Ley de Protección de los datos personales

DEFINICIONES

• Datos personales: información de cualquier tipo referida a personas físicas o de existencia ideal determinadas o determinables.• Datos sensibles: datos personales que revelan origen racial y étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, afiliación sindical e información referente a la salud o a la vida sexual.• Archivo, registro, base o banco de datos: indistintamente, designan al conjunto organizado de datos personales que sean objeto de tratamiento o procesamiento, electrónico o no, cualquiera que fuere la modalidad de su formación, almacenamiento, organización o acceso.• Tratamiento de datos: operaciones y procedimientos sistemáticos, electrónicos o no, que permitan la recolección, conservación, ordenación, almacenamiento, modificación, relacionamiento, evaluación, bloqueo, destrucción, y en general el procesamiento de datos personales, así como también su cesión a terceros a través de comunicaciones, consultas, interconexiones o transferencias.• Responsable de archivo, registro, base o banco de datos: Persona física o de existencia ideal pública o privada, que es titular de un archivo, registro, base o banco de datos.• Datos informatizados: Los datos personales sometidos al tratamiento o procesamiento electrónico o automatizado.• Titular de los datos: Toda persona física o persona de existencia ideal con domicilio legal o delegaciones o sucursales en el país, cuyos datos sean objeto del tratamiento al que se refiere la presente ley.• Usuario de datos: Toda persona, pública o privada que realice a su arbitrio el tratamiento de datos, ya sea en archivos, registros o bancos de datos propios o a través de conexión con los mismos.• Disociación de datos: Todo tratamiento de datos personales de manera que la información obtenida no pueda asociarse a persona determinada o determinable.

CONSENTIMIENTO

No será necesario el consentimiento cuando:

a. Los datos se obtengan de fuentes de acceso público irrestricto;b. Se recaben para el ejercicio de funciones propias de los poderes del Estado o en virtud de una obligación legal;c. Se trate de listados cuyos datos se limiten a nombre, documento nacional de identidad, identificación tributaria o previsional, ocupación, fecha de nacimiento y domicilio;d. Deriven de una relación contractual, científica o profesional del titular de los datos, y resulten necesarios para su desarrollo o cumplimiento;e. Se trate de las operaciones que realicen las entidades financieras y de las informaciones que reciban de sus clientes conforme las disposiciones del artículo 39 de la Ley 21.526.

CATEGORÍA DE DATOS

1. Ninguna persona puede ser obligada a proporcionar datos sensibles.2. Los datos sensibles sólo pueden ser recolectados y objeto de tratamiento cuando medien razones de interés general autorizadas por ley. También podrán ser tratados con finalidades estadísticas o científicas cuando no puedan ser identificados sus titulares.3. Queda prohibida la formación de archivos, bancos o registros que almacenen información que directa o indirectamente revele datos sensibles. Sin perjuicio de ello, la Iglesia Católica, las asociaciones religiosas y las organizaciones políticas y sindicales podrán llevar un registro de sus miembros.4. Los datos relativos a antecedentes penales o contravencionales sólo pueden ser objeto de tratamiento por parte de las autoridades públicas competentes, en el marco de las leyes y reglamentaciones respectivas.

DERECHO DE RECTIFICACIÓN, ACTUALIZACIÓN O SUPRESIÓN

1. Toda persona tiene derecho a que sean rectificados, actualizados y, cuando corresponda, suprimidos o sometidos a confidencialidad los datos personales de los que sea titular, que estén incluidos en un banco de datos.2. El responsable o usuario del banco de datos, debe proceder a la rectificación, supresión o actualización de los datos personales del afectado, realizando las operaciones necesarias a tal fin en el plazo máximo de cinco días hábiles de recibido el reclamo del titular de los datos o advertido el error o falsedad.3. El incumplimiento de esta obligación dentro del término acordado en el inciso precedente, habilitará al interesado a promover sin más la acción de protección de los datos personales o de hábeas data prevista en la presente ley.4. En el supuesto de cesión, o transferencia de datos, el responsable o usuario del banco de datos debe notificar la rectificación o supresión al cesionario dentro del quinto día hábil de efectuado el tratamiento del dato.5. La supresión no procede cuando pudiese causar perjuicios a derechos o intereses legítimos de terceros, o cuando existiera una obligación legal de conservar los datos.6. Durante el proceso de verificación y rectificación del error o falsedad de la información que se trate, el responsable o usuario del banco de datos deberá o bien bloquear el archivo, o consignar al proveer información relativa al mismo la circunstancia de que se encuentra sometida a revisión.7. Los datos personales deben ser conservados durante los plazos previstos en las disposiciones aplicables o en su caso, en las contractuales entre el responsable o usuario del banco de datos y el titular de los datos.

