Conceptos de Seguridad de Los Sistemas de Informacion PDF

T20 - CONCEPTOS DE SEGURIDAD DE LOS SISTEMAS DE INFORMACIÓN.
1. SEGURIDAD FÍSICA........................................................................................................................................................ 3
1.1. INTRODUCCIÓN........................................................................................................................................................ 3
1.2. RIESGOS, AMENAZAS Y VULNERABILIDADES. ................................................................................................ 5
1.2.1. EL FUEGO....................................................................................................................................................... 6
1.2.2. EL HUMO ........................................................................................................................................................ 8
1.2.3. EL POLVO........................................................................................................................................................ 8
1.2.4. TERREMOTOS................................................................................................................................................. 9
1.2.5. EXPLOSIONES ................................................................................................................................................ 9
1.2.6. INSECTOS........................................................................................................................................................ 9
1.2.7. RUIDO ELÉCTRICO ..................................................................................................................................... 10
1.2.8. TORMENTAS ................................................................................................................................................. 10
1.2.9. VIBRACIONES ............................................................................................................................................... 10
1.2.10. HUMEDAD .................................................................................................................................................... 11
1.2.11. AGUA ............................................................................................................................................................. 11
1.2.12. PRESENCIA DE COMIDAS Y BEBIDAS....................................................................................................... 11
1.2.13. ACCESO FÍSICO ........................................................................................................................................... 12
1.2.14. ACTOS DE VANDALISMO ............................................................................................................................ 12
1.2.15. ROBOS ........................................................................................................................................................... 13
1.2.16. ESPIONAJE.................................................................................................................................................... 13
1.3. MEDIDAS DE PROTECCIÓN Y ASEGURAMIENTO ........................................................................................... 13
1.3.1. UBICACIÓN FÍSICA...................................................................................................................................... 13
1.3.2. INSTALACIONES FÍSICAS DE LA EMPRESA ............................................................................................. 14
1.3.2.1. FACTORES INHERENTES A LA LOCALIDAD ............................................................................................ 15
1.3.2.2. FACTORES INHERENTES A LA SALA DE ORDENADORES...................................................................... 15
1.3.2.3. ACONDICIONAMIENTO DEL LOCAL......................................................................................................... 17
1.3.3. CONTROL DE ACCESO FÍSICO .................................................................................................................. 17
1.3.3.1. CERRADURAS ............................................................................................................................................... 18
1.3.3.2. GUARDIAS Y ESCOLTAS ESPECIALES....................................................................................................... 18
1.3.3.3. CÁMARAS DE VIDEO VIGILANCIA............................................................................................................. 18
1.3.4. AIRE ACONDICIONADO .............................................................................................................................. 19
1.3.5. INSTALACIÓN ELÉCTRICA.......................................................................................................................... 20
1.3.5.1. CORRIENTE REGULADA ............................................................................................................................. 20
1.3.5.2. SISTEMA DE ALIMENTACIÓN ININTERRUMPIDA ................................................................................... 20
1.3.5.3. PLANTA GENERADORA DE ENERGÍA ....................................................................................................... 22
1.3.5.4. RECOMENDACIONES .................................................................................................................................. 22
1.3.6. RIESGO DE INUNDACIÓN........................................................................................................................... 23
1.3.7. PROTECCIÓN, DETECCIÓN Y EXTINCIÓN DE INCENDIOS................................................................... 23
1.4. AUDITORÍA DE LA SEGURIDAD FÍSICA............................................................................................................. 24
2. SEGURIDAD LÓGICA................................................................................................................................................... 26
2.1. INTRODUCIÓN ........................................................................................................................................................ 26
2.2. MEDIDAS DE PROTECCIÓN Y ASEGURAMIENTO ........................................................................................... 28
2.2.1. CONTROLES DE ACCESO ........................................................................................................................... 28
2.2.1.1. IDENTIFICACIÓN Y AUTENTICACIÓN ...................................................................................................... 28
2.2.1.2. ROLES ............................................................................................................................................................ 29
2.2.1.3. LIMITACIONES A LOS SERVICIOS ............................................................................................................. 30
2.2.1.4. MODALIDAD DE ACCESO........................................................................................................................... 30
2.2.1.5. UBICACIÓN Y HORARIO ............................................................................................................................. 30
2.2.1.6. CONTROL DE ACCESO INTERNO .............................................................................................................. 30
2.2.1.7. CONTROL DE ACCESO EXTERNO ............................................................................................................. 31
2.2.1.8. ADMINISTRACIÓN........................................................................................................................................ 31
2.2.2. DEFENSA DE LOS ATAQUES ...................................................................................................................... 32
T20
Página 1 de 57
2.2.3. POLITICA DE SEGURIDAD INFORMÁTICA .............................................................................................. 33
2.2.4. EVALUACIÓN DE RIESGOS......................................................................................................................... 33
2.2.5. IDENTIFICACIÓN DE UNA AMENAZA....................................................................................................... 33
2.2.6. ESTRATEGIA DE SEGURIDAD .................................................................................................................... 34
2.2.7. AUDITORIA Y CONTROL ............................................................................................................................. 34
2.2.8. PLAN DE CONTINGENCIA .......................................................................................................................... 34
2.2.9. EQUIPOS DE RESPUESTA A INCIDENCIAS .............................................................................................. 34
2.2.10. COPIAS DE RESPALDO (O BACKUPS)....................................................................................................... 35
2.2.11. PROGRAMAS ANTIVIRUS ............................................................................................................................ 35
2.2.12. HERRAMIENTAS DE SEGURIDAD.............................................................................................................. 36
2.2.13. SISTEMAS DE PROTECCIÓN A LA INTEGRIDAD Y PRIVACIDAD DE LA INFORMACIÓN .................. 37
2.3. AUDITORIA DE SEGURIDAD LÓGICA ................................................................................................................ 37
3. AMENAZAS, RIESGOS, VULNERABILIDADES Y ATAQUES .............................................................................. 39
3.1. AMENAZA ................................................................................................................................................................ 39
3.2. RIESGO...................................................................................................................................................................... 39
3.3. VULNERABILIDAD................................................................................................................................................. 40
3.4. ATAQUE.................................................................................................................................................................... 40
3.5. TIPOS DE ATAQUES ............................................................................................................................................... 41
3.5.1. INGENIERIA SOCIAL.................................................................................................................................... 41
3.5.2. INGENIERÍA SOCIAL INVERSA ................................................................................................................... 41
3.5.3. “TRASHING”................................................................................................................................................. 41
3.5.4. ATAQUES DE MONITORIZACIÓN .............................................................................................................. 42
3.5.5. ATAQUES DE AUTENTIFICACIÓN ............................................................................................................. 43
3.5.6. DENEGACIÓN DE SERVICIO (DOS - DENIAL OF SERVICE)................................................................... 45
3.5.7. ATAQUES DE MODIFICACIÓN-DAÑO....................................................................................................... 46
3.5.8. ERRORES DE DISEÑO, IMPLEMENTACIÓN Y DE OPERACIÓN ............................................................. 47
3.5.9. VIRUS INFORMÁTICOS................................................................................................................................ 47
3.5.10. MODELO DE VIRUS INFORMÁTICO.......................................................................................................... 49
4. CONCLUSIÓN ................................................................................................................................................................. 50
5. BIBLIOGRAFÍA .............................................................................................................................................................. 50
6. ESQUEMA – RESUMEN ................................................................................................................................................ 51
T20
Página 2 de 57
1. SEGURIDAD FÍSICA
1.1. INTRODUCCIÓN
Por lo general, cuando se habla de seguridad informática siempre se piensa en archivos de registro, copias de
seguridad, intrusos de red, en definitiva, pensamos en software. La realidad es que la seguridad informática
también implica otro aspecto muy importante y que generalmente permanece desatendido. Se trata de la
seguridad física de un sistema. ¿De qué sirve que nadie pueda acceder de forma autorizada a los recursos
lógicos del sistema, si cualquiera puede entrar por la puerta y llevarse el equipo debajo del brazo?
Por lo tanto, se deben tomar medidas en lo que respecta a la seguridad física del sistema, y por supuesto, cuando
se definen dichas medidas hay que tener en cuenta a las personas que trabajan con los equipos informáticos.
Lo primero que se debe hacer para poder asegurar correctamente una instalación es definir un plan de seguridad
física en el que se incluirán los siguientes apartados:
□ Una enumeración de los recursos físicos que se deben proteger.

□ Un estudio del área donde se encuentran los recursos.
□ Una descripción del perímetro y de los problemas potenciales o desventajas de colocar los equipos en él.
□ Una relación de las amenazas de las que hay que protegerse.
□ Un informe de las defensas y cómo mejorarlas.
□ Un presupuesto que contemple el valor de la información que se está protegiendo, los costes que
conlleva la recuperación de todo el sistema ante cada tipo de desastre y evaluación de las probabilidades
existentes de un ataque físico, accidente o catástrofe.
Un plan de seguridad física que no cubra los apartados anteriores no será válido. Además, un buen plan, deberá
contemplar también otras medidas de seguridad particulares adaptadas a cada situación que, en todo caso,
dependerán del entorno en el que se localiza el sistema.
El plan de seguridad ha de ser aprobado por la dirección de informática y contener tanto procedimientos como
información para ayudar a la recuperación de interrupciones en la operación del sistema.
Una vez definido y aprobado el plan de seguridad, no estaría de más que una empresa especializada en
planificación de seguridad lo revisase. Los documentos obtenidos (el plan de seguridad y la revisión por parte de
una empresa externa) deberán ser considerados como documentos de alta seguridad, puesto que en ellos se
relatan la situación y las medidas de seguridad de las que se dispone para atajar posibles incidencias, y podrían
ser usados de manera maliciosa.
Un buen plan de seguridad debe de ser probado y utilizado en condiciones anormales, para que en caso de
usarse en situaciones de emergencia, se tenga la seguridad que funcionará.
La prueba del plan de seguridad debe hacerse sobre la base de que la emergencia existe, evitando suposiciones
que, en un momento de emergencia, hagan inoperante el mismo.
El plan de seguridad una vez aprobado, se distribuye entre personal responsable de su operación, y por
precaución es conveniente tener una copia fuera de la dirección de informática.
En virtud de la información que contiene el plan de seguridad, se considerará como confidencial o de acceso
restringido.
La elaboración del plan y de los componentes puede hacerse en forma independiente de acuerdo con los
requerimientos de emergencia, La estructura del plan debe ser tal que facilite su actualización,
TEMARIO-TICC-mar04 T20
Actualizado en marzo de 2004 Página 3 de 57
Para preparar el plan se selecciona el personal que realice las actividades claves del plan. El grupo de
recuperación en caso de emergencia debe estar formado por personal de administración de la dirección de
informática y tener tareas específicas como la operación del equipo de respaldo, la interfaz administrativa, etc.
Los desastres que pueden suceder podemos clasificarlos así:
□ Completa destrucción del centro de cómputo.

□ Destrucción parcial del centro de cómputo.
□ Destrucción o mal funcionamiento de los equipos auxiliares del centro de cómputo (electricidad, aire,
acondicionado, etc.).
□ Destrucción parcial o total de los equipos descentralizados.
□ Pérdida total o parcial de información, manuales o documentación.
□ Pérdida del personal clave.
□ Huelga o problemas laborales.
La documentación que acompaña a todo plan debería estar en todo momento tan actualizada como sea posible,
ya que en muchas ocasiones no se tienen actualizadas las últimas modificaciones y eso provoca que el plan de
seguridad no pueda ser utilizado.
Cuando el plan sea requerido debido a una emergencia, el grupo deberá:
□ Asegurarse de que todos los miembros sean notificados.

□ Informar al director de informática.
□ Cuantificar el daño o pérdida del equipo, archivos y documentos para definir que parte del plan debe ser
activada.
□ Determinar el estado de todos los sistemas en proceso.
□ Notificar a los proveedores del equipo cual fue el daño.
□ Establecer la estrategia para llevar a cabo las operaciones de emergencias toman do en cuenta:
à Elaboración de una lista con los métodos disponibles para realizar la recuperación.
à Señalamiento de la posibilidad de alternar los procedimientos de operación (por ejemplo, cambios en
los dispositivos, sustituciones de procesos en línea por procesos en lote).
à Senalamlento de las necesidades para armar y transportar al lugar de respaldo todos los archivos,
programas, etc., que se requieren.
à Estimación de las necesidades de tiempo de las computadoras para un periodo largo.
Deberán tenerse todas las especificaciones de los servicios auxiliares tales como energía eléctrica, aire
acondicionado, etc. A fin de contar con servicios de respaldo adecuados y reducir al mínimo las restricciones de
procesos, se deberán tomar en cuenta las siguientes consideraciones:
□ Mínimo de memoria principal requerida y el equipo auxiliar que permita procesar las aplicaciones
esenciales.
□ Se debe tener documentados los cambios de software.
□ En caso de respaldo en otras compañías, previamente se deberá conocer el tiempo de computadora
disponible.
Es conveniente incluir en el acuerdo de soporte recíproco los siguientes puntos:
□ Configuración de equipos.
□ Configuración de equipos de captación de datos.
□ Sistemas operativos.
□ Configuración de equipos periféricos.
Como se puede observar, la protección del equipo se realizará de forma similar a la protección que debe recibir
cualquier otro objeto de valor, ya sea este un valor económico o no.
El mercado de material informático es amplio y eso debe dejar ver que al igual que joyas, coches y otras
pertenencias, los ordenadores se sitúan también en el punto de mira de muchos ladrones. Ya no sólo es el coste
económico del equipo robado, sino que a esto se debe añadir el valor de la información contenida en el mismo.
Por supuesto, las copias de seguridad también son muy importantes.
Dejando de lado la posibilidad de un robo, se pueden producir accidentes que den al traste con todo el sistema.
Muchos de estos accidentes pueden ser prevenidos e incluso evitados en algunas situaciones y en otras, de no
poder evitar que ocurran, siempre se puede establecer aquellas medidas que, al menos, reduzcan en lo posible
los daños y permitan una rápida recuperación.
Los ordenadores son unos aparatos muy sensibles al ambiente que les rodea. Una variación en algún aspecto
importante del ambiente puede hacer que el ordenador deje de funcionar, o lo que es peor, que funcione
cometiendo errores aleatorios.
En los siguientes apartados describiremos los riesgos, amenazas y vulnerabilidades más importantes a tener en
cuenta en la seguridad de un sistema de información. Y las medidas que se deben tomar para evitarlos. Por
ultimo veremos unos aspectos a tener en cuenta para auditar un sistema de información.
1.2. RIESGOS, AMENAZAS Y VULNERABILIDADES.
Un sistema informático está continuamente amenazado por los siguientes elementos:
□ Hackers, curiosos o vándalos.

□ Empleados o ex empleados.
□ Proveedores.
□ Clientes.
□ Competidores.
□ Gobiernos extranjeros.
□ Espías industriales.
□ La propia naturaleza.
Las siete primeras amenazas intentarán acceder a nuestro sistema informático generalmente para robar
información, y raramente su objetivo será destruir el propio sistema informático, al contrario de lo que sucede con
el último ítem, que siempre ocasionará un daño físico, por ejemplo un terremoto, tormentas, fuego, etc. Sin
embargo tampoco podemos obviar el hecho de que cualquiera puede provocar fuego, verter un vaso de agua en
el servidor etc.
Si el objetivo es evitar el robo de información, se estaría hablando de seguridad lógica, si por el contrario
pretendemos evitar el daño físico se estaría hablando de seguridad física. No se puede intentar separar un
concepto de otro y ambos deben estar correlacionados, ya que es inútil proteger el ordenador en una cámara
blindada, si después nos comunicamos sin utilizar ninguna infraestructura PKI, por ejemplo. Sin embargo el
objetivo del tema es la seguridad física, por eso a continuación solo se numeran los riesgos físicos que afectan a
un ordenador y una serie de medidas a tener en cuenta.
T20
Página 5 de 57
1.2.1. EL FUEGO
Quizás sea uno de los factores que más daño pueden causar, por ello es preciso que dedicarle la mayor atención.
Es muy raro que un ordenador soporte las altas temperaturas presentes en un incendio, llegándose en ocasiones
a fundir parte de los componentes electrónicos de su circuitería, e incluso los soportes de almacenamiento, como
el disco duro.
De todas formas, si un ordenador sobrevive al fuego, aún tendrá que hacerle frente al agua que, con certeza, se
usará para apagar éste.
Para empezar, es obligatorio por ley que se disponga de un sistema de extinción de incendios adecuado a la
instalación. Hoy día, la mayor parte de los sistemas nuevos que deben instalarse funcionan en base al dióxido de
carbono (CO2).
Son muy famosos los sistemas basados en Halón, muy populares hace algunos años pero su uso actual está en
detrimento porque el Halón es un gas que se dispersa fácilmente hacia la estratosfera, donde destruye la capa de
ozono.
Los fuegos se clasifican en función de su velocidad de ignición y según el combustible que los produce.
Por su velocidad de ignición los fuegos pueden ser de tres tipos:
□ TIPO A: de ignición lenta.

□ TIPO B: de ignición rápida.
□ TIPO C: de ignición violenta.
Esta clasificación del fuego es la menos usual. La más valida, que tiene el carácter de internacional y que figura
en tratados sobre la materia, es la que clasifica los fuegos en razón del material combustible que los origina.
De acuerdo con esta segunda clasificación se tienen los siguientes fuegos:
□ TIPO A: Son fuegos producidos por materiales sólidos como papel, madera, fibras y en general, todos
aquellos que durante su ignición producen brasas y como residuo de esa ignición, dejan ceniza. Los
materiales productores de fuego A se caracterizan por no tener desprendimientos de gases o vapores en
su presentación natural.
□ TIPO B: Los producidos por gases, líquidos o sólidos inflamables; para los últimos es condición esencial
el que tengan desprendimientos de gases, vapores o partículas, en su estado original.
□ TIPO C: Los que tienen su origen en equipos, dispositivos o conductores eléctricos. En este caso en que
se denominan fuegos eléctricos en realidad son fuegos que aunque producidos por la electricidad al
originar calentamientos, se producen en los materiales aislantes y no en los conductores. La electricidad,
en sentido estricto no produce fuegos, produce chispas o torna a los materiales en ígneos pero sin
inflamarlos ni ponerlos en estado de combustión.
□ TIPO D: Los que tienen su origen en cierto tipo de metales combustibles, tales como el zinc en polvo, el
aluminio en polvo, el magnesio, el litio, el sodio, el potasio, el titanio, etc.
A veces de manera errónea, se suelen denominar como fuegos D a los producidos por la combinación de dos o
tres de los fuegos anteriores. Esto es, a los fuegos en que intervienen sólidos y líquidos combustibles, sólidos y
fuegos eléctricos, o líquidos y fuegos eléctricos, etc.
La tabla siguiente muestra en detalle la clasificación de fuegos incluyendo además los agentes extintores y la
acción principal a llevar a cabo para su extinción:
Categoría de Tipos de Agentes extintores Acción a llevar a cabo
incendio combustible
A Papel, madera, Espuma – Soda – ácido – Eliminación del calor, por el
trapos, etc. Agua – HALOTRON I agua
B Líquidos Gas carbónico (CO2) – Polvo Neutralización del comburente
inflamables, aceites químico seco – Espuma – con sustancia no inflamable
y productos del HALOTRON I
petróleo (tintas,
gasolina, etc.)
C Equipos eléctricos Gas carbónico (CO2) – Polvo Neutralización del comburente
encendidos químico seco – Espuma – con sustancia no inflamable
HALOTRON I
D Metales Gas carbónico (CO2) – Polvo Neutralización del comburente
combustibles químico seco con sustancia no inflamable
Los detectores de fuego y humo se deben colocar cuidadosamente en relación con los aparatos de aire
acondicionado, ya que los conductores de éste pueden difundir el calor o el humo y no permitir que se active el
detector.
El detector de humo que se elija, debe ser capaz de detectar los distintos tipos de gases que desprendan los
cuerpos en combustión. Algunos no detectan el humo o el vapor que proviene del plástico quemado que se usa
como aislante en electricidad y, en consecuencia, los incendios producidos por un cortocircuito tal vez no se
detecten.
Los detectores de humo y calor se deben instalar en la sala de ordenadores, junto a las áreas de oficinas y en el
perímetro físico de las instalaciones.
También es necesario colocar detectores de humo y calor bajo el piso y en los conductos del aire acondicionado.
Las alarmas contra incendios deben estar conectadas con la alarma central de las instalaciones, o bien
directamente al cuerpo de bomberos si esto fuese posible.
Igual que en la detección, es importante que estos requerimientos no solo se apliquen en la construcción de la
sala de ordenadores, sino también, en las áreas adyacentes, por ejemplo, el almacén de papelería.
Para las cintas y los discos magnéticos que se usen en las instalaciones se necesitan lugares especiales de
almacenamiento, ya sea en la propia instalación o en puntos distantes. Los fabricantes de cajas de seguridad
para almacenamiento han acumulado gran experiencia. Sin embargo, se debe poner atención para cerciorarse de
que los recursos que se ofrecen satisfagan los estándares mínimos de la Asociación de seguros contra incendios
y de otros institutos.
La documentación de los sistemas, de los programas y de las operaciones también necesita protección contra
incendios. La destrucción de esta documentación puede imposibilitar el uso de programas o archivos de respaldo.
En muchas instalaciones protegidas con mecanismos de alta seguridad esta situación se ignora o bien la
documentación con la que se cuenta es obsoleta. Por tanto, se deben establecer procedimientos que garanticen
la actualización de toda la documentación como una actividad rutinaria y vigilar que las copias de seguridad se
almacenen en un lugar seguro dentro de las instalaciones o preferiblemente un lugar lejano a las mismas.
Con respecto al fuego, sería interesante tener en cuenta lo siguiente:
□ Disponer de un extintor a la entrada de la sala de ordenadores. Todo el personal que trabaje en el lugar
debe conocer el uso del extintor, para lo que es recomendable realizar prácticas anuales. Para dichas
prácticas se pueden usar aquellos extintores que necesiten ser recargados.
□ Revisar la carga de los extintores cada mes. De no hacerlo se corre el riesgo de enfrentarse a un incendio
con medios de extinción insuficientes.
T20
Página 7 de 57
□ Si el sistema usado es Halón o CO2, toda persona que entre en la sala de ordenadores deberá saber
cómo actuar en el momento de producirse una alarma. Todo debe estar correctamente señalizado,
indicando donde se encuentra el sistema de parada de la alarma, los extintores y, por supuesto, la salida
de emergencia.
□ Si el sistema de alarma es automático, hay que asegurarse de que se pueda cortar en caso de una falsa
alarma.
□ Que los operadores y los usuarios dispongan de un teléfono para poder alertar si descubren un fuego o
una falsa alarma.
□ De producirse una alarma, los sistemas de emergencia (bomberos) deberán ser alertados.
□ En algunos centros se tienen sistemas de aspersión. Pese a que en un principio pueda parecer absurdo,
hoy en día ya hay equipos que soportan el agua (no en funcionamiento, claro). En estas circunstancias
habrá que asegurarse de dos aspectos fundamentales. En primer lugar, debe tratarse de un sistema de
aspersión en seco, lo que quiere decir que el agua no se encuentra en las tuberías del sistema hasta que
no se dispara la alarma. En segundo lugar, el sistema deberá cortar el suministro eléctrico a los
ordenadores antes de activar los aspersores para evitar daños. Por supuesto, antes de encender los
equipos, después de la incidencia, se deberá comprobar que se encuentran totalmente secos. A esto hay
que añadir que se deberá proteger más el cableado para que quede completamente aislado del agua.
1.2.2. EL HUMO
Es quizás más dañino que el fuego porque se tiende a considerar el humo como algo natural y no como el
poderoso abrasivo que es. El humo tiende a almacenarse en los cabezales de las unidades de disco (ópticas y
magnéticas) y de las unidades de cinta. Y el humo es más tóxico de lo que se suele pensar.
Uno de los problemas más habituales que tiene que ver con el humo es el que se produce por el tabaco. Aparte
de los problemas de salud que puede derivar, el humo del tabaco se acumula muy fácilmente en partes muy
delicadas del ordenador, siendo una de las más afectadas el teclado. En este caso los consejos dados son los
siguientes:
□ Prohibir fumar en la sala de equipos y cerca de la gente que está usándolos.

