Definición del plan de seguridad informática

 

“Definición del plan de seguridad informática”

ISM3

ISM3 pretende alcanzar un nivel de seguridad definido, también conocido como riesgo aceptable, en lugar de buscar la invulnerabilidad.ISM3 relaciona directamente los objetivos de negocio (entregar los productos a tiempo y Dejar satisfecho al cliente) E incluso este modelo es muy útil ya que mejora la protección de tatos personales y este da acceso a solo usuarios autorizados para acceder a ello. Es por ello que la empresa x da uso de el por que protege los datos dentro de ella ya que contiene archivos confidénciale que solo puede utilizar personal autorizado.

BS 17799

BS 17799 es un código de prácticas o de ordenación o documento de referencia de base en las mejores prácticas de seguridad de la información evaluar, implementar, mantener y administrar la seguridad. Es por esto que la empresa x lo utiliza por que brinda un buen servicio ya que contiene buenas funciones y esa empresa funciona al corriente ya que no se preocupa tanto por que sus datos están protegidos.

Para alcanzar el nivel de madures en la empresa el proceso estará un poco complejo debido a que este tiene barios objetivos y se llevara al cabo de 4 años por que su proceso seria mas extenso por que se haría con bitácoras, auditorias, juntas, entrevistas practicas y algunas herramientas mas las cuales se presentaran.

 

Acceso físico a equipos

En este solo tienen acceso personas autorizadas y profesionales también los administradores solo lo usan externa mente y solo ay una persona que tiene acceso a la maquina interna.

Acceso lógico a equipos

En este ya entrando en la computadora y manejando datos de suma importancia en el solo tiene acceso una persona la cual debe de ser confidencial y contar con los requisitos necesarios trabajar en el.

Para la creación de cuenta de usuarios

En este una persona es la encargada de dar de alta usuarios que ingresan a la fabrica x.

 

Para manejo de bitácoras

En este se encarga un grupo de personas llamadas administradores las cuales se encargan de que al diario se registren todos los movimientos de la fabrica.

De protección de red (firewall)

Insertar solo hip para cada computadora y que solo permita intercambiar información entre ellas y no le permita la entrada a otros tipos.

Para la administración de software de seguridad

Existe un departamento de ingeniería en software en el cual se encuentran solo personas autorizadas para  accederá  el  y lo cuales ellos pueden hacer lo que se presente.

Para la gestión de actualización de control de cambios

Para esto existe un personal llamado los administradores solo tienen acceso para hacer y deshacer en ello.

De almacenamiento

En este solo pueden ingresar con memorias personal autorizado por que no nos gustaría que hubiera robos o algo así.

Para archivos compartidos

En el pueden compartirse archivos solo por áreas para no tener programas con el acomodo.

De respaldo

En  este puedes guardar la información en discos duros de red tener respaldos para si llegara a suceder un accidente ya tendrías copias de seguridad.

 

 

 

 

Analiza estándares internacionales de seguridad informática

“Analiza estándares internacionales de seguridad informática”

BS 17799:

BS 17799 es un código de prácticas o de orientación o documento de referencia se basa en las mejores prácticas de seguridad de la información, esto define un proceso para evaluar, implementar, mantener y administrar la seguridad de la información.

Serie iso 27000:

 La serie de normas ISO/IEC 27000 son estándares de seguridad publicados por la Organización Internacional para la Estandarización (ISO) y la Comisión Electrotécnica Internacional (IEC).

 La serie contiene las mejores prácticas recomendadas en Seguridad de la información para desarrollar, implementar y mantener Especificaciones para los Sistemas de Gestión de la Seguridad de la Información (SGSI).

Iso 27001:

 Especifica los requisitos necesarios para establecer, implantar, mantener y mejorar un sistema de gestión de la seguridad de la información (SGSI) según el conocido como “Ciclo de Deming”: PDCA - acrónimo de Plan, Do, Check, Act (Planificar, Hacer, Verificar, Actuar). Es consistente con las mejores prácticas descritas en ISO/IEC 27002, anteriormente conocida como ISO/IEC 17799, con orígenes en la norma BS 7799-2:2002, desarrollada por la entidad de normalización británica, la British Stand Ards Institución (BSI).

