Universidad Austral de Chile

Facultad de Ciencias Económicas y Administrativas

Instituto de Administración

Trabajo de Investigación “Seguridad Informática”

Sistemas de Información Empresarial

ADMI-273

Profesor Responsable

Cristian Salazar Concha

Presentado por

Cristian Gonzalez Zambrano

Valdivia, Julio de 2014

INTRODUCCIÓN

Hoy en día vivimos en un mundo donde la tecnología se encuentra en todas partes, este

desarrollo ha sido gracias a la constante globalización, la constante investigación y

desarrollo de nuevas y mejores tecnologías hacen que las empresas y las personas se vean

favorecidas, algo muy importante hoy en día es la recopilación, análisis, y tratamiento de la

información, esta debe ser constantemente revalidada y protegida de la mejor manera.

En el presente informe se dará a conocer que es la seguridad informática, las posibles

amenazas que se esta expuesto y por lo tanto se debe usar la seguridad informática,

estándares de seguridad informática, certificaciones en ISACA, diferencias entre seguridad

informática y seguridad de la información.

¿QUE ES LA SEGURIDAD INFORMATICA?

La seguridad informática es una disciplina que se encarga de proteger la integridad y la

privacidad de la información almacenada en un sistema informático. De todas formas, no

existe ninguna técnica que permita asegurar la inviolabilidad de un sistema.

Un sistema informático puede ser protegido desde un punto de vista lógico (con el

desarrollo de software) o físico (vinculado al mantenimiento eléctrico, por ejemplo). Por

otra parte, las amenazas pueden proceder desde programas dañinos que se instalan en

la computadora del usuario (como un virus) o llegar por vía remota (los delincuentes que se

conectan a Internet e ingresan a distintos sistemas).

En el caso de los virus hay que subrayar que en la actualidad es amplísima la lista de ellos

que existen y que pueden vulnerar de manera palpable cualquier equipo o sistema

informático. Así, por ejemplo, nos encontramos con los llamados virus residentes que son

aquellos que se caracterizan por el hecho de que se hallan ocultos en lo que es la memoria

RAM y eso les da la oportunidad de interceptar y de controlar las distintas operaciones que

se realizan en el ordenador en cuestión llevando a cabo la infección de programas o

carpetas que formen parte fundamental de aquellas.

De la misma forma también están los conocidos virus de acción directa que son aquellos

que lo que hacen es ejecutarse rápidamente y extenderse por todo el equipo trayendo

consigo el contagio de todo lo que encuentren a su paso.

Los virus cifrados, los de arranque, los del fichero o los sobrescritura son igualmente otros

de los peligros contagiosos más importantes que pueden afectar a nuestro ordenador.

Entre las herramientas más usuales de la seguridad informática, se encuentran

los programas antivirus, los cortafuegos o firewalls, la encriptación de la información y el

uso de contraseñas (passwords).

Herramientas todas ellas de gran utilidad como también lo son los conocidos sistemas de

detección de intrusos, también conocidos como anti-spyware. Se trata de programas o

aplicaciones gracias a los cuales se puede detectar de manera inmediata lo que son esos

programas espías que se encuentran en nuestro sistema informático y que lo que realizan es

una recopilación de información del mismo para luego ofrecérsela a un dispositivo externo

sin contar con nuestra autorización en ningún momento. Entre este tipo de espías destaca,

por ejemplo, Gator.

Un sistema seguro debe ser íntegro (con información modificable sólo por las personas

autorizadas), confidencial (los datos tienen que ser legibles únicamente para los usuarios

autorizados), irrefutable (el usuario no debe poder negar las acciones que realizó) y

tener buena disponibilidad (debe ser estable).

De todas formas, como en la mayoría de los ámbitos de la seguridad, lo esencial sigue

siendo la capacitación de los usuarios. Una persona que conoce cómo protegerse de las

amenazas sabrá utilizar sus recursos de la mejor manera posible para evitar ataques o

accidentes.

En otras palabras, puede decirse que la seguridad informática busca garantizar que los

recursos de un sistema de información sean utilizados tal como una organización o un

usuario lo ha decidido, sin intromisiones.

POSIBLES AMENAZAS POR LAS QUE DEBEMOS RECURRIR A LA

SEGURIDAD INFORMATICA

No solo las amenazas que surgen de la programación y el funcionamiento de un dispositivo

de almacenamiento, transmisión o proceso deben ser consideradas, también hay otras

circunstancias que deben ser tenidas en cuenta, incluso «no informáticas». Muchas son a

menudo imprevisibles o inevitables, de modo que las únicas protecciones posibles son las

redundancias y la descentralización, por ejemplo mediante determinadas estructuras de

redes en el caso de las comunicaciones o servidores en clúster para la disponibilidad.