□ Instalar detectores de humo en todas las habitaciones con equipos informáticos.
□ Instalar detectores de humo en todos los falsos techos y suelos.
1.2.3. EL POLVO
Si el humo es perjudicial, el polvo no lo es menos. Existe el mito de que el polvo es bueno para los equipos
electrónicos. No hay nada más lejos de la realidad, pues la mayor parte del polvo es conductor de la electricidad,
lo que puede inducir fallos de difícil detección. Además el polvo, así como el humo, es un abrasivo que tiende a
acumularse en las cabezas de lectura de los sistemas de almacenamiento.
A continuación de recogen algunos consejos para minimizar el impacto de este agente:
□ Mantener la sala de equipos lo más limpia de polvo posible.

□ Si los equipos disponen de filtros de aire, estos han de ser limpiados regularmente y sustituidos cada
cierto tiempo.
□ En el mercado existen aspiradores específicos para ordenadores. Usar regularmente estos artefactos por
la parte trasera de cada equipo e incluso teclado es una buena práctica.
□ En ambientes donde existe gran cantidad de polvo difícil de controlar, no estará de más el uso de fundas
o cubiertas para los teclados y los equipos que no se usen durante un largo periodo de tiempo.
T20
Página 8 de 57
1.2.4. TERREMOTOS
El mayor problema que aparece asociado a los terremotos lo ponen las personas del centro. Mientras que los
expertos saben que no es así, se considera que una zona de escasa actividad sísmica no debe preocuparse por
los terremotos. Estos, al igual que otras muchas catástrofes, de las consideradas naturales, responden a un factor
estadístico. Realmente cuando se dice que una zona es más o menos estable, lo que realmente se dice es que la
probabilidad de que se produzca un gran terremoto es muy baja, en algunos casos, casi nula, lo que no quiere
decir que no se pueda producir un terremoto en una zona teóricamente segura. Por tanto, nunca estará de más
tomar ciertas medidas de precaución como las que se exponen a continuación:
□ Evitar situar los equipos en superficies altas.

□ No colocar objetos pesados en las estanterías próximas a los equipos.
□ Para proteger los equipos de la caída de escombros, situarlos debajo de mesas resistentes.
□ No ubicar las mesas de los ordenadores cerca de las ventanas. Esto no solo implica un riesgo de que el
equipo pueda salir despedido por la ventana, sino que el mayor riesgo lo tienen las personas que se
encuentren en ese momento en la calle.
□ Plantearse la posibilidad de fijar los equipos a la superficie en la que se encuentran.
□ Y por supuesto, que todo el personal sepa como actuar en el caso de producirse un terremoto.
1.2.5. EXPLOSIONES
Hay que tener en cuenta un riesgo de explosión: el del propio edificio. Ya sea porque existan conductos de gas en
la proximidad, porque se almacenen productos inflamables o por acciones terroristas, el edificio donde se
encuentran los equipos que forman el sistema informático corre el riesgo de sufrir una explosión.
Algunas de las medidas de seguridad que se deberían tomar ante esta contingencia son las siguientes:
□ Estudiar la posibilidad real de una explosión. Si el riesgo proviene del almacenamiento de sustancias
peligrosas, será necesario cerciorarse de que están almacenadas en contenedores adecuados y de que
existen las debidas medidas de seguridad.
□ Guardar las copias de seguridad en un almacén a prueba de bombas o en una localización diferente a la
del sistema.
□ Mantener los ordenadores alejados de las ventanas pues se pueden ver afectados por la ruptura de los
cristales por efecto de la onda expansiva.
1.2.6. INSECTOS
Realmente los insectos forman ya una parte de la historia informática. Allá por los años 50, era muy habitual que
los grandes ordenadores de la época sufrieran fallos desconcertantes. En una ocasión, el Mark 1 de la
Universidad de Harvard estuvo inoperativo durante algunos días, hasta que una revisión a fondo desveló que la
avería se debía a una polilla atrapada entre los contactos de un relé. De este suceso, se adaptó el término sajón
bug (insecto) para denominar fallos en el software o en el hardware. En la actualidad, los equipos que funcionan a
base de relés son prácticamente objeto de museo.
Pero aun así, los ordenadores siguen siendo uno de los refugios favoritos de muchas clases de insectos, en
especial las fuentes de alimentación. No sería la primera vez que un ordenador resulta dañado porque una polilla
se ha quedado atrapada en la fuente de alimentación y está produciendo alteraciones en el suministro eléctrico.
Tampoco hay que descuidar el caso de las telas de araña, que actúan como un imán para el polvo, del que ya se
ha visto lo perjudicial que puede llegar a ser. También es reciente la noticia del descubrimiento de un hongo que
destruye los discos compactos si se dan unas condiciones de temperatura y humedad altas.
T20
Página 9 de 57
1.2.7. RUIDO ELÉCTRICO
Los motores, los grandes equipos y posiblemente los ordenadores, pueden generar ruido eléctrico, siendo esta la
causa de algunos problemas inminentes. Este ruido se transmite a través del aire o a través de las líneas
eléctricas cercanas.
Las reglas básicas para tener cierto control sobre el ruido eléctrico son:
□ Asegurarse de que no hay ningún equipo de alto consumo en el mismo circuito que alimente los equipos.
Algunos ejemplos son equipos de hace unos 20 años, los cuales tenían un alto consumo de electricidad y
requerían una línea eléctrica aparte.
□ En la medida de lo posible, instalar un circuito especial con una masa aislada para cada sistema.
□ Instalar un filtro de línea en la alimentación de los ordenadores.
□ Si existen problemas de electricidad estática, instalar una malla antiestática en la zona de los
ordenadores.
Los equipos de transmisión por radio pueden causar errores en el funcionamiento de los ordenadores cuando
están transmitiendo. En especial, los transmisores de alta potencia pueden dañar permanentemente los equipos.
En algunos sistemas antiguos se ha dado el caso, además, de haberse disparado el sistema de extinción de
incendios mediante una interferencia por radio. Otro caso muy habitual en la actualidad son los teléfonos móviles.
Afortunadamente, se trata de equipos de poca potencia, pero aun así, susceptibles de causar daños en los
equipos informáticos. De todos es conocida la interferencia producida en los monitores cuando se está realizando
una comunicación con un móvil.
Así pues, se deberían prohibir todas las transmisiones de radio en un entorno de dos metros con respecto a los
equipos.
1.2.8. TORMENTAS
De todos es conocido el riesgo que entrañan las tormentas para los equipos eléctricos. Las siguientes normas
deberían tenerse en cuenta para evitar daños relacionados con este fenómeno meteorológico:
□ Si es posible, desconectar los equipos durante las tormentas eléctricas. En algunos casos, por ejemplo en
los grandes servidores, esto no será posible, así que será necesario contar con algún tipo de protección
adicional como kits protectores contra descargas eléctricas.
□ Si las copias de seguridad se almacenan en un soporte magnético, deberán estar guardadas lo más lejos
posible de las estructuras metálicas del edificio.
□ Por supuesto, si fuese posible, se instalará un pararrayos en la zona.
1.2.9. VIBRACIONES
Existen vibraciones que causan daños en los sistemas informáticos. Estas, principalmente, pueden hacer que
algunos conectores que no estén bien colocados dejen de hacer conexión. Además, dispositivos de los equipos
informáticos como los discos duros son muy sensibles a las vibraciones y, una vibración más fuerte de lo normal
puede causarles daños irreversibles.
Los consejos a tener en cuenta con las vibraciones son los siguientes:
□ Colocar los ordenadores lo más lejos posible de las fuentes de vibración.

□ Si está en una zona de altas vibraciones, se puede colocar en el ordenador una goma o una esponja
especial para reducir las vibraciones exteriores.
□ No colocar la impresora encima de un equipo. Las impresoras son elementos mecánicos que generan
vibraciones.
T20
Página 10 de 57
1.2.10. HUMEDAD
Por lo general, se considera que la humedad es un enemigo de los equipos. Esto es cierto relativamente, ya que
la humedad también previene de las descargas eléctricas que pueden llegar a producirse por la electricidad
estática acumulada en los circuitos del ordenador. Para evitar que la humedad se convierta en un problema, es
recomendable seguir los siguientes consejos:
□ El nivel mínimo de humedad de la sala de ordenadores no debe ser inferior al 20%, salvo que las propias
especificaciones de los equipos así lo indiquen. El nivel máximo se establecerá siempre de forma que
impida la condensación de la humedad produciendo agua, lo que se consigue manteniendo dicho nivel
por debajo de los valores indicados en la documentación de los equipos.
□ Los valores de humedad relativa dependen de la temperatura de la sala de ordenadores. No se debe
olvidar nunca este detalle. Si la temperatura es baja, la humedad relativa ha de ser menor que si la
temperatura fuese alta.
□ Si se quiere un funcionamiento perfecto, es conveniente contar con sensores de humedad que detecten
cuando ésta excede de los límites establecidos.
1.2.11. AGUA
Este es uno de los mayores enemigos de los ordenadores puesto que el agua puede llegar a producir un
cortocircuito. El agua no es un buen conductor de la electricidad, pero si lo es la sal que fácilmente se puede
encontrar en ella, y la suciedad que rodea al equipo. Este cortocircuito puede provocar el daño irreparable de
algunos componentes del ordenador. Las principales fuentes de agua que suponen una amenaza para los
ordenadores suelen ser las lluvias y las inundaciones.
Pero no sólo es necesario preocuparse en que llueva o se esté en una zona con alto riesgo de inundaciones. El
agua puede aparecer de los lugares más extraños: una cañería rota que pase por cerca de la sala de
ordenadores, el agua usada en ocasiones para apagar incendios, actos de vandalismo, etc.
Las precauciones aplicables en este caso serán las siguientes:
□ Instalar un sensor de agua en el suelo, cerca de la sala de equipos.

□ Si la sala de equipos está levantada sobre un falso suelo, instalar detectores de agua debajo y encima del
falso suelo.
□ Si una zona es susceptible de sufrir inundaciones o filtraciones subterráneas de los sistemas de riego
próximos al edificio, no ubicar equipos en la primera planta.
□ Debido a que el nivel del agua sube, sería conveniente contar con dos detectores de agua a distintos
niveles. De esta forma, cuando se alcanzase el primer nivel se produciría una alarma de aviso. Al llegar
al segundo nivel, automáticamente se debería cortar el suministro eléctrico de los equipos. Al usar un
sistema de corte de electricidad automático, se evitan daños mayores en el caso de que la persona
encargada de vigilar la alarma se encuentre en ese preciso momento ocupada.
1.2.12. PRESENCIA DE COMIDAS Y BEBIDAS
Los accidentes no se pueden prevenir, pero si se puede prevenir el riesgo de que se produzcan. Uno de los
mayores factores de riesgo para causar accidentes es la comida y la bebida. Al igual que el agua, se corre el
riesgo de derramar el líquido sobre el equipo, especialmente sobre el teclado, provocando su inoperatividad.
Con la comida sucede lo mismo, especialmente con la comida grasienta. La grasa se acumula en los dedos de
las personas y las migas son residuos que se acumulan sobre todo en los teclados de los equipos. La mejor
solución, pese a ser algo muy estricto, es mantener la comida alejada de los ordenadores.
1.2.13. ACCESO FÍSICO
Otro de los problemas de seguridad que se encuentran en muchos sistemas informáticos es el acceso físico al
recinto. No sirve de nada tener el mejor cortafuegos si cualquier persona puede acceder físicamente al equipo
principal. No es preciso recalcar que los servidores deberían estar en una sala bajo llave, pero aun así hay que
tener en cuenta los posibles fallos en los sistemas de acceso. Es el caso de los falsos techos, los suelos y los
conductos de ventilación que hay en la mayor parte de los edificios de oficinas. En muchas ocasiones, las
paredes no se extienden por encima y por debajo de estos falsos techos y suelos. Con esto se está permitiendo el
acceso a otras dependencias del mismo edificio, simplemente entrando por alguna de ellas. La mejor forma de
eliminar riesgos es asegurándose que estas paredes sí llegan hasta el techo y suelo auténticos.
Con respecto a los conductos de ventilación sería recomendable reducir el tamaño de los mismos, incrementando
su número en vez de usar pocos y grandes. Evidentemente el uso de rejillas en los conductos de ventilación, no
solo en los extremos, sino incluso dentro de los propios conductos será algo imprescindible.
Otro problema son las paredes de cristal que abundan hoy en día en muchas oficinas. Las paredes de cristal
pueden romperse, dejando vía libre para causar daños en los equipos. Si es preciso mantener una buena
iluminación y, por tanto, usar paredes de cristal, no hay que dudarlo, debe usarse cristal blindado.
1.2.14. ACTOS DE VANDALISMO
Los actos de vandalismo hacia los sistemas informáticos son mayores que lo que en un principio se suele
sospechar. Los propios trabajadores (un trabajador despedido que quiere vengarse, un golpe de violencia o
simplemente un descerebrado que pretende divertirse) pueden poner en peligro los equipos. Por ejemplo, los
agujeros de ventilación de los equipos son un claro objetivo.
Hace algunos años 60 estaciones del Instituto Tecnológico de Massachusetts fueron destruidas por un vándalo
que derramó una bebida dentro de los agujeros de ventilación. Las autoridades descubrieron que se trataba de un
estudiante que no había logrado resolver un conjunto de problemas para el día siguiente. Lo que se puede hacer
es prohibir la entrada de comida y mantener una cierta vigilancia de los ordenadores.
Por otra parte, tenemos el cableado de la red. Según la estructura de red establecida, es fácil detener toda la red
o una parte de ella, simplemente cortando el cable. Una forma de incrementar la funcionalidad de la red es
reduciendo las posibilidades de quedarnos sin ella al cortar un cable, es usar una topología de red en estrella. Las
redes que usan fibra óptica son más vulnerables a este tipo de ataques, dada la delicadeza habitual de este tipo
de cables y la mayor dificultad que entraña su reparación, siendo la forma más normal la sustitución total del
elemento dañado. Pero, en muchos casos no será posible prescindir del alto rendimiento que proporciona la fibra
óptica frente a otros medios de transmisión, y menos con las demandas de ancho de banda necesarias hoy en
día. La mejor forma de asegurar los cables es llevarlos por medios seguros, como canaletas o tuberías metálicas.
En el caso de los cables Ethernet, los que llevan una señal eléctrica, es muy recomendable esta última opción.
Con esto se tendrá una protección extra contra un posible espionaje. Algunas instalaciones de seguridad usan
muros dobles y conductos sellados con gas presurizado entre las distintas capas. Usan además un sensor de
presión, de manera que cuando se produce una variación en la presión, como la ocasionada al romper las
paredes del conducto para acceder al cable, salta una alarma. La protección física de los cables de red es algo
muy importante. Una instalación inicial adecuada, protegiéndolos bajo conductos eléctricos, ayudarán a ahorrar
una importante cantidad de dinero en futuras reparaciones.
Con respecto a los cables de fibra óptica, los cuidados deberán ser diferentes en determinados aspectos. Por
ejemplo, un cable de fibra óptica no se ve afectado por ruidos eléctricos, pero, sin embargo, es más sensible a las
pisadas y los golpes. Una fractura en este tipo de cables es muy difícil de localizar, así que realizar una
instalación de los cables de la manera correcta es una buena elección. En las redes Ethernet con una topología
en bus es más fácil deshabilitar una red por completo, simplemente eliminando el terminador de red. En
ocasiones esta avería se produce accidentalmente. Si se piensa en un enfrentamiento con un vándalo, se ha de
tener en cuenta que, con una red con topología en bus o anillo, este podrá destruir todos los equipos de la red
simplemente conectando uno de los extremos del cable a una toma de tensión.
T20
Página 12 de 57
1.2.15. ROBOS
Otro factor importante es la posibilidad de robos en el sistema. Los ordenadores son piezas muy lujosas para los
amigos de lo ajeno. La primera medida de protección debería ser fijar los equipos a las mesas o escritorios,
usando dispositivos que existen a tal efecto. Con esto no se evita el robo, pero se reducen los riesgos. Otra
medida importante a tomar es la encriptación de los datos que hay en los ordenadores. Así, en caso de robo, los
ladrones sólo podrán aprovecharse del equipo en si, y no de la información que contiene.
Asimismo, hay que prestar atención a las piezas de los equipos, también muy llamativas para cierto tipo de
ladrones (elementos como memoria, tarjetas de red, cables e incluso procesadores). Habrá que cuidar también el
no dejar al alcance de cualquiera, disquetes o cualquier otro medio de almacenamiento que contenga información
importante. En el caso de que se produzca un robo, se ha de estar preparado para recuperar el funcionamiento
total de los equipos en el mínimo de tiempo posible. Será necesario, entonces definir un plan de recuperación,
que consistirá en la adquisición rápida de nuevos equipos y reinstalación mediante copias de seguridad.
1.2.16. ESPIONAJE
El espionaje electrónico, dentro del espionaje industrial, es más común de lo que se piensa. No hará falta ir muy
lejos para comprobar como alguien con conocimientos adecuados puede tener acceso a los cables de la red
informática, y así tener conocimiento de todo lo que se está transmitiendo por la red en ese momento. Por ello es
conveniente que el cableado esté perfectamente protegido, al menos dificultando la tarea del espía. La forma más
llamativa y a la vez más peligrosa de espionaje es la que se basa en las radiaciones electromagnéticas emitidas
por los equipos, siguiendo lo que se denomina TEMPEST (Transient ElectroMagnetic Pulse Standard). La fibra
óptica es un buen remedio, ya que es más difícil de obtener datos de la escasa o casi nula radiación
electromagnética que genera, aunque existen dispositivos preparados a tal efecto.
1.3. MEDIDAS DE PROTECCIÓN Y ASEGURAMIENTO
A la hora de adoptar medidas de seguridad física se deben de tener en cuenta los siguientes puntos:
□ Ubicación física y disposición del centro de cómputo.

