Seguridad Integral Empresarial

Seguridad Integral de un Centro de Cmputos

1.Qu es Seguridad?.2. Seguridad Informtica.3. Evaluacin Seguridad de un Sistema de Informacin.4. Elementos de un sistema de computadoras.5. Paradigmas organizacionales en cuanto a seguridad.6. La seguridad en la ingeniera de software.7. Amenazas a la seguridad.8. Seguridad Lgica.9. Seguridad fsica: de los sistemas, de los equipos y del usuario.


Qu es Seguridad?

En el mbito informtico, la seguridad equivale principalmente a garantizar los siguientes puntos:

Consistencia: Comportarse como se espera y mantener su comportamiento sin cambiosinesperados.Servicio: El sistema debe prestar todos los servicios que ofrecemos de manera confiable, constante y consistente.Proteccin: Si un programa tiene errores y sufre una cada, no debe afectar a la ejecucin de otros procesos. Un programa diseado expresamente para hacer dao debe tener un impacto mnimo en el sistema.Control de acceso: Los datos generados por un usuario no deben ser accesibles a otro usuario a menos que as sea especficamente solicitado por su dueo. Soportar diferentes modos de acceso a un archivo,.


Objetivos de la seguridad:

Proteger los recursos informticos del dao, la alteracin, el robo y la prdida. Incluyendo en esto los equipos, medios de almacenamiento, software, listado de impresoras y los datos.

Tambin se debe mantener la continuidad de los procesos organizacionales que soportan los sistemas de informacin.


Evaluacin Seguridad de un Sistema de INFORMACINImportancia de la Informacin

Cuando se habla de la funcin informtica generalmente se tiende a hablar de tecnologa nueva, de nuevas aplicaciones, nuevos dispositivos hardware, nuevas formas de elaborar informacin ms consistente, etc.

Es necesario tener presente que el lugar donde se centraliza la informacin con frecuencia el centro de cmputo puede ser el activo ms valioso y al mismo tiempo el ms vulnerable. Por la existencia de personas ajenas a la informacin, tambin conocidas como piratas informticos o hackers, que buscan tener acceso a la red empresarial para modificar o borrar datos.


La seguridad de computadores y redes tiene varios requisitos:

Confidencialidad: Exige que la informacin de un sistema sea accesible solamente por parte autorizadas (impresin, visualizacin).Integridad: Exige que los elementos de un sistema puedan ser modificados solo por las personas autorizadas (modificacin de escritura, borrado y creacin).Confidencialidad: o privacidad; exige que la informacin sea accedida por cada usuario con base en lo que debe ver segn su rea de responsabilidad.Disponibilidad: Exige que la informacin y servicios de un sistema estn disponible para los usuarios, segn su perfil, en el momento requerido.No Repudio: Registro e identificacin de los participantes en una transaccin, de tal manera que no puedan negarla en ningn momentoAutenticidad: Requieren que un sistema sea capas de verificar la identidad de un usuario y de la informacin.


Elementos de un sistema de computadoras, que abarcan laseguridad:

Los elementos de un sistema de computadores se clasifican en:

Hardware Software Datos Redes y lneas de comunicacin


Paradigmas organizacionales en cuanto a seguridadLos principales paradigmas de la informacin son los siguientes:* Generalmente se tiene la idea que los procedimientos de auditoria esresponsabilidad del personal del centro de computo, pero se debecambiar este paradigma y conocer que estas son responsabilidades delusuario y del departamento de auditoria interna.* Tambin muchas compaas cuentan con dispositivos de seguridadfsica para los computadores y se tiene la idea que los sistemas nopueden ser violados si no se ingresa al centro de computo, ya que nose considera el uso terminales y de sistemas remotos.* Se piensa tambin que los casos de seguridad que tratan deseguridad de incendio o robo que "eso no me puede suceder a m" o"es poco probable que suceda".


* Tambin se cree que los computadores y los programas son tancomplejos que nadie fuera de su organizacin los va a entender y no lesvan a servir, ignorando las personas que puedan captar y usarla para otrosfines.* Los sistemas de seguridad generalmente no consideran la posibilidad defraude interno que es cometido por el mismo personal en el desarrollo de susfunciones.* Generalmente se piensa que la seguridad por clave de acceso esinviolable pero no se considera a los delincuentes sofisticados.* Se suele suponer que los defectos y errores son inevitables.* Tambin se cree que se hallan fallas porque nada es perfecto.* Y la creencia que la seguridad se aumenta solo con la inspeccin


La seguridad en la ingeniera de software

Ingeniera de sistemas de Computacin:La seguridad es la proteccin de sistemas de informacin contra el accesodesautorizado o la modificacin de informacin si est en una fase dealmacenamiento o procesamiento.Confiabilidad de software:La confiabilidad de software significa que un programa particular debe seguirfuncionando ante la presencia de errores.


