SlideShare une entreprise Scribd logo
1  sur  50
Télécharger pour lire hors ligne
Universidad Abierta y a Distancia de México
Ingeniería en Desarrollo de Software
Seguridad de la Informática
Profesora: MC. Ricardo Rodríguez Nieves
Alfonso Rodrigo Zepeda Reyes
AL12509711
Actividad del Facilitador
Fecha de entrega: 12 de Diciembre de 2017

Unidad 1. Principios de
Seguridad Informática

 Al aumentar la demanda de los sistemas de TI
mantener la seguridad de la informática es vital en
los sistemas de información.
 Los sistemas de información van desde el correo,
mensajería, comercio, transacciones, firmas y
certificados digitales. A lo largo de la materia se
verán diferentes metodologías para procurar la
seguridad informática.
La seguridad en los
sistemas de información.
 Recursos de Hardware: Servidores, estaciones de trabajo, computadoras,
impresoras, escáneres, periféricos.
 Recursos de Software: Sistemas operativos, herramientas ofimáticas,
software de gestión, herramientas de programación, aplicaciones
desarrolladas a la medida.
 Elementos de Comunicaciones: Dispositivos de conectividad, armarios
con paneles de conexión, cableado, puntos de acceso a la red, líneas de
comunicación con el exterior.
 Información: La información que se almacena, procesa y distribuye a
través del sistema.
 Espacios físicos: Locales y oficinas donde se ubican los recursos físicos.
 Usuarios: Personas que se benefician directa o indirectamente con el
funcionamiento del sistema.
 Imagen y prestigio de la organización: La manera en la que los clientes
perciben la organización derivada de los objetivos de ésta.
Recursos de un Sistema de
Información

 Confidencialidad: Garantía del acceso sólo a las
personas que disponen de autorización.
 Integridad: Garantía de la exactitud de la
información y de su protección frente a alteraciones
o pérdidas.
 Disponibilidad: Garantía de que la información va a
estar disponible en el momento en que se necesita.
Triada de la Seguridad

 Análisis y diseño de sistemas
 Complejidad del sistema, a mayor complejidad más difícil
encontrar y solucionar los problemas.
 Insuficiente participación de los usuarios, las personas no
confían en la automatización de tareas ya que piensan que
perderían su trabajo al convertir sus actividades en rutinas del
sistema.
 Alteración del sistema con fines delictivos, se busca alterar el
sistema para generar datos fantasma o desviar fondos y
recursos a otras áreas.
 Revelación de información confidencial, tener filtraciones de
datos a terceras personas provocando que los usuarios del
sistema tengan sus datos comprometidos.
 Deficiencia en la elaboración del lenguaje de control para el
procesamiento de la información, esto se debe a una mala
planeación de procedimientos y pasos dentro del
funcionamiento del sistema.
Implicaciones de la Seguridad
Informática

 Programación.
 Factible alteración de programas, el creador del programa
puede alterar el programa para filtrar información o
volverlo código malicioso.
 Creación artificiosa de programas, programas que debido al
poco tiempo de desarrollo no cumplen los requisitos para
los que fue creado.
 Selección de personal no idóneo, al tener personal barato y
poco ético pueden las empresas tener personal que filtre
información o que vulnere el sistema.
 Complejidad en la creación de programas aunque cumplan
el objetivo deseado, esto se debe a los programas que
responden bien a los objetivos originales pero fallan en el la
facilidad de uso haciendo complicado el manejo del
sistema.

 Funcionamiento de sistemas, muchas veces aunque el sistema este bien
elaborado puede llegar a tener vulnerabilidades.
 Codificación de datos, en esta actividad se presentan situaciones como
código ilegible la cual detecta al momento de efectuar a captura de datos.
 Captura de datos, al pasar los datos a las bases de datos puede llegar a
tener una serie de errores el capturista.
 Operación de sistemas, al manejar el sistema pueden existir errores de
operación por parte del usuario.
 Control de documentos fuente, filtraciones de estos documentos pueden
llegar a generar problemas ya que daría armas a intrusos para vulnerar el
sistema.
 Control de inventarios de suministros informáticos, al no tener un
inventario de los bienes físicos pueden tener robos y extravíos de estos
provocando daños en el manejo del sistema.
 Control de resultados, se debe verificar que los sistemas funcionen
correctamente al evaluar los resultados obtenidos de ellos.
 Mantenimiento de equipo, a falta de mantenimiento los bienes físicos
pueden fallar y provocar pérdidas de funciones del sistema.

