma personalizada[12].
conocimientos faltantes en caso de ser necesario. También
ayuda la provisión de cierto tipo de material de terceros, o - Recorridos físicos. Para tratar el aspecto físico de la
especialmente diseñado, como puede ser: resúmenes, hojas de seguridad, se sugiere llevar a los estudiantes a recorrer entornos
trucos (cheat sheets) e infografías, los cuales facilitan la lectura en los cuales se puedan encontrar los elementos, medidas de
y comprensión de muchos temas. protección, y todo lo relacionado con los temas en cuestión.
Adicionalmente, se recomienda llevar al aula o entorno de
B. Seguridad no técnica clase, todo aquello que pueda ser mostrado, para complementar
En el terreno no técnico es posible identificar al menos tres la experiencia de aprendizaje. En caso de que sea dificultoso
aspectos: humano, físico y administrativo. El aspecto humano ejemplificar de forma directa los temas físicos, se recomienda
es fundamental en el campo de la seguridad de la información, contar con videos, fotografías, o animaciones, de situaciones,
dado que se considera a la persona como el eslabón más débil entornos, y dispositivos reales. Esto requiere realizar
de la cadena de la seguridad, y por el cual se introduce la mayor previamente una selección minuciosa del material audiovisual,
cantidad de riesgos. Esto hace que se incluya el desafío de tener ya que los contenidos que pueden encontrarse en Internet no
que transmitir conceptos relacionados más a las habilidades siempre logran capturar lo que se pretende transmitir en un aula.
blandas que a las duras, lo que puede ser un inconveniente no
menor en entornos donde el perfil principal del estudiante sea - Documentación. En cuanto a la seguridad administrativa, es
técnico. Además, es fundamental considerar los preconceptos de gran ayuda mostrar numerosos ejemplos de documentos de
culturales y sociales con los que cada estudiante llega a un curso distintos tipos, como ser de políticas de seguridad, acuerdos de
de seguridad, cuyas diferencias pueden ser incluso más confidencialidad, informes de análisis de riesgos, planes de
pronunciadas en los países en vías de desarrollo[11]. contingencia, estándares técnicos, instructivos, y demás. Esto
incluye la consideración de los temas de privacidad y
En cuanto al aspecto de la seguridad física, se tiene la ventaja confidencialidad que puedan impactar al material, por lo que
de ser el tipo que más comúnmente está acostumbrada a debe poder garantizarse su validez para ser comunicado y/o
experimentar una persona en sus entornos cotidianos, lo cual es distribuido. Adicionalmente, debe evitarse el simple envío de
un enorme beneficio en términos de ejemplos y construcción de este tipo de material, sino que es más recomendable su revisión
conceptos. No obstante, también se tiene la dificultad de que no grupal mediante un recorrido del mismo.
es posible en la mayor parte de los casos, mostrar en vivo lo que
se está explicando, ya que el entorno de aprendizaje suele ser
III. SEGURIDAD TEÓRICA Y PRÁCTICA
un aula tradicional.
Esta clasificación, que podría considerarse transversal a
En cuanto al aspecto administrativo, representado en la cualquiera de las anteriores, implica uno de los aspectos más
estructura normativa, las políticas, procedimientos, procesos, y importantes a tener en cuenta en casi cualquier disciplina y área
otros, se cuenta con la ventaja de que su ejemplificación se de dominio, que es la experiencia. La dimensión teórica implica
visualiza fácilmente mediante la documentación que lo reflejan aquello que puede saberse a partir de lo que se encuentra en el
(como el documento de un estándar, o de una política de uso de material bibliográfico, y se puede aprender a partir de su
recursos) pero en contrapartida, es el aspecto más abstracto que estudio, en tanto que la dimensión práctica se vincula a lo
existe en cuanto a la seguridad, lo que agrega el desafío natural experiencial, a los conocimientos que se adquieren o se
de transmitirlo adecuadamente. Adicionalmente, no siempre los desarrollan a partir de las actividades.
estudiantes tienen suficiente experiencia en entornos laborales,
lo cual es un punto clave para comprender este aspecto de la A. Seguridad teórica
seguridad. La seguridad puede abordarse desde aspectos tan
307
fundamentales como modelos matemáticos, arquitecturas y Es común encontrar en el ámbito educativo, docentes que
esquemas, y abstracciones que pueden acercar su análisis y abordan temáticas que no son de su completo dominio,
estudio a parámetros científicos. De hecho, este enfoque tiene introduciendo así restricciones naturales en el abordaje de los
implicancias en todos los conocimientos que se construyen a su temas. Si bien a determinado nivel no resulta indispensable
alrededor, pero también puede ser evitado en muchas ocasiones, contar con el total conocimiento de un tema para poder brindar
sin que ello afecte en primera instancia al desarrollo de otros una idea general, es recomendable tener en cuenta esto, según
conocimientos. Por ejemplo, es posible analizar un modelo de los objetivos planteados.
control de acceso a la luz del esquema teórico de Brewer-Nash,
lo que a partir de dicha abstracción podría acercar a la B. Seguridad práctica
comprensión profunda de cualquier implementación basada en La seguridad a nivel práctico es tal vez la quintaesencia de
éste (de lo general a lo particular) pero también podría evitarse las dimensiones entre toda clasificación, ya que, en el mundo
su estudio, y de todas maneras llegar a comprender situaciones real y cotidiano, la seguridad es eminentemente práctica, y un
específicas que dicho modelo explicaría. Es por esto que, a nivel fallo en cualquier aspecto de dicha praxis, podría conducir a la
educativo, en muchas ocasiones se opta por prescindir de la materialización de un riesgo, más allá de toda otra condición.
enseñanza de los conocimientos abstractos (en detrimento de Por ejemplo, pueden seguirse las recomendaciones de las
una mayor comprensión general) a fin de que ese tiempo y normativas, haber pasado las pruebas ofensivas, contemplar el
esfuerzo sean utilizados en tópicos que sí podrían ser limitantes aspecto técnico y no técnico del entorno, y conocerse el marco
si no se los aborda. teórico, y así y todo tener una falla en la práctica que ponga en
riesgo un activo sensible. Es por esto que esta dimensión debe
El principal desafío en este sentido es evidente, y se refiere a considerarse en su máxima amplitud, y ser analizada muy
encontrar el punto justo en el que se podría limitar el dictado de especialmente.
ciertos temas, sin afectar notablemente la comprensión de temas
posteriores. Otro desafío que se presenta es la complejidad en En este punto, los desafíos principales en términos
sí de los temas a tratar, dado que no necesariamente se debería educativos se encuentran como primera medida en el aspecto de
esperar de un docente, que conozca en profundidad y amplitud, la infraestructura necesaria para que puedan realizarse las
todos los temas vinculados a una asignatura o área de dominio. prácticas, pero esta brecha se acortó mucho en los últimos años
Por ejemplo, un profesor especializado en normativas de con la mayor accesibilidad a la tecnología que hace que muchas
seguridad, no necesariamente debiera conocer las bases cosas puedan resolverse por medio de la virtualización y los
matemáticas de la criptografía. dispositivos portables de pequeño tamaño (ya sean de red u
otros). Esto deja lugar al siguiente desafío, que es el de contar
En cualquier caso, la combinación de la teoría con la práctica con el tiempo suficiente para poder realizar las actividades
ha sido uno de los puntos más sensibles en la creación y prácticas, lo que abre un nuevo abanico de dificultades que van
evaluación de programas de estudio, lo cual ha derivado en desde la necesidad de acceder a las herramientas
diversas propuestas específicas que revelaron la necesidad de correspondientes, hasta el conocimiento de base requerido para
considerar dichas dimensiones[13]. realizar las tareas, pasando por la necesidad de articular las
clases para que puedan atenderse a los problemas de cada
Propuestas estudiante en el transcurso de la misma.
Algunas de las propuestas específicas para abordar la seguridad
teórica a nivel educativo son las siguientes: El último de los desafíos es, aunque trivial, uno de los más
complejos, y es el hecho de que el docente cuente con la
- Limitar los conocimientos teóricos según complejidad, en experiencia práctica propia para poder desarrollar y guiar
relación al perfil típico del estudiante en cada tipo de curso. Por correctamente las clases. Esto, que en principio no pareciera ser
ejemplo, en un curso de universidad, puede ser más factible un problema (ya que cada docente cuenta con experiencia
incluir el marco teórico puro, en tanto que, en cursos específica en su ámbito) se complejiza cuando los cursos cubren