Las amenazas pueden ser causadas por:

Usuarios: causa del mayor problema ligado a la seguridad de un sistema

informático. En algunos casos sus acciones causan problemas de seguridad, si bien

en la mayoría de los casos es porque tienen permisos sobre dimensionados, no se les

han restringido acciones innecesarias, etc.

Programas maliciosos: programas destinados a perjudicar o a hacer un uso ilícito de

los recursos del sistema. Es instalado (por inatención o maldad) en el ordenador,

abriendo una puerta a intrusos o bien modificando los datos. Estos programas

pueden ser un virus informático, un gusano informático, un troyano, una bomba

lógica, un programa espía o spyware, en general conocidos como malware.

Errores de programación: La mayoría de los errores de programación que se pueden

considerar como una amenaza informática es por su condición de poder ser usados

como exploits por los crackers, aunque se dan casos donde el mal desarrollo es, en

sí mismo, una amenaza. La actualización de parches de los sistemas operativos y

aplicaciones permite evitar este tipo de amenazas

.Intrusos: persona que consiguen acceder a los datos o programas a los cuales no

están autorizados (crackers, defacers, hackers, script kiddie o script boy, viruxers,

etc.).

Un siniestro (robo, incendio, inundación): una mala manipulación o una mala

intención derivan a la pérdida del material o de los archivos.

Personal técnico interno: técnicos de sistemas, administradores de bases de datos,

técnicos de desarrollo, etc. Los motivos que se encuentran entre los habituales son:

disputas internas, problemas laborales, despidos, fines lucrativos, espionaje, etc.

Fallos electrónicos o lógicos de los sistemas informáticos en general.

Catástrofes naturales: rayos, terremotos, inundaciones, rayos cósmicos, etc.

ESTANDARES DE SEGURIDAD INFORMATICA

Las organizaciones necesitan y deben demostrar que realizan una gestión competente y

efectiva de la seguridad de los recursos y datos que gestionan, deben demostrar que

identifican y detectan los riesgos a los que está sometida y que adoptan medidas adecuadas

y proporcionadas.

Es por ello que se realizaron una serie de normas y estándares para que las empresas

puedan seguir un patrón común en el ámbito de la seguridad informática

El estándar de seguridad ISO 17799/BS 17799

El estándar de seguridad ISO 17799 fue preparado por la British Standard

Institution (con el nombre de BS 7799) y fue adoptado por el comité técnico de la ISO en

diciembre del año 2000.

Objetivo: Proporcionar una base común para desarrollar normas de seguridad dentro

de las organizaciones, un método de gestión eficaz de la seguridad y para establecer

transacciones y relaciones de confianza entre las empresas.

El estándar hace referencia a diez aspectos primordiales para la seguridad

informática. Estos aspectos son: Planes de Contingencia, Control de Acceso a los sistemas,

Mantenimiento y desarrollo de aplicaciones, Seguridad Física, Cumplimiento, Seguridad

Personal, Seguridad de la Organización, Administración de Operaciones, Control y

Clasificación de la Información y Políticas de Seguridad.

Dentro de cada sección, se especifican los objetivos de los distintos controles para la

seguridad de la información. Para cada uno de los controles se indica asimismo una guía

para su implantación. El número total de controles suma 133 entre todas las secciones

aunque cada organización debe considerar previamente cuántos serán realmente los

aplicables según sus propias necesidades.

Dentro de estos estándares también podemos encontrar la serie ISO 27000

ISO/IEC 27000: Es un conjunto de estándares desarrollados o en fase de desarrollo por ISO

(International Organization for Standardization) e IEC (International Electrotechnical

Commission), que proporciona un marco de gestión para la seguridad de la información

utilizable por cualquier tipo de organización, pública o privada, grande o pequeña. Hay una

serie de normas que componen la serie ISO 27000, las cuales son ISO/IEC 27001, ISO/IEC

27002.

ISO/IEC 27001: Norma que especifica los requisitos para establecer, implantar, poner en

funcionamiento, controlar, revisar, mantener y mejorar un SGSI documentado dentro del

contexto global de los riesgos de negocio de la organización. Especifica los requisitos para

la implantación de los controles de seguridad hechos a medida de las necesidades de

organizaciones individuales o partes de las mismas. Establece la política, objetivos,

procesos y procedimientos relativos a la gestión del riesgo y mejorar la seguridad de la

información de la organización para ofrecer resultados de acuerdo con las políticas y

objetivos generales de la organización.

ISO/IEC 27002: Conjunto de recomendaciones sobre qué medidas tomar en la empresa

para asegurar los Sistemas de Información, los objetivos de seguridad recogen aquellos

aspectos fundamentales que se deben analizar para conseguir un sistema seguro en cada una

de las áreas que los agrupar, para conseguir cada uno de estos objetivos la norma propone

una serie de medidas o recomendaciones (controles) que son los que en definitiva

aplicaremos para la gestión del riesgo analizado, el objetivo de esta normar es definir los

aspectos prácticos/operativos de la implantación del SGSI

SGSI (Sistema de Gestión de la Seguridad de la información: proceso sistemático,

documentado y conocido por toda la organización para garantizar que la seguridad de

la información es gestionada correctamente)

CERTIFICACIONES

¿QUE ES ISACA?

