Seguridad Integral de un Centro de Cmputos

1.Qu es Seguridad?.
2. Seguridad Informtica.
3. Evaluacin Seguridad de un Sistema de Informacin.
4. Elementos de un sistema de computadoras.
5. Paradigmas organizacionales en cuanto a seguridad.
6. La seguridad en la ingeniera de software.
7. Amenazas a la seguridad.
8. Seguridad Lgica.
9. Seguridad fsica: de los sistemas, de los equipos y del
usuario.

Seguridad Integral de un Centro de Cmputos

Qu es Seguridad?
En el mbito informtico, la seguridad equivale principalmente a garantizar los siguientes puntos:

Consistencia: Comportarse como se espera y mantener su comportamiento sin cambios

inesperados.

Servicio: El sistema debe prestar todos los servicios que ofrecemos de manera confiable,
constante y consistente.

Proteccin: Si un programa tiene errores y sufre una cada, no debe afectar a la

ejecucin de otros procesos. Un programa diseado expresamente para hacer dao
debe tener un impacto mnimo en el sistema.

Control de acceso: Los datos generados por un usuario no deben ser accesibles a otro
usuario a menos que as sea especficamente solicitado por su dueo. Soportar
diferentes modos de acceso a un archivo,.

Seguridad Integral de un Centro de Cmputos

Objetivos de la seguridad:

Proteger los recursos informticos del dao, la alteracin, el robo y la

prdida. Incluyendo en esto los equipos, medios de almacenamiento,
software, listado de impresoras y los datos.

Tambin se debe mantener la continuidad de los procesos

organizacionales que soportan los sistemas de informacin.

Seguridad Integral de un Centro de Cmputos

Evaluacin Seguridad de un Sistema de INFORMACIN
Importancia de la Informacin
Cuando se habla de la funcin informtica generalmente se tiende a hablar de
tecnologa nueva, de nuevas aplicaciones, nuevos dispositivos hardware, nuevas
formas de elaborar informacin ms consistente, etc.
Es necesario tener presente que el lugar donde se centraliza la informacin con
frecuencia el centro de cmputo puede ser el activo ms valioso y al mismo
tiempo el ms vulnerable.

Por la existencia de personas ajenas a la informacin, tambin conocidas como

piratas informticos o hackers, que buscan tener acceso a la red empresarial para
modificar o borrar datos.

Seguridad Integral de un Centro de Cmputos

La seguridad de computadores y redes tiene varios requisitos:

Confidencialidad: Exige que la informacin de un sistema sea accesible solamente
por parte autorizadas (impresin, visualizacin).
Integridad: Exige que los elementos de un sistema puedan ser modificados solo por
las personas autorizadas (modificacin de escritura, borrado y creacin).
Confidencialidad: o privacidad; exige que la informacin sea accedida por cada
usuario con base en lo que debe ver segn su rea de responsabilidad.
Disponibilidad: Exige que la informacin y servicios de un sistema estn disponible
para los usuarios, segn su perfil, en el momento requerido.
No Repudio: Registro e identificacin de los participantes en una transaccin, de tal
manera que no puedan negarla en ningn momento
Autenticidad: Requieren que un sistema sea capas de verificar la identidad de un
usuario y de la informacin.

Seguridad Integral de un Centro de Cmputos

Elementos de un sistema de computadoras, que abarcan la
seguridad:
Los elementos de un sistema de computadores se clasifican en:
Hardware
Software
Datos
Redes y lneas de comunicacin

Seguridad Integral de un Centro de Cmputos

Paradigmas organizacionales en cuanto a seguridad
Los principales paradigmas de la informacin son los siguientes:
* Generalmente se tiene la idea que los procedimientos de auditoria es
responsabilidad del personal del centro de computo, pero se debe
cambiar este paradigma y conocer que estas son responsabilidades del
usuario y del departamento de auditoria interna.
* Tambin muchas compaas cuentan con dispositivos de seguridad
fsica para los computadores y se tiene la idea que los sistemas no
pueden ser violados si no se ingresa al centro de computo, ya que no
se considera el uso terminales y de sistemas remotos.
* Se piensa tambin que los casos de seguridad que tratan de
seguridad de incendio o robo que "eso no me puede suceder a m" o
"es poco probable que suceda".