EXCEPCIONES

1. Los responsables o usuarios de bancos de datos públicos pueden, mediante decisión fundada, denegar el acceso, rectificación o la supresión en función de la protección de la defensa de la Nación, del orden y la seguridad públicos, o de la protección de los derechos e intereses de terceros.2. Puede ser denegada por los responsables o usuarios de bancos de datos públicos, cuando de tal modo se pudieran obstaculizar actuaciones judiciales o administrativas en curso vinculadas a la investigación sobre el cumplimiento de obligaciones tributarias o previsionales3. Sin perjuicio de lo establecido en los incisos anteriores, se deberá brindar acceso a los registros en cuestión en la oportunidad en que el afectado tenga que ejercer su derecho de defensa.

ÓRGANO DE CONTROL

1. El órgano de control gozará de autonomía funcional y actuará como órgano descentralizado en el ámbito del Ministerio de Justicia y Derechos Humanos de la Nación.2. El órgano de control será dirigido y administrado por un Director designado por el término de cuatro (4) años, por el Poder Ejecutivo con acuerdo del Senado de la Nación, debiendo ser seleccionado entre personas con antecedentes en la materia. El Director tendrá dedicación exclusiva en su función, encontrándose alcanzado por las incompatibilidades fijadas por ley para los funcionarios públicos y podrá ser removido por el Poder Ejecutivo por mal desempeño de sus funciones.

HEREDEROS

En el caso de datos de personas fallecidas, deberá acreditarse el vínculo mediante la declaratoria de herederos correspondiente, o por documento fehaciente que verifique el carácter de sucesor universal del interesado. Sucesor Universal directo:

1 – Hijos2 – Padres3 – Hermanos 4 – Nietos

5 – Abuelos6 – Tíos7 – Primo

8 - En el caso de no existir sucesor directo, pasará los bienes al fisco.

Principios fundamentales de la protección de datos:a) Principio de pertinencia.b) Principio de finalidad.c) Principio de utilización no abusiva.d) Principio de exactitud.

e) Principio de derecho al olvido.f) Principio de legalidad.g) Principio de publicidad.h) Principio de control.

i) Principio de seguridad.j) Principio de defensa de los datos sensibles.

k) Principio del consentimiento.

Derechos de los titulares de datos personales:a) Derecho de oposición.b) Derecho de información.c) Derecho de acceso.d) Derecho de rectificación, cancelación o supresióne) Derecho de tutela. f) Derecho a la impugnación de valoraciones. g) Derecho de consulta.

Deberes y obligaciones de los usuarios y responsables de bases de datos:a) Deber de Secretob) Deber de Inscripción c) Deber de Información d) Deber de Seguridad e) Deber de velar por la calidad de los datos.f) Deber de dar acceso a los datos.g) Deber de rectificación, cancelación y supresión.h) Deber de bloqueo. i) Deber de controlar la cesión de datos a terceros. j) Deber de información al cesionario.

Tema 2: Políticas y Procedimientos en la Protección

¿Por qué son importantes las políticas?

a) Por que aseguran la aplicación correctas de las medidas de seguridad

b) Por que guían el proceso de selección e implantación de los productos de seguridad

c) Por que demuestran el apoyo de la Presidencia y de la Junta Directiva.

d) Para evitar responsabilidades legales

e) Para lograr una mejor seguridad

RESPONSABILIDADES

Los siguientes entes son responsables, en distintos grados, de la seguridad en la Compañía:• El Comité de Seguridad Informática• La Gerencia de Informática• El Jefe de Seguridad• El Administrador de Sistemas• Los Usuarios