 Primer nivel: Entorno nacional o local.
 Segundo nivel: Entorno organizacional.
 Tercer nivel: Seguridad física.
 Cuarto nivel: Seguridad en hardware.
 Quinto nivel: Seguridad en software.
 Sexto nivel: Seguridad en datos.
Niveles de seguridad

 Nivel D1, es el nivel más bajo de seguridad no ofrece protección
de hardware ni e software.
 Nivel C1, existe cierto nivel de protección de hardware, el
usuario debe identificarse con contraseña.
 Nivel C2, maneja un sistema controlado restringiendo a los
usuarios con permisos según su nivel.
 Nivel B1, maneja seguridad multinivel con restricciones de
accesos.
 Nivel B2, tiene protección estructurada, pueden estar asignados
a varios niveles de seguridad.
 Nivel B3, refuerza los dominios de seguridad con la instalación
de hardware que requiere a los equipos conectado en redes
confiables.
 Nivel A, diseño verificado, es el nivel más alto, protege al
equipo y al sistema durante traslados y manejos dentro de las
instalaciones.

 Instaurado por el IFAI
 Busca proteger a los usuarios que alimentan bases de
datos para evitar que esta información sea utilizada
por terceras personas así como busca mantener la
información segura para que no sea utilizada con
otros fines diferentes a los explícitamente
mencionados por la institución que esta recopilando
dichos datos.
LFPDPPP

 El propósito fundamental es identificar los activos involucrados
en una organización, sus metodologías y procesos para estimar
e riesgo asociado, desde el punto de vista de la administración
de la misma.
 Al analizar los riesgos se puede obtener:
 Permitir una mejor gestión del riesgo organizacional
 Mejorar la administración de la organización mediante la toma
de decisiones e inversión en seguridad de la información.
 Mejorar significativamente la aplicación y los procesos de
gestión.
 Mayor control sobre los activos.
 Mejorar la seguridad de sistemas de información para
almacenar, procesar y transmitir la información de la
organización.
Análisis de Riesgos y
Amenazas

 Seguridad física: implica la aplicación de barreras
físicas y procedimientos de control como medidas de
prevención y contramedidas ante amenazas a los
recursos e información confidencial.
 Las amenazas pueden ser:
 Incendios
 Inundaciones
 Condiciones climatológicas
 Señales de radas
 Instalaciones eléctricas
Clasificación de la
Seguridad Informática

 Seguridad lógica: busca aplicar procedimientos para
que solo el persona autorizado pueda acceder a
determinadas áreas de la empresa, se puede hacer
uso de antivirus, antispam y antispyware.

 Es un software malintencionado que realiza acciones
fuera del consentimiento del usuario, estos
programas van desde el robot de información, dañar
a la máquina, ejecución de actos ilícitos.
Malware

 Virus informáticos, son el malware mas común, son programas
que se reproducen al infectar otros archivos intentando que
estos archivos sean ejecutados en otros entornos para seguir
diseminándose.
 Gusanos, tiene la propiedad de replicarse así mismo utilizando
rutinas automáticas del sistema operativo, tiende a propagarse
por redes infectando a todos los dispositivos en dicha red.
 Troyanos, es un software que se enmascara con una fase
identidad, como puede ser un programa o archivo útil, pero al
ser ejecutado realiza acciones maliciosas dentro del sistema
contaminado.
 Spyware, son programas espías que se dedican a recopilar
información en los sistemas donde se instalan.
 Phishing, es un software que busca suplantar una organización
para que el usuario al pensar que esta tratando con dicha
información de sus datos y por lo tanto robe la información
recibida.
Tipos de Malware

 Rogue Software, es un software antivirus falso que levanta falsos
positivos para que el usuario utilice la herramienta y en ese
momento infectar al sistema.
 Spam, son correos electrónicos masivos que saturan las bandejas de
entrada con fines publicitarios, propagar virus, etc.
 Rootkits y backdoors, son aplicaciones ocultas en el sistema que
reemplazan aplicaciones reales del mismo.
 Adware, es un malware que genera publicidad en el equipo
infectado sin que el usuario tenga control en ellas.
 Hoax, son correos de contenido falso aunque provengan de fuentes
legítimas, buscando confundir al usuario y haciéndolo entrar en
links inseguros.
 Keyloggers, son programas espías que capturan los movimientos
hechos por el teclado o el mouse pudiendo adquirir usuarios y
contraseñas así como información importante del usuario.

 Actualización del software, al actualizar el sistema se
obtienen las últimas mejoras en el mismo haciéndolo más
seguro y estable.
 Cortafuegos, impide que el equipo sea accesible desde
internet así como evita que algún malware abra los
puertos del equipo para ser atacado exteriormente.
 Anti buffer overflow, los nuevos sistema operativos
cuentan con esta herramienta que evita que los procesos
excedan sus capacidades haciendo que el sistema pueda
fallar.
 Herramientas Anti Malware, son programas destinados a
destruir o prevenir el ingreso de un malware en los
equipos que utilizamos.
Prevención y Desinfección
del Malware

 Herramientas Anti Spyware, son herramientas que escanean el
sistema en busca de spyware evitando que éste pueda actuar al
ser detectado y eliminado por estas herramientas.
 Antivirus de escritorio, son programas que contienen defensas
contra vulnerabilidades, como es el escaneo de los sitios web,
archivos, memorias extraibles, etc. Este es una de las
herramientas mas completas para combartir el malware y es el
mas recomendado.
 Antivirus Online y sandbox, este antivirus online puede
escanear archivos que se le envíen devolviendo datos sobre
dichos archivos, el sandbox es un entorno controlado donde se
ejecuta un archivo para ver que reacción tendrá sin riesgo a que
su acción llegue al sistema completo.