Seguridad Integral de un Centro de Cmputos

* Tambin se cree que los computadores y los programas son tan
complejos que nadie fuera de su organizacin los va a entender y no les
van a servir, ignorando las personas que puedan captar y usarla para otros
fines.
* Los sistemas de seguridad generalmente no consideran la posibilidad de
fraude interno que es cometido por el mismo personal en el desarrollo de sus
funciones.
* Generalmente se piensa que la seguridad por clave de acceso es
inviolable pero no se considera a los delincuentes sofisticados.
* Se suele suponer que los defectos y errores son inevitables.
* Tambin se cree que se hallan fallas porque nada es perfecto.
* Y la creencia que la seguridad se aumenta solo con la inspeccin

Seguridad Integral de un Centro de Cmputos

La seguridad en la ingeniera de software
Ingeniera de sistemas de Computacin:
La seguridad es la proteccin de sistemas de informacin contra el acceso
desautorizado o la modificacin de informacin si est en una fase de
almacenamiento o procesamiento.
Confiabilidad de software:
La confiabilidad de software significa que un programa particular debe seguir
funcionando ante la presencia de errores.

Seguridad Integral de un Centro de Cmputos

Seguridad del terminal:
Cuando trabaje con documentos confidenciales, tenga cuidado para
colocar el terminal de forma que otras personas no vean la pantalla.
No deje nunca el terminal sin vigilancia.
Cierre la sesin cuando se aleje del terminal.

Seguridad Integral de un Centro de Cmputos

Amenazas y Vulnerabilidades.
Por vulnerabilidad entendemos la exposicin Latente a un riesgo.
Por amenazas: Accin con el potencial de causar daos o como una violacin
potencial a la seguridad.
Acceso no autorizado.
Introduccin de datos falsos
Ruptura, interrupcin o degradacin de la operacin
Usurpacin o control no autorizado de alguna parte del sistema.
Las amenazas pueden ser activas o pasivas.
Las pasivas, se refieren a amenazas en donde se observan los recursos informticos pero no se
modifican o alteran de ninguna manera.
Las activas buscan alterar, modificar o en general causar daos en el sistema o sea en los
activos informticos.
Los riesgos pueden definirse como la probabilidad de ocurrencia de un siniestro. La ISO la
define como la probabilidad de que una amenaza se materialice, utilizando vulnerabilidades
existentes de un activo o grupo de activos, generndoles prdidas o daos.
En el rea de informtica, existen riesgos tales como:
* Ataque a virus * Cdigos maliciosos * Gusanos * Caballos de troya
* hackers

Seguridad Integral de un Centro de Cmputos

Tipos de amenazas
Los tipos de amenazas de la seguridad de los sistemas o una red se caracteriza
contemplando la funcin del sistema como un suministrador.
Existen categoras generales de amenazas:

Interrupcin: se destruye un elemento de un sistema, este es un ataque a la disponibilidad

(destruccin de una pieza del hardware como un disco duro, o el corte de una lnea de
comunicaciones).

Interceptacin: una parte no autorizada consigue acceder a un elemento, este es un ataque

al secreto (la intervencin de las conexiones telefnicas para conseguir datos de una red y
la copia ilcita de programa).

