-
Aplicacin de la seguridadinformtica
Manual del participante
Recopilacin realizada en agosto 2014
Por Juan Manuel Campos Navarro
Colegio Nacional de Educacin Profesional TcnicaORGANISMO PBLICO
DESCENTRALIZADO DEL GOBIERNO FEDERAL
ConalepMich Plantel Zamora
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 1
PRESENTACINEl mdulo de Aplicacin de la seguridad informtica, se
imparte en el tercer semestre ycorresponde al ncleo de formacin
profesional, de la carrera de Profesional Tcnico-Bachiller
enInformtica. Tiene como finalidad, que el alumno conozca y aplique
los procedimientos yestndares de seguridad en equipos de cmputo y
en las redes de comunicacin, que acorde a losrequerimientos de uso,
conserven la integridad de la informacin generada, procesada
yalmacenada.
Para ello, el mdulo est conformado por dos unidades de
aprendizaje. La primera unidad abordala aplicacin de estndares de
proteccin de informacin; la segunda unidad desarrolla
laadministracin de herramientas y mtodos de seguridad informtica y
en la tercera unidad seestablecen las acciones de monitoreo y
control de parmetros de proteccin.
La contribucin del mdulo al perfil de egreso de la carrera
incluye el desarrollo de competenciaspara proteger la informacin
almacenada en equipos de cmputo y de comunicacin, a fin de
evitarprdidas de datos ataques de virus y acceso a usuarios no
autorizados, en un marco de actuacinprofesional tica y
responsable.
PROPSITO DEL MDULOOfrecer servicios de seguridad informtica
apegados a procedimientos, estndares en equipos decmputo y
necesidades del cliente, a travs de la aplicacin, administracin y
control deherramientas de proteccin, garantizando integridad,
disponibilidad y confidencialidad en lainformacin almacenada en
sistemas informticos.
MAPA DEL MDULO
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 2
CONCEPTO DE SEGURIDADLa seguridad es la ausencia de riesgo o
tambin a la confianza en algo o alguien. Sin embargo, eltrmino
puede tomar diversos sentidos segn el rea o campo a la que haga
referencia. Laseguridad es un estado de nimo, una sensacin, una
cualidad intangible. Se puede entendercomo un objetivo y un fin que
el hombre anhela constantemente como una necesidad
primaria.CONCEPTO DE INFORMACINEn sentido general, la informacin es
un conjunto organizado dedatos procesados, que constituyen un
mensaje que cambia el estado de conocimiento del sujeto osistema
que recibe dicho mensaje. Los datos sensoriales una vez percibidos
y procesadosconstituyen una informacin que cambia el estado de
conocimiento, eso permite a los individuos osistemas que poseen
dicho estado nuevo de conocimiento tomar decisiones pertinentes
acordes adicho conocimiento. Desde el punto de vista de la ciencia
de la computacin, la informacin es unconocimiento explcito extrado
por seres vivos o sistemas expertos como resultado de interaccincon
el entorno o percepciones sensibles del mismo entorno. En principio
la informacin, adiferencia de los datos o las percepciones
sensibles, tienen estructura til que modificar lassucesivas
interacciones del ente que posee dicha informacin con su
entorno.
CONCEPTO DE INFORMTICALa Informtica es la ciencia aplicada que
abarca el estudio y aplicacin del tratamiento automticode la
informacin, utilizando sistemas computacionales, generalmente
implementados comodispositivos electrnicos. Tambin est definida
como el procesamiento automtico de lainformacin.
CONCEPTO DE SEGURIDAD DE INFORMATICALa seguridad informtica es
el rea de la informtica que se enfoca en la proteccin de
lainfraestructura computacional y todo lo relacionado con esta
(incluyendo la informacin contenida).Para ello existen una serie de
estndares, protocolos, mtodos, reglas, herramientas y
leyesconcebidas para minimizar los posibles riesgos a la
infraestructura o a la informacin. La seguridadinformtica comprende
software, bases de datos, metadatos, archivos y todo lo que
laorganizacin valore (activo) y signifique un riesgo si sta llega a
manos de otras personas. Estetipo de informacin se conoce como
informacin privilegiada o confidencial.
El concepto de seguridad de la informacin no debe ser confundido
con el de seguridadinformtica, ya que este ltimo slo se encarga de
la seguridad en el medio informtico, pudiendoencontrar informacin
en diferentes medios o formas.
CONCEPTO DE PRINCIPIOS DE LA SEGURIDAD
INFORMATICAConfidencialidadLa confidencialidad se entiende en el
mbito de la seguridad informtica, como la proteccin dedatos y de
informacin intercambiada entre un emisor y uno o ms destinatarios
frente a terceros.Esto debe hacerse independientemente de la
seguridad del sistema de comunicacin utilizado: dehecho, un asunto
de gran inters es el problema de garantizar la confidencialidad de
lacomunicacin utilizada cuando el sistema es inherentemente
insegura (como Internet).En un sistema que garantice la
confidencialidad, un tercero que entra en posesin de lainformacin
intercambiada entre el remitente y el destinatario no es capaz de
extraer cualquiercontenido inteligible.Para garantizarla se
utilizan mecanismos de cifrado y de ocultacin de la
comunicacin.Digitalmente se puede mantener la confidencialidad de
un documento con el uso de llavesasimtricas. Los mecanismos de
cifrado garantizan la confidencialidad durante el tiempo
necesariopara descifrar el mensaje. Por esta razn, es necesario
determinar durante cunto tiempo el
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 3
mensaje debe seguir siendo confidencial. No existe ningn
mecanismo de seguridadabsolutamente seguro.
IntegridadEn informtica, la integridad de datos puede referirse
a:
Integridad de datos en general: hace referencia a que todas las
caractersticas de los datos(reglas, definiciones, fechas, etc)
deben ser correctos para que los datos estn completos.
Integridad de datos en bases de datos: Integridad de datos se
refiere al estado decorreccin y completitud de los datos ingresados
en una base de datos.
Los SGBD relacional deben encargarse de mantener la integridad
de los datos almacenados enuna base de datos con respecto a las
reglas predefinidas o restricciones. La integridad tambinpuede
verificarse inmediatamente antes del momento de introducir los
datos a la base de datos(por ejemplo, en un formulario empleando
validacin de datos). Un claro ejemplo de error deintegridad es el
ingreso de un tipo de dato incorrecto dentro de un campo. Por
ejemplo, ingresar untexto cuando se espera un nmero entero. Tambin
una error en la integridad en una base dedatos puede ser la
existencia de un valor numrico (id cliente) en la compra de un
producto porparte de un cliente que no existe en su correspondiente
tabla con ese nmero. (integridadreferencial).
DisponibilidadGarantizar que los usuarios autorizados tengan
acceso en todo momento a la informacin cuandosea requerido.
CONCEPTO DE RIESGOLos riesgos informticos se refieren a la
incertidumbre existente por la realizacin de un sucesorelacionado
con la amenaza de dao respecto a los bienes o servicios
informticos. Cuanto mayores la vulnerabilidad mayor es el riesgo (e
inversamente), pero cuanto ms factible es el perjuicio odao mayor
es el peligro (e inversamente). Por tanto, el riesgo se refiere slo
a la terica"posibilidad de dao" bajo determinadas circunstancias,
mientras que el peligro se refiere slo a laterica "probabilidad de
dao" bajo determinadas circunstancias.
TIPOS DE RIESGOSEl Riesgo, que es el producto de la
multiplicacin Probabilidad de Amenaza por Magnitud de Dao,est
agrupado en tres rangos: bajo, medio y alto.
1. Riesgo de integridad:Este tipo abarca todos los riesgos
asociados con la autorizacin, completitud y exactitud de laentrada,
procesamiento y reportes de las aplicaciones utilizadas en una
organizacin. Estosriesgos aplican en cada aspecto de un sistema de
soporte de procesamiento de negocio y estnpresentes en mltiples
lugares, y en mltiples momentos en todas las partes de las
aplicaciones;no obstante estos riesgos se manifiestan en los
siguientes componentes de un sistema:Interface del usuario: Los
riesgos en esta rea generalmente se relacionan con las
restricciones,sobre las individualidades de una organizacin y su
autorizacin de ejecutar funcionesnegocio/sistema; teniendo en
cuenta sus necesidades de trabajo y una razonable segregacin
deobligaciones. Otros riesgos en esta rea se relacionan a controles
que aseguren la validez ycompletitud de la informacin introducida
dentro de un sistema.
Procesamiento: Los riesgos en esta rea generalmente se
relacionan con el adecuadobalance de los controles defectivos y
preventivos que aseguran que el procesamiento de la
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 4
informacin ha sido completado. Esta rea de riesgos tambin abarca
los riesgosasociados con la exactitud e integridad de los reportes
usados para resumir resultados ytomar decisiones de negocio.
Procesamiento de errores: Los riesgos en esta rea generalmente
se relacionan con losmtodos que aseguren que cualquier
entrada/proceso de informacin de errores(Excepciones) sean
capturados adecuadamente, corregidos y reprocesados con
exactitudcompletamente.
Administracin de cambios: Estos riesgos estn asociados con la
administracininadecuadas de procesos de cambios de organizaciones
que incluyen: Compromisos yentrenamiento de los usuarios a los
cambios de los procesos, y la forma de comunicarlos
eimplementarlos.
Informacin: Estos riesgos estn asociados con la administracin
inadecuada de controles,incluyendo la integridad de la seguridad de
la informacin procesada y la administracinefectiva de los sistemas
de bases de datos y de estructuras de datos.
2. Riesgos de relacin:Los riesgos de relacin se refieren al uso
oportuno de la informacin creada por una aplicacin.Estos riesgos se
relacionan directamente a la informacin de toma de decisiones
(Informacin ydatos correctos de una persona/proceso/sistema
correcto en el tiempo preciso permiten tomardecisiones
correctas).
3 Riesgos de acceso:Estos riesgos se enfocan al inapropiado
acceso a sistemas, datos e informacin. Estos riesgosabarcan: Los
riesgos de segregacin inapropiada de trabajo, los riesgos asociados
con laintegridad de la informacin de sistemas de bases de datos y
los riesgos asociados a laconfidencialidad de la informacin. Los
riesgos de acceso pueden ocurrir en los siguientes nivelesde la
estructura de la seguridad de la informacin:
Administracin de la informacin: El mecanismo provee a los
usuarios acceso a lainformacin especfica del entorno.
Entorno de procesamiento: Estos riesgos en esta rea estn
manejados por el accesoinapropiado al entorno de programas e
informacin.
Redes: En esta rea se refiere al acceso inapropiado al entorno
de red y su procesamiento. Nivel fsico: Proteccin fsica de
dispositivos y un apropiado acceso a ellos.
