Implementacion de Barreras

7/25/2019 Implementacion de Barreras

1/21

Desde la consolidacin de Internet como medio de interconexin global, losincidentes de seguridad relacionados con sistemas informticos vienenincrementndose de manera alarmante. Este hecho, unido a la progresivadependencia de la mayora de organizaciones hacia sus sistemas deinformacin, viene provocando una creciente necesidad de implantar

mecanismos de proteccin ue reduzcan al mnimo los riesgos asociados alos incidentes de seguridad. En este artculo, vamos a proporcionar unavisin general de los aspectos ms relevantes de la seguridad informtica,observando esta disciplina desde un punto de vista estrat!gico y tctico."ara ello destacaremos la conveniencia de afrontar su anlisis mediante unaaproximacin de gestin, concretamente con un enfoue de gestin delriesgo. "ara completar esta visin introductoria a la seguridad informtica,mencionaremos las amenazas y las contramedidas ms frecuentes uedeberan considerarse en toda organizacin.

#a seguridad informtica, de igual forma a como sucede con la seguridad

aplicada a otros entornos, trata de minimizar los riesgos asociados al accesoy utilizacin de determinado sistema de forma no autorizada y en generalmalintencionada. Esta visin de la seguridad informtica implica lanecesidad de gestin, fundamentalmente gestin del riesgo. "ara ello, sedeben evaluar y cuanti$ car los bienes a proteger, y en funcin de estosanlisis, implantar medidas preventivas y correctivas ue eliminen losriegos asociados o ue los reduzcan hasta niveles mane%ables. En generalcualuier persona considerara poco razonable contratar a un agente deseguridad en exclusiva para proteger su domicilio. "osiblemente sera unamedida de seguridad excelente para evitar accesos no autorizados anuestro domicilio, sin embargo, muy pocos lo consideraran, simplemente

por motivos econmicos. &ras evaluar el valor de los bienes a proteger, lohabitual sera considerar otras medidas ms acordes con el valor denuestros bienes. "odramos pensar en una puerta blindada, un conser%ecompartido con otros vecinos o incluso un servicio de vigilancia privadabasada en sensores, alarmas y acceso telefnico con una central deseguridad. 'ombinando estas medidas preventivas con otras correctivascomo podra ser una pliza de seguro contra robo, alcanzaramos un nivelde seguridad ue podra considerarse adecuado. (uchas veces sin hacerlode forma explcita, habramos evaluado el valor de nuestros bienes, losriesgos, el coste de las medidas de seguridad disponibles en el mercado y elnivel de proteccin ue ofrecen. En seguridad informtica, los principios

mostrados con nuestro e%emplo de seguridad en el domicilio son igualmenteaplicables. #as )nicas diferencias aparecen por las particularidades t!cnicasasociadas a los sistemas informticos. #a valoracin econmica de losbienes a proteger puede ser muchas veces una tarea comple%a, la casusticade los riesgos potenciales muy grande, y la comple%idad y diversidad de lasmedidas de seguridad disponibles di$ culta su seleccin. *in embargo, elfondo sigue siendo el mismo, seguridad implica proteger alguna entidadfrente a un con%unto de riesgos y en este caso riesgos relacionados con lossistemas informticos. En este artculo vamos a dar una visin general a losaspectos ms relevantes de la seguridad informtica, comenzando con unavisin de la seguridad como parte integral de la gestin empresarial,continuaremos con la descripcin de las amenazas ms frecuentes uepueden comprometer los sistemas informticos y con la descripcin de las


2/21

medidas ms efectivas para contrarrestarlas. "or )ltimo, $ nalizaremosmencionando las actividades ms signi$ cativas ue venimos realizando enel Instituto &ecnolgico de Informtica en materia de seguridad.

Cuando hablamos acerca de Seguridad Informtica, deteccin de amenazas, proteccinde informacin confidencial o de cmo implementar buenas polticas de seguridad, nos

basamos en elcontrol de accesosy en la restriccin de permisos.A veces parecieraque la seguridad slo tiene que ver con el no permitir que algo pase sin embargo, no setrata slo de eso y podemos hablar de barreras y barandas en la SeguridadInformtica!

"na barrera es un punto de control, de acceso, un lugar en donde se define qui#n puede

acceder o no! $iensen por un segundo cuntas veces al da nos encontramos con este tipo

de situaciones! Cuando queremos subir al transporte p%blico tenemos que pagar el boleto,

al presentarnos en una oficina debemos utilizar una tar&eta de acceso para poder entrar y

como estas, otros cientos de situaciones similares se presentan, en las cuales debemos

presentar alg%n tipo de validacin que nos garantice el acceso a un recurso!

'n el mbito de la Seguridad Informtica, nos encontramos con una barrera cuando

queremos iniciar sesin en un equipo, acceder a un recurso compartido o simplemente

cuando intentamos e&ecutar un programa y necesitamos una cuenta con permisos para

poder hacerlo! 'l concepto de control de accesos y permisos, medidas de proteccin y la

definicin de polticas forman parte de las barreras!

$or otro lado, una baranda tiene una funcin distinta( ayuda a tener un punto de apoyo

para no lastimarnos, caernos o simplemente para delimitar una frontera! "n balcn tiene

una baranda que evita que la gente se caiga, una escalera tiene una baranda que ademsde evitar cadas, es un punto de apoyo para subir o ba&ar!

Si trasladamos este concepto nuevamente al campo de la Seguridad Informtica, debemos

remarcar las funciones que la Educacin, la capacitaciny la adaptacin

de procesosymetodologascumplen para mantener segura una red corporativa! A trav#s

de la educacin de los usuarios acerca de buenas prcticas de traba&o, la importancia de la

confidencialidad de la informacin o la e)plicacin de porqu# hay que tener contrase*as

diferentes para cada servicio, ayudamos a proteger a la empresa y a la privacidad de los

usuarios sin restringir nada!

Cuando el equipo de seguridad de una empresa define una medida de seguridad para

evitar la e&ecucin de aplicaciones desde dispositivos "S+, no est ba&ando una barrera

para que el usuario no pueda hacer algo! $or el contrario, est creando una baranda que

le permite leer los documentos que transporta, protegi#ndolo de las amenazas que se

propagan a trav#s de memorias "S+! a barrera evita que un sistema se infecte con una

amenaza, y la baranda ayuda al usuario a hacer un traba&o sin impactar en la operatoria!

OBJETIVOS DE LA SEGURIDAD INFORMATICA


3/21

El ob%etivo de la seguridad informtica es proteger los recursos informticosvaliosos de la organizacin, tales como la informacin, el hard+are o elsoft+are. trav!s de la adopcin de las medidas adecuadas, la seguridadinformtica ayuda a la organizacin cumplir sus ob%etivos, protegiendo susrecursos $ nancieros, sus sistemas, su reputacin, su situacin legal, y otros

bienes tanto tangibles como inmateriales. Desafortunadamente, enocasiones se ve a la seguridad informtica como algo ue di$ culta laconsecucin de los propios ob%etivos de la organizacin, imponiendo normasy procedimientos rgidos a los usuarios, a los sistemas y a los gestores. *inembargo debe verse a la seguridad informtica, no como un ob%etivo en smismo, sino como un medio de apoyo a la consecucin de los ob%etivos dela organizacin. En general el principal ob%etivo de las empresas, es obtenerbene$ cios y el de las organizaciones p)blicas, ofrecer un servicio e$ cientey de calidad a los usuarios. En las empresas privadas, la seguridadinformtica debera apoyar la consecucin de bene$ cios. "ara ello se debenproteger los sistemas para evitar las potenciales p!rdidas ue podran