Modificacin:

una parte no autorizada no solo consigue acceder, sino que falsifica un

elemento, este es un ataque a la integridad (el cambio de valores en un archivo de datos,
alteracin de un programa y modificacin de mensajes transmitidos en una red

Seguridad Integral de un Centro de Cmputos

Tipos de mecanismo de Seguridad.
Los mecanismos de seguridad se dividen en tres grandes grupos:
Los mecanismos de prevencin son aquellos que aumentan la seguridad de un
sistema durante el funcionamiento normal de ste, previniendo la ocurrencia de
violaciones a la seguridad; por ejemplo, el uso de cifrado en la transmisin de
datos se puede considerar un mecanismo de este tipo, ya que evita que un
posible atacante escuche las conexiones hacia o desde un sistema Unix en la
red.
Por mecanismos de deteccin se conoce a aquellos que se utilizan para detectar
violaciones de la seguridad o intentos de violacin; ejemplos de estos
mecanismos son los programas de auditora como Tripwire.
Los mecanismos de recuperacin son aquellos que se aplican cuando una
violacin del sistema se ha detectado, para retornar a ste a su funcionamiento
correcto; ejemplos de estos mecanismos son la utilizacin de copias de seguridad
o el hardware adicional.

Seguridad Integral de un Centro de Cmputos

Seguridad Lgica
Consiste en la aplicacin de barreras y procedimientos que resguarden el acceso
a los datos y solo se permitir acceder a ellos por las personas autorizadas para
hacerlo.
Los objetivos que se plantean sern:
Restringir el acceso a los programas y archivos.
Asegurar que los operadores no puedan trabajar sin una supervisin minuciosa y no
puedan modificar los programas y los archivos que no correspondan.
Asegurar que se estn utilizando los datos, archivos y programas correctos.
Que la informacin transmitida sea recibida solo por el destinatario y no por otro.
Que la informacin recibida sea la misma que a sido transmitida.
Que exista sistemas alternativos de transmisin entre diferentes puntos.
Que se disponga de pasos alternativos de emergencia para la transmisin de la
informacin.

Seguridad Integral de un Centro de Cmputos

Proteccin
La multiprogramacin origin la posibilidad de compartir recursos entre los usuarios, que
compromete no solo al procesados sino tambin a:
Memoria.
Dispositivo de entrada y salida.
Programas.
Datos.

Proteccin de los datos

La seguridad fsica tambin implica una proteccin a la informacin de nuestro sistema, tanto
a la que est almacenada en l como a la que se transmite entre diferentes equipos.
Hay ciertos aspectos a tener en cuenta a la hora de disear una poltica de seguridad fsica
que afectan principalmente, aparte de los elementos fsicos y a los datos de nuestra
organizacin; existen ataques cuyo objetivo no es destruir el medio fsico de nuestro sistema,
sino simplemente conseguir la informacin almacenada en dicho medio.

Seguridad Integral de un Centro de Cmputos

Backups
Es la proteccin de los diferentes medios donde residen las copias de seguridad. Hay que tener
presente que si las copias contienen toda la informacin hay que protegerla igual que a los
sistemas.
Un error habitual es almacenar los dispositivos de backup en lugares muy cercanos a la sala de
operaciones, esto puede resultar correcto y cmodo si necesitamos restaurar unos archivos
pero puede convertirse en un problema, por ejemplo si se produce un incendio de grandes
dimensiones, tendremos tambin el problema de perder todos nuestros equipos y los datos
almacenados en los discos como los guardados en backups.
Por eso, resulta recomendable guardar las copias de seguridad en una zona alejada de la sala
de operaciones, que aunque descentralicemos, la seguridad.
Es comn etiquetar las cintas donde se hace copias de seguridad con abundante informacin
sobre su contenido (sistemas de ficheros almacenados, da y hora de la realizacin,...) esto
traera como ventaja un fcil acceso y la desventaja que cualquier persona ajena que
ingrese encuentre el backup deseado.
Al etiquetar las copias es conveniente hacerlo con cierta codificacin que solo conozcan las
personas responsables

Seguridad Integral de un Centro de Cmputos

Seleccin de una Contrasea Segura
Cdigo de acceso:
En informtica una combinacin nica de caracteres por lo general letras o nmeros
utilizada en las comunicaciones como medio de identificacin para tener acceso
a un equipo, sea remoto o no; el cdigo de acceso suele referirse al nombre o a
la identidad del usuario o su contrasea.
Al elegir una contrasea, se debe tener presente que se trata de asegurar que
nadie pueda adivinarla. Si alguien conoce su contrasea, podr iniciar una
sesin y obtener acceso a sus archivos.
En esta seccin, se facilitan recomendaciones sobre la forma de seleccionar y
proteger la contrasea.
Dichas recomendaciones son de especial trascendencia si se trabaja con
documentos confidenciales.

