SEGURIDAD Y AUDITORÍA

DE SISTEMAS
Sesión 2 : Introducción a la Seguridad Informática

Ver Contenido Programático

Ing. Alex Armando Torres B. 1

atorres@tecnologicocomfacauca.edu.co
 Seguridad Informática

Principios de la Seguridad Informática

QUE SE ENTIENDE POR

SEGURIDAD INFORMÁTICA ?
Podemos definir la Seguridad Informática como cualquier medida
que impida la ejecución de operaciones no autorizadas sobre un
sistema o red informática, cuyos efectos puedan conllevar daños
sobre la información, comprometer su confiabilidad, autenticidad o
integridad, disminuir el rendimiento de los equipos o bloquear el
acceso de usuarios autorizados al sistema.
 Seguridad Informática
Principios de la Seguridad Informática

La seguridad de la información se define como la

preservación de la confidencialidad, integridad y
disponibilidad de la información.

La seguridad informática es una disciplina que se relaciona a

diversas técnicas, aplicaciones y dispositivos encargados de
asegurar la integridad y privacidad de la información de
un sistema informático y sus usuarios.

Hoy la seguridad informática ocupa un

lugar muy importante en las
preocupaciones de la empresa.
 Principios de la Seguridad Informática

A sí mismo, es necesario considerar otros aspectos o cuestiones relacionados

cuando se habla de Seguridad Informática:

 Cumplimiento de las regulaciones legales aplicables a cada sector o tipo

de organización, dependiendo del marco legal de cada país.

 Control en el acceso a los servicio ofrecidos y la información guardada

por un sistema informático.

 Control en el acceso y utilización de ficheros protegidos por la ley:

contenidos digitales con derechos de autor, ficheros con datos de carácter
personal, etc.

 Identificación de los autores de la información o de los mensajes.

 Registro del uso de los servicios de un sistema informático, etc.

 Principios de la Seguridad Informática

Desde un punto de vista más amplio, en la norma ISO/IEC 17799

se define la Seguridad de la Información como la preservación de
su confidencialidad, su integridad y su disponibilidad.

Integridad

Seguridad
de la
Información

Confidencialidad Disponibilidad
 Principios de la Seguridad Informática

Dependiendo del tipo de información manejada y de los procesos

realizados por una organización, ésta podrá conceder más importancia a
garantizar la confidencialidad, la integridad o la disponibilidad de sus
activos de información.

La norma ISO 7498 define la Seguridad Informática como “una serie de

mecanismos que minimizan la vulnerabilidad de bienes y recursos en una
organización”.

Otra definición propuesta por el INFOSEC Glossary 2000 : Seguridad

Informática son las medidas y controles que aseguran la
confidencialidad, integridad y la disponibilidad de los activos de los
sistemas de información, incluyendo hardware, software y aquella
información que procesan, almacenan y comunican”.

NSTISSI No. 4009 - National Information Systems Security

 Principios de la Seguridad Informática

Debemos tener en cuenta que la seguridad de un sistema informático dependerá

de diversos factores, entre los que podríamos destacar los siguientes:
La sensibilización de los Los conocimientos, capacidades e implicación
directivos y responsables de la de los responsables del sistema informático:
organización, que deben ser dominio de la tecnología utilizada en el
conscientes de la necesidad de sistema informático y conocimiento sobre las
destinar recursos a esta función posibles amenazas y los tipos de ataques.

El soporte de los fabricantes de La correcta instalación, configuración

hardware y software, con la
publicación de parches y
actualizaciones de sus productos
que permitan corregir los fallos y
problemas relacionados con la
seguridad
y mantenimiento de los equipos.
La mentalización, formación y
asunción de responsabilidades de
todos los usuarios del sistema.

Contemplar no sólo la seguridad frente

a las amenazas del exterior, sino
La limitación en la asignación de los
también las amenaza procedentes del
interior de la organización, aplicando
permisos y privilegios de los usuarios.
además el principio de “Defensa en
profundidad”
 Principios de la Seguridad Informática

Objetivos de la Seguridad Informática:

 Minimizar y gestionar los riesgos y detectar los posibles problemas y

amenazas a la seguridad.

 Garantizar la adecuada utilización de los recursos y de las aplicaciones

del sistemas.

 Limitar las pérdidas y conseguir la adecuada recuperación del sistema

en caso de un incidente de seguridad.

 Cumplir con el marco legal y con los requisitos impuestos por los
clientes en sus contratos.
 Principios de la Seguridad Informática

Para cumplir con estos objetivos una organización debe contemplar cuatro
Planos de actuación:

PLANO HUMANO PLANO TÉCNICO

• sensibilización y formación. • Selección, instalación, configuración y
• Funciones, obligaciones y actualización de soluciones HW y SW.
responsabilidades del personal. • Desarrollo de aplicaciones.
• Control y supervisión de los empleados

ORGANIZACIÓN LEGISLACIÓN
• Políticas, normas y procedimientos. • Cumplimiento y adaptación a legislación
• Planes de Contingencia y Respuesta a vigente.
Incidentes. • Firma electrónica, código penal,
propiedad intelectual.
• Relaciones con terceros
 Principios de la Seguridad Informática

La Seguridad Informática como proceso y no como producto

Reducir la posibilidad
de que se produzcan
incidentes de
seguridad

Revisión y
actualización de las
medidas de seguridad Minimizar el
implantadas impacto en el
sistema de
(auditoria) La Seguridad información
como
proceso

Conseguir la rápida Facilitar la rápida

recuperación de los daños detección de los
experimentados incidentes
 Seguridad Informática
El valor de la información:

La información es cada vez más importante en la actividad empresarial.