ETAPAS DE PRODUCCIÓN DE LA POLÍTICA

El trabajo de producción se compone por distintas etapas, entre otras:• Objetivos y ámbito: En este punto debe constar la presentación del tema de la norma con relación a sus propósitos y contenidos, buscando identificar resumidamente cuáles estándares la política trata de establecer, además de la amplitud que tendrá en relación a entornos, individuos, áreas y departamentos de la organización involucrados.• Entrevista: Las entrevistas tratan de identificar junto a los usuarios y administradores de la organización las preocupaciones que ellos tienen con los activos, los procesos de negocio, áreas o tareas que ejecutan o en la cual participan. Las entrevistas tratan de identificar las necesidades de seguridad existentes en la organización.• Investigación y análisis de documentos: En esta etapa se identifican y analizan los documentos existentes en la organización y los que tienen alguna relación con el proceso de seguridad en lo referente a la reducción de riesgos, disminución de trabajo repetido y falta de orientación. Entre la documentación existente, se pueden considerar: libros de rutinas, metodologías, políticas de calidad y otras.• Reunión de política: En las reuniones, realizadas con los equipos involucrados en la elaboración, se levantan y discuten los temas, además se redactan los párrafos para la composición de las normas con base en el levantamiento del objetivo y del ámbito de la política específica.• Glosario de la política: Es importante aclarar cualquier duda conceptual que pueda surgir en el momento de la lectura de la política. Así todos los lectores deben tener el mismo punto de referencia conceptual de términos. Por lo tanto se recomienda que la política cuente con un glosario específico donde se especifiquen los términos y conceptos presentes en toda la política de seguridad.• Responsabilidades y penalidades: Es fundamental identificar a los responsables, por la gestión de seguridad de los activos normalizados, con el objetivo de establecer las relaciones de responsabilidad para el cumplimiento de tareas, como las normas de aplicación de sanciones resultantes de casos de inconformidad con la política elaborada. De esa manera, se busca el nivel de conciencia necesario para los involucrados, con relación a las penalidades que serán aplicadas en casos de infracción de la política de seguridad.

MODELO DE ESTRUCTURA DE POLÍTICA

USOS DE LA POLÍTICA

Exigencias de la política:• Integrar el Comité de Seguridad• Partes que integran el documento final (elaboración del mismo)• Hacer oficial la política (oficializarla)

Una política se encuentra bien implantada cuando:• Refleja los objetivos del negocio, es decir, está siempre de acuerdo con la operación necesaria para alcanzar las metas establecidas. • Agrega seguridad a los procesos de negocio y garantiza una gestión inteligente de los riesgos. • Está de acuerdo con la cultura organizacional y está sustentada por el compromiso y por el apoyo de la administración. • Permite un buen entendimiento de las exigencias de seguridad y una evaluación y gestión de los riesgos a los que está sometida la organización.

La implantación de la política de seguridad depende de: • Una buena estrategia de divulgación entre los usuarios. • Una libre disposición de su contenido a todos los involucrados para aumentar el nivel de seguridad y compromiso de cada uno. • Campañas, entrenamientos, charlas de divulgación, sistemas de aprendizaje. • Otros mecanismos adoptados para hacer de la seguridad un elemento común a todos.

Tema 3: Misión de Protección y Seguridad

Obstáculos para incorporar estrategia de Seguridad en la empresa.• Falta de herramientas y soluciones de seguridad• Falta de administración• Falta de presupuesto• Falta de recursos humanos

Objetivos que persigueComo ya se mencionaba en la introducción los objetivos que persigue la seguridad de los SI/TI es proteger los recursos informáticos del daño, la alteración, el robo y la pérdida. Incluyendo en esto los equipos, medios de almacenamiento, software, listados de impresora y los datos. Todo esto enmarcado en un metaobjetivo que es el de mantener la continuidad de los procesos organizacionales que soportan los sistemas de información.