Iso 27002:

ISO/IEC 27002 (anteriormente denominada ISO 17799) es un estándar para la seguridad de la información publicado por primera vez como ISO/IEC 17799:2000 por la International Organization for Standardization y por la Comisión Electrotécnica Internacional en el año 2000, con el título de Information technology - Security techniques - Code of practice for información security management. Tras un periodo de revisión y actualización de los contenidos del estándar, se publicó en el año 2005 el documento actualizado denominado ISO/IEC 17799:2005. El estándar ISO/IEC 17799 tiene su origen en el British Standard BS 7799-1 que fue publicado por primera vez en 1995.

Iso 20000:

La serie ISO/IEC 20000 - Service Management normalizada y publicada por las organizaciones ISO (International Organization for Standardization) e IEC (International Electrotechnical Commission) el 14 de diciembre de 2005, es el estándar reconocido internacionalmente en gestión de servicios de TI (Tecnologías de la Información). La serie 20000 proviene de la adopción de la serie BS 15000 desarrollada por la entidad de normalización británica, la British Standards Institution (BSI).

analiza modelos y buenas practicas de seguridad informática

“analiza modelos y buenas practicas  de seguridad informática”

-ITIL

-cobit

-ISM3

ITIL:

Desarrollada a finales de 1980, la Biblioteca de Infraestructura de Tecnologías de la Información (ITIL) se ha convertido en el estándar mundial de facto en la Gestión de Servicios Informáticos. Iniciado como una guía para el gobierno de UK, la estructura base ha demostrado ser útil para las organizaciones en todos los sectores a través de su adopción por innumerables compañías como base para consulta, educación y soporte de herramientas de software. Hoy, ITIL es conocido y utilizado mundialmente. Pertenece a la OGC, pero es de libre utilización.

ITIL fue desarrollada al reconocer que las organizaciones dependen cada vez más de la Informática para alcanzar sus objetivos corporativos. Esta dependencia en aumento ha dado como resultado una necesidad creciente de servicios informáticos de calidad que se correspondan con los objetivos del negocio, y que satisfagan los requisitos y las expectativas del cliente. A través de los años, el énfasis pasó de estar sobre el desarrollo de las aplicaciones TI a la gestión de servicios TI. La aplicación TI (a veces nombrada como un sistema de información) sólo contribuye a realizar los objetivos corporativos si el sistema está a disposición de los usuarios y, en caso de fallos o modificaciones necesarias, es soportado por los procesos de mantenimiento y operaciones.

A lo largo de todo el ciclo de los productos TI, la fase de operaciones alcanza cerca del 70-80% del total del tiempo y del coste, y el resto se invierte en el desarrollo del producto (u obtención). De esta manera, los procesos eficaces y eficientes de la Gestión de Servicios TI se convierten en esenciales para el éxito de los departamentos de TI. Esto se aplica a cualquier tipo de organización, grande o pequeña, pública o privada, con servicios TI centralizados o descentralizados, con servicios TI internos o suministrados por terceros. En todos los casos, el servicio debe ser fiable, consistente, de alta calidad, y de coste aceptable.

Cobit: COBIT es un acrónimo para Control Objectives for Information and related Technology (Objetivos de Control para tecnología de la información y relacionada); desarrollada por la Information Systems Audit and Control Association (ISACA) y el IT Governance Institute (ITGI).

COBIT es una metodología aceptada mundialmente para el adecuado control de proyectos de tecnología, los flujos de información y los riesgos que éstas implican. La metodología COBIT se utiliza para planear, implementar, controlar y evaluar el gobierno sobre TIC; incorporando objetivos de control, directivas de auditoría, medidas de rendimiento y resultados, factores críticos de éxito y modelos de madurez.

Permite a las empresas aumentar su valor TIC y reducir los riesgos asociados a proyectos tecnológicos. Ello a partir de parámetros generalmente aplicables y aceptados, para mejorar las prácticas de planeación, control y seguridad de las Tecnologías de Información.