□ Instalaciones físicas del centro de cómputo.
□ Control de acceso físico.
□ Aire acondicionado.
□ Instalación eléctrica.
□ Riesgo de inundación.
□ Protección, detección y extinción de incendios.
Se verán a continuación cada uno de estos puntos en detalle.
1.3.1. UBICACIÓN FÍSICA
Las salas donde se ubiquen los equipos principales de proceso de datos debe dotarse de medidas de seguridad
acordes con las características del equipo a proteger, su valor y su importancia. Generalmente, dependiendo del
tamaño de la empresa, existen profesionales dedicados a recomendar las mejores ubicaciones físicas, imaginese
por ejemplo, el centro de proceso de datos (CPD) de un banco.
Obviamente, las condiciones físicas de una sala que contenga un 'mainframe' han de ser mucho más rigurosas
que las de la sala donde se ubique un microordenador, ya que a un microordenador puede que no le afecte en
demasía el calor, pero a un supercomputador si. Aunque para una PYME su microordenador donde realiza sus
pedidos, sus ventas, donde aloja su página web, tiene la misma importancia que para una gran empresa su
mainframe. Solo hay que pensar que le pasaría a una empresa que pierda su ordenador con toda la información
(base de datos, pedidos, etc), puede ocasionar incluso su bancarrota.
En los siguientes párrafos se darán una serie de pasos para la correcta ubicación de centro de procesos de datos.
La selección de la ubicación del CPD debe realizarse buscando la parte más conservadora y clandestina, la cual
debe estar lejos del área del tránsito de gran escala, tanto terrestre como aéreo. También lejos de equipos
eléctricos tales como radares y equipos de microondas, etc. El objetivo es mantenerlo tan lejos como se pueda de
cualquier tipo de amenaza.
En la medida de lo posible, el centro de cómputo no debe de contener señal alguna que lo identifique como tal
ante la gente externa.
Incluso se recomienda que el sistema de cómputo sea construido en un edificio separado, de forma que facilite el
control de acceso y disminuya el riesgo.
Entre los aspectos que se deben tomar en consideración están la planeación de la distribución física del equipo
de cómputo, los riesgos concernientes a desastres naturales –inundaciones, fuego, fallas eléctricas, polvo, etc.–,
así como la luz solar –si la exposición es muy fuerte, debe evitarse el uso del vidrio; en los casos que no sea
posible, pueden utilizarse persianas externas–.
Los suelos sometidos a vibraciones o la proximidad de maquinaria pesada o de vías de comunicación

(ferrocarriles, puentes, etc.) pueden ocasionar daños en los discos, por el peligro del 'aterrizaje' de los cabezales
de lectura y grabación. Por otro lado, hay que considerar la resistencia del suelo en instalaciones grandes, para
evitar el riesgo de hundimientos de la estructura por sobrecarga.
Partiendo de que la estructura del inmueble está hecha con capacidad y estabilidad, es conveniente considerar
los tipos de riesgos o conflictos que presentan cada uno de los niveles. Tomando en cuenta los factores
inherentes del local podemos determinar estos riesgos o conflictos en los diferentes niveles de un inmueble.
En los sitios donde la información es altamente sensible se debe tomar en cuenta también el riesgo producido por
las emanaciones electromagnéticas o acústicas del hardware, ya que éstas pueden ser interceptadas con relativa
facilidad en una distancia menor a los 300 metros. Para ello, la opción es la separación de los dispositivos de los
puntos potenciales de interrupción.
1.3.2. INSTALACIONES FÍSICAS DE LA EMPRESA
La construcción o selección del lugar es un factor determinante en el correcto funcionamiento de una empresa
con información gestionada por ordenador, ya que de ella depende la mayor protección y seguridad de uno de los
elementos más importantes de cualquier organización.
En la selección del local se deben considerar dos alternativas:
□ Partir de cero: considerar todas las cuestiones del medio ambiente externo que rodean el inmueble, de tal
forma que la ubicación del local destinada al equipo sea el lugar más idóneo.
Aquí se realiza el estudio desde la localización que consiste en determinar el lugar adecuado donde sean
favorables los factores naturales, de servicios y de seguridad. Estos factores se derivan de la importancia
que tiene la seguridad en un CPD para salvaguardar los recursos que garanticen el funcionamiento de
cualquier organización ya instalada en el sito o lugar seleccionado.
□ No partir de cero: cuando en la organización ya se tenga destinado el local o espacio físico y no hay otra
alternativa, se deben realizar los arreglos necesarios para la instalación. De esta forma, en base al
espacio que se tiene, se harán las modificaciones necesarias para la instalación del sistema y se tomarán
todas las medidas correspondientes para evitar cualquier riesgo o percance.
T20
Página 14 de 57
Para determinar si se cuenta con un buen local debemos de tener en cuentas los aspectos físicos y sus
requerimientos:
1.3.2.1. FACTORES INHERENTES A LA LOCALIDAD
Son aquellas condiciones del medio ambiente externo que rodean al local. Se dividen en :
Naturales.
Se está expuesto a múltiples peligros que están fuera del control del hombre, como es el caso del frío, el calor, las
lluvias, los seísmos y el peligro del terreno (como el hundimiento del piso).
Para prevenir los desastres de tipo natural se necesita una buena elección del lugar en el que se va a situar el
centro, y una planificación cuidadosa de la distribución y materiales, además de realizar un plan de recuperación.
Es necesario consultar a una persona capacitada que asegure que el edificio soportará el peso de las máquinas.
Servicios.
Considerar que la zona a seleccionar cuente con los servicios básicos, así como los que se requieren para el
funcionamiento del lugar, que se encuentren disponibles y operen eficientemente. Entre los factores a considerar
tenemos las líneas telefónicas, la energía eléctrica, el drenaje, las facilidades de comunicación, antenas de
comunicación y líneas para enlace radioeléctricas.
Seguridad.
Se basa en que la zona sea tranquila, que no esté expuesta a riesgos de alto grado, que no sea un lugar
desolado o desprotegido. También se debe prever que alrededor del edificio no existan fuentes que propicien
incendios fácilmente.
Se debe considerar también el peligro de inundación, por lo que es necesario ver los niveles de la calle contra los
niveles del edificio, de tal manera que estos últimos sean un punto en el que desemboque los demás y que las
avenidas donde se encuentre el local no estén propensas a ser ríos de agua. Entre otros factores tenemos el
vandalismo, el sabotaje y el terrorismo.
1.3.2.2. FACTORES INHERENTES A LA SALA DE ORDENADORES
La construcción del interior de la sala de ordenadores también tiene gran importancia. Es importante considerar
las características físicas que deben tener las instalaciones para proporcionar seguridad. Entre los factores que
encontramos están:
□ Piso falso Se debe tener en cuenta la resistencia para soportar el peso del equipo y el personal. Entre
otras consideraciones están:
à Sellado hermético.
à Nivelado topográfico.
à Posibilidad de realizar cambios en la situación de unidades.
à Aterrizado para evitar cargas electrostáticas.
à Debe cubrir los cables de comunicación entre la unidad central de proceso y los dispositivos
periféricos, cajas de conexiones y cables de alimentación eléctrica.
à Deberá proporcionar seguridad al personal.
à Debe permitir que el espacio entre los dos suelos actúe como una cámara plena de aire, que facilite
el reparto de cargas.
T20
Página 15 de 57
à La altura recomendable será de 30 cm si el área de la sala de cómputo es de 100 metros cuadrados
o menos, y de 40 a 60 cm si es mayor de 100 metros cuadrados. La altura mínima podrá ser de 18
cm si la sala es pequeña. Todo lo anterior es con objeto de que el aire acondicionado pueda fluir
adecuadamente en la cámara plena.
à Puede ser de acero, aluminio o madera resistente al fuego.
à El mejor piso deberá estar soportado por pedestales o gatos mecánicos.
à Cuando se utilice como cámara plena para el aire acondicionado, tendrá que cubrirse el piso firme
con pintura antipolvo.
□ Cableado: Se debe procurar que quede por debajo del piso falso, donde es importante ubicar los cables
de forma que se aparten:
à Los cables de alto voltaje para el ordenador.
à Los cables de bajo voltaje conectados a las unidades de los equipos.
à Los cables de telecomunicación.
à Los cables de señales para dispositivos de monitoreo o detección (fuego, temperatura, humedad,
etc.).
□ Paredes y techo
à Las paredes irán con pintura plástica lavable para poder limpiarlas fácilmente y evitar la erosión.
à El techo real deberá pintarse, así como las placas del falso techo.
à Es mejor usar placas metálicas o de madera prensada para el piso falso con soportes y amarres de
aluminio.
à La altura libre entre el piso falso y el techo falso debe estar entre 2.70 y 3.30 metros para permitir la
movilidad del aire.
□ Puertas de acceso
à Las puertas del local serán de doble hoja y con una anchura total de 1.40 a 1.60 cm.
à Es necesario una salida de emergencia.
à Tener en cuenta las dimensiones máximas de los equipos si hay que atravesar puertas y ventanas de
otras dependencias.
□ Iluminación
à Los reactores deben estar fuera de la sala, ya que generan campos magnéticos, o en su caso deben
aislarse.
à La iluminación no debe alimentarse de la misma acometida que los equipos de cómputo.
à En el área de máquinas debe mantenerse un promedio mínimo de 450 luxes a 70 cm del suelo.
à Debe evitarse la luz directa para poder observar la consola y las señales.
à Del 100% de la iluminación, deberá distribuirse el 25% para la iluminación de emergencia y se
conectará al sistema de fuerza ininterrumpible.
□ Filtros
à Se requieren filtros con una eficiencia del 99% sobre partículas de 3 micrones.
à Si hay contaminantes, elegir los filtros adecuados.
à El aire de renovación o ventilación será tratado tanto en temperatura y humedad como en filtrado
antes de entrar en la sala.
à Son recomendables los tipos de humificadores de vapor.
1.3.2.3. ACONDICIONAMIENTO DEL LOCAL
Consiste en realizar las modificaciones necesarias a la planta o espacio que se ha asignado para la ubicación del
equipo de cómputo. Se deben prever aspectos como dimensiones de puertas de acceso, situación de columnas,
elevación de paredes, etc.
El acondicionamiento inicia con la distribución del espacio tomando en cuenta la eficiencia operativa y la
seguridad de la información.
Para adecuar el local a los requerimientos del CPD se deben distribuir los espacios del local de acuerdo a las
necesidades.
Necesidades de espacio
Se determinan por las especificaciones técnicas de los equipos, las cuales se encuentran en el material que el
proveedor debe proporcionar cuando se adquiera el equipo.
El espacio debe tener forma y tamaño adecuados. Es preferible evitar las áreas de formas extrañas; por lo
general, las mejores son las formas rectangulares.
Debe considerarse la situación de columnas, con el fin de que estas no estorben y que el espacio se pueda
adecuar de la mejor forma en el momento de realizar la distribución en la planta. Es aconsejable calcular las
futuras necesidades de espacio y tomar en cuenta estos cálculos al considerar la adaptabilidad en el mismo.
Las futuras necesidades significan algo más que sólo reservar un espacio mayor que el adecuado para las
necesidades actuales. Debe tenerse presente el dónde y el cómo de los futuros cambios que alteran las
cualidades y necesidades de espacio.
1.3.3. CONTROL DE ACCESO FÍSICO
El principal elemento de control de acceso físico involucra la identificación del personal que entra o sale del área
bajo un estricto control, tanto de día como de noche.
Si no queda claro porque hay que tener tanto control sobre quien sale y entra basta con poner el ejemplo del
ordenador que robaron en el CPD de VISA International’s San Mateo en California, que le costo a la empresa
unos 6 millones de dólares en indemnizaciones.
Los parámetros asociados a la identificación del personal y por tanto al acceso físico son los siguientes:
□ Algo que se porta: Consiste en la identificación mediante algún objeto que porta tal como, tarjetas
magnéticas, llaves o bolsas. Por ejemplo, las tarjetas pueden incluir un código magnético, estar
codificadas de acuerdo al color (rojo para los programadores, azul para los analistas, etc), e inclusive
llevar la foto del propietario. Un problema con esta técnica, sin embargo, es la posibilidad de que el objeto
que se porta sea reproducido por individuos no autorizados. Es difícil pero no imposible reproducir una
tarjeta con código magnético. Es por esta razón que esta técnica se utiliza en conjunción con otros
identificadores para proporcionar una identificación positiva.
□ Algo que se sabe: Implica el conocimiento de algún dato específico, como el número de empleado, algún
número confidencial, contraseña o combinación, etc.
□ Algunas características físicas especiales: La identificación se realiza en base a una característica
física única. Estas características se dividen en dos categorías:
à Neuromuscular: tales como firma o escritura.
à Genética: tales como la geometría del cuerpo (mano, iris, retina, etc), huellas digitales,
reconocimiento de patrones de voz, apariencia facial, impresión de las huellas de los labios, patrones
de ondas cerebrales, etc.
T20
Página 17 de 57
Los siguientes controles de seguridad física deberían ser tenidos en cuenta dentro de cualquier organización:
□ Cerraduras: incluyendo llaves tradicionales, cerraduras electrónicas y biométricas

□ Guardias de seguridad
□ Cámaras de video vigilancia
1.3.3.1. CERRADURAS
Las cerraduras son la primera línea de defensa para evitar intrusos en una organización. Todas aquellas salas de
nuestra empresa que alberguen equipos informáticos deben estar protegidas con algún tipo de cerradura.
Llaves tradicionales
Son un método efectivo para controlar el acceso a zonas restringidas, solo las personas que posean la llave
podrán entrar en una u en otra habitación. El problema de las llaves es la necesidad de tener una especie de
portero, alguien en quien se confié lo suficiente como para dejar a su cargo la gestión de todas las llaves. La
mayor parte de las organizaciones usan un cajetin con llaves, generalmente ubicado junto la secretaria. Esto no
es un buen método de disuasión contra los intrusos ya que basta con despistar a la secretaria o esperar a que
vaya al servicio para acceder a las llaves.
Si no se tienen en cuenta estos aspectos, se puede llegar a un falso estado de seguridad difícil de subsanar.
Cerraduras electrónicas
Las cerraduras electrónicas eliminan la necesidad de poseer físicamente una llave, simplemente basta recordar
un código para entrar en un área determinada. El problema de este método es el hecho de cambiar y por lo tanto
distribuir las contraseñas.
Cerraduras biométricas.
Es aquel acceso que se basa en el reconocimiento de una o mas características físicas inherentes de una
persona como son las huellas digitales, la retina ocular, el iris, la firma, reconocimiento de voz, etc.
Debido a su alto coste, este tipo de cerraduras solo se ubican en aquellos sitios donde existen maquinas que
necesitan un alto grado de seguridad.
1.3.3.2. GUARDIAS Y ESCOLTAS ESPECIALES.
Son unos componentes importantes de una organización. A pesar de que no son la policía, son un elemento
importante de disuasión con respecto a ladrones, y visitantes sin autorización. Éstos pueden estar ubicados en
lugares estratégicos donde exista más vulnerabilidad. Es recomendable que todos los visitantes que tengan
permisos para recorrer el centro de cómputo sean acompañados por una persona designada como escolta.
Aquellas organizaciones que utilizan los servicios de una compañía de seguridad externa, deben de dejar patente
en un contrato las responsabilidades que asume la compañía de seguridad.
1.3.3.3. CÁMARAS DE VIDEO VIGILANCIA.
Al igual que los guardias de seguridad, las cámaras de video vigilancia son un elemento de disuasión frente a
intentos de acceder de forma no legal a la empresa, además de ofrecer una prueba irrefutable de crimen y de
conducta deshonesta de empleados, debiendo aparecer en el video la fecha y hora de la grabación.
Se ubican en posiciones estratégicas que permiten vistas completas de las puertas de acceso del edificio, asi
como de los equipos que se quieren proteger.
Las videocámaras no sirven de nada si no existen monitores que muestren las imágenes captadas. Generalmente
estos monitores se ubican en una sala del CPD, en la cual habrá siempre alguien pendiente de ellas. Se puede
dar el caso de que existan menos monitores que videocámaras, en ese caso, las imágenes irán rotando a
intervalos de 30 segundo entre los monitores.
1.3.4. AIRE ACONDICIONADO
En todas las instalaciones hay grandes problemas con el aire acondicionado; el riesgo que éste implica es doble:
□ El aire acondicionado es indispensable en el lugar donde la computadora trabaja; las fluctuaciones o los
desperfectos de consideración pueden ocasionar que la computadora tenga que ser apagada.
□ Las instalaciones de aire acondicionado son una fuente de incendios muy frecuente, y también son muy
susceptibles al ataque físico, especialmente a través de los conductos.
Para poder afrontar estos riesgos se requiere lo siguiente:
□ Se deben instalar equipos de aire acondicionado de respaldo donde ya se hayan establecido las
aplicaciones de alto riesgo. En centros de cómputo grandes, los intercambiadores de calor y torres de
enfriamiento están a menudo ubicados en las azoteas, y dentro del cuarto de computadoras estarán las
tuberías, válvulas, bombas, unidades de enfriamiento, y otros equipos relacionados. También es
recomendable instalar unidades modulares, para que los componentes se puedan reemplazar fácilmente.
□ Se deben instalar redes de protección en todo el sistema de conductos al interior y al exterior.
□ Se deben instalar extintores y detectores de incendios en los conductos.
□ Se deben instalar monitores y alarmas para humedad, temperatura y flujos de aire efectivos.
Aun cuando el equipo de aire acondicionado funcione adecuadamente, la habilidad de regular y dirigir el flujo de
aire, es otra dificultad ya que difícilmente alguien trabajará a gusto si la corriente de aire es muy frecuente.
Una gran dificultad que ha surgido con los sistemas de aire acondicionado, en especial en los países cálidos, es
el efecto del polvo y de la exposición al sol. Las entradas de aire fresco no deben estar al nivel del suelo y deben
colocarse lejos de las áreas donde haya polvo. Deben utilizarse los filtros adecuados para proporcionar aire limpio
al centro de cómputo.
Para realizar una buena instalación del aire acondicionado se debe tomar en cuenta lo siguiente:
□ Capacidad del equipo de aire acondicionado

à Disipación térmica de las máquinas.
à Disipación térmica de las personas.
à Cargas latentes, aire de renovación.
à Pérdidas por puertas y ventanas.
à Transmisión de paredes, techos y suelo.
à Disipación de otros aparatos.
à Las cargas caloríficas del equipo de cómputo y sus periféricos las proporcionará el proveedor
especificándose en BTU/horas o en Kcal./horas.
à El proveedor del equipo de cómputo también proporcionará la cantidad de aire que requieran los
ventiladores de los diferentes dispositivos de cómputo, por lo regular en pies cúbicos por hora o en
metros cúbicos por hora.
T20
Página 19 de 57
à El aire acondicionado para la sala de cómputo deberá ser independiente del aire general del edificio.
à El calor disipado por los diferentes dispositivos de cómputo, obligan a necesitar aire frío todo el año.
□ Distribución del aire en la sala
à Los componentes de las máquinas se refrigeran, normalmente, mediante la circulación rápida de aire
por ventiladores.
à La entrada de aire se efectúa por debajo de las máquinas a través de las rejillas.
à El aire caliente es expulsado por la parte superior de las máquinas.
à Debe considerarse con cuidado el sistema de distribución para eliminar áreas con excesiva velocidad
de aire.
à El aire de renovación o ventilación vendrá en función del volumen de la sala. Se proyectará para
obtener de 1.5 a 2 renovaciones por hora y para crear una sobrepresión que evitará la entrada de
polvo y suciedad por las puertas, procedentes de las zonas adyacentes.
à En las zonas contaminadas de aire de renovación deberá descontaminarse previamente.
1.3.5. INSTALACIÓN ELÉCTRICA
De la instalación eléctrica dependen todos los equipos, por lo que un fallo en la instalación puede llegar a
provocar serios daños al equipo así como detenerlo completamente.
Es necesario conocer y tener presentes los voltajes de trabajo especificados por los proveedores del equipo, del
equipo de aire acondicionado y del equipo adicional. Para el equipo de cómputo y aire acondicionado se requiere
corriente regulada e ininterrumpida.
1.3.5.1. CORRIENTE REGULADA
Para aquellos equipos sofisticados, cuyas tolerancias en las variaciones en los voltajes son mínimas para su
adecuado funcionamiento, se requiere contar con un regulador de voltaje.
El regulador está diseñado para trabajar en un rango de voltaje determinado: si el voltaje que recibe de la
compañía eléctrica es regular, lo deja pasar hacia la carga, pero si llega con variaciones que están dentro de sus
limites de operación, lo eleva o disminuye para dar como salida un voltaje constante que alimenta a la carga
siempre y cuando el voltaje de entrada no rebase las tolerancias establecidas por el fabricante del regulador.
En el mercado existen reguladores que aceptan un voltaje de entrada entre 95 y 145 volts y dan como salida un
voltaje de 115 volts, además de que cuentan con un sistema que los desactiva automáticamente en caso de un
sobrevoltaje.
1.3.5.2. SISTEMA DE ALIMENTACIÓN ININTERRUMPIDA
Los sistemas de alimentación ininterrumpida (SAI o UPS uninterrupted power suply) proveen continuamente
energía a los equipos. Tiene las siguientes funciones:
□ Regular la cantidad de energía eléctrica que llega al PC.

□ Proporcionar energía eléctrica continua en caso de avería en el suministro de la misma por parte de la
compañía encargada de ello (el tiempo en el que el sistema de alimentación ininterrumpida proporcione
energía depende de la capacidad de las baterías y de la carga que tiene que alimentar).
□ En el caso de que exista una planta generadora de energía, esto le dará tiempo para que alcance su
carga plena.
T20
Página 20 de 57
Se pueden considerar los tres tipos de sistemas de alimentación ininterrumpida:
□ Básico: Es el que proporciona energía a un número limitado de dispositivos: la CPU y los discos duros. El
sistema funciona durante unos minutos; si la corriente no vuelve en un tiempo especifico, generalmente
unos minutos, hay que guardar la información y apagar el equipo.
□ Completo: permite que el equipo trabaje normalmente. Requiere que el micro y los controladores de los
medios de almacenamiento estén conectados a él.
□ Redundante: El tipo redundante utiliza un sistema de alimentación ininterrumpida adicional en caso de
que el sistema principal falle. Se utiliza sólo para centros que requieren de gran seguridad, ya que es muy
difícil que un sistema de alimentación ininterrumpida falle; supone una gran inversión.
En el uso de estos sistemas debe tenerse en cuenta lo siguiente:
□ El tiempo de interrupción en el suministro de energía eléctrica es variable.