4. Riesgo de utilidad:Estos riesgos se enfocan en tres
diferentes niveles de riesgo: * Los riesgos pueden serenfrentados
por el direccionamiento de sistemas antes de que los problemas
ocurran. *Tcnicasde recuperacin/restauracin usadas para minimizar
la ruptura de los sistemas. *Backups y planesde contingencia
controlan desastres en el procesamiento de la informacin.
5. Riesgos de infraestructura:Estos riesgos se refieren a que en
las organizaciones no existe una estructura informacintecnolgica
efectiva (hardware, software, redes, personas y procesos) para
soportaradecuadamente las necesidades futuras y presentes de los
negocios con un costo eficiente. Estosriesgos estn asociados con
los procesos de la informacin tecnolgica que definen,
desarrollan,mantienen y operan un entorno de procesamiento de
informacin y las aplicaciones asociadas(servicio al cliente, pago
de cuentas, etc.6. Riesgos de seguridad general:
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 5
Los estndares IEC 950 proporcionan los requisitos de diseo para
lograr una seguridad general yque disminuyen el riesgo: Riesgos de
choque de elctrico: Niveles altos de voltaje. Riesgos de incendio:
Inflamabilidad de materiales. Riesgos de niveles inadecuados de
energa elctrica. Riesgos de radiaciones: Ondas de ruido, de lser y
ultrasnicas. Riesgos mecnicos: Inestabilidad de las piezas
elctricas.
MATRIZ DE RIESGO1 = Insignificante (Ninguna o muy bajo)2 = Baja3
= Mediana4 = Alta
CONCEPTO DE VULNERABILIDADEn seguridad informtica, la palabra
vulnerabilidad hace referencia a una debilidad en un
sistemapermitiendo a un atacante violar la confidencialidad,
integridad, disponibilidad, control de acceso yconsistencia del
sistema o de sus datos y aplicaciones.
RIESGOS LGICOS
Tipo de Riesgo FactorRobo de hardware AltoRobo de informacin
AltoVandalismo MedioFallasen los equipos MedioVirus Informticos
MedioEquivocaciones MedioAccesos no autorizados MedioFraude
BajoFuego Muy BajoTerremotos Muy Bajo
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 6
Son aquellos daos que el equipo puede sufrir en su estado lgico,
perjudicando directamente a susoftware.
Cdigos maliciososEn seguridad informtica, cdigo malicioso es un
trmino que hace referencia a cualquier conjuntode cdigos,
especialmente sentencias de programacin, que tiene un fin
malicioso. Esta definicinincluye tanto programas malignos
compilados, como macros y cdigos que se ejecutandirectamente, como
los que suelen emplearse en las pginas web (scripts).Los cdigos
maliciosospueden tener mltiples objetivos como: Extenderse por la
computadora, otras computadoras enuna red o por internet.
Robar informacin y claves. Eliminar archivos e incluso formatear
el disco duro. Mostrar publicidad invasiva. Mnimos cambios en un
cdigo malicioso, pueden hacer que ya
no sea reconocido como malicioso por un programa antivirus; es
por esta razn que existentantas variantes de los virus, los gusanos
y otros malwares. Adems, los antivirus todavano tienen la
suficiente "inteligencia" como para detectar cdigos maliciosos
nuevos.
SpamSe llama spam, correo basura o mensaje basura a los mensajes
no solicitados, no deseados o deremitente no conocido,
habitualmente de tipo publicitario, enviados en grandes cantidades
(inclusomasivas) que perjudican de alguna o varias maneras al
receptor. La accin de enviar dichosmensajes se denomina spamming.
La palabra Spam proviene de la segunda guerra mundial,cuando los
familiares de los soldados en guerra les enviaban comida enlatada.
Entre estascomidas enlatadas estaba Spam una carne enlatada, que en
los Estados Unidos era y es muycomn.Aunque se puede hacer por
distintas vas, la ms utilizada entre el pblico en general es la
basadaen el correo electrnico. Otras tecnologas de Internet que han
sido objeto de correo basuraincluyen grupos de noticias, usenet,
motores de bsqueda, redes sociales, wikis, foros, blogs,tambin a
travs de ventanas emergentes y todo tipo de imgenes y textos en la
web.El correo basura tambin puede tener como objetivo los telfonos
mviles (a travs de mensajesde texto) y los sistemas de mensajera
instantnea como por ejemplo Outlook, Lotus Notes, etc.Tambin se
llama correo no deseado a los virus sueltos en la red y pginas
filtradas (casino,sorteos, premios, viajes, drogas, software y
pornografa), se activa mediante el ingreso a pginasde comunidades o
grupos o acceder a enlaces en diversas pginas.
PirateraTrmino utilizado para referirse a la copia ilegal de
obras literarias, musicales, audiovisuales o desoftware,
infringiendo los derechos de autor.
Fuga de informacinIncidente que pone en poder de una persona
ajena a la organizacin, informacin confidencial yque slo debera
estar disponible para integrantes de la misma. La fuga de
informacin ocurrecuando un sistema diseado para realizar tareas que
no deben ser observadas por un atacanterevela parte de esa
informacin debido a errores en los procedimientos de trabajo. Por
ejemplo, aldisearse una red de mensajera instantnea cifrada un
experto en telecomunicaciones puedesaber en qu momento se emiten
los mensajes. Si en el proceso de generacin de nmeros
seudoaleatorios se utiliz la hora como semilla se podra deducir la
clave secreta estimando el tiempoque tarda la mensajera instantnea
en cifrar el mensaje antes de transmitirla.Ingeniera social
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 7
En el campo de la seguridad informtica, ingeniera social es la
prctica de obtener informacinconfidencial a travs de la manipulacin
de usuarios legtimos. Es una tcnica que pueden usarciertas
personas, tales como investigadores privados, criminales, o
delincuentes computacionales,para obtener informacin, acceso o
privilegios en sistemas de informacin que les permitanrealizar algn
acto que perjudique o exponga la persona u organismo comprometido a
riesgo oabusos.El principio que sustenta la ingeniera social es el
que en cualquier sistema "los usuarios son eleslabn dbil". En la
prctica, un ingeniero social usar comnmente el telfono o Internet
paraengaar a la gente, fingiendo ser, por ejemplo, un empleado de
algn banco o alguna otraempresa, un compaero de trabajo, un tcnico
o un cliente. Va Internet o la web se usa,adicionalmente, el envo
de solicitudes de renovacin de permisos de acceso a pginas web
omemos falsos que solicitan respuestas e incluso las famosas
"cadenas", llevando as a revelarinformacin sensible, o a violar las
polticas de seguridad tpicas. Con este mtodo, los
ingenierossociales aprovechan la tendencia natural de la gente a
reaccionar de manera predecible en ciertassituaciones, por ejemplo
proporcionando detalles financieros a un aparente funcionario de
unbanco en lugar de tener que encontrar agujeros de seguridad en
los sistemas informticos.
Intrusos informticosLos intrusos informticos, son archivos cuyo
propsito es invadir la privacidad de tu computadora,posiblemente
dejando daos y alterando el software del equipo. Entre ellos estn:
los spyware, etc.
RIESGOS FSICOSSon aquellos riesgos que el equipo puede sufrir un
dao en su estado fsico, o que perjudicainmediatamente al hardware.
Se clasifican en:1. Controles de acceso.Palabras Claves
(Passwords)Generalmente se utilizan para realizar la autenticacin
del usuario y sirven para proteger los datosy aplicaciones. Los
controles implementados a travs de la utilizacin de palabras clave
resultande muy bajo costo. Sin embargo cuando el usuario se ve en
la necesidad de utilizar variaspalabras clave para acceder a
diversos sistemas encuentra dificultoso recordarlas yprobablemente
las escriba o elija palabras fcilmente deducibles, con lo que se ve
disminuida lautilidad de esta tcnica.Se podr, por aos, seguir
creando sistemas altamente seguros, pero en ltima instancia cada
unode ellos se romper por este eslabn: la eleccin de passwords
dbiles.Es mi deseo que despus de la lectura del presente quede la
idea til de usar passwords segurasya que aqu radican entre el 90% y
99% de los problemas de seguridad planteados.
Sincronizacin de passwords: consiste en permitir que un usuario
acceda con la mismapassword a diferentes sistemas interrelacionados
y, su actualizacin automtica en todosellos en caso de ser
modificada. Podra pensarse que esta es una caracterstica
negativapara la seguridad de un sistema, ya que una vez descubierta
la clave de un usuario, sepodra tener acceso a los mltiples
sistemas a los que tiene acceso dicho usuario. Sinembargo, estudios
hechos muestran que las personas normalmente suelen manejar unasola
password para todos los sitios a los que tengan acceso, y que si se
los fuerza a elegirdiferentes passwords tienden a guardarlas
escritas para no olvidarlas, lo cual significa unriesgo an mayor.
Para implementar la sincronizacin de passwords entre sistemas
esnecesario que todos ellos tengan un alto nivel de seguridad.
Caducidad y control: este mecanismo controla cundo pueden y/o
deben cambiar suspasswords los usuarios. Se define el perodo mnimo
que debe pasar para que los usuarios
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 8
puedan cambiar sus passwords, y un perodo mximo que puede
transcurrir para que stascaduquen.
EncriptacinLa informacin encriptada solamente puede ser
desencriptada por quienes posean la claveapropiada. La encriptacin
puede proveer de una potente medida de control de acceso. Este
temaser abordado con profundidad en el Captulo sobre Proteccin del
presente.
Listas de Control de AccesosSe refiere a un registro donde se
encuentran los nombres de los usuarios que obtuvieron elpermiso de
acceso a un determinado recurso del sistema, as como la modalidad
de accesopermitido. Este tipo de listas varan considerablemente en
su capacidad y flexibilidad.
Lmites sobre la Interfase de UsuarioEsto lmites, generalmente,
son utilizados en conjunto con las listas de control de accesos
yrestringen a los usuarios a funciones especficas. Bsicamente
pueden ser de tres tipos: mens,vistas sobre la base de datos y
lmites fsicos sobre la interfase de usuario. Por ejemplo los
cajerosautomticos donde el usuario slo puede ejecutar ciertas
funciones presionando teclasespecficas.
Etiquetas de SeguridadConsiste en designaciones otorgadas a los
recursos (como por ejemplo un archivo) que puedenutilizarse para
varios propsitos como control de accesos, especificacin de medidas
deproteccin, etc. Estas etiquetas no son modificables.