profesionales, más orientados a la práctica, podrían prescindirse temáticas más abarcativas, para las cuales se requiere
si el impacto no es notable. experiencia práctica diversa, y en distintos ámbitos. A esto
último se le debe sumar el hecho de que, tal como ocurre en la
- Limitar la complejidad. Esto puede facilitar la comprensión dimensión técnica, el avance de la práctica de la seguridad en el
de conceptos, pese a las simplificaciones que pudieran mundo se acelera cada día, y sea muy difícil lograr experiencia
encontrarse en ciertas formas de explicar. En muchas ocasiones, en todo lo que se requiere.
prescindir de profundas y completas explicaciones puede llevar
a entender conceptos dificultosos. En cualquier caso, debe Propuestas
aclararse que se está considerando un enfoque simplificado por Algunas de las propuestas específicas para abordar la seguridad
cuestiones pedagógicas. práctica a nivel educativo son las siguientes:
- Evitar explicar temas que van más allá del propio - Asistente para las prácticas. Puede resultar trivial, pero en
conocimiento, y reconocer las limitaciones en el alcance propio. muchas ocasiones se puede alcanzar los objetivos contando con
308
Federico G. Pacheco
ayudantes para la realización de las prácticas. Esto implica la los desafíos expuestos, y puede caerse fácilmente en la
inclusión de otros docentes o asistentes que cuenten con la tendencia a sobre compensar las falencias mediante la adopción
experiencia necesaria y la idoneidad para guiar procesos en demasía de alguna cualidad por la cual la institución creadora
prácticos, talleres y tareas de laboratorio. (o sus docentes e investigadores) se caractericen o destaquen
especialmente. Asimismo, es importante tener en cuenta la
- Modalidad demostrativa. Otra de las ideas para abordar esta propia voz de los profesionales en la creación de los temarios y
problemática es incluir demostraciones del docente en las contenidos, pues se han derivado resultados satisfactorios en
clases, lo cual permite a los estudiantes hacer un seguimiento distintos casos de estudio[17].
de los pasos, procesos y utilización de herramientas y técnicas,
IV. CASO DE ESTUDIO
a la vez que pueden interactuar en tiempo real con el docente,
según su necesidad. Esta modalidad debe ser adoptada bajo A continuación, se presenta la aplicación de las propuestas
ciertas consideraciones, dado que no permite alcanzar un desarrolladas en la presente investigación, a la creación en el
resultado en sí mismas, sino por medio de un adecuado diseño año 2014 de la Diplomatura en Seguridad de la Información, en
y de una mecánica no repetitiva[14]. Si bien esto no reemplaza el marco de la Secretaría de Cultura y Extensión Universitaria
la práctica personal, puede servir como base si está bien de la Universidad Tecnológica Nacional, de la Facultad
implementado, dejando al estudiante la responsabilidad de Regional Buenos Aires, en Argentina.
realizar por su cuenta, las pruebas de las técnicas y
herramientas. Esto tiene como contrapartida que debe Esta diplomatura está orientada a la formación de
adicionarse ese tiempo personal en el proceso de aprendizaje, profesionales en seguridad de la información, atendiendo a las
pero a la vez puede ser beneficioso, ya que no se requeriría de demandas del mercado global respecto a las necesidades de
un tiempo estático y limitado para practicar. Más allá de esto, especialistas en la materia. La misma está organizada en dos
las tendencias en educación apuntan en gran medida a que módulos (no correlativos), uno de Gestión de la Seguridad de la
exista una instancia no presencial del aprendizaje, donde el Información y otro de Ethical Hacking (Hacking Ético), lo cual
alumno se responsabilice por el proceso que debe llevar a cabo, corresponde a los dos aspectos fundamentales de la seguridad:
dejando para la instancia presencial, las cosas en las que el el defensivo y el ofensivo, respectivamente.
docente en persona puede aportar más valor.
Su duración es de un total de 102 horas, organizadas en 34
- Tutoriales multimedia. Incluir en el material de estudio, un clases de 3 horas, y una clase semanal, donde cada uno de los
conjunto de videos (propios o ajenos) donde se explique el uso cursos comprende la mitad de dichas horas/clases. En base a
de las distintas herramientas y ejecución de técnicas, ya que experiencias educativas anteriores, se determinó más
muchas veces es en esas instancias "paso a paso" que se logran conveniente extender la duración durante todo un año en vez de
comprender los procesos, además de que puede reiterarse su optar por dictarse de manera más intensiva, ya que en sondeos
visualización las veces que se lo requiera. Esta tendencia ha previos se notó que la mayoría de los estudiantes no tenía una
demostrado resultados efectivos en distintos entornos de base sólida de conocimientos relacionados, lo cual requería que
educación técnica[15] y se puede notar en la aparición y rápida los temas puedan tratarse con un ritmo que facilite el
evolución de sitios educativos por medio de videos, donde aprendizaje. Esta decisión de diseño ha dado resultados
distintos profesores y universidades realizan el dictado de favorables en cuanto a los objetivos planteados.
temas, clases, y hasta cátedras completas.
El módulo de Gestión de la Seguridad de la Información
- Competiciones y juegos individuales o grupales. Este tipo comprende el estudio de los principales aspectos necesarios a la
de actividades, estudiadas en el recientemente desarrollado hora de diseñar, implementar y evaluar un plan de gestión de la
campo del “Gamification”, ha hecho emerger una aproximación seguridad de la información, y su contenido incluye la mayoría
más aceptada por las nuevas generaciones de estudiantes, y su de los temas requeridos por la certificación internacional CISSP
aplicación específica al campo de la educación en seguridad, ha (Certified Information Systems Security Profesional) de la
ingresado ya en estadios de madurez suficientemente organización (ISC)2, que se destaca por ser la más prestigiosa
considerables como para que se acepte su uso en ámbitos de su tipo, y por contar con un cuerpo de conocimientos que ha
académicos[16]. sido analizado y mejorado a lo largo del tiempo[18]. Asimismo,
se han organizado los contenidos alineándolos al estándar ISO
Más allá de todas las dimensiones de estas clasificaciones, es 27.001, el cual es además bibliografía obligatoria.
recomendable para todos los casos, contar con docentes Adicionalmente, se han tomado como bibliografía los
invitados, que estén especializados en temáticas particulares, y documentos de la metodología de análisis y gestión de riesgos
puedan cubrir la brecha potencial en cualquier aspecto, ya sea Magerit, desarrollado por el Consejo Superior de
teórico, práctico, técnico, no técnico, ofensivo, defensivo, o un Administración Electrónica perteneciente al Ministerio de
conjunto de éstos. Hacienda y Función Pública del gobierno de España, la cual se
ha elegido por su alta calidad y por estar escrita nativamente en
Desde el punto de vista educativo, no es trivial el desarrollo español.
de programas de estudio que puedan mantener el balance entre
309
El módulo de Ethical Hacking por su parte, comprende el responsables de áreas técnicas, estudiantes de ingeniería y
estudio de las evaluaciones de seguridad de la información en carreras relacionadas, y entusiastas de la seguridad informática.
distintos entornos, lo cual incluye una serie de procesos y Pese a esta sugerencia de perfil de asistentes, se han tenido
actividades organizadas metodológicamente con el fin de personas con formación muy diversa, no necesariamente
conocer el nivel de seguridad en un sistema u organización, y incluida entre las enumeradas.
servir como herramienta para la toma de decisiones en el
negocio. Esto último se considera especialmente, a fin de dar a En cuanto a los requisitos para el cursado, los mismos varían
conocer las formas de integración de las técnicas y procesos según el perfil. En caso de ser estudiantes universitarios, se
ofensivos al enfoque anteriormente mencionado bajo la requiere que estén formados en carreras técnicas. En caso de
perspectiva del riesgo[19]. que sean profesionales, se requiere que tengan experiencia
laboral en roles técnicos en organizaciones. De manera general,
La diplomatura trata el desarrollo diferentes ejes temáticos es necesario poseer conocimientos generales en informática, y
entre los cuales se destacan los siguientes: en Internet y redes. No es requisito tener conocimientos de
 Gestión de seguridad de la información gestión, de programación ni de inglés técnico, aunque estos
 Gestión del riesgo pueden ser de gran ayuda.
 Arquitectura y modelos de seguridad
 Sistemas y metodología de control de acceso Al iniciar cada módulo se realiza un relevamiento acerca de
 Seguridad en el desarrollo de aplicaciones y los conocimientos iniciales de los alumnos y de sus objetivos
sistemas particulares, de forma que pueda determinarse el nivel de