□ Proporciona operación continua para un tiempo finito que permite apagar el equipo correctamente.
□ Cuando la energía se corta el SAI emite un pitido continuo.
□ El costo de un sistema de alimentación ininterrumpida se incrementa de acuerdo al tiempo que es capaz
de soportar.
□ Una vez que se ha determinado la necesidad de un sistema de alimentación ininterrumpida se debe hacer
un estudio para seleccionar el sistema adecuado.
□ Los componentes del sistema de alimentación ininterrumpida debe seleccionarse teniendo en mente la
modularidad, lo que asegura una periódica y fácil reposición de partes. Entre estos componentes tenemos
las baterías (alcalinas y ácidas), el voltaje.
□ Generalmente solo se ponen en los servidores y muy raramente se suelen poner en las estaciones de
trabajo.
En las especificaciones del proveedor debe de figurar el tiempo de soporte que requiere cada sistema específico
para ser apagado oportuna y adecuadamente en caso de avería en el suministro eléctrico.
Para un sistema básico de corriente ininterrumpida, la capacidad de una batería típica es de 5 a 10 minutos. Para
un sistema completo, la capacidad varía dependiendo de los requerimientos, el tamaño de la memoria principal y
la configuración del sistema.
La capacidad de la batería seleccionada debe tomar en cuenta la reducción de la capacidad causada por el
envejecimiento de las baterías y el medio ambiente del lugar. La capacidad inicial instalada de las baterías debe
permitirles alcanzar los requerimientos de la carga seleccionada al de su vida útil. Es recomendable consultar al
proveedor del SAI para determinar la capacidad adecuada.
Las baterías no deben descargarse a un voltaje menor al mínimo recomendado por el proveedor y deben
localizarse en un cuarto separado y ventilado, sobre todo si el sistema está operando cerca de sus límites de
temperatura.
Cuando se selecciona el lugar del sistema de alimentación ininterrumpida deben satisfacerse algunos factores,
entre los que se encuentran:
□ Temperatura de las baterías. Las baterías deben instalarse en un ambiente frío y seco con ninguna fuente
de calor radiante. La temperatura ambiente de diseño para éstas es generalmente más baja que la
temperatura mínima aceptable para el sistema de alimentación ininterrumpida, así que debe regularse lo
más cerca posible, tomando en cuenta que las temperaturas más bajas afectan su capacidad y las más
altas afectan su vida.
□ Ventilación. El proveedor del SAI especifica la salida de calor y establece el uso de ventiladores; en su
caso, determina también la altura que debe existir.
T20
Página 21 de 57
□ Nivel de acústica. El proveedor indica los niveles ambientales típicos del SAI, no dependiendo
únicamente del ruido generado, sino también de factores tales como absorción y reflexión de paredes.
□ Seguridad. La seguridad del área de baterías es importante debido a la alta energía disponible por el
ácido o los electrólitos. Es recomendable poner las baterías en un cuarto separado con llave, contar con
un lavabo y una regadera para cualquier accidente, además de tener un agente neutralizante cerca, así
como una fuente de agua. El personal debe contar con ropa de protección adecuada.
□ Capacidad de carga del piso. El piso del lugar donde se ubica el SAI y las baterías puede requerir
consideraciones estructurales especiales, que son determinadas por el proveedor.
1.3.5.3. PLANTA GENERADORA DE ENERGÍA
Dentro de las instalaciones eléctricas de una empresa se debe considerar la necesidad de contar con una planta
generadora de energía para obtener una mayor seguridad tanto en los procesos operativos, como en las
instalaciones físicas y en los equipos eléctricos.
La planta generadora de energía es un dispositivo que convierte energía mecánica en energía eléctrica mediante
la rotación de bobinas dentro de un campo magnético.
Componentes
La mayoría de las instalaciones incluye un generador para satisfacer las necesidades de energía de un edificio o
de un circuito de emergencia determinado. Algunas veces se cuenta con dos o más generadores para diferentes
tipos de cargas o en otros casos se tienen dos generadores para alimentar la misma carga.
En un centro de cálculo de una gran empresa se requiere un generador exclusivo para el mainframe, sus
periféricos y el aire acondicionado del centro, y un generador más para iluminación de emergencia, el ascensor y
otras cargas requeridas para el desalojo de la instalación, principalmente.
Las plantas generadoras de energía se pueden clasificar en base a lo que utilizan como combustible:
□ Diesel: Utilizan motores de diesel que pueden alcanzar su carga máxima en menos de 10 segundos. El
motor de diesel opera más eficientemente que una turbina de gas bajo carga completa. Su capacidad
varía entre los 2.5 KW. El costo del combustible es considerablemente más bajo que para los de gasolina.
Los costos del motor de diesel son menores que los de las turbinas de gas, pero los costos totales de
instalación son comparables a los de la instalación de turbinas de gas; sin embargo, la disponibilidad de
servicio de reparación para un motor de diesel es mayor que para una turbina de gas.
□ Gasolina: Utiliza motores de gasolina y satisfacen necesidades de 100 Kw de salida. Inician rápido y
tienen el costo inicial más bajo comparados con los de diesel. Las desventajas son los altos costos de
operación, un mayor peligro debido al manejo de gasolina, corto almacenamiento del combustible y
generalmente menor tiempo de mantenimiento.
□ Gas: Utilizan turbinas de gas y requieren de 30 a 90 segundos para alcanzar su carga plena dependiendo
de su tamaño. Se puede utilizar gas natural. Éstos son similares en costo a los de gasolina. Las turbinas
de gas no están disponibles en tamaños menores de 500 KW, y por lo general se encuentran con
capacidad de 600 KW. Las turbinas de gas operan con menos ruido y vibraciones que las de diesel.
Además los costos de instalación generalmente son menores.
1.3.5.4. RECOMENDACIONES
Los expertos suelen aconsejar las siguientes recomendaciones cuando se realiza una instalación eléctrica en
centros con necesidades de seguridad físicas medias altas:
T20
Página 22 de 57
□ El voltaje debe mantenerse dentro del rango establecido para la operación del equipo. Las variaciones en
el voltaje no deben exceder + 15% o - 18% del voltaje nominal y debe regresar al rango normal de voltaje
en menos de ½ segundo.
□ La variación de voltaje entre fases no tendrá que ser mayor del 2.5% de la media aritmética de las tres
fases. Por ejemplo, se tiene una fase con 124V. otra con 120V y otra con 121V. La media aritmética de
las tres es 121.666V, el 2.5% es 3.04V, la variación entre las tres fases no excede este porcentaje.
□ La frecuencia de la línea debe mantenerse dentro de + - ½ hertz (ciclos por segundo). Si se trabaja a 60
hertz, la frecuencia no debe ser menor de 59.5 hertz ni mayor a 60.5 hertz.
□ El contenido máximo de armónicos del voltaje de la fuente de alimentación del equipo no debe exceder +
- 5 % cuando el equipo esté en operación.
□ Los cables eléctricos deberán ir dentro de una tubería apropiada, de tal manera que se eviten los campos
electromagnéticos producidos por el paso de la corriente y que pudieran provocar ruidos o interferencias.
□ Los circuitos derivados deben ir protegidos en mangueras flexibles o bajo tubo traqueal (tubo licuatite).
Para calcular las secciones de estos circuitos se recomienda considerar los consumos parciales indicados
en las hojas de especificaciones proporcionadas por el proveedor.
□ Cuando se utilizan cajas de conexión bajo el piso falso, éstas deben ser ancladas y aisladas, o
plastificadas exteriormente, y tener una etiqueta que indique la máquina a la que están alimentando.
□ Deben existir enchufes auxiliares monofásicos distribuidos en la sala y provenientes de una alimentación
diferente a la del ordenador principal. Éstos servirán para conectar algunos aparatos eléctricos como
neveras, expendedoras, cafeteras, etc.
□ Se debe instalar un equipo regulador donde se presenten con frecuencia las variaciones.
□ Se debe considerar que no todos los países manejan los mismos estándares para el suministro de
energía eléctrica; esto se debe a que las características de voltaje, frecuencia de onda y corriente son
diferentes.
1.3.6. RIESGO DE INUNDACIÓN
En muchas partes del mundo, el daño y riesgo de inundación es algo común. Los ordenadores no se deben
colocar en un sótano o en las áreas de planta bajo sino, de preferencia, en las partes altas de una estructura de
varios pisos. Claro que la mejor opción es no colocar el CPD en zonas geograficas alejadas de rios, de zonas
propensas a tornados, huracanes, etc.
A pesar de estas precauciones siempre se puede dar una situación de inundación porque se rompan las cañerias
por ejemplo.
Ante esta situación queda claro que la ubicación de las tuberías en la construcción de las instalaciones no deben
ponerse por encima de donde se colocan los equipos.
Podrían instalarse detectores de agua o de inundación, así como también bombas de emergencia para resolver
inundaciones inesperadas.
1.3.7. PROTECCIÓN, DETECCIÓN Y EXTINCIÓN DE INCENDIOS
La protección contra fuego es lograda de una mejor manera a través de una correcta construcción del edificio (el
cual debe procurarse que sea resistente al fuego).
Sin embargo, siempre habrá materiales combustibles y equipo dentro del edificio, así que es necesario asegurar
que el equipo contra incendio esté disponible de forma inmediata y que se pueda controlar el fuego con relativa
facilidad.
T20
Página 23 de 57
Elementos necesarios que se consideran sobresalientes:
□ Las paredes de la sala de ordenadores deben de ser de material ignifugo. Si la sala de ordenadores tiene
una o más paredes exteriores adyacentes a un edificio que sea susceptible de incendio, la instalación de
ventanas irrompibles mejorará la seguridad.
□ El falso techo debe de ser de material incombustible o resistente al fuego.
□ Todas las canalizaciones y materiales aislantes deben ser de materiales incombustibles y que no
desprendan polvo.
□ El falso piso instalado sobre el piso real debe ser incombustible.
□ El techo de la sala y el área de almacenamiento de discos y cintas magnéticos deben ser impermeables.
□ Debe preverse un sistema de drenaje en el piso firme.
□ Los detectores de fuego y humo se deben colocar cuidadosamente en relación con los aparatos de aire
acondicionado, ya que los conductores de éste pueden difundir el calor o el humo y no permitir que se
active el detector.
□ El detector de humo que se elija debe ser capaz de detectar los distintos tipos de gases que desprendan
los cuerpos en combustión. Algunos no detectan el humo o el vapor que proviene del plástico quemado
que se usa como aislante en electricidad y, en consecuencia, los incendios producidos por un corto
circuito tal vez no se detecten.
□ Los detectores de humo y el calor se deben instalar en la sala de ordenadores, junto a las áreas de
oficina y dentro del perímetro físico de las instalaciones.
□ Es necesario colocar detectores de humo y calor bajo el piso y en los conductos del aire acondicionado.
□ Las alarmas contra incendios deben estar conectadas con la alarma central del lugar, o bien directamente
al departamento de bomberos.
Es importante que estos requerimientos no sólo se apliquen en la construcción de la sala de cómputo, sino
también en las áreas adyacentes.
La documentación de los sistemas, la programación y las operaciones también necesitan protección contra
incendios. La destrucción de esta documentación puede imposibilitar el uso de programas o archivos de respaldo.
Se deben establecer procedimientos que garanticen la actualización de toda la documentación como rutina y que
las copias de seguridad se almacenen en un lugar lejano, así como las copias de seguridad de los programas y
los archivos.
Los sistemas de extinción del fuego son esenciales si el área contiene algo valioso, si hay un equipo importante, o
si se están protegiendo funciones vitales para la compañía. Tales sistemas son destinados a detectar y suprimir el
fuego dentro de los primeros segundos, reduciendo así la dependencia contra las técnicas manuales –las cuales
pueden llegar demasiado tarde–.
En la mayoría de las instalaciones se utiliza gas como extintor; sin embargo existen también extintores de
espuma, de agua o de polvo seco.
El uso del bióxido de carbono en algún tiempo generalizado, debe reservarse, debido al efecto letal que tiene
sobre los humanos.
1.4. AUDITORÍA DE LA SEGURIDAD FÍSICA
Se puede definir una auditoria como aquella "actividad para determinar por medio de la investigación, la
adecuación de, y la adhesión a los procedimientos establecidos, instrucciones, especificaciones, códigos y
estándares, u otros requisitos aplicables, contractuales o de licencia, así como la eficacia de su implantación"1.
1
Definición dada por ANSI
Es decir, auditar significa revisar y evaluar una situación para emitir un informe de situación junto con una serie de
recomendaciones bajo los defectos observados.
La Auditoria Informática es una parte de la auditoria centrada en los sistemas de información de la empresa, tanto
desde el punto de vista tecnológico como organizacional, teniendo así distintos tipos de Auditoria Informática: de
sistemas, de comunicaciones, de seguridad lógica y física, de las metodologías de los proyectos de desarrollo, del
plan de sistemas, los recursos humanos, etc.
El auditor informático, será aquella persona o grupo de personas, encargada de analizar un sistema de
información determinado para posteriormente emitir un informe; no es de extrañar que los auditores son
especialistas informáticos en constante reciclaje.
En función de quien realice una auditoria se distinguen:
□ Auditoria externa: la realiza una empresa, no vinculada con la empresa auditada, especializada en el
servicio que se contrata.
□ Auditoria interna: la realiza un departamento dentro de la organización, este departamento es altamente
independiente, de tal forma que solo responde ante la Dirección General de la organización.
De los distintos tipos de auditorias que existen, en este tema se trata la auditoria de la seguridad física cuyo
objetivo es realizar un informe de auditoria con el objeto de verificar la adecuación de las medidas aplicadas a las
amenazas definidas, así como el cumplimiento de los requisitos exigidos.
La auditoria deberá seguir las siguientes fases:
□ Acopio de datos: Se realiza una investigación para determinar en función de la empresa y su necesidad
de seguridad de datos aquellas medidas referentes a la seguridad física que teóricamente debería poseer
recopilando todos los datos: cerraduras, vigilantes, video cámaras, detector de humos, etc. En una
empresa grande debería de analizarse los siguientes ítems:
à Medidas de seguridad física del área de los servidores y/o mainframe
à Medidas de seguridad para el resguardo de los bienes informáticos.
à Responsables de la seguridad y vigilancia
à Controles para el acceso físico al área
à Ubicación de las salas de ordenadores.
à Sistemas de alimentación ininterrumpida existentes.
à Material con el que se ha construido el área de servidores
à Características del mobiliario.
à Ventilación e iluminación en el área de cómputo.
à Detectores y alarmas de fuego, humo y humedad.
à Equipo contra incendios
à Planeación y supervisión del cableado eléctrico
à Características de las tuberías.
à Almacenamiento de material no combustible
à Otros controles de seguridad física
□ Análisis de riesgos y amenazas: En esta fase el auditor con la información recopilada en el punto anterior
realizara un análisis de cuales serían los riesgos de no implantar alguna medida de seguridad fisica.
□ Trabajo de campo:
T20
Página 25 de 57
à Análisis de instalaciones: El auditor visitará las instalaciones de la empresa para ver si cumplen todas
las medidas que previamente había calculado.
à Análisis del personal: Se realiza una análisis de la plantilla de la empresa, intentando observar
cualquier desviación o incidencia (empleados condenados por piratería, por robar, etc)
□ Informe de la situación actual
□ Propuesta de acciones a tomar, valoradas económicamente
Como resultado de la auditoria se obtendrá:
□ Informe de Auditoria detectando riesgos y deficiencias en el Sistema de Seguridad

□ Plan de recomendaciones a aplicar en función de:
à Riesgos
à Normativa a cumplir
à Costes estimados de las recomendaciones
En el caso de que en la empresa haya un plan de seguridad física, el auditor deberá contrastar su informe con
dicho plan y emitir un resumen en el que se evaluará la posible adecuación del plan.
2. SEGURIDAD LÓGICA
2.1. INTRODUCIÓN
La Seguridad Lógica consiste en la “aplicación de barreras y procedimientos que resguarden el acceso a los
datos y sólo permitan acceder a ellos a las personas autorizadas para hacerlo”.
Los objetivos que se plantean serán:
1. Restringir el acceso a los programas y archivos.

2. Asegurar que los operadores puedan trabajar sin una supervisión minuciosa y no puedan modificar los
programas ni los archivos que no les correspondan.
3. Asegurar que se estén utilizando los datos, archivos y programas correctos por el procedimiento correcto.
4. Que la información transmitida sea recibida por el destinatario al que ha sido enviada y no a otro.
5. Que la información recibida sea la misma que ha sido transmitida.
6. Que existan sistemas alternativos secundarios de transmisión entre diferentes puntos.
7. Que se disponga de pasos alternativos de emergencia para la transmisión de información.
La seguridad lógica está estandarizada de acuerdo a unos niveles de seguridad. El estándar más utilizado
internacionalmente es el TCSEC (Trusted Computer System Evaluation) Orange Book desarrollado en 1982 de
acuerdo a las normas de seguridad en ordenadores del Departamento de Defensa de los Estados Unidos. Los
niveles describen diferentes tipos de seguridad del sistema operativo y se enumeran desde el mínimo grado de
seguridad al máximo. Estos niveles han sido la base de desarrollo de estándares europeos (ITSEC/ITSEM,
Information Technology Security Evaluation Criteria / Methodology) y luego internacionales (ISO/IEC). Cada nivel
requiere todos los niveles definidos anteriormente: así el subnivel B2 abarca los subniveles B1, C2, C1 y D.
1. Nivel D
Reservado para sistemas que no cumplen con ninguna especificación de seguridad. Sin sistemas fiables, no hay
protección para el hardware, el sistema operativo es inestable y no hay autenticación con respecto a usuarios y
sus derechos de acceso a la información. Un sistema operativo en este nivel es por ejemplo MS-DOS.
T20
Página 26 de 57
2. Nivel C1: Protección Discrecional
El acceso a distinta información se realiza mediante identificación de usuarios. Cada usuario maneja su
información privada y distingue entre usuarios y el administrador del sistema, quien tiene control total de acceso.
Muchas de las tareas cotidianas de la administración sólo pueden ser realizadas por este “super usuario” quien
tiene gran responsabilidad en la seguridad. Con la actual descentralización de los sistemas, no es raro que en
una organización encontremos dos o tres personas cumpliendo este papel.
Los requerimientos mínimos que debe cumplir la clase C1 son:
□ Acceso de control discrecional: distinción entre usuario y recursos. Se podrán definir grupos de usuarios y
grupos de objetos sobre los cuales podrán actuar usuarios o grupos de ellos.
□ Identificación y Autenticación: un usuario debe identificarse antes de comenzar a ejecutar acciones sobre
el sistema. El dato de un usuario no podrá ser accedido por un usuario sin autorización o identificación.
3. Nivel C2: Protección de Acceso controlado
Cuenta con características adicionales al C1 que crean un ambiente de acceso controlado. Se debe llevar una
auditoria de accesos e intentos fallidos de acceso a objetos. Tiene la capacidad de restringir aún más el que los
usuarios ejecuten ciertos comandos o tengan accesos a ciertos archivos, permite o deniega datos a usuarios
concretos en base no sólo a los permisos sino también a los niveles de autorización.
Requiere que se audite el sistema. Esta auditoria es utilizada para llevar registros de todas las acciones
relacionadas con la seguridad, como las actividades efectuadas por el administrador y sus usuarios. La auditoria
requiere de autenticación adicional para estar seguro de que la persona que ejecuta el comando es quien dice
ser. Su mayor desventaja reside en los recursos adicionales requeridos.
Los usuarios de un sistema C2 tienen la autorización para realizar algunas tareas de administración del sistema
sin necesidad de ser administradores. Permite llevar mejor cuenta de las tareas relacionadas con la
administración del sistema, ya que es cada usuario quién ejecuta y no el administrador.
4. Nivel B1: Seguridad Etiquetada
A cada objeto del sistema (usuario, dato, etc) se le asigna una etiqueta con nivel de seguridad jerárquico (alto
secreto, secreto, reservado, etc) y con unas categorías (contabilidad, nóminas, ventas, etc). Cada usuario que
accede a un objeto debe poseer un permiso expreso para hacerlo y viceversa. Es decir que cada usuario tiene
sus objetos asociados. También se establecen controles para limitar la propagación de derecho de accesos a los
distintos objetos.
5. Nivel B2: Protección Estructurada
Requiere que se etiquete cada objeto de nivel superior por ser padre de un objeto inferior. La protección
estructurada es la primera que empieza a referirse al problema de un objeto a un nivel más elevado de seguridad
y comunicación con otro objeto a un nivel inferior. Así un disco duro será etiquetado por almacenar archivos que
son accedidos por distintos usuarios. El sistema es capaz de alertar a los usuarios si sus condiciones de
accesibilidad y seguridad son modificadas; y el administrador es el encargado de fijar los canales de
almacenamiento y ancho de banda a utilizar por los demás usuarios.
6. Nivel B3: Dominios de Seguridad
Refuerza a los dominios con la instalación de hardware: por ejemplo, el hardware de administración de memoria
se usa para proteger el dominio de seguridad de acceso no autorizado a la modificación de objetos de diferentes
dominios de seguridad. Existe un monitor de referencia que recibe las peticiones de acceso de cada usuario y las
permite o las deniega según las políticas de acceso que se hayan definido.
T20
Página 27 de 57
Todas las estructuras de seguridad deben ser lo suficientemente pequeñas como para permitir análisis y
comprobaciones ante posibles violaciones. Este nivel requiere que el terminal del usuario se conecte al sistema
por medio de una conexión segura. Cada usuario tiene asignado los lugares y objetos a los que puede acceder.
7. Nivel A: Protección Verificada
Es en nivel más elevado, incluye un proceso de diseño, control y verificación, mediante métodos formales
(matemáticos) para asegurar todos los procesos que realiza un usuario sobre el sistema.
Para llegar a este nivel todos los componentes de niveles inferiores deben incluirse. El diseño requiere ser
verificado de forma matemática y se deben realizar análisis de canales encubiertos y de distribución fiable. El
software y el hardware son protegidos para evitar infiltraciones ante traslados o movimientos de equipamiento.
2.2. MEDIDAS DE PROTECCIÓN Y ASEGURAMIENTO
Hoy es imposible hablar de un sistema cien por cien seguro porque el coste de la seguridad total es muy alto. Sin
embargo, sí se pueden aplicar una serie de medidas de protección para controlar todo un conjunto de
vulnerabilidades aunque no se logre la seguridad total. En este sentido las Políticas de Seguridad Informática
(PSI) surgen como una herramienta de organización para concienciar a los miembros de una organización sobre
la importancia y sensibilidad de la información y servicios críticos.
Entre las medidas de protección más comunes tenemos las que se exponen a continuación.
2.2.1. CONTROLES DE ACCESO
Estos controles pueden implementarse en el Sistema Operativo, sobre los sistemas de aplicación, en base de
datos, en un paquete específico de seguridad o en cualquier otro sistema que se utilice.
Constituyen una importante ayuda para proteger al sistema operativo de la red, al sistema de aplicación y demás
software de la utilización o modificación no autorizadas para mantener la integridad de la información y para
resguardar la información confidencial del acceso no autorizados.
Asimismo es conveniente tener en cuenta otras consideraciones referidas a la seguridad lógica como por ejemplo
las relacionadas al procedimiento que se lleva a cabo para determinar si corresponde un permiso de acceso
(solicitado por un usuario) a un determinado recurso. Al respecto el NIST (National Institute for Standards and
Technology) ha resumido los siguientes estándares de seguridad que se refieren a los requisitos mínimos de
seguridad en cualquier sistema:
2.2.1.1. IDENTIFICACIÓN Y AUTENTICACIÓN
Se denomina identificación el momento en que el usuario se da a conocer en el sistema mientras que