2. Proteccin contra falla elctricaLos picos y ruidos, alto y
bajo voltaje, como apagones, van daando poco a poco los
componenteselctricos de los aparatos. Recordemos que la mayora de
estos equipos no cubren garanta porfalla elctrica. Actualmente los
Centros de Datos tienen la conciencia de que deben proteger
todossus equipos contra incendios y fallas elctricas por toda la
informacin que manejan. Lassoluciones de respaldo de energa (UPS)
proveen proteccin, seguridad y respaldo en fallaselctricas para que
los equipos protegidos funcionen eficientemente, por ello buscamos
capacitar aquien lo solicite para asegurar que la cultura del
respaldo y proteccin de energa llegue acualquier sitio donde se
guarde informacin o se cuide la seguridad de las
personas.Necesariamente deben contar con un UPS de calidad, que
proteja y respalde toda la informacinacumulada en caso de falla del
suministro elctrico. Porque sin energa, simplemente la solucinde
seguridad se viene abajo y deja de funcionar. La importancia de
llevar a la oficina, a laempresa, al hogar una energa limpia y
apropiada para los equipos que se utilizan, adems deofrecer
soluciones que den respaldo a los equipos durante apagones.
3. Proteccin contra desastres naturalesDesastres naturales
Terremoto: Tcnicamente el terremoto es un estado vibratorio o
inestabilidad de la cortezaterrestre, que se presenta sbita y
violentamente, produciendo desplazamientos en elsuelo, que pueden
ser horizontales o verticales. Esto trae como consecuencia las
continuastransfomaciones y cambios de la superficie de la tierra.
Su origen es diverso, ya que puedeser por la ruptura de la corteza
terrestre, por el movimiento de las placas tectnicas o
porinfluencia de un volcn.
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 9
Huracn: Los huracanes son tormentas organizadas alrededor de un
punto centralconocido como ojo. Los vientos alcanzan velocidades
por encima de los 119 kph., y losmismos circulan alrededor del ojo.
El dimetro del huracn vara entre 80 y 150 Kms. Loshuracanes se
desarrollan en los mares tropicales; en el Ocano Atlntico se mueven
deEste a Oeste. El ojo del huracn, que viene siendo el centro de la
tormenta, se caracterizapor tener cielos despejados, vientos
ligeros y es donde se registra la presin ms baja delsistema
Inundaciones: Se define como la invasin de agua por exceso de
escurrimientossuperficiales o por acumulacin en terrenos planos,
ocasionada por falta de drenaje ya seanatural o artificial. Esta es
una de las causas de mayores desastres en centros decmputos. Adems
de las causas naturales de inundaciones, puede existir la
posibilidad deuna inundacin provocada por la necesidad de apagar un
incendio en un piso superior.Para evitar este inconveniente se
pueden tomar las siguientes medidas: construir un techoimpermeable
para evitar el paso de agua desde un nivel superior y acondicionar
las puertaspara contener el agua que bajase por las escaleras.
4. Administracin del software de la organizacin.Dentro de muchas
empresas el rea de informtica y sistemas se encuentra apenas en
etapa dedesarrollo, pero en la actualidad esto ha ido cambiando y
se pueden encontrar una gran cantidadde empresas en donde este
departamento ya forma parte del rea administrativa y estratgica
dela empresa.El software comercial resulta indispensable para
cualquier organizacin, ya sea grande o pequea.Gracias al software,
su empresa se vuelve ms eficiente, sus trabajadores ms productivos,
yusted puede aprovechar todos los beneficios que ofrece el comercio
electrnico. Pero para podersacar el mayor provecho de su software,
usted debe administrarlo correctamente, tal y como lohara con
cualquier otro activo de valor de su empresa. La administracin
deficiente de losprogramas de software priva a su empresa del valor
total de la productividad y la eficacia delsoftware. Adems, puede
ocultar fcilmente la piratera de dichos programas, que consiste en
lainstalacin o empleo de copias no autorizadas de software. La
piratera de software es ilegal ypuede tener consecuencias muy
costosas para su empresa.
ITILDesarrollada a finales de 1980, la Biblioteca de
Infraestructura de Tecnologas de la Informacin(ITIL) se ha
convertido en el estndar mundial de facto en la Gestin de Servicios
Informticos.Iniciado como una gua para el gobierno del Reino unido,
la estructura base ha demostrado ser tilpara las organizaciones en
todos los sectores a travs de su adopcin por innumerablescompaas
como base para consulta, educacin y soporte de herramientas de
software. Hoy, ITILes conocido y utilizado mundialmente. Pertenece
a la OGC (Open Geospatial Consortium), peroes de libre utilizacin.
ITIL fue desarrollada al reconocer que las organizaciones dependen
cadavez ms de la Informtica para alcanzar sus objetivos
corporativos. Esta dependencia en aumentoha dado como resultado una
necesidad creciente de servicios informticos de calidad que
secorrespondan con los objetivos del negocio, y que satisfagan los
requisitos y las expectativas delcliente. A travs de los aos, el
nfasis pas de estar sobre el desarrollo de las aplicaciones a
lagestin de servicios. La aplicacin (a veces nombrada como un
sistema de informacin) slocontribuye a realizar los objetivos
corporativos si el sistema est a disposicin de los usuarios y,
encaso de fallos o modificaciones necesarias, es soportado por los
procesos de mantenimiento yoperaciones.A lo largo de todo el ciclo
de los productos, la fase de operaciones alcanza cerca del 70-80%
deltotal del tiempo y del coste, y el resto se invierte en el
desarrollo del producto (u obtencin). De
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 10
esta manera, los procesos eficaces y eficientes de la Gestin de
Servicios se convierten enesenciales para el xito de los
departamentos de Tecnologa e informacin. Esto se aplica acualquier
tipo de organizacin, grande o pequea, pblica o privada, con
servicios centralizados odescentralizados, con servicios
Tecnolgicos de informacin internos o suministrados por terceros.En
todos los casos, el servicio debe ser fiable, consistente, de alta
calidad, y de costo aceptable.
COBITEs una metodologa aceptada mundialmente para el adecuado
control de proyectos de tecnologa,los flujos de informacin y los
riesgos que stas implican. La metodologa COBIT se utiliza
paraplanear, implementar controlar y evaluar el gobierno sobre
tecnologas de la informacin y lacomunicacin; incorporando objetivos
de control, directivas de auditora, medidas de rendimiento
yresultados, factores crticos de xito y modelos de madurez. Permite
a las empresas aumentar suvalor tecnologas de la informacin y la
comunicacin y reducir los riesgos asociados a proyectostecnolgicos.
Ello a partir de parmetros generalmente aplicables y aceptados,
para mejorar lasprcticas de planeacin, control y seguridad de las
Tecnologas de Informacin. COBIT contribuyea reducir las brechas
existentes entre los objetivos de negocio, y los beneficios,
riesgos,necesidades del control y aspectos tcnicos propios de un
proyecto TIC proporcionado un MarcoReferencial Lgico para su
direccin efectiva.
ISM3Pretende alcanzar un nivel de seguridad definido, tambin
conocido como riesgo aceptable, enlugar de buscar la
invulnerabilidad. ISM3 ve como objetivo de la seguridad de la
informacin elgarantizar la consecucin de objetivos de negocio. La
visin tradicional de que la seguridad de lainformacin trata de la
prevencin de ataques es incompleta. ISM3 relaciona directamente
losobjetivos de negocio (como entregar productos a tiempo) de una
organizacin con los objetivos deseguridad (como dar acceso a las
bases de datos slo a los usuarios autorizados).
Algunascaractersticas significativas de ISM3 son:
Mtricas de Seguridad de la Informacin - "Lo que no se puede
medir, no se puedegestionar, y lo que no se puede gestionar, no se
puede mejorar" - ISM3 v1.20 hace de laseguridad un proceso medible
mediante mtricas de gestin de procesos, siendoprobablemente el
primer estndar que lo hace. Esto permite la mejora continua
delproceso, dado que hay criterios para medir la eficacia y
eficiencia de los sistemas degestin de seguridad de la
informacin.
Niveles de Madurez ISM3 se adapta tanto a organizaciones maduras
como aemergentes mediante sus cinco niveles de madurez, los cuales
se adaptan a los objetivosde seguridad de la organizacin y a los
recursos que estn disponibles.
Basado el Procesos - ISM3 v1.20 est basado en procesos, lo que
lo hace especialmenteatractivo para organizaciones que tienen
experiencia con ISO9001 o que utilizan ITIL comomodelo de gestin de
TIC. El uso de ISM3 fomenta la colaboracin entre proveedores
yusuarios de seguridad de la informacin, dado que la externalizacin
de procesos deseguridad se simplifica gracias a mecanismos
explcitos, como los ANS y la distribucin deresponsabilidades.
Adopcin de las Mejores Prcticas Una implementacin de ISM3 tiene
ventajas comolas extensas referencias a estndares bien conocidos en
cada proceso, as como ladistribucin explcita de responsabilidades
entre los lderes, gestores y el personal tcnicousando el concepto
de gestin Estratgica, Tctica y Operativa.
Certificacin Los sistemas de gestin basados en ISM3 pueden
certificarse bajoISO9001 o ISO27001, lo que quiere decir que se
puede usar ISM3 para implementar un
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 11
SGSI basado en ISO 27001. Esto tambin puede ser atractivo para
organizaciones que yaestn certificadas en ISO9001 y que tienen
experiencia e infraestructura para ISO9001.
Accesible Una de las principales ventajas de ISM es que los
Accionistas y Directorespueden ver con mayor facilidad la Seguridad
de la Informacin como una inversin y nocomo una molestia, dado que
es mucho ms sencillo medir su rentabilidad y comprendersu
utilidad.
Estandares BS 7799 (Reino Unido)Desde 1901, y como primera
entidad de normalizacin a nivel mundial, BSI (British
StandardsInstitution, la organizacin inglesa equivalente a AENOR en
Espaa) es responsable de lapublicacin de importantes normas
como:1979 Publicacin BS 5750 - ahora ISO 90011992 Publicacin BS
7750 - ahora ISO 140011996 Publicacin BS 8800 - ahora OHSAS
18001
La norma BS 7799 de BSI aparece por primera vez en 1995, con
objeto de proporcionar acualquier empresa -britnica o no- un
conjunto de buenas prcticas para la gestin de la seguridadde su
informacin.
El estndar britnico BS 7799 es un estndar aceptado ampliamente
que ha sido utilizado comobase para elaborar otros estndares de
seguridad de la informacin incluyendo el ISO 17799La versin actual
de estndar tiene dos partes:
BS7799-1:1999 Information Security Management. Code of Practice
for InformationSecurity Management. Es la gua de buenas prcticas,
para la que no se establece unmodelo de certificacin.
BS7799-2:1999 Information Security Management. Specification for
Information SecurityManagement Systems. Establece los requisitos de
un sistema de seguridad de lainformacin (SGSI) para ser
certificable por una entidad independiente.
Estandares ISO 17799El estndar de seguridad de la informacin ISO
17799, es descendiente del BS 7799 InformationSecurity Management
Standard de la BSI (British Standard Institute) que public su
primeraversin en Inglaterra en 1995, con actualizaciones realizadas
en 1998 y 1999, consiste de dospartes:
Parte 1. Cdigo de prcticas. Parte 2. Especificaciones del
sistema de administracin de seguridad de la informacin.
