Empresa Petrosur

[ ] POLITICAS DE SEGURIDAD

INTRODUCCION

L a empresa petrolera Petrosur es una empresa comprometida con el desarrollo energético de Bolivia, para lo cual tiene como actividades principales la exploración y producción de Hidrocarburos.

La superficie operada directamente por Chaco tiene una extensión total de 144.425 hectáreas, que incluyen un bloque de exploración, 21 áreas de explotación de las cuales 14 están en producción, 7 en reserva, en cuatro departamentos de Bolivia. Adicionalmente Chaco participa como socio no operador en dos áreas de explotación.

Como industrializadora del gas natural, la compañía también es propietaria de dos empresas afiliadas: la Compañía Eléctrica Central Bulo Bulo S.A., en la provincia Carrasco, departamento de Cochabamba, y la planta engarrafadora de Gas Licuado de Petróleo (GLP), en Santa Cruz de la Sierra.

OBJETIVO.- Asegurar y proteger la confidencialidad de los datos en el Área Financiera de la Empresa Petrolera Petrosur

DIRECTRICES

El encargado de realizar este seguimiento acerca de todo este procedimiento será el Ing. en Sistemas Oscar Quispe Vargas el cual pertenece al área financiera de la empresa .

La función que cumple en esta parte de la política de seguridad es encargarse de la seguridad de los datos de un grupo de maquinas pertenecientes al área financiera.

Estará encabezado por el Ing. Oscar Quispe Vargas más un grupo de apoyo el cual asistirá en la colaboración de seguridad de los datos en caso de que el trabajo a realizar sea elevado y moroso.

De alguna manera también este grupo de apoyo tendrá la función de realizar este trabajo siempre y cuando esté autorizado por el encargado Ing. Oscar Quispe Vargas

De tal forma de mantener el orden del trabajo fácilmente. Los días que se van a ser los análisis de los datos será dos veces al mes :

Cada 10 y 31 de cada mes En caso de existir algún percance o haber algún acontecimiento que impida llevar a cabo este

análisis de datos. La actividad será recorrida automáticamente para el día siguiente.

EMPRESA PETROLERA PETROSUR .

1


En caso de que el inconveniente se prolongue (por ejemplo un paro indefinido con puertas cerradas de la empresa) la actividad será realizada el primer día hábil después de concluido el inconveniente

El equipo de apoyo para la actividad será mencionado a continuación Ing. Josué Moisés Huanca Laura Ing. Veimar Mamani Ing. Alex Romero

NORMAS

Política para usuarios finales que pertenecen al departamento Financiero y que tienen acceso a información de proveedores/clientes.

De acuerdo a una previa reunión con todo el "Equipo Multidisciplinario" y la mesa directiva de la empresa se tomo las siguiente normas a tomar en cuenta una vez sea implementado la política de seguridad:

1.- El usuario final con acceso a información de clientes/proveedores de la empresa tendrá los siguientes privilegios:

* El usuario tiene derecho a solicitar los permisos necesarios para acceder a la información de los sistemas que requiera a fin de consulta para realizar sus labores diarias dentro de la empresa.

2.- El usuario final con accesos a los sistemas informáticos de la empresa en donde se presente información sensible por parte de clientes, deberá entender su responsabilidad por el uso de la información bajo los siguientes puntos.

* El usuario tendrá acceso únicamente a los datos que así requiera para realizar sus labores dentro de la empresa. * El usuario sólo podrá utilizar la información para consulta y está bajo ningún termino deberá ser reproducida, copiada o archivada en dispositivos que pudiesen dar cabida a que la información utilizada salga de la empresa. * El usuario deberá informar cualquier inconsistencia respecto a los puntos anteriormente mencionados. * El usuario está obligado a guardar confidencialidad sobre la información a la que accede y esta solo podrá ser compartida con su jefe inmediato o personal del mismo parlamento el cual también tenga acceso a dicha información vía email para guardar evidencia de cada solicitud requerida.


2


3.- Existen una serie de sanciones para aquellos usuarios que infrinjan cualquiera de los puntos mencionados en el punto 2.

* El compartir información con personal externo al departamento sin el consentimiento escrito (vía correo electrónico) del jefe de ambos departamentos será sancionado con 2 días de suspensión de labores. * El compartir información con personal externo se considerará como un robo a la misma y será sancionado con Despido y sin goce de las prestaciones establecidas por la Ley General del Trabajo. * El sustraer información por cualquier medio de la empresa ya sea de manera electrónica o física se considera como robo por parte de la empresa y será sancionado con Despido sin goce de las prestaciones establecidas por la empresa y por la Ley General del Trabajo.