 Seguridad de las operaciones profundidad y enfoque adecuado requerido para el grupo
particular. Esto puede derivar en decisiones de profundizar o
 Criptografía
ampliar en determinados temas en detrimento de otros, a
 Seguridad física
criterio del docente, a fin de poder alcanzar con mayor facilidad
 Seguridad en Internet, redes y telecomunicaciones
los objetivos propuestos.
 Recuperación de desastres y continuidad del
negocio La metodología de trabajo varía según el módulo, en el caso
 Legislación, regulaciones y cumplimiento de Gestión de la Seguridad de la Información, la cursada está
 Investigación e informática forense basada en clases teóricas con soporte multimedia (normalmente
 Cibercrimen y activismo informático presentaciones o documentación proyectadas). Para el caso del
 Evaluaciones de seguridad módulo de Ethical Hacking, se realizan distintos tipos de clases:
 Análisis de vulnerabilidades las teóricas (40%) donde se proveen los contenidos en sí, las
 Metodología y procesos de seguridad ofensiva demostrativas (40%) en las que el docente muestra el uso de las
herramientas y técnicas, y las prácticas (20%) en las cuales los
Entre los objetivos que persigue el programa, se busca alumnos hacen uso de las herramientas y ejecutan las técnicas
fundamentalmente que los estudiantes comprendan el rol del estudiadas. La decisión del porcentaje de cada tipo de clase se
profesional de seguridad en las organizaciones, y los procesos basa en experiencias previas de dictado del mismo tipo de
de gestión necesarios para desarrollar un plan de seguridad, así cursos durante más de 10 años, en diferentes instituciones y
como también que puedan implementar medidas de seguridad niveles, habiendo encontrado mejores resultados de esta forma
para reducir riesgos en entornos de organizaciones. Por otra que al hacer clases en modalidades más prácticas que teóricas y
parte, es necesario que conozcan las buenas prácticas de demostrativas, que es lo que usualmente se esperaría de un
seguridad según estándares, y puedan proponer soluciones de curso de estas características.
en base al análisis de escenarios. En cuanto a las evaluaciones
de seguridad, se debe lograr conocer los distintos tipos, los Para ambos módulos, cada tema se presenta en clase por
principios, técnicas y metodologías de hacking ético, la medio de soporte audiovisual y material digital, y se realizan
identificación y explotación de distintos tipos de disertaciones grupales, permitiendo el debate y la interacción
vulnerabilidades, y las herramientas de software y aplicaciones entre pares en la rutina de trabajo. Se incluyen planteos de
para realizar las evaluaciones. Adicionalmente, es fundamental situaciones reales y casos de estudio con el objetivo de
que comprendan los aspectos éticos relacionados con un encontrar distintas soluciones aplicables, y se cuenta con
profesional de la seguridad de la información, que es un ámbito actividades de refuerzo con materiales adicionales según las
cada vez más sensible. Más allá de esto, y de manera general, demandas grupales. El material de estudio es provisto en
se espera que los asistentes adquieran conocimientos para formato digital, y es el mismo que se utiliza en clase para el
potenciar sus tareas profesionales, y estén actualizados en la dictado por parte de los docentes. El orden de cursada de los
temática. módulos es indistinto, el alumno puede elegir con cuál iniciar
según su preferencia y cursar luego el módulo complementario,
El público objetivo son profesionales de tecnología, gerentes ya que se ha dispuesto la apertura de dos cursos en simultáneo,
de áreas vinculadas a la seguridad de la información, técnicos para tal fin.
en informática, personas que trabajan en áreas de seguridad,
310
Federico G. Pacheco
La modalidad de evaluación varía para cada curso. El de [3] B. Blakley, E. McDermott, D. Geer. "Information security is information
Gestión de la Seguridad de la Información, se realizan cuatro risk management." Proceedings of the 2001 workshop on New security
paradigms. ACM, 2001.
instancias de cuestionarios del tipo opción múltiple cada tres
clases, que una vez aprobados permiten el acceso a examen [4] A. Cherif, C. Somervill. "Maximizing learning: using role playing in the
final, también de opción múltiple, basado en escenarios, classroom." The American Biology Teacher: 28-33, 1995.
problemáticas y situaciones reales. Esta modalidad es la elegida [5] B. Flyvbjerg. "Five misunderstandings about case-study research."
por ser la de mayor tendencia a nivel global para la evaluación Qualitative inquiry 12.2: 219-245, 2006.
de certificaciones internacionales de la especialidad. En el caso
[6] R. Burton. "Multiple‐choice and true/false tests: myths and
de Ethical Hacking corresponde a la realización de cuatro
misapprehensions." Assessment & Evaluation in Higher Education 30.1:
trabajos prácticos basados en las distintas actividades de un 65-72, 2005.
proceso de evaluación de seguridad sobre objetivos
determinados, algunos de ellos montados de forma exclusiva [7] J. Esteves, E. Ramalho, G. De Haro. "To Improve Cybersecurity, Think
Like a Hacker." MIT Sloan Management Review 58.3: 71, 2017.
para tal fin, e incluye la presentación de sendos informes. Previo
al comienzo del curso, se deja constancia de la rúbrica que se [8] P. Logan, A. Clarkson. "Teaching students to hack: curriculum issues in
utilizará como criterio para el puntaje final, que estará information security." ACM SIGCSE Bulletin. Vol. 37. No. 1. ACM,
compuesto por distintos porcentajes para cada actividad. Para 2005.
ambos módulos, se requiere alcanzar el nivel del 60% en las [9] T. Caldwell. "Ethical hackers: putting on the white hat." Network
instancias de evaluación, y además contar con el 80% de Security 2011.7: 10-13, 2011.
asistencia, y se otorgan dos oportunidades de recuperación por
[10] M. Hentea, H. Dhillon, M. Dhillon. "Towards changes in information
cada una de las instancias. security education." Journal of Information Technology Education
5.2006: 221-233, 2006
Como detalle adicional, se debe tener en cuenta que no se
[11] Y. Rezgui, A. Marks. "Information security awareness in higher
supera en ningún caso el cupo de veinte alumnos por curso, de
education: An exploratory study." Computers & Security 27.7: 241-253,
forma tal que pueda dársele seguimiento personalizado a cada 2008.
uno de ellos, especialmente en las cuestiones técnicas de mayor
complejidad. La información completa con temarios, detalles [12] C. Abrahamson. "Storytelling as a pedagogical tool in higher
education." Education 118.3: 440, 1998.
de clases, y otros componentes del programa de diplomatura,
puede encontrarse en el sitio oficial de la universidad[20]. [13] L. Chen, L. Chienting. "Combining theory with practice in information
security education." Proceedings of the 11th Colloquium for Information
V. CONCLUSIONES Systems Security Education. 2007.
Si bien los desafíos planteados no introducen nuevas formas [14] C. Crouch. "Classroom demonstrations: Learning tools or
de ver la educación en seguridad, el hecho de analizarlos en entertainment?." American journal of physics 72.6: 835-838, 2004.
conjunto y de manera integral, permite que cada dimensión
[15] J. Wells, R. Barry, A. Spence. "Using video tutorials as a carrot-and-
pueda ser abordada en relación a cada una de las demás, sin
stick approach to learning." IEEE Transactions on Education 55.4: 453-
perder de vista el cuadro general ni el objetivo final de los 458, 2012.
programas educativos de seguridad de la información.
[16] A. Conklin. "Cyber defense competitions and information security
education: An active learning solution for a capstone course." System
Por otra parte, las propuestas realizadas son ciertamente parte Sciences, 2006. HICSS'06. Proceedings of the 39th Annual Hawaii
existente del folklore de la pedagogía y práctica docente International Conference on. Vol. 9. IEEE, 2006.
moderna, y si bien podrían considerarse en un principio
carentes de novedad, las experiencias de estudiantes y docentes [17] B. Bogolea, K. Wijekumar. "Information security curriculum creation: a
case study." Proceedings of the 1st annual conference on Information
respecto a los cursos especializados en seguridad de la security curriculum development. ACM, 2004.
información, ya sea de carreras de grado, como de posgrado o
programas independientes, suelen recibir críticas que ponen de [18] S. Saleem. "Ethical hacking as a risk management technique."
manifiesto la falta de aplicación de los recursos e ideas aquí Proceedings of the 3rd annual conference on Information security
curriculum development. ACM, 2006.
planteados. Con este escenario presente es que se han
desarrollado los planteamientos del presente trabajo, que ha [19] T. Marianthi, D. Gritazalis. "Common body of knowledge for
dado resultados muy satisfactorios en su aplicación práctica. information security." IEEE Security & Privacy 5.2, 2007.
REFERENCIAS [20] Diplomatura en Seguridad de la Información: Universidad Tecnológica