ocasionar la degradacin de su funcionalidad o el acceso a los sistemas porparte de personas no autorizadas. De igual forma, las organizacionesp)blicas deben proteger sus sistemas para garantizar la oferta de susservicios de forma e$ ciente y correcta. En cualuier caso, los gestores delas diferentes organizaciones deberan considerar los ob%etivos de la propiaorganizacin e incorporar la seguridad de los sistemas desde un punto devista amplio, como un medio con el ue gestionar los riesgos ue pueden*eguridad Informtica Desde la consolidacin de Internet como medio deinterconexin global, los incidentes de seguridad relacionados con sistemasinformticos vienen incrementndose de manera alarmante. Este hecho,unido a la progresiva dependencia de la mayora de organizaciones hacia

sus sistemas de informacin, viene provocando una creciente necesidad deimplantar mecanismos de proteccin ue reduzcan al mnimo los riesgosasociados a los incidentes de seguridad. En este artculo, vamos aproporcionar una visin general de los aspectos ms relevantes de laseguridad informtica, observando esta disciplina desde un punto de vistaestrat!gico y tctico. "ara ello destacaremos la conveniencia de afrontar suanlisis mediante una aproximacin de gestin, concretamente con unenfoue de gestin del riesgo. "ara completar esta visin introductoria a laseguridad informtica, mencionaremos las amenazas y las contramedidasms frecuentes ue deberan considerarse en toda organizacincomprometer la consecucin de los propios ob%etivos, donde la cuanti$cacin de los diferentes aspectos, muchas veces econmica, debe sercentral.

GESTION DE RIESGO

#a proteccin de los sistemas y de la informacin no suele eliminarcompletamente la posibilidad de ue estos bienes sufran da-os. Enconsecuencia, los gestores deben implantar auellas medidas de seguridadue lleven los riesgos hasta niveles aceptables, contando para ello con elcoste de las medidas a implantar, con el valor de los bienes a proteger y conla cuanti$ cacin de las p!rdidas ue podran derivarse de la aparicin de

determinado incidente de seguridad. #os costes y bene$ cios de laseguridad deberan observarse cuidadosamente para asegurar ue el coste


4/21

de las medidas de seguridad no excedan los bene$ cios potenciales. #aseguridad debe ser apropiada y proporcionada al valor de los sistemas, algrado de dependencia de la organizacin a sus servicios y a la probabilidady dimensin de los da-os potenciales. #os reuerimientos de seguridadvariarn por tanto, dependiendo de cada organizacin y de cada sistema en

particular. En cualuier caso, la seguridad informtica exige habilidad paragestionar los riesgos de forma adecuada. Invirtiendo en medidas deseguridad, las organizaciones pueden reducir la frecuencia y la severidad delas p!rdidas relacionadas con violaciones de la seguridad en sus sistemas."or e%emplo, una empresa puede estimar ue est sufriendo p!rdidasdebidas a la manipulacin fraudulenta de sus sistemas informticos deinventariado, de contabilidad o de facturacin. En este caso puede ueciertas medidas ue me%oren los controles de acceso, reduzcan las p!rdidasde forma signi$ cativa. #as organizaciones ue implantan medidasadecuadas de seguridad, pueden obtener un con%unto de bene$ ciosindirectos ue tambi!n deberan considerarse. "or e%emplo, una

organizacin ue cuente con sistemas de seguridad avanzados, puededesviar la atencin de potenciales intrusos hacia vctimas menos protegidas,puede reducir la frecuencia de aparicin de virus, puede generar una me%orpercepcin de los empleados y otros colaboradores hacia la propia empresa,aumentando la productividad y generando empata de los empleados hacialos ob%etivos organizativos. *in embargo, los bene$ cios ue puedenobtenerse con medidas de seguridad presentan costes tanto directos comoindirectos. #os costes directos suelen ser sencillos de evaluar, incluyendo lacompra, instalacin y administracin de las medidas de seguridad. "or suparte pueden observarse costes indirectos, como decremento en elrendimiento de los sistemas, pueden aparecer necesidades formativas

nuevas para la plantilla o incluso determinadas medidas, como un excesivocelo en los controles, pueden minar la moral de los empleados. En muchoscasos los costes asociados a las medidas de seguridad pueden exceder a losbene$cios esperados por su implantacin, en cuyo caso una correctagestin llevara a platearse su adopcin frente a la posibilidad desimplemente tolerar el problema.

AMENAZAS

#os sistemas informticos son vulnerables a multitud de amenazas uepueden ocasionar da-os ue resulten en p!rdidas signi$ cativas. #os da-os

pueden variar desde simples errores en el uso de aplicaciones de gestinue comprometan la integridad de los datos, hasta catstrofes ue inutilicenla totalidad de los sistemas. #as p!rdidas pueden aparecer por la actividadde intrusos externos a la organizacin, por accesos fraudulentos, poraccesos no autorizados, por el uso errneo de los sistemas por parte deempleados propios, o por la aparicin de eventualidades en generaldestructivas. #os efectos de las diversas amenazas puedes ser muyvariados. nos pueden comprometer la integridad de la informacin o de lossistemas, otros pueden degradar la disponibilidad de los servicios y otrospueden estar relacionados con la con$ dencialidad de la informacin. Encualuier caso una correcta gestin de los riesgos debe implicar un

profundo conocimiento de las vulnerabilidades de los sistemas y de lasamenazas ue los pueden explotar. #as propias caractersticas de las


5/21

organizaciones deben in/ uir en las medidas de seguridad ue resulten msadecuadas y ms e$ cientes en t!rminos de costes, para contrarrestar lasamenazas o incluso para tolerarlas conociendo en todo caso susimplicaciones. continuacin vamos a mostrar las amenazas msfrecuentes ue deberan ser tenidas en cuenta por toda organizacin como

fuentes potenciales de p!rdidas. 'onviene destacar ue la importancia deuna u otra amenaza vara de forma signi$ cativa entre organizacionesdistintas y ue debera hacerse un estudio individualizado de susrepercusiones concretas y de la probabilidad de su aparicin.

*eguridad con respecto a la naturaleza dela amenaza

Existen dos tipos de seguridad con respecto a la naturaleza de la amenaza0

1 *eguridad lgica0 aplicaciones para seguridad, herramientasinformticas,etc.

Dentro de la seguridad informtica, la seguridad lgica hace referencia a laaplicacin de mecanismos y barreras para mantener el resguardo y laintegridad de la informacin dentro de un sistema informtico. #a seguridadlgica se complementa seguridad fsica. #a seguridad lgica de un sistemainformtico incluye0 2 3estringir al acceso a programas y archivos medianteclaves y4o encriptacin. 2 signar las limitaciones correspondientes a cadausuario del sistema informtico. Esto signi$ca, no darle ms privilegiosextras a un usuario, sino slo los ue necesita para realizar su traba%o. 2segurarse ue los archivos y programas ue se emplean son los correctosy se usan correctamente. "or e%emplo, el mal uso de una aplicacin puedeocasionar agu%eros en la seguridad de un sistema informtico. 2 'ontrol delos /u%os de entrada4salida de la informacin. Esto incluye ue unadeterminada informacin llegue solamente al destino ue se espera uellegue, y ue la informacin llegue tal cual se envi. #os controlesanteriormente mencionados se pueden hacer a nivel sistema operativo, anivel aplicacin, a nivel base de datos o archivo, o a nivel $rm+are.

1 *eguridad fsica0 mantenimiento el!ctrico, anti2incendio, humedad, etc.