La Seguridad Informática debe vigilar principalmente por las siguientes propiedades:• Confidencialidad: Se define como la "condición que asegura que la información no pueda estar disponible o ser descubierta por o para personas, entidades o procesos no autorizados". La información debe ser vista y manipulada únicamente por quienes tienen el derecho o la autoridad de hacerlo. A menudo se la relaciona con la Intimidad o Privacidad, cuando esa Información se refiere a personas físicas.• Integridad: Se define como la "condición de seguridad que garantiza que la información es modificada, incluyendo su creación y borrado, sólo por el personal autorizado". La integridad está vinculada a la fiabilidad funcional del sistema de información (o sea su eficacia para cumplir las funciones del sistema de organización soportado por aquél). La información debe ser consistente, fiable y no propensa a alteraciones no deseadas. Un ejemplo de ataque a la Integridad es la modificación no autorizada de saldos en un sistema bancario o de calificaciones en un sistema escolar.• Disponibilidad: Se define como el "grado en el que un dato está en el lugar, momento y forma en que es requerido por el usuario autorizado. Situación que se produce cuando se puede acceder a un Sistema de Información en un periodo de tiempo considerado aceptable". Se asocia a menudo a la fiabilidad técnica (tasa de fallos) de los componentes del sistema de información. La información debe estar en el momento que el usuario requiera de ella. Un ataque a la disponibilidad es la negación de servicio (En Inglés Denial of Service o DoS) o "tirar" el servidor.• Autentificación o no repudio: Se define como "el mecanismo que permite conocer si la persona que esta accediendo a un sistema, es realmente quien debe acceder y no un extraño". El no repudio se refiere a los que se hacen sobre en temas de correo electrónico para garantizar la autenticidad del remitente (un mecanismo son las firmas digitales).

Factores que afecta la integridad de los datos• Desastres naturales: Inundaciones, incendios, tormentas, terremotos etc.• Fallas de Hadware: Discos, controladores, energía, memoria, dispositivos etc.• Fallas Humanas: Accidentes, inexperiencias, estrés, problemas de comunicación, venganza, interés personal.• Fallas en la red: Controladores, tarjetas, componentes, radiación• Problemas de SW o lógicos: Requerimientos mal definidos, corrupción de archivos,errores de programas o aplicaciones, problemas de almacenamiento, errores de SO.

Factores que afectan a la seguridad de los datos• Autentificación: La forma en que se hace el proceso de acceso a los sistemas,passwords, perfiles de usuario.• Basados en cables: Todos los cables son "pinchables" es decir se acceder fácilmente a los datos que circulan de un nodo a otro en una red , para esto seutilizan las técnicas de encriptacion.• Físicas: averías en los componentes físicos, robo, espionaje industrial etc.• Programación: Aplicaciones mal construidas, los bugs en el software de la industria que necesita de partches para reducir el riesgo de perder los datos• Puertas Falsas: En la mayoría de los software existen puertas falsas que permitenalterar o manipular los datos con los cuales estos trabajan ( ej.: manipulación de tablas en las base de datos).

Estrategia de Seguridad1. Diseñar la seguridad de red

• Evaluar los riesgos de la seguridad de red. • Determinar los requisitos de tamaño y emplazamiento de los servidores. • Formar al personal. • Crear y publicar políticas y procedimientos de seguridad. • Utilizar una metodología formal para crear un plan de distribución de las tecnologías de seguridad. • Identificar los grupos de usuarios y sus necesidades específicas así como los riesgos de la seguridad.

2. Desarrollar estrategias para proteger las conexiones de red• Crear fronteras seguras • Proteger contra el grupo Todos• Usar Microsoft Proxy Server • Supervisar la seguridad de la red• Conectar con redes externas

3. Distribuir tecnologías de seguridad de red• Preparar las tecnologías de seguridad de red de Windows 2000• Distribuir estrategias para la categoría Todos• Distribuir estrategias para la categoría Personal• Enrutamiento y acceso remoto • Seguridad en Enrutamiento y acceso remoto • Redes privadas virtuales• Distribuir redes privadas virtuales • Capacidad del servidor de red privada virtual • Servicio de autenticación de Internet • Distribuir estrategias para la categoría Usuarios• Distribuir estrategias para la categoría Socios

4. Elaborar una lista de tareas para determinar estrategias de seguridad de red• Plan de distribución. • Crear fronteras seguras. • Preparar las tecnologías de seguridad de red de Windows 2000. • Distribuir estrategias para todos. • Distribuir estrategias para el personal de la organización. • Distribuir estrategias para los usuarios de la organización. • Distribuir estrategias para los socios.

Requisitos que no pueden ser excluidos al certificar la norma ISO 270001. ISMS. 2. Responsabilidades de la Administración 3. Auditoría Interna del ISMS 4. Administración de las revisiones del ISMS 5. Mejoras del ISMS.

¿Qué es un delito informático?Maniobra dolosa que opera sobre un sistema de información alterando la integridad, confidencialidad o disponibilidad de la información procesada.