 Dentro de la seguridad informática existe una
regulación en el marco legal lo cual indica las
obligaciones que se deben cumplir para proteger los
sistemas informáticos.
 En México se tienen 10 años con el concepto de
delitos informáticos, aunque a nivel mundial desde
1977 se mencionó el término debido a que surgían
los sistemas informáticos cada vez mas complejos.
Marco Legal de Seguridad de la
Informática Nacional e Internacional

 Fraudes cometidos mediante manipulación de computadoras
 Manipulación de datos de entrada
 Manipulación de programas
 Manipulación de datos de salida
 Fraude efectuado por manipulación informática
 Falsificaciones informáticas
 Utilizando sistemas informáticos como objetos
 Utilizando sistemas informáticos como instrumentos
 Daños o modificaciones de programas o datos computarizados
 Sabotaje informático
 Virus
 Gusanos
 Bomba lógica o cronológica
 Acceso no autorizado a sistemas o servicios
 Piratas informáticos o hackers
 Reproducción no autorizada de programas informáticos con
protección legal.
Tipos de Delitos Delictivos

Unidad 2. Mecanismos
Criptográficos en los
sistemas informáticos

 Es una disciplina que conjuga conocimientos de
lenguaje, matemáticas e informática que tiene como
objetivo el codificar y decodificar mensajes haciendo
uso de algoritmos difíciles de manejar e interpretar
para proteger la información de terceras personas.
 Desde los orígenes de la escritura se ha mejorado el
sistema criptográfico de tal forma que con la llegada
de la informática también se adaptó dicha disciplina
para cifrar mensajes.
Criptografía

 Algoritmos Criptográficos de Clave Privada, se basan en
algoritmos, métodos y cifrados que usan una única clave
para cifrar y descifrar los mensajes y criptogramas. El
objetivo de este tipo de algoritmos es proteger la clave ya
que una vez que la clave es conocida se puede descifrar
cualquier mensaje encriptado con dicho algoritmo.
 Algoritmos Criptográficos de Clave Pública, este tipo de
algoritmo requiere 2 tipos de claves, una pública y una
privada que deben estar matemáticamente relacionadas,
este tipo de encriptación es utilizado en comunicaciones,
firmas digitales y en el intercambio de claves.
Clasificación de los
Algoritmos Criptográficos

 Seguridad de las comunicaciones, es la principal aplicación de
la criptografía a las redes computacionales. Ya que esto permite
crear canales seguros para intercambiar información.
 Identificación y autentificación, gracias al uso de firmas
digitales y otras técnicas criptográficas se permite validar el
acceso a un recurso en un entorno de red con más garantías que
con usuario y contraseñas tradicionales.
 Certificación, es un esquema mediante agentes fiables para
validar la identidad de los agentes desconocidos, esto nos
ayuda a identificar y autenticar cuando se emplea a gran escala.
 Comercio electrónico, con el empleo de canales seguros y a los
mecanismos de identificación se posibilita el comercio
electrónico para que las empresas como los usuarios tengan
garantías de que las operaciones no pueden ser espiadas.
Aplicaciones de la Criptografía

 Los certificados vinculan los datos de verificación de firma a un
signatario y confirma su identidad.
 Las firmas digitales son un conjunto de datos adjuntos o
lógicamente asociado a un mensaje, la finalidad de esto es
comprobar su integridad y permitir la identificación unívoca
del autor.
 Con la firma digital se pueden garantizar los siguientes
aspectos:
 Autenticidad, es la posibilidad técnica de establecer un nexo
unívoco entre un documento, mensaje, archivo o firma
electrónica y su autor.
 No Repudio, ofrece protección a un usuario frente a que otro
usuario niegue posteriormente que en realidad se realizó la
comunicación.
 Confidencialidad, se trata de la seguridad de que los datos que
contiene el documento permanecen ocultos a los ojos de
terceras personas durante su viaje por el medio desde A a B.
Certificados y Firmas Digitales

 La clave pública PKI es una combinación de
programas, tecnologías de encriptación, procesos y
servicios, que permite a las organizaciones asegurar
las comunicaciones y las transacciones del negocio.
Infraestructuras de Clave
Pública PKI

