• Author / Uploaded
• gattaca25baker

Citation preview

Escuela de Ciencia y Tecnología Facultad de Ingeniería DESARROLLO DE REDES IV.

“METODOLOGIA DE ANALISIS DE RIESGO DE LA EMPRESA LA

CASA DE LAS BATERIAS S.A DE C.V”

Catedrático: Ing. Rodrigo Torres

INTEGRANTES: Arévalo Bernal, Oscar William

25-0610-2002

Escalante Solórzano, Katia Elizabeth

25-3394-2003

Guevara Ruano, Nancy Elizabeth

25-0592-2003

Jiménez Hernández, Miguel Ángel

25-3405-2002

Montoya López, Ana Beatriz

25-2382-2003

Orellana Meléndez, José Hernán

25-1005-1999

Sección : 01

San Salvador, 21 de Mayo del 2009

Análisis de Riesgo de la Seguridad Informática.

INDICE. Pagina Introducción Objetivos

6

Marco Teórico

7

Determinación de la probabilidad

11

Identificación de las vulnerabilidades

11

Identificación de amenazas

12

Limitantes del análisis de riesgo

13

Priorización de riesgos

14

Planteamiento del Problema

15

Descripción de la empresa

15

Misión

15

Visión

15

Políticas

16

Organigrama de la empresa

16

Organización interna de la empresa

17

Planteamiento del problema

17

Descripción de la metodología utilizada.

18

Análisis de Riesgo

18

Paso 1: Activos

19

Tipos de Activos a determinar

20

Dependencias

20

Dimensiones de Valoración

21

Valoración

23

2

Análisis de Riesgo de la Seguridad Informática.

Paso 2: Amenazas

23

Tipos de Amenazas a determinar

23

Valoración de las amenazas

24

Paso 3: Determinación del impacto.

25

Paso 4: Determinación del riesgo

26

Desarrollo de la Metodología

27

Entrevistas

27

Tablas de inventario de activos

32

Tablas de Amenazas y Vulnerabilidades

35

Análisis de riesgos e impactos

43

Conclusiones

44

Glosario

46

Bibliografía

48

3

Análisis de Riesgo de la Seguridad Informática.

INTRODUCCIÓ N En el presente trabajo se ha realizado la documentación sobre una consultoría de seguridad en la empresa “LA CASA DE LAS BATERIAS S.A DE C.V”. La cual se encuentra ubicada en el lugar (parte de la dirección) siendo el principal rubro (actividad a la que se dedica). Para llevar a cabo la investigación se hizo uso de diferentes técnicas de recolección de información como entrevistas a encargados del área de informática para determinar diversos factores que intervienen como vulnerabilidades, amenazas, entre otros. En la

seguridad

de

la empresa antes mencionada se ha desarrollado la

Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información, en este informe detallamos tanto

información

general

como específica sobre lo que se refiere esta metodología llamada Magerit, elaborado por el Ministerio español de Administraciones Públicas, Dado su carácter abierto que también se utiliza fuera de la Administración. En la primera parte del Marco Teórico se incluye fundamentos teóricos sobre diferentes conceptos como lo son riesgo, vulnerabilidades, amenazas entre otros conceptos teóricos que son de mucha importancia para el desarrollo de esta consultoría además para determinar qué factores están afectando de forma directa o indirecta en la empresa para lograr tener una calidad en la seguridad tanto física como seguridad lógica para lograr cumplir con los objetivos de la seguridad entre los cuales cuenta con confidencialidad, integridad y disponibilidad. En la segunda parte se da una explicación de forma breve pero detallada sobre el planteamiento del problema entre la cual se incluyen aspectos fundamentales sobre la explicación de la organización de la empresa, la situación actual de la empresa, tipo de rubro a la cual se dedica la empresa, así como también la área de negocio procesos de la organización además se incluye parte de los problemas de seguridad los cuales han sido verificados por parte del grupo de consultores como planteados por la empresa.

En la tercera parte se da a conocer de forma detallada la documentación técnica de la metodología a seguir para el desarrollo de la consultoría con la diferencia que en esta parte se da a conocer de forma más explícita con

la cual se

pretende entre otros aspectos hacer que los responsables de los sistemas de información tanto de la existencia de riesgos y de la necesidad de

4

Análisis de Riesgo de la Seguridad Informática.

Tratar a tiempo. Dichos inconvenientes para lograr obtener una certificación o una acreditación según sea el caso. Esta metodología se basa en tres libros los cuales están detallados de forma específica sus principales funciones así como las normativas ISO de las cuales se basan o se rigen. También planteamos el análisis de riesgos que desarrollaremos el cual nos permite determinar qué tiene la Organización y estimar lo que podría pasar de forma metódicamente. Así

como

los

Elementos

que

intervienen

como

son

los

Activos,

elementos del sistema de información que aportan valor a la organización, las Amenazas que son cosas que perjudican a la organización; para evitar estos inconvenientes hay que tomar medidas para salvaguardar dichos activos con el desarrollo de este podremos determinar elementos para medir el riesgo por el cual se está enfrentando o se pueda enfrentar así como también el impacto que podría suceder si se dieran dichos inconvenientes para esto determinamos una serie de pasos los cuales se llevaran a cabo determinación

del

análisis

de

riesgos

en

la

para

una

implementación

correcta de

la

metodología. La cual se desarrolla en la cuarta parte según lo que se ha presentado en por parte de la empresa para la cual se está desarrollando esta consultoría en la cual ya se identificaron parte de los riesgos y vulnerabilidades descubiertos por parte del grupo de consultores y están detallados en esta parte del documento. Además se ha brinda una parte de las conclusiones que se han tomado aunque estas de forma general ya que se espera realizarlo de forma específica para la culminación de esta consultoría la cual está siendo desarrollada hasta el momento y será culminada hasta el próximo avance.

5

Análisis de Riesgo de la Seguridad Informática.

OBJETIVOS Objetivo General: Desarrollar una consultoría de seguridad en la empresa “LA CASA DE LAS BATERIAS, S.A DE C.V” para determinar diversos factores que intervienen

para lograr mejorar la seguridad de la información en la organización.

Objetivos Espe cíficos:

Conocer de forma detallada la metodología que se implementara para realizar una correcta consultoría de seguridad a la empresa. Implementar de forma correcta y eficiente la Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información, Magerit la cual será desarrollada por parte del grupo de consultores de seguridad. Realizar un planteamiento de análisis de Riesgos de seguridad con miras a identificar vulnerabilidades así como también los riesgos potenciales y políticas de la empresa Brindar un informe detallado en el cual se brindaran soluciones específicas para aplacar con los riesgos o amenazas con el fin de minimizar los ataques a los que enfrenta la empresa. Formular en base al análisis de riesgos de quien se debe proteger los activos de la empresa ya sean estos usuarios inexpertos como atacantes externos, además de las aplicaciones a las

cuales se debe tener usos restringidos considerados como fundamentales para la organización.

6

Análisis de Riesgo de la Seguridad Informática.

1.0 MARCO TEORICO El concepto de riesgo está presente en la totalidad de las actividades que realiza el ser humano, por lo que antes de implementar cualquier mecanismo de seguridad (software, hardware, política, etc.) en las Tecnologías de la Información, es necesario conocer la prioridad de aplicación y que tipo de medida podemos aplicar. El análisis de riesgos es el primer paso de la seguridad informática. Riesgo: es un evento, el cual es incierto y tiene un impacto negativo. También se puede definir como la posibilidad de sufrir un daño por la exposición a un peligro y peligro: es la fuente del riesgo y se refiere a una substancia o a una acción que puede causar daño. Las metodologías de análisis de riesgos existentes describen sus etapas en forma teórica, se presentan pocos ejemplos o es necesario una herramienta para realizarlo, cuyo costo normalmente es elevado. Por lo anterior es necesario establecer una metodología cualitativa práctica para realizar un análisis de riesgos a las áreas de TI, estableciendo cómo puede ejecutarse el análisis. Análisis de riesgo: es el proceso cuantitativo o cualitativo que permite evaluar los riesgos. El primer paso del análisis es identificar los activos a proteger o evaluar. La evaluación de riesgos involucra comparar el nivel de riesgo detectado durante el proceso de análisis con criterios de riesgo establecidos previamente. La función de la evaluación consiste en ayudar a alcanzar un nivel razonable de consenso en torno a los objetivos en cuestión, y asegurar un nivel mínimo que permita desarrollar indicadores operacionales a partir de los cuales medir y evaluar. Los resultados obtenidos del análisis, van a permitir aplicar alguno de los métodos para el tratamiento de los riesgos, que involucra identificar el conjunto de opciones que existen para tratar los riesgos, evaluarlas, preparar planes para este tratamiento y ejecutarlos. Dentro del tema de análisis de riesgo se ven reflejados cinco elementos muy importantes dentro del concepto estos son los siguientes: probabilidad, amenazas, vulnerabilidades, activos e impactos. Probabilid ad Vulnerabilida des

Amenazas Activos

Impactos

7

Análisis de Riesgo de la Seguridad Informática.