Nacional. Facultad Regional Buenos Aires. Secretaría de Cultura y
[1] E. Crowley. "Information system security curricula development." Extensión Universitaria: http://sceu.frba.utn.edu.ar/course/diplomatura-
Proceedings of the 4th conference on Information technology en-seguridad-de-la-informacion
curriculum. ACM, 2003.
[2] Mink, F. Freiling, “Is attack better than defense?: teaching information Federico Pacheco. Especialista en Seguridad de la
security the right way.” Proceedings of the 3rd annual conference on Información. Estudiante de Ingeniería Electrónica. Director
Information security curriculum development, ACM, pp. 44-48, de Diplomatura en Seguridad de la Información,
September 2006. Universidad Tecnológica Nacional.
311
Seminario de Seguridad de la información como

mecanismo de enseñanza, profundización y
divulgación de la seguridad de la información
Claudia P. Santiago
Decanatura de Ingeniería de Sistemas
Escuela Colombiana de Ingeniería Julio Garavito
Bogotá D.C., Colombia.
claudia.santiago@escuelaing.edu.co.
Resumen— Los estudiantes de carreras del área de la tecnología de diversos temas relacionados con la seguridad de la
tienen una responsabilidad muy importante en cuanto al información y luego presentan su experiencia a sus compañeros
aseguramiento de la información que recopilan, custodian, y a la comunidad universitaria en general.
transforman y almacenamiento. Para llevar a cabo su labor, es
importante que estudien diferentes amenazas, vulnerabilidades,
Este artículo pretende mostrar la experiencia obtenida en el
mecanismos de explotación y mecanismos de protección para estar desarrollo de Seminario de Seguridad de la Información, el
preparados y mitigar la afectación de los sistemas y la información cual, a la fecha, ha completado su sexta versión. Para esto, el
ante dichas amenazas. Este artículo presenta una experiencia artículo está organizado de la siguiente manera: en la sección II
desarrollada con estudiantes de pregrado de Ingeniería de Sistemas se presenta el contexto en el cual se concibió el seminario. La
que les ha permitido abordar y estudiar problemáticas relacionadas sección III contiene un resumen del marco teórico que soporta
con seguridad de la información y posteriormente presentarlas a la
comunidad universitaria con el ánimo de sensibilizarla e generar
la ejecución del mismo. La metodología utilizada para la
una cultura de seguridad entre las personas de la institución. selección de la temática del Seminario, su preparación y
posterior ejecución se presenta en la sección IV y en la sección
Abstract— Students of IT careers have the important V se presenta la puesta en ejecución del seminario y los
responsibility to protect the information that collect, transform and resultados obtenidos con los estudiantes. Finalmente, este
storage. In order to do that, it is important that they study different escrito termina con las conclusiones del trabajo, lo cual se
types of threats, vulnerabilities, exploitation mechanism and
protection mechanism for later they can mitigate the systems and encuentra en la sección VI.
information affectation. This paper presents an experience
developed with computer science undergraduate students that has CONTEXTO
allowed them to study different issues about information security and Desde la Decanatura de Ingeniería de Sistemas de la Escuela
later present they result to the university community with the aim of
raise awareness and generate an information security culture in the Colombiana de Ingeniería se concibió el programa de
education institution. Ingeniería de Sistemas con el objetivo de ofrecer a la sociedad
ingenieros idóneos que, además de diseñar software con
Palabras claves — Seguridad de la información, seguridad efectividad y crear, implantar, configurar y mantener sistemas
informática, enseñanza de Seguridad de la información, Seminario de información en las organizaciones, se ocupen de los
de seguridad de información.
estándares para la comunicación, el intercambio, la privacidad
Index terms— Information security, IT Security, Information y la integridad de la información, así como de la ética y de los
Technology Security, Information security teaching, Information valores compartidos por los usuarios de computadores y redes.
Security Seminar. De igual forma, como parte del objetivo, se busca desarrollar
INTRODUCCIÓN en los futuros ingenieros de sistemas habilidades para innovar,
actualizarse, adaptarse a los cambios, trabajar en equipo y
A L interior de la Decanatura de Ingeniería de Sistemas se
considera importante el trabajo en el área de seguridad de
la información, por lo que se hacen diversos esfuerzos por
comunicarse efectivamente [1].
Ahora bien, del plan de estudios del programa de
formar a los estudiantes el estudio de esta temática. Como parte Ingeniería de Sistemas está conformado por asignaturas
de estos esfuerzos se diseñó el Seminario de Seguridad de la obligatorias y electivas en las diferentes áreas de conocimiento
Información, el cual hace parte de una asignatura obligatoria definidas para la formación de los estudiantes, y dentro del
del cuarto año de formación de los estudiantes del programa de grupo de asignatura obligatoria se encuentra una denominada
Ingeniería de Sistemas. Seguridad Informática, la cual pertenece a conjunto de
A mediados del año 2014 la dirección del programa de asignatura del ciclo profesional específico – ingeniería
Ingeniería de Sistemas en conjunto con los profesores del área aplicada[2]. La justificación de esta asignatura es que al ser la
de Infraestructura Computacional, responsables de la temática información un recurso tan valioso dentro de la organización,
de Seguridad Informática del programa, gestaron la idea del se hace necesario conocer diferentes estrategias para la
desarrollo de un evento en el que un grupo de estudiantes protección de la misma y el ingeniero de sistemas debe prever
acompañados por sus profesores trabajan en la profundización posibles desastres e intentos de fraude que puedan poner en
312
Claudia P. Santiago
riesgo el curso de la información y debe tener conciencia de la A. Seguridad de la información en la formación del Ingeniero
necesidad de implantación de mecanismos de seguridad y el de Sistemas
control frente a los riesgos y fraudes que se puedan presentar en La seguridad de la información hace referencia a los
los sistemas de información computarizados [3]. Además, los procesos y metodologías que son diseñadas e implementadas
objetivos de la asignatura son que al finalizar el curso el para proteger información o datos confidenciales, privados o
estudiante conozca y entienda los aspectos básicos de la sensibles sea electrónicos, impresos o de cualquier otro tipo de
seguridad de la información: su problemática, la infraestructura acceso o uso no autorizado, divulgación, destrucción,
que implica, sus componentes, su funcionamiento y sus modificación o alteración [4].
mecanismos de control, así como las tecnologías en que se La Seguridad de la información es un área de trabajo que con
fundamentan. Esto implica el introducir al estudiante en los el paso de los años ha sido considerado cada vez más como un
fundamentos y conceptos de evaluación, diseño e tema de gran relevancia y sobre el cual tenemos todavía mucho
implementación de seguridad, privacidad y auditoría a los por hacer [5] [6] [7]. Y debería ser objeto de estudio desde
recursos de tecnología de información e introducir al estudiante diversas áreas (legal, técnica, psicológica, gerencial, etc.) y a
en la problemática de la protección de la información y la diferentes niveles. En particular, se considera importante incluir
administración de riesgo informático. [3]. dentro de la formación de los estudiantes de áreas relacionadas
El contenido temático resumido del curso es "Introducción con tecnología, sea a nivel técnico, tecnológico, profesional o
a la seguridad informática. Gestión de seguridad. Estándares, posgradual.
cifrado de datos, autenticación, seguridad del software, La Association for Computing Machinery (ACM) – IEEE
seguridad en redes e internet, seguridad en redes inalámbricas Computer Society en las guías generadas para 2013
e informática forense." [3]. Es una asignatura de tres (3) denominada Curriculum Guidelines for Undergraduate Degree
créditos académicos, distribuido en cuarenta y ocho (48) horas Programs in Computer Science [8] y 2016 denominada
de clase, veinticuatro (24) horas de prácticas de laboratorio y Curriculum Guidelines for Undergraduate Degree Programs
setenta y cuatro (74) horas de trabajo individual por parte los in Computer Engineering [9], indica que la seguridad de la
estudiantes para un tiempo total aproximado de ciento cuareta información y la ciberseguridad son un área de trabajo que cada
y cuatro (144) horas de trabajo durante un semestre académico vez los gobiernos están incluyendo como aspectos claves a
de dieciséis (16) semanas de clases y una semana de exámenes. tratar en la formación de los profesionales del área de
La asignatura es tomada por aproximadamente veinte (20) tecnología. Adicionalmente, ha definido como una de las áreas
estudiantes entre tercer y quinto año de la carrera. de conocimiento a desarrollar en este tipo de programas de
Posteriormente, también se han ido involucrando estudiantes formación profesional el tema de Seguridad de la Información
de las asignaturas electivas de la carrera que estén relacionadas y al interior de las otras áreas de conocimiento también incluye
con el área de seguridad de la información, tal es el caso del aspectos relacionados con la misma. E indica que, a partir de
curso de Seguridad en el desarrollo de software, estos cursos un estudio realizado por Bureau of Labor Statistics (BLS) [10],
electivos son ofrecidos a estudiantes que estén cursando cuarto para 2022 se espera un incremento de 36.5% de profesionales
o quinto año de la carrera. con conocimientos en el área de Seguridad de la información.
A partir de lo anteriormente expuesto se plantea el diseño del Por otro lado, empresas como Cisco, en sus reportes anuales
Seminario de Seguridad de la Información como parte de la de seguridad 2014 [11], 2015 [12], 2016 [13] y 2017 [14] y
asignatura Seguridad Informática y el cual es objeto de revisión Symantec en sus reportes de amenazas de seguridad en internet
en este artículo. 2014 [15], 2015 [16], 2016 [17] y 2017 [18] han encontrado las
Este seminario está planeado como un mecanismo de apoyo siguientes temáticas como las de mayor crecimiento y que
a las temáticas que se están desarrollando por los estudiantes requieren de la atención de los profesionales del área de
dentro del curso y como mecanismo de profundización en seguridad: Aplicaciones en Internet (desarrollo seguro,
aspectos relevantes a la seguridad de la información, la librerías, pruebas, etc) – Web Threats, infraestructura de nube,
problemática, las tecnologías de apoyo que pueden ser spam y phishing, web exploit, BYOD y dispositivos móviles,
utilizados, los algoritmos e implementaciones con los que se Malware y ransomware, Botnets, vulnerabilidades día cero,
cuenta en la actualidad y la construcción de recomendaciones y seguridad en redes sociales, ciberseguridad, sabotaje y
conclusiones sobre las diferentes temáticas desarrolladas para espionaje, privacidad e Internet de las cosas (IoT).
el evento. También organizaciones como la Asociación Colombiana de
Ingenieros de Sistemas – ACIS en sus encuestas nacionales y