 Los certificados digitales son útiles cuando existe
una autoridad certificadora que los valide, esta
autoridad dará validez y autentificará la identidad
de una empresa por medio de una firma digital, los
certificados digitales proporcionan un mecanismo
criptográfico para implementar la autentificación.
Estándares y Protocolos
de Certificación Digital

Unidad 3. Gestión y
Aplicación de Protocolos
de Seguridad
Informática

 Como se ha visto un sistema informático se
conforma por hardware, software y datos. Todo lo
anterior mencionado puede ser atacado con
interrupciones, intercepciones, modificaciones y
fabricaciones.
Mecanismos de Seguridad en los Sistemas
Informáticos: Redes, Sistemas Operativos y
Bases de Datos
 Seguridad por Oscuridad, es un método que se utiliza el secreto de diseño o
implementación para que por desconocimiento no e encontraran los puntos débiles
de dicho sistema.
 Seguridad del Perímetro, se basa en reforzar los puntos de acceso o conexión de
nuestra red privada con la red externa. Para esto se bloquean los accesos físicamente
y con firewalls.
 Seguridad en Profundidad, se asume que cada una de las medidas tomadas pueden
ser rotas por atacantes, esto hace que se hagan capas de seguridad haciendo que las
probabilidades de que los atacantes lleguen a su objetivo sean menores entre mas
capas tenga el sistema. Las capas son:
 Área de Influencia: Es la zona más externa del sistema, donde se pueden hacer
acciones en contra de esta zona.
 Área de Exclusión: Es el espacio concéntrico exterior al área protegida, de utilización
restringida.
 Área Protegida: Es el espacio delimitado por barreras físicas que ejerce un cierto
control de movimiento y permanencia.
 Área Crítica: Espacio delimitado por barreras físicas, dentro del área protegido cuyo
acceso y permanencia son objeto de medidas especiales de control.
Modelos de Seguridad

 Prevención, Utilizando métodos de autenticación,
identificación, control de acceso, plataformas
heterogéneas, sistemas honeypot, etc.
 Detección, A través de programas de auditoria
Tripwire o Nagios que se encargan de chequear el
sistema.
 Respuesta, Implementando métodos de backups y
software de análisis forense.
Mecanismos de Seguridad

 Existen diferentes metodologías para los proyectos de seguridad
informática, la más usada es la creada por el Instituto Internacional
de Recuperación de Desastres DRII. Esta seguridad cuenta con las
siguientes etapas:
 Inicio y administración del proyecto
 Evaluación y administración del proyecto
 Análisis de impacto al negocio (BIA)
 Desarrollo de estrategias de continuidad de negocio
 Respuesta a la emergencia y estabilización
 Desarrollo e implementación de planes de continuidad del negocio
 Programas de concientización y entrenamiento
 Prueba y mantenimiento de los planes de continuidad de negocio
 Relaciones públicas y coordinación de la crisis
 Coordinación con las autoridades públicas
Metodología para el Desarrollo de
Proyectos de Seguridad Informática

 Inicio y Administración del Proyecto
 Establecer la necesidad de desarrollar e implementar un plan de
continuidad del negocio
 Obtener el soporte directivo
 Organizar y administrar el proyecto hasta su completa realización y
acorde con los límites de tiempo y presupuesto
 Justificaciones para implementar un DRP-BCP
 Sobrevivir a un desastre
 Cumplir con los Service Level Agreements o acuerdos de nivel de
servicios
 Cumplir con los requerimientos o recomendaciones de auditoria
 Cumplir con los Requerimientos Legales
 Reducir los costos seguros
 Usar las instalaciones y equipo de respaldo para otros propósitos
 Promover los objetivos de la cultura corporativo
Etapas de la Metodología DRII

 Apoyo directivo
 Llevar a cabo un análisis informal de riesgos de desastre
 Recolectar estadísticas de la industria
 Investigar historias de casos de desastre
 Identificar los mandatos legales y regulatorios relevantes
 Desarrollar la justificación para el proyecto de DRP-BCP
 Llevar a cabo una sesión ejecutiva de sensibilización de la dirección y de la
gerencia.
 Comité de dirección, cuenta con:
 Director general
 Director de finanzas
 Director de comercialización
 Gerente e relaciones públicas
 Gerentes de las unidades de negocios
 Gerente de operaciones
 Gerentes de soporte
 Gerente de administración del edificio
 Gerente de IT y comunicaciones
 Lider del proyecto de continuidad del negocio

 Consultores, especializados en DRP que pueden ser
útiles en el desarrollo del proyecto por su
experiencia en otros proyectos de DRP en otras
empresas.
 Grupos de recuperación- continuidad, tienen a su
cargo identificar a los participantes que intervienen
en el proceso de recuperación y continuidad que
harán frente a un evento de desastre en forma
organizada y controlada.

