Fonaments de Seguretat en Aplicacions Web
Establim les bases teòriques de la ciberseguretat: protegir els actius de negoci front a amenaces en sistemes interconnectats.
Què és la Ciberseguretat? (Concepte ISACA)
Segons l'estàndard ISACA, la ciberseguretat és la protecció dels actius d'informació front a les amenaces que la processen, emmagatzemen i transporten mitjançant sistemes interconnectats.
Per aplicar-la correctament, hem de conèixer dos factors clau:
Plans de negoci i entorn empresarial
Què volem protegir i per què. Exemples: el prestigi d'un banc o la base de dades d'una botiga online.
Tecnologia disponible
Quines eines tenim a l'entitat per fer front a les amenaces i implementar les controls de seguretat necessaris.
La Tríada CIA: Les 3 Dimensions Clau
La seguretat de la informació es basa en un conjunt de mesures preventives i reactives per resguardar la informació mantenint tres dimensions fonamentals:
Confidencialitat
Garantir que la informació només sigui accessible per aquells que tenen el permís corresponent.
Que un atacant no pugui llegir els números de targeta de crèdit de la base de dades de l'e-commerce.
Integritat
Protegir l'exactitud i completitud de les dades contra alteracions no autoritzades.
Que un usuari no pugui modificar el saldo del seu compte bancari a l'App Fintech mitjançant una injecció de codi.
Disponibilitat
Assegurar que els sistemes i la informació estiguin accessibles i operatius sempre que siguin necessaris.
Que la web no caigui durant un atac de Denegació de Servei (DoS), permetent que els clients continuïn comprant.
Dimensions Esteses (Seguretat Informàtica)
Més enllà de la tríada clàssica, per a una auditoria completa cal considerar tres dimensions addicionals:
Autenticació
Verificar la identitat real dels usuaris o sistemes. La pregunta clau és: "Qui dius que ets?"
Autorització
Controlar els permisos segons la identitat. La pregunta clau és: "Què tens permès fer?" Un error aquí provoca el risc OWASP A01: Broken Access Control.
Auditoria
El registre d'esdeveniments i monitoratge per detectar accessos no autoritzats i saber què ha passat després d'un incident.
El Cub de McCumber (1991) i els Estats de la Dada
La seguretat no és una foto fixa, sinó que depèn de l'estat en què es troba la informació. El Cub de McCumber ens obliga a avaluar la Tríada CIA en tres estats:
Protecció de la base de dades on es guarden els números de compte.
Protecció de la dada mentre viatja des de l'App mòbil fins al servidor del banc.
Protecció de la dada mentre el servidor la fa servir per realitzar un càlcul o transferència.
Les 5 Funcions Clau per a Actius Digitals (NIST)
Per protegir els actius digitals d'una empresa, el marc del NIST proposa un cicle de 5 funcions:
🔍 Identificar
Conèixer quins actius tenim: servidors, APIs, dades de clients.
🛡️ Proteger
Implementar les salvaguardes: firewalls, xifrat, controls d'accés.
👁️ Detectar
Monitoritzar per trobar activitats sospitoses ràpidament.
⚡ Respondre
Actuar quan es confirma un atac per minimitzar l'impacte.
♻️ Recuperar
Restaurar les dades i serveis afectats per tornar a la normalitat.