PROCEDIMIENTOS

El procedimiento de la política de seguridad mencionada se la realizara de la siguiente manera: El ente directriz Ing. Oscar Quispe realizara un control dos veces al mes, de todos aquellos flujos de

datos que circularon en la red. El cual lo realizara parlamente con el grupo de apoyo descrito anteriormente en el capítulo de la

directrices . También se llevara a cabo una conferencia acerca de lo gran importancia de los datos en la empresa

y el rol importante que cumple cada usuario del Área Financiera de la Empresa Petrosur La herramienta a utilizar será el Wireshark . Los detalles acerca de la herramienta y la conferencia se detallan a continuación:

Herramienta Wireshark

Es una herramienta interactiva para analizar el tráfico de red. Permite ver el contenido de todos los paquetes que entran y salen por una interfaz de red, lo cual es muy útil para monitorear el tráfico de una red (por ejemplo ver qué protocolos se están utilizando, que hosts están distribuyendo malware, etc.)

Antes que nada, tras arrancar Wireshark, el menu Capture > Interfaces…. nos muestra la siguiente pantalla:


3

http://www.wireshark.org/


Solo tendremos que pulsar en Start para capturar a través de la interface que nos interese. Inmediatamente Wireshark comienza a capturar.

El problema es que nos lo captura todo, todos los protocolos, etc:

Igual no nos interesa capturarlo todo. Queremos filtrar. Para filtrar podemos hacer uso de la ya aprendido en los filtros TCPDump / Windump, ya que usa la misma libreria libpcap.

Podemos filtrar a través de Capture Filter o usar el campo correspondiente:


4


Capturamos los paquetesde segmento TCP cuyo destino sea el puerto 34. Pero como ya hemos aprendido a usar filtros más avanzados, introducimos directamente el filtro de esta forma:

icmp[0:1] == 08 (en windump es sufciciente con un solo signo =)

Con lo que capturaríamos los icmp de tipo echo request.

O cualquiera de estos:

ip[9] == 1

tcp dst port 110

http contains

frame contains “@miempresa.es”

Con este último filtro capturamos todos los correos con origen y destivo al dominio miempresa.es, incluyendo usuarios, pass, etc.

En suma podemos usar cualquier tipo de filtro de los que usamos con Windump o TCPDump y alguno más propio de Wireshark. En otra ocasión nos centraremos en estos filtros y todas las nuevas posibilidades que nos ofrece wireshark. Ahora vamos a estudiar un poco la intrerpretación de los datos.

Tras una captura nos encontramos con esta salida:


5


Acerca de la conferencia

Tema principal:¿Cómo proteger los datos de mi empresa?

La seguridad no es sólo una responsabilidad de los departamentos de informática y de seguridad. Los usuarios finales tenemos un papel muy importante que cumplir, ya que somos los que creamos y manipulamos los documentos importantes. Averigüe cómo hacerlo de un modo seguro.

La seguridad de la información es una responsabilidad que debe asumir el usuario final, ya que es quien crea y manipula los documentos importantes. Debe hacerlo de un modo seguro.

Habitualmente, las personas a las que se les ha encargado la custodia de un objeto perteneciente a la empresa tienen cuidado de no deteriorar el mismo y que se mantenga en las mejores condiciones operativas. Pero, ¿cuál es el valor real que tiene este objeto para la empresa?

Si, por ejemplo, estuviéramos hablando de un camión entregado a un chofer para transportar piezas entre una fábrica y el punto de venta, el valor real para la empresa viene dado por la cantidad de kilómetros que puede realizar éste ininterrumpidamente, maximizando así el número de piezas transportadas. De esta manera, habrá que cuidar el mantenimiento del vehículo para evitar averías prolongadas que pongan en peligro el abastecimiento a la red comercial.

En el caso de un trabajador de nuestros días, que vivimos y trabajamos en lo que comúnmente se denomina Sociedad de la Información, el instrumento más importante que la empresa nos confiere es el ordenador. Siguiendo la misma analogía que hemos hecho anteriormente, podríamos pensar que el coste de reposición del ordenador no es el único coste que la empresa (y el trabajador) tiene que considerar. La información almacenada en él es el activo que realmente posibilita la creación de valor añadido y es lo que realmente necesita ser protegido para garantizar su disponibilidad en todo momento. Hoy en día, reemplazar un ordenador típico cuesta del orden de 500 a 2.000 euros, sin embargo, volver a generar la información contenida en un ordenador puede costar de 10 a 100 veces más o incluso llegar a ser imposible hacerlo.

