Date post: | 14-Apr-2017 |
Category: |
Technology |
Upload: | walter-edison-alanya-flores |
View: | 173 times |
Download: | 5 times |
Ponente:Ing. Walter Edison Alanya Flores
• Presidente del Capitulo de Sistemas - Colegio de Ingenieros del Perú de Tacna• Jefe de la Unidad de Informática de la Municipalidad Distrital de Ite• Docente Contratado de : UPT, ITEL-UNJBG , EXETEC-Moquegua• Consultor de TI
INTRODUCCIÓN. ¿QUÉ ES LA SEGURIDAD INFORMÁTICA?. SEGURIDAD DE INFORMACION Y PROTECCION DE DATOS. ¿QUÈ ABARCA? EL OBJETIVO DE LA SEGURIDAD INFORMÁTICA PRINCIPIOS. TIPOS DE SEGURIDAD: SEGURIDAD FISICA Y LOGICA. LA SEGURIDAD INFORMÁTICA ESTÁ CONCEBIDA PARA PROTEGER LOS
ACTIVOS INFORMÁTICOS. GESTION DE RIESGO EN LA SEGURIDAD INFORMATICA. ¿QUÉ ES UN AMENAZA? TIPOS DE AMENAZA LAS AMENAZAS PUEDEN SER CAUSADAS POR. ¿QUÉ ES LA VULNERABILIDAD? LAS VULNERABILIDADE SE PUEDEN AGRUPAR EN GRUPOS INGENIERÍA SOCIAL TÉCNICAS PARA ASEGURAR EL SISTEMA ALGUNAS AFIRMACIONES ERRÓNEAS COMUNES ACERCA DE LA SEGURIDAD.
Nuevas tecnologías han revolucionado la forma de proveer servicios y hacernegocios pero también han introducido nuevos riesgos.
Es necesario reconocer y asumir que la seguridad total no existe. Incidentes de seguridad informática son un dato de la realidad y es necesario
desarrollar mecanismos para gestionarlos. La complejidad para realizar un ataque sofisticado ha disminuido
significativamente y la motivación se ha diversificado e incrementado. Velocidad con la que las empresas y organizaciones puedan reconocer, analizar
y responder a un incidente limitará los daños y disminuirá los costos derecuperación.
“El único sistema seguro es aquel que está apagado ydesconectado, enterrado en un refugio de concreto,rodeado por gas venenoso y custodiado por guardianesbien pagados y muy bien armados. Aun así yo noapostaría mi vida por él”.
Por: GENE SPAFFORD
Eugene Spafford Howard: (nacido en 1956)Conocido comúnmente como Spaf, Es un profesor de ciencias de lacomputación en la Universidad de Purdue - USA y un líder en seguridadinformática de expertos.Elegido en el 2013 miembro del Salón de la Fama de Ciberseguridad
SEGURIDAD INFORMÁTICA NO ES SOLAMENTE IMPLEMENTAR USUARIOS Y CONTRASEÑAS
La seguridad es… SERVICIO
AntiVirus
AntiPhishingFirewalls
Control de Accesos
AntiSpam
Sistemas de detección de Intrusos
Análisis de Vulnerabilidades
PKI
Debe implementarse utilizando… Criterio de Negocio
Concientización de usuarios Encripción
Análisis de RiesgoEvaluación de Software
Análisis Forense ABM de Usuarios
Herramientas Forenses
Doble Factor de Autenticación
Desarrollo de Políticas Normas y Estándares
Análisis de Eventos
Plan de Continuidad de Negocio Gestión de Incidentes
Controles
Permisos mínimos necesarios
Marcos Normativos
Correlación de eventos
Test de Penetración
La seguridad es más que un producto que podamos comprar, es un proceso, son hábitos, es cultura, es monitoreo y mejora continua.....
Es la “cualidad de seguro”. Buscamos ahora seguro yobtenemos “libre y exento de todo peligro, daño o riesgo”.
A partir de estas definiciones no podríamos aceptar queseguridad informática es “la cualidad de un sistema informáticoexento de peligro”, por lo que habrá que buscar una definiciónmás apropiada.
Un conjunto de métodos y herramientas destinados a proteger la informacióny por ende los sistemas informáticos ante cualquier amenaza, un proceso enel cual participan además personas. Concientizarlas de su importancia en elproceso será algo crítico.
La seguridad informática es el área de la informática que se enfoca en laprotección de la infraestructura computacional y todo lo relacionado con esta(incluyendo la información contenida).
En la Seguridad Informática se debe distinguir 02 propósitos de protección, laSeguridad de la Información y la Protección de Datos.
El objetivo de la protección son los datos mismos y trata de evitar su perdida y modificación No-
autorizado. La protección debe garantizar en primer lugar la confidencialidad, integridad,
disponibilidad y la autenticidad de los datos.