PROBABILIDAD: establecer la probabilidad de ocurrencia puede realizarse de manera cuantitativa o cualitativa, pero siempre considerando que la medida no debe contemplar la existencia de ninguna acción paliativa, o sea, debe considerarse en cada caso qué posibilidades existen que la amenaza se presente independientemente del hecho que sea o no contrarrestada. Existen amenazas, como por ejemplo incendios, para las cuales hay información suficiente (series históricas, compañías de seguros y otros datos) para establecer con razonable objetividad su probabilidad de ocurrencia. Otras amenazas presentan mayor dificultad en establecer cuantitativamente la probabilidad. Por ejemplo, el acceso no autorizado a datos; dónde se hacen estimaciones sobre la base de experiencias. AMENAZAS: las amenazas siempre existen y son aquellas acciones que pueden ocasionar consecuencias negativas en la operativa de la empresa. Comúnmente se indican como amenazas a las fallas, a los ingresos no autorizados, a los virus, uso inadecuado de software, los desastresambientales como terremotos o inundaciones, accesos no autorizados, facilidad de acceso a las instalaciones, etc. Las amenazas pueden ser de carácter físico o lógico, como ser una inundación en el primer caso, o un acceso no autorizado a una base de datos en el segundo caso. VULNERABILIDADES: son ciertas condiciones inherentes a los activos o presentes en su entorno que facilitan que las amenazas se materialicen llevan a esos activos a ser vulnerables. Mediante el uso de las debilidades existentes es que las amenazas logran materializarse, o sea, las amenazas siempre están presentes, pero sin la identificación de una vulnerabilidad no podrán ocasionar ningún impacto. Estas vulnerabilidades son de naturaleza variada. A modo de ejemplo se citan las siguientes: falta de conocimiento del usuario, tecnología inadecuadamente probada (“testeada”), transmisión por redes públicas, etc. Una vulnerabilidad común es contar con antivirus no actualizado, la cual permitirá al virus actuar y ocasionar daños. Si el antivirus estuviese actualizado la amenaza (virus) si bien potencialmente seguiría existiendo no podría materializarse. ACTIVOS: Los activos a reconocer son aquellos relacionados con sistemas de información. Ejemplos típicos son los datos, el hardware, el software, servicios, documentos, edificios y recursos humanos.

IMPACTOS: las consecuencias de la ocurrencia de las distintas amenazas son siempre negativas. Las pérdidas generadas pueden ser financieras, no financieras, de corto plazo o de largo plazo. 8

Análisis de Riesgo de la Seguridad Informática.

Se puede establecer que las más comunes son: la pérdida directa de dinero, la pérdida de confianza, la reducción de la eficiencia y la pérdida de oportunidades de negocio. Otras no tan comunes, felizmente, son la pérdida de vidas humanas, afectación del medio ambiente, etc. Las amenazas se pueden convertir en realidad a través de fallas de seguridad, que conocemos como vulnerabilidades y que deben ser eliminadas al máximo para que el ambiente que se desea proteger esté libre de riesgos de incidentes de seguridad. Por lo tanto, la relación entre amenaza-incidente-impacto, es la condición principal a tomar en cuenta en el momento de priorizar acciones de seguridad para la corrección de los activos que se desean proteger y deben ser siempre considerados cuando se realiza un análisis de riesgos. A continuación presentamos un esquema de la relación que existe en los elementos antes mencionados.

Aprovechan las vulnerabilidades encontradas en nuestros sistemas y que se convierten en:

Que originan

Incidentes

Los impactos pueden ser desastrosos, según su amplitud y gravedad.

Son los hechos que deben ser evitados en una organización, puesto que causan impacto a los negocios. En virtud de la acción de un agente o condición natural, que son las amenazas en sí mismas, los incidentes generan una serie de problemas que pueden afectar los principios de la seguridad de la información.

9

Sin importar el tipo de incidente, lo importante es evaluar el impacto que puede causar en los diferentes activos de la empresa.

Análisis de Riesgo de la Seguridad de la Información

El activo más importante que se posee es la información y, por lo tanto, deben existir técnicas que la aseguren, más allá de la seguridad física que se establezca sobre los equipos en los cuales se almacena. Estas técnicas las brinda la seguridad lógica que consiste en la aplicación de barreras y procedimientos que resguardan el acceso a los datos y sólo permiten acceder a ellos a las personas autorizadas para hacerlo. Existe un viejo dicho en la seguridad informática que dicta: "lo que no está permitido debe estar prohibido" y ésta debe ser la meta perseguida. Los medios para conseguirlo son: 1. Restringir el acceso (de personas de la organización y de las que no lo son) a los programas y archivos. 2. Asegurar que los operadores puedan trabajar pero que no puedan modificar los programas ni los archivos que no correspondan (sin una supervisión minuciosa). 3. Asegurar que se utilicen los datos, archivos y programas correctos en/y/por el procedimiento elegido. 4. Asegurar que la información transmitida sea la misma que reciba el destinatario al cual se ha enviado y que no le llegue a otro. 5. Asegurar que existan sistemas y pasos de emergencia alternativos de transmisión entre diferentes puntos. 6. Organizar a cada uno de los empleados por jerarquía informática, con claves distintas y permisos bien establecidos, en todos y cada uno de los sistemas o aplicaciones empleadas. 7. Actualizar constantemente las contraseñas de accesos a los sistemas de cómputo. Una vez que la programación y el funcionamiento de un dispositivo de almacenamiento (o transmisión) de la información se consideran seguras, todavía deben ser tenidos en cuenta las circunstancias "no informáticas" que pueden afectar a los datos, las cuales son a menudo imprevisibles o inevitables, de modo que la única protección posible es la redundancia (en el caso de los datos) y la descentralización -por ejemplo mediante estructura de redes- (en el caso de las comunicaciones). Estos fenómenos pueden ser causados por:

El usuario: causa del mayor problema ligado a la seguridad de un sistema informático (porque no le importa, no se da cuenta o a propósito). Programas maliciosos: programas destinados a perjudicar o a hacer un uso ilícito de los recursos del sistema. Es instalado (por inatención o maldad) en el ordenador abriendo una puerta a intrusos o bien modificando los datos. Estos

10

Análisis de Riesgo de la Seguridad de la Información

programas pueden ser un virus informático, un gusano informático, un troyano, una bomba lógica o un programa espía o Spyware. Un intruso: persona que consigue acceder a los datos o programas de los cuales no tiene acceso permitido (cracker, defacer, script kiddie o Script boy, viruxer, etc.). Un siniestro (robo, incendio, por agua): una mala manipulación o una mal intención derivan a la pérdida del material o de los archivos. El personal interno de Sistemas. La competencia del poder que llevan a disociaciones entre los sectores y soluciones incompatibles para la seguridad informática.

1.1 Determinación de la probabilidad. Con el fin de derivar una probabilidad o una estimación de la ocurrencia de un evento, los siguientes factores deben ser tomados en cuenta:

Fuente de la amenaza y su capacidad. Naturaleza de la vulnerabilidad. La probabilidad que una vulnerabilidad potencial pueda ser explotada por una fuente de amenaza la podemos clasificar en alta, media-alta, media, media-baja y baja.