Seguridad Integral de un Centro de Cmputos

Qu es una contrasea segura?
Al seleccionar una contrasea en un entorno seguro adopte las siguientes pautas:
Elija una contrasea que no se asocie abiertamente a usted (su vida personal o
profesional, sus aficiones y otras por el estilo):
No utilice su nombre, el nombre de su cnyuge, los nombres de sus hijos ni los
nombres de sus mascotas, el nombre de su calle ni la marca de su automvil,
nmeros de telfono ni fechas especiales
Elija una contrasea que no conste en el diccionario (deletreada al derecho o al
revs). Los programas para descifrar contraseas pueden utilizar listas de
palabras de los diccionarios.

Seguridad Integral de un Centro de Cmputos

Seguridad Fsica
Seguridad fsica de los sistemas
Segn la seguridad fsica de los sistemas informticos consiste en la aplicacin de barreras
fsicas y procedimientos de control como medidas de prevencin y contramedidas contra las
amenazas a los recursos y la informacin confidencial.
Por `seguridad fsica' podemos entender todos aquellos mecanismos - generalmente de
prevencin y deteccin - destinados a proteger fsicamente cualquier recurso del sistema;
estos recursos son desde un simple teclado hasta una cinta de backup con toda la
informacin que hay en el sistema, pasando por la propia CPU de la mquina.
Desgraciadamente, la seguridad fsica es un aspecto olvidado con demasiada frecuencia a la
hora de hablar de seguridad informtica en general; en muchas organizaciones se suelen
tomar medidas para prevenir o detectar accesos no autorizados o negaciones de servicio,
pero rara vez para prevenir la accin de un atacante que intenta acceder fsicamente a la
sala de operaciones o al lugar donde se depositan las impresiones del sistema.
Esto motiva que en determinadas situaciones un atacante se decline por aprovechar
vulnerabilidades fsicas en lugar de lgicas, ya que posiblemente le sea ms fcil robar una
cinta con una imagen completa del sistema que intentar acceder a l mediante fallos en el
software., si no tenemos en cuenta factores fsicos, los esfuerzos para proteger nuestra
informacin no van a servir de nada.

Seguridad Integral de un Centro de Cmputos

Objetivo de la Seguridad Fsica
El objetivo es el de proteger los sistemas tanto en la parte de hardware, software,
documentacin y medios magnticos de los riesgos por prdidas, extravos o por daos
fsicos.
As mismo de los potenciales riesgos se pueden dar en el acceso de personal no autorizado sin
los controles adecuados de seguridad fsica; en los incendios; en las interrupciones de
energa elctrica; en inundaciones por filtraciones de agua y, en los controles de acceso
lgico

Aspectos que involucran la Seguridad Fsica

La seguridad fsica involucra como mnimo los siguientes aspectos:
1. Control de Acceso
2. Seguridad contra Incendios
3. Suministro de Energa
4. Aire Acondicionado
5. Deteccin de Agua
6. Cableado
7. Entre Otros

Seguridad Integral de un Centro de Cmputos

Seguridad fsica de los sistemas
1 - Control de Acceso
Las movilizaciones de equipos o medios magnticos deben ser realizadas slo por personal
autorizada y deben seguir el procedimiento de control de movilizaciones de equipos.
Las empresas deben contemplar controles adecuadamente razonables para evitar el acceso de
individuos e incluso de personal "no autorizado" al centro de procesamiento o a las reas de
manejo de datos o informacin oficial y exclusiva.
Estos sistemas de Seguridad deben contemplar el uso de claves de seguridad a ser ingresadas
a travs de un componente electrnico ubicada en cada rea o por medio del uso de una
tarjeta plstica codificada. La asignacin de claves debe ser modificadas peridicamente
para evitar cualquier infiltracin dentro del archivo maestro de claves o el otorgamiento de
las mismas entre usuarios.