Tema 4: RIESGOS

Riesgo Se ha definido como la "Posibilidad de que se produzca un impacto dado en la organización"

Valoración de RiesgosEs el proceso de determinar el costo para la organización de experimentar un desastre que afecte a la actividad empresarial. Los costos de un desastre pueden clasificarse en las siguientes categorías:• Costos reales de reemplazar el equipo informático• Costos de producción• Costos por negocio perdido• Costos de reputación

Vulnerabilidad.Punto o aspecto del sistema que es susceptible de ser atacado o de dañar la seguridad del mismo. Representan las debilidades o aspectos falibles o atacables en el sistema informático.

Amenaza.Posible peligro del sistema. Puede ser una persona (cracker), un programa (virus, caballo de Troya, ...), o un suceso natural o de otra índole (fuego, inundación, etc.). Representan los posibles atacantes o factores que aprovechan las debilidades del sistema.

Contramedida.Técnicas de protección del sistema contra las amenazas.

Análisis de RiesgosEl análisis de riesgos es:

• una actividad centrada en la identificación de fallas de seguridad que evidencien vulnerabilidades que puedan ser explotadas por amenazas, provocando impactos en los negocios de la organización.• una actividad de análisis que pretende, a través del rastreo, identificar los riesgos a los cuales los activos se encuentran expuestos.• una actividad que tiene por resultado:

- Encontrar la consolidación de las vulnerabilidades para identificar los pasos a seguir para su corrección.- Identificar las amenazas que pueden explotar esas vulnerabilidades y de esta manera se puede llegar a su corrección o eliminación.- Identificar los impactos potenciales que pudieran tener los incidentes y de esta forma aprovechar las vulnerabilidades encontradas.- Determinar las recomendaciones para que las amenazas sean corregidas o reducidas.

En toda evaluación de riesgos deben tenerse en cuenta tres costes o valores fundamentales: • Cr: Valor de nuestro sistema informático, esto es, de los recursos y la información a proteger. • Ca: Coste de los medios necesarios para romper las medidas de seguridad establecidas en

nuestro sistema. • Cs: Coste de las medidas de seguridad.

Para que la política de seguridad de nuestro sistema sea lógica debe cumplirse la siguiente relación: Ca > Cr > Cs

Evaluación del valor del sistema informático (Cr).Al evaluar nuestro sistema informático, su valor puede desglosarse en dos partes fundamentales:• El valor intrínseco del producto a proteger.• Los costes derivados de su perdida.

Valor intrínsecoEs la parte más sencilla de valorar, puesto que en la mayoría de los casos podemos establecer unos valores objetivos y medibles de nuestros recursos e información. Se trata de enumerar los recursos incluidos en el sistema informático y de establecer su valor.

Por ejemplo, un servidor de un departamento donde trabajan varios grupos de investigación podría valorarse del siguiente modo:• Valor del hardware. El ordenador y de sus periféricos.• Valor del software. Programas y aplicaciones.• Valor de los resultados de investigación, patentes, etc, almacenados.• Coste del esfuerzo y material invertido para obtener los datos.• Valor de la información personal que contiene.

Costes derivadosSon bastante más difíciles de enumerar y cuantificar que los anteriores. Dependiendo del tipo de sistema con que tratemos pueden ser muy distintos, o su valor e importancia relativa pueden variar enormemente. En términos generales podemos incluir los siguientes conceptos:• Valor de sustituir el hardware.• Valor de sustituir el software.• Valor de los resultados.• Coste de reproducir los experimentos significativos.• Coste de regenerar la información personal.