ISACA es una asociación mundial de profesionales en Gobierno de TI. La asociación se

enfoca actualmente en el aseguramiento, gobierno, y seguridad de TI además proporciona

certificaciones reconocidas a nivel mundial en materia de aseguramiento/auditoría (CISA),

seguridad (CISM), gobierno (CGEIT) y riesgos (CRISC).

Con más de 100,000 miembros en 180 países, ISACA® refleja una multiplicidad de

orígenes y habilidades que hacen que el campo de Gobierno de TI desafiante y dinámico.

Certificaciones CISA, CISM, CGEIT y CRISC

ISACA ofrece cuatro certificaciones, las cuales son reconocidas a nivel mundial para los

profesionales de Auditoría, Seguridad, Gobierno y Riesgo de TI, para esto ISACA lleva a

cabo exámenes de certificación dos veces al año, en junio y diciembre.

Los requisitos para certificarte son los sigueintes:

Aprobar el examen

Experiencia relevante

Apegarte al código de ética ISACA

Apegarte al programa de educación profesional continua

Cumplimiento con los estándares de ISACA

Las certificaciones que ofrece ISACA son las siguientes

Certified Information Systems Auditor (CISA)

La certificación CISA es reconocida en todo el mundo como el logro reconocido de los

expertos que controlan, monitorean y evalúan la plataforma tecnológica de una

organización y sus sistemas de negocio.

Certified Information Security Manager (CISM)

La certificación CISM reconoce a las personas que diseñan, construyen y gestionan la

seguridad de la información de las empresas. CISM es la credencial líder que deben tener

los administradores de la seguridad de la información.

Certified in the Governance of Enterprise IT (CGEIT)

CGEIT reconoce a una amplia gama de profesionales por su conocimiento y aplicación de

los principios y prácticas de gobierno empresarial de TI.

Certified in Risk and Information Systems Control (CRISC)

Está diseñada para profesionales de TI que tienen amplia experiencia en la identificación de

riesgos, su análisis y evaluación; respuesta al riesgo, monitoreo de riesgos;

Diseño e implementación de controles de sistemas de información; y monitoreo y

mantenimiento de los mismos.

¿QUE ES LA AUDITORIA INFORMATICA?

La Auditoría Informática es el proceso de recoger, agrupar y evaluar evidencias para

determinar si un sistema informatizado salvaguarda los activos, mantiene la integridad de

los datos, lleva a cabo eficazmente los fines de la organización y utiliza eficientemente los

recursos. De este modo la auditoría informática sustenta y confirma la consecución de los

objetivos tradicionales de la auditoría:

Objetivos de protección de activos e integridad de datos.

Objetivos de gestión que abarcan, no solamente los de protección de activos, sino

también los de eficacia y eficiencia.

El auditor evalúa y comprueba en determinados momentos del tiempo los controles y

procedimientos informativos más complejos, desarrollando y aplicando técnicas

mecanizadas de auditoría, incluyendo el usó del software. En muchos casos, ya no es

posible verificar manualmente los procedimientos informatizados que resumen, calculan y

clasifican datos, por lo que se deberá emplear software de auditoría y otras técnicas.

El auditor es responsable de revisar e informar a la Dirección de la Organización sobre el

diseño y el funcionamiento de los controles implantados y sobre la fiabilidad de la

información suministrada.

Se pueden establecer tres grupos de funciones a realizar por un auditor informático:

Participar en las revisiones durante y después del diseño, realización, implantación

y explotación de aplicaciones informativas, así cómo en las fases análogas de

realización de cambios importantes.

Revisar y juzgar los controles implantados en los sistemas informativos para

verificar su adecuación a las órdenes e instrucciones de la Dirección, requisitos

legales, protección de confidencialidad y cobertura ante errores y fraudes.

Revisar y juzgar el nivel de eficacia, utilidad, fiabilidad y seguridad de los equipos e

información.

DIFERENCIA ENTRE SEGURIDAD INFORMATICA Y SEGURIDAD DE LA

INFORMACION

A primera vista "Seguridad Informática" y "Seguridad de la Información" pueden parecer

exactamente lo mismo, sobre todo si se tiene en cuenta que el desarrollo y la evolución de

la tecnología tiende hacia el modelo de "digitalizar" y "manejar" cualquier tipo de

información mediante un sistema informático. No obstante, aunque están destinados a vivir

en armonía y trabajar conjuntamente, cada uno de las áreas de Seguridad tiene objetivos y

actividades diferentes.