Por la necesidad generalizada de contar con un estndar de
carcter internacional que permitierareconocer o validar el marco de
referencia de seguridad aplicado por las organizaciones, seelabor
el estndar ISO17799:2000, basado principalmente en la primera parte
del BS 7799conocida como Cdigo de Prcticas (BS 7799 Part 1: Code of
Practice).
El ISO 17799, al definirse como una gua en la implementacin del
sistema de administracin de laseguridad de la informacin, se
orienta a preservar los siguientes principios de la
seguridadinformtica:
Confidencialidad. Asegurar que nicamente personal autorizado
tenga acceso a lainformacin.
Integridad. Garantizar que la informacin no ser alterada,
eliminada o destruida porentidades no autorizadas.
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 12
Disponibilidad. Asegurar que los usuarios autorizados tendrn
acceso a la informacincuando la requieran.
Estos principios en la proteccin de los activos de informacin
constituyen las normas bsicasdeseables en cualquier organizacin,
sean instituciones de gobierno, educativas e investigacin;no
obstante, dependiendo de la naturaleza y metas de las
organizaciones, stas mostrarnespecial nfasis en algn dominio o rea
del estndar ISO 17799.
Los controles del ISO 17799El xito de la implementacin del
estndar de seguridad ISO 17799 requiere de una serie
deprocedimientos donde, inicialmente, el anlisis de riesgos
identificar los activos de la informaciny las amenazas a las cuales
se encuentra expuesta.El anlisis de riesgos guiar en la correcta
seleccin de los controles que apliquen a laorganizacin; este
proceso se conoce en la jerga del estndar como Statement of
Applicability, quees la definicin de los controles que aplican a la
organizacin con objeto de proporcionar nivelesprcticos de seguridad
de la informacin y medir el cumplimiento de los mismos.A
continuacin, se describirn cada una de las diez reas de seguridad
con el objeto de esclarecerlos objetivos de estos controles.1.
Polticas de seguridad. El estndar define como obligatorias las
polticas de seguridaddocumentadas y procedimientos internos de la
organizacin que permitan su actualizacin yrevisin por parte de un
Comit de Seguridad.
2. Seguridad organizacional. Establece el marco formal de
seguridad que debe integrar unaorganizacin, tales como un foro de
administracin de la seguridad de la informacin, un contactooficial
de seguridad (Information System Security Officer ISSO), revisiones
externas a lainfraestructura de seguridad y controles a los
servicios de outsourcing, entre otros aspectos.
3. Clasificacin y control de activos. El anlisis de riesgos
generar el inventario de activos quedeber ser administrado y
controlado con base en ciertos criterios de clasificacin y
etiquetado deinformacin, es decir, los activos sern etiquetados de
acuerdo con su nivel de confidencialidad.
4. Seguridad del personal. Proporcionar controles a las acciones
del personal que opera con losactivos de informacin.El objetivo de
esta rea del estndar es contar con los elementos necesarios para
mitigar el riesgoinherente a la interaccin humana, es decir,
establecer claras responsabilidades por parte delpersonal en
materia de seguridad de la informacin.
5. Seguridad fsica y de entorno. Identificar los permetros de
seguridad, de forma que sepuedan establecer controles en el manejo
de equipos, transferencia de informacin y control de losaccesos a
las distintas reas con base en el tipo de seguridad
establecida.
6. Comunicaciones y administracin de operaciones. Integrar los
procedimientos de operacinde la infraestructura tecnolgica y de
controles de seguridad documentados, que van desde elcontrol de
cambios en la configuracin de los equipos, manejo de incidentes,
administracin deaceptacin de sistemas, hasta el control de cdigo
malicioso.
7. Control de acceso. Habilitar los mecanismos que permitan
monitorear el acceso a los activosde informacin, que incluyen los
procedimientos de administracin de usuarios, definicin
deresponsabilidades o perfiles de seguridad y el control de acceso
a las aplicaciones.
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 13
8. Desarrollo de sistemas y mantenimiento. La organizacin debe
disponer de procedimientosque garanticen la calidad y seguridad de
los sistemas desarrollados para tareas especficas de
laorganizacin.
9. Continuidad de las operaciones de la organizacin. El sistema
de administracin de laseguridad debe integrar los procedimientos de
recuperacin en caso de contingencias, los cualesdebern ser
revisados de manera constante y puestos a prueba con la finalidad
de determinar laslimitaciones de los mismos.
10. Requerimientos legales. La organizacin establecer los
requerimientos de seguridad quedeben cumplir todos sus proveedores,
socios y usuarios; stos se encontrarn formalizados en loscontratos
o convenios.Cada una de las reas establece una serie de controles
que sern seleccionados dependiendo delos resultados obtenidos en el
anlisis de riesgos, adems, existen controles obligatorios para
todaorganizacin, como es el de las polticas de seguridad cuyo nmero
depender ms de laorganizacin que del estndar, el cual no establece
este nivel de detalle.
Estandares ISO 27000ISO/IEC 27000 es un conjunto de estndares
desarrollados -o en fase de desarrollo- por ISO(International
Organization for Standardization) e IEC (International
Electrotechnical Commission),que proporcionan un marco de gestin de
la seguridad de la informacin utilizable por cualquiertipo de
organizacin, pblica o privada, grande o pequea.El ISO-27000 se basa
en la segunda parte del estndar britnico BS7799 (BS7799:2).
Estcompuesta a grandes rasgos por:
ISMS(Information Security Management System). Valoracin de
Riesgo. Controles.
A semejanza de otras normas ISO, la 27000 es realmente una serie
de estndares. ISO 27000: En fase de desarrollo. Contendr trminos y
definiciones que se emplean en
toda la serie 27000. La aplicacin de cualquier estndar necesita
de un vocabularioclaramente definido, que evite distintas
interpretaciones de conceptos tcnicos y de gestin.Esta norma ser
gratuita, a diferencia de las dems de la serie, que tendrn un
coste.
ISO 27001: Es la norma principal de requisitos del sistema de
gestin de seguridad de lainformacin. Tiene su origen en la BS
7799-2:2002 y es la norma con arreglo a la cual secertifican por
auditores externos los SGSI de las organizaciones. Fue publicada el
15 deOctubre de 2005 y sustituye a la BS 7799-2, habindose
establecido unas condiciones detransicin para aquellas empresas
certificadas en esta ltima.
En su Anexo A, enumera en forma de resumen los objetivos de
control y controles que desarrollala ISO 27002:2005 (nueva
numeracin de ISO 17799:2005 desde el 1 de Julio de 2007), para
quesean seleccionados por las organizaciones en el desarrollo de
sus SGSI; a pesar de no serobligatoria la implementacin de todos
los controles enumerados en dicho anexo, la organizacindeber
argumentar slidamente la no aplicabilidad de los controles no
implementados.
ISO 27002: Cambio de nomenclatura de ISO 17799:2005 realizada el
1 de Julio de 2007.Es una gua de buenas prcticas que describe los
objetivos de control y controlesrecomendables en cuanto a seguridad
de la informacin. No es certificable. Contiene 39objetivos de
control y 133 controles, agrupados en 11 dominios.
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 14
ISO 27003: En fase de desarrollo; probable publicacin a finales
de 2008. Contendr unagua de implementacin de SGSI e informacin
acerca del uso del modelo PDCA y de losrequerimientos de sus
diferentes fases. Tiene su origen en el anexo B de la norma
BS7799-2 y en la serie de documentos publicados por BSI a lo largo
de los aos conrecomendaciones y guas de implantacin.
ISO 27004: En fase de desarrollo; probable publicacin a lo largo
de 2008. Especificar lasmtricas y las tcnicas de medida aplicables
para determinar la eficacia de un SGSI y delos controles
relacionados. Estas mtricas se usan fundamentalmente para la
medicin delos componentes de la fase Do (Implementar y Utilizar)
del ciclo PDCA.
ISO 27005: En fase de desarrollo; probable publicacin a finales
de 2007 principios de2008. Consistir en una gua para la gestin del
riesgo de la seguridad de la informacin yservir, por tanto, de
apoyo a la ISO27001 y a la implantacin de un SGSI. Se basar en
laBS7799-3 (publicada en Marzo de 2006) e ISO 13335-3.
ISO 27006: Publicada en Febrero de 2007. Especifica los
requisitos para la acreditacin deentidades de auditora y
certificacin de sistemas de gestin de seguridad de
lainformacin.
ESQUEMAS DE SEGURIDAD INFORMTICAPolticas de SeguridadLas
polticas de seguridad informtica (PSI) surgen como una herramienta
organizacional paraconcientizar a cada uno de los miembros de una
organizacin sobre la importancia y sensibilidadde la informacin y
servicios crticos que permiten a la compaa desarrollarse y
mantenerse en susector de negocios.De acuerdo con lo anterior, el
proponer o identificar una poltica de seguridad requiere un
altocompromiso con la organizacin, agudeza tcnica para establecer
fallas y debilidades, yconstancia para renovar y actualizar dicha
poltica en funcin del dinmico ambiente que rodea lasorganizaciones
modernas.La poltica de seguridad es un conjunto de leyes, reglas y
prcticas que regulan la manera dedirigir, proteger y distribuir
recursos en una organizacin para llevar a cabo los objetivos
deseguridad informtica dentro de la misma.Las polticas de seguridad
definen lo que est permitido y lo que est prohibido, permiten
definirlos procedimientos y herramientas necesarias, expresan el
consenso de los dueos y permitenadoptar una buena actitud dentro de
la organizacin.
La OCDE considera que los elementos de las polticas son:1)
Concienciacin: Los participantes debern ser conscientes de la
necesidad de contar consistemas y redes de informacin seguros, y
tener conocimiento de los medios para ampliar laseguridad.
El conocimiento de los riesgos y de los mecanismos disponibles
de salvaguardia, es el primer pasoen la defensa de la seguridad de
los sistemas y redes de informacin. Estos sistemas y redes
deinformacin pueden verse afectados tanto por riesgos internos como
externos. Los participantesdeben comprender que los fallos en la
seguridad pueden daar significativamente los sistemas yredes que
estn bajo su control. Deben asimismo ser conscientes del dao
potencial que estopuede provocar a otros derivados de la
interconexin y la interdependencia. Los participantesdeben tener
conocimiento de las configuraciones y actualizaciones disponibles
para sus sistemas,as como su lugar que ocupan dentro de las redes,
las prcticas a ejecutar para ampliar laseguridad, y las necesidades
del resto de los participantes.