Tipos de vulnerabilidad de un sistema son los siguientes:a. Vulnerabilidad física: Se encuentra en el nivel del edificio o entorno físico del sistema. Se relaciona con la posibilidad de entrar o acceder físicamente al sistema para robar, modificar o destruir el mismo.b. Vulnerabilidad natural: Se refiere al grado en que el sistema puede verse afectado por desastres naturales o ambientales que pueden dañar el sistema, tales como el fuego, inundaciones, rayos, terremotos, o quizás más comúnmente, fallos eléctricos o picos de potencia. También el polvo, la humedad o la temperatura excesiva son aspectos a tener en cuenta.c. Vulnerabilidad del hardware y del software: Desde el punto de vista del hardware, ciertos tipos de dispositivos pueden ser más vulnerables que otros. Así, ciertos sistemas requieren la posesión de algún tipo de herramienta o tarjeta para poder acceder a los mismos. Ciertos fallos o debilidades del software del sistema hacen más fácil acceder al mismo y lo hacen menos fiable. En este apartado se incluyen todos los bugs en los sistemas operativos, u otros tipos de aplicaciones que permiten atacarlos.d. Vulnerabilidad de los medios o dispositivos: Se refiere a la posibilidad de robar o dañar los discos, cintas, listados de impresora, etc.e. Vulnerabilidad por emanación: Todos los dispositivos eléctricos y electrónicos emiten radiaciones electromagnéticas. Existen dispositivos y medios de interceptar estas emanaciones y descifrar o reconstruir la información almacenada o transmitida.f. Vulnerabilidad de las comunicaciones: La conexión de los ordenadores a redes supone sin duda un enorme incremento de la vulnerabilidad del sistema. Aumenta enormemente la escala del riesgo a que está sometido, al aumentar la cantidad de gente que puede tener acceso al mismo o intentar tenerlo. También se añade el riesgo de intercepción de las comunicaciones:• Se puede penetrar al sistema a través de la red.• Interceptar información que es transmitida desde o hacia el sistema.g. Vulnerabilidad humana: La gente que administra y utiliza el sistema representa la mayor vulnerabilidad del sistema. Toda la seguridad del sistema descansa sobre el administrador del mismo que tiene acceso al máximo nivel y sin restricciones al mismo.

Tipos de amenazas Las amenazas al sistema informático pueden también clasificarse desde varios puntos de vista. En una primera clasificación según el efecto causado en el sistema, las amenazas pueden englobarse en cuatro grandes tipos: intercepción, modificación, interrupción y generación. Vamos a verlas con más detalle.

• Intercepción: Cuando una persona, programa o proceso logra el acceso a una parte del sistema a la que no está autorizada. Ejemplos:

• Escucha de una línea de datos.• Copias de programas o ficheros de datos no autorizados. Son los más difíciles de detectar

pues en la mayoría de los casos no alteran la información o el sistema.• Modificación: Se trata no sólo de acceder a una parte del sistema a la que no se tiene autorización, sino, además, de cambiar en todo o en parte su contenido o modo de funcionamiento. Ejemplos:

• Cambiar el contenido de una base de datos.• Cambiar líneas de código en un programa.

• Cambiar datos en una transferencia bancaria.• Interrupción: Interrumpir mediante algún método el funcionamiento del sistema. Ejemplos:

• Saturar la memoria o el máximo de procesos en el sistema operativo.• Destruir algún dispositivo hardware.

Puede ser intencionada o accidental.• Generación: Se refiere a la posibilidad de añadir información o programas no autorizados en el sistema. Ejemplos:• Añadir campos y registros en una base de datos.• Añadir código en un programa (virus).• Introducir mensajes no autorizados en una línea de datos.Como puede observarse, la vulnerabilidad de los sistemas informáticos es muy grande, debido a la variedad de los medios de ataque o amenazas. Fundamentalmente hay tres aspectos que se ven amenazados: el hardware (el sistema), el software (programas de usuarios, aplicaciones, bases de datos, sistemas operativos, etc. ), los datos.Desde el punto de vista del origen de las amenazas, estas pueden clasificarse en: naturales, involuntarias e intencionadas.• Amenazas naturales o físicas: Son las que ponen en peligro los componentes físicos del sistema. En ellas podemos distinguir por un lado los desastres naturales, como las inundaciones, rayos o terremotos, y las condiciones medioambientales, tales como la temperatura, humedad, presencia de polvo.Entre este tipo de amenazas, una de las más comunes es la presencia de un usuario sentado delante del ordenador con su lata de bebida refrescante y su bocadillo cerca del teclado o la unidad central.• Amenazas involuntarias: Son aquellas relacionadas con el uso descuidado del equipo por falta de entrenamiento o de concienciación sobre la seguridad.Entre las más comunes podemos citar:

• Borrar sin querer parte de la información,• Dejar sin protección determinados ficheros básicos del sistema• Dejar pegado a la pantalla un post-it con nuestro password u olvidarnos de salir del sistema.