Seguridad del terminal:Cuando trabaje con documentos confidenciales, tenga cuidado para colocar el terminal de forma que otras personas no vean la pantalla. No deje nunca el terminal sin vigilancia.Cierre la sesin cuando se aleje del terminal.


Amenazas y Vulnerabilidades.Por vulnerabilidad entendemos la exposicin Latente a un riesgo.Por amenazas: Accin con el potencial de causar daos o como una violacin potencial a la seguridad.Acceso no autorizado.Introduccin de datos falsosRuptura, interrupcin o degradacin de la operacinUsurpacin o control no autorizado de alguna parte del sistema.Las amenazas pueden ser activas o pasivas.Las pasivas, se refieren a amenazas en donde se observan los recursos informticos pero no se modifican o alteran de ninguna manera.Las activas buscan alterar, modificar o en general causar daos en el sistema o sea en los activos informticos.Los riesgos pueden definirse como la probabilidad de ocurrencia de un siniestro. La ISO la define como la probabilidad de que una amenaza se materialice, utilizando vulnerabilidades existentes de un activo o grupo de activos, generndoles prdidas o daos.En el rea de informtica, existen riesgos tales como: * Ataque a virus * Cdigos maliciosos * Gusanos * Caballos de troya * hackers


Tipos de amenazas

Los tipos de amenazas de la seguridad de los sistemas o una red se caracteriza contemplando la funcin del sistema como un suministrador.

Existen categoras generales de amenazas:

Interrupcin: se destruye un elemento de un sistema, este es un ataque a la disponibilidad (destruccin de una pieza del hardware como un disco duro, o el corte de una lnea de comunicaciones).

Interceptacin: una parte no autorizada consigue acceder a un elemento, este es un ataque al secreto (la intervencin de las conexiones telefnicas para conseguir datos de una red y la copia ilcita de programa).

Modificacin: una parte no autorizada no solo consigue acceder, sino que falsifica un elemento, este es un ataque a la integridad (el cambio de valores en un archivo de datos, alteracin de un programa y modificacin de mensajes transmitidos en una red


Tipos de mecanismo de Seguridad.Los mecanismos de seguridad se dividen en tres grandes grupos: Los mecanismos de prevencin son aquellos que aumentan la seguridad de un sistema durante el funcionamiento normal de ste, previniendo la ocurrencia de violaciones a la seguridad; por ejemplo, el uso de cifrado en la transmisin de datos se puede considerar un mecanismo de este tipo, ya que evita que un posible atacante escuche las conexiones hacia o desde un sistema Unix en la red. Por mecanismos de deteccin se conoce a aquellos que se utilizan para detectar violaciones de la seguridad o intentos de violacin; ejemplos de estos mecanismos son los programas de auditora como Tripwire. Los mecanismos de recuperacin son aquellos que se aplican cuando una violacin del sistema se ha detectado, para retornar a ste a su funcionamiento correcto; ejemplos de estos mecanismos son la utilizacin de copias de seguridad o el hardware adicional.


Seguridad Lgica

Consiste en la aplicacin de barreras y procedimientos que resguarden el acceso a los datos y solo se permitir acceder a ellos por las personas autorizadas para hacerlo.

Los objetivos que se plantean sern: Restringir el acceso a los programas y archivos. Asegurar que los operadores no puedan trabajar sin una supervisin minuciosa y no puedan modificar los programas y los archivos que no correspondan. Asegurar que se estn utilizando los datos, archivos y programas correctos. Que la informacin transmitida sea recibida solo por el destinatario y no por otro. Que la informacin recibida sea la misma que a sido transmitida. Que exista sistemas alternativos de transmisin entre diferentes puntos. Que se disponga de pasos alternativos de emergencia para la transmisin de la informacin.


ProteccinLa multiprogramacin origin la posibilidad de compartir recursos entre los usuarios, que compromete no solo al procesados sino tambin a:Memoria.Dispositivo de entrada y salida.Programas.Datos.

Proteccin de los datosLa seguridad fsica tambin implica una proteccin a la informacin de nuestro sistema, tanto a la que est almacenada en l como a la que se transmite entre diferentes equipos.Hay ciertos aspectos a tener en cuenta a la hora de disear una poltica de seguridad fsica que afectan principalmente, aparte de los elementos fsicos y a los datos de nuestra organizacin; existen ataques cuyo objetivo no es destruir el medio fsico de nuestro sistema, sino simplemente conseguir la informacin almacenada en dicho medio.