 Evaluación y control de riesgos
 Objetivos, determinar los eventos y circunstancias del ambiente, determinar el
daño de los eventos, determinar los controles necesarios para prevenir o
minimizar los efectos de pérdidas potenciales
 Análisis de impacto a negocio
 Definir objetivos, alcance y suposiciones del BIA
 Identificar las funciones del negocio y sus procesos
 Evaluar los impactos financieros y operacionales
 Identificar los procesos críticos
 Evaluar los MTD y priorizar los procesos críticos
 Identificar los sistemas y aplicaciones informáticas críticas
 Identificar los recursos no-informáticos que son críticos
 Determinar el RTO
 Determinar el PRO
 Identificar los procedimientos alternativos
 Generar reporte BIA

 Desarrollo de estrategias de continuidad del negocio, determina y
guiar a selección de estrategias funcionales alternativas para
recuperar el negocio y servicio informático dentro del tiempo
objetivo.
 Respuesta de emergencia y estabilización.
 Desarrollar e implementar procedimientos para responder y
estabilizar la situación inmediata siguiente a un incidente o evento
 Establecer y administrar un centro de operaciones de emergencia para
ser usado como un centro de mando durante la emergencia
 Desarrollo e implementación de planes de continuidad del negocio
 Diseñar, desarrollar e implementar el BCP que provea la recuperación
dentro del tiempo Objetivo de Recuperación RTO
 Programas de concientización y entrenamiento
 Preparar un programa para crear conciencia corporativa
 Preparar un programa para mejorar las habilidades requeridas para
desarrollar, implementar, mantener y llevar a cabo el BCP

 Prueba y mantenimiento de los planes de continuidad del negocio
 Pre-planear y coordinar las pruebas del BCP
 Evaluar y documentar los resultados de las pruebas
 Desarrollar procesos para mantener a vigencia de capacidades para
mantener la continuidad y la vigencia del documento del plan de
acuerdo con la dirección estratégica
 Verificar la efectividad del plan comparándolo con un estándar
adecuado
 Reportar los resultados de manera clara y concisa
 Relaciones públicas y coordinación de la crisis
 Desarrollar, coordinar, evaluar y ejercitar planes para manejar a los
medios de comunicación durante la situaciones de crisis
 Proveer asesoramiento sobre el manejo de traumas a los empleados,
sus familiares, clientes, claves, proveedores, etc.
 Asegurar que todos los stakeholders se les mantenga informados.

 Coordinación con las autoridades públicas
 Establecer la políticas y procedimientos aplicables
para coordinar las actividades de respuesta,
continuidad y restauración, con la autoridades
respectivas de manera que se cumpla con los estatutos
y reglamentos aplicables.

 Es un plan de emergencia que pretende mantener la
funcionalidad de la organización a un nivel mínimo
aceptable durante una contingencia. Este plan debe
contemplar una serie de medidas preventivas para
cuando suceda un contingencia todo con el fin de
asegurar una reanudación oportuna y ordenada de
los procesos de negocio generando un impacto
mínimo ante cualquier incidente.
Plan de Continuidad de Negocio
(BCP)

 Identificar los diversos eventos que podrían impactar
sobre la continuidad de las operaciones y su impacto
sobre el negocio
 Obliga a conocer los tiempos críticos de recuperación para
volver a la situación anterior al desastre sin comprometer
al negocio
 Previene o minimiza las pérdidas para el negocio en caso
de desastre
 Clasifica los activos para priorizar su protección en caso
de desastre
 Aporta una ventaja competitiva frente a la competencia
Beneficio de BCP

 El plan de recuperación de desastre es un conjunto
de estrategias definidas para asegurar la reanudación
oportuna y ordenada de los servicios informáticos
críticos en caso de contingencia. El método depende
de los departamentos de la empresa y cuenta con 4
fases:
 Analizar
 Desarrollar
 Ejecutar
 Mantener
Plan de Recuperación de
Desastre (DRP)

 Lo primero que se debe hacer es un análisis de impacto al
negocio(BIA), el cual es un informe que nos muestra el
coste ocasionado por la interrupción de los procesos de
negocio que se incluye en el plan de continuidad del
negocio. Dentro del análisis hay 3 aspectos de primordial
importancia para el análisis, los cuales son:
 Criticidad de los recursos de información relacionados con
los procesos críticos del negocio
 Periodo de recuperación crítico antes de incurrir en
pérdidas significativas
 Sistema de clasificación de riesgos

 El DRP no se puede lograr sin personal dedicado, de
tiempo completo, con la responsabilidad de
mantener los planes, el personal debe estar
capacitado para asumir responsabilidades de
recuperación y actualización de los planes, para
reflejar los cambios en el procesamiento de la
información y entornos empresariales.

