• Author / Uploaded
• Jesse Uriel Lopez

• Categories
• Seguridad y privacidad en línea
• La seguridad informática
• Seguridad de información
• Información
• Toma de decisiones

Citation preview

1.1.

EL VALOR DE LA INFORMACIÓN.

La información tiene un gran impacto en la toma de decisiones. Aunque no tiene valor absoluto, su valor está relacionado con quién la usa y en la situación de uso. El valor normativo de la información: Se refiere al conocimiento a priori o preliminar que tenemos acerca de la ocurrencia de los eventos los cuales son relevantes para nuestras decisiones (probabilístico). El valor realístico de la información: Es el de reconocer que la información apoya las decisiones. Las acciones tomadas afectan a los logros de desempeño. El valor subjetivo de la información: Refleja la impresión comprendida de la gente para la información. Beneficios tangibles: Reducción en los niveles de inventario, en la línea de crédito, en horas-hombre, incremento de ventas y reducción en los costos de mantenimiento. Beneficios intangibles: Mejora de los procesos de toma de decisiones; amplía los horizontes de planeación; extiende las bases de información para la toma de decisiones; facilita la integración de datos. 1.2 DEFINICIÓN Y TIPOS DE SEGURIDAD INFORMÁTICA. Seguridad física Cuando hablamos de seguridad física nos referimos a todos aquellos mecanismos --generalmente de prevención y detección-- destinados a proteger físicamente cualquier recurso del sistema; estos recursos son desde un simple teclado hasta una cinta de backup con toda la información que hay en el sistema, pasando por la propia CPU de la máquina. Dependiendo del entorno y los sistemas a proteger esta seguridad será más o menos importante y restrictiva, aunque siempre deberemos tenerla en cuenta. Protección del hardware El hardware es frecuentemente el elemento más caro de todo sistema informático y por tanto las medidas encaminadas a asegurar su integridad son una parte importante de la seguridad física de cualquier organización. Problemas a los que nos enfrentamos: • Desastres naturales • Alteraciones del entorno Desastres naturales • Además de los posibles problemas causados por ataques realizados por personas, es importante tener en cuenta que también los desastres naturales pueden tener muy graves consecuencias, sobre todo si no los contemplamos en nuestra política de seguridad y su implantación. • Algunos desastres naturales a tener en cuenta:

• • • •

Terremotos y vibraciones Tormentas eléctricas Inundaciones y humedad Incendios y humos

Alteraciones del entorno En nuestro entorno de trabajo hay factores que pueden sufrir variaciones que afecten a nuestros sistemas que tendremos que conocer e intentar controlar. Deberemos contemplar problemas que pueden afectar el régimen de funcionamiento habitual de las máquinas como la alimentación eléctrica, el ruido eléctrico producido por los equipos o los cambios bruscos de temperatura. SEGURIDAD LÓGICA La Seguridad Física, sólo es una parte del amplio espectro que se debe cubrir para no vivir con una sensación ficticia de seguridad. Como ya se ha mencionado, el activo más importante que se posee es la información, y por lo tanto deben existir técnicas, más allá de la seguridad física, que la aseguren. Estas técnicas las brinda la Seguridad Lógica. La Seguridad Lógica consiste en la "aplicación de barreras y procedimientos que resguarden el acceso a los datos y sólo se permita acceder a ellos a las personas autorizadas para hacerlo." Controles de Acceso Estos controles pueden implementarse en el Sistema Operativo, sobre los sistemas de aplicación, en bases de datos, en un paquete específico de seguridad o en cualquier otro utilitario. Constituyen una importante ayuda para proteger al sistema operativo de la red, al sistema de aplicación y demás software de la utilización o modificaciones no autorizadas; para mantener la integridad de la información (restringiendo la cantidad de usuarios y procesos con acceso permitido) y para resguardar la información confidencial de accesos no autorizados Roles El acceso a la información también puede controlarse a través de la función o rol del usuario que requiere dicho acceso. Algunos ejemplos de roles serían los siguientes: programador, líder de proyecto, gerente de un área usuaria, administrador del sistema, etc. En este caso los derechos de acceso pueden agruparse de acuerdo con el rol de los usuarios

Transacciones También pueden implementarse controles a través de las transacciones, por ejemplo solicitando una clave al requerir el procesamiento de una transacción determinada. Limitaciones a los Servicios Estos controles se refieren a las restricciones que dependen de parámetros propios de la utilización de la aplicación o preestablecidos por el administrador del sistema. Un ejemplo podría ser que en la organización se disponga de licencias para la utilización simultánea de un determinado producto de software para cinco personas, en donde exista un control a nivel sistema que no permita la utilización del producto a un sexto usuario.