La Seguridad Informática (IT Security) se describe como la distinción táctica y operacional

de la Seguridad, mientras la Seguridad de la Información (Information Security) sería la

línea estratégica de la Seguridad.

Teniendo en cuenta la definición de la Seguridad Informática, esta disciplina se encargaría

de las implementaciones técnicas de la protección de la información, el despliegue de las

tecnologías antivirus, firewalls, detección de intrusos, detección de anomalías, correlación

de eventos, atención de incidentes, entre otros elementos, que articulados con prácticas de

gobierno de tecnología de información establecen la forma de actuar y asegurar las

situaciones de fallas parciales o totales, cuando la información es el activo que se encuentra

en riesgo.

IT Security sería la disciplina que se encargaría de llevar a cabo las soluciones técnicas de

protección de la información (los activos).

En el otro lado, la Seguridad de la Información es la disciplina que nos habla de los riesgos,

de las amenazas, de los análisis de escenarios, de las buenas prácticas y esquemas

normativos, que nos exigen niveles de aseguramiento de procesos y tecnologías para elevar

el nivel de confianza en la creación, uso, almacenamiento, transmisión, recuperación y

disposición final de la información.

Information Security sería la disciplina que encargaría de proporcionar evaluar el riesgos y

las amenazas, trazar el plan de acción y adecuación para minimizar los riesgos, bajo

normativa o buenas practicas con el objetivo de asegurar la confidencialidad, integridad y

disponibilidad en el manejo de la información (activos).

IT Security vs Information Security

La Seguridad de la Información es la disciplina que se encarga de garantizar la

confidencialidad, integridad y disponibilidad de la información. Para alcanzar el objetivo se

apoya en la Seguridad Informática (que estaría gobernada por las directrices de la

Seguridad de la Información), es decir, a pesar de ser disciplinas diferentes, la una no puede

"ir" sin la otra. De modo que la Seguridad de la Información será la encargada de "regular"

y establecer las pautas a seguir para la protección de la información.

Es habitual que la Seguridad de la Información se apoye en una Política de Seguridad que

se desarrolla mediante la elaboración de un Plan Director de Seguridad. La Dirección (de la

Organización / Empresa) será la encargada de marcar las líneas de actuación (estrategia) en

materia de Seguridad, y mediante el Plan Director determinar las medidas tanto técnicas

como procedimentales (Seguridad como Proceso) que garantice los objetivos marcados por

la Política de Seguridad.

Las medidas técnicas (tácticas y operacionales) serán llevadas a cabo por el equipo de

Seguridad Informática, Administradores de Sistemas y Seguridad roles de Seguridad

hablaremos en otra ocasión, que implementaran las medidas necesarias para el

cumplimiento de la Política de Seguridad y el Análisis de Riesgos en el que se debería

basar la Política.

CONCLUSION

Una vez realizado este trabajo investigativo puedo decir que la seguridad informática juega

un rol importante para el resguardo de toda la información que se recopilan en las empresas

y también las personas normales, el mal uso de esta puede generar graves daños y

problemas, es por eso que se debe estar constantemente asegurando toda la información que

tienen las personas y empresas.

La seguridad informática es muy importante para las organizaciones porque se preocupa de

proteger toda la información que se maneja por lo tanto es de vital importancia estar

preocupado de que este segura.

BIBLIOGRAFIA

Estándares y Normas de Seguridad. <http://ccia.ei.uvigo.es/docencia/SSI/normas-

leyes.pdf > (Accesado Julio 2014)

ISACA. <www.isaca.com> (Accesado Julio 2014)

Normas, estándares, Leyes y demás de las políticas de seguridad. <

http://seguridadinformaticaufps.wikispaces.com/Normas,+estandares,

+Leyes+y+demas+de+las+politicas+de+seguridad.+1150204-159-250-214>

(Accesado Julio 2014)

Normatividad Internacional

<http://seguridadinformaticaufps.wikispaces.com/Normatividad+en+la+Seguridad+

Inform%C3%A1tica> (Accesado Julio 2014)

Que es una auditoria informática. <http//www.codejobs.biz/es/blog/2013/02/25/que-

es-una-auditoria-informatica#sthash.ga3UsN4Y.jIewdqX0.dpbs > (Accesado Julio

2014)

Seguridad Informática. <http://es.wikipedia.org/wiki/Seguridad_inform

%C3%A1tica > (Accesado Julio 2014)

Seguridad Informática o Seguridad de la información.

<http://ww+w.seguridadparatodos.es/2011/10/seguridad-informatica-o-seguridad-

de-la.html> (Accesado julio 2014)

Seguridad Informática v/s Seguridad de la información.

<http//itsecuring.blogspot.com/2009/11/seguridad-informatica-vs-seguridad.dehtml

> (Accesado Julio 2014)