• Amenazas intencionadas: Son aquellas procedentes de personas que pretenden acceder al sistema para borrar, modificar o robar la información; para bloquearlo o por simple diversión.Los causantes del daño pueden ser de dos tipos: internos y externos.Los externos pueden penetrar al sistema de múltiples formas:

• Entrando al edificio o accediendo físicamente al ordenador. • Entrando al sistema a través de la red explotando las vulnerabilidades software del mismo. • Consiguiendo acceder a través de personas que lo tienen de modo autorizado.

Los internos pueden ser de tres tipos: empleados despedidos o descontentos, empleados coaccionados, y empleados que obtienen beneficios personales.

ActivosLos Activos: "recursos del sistema de información o relacionados con éste, necesarios para que la organización funcione correctamente y alcance los objetivos propuestos por su dirección" se pueden así estructurar en 5 categorías:.. El entorno del Sistema de Información necesario para su funcionamiento: instalación física, infraestructura de comunicaciones y otras, suministros, personal operacional o desarrollador de aplicaciones... El Sistema de Información (hardware, redes propias, software básico, aplicaciones)... La propia Información... Las Funcionalidades de la Organización que justifican y dan finalidad a la existencia de los Sistemas de Información, incluido el personal usuario o los objetivos propuestos por la dirección... Otros Activos (por ejemplo la credibilidad de una persona jurídica o física, su intimidad, la imagen ...).

Amenazas:Se definen como "los Eventos que pueden desencadenar un Incidente en la Organización, produciendo daños materiales o pérdidas inmateriales en sus Activos". Las Amenazas se pueden materializar y transformarse en agresiones. El modelo debe ver las Amenazas bajo un enfoque dinámico, o sea como acciones capaces de modificar el Estado de seguridad del Activo amenazable; acciones de tipo evento, pues hay otras de tipo decisión humana.

Vulnerabilidad:Definida como la "ocurrencia real de materialización de una Amenaza sobre un Activo", la Vulnerabilidad es una propiedad de la relación entre un Activo y una Amenaza. Ejerce entre ambos una función de mediación en el cambio del Estado de Seguridad del Activo; siendo también el

mecanismo de paso desde la Amenaza a la Agresión materializada. La Vulnerabilidad tiene así dos aspectos: el estático, ligado a la función (forma parte del Estado de Seguridad del Activo); y el dinámico, ligado al mecanismo (convierte la Amenaza en agresión). El término Vulnerabilidad cubre dos acepciones distintas: Vulnerabilidad intrínseca del Activo respecto al tipo de Amenaza y Vulnerabilidad efectiva, que tiene también en cuenta las Salvaguardas aplicadas en cada momento. La intrínseca puede descomponerse en la posibilidad de ocurrencia de la Amenaza independiente del Activo amenazado (por ejemplo la probabilidad de desbordamiento de un río determinado) y la Accesibilidad de la Amenaza al Dominio, sea física (por ejemplo la su proximidad a ese río) o bien lógica.

Impacto:Se define como "daño producido a la organización por un posible incidente" y es el resultado de la Agresión sobre el Activo, o visto de manera más dinámica, "la diferencia en las estimaciones de los estados (de seguridad) obtenidas antes y después del evento". Podemos clasificar los Impactos sobre los Activos a partir de sus consecuencias: o Pérdidas bien Cualitativas; por reducción de subestados de seguridad. El Impacto puede ser cuantitativo(si representa Pérdidas cuantitativas monetarizables directas o indirectas); cualitativo con pérdidas orgánicas (por ejemplo, de fondo de comercio, daño de personas); y cualitativo con pérdidas funcionales (o de los subestados de seguridad).

Riesgo:Se ha definido como la "Posibilidad de que se produzca un impacto dado en la organización". Su importancia como resultado de todo el Análisis organizado sobre los elementos anteriores (activos, amenazas, vulnerabilidades e impactos) queda velada por su apariencia como Indicador resultante de la combinación de la Vulnerabilidad y el Impacto que procede de la Amenaza actuante sobre el Activo.Este riesgo calculado permite tomar decisiones racionales para cumplir el objetivo de seguridad de la organización. Para dar soporte a dichas decisiones, el riesgo calculado se compara con el umbral de riesgo, un nivel determinado con ayuda de la política de seguridad de la Organización. Un riesgo calculado superior al umbral implica una decisión de reducción de riesgo. Un riesgo calculado inferior al umbral queda como un riesgo residual que se considera asumible.