1.3 OBJETIVOS DE LA SEGURIDAD INFORMÁTICA. El presente informe tiene como objetivo comprender los conceptos básicos de seguridad informática Describir los principales problemas de seguridad informática con los que se enfrentas los usuarios de computadoras. Conocer los conceptos de Integridad, confiabilidad y disponibilidad de la información. Conocer los factores de riegos Conocer los mecanismos de seguridad informática existentes. Concientizar sobre los riesgos a los que las organizaciones y usuarios de computadoras se enfrentan en materia de seguridad de la información Y por último ampliar o enriquecer los conocimientos acerca de la seguridad informática.

1.4 POSIBLES RIESGOS.

Incertidumbre existente por la posible realización de un suceso relacionado con la amenaza de daño respecto a los bienes o servicios informáticos, como equipos informáticos, periféricos, instalaciones, programas de cómputo, etc. TIPO DE RIESGOS 1. Riesgo de integridad: Este tipo abarca todos los riesgos asociados con la autorización, completitud y exactitud de la entrada, procesamiento y reportes de las aplicaciones utilizadas en una organización. Estos riesgos aplican en cada aspecto de un sistema de soporte de procesamiento de negocio y están presentes en múltiples lugares, y en múltiples momentos en todas las partes de las aplicaciones; no obstante estos riesgos se manifiestan en los siguientes componentes de un sistema:

Interface del usuario: Los riesgos en esta área generalmente se relacionan con las restricciones, sobre las individualidades de una organización y su autorización de ejecutar funciones negocio/sistema; teniendo en cuenta sus necesidades de trabajo y una razonable segregación de obligaciones

Procesamiento: Los riesgos en esta área generalmente se relacionan con el adecuado balance de los controles defectivos y preventivos que aseguran que el procesamiento de la información ha sido completado.

Procesamiento de errores: Los riesgos en esta área generalmente se relacionan con los métodos que aseguren que cualquier entrada/proceso de información de errores (Excepciones) sean capturados adecuadamente, corregidos y reprocesados con exactitud completamente.

Administración de cambios: Estos riesgos están asociados con la administración inadecuadas de procesos de cambios de organizaciones que incluyen: Compromisos y entrenamiento de los usuarios a los cambios de los procesos, y la forma de comunicarlos e implementarlos.

Información: Estos riesgos están asociados con la administración inadecuada de controles, incluyendo la integridad de la seguridad de la información procesada y la administración efectiva de los sistemas de bases de datos y de estructuras de datos.

2. Riesgos de relación: Los riesgos de relación se refieren al uso oportuno de la información creada por una aplicación. Estos riesgos se relacionan directamente a la información de toma de decisiones (Información y datos correctos de una persona/proceso/sistema correcto en el tiempo preciso permiten tomar decisiones correctas).

3.

Riesgos de acceso:

Estos riesgos se enfocan al inapropiado acceso a sistemas, datos e información. Estos riesgos abarcan: Los riesgos de segregación inapropiada de trabajo, los riesgos asociados con la integridad de la información de sistemas de bases de datos y los riesgos asociados a la confidencialidad de la información.

4. Riesgo de utilidad: Estos riesgos se enfocan en tres diferentes niveles de riesgo: * Los riesgos pueden ser enfrentados por el direccionamiento de sistemas antes de que los problemas ocurran.

5. Riesgos de infraestructura: Estos riesgos se refieren a que en las organizaciones no existe una estructura información tecnológica efectiva (hardware, software, redes, personas y procesos) para soportar adecuadamente las necesidades futuras y presentes de los negocios con un costo eficiente.

5. Riesgos de seguridad general: Los estándares IEC 950 proporcionan los requisitos de diseño para lograr una seguridad general y que disminuyen el riesgo: • Riesgos de choque de eléctrico: Niveles altos de voltaje.

• Riesgos de incendio: Inflamabilidad de materiales. • Riesgos de niveles inadecuados de energía eléctrica. • Riesgos de radiaciones: Ondas de ruido, de láser y ultrasónicas. • Riesgos mecánicos: Inestabilidad de las piezas eléctricas. 1.5 TÉCNICAS DE ASEGURAMIENTO DEL SISTEMA

Criptología, Criptografía y Criptociencia, contraseñas difíciles de averiguar a partir de datos personales del individuo. Vigilancia de red: Tecnologías repelentes o protectoras: cortafuegos, sistema de detección de intrusos - antispyware, antivirus, llaves para protección de software, etc. Mantener los sistemas de información con las actualizaciones que más impacten en la seguridad. Consideraciones de software Tener instalado en la máquina únicamente el software necesario reduce riesgos. Así mismo tener controlado el software asegura la calidad de la procedencia del mismo (el software obtenido de forma ilegal o sin garantías aumenta los riesgos). Consideraciones de una red Los puntos de entrada en la red son generalmente el correo, las páginas web y la entrada de ficheros desde discos, o de ordenadores ajenos, como portátiles