La arquitectura de seguridad OSI, definida en X.800, describe cinco servicios básicos para proteger comunicaciones entre sistemas: autenticación, control de acceso, confidencialidad, integridad y no repudio. No dicta implementaciones: establece un marco para aplicar políticas y evaluar riesgos de amenazas y ataques.
En esta guía sintetizamos el modelo y cómo usarlo como mapa mental para evaluar tu entorno: qué protege cada servicio, cómo se relaciona con las políticas y por qué amenazas y ataques son el eje del análisis.
Tabla de Contenido
¿Qué es la arquitectura de seguridad OSI?
OSI significa “Open System Interconnection” y hace parte de los estándares de intercomunicación de sistemas. Además del conocido modelo de siete capas, existe una arquitectura de seguridad que enmarca servicios para proteger la comunicación entre sistemas.
La referencia formal es la Recomendación X.800, y el glosario de términos de seguridad complementario está en el RFC 2828 (glosario original; ver también RFC 4949 como versión actual del glosario). Para contexto general, puedes revisar X.800 en Wikipedia y el modelo OSI.
La esencia de la arquitectura se basa en la necesidad de que las organizaciones definan políticas de seguridad y servicios que permitan evaluar la protección de su información frente a amenazas y ataques.
Los cinco servicios de la arquitectura de seguridad OSI
La arquitectura propone cinco servicios. No son productos ni herramientas; son funciones de seguridad que guían decisiones y controles.
Autenticación
Confirma que la identidad de una o más entidades es verdadera, ya se trate de usuarios, procesos o sistemas. También corrobora que la información proviene de quien dice enviarla.
Control de acceso
Protege contra el uso no autorizado de recursos. Aplica a diversos tipos de acceso, como uso de medios de comunicación, lectura, escritura, eliminación de información y ejecución de procesos.
Confidencialidad
Evita la revelación deliberada o accidental de datos a entidades no autorizadas durante el almacenamiento o la transmisión.
Integridad
Asegura que los datos almacenados y/o transferidos no fueron modificados de forma indebida.
No repudio
Evita que emisores o receptores nieguen falsamente haber enviado o recibido un mensaje.
| Servicio | Aplicación |
|---|---|
| Autenticación | Validar identidad de entidades y origen de mensajes antes de otorgar confianza. |
| Control de acceso | Restringir operaciones (leer, escribir, ejecutar, eliminar) a entidades autorizadas. |
| Confidencialidad | Impedir divulgación no autorizada de datos en reposo o en tránsito. |
| Integridad | Detectar y prevenir modificaciones no autorizadas o accidentales. |
| No repudio | Disponer de evidencias para que emisor/receptor no puedan negar su participación. |
Políticas, amenazas y ataques
El texto base enfatiza que el propósito práctico de la arquitectura es ayudar a las organizaciones a definir políticas y evaluar su postura de seguridad. Desde ese prisma:
- Políticas de seguridad: reglas que determinan qué se protege, por qué y cómo se decide el acceso.
- Amenazas: posibilidad latente de violar el sistema de información.
- Ataques: materialización deliberada de una amenaza.
La combinación de políticas claras y los cinco servicios permite evaluar riesgos y priorizar controles en sistemas y comunicaciones.
Metodología paso a paso
- Definir el alcance: sistemas, datos y comunicaciones a proteger según las políticas.
- Identificar amenazas: qué podría comprometer autenticación, acceso, confidencialidad, integridad o no repudio.
- Mapear servicios a riesgos: para cada amenaza, señalar qué servicio de OSI la mitiga.
- Establecer criterios de evaluación: cómo verificar que cada servicio opera conforme a las políticas.
Preguntas frecuentes
¿En qué se diferencia el modelo OSI de la arquitectura de seguridad OSI?
El modelo OSI describe siete capas de comunicación. La arquitectura de seguridad OSI, definida en X.800, añade un marco de servicios de seguridad para proteger esas comunicaciones. No dicta productos ni implementaciones: orienta qué funciones (autenticación, control de acceso, etc.) se requieren para cumplir políticas.
¿Cuáles son los cinco servicios y para qué sirven?
Autenticación, control de acceso, confidencialidad, integridad y no repudio. En conjunto permiten verificar identidades, limitar operaciones, evitar divulgación de datos, detectar cambios no autorizados y disponer de evidencias sobre el envío/recepción de mensajes.
¿Por qué amenazas y ataques son centrales en esta arquitectura?
Porque el objetivo es evaluar y reducir el riesgo. “Amenaza” es la posibilidad de violar el sistema; el “ataque” es su ejecución deliberada. Las políticas determinan qué proteger y los servicios OSI orientan cómo evaluar esa protección frente a amenazas y ataques.
¿Dónde puedo consultar las definiciones oficiales?
En la Recomendación X.800 y en el glosario del RFC 2828 (consulta también el RFC 4949 como actualización del glosario).
Conclusión
Puntos clave: (1) X.800 define servicios, no herramientas. (2) Los cinco servicios cubren identidad, acceso, confidencialidad, integridad y evidencias. (3) Todo se alinea con políticas y evaluación de amenazas y ataques. Para profundizar en prácticas ofensivas y defensivas, revisa el Diplomado de Seguridad Informática Ofensiva o su edición en DragonJAR Education.