COBIT contribuye a reducir las brechas existentes entre los objetivos de negocio, y los beneficios, riesgos, necesidades de control y aspectos técnicos propios de un proyecto TIC; proporcionando un Marco Referencial Lógico para su

ISM3: La publicación del ISM3 (Información Security Management Materita Modelo) ofrece un nuevo enfoque de los sistemas de gestión de seguridad de la información (ISM). ISM3 nace de la observación del contraste existente entre el número de organizaciones certificadas ISO9000 (unas 350,000), y las certificadas BS7799-2:2002 (unos cientos en todo el mundo). ISM3 pretende cubrir la necesidad de un estándar simple y aplicable de calidad para sistemas de gestión de la seguridad de la información. ISM3 proporciona un marco para ISM que puede utilizarse tanto por pequeñas organizaciones que realizan sus primeros esfuerzos, como a un nivel alto de sofisticación por grandes organizaciones como parte de sus procesos de seguridad de la información...

Al igual que otros estándares del ISECOM, ISM3 se proporciona con una licencia de “código libre”, tiene una curva de aprendizaje suave, y puede utilizarse para fortalecer sistemas ISM en organizaciones que utilicen estándares como COBIT, ITIL, CMMI y ISO17799. Está estructurado en niveles de madurez, de modo que cada organización puede elegir un nivel adecuado para su negocio, y cubrir ese objetivo en varias etapas.

Analiza configuración de seguridad en grupos y en cuenta de usuario en el s. O

Analiza configuración de seguridad en grupos y en cuenta de usuario en el s. O

De cuenta:

De auditoria:

Restricciones a usuarios:

Restricciones a software:

Firewall:

Antivirus:

Antispyware:

Permiso en carpeta: En ocasiones se necesita administrar los permisos de un archivo determinado o de la carpeta que lo contiene a él o a varios archivos.
Los permisos se utilizan en Windows tanto para permitir como para denegar o limitar cualquier modificación.
Permiten proteger archivos o carpetas, o lo contrario darnos el acceso necesario a nosotros mismos, en caso de que el archivo a modificar solo tiene permisos válidos para SYSTEM. Este es un usuario hipotético, que no es más que el sistema operativo.
Este artículo se escribió originalmente para los que usan Windows 7 y XP, pero más abajo se agregó contenido relacionado con Windows 8 que es algo diferente.

Compartidos: Los permisos de recurso compartido se aplican a los usuarios que se conectan a una carpeta compartida a través de la red. Estos permisos no afectan a los usuarios que inician sesión localmente o mediante Escritorio remoto.

Para establecer permisos para los usuarios que se conectan localmente o mediante Escritorio remoto, utilice las opciones de la ficha Seguridad en lugar de la ficha Permisos de los recursos compartidos. Se establecerán permisos en el nivel del sistema de archivos NTFS. Si se establecen tanto permisos de recurso compartido como permisos de sistema de archivos para una carpeta compartida, se aplicarán los permisos más restrictivos al conectarse a la carpeta compartida.

Por ejemplo, para conceder a los usuarios de un dominio acceso de lectura a una carpeta compartida, en la ficha Permisos de los recursos compartidos, establezca permisos a Control total para el grupo Todos. En la ficha Seguridad, especifique un acceso más restrictivo estableciendo permisos de acceso de lectura para el grupo Usuarios del dominio. El resultado es que un usuario que es miembro del grupo Usuarios del dominio cuenta con acceso de solo lectura a la carpeta compartida, tanto si el usuario se conecta a través de un recurso compartido de red, como si lo hace a través de Escritorio remoto o si inicia sesión localmente.

Puede establecer permisos de nivel de sistema de archivos en la línea de comandos utilizando la herramienta de sistema operativo iCacls.exe o Cacls.exe. Las herramientas solo se ejecutan en un volumen NTFS.

Actualización de sistemas operativos y aplicación: Los sistemas operativos y las aplicaciones presentan fallos y errores que los pueden aprovechar algunos usuarios con fines maliciosos.

Las actualizaciones, además de agregar alguna nueva funcionalidad, sirven para solucionar fallos y agregar nuevas funcionalidades. Por ello estar al día con las actualizaciones de seguridad más importantes ayudará a prevenir ataques maliciosos.

 

Clasificación de los principales riesgos de la seguridad informática

“Clasificación de los principales riesgos de la seguridad informática”

Conceptos de riesgo:

En arquitectura de computadores, un riesgo es un problema potencial que puede ocurrir en un procesador segmentado. Típicamente los riesgos se clasifican en tres tipos: riesgos de datos, riesgos de salto o de control y riesgos estructurales.