Backups

Es la proteccin de los diferentes medios donde residen las copias de seguridad. Hay que tener presente que si las copias contienen toda la informacin hay que protegerla igual que a los sistemas.Un error habitual es almacenar los dispositivos de backup en lugares muy cercanos a la sala de operaciones, esto puede resultar correcto y cmodo si necesitamos restaurar unos archivos pero puede convertirse en un problema, por ejemplo si se produce un incendio de grandes dimensiones, tendremos tambin el problema de perder todos nuestros equipos y los datos almacenados en los discos como los guardados en backups.Por eso, resulta recomendable guardar las copias de seguridad en una zona alejada de la sala de operaciones, que aunque descentralicemos, la seguridad.Es comn etiquetar las cintas donde se hace copias de seguridad con abundante informacin sobre su contenido (sistemas de ficheros almacenados, da y hora de la realizacin,...) esto traera como ventaja un fcil acceso y la desventaja que cualquier persona ajena que ingrese encuentre el backup deseado.Al etiquetar las copias es conveniente hacerlo con cierta codificacin que solo conozcan las personas responsables


Seleccin de una Contrasea SeguraCdigo de acceso:En informtica una combinacin nica de caracteres por lo general letras o nmeros utilizada en las comunicaciones como medio de identificacin para tener acceso a un equipo, sea remoto o no; el cdigo de acceso suele referirse al nombre o a la identidad del usuario o su contrasea.Al elegir una contrasea, se debe tener presente que se trata de asegurar que nadie pueda adivinarla. Si alguien conoce su contrasea, podr iniciar una sesin y obtener acceso a sus archivos.En esta seccin, se facilitan recomendaciones sobre la forma de seleccionar y proteger la contrasea.Dichas recomendaciones son de especial trascendencia si se trabaja con documentos confidenciales.


Qu es una contrasea segura?

Al seleccionar una contrasea en un entorno seguro adopte las siguientes pautas:

Elija una contrasea que no se asocie abiertamente a usted (su vida personal o profesional, sus aficiones y otras por el estilo): No utilice su nombre, el nombre de su cnyuge, los nombres de sus hijos ni los nombres de sus mascotas, el nombre de su calle ni la marca de su automvil, nmeros de telfono ni fechas especiales Elija una contrasea que no conste en el diccionario (deletreada al derecho o al revs). Los programas para descifrar contraseas pueden utilizar listas de palabras de los diccionarios.


Seguridad Fsica Seguridad fsica de los sistemas

Segn la seguridad fsica de los sistemas informticos consiste en la aplicacin de barreras fsicas y procedimientos de control como medidas de prevencin y contramedidas contra las amenazas a los recursos y la informacin confidencial.

Por `seguridad fsica' podemos entender todos aquellos mecanismos - generalmente de prevencin y deteccin - destinados a proteger fsicamente cualquier recurso del sistema; estos recursos son desde un simple teclado hasta una cinta de backup con toda la informacin que hay en el sistema, pasando por la propia CPU de la mquina.

Desgraciadamente, la seguridad fsica es un aspecto olvidado con demasiada frecuencia a la hora de hablar de seguridad informtica en general; en muchas organizaciones se suelen tomar medidas para prevenir o detectar accesos no autorizados o negaciones de servicio, pero rara vez para prevenir la accin de un atacante que intenta acceder fsicamente a la sala de operaciones o al lugar donde se depositan las impresiones del sistema.

Esto motiva que en determinadas situaciones un atacante se decline por aprovechar vulnerabilidades fsicas en lugar de lgicas, ya que posiblemente le sea ms fcil robar una cinta con una imagen completa del sistema que intentar acceder a l mediante fallos en el software., si no tenemos en cuenta factores fsicos, los esfuerzos para proteger nuestra informacin no van a servir de nada.