En algunos sectores, como en el financiero, es la materia sobre la que se
realizan los procesos de producción.

Incluso en sectores manufactureros, comerciales, etc. la integración con

los sistemas informáticos de proveedores, transportistas, distribuidores
y clientes es tan intensa que condiciona el éxito de la empresa.

La información es un activo en sí
mismo de gran valor, cuya integridad y
correcto tratamiento resulta básico
para el éxito de la empresa.
 Seguridad Informática
La economía de la Seguridad Informática
Qué es el riesgo.

– El coste de las consecuencias de un suceso no deseado multiplicado por

la probabilidad de que ocurra.

– Un riesgo puede ser grande por el tamaño de la catástrofe o por la alta

probabilidad del suceso.

Cómo se gestiona

– Identificando las posibles medidas para reducir el riesgo y comparando su

coste con la reducción que permiten.

– Esta gestión debe formar parte de los procesos principales de la empresa

El riesgo no se puede suprimir, sólo
gestionar. El riesgo cero resultaría
carísimo
 Seguridad Informática
Principales Frentes:

Seguridad física y continuidad.

Control de acceso a la información.
Las redes. Internet.
La regulación
Vulnerabilidades del software.
 Seguridad Informática
Principales Frentes:

Seguridad física y continuidad

• Seguridad física de las instalaciones
– Control de acceso físico a las instalaciones, continuidad de
corriente eléctrica, duplicidad de los elementos críticos.
– Robustez del equipamiento (clusters, discos RAID, etc.)

● Contingencia ante catástrofe

– Copia de seguridad periódica (se pierden los datos desde la
última copia y el servicio hasta que se restaura).
– Copia asíncrona de los datos en un centro externo de respaldo
(sin pérdida de datos, reducida pérdida de servicio)
– Copia síncrona de datos en un centro externo operativo (sin
pérdida de datos ni de servicio)
 Seguridad Informática
Principales Frentes:

Control de acceso a la información.

• El acceso a la información debe estar limitado a quien legítimamente
lo necesite para realizar sus funciones, o sea su propietario.
● Todo acceso debe quedar registrado en los correspondientes log's.
(Control “a posteriori”).

● Algunas tecnologías relevantes para esto son:

– Directorios (Active Directory, RACF, OpenLDAP). Se debe
tender a la integración.
– Infraestructuras de clave pública (PKI). Certificados.

● Tecnologías emergentes:
– Tarjetas chip con certificado. DNI digital.
– Identificación biométrica. Huellas digitales, iris del ojo, perfil de
la mano, voz, etc.
 Seguridad Informática
Principales Frentes:

Las redes. Internet.

El nacimiento las redes locales (LAN),
las redes de área extensa (WAN) y por
último las redes públicas (INTERNET),
todas conectadas entre sí, ha abierto
todo un mundo para el intercambio de
la información entre las personas y las
empresas pero también un enorme
abanico de riesgos.
Las principales preocupaciones son:
– Virus, con sus variantes de gusanos,
troyanos, etc.
– Ataques de negación de servicio
– Intrusiones
– Spam.

Las tecnologías disponibles abarcan:

– Firewalls, antivirus, detectores de intrusos, etc.
El aspecto fundamental a cuidar es el de una correcta gestión y administración
del software y las redes. De nada sirve la tecnología si no se maneja bien.
 Seguridad Informática
Principales Frentes:

La regulación

Lectura : “ Ley de Delitos Informáticos en Colombia ”

Taller:
Conformar 3 grupos.
Cada uno de ellos socializará 3 delitos informáticos en Colombia
 Seguridad Informática
Principales Frentes:

Vulnerabilidades del software.

• El acceso a la información debe estar limitado a quien legítimamente
lo necesite para realizar sus funciones, o sea su propietario.
● Todo acceso debe quedar registrado en los correspondientes log's.
(Control “a posteriori”).

● Algunas tecnologías relevantes para esto son:

– Directorios (Active Directory, RACF, OpenLDAP). Se debe
tender a la integración.
– Infraestructuras de clave pública (PKI). Certificados.

● Tecnologías emergentes:
– Tarjetas chip con certificado. DNI digital.
– Identificación biométrica. Huellas digitales, iris del ojo, perfil de
la mano, voz, etc.
 Seguridad Informática
Retos Futuros:

La seguridad en las TIC va a aumentar su relevancia como

consecuencia de:
El incremento del comercio electrónico que se va a derivar de la extensión
del acceso a internet por banda ancha y de la alfabetización informática de
la población.

La integración de los sistemas empresariales (B2B).

La incorporación del sector público a las TIC.

La proliferación de dispositivos móviles, potenciada por las redes

inalámbricas (Bluetooth, WiFi, UMTS).

VIDEO