 Las instrucciones de un procesador segmentado son ejecutadas en varias etapas, de modo que en un momento dado se encuentran en proceso varias instrucciones, y puede que éstas no sean completadas en el orden deseado.

 Un riesgo aparece cuando dos o más de estas instrucciones simultáneas (posiblemente fuera de orden) entran en conflicto.

Matriz de riesgo: La matriz de riesgo de un proceso, es una descripción organizada y calificada de sus actividades, de sus riesgos y de sus controles, que permite registrar los mismos en apoyo al gerenciamiento diario de los riesgos.

Cobra real importancia cuando los datos a incorporar tienen un grado aceptable de confiabilidad, para ello hay que realizar algunos trabajos previos sobre:

•La arquitectura de procesos y análisis de la criticidad de los mismos;
•La revisión de los objetivos y metas de cada proceso;
•La asignación de responsabilidades en el proceso;
•El entrenamiento de los participantes;
•Contar con un diccionario de riesgos para clasificarlos;
•Contar con un método que permita calificarlos;
•Evaluación de los controles mitigantes de cada riesgo
•Nivel de apetito de riesgos.
•Culturización en riesgos y controles internos.

 

 

 

 

 

 

Concepto de vulnerabilidad: Definimos Vulnerabilidad como debilidad de cualquier tipo que compromete la seguridad del sistema informático.

Las vulnerabilidades de los sistemas informáticos las podemos agrupar en función de:

Diseño

·   Debilidad en el diseño de protocolos utilizados en las redes.

·   Políticas de seguridad deficiente e inexistente.

Implementación

·   Errores de programación.

·   Existencia de “puertas traseras” en los sistemas informáticos.

·   Descuido de los fabricantes.

Uso

·   Mala configuración de los sistemas informáticos.

·   Desconocimiento y falta de sensibilización de los usuarios y de los responsables de informática.

·   Disponibilidad de herramientas que facilitan los ataques.

·   Limitación gubernamental de tecnologías de seguridad.

Riesgos físicos: Un riesgo estructural sucede cuando parte del hardware del procesador es necesario para ejecutar dos o más instrucciones a la vez. Puede ocurrir, por ejemplo, si un programa intenta ejecutar una instrucción de salto seguida de una operación matemática. Puesto que son ejecutadas de forma paralela y los saltos son típicamente lentos (requieren realizar una comparación, operar matemáticamente sobre el contador de programa y escribir en registros), es bastante posible (dependiendo de la arquitectura) que la instrucción de computación y la de salto requieran la ALU (unidad aritmético lógica) al mismo tiempo.

Riesgos de salto o de control

Los riesgos de salto o de control ocurren cuando el procesador se ve obligado a saltar a una instrucción que no tiene por qué ser necesariamente la inmediatamente siguiente en el código. En ese caso, el procesador no puede saber por adelantado si debería ejecutar la siguiente instrucción u otra situada más lejos en el código.

Esto puede resultar en acciones no deseadas por parte de la CPU.

 

Tipos de riesgos:

Tipo de Riesgo | Factor |

 Robo de hardware | Alto |

 Robo de información | Alto |

 Vandalismo | Medio |

 Fallasen los equipos | Medio |

 Virus Informáticos | Medio |

 Equivocaciones | Medio |

 Accesos no autorizados | Medio |

 Fraude | Bajo |

 Fuego | Muy Bajo |

 Terremotos | Muy Bajo |

Riesgos Lógicos:

 Son aquellos daños que el equipo puede sufrir en su estado lógico, perjudicando directamente a su software.

Códigos Maliciosos

 En seguridad informática, código malicioso es un término que hace referencia a cualquier conjunto de códigos, especialmente sentencias de programación, que tiene un fin malicioso. Esta definición incluye tanto programas malignos compilados, como macros códigos que se ejecutan directamente, como los que suelen emplearse en las páginas web (scripts).Los códigos maliciosos pueden tener múltiples objetivos como:• Extenderse por la computadora, otras computadoras en una red o por internet

 . • Robar información y claves.

 • Eliminar archivos e incluso formatear el disco duro.

 • Mostrar publicidad invasiva.

 Mínimos cambios en un código malicioso, pueden hacer que ya no sea reconocido como malicioso por un programa antivirus.

