• Author / Uploaded
• JoseLuisRubiano

Citation preview

1 Actividad Evaluativa - EJE 4

Integrantes: José Luis Rubiano Mendoza Cristian Elías Rodríguez Romero Andrés Santiago Rodríguez Romero

Fundación Universitaria del Área Andina Sistemas Gestión en Seguridad Informática

Docente: Jenny Arcos Hernández

Ingeniería de Sistemas Septiembre 2020

2 Introducción

La seguridad en la infraestructura tecnológica de las empresas se ha convertido en uno de los principales puntos de importancia, ya que de ella depende en gran medida la seguridad de la información, por ello es conveniente mantener ciertos estándares de seguridad y poder planificar actividades para la mitigación de fallos en la misma.

Es importante realizar evaluaciones periódicamente en busca de vulneraciones y también poder identificar fallas que posiblemente personas con malas intenciones puedan utilizar a su favor, cabe destacar que hay entidades tanto privadas como del estado las cuales bridan modelos a seguir en busca de prevención antes posibles ataques.

Plantear estrategias se seguridad frente a amenazas es una muy buena práctica que nos permite orientar o tener una guía antes posibles situaciones con riesgos de seguridad a nivel informático.

3 Introduction

The security in the technological infrastructure of the companies has become one of the main points of importance, since the security of the information depends on it to a great extent, for that reason it is convenient to maintain certain standards of security and to be able to plan activities for the mitigation of failures in the same one.

It is important to carry out periodic evaluations in search of violations and also to be able to identify flaws that possibly people with bad intentions can use in their favor. It is worth noting that there are both private and state entities which provide models to follow in search of prevention before possible attacks.

Proposing security strategies against threats is a very good practice that allows us to guide or have a guide before possible situations with security risks at the computer level.

4

Objetivos

-

General Dar a conocer los diferentes tipos de vulnerabilidades que se pueden encontrar y llegar a afectar la estructura tecnológica de una empresa.

-

Específicos Conocer la tipología de la red, como trabaja, sus dispositivos, etc. Identificar soluciones a posibles amenazas presentes en la red. Aplicar estándares de seguridad tecnológica en la empresa

5 Objectives

-

General To publicize the different types of vulnerabilities that can be found and affect the technological structure of a company.

-

Specific Know the typology of the network, how it works, its devices, etc. Identify solutions to possible threats on the network. Apply technological security standards in the company

6

Actividad Instrucciones • Elabore un análisis de las vulnerabilidades de la red en la que ha venido trabajando. • Analice las posibles amenazas que pueden llegar a afectar el funcionamiento de la compañía. • Desarrolle un plan de gestión de riesgos de seguridad informática (de acuerdo a la ISO 27005 y a la Guía 7 del ministerio de TIC), en donde para cada amenaza y vulnerabilidad se genere un plan de acción que minimice el impacto. • Entregar informe y evidencia del trabajo desarrollado, cada estudiante debe realizar la entrega de la actividad.

 

7

Activity

Instructions

• Prepare an analysis of the vulnerabilities of the network you have been working on.

• Analyze the possible threats that could affect the functioning of the company.

• Develop a computer security risk management plan (according to ISO 27005 and Guide 7 of the Ministry of ICT), where for each threat and vulnerability an action plan is generated to minimize the impact.

• Deliver report and evidence of the work developed, each student must perform the delivery of the activity.

8

Desarrollo

1. Elaborar un análisis de las vulnerabilidades de una red informática preferiblemente empresarial, incluyendo topología y cantidad de equipos conectados.

Solución: El análisis se realizó a una empresa la cual su área de trabajo es el servicio de call center, la contratan empresas x para que realice su servicio de soporte y ayuda, la empresa es joven pero actualmente su mercado tienda a ampliare. Su red informática es de topología (Anillo-Mixta), es una empresa pequeña pero ya tiene un servicio de sistema montando, donde maneja toda la operaciones desde una oficina central, esta empresa cuenta con un servidor, un router, 14 switch, ya que la empresa esta divida en dos áreas, una de las áreas es en anillo, donde se encuentran instalados 3 computadores que es donde se encuentran los jefes de área y coordinan la empresa, en la otra área donde es mixta, se encuentran instalados 6 computadores, es el área donde se manejan los soportes (call center), todos los equipos se encuentran con una dirección ip fija, ya que de esta manera todos van conectados al servidor principal.

9

Development

1. Prepare an analysis of the vulnerabilities of a computer network, preferably an enterprise one, including topology and number of connected computers.

Solution: The analysis was carried out on a company whose area of work is the call center service, it is hired by companies x to perform their support and help service, the company is young but currently its market is expanding. Its computer network is topology (Ring-Mixed), is a small company but already has a system service mounting, where it manages all operations from a central office, this company has a server, a router, 14 switch, as the company is divided into two areas, one of the areas is ring, where 3 computers are installed which is where the heads of area and coordinate the company, in the other area where it is mixed, 6 computers are installed, is the area where the supports are handled (call center), all the equipment is with a fixed ip address, since this way all are connected to the main server.