Dentro de la seguridad informtica, la seguridad fsica hace referencia a lasbarreras fsicas y mecanismos de control en el entorno de un sistemainformtico, para proteger el hard+are de amenazas fsicas. #a seguridadfsica se complementa con la seguridad lgica. #os mecanismos deseguridad fsica deben resguardar de amenazas producidas tanto por elhombre como por la naturaleza. 5sicamente, las amenazas fsicas uepueden poner en riesgo un sistema informtico son0 1 Desastres naturales,incendios accidentales, humedad e inundaciones. 1 menazas ocasionadasinvoluntariamente por personas. 1 cciones hostiles deliberadas como robo,

fraude o sabota%e. *on e%emplos de mecanismos o acciones de seguridadfsica0 2 'errar con llave el centro de cmputos. 2 &ener extintores por
http://www.alegsa.com.ar/Dic/seguridad%20logica.phphttp://www.alegsa.com.ar/Dic/seguridad%20informatica.phphttp://www.alegsa.com.ar/Dic/seguridad%20fisica.phphttp://www.alegsa.com.ar/Dic/seguridad%20informatica.phphttp://www.alegsa.com.ar/Dic/seguridad%20fisica.phphttp://www.alegsa.com.ar/Dic/seguridad%20logica.php


6/21

eventuales incendios. 2 Instalacin de cmaras de seguridad. 2 6uardiahumana. 2 'ontrol permanente del sistema el!ctrico, de ventilacin, etc.

7.2E3383E* 9 8(I*I8:E*

#os errores de los empleados al utilizar los sistemas pueden comprometer laintegridad de la informacin ue mane%a la organizacin. :i siuiera lasaplicaciones ms so$ sticadas estn libres de este tipo de problemas, uepueden reducirse con refuerzos en controles de integridad de los datos ycon un adiestramiento adecuado del personal. (uchas veces, simpleserrores pueden comprometer no )nicamente la integridad de los datos, sinoincluso puede ue causen la aparicin de nuevas vulnerabilidades en lossistemas. Este tipo de amenazas es si cabe ms relevante en las empresasue se dedican al sector de las nuevas tecnologas, desarrollando eimplantando sistemas, muchas veces interconectados entre diversas

organizaciones. n simple error de programacin, en la administracin, o lacarencia de la formacin necesaria para evaluar las implicaciones deseguridad de determinada aproximacin de desarrollo, puede causarvulnerabilidades ue afecten no )nicamente a las organizaciones usuariasde los sistemas, sino tambi!n a las propias empresas ue los desarrollanue se podran ver muy per%udicadas en su imagen corporativa.

;.2I:&3*I8:E*

5a%o esta amenaza se incluyen tanto actividades claramente fraudulentas,como meras intrusiones efectuadas por determinados individuos con el)nico $ n de probar sus


7/21

se puede observar el alarmante incremento de incidentes de seguridadocurrido en los )ltimos a-os. 'oncretamente el gr$ co muestra el n)merode incidentes ocasionados por intrusiones, y comunicados al 'E3&, unorganismo de reconocido prestigio internacional dedicado a la prevencin yanlisis de los incidentes de seguridad aparecidos en Internet. 'onviene

destacar ue las cifras )nicamente muestran los datos comunicados al'E3&, y ue vienen a representar a las intrusiones efectuadas por parte deindividuos externos a las propias organizaciones. #os datos se re$ eren atodo el mundo, sin embargo tambi!n destacamos ue las cifras provienenmayoritariamente de grandes empresas, asentadas fundamentalmente enlos Estados nidos, Europa y >apn. *in embargo, pese a lo parcial de lascifras, no de%a de resultar ilustrativa la curva de crecimiento y lasmagnitudes de los incidentes constatados.

?.2ACCIDENTES Y DESASTRES

Eventualidades tan cotidianas como la simple rotura de una ca-era, la

p!rdida de / uido el!ctrico o la rotura de euipos o mecanismos decomunicaciones pueden tener efectos claramente negativos sobre lossistemas de informacin. Debe incluso contemplarse la posibilidad deaparicin de eventos ms graves, como incendios, atentados terroristas,inundaciones causadas por la propia naturaleza, tormentas el!ctricas oactividades reivindicativas descontroladas de determinados colectivos.

@.2LGICA MALICIOSA

Entre estas amenazas encontramos los virus, los gusanos, los caballos de&roya y las bombas lgicas. un existiendo diferencias t!cnicas entre ellas,

el nexo com)n a todas estas amenazas consiste en ue se trata de soft+arecreado en general para causar da-o. #os costes asociados a su aparicinpueden ser signi$ cativos y varan en funcin de la virulencia de susacciones. "ueden suponer simplemente p!rdidas debidas a la dedicacin depersonal y recursos a su eliminacin o p!rdidas mucho mayores si resultanafectados, corrompidos o destruidos sistemas crticos para la organizacin.

A.2AMENAZAS A LA PRIVACIDAD DE LAS PERSONAS

#a acumulacin de enormes cantidades de datos de carcter personal porentidades p)blicas y privadas, unida a la capacidad de los sistemasinformticos para combinar y procesar las informaciones vienen generando

claras amenazas a la privacidad de los individuos. #a constatacin de estasamenazas por parte de la mayora de pases ha llevado a la elaboracin deleyes y normas ue limitan el tratamiento de los datos de carcter personal.Estas amenazas no slo afectan a los individuos, sino tambi!n a todaorganizacin ue manipule informacin sensible de personas. De noobservarse la legislacin vigente y en caso de no implantar las medidasadecuadas para su cumplimiento, se pueden derivar p!rdidas, tantoeconmicas por las correspondientes multas, como de imagen corporativa.


8/21

Amenazas a un sisema in!"#m$i%"

menazas a la seguridad de un sistema informticoo computadora0

1 "rogramas

malignos0 virus, espas, troyanos, gusanos, phishing, spamming, etc.'ualuier programa creado con intenciones de molestar, da-ar o sacarprovecho en las computadoras infectadas. En general, es fcil determinar siun programa es Bo contieneC un mal+are0 sus actividades son ocultas y noson anunciadas al usuario. "ero existen casos en ue la distincin no esclara, provocando hasta demandas por parte de los desarrolladores de estosprogramas a los antivirus y antiespas ue los detectan como malignos.

En informtica, peue-o soft+are ue, al igual ue un virus biolgico,infecta a una computadora y se propaga en ella con diversos propsitoscomo da-o, robo de informacin, molestia, etc. y por lo general intenta

pasar desapercibido por el usuario el mayor tiempo posible. #os virus seincluyen dentro de los mal+ares Bprogramas malignosC. El contagio por unvirus suele producirlo el mismo usuario al e%ecutar un programa ue estinfectado y toma los servicios bsicos del sistema operativo para lograr susob%etivos. *uele uedar residente en memoria. #o ms habitual es ue losvirus permanezcan ocultos en archivos del tipo e%ecutable B.exe y .comC,pero pueden existir en otros formatos. #os programas ue protegen,detectan y eliminan virus y programas a$nes son llamados antivirus. #osvirus son creados por programadores con los $nes ya expuestos.