Objetivo de la Seguridad FsicaEl objetivo es el de proteger los sistemas tanto en la parte de hardware, software, documentacin y medios magnticos de los riesgos por prdidas, extravos o por daos fsicos.As mismo de los potenciales riesgos se pueden dar en el acceso de personal no autorizado sin los controles adecuados de seguridad fsica; en los incendios; en las interrupciones de energa elctrica; en inundaciones por filtraciones de agua y, en los controles de acceso lgicoAspectos que involucran la Seguridad FsicaLa seguridad fsica involucra como mnimo los siguientes aspectos:1. Control de Acceso2. Seguridad contra Incendios3. Suministro de Energa4. Aire Acondicionado5. Deteccin de Agua6. Cableado7. Entre Otros


Seguridad fsica de los sistemas1 - Control de AccesoLas movilizaciones de equipos o medios magnticos deben ser realizadas slo por personal autorizada y deben seguir el procedimiento de control de movilizaciones de equipos.Las empresas deben contemplar controles adecuadamente razonables para evitar el acceso de individuos e incluso de personal "no autorizado" al centro de procesamiento o a las reas de manejo de datos o informacin oficial y exclusiva.Estos sistemas de Seguridad deben contemplar el uso de claves de seguridad a ser ingresadas a travs de un componente electrnico ubicada en cada rea o por medio del uso de una tarjeta plstica codificada. La asignacin de claves debe ser modificadas peridicamente para evitar cualquier infiltracin dentro del archivo maestro de claves o el otorgamiento de las mismas entre usuarios.


Seguridad contra incendios y humo

Un simple cortocircuito o un equipo que se calienta demasiado pueden convertirse en la causa directa de un incendio en el edificio.

Un mtodo efectivo contra los incendios son los extintores situados en el techo, que se activan automticamente al detectar humo o calor.

El humo, un potente abrasivo que ataca especialmente los discos magnticos y pticos, pero hemos de recordar que puede existir humo sin necesidad de que haya un fuego. Lo ms recomendable en estos casos es evacuar el lugar del incendio y dejar su control en manos de personal especializado


Las 10 leyes de seguridad. Ley #1: Si un intruso lo puede persuadir para que usted ejecute el programa de l en su computadora, sta ya deja de ser su computadora.Ley #2: Si un intruso puede alterar el sistema operativo de su computadora, sta ya deja de ser su computadora.Ley #3: Si un intruso tiene acceso fsico sin restriccin a su computadora, sta ya no es su computadora.Ley #4: Si usted le permite a un intruso subir programas a su sitio Web, ste deja deser suyo.Ley #5: Las contraseas dbiles atentan contra la seguridad fuerte.Ley #6: Una mquina es tan segura como confiable sea el administradorLey #7: Los datos encriptados son tan seguros como la clave de desencriptacin.Ley #8: Un escner de virus desactualizado slo es ligeramente mejor que ningnescner de virus en absoluto.Ley #9: El anonimato absoluto no es prctico, ni en la vida real ni en la WebLey #10: La tecnologa no es una panacea.


Retos actuales para la seguridad dentro de las organizaciones.

Las organizaciones y las personas en general fallan por ingenuas. Inconcientemente facilitan sus claves de correo o de acceso a un sistema a otras personas sin considerar que esto puede causar incidentes graves a la seguridad como robo de informacin o suplantacin de usuarios.

No hay suficiente personal capacitado en el tema.

No es claro quin responde por qu en cuanto a seguridad dentro de una organizacin.

Falta legislacin especfica sobre seguridad que considere los delitos informticos y sus implicaciones.


Ciclo de vida de la Seguridad

La implantacin de un proyecto de seguridad informtica dentro de una organizacin implica varias etapas, como se indica a continuacin:

Amenaza Poltica Especificacin Diseo Implementacin Operacin y Mantenimiento


Recordamos una de las leyes de mayor validez en la informtica, la "Ley de Murphy":

- Si un archivo puede borrarse, se borrar.- Si dos archivos pueden borrarse, se borrar el ms importante.- Si tenemos una copia de seguridad, no estar lo suficientemente actualizada.La nica solucin es tener copias de seguridad, actualizarlas con frecuencia y esperar que no deban usarse.


Se pueden adoptar diferentes estrategias respecto a la forma de la copia, que condicionan el volumen de informacin a copiar, para ello la copia puede ser:

Copiar slo los datos, poco recomendable, ya que en caso de incidencia, ser preciso recuperar el entorno que proporcionan los programas para acceder a los mismos, influye negativamente en el plazo de recuperacin del sistema. Copia completa, recomendable, si el soporte, tiempo de copia y frecuencia lo permiten, incluye una copia de datos y programas, restaurando el sistema al momento anterior a la copia. Copia incremental, solamente se almacenan las modificaciones realizadas desde la ltima copia de seguridad, con lo que es necesario mantener la copia original sobre la que restaurar el resto de copias. Copia diferencial, como la incremental, pero en vez de solamente modificaciones, se almacenan los ficheros completos que han sido modificados. Tambin necesita la copia original.

Seguridad Integral Empresarial

Documents

seguridad integral

seguridad informtica

seguridad fsica

seguridad lgica

sistema de computadoras

sistemas de informacin

informacin ms consistente

centro de cmputos1