Es esta información, el verdadero activo que la compañía está interesada en proteger y el trabajador debe tomar conciencia de los instrumentos que tiene a su disposición para ello.

Establezcamos un escenario factible: En un viaje de negocios el ordenador portátil con el que estamos viajando es robado. La empresa reemplazará el ordenador comprando un nuevo equipo y cargará los programas utilizando los discos originales. Pero los documentos de trabajo y los correos electrónicos no podrán ser cargados de nuevo a no ser que se hayan tomado las medidas oportunas y los datos hayan sido guardados en un lugar seguro.


6


El coste del incidente no solo se limita al coste de reemplazo del equipo informático. Dicho coste es despreciable en comparación con el de mantener un empleado improductivo mientras se intenta recuperar la información que necesitamos para llevar a cabo nuestra labor.

Todo el párrafo anterior solo es el resumen de la dinámica y el evento a realizarse mientras se elabora la política de seguridad diseñada

OBJETIVO.- Proveer el acceso de internet a sitios confiables relacionados estrictamente con los objetivos de la Empresa Petrolera Petrosur

DIRECTRICES

El encargado de realizar el seguimiento acerca de todo este procedimiento será el Ing. Mario Vega , realizara un seguimiento estricto de la política de seguridad a implementar.

La función que cumple en esta parte de la política de seguridad es proveer el acceso de internet a sitios confiables relacionados estrictamente con los objetivos de la Empresa Petrolera Petrosur

Estará encabezado por el Ing. Mario Vega , más un grupo de apoyo el cual ayudara de que con el fin el trabajo a realizar no sea elevado para el encargado.

De alguna manera también este grupo de apoyo tendrá la función de realizar este trabajo siempre y cuando esté autorizado por el encargado Ing. Mario Vega

El trabajo de implementación de la política será realizada durante un lapso de 7 días hábiles. Con el fin de poder realizar un estudio acerca de los sitios a los que puedan acceder los usuarios y en base a ello, implementar la política de seguridad para la red

El mantenimiento se efectuara dos veces por semana con el fin de que los datos de nuestro servidor proxy permanezca y que la red con caiga.

El equipo de apoyo para la actividad será mencionado a continuación: Tec. Mauricio Cabrera Ing. Javier Teran Ing. Wilson Guevara


7


NORMAS

Política para usuarios finales que tienen acceso una estación de trabajo (host) y que tienen acceso a internet en la empresa.


1. El usuario solo podrá acceder a los sitios mencionados a continuación:* Pagina Web oficial de la Empresa Petrosur*Sitio de Tipos de cambio de dinero, con el fin de poder informarse acerca de valor del dólar, peso argentino y euros.*Podrá utilizar el servicio de Outlook asignado por el encargado de la empresa y no así accediendo como un usuario distinto de la empresa

2. El usuario no podrá acceder a paginas de videojuegos, redes sociales, paginas de descargas, y paginas de videos u otros medio que pueda causa distracción.

3. Los usuarios son responsables de todas las actividades llevadas a cabo con su código de identificación de usuario y sus claves personales. Y en caso de cometer alguna infracción a esta norma serán sancionados.

4. En caso de tratar de ingresar a las paginas restringidas mencionadas anteriormente, con diversos software como el ultra sur, etc. De igual manera será tomado como un atentado a la política de seguridad de la red de la empresa.

5. Si el usuario por algún motivo quisiera acceder a paginas no sugeridas o autorizadas por el directorio deberá solicitar un permiso para el acceso, que de otra manera si se logra sorprender cometiendo el acto de igual manera será sancionado

6. Existen una serie de sanciones para aquellos usuarios que infrinjan cualquiera de los puntos mencionados anteriormente* El intento de ingresar por cualquier medio o de otra manera tratando vulnerar el ACL configurado será sancionado con un memorándum emitido por el directorio de la empresa Petrosur*En caso de llegar a los 3 memorándum , será sancionado con Despido y sin goce de las prestaciones establecidas por la Ley General del Trabajo.*No se aceptaran reclamos o justificaciones, por la realización de actos que fueron en contra de la normas establecidas, por lo cual también los usuarios firmaron en el contrato de ingreso a la empresa la aceptación a las políticas de seguridad de la empresa.


8


PROCEDIMIENTOS

El procedimiento de la política de seguridad mencionada se la realizara de la siguiente manera: El ente directriz Ing. Mario Vega realizara dos veces por semana para realizar un seguimiento de la

red, para evitar la pérdida de datos y que caiga la red. El cual lo realizara parlamente con el grupo de apoyo descrito anteriormente en el capítulo de la

directrices Las herramientas a utilizar para la implementación de la política de seguridad será el Servidor Proxy

Squid con complemento Sarg para emitir los reportes.

