Herramientas de la Confianza

En el post "Dimensiones de la Confianza en e-Business" identificamos algunas áreas que agrupan criterios de seguridad, pero desde la óptica del negocio. También enunciamos algunas preguntas, que deben responderse con soluciones que combinen aspectos de operación y elementos de tecnología.

En este artículo, identificaremos algunas de las técnicas o metodologías que pueden ser aplicadas para resolver dichas preguntas.

Las dimensiones

Recordando las dimensiones que formalizamos en el artículo anterior, estas corresponden a:

1. La certeza de la identidad (con quién estoy haciendo el negocio)
2. La certeza de la oportunidad (el cuándo)
3. La definición precisa de las medidas de satisfacción
   
4. La suscripción irrevocable del acuerdo por cada parte
   
5. La certidumbre del proceso, tanto en operación normal como en condiciones de excepción
6. La experiencia y comportamiento histórico de cada parte (para predecir comportamientos futuros)
7. La declaración de las condiciones de entorno en la cual se desarrollará el acuerdo
   

Con estas dimensiones, podemos entonces establecer una matriz de riesgo/respuesta, que permitirá guiar adecuadamente las decisiones que el marquitecto realizará, para definir los requerimientos de implementación.

Justificando el método

Más de alguien se preguntará: ¿Y por qué esta metodología? ¿Cuál es el beneficio de su aplicación?

La inquietud de la formalización surge principalmente de la experiencia en múltiples proyectos, donde por lo general, se opta por utilizar tecnologías de última generación, pero sin un claro análisis del "por qué" se incorporan dichas tecnologías.

En muchos casos, la decisión se toma por "moda" (tecnología que los medios promueven como "la solución a todos los problemas"), por desconocimiento o simplemente por un viejo adagio popular chileno: "poner la carreta delante de los bueyes", es decir, tratar de identificar elementos de tecnología y después buscar cómo se insertan en el proceso de negocio (y en muchos casos, porque a los tecnólogos nos encanta poder experimentar con las últimas tecnologías emergentes :-)

Indudablemente, estas recomendaciones no pretenden reemplazar modelos formales de aproximación como COBIT o ISO 27001, que dan cuenta de un aseguramiento global para la Gobernabilidad TI en una organización y que indudablemente cubren en forma mucho más completa estos aspectos.

Pero en muchos casos, esos modelos no son aplicados, además que contemplan ámbitos más extensos que un proceso de e-business en particular.

Por ello, estos 7 dominios de seguridad para un proceso de e-business desde el punto de vista del negocio, permiten construir una guía rápida de requerimientos y que podrán ser complementario a los procesos formales ya indicados.

Dimensión	Riesgos posibles	Soluciones Posibles
Certeza de la Identidad (Quién)	Identity Theft, Skimming, Phishing	Infraestructuras PKI, Biometría, Tokens no reproducibles (SmartCards)
Certeza de la Oportunidad(Cuándo)	Denial of Service, Time Fraud	Redes y Arquitecturas de Alta Disponibilidad, Contención, Time Stamping
Medidas de Satisfacción (Qué)	Modificación de Contratos, Alteración de Medidas de Control	Contratos Electrónicos, Hashing, Third Trustee Party
Suscripción irrevocable del acuerdo	Repudiación de las partes	Firma Digital, Archiving de Operaciones, Ventanas de Tiempo
Certidumbre del Proceso (Cómo)	Man in the Middle, espionaje, reemplazo de componentes	Encriptación de Contenido, Garantización, Tampering Proof Devices, Scrambling de Software
Predictibilidad y Comportamiento Histórico	Presentación de credenciales falsas, alteración de datos históricos	Bases de Información Histórica, Predictores de Riesgo, Archiving, "Trustees", Terceras Partes Confiables
Condiciones de Entorno	Violación de Privacidad, Alteración de Contexto de Obviedad	Marco normativo jurídico aplicable, Declaración de Políticas y Prácticas, Contratos de adhesión explícita

Con esta matriz, siendo simple su aplicación, podremos entonces determinar las tecnologías y procedimientos adecuados de seguridad, como una primera aproximación y que a su vez permite realizar un diagnóstico rápido para determinar si el análisis preliminar cubre todas las dimensiones necesarias. Tal como indiqué en el artículo anterior, no hay "recetas mágicas" aplicables a todo proceso de e-business, por lo cual la experiencia y el "olfato" del arquitecto de la solución siguen siendo fundamentales al momento del diseño.

Stay Tuned!