MARCO TEÓRICO latinoamericanas de Seguridad 2014 [19], 2015 [20] y 2016
Para desarrollar esta sección se ha dividido en dos partes, la [21] y otras organizaciónes como the International Information
primera relacionada con el tema general del seminario, es decir, System Security Certification Consortium – (ISC)2 y Computer
la Seguridad de la Información y su relevancia en la formación World coinciden en términos generales con las temáticas
del profesional, en particular, en la formación del ingeniero de planteadas por los proveedores citados en este mismo párrafo.
Sistemas. Y la segunda parte enfocada a la metodología de Finalmente, en el caso de Colombia, en los últimos años se
trabajo y la selección de la figura de Seminario para la actividad han incrementado los esfuerzos en el tema de seguridad de la
que se diseñó. información y ciberseguridad. El Ministerio de Tecnologías de
Información – MinTIC ha tenido la responsabilidad de liderar
313
el trabajo en el área a través del Viceministerio TI - Dirección sección anterior y las necesidades de formación del programa
de Estándares y arquitectura TI - Subdirección de Seguridad y de Ingeniería de Sistemas, se diseñó el SEMINARIO DE
Privacidad de Tecnologías de Información, encargada de crear SEGURIDAD DE LA INFORMACIÓN, el cual hace parte de la
lineamientos y políticas de seguridad para las Entidades del asignatura Seguridad Informática. Este seminario tiene dos
Estado [22]. Desde allí se trabaja en temas como el Conpes objetivos, por un lado, busca que los estudiantes aborden y
3854: Seguridad Digital (en conjunto con el departamento de estudien problemáticas relacionadas con seguridad de la
Planeación Nacional, el Ministerio de Defensa y la Dirección información, sus formas de operación y mecanismos de
Nacional de Inteligencia)[23], Gobierno abiertos, Modelo de protección. Y por el otro lado, presentar a la comunidad
Seguridad y Privacidad de la Información (MSPI) para universitaria temáticas relacionadas con Seguridad de la
Colombia y Seguridad Digital en un escenario de información con el ánimo de sensibilizarla y generar una
postconflictom, así como ciberseguridad y apropiación segura cultura de seguridad entre las personas de la institución.
tecnológica (e-health, e-government, e-justice, e-agricultura). Cada semestre se selecciona un tema general del
Seminario, el cual se escoge a partir de la revisión de encuestas
B. Seminario como metodología de aprendizaje
o proyecciones de seguridad de diferentes proveedores de
Los seminarios en términos generales pueden verse como
tecnología, por ejemplo, Cisco y Symantec, y por
eventos educativos que cuentan con uno o más expertos en una
organizaciones a las que les interesa la problemática de
temática particular y que entregando información
seguridad de la información, como por ejemplo la Asociación
principalmente a través de conferencias y discusiones [24]. Por
Colombiana de Ingenieros de Sistemas - ACIS, the
otro lado, Eble, en su libro The Craft of Teaching: A Guide to
International Information System Security Certification
Mastering the Professor's Art [25] indica que los seminarios
Consortium – (ISC)2 y Computer World, también se tiene en
pueden ser utilizados como una metodología de aprendizaje en
cuenta la problemática y necesidades nacionales e
donde los estudiantes pueden aprender y profundizar en una
internacionales en el área.
temática particular con la guía pero sin la presencia permanente
Para revisar la problemática y necesidades nacionales se
del profesor.
estudian los comunicados y planteamientos en cuanto a
Ahora bien, si se piensa en un tipo particular de seminario,
seguridad informática nacional, las cual está liderada por el
es decir, los seminarios de investigación, pueden verse como un
Ministerio de Tecnología de Información de Colombia -
grupo de personas que dirigidas por alguien que se
MinTIC.
intercomunican con la tarea común de producción,
En términos generales, después de que se ha seleccionado el
reconstrucción o evaluación de un saber o en la acción de
tema general del seminario, los estudiantes desarrollan una
explicación creadora sobre una temática u objeto. Su origen
investigación durante 14 semanas y hacen entregas parciales
data de la universidad alemana del siglo XVIII en donde se
cada quince días con los avances de dicha investigación. Cada
planteó como una propuesta pedagógica para renovar las
entrega se nutre de las discusiones a las que haya lugar al
estrategias de estudio y formación de los especialistas
interior de los grupos durante el trabajo realizado para
superiores (investigadores). [26]
posteriormente ser puestas en consideración de los demás
La correcta elección del tema del seminario asegura en
compañeros y profesores del curso para ser analizadas y
buena parte el progreso y éxito del mismo. Supone seleccionar
enriquecidas con los aportes que se generen.
temas que correspondan a la preparación y motivación del
Ahora bien, de manera más detallada, lo primero que
grupo. Por tal razón, se requiere un proceso de acuerdo bien
hacen los estudiantes es crear grupos de trabajo, usualmente de
concertado (investigadores, estudiantes e instituciones) que
dos estudiantes y en algunos casos trabajan en forma individual
garantice una voluntad colectiva de acción y una productiva
o en grupos de tres estudiantes. Con los grupos ya establecidos
participación de cada seminarista en el grupo. [26]
seleccionan el tema a desarrollar, para lo cual deben analizar
El trabajo escrito debe ser producto de la acción de
temáticas relacionadas con el asunto general del seminario y
investigar, cuestionar, fundamentar, contribuir realmente al
determinar su relevancia, en la tercera semana del semestre
avance de su propia disciplina. Ir de los datos conocidos a lo
presentan varias opciones de tema, usualmente tres o cuatro
desconocido. Según las diversas metas que se proponga el
opciones, y a partir de una discusión con sus profesores y
seminario. [26]
compañeros de clase determinar la temática final de
En todos los casos, como parte del proceso del seminario
investigación.
implica la preparación del tema de discusión para presentarla a
Una vez definido el tema particular a trabajar, los estudiantes
otros y se ha encontrado que este tipo de actividades le permiten
definen un cronograma y a lo largo de las entregas van
al estudiante fortalecer su aprendizaje ya que además de
generando una descripción general de la temática seleccionada,
entender los conceptos objetos de la investigación, debe tener
su justificación para el desarrollo del trabajo, la problemática al
la capacidad de enseñarla a otros con lo cual logra una mejor
rededor del tema, la evaluación de fallos o ataques
asimilación de lo aprendido. Esta afirmación se evidencia en
relacionados, los mecanismos de protección y las propuestas y
diferentes estudios, tales como [27], [28], [29], [30] y [31].
recomendaciones de protección, para finalmente generar las
conclusiones hacia el final de las 14 semanas.
DISEÑO DEL SEMINARIO
Adicionalmente, van recibiendo realimentación de sus
Basado en la revisión de las fuentes presentadas en la avances por parte del profesor o profesores del curso y de los
314
Claudia P. Santiago
compañeros que deseen hacerlo. Finalmente, la semana antes  ¿Es Mac Impenetrable?
de la ejecución del seminario, se realizan simulacros de la
 Seguridad en Tecnología NFC
presentación final para recibir realimentación por parte del
profesor o profesores del curso y se hacen los ajustes finales.  Sistemas de detección de intrusos
El seminario se desarrolla durante la semana 14 o 15 del
 Técnicas de Inteligencia artificial aplicadas a la
semestre y tiene una duración aproximada de entre 3 y 5 horas. seguridad informática
Durante ese tiempo, el profesor o profesores del curso hacen
una introducción al tema general del seminario, la problemática A este primer seminario asistieron estudiantes de diferentes
que llevó al grupo a trabajar en el tema y da apertura a la sesión semestres de Ingeniería de Sistemas y profesores,
de conferencias de los estudiantes. Cada grupo de estudiantes adicionalmente contamos con la presencia de familiares y
cuenta con aproximadamente 20 minutos para presentar sus amigos de los estudiantes que actuaron como conferencistas
trabajos. durante el evento. Todos ellos diligenciaron la encuesta del
Los asistentes al evento, entre los cuales se encuentran seminario que en términos generales fue muy positiva sobre los
estudiantes, profesores, graduados y personal administrativo de temas tratados, aunque manifestaron la importancia de trabajar
la Universidad y otros visitantes, tienen la oportunidad de en la manera de expresión y el manejo del auditorio por parte
escuchar a los conferencistas, interactuar con los expositores, de los conferencistas, incluir propuestas de solución en todas
calificar las presentaciones y hacer recomendaciones o las temáticas y mirar la posibilidad de realizar un foro al final
propuestas sobre trabajos futuros del seminario mediante una de seminario. Consideraron positivo el desarrollo de estas
encuesta que diligencian durante el evento. actividades y propusieron como temas de interés para futuros
seminarios: seguridad en desarrollo móvil, virus, seguridad en
EJECUCIÓN DEL SEMINARIO dispositivos móviles, seguridad en la nube, educación en
temáticas de seguridad para niños y seguridad militar.
Como se indicó en la introducción, el Seminario de
Los estudiantes que participaron como expositores
Seguridad de la Información se ha venido desarrollando desde
manifestaron que el Seminario les permitió abordar y
mediados del año 2014 semestralmente, lo que ha permitido
profundizar en temáticas de seguridad de la Información que no
desarrollar 6 versiones de dicho evento y se ha contado con una
eran, de manera directa, parte de la asignatura Seguridad
participación de más de 100 expositores y 600 asistentes en
Informática y que fue una experiencia enriquecedora para su
total. A continuación se presenta un breve resumen de los temas
formación como futuros Ingenieros de Sistemas.
desarrollados en cada uno de ellos y algunos comentarios
Finalmente, para futuros desarrollos del seminario se
generales y lecciones aprendidas de los mismos:
identificaron oportunidades de mejora en el tema logístico
A. Primer Seminario de Seguridad de la Información (manejo de tiempo, sonido y espacio) y en el aspecto técnico se
En el primer seminario se quiso que los estudiantes decidió definir un tema central del seminario más específico y
trabajaran en la revisión de tecnologías y plataformas hacer los simulacros de presentación antes del seminario como
tecnológicas de amplio uso en la actualidad, sus amenazas, tal. Estas lecciones fueron implementadas a partir del segundo
vulnerabilidades, vectores de ataque y mecanismos de seminario.
protección. El afiche promocional del evento se presenta en la
B. Segundo Seminario de Seguridad de la Información
fig. 1.
El segundo seminario estuvo dedicado a la Problemática de
Seguridad en el mundo móvil, ataques, mecanismos de
protección y recomendaciones, todos con el objetivo de
entender la problemática que se presenta, profundizar en el
aspecto técnico de la misma y proponer recomendaciones de
protección que los asistentes al seminario pudieran
implementar. El afiche promocional del evento se presenta en
la fig. 2.
Fig 1. Afiche promocional 1er Seminario de seguridad de la información
Los temas abordados por los estudiantes fueron:

 Seguridad en redes sociales
 Seguridad en servidores web
 Seguridad en las Compras Online
 Seguridad en la nube: Dropbox Fig 2. Afiche promocional 2do Seminario de seguridad de la información
315
Los temas desarrollados por los estudiantes, quienes los servicios de almacenamiento por parte de los usuarios de los
aparecen en la fig. 3, fueron: mismos. El afiche promocional del evento se observa en la fig.
 Seguridad en códigos QR 4.
 ¿Son los servicios de localización en móviles una
solución o un problema?
 Riesgos asociados a los permisos en las aplicaciones
Android
 JailBreak ¿una bendición o amenaza para IOS?
 Análisis sobre la seguridad en sistemas operativos
móviles Android Vs IOS
 Ataques de día cero en móviles
 Los dispositivos móviles como riesgo de seguridad en Fig. 4. Afiche promocional 3er Seminario de seguridad de la información
redes corporativas
Los temas seleccionados por los estudiantes, quienes
 Análisis Forense en Dispositivos Móviles
aparecen en la fig. 5, para este seminario fueron
 La nube, un nuevo entorno a proteger
 Localización de datos e infraestructura en cloud
computing
 Seguridad en servicios tipo SaaS, IaaS, PaaS
 Man in the cloud
Fig. 3. Expositores 2do seminario  Seguridad en iCloud
A este seminario asistieron estudiantes, profesores, personal  Seguridad en servidores virtuales
administrativo de la institución y graduados interesados en los
 Malware en Cloud
temas tratados, quienes, al igual que el seminario anterior,
diligenciaron la encuesta del seminario en donde el 90%  Métodos de Seguridad de Web Service en la nube
manifestaron que el tema seleccionado era de actualidad e  Ataques famosos a servicios de Cloud
interés, valoraron de manera positiva el trabajo de los
conferencistas y generaron recomendaciones de mejora del  Ataque DDoS a Amazon Web Services
evento más que todo desde el punto de vista logístico y en
algunos casos sobre mayor claridad en las recomendaciones de
protección. Adicionalmente recomendaron como posibles
temas para próximas versiones del seminario los siguientes
temas: virus, seguridad en internet, seguridad en el desarrollo
de aplicaciones, seguridad en la nube y seguridad en redes
empresariales. Fig. 5. Expositores 3er seminario
Por el otro lado, los estudiantes que participaron como
conferencistas indicaron que les había gustado el trabajo y les Durante el evento se contó entre los asistentes con
había permitido realizar un trabajo de investigación sobre una estudiantes, profesores, personal administrativo, visitantes
temática que consideraban importante para su formación y por externos y graduados de la institución (a quienes de ahora en
otro lado hicieron algunas recomendaciones de logística adelante se denominarán “comunidad educativa”). Todos ellos
relacionada con manejo de tiempo y receso durante el generaron recomendaciones sobre el evento, entre las cuales
seminario. estuvo la posibilidad de grabar las conferencias para futuras
Las recomendaciones dadas tanto por los conferencistas, consultas de las mismas y en su mayoría, el 93%, indicaron que
como por los asistentes fueron tomadas en cuenta para el el tema central del seminario era de interés y relevancia para
desarrollo de las siguientes versiones del evento. todos. Dentro de los temas que propusieron para futuras
versiones del seminario estuvieron: Ataques día cero, virus,
C. Tercer Seminario de Seguridad de la Información
ingeniería social, seguridad en transacciones electrónicas,
Para el tercer semestre de ejecución del seminario se
ataques a infraestructura crítica y seguridad para entidades del
seleccionó como tema central del mismo Cloud Security –
estado.
Seguridad en computación en la nube. Alrededor de este tema
Por el otro lado, los conferencistas concluyeron que el tema
se vieron dos grandes áreas de trabajo, una enfocada hacia la
de la nube tenía grandes oportunidades de operación y también
infraestructura de los proveedores del servicio y la protección
grandes retos en lo que se refiere a la seguridad de la
de dichas plataformas y la otra hacia la correcta utilización de
316
Claudia P. Santiago
información que a través de ella se gestiona y que es importante académica que asistió al evento, pudo interactuar con los
entender y trabajar en dicha área. conferencistas y generar recomendaciones de mejora para
futuras versiones del mismo, como por ejemplo, incrementar el
D. Cuarto Seminario de Seguridad de la Información
tiempo de presentación de las charlas, intercalar las
La cuarta versión del seminario, desarrollado en el primer
presentaciones de los estudiantes con la participación de otros
semestre del 2016, estuvo dedicada a la Ciberseguridad.
conferencistas invitados y la evaluación de las presentaciones
Partiendo desde el entendimiento de lo que el término significa,
por pares externos. Por otro lado, propusieron para futuras
hasta las diversas necesidades que se presentan en el área,
versiones del evento tocar temas relacionados con: cifrado de
campos de acción y retos existentes. El afiche promocional del
datos, seguridad en el desarrollo, virus y seguridad en internet
evento se observa en la fig. 6
de las cosas. La aceptación de la temática en esta oportunidad
fue del 94%.
Dentro de las lecciones aprendidas de esta versión del
seminario estuvo la revisión de los tiempos de presentación de
cada temática y el definir estrategias para incentivar la
participación de más miembros de la comunidad académica al
evento.
E. Quinto Seminario de Seguridad de la Información
La temática central de la quinta versión del seminario fue
malware. Y a partir de ésta, los estudiantes del curso de
Seguridad Informática evaluaron varias alternativas de
investigación, en donde debía dar el contexto del problema,
Fig. 6. Afiche promocional 4to Seminario de seguridad de la información consecuencias que conllevan, mecanismos de detección y
Los estudiantes, quienes aparecen en la fig. 7, realizaron una protección de los mismos. El afiche promocional del evento se
revisión del tema general y estudiaron los siguientes temas que observa en la fig. 8
fueron presentados en el seminario:
 Ciberseguridad en Colombia: Actualidad y posibles
mejoras.
 Encriptación Militar
 Espionaje Cibernético: Caso Wikileaks
 APT’S: Colombia y protección
 Ciberseguridad en los trámites de carácter financiero en
Colombia
 Ciberseguridad y el IoT en Smart Cities
 Ciberseguridad forense Fig. 8. Afiche promocional 5to Seminario de seguridad de la información
 La privacidad de los datos en la ciberseguridad Los temas seleccionados por los estudiantes/conferencistas,
 Ciberseguridad en Pymes quienes aparecen en la fig. 9, para el desarrollo del seminario
fueron:
 Técnicas de camuflaje del malware
 Botnet
 RootKits
 Ransomware en dispositivos Android y cómo
protegernos
 Evaluación de Antivirus en Android
Fig. 7. Expositores 4to seminario
 Stuxnet
En esta oportunidad, se implementó la transmisión del
seminario a través de las pantallas de información con que  Adware
cuenta el programa de Ingeniería de Sistemas en la universidad  Stegomalware
con el objetivo de que la comunidad observara la ejecución del
evento y que esto los motivara a asistir.  Keyloggers
Al igual que en las anteriores versiones, la comunidad
317
conocidos y mecanismos de protección. El afiche promocional