El phishing es un tipo de enga-o creado por hacers malintencionados, con

el ob%etivo de obtenerinformacin importante como n)meros de tar%etas decr!dito, claves, datos de cuentas bancarias, etc. El ob%etivo ms com)n,suele ser la obtencin de dinero del usuario ue cae en la trampa."or lo general, el enga-o se basa en la ignorancia del usuario al ingresar aun sitio ue presume legal o aut!ntico.

troyano, es un soft-are maliciosoque se presenta al usuario como

unprogramaaparentemente legtimo e inofensivo, pero que, al e&ecutarlo, le brinda a un

atacante acceso remoto al equipo infectado!./'l t#rmino troyano proviene de la historia

del caballo de 0royamencionado en la Odiseade1omero!

os troyanos pueden realizar diferentes tareas, pero, en la mayora de los casos, crean

unapuerta trasera2en ingl#sbackdoor3 que permite laadministracin remotaa un usuario

no autorizado!4

"n troyano no es de por s, un virus informtico, aun cuando tericamente pueda ser

distribuido y funcionar como tal! a diferencia fundamental entre un troyano y un virus

consiste en su finalidad! $ara que un programa sea un 5troyano5 solo tiene que acceder y

controlar la mquina anfitriona sin ser advertido, normalmente ba&o una apariencia inocua!Al contrario que un virus, que es un hu#speddestructivo, el troyano no necesariamente
http://www.alegsa.com.ar/Dic/sistema%20informatico.phphttp://www.alegsa.com.ar/Dic/computadora.phphttp://www.alegsa.com.ar/Dic/malware.phphttp://www.alegsa.com.ar/Dic/malware.phphttp://www.alegsa.com.ar/Dic/virus.phphttp://www.alegsa.com.ar/Dic/espia.phphttp://www.alegsa.com.ar/Dic/troyano.phphttp://www.alegsa.com.ar/Dic/gusano.phphttp://www.alegsa.com.ar/Dic/phishing.phphttp://www.alegsa.com.ar/Dic/spamming.phphttp://www.alegsa.com.ar/Dic/hacker.phphttp://www.alegsa.com.ar/Dic/phishing.phphttps://es.wikipedia.org/wiki/Malwarehttps://es.wikipedia.org/wiki/Malwarehttps://es.wikipedia.org/wiki/Programa_inform%C3%A1ticohttps://es.wikipedia.org/wiki/Troyano_(inform%C3%A1tica)#cite_note-Panda_Security-1https://es.wikipedia.org/wiki/Troyano_(inform%C3%A1tica)#cite_note-Kaspersky_Lab-2https://es.wikipedia.org/wiki/Troyano_(inform%C3%A1tica)#cite_note-Kaspersky_Lab-2https://es.wikipedia.org/wiki/Caballo_de_Troyahttps://es.wikipedia.org/wiki/Odiseahttps://es.wikipedia.org/wiki/Homerohttps://es.wikipedia.org/wiki/Homerohttps://es.wikipedia.org/wiki/Puerta_traserahttps://es.wikipedia.org/wiki/Puerta_traserahttps://es.wikipedia.org/wiki/Administraci%C3%B3n_remotahttps://es.wikipedia.org/wiki/Administraci%C3%B3n_remotahttps://es.wikipedia.org/wiki/Troyano_(inform%C3%A1tica)#cite_note-3https://es.wikipedia.org/wiki/Troyano_(inform%C3%A1tica)#cite_note-3https://es.wikipedia.org/wiki/Virus_inform%C3%A1ticohttps://es.wikipedia.org/wiki/Hu%C3%A9spedhttp://www.alegsa.com.ar/Dic/sistema%20informatico.phphttp://www.alegsa.com.ar/Dic/computadora.phphttp://www.alegsa.com.ar/Dic/malware.phphttp://www.alegsa.com.ar/Dic/malware.phphttp://www.alegsa.com.ar/Dic/virus.phphttp://www.alegsa.com.ar/Dic/espia.phphttp://www.alegsa.com.ar/Dic/troyano.phphttp://www.alegsa.com.ar/Dic/gusano.phphttp://www.alegsa.com.ar/Dic/phishing.phphttp://www.alegsa.com.ar/Dic/spamming.phphttp://www.alegsa.com.ar/Dic/hacker.phphttp://www.alegsa.com.ar/Dic/phishing.phphttps://es.wikipedia.org/wiki/Malwarehttps://es.wikipedia.org/wiki/Programa_inform%C3%A1ticohttps://es.wikipedia.org/wiki/Troyano_(inform%C3%A1tica)#cite_note-Panda_Security-1https://es.wikipedia.org/wiki/Troyano_(inform%C3%A1tica)#cite_note-Kaspersky_Lab-2https://es.wikipedia.org/wiki/Caballo_de_Troyahttps://es.wikipedia.org/wiki/Odiseahttps://es.wikipedia.org/wiki/Homerohttps://es.wikipedia.org/wiki/Puerta_traserahttps://es.wikipedia.org/wiki/Administraci%C3%B3n_remotahttps://es.wikipedia.org/wiki/Troyano_(inform%C3%A1tica)#cite_note-3https://es.wikipedia.org/wiki/Virus_inform%C3%A1ticohttps://es.wikipedia.org/wiki/Hu%C3%A9sped


9/21

provoca da*os, porque no es ese su ob&etivo! 'ste tipo de virus crean una pgina negra

con letras blancas que, por lo general, suelen ser trampas! 6o e)isten muchas personas

capaces de eliminarlos debido a su gran potencia tecnolgica, pero los que lo logran

suelen ser hac7s de gran nivel, capaces de crear un historial en lnea bastante amplio!

8stos suelen usar claves especificas que solo ellos conocen!

Els&ammin'es el abuso de cualuier tipo de sistema de mensa%eselectrnicos y, por extensin, cualuier forma de abuso en otros medioscomo spam en mensa%era instantnea, en foros, en blogs, en buscadores,en mensa%es en tel!fonos mviles, etc. El spamming generalmente esoriginado por el nimo de lucro de los spammers. ctualmente, cualuiertipo de spamming est mal visto tanto por personas como por empresas ygobiernos, incluso algunos tipos llegan a ser ilegal en algunos pases.

9 *iniestros0 robos, incendio, humedad, etc. pueden provocar p!rdida deinformacin.

1 Intrusos0 piratas informticos pueden acceder remotamente Bsiest conectadoa una redC o fsicamente a un sistema para provocar da-os.

1 8peradores0 los propios operadores de un sistema pueden debilitar y seramenaza a la seguridad de un sistemano slo por boicot, tambi!n por faltade capacitacin o de inter!s.

MEDIDAS DE SEGURIDADExiste un gran abanico de medidas de seguridad ue pueden reducir elriesgo de p!rdidas debidas a la aparicin de incidentes en los sistemasinformticos. (uchas veces al hablar de medidas de seguridad, solo semencionan las meramente t!cnicas, como cortafuegos, antivirus o sistemasde copias de respaldo. *in embargo, las medidas ms efectivas suelen serlas medidas de gestin planteadas a medio y largo plazo desde un punto devista estrat!gico y tctico. continuacin mencionaremos brevemente lasmedidas y sistemas de seguridad ms frecuentes agrupndolas ba%o dos

aspectos. (edidas de gestin y medidas t!cnicas. #as primeras deben serimplantadas por los gestores de las organizaciones como parte de los planesestrat!gicos y tcticos, mientras ue las segundas se corresponden conherramientas y sistemas t!cnicos dise-ados para evitar, controlar orecuperar los da-os ue pueden sufrir los sistemas por la aparicin dedeterminadas amenazas de seguridad.