Criticidad:Nivel de impacto que tendría en los procesos vitales de una empresa la paralización total o parcial de uno de sus procesos de producción. El impacto no solo podría entenderse en términos económicos local/regional, sino también en el ámbito nacional/internacional de sus negociaciones.

Tema 5: Seguridad en las comunicaciones

El modelo OSI se estructura en 7 niveles:

1. Nivel Físico: este nivel dirige la transmisión de flujos de bits, sin estructura aparente, sobre un medio de conexión. Se encuentra relacionado con condiciones elécricasópticas, mecánicas y funcionales del interfaz al medio de transmisión. A su vez esta encargado de aportar la señal empleada para la transmisión de los datos generados por los niveles superiores. En este nivel se define la forma de conectarse el cable a las tarjetas de red, cuanto pines debe tener cada conector y el uso funcional de cada uno de ellos. Define también la técnica de transmisión a emplear para el envío de los datos sobre el medio empleado. Se encarga de activar, mantener y desactivar un circuito físico. Este nivel trata la codificación y sincronización de los bits y es el responsable de hacer llegar los bits desde un computador a otro.2. Nivel de Enlace de Datos: este nivel se encarga, en el computador de origen, de alojar en una estructura lógica de agrupación de bits, llamada Trama (Frame), los datos provenientes de los niveles superiores. En el computador de destino, se encarga de agrupar los bits provenientes del nivel físico en tramas de datos (Frames) que serán entregadas al nivel de red. Este nivel es el responsable de garantizar la transferencia de tramas libres de errores de un computador a otro a través del nivel físico.3. Nivel de Red: es responsable del direccionamiento de mensajes y de la conversión de las direcciones lógicas y nombres, en direcciones físicas. Esta encargado también de determinar la ruta adecuada para el trayecto de los datos, basándose en condiciones de la red, prioridad del servicio, etc. El nivel de red agrupa pequeños fragmentos de mensajes para ser enviados juntos a través de la red.4. Nivel de Transporte: se encarga de la recuperación y detección de errores. Garantiza también, la entrega de los mensajes del computador originados en el nivel de aplicación. Es el nivel encargado de informar a los niveles superiores del estatus de la red.5. Nivel de Sesión: permite que dos aplicaciones residentes en computadoras diferentes establezcan, usen y terminen una conexión llamada sesión. Este nivel realiza reconocimientos de nombres y las funciones necesarias para que dos aplicaciones se comuniquen a través de la red, como en el caso de funciones de seguridad.6. Nivel de Presentación: determina el formato a usar para el intercambio de datos en la red. Puede ser llamado el traductor de la red. Este nivel también maneja la seguridad de emisión pues, provee a la red servicios como el de encriptacion de datos.7. Nivel de Aplicación: sirve como ventana para los procesos que requieren acceder a los servicios de red.

¿Qué es un Sniffer?Un sniffer es un proceso que "olfatea" el tráfico que se genera en la red *a nivel de enlace*; de este modo puede leer toda la información que circule por el tramo de red en el que se encuentre. Por este método se pueden capturar claves de acceso, datos que se transmiten, numeros de secuencia, etc...

¿Qué es un analizador de protocolos?Un analizador de protocolos es un sniffer al que se le ha añadido funcionalidad suficiente como para entender y traducir los protocolos que se están hablando en la red. Debe tener suficiente funcionalidad como para entender las tramas de nivel de enlace, y los paquetes que transporten.

¿Diferencia?:Normalmente la diferencia entre un sniffer y un analizador de protocolos, es que el segundo está a la venta en las tiendas y no muestra claves de acceso.

Modo promiscuo: al menos uno de los interfaces de red de la máquina está programado para leer toda la información que transcurra por el tramo de red al que esté conectado, y no solamente los paquetes son dirigidos a él.

Visa, Mastercard, IBM, Netscape, GTE y Verisign se unieron para desarrollar el protocolo estándar abierto SET (Security Electronic Transaction) como un método de transacciones seguras con tarjetas de crédito para pago sobre redes públicas de datos, este es el estándar de pago por Internet. El SSL fue creado por NETSCAPE.