1.2 Identificación de Vulnerabilidades. Para la identificación de vulnerabilidades sobre la plataforma de tecnología, se utilizan herramientas como listas de verificación y herramientas de software que determinan vulnerabilidades a nivel del sistema operativo y firewall: Seguridad Física.  Monitoreo ambiental  Control de acceso  Desastres naturales  Control de incendios

 Inundaciones Seguridad en las conexiones a Internet.  Políticas en el Firewall  VPN  Detección de intrusos Seguridad en la infraestructura de comunicaciones.  Routers 11

Análisis de Riesgo de la Seguridad de la Información

 Switch es  Firewa ll  Hubs  RAS Seguridad en Sistema Operacionales (Unix, Windows)  Correo Electrónico Seguridad en las aplicaciones Críticas  Se define las aplicaciones que son críticas para la organización y por cada una de ellas se obtendrá una matriz de riesgo. Es importante considerar que las aplicaciones están soportadas por: Sistemas operativos, hardware servidor, redes LAN y WAN, y el Centro de cómputo.

1.3 Identificación de A menazas. Una vez conocemos los recursos que debemos proteger y de identificar las vulnerabilidades es hora de identificar de igual manera las amenazas que se ciernen contra ellos. Una vulnerabilidad es cualquier situación que pueda desembocar en un problema de seguridad, y una amenaza es la acción específica que aprovecha una vulnerabilidad para crear un problema de seguridad; entre ambas existe una estrecha relación: sin vulnerabilidades no hay amenazas, y sin amenazas no hay vulnerabilidades. Se suelen dividir las amenazas que existen sobre los sistemas informáticos en tres grandes grupos, en función del ámbito o la forma en que se pueden producir: Desastres del entorno. Dentro de este grupo se incluyen todos los posibles problemas relacionados con la ubicación del entorno de trabajo informático o de la propia organización, así como con las personas que de una u otra forma están relacionadas con el mismo. Por ejemplo, se han de tener en cuenta desastres naturales (terremotos, inundaciones...), desastres producidos por elementos cercanos, como los cortes de fluido eléctrico, y peligros relacionados con operadores, programadores o usuarios del sistema. Amenazas en el sistema. Bajo esta denominación se contemplan todas las vulnerabilidades

de los equipos y su software que pueden acarrear amenazas a la seguridad, como fallos en el sistema operativo, medidas de protección que éste ofrece, fallos en los programas, copias de seguridad.

12

Análisis de Riesgo de la Seguridad de la Información

Amenazas en la red. Cada día es menos común que una máquina trabaje aislada de todas las demás; se tiende a comunicar equipos mediante redes locales, intranets o la propia Internet, y esta interconexión acarrea nuevas - y peligrosas - amenazas a la seguridad de los equipos, peligros que hasta el momento de la conexión no se suelen tener en cuenta. Por ejemplo, es necesario analizar aspectos relativos al cifrado de los datos en tránsito por la red, a proteger una red local del resto de internet, o a instalar sistemas de autenticación de usuarios remotos que necesitan acceder a ciertos recursos internos a la organización (como un investigador que conecta desde su casa a través de un módem). No siempre hemos de contemplar a las amenazas como actos intencionados contra nuestro sistema: muchos de los problemas pueden ser ocasionados por accidentes, desde un operador que derrama una taza de café sobre una terminal hasta un usuario que tropieza con el cable de alimentación de un servidor y lo desconecta de la línea eléctrica, pasando por temas como el borrado accidental de datos o los errores de programación; decir `no lo hice a propósito' no ayuda nada en estos casos. Por supuesto, tampoco tenemos que reducirnos a los accesos no autorizados al sistema: un usuario de nuestras máquinas puede intentar conseguir privilegios que no le corresponden, una persona externa a la organización puede lanzar un ataque de negación de servicio contra la misma sin necesidad de conocer ni siquiera un login y una contraseña, etc.

1.4 Limitantes del análisis de riesgo. En general, a pesar de que se han desarrollado muchas soluciones a los problemas de la seguridad en los sistemas de información, la apreciación general es que la inseguridad es un problema que no ha sido resuelto. La perspectiva parece poco optimista, principalmente debido a que los atacantes han pasado de ser aficionados en busca de notoriedad a criminales en busca de lucro. Posiblemente una de las principales razones por las cuales los problemas de seguridad informática no han sido resueltos es la aparición frecuente de nuevas amenazas. Como un ejemplo de esto es la evolución del malware: los virus altamente nocivos y de amplia difusión han dado lugar a botnets furtivos, de difícil detección y dirigidos a objetivos específicos. Precisamente una de las debilidades de las metodologías de análisis de riesgo es que parten de una visión estática de las amenazas así como de los controles requeridos para disminuir los riesgos. El ciclo de vida establecido para las arquitecturas de

seguridad informático suele ser demasiado extenso ante un entorno en cambio constante.

13

Análisis de Riesgo de la Seguridad de la Información

Los cambios en los riesgos que debe considerar una organización tienen dos orígenes: a) El surgimiento de nuevas amenazas. b) La adopción de nuevas tecnologías que da origen a riesgos no previstos. Todo sistema de información evoluciona, debido a la integración de hardware y software con características nuevas y más atractivas para los usuarios, así como al desarrollo de nuevas funcionalidades. Estos cambios abren la posibilidad de riesgos imprevistos y también pueden crear vulnerabilidades donde antes no existían.

1.5 Priorización De R iesgos. En este paso de la estimación de riesgos, se estiman su prioridad de forma que se tenga forma de centrar el esfuerzo para desarrollar la gestión de riesgos. Cuando se realiza la priorización (elementos de alto riesgo y pequeños riesgos), estos últimos no deben ser de gran preocupación, pues lo verdaderamente crítico se puede dejar en un segundo plano. Sin importar cual sea el proceso que se siga, el análisis de riesgos comprende los siguientes pasos: 1. Definir los activos informáticos a analizar. 2. Identificar las amenazas que pueden comprometer la seguridad de los activos. 3. Determinar la probabilidad de ocurrencia de las amenazas. 4. Determinar el impacto de las amenaza, con el objeto de establecer una priorización de las mismas. 5. Recomendar controles que disminuyan la probabilidad de los riesgos. 6. Documentar el proceso. Cuando ya hemos realizado este análisis no tenemos más que presentar nuestras cuentas a los responsables de la organización (o adecuarlas al presupuesto que un departamento destina a materias de seguridad), siempre teniendo en cuenta que el gasto de proteger un recurso ante una amenaza ha de ser inferior al gasto que se produciría si la amenaza se convirtiera en realidad. Hemos de tener siempre presente que los riesgos se pueden minimizar, pero nunca eliminarlos completamente, por lo que será recomendable planificar no sólo la prevención ante un problema sino también la recuperación si el mismo se produce; se suele hablar de medidas proactivas (aquellas que se toman para prevenir un problema) y medidas reactivas (aquellas que se toman cuando el daño se produce, para minimizar sus efectos).

14

Análisis de Riesgo de la Seguridad de la Información

2.0 Planteamiento Del Problema. ¿Por que hoy en día muchas de las empresas se encuentran vulnerables a diferentes tipos de amenazas tanto informáticas como físicas? El presente proyecto tiene como finalidad Desarrollar e implementar un análisis de riesgo de la seguridad informática de la empresa “LA CASA DE LAS BATERIAS, S.A DE C.V”

2.1 Descripción de la Empresa. La empresa “LA CASA DE LAS BATERIAS, S.A DE C.V” se encuentra ubicada en la Zona de San Salvador, es una mediana empresa que se dedican al COMERCIO DE BATERIAS Y ACCESORIOS, La Casa de las Baterías fue fundada en 1973 en Panamá, inicia operaciones en El Salvador en el 2008, con una variedad de productos para satisfacer las necesidades energéticas de este mercado. Cuentan con 2 Sucursales en El Salvador (1 en San Salvador y otra en San Miguel). 2 en Costa Rica y 13 en Panamá. La oferta que ellos ofrecen está respaldada por importantes marcas brindando a sus clientes productos de excelente calidad con el servicio, la atención y el asesoramiento técnico que ellos requieren.

