Glosario de términos utilizados en el sistema de seguridad ... para... · Criptografía: La...

Unidad de Seguridad de la Información

Dirección Nacional de Administracion

Financiera e Innovación - Ministerio de

Hacienda

Glosario de términos utilizados en el sistema de seguridad de

la información del mh

[GLOSARIO DE TÉRMINOS UTILIZADOS EN EL SISTEMA DE SEGURIDAD DE LA INFORMACIÓN DEL MH]

Dirección Nacional de Administracion Financiera e Innovación - Ministerio de Hacienda | 2

A

Activo: Recurso del sistema de información o relacionado con éste, necesario para que la Institución

funcione correctamente y alcance los objetivos propuestos por su dirección; en general algo que tiene valor

para la organización.

Access Point: Dispositivo de hardware o software que actúa como un centro de comunicación para los

usuarios de dispositivos inalámbricos que desean conectarse a una LAN cableada. Son importantes para

proporcionar mayor seguridad inalámbrica y para ampliar el rango físico de servicio a un usuario móvil.

Administrador de páginas de Intranet o Administrador web: Empleados encargados de la administración

del conjunto o grupos de páginas que son utilizadas; por los administradores de contenido, para la

publicación de contenido dirigido a los empleados del ministerio.

Administradores de Contenido: Empleados autorizados para publicar información en la Intranet del

Ministerio de Hacienda

Administradores de cuentas: Técnicos encargados de llevar un registro de las cuentas de los usuarios, y

hacer efectivos o solicitar al administrador correspondiente del sistema de computación y comunicación de

datos, la aplicación de las solicitudes autorizadas para la creación, modificación y desactivación de cuentas.

Administradores de dispositivos o servidores VPN: Técnicos encargados de la instalación, mantenimiento,

configuración de parámetros adecuados de seguridad e implementación de los procedimientos y políticas

de seguridad y operaciones en los dispositivos o servidores de red privada virtual (VPN) de acceso remoto

del Ministerio de Hacienda.

Administradores de la red inalámbrica: Técnicos encargados de administrar, mantener y operar los equipos

de comunicación de la red de datos inalámbrica de la institución.

Administradores de los firewalls de red: Técnicos encargados de administrar, mantener y operar el

hardware o software que tiene la capacidad para limitar el acceso entre las redes o sistemas conforme a lo

configurado en las políticas de seguridad (firewalls).

Administradores de sistemas automatizados de control de acceso: Técnicos encargados de la

administración de los Servicios de Directorio Institucional Oracle Internet Directory (OID) y Microsoft Active

Directory (AD) del Ministerio de Hacienda.

Administradores de sistemas de computación: Técnicos encargados de administrar, mantener y operar

sistemas de computación, sistemas operativos, bases de datos y otras soluciones de software y hardware.

Administradores de sistemas de comunicación de datos: Técnicos encargados de administrar, mantener y

operar los equipos de comunicación de la red de datos de la institución.

Administradores de sistemas operativos: Técnico encargado de la instalación, mantenimiento,

configuración de parámetros adecuados de seguridad e implementación de los procedimientos y políticas

de seguridad y operaciones; para garantizar la disponibilidad, el buen desempeño, la integridad y



confidencialidad de la información y aplicaciones de software alojados en el sistema operativo del equipo

correspondiente.

Administradores del Sistema de Prevención de Intrusos (IPS): Técnicos encargados de administrar,

mantener y operar el sistema de prevención de intrusos (IPS).

ADSL: Línea de abonado digital asimétrica, es una tecnología de transmisión de datos que provee la

capacidad de transferencia rápida de datos a través de la línea telefónica.

Ambiente de Producción: Se refiere al conjunto de recursos y controles destinados a mantener un servicio

de tecnologías de la información (por ejemplo: un sitio web, una aplicación del negocio como SIDUNEA,

SITEP, SAFI, SIIT, SIIP, otros) a disposición de los usuarios

Amenaza: Una causa potencial de un incidente no deseado, el cual puede producir un daño a un sistema o a

la Organización.

Análisis de Riesgos: Uso sistemático de la información para identificar y estimar las fuentes de riesgo.