7. Me(i(as (e 'esi)n

#os gestores de toda organizacin deberan contemplar la seguridadinformtica como parte integral de las estrategias y tcticas corporativas.na vez plasmada la importancia de los sistemas para la consecucin de los

propios ob%etivos y los riesgos ue puede suponer para la empresa lap!rdida de integridad de su informacin, la indisponibilidad de sus sistemas
http://www.alegsa.com.ar/Dic/pirata%20informatico.phphttp://www.alegsa.com.ar/Dic/seguridad%20informatica.phphttp://www.alegsa.com.ar/Dic/red.phphttp://www.alegsa.com.ar/Dic/sistema.phphttp://www.alegsa.com.ar/Dic/pirata%20informatico.phphttp://www.alegsa.com.ar/Dic/seguridad%20informatica.phphttp://www.alegsa.com.ar/Dic/red.phphttp://www.alegsa.com.ar/Dic/sistema.php


10/21

o la violacin de la con$ dencialidad de su informacin, pueden plantearsecon mayor rigor el resto de medidas encaminadas a servir a los ob%etivosempresariales. Emanando de la vertiente estrat!gica de la informacin y delos sistemas corporativos, suelen generarse dos herramientas de gestin nomenos importantes0 las polticas de seguridad y el plan de contingencia. #as

polticas de seguridad de una organizacin son las normas y procedimientosinternos ue deben seguir los integrantes de la organizacin para respetarlos reuerimientos de seguridad ue deseen preservarse. Debe describirsela criticidad de los sistemas y de la informacin, los roles de cada puesto detraba%o y la mecnica de acceso a los sistemas, herramientas,documentacin y cualuier otra componente del sistema de informacin.3esulta frecuente desglosar las polticas de seguridad en procedimientosdetallados para cada componente del sistema de forma individualizada, aspor e%emplo, pueden crearse documentos ue describan las polticas detratamiento de correos electrnicos, polticas de uso de Internet, de copiasde respaldo, de tratamiento de virus y otra lgica maliciosa, polticas

formativas en materia de seguridad para la plantilla, etc. 'onviene destacarue las polticas de seguridad deben emanar de la estrategia corporativa yue se trata de documentos ue deberan conocer todos los integrantes dela plantilla. "or su parte, el plan de contingencia describe los procedimientosue deben seguirse ante la aparicin de eventualidades signi$ cativas uepuedan suponer graves consecuencias para la organizacin. Debe detallarselos pasos a seguir, por e%emplo en caso de destruccin total de los sistemaspor inundacin, fuego, etc. (uchas veces la simple elaboracin del plandescubre defectos en los sistemas ue pueden ser paliados con relativafacilidad. "or e%emplo puede descubrirse ue no se mantienen copias derespaldo de informacin crucial para la empresa en lugares fsicamente

seguros, o al menos en lugares distantes a la ubicacin de los sistemassusceptibles de da-os.

*+ Me(i(as ,%ni%as

Existen innumerables herramientas y sistemas de seguridad orientadas apreservar la integridad, con$ dencialidad y disponibilidad de informacin ysistemas. #a oferta en este sentido es muy numerosa y toda organizacindebera dedicar un esfuerzo signi$ cativo a su estudio y seleccin. En estebreve artculo, ms ue describir con detalle todas las herramientas y

medidas de seguridad aplicables y sus variaciones disponibles en elmercado, nos limitaremos a mencionar las t!cnicas ms utilizadas,apuntando $ nalmente algunas de las ms novedosas. Entre las t!cnicasms consolidadas encontramos las copias de respaldo, los antivirus, loscortafuegos, los mecanismos de autenticacin y la criptografa. #as copiasde respaldo y en general cualuier forma de redundancia, se encaminan agarantizar la disponibilidad de los sistemas frente a cualuier eventualidad.#os antivirus pretenden evitar la aparicin de lgica maliciosa y en caso deinfeccin tratan de eliminarla de los sistemas. Entre los antivirus convienedestacar auellos ue inspeccionan los correos electrnicos evitando lainfeccin de sus destinatarios. "or su parte, los cortafuegos tratan dereducir el n)mero de vas potenciales de acceso a los sistemas corporativosdesde el exterior, estableciendo limitaciones al n)mero de euipos y de


11/21

servicios visibles. 8tra de las t!cnicas imprescindibles en toda organizacinla forman los mecanismos de autenticacin. Estos mecanismos puedenvariar desde esuemas simples basados en los pares usuario contrase-a,hasta comple%os sistemas distribuidos basados en credenciales o sistemasde autenticacin biom!tricos basados en el reconocimiento mecanizado de

caractersticas fsicas de las personas. "or )ltimo, todo esuema deseguridad debe contemplar en una u otra medida el cifrado de informacinsensible. veces puede ser su$ ciente el cifrado de las contrase-as,mientras ue en otras resulta imprescindible el cifrado de lascomunicaciones y de las bases de datos. 'omo medidas ms avanzadas,podemos mencionar la esteganografa, la deteccin de vulnerabilidades y ladeteccin de intrusos. #as t!cnicas esteganogr$ cas tratan de ocultarinformacin. diferencia de la criptografa, ue trata de hacer indescifrablela informacin, la esteganografa trata de evitar ue siuiera se note suexistencia. "or e%emplo las empresas dedicadas a producir documentosdigitales, pueden estar interesadas en incluir determinada marca invisible

de forma ue sea demostrable su autora y puedan perseguirse copiasilegales. #as herramientas de deteccin de vulnerabilidades suelen versecomo herramientas de auditoria, ue pueden mostrar las vas ue conmayor probabilidad utilizaran los intrusos para acceder a los sistemas. "or)ltimo, los sistemas de deteccin de intrusos tratan de descubrir, muchasveces en tiempo real, accesos no autorizados a los sistemas, tanto desde elexterior de la organizacin, como desde dentro de las propias instalacionesde la empresa.

Se'u#i(a( en e- Insiu" Te%n"-)'i%" (e In!"#m$i%a

El rea de *istemas iables del Instituto &ecnolgico de Informtica, centrasu traba%o en la investigacin y desarrollo de entornos orientados aaumentar la $ abilidad y la disponibilidad, donde la seguridad informtica seplantea como uno de los e%es fundamentales. En esta rea vienenrealizndose proyectos de consultora y auditora de seguridad informtica,cubri!ndose los aspectos estrat!gicos, tcticos y t!cnicos de los sistemasinformticos. El ob%etivo de estos proyectos consiste en la elaboracin de unprocedimiento de consultora utilizable por terceras empresas consultoras.dems de la consultora, se estn desarrollando diversos proyectos deinvestigacin y desarrollo, entre los ue destacan IntruDec y &igerFeb. Elprimero consiste en un sistema de deteccin de intrusos basado en el

reconocimiento de patrones de conducta sospechosos, observables alanalizar el tr$ co en la red y al analizar la actividad de los euiposinformticos. "or su parte, &igerFeb es una herramienta de deteccin devulnerabilidades perimetrales. 'on esta herramienta se puede obtener unavisin aproximada de las vas ms fcilmente explotables por potencialesintrusos para acceder a los sistemas desde el exterior de la organizacin."or )ltimo, el grupo de *istemas iables tambi!n se encuentra inmerso en lainvestigacin de las implicaciones de seguridad ue tiene el empleo desistemas inalmbricos y mviles, estudiando entre otros los mecanismos deautenticacin, cifrado, encaminamiento y las aruitecturas soft+are msconvenientes donde se contemple la seguridad desde el punto de vista

particular de este tipo de entornos


12/21

Implementacin de barreras de seguridad

Tcnicas, aplicaciones y dispositivos para la seguridad informtica:

* Utilizacin de aplicaciones de proteccin: cortafuegos, antivirus, antiespas, etc.

* Encriptacin de la informacin y uso de contraseas.

* Capacitacin a los usuarios de un sistema.

* Capacitacin a la poblacin general sobre las nuevas tecnologas y las amenazas

ue pueden traer.