El objetivo de la protección no son los datos en si mismo, sino el contenido de la información sobre
personas, para evitar el abuso de esta; implementación de medidas de protección, por parte
de la institución o persona que maneja los datos
La seguridad informática comprende software, bases de datos,metadatos, archivos y todo lo que la organización valore(activo) y signifique un riesgo si ésta llega a manos de otraspersonas.
Este tipo de información se conoce como informaciónprivilegiada o confidencial.
Es mantener la Integridad, Disponibilidad, Privacidad, Control yAutenticidad de la información manejada por computadora.
OBJETIVOS ESPEFICOS:• Capacidad para localizar los principales elementos
críticos de la red de una empresa y evaluar losprincipales riesgos de seguridad.
• Capacidad para identificar los riesgos de seguridad de undeterminado flujo de información en un entorno.
• Conocer los mecanismos y tecnologías básicasrelacionados con la identidad digital y la protección dedatos de carácter personal.
• Capacidad para saber decidir las medidas de seguridadmás apropiadas para aplicar ante un determinadoescenario de riesgos.
INTEGRIDAD:Garantizar que los datos sean los
que se supone que son
CONFIDENCIALIDAD:Asegurar que sólo los individuos autorizados tengan acceso a los
recursos que se intercambian
DISPONIBILIDAD:Garantizar el correcto
funcionamiento de los sistemas de información
AUTENTICACIÓN:Asegurar que sólo los individuos autorizados tengan acceso a los
recursos
EVITAR EL RECHAZO:Garantizar de que no pueda
negar una operación realizada
Consiste en la aplicación de barreras físicas y procedimientos de control,como medidas de prevención para que no le ocurra nada a los equipos decómputo, la seguridad física es uno de los aspectos más olvidados a lahora del diseño de un sistema informático. Por Ejemplo: Incendios, inundaciones, terremotos, instalación eléctrica, entre otros.
SEGURIDAD : Nuestro sistema no sólo puede verse afectado de manerafísica, si no también contra la Información almacenada, El activo másimportante que se posee es la información, y por lo tanto deben existirtécnicas, más allá de la seguridad física, que la aseguren. Por Ejemplo: Control de acceso, autenticación, encriptación, firewalls, antivirus.
Entre los que se encuentran los siguientes:
La Infraestructura Computacional: Debemos velar que losequipos funcionen adecuadamente y anticiparse en casode fallas, robos, incendios, boicot, desastres naturales,fallas en el suministro eléctrico y cualquier otro factorque atente contra la infraestructura informática.
Los Usuarios: Debe protegerse el sistema en general paraque el uso por parte de ellos no pueda poner enentredicho la seguridad de la información y tampoco quela información que manejan o almacenan sea vulnerable.
La Información: Es el principal activo. Utiliza y reside en lainfraestructura computacional y es utilizada por losusuarios.
DATA CENTER
La Gestión de Riesgo es un método para determinar, analizar, valorar y clasificar elriesgo, para posteriormente implementar mecanismos que permitan controlarlo.
En su forma general contiene cuatro fases:
Determina los componentes de un sistema que requiere protección, sus vulnerabilidades que lo debilitan y las
amenazas que lo ponen en peligro, con el resultado de revelar su grado
de riesgo.
Analiza el funcionamiento, la efectividad y el cumplimiento de las medidas, para determinar y ajustar
las medidas deficientes y sanciona el incumplimiento.
Determina si los riesgos encontrados y los riesgos restantes son aceptables.
Define e implementa las medidas de protección. Además
sensibiliza y capacita los usuarios conforme a las medidas.
Implementar medidas de protección significa invertir en
recursos como tiempo y dinero.
Implementar procesos y medidas de protección, para garantizar la seguridad, no es
una cosa que se hace una vez y después se olvide, sino requiere un control continuo de
cumplimiento, funcionalidad y una adaptación periódica, de las medidas de protección implementadas, al entorno cambiante.
El error más común que se comete es que no se implementa medidas de protección,
hasta que después del desastre, y las escusas o razones del porque no se
hizo/hace nada al respecto abundan.
Es la posibilidad de ocurrencia de cualquier tipo de evento oacción que puede producir un daño (material o inmaterial)sobre los elementos de un sistema, en el caso de la SeguridadInformática, los Elementos de Información.
Amenazas por el origen• Amenazas internas• Amenazas externas
Amenazas por el efecto
• Robo de información.• Destrucción de información.• Anulación del funcionamiento de los sistemas o
efectos que tiendan a ello.• Suplantación de la identidad, publicidad de
datos personales o confidenciales, cambio deinformación, venta de datos personales, etc.
• Robo de dinero, estafas,...
