Hay muchos tipos de amenazas que enfrentan los sistemas de información. Los accidentes, los errores de software, las fallas de hardware o las influencias ambientales, como incendios, pueden afectar el funcionamiento de la empresa. Cada una de estas amenazas requiere una planificación adecuada y un rango de actividad.
El autor de las amenazas criminales puede ser el control. Las amenazas maliciosas también cubren una amplia red interna o externa a la organización. La actividad puede ser de un individuo, un grupo suelto, elementos criminales organizados, corporaciones o gobiernos. Si bien el motivo y las amenazas criminales son importantes para evaluar el riesgo, cualquier ataque contra la infraestructura de información del negocio puede causar una interrupción severa y puede resultar en la pérdida de fondos, productividad, participación de mercado o reputación.
La actividad delictiva contra los sistemas de información está creciendo. Este aumento se debe en parte a:
- Los objetivos comerciales tradicionales del crimen se están moviendo cada vez más hacia operaciones basadas en computadora.
- El conocimiento general de los conceptos informáticos básicos y las posibilidades de explotación se están generalizando entre el público.
- El aumento de la conectividad y los controles de seguridad ineficaces permiten un mayor acceso a la información y los servicios al tiempo que brindan anonimato.
- Algunos elementos del estereotipo de “hacker” aficionado están evolucionando hacia actividades de motivación más delictiva.
Casi todos los tipos de delitos en el mundo físico tienen, o probablemente pronto tendrán, una contraparte en línea basada en computadora. De hecho, las redes se convierten en una herramienta más para promover los objetivos delictivos. Dicho esto, existen varios criterios fundamentales para que la mayoría de los delincuentes con fines de lucro utilicen los sistemas de información.
Los sistemas de información proporcionan un bajo nivel de autenticación y, por lo tanto, un mayor grado de anonimato. Esto disminuye la posibilidad de arresto en algunos casos, incluso detectando que se ha producido un delito.
Hoy en día, la actividad delictiva contra los sistemas de información se puede clasificar de la siguiente manera:
- Intrusos de bajo nivel:
este grupo representa un subconjunto de «hackers» estereotipados. Estos individuos pueden evolucionar desde allanamiento de morada y vandalismo en línea a una actividad más delictiva, como el robo de información, la extorsión y el fraude con tarjetas de crédito. Además, este grupo es un conjunto de recursos potenciales para que elementos criminales más condicionales los exploten, ya sea directa o indirectamente.Por ejemplo, en 1995, un grupo de «piratas informáticos» de bajo nivel fue arrestado por usar sistemas informáticos para robar números de tarjetas de crédito. Estos números se vendieron a grupos del crimen organizado con sede en Europa para fraude de telecomunicaciones.
- Fraude con fines de lucro: la
actividad en línea de este grupo es muy variable y puede incluir estafas, extorsión y publicidad engañosa. robo, fraude de valores o transferencias ilegales de fondos. Muchos de estos casos están clasificados como delitos asistidos por computadora. En otras palabras, los sistemas de información se utilizan como herramienta, no como objetivo.Por ejemplo, el fraude de documentos estuvo involucrado en un caso multimillonario que involucró el robo de un par de bancos de California el año pasado utilizando software y equipos de autoedición para crear cheques de nómina falsos.
- Crimen organizado:
muchos elementos del crimen organizado reconocen que necesitan comprender y utilizar los sistemas de información para mantener su nivel tradicional de influencia e ingresos. La motivación para que el crimen organizado se involucre en los sistemas de información de alta tecnología va más allá del simple fraude y la extorsión para incluir la vigilancia de las fuerzas del orden, el lavado de dinero y la comunicación segura y anónima. - Grupos marginales: políticos, religiosos y anarquistas:
aunque este grupo rara vez tiene motivos fraudulentos, ha habido un mayor uso de los sistemas de información por parte de algunos grupos para promover sus agendas. La mayoría de los ataques en este campo han resuelto el robo de información o los ataques de denegación de servicio.Un ejemplo reciente fue el intento del German Chaos Computer Club de interrumpir las telecomunicaciones francesas y las infraestructuras de Internet para protestar contra las pruebas nucleares francesas.
- Espionaje industrial y sabotaje:
debido a que pocas empresas denuncian casos de espionaje industrial, es difícil producir estadísticas precisas. - Espionaje internacional y guerra de información:
han salido a la luz varios casos bien documentados de agencias de inteligencia nacionales que recopilan información económica para ayudar a las empresas de su nación en situaciones competitivas. Algunos de los métodos para recopilar esta información se han extendido a los intentos de acceder a los sistemas de información y comunicación. - Terrorismo:
se han descubierto varios indicadores de que las organizaciones terroristas tradicionales ven los sistemas de información como herramientas y objetivos potenciales. En particular, la capacidad de recopilar información de objetivos de registros de crédito, instituciones financieras y proveedores de atención médica parece ser una amenaza creciente demostrada recientemente por IRA.