del evento se observa en la fig.11.
Adicionalmente, para esta ocasión, contamos con la

participación de un conferencista externo, el ingeniero Wilmer
Prieto, quien abrió el seminario y ofreció una charla sobre
Código Malicioso y Ciberseguridad. Fig. 10.
Fig. 11. Afiche promocional 6to Seminario de seguridad de la información
Los estudiantes presentaron los siguientes temas durante el

desarrollo del seminario
 Introducción a la Seguridad de e-Health
 Seguridad en E-Health Cloud
 Privacidad y seguridad de datos en eHealth
 E-health, seguridad teleconsultas y tráfico de
información inmediato
 Seguridad de firmware y dispositivos de hospitales
Fig. 10. Conferencista Invitado 5to Seminario  Seguridad de los dispositivos wearables aplicada a E-
Health
Durante esta versión del seminario se contó con un mayor
número de asistentes al evento, se realizó la transmisión del  Procesos y protocolos de manejo de datos en e-Health
mismo a través de los informadores del programa y se  Resiliencia e-Healt: Servicios hospitalarios
realizaron las encuentras a los asistentes. Dentro de las
recomendaciones que se recibieron estuvo el aumentar el  Riesgo de poseer aplicaciones mHealth inseguras
tiempo del seminario, la realización de un foro o conversatorio Adicionalmente, en esta oportunidad, se involucraron los
al final del mismo y la realización de otros seminarios similares estudiantes de otro curso del programa. Se trata de una
en otras áreas del programa. Como posibles temas para otras asignatura electiva que comenzó a ofrecerse en el segundo
versiones del seminario propusieron: Seguridad en internet, semestre del 2016 y que pertenece al área de seguridad, el curso
ataques a sistemas informáticos, desarrollo móvil seguro y se denomina Seguridad en el desarrollo de software. Para esto,
Seguridad web. los estudiantes de dicha electiva presentaron el trabajo que
La evaluación que realizaron los estudiantes/conferencistas había realizado en relación a la problemática de desarrollo
del evento fue muy positiva y manifestaron que a través del seguro aplicado al sector salud. Los temas presentados fueron:
seminario habían podido conocer, entender y analizar la  Implementation of the standard PA-DSS (Payment
temática de malware y darse cuenta de la diversidad que se Application Data Security Standard) in E-Health
presenta alrededor del mismo. También manifestaron que environments
consideran importante la actividad, no sólo por el contenido
 NIST SP 800-64 (Security Considerations in The System
técnico desarrollado sino por la posibilidad que se les brinda al Development Life Cycle): An approach to E-Health
permitirles fortalecer sus habilidades de comunicación oral y software development projects
escrita, así como la capacidad de manejo de tiempo y público.
 Security in E-Health systems using OASIS Web Service
F. Sexto Seminario de Seguridad de la Información Security (WSS)
La última versión del seminario que se ha realizado hasta el
momento en que fue escrito este artículo, tuvo lugar en el  Application of privacy and anonymity techniques for
medical data
primer semestre de 2017 y en esta ocasión el tema central del
evento fue e-Health Security. Con este tema central en mente,  Using Trusted Computing and TPM (Trust Platform
se debió trabajar en el entendimiento general del área de e- Module) in an E-Health scenario
Health para luego determinar la problemática de seguridad  Risk Assessment for medical applications using Stride
respectiva, amenazas, vulnerabilidades, riesgos, casos and Dread methodology
318
Claudia P. Santiago
 How to calculate the Attack Surface for E-Health conocimientos sobre temáticas actuales de seguridad, viéndolos
applications using RASQ (Relative Attack Surface desde su contextualización, operación, mecanismos de
Quotient) protección, recomendaciones y retos, lo cual les permite a ellos
reforzar el hecho de que la seguridad no se trata de hackers,
En la fig. 12, se observan los expositores, estudiantes de los
aplicaciones y exploits. Adicionalmente, las temáticas
cursos Seguridad Informática y Seguridad en el desarrollo de
desarrolladas y los resultados de las investigaciones de los
Software acompañados por los profesores del curso.
estudiantes pueden convertirse en oportunidades de trabajo
futuro en proyectos de investigación de los profesores o en
proyecto que los estudiantes realicen para finalizar sus estudios
como ingenieros.
REFERENCIAS
[1] Escuela Colombian de Ingeniería Julio Garavito, "Objetivos programa

de Ingeniería de Sistemas," 2017. [Online]. Available:
http://www.escuelaing.edu.co/es/programas/pregrado/Ingeniería+de+Si
stemas/objetivos. [Accessed 25 06 2017].
[2] Escuela Colombian de Ingeniería Julio Garavito, "Programa de
Ingeniería de Sistemas - Proyecto de Formación," 06 2013. [Online].
Finalmente, en esta oportunidad, además de continuar Available:
transmitiendo el seminario en los informadores del programa, http://www.escuelaing.edu.co/uploads/descargables/4727_sistemas_pro
se realizó una transmisión de video en vivo a través del fanpage yecto_de_formacion_interactivo_2013.pdf. [Accessed 25 06 2017].
del programa en Facebook y se grabaron las presentaciones [3] Escuela Colombiana de Ingeniería Julio Garavito - Ingeniería de
Sistema, "Contenido programático curso Segurdiad Informática,"
para publicarlas en el canal del programa de Ingeniería de Escuela colombiana de Ingeniería Julio Garavito, Bogotá, 2013.
Sistemas de youtube.
[4] SANS Institute, "Information Security Resources," SysAdmin Audit,
Al seminario asistieron miembros de la comunidad Networking and Security Institute - SANS, 2000-2015. [Online].
académica del programa, quienes mostraron interés por los Available: https://www.sans.org/information-security/. [Accessed 9
temas presentados y propusieron como posibles temas a tratar Junio 2015].
en próximas versiones del seminario: Seguridad en IoT, [5] M. M. H. Whitmanm, Principles of Information Security, Fourth
edition ed., Boston,MA. USA: course Technology - CENGAGE
secuestro de datos (ransomware), virus, seguridad en bases de Learning, 2012.
datos, mecanismos de contingencia y Hacktivism. [6] M. Eastwood, "The Importance and Relevance of Information
Los estudiantes que participaron como expositores Security," 2015.
manifiestan que el seminario les permitió, adquirir [7] Cisco Systems, "Cisco 2017 Annual Cybersecurity Report: Chief
conocimientos técnicos sobre la temática general del evento, Security Officers Reveal True Cost of Breaches And The Actions That
Organizations Are Taking," Cisco Press, 2017.
identificar oportunidades de trabajo e investigación en el área y
[8] The Joint Task Force on Computing Curricula Association for
fortalecer sus habilidades de comunicación verbal y escrita y su Computing Machinery (ACM) IEEE Computer Society, "Curriculum
capacidad para manejo de tiempo, escenario y público. Guidelines for Undergraduate Degree Programs in Computer Science,"
ACM - IEEE, 2013.
VI. CONCLUSIONES [9] Association for Computing Machinery (ACM) IEEE Computer
Society, "Curriculum Guidelines for Undergraduate Degree Programs
A través de este artículo se ha presentado el diseño y la in Computer Engineering," ACM - IEEE, 2015.
experiencia de un Seminario de Seguridad de Información [10] Bureau of Labor Statistics, "Employment by detailed occupation," 18
dentro del contexto de una asignatura del programa de 04 2016. [Online]. Available:
Ingeniería de Sistemas de la Escuela Colombiana de Ingeniería https://www.bls.gov/emp/ep_table_102.htm. [Accessed 23 04 2017].
Julio Garavito, apoyado en estudiantes de cuarto año de estudio [11] Cisco System, Inc, "Cisco 2014 Annual Security Report," Cisco Press,
2014.
guiados por profesores del área de seguridad de la información.
Gracias a este trabajo los estudiantes han logrado [12] Cisco System, Inc., "Cisco 2015 Annual Security Report," Cisco Press,
2015.
profundizar en temáticas actuales de seguridad de información
[13] Cisco System, Inc., "Cisco 2016 Annual Security Report," Cisco Press,
que no son objeto de estudio directo dentro de las clases y que San Jose, CA., 2016.
les permiten abrir su espectro de conocimiento en relación a la [14] Cisco System, Inc., "Cisco 2017 Annual Security Report," Cisco Press,
seguridad de la información y seguridad informática. San José, CA, 2017.
Adicionalmente les permite desarrollar habilidades de [15] Symantec Corporation, "Internet Security Threat Report: Volume 19,"
investigación, análisis crítico, comunicación oral y escrita, Symantec, Mountain View, CA , 2014.
manejo de tiempo y manejo de público. Por otro lado, gracias [16] Symantec Corporation, "Internet Security Threat Report : volume 20,"
al trabajo que se ha generado con el seminario, se observa una Symantec, Mountain View, CA , 2015.
reacción positiva por partes de la comunidad universitaria a [17] Symantec Corporation, "Internet Security Threat Report: Volumen 21,"
dicha actividad y una mayor cultura de seguridad en la Symantec, Mountain View, CA, 2016.
audiencia. [18] Symantec Corporation, "Internet Security Threat Report : Volume 22,"
Symantec, Mountain View, CA, 2017.
Finalmente, el profesor o profesores que apoyan el seminario
observan que a través del mismo se ha logrado que los [19] A. R. Almanza, Tendencias 2014 Encuesta Nacional de Seguridad
Informática, Bogotá, Colombia: Revista Sistemas - ACIS, 2014.
estudiantes que actúan como expositores adquieren
319
[20] J. J. C. M. y. G. S. Mesa, VII Encuesta Latinoamericana de Seguridad