Aplicación del Negocio: Para propósitos de este sistema, se refiere a un programa de software creado o

desarrollado a la medida, para apoyar o automatizar una función de negocio (contabilidad, tesorería,

presupuestos, deuda pública, gestión de tributos, aranceles, entre otros) utilizado por los usuarios finales;

cuyo uso no requiere privilegios administrativos. Pueden ser desarrolladas por personal interno,

subcontratado, adquiridas directamente del fabricante o recibidos en donación. Ejemplos: SIDUNEA, JSIIT,

SITEP, SAFI, SIRH, SIIP, SIGADE, DET, COMPRASAL, entre otros.

Archivo adjunto: Archivo que contiene cierta clase de información anexo a un mensaje de correo

electrónico.

Archivo: También denominados ficheros (file en inglés); es una colección de información (datos relacionados

entre sí), localizada o almacenada en medio magnético, como una unidad en alguna parte de la

computadora.

Autenticación extendida de usuario: Método por el cual las credenciales de un usuario (nombre y

contraseña) son validadas usando un protocolo de autenticación tal como el RADIUS contra una base de

usuarios instalada en un servidor de validación.



B

Backbone: Sección central de la red, de gran capacidad y alta velocidad, por la cual otros segmentos de red

están conectados.

Bit: Unidad mínima de almacenamiento empleada en informática, en cualquier dispositivo digital, o en la

teoría de la información

Byte: Utilizado comúnmente como unidad básica de almacenamiento de información y corresponde a una

secuencia continua de 8 bits.



C

Canonicalización: Es el proceso de convertir o de decodificar los datos a un conjunto de caracteres comunes.

Ejemplo: si los datos están representados utilizando el formato ASCII, ISO 8859-1 y HTML , se traducen a una

sola representación como por ejemplo UTF8 antes de ser sometidos a los procesos de validación sin

presentar inconvenientes debido al uso de caracteres especiales que traducidos representan otro carácter.

Caché: Para propósitos de este sistema se refiere a la característica de los servidores proxy y de los

navegadores, para almacenar el contenido y disponer de él según sea requerido, disminuyendo el tráfico en

los enlaces principales y acelerando el acceso a la información.

Centro de Procesamiento de Datos: Se refiere a las instalaciones físicas donde se encuentran ubicados los

servidores y equipos de comunicaciones críticos del Ministerio de Hacienda. Incluye Centro de

Procesamiento de Datos primario ubicado en sótano de las Tres Torres y el Centro de Procesamiento de

Datos alterno ubicado en el complejo San Bartolo de la Dirección General de Aduanas.

Cifrar: Consiste en realizar una serie de transformaciones sobre información o texto para convertirlo en otro

texto que no es entendible a simple vista; se requiere un proceso inverso (descifrar) para llevarlo a su estado

original.

Cliente de correo: Software o aplicación estándar utilizado para leer y enviar correos electrónicos desde una

computadora personal o dispositivo móvil.

Código malicioso (virus): Software que tiene como objetivo infiltrarse o dañar un computador sin el

conocimiento de su dueño y con finalidades muy diversas.

Computadoras Multiusuario: Computadores con características elevadas de rendimiento, que pueden

ejecutar múltiples tareas de varios usuarios simultáneamente; comúnmente se les denomina servidores.

Confidencialidad: Propiedad de la información de no estar disponible o no ser revelada a individuos no

autorizados, entidades o procesos.

Contenedor: Almacén de objetos como: cuentas de usuarios, cuentas de equipo, políticas, grupos y otros

contenedores que son parte de una jerarquía dentro de un directorio.

Contraseña fuerte: Se refiere a una contraseña que por sus características es difícil de adivinar, para su

conformación incluye una combinación de números, letras, mayúsculas, minúsculas, caracteres especiales si

son soportados (~ ! @ $ # % & ^ * ( ) -) y longitud mínima de 15 caracteres.

Contraseña: Conjunto de caracteres secretos, que se utiliza para autenticar la identidad de una persona o

proceso ante un sistema de computación o comunicación de datos y obtener acceso a los recursos

autorizados.

Control: Medio para gestionar el riesgo, incluyendo políticas, procedimientos, directrices, prácticas o

estructuras organizacionales, las cuales pueden ser de naturaleza administrativas, técnicas, de gestión, o

legal. El control es también usado como un sinónimo de salvaguarda o contramedida.



Correo spam: Mensajes no solicitados, habitualmente de tipo publicitario, enviados en grandes cantidades

(incluso masivas) que en muchas ocasiones contiene adjunto código malicioso el cual perjudica de alguna o

varias maneras al receptor de los mismos.