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 15
2) ResponsabilidadTodos los participantes son responsables de la
seguridad de los sistemas y redes de informacin.Los participantes
dependen de los sistemas y redes de informacin local y global, y
debencomprender su responsabilidad en la salvaguarda de la
seguridad de los sistemas y redes deinformacin. Asimismo deben
responder ante esta responsabilidad de una manera apropiada a
supapel individual. Los participantes deben igualmente revisar sus
propias polticas, prcticas,medidas y procedimientos de manera
regular, y evaluar si stos son apropiados en relacin con supropio
entorno. Aquellos que desarrollan y disean o suministran productos
o servicios debernelevar la seguridad de los sistemas y redes, y
distribuir a los usuarios de manera apropiadainformacin adecuada en
materia de seguridad, incluyendo actualizaciones, para que
stosentiendan mejor la funcionalidad de la seguridad de sus
productos y servicios, as como laresponsabilidad que les
corresponde en materia de seguridad.
3) RespuestaLos participantes deben actuar de manera adecuada y
conjunta para prevenir, detectar yresponder a incidentes que
afecten la seguridad.Al reconocer la interconexin de los sistemas y
de las redes de informacin, as como el riesgopotencial de un dao
que se extienda con rapidez y tenga un alcance amplio, los
participantesdeben actuar de manera adecuada y conjunta para
enfrentarse a los incidentes que afecten laseguridad. Asimismo han
de compartir informacin sobre los riesgos y vulnerabilidades y
ejecutarprocedimientos para una cooperacin rpida y efectiva que
permita prevenir, detectar y respondera incidentes que afecten a la
seguridad. Cuando sea posible, estas actuaciones habrn de suponerun
intercambio de informacin y una cooperacin transfronteriza.
4) ticaLos participantes deben respetar los intereses legtimos
de terceros.Debido a la permeabilidad de los sistemas y de las
redes de informacin en nuestras sociedades,los participantes
necesitan reconocer que sus acciones o la falta de stas, pueden
comportardaos a terceros. Es crucial mantener una conducta tica,
debiendo los participantes haceresfuerzos por desarrollar y adoptar
buenas prcticas y promover conductas que reconozcan lanecesidad de
salvaguardar la seguridad y respetar los intereses legtimos de
terceros.
5) Democracia.La seguridad de los sistemas y redes de informacin
debe ser compatible con los valoresesenciales de una sociedad
democrtica.La seguridad debe lograrse de manera consistente con
garanta de los valores reconocidos por lassociedades democrticas,
incluyendo la libertad de intercambio de pensamiento e ideas, as
comoel libre flujo de informacin, la confidencialidad de la
informacin y la comunicacin y la proteccinapropiada de informacin
personal, apertura y transparencia.
6) Evaluacin del riesgoLos participantes deben llevar a cabo
evaluaciones de riesgo.La evaluacin del riesgo identificar las
amenazas y vulnerabilidades, y debe ser losuficientemente amplia
para incluir factores internos y externos fundamentales como
tecnologa,factores fsicos y humanos, y polticas y servicios de
terceros que tengan repercusiones en laseguridad. La evaluacin del
riesgo permitir determinar los niveles aceptables de seguridad
yayudar en la seleccin de controles apropiados para administrar el
riesgo de daos potenciales alos sistemas y redes de informacin, en
relacin a la naturaleza e importancia de la informacinque debe ser
protegida. Debido a la creciente interconexin de los sistemas de
informacin, la
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 16
evaluacin del riesgo debe incluir asimismo consideraciones
acerca del dao potencial que sepuede causarse a terceros o que
pueden tener su origen en terceras personas.
7) Diseo y realizacin de la seguridad.Los participantes deben
incorporar la seguridad como un elemento esencial de los sistemas
yredes de informacin.Los sistemas, las redes y las polticas debern
ser diseados, ejecutados y coordinados demanera apropiada para
optimizar la seguridad. Un enfoque mayor pero no exclusivo de
esteesfuerzo ha de encontrarse en el diseo y adopcin de mecanismos
y soluciones quesalvaguarden o limiten el dao potencial de amenazas
o vulnerabilidades identificadas. Tanto lassalvaguardas tcnicas
como las no tcnicas as como las soluciones a adoptar se
hacenimprescindibles, debiendo ser proporcionales al valor de la
informacin de los sistemas y redes deinformacin. La seguridad ha de
ser un elemento fundamental de todos los productos,
servicios,sistemas y redes; y una parte integral del diseo y
arquitectura de los sistemas. Para los usuariosfinales el diseo e
implementacin de la seguridad radica fundamentalmente en la
seleccin yconfiguracin de los productos y servicios de sus
sistemas.
8) Gestin de la Seguridad.Los participantes deben adoptar una
visin integral de la administracin de la seguridad.La gestin de la
seguridad debe estar basada en la evaluacin del riesgo y ser
dinmica, debiendocomprender todos los niveles de las actividades de
los participantes y todos los aspectos de susoperaciones. Asimismo
ha de incluir posibles respuestas anticipadas a riesgos emergentes
yconsiderar la prevencin, deteccin y respuesta a incidentes que
afecten a la seguridad,recuperacin de sistemas, mantenimiento
permanente, revisin y auditora. Las polticas deseguridad de los
sistemas y redes de informacin, as como las prcticas, medidas
yprocedimientos deben estar coordinadas e integradas para crear un
sistema coherente deseguridad. Las exigencias en materia de gestin
de seguridad dependern de los niveles departicipacin, del papel que
desempean los participantes, del riesgo de que se trate y de
losrequerimientos del sistema.
9) ReevaluacinLos participantes deben revisar y reevaluar la
seguridad de sus sistemas y redes de informacin, yrealizar las
modificaciones pertinentes sobre sus polticas, prcticas, medidas y
procedimientos deseguridad.De manera constante se descubren nuevas
amenazas y vulnerabilidades. Los participantesdebern, en este
sentido, revisar y evaluar, y modificar todos los aspectos de la
seguridad demanera continuada, a fin de poder enfrentarse a riesgos
siempre en evolucin permanente.
Postura: De acuerdo a (Daltabuit Gods & Vzquez Gmez, 2007),
la confianza es el principiobsico que rige el desarrollo de
polticas. Lo primero es determinar quin tiene privilegios, y hayque
usar el principio del mnimo privilegio posible.Hay que tener
cuidado en que tanto se confa en el personal. Se otorgan
privilegios a medida quese necesitan y se requieren controles
tcnicos para asegurar que no se den violaciones.Adoptar el modelo
Todo lo que no est especficamente prohibido est permitido obien
Todo est prohibido excepto lo que est especficamente permitido.
Beneficios: Las polticas de seguridad informtica muchas veces
ayudan a tomar decisionessobre otros tipos de poltica (propiedad
intelectual, destruccin de la informacin, etc.). Tambin
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 17
son tiles al tomas decisiones sobre adquisiciones porque algunos
equipos o programas no sernaceptables en trminos de las polticas
mientras que otras la sustentaran.Las polticas de seguridad
informtica deben considerarse como un documento de largo plazo,
queevolucionan. No contienen asuntos especficos de implementacin,
pero si asuntos especficos delequipo de cmputo y telecomunicaciones
de la organizacin. Probablemente sern la gua para eldiseo de
cambios a esos sistemas.
El desarrollo e implantacin de polticas de seguridad informtica
es una indicacin de que unaorganizacin est bien administrada y los
auditores lo toman en cuenta en sus evaluaciones.Condicen a una
profesionalizacin de la organizacin.
Proceso del Diseo de PolticasDe acuerdo a (Daltabuit Gods &
Vzquez Gmez, 2007), hay que especificar el alcance de laspolticas y
los objetos de las mismas, consistentemente con la misin de
seguridad previamenteestablecida.Las polticas promulgadas deben
escribirse en prrafos que sean, cada uno por
separado,implementarles mediante un mecanismo especfico. Es decir,
hay que procurar pensar claramenteen la conveniencia de que las
polticas sean sumamente especficas, si esto se puede lograr,
esdeseable fragmentar las polticas por departamento o unidad de
trabajo. Pueden entoncespensarse en una jerarqua de polticas, unas
con aplicabilidad general, y otras para aplicabilidadpara grupos o
tareas especficas.
Las polticas que no cuenten con la aceptacin entusiasta de los
usuarios de todos los nivelessern muy difciles de implantar. Todos
aquellos que seran afectados por las polticas deben tenerla
oportunidad de revisarlas y hacer comentarios antes de que se
promulguen, deben contar con elapoyo total de los
administradores.En esta etapa deben considerarse los mecanismos de
difusin, capacitacin y concientizacininiciales y permanentes sobre
seguridad informtica.La cultura de la organizacin y sus necesidades
de seguridad son un factor determinante para elequipo de redaccin
de las polticas. El nivel del control que se establezca no debe
resultar en unareduccin de la productividad, pues en muchos casos
los ingresos y la carrera de la persona estadesignadas por su
productividad. Si son demasiadas restrictivas en comparacin de la
culturaorganizacional se violarn las polticas.Las razones que
llevan la implantacin de una poltica deben de explicarse dentro de
la polticamisma. Tambin debe definirse la cultura de cada poltica:
quin, qu y cundo.
Algunas polticas necesariasDe acuerdo a (Daltabuit Gods &
Vzquez Gmez, 2007), hay que considerar las siguientespolticas
necesarias:
Polticas de uso aceptableDetermina que se puede hacer con los
recursos de cmputo (equipo y datos) de laorganizacin. Tambin
determinan lo que no se puede hacer con esos recursos. Indica
lresponsabilidad de los usuarios en la proteccin de la informacin
que manejan y en qucondiciones puede afectar o leer datos que no
les pertenezca.
Polticas de cuentas de usuarioDetermina el procedimiento que hay
que seguir para adquirir privilegios de usuarios en unoo ms
sistemas de informacin y la vigencia de estos derechos.Adems quien
tiene la autoridad de asignar estos privilegios y quienes no podran
recibiresos privilegios por causas legales. Debe exhibir
explcitamente los deberes y derechos de
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 18
los usuarios. Se explicara cmo y cundo se deshabilitaran las
cuentas de usuarios y quese har con la informacin que contenga.
Debe especificar claramente los detalles de losprocedimientos de
identificacin y autenticacin.
Polticas de acceso remotoSe definen y explican los mtodos
aceptables para conectarse a los sistemas deinformacin de la
organizacin desde el exterior de la misma. Son particularmente
paraorganizaciones geogrficamente extendidas o aquellas cuyos
miembros pasa la mayorparte del tiempo viajando. Adems de
establecer quien tiene derecho a este tipo deconexin tambin
establecen quienes pueden emplear mdems para conectarse al
exteriorde la organizacin, sobre todo mdems de alta velocidad.