 

 

Identifica riesgos físicos en la organización aplicados a equipos de computo y comunicación

“Identifica riesgos físicos en la organización aplicados  a equipos de computo y comunicación”

Controles de acceso:

Un control de acceso es tal y como su nombre lo dice, es un dispositivo o sistema que controla el acceso a un lugar determinado.

Existen diferentes tipos de control de acceso con varios niveles de seguridad.
Los más comunes son los que por medio de una Lectora de cualquier tipo, mande la señal a un electroimán, chapa, perno, pluma y de más artículos para brindar o denegar el

Control de acceso a red: es un enfoque de la seguridad en redes de computadoras que intenta unificar la tecnología de seguridad en los equipos finales (tales como antivirus, prevención de intrusión en hosts, informes de vulnerabilidades), usuario o sistema de autenticación y reforzar la seguridad de la red de acceso.

Existen lectoras que al ser aceptada la identificación ya sea por huella digital, ojo, rostro, tarjeta de proximidad u otro, accionar la apertura o cierre del dispositivo que controlará la puerta por ejemplo.

Otro tipo de control de acceso es de una cerradura biométrica, la cual  se instala en la puerta y controla la apertura al aceptar la huella digital del usuario dado de alta.

Con forme se va aumentando en nivel de seguridad y necesidades, va creciendo el proyecto. Para eso se recomiendan paneles que trabajen en conjunto con lectoras y accesorios de acceso. En caso de que se requiera controlar varias puertas con una sola tarjeta, manejar niveles de usuario, horarios e incluso habilitar o inhabilitar el acceso de una persona en tiempo real, es necesario un panel que controle todo esto conectado preferentemente a la red local de datos

 

 

 

 

 

 

 

 

 

“protección contra fallas eléctricas”

Una tormenta eléctrica suele ser sinónimo de cortes de luz y la protección contra picos y fallas de energía es importante para tus aparatos eléctricos.

El consejo mui  básico es que apenas uno vea rayos en el cielo desenchufe todos los aparatos electrónicos de la casa.

Entre ellos, la PC, es uno de los más frágiles ante Cortez abruptos de electricidad y golpes de tensión.

Conviene tener en cuenta algunos consejos que sirven para tener proteger tu computadora.

Para mantenerla existen tres tipos de dispositivos:

• Las UPS
• Los estabilizadores de tensión
• Las zapatillas con fusible

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

“Protección contra fallas naturales”

 

Son problemas que afectan a la computadora en daños externos

·         Incendios. Los incendios son causados por el uso inadecuado de combustibles, fallas de instalaciones inalámbricas defectuosas y el inadecuado almacenamiento y traslado de sustancias peligrosas.

·          

·         Inundaciones. Es la invasión de agua por exceso de escurrimientos superficiales o por acumulación en terrenos planos, ocasionada por falta de drenaje ya sea natural o artificial. Esta es una de las causas de mayores desastres en centros de cómputo.

·         Sismos. Estos fenómenos sísmicos pueden ser tan poco intensos que solamente instrumentos muy sensibles los detectan, o tan intensos que causan la destrucción de edificios y hasta la perdida de vidas humanas.

·          

·         Humedad. Se debe proveer de un sistema de calefacción, ventilación y aire acondicionado separado, que se dedique al cuarto de computadoras y al área de máquinas en forma exclusiva.

 

 

 

 

 

 

“administración de software de la organización”

Es un término utilizado en la ingeniería de software que cubre varios tipos de software, entre ellos el utilizado para la planificación de proyectos, manejo y control de presupuesto, asignación de recursos, software para colaboración, software para comunicación, manejo de la calidad y documentación o administración de sistemas, los cuales son usados para manejar la complejidad que conlleva un proyecto grande.

Copia de seguridad: respalda tus archivos para en caso de que haiga un accidente.

USB: guarda tus archivos para que no los puedas perder.

DVD externo: mejora tu seguridad en forma de que si no cuentas con una memoria puedes guardar los documentos en el externo.

 

Principios de seguridad informática

“Principios de seguridad informática”

Para lograr sus objetivos de seguridad informática se fundamenta en tres principios que debe cumplir todo sistema informático.