Criptografía: La criptografía (del griego kryptos, "ocultar", y grafos, "escribir", literalmente "escritura

oculta") es el arte o ciencia de cifrar y descifrar información utilizando técnicas matemáticas que hagan

posible el intercambio de mensajes de manera que sólo puedan ser leídos por las personas a quienes van

dirigidos.

Cuenta administrativa o de administrador: Cuenta que posee todos los privilegios sobre una computadora,

sistema o software en general. Este tipo de cuentas pueden ser creadas por el fabricante o por el

administrador.

Cuenta con privilegios especiales: Cuenta que posee menos privilegios que una cuenta administrativa, pero

que permite otorgar o retirar derechos de otras cuentas, activar o desactivar cuentas o realizar tareas

administrativas de cierto nivel para el mantenimiento del software o hardware. Este tipo de cuentas posee

mayores privilegios que una cuenta de usuario final.

Cuenta de aplicación: Son cuentas creadas con el propósito de ser utilizadas por las aplicaciones para

autenticarse entre ellas cuando no se disponga de otro método.

Cuenta de servicios: Son cuentas creadas con el propósito de ser utilizadas para iniciar servicios en los

sistemas operativos distintas a las utilizadas por defecto por dicho sistema operativo.

Cuenta de usuario final: Son las cuentas creadas para que las personas que no desarrollan labores

administrativas sobre el software o hardware puedan utilizarlas. Ejemplos: cuenta para ingresar a una

aplicación del negocio como SIDUNEA, SITEP; cuenta de Windows, correo electrónico, entre otros.

Cuenta definida por el fabricante: Son cuentas cuyo identificador o nombre ya está definido por el

fabricante del producto y no puede ser modificado. Puede tener privilegios de administrador, privilegios

especiales o de usuario final.



D

Declaración de Aplicabilidad (DAPL): Declaración documentada que describe los objetivos de los controles y

los controles que son relevantes y aplicables al SGSI de la organización. Los objetivos de los controles y los

controles son basados en los resultados y las conclusiones de la evaluación de riesgos y el proceso de

tratamiento de los riesgos, requisitos legales o regulatorios, obligaciones contractuales y requisitos del

negocio de la organización para la seguridad de la información.

Directorio Activo: Es la implementación de Microsoft del servicio de directorios LDAP para ser utilizado en

entornos Windows. El Directorio Activo permite a los administradores establecer políticas a nivel de

empresa. Un Directorio Activo almacena información de una organización en una base de datos central,

organizada y accesible.

Disponibilidad: Propiedad de la información de ser accesible y utilizable en demanda por entidades

autorizadas.

DMZ: Es una red local que se ubica entre la red interna de una organización y una red externa,

generalmente Internet. El objetivo de una DMZ es que las conexiones desde la red interna y la externa a la

DMZ estén permitidas, mientras que las conexiones desde la DMZ sólo se permitan a la red externa

Dominio: Conjunto de objetos con información y políticas de seguridad comunes. En el Microsoft Active

Directory es una colección de recursos (cuentas, impresoras, computadoras) que constituyen una frontera

de administración y de aplicación de políticas de seguridad.

Dynamic Host Configuration Protocol (DHCP): Protocolo de red que permite a los clientes de una red IP

obtener sus parámetros de configuración automáticamente. Se trata de un protocolo de tipo

cliente/servidor en el que generalmente un servidor posee una lista de direcciones IP dinámicas y las va

asignando a los clientes conforme éstas van estando libres, sabiendo en todo momento quién ha estado en

posesión de esa IP, cuánto tiempo la ha tenido y a quién se la ha asignado después.



E

EAP (Extensible Authentication Protocol): Es un framework de autenticación frecuentemente utilizado en

las redes inalámbricas y en las conexiones punto a punto en el transporte y uso de material de llaves

criptográficas y parámetros generados por los métodos EAP; este protocolo define el formato de los

mensajes; cada protocolo que utiliza EAP define la forma de encapsular los mensajes EAP. Los estándares

WPA y WPA2 han adoptado cinco tipos EAP como los mecanismos de autenticación.

Empleados: Para efectos del sistema de seguridad de la información del MH se refiere tanto a los empleados

como a los funcionarios públicos del Ministerio de Hacienda.

Encargados de la Administración de los Equipos Clientes: Técnico encargado de la instalación,

mantenimiento, configuración de parámetros adecuados de seguridad e implementación de los

procedimientos y políticas de seguridad y operaciones en los equipos utilizados por los usuarios de la red de

datos del Ministerio de Hacienda.