Seguridad Integral de un Centro de Cmputos

Seguridad contra incendios y humo
Un simple cortocircuito o un equipo que se calienta demasiado pueden
convertirse en la causa directa de un incendio en el edificio.
Un mtodo efectivo contra los incendios son los extintores situados en el techo, que
se activan automticamente al detectar humo o calor.
El humo, un potente abrasivo que ataca especialmente los discos magnticos y
pticos, pero hemos de recordar que puede existir humo sin necesidad de que
haya un fuego. Lo ms recomendable en estos casos es evacuar el lugar del
incendio y dejar su control en manos de personal especializado

Seguridad Integral de un Centro de Cmputos

Las 10 leyes de seguridad.
Ley #1: Si un intruso lo puede persuadir para que usted ejecute el programa de l

en su computadora, sta ya deja de ser su computadora.

Ley #2: Si un intruso puede alterar el sistema operativo de su computadora, sta ya
deja de ser su computadora.
Ley #3: Si un intruso tiene acceso fsico sin restriccin a su computadora, sta ya no
es su computadora.
Ley #4: Si usted le permite a un intruso subir programas a su sitio Web, ste deja de
ser suyo.
Ley #5: Las contraseas dbiles atentan contra la seguridad fuerte.
Ley #6: Una mquina es tan segura como confiable sea el administrador
Ley #7: Los datos encriptados son tan seguros como la clave de desencriptacin.
Ley #8: Un escner de virus desactualizado slo es ligeramente mejor que ningn
escner de virus en absoluto.
Ley #9: El anonimato absoluto no es prctico, ni en la vida real ni en la Web
Ley #10: La tecnologa no es una panacea.

Seguridad Integral de un Centro de Cmputos

Retos actuales para la seguridad dentro de las organizaciones.

Las organizaciones y las personas en general fallan por ingenuas.

Inconcientemente facilitan sus claves de correo o de acceso a un sistema a otras
personas sin considerar que esto puede causar incidentes graves a la seguridad
como robo de informacin o suplantacin de usuarios.

No hay suficiente personal capacitado en el tema.

No es claro quin responde por qu en cuanto a seguridad dentro de una
organizacin.
Falta legislacin especfica sobre seguridad que considere los delitos informticos
y sus implicaciones.

Seguridad Integral de un Centro de Cmputos

Ciclo de vida de la Seguridad

La implantacin de un proyecto de seguridad informtica dentro de una
organizacin implica varias etapas, como se indica a continuacin:
Amenaza
Poltica
Especificacin
Diseo
Implementacin
Operacin y Mantenimiento

Seguridad Integral de un Centro de Cmputos

Recordamos una de las leyes de mayor validez en la informtica, la

"Ley de Murphy":
- Si un archivo puede borrarse, se borrar.
- Si dos archivos pueden borrarse, se borrar el ms importante.
- Si tenemos una copia de seguridad, no estar lo suficientemente
actualizada.
La nica solucin es tener copias de seguridad, actualizarlas con
frecuencia y esperar que no deban usarse.

Seguridad Integral de un Centro de Cmputos

Se pueden adoptar diferentes estrategias respecto a la forma de la
copia, que condicionan el volumen de informacin a copiar, para
ello la copia puede ser:
Copiar slo los datos, poco recomendable, ya que en caso de incidencia, ser
preciso recuperar el entorno que proporcionan los programas para acceder a los
mismos, influye negativamente en el plazo de recuperacin del sistema.
Copia completa, recomendable, si el soporte, tiempo de copia y frecuencia lo
permiten, incluye una copia de datos y programas, restaurando el sistema al
momento anterior a la copia.
Copia incremental, solamente se almacenan las modificaciones realizadas desde
la ltima copia de seguridad, con lo que es necesario mantener la copia original
sobre la que restaurar el resto de copias.
Copia diferencial, como la incremental, pero en vez de solamente
modificaciones, se almacenan los ficheros completos que han sido modificados.
Tambin necesita la copia original.