Polticas de la proteccin de la informacinEl objetivo es evitar
que la informacin sea modificada o difundida durante su
proceso,almacenamiento o transmisin. Especfica como deben
establecerse jerarquas deconfidencialidad e integridad, y como se
implementan su proteccin. Debe ponerse especialatencin a la
divulgacin y la destruccin de la informacin.
Polticas de configuracin del cortafuegoEstablece quien determina
el establecimiento y los cambios de la configuracin. Tambinquin
debe tener acceso a ser usuario del cortafuego y quin puede obtener
informacinacerca de la configuracin del mismo. Debe establecer los
de administracin de laconfiguracin, para que responda a las
necesidades de la organizacin.
Polticas de cuentas privilegiadasEstablece los requisitos que
debe satisfacer quienes usen cuentas privilegiadas (root,
bkup,admin) en cuanto a su biografa y trayectoria dentro de la
organizacin. Contienenprocedimientos de la auditoria del uso de
este tipo de cuentas, particularmente sobre losprocedimientos de
identificacin y autenticacin, y su uso. Determina en qu
condicionesse debe cancelar el acceso privilegiado.
Polticas de conexin a la redDefine los requisitos que deben
cumplirse para que se conecten nuevos dispositivos a lared de la
organizacin. Son particularmente importantes para organizaciones
que tienenuna diversidad de equipos de soporte tcnico, y para
aquellos que no estn protegidos conun cortafuegos. Deben
especificar quien puede instalar nuevos recursos en la red, cul
esla autorizacin requerida y como se documentan los cabios. Deben
aclarar cmo semanejan los dispositivos inseguros.
Restricciones a las polticasLa principal fuente de restricciones
es la prdida de productividad. Es inevitable que laimplementacin
poltica de seguridad informtica distraiga recursos humanos e
informticos que sepodan emplear para otros fines.Otra fuente de
restricciones son la legislacin y los derechos de los empleados y
de los clientes.Cada pas tiene su propia cultura, as como cada
organizacin tiene la propia. Las polticas debenajustarse al entorno
cultural en el que estn inmersas y ciertamente no pueden violar la
legislacinvigente localmente.
ProcedimientosUna vez que se han determinado las polticas de
seguridad que especifican lo que hay queproteger, es necesario
realizar los procedimientos de seguridad que indican cmo hay que
llevar acabo la proteccin. Estos procedimientos tambin constituyen
los mecanismos para hacer laspolticas. Adems resultan tiles, pues
indican detalladamente que hay que hacer cuando
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 19
sucedan incidentes especficos, son referencias rpidas en casos
de emergencia y ayudan aeliminar los puntos de falla crticos.A
continuacin se menciona algunos procedimientos que son necesarios,
de acuerdo a (DaltabuitGods & Vzquez Gmez, 2007):
Auditora de la seguridad de los sistemasDado que los datos que
se almacenan sobre el uso de los sistemas son la
principalherramienta para detectar violaciones a las polticas, es
necesario especificardetalladamente lo que se desea almacenar. Como
se resguardan estas bitcoras y quientiene acceso a ellas.
Administracin de cuentasAbarca desde cmo se tiene que solicitar
una cuenta en su sistema de informacin, o envarios sistemas hasta
qu tienen que hacer el departamento de personal antes de despedira
un empleado. Tambin lo que debe hacerse para cambiar los
privilegios de una cuenta ocancelarla. Especifican como se
documentan el manejo de las cuentas y como se vigila elcumplimiento
de las polticas correspondientes.
Administracin de autenticadoresHay cuatro tipos de
autenticadores: mediante conocimientos, caractersticas fsicas,
objetosy ubicacin geogrfica. Los sistemas de control de acceso, en
general deben emplear porlos menos dos autenticadores de tipos de
distintos para cada usuario. Estos procedimientosindican cmo deben
obtenerse los autenticadores, como deben resguardarse, la
vigenciade los mismos y las caractersticas que deben tener. Por
ejemplo el procedimiento de usode contraseas indicar su longitud,
su posicin, el algoritmo de cifrado que se debeemplear para
archivarlas y resguardarlas. En el caso de autenticadores
biomtricos seespecifican la caracterstica seleccionada, los
algoritmos que permiten uso, cmo se puedeevitar que se construya la
caracterstica y como se debe archivar y resguarda los
datoscorrespondientes.
Administracin de la configuracin de los sistemasDefine como se
instala y prueba un equipo nuevo o un programa nuevo, cmo
sedocumentan los cambios de los equipos y la configuracin, a quien
se debe informarcuando hagan cambios y quin tiene la autoridad para
hacer cambios de equipo,programas y configuracin.
Respaldos y acervos de datos y programasDefine qu sistema de
archivos hay que respaldar, cuando hay que hacer los respaldos,cmo
se administran los medios que se utilizan para los respaldos, donde
se guardan losrespaldos fuera de sitio, como se etiquetan los
medios y como documentan los respaldos.
Manejo de incidentesDefine cmo se manejan las instrucciones,
delimita la responsabilidad de cada miembro delequipo de respuesta,
indica que informacin hay que anotar e investigar, a quin hay
quenotificar y cundo, determinar quin, cundo y cmo se har el
anlisis posterior delincidente.
Escalamiento del problemaEs una coleccin de recetas para el
personal de soporte de primera lnea. Define a quinhay que llamar y
cundo, indica que pasos iniciales hay dar y que informacin inicial
hayque anotar.
Planes de respuesta a desastresUn desastre es un evento de gran
escala que afecta a grandes secciones de laorganizacin. El plan
debe delinear qu acciones hay que tomar para que los
recursoscrticos sigan funcionando y minimice el impacto del
desastre. Debe indicar que hay quetener fuera del sitio y fcilmente
disponible para emplearlo despus de un desastre. Hay
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 20
que estratificar el plan para responder a distintos niveles de
daos. Definir si se requierensitios alternos calientes o fros. Se
debe establecer cada cuando se harn simulacrospara probar el
plan
Modelos de SeguridadUn modelo de seguridad es la presentacin
formal de una poltica de seguridad. El modelo debeidentificar el
conjunto de reglas y prcticas que regulan cmo un sistema maneja,
protege ydistribuye informacin delicada (Lpez Barrientos &
Quezada Reyes, 2006).De acuerdo a (Lpez Barrientos & Quezada
Reyes, 2006), los modelos se clasifican en:
1. Modelo abstracto: se ocupa de las entidades abstractas como
sujetos y objetos. El modeloBell LaPadula es un ejemplo de este
tipo.
2. Modelo concreto: traduce las entidades abstractas en
entidades de un sistema real comoprocesos y archivos.
Adems, los modelos sirven a tres propsitos en la seguridad
informtica:1. Proveer un sistema que ayude a comprender los
diferentes conceptos. Los modelos
diseados para este propsito usan diagramas, analogas, cartas. Un
ejemplo es la matrizde acceso.
2. Proveer una representacin de una poltica general de seguridad
formal clara. Un ejemploes el modelo Bell-LaPadula.
3. Expresar la poltica exigida por un sistema de cmputo
especfico.
Problemas al implantar las polticas de seguridadMuchas veces las
organizaciones realizan grandes esfuerzos para definir sus
directrices deseguridad y concretarlas en documentos que orienten
las acciones de las mismas, con relativoxito. Pero resulta una
labor ardua el convencer a los altos ejecutivos de la necesidad de
buenaspolticas y prcticas de seguridad informtica.
Muchos de los inconvenientes se inician por los tecnicismos
informticos y la falta de unaestrategia de mercadeo de los
especialistas en seguridad, que llevan a los altos directivos
apensamientos como: ms dinero para los juguetes de los ingenieros.
Esta situacin ha llevado aque muchas empresas con activos muy
importantes, se encuentren expuestas a graves problemasde
seguridad, que en muchos de los casos lleva a comprometer su
informacin sensitiva y porende su imagen corporativa.
Ante esta encrucijada, los encargados de la seguridad deben
asegurarse de que las personasrelevantes entienden los asuntos
importantes de la seguridad, conocen sus alcances y estn deacuerdo
con las decisiones tomadas en relacin con esos asuntos. En
particular, la gente debesaber las consecuencias de sus decisiones,
incluyendo lo mejor y lo peor que podra ocurrir.
Luego, para que las polticas de seguridad logren abrirse espacio
al interior de una organizacindeben integrarse a las estrategias
del negocio, a su misin y visin, con el propsito de que losque
toman las decisiones reconozcan su importancia e incidencias en las
proyecciones y utilidadesde la compaa. De igual forma, las polticas
de seguridad deben ir acompaadas de una visin denegocio que
promueva actividades que involucren a las personas en su diario
hacer, donde seidentifiquen las necesidades y acciones que
materializan las polticas.
En este contexto, el entender la organizacin, sus elementos
culturales, es decir, la forma en queacta la gente cuando nadie le
dice qu hacer, estableciendo la manera en que los miembros de
la
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 21
empresa deben conducirse, y los comportamientos, los cuales
depender de su motivacin,caractersticas personales y del ambiente
que lo rodea, nos deben llevar a reconocer claramentelas normas de
seguridad que tendrn que privar en ese sitio de seguridad
necesarias y suficientesque aseguren confiabilidad en las
operaciones y funcionalidad de la compaa.
Procedimientos y Planes de ContingenciaEn el mundo de hoy, las
organizaciones dependen del procesamiento de datos para el flujo
deinformacin esencial, ya que si se quedara sin procesamiento de
datos durante dos das, o duranteuna o dos semanas, las operaciones
comerciales podran limitarse de tal manera que afectaran losactivos
corporativos, los movimientos comerciales, el servicio a clientes,
el flujo de dinero, lasoportunidades de inversin y el margen de
competencia, toda la organizacin sera vulnerable encaso de que las
operaciones de cmputo no funcionen.
Las amenazas son reales y un desastre puede resultar de
diferentes fuentes. Pueden ocurrirdesastres naturales, fallas
prolongadas de energa elctrica, incendios, sabotaje y hasta
explosinde bombas. Asimismo, es importante comprender que un
desastre puede ocurrir de la mismamanera que producirse, por ello
se debe estar preparado.Por lo que en esta seccin se revisarn los
siguientes puntos:
Definicin Utilidad del Plan de contingencia Elementos Quin debe
escribir el Plan de Contingencia? Metodologas de desarrollo de
Planes de Contingencia
DefinicinUn plan de contingencia o plan de recuperacin en caso
de desastre es una gua para larestauracin rpida y organizada de las
operaciones de cmputo despus de una suspensin.Especfica quin hace
qu y cmo. Los objetivos de dicho plan son los de restablecer, lo
mspronto posible, el procesamiento de aplicaciones crticas
(aquellas necesarias para larecuperacin) para posteriormente
restaurar totalmente el procesamiento normal. Un plan
decontingencias no duplica un entorno comercial normal (en forma
inmediata), pero s minimiza laprdida potencial de activos y
mantiene a la empresa operando, al tomar acciones decisivasbasadas
en la planeacin anticipada.Dicho de otra manera, un plan de
contingencias es un programa de recuperacin de laorganizacin, cabe
aclarar que el plan de contingencias no slo es un problema del rea
desistemas, sino de toda la organizacin.Un plan de contingencia es
un plan escrito en el que se detallan acciones, procedimientos
yrecursos que deben usarse durante un desastre que cause destruccin
parcial o total de losservicios de computacin. En este plan se
define qu tareas son crticas, quin es el responsablede todos los
aspectos del proceso de recuperacin, y cmo va a funcionar la
organizacin mientraslos sistemas estn siendo reparados o
transportados a un nuevo local.