Encargados de la gestión de acceso: Técnicos involucrados en el proceso de autorización, creación y

asignación de privilegios de acceso a los sistemas de computación y comunicación de datos del Ministerio de

Hacienda.

Esquema de Directorio: Definición de los objetos que se almacenan en el directorio, por ejemplo el objeto

usuario se define en la clase usuario la cual tiene los atributos nombre, apellido, número telefónico entre

otros. Los directorios contienen por defecto un esquema predeterminado que define los tipos de objetos,

como cuentas y equipos, grupos, dominios, unidades organizativas y directivas de seguridad. Los

administradores y los programadores pueden ampliar este esquema mediante la definición de nuevos tipos

de objetos y atributos o bien con la adición de atributos nuevos para los objetos existentes.

Evento de Seguridad: Ocurrencia identificada en el estado de un sistema, servicio o red, indicando un

posible incumplimiento en la política de seguridad, una falla en las salvaguardas o contramedidas; o una

situación previa desconocida que puede ser relevante a la seguridad.

Extranet: Red privada que utiliza la tecnología Web y que permite el intercambio de información de una

empresa con sus proveedores, vendedores, empresas socias, clientes u otros.



F

File Transfer Protocol (FTP): Protocolo de red para la transferencia de archivos entre sistemas conectados a

una red TCP (Transmission Control Protocol), basado en la arquitectura cliente-servidor. Desde un equipo

cliente se puede conectar a un servidor para descargar archivos desde él o para enviarle archivos,

independientemente del sistema operativo utilizado en cada equipo.

Filtrado: Para propósitos de este sistema se refiere al mecanismo por el cual se inspeccionan los

hipervínculos "URL", comparándose con una serie de reglas, cuyo cumplimiento implica un permiso o

denegación para acceder a dicho sitio.

Filtrado: Para propósitos de este sistema se refiere al mecanismo por el cual se inspeccionan los

hipervínculos "URL", comparándose con una serie de reglas, cuyo cumplimiento implica un permiso o

denegación para acceder a dicho sitio.

Firewall: Hardware o software que tiene la capacidad para limitar el acceso entre las redes o sistemas

conforme a lo configurado en las políticas de seguridad.

FTP: (protocolo de transferencia de archivos): Es un conjunto de señales de red para la transferencia de

archivos entre sistemas interconectados a través de una red TCP, basado en la arquitectura cliente-servidor.

Desde un equipo cliente se puede conectar a un servidor para descargar archivos desde él o para enviarle

archivos, independientemente del sistema operativo utilizado en cada equipo.



G

Gestión de riesgos: Actividades coordinadas para dirigir y controlar una organización con respecto al riesgo.

La gestión de riesgos típicamente incluye la evaluación de riesgos, tratamiento de riesgos, la aceptación de

riesgos y la comunicación de riesgos.

Group Master Key (GMK): Clave auxiliar que puede ser utilizada para obtener una clave de grupo temporal

(GTK).



H

Hackear: para uso de este sistema se define como la acción de irrumpir o entrar de manera forzada a un

sistema de cómputo o a una red.

Hacking: Acción efectuada por el Hacker.

Hardening: Se refiere al proceso de aseguramiento de un servidor, equipo de red, base de datos, aplicación

o cualquier sistema en general mediante la eliminación o mitigación de vulnerabilidades de seguridad.



I

Impacto: Consecuencia sobre un activo de la materialización de una amenaza.

Incidente de Seguridad: Uno o una serie de eventos de seguridad de la información no deseados o

inesperados que poseen una probabilidad significativa de comprometer las operaciones del negocio

amenazando la seguridad de la información.

Infraestructura IT: Todo el hardware, software, redes e instalaciones que son requeridas para desarrollar,

probar, implantar, monitorear, controlar y soportar servicios de tecnologías de la información. Las personas,

los procesos y la documentación no son parte de la infraestructura.

Integridad: Propiedad de salvaguardar la precisión y lo completo de los activos.

Internet Protocol security(IPSec): Conjunto de protocolos cuya función es asegurar las comunicaciones

sobre el Protocolo de Internet (IP) autenticando y/o cifrando cada paquete IP en un flujo de datos. IPSec

también incluye protocolos para el establecimiento de claves de cifrado.