Squid

Denegar el acceso a ciertos Sitios de Red permite hacer un uso más racional del ancho de banda con el que se dispone. El funcionamiento es verdaderamente simple y consiste en denegar el acceso a nombres de dominio o direcciones de Internet que contengan patrones en común.

Este documento detalla en su totalidad la manera de restringir ciertos sitios no recomendados de acuerdo a la política de seguridad de la empresa.

Restricción por expresiones regulares.

Para restringir el acceso por dominios, se crea un archivo con lista con dominios.

vim /etc/squid/listas/dominios-denegados

Los nombres pueden ser nombres de dominio específicos:

www.facebook.comwww.twitter.complus.google.com

O bien puede definirse todo el dominio completo, incluyendo sub-dominios:

.facebook.com

.twitter.com

Nota.

Si define .dominio.com, es innecesario definir www.dominio.com o mail.dominio.com o ftp.dominio.com, etc., pues todos son subdominios de .dominio.com:


9


O bien se pueden definir dominios de nivel superior genéricos o geográficos.

.co.jp

.com.cn

.im

.tv

.xxx

O bien una combinación de todo lo anterior.

.co.jp

.com.cn

.facebook.complus.gogle.com.tv.twitter.com.im.xxx

Edite el archivo /etc/squid/squid.conf.

vim /etc/squid/squid.conf

Añada una lista de control, denominada dominios-denegados, de acceso tipo dstdomain (dominios de destino), que defina al la lista en el archivo /etc/squid/listas/dominios-denegados.

acl dominios-denegados dstdomain "/etc/squid/listas/dominios-denegados"

Añada una regla de control de acceso que deniegue el acceso a sitios que estén incluidos en la lista de dominios.

http_access allow localnet !expreg-denegadas !dominios-denegados

Sarg

SARG es una herramienta de analisis de logs de Squid, tiene soporte para generar reportes en diferentes idiomas, mediante los reportes de uso web usted podra obtener la siguiente información:

Top Ten de sitios más visitados Reportes diarios, semanales y mensuales Gráficas semanales y mensuales del consumo por usuario/host


10


Detalles de todos los sitios a los que entro un usuario/host Descargas

Sarg será configurado para generar reportes web de los accesos a Internet de forma periódica, además de poder ejecutarlo manualmente para generar reportes de fechas, usuarios o dominios en especifico.

Reporte Manual

Estos reportes son aquellos creados por el administrador del sistema y ejecutados manualmente, pueden ser personalizados en base a diferentes criterios, son almacenados en el directorio /var/www/squid-reports/Manual, cada reporte bajo su propio directorio.

Reporte Diario

Estos reportes son generados automáticamente por un trabajo de CRON diario a las 6:25 am y genera un reporte del día anterior, son almacenados en el directorio /var/www/squid-reports/Diario, cada reporte bajo su propio directorio.

Reporte Semanal

Estos reportes son generados automáticamente por un trabajo de CRON cada semana a las 6:47 am y genera un reporte del día anterior, son almacenados en el directorio /var/www/squid-reports/Semanal, cada reporte bajo su propio directorio.

Reporte Mensual

Estos reportes son generados automáticamente por un trabajo de CRON cada mes a las 6:52 am y genera un reporte del día anterior. Estos reportes son almacenados en el directorio /var/www/squid-reports/Mensual, cada reporte bajo su propio directorio.

OBJETIVO.- Asegurar el intercambio correcto de información adecuado ,de acuerdo al rol del personal de los datos en el Departamento de Recursos Humanos (RRHH) de la Empresa Petrolera Petrosur

DIRECTRICES

La persona de realizar este seguimiento acerca de todo este procedimiento será el Ing. Juan Pérez que pertenece al Departamento de Recursos Humanos .

La función que cumple en esta parte de la política de seguridad intercambio de información adecuado de acuerdo al rol del personal de los datos en el Departamento de Recursos Humanos (RRHH) de la Empresa Petrolera Petrosur


11


Estará encabezado por el Ing. Ing. Juan Pérez más un grupo de apoyo el cual asistirá en la colaboración de seguridad de los datos en caso de que el trabajo a realizar sea elevado y se tengan que instalar algunos software complementarios para eliminar algunos inconvenientes con el intercambio de información de acuerdo al rol del usuario.