 Los beneficios de DRP son:
 La capacidad de proteger lo sistemas críticos para la
empresa
 Reducción de pérdidas tras un incidente
 Garantizar la fiabilidad de los sistemas de reserva
 Proporcionar un sentido de seguridad
 Minimizar el riesgo de retrasos
 Proporcionar un estándar para probar el plan
 Minimizar la toma de decisiones en caso de desastre
 La reducción de las posibles responsabilidades legales
 Mejora la eficiencia general de la organización y la relación
de bienes, recursos humanos y financieros para los servicios
críticos.

 El manejar software y herramientas de última
generación para mantener la seguridad informática
es de vital importancia ya que entre más moderna
sea la herramienta mejor responderá a las
vulnerabilidades, así como el implementar normas
actualizadas mejora la herramienta de seguridad.
 También se debe actualizar la política de seguridad
de la empresa con los requerimientos de la empresa
que también esta en constante cambio y con nuevas
necesidades.
Nuevas Tecnologías de
Seguridad de la Informática

 Esto esta definido en el manual de operaciones del personal, en este
manual se debe evitar el mal manejo en la operación del equipo que
puedan crear riesgo de negligencia o accidente.
 Para asegurar el software se debe restringir el acceso a programas y
archivos, aplicar medidas antivirus, asegurar que los operadores puedan
trabajar sin supervisión rigurosa, también el manual debe asegurar que
usen los datos, archivos y programas correctos.
 Existen factores que pueden afectar la seguridad del sistema:
 Manejo pobre de modems
 Transmisión de archivos no cifrados
 Indiferencia con la seguridad
 Clave de acceso débil y obvia
 No validar/verificar a los usuarios
 No inspeccionar el software nuevo
 No realizar procedimientos con el antivirus
 Tener empleados descontentos o deshonestos
 Errores de programación
 Aplicaciones no autorizadas
 NO tener controles de auditoria
Seguridad Física

 Se debe tener una comunicación entre personal de
computación y a los usuarios, debe existir una
unidad o encargado de canalizar las solicitudes y
modificaciones del programa. El control que se debe
llevar debe asegurar que los datos sean procesados e
incluidos en los archivos correspondiente.
 La seguridad de los archivos debe tener el
almacenamiento de las copias de respaldo en un
lugar diferente con identificación y control de los
archivos a través de etiquetas u otros medios.
Seguridad de la Aplicación

 En caso de desastre se debe tener un respaldo
informático que nos debe permitir la continuidad del
negocio, la importancia de esto debe trabajar sin
problema para garantizar la seguridad y la
continuidad del negocio.
 Debido a la amplia gama de ataques las empresas
deben elegir que vulnerabilidades se deberán
trabajar y proteger analizando que es lo de mayor
valor para la empresa y enfocarse en protegerlo al
máximo.
Seguridad en Caso de
Contingencias

Contenu connexe

Tendances

PROBLEMAS Y SOLUCIONES DE SEGURIDAD INFORMATICA
PROBLEMAS Y SOLUCIONES DE SEGURIDAD INFORMATICAPROBLEMAS Y SOLUCIONES DE SEGURIDAD INFORMATICA
PROBLEMAS Y SOLUCIONES DE SEGURIDAD INFORMATICATIC1B
 
Seguridad en redes informáticas
Seguridad en redes informáticasSeguridad en redes informáticas
Seguridad en redes informáticaschanel-bullicolor
 
Actividad 6. PROBLEMAS DE SEGURIDAD Y SUS SOLUCIONES
Actividad 6. PROBLEMAS DE SEGURIDAD Y SUS SOLUCIONESActividad 6. PROBLEMAS DE SEGURIDAD Y SUS SOLUCIONES
Actividad 6. PROBLEMAS DE SEGURIDAD Y SUS SOLUCIONESFaaTiima Borboollaa
 
Virus y tipos
Virus y  tiposVirus y  tipos
Virus y tiposDavid
 
Virus
VirusVirus
VirusDavid
 
Cuestionario
CuestionarioCuestionario
Cuestionariolearcos23
 
Carlos cuestionario jhan pool, bryan
Carlos cuestionario jhan pool, bryanCarlos cuestionario jhan pool, bryan
Carlos cuestionario jhan pool, bryankebvin26
 
Herramientas para la seguridad informática, un problema de dirección
Herramientas para la seguridad informática, un problema de direcciónHerramientas para la seguridad informática, un problema de dirección
Herramientas para la seguridad informática, un problema de direcciónAdonys Maceo
 
Seguridad y Riesgos de la computadora
Seguridad y Riesgos de la computadoraSeguridad y Riesgos de la computadora
Seguridad y Riesgos de la computadoraFabian Sosa
 
capitulo-9-it-essentials-pc-hardware-and-software-version-40-spanish
capitulo-9-it-essentials-pc-hardware-and-software-version-40-spanishcapitulo-9-it-essentials-pc-hardware-and-software-version-40-spanish
capitulo-9-it-essentials-pc-hardware-and-software-version-40-spanishdiablitopz
 