Internet: Es un conjunto descentralizado de redes de comunicación interconectadas, que utilizan la familia

de protocolos TCP/IP, garantizando que las redes físicas heterogéneas que la componen funcionen como

una red lógica única, de alcance mundial.

Intranet: Es una red interna a la organización pero que utiliza los mismos protocolos que una red externa.

Cada red organizacional que ejecuta protocolos de la suite TCP/IP constituye una intranet. También puede

definirse como una red privada que es utilizada dentro de los límites de una empresa o institución.

ISO/IEC: Organización Mundial de Estandarización (del griego isos que significa “igual”) y la comisión

Internacional Electrotécnica (por sus siglas en ingles International Electrotechnical comisión); la cual es una

organización que representa una red de institutos de estándares en 156 países. Las siglas preceden a los

estándares emitidos por esta organización, ejemplo ISO/IEC 9000; estos estándares se consideran de

aplicación internacional.



J

Jefe de Unidad Organizativa: Se refiere a la persona responsable de una División, Departamento, Sección o

Unidad, etc. dentro de una dependencia.



K

Kb (kilobyte): Término utilizado como unidad de almacenamiento de información en informática y que

equivale a 1024 bytes.



L

LDAP: (Protocolo Ligero de Acceso a Directorios, por sus siglas en inglés) es un protocolo a nivel de

aplicación que permite el acceso a un servicio de directorio ordenado y distribuido para buscar diversa

información en un entorno de red.



M

MAPO: Manual de Políticas de Control Interno del Ministerio de Hacienda.

MAS: Manual de Seguridad de la Información del Ministerio de Hacienda.

MB o Mb (Megabyte): Unidad de medida de cantidad de datos que equivale a 1024 Kb.

Medios de almacenamiento de Información reciclables: Son todos aquellos dispositivos de

almacenamiento, susceptibles de poder ser re-grabados múltiples veces.

Mensaje masivo: Es un mensaje de correo electrónico enviado a los usuarios institucionales de este servicio.

Microsoft Active Directory (AD): Término utilizado por Microsoft para referirse a su implementación del

servicio de directorio en una red distribuida de computadoras. Utiliza distintos protocolos (LDAP, DNS,

DHCP, kerberos etc.). Su estructura jerárquica permite mantener una serie de objetos relacionados con

componentes de una red, como usuarios, grupos de usuarios, permisos y asignación de recursos y políticas

de acceso. Se utiliza generalmente para administrar los recursos de una red de computadoras bajo

plataforma Windows.

MODEM: (modulador demodulador) Dispositivo que transforma los datos digitales en señales analógicas

(señal portadora tal como las transmitidas por las estaciones de radio) que pueden ser enviadas a través de

una línea telefónica.



N

No Conformidad: Incumplimiento de un requisito.

Norma: Es una especificación técnica u otro documento a disposición del público elaborado con la

colaboración y el consenso o aprobación general de todas las partes interesadas, basada en resultados

consolidados de la ciencia tecnología y experiencia dirigida a promover beneficios óptimos para la

comunidad y aprobada por un organismo reconocido a nivel nacional, regional o internacional.

NTCIE: Normas Técnicas de Control Interno Especificas del Ministerio de Hacienda.



O

Oracle Internet Directory (OID): Término utilizado por Oracle para su implementación de servicios de

directorio basado en LDAP Versión 3, el cual provee funcionalidades de escalabilidad, alta disponibilidad y

seguridad de la base de datos; funciona como un repositorio central de usuarios para la gestión de

identidades en la plataforma Oracle simplificando la administración de los usuarios.



P

Pairwise Master Key (PMK): La clave de primer orden utilizada en la enmienda 802.11i. El PMK se puede

derivar de un Protocolo de Autenticación Extensible (EAP) o método y se puede obtener directamente de

una clave previamente compartida (PSK).

Pasarela (gateway): Un gateway o puerta de enlace es normalmente un equipo informático configurado

para dotar a las máquinas de una red local (LAN) conectadas a él de un acceso hacia una red exterior Se

podría decir que un gateway es un router que conecta dos redes.

Perfiles o Roles: Conjunto de privilegios agrupados bajo un nombre, que permiten realizar una

administración más efectiva de los derechos de acceso.

Plan de Continuidad del Negocio (PCCN): Es la planificación de todos los recursos necesarios para que se re-

establezcan las actividades o servicios que presta una organización a un nivel predeterminado.