10

Tipología:

Fuente: Propia

La matriz de riesgos y amenazas con su respectivo plan de acción y métodos de prevención están en el archivo Excel que esta junto a este en el comprimido de la actividad. The risk and threat matrix with its respective action plan and prevention methods is in the Excel file next to it in the activity tablet.

11

Conclusiones

En conclusión, es necesario en cualquier compañía realice siempre las respectivas copias de seguridad en el menor tiempo posible, ya que, de esta manera en caso de una vulneración del sistema, este se pueda recuperar lo más pronto posible Para concluir se deben realizar capacitaciones o charlas de la importancia de la seguridad de los datos en la empresa, intentando mitigar y disminuir los posibles ataques que la empresa pueda tener a futuro. Es importante que tengamos nuestro personal capacitado y tener planes de contingencia en tal caso que se presente un ataque, manejar muy bien los archivos que ejecutamos en ordenadores de la red empresarial, además del correo tener filtros que detecten los archivos maliciosos, siempre estar actualizando nuestros sistemas para obtener los parches de seguridad por parte de los fabricantes. Es importante mantener planes de acción para mitigar el daño que pueden llegar a presentar las diferentes amenazas para los sistemas, es una buena práctica, ya que si de alguna forman logran vulnerar la seguridad de la empresa, se sabe con certeza que procedimientos seguir en cada caso.

12

Conclusions In conclusion, it is necessary in any company to always make the respective backups in the shortest time possible, since, in this way, in case of a system violation, it can be recovered as soon as possible To conclude, training or talks should be held on the importance of data security in the company, trying to mitigate and reduce possible attacks that the company may have in the future. It is important that we have our staff trained and have contingency plans in the event of an attack, handle the files we run on computers in the corporate network very well, in addition to the mail have filters that detect malicious files, always be updating our systems to obtain security patches by manufacturers. It is important to maintain action plans to mitigate the damage that different threats can present to systems. This is good practice, as if any of them manage to compromise the company's security, we know for sure what procedures to follow in each case.

13

Lista de referencias

Michely Lopez. (18 enero de 2016). cisco packet tracer - como configurar puertos de seguridad tutorial 1. 2020, septiembre 12, de https://www.youtube.com/ Recuperado de https://www.youtube.com/watch?v=WTE1Wat9vH0 Mintic. (15 diciembre de 2010). Seguridad y Privacidad de la información. 2020, septiembre 12, de https://www.mintic.gov.co/ Recuperado de https://www.mintic.gov.co/gestionti/615/articles5482_Modelo_de_Seguridad_Privacidad.pdf Mintic. (15 diciembre de 2010). Guía para la Implementación de Seguridad de la Información en una MIPYME.. 2020, septiembre 12, de https://www.mintic.gov.co/ Recuperado de https://www.mintic.gov.co/gestionti/615/articles5482_Guia_Seguridad_informacion_Mypimes.pdf Javier Ortiz Zamora. (Desconocido). INTRODUCCIÓN A LAS REDES. 2020, septiembre 12, de https://publicaciones.ua.es/ Recuperado de https://publicaciones.ua.es/files/detalles/9293139788497174510_fragment.pdf Ecured. (Desconocido). Plan de contingencia en seguridad Informática. 2020, septiembre 26, de https://www.ecured.cu/ Recuperado de https://www.ecured.cu/Plan_de_contingencia_en_seguridad_Inform%C3%A1tica

14

Reference List Michely Lopez. (18 January 2016). cisco packet tracer - how to configure security ports tutorial 1. 2020, September 12, from https://www.youtube.com/ Retrieved from https://www.youtube.com/watch?v=WTE1Wat9vH0 Mintic. (15 December 2010). Information Security and Privacy. 2020, September 12, from https://www.mintic.gov.co/ Retrieved from https://www.mintic.gov.co/gestionti/615/articles5482_Modelo_de_Seguridad_Privacidad. pdf Mintic. (15 December 2010). Guide for the Implementation of Information Security in a MSMEs. 2020, September 12, from https://www.mintic.gov.co/ Retrieved from https://www.mintic.gov.co/gestionti/615/articles5482_Guia_Seguridad_informacion_My pimes.pdf Javier Ortiz Zamora. (Unknown). INTRODUCTION TO THE NETWORKS. 2020, September 12, from https://publicaciones.ua.es/ Retrieved from https://publicaciones.ua.es/files/detalles/9293139788497174510_fragment.pdf Ecured. (Unknown). Contingency plan in computer security. 2020, September 26, from https://www.ecured.cu/ Retrieved from https://www.ecured.cu/Plan_de_contingencia_en_seguridad_Inform%C3%A1tica