C!"#$%UE&!:Bire+all, bastin, antiintrusos, muro de fuegoC. plicacin oherramienta ue funciona como sistema de defensa, ue evita cualuiertipo de acceso a un determinado sistema. Estos programas suelen usarsepara la proteccin de una computadora ue est conectada a una red,especialmente internet. 'ontrolan todo el tr$co de entrada y de salida,informando o evitando actividades sospechosas. lgunos cortafuegos tienencapacidad de detectar espas y pop2ups. De hecho, muchos antivirus tienenincorporada una herramienta tipo cortafuego.

:&IGI3*0 plicacin o grupo de aplicaciones dedicadas a la prevencin,b)sueda, deteccin y eliminacin de programas malignos en sistemas

informticos. Entre los programas con cdigos malignos se incluyen virus,troyanos, gusanos, spy+ares, entre otros mal+ares. n antivirus tambi!npuede contar con otras herramientas relacionadas a la seguridad comoantispam, $re+all, antispy+are, etc. n antivirus debe cumplir con ciertosreuisitos para ser considerado efectivo y e$ciente0 constante actualizacin,proteccin permanente, completa base de datos de programas malignos ybuena heurstica. lgunos tipos de antivirus0 antivirus activo, antiviruspasivo, antivirus online, antivirus oHine y antivirus gratuito.

ANALISIS DE RIESGOS

#o ms importante para una organizacin es su informacin, por lo tantodeben de existir t!cnicas ue la resguarden. "or e%emplo0

7. 3estringir el acceso a los usuarios con claves y permisos.*+ segurar ue los usuarios no modi$uen informacin ue no les

corresponda..+ segurar ue se utilicen los datos, archivos y programas correctos./+ @. segurar ue existan sistemas de emergencia alternativos como lo

son sistemas automticos de respaldos,plantas de luz ,etc.0+ ctualizar constantemente las contrase-as de acceso a los sistemas.

REGLAS B1SICAS DE SEGURIDAD INFORMATICA


13/21

2*istema 8perativo0 De forma peridica actualizar el *istema 8perativo ysus aplicaciones. Estas actualizaciones solucionan desde peue-osdefectos hasta graves problemas de seguridad. Es sencillo hacerlodirigi!ndose a la pgina +eb del fabricante, se recomienda activarlas actualizaciones automticas para poder recibir los parches de seguridad

de forma automtica. 5orrar archivos temporales. nJvirus0 *e recomienda instalar solo un nJvirus as como un nJ2*pamen su ordenador, actualizarlo semanalmente, y analizar las unidades localesy externas peridicamente.

'opias de seguridad0 Kgalas con regularidad, ya sea en 'D238( o DGD.na copia de seguridad reciente le permiJr recuperarse del ataue.

*oL+are0 #imite el n)mero de aplicaciones en su computadora ydesinstalar el soL+are innecesario, ya ue consume recursos de espacioy memoria.

:avegacin en Internet0 *e recomienda0 no acceder a siJos dudosos,evitar los enlaces sospechosos, evitar el ingreso de informacin personal y$nanciera en formularios, aseg)rese de ue la barra de direccionesmuestra la direccin exacta, no utilizar tar%eta de d!bito para sus comprason2line, aceptar slo contactos conocidos, utilizar contrase-asfuertes, no e%ecutar archivos .exe o sospechosos, no abrir enlacesenga-osos de premios y4o regalos, con$gure su navegador para ue seborren las cooies y archivos temporales

. 'ontrase-as0 :unca teclee una contrase-a importante, como la de sucuenta bancaria, en formularios de una pgina +eb. 'ree contrase-as

fuertes usando0 #etras en min)sculas Bde la a a la zC, #etras en may)sculasBde la a la MC, :)meros Bdel N al OC y 'aracteres especiales Bpor e%. P, Q, R,o SC. 'orreo electrnico0 5orre el correo basura BspamC, sin leerlo. :o abramensa%es con $cheros ad%untos y brrelos de inmediato. sar contrase-asseguras y cambiarlas peridicamente. Evitar las cadenas.

ire+all0 tilice soof+are de cortafuegos personal. *i puede, oculte sudireccin I". 3edes *ociales0 3estringir la informacin personal en tu per$l,usar nic o apodo para no usar tu nombre verdadero, seleccionar lainformacin ue es privada y las fotos a mostrar, valora las solicitudes deamistad ue vas aceptar, denunciar cualuier tipo de acoso.

3ed #:0 :o compartir carpetas con acceso total solo con permisos deusuario, ocultar las carpetas compartidas.

6enerales0 ntes de manipular los componentes internos de unacomputadora Bmemoria 3amC, debe descargar la esttica tocando algometlico, usar regulador de volta%e, realizar mantenimiento interno yexterno por la acumulacin de polvo, revisar la temperatura de loscomponentes del euipo, desfragmentar peridicamente los disco duros,es responsabilidad del usuario $nal la instalacin de soft+are y hard+are ysus consecuencias para efectos de garanTa, apague su ordenador cuandono lo est! utilizando, sobre todo si dispone de una conexin permanentea Internet.


14/21

DELITOS INFORM1TICOS

"n delito informticoo ciberdelitoes toda aquella accin anti&urdica y culpable, que se

da por vas informticas o que tiene como ob&etivo destruir y da*ar ordenadores, medios

electrnicos y redes de Internet! :ebido a que la informtica se mueve ms rpido que la

legislacin, e)isten conductas criminales por vas informticas que no pueden considerarse

como delito, seg%n la 50eora del delito5, por lo cual se definen como abusos informticos

2los tipos penales tradicionales resultan en muchos pases inadecuados para encuadrar las

nuevas formas delictivas.3, y parte de la criminalidad informtica! a criminalidad

informtica consiste en la realizacin de un tipo de actividades que, reuniendo los

requisitos que delimitan el concepto de delito, sean llevados acabo utilizando un elemento

informtico!/

os delitos informticos son aquellas actividades ilcitas que( 2a3 Se cometen mediante eluso de computadoras, sistemas informticos u otros dispositivos de comunicacin 2la

informtica es el medio o instrumento para realizar un delito3 o 2b3 0ienen por ob&eto

causar da*os, provocar p#rdidas o impedir el uso de sistemas informticos 2delitos

informticos3!

;ucha informacin es almacenada en un reducido espacio, con una posibilidad de

recuperacin inmediata, pero por comple&as que sean las medidas de seguridad que se

puedan implantar, a%n no e)iste un m#todo infalible de proteccin!4

a criminalidad informtica tiene un alcance mayor y puede incluir delitos tradicionalescomo el fraude, elrobo, chanta&e, falsificaciny la malversacin de caudales p%blicosen

los cuales ordenadores y redes han sido utilizados como medio! Con el desarrollo de la

programacin y de Internet, los delitos informticos se han vuelto ms frecuentes y

sofisticados!

a


15/21

formas tradicionales de comisin5! "na clara dificultad para la persecucin de estos ilcitos,

ha sido que el ciudadano no considera delincuente al autor de estos delitos, entre los

propios victimarios algunas veces e)iste una reivindicacin que subyace a toda su

actividad, como es el caso de los hackers, quienes cuentan con todo una 5filosofa5

preparada para respldar su actividad afirmando que propenden a un mundo ms libre, quedisponga de acceso a todas las obras de la inteligencia, y basndose en ese argumento

divulgan las claves que tienen en su actividad>!