de la Información - Nuevos retos, nuevas realidades, Bogotá,
Colombian: ACIS, 2015.
[21] J. C. y. G. Saucedo, VIII Encuesta Latinoamericana de Seguridad de la
Información - Nuevos horizontes para America Latina, Bogotá,
Colombia: ACIS, 2016.
[22] MinTIC, "Subdirección de Seguridad y Privacidad de Tecnologías de
Información," 12 06 2017. [Online]. Available:
http://www.mintic.gov.co/portal/604/w3-propertyvalue-6198.html.
[Accessed 20 06 2017].
[23] Ministerio de Tecnologías de la Información y las Comunicaciones,
Ministerio de Defensa Nacional, Dirección Nacional de Inteligencia y
Departamento Nacional de Planeación , Conpes 3854 - Política
Nacional de Seguridad Digital, Bogotá, Colombia: CONSEJO
NACIONAL DE POLÍTICA ECONÓMICA Y SOCIAL , 2016.
[24] J. Hamby, "the Official Guide to Seminars and Workshops," 13 06
2009. [Online]. Available:
http://www.selfgrowth.com/articles/Definition_Seminars_and_Worksh
ops.html. [Accessed 25 06 2017].
[25] K. E. Eble, The Craft of Teaching: A Guide to Mastering the
Professor's Art. Second Edition., Second Edition ed., San Francisco,
CA: Jossey-Bass Publishers, 1988, p. 267.
[26] Universidad de Valencia, "EL SEMINARIO COMO PRÁCTICA
PEDAGÓGICA PARA LA FORMACIÓN INTEGRAL," [Online].
Available: http://www.uv.es/eees/archivos/sem_inves. [Accessed 25 06
2017].
[27] L. F. Annis, "The Processes and Effects of Peer Tutoring.," ERIC ,
Montreal, Canada, 1983.
[28] G. S. D. L. K. V. N. Biswas, "Learning by teaching: a new agent
paradigm for educational software," Applied Artificial intelligent,
2005.
[29] G. B. Krittaya Leelawong, "Designing Learning by Teaching Agents:
The Betty’s Brain System," International Journal of Artificial
Intelligence in Education (IJAIED), vol. 18, 2008.
[30] D. Duran, "Aprender enseñando: Un paradigma emergente,"
Formación y empleo, pp. 4-12.
[31] V. i. D. D. Valdebenito, "La tutoría entre iguales como un potente
recurso de aprendizaje entre alumnos: efectos, fluidez y comprensión
lectora," Perspectiva Educacional, vol. 52, no. 2, pp. 154-176, 2013.
Claudia Patricia Santiago Cely received the master

degree in Information Management from Escuela
Colombiana de Ingeniería Julio Garavito, Bogotá D.C.,
Colombia, in 2013. She has been a professor of computer
system department at Escuela Colombiana de Ingeniería
Julio Garavito since 1997. She is Director of Technology
Architecture and Security Study Center in Escuela
Colombiana de Ingeniería Julio Garavito. Her current
research interest includes network management and
design, information security, machine learning applied to information security,
security event management, IoT security and enterprise architecture.
320
Índice por autor
AbdelMasih, Samira 111 Lanfranco, Einar 173, 207, 280

Aguilar Jiménez, Alba Soraya 53 LemesFagundes, Leonardo 130
Alarcos Alcázar, Bernardo 67 León, Diego 124
Alberdi, Juan Ignacio 199 Lisboa, Cícero 130
Aldás, Clay 154
Alemán, Helena 21 Macía, Nicolás 173, 207, 280
Álvarez, Esther 244 Marchand, William R. 300
Arellano Méndez, Francisco 1 Márquez, Luis 144
Ayala, Carlos 99 Martín Muñoz, Agustín 67, 75
Mayorga, Franklin 124
Badalán, Flavia 12 Mieres, Jorge 118
Barinas, Alexander 21 Mojica López, Marta 75
Betarte, Gustavo 12 Molinari, Lía 280
Blanco, Alejandro 12 Montaña, Cecilia 12
Bonifaz, Rafael 26 Mouratidis, Haralambos 144
Muracciole, Bárbara 12
Caballero, Ismael 214, 286
Camacho Estrada, Sara 214, 229, 244 Nogales, Rubén 154
Cano, Jeimy 34
Cardell, Sara D. 40 Pacheco, Federico 304
Climent, Joan-Josep 40 Parada Serrano, Diego 162
Constanzo, Bruno 199 Piattini, Mario 1
Corredor Chavarro, Felipe Andrés 45, 273 Piñeros, Brayan 45
Curti, Hugo 199
Ríos, Alberto 154
Di Iorio, Ana Haydée 199 Roca, Alicia 40
Díaz, Francisco Javier 173, 207, 280 Rodríguez, Beatriz 12
Rodríguez, Claudia 21
Eterovic, Jorge E. 83 Rodríguez, Hugo 53
Ron, Mario 173
Fernández-Medina, Eduardo 144, 214, 229, 244, 286 Rossenbach, 188
Flórez Abril, Angélica 53, 162 Ruiz De Angeli, Gonzalo 199
Franco Mora, Diana Cristina 273
Fuentes Rodríguez, Alberto 67 Sabolansky, Alejandro Javier 207, 280
Sánchez Crespo, Luis Enrique 214, 229, 244, 286
Rosado, David G. 1, 144, 229, 286 Santiago Cely, Claudia Patricia 312
Gayoso Martínez, Víctor 75 Santillán, José 300
Gioia, Cintia V. 83 Santos-Olmo Parra, Antonio A. 214, 229, 244, 286
Guevara, Cesar 91 Serrano, Lenin 53
Guevara, David 124, 154 Suárez, Luis Eduardo 53
Gómez Prada, Urbano 162
Vega, Edwin 300
Hecht, Juan 111 Venosa, Paula 207, 280
Hernández Encinas, Luis 67, 75 Vila Toscano, Christian Javier 259
Hernández, Leobardo 99 Villarraga, Alejandro 53
Vives Maccallini, Santi J. 259
IbarguengoitiaGonzalez, Guadalupe 1 Vázquez Cañas, Rodrigo 173
Igarza, Aldo S. 83
Izquierdo, Diego 45
Jadán Guerreo, Janio Lincoln 91

Jiménez, Ernesto 124, 154
Kamlofsky, Jorge 111, 118

POSGRADO EN SEGURIDAD
INFORMATICA
organizadores
POSGRADO EN SEGURIDAD
INFORMATICA
auspiciantes
patrocinadores
ISBN 978-959-23-2811-9

Actas Cibsi2017 UBA-1

Cargado por

Copyright:

Formatos disponibles

Actas Cibsi2017 UBA-1

Cargado por

Información del documento

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Actas Cibsi2017 UBA-1

Cargado por

Copyright:

Formatos disponibles

IX Congreso iberoamericano

Libro de Actas POSGRADO EN SEGURIDAD

Participaron especialistas de Latinoamérica y de Europa. Entre otros de Argentina, Brasil,

Comisión de Posgrado Maestría en Seguridad Informática UBA

Comité del Programa

Marco Aurelio Amaral Henriques State University of Campinas - Unicamp, Brasil

Best security practices in software engineering with

• Métrica 3 Gobierno • 2 Política y Cumplimiento (CP)

• Common Criteria • 6 Estandares y Requisitos (SR)

• NIST SDLC • 7 Análisis de la arquitectura (AA)

A continuación se presentan estos modelos y estandares:

Gobierno Construcción Verificación Implementación

Además, presenta requisitos para la seguridad de TI de un III. LA ESENCIA

Figura 4 "Estructura General de los Alfas"

Cada área tiene Alfas, Espacios de Actividades y

Alfa Figura 6 "Estructura General de Essence"

Por lo que se requiere extender la Esencia con aspectos de

Finalmente se realizó la integración de los aspectos de Gobierno SG

A. Armonización Donde se definen para cada una la Inicial de SAMM seguida de

Amenazas Requerimientos de Seguridad Pruebas Generales Entrenamiento Control de Procesos

Tabla 3 "La Esencia y los aspectos de seguridad a considerar"

Tabla 4 "Lista de verificación del Alfa Sistema de Software"

Demostrable • Las descripciones de la arquitectura están estandarizadas

Usable • Se han verificado los controles de seguridad pactados en los requisitos.

Operacional • La documentación de seguridad está actualizada y verificada

[1] M. Piattini Velthuis and F. Hervada Vidal, Gobierno de las Tecnologías y

Ma. Guadalupe E. Ibargüengoitia González is

Mario Piattini is MSc and PhD in Computer Science

David G. Rosado has an MSc and PhD. in Computer

 correspondencia, ni de ataques a su honra o a su reputación.

tratamiento de datos personales y a la libre circulación de estos A. Situación regional

Además, el citado Reglamento establece que los principios de

usuario salvo que éste realice una acción o cambie su

Cualquier sistema ha de estar configurado de forma o Redesign (rediseñar): implementar mejoras

de privacidad se basan en mecanismos básicos de ingeniería de

Una de las estrategias que ha sido recurrentemente utilizada

Protección (seguridad) Principio de Seguridad (art.

Methodology to evaluate security in the Moodle

- Leave the site out of service, which is known as Denial of - Implementation

- Careless coding Compromise

TABLE V. DESCRIPTION OF WEIGHTS

Taking as an example the metrics of management of coding

The NSA Surveillance Capabilities According to the

Figura 2: Fuete: https://edwardsnowden.com

Gran parte de los documentos del archivo de Snowden que

Figura 4: Fuente: https://edwardsnowden.com

A diferencia de STORMBREW y FAIRVIEW la

Figura 6: Fuente https://edwardsnowden.com

Las comunicaciones que resulten más interesantes se

Existen documentos que muestran que los Estados Unidos, a

cifrado. Ya sea a través de medios tecnológicos u otros como REFERENCIAS

Riesgo y seguridad. Un continuo de confianza

Cuando en el ejercicio de protección de la información, las

La armonía de los contrarios metodológicamente plantea

Considerando lo anterior, se plantea un caso particular

[10] Siponen, M. (2000) A conceptual foundation for organizational

Ataques de correlación sobre un LFSR vistos como

o equivalentemente, de paridad H que define el código debe ser transformada,

y, por tanto, obtenemos la igualdad de la expresión (10). Del 9 end

Observación 2: Algunos cálculos preliminares realizados pa- 13 end