Post on 27-Jun-2015
SUGERENCIAS PARA MEJORAR LA
SEGURIDAD EN LAS OPERACIONES DE PD O CENTRO DE CÓMPUTO O ÁREA DE SISTEMAS
Integrantes :Díaz Chonta, Junior Díaz Cuba, HarleyGarcía Arias, MarianoGuerrero Alfaro, MarcoGutiérrez Núñez, Alex
PREPARAR CUIDADOSOS PROCEDIMIENTOS PARA PROTEGER PROGRAMAS,
INSTRUCCIONES DEL PROCESO
Caso: Protección de un software en una Empresa
Software¿PROTEGER?
Programadores
debuggers/desensambladores
DESCIFRAR CÓDIGO
Empresa
IMPLANTAR UNA LICENCIA- NOMBRE DEL USUARIO
- CONTRASEÑA
DISPONIBILIDAD DEL SOFTWARE
CADUCACION DE LA CONTRASEÑA Y
CAMBIO
IMPLANTAR UNA LICENCIA- NOMBRE DEL USUARIO
- CONTRASEÑA
Software
Jefe de cada Área
Destinado
Empresa
Software
Usuarios
DISPONIBILIDAD DEL SOFTWARE
Manipulan
Software
CADUCACION DE LA CONTRASEÑA Y
CAMBIO
Password
Software
Encriptar
Software para encriptar: CryptoForge
Determinar Procedimientos para Controlar los Programas de Aplicación
Adicionalmente a proteger sus programas de Aplicación como activos, es a menudo necesario establecer controles rígidos sobre las modificaciones a los programas, para estar seguros de que los cambios no causan daños accidentales o intencionados a los datos o a su uso no autorizado.
Implementación o Mantenimiento de Software
AREA DE TI
AREA DE DESARROLLO
AREA DE SOPORTE
AREA DE REDES
CONTROL DE CALIDAD
FASES DEL PROYECTO
REQUERIMIENTO
Ejm: - Mensajería.- Trámite documentario.- Rueda de negocios.
1) ACTA DE INICIO
DESIGNACION DEL EQUIPO
DE DESARROLLO
2) ACTA DE REQUERIMIENTO REUNIONES CON LOS USUARIOS IDENTIFICACION DE LA PLATAFORMA EN EL
QUE SE DESARROLLARA EL SOFTWARE.
3) ACTA DE CONTRUCCION
FORMATOS DE DESARROLLO NTP Nro. 12277 DISEñO DE LA ARQUITECTURA - ESTRUCTURADA. - VISTA CONTROL. - P. EN CAPAS.
SISTEMA: ADMINISTRADOR DE LA INTRANET
1) Máster Page del sistema
2) Arquitectura de la programación en capas
3) Capa de Entidades (ejm: ClsArchivoEnt)
4)Capa Lógica (ejm: ClsDocumentoLog)
5) Capa de Acceso a Datos (ejm: ClsDoucmentoDat)
6) UI – Interfaz de Usuario (ejm: adm_documentos.aspx)
4) ACTA DE CONTROL DE CALIDAD PARTICIPANTES:
- JEFE DE AREA DE TI
- USUARIO LIDER
- ENCARGADO DEL AREA DE CONTROL DE C. LOCACION:
- SERVIDOR DE PRUEBAS.
5) ACTA DE CIERRE O PASE A PRODUCCION SERVIDOR DE PRODUCCION. SOFTWARE / FECHA DE EJECUCION. MAUAL DE USUARIO. MANUAL DE INSTALACION.
PREPARAR PROCEDIMIENTOS DE
CONTROL PARA EL USO DE LOS REPORTES
CASO: REPORTES DE BUSINESS INTELLIGENCE
ACERCA DEL USO DE CAJEROS AUTOMATICOS.
Detrás de todos estos Reportes existen un conjuntos de Documentaciones, que se deben realizar como buenas practicas; dando claro alusión a los dominios del ISO 17799.
Los reportes están supeditados al tipo de documento que son; por ejemplo tipo de reporte por estrategia.
PROCEDIMIENTOS DEFINIR CRITERIOS DE CONTROL DE
DOCUMENTOCONTROL DE DOCUMENTOS INTERNOS
○ ELABORACION DE REPORTES:○ IDENTIFICACION DE REPORTES:○ APROBACION DEL REPORTE:○ ACTUALIZACION DEL REPORTE:
CONTROL DE DOCUMENTOS EXTERNOS○ Identificar los documentos externos aplicables.○ Mantener la última versión del documento.○ Distribuir a los usuarios que los necesiten.
CONTROL DE DOCUMENTOS INTERNOS:
PROCEDIMIENTOS: ELABORACION DE REPORTES: IDENTIFICACION DE REPORTES: APROBACION DEL REPORTE: ACTUALIZACION DEL REPORTE:
ACTUALIZACION DEL REPORTE: En caso de que fuese necesaria la entrega de copia
controlada de los documentos internos aprobados, el Encargado de la Distribución de cada Sistema, deberá llevar un control de dichos documentos, utilizando la planilla “Distribución de Documentos Internos” (ver Anexo 2).
Para identificar y velar por los documentos relacionados con el SGC que se reciben físicamente en aquellas áreas donde no cuenten con intranet, cada área nombrará a un responsable que ocupará el cargo de Receptor de Documentos.