PLAN DE SEGURIDAD INFORM1TICA

"n Plan de seguridades un con&unto de decisiones que definen cursos de accin futuros, ascomo los medios que se van a utilizar para conseguirlos! ?.@'l $lan de Seguridad ?>@ debe ser un proyecto que desarrolle los ob&etivos de seguridad a largoplazo de la organizacin, siguiendo el ciclo de vida completo desde la definicin hasta laimplementacin y revisin!a forma adecuada para plantear la planificacin de la seguridad en una organizacin debepartir siempre de la definicin de una poltica de seguridad que defina el "8 se quiere haceren materia de seguridad en la organizacin para a partir de ella decidir mediante un adecuadoplan de implementacin el CB;< se alcanzarn en la prctica los ob&etivos fi&ados!A partir de la $oltica de Seguridad se podr definir el $lan de Seguridad, que es muydependiente de las decisiones tomadas en ella, en el que se contemplar( el estudio desoluciones, la seleccin de herramientas, la asignacin de recursos y el estudio de viabilidad!a $oltica de Seguridad y el $lan de Seguridad 2y la implantacin propiamente dicha3 estnntimamente relacionados(

a $oltica de Seguridad define el $lan de Seguridad ya que la implementacin debe

ser un fiel refle&o de los procedimientos y normas establecidos en la poltica!

'l $lan de Seguridad debe estar revisado para adaptarse a las nuevas necesidades del

entorno, los servicios que vayan apareciendo y a las aportaciones que usuarios,

administradores, etc! vayan proponiendo en funcin de su e)periencia! a revisin es esencial

para evitar la obsolescencia de la poltica debido al propio crecimiento y evolucin de la

organizacin! os plazos de revisin deben estar fi&ados y permitir adems revisiones

e)traordinarias en funcin de determinados eventos 2por e&emplo, incidentes3!

'l $lan de Seguridad debe ser auditado para asegurar la adecuacin con las normas!

'l $lan de Seguridad debe realimentar a la $oltica de Seguridad! a e)periencia, los

problemas de implantacin, las limitaciones y los avances tecnolgicos, etc! permitirn que la

poltica pueda adecuarse a la realidad, evitando la inoperancia por ser demasiado utpica y la

me&ora cuando el progreso lo permita!

De2e 'a#aniza#3

#a Dis ponibilidad de los sistemas de informacin debe garantizar

#a 3ecuperacin de los sistemas de informacin
https://es.wikipedia.org/wiki/Delito_inform%C3%A1tico#cite_note-4https://es.wikipedia.org/wiki/Delito_inform%C3%A1tico#cite_note-4


16/21

#a &razabilidad de los sistemas de informacin de los sistemas deinformacin

#a utenticidad de la informacin

#a Integridad de la Informacin de la Informacin

El cceso a la informacin

# a 'on$dencialidad de la i formacin

#a 'onservacin de la informacin

P#in%i&a-es n"#mas -e'is-ai4as a %"nsi(e#a#

POLTI! "E SE#$%I"!"

"na Poltica de Seguridades una 5declaracin de intenciones de alto nivel que cubre laseguridad de los sistemas informticos y que proporciona las bases para definir y delimitarresponsabilidades para las diversas actuaciones t#cnicas y organizativas que se requieran 52=Cs ./>> y /.DE3!&'("na poltica de seguridad informtica es una forma de comunicarse con los usuarios y losgerentes! as $SI establecen el canal formal de actuacin del personal, en relacin con losrecursos y servicios informticos, importantes de la organizacin!6o se trata de una descripcin t#cnica de mecanismos de seguridad, ni de una e)presin legalque involucre sanciones a conductas de los empleados! 's ms bien una descripcin de lo quese desea proteger y el por qu# de ello!Cada $SI es consciente y vigilante del personal por el uso y limitaciones de los recursos yservicios informticos crticos de la compa*a!&)(

Ob*eti+os de una poltica de seguridad,

educir los riesgos a un nivel aceptable!

Farantizar la confidencialidad, integridad,

disponibilidad, privacidad de la informacin!

Cumplir con las eyes y eglamentacionesvigentes


17/21

-mo desarrollar una poltica de seguridad &/(

Identifi0ue y e+al1e los acti+os, u# activos deben protegerse y cmo protegerlos de

forma que permitan la prosperidad de la empresa(

o 2ard3are( terminales, estaciones de traba&o, procesadores, teclados, unidades

de disco, computadoras personales, tar&etas, router, impresoras, lneas de comunicacin,

cableado de la red, servidores de terminales, bridges!

o Soft3are( sistemas operativos, programas fuente, programas ob&eto,

programas de diagnstico, utileras, programas de comunicaciones!

o "atos( durante la e&ecucin, almacenados en lnea, archivados fuera de lnea,

bac7Gup, bases de datos, en trnsito sobre medios de comunicacin!

o Personas( usuarios, personas para operar los sistemas!

o "ocumentacin( sobre programas, hard-are, sistemas, procedimientos

administrativos locales!

Identifi0ue las amena4as, HCules son las causas de los potenciales problemas de

seguridad Considere la posibilidad de violaciones a la seguridad y el impacto que tendran si

ocurrieran! 'stas amenazas son e)ternas o internas(

o !mena4as e5ternas, Se originan fuera de la organizacin y son los virus,

intentos de ataques de los hac7ers, retaliacionesde e)Gempleados o espiona&e industrial!

o !mena4as internas, Son las amenazas que provienen del interior de la

empresa y que pueden ser muy costosas porque el infractor tiene mayor acceso y perspicacia

para saber donde reside la informacin sensible e importante!

E+alu6 los riesgos, :ebe calcularse la probabilidad de que ocurran ciertos sucesos y

determinar cules tienen el potencial para causar mucho da*o! 'l costo puede ser ms quemonetario, se debe asignar un valor a la p#rdida de datos, la privacidad, responsabilidad legal,

etc!

!signe las responsabilidades, Seleccione un equipo de desarrollo que ayude a

identificar las amenazas potenciales en todas las reas de la empresa! os principales

integrantes del equipo seran el administrador de redes, un asesor &urdico, un e&ecutivo

superior y representantes de los departamentos de ecursos 1umanos y elaciones $%blicas!

Estable4ca polticas de seguridad, Cree una poltica que apunte a los documentos

asociados parmetros y procedimientos, normas, as como los contratos de empleados! 'stosdocumentos deben tener informacin especfica relacionada con las plataformas informticas y


18/21

tecnolgicas, las responsabilidades del usuario y la estructura organizacional! :e esta forma, si

se hacen cambios futuros, es ms fcil cambiar los documentos subyacentes que la poltica en

s misma!

Implemente una poltica en toda la organi4acin, a poltica que se esco&a debe

establecer claramente las responsabilidades en cuanto a la seguridad y reconocer qui#n es elpropietario de los sistemas y datos especficos! 8stas son las tres partes esenciales de

cumplimiento que debe incluir la poltica(

G umplimiento, Indique un procedimiento para garantizar el cumplimiento y lasconsecuencias potenciales por incumplimiento!7 8uncionarios de seguridad,6ombre individuos que sean directamente responsables de laseguridad de la informacin!7 8inanciacin,Aseg%rese de que a cada departamento se le haya asignado los fondosnecesarios para poder cumplir adecuadamente con la poltica de seguridad de la compa*a!

!dministre el programa de seguridad, 'stablezca los procedimientos internos para

implementar estos requerimientos y hacer obligatorio su cumplimiento!