2.1.1 Misión. Suplir la demanda de nuestros clientes en Panamá y Centroamérica a través del suministro oportuno de productos y servicios en el área de Baterías con todo el respaldo técnico requerido para garantizar su satisfacción.

2.1.2 Visión. Ser la empresa líder en el sector de las baterías en Centroamérica y Panamá, ofreciendo productos y servicios de alta

calidad.

15

Análisis de Riesgo de la Seguridad de la Información

2.1.3 Políticas. Nuestro compromiso con nuestros clientes es brindar un servicio integral: A nuestros clientes de distribución les brindaremos el respaldo requerido para la venta de nuestros productos. A nuestros clientes les brindamos asesoría técnica y un servicio integral en la revisión, venta e instalación de todo tipo de Baterías en nuestras instalaciones y en servicio a domicilio. En ambos casos, con un personal altamente capacitado y a un precio competitivo, cumpliendo y superando sus expectativas, mejorando continuamente el control de nuestros procesos por medio de un eficaz Sistema de Gestión de la Calidad para beneficio de la empresa, los clientes y colaboradores

2.1.4 Organigrama de la Emp resa.

Auditor Externo

16

Análisis de Riesgo de la Seguridad de la Información

2.1.4 Organización Interna de la Emp resa. Cuentan con aproximadamente con 30 empleados divididos en 4 departamentos. Poseen un equipo informático distribuido de la siguiente manera: 10 computadoras aproximadamente 3 en cada departamento. 5 impresoras 1 en cada departamento 5 Puntos de red 2 Fax y Fotocopiadora (multifunción) 3 Scanner 1 módems

2.2 Planteamiento del problema. Esta empresa ha ido presentando la siguiente problemática, ya que hasta este momento no habían contado con análisis de riesgo, para poder evaluar que tan vulnerable están sus equipos a las diferentes amenazas. Como también de no contar con un sistema de protección para sus equipos informáticos entre estos podemos mencionar (falta de up´s, como también no cuentan con antivirus, ni mucho menos firewall). Por otra parte se observo que el acceso a la información esta vulnerable ya que no se cuenta con una seguridad para permitir el acceso al equipo donde se encuentra la información importante. De continuar esta problemática la empresa corre riesgos de que todo su equipo se queme ya que no cuentan con un regulador de voltaje, al mismo tiempo que la información se pierda debido a que no existe las medidas de seguridad que se deben de implementar para la información importante, y un robo de información por la competencia, o por parte de empleados que manejen los recursos, entre otros riesgos que se presentaran mas adelante. Para más o menos contribuir a la solución de este problema se propone aplicar la metodología MAGERIT, a esta empresa para contrarrestar algunos de los problemas antes mencionados.

17

Análisis de Riesgo de la Seguridad de la Información

2.3 DESCRIPCIÓN DE L A METODOLOGÍA UTILIZADA.

MAGERIT – versión 2. Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información Magerit es una metodología de Análisis y Gestión de Riesgos de los Sistemas de Información elaborada por el Consejo Superior de Administración Electrónica de España para minimizar los riesgos de la implantación y uso de las Tecnologías de la Información, enfocada a las Administraciones Públicas. Actualmente está en su versión 2. El Consejo Superior de Administración Electrónica ha elaborado Magerit y promueve su utilización como respuesta a la percepción de que la Administración depende de forma creciente de las tecnologías de la información para el cumplimiento de su misión. La razón de ser de Magerit está directamente relacionada con la generalización del uso de los medios electrónicos, informáticos y telemáticos, que supone unos beneficios evidentes para los ciudadanos; pero también da lugar a ciertos riesgos que deben minimizarse con medidas de seguridad que generen confianza.

Hemos utilizado esta metodología, y la hemos adaptado a nuestras necesidades de trabajo para realizar un análisis de riesgos que sirva como diagnostico fiel a la empresa en estudio, para determinar su situación actual con respectó a la seguridad informática.

2.1 Análisis de Riesgos El análisis de riesgos es una aproximación metódica para determinar el riesgo siguiendo unos pasos pautados: 1. Determinar los activos relevantes para la Organización, su interrelación y su valor, en el sentido de qué perjuicio (coste) supondría su degradación. 2. Determinar a qué amenazas están expuestos aquellos activos 3. Estimar el impacto, definido como el daño sobre el activo derivado de la materialización de la amenaza. 4. Estimar el riesgo, definido como el impacto ponderado

con la tasa de ocurrencia (o expectativa de materialización) de la amenaza.

18

Análisis de Riesgo de la Seguridad de la Información

La siguiente figura recoge el análisis de riesgos, cuyos pasos se detallan en las siguientes secciones:

Paso 1: Activos El activo esencial es la información que maneja el sistema; o sea los datos. Y alrededor de estos datos se pueden identificar otros activos relevantes: Los servicios que se pueden prestar gracias a aquellos datos, y los servicios que se necesitan para poder gestionar dichos datos.

Las aplicaciones informáticas (software) que permiten manejar los datos. Los equipos informáticos (hardware) y que permiten hospedar datos, aplicaciones y servicios. Los soportes de información que son dispositivos de almacenamiento de datos. El equipamiento auxiliar que complementa el material informático. Las redes de comunicaciones que permiten intercambiar datos. Las instalaciones que acogen equipos informáticos y de comunicaciones. Las personas que explotan u operan todos los elementos anteriormente citados. 19

Análisis de Riesgo de la Seguridad de la Información

Tipos de activos a determinar: [D] Datos / Información Los datos son el corazón que permite a una organización prestar sus servicios. Son en cierto sentido un activo abstracto que será almacenado en equipos o soportes de información (normalmente agrupado en forma de bases de datos) o será transferido de un lugar a otro por los medios de transmisión de datos. [SW] Aplicaciones (software) Se refiere a tareas que han sido automatizadas para su desempeño por un equipo informático. Las aplicaciones gestionan, analizan y transforman los datos permitiendo la explotación de la información para la prestación de los servicio. [HW] Equipos informáticos (hardware) Bienes materiales, físicos, destinados a soportar directa o indirectamente los servicios que presta la organización, siendo pues depositarios temporales o permanentes de los datos soporte de ejecución de las aplicaciones informáticas o responsables del procesado o la transmisión de datos. [SI] Soportes de información Se consideran dispositivos físicos que permiten almacenar información de forma permanente o, al menos, durante largos periodos de tiempo. [AUX] Equipamiento auxiliar Se consideran otros equipos que sirven de soporte a los sistemas de información, sin estar directamente relacionados con datos.

Dependencias Aparece como importante el concepto de “dependencias entre activos” o la medida en que un activo superior se vería afectado por un incidente de seguridad en un activo inferior. Se dice que un “activo superior” depende de otro “activo inferior” cuando la materialización de una amenaza en el activo inferior tiene como consecuencia un perjuicio sobre el activo superior. Informalmente puede interpretarse que los activos inferiores son los pilares en los que se apoya la seguridad de los activos superiores.

20

Análisis de Riesgo de la Seguridad de la Información

Con frecuencia se puede estructurar el conjunto de activos en capas, donde las capas superiores dependen de las inferiores, para nuestro caso de estudio los niveles de dependencia son: Capa 1:  El sistema de información propiamente dicho  Equipos informáticos (hardware)  Aplicaciones (software)  Comunicaciones  Soportes de información: discos, cintas, etc.  Equipamiento Auxiliar Capa 2:  La información  Datos  Meta-datos: estructuras, índices, claves de cifra, etc.

Dimensiones de valoración Las dimensiones se utilizan para valorar las consecuencias de la materialización de una amenaza. La valoración que recibe un activo en una cierta dimensión es la medida del perjuicio para la organización si el activo se ve dañado en dicha dimensión. [D] Disponibilidad Aseguramiento de que los usuarios autorizados tienen acceso cuando lo requieran a la información y sus activos asociados. ¿Qué importancia tendría que el activo no estuviera disponible? Un activo tiene un gran valor desde el punto de vista de disponibilidad cuando si una amenaza afectara a su disponibilidad, las consecuencias serían graves. [I] Integridad de los datos Garantía de la exactitud y completitud de la información y los métodos de su procesamiento.

