Muchas veces hemos oído hablar de Computación Confiable (Trustworthy Computing, TwC). Si bien se trata de un concepto que ha logrado una importante difusión en los últimos tiempos, es necesario delimitar con claridad cuál es su función en el desarrollo de Tecnologías de la Información.
Para ello, la mejor forma de conocer más acerca de este novedoso concepto es a través de una serie de preguntas, que orientan el sentido de este concepto.
La iniciativa de TwC (Trustworthy Computing) fue diseñada por Microsoft con un enfoque de trabajo colaborativo a largo plazo que busca crear y disponer para la comunidad en general una computación basada en best practices más segura, privada y confiable. La computación se ha vuelto día a día en una parte esencial de nuestras vidas, pero la confianza para el uso de la misma es vital para garantizar su uso, su mejora y su continuidad.
TwC surgió en el 2001 como una necesidad concreta del mercado y la comunidad general sobre la importancia de contar con soluciones que consideren los aspectos de seguridad tanto como aquellos aspectos de operación y funcionalidad.
En función de lo anterior, Microsoft respondió con el modelo TwC basado en 4 pilares: Seguridad, Privacidad, Confiabilidad y Mejores prácticas.
Seguridad: garantizar la seguridad de los sistemas y la información contra ataques (basado en un enfoque que considera a las tecnologías, las personas y los procesos como bases de la Seguridad.)
Privacidad: mantener segura la información personal, financiera e identidad; mientras su control y uso quedan a disposición de su dueño.
Confiabilidad: utilizar software resistente y confiable para atender las necesidades del usuario y el negocio.
Mejores prácticas: el objetivo de Microsoft de ser responsable y transparente, con foco interno en la excelencia de nuestros procesos y decisiones, considerando las mejores prácticas de la industria.
Desde Microsoft trabajamos muy duro para mejorar a diario en todas estas áreas y construir “Confianza” (trust)
¿Cuáles son los componentes de TwC?
Seguridad
• Resistente a ataques
• Protege la confidencialidad, integridad y disponibilidad de los datos y sistemas
Privacidad
• Individuos controlan sus datos personales
• Productos y servicios online adhieren a principios de información básicos
Confiabilidad
• Excelencia en Ingeniería
• Confiable y con desempeño acorde a expectativas
• Disponible cuando se necesita
Business Practices
• Interacción abierta y transparente con clientes
• Atender problemas con productos y servicios
• Ayudar a los clientes a encontrar soluciones apropiadas
¿Qué surgió como resultado de la creación de la iniciativa TwC?
Como resultado de TwC y sus pilares de Seguridad, Privacidad, Confiabilidad y Mejores Prácticas, se diseñó el modelo de SDL (Secure Development Life Cycle ó Ciclo de vida de desarrollo seguro) y el MSRC (Microsoft Security Response Center). Con ambos modelos, Microsoft ratificó su compromiso indeclinable con la problemática de seguridad y las necesidades informadas por la comunidad IT en general.
SDL (Secure Development Life Cycle ó Ciclo de vida de desarrollo seguro)
Básicamente SDL establece que todo el software desarrollado por Microsoft estará sujeto a un estricto, riguroso y exigente proceso que verificará que todas las cuestiones referidas a seguridad y control hayan sido cumplidas y consideradas antes de liberar el producto al mercado. Este modelo se lo conoce también como SD^3 ó SD * 3 ya que establece que el software desarrollado deberá ser seguro por “default”, por “diseño” y por “desarrollo”.
SDL se complementó con un riguroso entrenamiento de los miles de programadores de Microsoft en los temas de seguridad en infraestructura, en aplicaciones y en diseño. Desde el momento que un Software es pensado para su desarrollo, ingresa automáticamente en el modelo de SDL en el cual e establecen diferentes actividades, algunas de ellas son:
• Diseño de un modelo de amenazas (considerando lo que hará dicho Software, en que y con que plataforma o tecnologías se conectaría, etc.)
• Pruebas de concepto y aplicación de estándares.
• Pruebas focalizadas y revisión de código.
• Pruebas de intrusión, etc.

MSRC (Microsoft Security Response Center)

La actitud proactiva en Seguridad de la información es clave para mitigar el riesgo asociado a cualquier problema y por ende, el enfoque que Microsoft decidió utilizar para informar sobre las

mejoras aplicables a los productos y soluciones es MSRC. En este sentido, el segundo martes de cada mes, Microsoft informa proactivamente a todos sus clientes y a la comunidad en general, cuales fueron las mejoras que deben instalar en sus plataformas para corregir los eventuales problemas detectados. Para complementar lo anterior, Microsoft trabaja con un gran número de profesionales, socios de negocios, entidades y organizaciones académicas investigando a diario las mejoras necesarias.