autenticación es la verificación que realiza el sistema sobre esta identificación.
Existen cuatro tipos de técnicas que permiten realizar la autenticación de la identidad del usuario, que pueden
llevarse a cabo individual o combinadamente:
1. Algo que solamente el individuo conoce: una clave secreta o password, clave criptológica o un número de
identificación personal (PIN)
2. Algo que la persona posee: por ejemplo una tarjeta magnética
3. Algo que el individuo es y que lo identifica unívocamente: las huellas digitales o la voz
4. Algo que el individuo es capaz de hacer: por ejemplo los patrones de escritura.
En los dos primeros casos es frecuente que las claves se olviden o que las tarjetas o dispositivos se pierdan
mientras que por otro lado los controles de autenticación biométricos serían más apropiados y fáciles de
administrar resultando ser también los más costosos por lo dificultoso de su implementación eficiente.
T20
Página 28 de 57
Desde el punto de vista de la eficiencia es conveniente que los usuarios sean identificados y autenticados
solamente una vez, pudiendo acceder a partir de allí a todas las aplicaciones y datos a los que su perfil les
permita tanto en sistemas locales como en sistemas a los que deba acceder en forma remota.
Esto se denomina “single log-in” o sincronización de passwords.
Una de las posibles técnicas para implementar esta única identificación de usuarios sería la utilización de un
servidor de autenticaciones sobre el cual los usuarios se identifican y que se encarga luego de autenticar al
usuario sobre los restantes equipos a los que éste pueda acceder. Este servidor de autenticaciones no debe ser
necesariamente un equipo independiente y puede tener sus funciones distribuidas tanto geográfica como
lógicamente, de acuerdo con los requerimientos de carga de tareas.
La seguridad informática se basa en gran medida en la efectiva administración de los permisos de acceso a los
recursos informáticos, basados en la identificación, autenticación y autorización de accesos. Esta administración
abarca:
□ Proceso de solicitud, establecimiento, manejo y seguimiento y cierre de las cuentas de usuarios. Es

preciso considerar que la solicitud de habilitación de un permiso de acceso para un usuario determinado,
debe provenir de su superior y de acuerdo con sus requerimientos específicos de acceso debe crearse el
perfil en el sistema de seguridad, en el sistema operativo o en la aplicación según corresponda.
□ Además, la identificación de usuarios debe definirse según una norma homogénea para toda la
organización.
□ Revisiones periódicas sobre la administración de las cuentas y los permisos de acceso establecidos. Las
mismas deben encararse desde el punto de vista del sistema operativo, y aplicación por aplicación,
pudiendo ser llevadas a cabo por personal de auditoria o por la gerencia propietaria del sistema; siempre
sobre la base de que cada usuario disponga del mínimo permiso que requiera de acuerdo con sus
funciones.
□ Las revisiones deben orientarse a verificar la adecuación de los permisos de acceso de cada individuo de
a acuerdo con sus necesidades operativas, la actividad de las cuentas de usuarios o la autorización de
cada habilitación de acceso.
□ Detección de actividades no autorizadas. Además de realizar auditorias o efectuar el seguimiento de los
registros de transacciones (pistas) hay otras medidas que ayudan a detectar actividades no autorizadas.
Algunas se basan en evitar la dependencia de personas determinadas, estableciendo la obligatoriedad de
tomar vacaciones o efectuar rotaciones periódicas a las funciones asignadas a cada una.
□ Nuevas consideraciones sobre cambios en la asignación de funciones del empleado. Para implantar la
rotación de funciones o en caso de reasignar funciones por ausencias temporales de algunos empleados,
es necesario considerar la importancia de mantener actualizados los permisos de acceso
□ Procedimientos en caso de desvinculaciones de personal con la organización, amistosas o no.
Para evitar estas situaciones es recomendable anular los permisos de acceso a la personas que se desvincularán
de la organización lo antes posible. En caso de despido, el permiso de acceso debería anularse previamente a la
notificación de la persona sobre la situación.
2.2.1.2. ROLES
El acceso a la información también puede controlarse a través de la función o rol del usuario que requiere dicho
acceso. Algunos ejemplos de roles son: programador, jefe de proyecto, gerente, administrador de sistema, etc. En
este caso los derechos de acceso se pueden agrupar de acuerdo con el rol.
T20
Página 29 de 57
2.2.1.3. LIMITACIONES A LOS SERVICIOS
Estos controles se refieren a las restricciones que dependen de parámetros propios de la utilización de la
aplicación o preestablecidos por el administrador del sistema. Un ejemplo podría ser que en la organización se
disponga de licencias para la utilización simultánea de un determinado producto de software para cinco personas
en donde exista un control a nivel de sistema que no permita la utilización del producto a un sexto usuario.
2.2.1.4. MODALIDAD DE ACCESO
Se refiere al modo de acceso que se permite al usuario sobre los recursos y a la información. Puede ser:
□ Lectura: el usuario puede únicamente leer o visualizar la información pero no puede alterarla. La
información puede ser copiada o impresa.
□ Escritura: Se permite agregar datos, modificar o borrar información
□ Ejecución: este acceso otorga al usuario el privilegio de ejecutar programas
□ Borrado: permite al usuario eliminar recursos del sistema.
□ Todas las anteriores
2.2.1.5. UBICACIÓN Y HORARIO
El acceso a determinados recursos del sistema puede estar basado en la ubicación física o lógica de los datos o
personas. En cuanto a horarios este tipo de controles permite limitar el acceso de los usuarios a determinadas
horas del día o días de la semana. Así se mantiene un control más restringido de los usuarios y zonas de ingreso.
2.2.1.6. CONTROL DE ACCESO INTERNO
Palabras claves (passwords)
Generalmente se utilizan para realizar la autenticación del usuario y sirven para proteger los datos y aplicaciones.
Los controles independientes a través de la utilización de palabras claves resultan de muy bajo costo. Sin
embargo, cuando el usuario se ve en la necesidad de utilizar varias palabras clave para acceder a diversos
sistemas encuentra dificultoso recordarlas y probablemente las escriba o elija palabras fácilmente deducibles con
lo que se ve disminuida la utilidad de esta técnica.
Sincronización de passwords: consiste en permitir que un usuario acceda con la misma password a diferentes
sistemas interrelacionados y su actualización automática en todos ellos en caso de ser modificada.
Caducidad y control: este mecanismo controla cuando pueden y deben cambiar sus passwords los usuarios. Se
define el periodo mínimo que debe pasar para que los usuarios puedan cambiar sus passwords y un periodo
máximo que puede transcurrir para que estas caduquen.
Encriptación
La información encriptada solamente puede ser desencritptada por quienes posean la clave apropiada.
Listas de control de accesos
Se refiere a un registro donde se encuentran los nombres de los usuarios que obtuvieron el permiso de acceso a
un determinado recurso del sistema así como la modalidad de acceso permitido. Este tipo de listas varían
considerablemente en su capacidad y flexibilidad
T20
Página 30 de 57
Limites sobre la interfaz de usuario
Estos límites generalmente utilizados en conjunto con las listas de control de acceso restringen a los usuarios a
realizar funciones específicas. Básicamente pueden ser de 3 tipos: menús, vistas sobre la base de datos y límites
físicos sobre la interfaz de usuario. Por ejemplo, los cajeros automáticos donde el usuario sólo puede ejecutar
ciertas funciones presionando teclas específicas.
Etiqueta de seguridad
Consiste en designaciones otorgadas a los recursos (por ejemplo, un archivo) que pueden utilizarse para varios
propósitos como control de accesos, especificación de medidas de protección, etc. Estas etiquetas no son
modificables.
2.2.1.7. CONTROL DE ACCESO EXTERNO
Dispositivos de control de puertos
Estos dispositivos autorizan el acceso a un puerto determinado y pueden estar físicamente separados o incluidos
en otro dispositivo de comunicaciones, como por ejemplo un módem.
Firewalls o puertas de seguridad
Permiten bloquear o filtrar el acceso entre dos redes, usualmente una privada y otra externa (por ejemplo
Internet). Los firewalls permiten que los usuarios internos se conecten a la red exterior al tiempo que previenen la
intromisión de atacantes o virus a los sistemas de la organización.
Acceso de personal contratado o consultores
Debido a que este tipo de personal en general presta servicios temporales, debe ponerse especial consideración
en la política y administración de sus perfiles de acceso.
Accesos públicos
Para los sistemas de información consultados por el público en general, o los utilizados para distribuir o recibir
información computerizada (mediante, por ejemplo, la distribución y recepción de formularios en soporte
magnético o la consulta y recepción de información a través del correo electrónico) deben tenerse en cuenta
medidas especiales de seguridad, ya que se incrementa el riesgo y se dificulta su administración.
Debe considerarse para estos casos de sistemas públicos, que un ataque externo o interno puede acarrear un
impacto negativo en la imagen de la organización.
2.2.1.8. ADMINISTRACIÓN
Una vez establecidos los controles de acceso sobre los sistemas y la aplicación, es necesario realizar una
eficiente administración de estas medidas de seguridad lógica, lo que involucra la implantación, seguimiento,
pruebas y modificaciones sobre los accesos de los usuarios de los sistemas. La política de seguridad que se
desarrolle respecto a la seguridad lógica debe guiar a las decisiones referidas a la determinación de los controles
de accesos y especificando las consideraciones necesarias para el establecimiento de perfiles de usuarios.
La definición de los permisos de acceso requiere determinar cual será el nivel de seguridad necesario sobre los
datos, por lo que es imprescindible clasificar la información, determinando el riesgo que produciría una eventual
exposición de la misma a usuarios no autorizados.
Así los diversos niveles de la información requerirán diferentes medidas y niveles de seguridad.
Para empezar la implantación, es conveniente comenzar definiendo las medidas de seguridad sobre la
información más sensible o las aplicaciones más críticas y avanzar de acuerdo a un orden de prioridad
T20
Página 31 de 57
descendente, establecido alrededor de las aplicaciones. Una vez clasificados los datos, deberán establecerse las
medidas de seguridad para cada uno de los niveles.
Un programa específico para la administración de los usuarios informáticos desarrollado sobre la base de las
consideraciones expuestas, puede constituir un compromiso vacío, si no existe una conciencia de la seguridad en
la organización por parte de todos los empleados. Esta conciencia de la seguridad puede alcanzarse mediante el
ejemplo del personal directivo en el cumplimiento de las políticas y el establecimiento de compromisos firmados
por el personal, donde se especifique la responsabilidad de cada uno.
Pero además de este compromiso debe existir una concienciación por parte de la administración hacia el personal
en donde se remarque la importancia de la información y las consecuencias de su pérdida o apropiación de la
misma por agentes extraños a la organización.
Administración del personal y usuarios
Lleva generalmente cuatro pasos:
□ Definición de puestos: debe contemplarse la máxima separación de funciones posibles y el otorgamiento

del mínimo permiso de acceso requerido por cada puesto para la ejecución de las tareas asignadas.
□ Determinación de la sensibilidad del puesto: es necesario determinar si la función requiere permisos
rigurosos que le permitan alterar procesos, perpetrar fraudes o visualizar información confidencial.
□ Elección de la persona para cada puesto: requiere considerar los requerimientos de experiencia y
conocimientos técnicos necesarios para cada puesto. Asimismo, para los puestos definidos como críticos
puede requerirse una verificación de antecedentes personales.
□ Formación inicial y continua del empleado: cuando la persona seleccionada entra en la organización
además de sus responsabilidades individuales para la ejecución de las tareas que se asignen, debe
comunicársele las políticas organizaciones haciendo hincapié en la política de seguridad. El individuo
debe conocer las disposiciones de la organización, su responsabilidad en cuanto a la seguridad
informática y lo que se espera de él.
2.2.2. DEFENSA DE LOS ATAQUES
La mayoría de los ataques mencionados se basan en fallo de diseño inherentes a Internet (o sus protocolos) y a
los sistemas operativos utilizados, por lo que no son “solucionables” en un plazo breve de tiempo.
La solución inmediata en cada caso es mantenerse informado sobre todos los tipos de ataques existentes y las
actualizaciones que permanentemente lanzan las empresas de software, principalmente en sistemas operativos.
Las siguientes medidas preventivas son:
1. Mantener las máquinas actualizadas y seguras físicamente.

2. Mantener personal especializado en cuestiones de seguridad
3. Aunque una máquina no contenga información valiosa hay que tener en cuenta que puede resultar útil para
un atacante, a la hora de ser empleada en una denegación de servicio (DoS) coordinado o para ocultar su
verdadera dirección.
4. No permitir el tráfico “broadcast” desde fuera de nuestra red. De esta forma evitamos ser empleados como
“multiplicadores”
5. Auditorias de seguridad y sistemas de detección
6. Mantenerse informado constantemente sobre cada una de las vulnerabilidades encontradas y parches
instalados. Para esto es recomendable estar subscripto a listas que brinden este tipo de información.
7. La información continua del usuario
T20
Página 32 de 57
2.2.3. POLITICA DE SEGURIDAD INFORMÁTICA
Se define (RFC 1244) como “una declaración de intenciones de alto nivel que cubre la seguridad de los sistemas
informáticos y que proporciona las bases para definir y delimitar responsabilidades para las diversas actuaciones
técnicas y organizativas que se requerirán”.
La política se refleja en una serie de normas, reglamentos y protocolos a seguir donde se definen las medidas a
tomar para proteger la seguridad del sistema. Deben tener las siguientes características:
□ Cubrir todos los aspectos relacionados con la seguridad.

□ Adecuarse a las necesidades y recursos.
□ Definir estrategias y criterios generales y adoptar en distintas funciones y actividades las alternativas ante
circunstancias que se puedan dar repetidas veces.
2.2.4. EVALUACIÓN DE RIESGOS
El análisis de riesgos supone además de calcular la posibilidad de que ocurran cosas negativas los siguientes
puntos:
□ Poder obtener una evaluación económica del impacto de estos sucesos.

□ Tener en cuenta la probabilidad de que sucedan cada uno de los problemas posibles.
□ Conocer qué se quiere proteger, dónde y cómo, asegurando que con los costes en que se incurre se
obtengan beneficios efectivos. Para ello se deberá identificar los recursos (hardware, software,
información, personal, accesorios, etc) con que se cuenta y las amenazas a las que se está expuesto.
Los riesgos se suelen clasificar por su nivel de importancia y por la severidad de su pérdida:
1. Estimación del riesgo de pérdida del recurso ( Ri )

2. Estimación de la importancia del recurso ( I i )
Para la cuantificación del riesgo de perder un recurso, es posible asignar un valor numérico de 0 a 10 tanto a la
importancia del recurso (10 es el recurso de mayor importancia) como al riesgo de perderlo (10 es el riesgo más
alto). El riesgo del recurso será el producto de su importancia por el riesgo de perderlo
WRi = Ri * I i
Luego, con la siguiente fórmula es posible calcular el riesgo general de los recursos de la red:
(WR1 * I 1 + WR2 * I 2 + Λ + WRn * I n

WR =
I1 + I 2 + Λ + I n
Otros factores que debe considerar para el análisis de riesgo de un recurso de red son su disponibilidad, su
integración y su carácter confidencial, los cuales se pueden incorporar a la fórmula para ser evaluados.
2.2.5. IDENTIFICACIÓN DE UNA AMENAZA.
Una vez conocido los riesgos, los recursos que se deben proteger y como su daño o falta pueden influir en la
organización es necesario identificar cada una de las amenazas y vulnerabilidades que pueden causar estas
bajas en los recursos.
Se suele dividir las amenazas existentes según su ámbito de actuación:
T20
Página 33 de 57
□ Desastre del entorno (Seguridad física)
□ Amenazas del sistema (Seguridad lógica)
□ Amenazas en la red (Comunicaciones)
□ Amenazas de personas
2.2.6. ESTRATEGIA DE SEGURIDAD
Para establecer una estrategia adecuada es conveniente pensar una política de protección en los distintos niveles
que esta debe abarcar: Física, Lógica, Humana y la interacción que existe entre estos factores.
En cada caso considerado, el plan de seguridad debe incluir tanto una estrategia Proactiva (proteger o proceder)
o de previsión de ataques para minimizar los puntos vulnerables existentes en la directiva de seguridad y
desarrollar planes de contingencias, como una estrategia Reactiva (perseguir y procesar) posterior al ataque que
ayuda al personal de seguridad a evaluar el daño causado o a implantar un plan de contingencia adecuando.
2.2.7. AUDITORIA Y CONTROL
Se estudiarán aparte en el último punto de este tema, dada su gran importancia.
2.2.8. PLAN DE CONTINGENCIA
Los planes de contingencia se elaboran como respuesta a la acción de los diferentes riesgos y tienen los
siguientes objetivos fundamentales:
□ Minimizar las interrupciones en la operación normal

□ Limitar la extensión de las interrupciones y de los daños que originen
□ Posibilitar una vuelta al servicio rápida y sencilla
□ Ofrecer al personal unas normas de actuación frente a emergencias
□ Dotar de medios alternativos de proceso en caso de catástrofe
Para garantizar la validez del Plan y que no quede obsoleto, debe ser revisado periódicamente. El plan de
Contingencia recoge los siguientes planes como respuesta a los problemas:
□ Plan de Emergencia: normas de actuación durante o inmediatamente después de cada fallo o daño.
□ Plan de Recuperación: normas para reiniciar todas las actividades de proceso en el Centro.
□ Plan de Respaldo: especifica todos los elementos y procedimientos precisos para mantener la seguridad
de la información, como configuración del equipo, comunicaciones, sistema operativo y opciones, etc.
2.2.9. EQUIPOS DE RESPUESTA A INCIDENCIAS
Es aconsejable formar un equipo de respuestas a incidencias implicado en los trabajos del profesional de
seguridad que incluye:
□ Desarrollo de instrucciones para controlar incidencias

□ Creación del sector o determinación del responsable
□ Identificación de las herramientas de software para responder a incidentes y eventos
□ Investigación y desarrollo de otras herramientas de seguridad informática
□ Realización de actividades formativas y de motivación
□ Realización de investigaciones acerca de virus
□ Ejecución de estudios relativos a ataques al sistema.
Estos trabajos proporcionarán los conocimientos que la organización puede utilizar y la información que hay que
distribuir antes y durante los incidentes.
Una vez que el Administrador de seguridad y el equipo de respuestas a incidentes han analizado la incidencia, el
Administrador debe delegar la responsabilidad del control de incidentes en el equipo de respuesta que será el
responsable de responder a incidentes como virus, gusanos o cualquier otro código dañino, invasión, engaños y
ataques de personal interno.
2.2.10. COPIAS DE RESPALDO (O BACKUPs)
El backup de archivos permite tener disponible e integra la información para cuando sucedan los accidentes. Sin
un backup es imposible devolver la información al estado anterior al desastre. Es necesario realizar un análisis
coste/beneficio para determinar qué información será almacenada, espacios de almacenamiento destinados a tal
fin, la forma de realización, las estaciones de trabajo que cubrirá el backup, etc.
Para una correcta realización y seguridad de backups se deberán tener en cuenta estos puntos:
□ Se debe contar con un procedimiento de respaldo de los sistemas operativos y de la información de

usuario para poder reinstalar fácilmente en caso de sufrir un accidente.
□ Se debe determinar el medio y las herramientas correctas para realizar las copias, basándose en análisis
de espacios, tiempos de lectura/escritura, tipos de backup a realizar, etc.
□ El almacenamiento de los backups debe realizarse en locales diferentes de donde reside la información
primaria. De este modo se evita la pérdida si el desastre alcanza a todo el edificio o local.
□ Se debe verificar, periódicamente la integridad de los respaldos que se están almacenando.
□ Se debe contar con un procedimiento para garantizar la integridad física de los respaldos en previsión de
robos o destrucción.
□ Se debe contar con una política para garantizar la privacidad de la información que se respalda en
medios de almacenamiento secundarios.
□ Se debe de contar con un procedimiento para borrar físicamente la información de los medios de
almacenamiento antes de desecharlos
2.2.11. PROGRAMAS ANTIVIRUS
Un antivirus es una gran base de datos con la huella digital de todos los virus conocidos para identificarlos y con
las pautas que más contienen los virus. Los fabricantes de antivirus avanzan tecnológicamente en la misma
medida que lo hacen los creadores de virus. Esto sirve para combatirlos aunque no para prevenir la creación e
infección de otros nuevos.
Las funciones presentes en un antivirus son:
□ Detección: Se debe poder afirmar la presencia y/o ejecución de un virus en un ordenador. Adicionalmente
puede brindar módulos de identificación, erradicación del virus o eliminación de la entidad infectada.
□ Identificación de un virus: Existen diversas técnicas para realizar esta acción:

à Scanning: Técnica que consiste en revisar el código de los archivos (fundamentalmente ejecutables y
documentos) en busca de pequeñas porciones de código que puedan pertenecer a un virus
T20
Página 35 de 57
almacenados en una base de datos del antivirus. Su principal ventaja reside en la rápida y exacta que
resulta la identificación del virus. Sus desventajas son que brinda una solución a posteriori y es
necesario que el virus alcance un grado de dispersión considerable para que llegue a mano de los
investigadores y estos lo incorporen a su base de datos lo que no es una solución definitiva.
à Heurística: Búsqueda de acciones potencialmente dañinas pertenecientes a un virus informático. No
identifica con certeza al virus sino que rastrea rutinas de alteración de información y zonas
generalmente no controlada por el usuario (Sector de arranque, FAT, etc). Su principal ventaja reside
en que es capaz de detectar virus que no han sigo agregados a las bases de datos de los antivirus.
Su desventaja radica en que puede sospechar de demasiadas cosas y el usuario debe ser
medianamente capaz de identificar falsas alarmas.
□ Comprobadores de Integridad. Controlan la actividad del PC señalando si algún proceso intenta modificar
sectores críticos de la misma. Su ventaja reside en la prevención aunque a veces pueden ser vulnerados
por los virus y ser desactivados por ellos, haciendo que el usuario se crea protegido, no siendo así.
Es importante diferenciar los términos “detectar”: determinación de la presencia de un virus e “identificar”

determinación de qué virus fue el detectado. Lo importante es la detección del virus y luego, si es posible su
identificación y erradicación.
MODELO DE UN ANTIVIRUS
Un antivirus puede estar constituido por dos módulos principales y cada uno de ellos contener otros módulos:
□ Módulo de control: Posee la técnica de verificación de Integridad que posibilita el registro de posibles
cambios en las zonas y archivos considerados de riesgo.
□ Módulo de Respuesta: La función de “alarma” se encuentra en todos los antivirus y consiste en detener
la ejecución de todos los programas e informar al usuario de la posible existencia de un virus. La mayoría
ofrecen la posibilidad de su erradicación si la identificación ha sido positiva.
2.2.12. HERRAMIENTAS DE SEGURIDAD
Cualquier herramienta de seguridad representa un arma de doble filo: de la misma forma que un administrador las
utiliza para detectar y solucionar fallos en sus sistemas o en la subred completa, un potencial intruso las puede
utilizar para detectar esos mismos fallos y aprovecharlos para atacar los equipos. Herramientas como NESSUS,
SAINT o SATAN pasan de ser útiles a ser peligrosas cuando las utilizan crackers que buscan información sobre
las vulnerabilidades de un equipo o de una red completa.
La conveniencia de diseñar y distribuir libremente herramientas que puedan facilitar un ataque es un tema
peliagudo; incluso expertos reconocidos como Alec Muffet (autor del adivinador de contraseñas Crack) han
recibido enormes críticas por diseñar determinadas herramientas de seguridad para Unix. Tras numerosos
debates sobre el tema, ha quedado claro que no se puede basar la seguridad de un sistema en el supuesto
desconocimiento de sus problemas por parte de los atacantes: esta política, denominada
“Security through obscurity”, se ha demostrado inservible en múltiples ocasiones. Si los administradores no
utilizan herramientas de seguridad que muestren las debilidades de los sistemas (para corregirlas), un atacante
no va a dudar en utilizar tales herramientas (para explotar las debilidades encontradas).
T20
Página 36 de 57
2.2.13. SISTEMAS DE PROTECCIÓN A LA INTEGRIDAD Y PRIVACIDAD DE LA INFORMACIÓN
Herramientas que utilizan criptografía para asegurar que la información sólo sea visible para quien tiene
autorización. Su aplicación se realiza principalmente en las comunicaciones entre dos entidades. Dentro de este
tipo de herramientas se pueden citar Pretty Good Privacy (PGP), Secure Sockets Layer (SSL) y los Certificados
Digitales. También protocolos como Message Digest (MD5) o Secure Hash Algorithm (SHA) tratan de asegurar
que no ha habido alteraciones indeseadas en la información que se intenta proteger.
2.3. AUDITORIA DE SEGURIDAD LÓGICA
La auditoria consiste en contar con los mecanismos para determinar qué sucede en el sistema, qué hace cada
uno y cuando lo hace. Mediante una auditoria de seguridad informática, se pueden identificar los puntos fuertes y
débiles de una organización con respecto al manejo de la seguridad de su información y se pueden definir
claramente los pasos a seguir para lograr un perfeccionamiento de la misma.
Ventajas de una auditoria:
□ Mejora sustancialmente la eficiencia en la seguridad de la información

□ Minimiza el riesgo de intrusión en sus sistemas, robos, uso indebido o alteración de información, abuso
de privilegios o interrupción de los servicios ofrecidos
□ Elimina riegos innecesarios
□ Posibilita la toma de decisiones sobre la seguridad de sus sistemas basándose en la información más
completa
□ Posibilita la definición de responsabilidades bien diferenciadas
□ Brinda protección para toda la organización
Premisas fundamentales:
□ El nivel de seguridad satisfactorio “ahora”, es mejor que un nivel de seguridad perfecto “a largo plazo”
□ Es imprescindible conocer los propios puntos débiles y evitar riesgos imposibles de cuantificar
□ Realizar y exigir auditorias periódicas mejoran la salud de los sistemas y previenen ataques e incidentes
□ En una organización la seguridad es tan fuerte como el punto más débil de la misma, por lo tanto,
interesa concentrarse (en un principio al menos) en estos últimos
□ Un 75% de las agresiones intencionadas son internas a las organizaciones
□ Lo más productivo es concentrarse en amenazas factibles y conocidas
Las áreas principales a centrarse son las siguientes:
□ Política de seguridad: Se necesita una política que refleje las expectativas de la organización en materia
de seguridad a fin de suministrar administración con dirección y soporte. La política también se puede
utilizar como base para el estudio y evaluación en curso.
□ Organización de la seguridad: Sugiere diseñar una estructura de administración dentro la organización
que establezca la responsabilidad de los grupos en ciertas áreas de la seguridad y un proceso para el
manejo de respuestas ante incidentes.
□ Control y clasificación de los recursos de información: Necesita un inventario de los recursos de
información de la organización y con base en éste conocimiento, debe asegurar que se brinde un nivel
adecuado de protección.
□ Seguridad del personal: Establece la necesidad de educar e informar a los empleados sobre lo que se
espera de ellos en materia de seguridad y confidencialidad. También determina cómo incide el papel que
desempeñan los empleados en materia de seguridad en el funcionamiento general de la compañía. Se
debe implantar un plan para reportar los eventuales incidentes.
□ Seguridad física y ambiental: Responde a la necesidad de proteger las áreas, el equipo y los controles
generales.
□ Manejo de las comunicaciones y las operaciones: Los objetivos de ésta sección son:
à Asegurar el funcionamiento correcto y seguro de las instalaciones de proceso de datos.
à Minimizar el riesgo de falla de los sistemas.
à Proteger la integridad del software y la información.
à Conservar la integridad y disponibilidad del procesamiento y la comunicación de la información.
à Garantizar la protección de la información en las redes y de la infraestructura de soporte.
à Evitar daños a los recursos de información e interrupciones en las actividades de la compañía.
à Evitar la pérdida, modificación o uso indebido de la información que intercambian las organizaciones.
□ Control de acceso: Establece la importancia de controlar el acceso a la red y los recursos de aplicación
para proteger contra los abusos internos e intrusos externos.
□ Desarrollo y mantenimiento de los sistemas: Recuerda que en toda labor de tecnología de la
información, se debe implantar y mantener la seguridad mediante controles de seguridad en todas las
etapas del proceso.
□ Manejo de la continuidad de la empresa: Aconseja estar preparado para contrarrestar las
interrupciones en las actividades de la empresa y para proteger los procesos importantes de la misma en
caso de un fallo grave o un suceso fortuito.
Una auditoria de seguridad lógica debe centrarse en los siguientes aspectos:
□ Contraseñas de acceso.
□ Control de errores.
□ Garantías de una transmisión para que sólo sea recibida por el destinatario. Para esto, regularmente se
cambia la ruta de acceso de la información a la red.
□ Registros de las actividades de los usuarios en la red.
□ Encriptación de la información pertinente.
□ Si se evita la importación y exportación de datos.
□ Que el sistema pida el nombre de usuario y la contraseña para cada sesión:
□ Que en cada sesión de usuario, se revise que no accede a ningún sistema sin autorización y que si un
usuario introduce incorrectamente su clave un número establecido de veces, su cuenta queda
deshabilitada.
□ Si se obliga a los usuarios a cambiar su contraseña regularmente, y si las contraseñas son mostradas en
pantalla cuando se introducen.
□ Si por cada usuario, se da información sobre su última conexión a fin de evitar suplantaciones.
□ Si el software o hardware con acceso libre está inhabilitado.
□ Generación de estadísticas de las tasas de errores y transmisión.
□ Creación de protocolos con detección de errores.
□ Mensajes lógicos de transmisión que han de llevar origen, fecha, hora y receptor.
T20
Página 38 de 57
□ Software de comunicación, que ha de tener procedimientos correctivos y de control ante mensajes
duplicados, fuera de orden, perdidos o retrasados.
□ Datos importantes que sólo pueden ser impresos en una impresora especificada y ser vistos desde un
terminal debidamente autorizado.
□ Análisis del riesgo de aplicaciones en los procesos.
□ Análisis de la conveniencia de cifrar los canales de transmisión entre diferentes organizaciones.
□ Cifrados de los datos que viajan por Internet.
□ Si en la LAN hay equipos con módem entonces se debe revisar el control de seguridad asociado para
impedir el acceso de equipos fuera de la red.
□ Existencia de políticas que prohíben la instalación de programas o equipos personales en la red.
□ Inhabilitación de los accesos a servidores remotos.
□ Si la propia empresa genera ataques propios para probar la solidez de la red y encontrar posibles fallos
en cada una de las siguientes facetas:
à Servidores = Desde dentro del servidor y de la red interna.
à Servidores web.
à Intranet = Desde dentro.
à Firewall = Desde dentro.
à Accesos del exterior y/o Internet.
3. AMENAZAS, RIESGOS, VULNERABILIDADES Y ATAQUES
3.1. AMENAZA
Bajo la etiqueta de `amenazas lógicas' encontramos todo tipo de programas que de una forma u otra pueden
dañar a nuestro sistema, creados de forma intencionada (software malicioso, también conocido como malware) o
simplemente por error (bugs o agujeros). Esto es, una amenaza es la posibilidad de la ocurrencia de algún evento
que afecte el buen funcionamiento de un sistema, es decir, cualquier elemento que comprometa el sistema.
Las amenazas pueden ser analizadas en tres momentos: antes del ataque, durante y después del mismo, por lo
que son necesarios mecanismos que garanticen la seguridad para cada momento. Estos son:
□ La prevención (antes): mecanismos que aumentan la seguridad (o fiabilidad) de un sistema durante su

funcionamiento normal. Por ejemplo, el cifrado de información.
□ La detección (durante): mecanismos orientados a revelar violaciones a la seguridad. Generalmente son
programas de auditoria.
□ La recuperación (después): mecanismos que se aplican cuando la violación del sistema ya se ha
detectado, para retornar éste a su funcionamiento normal. Por ejemplo, recuperación desde las copias de
seguridad realizadas previamente.
La identificación de las amenazas requiere conocer los tipos de ataques, el tipo de acceso, método de trabajo y
los objetivos del atacante.
3.2. RIESGO
Proximidad o posibilidad de daño sobre un bien.
Ya se trate de actos naturales, errores u omisiones humanas y actos intencionados, cada riesgo debería ser
considerado de las siguientes maneras:
□ Minimizando la posibilidad de que ocurra.

□ Reduciendo al mínimo el perjuicio producido si no ha podido evitarse que ocurriera.
□ Diseñando métodos para la más rápida recuperación de los daños experimentados.
□ Corrigiendo las medidas de seguridad en función de la experiencia recogida.
3.3. VULNERABILIDAD
Característica del sistema o del medio ambiente que facilita que la amenaza tenga lugar. Son las debilidades del
sistema que pueden ser empleadas por la amenaza para comprometerlo.
3.4. ATAQUE
Evento, exitoso o no, que atenta contra el buen funcionamiento de un sistema, sea intencionado o accidental.
Las consecuencias de los ataques se podrían clasificar en:
□ Corrupción de Datos: la información que no contenía defectos pasa a tenerlos

□ Denegación de Servicio: servicios que deberían estar disponibles no lo están
□ Filtrado: Los datos llegan a destinos a los que no deberían llegar.
Los ataques de una forma general se clasifican en:
• Ataques Pasivos
El atacante no altera la comunicación sino que únicamente la escucha o monitoriza para obtener información
que está siendo transmitida. Sus objetivos son la interceptación de datos y el análisis de tráfico. Se suelen
emplear para:
□ Obtención del origen y destinatario de la comunicación, a través de la lectura de las cabeceras de los
paquetes monitorizados
□ Control del volumen de tráfico intercambiado entre las entidades monitorizadas, obteniendo así
información acerca de actividad o inactividad inusuales.
□ Control de las horas habituales de intercambio de datos entre las entidades de la comunicación, para
extraer información acerca de los periodos de actividad.
El cifrado de información, por ejemplo, puede evitar el éxito, si bien no el ataque.
• Ataques Activos
Estos ataques implican algún tipo de modificación del flujo de datos transmitidos o la creación de un falso flujo
de datos. Generalmente son realizados por hackers, piratas informáticos o intrusos remunerados y se los
pueden subdividir en varias categorías:
□ Interrupción: Un ataque se clasifica como interrupción si hace que un objeto del sistema se pierda,
quede inutilizable o no disponible.
□ Interceptación; Se tratará de una interceptación si un elemento no autorizado consigue un acceso a un
determinado objeto del sistema.
T20
Página 40 de 57
□ Modificación: Si además de conseguir el acceso consigue modificar el objeto.
□ Fabricación: Se dice que un ataque es una fabricación si se trata de una modificación destinada a
conseguir un objeto similar al atacado de forma que sea difícil distinguir entre el objeto original y el
`fabricado'.
□ Destrucción: Algunos autores consideran un caso especial de la modificación la destrucción,
entendiéndola como una modificación que inutiliza al objeto afectado.
3.5. TIPOS DE ATAQUES
3.5.1. INGENIERIA SOCIAL
Es la manipulación de las personas para convencerlas de que ejecuten acciones o actos que normalmente no
realizan para que revele todo lo necesario para superar las barreras de seguridad. Esta técnica es una de las más
usadas y efectivas a la hora de averiguar nombres de usuarios y passwords.
Para evitar situaciones de Ingeniería social es conveniente tener en cuenta estas recomendaciones:
□ Tener servicio técnico propio o de confianza.

□ Instruir a los usuarios para que no respondan ninguna pregunta sobre cualquier característica del sistema
y deriven la inquietud a los responsables que tenga competencia para dar esa información
□ Asegurarse que las personas que llaman por teléfono son quien dicen ser.
3.5.2. INGENIERÍA SOCIAL INVERSA
En este caso el intruso da a conocer de alguna manera que es capaz de brindar ayuda a los usuarios, y estos
llaman ante algún imprevisto. El intruso aprovechará la oportunidad para pedir información necesaria para
solucionar el problema consiguiendo información útil.
3.5.3. “TRASHING”
Generalmente un usuario anota su login y password en un papelito y luego, cuando lo recuerda, lo arroja a la
basura. Este procedimiento por más inocente que parezca es el que puede aprovechar un atacante para hacerse
de una llave para entrar en el sistema. El “Trashing” puede ser físico (como el caso descrito) o lógico, como
analizar buffers de impresora y memoria, bloques de discos, etc.
3.5.4. ATAQUES DE MONITORIZACIÓN
Este tipo de ataque se realiza para observar a la víctima y su sistema, con el objetivo de obtener información
establecer sus vulnerabilidades y posibles formas de acceso futuro.
“SHOULDER SURFING”
Consiste en espiar físicamente a los usuarios para obtener su login y password correspondiente.
“DECOY”
Son programas diseñados con la misma interfaz que el original. En ellos se imita la solicitud de login y el usuario
desprevenido lo hace. Luego el programa guardará esa información y dejará paso a las actividades normales del
sistema. La información recopilada será utilizada por el atacante para futuras “visitas”.
Una técnica semejante es aquella, que mediante un programa se guardan todas las teclas presionadas durante
una sesión.
“SCANNING”
La idea es recorrer (escanear) tantos puertos de escucha como sea posible, y guardar información de aquellos
que sean receptivos o de utilidad para cada necesidad en particular. Muchas utilidades de auditoria también se
basan en este paradigma.
Hay varios tipos de scanning entre los que destaca TCP Connect Scanning que es la forma básica de escaneo
de puertos TCP. Si el puerto está escuchando devolverá una respuesta de éxito; cualquier otro caso significará
que el puerto no está abierto o que no se puede establecer conexión con él. Su ventaja es que es rápido y no
necesita privilegios especiales. Su desventaja es que es fácilmente detectable por el administrador del sistema.
“EAVESDROPPING-PACKET SNIFFING”
Es la interceptación pasiva del tráfico de red.
Esto se realiza con Packet Sniffers, son programas que controlan los paquetes que circulan por la red. Los
sniffers pueden ser colocados tanto en estaciones de trabajo conectadas a la red como a un equipo Router o un
Gateway de Internet y esto puede ser realizado por un usuario con legítimo acceso o por un intruso que ha
ingresado por otras vías.
Cada máquina conectada a la red (mediante una placa con una dirección única) verifica la dirección destino de los
paquetes TCP. Si estas direcciones son iguales asume que el paquete enviado es para ella, caso contrario libera
el paquete para que otras placas lo analicen. Un sniffer consiste en colocar a la placa de red en un modo llamado
promiscuo, el cual desactiva el filtro de verificación de direcciones y por tanto todos los paquetes enviados a la
red llegan a esta placa. Actualmente existen sniffers para capturar cualquier tipo de información específica. Por
ejemplo, passwords de un recurso compartido o de acceso a una cuenta, que generalmente viajan sin encriptar.
También son útiles para capturar números de tarjetas de crédito y direcciones de correo electrónico entrantes y
salientes.
“SNOOPING-DOWNLOADING”
Además de interceptar el tráfico de red, el atacante ingresa a los documentos, mensajes de correo electrónico y
otra información guardada realizando una copia de sus documentos (downloading) a su propio ordenador para
luego hacer un análisis exhaustivo de la misma.
T20
Página 42 de 57
3.5.5. ATAQUES DE AUTENTIFICACIÓN
Este tipo de ataque tiene como objetivo engañar al sistema de la víctima para entrar en este. Generalmente se
realiza tomando las sesiones ya establecidas por la víctima u obteniendo su nombre de usuario y password.
“SPOOFING-LOOPING “
“Spoofing” puede traducirse como “hacerse pasar por otro”. Una forma común de “Spoofing” es conseguir el
nombre y password para una vez ingresado al sistema, tomar acciones en nombre de él.
El intruso usualmente utiliza un sistema para obtener información e ingresar en otro y luego utiliza este para
entrar en otro y así sucesivamente. Este proceso llamado “Looping”, tiene la finalidad de ocultar la identificación y
ubicación del atacante.
“IP SPOOFING”
El atacante genera paquetes de Internet con una dirección de red falsa en el origen, pero que es aceptada por el
destinatario del paquete. Su utilización más común es enviar los paquetes con la dirección de un tercero de forma
que la víctima “ve” un ataque proveniente de esa tercera red y no la dirección real del intruso.
“DNS SPOOFING”
Se manipulan paquetes UDP pudiéndose comprometer el servidor de nombres del dominio (Domain Name Server
DNS)
“WEB SPOOFING“
El atacante crea un sitio web completo (falso) similar al que la víctima desea entrar. Los accesos a este sitio están
dirigidos por el atacante permitiéndole controlar todas las acciones de la víctima, desde sus datos hasta las
passwords, número de tarjetas de crédito, etc.
El atacante también es libre de modificar cualquier dato que se esté transmitiendo entre el servidor original y la
víctima o viceversa.
“IP SPLICING-HIJACKING”
Se produce cuando un atacante consigue interceptar una sesión ya establecida. El atacante espera a que la
víctima se identifique ante el sistema y tras ello le suplanta.
Para entender el procedimiento supongamos la siguiente situación:
IP Cliente: IP 195.1.1.1
IP Servidor: IP 195.1.1.2
IP Atacante: IP 195.1.1.3
1. El cliente establece una conexión con su servidor enviando un paquete que contendrá la dirección origen,
destino, número de secuencia y un número de autenticación utilizado por el servidor para “reconocer” el
paquete siguiente en la secuencia. Supongamos que este paquete contiene:
IP Origen: 195.1.1.1 Puerto 1025