Política: Orientaciones o directrices que rigen la actuación de una persona o entidad en un asunto o campo

determinado.

Privilegios: Permisos para realizar una operación o acción determinada sobre un sistema de computación y

comunicación de datos, componentes u objetos de una base de datos. Ejemplos: leer, borrar, editar,

insertar, etc.

Propietario de los sistemas: Responsable de uno o más sistemas, cada uno de los cuales puede soportar y

procesar datos que pertenecen a distintos propietarios. El propietario de un sistema es responsable de

integrar las consideraciones de seguridad en las decisiones de compra y proyectos de desarrollo de las

aplicaciones y sistemas. El propietario de los sistemas es responsable de asegurar que se provea seguridad a

través de los controles necesarios, gestión de contraseñas, controles de acceso remoto, configuraciones en

los sistemas operativos y otros.

Proxies: Servidores que interceptan el tráfico web de los clientes y realizan las solicitudes de acceso en

nombre de ellos, por motivos de: seguridad, rendimiento, anonimato.

Pruebas de Penetración: Es un método para evaluar la seguridad de la red o un sistema computacional

mediante la simulación de un ataque desde una fuente maliciosa conocida como hacker o cracker. El

objetivo de estas pruebas es determinar la factibilidad de un ataque y el impacto en el negocio debido a una

explotación exitosa de las vulnerabilidades encontradas. Las pruebas comprenden un análisis activo del

sistema o la red para encontrar cualquier vulnerabilidad potencial que puede surgir de configuraciones

pobres o inadecuadas, fallas de software o hardware conocidas o no, debilidades operacionales en los

procesos o en los controles de seguridad. El análisis se lleva a cabo desde el punto de vista de un atacante

potencial y puede comprender la explotación activa de vulnerabilidades de seguridad. Cualquier hallazgo de

seguridad encontrado será presentado al dueño del sistema junto con la valoración del impacto y una

propuesta para la mitigación o una solución técnica.



Puerto: En las redes de computadoras, el término "puerto" puede referirse a los puntos de conexión ya sea

físicos o virtuales. Los puertos físicos de red permiten conectar los cables a las computadoras, routers,

módems y otros dispositivos periféricos. Existen diferentes tipos de puertos físicos disponibles en el

hardware de la computadora: puertos ethernet, puertos USB, puertos serie, entre otros.



q



r

RADIUS (Remote Authentication Dial In User Service): Es un protocolo de red que provee la gestión de la

autenticación, autorización y rendición de cuenta de las computadoras que se conectan y utilizan un servicio

de red. Frecuentemente es utilizado para gestionar los accesos a internet, redes internas y redes

inalámbricas.

Recursos para Tratamiento de la Información: Conjunto de elementos disponibles para resolver el manejo,

procesamiento, gestión o disposición de la información.

Red perimetral: Es la red de interconexión de los proveedores de servicios de telecomunicación,

comúnmente ubicadas en la red externa del firewall de la organización.

Registro(s): Documento(s) que presenta(n) resultado(s) obtenido(s) o proporciona(n) evidencia de

actividades desempeñadas.

Respaldo Primario: Está conformado por BACKUPPOOL, LTOPOOL, ARCHIVEPOOL Y WORMPOOL; en donde:

a)BACKUPPOOL: es un almacenamiento en disco para respaldo (backup). b)ARCHIVEPOOL: es un almacenamiento en disco para archivados (archive). c)LTOPOOL: es un almacenamiento primario en cinta para respaldo (backup). d)WORMPOOL: almacenamiento primario en cinta para archivado (archive)."

Respaldo Secundario: Está conformado por el LTOCOPY y es el que se envía al resguardo externo de los

soporte; en donde:

a)LTOCOPY: almacenamiento de copia en cinta para archivado (archive) y respaldo (backup)."

Respaldo Tipo Archivado : Corresponde a las copias de tipo histórico que no tienen una limitante en su

caducidad (período de vida).

Responsable de gestión de correo electrónico: Personas designadas por cada Dependencia para la solicitud

de servicios relacionados al correo electrónico.

Responsables de Desarrollo de Aplicaciones del Negocio: Encargados del análisis, diseño, programación,

pruebas, documentación y de proporcionar insumos para la puesta en producción de las aplicaciones del

negocio de la institución.

Riesgo: Combinación de la probabilidad de un evento y sus consecuencias.



s

Salvaguarda: Acción, procedimiento o dispositivo, físico o lógico que reduce el riesgo.