Ciclo de vida de Desarrollo Seguro (SDL)

Cuando hablamos de esta metodología de trabajo, distinguimos cuatro pilares de desarrollo:

Seguro por diseño

• Modelado de Amenazas
• Inspección de Código
• Pruebas de Intrusión

Seguro por default

• Funcionalidades no utilizadas, por omisión deshabilitadas
• Reducir área de ataque
• Mínimos Privilegios

Seguro para implementar

• Guías Prescriptivas
• Herramientas de Seguridad
• Capacitación y entrenamiento

Comunicaciones

• Compromiso con la Comunidad
• Transparencia
• Políticas claras

Microsoft Security Response Center (MSRC)

Entre sus funciones se destacan las siguientes:

Investigar y resolver informes de vulnerabilidad

• Listas de monitores de seguridad
• Un solo punto de coordinación y comunicación

Procesos de Microsoft Security Response

• Hacerse cargo y coordinar el proceso en toda la compañía
• Trabajar para prevenir problemas por medio de la ingeniería de seguridad y cambios en el proceso de desarrollo

Creación de asociaciones y comunicaciones

• Colaborar con la ley y grupos influyentes del sector
• Crear una comunidad con descubridores de vulnerabilidades

En el proceso de creación de una iniciativa basada en TwC requiere a su vez la creación de un Esquema de comunicación y divulgación, que posee distintas etapas internas. Estas son:

Antes de la publicación

• Notificación avanzada de boletines de seguridad: tres días hábiles antes de la publicación

Segundo martes (Día de publicación)

• Actualizaciones enviadas al centro de descarga, la actualización de Windows o la actualización de Office
• Boletines publicados
• Notificaciones a los clientes a través de correo electrónico y servicio de mensajes instantáneos
• Divulgación en la comunidad
• Alertas y avisos a MS Field

Tras la publicación

• Conferencia en línea sobre el boletín de seguridad
• Conferencias en línea adicionales si fuese necesario
• Supervisar los problemas de los clientes y la respuesta en el boletín a través de los Servicios de soporte técnico y Windows Update
• Mantenimiento del boletín

Algunas estadísticas de las mejoras de TwC

Como resultado de un modelo exitoso de acción proactiva y exigentes procesos de seguridad en el ciclo de desarrollo, los reportes de incidentes disminuyeron considerablemente.

Algunas estadísticas de las mejoras de TwC

Carta al lector

Es importante hacer un análisis sobre lo que significa “confianza ó trust” cuando hablamos de sistemas de información, de tecnologías, de software de aplicaciones, etc.

En la realidad, las tecnologías y el software son utilizados en ambientes tan divergentes como el fin para el cual sirven. En ese contexto, las cuestiones de seguridad tienden a ser un diferenciador para el usuario o la organización.

Las tecnologías evolucionan a diario porque el mundo, los negocios, las necesidades y las expectativas también lo hacen y con esta evolución también sus riesgos inherentes.

Es cierto y necesario entender que el riesgo cero no existe, vale decir que siempre estaremos frente al riesgo. Nuestro principal desafío es ser proactivo y mitigar el riesgo para llevarlo a un nivel aceptable. ¿Que significa “un nivel aceptable”? Bueno, básicamente establecer un equilibro entre mi inversión en controles de seguridad VS la importancia que tiene para mi ó mi negocio lo que pretendo asegurar.

En función de lo expuesto anteriormente, se hace mas sencillo entender porque la Seguridad de la información debe ser tratada como un proceso mas del negocio, por lo tanto debe ser dinámica, evolutiva y proactiva. Es por esto que deberemos trabajar en los aspectos de seguridad a diario, y no sentir frustración alguna porque aparecen nuevas vulnerabilidades o problemas de seguridad que debemos atender.

La lucha contra los hackers, troyanos, virus y nuevas amenazas seguirá existiendo, ya que se trata de un riesgo propio e inherente de las Tecnologías de la Información. Por eso es necesario trabajar en un modelo proactivo y de mejora continua, para mitigar de la mejor forma posible, ese riesgo permanente con el que debemos convivir.

Ahora bien: este problema de la seguridad es de todos y de toda la industria, por eso, si consideramos que el software de Microsoft tiene una amplísima base instalada en todo el mundo, se hace entendible porqué estamos siempre sujetos a estos niveles de ataque.

Pero como mencioné antes, la seguridad debe ser un proceso constante y evolutivo, por lo cual no debemos frustrarnos por estos inconvenientes y debemos trabajar proactivamente en mejorar y mitigar los riesgos. Esto es lo que hacemos en Microsoft y el compromiso con nuestros clientes es el principal motor de esta iniciativa.

Seguiremos trabajando en desarrollar más y mejor tecnología que permita a las personas potenciar al máximo sus capacidades de manera segura.

Ing. Pablo A. Anselmo

Gerente de Seguridad Informática de Microsoft Cono Sur

Publicado en la web de la Microsoft en español el 20 de febrero de 2007