IP Destino: 195.1.1.2 Puerto 23
SEQ=3DF45ADA
ACK=F454FDF5
Datos: Solicitud
2. El servidor luego de recibir el primer paquete contesta al cliente con paquete Echo(recibido)
IP Origen: 195.1.1.2. Puerto 1025

T20
Página 43 de 57
SEQ= F454FDF5 (ACK enviado por el cliente)
ACK=3DF454E4
Datos: Recepción OK (Echo)
3. El cliente envía un paquete ACK al servidor, sin datos, en donde le comunica lo “perfecto” de la comunicación
IP Origen: 195.1.1.1 Puerto 1025

SEQ=3DF454E4 (ACK enviado por el servidor)
ACK=F454FDFF
Datos: Confirmación de Recepción (ACK)
4. El atacante que ha visto, mediante un Sniffer, los paquetes que circularon por la red calcula el número de
secuencia siguiente: el actual + tamaño del campo de datos. Para calcular el tamaño de este campo:
1º paquete ACK Cliente=F454FDF5

2º paquete ACK Cliente=F454FDFF
Tamaño del campo de datos=F454FDFF – F454FD5 = 0A
5. Hecho esto el atacante envía un paquete con el siguiente aspecto:
IP origen: IP 195.1.1.1 (IP del Cliente por el atacante)

IP Destino: IP 195.1.1.2 (IP del servidor)
SEQ=3DF454E4 (Último ACK enviado por el Cliente)
ACK=F454FE09 (F454FDFF + 0A)
El servidor al recibir estos datos no detectará el cambio de origen ya que los campos que ha recibido como
secuencia y ACK son los que esperaba recibir. El cliente, a su vez, quedará esperando datos como si su conexión
estuviera establecida pero sin enviar datos y el atacante podrá seguir enviando datos mediante el procedimiento
descrito.
UTILIZACIÓN DE PUERTAS TRASERAS (BACKDOORS)
Las puertas traseras son trozos de código en un programa que permiten saltarse los métodos usuales de
autenticación para realizar ciertas tareas. Habitualmente son insertados por los programadores del sistema para
agilizar la tarea de probar el código durante la fase de desarrollo. Esta situación se convierte en una falla de
seguridad si se mantiene, involuntaria o intencionalmente, una vez terminado el producto ya que cualquiera que
conozca el agujero o lo encuentre en su código podrá saltarse los mecanismos de control normales.
UTILIZACIÓN DE “EXPLOITS”
Es frecuente entrar en un sistema explotando agujeros en los algoritmos de encriptación usados, en la

administración de las claves por parte de la empresa o encontrando un error en los programas utilizados.
Los programas para explotar estos “agujeros” reciben el nombre de Exploits y lo que hacen es aprovechar la
debilidad, fallo o error hallado en el sistema (hardware o software) para entrar al mismo. Nuevos agujeros se
publican cada día por lo que mantenerse informado de los mismos y de las herramientas para combatirlos es vital
importancia.
OBTENCIÓN DE PASSWORDS
Este método comprende la obtención por “Fuerza Bruta” de aquellas claves que permiten entrar en los sistemas,
aplicaciones, cuentas, etc, atacados.
Muchas passwords de acceso son obtenidas fácilmente porque involucran el nombre u otro dato familiar del
usuario, y además, nunca (o rara vez) se cambia. En este caso el ataque se simplifica e involucra algún tiempo de
prueba y error. Otras veces se realizan ataques sistemáticos con la ayuda de programas especiales y
“diccionarios” que prueban millones de posibles claves hasta encontrar la password correcta.
T20
Página 44 de 57
El programa encargado encripta cada una de ellas, mediante el algoritmo utilizado por el sistema atacado y
compara la palabra encriptada contra el archivo de passwords del sistema atacado, previamente obtenido. Si
coinciden se ha encontrado la clave de acceso.
3.5.6. DENEGACIÓN DE SERVICIO (DOS - DENIAL OF SERVICE)
Los protocolos existentes actualmente fueron diseñados para ser empleados en una comunidad abierta y con una
relación de confianza mutua. La realidad indica que es más fácil desorganizar el funcionamiento de un sistema
que acceder al mismo; así los ataques de negación de servicio tienen como objetivo saturar los recursos de las
víctimas de forma que se inhabiliten los servicios brindados por la misma.
Algunas razones por las que son útiles para un atacante son:
□ Se ha instalado un troyano y se necesita que la víctima reinicie la máquina para que surta efecto
□ Se necesita cubrir inmediatamente sus acciones o un uso abusivo de CPU
□ El intruso cree que actúa bien al dejar fuera de servicio algún sitio web que le disgusta.
□ El administrador de sistema quiere comprobar que sus instalaciones no son vulnerables a estos ataques
□ El administrador del sistema tiene un proceso que no puede “matar” en su servidor y debido a este no
puede acceder al sistema. Para ello, lanza contra sí mismo un ataque DoS deteniendo los servicios.
Entre los distintos tipos de DoS tenemos:
“JAMMING O FLOODING“
Este tipo de ataques desactivan o saturan los recursos del sistema. Por ejemplo, se puede consumir toda la
memoria o espacio disponible en disco, así como enviar tanto tráfico a la red que nadie puede utilizarla.
El atacante satura el sistema con mensajes que requieren establecer conexión. Sin embargo, en vez de proveer
la dirección IP del emisor, el mensaje contiene falsas direcciones IP usando “Spoofing” y “Looping”. El sistema
responde al mensaje pero al no recibir respuesta acumula buffers con información de las conexiones abiertas, no
dejando lugar a las conexiones legítimas.
“CONNECTION FLOOD”
La mayoría de las empresas que brindan servicios de Internet tienen un límite máximo en el número de
conexiones simultáneas. Una vez que se alcanza este límite, no se admitirán conexiones nuevas. Así, por
ejemplo, un servidor Web puede tener, capacidad para atender a mil usuarios simultáneos. Si un atacante
establece mil conexiones y no realiza ninguna petición sobre ellas, monopolizará la capacidad del servidor. Las
conexiones van caducando por inactividad poco a poco, pero el atacante sólo necesita intentar nuevas
conexiones para mantener fuera de servicio al servidor.
“NET FLOOD”
El atacante envía tantos paquetes de solicitud de conexión que las conexiones auténticas no pueden competir. En
casos así el primer paso a realizar es ponerse en contacto con el Proveedor del servicio para que intente
determinar la fuente del ataque, y como medida provisional, filtre el ataque en su extremo de la línea. El siguiente
paso consiste en localizar las fuentes del ataque e informar a sus administradores, ya que seguramente se
estarán usando sus recursos sin su conocimiento y consentimiento.
“LAND ATTACK”
Este ataque se basa en un error de la pila TCP/IP de las plataformas Windows. Consiste en mandar a algún
puerto abierto de un servidor un paquete con la dirección y puerto origen igual que la dirección y puerto destino.
El resultado es que después de cierta cantidad de mensajes enviados-recibidos la máquina termina colgándose.
T20
Página 45 de 57
“OOB (OUT OF BAND), SUPERNUKE O WINNUKE”
Es un ataque característico en los equipos Windows que hace que los equipos que escuchan por el puerto
NETBios sobre TCP/UDP 137 a 139 queden fuera de servicio o disminuyan su rendimiento al enviarle paquetes
UDP manipulados. Generalmente se envían fragmentos de paquetes OOB que la máquina víctima detecta como
inválidos pasando a un estado inestable. OOB es el término normal pero realmente consiste en configurar el bit
Urgente (URG) en los indicadores del encabezamiento TCP
“E-MAIL BOMBING – SPAMMING”
Consiste en enviar muchas veces un mensaje idéntico a una misma dirección saturando así el buzón de correo
del destinatario.
El spamming, en cambio, se refiere a enviar un e-mail a miles de usuarios, hayan estos solicitados el mensaje o
no. Es muy utilizado por las empresas para hacer publicidad de sus productos.
3.5.7. ATAQUES DE MODIFICACIÓN-DAÑO
“TAMPERING O DATA DIDDLING”
Se refiere a la modificación desautorizada de los datos o el software instalado en el sistema víctima incluyendo
borrado de archivos. Son particularmente serios cuando el que lo realiza ha obtenido derechos de administrador,
con la capacidad de ejecutar cualquier comando. Ejemplos típicos: empleados bancarios (o externos) que crean
falsas cuentas para derivar fondos de otras, estudiantes que modifican calificaciones de exámenes, etc.
Múltiples sitios web han sido víctimas del cambio en sus páginas por imágenes o manifiestos. Otras veces se
reemplazan versiones de software por otros con el mismo nombre pero que incorporan código malicioso (virus,
troyanos, etc). La utilización de virus y troyanos está dentro de esta categoría y se le dedicará un apartado
especial.
BORRADO DE HUELLAS
El borrado de huellas es una de las tareas más importantes que debe realizar el intruso después de ingresar en
un sistema, ya que si se detecta su ingreso, el administrador buscará como conseguir “tapar el hueco” de
seguridad evitando ataques futuros o incluso rastrear al atacante.
Las huellas son todas las operaciones que realizó el intruso en el sistema y, por lo general, son almacenadas en
Logs (archivos que guardan la información de lo que se realiza en el sistema) por el sistema operativo.
Los archivos de Logs son una de las principales herramientas con las que cuenta un administrador para conocer
los detalles de las tareas realizadas en el sistema y para la detección de intrusos.
ATAQUES MEDIANTE ACTIVEX
ActiveX es una de las tecnologías de Microsoft que permite reutilizar código, descargar código totalmente
funcional de un sitio remoto, etc. ActiveX soluciona los problemas de seguridad mediante certificados y firmas
digitales. Una Autoridad Certificadora (AC) expende un certificado que acompaña a los controles activos y a una
firma digital del programador. Cuando un usuario descarga una página con un control, se le preguntará si confía
en la AC que expendió el certificado y en el control ActiveX. Si el usuario acepta el control, éste puede pasar a
ejecutarse sin ningún tipo de restricciones salvo las propias que tenga el usuario en el sistema operativo por lo
que la seguridad del sistema se deja en manos del usuario, característica que es utilizada para realizar ataques.
VULNERABILIDADES EN LOS NAVEGADORES
Un fallo común ha sido el denominado “Buffer Overflow” que consisten en explotar una debilidad relacionada con
los buffers que la aplicación usa para almacenar las entradas de usuario. Por ejemplo, cuando el usuario escribe
una dirección en formato URL ésta se guarda en un buffer para luego procesarla. Si no se realizan las oportunas
operaciones de comprobación, un usuario podría manipular estas direcciones.
T20
Página 46 de 57
3.5.8. ERRORES DE DISEÑO, IMPLEMENTACIÓN Y DE OPERACIÓN
Muchos sistemas están expuestos a “agujeros” de seguridad que son explotados para acceder a archivos,
obtener privilegios o realizar sabotaje. Estas vulnerabilidades ocurren por varias razones y miles de “puertas
invisibles” son descubiertas cada día en sistemas operativos, aplicaciones de software, protocolos de red,
exploradores de internet, correo electrónico y toda clase de servicios informáticos disponibles.
Los sistemas operativos abiertos como Unix o Linux tienen agujeros más conocidos y controlados que aquellos
que son cerrados, por ejemplo Windows. La importancia y ventaja del código abierto radica en miles de usuarios
que analizan dicho código y buscan posibles errores y ayudan a obtener soluciones en forma inmediata.
3.5.9. VIRUS INFORMÁTICOS
Un virus informáticos es un pequeño programa invisible para el usuario de funcionamiento específico y subrepticio
cuyo código incluye información suficiente y necesaria para que utilizando los mecanismos de ejecución que le
ofrecen otros programas puedan reproducirse formando réplicas de sí mismos susceptibles de mutar, resultando
de dicho proceso la modificación, alteración y/o destrucción de los programas, información y/o hardware afectado.
Un virus informático es un ataque de tipo “Tampering” que puede ser ingresado al sistema por un dispositivo
externo o a través de la red (emails u otros protocolos) sin intervención directa del atacante.
Existen distintos tipos de virus, como aquellos que infectan archivos ejecutables, los sectores de arranque y la
tabla de partición de los discos, etc. Los que causan mayores problemas suelen ser los macros y script virus que
están ocultos en simples documentos, plantillas de cálculo, correo electrónico y aplicaciones que utiliza cualquier
usuario de PC. La difusión se potencia con la posibilidad de su transmisión de un continente a otro a través de
cualquier red o Internet y además son multiplataformas.
Las técnicas de propagación más comunes son:
□ Disquetes y otros medios: A la posibilidad de que un disquete contenga un archivo infectado se une el
peligro de que integre un virus de sector de arranque (Boot). En este segundo caso, y si el usuario lo deja
en la disquetera infectará el ordenador al encenderlo ya que el sistema arrancará desde el disquete.
□ Correo electrónico: el usuario no necesita hacer nada para recibir mensajes que en muchos casos ni
siquiera ha solicitado y que pueden llegar de cualquier lugar del mundo. Los mensajes de correo
electrónico pueden incluir archivos, documentos o cualquier objeto ActiveX-java infectado que al
ejecutarse contagian la computadora del usuario. En las últimas generaciones de virus se envían emails
sin mensajes pero con archivos adjuntos que al abrirlos proceden a su ejecución y posterior infección ya
que se envían automáticamente a los contactos de la libreta de direcciones del sistema infectado.
□ IRC o chat: Las aplicaciones de mensajería instantánea proporcionan un medio de comunicación
anónimo, rápido, eficiente, cómodo y barato. Sin embargo, son peligrosas ya que los entornos chat
ofrecen generalmente facilidades para transmisión de archivos con un gran riesgo en un entorno de red.
□ Páginas web y transferencias vía FTP: los archivos que se descargan desde Internet pueden estar
infectados y pueden provocar acciones dañinas en el sistema en el que se ejecutan
□ Grupos de noticias: sus mensajes e información pueden estar infectados y por lo tanto contagiar al equipo
del usuario que participe en ellos.
Los tipos de virus más habituales son:
ARCHIVOS EJECUTABLES (VIRUS EXEVIR)
El virus se adosa a un archivo ejecutable y desvía el flujo de ejecución a su código, para luego retornar al
huésped y ejecutar acciones esperadas por el usuario. Al realizarse esta acción el usuario no se percata de lo
sucedido. Una vez que el virus es ejecutado se aloja en memoria y puede infectar otros archivos ejecutables que
sean abiertos en esa máquina.
T20
Página 47 de 57
VIRUS EN EL SECTOR DE ARRANQUE (VIRUS ANTERIOR A LA CARGA DEL SO)
En los primeros 512 bytes de un disquete formateado están las rutinas necesarias para la carga y reconocimiento
de dicho disquete. Entre ellas se encuentra la función invocada si no se encuentra el Sistema Operativo.
Se guarda la zona de arranque original en otro sector del disco. Luego el virus carga la antigua zona de arranque.
Al arrancar el disquete ejecuta el virus (que obligatoriamente debe tener 512 bytes o menos) quedando residente
en memoria, luego ejecuta la zona de arranque original, salvada anteriormente.
VIRUS RESIDENTE
El objetivo de residir en memoria es controlar los accesos a disco realizados por el usuario y el sistema operativo.
Cada vez que se produce un acceso, el virus verifica si el disco o archivo objeto al que se accede está infectado y
si no lo está procede a almacenar su propio código en el mismo. Este código se almacenará en un archivo, tabla
de partición o en el sector de arranque dependiendo del tipo de virus de que se trate.
VIRUS DE MACROS
Estos virus infectan archivos de información generados por aplicaciones de oficina que cuentan con lenguajes de
programación de macros. Su funcionamiento consiste en que si una aplicación abre un archivo infectado, la
aplicación (o parte de ella) se infecta y cada vez que se genera un nuevo archivo o se modifique uno existente
contendrá el virus de macros.
T20
Página 48 de 57
VIRUS DE MAIL
Su modo de actuar se basa en la confianza excesiva por parte del usuario: a este le llega vía mail un mensaje con
un archivo comprimido, el usuario lo descomprime y al terminar esta acción, el contenido del archivo se ejecuta y
comienza el daño. Este tipo de virus tomó relevancia con la explosión masiva de Internet y virus tipo Melissa y I
Love You. Generalmente estos virus se auto-envían a algunas de las direcciones de la libreta.
HOAX, LOS VIRUS FANTASMAS
No es virus realmente. El auge del correo electrónico generó la posibilidad de transmitir mensajes de alerta de
seguridad. Así comenzaron a circular mensajes de distintas índole de casos inexistentes. Los objetivos de estas
alertas pueden causar alarma, pérdida de tiempo, robo de direcciones de correo y saturación de los servidores.
GUSANOS
Un gusano es un programa capaz de ejecutarse y propagarse por sí mismo a través de redes, en ocasiones
portando virus o aprovechando errores de los sistemas a los que conecta para dañarlos. Al ser difíciles de
programar su número no es muy elevado, pero el daño que pueden causar es muy grande.
Hemos de pensar que un gusano puede automatizar y ejecutar en unos segundos todos los pasos que seguiría
un atacante humano para acceder a nuestro sistema: mientras que una persona, por muchos conocimientos y
medios que posea, tardaría como mínimo horas en controlar nuestra red completa (un tiempo más que razonable
para detectarlo), un gusano puede hacer eso mismo en pocos minutos: de ahí su enorme peligro y sus
devastadores efectos.
CABALLOS DE TROYA
Es un programa que aparentemente realiza una función útil a la vez que una operación que el usuario desconoce
y que generalmente beneficia al autor del troyano o daña el sistema huésped.
Ejemplos conocidos son el Back Oriffice y el Net Bus que son utilizados como poderosas armas para tomar el
control del ordenador infectado. Estos programas pueden ser utilizados para la administración total del sistema
atacado por parte de un tercero, con los mismos permisos y restricciones que el usuario de la misma.
3.5.10. MODELO DE VIRUS INFORMÁTICO
Un virus está compuesto por su propio entorno dentro del que pueden distinguirse tres módulos principales:
□ Módulo de reproducción encargado de manejar las rutinas de parasitación de entidades ejecutables con
el fin de que el virus pueda ejecutarse subrepticiamente.
□ Módulo de Ataque que maneja las rutinas de daño adicional al virus y se activan cuando el sistema
cumple cierta condición (por ejemplo una fecha)
T20
Página 49 de 57
□ Módulo de defensa con la misión de proteger al virus para evitar su detección o eliminación.
4. CONCLUSIÓN
La seguridad física de un sistema de información es tan valiosa y tan importante como la seguridad lógica del
mismo. El no prestarle la atención necesaria supone en muchos casos daños y averías por un importe
considerable de dinero.
Es cierto que hay veces en las que no se pueden tomar las medidas preventivas necesarias para evitar ciertos
desastres, por ejemplo, el hecho de que la empresa este ubicada en una zona sísmica o con propensión a
fenómenos naturales, etc, pero esto no va a impedir que se tomen las medidas correctivas oportunas, como por
ejemplo realizar copias de seguridad de los datos, instalar cámaras de seguridad, etc.
En este punto es donde entra en juego el papel del auditor de seguridad, aquella persona de descubrir cuáles son
los puntos débiles en la seguridad de una organización para así poner las soluciones y estar preparados o evitar
los ataques que tienen que soportar los sistemas de información de una organización.
5. BIBLIOGRAFÍA
□ John Wiley, Jack J. Champlain: Auditing information system
□ J. R. Méndez, F. Fdez. Riverola, F.J. Rodríguez, F. Díaz: Seguridad básica para organizaciones.
□ Taimur Aslam, Ivan Krsul, and Eugene H. Spafford. “Use of a taxonomy of security faults”, Technical
Report TR-96-051, Purdue University Department of Computer Science, 1996.
□ Cristian F. Borghello, “Seguridad Informática: Sus implicaciones e implementaciones”, 2001
□ PIATTINI, M. y otros, “Auditoria Informática. Un Enfoque Práctico. 2ª Edición” Ed. RA-MA Editorial, 2001
□ Página oficial del NIST (National Institute of Standard and Technology) http://www.nist.gov/
T20
Página 50 de 57
6. ESQUEMA – RESUMEN
SEGURIDAD FÍSICA
Queda patente que la seguridad física es tan importante como la seguridad lógica, ya que de nada vale invertir en
métodos para proteger la información denominados seguridad lógica, si después dejamos que alguien (de fuera o
de dentro de la compañía) robe el ordenador principal o si la instalación eléctrica es defectuosa y estamos
continuamente no disponibles porque los picos de tensión fastidian la fuente de alimentación, etc
Hay que hacer un plan de seguridad física conteniendo los siguientes ítems y debe ser aprobado por la dirección.
□ Una enumeración de los recursos físicos que se deben proteger.

□ Un estudio del área donde se encuentran los recursos.
□ Una descripción del perímetro y de los problemas potenciales o desventajas de colocar los equipos en él.
□ Una relación de las amenazas de las que hay que protegerse.
□ Un informe de las defensas y cómo mejorarlas.
□ Un presupuesto.
Las amenazas que afectan a cualquier empresa son las siguientes:
□ Hackers, curiosos o vándalos.