21

Análisis de Riesgo de la Seguridad de la Información

¿Qué importancia tendría que los datos fueran modificados fuera de control? Los datos reciben una alta valoración desde el punto de vista de integridad cuando su alteración, voluntaria o intencionada, causaría graves daños a la organización.

[C] confidencialidad de los datos Aseguramiento de que la información es accesible sólo para aquellos autorizados a tener acceso. ¿Qué importancia tendría que el dato fuera conocido por personas no autorizadas? Los datos reciben una alta valoración desde el punto de vista de confidencialidad cuando su revelación causaría graves daños a la organización.

[A_S] autenticidad de los usuarios del servicio Aseguramiento de la identidad u origen. ¿Qué importancia tendría que quien accede al servicio no sea realmente quien se cree? La autenticidad de los usuarios de un servicio es lo contrario de la oportunidad de fraude o uso no autorizado de un servicio.

[A_D] autenticidad del origen de los datos Aseguramiento de la identidad u origen. ¿Qué importancia tendría que los datos no fueran realmente imputables a quien se cree? Los datos reciben una elevada valoración desde el punto de vista de autenticidad del origen cuando un defecto de imputación causaría graves quebrantos a la organización. Típicamente, se habilita la oportunidad de repudio.

22

Análisis de Riesgo de la Seguridad de la Información

VALORACIÓN La valoración puede ser cuantitativa (con una cantidad numérica) o cualitativa (en alguna escala de niveles). Los criterios más importantes a respetar son:  Homogeneidad: Es importante poder comparar valores aunque sean de diferentes dimensiones a fin de poder combinar valores propios y valores acumulados, así como poder determinar si es más grave el daño en una dimensión o en otra.  Relatividad: Es importante poder relativizar el valor de un activo en comparación con otros activos. Se ha elegido una escala detallada de tres valores: Importancia del Activo Valor 3

Criterio Alto

2

De gran importancia a la organización Medio De importancia a la organización

1

Bajo

De menor importancia a la organización

Paso 2: Amen azas El siguiente paso consiste en determinar las amenazas que pueden afectar a cada activo. Las amenazas son “cosas que ocurren”. Y, de todo lo que puede ocurrir, interesa lo que puede pasarle a nuestros activos y causar un daño.

Tipos de amenazas a determin ar: [N] Desastres naturales Sucesos que pueden ocurrir sin intervención de los seres humanos como causa directa o indirecta. [I] De origen industrial Sucesos que pueden ocurrir de forma accidental, derivados de la actividad humana de tipo industrial.

Estas amenazas pueden darse de forma accidental o deliberada. 23

Análisis de Riesgo de la Seguridad de la Información

[A] Ataques intencionados Fallos deliberados causados por las personas. La numeración no es consecutiva para coordinarla con los errores no intencionados, muchas veces de naturaleza similar a los ataques deliberados, difiriendo únicamente en el propósito del sujeto. Para cada amenaza se presenta un cuadro como el siguiente: [código] Título descriptivo de la amenaza Tipos de activos:

Dimensiones:

Que se pueden ver afectados por este

1. De seguridad que se pueden ver afectadas por este tipo de amenaza, ordenadas de más a menos

tipo de amenazas Descripción:

Complementaria o más detallada de la amenaza: lo que le puede ocurrir a activos del tipo indicado con las consecuencias indicadas.

Valoración de las amenazas. Cuando un activo es víctima de una amenaza, no se ve afectado en todas sus dimensiones, ni en la misma cuantía. Una vez determinado que una amenaza puede perjudicar a un activo, hay que estimar cuán vulnerable es el activo, en dos sentidos: Degradación: cuán perjudicado resultaría el activo Frecuencia: cada cuánto se materializa la amenaza La degradación mide el daño causado por un incidente en el supuesto de que ocurriera. Daño causado por la amenaza Valor

Criterio

3

Alto

Daño grave

2

Medio Daño importante

1

Bajo

Daño menor

24

Análisis de Riesgo de la Seguridad de la Información

La frecuencia pone en perspectiva aquella degradación, pues una amenaza puede ser de terribles consecuencias pero de muy improbable materialización; mientras que otra amenaza puede ser de muy bajas consecuencias, pero tan frecuente como para acabar acumulando un daño considerable. Frecuencia con que sucede la amenaza. Valor

Criterio

3

Alto

Bastante Frecuente

2

Medio Frecuente

1

Bajo

Poco Frecuente

Paso 3: Determinación del impacto Se denomina impacto a la medida del daño sobre el activo derivado de la materialización de una amenaza. Conociendo el valor de los activos (en varias dimensiones) y la degradación que causan las amenazas, es directo derivar el impacto que estas tendrían sobre el sistema. Clasificación del Impacto Valor

Criterio

3

Alto

Alto impacto

2

Medio Impacto moderado

1

Bajo

Bajo impacto

Se puede calcular el impacto en base a tablas sencillas de doble entrada: DEGRADACION

IMPACTO

VALOR

B

M

A

A

M

A

A

M

B

M

A

B

B

B

M

25

Análisis de Riesgo de la Seguridad de la Información

Aquellos activos que reciban una calificación de impacto alto (A) deberían ser objeto de atención inmediata.

Paso 4: Determin ación del riesgo Se denomina riesgo a la medida del daño probable sobre un sistema. Conociendo el impacto de las amenazas sobre los activos, es directo derivar el riesgo sin más que tener en cuenta la frecuencia de ocurrencia. El riesgo crece con el impacto y con la frecuencia. Clasificación del Riesgo Valor

Criterio

3

Alto

Alto riesgo

2

Medio Riesgo moderado

1

Bajo

Bajo riesgo

Pudiendo combinarse impacto y frecuencia en una tabla para calcular el riesgo:

FRECUENCIA

RIESGO

IMPACTO

B

M

A

A

M

A

A

M

B

M

A

B

B

B

M

Aquellos activos que reciban una calificación de riesgo alto (A) deberían ser objeto de atención inmediata. Los que reciban una calificación de riesgo alto, deberían ser objeto de planificación inmediata de salvaguardas.

26

Análisis de Riesgo de la Seguridad de la Información

DESARROLLO DE LA METODOLOGIA. Paso 1: Activos. Descripción del proceso de identificación de activos. Entrevistas. Se realizaron dos entrevistas que se desarrollaron a dos tipos de personas diferentes: 1. A un encargado del departamento de Recursos Humanos que nos brindo información general de la empresa, y algunos datos básicos de la misma. 2. La segunda entrevista se realizo a una persona encargada del departamento de contabilidad que cuenta con un acceso a toda la información de la empresa, y los activos que esta empresa posee. Universidad Tecnológica de El SalvadorFacultad de Ciencia y TecnologíaEscuela de InformáticaCátedra de Redes

Empresa: Nombre: Cargo:

Objetivo: Conocer específicamente la infraestructura de hardware y software de la empresa, para identificar las diferentes vulnerabilidades y amenazas de la empresa, y así brindándoles un análisis de riesgo efectivo. Indicaciones: Con el fin de conocer las vulnerabilidades y amenazas de la empresa para que esta cumpla con los requisitos y expectativas que la

empresa necesita, solicitamos su colaboración para el llenado de la siguiente encuesta contestando las siguientes preguntas. De ante mano muchas gracias por su colaboración. 1. ¿Cuál es el rubro de la Empresa? ___________________________________________________________________ ___________________________________________________________________ 2. ¿Con cuantos departamentos cuenta la empresa? ___________________________________________________________________ ___________________________________________________________________

27

Análisis de Riesgo de la Seguridad de la Información

3. ¿Con cuantas computadoras cuenta cada departamento? ___________________________________________________________________ ___________________________________________________________________

4. ¿Cuenta con un servidor de Internet y de datos la empresa? ___________________________________________________________________ ___________________________________________________________________