Utilidad del Plan de contingencianUn plan de contingencia o
tambin llamado plan de recuperacin de desastres, permite controlar
lasituacin y realizar las actividades necesarias sin afectar a la
informacin y para ello se debe detomar en cuenta lo siguiente:
Disminuir los efectos de esos desafortunados desastres y
permitir una respuesta rpida,una transferencia del procesamiento
crtico a otras instalaciones, y una eventualrecuperacin.
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 22
Proporcionar a los directivos de una empresa una excelente
oportunidad para aliviar ominimizar problemas potenciales que, en
un momento dado, podran interrumpir elprocesamiento de datos.
Debern tener sentido, ser legibles e indicar todos los aspectos
de la funcin de lacuestin.
El nivel de detalle para el plan de contingencia, para respaldar
la informacin y para losprocedimientos de recuperacin, depender de
la importancia de la aplicacin y del tipo deinformacin.
Se desarrollar un plan de contingencia propio para cada empresa
y as cubrir susnecesidades especficas.
ElementosEl plan de contingencia, es un plan de emergencia y
recuperacin porque incorpora seguridadfsica al centro de cmputo, es
decir, es un plan formal que describe los pasos a seguir en el
casode presentarse alguna situacin de emergencia, con la finalidad
de reducir el impacto que puedaprovocar el desastre, y
posteriormente restablecer las operaciones del procesamiento
electrnicode datos en forma tan inmediata como sea posible.Por lo
tanto, el diseo e implementacin de un plan de esta naturaleza debe
contemplar:
Los riesgos y los porcentajes de factibilidad de stos, a los que
est expuesta laorganizacin.
La asignacin de responsabilidades al personal, tanto en las
actividades que se realizarndurante la emergencia como en las de
preparacin y las de recuperacin.
La identificacin de aplicaciones (sistemas automatizados) de
mayor importancia dentro dela produccin de datos, para darles la
seguridad necesaria.
La especificacin de alternativas de respaldo. La definicin de
procedimientos y polticas a seguir durante el momento de la crisis.
La definicin de medidas y el tiempo previsto para la recuperacin.
La integracin de prcticas de mantenimiento, entrenamiento en el
plan y pruebas del
mismo.Es importante destacar que un plan de contingencia no
evita los desastres, sino que provee losmedios para salvaguardar al
mximo los recursos del rea de procesamiento electrnico de datosy
reducir as las posibles prdidas que resultan de estos desastres.Una
de las claves en el desarrollo de un plan de contingencia estriba
en la evaluacin de posiblesriesgos (posibilidad de ocurrencia), que
envuelven el ambiente informtico. Sin embargo, esposible prever en
un 100% todos y cada uno de los riesgos que acosan nuestra
operatividad. Esentonces vital en listarlos y agruparlos con la
finalidad de anticipar la mayor parte de ellos yposteriormente
establecer el impacto que pueden causar en caso de su
materializacin.
La concepcin del plan de contingencia debe tener un alcance tal
que permita una completarecuperacin de la prdida eventual, segn el
tiempo que de antemano se haya considerado paraello. Surge entonces
la pregunta qu significa hacer exitoso un plan de
contingencia?Consideramos que el xito de este plan estar en funcin
del tiempo y del costo necesario pararestablecer la operacin normal
de los sistemas de cmputo.
Quin debe escribir el Plan de Contingencia?Una vez que se ha
tomado la decisin de hacer un plan de contingencia, el Director de
Sistemasjunto con el cuerpo directivo de la empresa determinarn que
es lo que ms le interesa a laorganizacin y as tomar la decisin si
se contrata a un consultor externo para hacerlo odesarrollarlo en
casa. Ambas opciones tienen pros y contras.
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 23
De acuerdo a (Rodrguez, 1995), a primera vista, contratar a un
consultor externo con muchosaos de experiencia en el desarrollo de
este tipo de proyectos puede parecer la mejor opcin.Algunas de las
ventajas son:
El desarrollo de un plan de contingencia estn complicado como
cualquier sistemaimportante (figura 4.1), debido a que en ambos se
debe de seguir una serie de pasosordenadamente para obtener un buen
resultado. Por esto requiere de una persona (o unequipo) dedicado
exclusivamente al desarrollo de este proyecto.
Los consultores poseen conocimientos especializados que pueden
facilitar el desarrolloms rpido de un buen plan. Un consultor con
experiencia sabe cmo se hace un plan decontingencias, adems sabe
quin es quin dentro de la industria de la seguridad de
lainformacin.
Figura 4.1. Comparacin entre el Ciclo de Vida de un Sistema de
Informacin y el de un Plande Contingencias.
Los consultores, al ser externos a la empresa, miran con ojo
nuevo al proyecto, y sepercatan de requerimientos que podran ser
pasados por alto por una persona de laempresa.
Los planes hechos por consultores, tpicamente vienen acompaados
de un acuerdo demantenimiento. Por alguna cuota, el consultor
regresar con determinada frecuencia aayudar en las pruebas,
entrenamiento y actualizacin del plan.Por su parte la mayor
desventaja de contratar consultores especializados en el
desarrollode planes de contingencias es su precio: es muy caro, por
lo que muchas empresas noestaran en condiciones de pagarlo.Por otro
lado, si se decide que el plan sea desarrollado en casa, se tienen
las siguientesventajas:
El desarrollador del plan de contingencias, al formar parte de
la empresa, tendra un accesoms rpido y completo a la informacin que
necesite.
El desarrollador del plan, como miembro del rea de sistemas
(seguramente as ser) conayuda de todos los miembros del personal de
sistemas, tendr ms facilidad para larealizacin del inventario de
hardware y software, as como para la etapa de clasificacin
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 24
de los sistemas de acuerdo a su importancia y consecuentemente
para la definicin de losprocedimientos de respaldo.
Podr conocer todas las medidas de seguridad de la informacin
implementadas en laempresa sin ninguna reserva.
Puede utilizar el conocimiento que tiene acerca de sus compaeros
de trabajo, para tratarde definir quines son las personas ms
adecuadas para la conformacin de los diversosequipos de
contingencia.Por lo que respecta a las desventajas de que el plan
sea desarrollado por un empleado dela empresa, podemos mencionar
las siguientes:
La persona encargada, en la mayora de los casos no contar con la
experiencia necesariaen el desarrollo de este tipo de
proyectos.
Nuevamente en la mayora de los casos, a la persona encargada de
desarrollar el plan seasignar esta tarea como una adicional a las
que ya vena realizando. Es decir, no contarcon tiempo completo para
dedicarlo a este proyecto. Por lo tanto, el tiempo de desarrollodel
plan ser excesivamente largo, o bien, ser terminado en el lmite
fijado, pero la calidaddel mismo podra no ser completamente
satisfactoria.
METODOLOGAS DE DESARROLLO DE PLANES DE CONTINGENCIAA continuacin
se describen tres metodologas de desarrollo de Planes de
Contingencia paraSistemas de Informacin (Rodrguez, 1995): la de
William Toigo, la de Hewlett-Packard y unaUniversal llamada as por
sus caractersticas.
a. Metodologa de William Toigob. Metodologa de Hewlett-Packardc.
Metodologa Universald. Metodologa para el Desarrollo de Planes de
Atencin de Emergencias
Metodologa de William ToigoEsta metodologa consta de ocho
etapas. De cada una de ellas se enuncian las principales tareasque
la componen.
I. Definicin y Arranque Definir los objetivos del plan
Seleccionar la metodologa Obtener la aprobacin de la Direccin Diseo
de cuestionarios
II. Anlisis de riesgosa) Recoleccin de datos
Inventario de hardware, software, aplicaciones, bases de datos y
telecomunicaciones. Se obtiene el grado crtico de los sistemas,
tanto desde el punto de vista de los usuarios
como de los tcnicos. Se determina la tolerancia a una falla o
desastre. En trminos prcticos, la tolerancia
puede ser expresada como un valor en pesos: es la prdida de
ingresos de la empresa,debida a una suspensin del procesamiento de
cierta duracin.
Identificacin de amenazas al procesamiento normal. Estas
amenazas pueden serhumanas, de error de hardware, de error de red,
de tipo lgico y de desastres, ya vistas enel captulo anterior.
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 25
b) Anlisis de datos Habiendo clasificado el grado crtico de los
sistemas, asignado costos a suspensin de
funcionamiento del sistema, e identificado amenazas a los
sistemas y a la informacin,resta analizar todos estos datos y
formular un conjunto de objetivos especficos para guiarel
desarrollo de la capacidad de recuperacin. El objetivo es eliminar
los riesgos quepuedan ser eliminados y minimizar los efectos de los
riesgos que no puedan eliminar.
III. Proteccin de la instalacinEn esta seccin se discuten varias
estrategias comunes de prevencin de desastres y deproteccin que se
pueden poner en prctica para proveer la capacidad de evitar
desastres:
Deteccin de agua Proteccin contra fuego Eliminacin de
contaminantes Falla de suministro de elctrico Control de acceso
fsico
El diseador del plan de contingencia debe conocer estos temas y
su aplicacin en la empresa, yaque sin factores que comnmente
organizan desastres.
IV. Almacenamiento fuera del SiteEl almacenamiento fuera del
site incluye el anlisis y clasificacin de los datos, la revisin de
losprocedimientos de respaldo existentes (si los hay), la evaluacin
y seleccin de un proveedor deespacio de almacenamiento, y la
formalizacin de agendas para el mantenimiento actualizado dedatos
del sitio externo.Se requiere que la informacin correcta (que se
usar para reducir el tiempo de suspensin delfuncionamiento de los
sistemas y sus efectos negativos) sea identificada, para conseguir
esto deberealizarse las siguientes acciones:
a. Deben identificarse los sistemas crticos y vitales (este
autor clasifica los registros deinformacin como crticos, vitales,
sensibles y no crticos, en orden descendente deimportancia).
b. Las entradas y salidas de esos sistemas deben ser
definidas.c. Tambin deben almacenarse respaldos de los programas,
sistemas y software de la base
de datos en produccin.d. Identificar la documentacin requerida
para restaurar los sistemas e informacin; esto
incluye inventarios, manuales tcnicos y de usuario, formas
impresas, copias del plan decontingencia, etc.