Secure Shell (SSH): Protocolo que facilita las comunicaciones seguras entre dos sistemas usando una

arquitectura cliente/servidor y que permite a los usuarios conectarse a un host remotamente. A diferencia

de otros protocolos de comunicación remota tales como FTP o Telnet, SSH encripta la sesión de conexión,

haciendo imposible que alguien pueda obtener contraseñas no encriptadas.

Secure Sockets Layer (SSL): Son protocolos criptográficos que proporcionan comunicaciones seguras por

una red, comúnmente Internet.

SEDE: Secretaria de Estado del Ministerio de Hacienda.

Servicios de Directorio Institucional: Oracle Internet Directory (OID) y Microsoft Active Directory (AD), son

los directorios que conforman el servicio de directorio institucional, el OID es el directorio principal o

máster.

Servicios de Directorio: En el contexto de las redes de computación, es una base de datos especializada

conformada por una aplicación o un conjunto de aplicaciones que almacena y organiza la información sobre

los usuarios de una red de computadoras y recursos de red; además permite a los administradores gestionar

el acceso de usuarios a los recursos de dicha red. Los servicios de directorio actúan como una capa de

abstracción entre los usuarios y los recursos compartidos. Por este motivo, esta base de datos suele estar

optimizada para operaciones de búsqueda, filtrado y lectura más que para operaciones de inserción o

transacciones complejas.

Servidor: Es una computadora que, formando parte de una red, provee servicios a otras denominadas

clientes.

SGSI: Sistema de Gestión de Seguridad de la Información.

Session id, identificador de sesión o token de sesión: Es una pieza de datos (String de caracteres) que es

utilizado en las comunicaciones a través de la red (frecuentemente a través de HTTP) para identificar una

sesión (una serie de mensajes intercambiados). Los identificadores de sesión son necesarios en los casos

donde la infraestructura de comunicaciones utiliza protocolos sin estado, tales como HTTP.

Simple Network Management Protocol (SNMP): Protocolo de la capa de aplicación que facilita el

intercambio de información de administración entre dispositivos de red. Permite a los administradores

supervisar el funcionamiento de la red, buscar y resolver sus problemas, y planear su crecimiento.

Sistema de Mesa de Ayuda o Mesa de Servicios (Service Desk) de la DINAFI: Sistema de administración

centralizada de los requerimientos e incidentes; relacionados con la seguridad de la información de la

Institución y con la operatividad de los servicios que presta la DINAFI a clientes internos y externos, y la

presentación de soluciones oportunas y eficaces que permita la continuidad de las operaciones de los

clientes (http://www.mh.gob.sv/websoporte/).



Sistemas automatizados de control de accesos: Servicios de Directorio Institucional (OID y AD) o

funcionalidad propia del servidor de bases de datos.

Sistemas de computación: Para propósitos de este sistema incluyen: equipos, sistemas operativos,

servidores de bases de datos, servidores de aplicaciones, y otro software de infraestructura IT.

Sistemas de comunicación de datos: Equipo de comunicación que conforma la red de datos de la institución

y el software que se ejecuta en los mismos. Ejemplos: routers, hub, switches, etc.

Sistemas de Información: Conjunto de recursos de información organizados para recolectar, procesar,

mantener, utilizar, compartir, diseminar o eliminar información.

Sitio web, o red informática (en inglés: website): Conjunto de páginas web, típicamente comunes a un

dominio o subdominio en la World Wide Web en Internet.

Software antivirus: Son programas cuya función es detectar y eliminar Virus informáticos y otros programas

maliciosos (a veces denominados malware). Básicamente, un antivirus compara el código de cada archivo

con una base de datos de los códigos (también conocidos como firmas o vacunas) de los virus conocidos, por

lo que es importante actualizarla periódicamente a fin de evitar que un virus nuevo no sea detectado.

Software de oficina: Se refiere al software utilitario para la elaboración de documentos, hojas de cálculo,

presentaciones, correo electrónico entre otros. Ejemplos: Microsoft Word, Excel, Power Point y Outlook.

Soporte(s): Material en cuya superficie se registra información, como las cintas magnéticas, medios de

almacenamiento óptico tipo WORM o discos compactos (CD's y DVD's)

Spam: Es llenar el buzón de correo electrónico del usuario con correos no solicitados o correo basura.