5. Tienen un departamento encargado de la administración del servidor, o este trabajo lo realiza una persona específica. ___________________________________________________________________ ___________________________________________________________________

6. ¿Estos departamentos tienen acceso a Internet? ___________________________________________________________________ ___________________________________________________________________

7. ¿Qué usuarios son los que tienen acceso a Internet? ___________________________________________________________________ ___________________________________________________________________

8. ¿Han implementado anteriormente algún sistema de prevención de riesgos para la empresa? ___________________________________________________________________ ___________________________________________________________________ 9. ¿Qué tan frecuentemente lo han implementado? ___________________________________________________________________ ___________________________________________________________________ 10. Estaría usted de acuerdo que como grupo de consultores le brindemos una metodología de análisis de riesgo. ___________________________________________________________________

28

Análisis de Riesgo de la Seguridad de la Información

Universidad Tecnológica de El SalvadorFacultad de Ciencia y TecnologíaEscuela de InformáticaCátedra de Redes

Empresa: Nombre: Cargo:

Objetivo: Conocer específicamente la infraestructura de hardware y software de la empresa, para identificar las diferentes vulnerabilidades y amenazas de la empresa, y así brindándoles un análisis de riesgo efectivo. Indicaciones: Con el fin de conocer las vulnerabilidades y amenazas de la empresa para que esta cumpla con los requisitos y expectativas que la empresa necesita, solicitamos su colaboración para el llenado de la siguiente encuesta contestando las siguientes preguntas. De ante mano muchas gracias por su colaboración. 1. El área de informática ¿cuenta con un lugar seguro para el almacenamiento de los datos físicamente? ___________________________________________________________________ ___________________________________________________________________

2. Los equipos de cómputo ¿cuentan con un sistema de alimentación eléctrica? ___________________________________________________________________ ___________________________________________________________________ ¿De que tipo? ___________________________________________________________________ ___________________________________________________________________

3. El sistema de cómputo ¿cuenta con un cableado seguro? ___________________________________________________________________ ___________________________________________________________________

29

Análisis de Riesgo de la Seguridad de la Información

4. ¿Con que tipo de hardware cuenta la empresa? ___________________________________________________________________ ___________________________________________________________________

5. ¿Qué tipo de servidor tienen? ___________________________________________________________________ ___________________________________________________________________

6. ¿Cuáles son los servicios de Internet a los que tienen acceso los usuarios? ___________________________________________________________________ ___________________________________________________________________

7. ¿Qué horas son hábiles para acceder a estos servicios? ___________________________________________________________________ ___________________________________________________________________

8. ¿Con que tipo de aplicaciones cuenta el equipo? ___________________________________________________________________ ___________________________________________________________________

9. ¿Con que sistema operativo cuneta el equipo? ___________________________________________________________________ ___________________________________________________________________

10. ¿Qué departamentos cuentan con ese sistema operativo? ___________________________________________________________________ ___________________________________________________________________ 11. Estos equipos de cómputo ¿poseen antivirus? ___________________________________________________________________ ___________________________________________________________________

30

Análisis de Riesgo de la Seguridad de la Información

12. ¿Qué antivirus utilizan. Se encuentran registrados con alguna licencia? ___________________________________________________________________ ___________________________________________________________________

13. El antivirus que utilizan actualmente cumple con los requerimientos de la empresa. ___________________________________________________________________ ___________________________________________________________________

14. ¿Utilizan en el servidor algún tipo de firewall? ___________________________________________________________________ ___________________________________________________________________

15. Las personas que accedan al equipo de cómputo entran con alguna contraseña. ___________________________________________________________________ ___________________________________________________________________

16. Las aplicaciones consideradas fundamentales ¿cuentan con algún tipo de contraseña o usuarios específicos? ___________________________________________________________________ ___________________________________________________________________

31

Análisis de Riesgo de la Seguridad de la Información

Identificación de Activos. Tablas de inventario de activos Departamento: Mercadeo No

Descripció n

2

Computadoras Dell,

Finalidad Control de precios,

Categorí a HW, SW, SI

Criticidad Alto

Promociones, publicidad

1

Impresora Canon,

Publicaciones e

HW

medio

impresiones

para todo el departamento

Departamento: Ventas No

Descripció n

Finalidad

Categorí a

Criticida d

2

Computadoras

Control de Ventas,

HW, SW, SI

Alto

HW, SW, SI

Alto

Dell

clientes, proveedores, cotizaciones

1

Computadora Dell

1

Impresora Panasonic, para todo el

Para las cajeras Reportes ventas, precios

HW

medio

HW

bajo

e impresiones varias

departamento 1

Scanner para todo el departamento

Captura de datos, informes de ventas y cotizaciones

32

Análisis de Riesgo de la Seguridad de la Información

Departamento: Contabilidad No

Descripció n

2

Computadoras

Finalidad Finanzas

Categorí a

Criticida d

HW, SW, SI

Alto

Dell, 1

Impresora HP

Impresiones varias del

HW

medio

HW

bajo

HW

medio

departamento 1

Scanner para todo el departamento

1

Fax y Fotocopiadora (multifunción), Panasonic

Reportes y cotizaciones, de acuerdo al departamento. Para transacciones y datos e informes generales de la empresa uso general.

Departamento: Recursos Humanos. No

Descripció n

Finalidad

Categorí a

Criticida d

2

Computadoras

Información de los

HW, SW, SI

Alto

Dell. 1

Impresora Panasonic, para

empleados

Impresiones varias del departamento

todo el departamento

33

HW

medio

Análisis de Riesgo de la Seguridad de la Información

Departamento: Gerencia General No

Descripció n

Finalidad

1

Computadoras

Uso del Gerente

Categor ía

Criticida d

HW, SW, SI

Alto

HW

medio

HW

bajo

HW

medio

HW

medio

Dell. 1

Impresora HP. Uso Exclusivo del Gerente

1

Scanner

1

Modem speedtoucher

1

Fax y

Uso del Gerente (Conexión a Internet) pertenece al proveedor Uso del Gerente

Fotocopiadora

34

Análisis de Riesgo de la Seguridad de la Información

Identificación de Amenazas Tablas de amenazas y vulnerabilidades

Desastres Naturales [Des N]

Vulnerabilidades detectadas relacionadas a esta amenaza: No existen sensores de humo o alarma contra incendios No existen suficientes extintores de incendios, o no están distribuidos en los sitios claves de manejo de información. No hay procedimientos de emergencia ante un incendio. Existen materiales inflamables cerca de los sitios críticos de manejo de información. Hay paredes de concreto pero también hay paredes de material inflamables tales como madera o plywood.

[DesN.2] Daños por agua Tipos de activos:

Dimensiones:

[HW] Equipos Informáticos (hardware)

[Dis] Disponibilidad

[SI] Soportes de Información

Descripción: Inundaciones: Posibilidad de que el agua dañe por completo los recursos del sistema. 35

Análisis de Riesgo de la Seguridad de la Información

Vulnerabilidades detectadas relacionadas a esta amenaza: Existe la posibilidad de que haya filtración de agua en la época de invierno en los lugares donde se encuentra equipo informático.

Amenazas de or igen industrial [Indus.]

Vulnerabilidades detectadas relacionadas a esta amenaza:

No cuentan aun con una planta eléctrica para este tipo de emergencias. No todos los equipos informáticos son alimentados mediante UPS. Cortes de energía prolongados (más de veinte minutos) requerirán que los equipos de misión crítica de la institución sean apagados. No existirá disponibilidad de los servicios de información en la institución durante el lapso que dure el corte de energía. Los sistemas eléctricos podrían ser susceptibles a cortos circuitos que podrían provocar la interrupción del suministro total o parcial. El corte de energía podría dejar sin trabajar al personal de la empresa.

[Indus.2] Condiciones Inadecuadas de Temperatura

Tipos de activos:

Dimensiones:

[HW] Equipos Informáticos (hardware)

[Dis] Disponibilidad

[SI] Soportes de Información [EAUX] Equipamiento Auxiliar Descripción: Deficiencias en la climatización de los locales, excediendo los márgenes de trabajo de los equipos: excesivo calor.

