Subsistema de evaluación del riesgo de Seguridad de la Información de SASGBD

Abstract

El Departamento de Seguridad Informática (DSI) de la Empresa de Telecomunicaciones de Cuba S.A. (ETECSA) tiene entre sus principales responsabilidades garantizar y mantener la integridad de los datos en los Sistemas Gestores de Bases de Datos (SGBD). Por tal motivo, las auditorías de seguridad informática son parte esencial de las actividades llevadas a cabo por el departamento, siendo las evaluaciones del riesgo de seguridad de la información uno de los principales aspectos a tener en cuenta. Para realizar todo el proceso de auditoría se cuenta con el Sistema para la realización de Auditorías a los Sistemas Gestores de Bases de Datos (SASGBD), pero en estos momentos la aplicación no es capaz de ofrecer una evaluación de las auditorías tan acertada como la puede ofrecer un especialista del DSI. Con el propósito de contribuir con el proceso de toma de decisiones a la hora de evaluar las auditorías, se desarrolla un subsistema para la evaluación del riesgo de seguridad de la información; utilizando el razonamiento basado en casos y la lógica difusa. De esta manera se aprovecha la experiencia acumulada en las auditorías anteriores de este tipo y se evalúa el nivel de riesgo al cual está sometido el sistema auditado. Para la implementación de la propuesta de solución, se seleccionaron como principales tecnologías: los marcos de trabajo Spring e Hibernate para la programación en Java, el SGBD PostgreSQL 9.1 y Visual Paradigm 8.0 como herramienta para el modelado. El proceso de desarrollo fue guiado por la metodología RUP.