Disponibilidad en seguridad informática
La disponibilidad es uno de los tres pilares de la seguridad de la información, junto con la confidencialidad y la integridad: consiste en que el sistema y los datos estén ahí cuando quien tiene derecho a usarlos los necesita. Es el pilar que menos se mira al diseñar y el primero que el negocio nota cuando falla.
Los tres pilares, y por qué este es el que se descuida
Confidencialidad, integridad y disponibilidad se enuncian siempre juntas, pero no se protegen igual. Las dos primeras se defienden añadiendo controles. La tercera se defiende muchas veces quitando controles o duplicando sistemas, y por eso choca con las otras dos bastante más de lo que se admite en las presentaciones.
El choque es cotidiano. Cifrar una copia de seguridad protege la confidencialidad y añade una llave que se puede perder. Exigir un segundo factor protege el acceso y deja fuera a quien pierde el teléfono un domingo. Un control de cambios estricto protege la integridad y retrasa el parche urgente. Ninguna de esas decisiones es incorrecta, pero todas se toman a costa de la disponibilidad, y conviene tomarlas sabiéndolo.
En España el marco que obliga a mirarlo de frente es el Esquema Nacional de Seguridad, que no valora un sistema en bloque, sino por dimensiones, y la disponibilidad es una de ellas. Clasificar un servicio en una categoría obliga a poner por escrito cuánto tiempo puede estar caído antes de que el daño deje de ser aceptable.
Qué la rompe
Los ataques que van a por ella son pocos y conocidos. La denegación de servicio distribuida agota un recurso hasta que el servicio deja de responder también a quien sí tiene derecho a usarlo. Y el ransomware es, antes que nada, un ataque contra la disponibilidad: cifra para que no puedas usar lo tuyo, y la filtración de datos llegó después como añadido para presionar.
Pero la mayor parte de las caídas no son ataques. Son un disco que se llena, un certificado que caduca, un proveedor del que se depende sin saberlo, un cambio desplegado un viernes por la tarde. La disciplina que las evita es la misma que evita media lista de incidentes de seguridad, y por eso la gestión de parches y la gestión de cambios aparecen en los dos sitios.
Y queda una tercera categoría que casi siempre se olvida: la recuperación que no funciona. Una copia de seguridad que nadie ha restaurado nunca no es una copia, es una suposición. Cuando el incidente es el del párrafo anterior, además, la copia tiene que ser inmutable, porque el repositorio de copias es exactamente lo primero que el atacante busca.
Cómo se mide
La disponibilidad se expresa como objetivo, no como deseo, y son tres números distintos que se confunden a menudo. El porcentaje de tiempo en servicio dice cuánto puede estar caído en total: un objetivo del 99,9% anual son 8,76 horas de parada al año, porque el 0,1% de las 8.760 horas que tiene un año es eso.
El RTO, objetivo de tiempo de recuperación, dice cuánto puede tardar en volver un servicio que se ha caído. El RPO, objetivo de punto de recuperación, dice cuántos datos se acepta perder, medido en tiempo: un RPO de una hora significa asumir que se pierde el trabajo de la última hora. Los dos se fijan servicio por servicio y desde el negocio, no desde el departamento de sistemas, porque quien sabe lo que cuesta una parada es quien la sufre.
El error habitual es poner los tres números iguales para todo. Un sistema que factura y un servidor de ficheros interno no merecen el mismo objetivo, y prometer para el segundo lo que hace falta para el primero es la forma más rápida de no cumplirlo en ninguno de los dos.
Dónde aparece esto en una auditoría
Un test de intrusión no tira nada. La denegación de servicio queda fuera del alcance salvo pacto expreso, y eso se escribe en las reglas del encargo antes de empezar. Lo que sí se mide es la superficie por la que se podría tirar, y sobre todo si la recuperación es real o es un documento.
Las preguntas son concretas. ¿Está la consola de copias dentro del mismo dominio que los servidores a los que copia? ¿Puede una cuenta comprometida borrar las copias o cambiarles la retención? ¿Cuándo fue la última restauración de prueba y quién firmó el resultado? ¿Existe la lista de servicios ordenada por lo que cuesta tenerlos parados, o eso se decidirá durante el incidente? Esa última pregunta es la que separa un plan de respuesta a incidentes de una intención.
En un encargo de adecuación al Esquema Nacional de Seguridad las respuestas dejan de ser buenas prácticas y pasan a ser requisitos con nombre y número, porque la dimensión de disponibilidad determina qué medidas son obligatorias para ese sistema y cuáles no.