Esta persona será la responsable de archivarlos, protegerlos del deterioro y facilitarlos para su uso.
CONTROL DE DOCUMENTOS EXTERNOS: Para el caso de los reportes del tipo de documentación
externa, se da en casos (o situaciones) donde empresas clientes o asociadas, piden informes, reportes, análisis a otra organización a través del uso de BI también.
Cada área elegirá el mejor método para revisar y mantener actualizados los documentos externos, dada la naturaleza y origen de los mismos. Sin embargo, al menos, se deberá tener presente las siguientes consideraciones:
1) Identificar los documentos externos aplicables.
2) Mantener la última versión del documento.
3) Distribuir a los usuarios que los necesiten.
ESTABLECER PROCEDIMIENTOS E INSTRUCCIONES PARA LOS OPERADORES
DEL SISTEMA
INSTRUCCIONES DE TRABAJO:
Son guías detalladas y escritas, que establecen el método de trabajo a seguir paso a paso para la realización de una tarea concreta o grupo de tareas desde su comienzo hasta su finalización, recogiendo los riesgos que existen en cada uno de los pasos y las medidas a adoptar para eliminarlos o reducirlos.
PROCEDIMIENTOS DE TRABAJO:
Son un conjunto de reglas escritas, más generales que las Instrucciones de trabajo, de obligado cumplimiento que marcan pautas de conducta laboral en la realización de tareas
INSTRUCCIÓN Y PROCEDIMIENTO DE TRABAJO
1. ELABORACION
1.1 CODIGO
1.2 DENOMINACION
Se indicará el trabajo que la Instrucción normaliza
1.3 SECUENCIA DEL TRABAJO
1.4 RIESGOS POTENCIALES
1.5 MEDIDAS A TOMAR
2. APROBACION
3. DIFUSION Las Instrucciones han de ser comentadas con cada
empleado por parte del Responsable de Área en el momento de su contratación o en un posible cambio de puesto.
4. REVISION
CASO PRACTICO
El 80% del downtime no planificado es causado por operaciones mal ejecutadas o aplicaciones mal administradas
USE RASTROS DE AUDITORÍAS O REGISTROS CRONOLÓGICOS (LOGS) DE TRANSACCIÓN
COMO MEDIDAS DE SEGURIDAD.
Definición
LOG es un registro oficial de eventos durante un rango de tiempo en particular
Importancia de un LOG
La importancia de los LOGs es que te permite: La Recuperación ante incidentes de seguridad La Detección de comportamiento inusual Información para resolver problemas Evidencia legal
Arquitectura del registro de un LOG
Centralizada
Ventajas Se requiere de un solo punto
de almacenamiento de LOGs.
Desventajas
• Existe un solo punto de falla.
• Se necesitan muchos recursos para almacenamiento y redundancia
Descentralizada
Ventajas• No hay un solo punto de falla.• Los registros se almacenan de
acuerdo a una clasificación
Desventajas
• Se requiere de mas equipo.
Caso PrácticoTenemos una tabla en la base de datos, la cual no tiene campos de auditoria
por la cual no se sabe que fecha se han registrado esos usuarios para cualquier evento no deseado que se pueda suscitar por parte de cualquiera de estos usuarios
Caso PrácticoDonde:
id_usuario: es el usuario que realiza la acción. acción: es la acción que se realiza, ya sea de loguear, actualizar,
insertar, eliminar, etc. tabla: la tabla afectada tras la acción realizada por el usuario. fecha: la fecha en que se realizo la acción. hora: la hora en que se realizo la acción.
CONCLUSIONES Existen gran número de aplicaciones para empaquetar nuestro programa, hay
bastantes gratuitos pero siempre hay que leerse las condiciones de uso.
Conforme a la tecnología va avanzando, van apareciendo nuevas soluciones, nuevas formas de programación, nuevos lenguajes y un sin fin de herramientas que intentan realizar el trabajo del desarrollador un poco más fácil y así mismo mejor control para controlar nuestros cambios a nuestros datos.
Generar data de auditoría en una base de datos es una ventaja y a la vez un
problema ya que acarrea costos en espacio de almacenamiento y tiempo en manejarla. Pero aún así es necesaria en ciertas actividades, especialmente la financiera.
Según la experiencia de Foundstone, la mayoría de las fallas de seguridad son causadas porque a los desarrolladores y a otras partes interesadas del ciclo de vida de desarrollo de software no les han dicho lo que deben y no deben hacer. Esto se logra de mejor manera mediante el uso de políticas y procedimientos.
RECOMENDACIONES Al momento de desarrollar un software se deben tener en cuenta los
Estándares internacionales o nacionales para el uso de las buenas prácticas de desarrollo para tener la certeza de que nuestros aplicativos cumplan con los objetivos propuestos.
La auditoría debería realizarse a ciertas tablas de una base de datos y no a todas, ya que complicaría aún más el proceso de administración.
Las Organizaciones deben estar acorde en al ISO 17799, en cuanto al
control del uso de reportes; y el Sector Bancario debe regirse a la Circular G140.
Las empresas deben dar a conocer a sus empleados los
procedimientos e instrucciones que ellos deben aplicar en el área en el cual se van a desenvolver dando a conocer también las sanciones si estos (procedimientos e instrucciones) no fuesen cumplidos.
GRACIAS….!!!