Tipos de ataques informaticos
Tipos de ataques informaticosTipos de ataques informaticos
Tipos de ataques informaticosOscar Eduardo
 
problemas de seguridad informática y soluciones.
problemas de seguridad informática y soluciones.problemas de seguridad informática y soluciones.
problemas de seguridad informática y soluciones.Marissa N Rdz
 
Amenazas informáticas y su posibles solución
Amenazas informáticas y su posibles solución Amenazas informáticas y su posibles solución
Amenazas informáticas y su posibles solución 1Btic
 

Tendances (18)

PROBLEMAS Y SOLUCIONES DE SEGURIDAD INFORMATICA
PROBLEMAS Y SOLUCIONES DE SEGURIDAD INFORMATICAPROBLEMAS Y SOLUCIONES DE SEGURIDAD INFORMATICA
PROBLEMAS Y SOLUCIONES DE SEGURIDAD INFORMATICA
 
Seguridad en redes informáticas
Seguridad en redes informáticasSeguridad en redes informáticas
Seguridad en redes informáticas
 
Actividad 6. PROBLEMAS DE SEGURIDAD Y SUS SOLUCIONES
Actividad 6. PROBLEMAS DE SEGURIDAD Y SUS SOLUCIONESActividad 6. PROBLEMAS DE SEGURIDAD Y SUS SOLUCIONES
Actividad 6. PROBLEMAS DE SEGURIDAD Y SUS SOLUCIONES
 
Virus y tipos
Virus y  tiposVirus y  tipos
Virus y tipos
 
Virus
VirusVirus
Virus
 
Seguridad Informatica
Seguridad InformaticaSeguridad Informatica
Seguridad Informatica
 
Cuestionario
CuestionarioCuestionario
Cuestionario
 
Carlos cuestionario jhan pool, bryan
Carlos cuestionario jhan pool, bryanCarlos cuestionario jhan pool, bryan
Carlos cuestionario jhan pool, bryan
 
Herramientas para la seguridad informática, un problema de dirección
Herramientas para la seguridad informática, un problema de direcciónHerramientas para la seguridad informática, un problema de dirección
Herramientas para la seguridad informática, un problema de dirección
 
Seguridad y Riesgos de la computadora
Seguridad y Riesgos de la computadoraSeguridad y Riesgos de la computadora
Seguridad y Riesgos de la computadora
 
capitulo-9-it-essentials-pc-hardware-and-software-version-40-spanish
capitulo-9-it-essentials-pc-hardware-and-software-version-40-spanishcapitulo-9-it-essentials-pc-hardware-and-software-version-40-spanish
capitulo-9-it-essentials-pc-hardware-and-software-version-40-spanish
 
Tipos de ataques informaticos
Tipos de ataques informaticosTipos de ataques informaticos
Tipos de ataques informaticos
 
Tipos de ataques informáticos
Tipos de ataques informáticosTipos de ataques informáticos
Tipos de ataques informáticos
 
Problemas de seguridad informatica
Problemas de seguridad informaticaProblemas de seguridad informatica
Problemas de seguridad informatica
 
Presentación1.ppt fsgsd
 Presentación1.ppt fsgsd Presentación1.ppt fsgsd
Presentación1.ppt fsgsd
 
problemas de seguridad informática y soluciones.
problemas de seguridad informática y soluciones.problemas de seguridad informática y soluciones.
problemas de seguridad informática y soluciones.
 
Amenazas informáticas y su posibles solución
Amenazas informáticas y su posibles solución Amenazas informáticas y su posibles solución
Amenazas informáticas y su posibles solución
 
Problemas de seguridad de la informacion
Problemas de seguridad de la informacionProblemas de seguridad de la informacion
Problemas de seguridad de la informacion
 

Similaire à Dsei_acd_alzr

Seguridad informatica y robo de identidad
Seguridad informatica y robo de identidadSeguridad informatica y robo de identidad
Seguridad informatica y robo de identidadBaruc Tejada
 
Seguridad de la informacion (1).ppt
Seguridad de la informacion (1).pptSeguridad de la informacion (1).ppt
Seguridad de la informacion (1).pptKelvinHagler
 
Clase de seguridad informatica
Clase de seguridad informaticaClase de seguridad informatica
Clase de seguridad informaticaCesar Brizzio
 
RIESGO Y SEGURIDAD EN LAS COMPUTADORAS
RIESGO Y SEGURIDAD EN LAS COMPUTADORASRIESGO Y SEGURIDAD EN LAS COMPUTADORAS
RIESGO Y SEGURIDAD EN LAS COMPUTADORASFIDOMULTRAXD
 