36

Análisis de Riesgo de la Seguridad de la Información

Vulnerabilidades detectadas relacionadas a esta amenaza:

No existe un mecanismo de aire acondicionado para toda la empresa. Presentan un ambiente en la mayoría de departamentos con calor, excediendo la temperatura de las maquinas.

Vulnerabilidades detectadas relacionadas a esta amenaza: No hay una ubicación adecuada para almacenar y resguardar soportes de información (medios magnéticos, medios ópticos, documentos en papel) Los backups se hacen en medios ópticos (DVD’s y CD’s) Documentos en papel no se convierten a otro medio (no se digitalizan). Estos documentos son susceptibles a los daños que pueda sufrir el papel como consecuencia de un proceso de archivado inadecuado o daños provocados por el paso del tiempo.

Amenazas a Causa de Ataques Intencionados [A_Int.] [A_Int.1] Manipulación de la Configuración

Tipos de activos:

Dimensiones:

[D] Datos / información

1. [I] Integridad

[SW] Aplicaciones (software)

2. [C] Confidencialidad

[HW] Equipos informáticos (hardware)

3. [A_S] Autenticidad del servicio 4. [A_D] Autenticidad de los datos 7. [D] Disponibilidad

Descripción: Prácticamente todos los activos dependen de su configuración y ésta de la diligencia del administrador: privilegios de acceso, flujos de actividades, registro de actividad, encaminamiento, etc.

37

Análisis de Riesgo de la Seguridad de la Información

Vulnerabilidades detectadas relacionadas a esta amenaza: No existe un sistema para detección de intrusos dentro de la red de información. No mantienen un sistema de monitoreo constante en el cual detecten notificaciones automáticas a quienes administran la red. Nunca han implementado un nivel de políticas de seguridad como el uso de contraseñas, y el cambio constante de estas. No mantienen un sistema de Active Directory u otros servicios.

[A_Int.2] Suplantación de la Identidad del Usuario Tipos de activos:

Dimensiones:

[SW] Aplicaciones (software)

1. [C] Confidencialidad 2. [A_S] Autenticidad del servicio 3. [A_D] Autenticidad de los datos 4. [I] Integridad

Descripción: Cuando un atacante consigue hacerse pasar por un usuario autorizado, disfruta de los privilegios de este para sus fines propios. Esta amenaza puede ser perpetrada por personal interno, por personas ajenas a la Organización o por personal contratado temporalmente. Vulnerabilidades detectadas relacionadas a esta amenaza: No hay restricciones sobre la cantidad de sesiones que un usuario puede iniciar. Tampoco existen restricciones sobre las estaciones de trabajo sobre las cuales los usuarios pueden iniciar sesión, aun a pesar de que de manera física, cada usuario tiene asignado un puesto de trabajo y una estación de trabajo. No se han implementado a nivel de las políticas de

seguridad el uso de contraseñas fuertes y el cambio obligatorio de estas en forma periódica.

38

Análisis de Riesgo de la Seguridad de la Información

No existe dentro de la administración de usuarios, directivas o políticas que deshabilite a los usuarios que por diversas razones se ausenten de sus puestos de trabajo en periodos temporales relativamente largos, como por ejemplo cuando algún usuario está de vacaciones. El proceso para dar de alta y de baja a los usuarios, cuando entran a formar parte de la organización o cuando dejan de trabajar en la misma, no es automático. Hasta que se reciben las notificaciones de recursos humanos, el administrador del dominio tomas las acciones correspondientes para actualizar el directorio, lo cual podría generar ciertos espacios de riesgo sobre uso inautorizado de los recursos de información.

[A_Int.3] Abuso de Privilegios de Acceso Tipos de activos:

Dimensiones:

[SW] Aplicaciones (software)

1. [C] Confidencialidad

[HW] Equipos Informáticos (hardware) Descripción:

2. [I] Integridad

Cada usuario disfruta de un nivel de privilegios para un determinado propósito; cuando un usuario abusa de su nivel de privilegios para realizar tareas que no son de su competencia, hay problemas. Vulnerabilidades detectadas relacionadas a esta amenaza: No existen procedimientos de revisión periódica de los derechos y permisos efectivos de los usuarios, para comprobar si debido a un cambio de configuración, o a una acción errónea o indebida se le han concedido a un usuario o grupo de usuarios más derechos y permisos de los que le corresponden.

No existen sistemas de monitorización en línea que detecten y generen alarmas y notificaciones automáticas a los administradores de red si se ejecutan cambios o alteraciones en la configuración que pudieran afectar el funcionamiento normal de los sistemas. No existen mecanismos de control que detecten y prevengan posibles abusos de privilegios en las aplicaciones.

39

Análisis de Riesgo de la Seguridad de la Información

Vulnerabilidades detectadas relacionadas a esta amenaza: No existen herramientas de control de contenido o monitorización de tráfico para el uso de Internet u otros servicios de la infraestructura de red y los sistemas de información. Tampoco se implementan inventarios automatizados de software y hardware para comprobar que no se hayan instalado componentes adicionales y no autorizados a los equipos de los usuarios.

[A_Int.5] Difusión de software dañino Tipos de activos:

Dimensiones:

[SW] Aplicaciones (software)

1. [Dis] Disponibilidad 2. [I] Integridad 3. [C] Confidencialidad 4. [A_S] Autenticidad del Servicio 5. [A_D] Autenticidad de los Datos

Descripción: Propagación intencionada de virus, espías (spyware), gusanos, troyanos, bombas lógicas, etc.

40

Análisis de Riesgo de la Seguridad de la Información

Vulnerabilidades detectadas relacionadas a esta amenaza: Los equipos de computo tienen un software de antivirus en el cual esta actualizado y bajo licencia. No existen controles de las conexiones a red dentro de la empresa. Por medio de que no tienen control en la red se conectan equipos personales en los cuales se puede infectar de virus peligrosos la red. No mantienen un control para el uso de memorias USB, discos duros externos, etc.

[A_Int.6] Destrucción de la información Tipos de activos:

Dimensiones:

[D] Datos / Información

[Dis] Disponibilidad

Descripción: Eliminación intencional de información, con ánimo de obtener un beneficio o causar un perjuicio.

Vulnerabilidades detectadas relacionadas a esta amenaza: Hacen frecuentemente la realización de backup por medio de DVD’s y CD’s de los datos. No se cuenta con un cuidado exclusivo del almacenamiento de datos por medio ópticos. No se cuenta con una oficina, en la cual se pueda guardar la información de los backup’s y las aplicaciones fundamentales de la empresa.

[A_Int.7] Denegación de Servicio

Tipos de activos:

Dimensiones:

[HW] Equipos Informáticos (hardware) Descripción:

[Dis] Disponibilidad

La carencia de recursos suficientes provoca la caída del sistema cuando la carga de trabajo es desmesurada.

41

Análisis de Riesgo de la Seguridad de la Información

Vulnerabilidades detectadas relacionadas a esta amenaza: No existen sistemas de detección y prevención de intrusos en la institución (IPS / IDS) que pudiera detectar movimientos o patrones de conducta anormales en el entorno de la red, orientados a alterar el funcionamiento normal de los servicios de información.

[A_Int.8] Robo Tipos de activos:

Dimensiones:

[HW] Equipos Informáticos (hardware)

1. [Dis] Disponibilidad 2. [C] Confidencialidad

[SI] Soportes de Información [EAUX] Equipamiento Auxiliar Descripción: La sustracción de información empresarial se puede dar mediante el robo que pueda hacer personal interno no personal ajeno a la compañía. Vulnerabilidades detectadas relacionadas a esta amenaza: Los controles y mecanismos de seguridad física orientados a prevenir el robo de activos de información en la institución son mínimos. No se cuentan con sistemas de alarmas contra robo o intrusos para horas nocturnas, ni siquiera en la locación de la división de informática que es donde se encuentran los equipos de misión critica para las operaciones de la empresa. Los documentos de identificación de los empleados no llevan fotografía que facilite la comprobación de la identidad de alguien en forma inmediata, ni la autenticidad de dicha identificación. En el caso de los visitantes, las tarjetas de visitantes no son de un color diferente a las identificaciones de los empleados, y no difieren en mucho de estas, salvo por el hecho que llevan el texto que dice “visitante”, pero

pueden fácilmente ser confundidas.