Amenazas por el medio utilizado
• Virus informático.• Phishing.• Ingeniería social• Denegación de servicio• Spoofing: de DNS, de IP, de DHCP, etc
TIPOS DE AMENAZA
Las amenazas informáticas que viene en el futuro ya no son con la inclusión de
troyanos en los sistemas o software espía, sino con el hecho de que los ataques se han profesionalizado y manipulan el significado
del contenido virtual.
Mantener las soluciones activadas y actualizadas. Evitar realizar operaciones comerciales en computadoras de uso
público o en redes abiertas. Verificar los archivos adjuntos de mensajes sospechosos y evitar su
descarga en caso de duda.
Usuarios: Causa del mayor problema ligado a la seguridadde un sistema informático.
Programas maliciosos: Programas destinados a perjudicar oa hacer un uso ilícito de los recursos del sistema, como: virusinformático, spyware y malware.
Errores de programación: La mayoría de los errores deprogramación que se pueden considerar como una amenazainformática es por su condición de poder ser usadoscomo exploits por los crackers, aunque se dan casos dondeel mal desarrollo es, en sí mismo, una amenaza.
Intrusos: persona que consiguen acceder a los datos oprogramas a los cuales no están autorizados (crackers,defacers, hackers, script kiddie o script boy, viruxers, etc.).
Un siniestro (robo, incendio, inundación): unamala manipulación o una mala intención derivan ala pérdida del material o de los archivos.
Personal técnico interno: técnicos de sistemas,administradores de bases de datos, técnicos dedesarrollo, etc. Los motivos que se encuentranentre los habituales son: disputas internas,problemas laborales, despidos, fines lucrativos,espionaje, etc.
Fallos electrónicos o lógicos de los sistemasinformáticos en general.
Catástrofe naturales: rayos, terremotos,inundaciones, rayos cósmicos, etc.
Es la capacidad, las condiciones y características del sistema mismo(incluyendo la entidad que lo maneja), que lo hace susceptible a amenazas,con el resultado de sufrir algún daño. En otras palabras, es la capacitad yposibilidad de un sistema de responder o reaccionar a una amenaza o derecuperarse de un daño.
Las vulnerabilidades están en directa interrelación con las amenazas porque si no existe una amenaza tampoco existe la
vulnerabilidad o no tiene importancia, porque no se puede ocasionar un daño.
Dependiendo del contexto de la institución: Ambiental / Física: Desastres Naturales, incendios accidentales
tormentas e inundaciones, Ubicación, Capacidad Técnica, Materiales…
Económica: Escasez y manejo de recursos.
Social – Educativo: Relaciones, Comportamientos, Métodos, Conductas…
Institucional / Política: Procesos, Organización, Burocracia, Corrupción,Autonomía,…
Es el arte de manipular a las personas, con el fin de obtenerinformación que revele todo lo necesario para penetrar laseguridad de algún sistema.
Esta técnica es una de las más usadas a la hora de averiguarnombres de usuario y contraseñas.
La Seguridad se ha convertido en un área
crítica de los Sistemas de Información
El activo más importante que se posee es la información y, por lo tanto, deben existir técnicas que la aseguren, más allá de la seguridad física que se establezca sobre los equipos en los
cuales se almacena.
Cada tipo de ataque y cada sistema requiere de un medio de protección o más , en la mayoría de los casos es una combinación de varios de ellos
A continuación se enumeran una serie de medidas que se consideran básicas:
Mi sistema no es importante para un hacker. Estoy protegido pues no abro archivos que no
conozco. Como tengo antivirus estoy protegido. Como dispongo de un firewall no me contagio. Tengo un servidor web cuyo sistema operativo es
un Unix actualizado a la fecha y por tanto seguro
LEY 27309 que incorpora al Código Penal del Perú los Delitos Informáticos(Promulgada el 15 de Julio del año 2000).
Ley N° 27269 Ley de Firmas y Certificados Digitales del Perú. LEY Nº 27310 - Modifica el artículo 11° de la ley N° 27269. LEY Nº 28493 - Ley que regula el uso del correo electrónico no solicitado
(SPAM). LEY Nº 27291 - Modifica el código civil permitiendo la utilización de los
medios electrónicos para la comunicación de la manifestación de voluntad yla utilización de la firma electrónica.
LEY Nº 27419 - Ley sobre notificación por correo electrónico LEY Nº 26612 - Mediante el cual se regula el uso de tecnologías avanzadas
en materia de archivo de documentos e información Procedimientos Legales - Los Delitos contra el honor (difamación, calumnia e
injuria) NTP 1799 Buenas Practicas de Seguridad de la Información. Resolución Ministerial 129-2012-PCM: Implementación Incremental de NTP-
ISO/IEC 27001:2008
http://www.ongei.gob.pe/
http://www.isaca.org.pe/