De alguna manera también este grupo de apoyo tendrá la función de realizar este trabajo siempre y cuando esté autorizado por el encargado Ing. Ing. Juan Pérez

De tal forma de mantener el orden del trabajo fácilmente. Se realizara una vez al mes una prueba general del flujo de datos. El equipo de apoyo para la actividad será mencionado a continuación

Ing. Juan Carlos Navarro Ing. José Cabrera Cortez Ing. Marcos López Ávila

NORMAS

Política para usuarios finales que pertenecen al Departamento de Recursos Humanos y que tienen acceso a información de proveedores/clientes.


1. El sistema de correo electrónico, grupos de charla y utilidades asociadas de la entidad debe ser usado únicamente para el ejercicio de las funciones de competencia de cada funcionario y de las actividades contratadas en el caso de los clientes y proveedores

2. La entidad se reserva el derecho de acceder y de velar todos los mensajes enviados por medio del sistema de correo electrónico para cualquier propósito. Para este efecto, el funcionario o proveedor autorizará a la entidad para realizar las revisiones y/o auditorias respectivas directamente o a través de terceros.

3. Los funcionarios públicos, no deben utilizar versiones escaneadas de Firmas hechas a mano para dar la impresión de que un mensaje de correo electrónico ó cualquier otro tipo de comunicación electrónica haya sido firmado por la persona que la envía. Dependiendo del rol que tenga.

4. La propiedad intelectual desarrollada o concebida mientras el trabajador se encuentre en sitios de trabajo alternos, es propiedad exclusiva de la entidad. Esta política incluye patentes, derechos de reproducción, marca registrada y otros derechos de propiedad intelectual según lo manifestado en memos, planes, estrategias, productos, programas de computación, códigos fuentes, documentación y otros materiales.

5. Los funcionarios públicos que hayan recibido aprobación para tener acceso a Internet a través de las facilidades de la entidad, deberán aceptar, respetar y aplicar las políticas y prácticas de uso de Internet.


12


6. En cualquier momento que un trabajador publique un mensaje en un grupo de discusión de Internet, en un boletín electrónico, o cualquier otro sistema de información público, este mensaje debe ir acompañado de palabras que indiquen claramente que su contenido no representa la posición de la entidad.

7. Si los usuarios sospechan que hay infección por un virus, deben inmediatamente llamar a la oficina de informática, no utilizar el computador y desconectarlo de la red.

8. Rol de Usuario: Los sistemas operacionales, bases de datos y aplicativos deberán contar controles predefinidos o con un módulo que permita definir roles, definiendo las acciones permitidas por cada uno de estos. Deberán permitir la asignación a cada usuario de posibles y diferentes roles. También deben permitir que un rol de usuario administre el Administración de usuarios.

9. Los usuarios tendrán acceso a los Recursos Informáticos, que sean estrictamente necesarios para el cumplimiento de su función, servicios que deben ser aprobados por quien será el Jefe inmediato o coordinador. En todo caso deberán firmar el acuerdo de buen uso de los Recursos Informáticos.

10. Existen una serie de sanciones para aquellos usuarios que infrinjan cualquiera de los puntos mencionados * El dar una mal uso a los servicios de internet, correo, documentos, será sancionado con una llamada de atención ,por infringir la norma, y la acumulación de 3 llamadas de atención es la emisión de un memorándum dirigida hacia el infractor. * El compartir información o documentos falsos o modificados se considerará como un engaño a la institución y será sancionado con Despido y sin goce de las prestaciones establecidas por la Ley General del Trabajo. Por que dicha infracción deja una mala imagen de la empresa.*El simple hecho de hacerse pasar como otro usuario con el objetivo de escalar privilegios será sancionado con la suspensión fija de la institución .

PROCEDIMIENTOS

El procedimiento de la política de seguridad mencionada se la realizara de la siguiente manera: El ente directriz Ing. Juan Pérez realizara un control una vez al mes, de las comunicación correcta

entre los usuarios de la empresa. El cual lo realizara parlamente con el grupo de apoyo descrito anteriormente en el capítulo de la

directrices De la misma manera también se llevara una charla al personal de Departamento de Recursos

Humanos , acerca de la importancia del Rol que cumplen como usuarios en la Empresa Petrosur y la forma de acceder de una manera más estratégica a los clientes.

La charla estará dada por un miembro del equipo multidisciplinario, el Ing. Comercial Elías García Peñaranda

El cual se lo llevara a cabo en el salón de eventos de la empresa Petrosur


13



14

Empresa Petrosur

Documents

Transcript of Empresa Petrosur