□ Empleados o ex empleados.
□ Proveedores.
□ Clientes.
□ Competidores.
□ Gobiernos extranjeros.
□ Espías industriales.
□ La propia naturaleza.
Con los 7 primeros se combaten con controles de acceso físico. Mientras que el último es más complicado de
combatir, pero si que se pueden tomar unas series de medidas para impedir que su efecto sea tan devastador.
Entre los riesgos a tomar en cuenta en la seguridad física destacan los siguientes:
□ El fuego
□ El humo
□ El polvo
□ Terremotos
□ Explosiones
□ Insectos
□ Ruido eléctrico
□ Tormentas
□ Vibraciones
□ Humedad
□ Agua
□ Presencia de comidas y bebidas
□ Acceso físico
□ Actos de vandalismo
□ Robos
□ Espionaje
Contra estos riesgos se pueden tener en cuenta las siguientes medidas de protección:
□ Ubicación física
□ Instalaciones físicas de la empresa
□ Control de acceso físico
□ Aire acondicionado
□ Instalación eléctrica
□ Riesgo de inundación
□ Protección, detección y extinción de incendios
Una vez tomadas dichas medidas se debe comprobar que realmente son efectivas y que ante una catástrofe se
van a poner en marcha. A este proceso se le denomina auditoria de la seguridad física.
El auditor físico en su trabajo realiza las siguientes tareas:
□ Acopio de datos.
□ Análisis de riesgos y amenazas.
□ Trabajo de campo:
à Análisis de instalaciones.
à Análisis del personal.
□ Informe de la situación actual.
□ Propuesta de acciones a tomar, valoradas económicamente.
El auditor, una vez acabada la inspección deberá emitir su informe que incluye:
□ Informe de Auditoria detectando riesgos y deficiencias

□ Plan de recomendaciones a aplicar en función de:
à Riesgos
à Normativa a cumplir
à Costes estimados de las recomendaciones
SEGURIDAD LÓGICA
La Seguridad Lógica consiste en la “aplicación de barreras y procedimientos que resguarden el acceso a los
datos y sólo permitan acceder a ellos a personas autorizadas para hacerlo”. Los objetivos que se plantean son:
□ Restringir el acceso a los programas y archivos.

□ Asegurar que los operadores puedan trabajar sin una supervisión minuciosa y no puedan modificar los
programas ni los archivos que no les correspondan.
T20
Página 52 de 57
□ Asegurar que se estén utilizando los datos, archivos y programas correctos por el procedimiento correcto.
□ Que la información transmitida sea recibida por el destinatario al que ha sido enviada y no a otro.
□ Que la información recibida sea la misma que ha sido transmitida.
□ Que existan sistemas alternativos secundarios de transmisión entre diferentes puntos.
□ Que se disponga de pasos alternativos de emergencia para la transmisión de información.
La seguridad lógica está estandarizada de acuerdo a unos niveles de seguridad. El estándar más utilizado
internacionalmente es el TCSEC (Trusted Computer System Evaluation ) Orange Book desarrollado en 1982 de
acuerdo a las normas de seguridad en ordenadores del Departamento de Defensa de los Estados Unidos. Los
niveles describen diferentes tipos de seguridad del sistema operativo y se enumeran desde el mínimo grado de
seguridad (D) al máximo (A).
MEDIDAS DE PROTECCIÓN Y ASEGURAMIENTO
Entre las medidas de protección más comunes tenemos:
□ Controles de acceso. Estos controles pueden implantarse en el Sistema Operativo, sobre los sistemas de
aplicación, en base de datos, en un paquete específico de seguridad o en cualquier otro sistema que se
utilice. Constituyen una importante ayuda para proteger al sistema operativo de la red, al sistema de
aplicación y demás software de la utilización o modificación no autorizadas para mantener la integridad de
la información y para resguardar la información confidencial del acceso no autorizados. Destacan:
à Identificación y autenticación: Se denomina identificación el momento en que el usuario se da a
conocer en el sistema y autenticación es la verificación que hace el sistema sobre esta identificación.
à Roles: Algunos ejemplos de roles son: programador, jefe de proyecto, gerente, administrador, etc.
à Limitaciones a los servicios
à Estos controles se refieren a las restricciones que dependen de parámetros propios de la utilización
de la aplicación o preestablecidos por el administrador del sistema.
à Modalidad de acceso: Se refiere al modo de acceso que se permite al usuario sobre los recursos y a
la información. Esta modalidad puede ser:
Lectura: el usuario puede únicamente leer o visualizar la información pero no puede alterarla. La
información puede ser copiada o impresa.
Escritura: Se permite agregar datos, modificar o borrar información
Ejecución: este acceso otorga al usuario el privilegio de ejecutar programas
Borrado: permite al usuario eliminar recursos del sistema.
Todas las anteriores
à Palabras claves (passwords) : Generalmente se utilizan para realizar la autenticación del usuario y
sirven para proteger los datos y aplicaciones.
à Encriptación; La información encriptada solamente puede ser desencriptada por quienes posean la
clave apropiada
à Listas de control de accesos: registro donde están los nombres de los usuarios que obtuvieron el
permiso de acceso a un determinado recurso del sistema y la modalidad de acceso permitido.
à Dispositivos de control de puertos: Estos dispositivos autorizan el acceso a un puerto determinado y
pueden estar físicamente separados o incluidos en otro dispositivo de comunicaciones, como por
ejemplo un módem.
à Firewalls o puertas de seguridad: Permiten bloquear o filtrar el acceso entre dos redes, usualmente
una privada y otra externa (por ejemplo Internet). Los Firewalls permiten que los usuarios internos se
T20
Página 53 de 57
conecten a la red exterior al mismo tiempo que previenen la intromisión de atacantes o virus a los
sistemas de la organización.
□ Política de seguridad informática: Se define (RFC 1244) como “una declaración de intenciones de alto
nivel que cubre la seguridad de los sistemas informáticos y que proporciona las bases para definir y
delimitar responsabilidades para las diversas actuaciones técnicas y organizativas que se requerirán”.
□ Evaluación de riesgos: El análisis de riesgos supone calcular la posibilidad de que ocurran cosas
negativas. Los riesgos se suelen clasificar por su nivel de importancia y por la severidad de su pérdida.
□ Plan de contingencia: se elaboran como respuesta a la acción de los diferentes riesgos El plan de
Contingencia recoge los siguientes planes como respuesta a los problemas:
à Plan de Emergencia: normas de actuación durante o inmediatamente después de cada fallo o daño.
à Plan de Recuperación: normas para reiniciar todas las actividades de proceso en el Centro.
à Plan de Respaldo: elementos y procedimientos precisos para mantener la seguridad de la
información, como configuración del equipo, comunicaciones, sistema operativo y opciones, etc.
□ Copias de respaldo (o backups): El backup de archivos permite tener disponible e integra la información
para cuando sucedan los accidentes. Es necesario realizar un análisis coste/beneficio para determinar
qué información será almacenada, espacios de almacenamiento destinados a tal fin, la forma de
realización, las estaciones de trabajo que cubrirá el backup, etc.
□ Programas antivirus: Un antivirus es una gran base de datos con la huella digital de todos los virus
conocidos para identificarlos y también con las pautas que más contienen los virus. Los fabricantes de
antivirus avanzan tecnológicamente en la misma medida que lo hacen los creadores de virus. Esto sirve
para combatirlos aunque no para prevenir la creación e infección de otros nuevos.
□ Herramientas de seguridad.
□ Sistemas de protección a la integridad y privacidad de la información: Herramientas que utilizan
criptografía para asegurar que la información sólo sea visible para quien tiene autorización. Dentro de
este tipo de herramientas se pueden citar a Pretty Good Privacy (PGP), Secure Sockets Layer (SSL) y los
Certificados Digitales. También protocolos como Message Digest (MD5) o Secure Hash Algorithm (SHA).
AUDITORIA DE SEGURIDAD LÓGICA
La auditoria consiste en contar con los mecanismos para determinar qué sucede en el sistema, qué hace y
cuando lo hace. Mediante una auditoria de seguridad informática, pueden identificarse los puntos fuertes y débiles
de una organización con respecto al manejo de la seguridad de su información y se pueden definir claramente los
pasos a seguir para lograr un perfeccionamiento de la misma. Es otra medida más de protección y
aseguramiento.
Una auditoria de seguridad lógica debe centrarse en los siguientes aspectos:
□ Contraseñas de acceso.
□ Control de errores.
□ Garantías de una transmisión para que sólo sea recibida por el destinatario. Para esto, regularmente se
cambia la ruta de acceso de la información a la red.
□ Registros de las actividades de los usuarios en la red.
□ Encriptación de la información pertinente.
□ Si se evita la importación y exportación de datos.
□ Que el sistema pida el nombre de usuario y la contraseña para cada sesión:
□ Que en cada sesión de usuario, se revise que no accede a ningún sistema sin autorización y que si un
usuario introduce incorrectamente su clave un número establecido de veces, su cuenta queda
deshabilitada.
T20
Página 54 de 57
□ Si se obliga a los usuarios a cambiar su contraseña regularmente, y si las contraseñas son mostradas en
pantalla cuando se introducen.
□ Si por cada usuario, se da información sobre su última conexión a fin de evitar suplantaciones.
□ Si el software o hardware con acceso libre está inhabilitado.
□ Generación de estadísticas de las tasas de errores y transmisión.
□ Creación de protocolos con detección de errores.
□ Mensajes lógicos de transmisión que han de llevar origen, fecha, hora y receptor.
□ Software de comunicación, que ha de tener procedimientos correctivos y de control ante mensajes
duplicados, fuera de orden, perdidos o retrasados.
□ Datos importantes que sólo pueden ser impresos en una impresora especificada y ser vistos desde un
terminal debidamente autorizado.
□ Análisis del riesgo de aplicaciones en los procesos.
□ Análisis de la conveniencia de cifrar los canales de transmisión entre diferentes organizaciones.
□ Cifrados de los datos que viajan por Internet.
□ Si en la LAN hay equipos con módem entonces se debe revisar el control de seguridad asociado para
impedir el acceso de equipos fuera de la red.
□ Existencia de políticas que prohíben la instalación de programas o equipos personales en la red.
□ Inhabilitación de los accesos a servidores remotos.
□ Si la propia empresa genera ataques propios para probar la solidez de la red y encontrar posibles fallos.
AMENAZAS, RIESGOS, VULNERABILIDADES Y ATAQUES
Algunas definiciones importantes son:
□ Amenazas lógicas son todo tipo de programas que de una forma u otra pueden dañar a nuestro sistema,
creados de forma intencionada para ello (software malicioso, también conocido como malware) o
simplemente por error (bugs o agujeros). Dicho de otra forma, una amenaza es la posibilidad de la
ocurrencia de algún evento que afecte el buen funcionamiento de un sistema, es decir, cualquier
elemento que comprometa el sistema. La identificación de las amenazas requiere conocer los tipos de
ataques, el tipo de acceso, método de trabajo y los objetivos del atacante.
□ Riesgo es la proximidad o posibilidad de daño sobre un bien.
□ Vulnerabilidad es la característica del sistema o del medio ambiente que facilita que la amenaza tenga
lugar. Son las debilidades del sistema que pueden ser empleadas por la amenaza para comprometerlo.
□ El ataque es el evento, exitoso o no, que atenta contra el buen funcionamiento de un sistema, sin importar
si es intencionado o accidental.
Algunos de los tipos de ataques más importantes son:
□ Ingeniería social. Es la manipulación de las personas para convencerlas de que ejecuten acciones o
actos que normalmente no realizan para que revelen todo lo necesario para superar las barreras de
seguridad. Esta técnica es una de las más usadas y efectivas a la hora de averiguar nombres de usuarios
y passwords.
□ Ingeniería social inversa. En este caso el intruso da a conocer de alguna manera que es capaz de brindar
ayuda a los usuarios, y estos llaman ante algún imprevisto. El intruso aprovechará la oportunidad para
pedir información necesaria para solucionar el problema consiguiendo información útil.
□ Decoy. Son programas diseñados con la misma interfaz que el original. Imitan la solicitud de login y el
usuario desprevenido lo hace. Luego el programa guarda esa información y deja paso a las actividades
normales del sistema. La información recopilada será utilizada por el atacante para futuras “visitas”.
T20
Página 55 de 57
□ Scanning. La idea es recorrer (escanear) tantos puertos de escucha como sea posible, y guardar
información de aquellos que sean receptivos o de utilidad para cada necesidad en particular. Muchas
utilidades de auditoria también se basan en este paradigma. Existen diversos tipos de scanning entre los
que destaca TCP Connect Scanning que es la forma básica de escaneo de puertos TCP.
□ EavesDropping o Packet Sniffing. Es la interceptación pasiva del tráfico de red. Esto se realiza con
Packet Sniffers, programas que controlan los paquetes que circulan por la red. Los sniffers pueden ser
colocados tanto en estaciones de trabajo conectadas a la red como a un equipo Router o un Gateway de
Internet y esto puede ser realizado por un usuario con legítimo acceso o por un intruso que ha ingresado
por otras vías.
□ Spooing-Looping. “Spoofing” puede traducirse como “hacerse pasar por otro”. Una forma común de
“Spoofing” es conseguir el nombre y password para una vez ingresado al sistema, tomar acciones en
nombre de él. El intruso usualmente utiliza un sistema para obtener información e ingresar en otro y luego
utiliza este para entrar en otro y así sucesivamente. Este proceso llamado “Looping”, tiene la finalidad de
ocultar la identificación y ubicación del atacante.
□ Web Spoofing. El atacante crea un sitio web completo (falso) similar al que la víctima desea visitar. Los
accesos a este sitio están dirigidos por el atacante permitiéndole controlar todas las acciones de la
víctima, desde sus datos hasta las passwords, número de tarjetas de crédito, etc.
□ Utilización de puertas traseras (backdoors). Las puertas traseras son trozos de código en un programa
que permiten a quien las conoce saltarse los métodos usuales de autenticación para realizar ciertas
tareas. Habitualmente son insertados por los programadores del sistema para agilizar la tarea de probar
el código durante la fase de desarrollo. Esta situación se convierte en una falla de seguridad si se
mantiene, involuntaria o intencionalmente, una vez terminado el producto ya que cualquiera que conozca
el agujero o lo encuentre en su código podrá saltarse los mecanismos de control normales.
□ Denegación de servicio (DoS). Los ataques de negación de servicio tienen como objetivo saturar los
recursos de las víctimas de forma que se inhabiliten los servicios brindados por la misma.
□ Vulnerabilidades en los navegadores. Un fallo común ha sido el denominado “Buffer Overflow” que
consiste en explotar una debilidad relacionada con los buffers que la aplicación usa para almacenar las
entradas de usuario. Por ejemplo, cuando el usuario escribe una dirección en formato URL ésta se
guarda en un buffer para luego procesarla. Si no se realizan las oportunas operaciones de
comprobación, un usuario podría manipular estas direcciones.
□ Virus Informáticos. Un virus informático es un pequeño programa invisible para el usuario de
funcionamiento específico y subrepticio cuyo código incluye información suficiente y necesaria para que
utilizando los mecanismos de ejecución que le ofrecen otros programas puedan reproducirse formando
réplicas de sí mismos susceptibles de mutar, resultando de dicho proceso la modificación, alteración y/o
destrucción de los programas, información y/o hardware afectado.
Los tipos de virus más importantes son:
□ Archivos Ejecutables: El virus se adosa a un archivo ejecutable y desvía el flujo de ejecución a su código,
para luego retornar al huésped y ejecutar acciones esperadas por el usuario. Al realizarse esta acción el
usuario no se percata de lo sucedido. Una vez que el virus es ejecutado se aloja en memoria y puede
infectar otros archivos ejecutables que sean abiertos en esa máquina.
□ Virus del Sector de arranque: Se guarda la zona de arranque original en otro sector del disco. Luego el
virus carga la antigua zona de arranque. Al arrancar el disquete ejecuta el virus (que obligatoriamente
debe tener 512 bytes o menos) quedando residente en memoria, luego ejecuta la zona de arranque
original, salvada anteriormente.
□ Virus Residente: El objetivo de residir en memoria es controlar los accesos a disco realizados por el
usuario y el sistema operativo. Cada vez que se produce un acceso, el virus verifica si el disco o archivo
objeto al que se accede está infectado y si no lo está procede a almacenar su propio código en el mismo.
Este código se almacenará en un archivo, tabla de partición o en el sector de arranque dependiendo del
tipo de virus de que se trate.
□ Virus de Macros: Estos virus infectan archivos de información generados por aplicaciones de oficina que
cuentan con lenguajes de programación de macros. Su funcionamiento consiste en que si una aplicación
abre un archivo infectado, la aplicación (o parte de ella) se infecta y cada vez que se genera un nuevo
archivo o se modifique uno existente contendrá el virus de macros
□ Virus de Mail: Al usuario le llega vía mail un mensaje con un archivo comprimido, el usuario lo
descomprime y al terminar esta acción, el contenido del archivo se ejecuta y comienza el daño. Este tipo
de virus tomó relevancia con la explosión masiva de Internet y virus tipo Melissa y I Love You.
Generalmente estos virus se auto-envían a algunas de las direcciones de la libreta.
□ Gusanos: Un gusano es un programa capaz de ejecutarse y propagarse por sí mismo a través de redes,
en ocasiones portando virus o aprovechando errores de los sistemas a los que conecta para dañarlos.
□ Caballos de Troya: Programa que aparentemente realiza una función útil a la vez que una operación que
el usuario desconoce y que generalmente beneficia al autor del troyano o daña el sistema huésped.
T20
Página 57 de 57

Conceptos de Seguridad de Los Sistemas de Informacion PDF

Uploaded by

Document Information

Original Title

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

Conceptos de Seguridad de Los Sistemas de Informacion PDF

Uploaded by

Copyright:

Available Formats

T20 - CONCEPTOS DE SEGURIDAD DE LOS SISTEMAS DE INFORMACIÓN.

□ Una enumeración de los recursos físicos que se deben proteger.

Los desastres que pueden suceder podemos clasificarlos así:

□ Completa destrucción del centro de cómputo.

Cuando el plan sea requerido debido a una emergencia, el grupo deberá:

□ Asegurarse de que todos los miembros sean notificados.

Es conveniente incluir en el acuerdo de soporte recíproco los siguientes puntos:

Por supuesto, las copias de seguridad también son muy importantes.

1.2. RIESGOS, AMENAZAS Y VULNERABILIDADES.

Un sistema informático está continuamente amenazado por los siguientes elementos:

□ Hackers, curiosos o vándalos.

Por su velocidad de ignición los fuegos pueden ser de tres tipos:

□ TIPO A: de ignición lenta.

De acuerdo con esta segunda clasificación se tienen los siguientes fuegos:

Con respecto al fuego, sería interesante tener en cuenta lo siguiente:

□ Prohibir fumar en la sala de equipos y cerca de la gente que está usándolos.

A continuación de recogen algunos consejos para minimizar el impacto de este agente:

□ Mantener la sala de equipos lo más limpia de polvo posible.

□ Evitar situar los equipos en superficies altas.

□ Colocar los ordenadores lo más lejos posible de las fuentes de vibración.

Las precauciones aplicables en este caso serán las siguientes:

□ Instalar un sensor de agua en el suelo, cerca de la sala de equipos.

1.2.12. PRESENCIA DE COMIDAS Y BEBIDAS

1.2.14. ACTOS DE VANDALISMO

1.3. MEDIDAS DE PROTECCIÓN Y ASEGURAMIENTO

□ Ubicación física y disposición del centro de cómputo.

Se verán a continuación cada uno de estos puntos en detalle.

1.3.1. UBICACIÓN FÍSICA

Los suelos sometidos a vibraciones o la proximidad de maquinaria pesada o de vías de comunicación

1.3.2. INSTALACIONES FÍSICAS DE LA EMPRESA

En la selección del local se deben considerar dos alternativas:

1.3.2.1. FACTORES INHERENTES A LA LOCALIDAD

1.3.2.2. FACTORES INHERENTES A LA SALA DE ORDENADORES

1.3.3. CONTROL DE ACCESO FÍSICO

□ Cerraduras: incluyendo llaves tradicionales, cerraduras electrónicas y biométricas

1.3.3.2. GUARDIAS Y ESCOLTAS ESPECIALES.

1.3.3.3. CÁMARAS DE VIDEO VIGILANCIA.

1.3.4. AIRE ACONDICIONADO

Para poder afrontar estos riesgos se requiere lo siguiente:

□ Capacidad del equipo de aire acondicionado

1.3.5. INSTALACIÓN ELÉCTRICA

1.3.5.1. CORRIENTE REGULADA

1.3.5.2. SISTEMA DE ALIMENTACIÓN ININTERRUMPIDA

□ Regular la cantidad de energía eléctrica que llega al PC.

En el uso de estos sistemas debe tenerse en cuenta lo siguiente:

□ El tiempo de interrupción en el suministro de energía eléctrica es variable.

1.3.5.3. PLANTA GENERADORA DE ENERGÍA

1.3.6. RIESGO DE INUNDACIÓN

1.3.7. PROTECCIÓN, DETECCIÓN Y EXTINCIÓN DE INCENDIOS

1.4. AUDITORÍA DE LA SEGURIDAD FÍSICA

En función de quien realice una auditoria se distinguen:

La auditoria deberá seguir las siguientes fases:

Como resultado de la auditoria se obtendrá:

□ Informe de Auditoria detectando riesgos y deficiencias en el Sistema de Seguridad

Los objetivos que se plantean serán:

1. Restringir el acceso a los programas y archivos.

Los requerimientos mínimos que debe cumplir la clase C1 son:

3. Nivel C2: Protección de Acceso controlado

4. Nivel B1: Seguridad Etiquetada

5. Nivel B2: Protección Estructurada

6. Nivel B3: Dominios de Seguridad

7. Nivel A: Protección Verificada

2.2. MEDIDAS DE PROTECCIÓN Y ASEGURAMIENTO