Confidencialidad: Se refiere a la privacidad de los elementos de información almacenados y procesados en un sistema informático, Basándose en este principio, las herramientas de seguridad informática deben proteger el sistema de invasiones y accesos por parte de personas o programas no autorizados. Este principio es particularmente importante en sistemas distribuidos  es decir, aquellos en los que los usuarios, computadores y datos residen en localidades diferentes, pero están físicas y lógicamente interconectados.

Integridad: Se refiere a la validez y consistencia de los elementos de información almacenados y procesador en un sistema informático. Basándose en este principio, las herramientas de seguridad informática deben asegurar que los procesos de actualización estén bien sincronizados y no se dupliquen, de forma que todos los elementos del sistema manipulen adecuadamente los mismos datos. Este principio es importante en sistemas descentralizados, es decir, aquellos en los que diferentes usuarios, computadores y procesos comparten la misma información.

Disponibilidad: Se refiere a la continuidad de acceso a los elementos de información almacenados y procesados en un sistema informático. Basándose en este principio, las herramientas de seguridad informática deber reforzar la permanencia del sistema informático, en condiciones de actividad adecuadas para que los usuarios accedan a los datos con la frecuencia y dedicación que requieran, este principio es importante en sistemas informáticos cuyos compromiso con el usuario, es prestar servicio permanente.

15/09/2014

 

 

Almacenamiento de datos

Ciencia que se encarga del estudio de procesamientos de la información mediante hardware  y software

Protección de datos por medios digitales

Protección dprivacid y datos personales

 

 

Tipos de seguridad

 

 

 

 

 

 

 

 

 

 

 

“Tipos de seguridad informática”

1.1.- Seguridad física

Es aquella que trata de proteger el Hardware (cableado, equipo, torre, etc…) de cualquier tipo de accidente o desastre: desde robos (hurtos) hasta desastres naturales como son terremotos.

La seguridad física puede verse sometida a: incendios, robos, inundaciones, sobrecargas eléctricas y un largo etc.

Aquí tenéis nuestras recomendaciones:

• Limpia muy de vez en cuando, tanto los lectores como la placa base y el interior de la torre, usando los productos adecuados para ello
• Procura no beber o verter líquidos cerca de los periféricos ni de la misma placa base. Como componente electrónico que es, esto puede llegar a inutilizar tu ordenador.
• Cuidado con el voltaje soportado por la placa. Procura que el voltaje sea el correcto revisando la fuente de alimentación.
• No manejes ni guardes datos de la BIOS a no ser que sepas manejarla correctamente, podría resultar fatal.
• Estudia bien los datos de tu ordenador antes de hacer  (es decir, realizar ajustes para “forzar” un poco la máquina. Ten cuidado con esto, ya que si tocas lo que no debes puedes “cargarte” el ordenador…)

1.2.- Seguridad lógica

Protege el software de los equipos informáticos, aplicaciones y datos realmente importantes (como contraseñas y datos personales) de robos, perdida de datos y un largo etc.

Es por eso que se recomienda hacer lo siguiente:

• Ten siempre a mano una copia de seguridad (o varias) de los datos más importantes de tu ordenador personal para poder disponer de ellos aunque tu ordenador tenga algún problema.
• Instala un buen antivirus y tengo actualizado. Aunque sea gratuito (hay antivirus gratuitos realmente buenos, tales como funcionan realmente bien.
• No abras ningún archivo sospechoso o sin firma sin haber pasado un buen rastreo de antivirus. Lo mejor es que consultes un foro especializado por si te has decantado por alguno en particular.
• Mucho cuidado y sutileza con el tema de la contraseña. Escribe una contraseña fiable para ti pero que sea difícil de descifrar, sobre todo a todos los archivos importantes, o que contengan datos que sean realmente de utilidad. No se recomienda usar una contraseña para varias cuentas diferentes.

Seguridad activa y pasiva

• Seguridad Activa: Es el conjunto de medidas que previenen e intentan evitar los daños a los sistemas informáticos.
• Ejemplos: uso de contraseñas, listas de control de acceso, encriptación, cuotas de disco duro, firmas y certificados digitales, etc….
• Seguridad Pasiva: Complementa a la seguridad activa y se encarga de minimizar los daños en caso de que haya algún fallo o daño.
• Ejemplos: conjuntos de discos redundantes, SAI’s, copias de seguridad.