T

Temporal Key Integrity Protocol (TKIP): Protocolo de seguridad usado en WPA (Wi-Fi Protected Access) para

mejorar el cifrado de datos en redes inalámbricas. WPA es utilizado en redes Wi-Fi para corregir deficiencias

en el antiguo estándar de seguridad WEP.

Terminal Access Controller Access Control System (TACACS): Protocolo de autenticación remota,

propietario de cisco, que se usa para comunicarse con un servidor de autenticación comúnmente usado en

redes Unix. TACACS permite a un servidor de acceso remoto comunicarse con un servidor de autenticación

para determinar si el usuario tiene acceso a la red.

Tipo de cuenta: Para propósitos de este sistema se definen los siguientes tipos de cuentas: usuario final, con

privilegios especiales, administrador, de aplicación, servicios, y del fabricante.

Tráfico: Es la cantidad de datos enviados y recibidos por los programas de aplicación a través de una red de

datos.

Transport Layer Security (TLS): Protocolo mediante el cual se establece una conexión segura por medio de

un canal cifrado entre el cliente y el servidor. Así el intercambio de información se realiza en un entorno

seguro y libre de ataques.

TSM Tivoli Storage Manager (software IBM): Herramienta informática de gestión de respaldos, que permite

la realización, control y monitoreo del proceso de resguardo y recuperación de la información almacenada

en los equipos de misión crítica de la organización. Esta herramienta dispone de los mecanismos de

protección apropiados para evitar que la información pueda ser restaurada en un sistema TSM externo al

Ministerio.



u

Unidad de Informática: Se refiere a la(s) unidad(es) organizativa(s) que prestan los servicios de tecnologías

de la información y comunicaciones para las direcciones o dependencias del Ministerio de Hacienda.

URL (uniform resource locator): secuencia de caracteres, de acuerdo a un formato estándar, que se usa

para nombrar recursos en Internet para su localización o identificación. Cadena de caracteres con la cual se

asigna una dirección única a cada uno de los recursos de información disponibles en la Internet. Se clasifica

por su esquema, que generalmente indica el protocolo de red que se usa para recuperar, a través de la red,

la información del recurso identificado. Un URL comienza con el nombre de su esquema, seguido por dos

puntos, seguido por una parte específica del esquema.

Usuarios de conexiones VPN: Usuarios que hacen conexión desde cualquier computador conectado a

internet fuera de la red del Ministerio de Hacienda (desde casa, desde un cibercafé, hotel, otros.),

facilitando el acceso a los recursos disponibles dentro de la institución.

Usuarios de la red de datos: Personal que posee usuario para acceder los recursos compartidos

proporcionados por el servicio de red de datos del Ministerio de Hacienda.

Usuarios Externos: Terceras personas que por alguna razón válida (contractual, horas sociales,

demostraciones de soluciones tecnológicas, consultorías, representantes de organismos internacionales,

empleados de otras instituciones, otros) se les otorga acceso a los servicios de la red de forma temporal

para que hagan uso de ellos.

Usuarios Internos: Funcionarios y empleados del Ministerio de Hacienda que utilizan los servicios o recursos

de la red institucional.



v

Virtual LAN (VLAN): Red de Área Local Virtual. Método para crear redes lógicamente independientes dentro

de una misma red física. Red de ordenadores que se comportan como si estuviesen conectados al mismo

conmutador, aunque pueden estar en realidad conectados físicamente a diferentes segmentos de una red

de área local.

VPN (Red Privada Virtual): Es una red construida sobre redes físicas existentes para proveer un túnel seguro

para la comunicación de datos y otra información entre las redes, utiliza controles de seguridad y traducción

de direcciones IP del punto terminal dando la impresión de una línea dedicada.

Vulnerabilidad: Debilidad de un activo o grupos de activos que puede ser explotada por una amenaza.



w

Wired Equivalent Privacy (WEP): sistema de cifrado incluido en el estándar IEEE 802.11 como protocolo

para redes Wireless que permite cifrar la información que se transmite. Proporciona un cifrado a nivel 2,

basado en el algoritmo de cifrado RC4 que utiliza claves de 64 bits (40 bits más 24 bits del vector de

iniciación IV) o de 128 bits (104 bits más 24 bits del IV).



x



y



z

Glosario de términos utilizados en el sistema de seguridad ... para... · Criptografía: La...

Documents

Transcript of Glosario de términos utilizados en el sistema de seguridad ... para... · Criptografía: La...