Desde los orígenes de la humanidad siempre ha existido la necesidad de contabilizar y administrar los recursos disponibles. Siglos después la metodología fue mejorando hasta nuestros días, donde se le conoce con el nombre de auditoría, existiendo diferentes modalidades, pero siempre con el mismo fin.
La auditoría informática reviste vital importancia en el correcto desempeño de los sistemas de información, así como de los niveles de seguridad. Los avances tecnológicos en informática y computación están en continua mejora, condición que genera limitaciones para desarrollar nuevas oportunidades comerciales y conlleva a cometer posibles errores.
Antes de iniciar cualquier proceso, se realiza un análisis general de la organización objeto de la auditoría. También permite realizar inventarios, revisar los mecanismos de control y gestión. En cuanto al hardware, se puede conocer qué tipo de procesador tiene las computadoras, la memoria, service packs, capacidad de almacenamiento, particiones y medios usados. Es la que se realiza a lo interno de la empresa.
Conceptos Fundamentales de la Seguridad Informática
Para poder comprender el concepto integral de la seguridad informática, es indispensable entender los diversos conceptos básicos que la rigen, ya que de otra forma no es posible establecer una base de estudio. Los enunciaré a continuación:
- Recursos Informáticos: El equipo de cómputo y telecomunicaciones; los sistemas, programas y aplicaciones, así como los datos e información de una organización. También se les conoce como "activos informáticos".
- Amenaza: Fuente o causa potencial de eventos o incidentes no deseados que pueden resultar en daño a los recursos informáticos de la organización.
- Impacto: La medida del efecto nocivo de un evento.
- Vulnerabilidad: Característica o circunstancia de debilidad de un recurso informático la cual es susceptible de ser explotada por una amenaza.
- Riesgo: La probabilidad de que un evento nocivo ocurra combinado con su impacto en la organización.
- Principio básico de la seguridad informática: La seguridad informática no es un producto, es un proceso.
El objetivo primario de la seguridad informática es el de mantener al mínimo los riesgos sobre los recursos informáticos, -todos los recursos- y garantizar así la continuidad de las operaciones de la organización al tiempo que se administra ese riesgo informático a un cierto costo aceptable. Para ello utilizaremos estructuras organizacionales técnicas, administrativas, gerenciales o legales.
Lea también: Auditoría de Calidad: Ejemplo y Guía
El objetivo secundario de la seguridad informática -y subrayo que es de nuestro especial interés desde el punto de vista de la preservación documental- consiste en garantizar que los documentos, registros y archivos informáticos de la organización mantengan siempre su confiabilidad total. En un contexto archivístico y en donde tratamos de interoperar un enfoque de seguridad informática con uno de preservación digital, podemos establecer esa confiabilidad como la unión de seis características esenciales:
- Permanencia
- Accesibilidad
- Disponibilidad
- Confidencialidad (privacidad)
- Autenticidad (integridad)
- Aceptabilidad (no repudio)
Permanencia y Accesibilidad
La característica de permanencia estará asociada a la medida en la que podemos asegurar que el documento existirá y estará disponible por un lapso considerable, si es necesario, eternamente. Está asociada con su presencia, su existencia, y ellas dependen obviamente de su protección, su salvaguarda y por supuesto, de la duración y continuidad de su soporte físico.
Es común confundir esta característica con la de accesibilidad, la cual tiene que ver con que el documento, existiendo, pueda ser accedido por nosotros y sea visible. Son dos conceptos distintos. Distingamos bien entre almacenamiento permanente seguro -la "permanencia"- y el acceso futuro -la "accesibilidad"-. Respecto al primer concepto, la permanencia depende del almacenamiento permanente seguro.
Para asegurar este almacenamiento de objetos digitales, -en este caso documentos de archivo- se requiere de estrategias, procedimientos y técnicas adecuadas para crear, operar y mantener archivos documentales a largo plazo. Tales estrategias deben permitir preservar la cadena de bits y sus formatos. Por lo mismo se deben diseñar y llevar a cabo meticulosamente esas técnicas y procedimientos para la conservación tanto de los soportes documentales como de sus contenidos digitales: la información del documento en sí misma y los metadatos asociados a él. La preservación del soporte, la cadena de bits, su estructura y su formato nos da la permanencia.
El acceso futuro de los objetos digitales almacenados es otra cuestión. ¿Cómo asegurarnos de que -después de haberse conservado en buen estado- vamos a poder ver o reproducir estos documentos dentro de los archivos dentro de veinte, cincuenta o doscientos años? Es decir: ¿cómo garantizaremos nuestra capacidad de interpretar y reproducir correctamente las cadenas de bits ...
Lea también: Auditoría y las Líneas de Defensa
Relación con la Preservación Documental Digital
Subrayo entonces que preservación documental no es sinónimo de seguridad informática: la preservación de documentos de archivo se define como: el conjunto de principios, políticas, reglas y estrategias que rigen la estabilización física y tecnológica así como la protección del contenido intelectual de documentos de archivo adquiridos, con objeto de lograr en ellos una secuencia de existencia a largo plazo continua, perdurable, estable, duradera, ininterrumpida, inquebrantada, sin un final previsto.
Esto es válido tanto para documentos de archivo sobre soportes "tradicionales" como para documentos de archivo digitales. Sólo que en este último caso habría que agregar a la definición: en el caso de preservación documental digital debe establecerse específicamente cómo esos documentos serán conservados durante y a través de las diferentes generaciones de la tecnología a través del tiempo, con independencia de donde residan -sus soportes- y de cómo estén representados -sus formatos-.
Conscientes de esta diferencia, es de suma importancia reflexionar acerca del hecho de que no puede haber ni gestión documental -corto a mediano plazo- ni preservación documental -mediano a largo plazo- sin que la información haya sido contemplada bajo los conceptos de la seguridad informática desde un principio, desde su mismísima creación. La seguridad informática nos maximiza la probabilidad de que la información -entre otros recursos informáticos- se mantenga libre de daños y por tanto opere cotidiana y correctamente.
Es una herramienta que puede ser utilizada en reservorios de corto-mediano plazo y que a su vez nos permitirá que la parte de esa información que así establezcamos se pueda preservar a largo plazo. Por lo mismo podemos concluir que la seguridad informática forma parte de la preservación documental digital y no al revés. La primera es subconjunto de la otra.
Lea también: Auditorías Ambientales: Una Guía