Normatividad de una poltica de seguridadas normas son un con&unto de lineamientos, reglas, recomendaciones y controles con elpropsito de dar respaldo a las polticas de seguridad y a los ob&etivos desarrollados por #stas,a trav#s de funciones, delegacin de responsabilidades y otras t#cnicas, con un ob&etivo claro yacorde a las necesidades de seguridad establecidas para el entorno administrativo de la red

institucional"n modelo propuesto seg%n la norma IS< .JJDD la cual recomienda la aplicacinde estndares encaminados a la seguridad informtica plantea tres grandes secciones(K Las directricesson un con&unto de reglas generales de nivel estrat#gico donde se e)presanlos valores de la seguridad de la organizacin! 's propuesta por el lder empresarial de laorganizacin y tiene como su base la misin y visin para abarcar toda la filosofa de laseguridad de la informacin!K Las normasde seguridad para usuarios son dirigidas para el uso de ambientesinformatizados, basadas en aspectos gen#ricos como el cuidado con las claves de acceso,mane&o de equipos o estaciones de traba&o, inclusin y e)clusin de usuarios, administracinde sistemas operativos, etc!K Los procedimientose instrucciones de traba&o son un con&unto de orientaciones pararealizar las actividades operativas, que representa las relaciones interpersonales einterdepartamental y sus respectivas etapas de traba&o para su implementacin ymantenimiento de la seguridad de la informacin!ISO '99::Documento de la poltica de seguridad de la informacin'l documento de la poltica deseguridad de la informacin debiera ser aprobado por la gerencia, y publicado y comunicado atodos los empleados y las partes e)ternas relevantes!Lineamiento de implementacin'l documento de la poltica de seguridad de la informacin debe enunciar el compromiso de lagerencia y establecer el enfoque de la organizacin para mane&ar la seguridad de lainformacin! 'l documento de la poltica debiera contener enunciados relacionados con(

"na definicin de seguridad de la informacin, sus ob&etivos y alcance generales y la

importancia de la seguridad como un mecanismo facilitador para intercambiar informacin!


19/21

"n enunciado de la intencin de la gerencia, fundamentando sus ob&etivos y los

principios de la seguridad de la informacin en lnea con la estrategia y los ob&etivos

comerciales

"n marco referencial para establecer los ob&etivos de control y los controles, incluyendo

la estructura de la evaluacin del riesgo y la gestin de riesgo

"na e)plicacin breve de las polticas, principios, estndares y requerimientos de

conformidad de la seguridad de particular importancia para la organizacin, incluyendo(

conformidad con los requerimientos legislativos, reguladores y restrictivos, educacin,

capacitacin y conocimiento de seguridad, gestin de la continuidad del negocio,

consecuencias de las violaciones de la poltica de seguridad de la informacin

"na definicin de las responsabilidades generales y especficas para la gestin de la

seguridad de la informacin incluyendo el reporte de incidentes de seguridad de la informacin

eferencias a la documentacin que fundamenta la poltica por e&emplo, polticas y

procedimientos de seguridad ms detallados para sistemas de informacin especficos o reglas

de seguridad que los usuarios debieran observar!

'sta poltica de seguridad de la informacin se debiera comunicar a trav#s de toda la

organizacin a los usuarios en una forma que sea relevante, accesible y entendible para el

lector ob&etivo!

Revisin de la poltica de seguridad de la informacin

a poltica de seguridad de la informacin debiera ser revisada a intervalos planeados o siocurren cambios significativos para asegurar su continua idoneidad, eficiencia y efectividad!

$rocedimientos"n Procedimiento de seguridades la definicin detallada de los pasos a e&ecutar para llevara cabo unas tareas determinadas! os $rocedimientos de Seguridad permiten aplicar eimplantar las $olticas de Seguridad que han sido aprobadas por la organizacin!&'(Se describe cmose implementan, en las reas a proteger, las polticas generales que hansido definidas para toda la entidad, en correspondencia con las necesidades de proteccin encada una de ellas, atendiendo a sus formas de e&ecucin, periodicidad, personal participante ymedios.Se sustenta sobre la base de los recursos disponibles y, en dependencia de los niveles deseguridad alcanzados se elaborar un $rograma de Seguridad Informtica, que incluya las

acciones a realizar por etapas para lograr niveles superiores!!lgunos procedimientos a considerar son los siguientes,


20/21

Autorizacin y control de la entradaLsalida de las tecnologas de informacin!

Festionar las claves de acceso considerando para cada nivel el tipo de clave

atendiendo a su longitud y composicin, la frecuencia de actualizacin, qui#n debe cambiarla,

su custodia, etc!

ealizacin de salva de respaldo, seg%n el r#gimen de traba&o de las reas, de forma

que las salvas se mantengan actualizadas, y las acciones que se

adoptan para establecer la salvaguarda de las mismas, de forma que se garantice la

compartimentacin de la informacin seg%n su nivel de confidencialidad!

Farantizar que los mantenimientos de los equipos, soportes y datos, se realicen en

presencia y ba&o la supervisin de personal responsable y que en caso del traslado del equipo

fuera de la entidad la informacin clasificada o limitada sea borrada fsicamente o protegida su

divulgacin!

Salva y anlisis de registros o trazas de auditoria, especificando quien lo realiza y con

qu# frecuencia!

Se describirn por separado los controles de seguridad implementados en correspondencia consu naturaleza, de acuerdo al empleo que se haga de los medios humanos, de los mediost#cnicos o de las medidas y procedimientos que debe cumplir el personal!

;edios 2umanos( Aqu se har referencia al papel del personal dentro del sistema de

seguridad implementado, definiendo sus responsabilidades y funciones respecto al dise*o,establecimiento, control, e&ecucin y actualizacin del mismo!

;edios T6cnicos de Seguridad( Se describirn los medios t#cnicos utilizados en

funcin de garantizar niveles de seguridad adecuados, tanto al nivel de soft-are como de

hard-are, as como la configuracin de los mismos! $ara lo cual se tendr en cuenta(

"e proteccin fsica,

G ! las reas con tecnologas instaladas,

Se precisarn, a partir de las definiciones establecidas en el eglamento sobre la SeguridadInformtica, las reas que se consideran vitales y reservadas en correspondencia con el tipo deinformacin que se procese, intercambie, reproduzca o conserve en las mismas o el impactoque pueda ocasionar para la 'ntidad la afectacin de los activos o recursos que en ellas seencuentren, relacionando las medidas y procedimientos especficos que se apliquen en cadauna! 2E*emplo,restricciones para limitar el acceso a los locales, procedimientos para el empleode cierres de seguridad y dispositivos t#cnicos de deteccin de intrusos, etc!3G ! las Tecnologas de Informacin,Se especificarn las medidas y procedimientos deempleo de medios t#cnicos de proteccin fsica directamente aplicados a las tecnologas deinformacin!$osicin de las tecnologas de informacin destinadas al procesamiento deinformacin con alto grado de confidencialidad o sensibilidad en el local de forma que se evitela visibilidad de la informacin a distancia, minimice la posibilidad de captacin de lasemisiones electromagn#ticas y garantice un me&or cuidado y conservacin de las

mismas!;edidas y procedimientos para garantizar el control de las tecnologas de informacine)istentes, durante su e)plotacin, conservacin, mantenimiento y traslado!


21/21

G ! los soportes de informacin,Se describir el r#gimen de control establecido sobre lossoportes magn#ticos de informacin

T6cnicas o Lgicas,

Se especificarn las medidas y procedimientos de seguridad que se establezcan, cuyaimplementacin se realice a trav#s de soft-are, hard-are o ambas(G Identificacin de usuariosG Autenticacin de usuarios!G Control de acceso a los activos yrecursosG Integridad de los ficheros y datosG Auditora y Alarmas

"e recuperacin ante contingencias

Se describirn las medidas y procedimientos de neutralizacin y recuperacin ante cualquiereventualidad que pueda paralizar total o parcialmente la actividad informtica o degraden su

funcionamiento, minimizando el impacto negativo de #stas sobre la entidad!

Implementacion de Barreras

Documents

Transcript of Implementacion de Barreras