42

Análisis de Riesgo de la Seguridad de la Información

ANÁLISIS DE RIESGO S E IMPACTOS Catalogo Completo de Amenazas Analizadas

Código

Descripción

[DesN.1]

Fuego

[DesN.2]

Daños por Agua

[Indus.1]

Corte del Suministro Eléctrico

[Indus.2]

Condiciones Inadecuadas de temperatura

[Indus.3]

Degradación de los Soportes de Almacenamiento de la Información

[A_Int.1]

Manipulación de la Configuración

[A_Int.2]

Suplantación de la Identidad del Usuario

[A_Int.3]

Abuso de Privilegios de Acceso

[A_Int.4]

Uso no Previsto

[A_Int.5]

Difusión de Software Dañino

[A_Int.6]

Destrucción la Información

[A_Int.7]

Denegación de Servicio

[A_Int.8]

Robo

43

Análisis de Riesgo de la Seguridad de la Información

CONCLUSIO NES Entre las conclusiones que se dan en base al desarrollo del presente trabajo se han determinado diferentes amenazas a las cuales se ven afectada la empresa están las naturales como lo son el fuego es decir peligro a incendios que puedan causar estragos o incluso acabar con los recurso de sistemas de información con los cuales cuentan equipos informáticos entendiéndose por esto hardware debido a que se han identificado diferentes vulnerabilidades con las que se ve relacionada esta amenaza siendo las principales que no existen suficientes extintores de incendios también de no contar

con

sensores de humo o alarmas de incendios además el personal no cuenta con un método o procedimientos a seguir ante un siniestro de esta naturaleza. Otra amenaza que se ha identificado de origen industrial es la de no contar con suministro eléctrico optimo que la empresa necesita debido a que existe la vulnerabilidades de no contar todos los equipos informáticos son alimentados eléctricamente por un UPS. Viéndose afectados cuando un corte de energía eléctrica se dé ya que no existirá disponibilidad de los servicios de información durante este problema se dé o dure el corte de energía además de presentarse el riesgo de que los sistemas eléctricos podrían ser susceptibles a cortos circuitos que podrían provocar la interrupción del suministro total o parcial, debido a la quema de fusibles de protección entre otros. La amenaza la cual fue muy evidente notar consistía en que podían haber ataques

intencionados

como

robo

de

información

entre

las

vulnerabilidades que se tomaron en cuenta era que no existen sistemas de detección y prevención de intrusos en la institución que pudiera detectar movimientos o patrones de conducta anormales en el entorno de la red, orientados a alterar la configuración de los

sistemas de información. No se han implementado a nivel de las políticas de seguridad el uso de contraseñas.

44

Análisis de Riesgo de la Seguridad de la Información

Además de Destrucción la información por parte intencional del personal con ánimo de obtener un beneficio o causar un perjuicio. Esta amenaza sólo se identifica sobre datos en general, pues cuando la información está en algún soporte informático, hay amenazas específicas. Estas son las principales amenazas a las que la empresa se ve afectada de acuerdo a las vulnerabilidades que se han observado por parte del grupo de consultores entre otras que se han dado a conocer por parte de la empresa. Las cuales se esperan ser solventadas de acuerdo a las recomendaciones que se presenten a medida se desarrolle esta metodología que se está siguiendo y las cuales serán presentadas en el siguiente avance de este documento.

45

Análisis de Riesgo de la Seguridad de la Información

GLOSARIO.

 Activos: Los recursos del sistema de información o relacionados con éste, necesarios para que la Organización funcione correctamente y alcance los objetivos propuestos por su dirección.  Autenticidad: (de quién hace uso de los datos o servicios), que no haya duda de quién se hace responsable de una información o prestación de un servicio, tanto a fin de confiar en él como de poder perseguir posteriormente los incumplimientos o errores. Contra la autenticidad se dan suplantaciones y engaños que buscan realizar un fraude. La autenticidad es la base para poder luchar contra el repudio y, como tal, fundamenta el comercio electrónico o la administración electrónica, permitiendo confiar sin papeles ni presencia física.  Análisis de riesgos: proceso sistemático para estimar la magnitud de los riesgos a que está expuesta una Organización.  Amenazas: las amenazas siempre existen y son aquellas acciones que pueden ocasionar consecuencias negativas en la operativa de la empresa. Comúnmente se indican como amenazas a las fallas, a los ingresos no autorizados, a los virus, uso inadecuado de software, los desastres ambientales como terremotos o inundaciones, accesos no autorizados, facilidad de acceso a las instalaciones, etc.  Botnet: es un término que hace referencia a una colección de software robots, o bots, que se ejecutan de manera autónoma.  Confidencialidad: Característica de la información por la que la misma sólo puede ser revelada a los usuarios autorizados.  Disponibilidad: disposición de los servicios a ser usados cuando sea necesario. La carencia de disponibilidad supone una interrupción del servicio. La disponibilidad afecta directamente a la productividad de las organizaciones.  Gestión de riesgos: selección e implantación de salvaguardas para conocer, prevenir, impedir, reducir o controlar los riesgos identificados.

46

Análisis de Riesgo de la Seguridad de la Información

 Integridad: mantenimiento de las características de completitud y corrección de los datos. Contra la integridad, la información puede aparecer manipulada, corrupta o incompleta. La integridad afecta directamente al correcto desempeño de las funciones de una Organización.  Impactos: las consecuencias de la ocurrencia de las distintas amenazas son siempre negativas. Las pérdidas generadas pueden ser financieras, no financieras, de corto plazo o de largo plazo.  Malware informático: es el término para el código malicioso diseñado para molestar o destruir un sistema informático.  Magerit: es una metodología de Análisis y Gestión de Riesgos de los Sistemas de Información elaborada por el Consejo Superior de Administración Electrónica para minimizar los riesgos de la implantación y uso de las Tecnologías de la Información, enfocada a las Administraciones Públicas  Probabilidad: predicción calculada de la ocurrencia de un accidente en un cierto periodo de tiempo.  Riesgo: estimación del grado de exposición a que una amenaza se materialice sobre uno o más activos causando daños o perjuicios a la Organización.  Seguridad: es la capacidad de las redes o de los sistemas de información para resistir, con un determinado nivel de confianza, los accidentes o acciones ilícitas o malintencionadas que comprometan la disponibilidad, autenticidad, integridad y confidencialidad de los datos almacenados o transmitidos y de los servicios que dichas redes y sistemas ofrecen o hacen accesibles.  Virus informático: es un programa de ordenador que puede infectar otros programas modificándolos, para incluir una copia de si mismo también Programa que se duplica a sí mismo en un sistema informático incorporándose a otros programas que son utilizados por varios sistemas.  Vulnerabilidades: son ciertas condiciones inherentes a los activos o presentes en su entorno que facilitan que las amenazas

se materialicen llevan a esos activos a ser vulnerables. Mediante el uso de las debilidades existentes es que las amenazas logran materializarse, o sea, las amenazas siempre están presentes, pero sin la identificación de una vulnerabilidad no podrán ocasionar ningún impacto. 47

Análisis de Riesgo de la Seguridad de la Información

BIBLIOGRAFIA.

Enlaces bibliográficos.  Web del Ministerio de Administraciones Públicas. Consejo Superior de Informática: www.map.es/csi/csi.htm  Las Siete Guías Metodológicas: www.map.es/csi/herramientas/GuiasMagerit.exe  Herramienta MAGERIT: www.map.es/csi/herramientas/HerramientaMagerit.exe  Foro MAGERIT: http://foro.map.es/ URLS.  http://www.csi.map.es/csi/pg5m20.htm  http://www.enisa.europa.eu/rmra/methods_tools/m_magerit.html

48