V. Estrategia de respaldo de SistemasEn esta etapa nuevamente se
hace uso de los resultados del anlisis de riesgos. Hay que
saber:
a. Qu aplicaciones son crticas o vitales?b. Cul es la
configuracin mnima de hardware para correr los sistemas?c. Cuntos
usuarios tienen los sistemas?d. Cules son los requerimientos de la
empresa?
Existen muchas estrategias de respaldo de los sistemas de
cmputo; debe analizarse cada casopara determinar cul es la ms
conveniente.
VI. Estrategia de respaldo de redesEl diseador del plan de
contingencia debe entender las redes de comunicacin que
estnalrededor de los procesadores.
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 26
Una actividad preliminar consiste en revisar el anlisis de
riesgo para identificar dependencias enredes, el grado crtico de
los servicios de red y el nivel mnimo de servicio requerido para
lacontinuidad del negocio.Existen varias opciones para recuperar
las redes que han tenido fallas:a. Para sistemas de comunicacin
interna:
Es importante adquirir software apropiado para diagnstico y
reparacin de problemas deredes
En el caso de una falla del conmutador hay dos opciones: (1)
instalar suficientes lneasdirectas para las funciones dependientes
de las telecomunicaciones y (2) comprar unsegundo conmutador y
tenerlo de respaldo.
VII. Toma de decisiones en caso de emergenciaSe refiere a tres
proyectos fundamentales para la recuperacin de emergencias:
Evacuacin Recuperacin Reinstalacin de las actividades
normales
Debe tomarse en cuenta las siguientes consideraciones:a. Es
imposible predecir todos los escenarios y tomar todas las
decisiones por adelantado; poreso, resulta intil disear
procedimientos muy rgidos.b. Sin embargo, el plan es necesario para
coordinar las acciones de recuperacin ya que sin l,sera ms lenta; y
el desastre causara daos mayores a la empresa.c. En esta fase debe
disearse los equipos que llevarn a cabo el plan de contingencia
(estosmismos equipos pueden tener diferentes funciones durante la
evacuacin, la recuperacin y lareinstalacin de actividades
normales).d. Despus de disearse, debe formarse los equipos. As
mismo debe hacerse el directoriotelefnico de estas personas y de
todas las que tengan alguna relacin con este plan.e. Puede disearse
uno o varios Diagramas de Flujo de Manejo de Emergencias que
describan lasecuencia en la cual se realizarn las tareas de
recuperacin.
VIII. Mantenimiento y pruebas del planEl plan de contingencia es
un documento vivo y cambiante, por lo que requiere
demantenimiento.Antes de probar el plan, se debe dar entrenamiento
especfico a todos los miembros de losequipos de recuperacin en las
tareas que realizarn en caso de desastre. Los lderes de losequipos,
en cambio, deben recibir entrenamiento general sobre todo el plan
completo.a. Los objetivos principales de las pruebas son:
Asegurar que el plan pueda aplicarse exitosamente recuperando lo
que sea posible. Las pruebas sirven como una herramienta de
auditora. Las pruebas pueden revelar informacin til acerca del
desempeo de los sistemas a un
nivel de emergencia, entre otras cosas. Las pruebas son una
forma de entrenar y adems pueden utilizar sus resultados para
corregir el plan o agregarle aspectos no considerados
originalmente.b. Para hacer pruebas:
Debe establecerse un escenario Deben definirse los objetivos de
la prueba Definirse las reglas Designar participantes y
observadores Documentar los resultados
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 27
Metodologa Hewlett-PackardEsta metodologa consta de 11 etapas
(ver imagen) y de cada una de ellas se enuncian lasprincipales
tareas que la componen.
1. Administracin de proyectosa) Obtener un compromiso preliminar
de la Gerencia: la Direccin de la empresa debecomprometerse a
desarrollar el plan de contingencia en caso de desastre, de tal
manera que losrecursos necesarios puedan ser asignados al
proyecto.b) Organizar el equipo de desarrollo del plan de
contingencia: identificar a los individuos de laadministracin, del
procesamiento de datos y usuarios, para que participen en la
preparacin delprograma de recuperacin.c) Auditar el estado de la
preparacin del plan de contingencia previo(si existe):
algunosprocedimientos e informacin necesarios para el plan de
recuperacin de desastres posiblementeya se han desarrollado y
puesto en prctica. Sabiendo lo que ya existe y lo que falta por
hacer,ser posible tomar decisiones ms realistas sobre el tiempo y
los recursos que debe asignarse alproyecto.d) Desarrollar un plan
administrativo para el proyecto: realizar una estimacin de la
duracinde las tareas, asignar recursos y desarrollar un calendario
para el proyecto.e) Seleccionar las herramientas de documentacin:
decidir qu paquete o paquetes se usarny los procedimientos
generales; por ejemplo, quin ser responsable de la documentacin,
cundose har (al concluirlo o durante el desarrollo del plan),
existen normas de la empresa para lageneracin de este tipo de
documentos?, etc.
2. Aplicaciones crticasa) Establecer prioridades de las
aplicaciones: analizar todas las aplicaciones para priorizarlas
eidentificar cules son crticas. Esta metodologa maneja tres
categoras: crtica, importante y todaslas dems. Considera que la
prioridad de una aplicacin se basa en tres factores principales:
valormonetario (cantidad de ingresos producidos por la aplicacin),
limitaciones y prioridades (las
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 28
aplicaciones pueden ser necesarias por las limitaciones, p. ej.
Leyes, regulaciones, contratos; oporque son usadas para reunir las
prioridades claves comerciales, p. ej. Servicio a
clientes),urgencia de tiempo (la necesidad de ejecutar una
aplicacin en perodos o frecuenciasdeterminadas).b) Especificar
prioridades de procesamiento para la recuperacin de desastres:
listas lasaplicaciones en orden de restauracin durante la
recuperacin. Esta lista sirve para distintospropsitos. En primer
lugar, es una herramienta excelente para comunicar las prioridades
deprocesamiento que sern seguidas en caso de desastre. En segundo
lugar, es utilizada en lasiguiente actividad, en donde se debe
determinar los requerimientos de procesamiento para cadatipo de
prioridad. Esto, a su vez, se usa para establecer los objetivos de
recuperacin y paraseleccionar las instalaciones de respaldo
apropiadas. Finalmente, es un paso preliminar en eldesarrollo de un
plan de restauracin.c) Determinar los requerimientos del
procesamiento: analizar los recursos necesarios paraprocesar las
aplicaciones con prioridad alta, de tal manera que se tenga
suficiente capacidad derespaldo. Una decisin clave que debe tomarse
es definir cuntos niveles de prioridad van a serrespaldados.d)
Establecer objetivos de la recuperacin de desastres: especificar el
nivel de procesamientoy tiempos de recuperacin que se han de lograr
en la restauracin de desastres menores, mayoresy catastrficos.
3. Instalacin de respaldo y procedimientosa) Seleccionar una
localidad externa de almacenamiento (caja de seguridad): los datos
ydocumentacin de respaldo deben almacenarse fuera de la instalacin
para que sobrevivan, auncuando exista una destruccin total del
centro de cmputo. En esta etapa se debe identificar una oms
localidades externas donde se puedan almacenar seguramente los
datos y documentacin derespaldo.b) Determinar el contenido
indispensable de la caja de seguridad externa: identificar
losarchivos, programas, documentacin, materiales, etc., especficos
que deban respaldados ymantenidos en un lugar fuer de la
instalacin.c) Especificar procedimientos de almacenamiento y
actualizacin: determinar el equipo y lacapacidad de procesamiento
necesaria en la instalacin de respaldo.d) Identificar los
requerimientos del sistema para las instalaciones de respaldo:
determinar elequipo y la capacidad de procesamiento necesaria en la
investigacin de respaldo. El propsito deesta tarea es investigar qu
recursos de cmputo son necesarios en la instalacin de
respaldo:tiempo, sistemas, perifricos, comunicaciones de datos y
otros equipos, para procesar lasaplicaciones de determinada
prioridad.e) Seleccionar una o ms de estas instalaciones: evaluar
las instalaciones potenciales derespaldo y elegir una o ms para
hacer los arreglos necesarios. El plan de contingencia en caso
dedesastre debe tomar en cuenta un rango de posibilidades desde un
desastre menor, tal como unasuspensin de cmputo prolongada, hasta
un desastre catastrfico que destruya totalmente elcentro de
cmputo.f) Producir una gua de respaldo de la instalacin: una o ms
instalaciones de respaldo hansido seleccionadas para ser usadas
durante la recuperacin de desastres. Estas instalaciones
sediferenciarn entre s y del centro de cmputo primario. La
informacin especfica de cada unadebe documentarse en una gua de la
instalacin de respaldo.g) Identificar al personal de respaldo:
idealmente, el personal del centro de cmputo estardisponible
durante un desastre. De cualquier modo, si no est disponible,
entonces sus funcionestendrn que ser realizadas por otras personas
(el personal de respaldo).
-
ConalepMich Plantel Zamora
Juan Manuel Campos Navarro [email protected] 29
4. Procedimientos y procesamiento alternoa) Identificar las
aplicaciones crticas que requieran procedimientos del
procesamientoalterno: las aplicaciones crticas son, por definicin,
aquellas necesarias para la supervivencia dela compaa; el plan de
contingencia, en caso de desastre, proporcionan restauracin para
estasaplicaciones.b) Desarrollar los procedimientos de
procesamiento alterno: para las aplicaciones crticasseleccionadas,
se debe crear el procedimiento de procesamiento alterno, que pueda
usarse encaso de que las instalaciones del centro de cmputo no estn
disponibles.
5. Procedimientos de recuperacina) Definir equipos de
recuperacin y sus funciones: las acciones que deben tomar
paraefectuar el restablecimiento de un desastre, son llevadas a
cabo por equipos de recuperacin,cada uno con su propia rea de
responsabilidad. El propsito de esta tarea es especificar
losequipos de recuperacin y las funciones de cada uno.b)
Identificar a los miembros de cada equipo: nombrar a las personas
que servirn en cadaequipo de recuperacin.c) Especificar sus
procedimientos: establecer los pasos de accin que tienen que seguir
loslderes y miembros del equipo. Se debe distinguir entre lo que
debe realizar el lder y lo quepueden hacer los otros miembros.
6. Procedimientos de deteccin de eventosa) Especificar los
procedimientos de emergencia: los procedimientos de emergencia son
lasacciones que deben realizarse inmediatamente, en respuesta a un
evento daino o a unasituacin amenazadora.b) Establecer los
procedimientos de escalacin: el propsito de esta estos
procedimientos esdefinir la distribucin de los pasos y del tiempo
que