Seguridad de la Información
Seguridad de la InformaciónSeguridad de la Información
Seguridad de la Informacióngerardoafp
 
Seguridad de la Información
Seguridad de la InformaciónSeguridad de la Información
Seguridad de la Informacióngerardoafp
 
Seguridad de la información n
Seguridad de la información nSeguridad de la información n
Seguridad de la información ngerardoafp
 
Taller intruduccion a la ingenierian seguridad informatica
Taller intruduccion a la ingenierian seguridad informaticaTaller intruduccion a la ingenierian seguridad informatica
Taller intruduccion a la ingenierian seguridad informaticaEdwar Diaz
 
Herramientas de la administración de la seguridad
Herramientas de la administración de la seguridadHerramientas de la administración de la seguridad
Herramientas de la administración de la seguridadMBouvier2
 
Herramientas de la administración de la seguridad
Herramientas de la administración de la seguridadHerramientas de la administración de la seguridad
Herramientas de la administración de la seguridadMBouvier2
 
Seguridad Informatica
Seguridad InformaticaSeguridad Informatica
Seguridad InformaticaMini0986
 
Tema 3 protección del ordenador
Tema 3 protección del ordenadorTema 3 protección del ordenador
Tema 3 protección del ordenadorJavierX9
 
Tema 3 protección del ordenador
Tema 3 protección del ordenadorTema 3 protección del ordenador
Tema 3 protección del ordenadorJavierX9
 

Similaire à Dsei_acd_alzr (20)

Seguridad informatica y robo de identidad
Seguridad informatica y robo de identidadSeguridad informatica y robo de identidad
Seguridad informatica y robo de identidad
 
Seguridad de la informacion (1).ppt
Seguridad de la informacion (1).pptSeguridad de la informacion (1).ppt
Seguridad de la informacion (1).ppt
 
La Seguridad Informática
La Seguridad InformáticaLa Seguridad Informática
La Seguridad Informática
 
Virus
VirusVirus
Virus
 
Clase de seguridad informatica
Clase de seguridad informaticaClase de seguridad informatica
Clase de seguridad informatica
 
Seguridad
SeguridadSeguridad
Seguridad
 
Presentaciónbat03
Presentaciónbat03Presentaciónbat03
Presentaciónbat03
 
RIESGO Y SEGURIDAD EN LAS COMPUTADORAS
RIESGO Y SEGURIDAD EN LAS COMPUTADORASRIESGO Y SEGURIDAD EN LAS COMPUTADORAS
RIESGO Y SEGURIDAD EN LAS COMPUTADORAS
 
Seguridad de la Información
Seguridad de la InformaciónSeguridad de la Información
Seguridad de la Información
 
Seguridad de la Información
Seguridad de la InformaciónSeguridad de la Información
Seguridad de la Información
 
Seguridad de la información n
Seguridad de la información nSeguridad de la información n
Seguridad de la información n
 
Taller intruduccion a la ingenierian seguridad informatica
Taller intruduccion a la ingenierian seguridad informaticaTaller intruduccion a la ingenierian seguridad informatica
Taller intruduccion a la ingenierian seguridad informatica
 
Seguridad Informatica
Seguridad Informatica Seguridad Informatica
Seguridad Informatica
 
Herramientas de la administración de la seguridad
Herramientas de la administración de la seguridadHerramientas de la administración de la seguridad
Herramientas de la administración de la seguridad
 
Herramientas de la administración de la seguridad
Herramientas de la administración de la seguridadHerramientas de la administración de la seguridad
Herramientas de la administración de la seguridad
 
Seguridad Informatica
Seguridad InformaticaSeguridad Informatica
Seguridad Informatica
 
5to
5to5to
5to
 
Tema 3 protección del ordenador
Tema 3 protección del ordenadorTema 3 protección del ordenador
Tema 3 protección del ordenador
 
Tema 3 protección del ordenador
Tema 3 protección del ordenadorTema 3 protección del ordenador
Tema 3 protección del ordenador
 
Seguridad informatica alex
Seguridad informatica alexSeguridad informatica alex
Seguridad informatica alex
 

Dernier

Algoritmos Paralelos - Actividad 14 - UNIBE.pdf
Algoritmos Paralelos - Actividad 14 - UNIBE.pdfAlgoritmos Paralelos - Actividad 14 - UNIBE.pdf
Algoritmos Paralelos - Actividad 14 - UNIBE.pdfdarosario3d
 
Virus -Josue Cabascango _20240322_194349_0000.pdf
Virus -Josue Cabascango _20240322_194349_0000.pdfVirus -Josue Cabascango _20240322_194349_0000.pdf
Virus -Josue Cabascango _20240322_194349_0000.pdfMiSpotify
 
03 - RUP_Elaboracion_Construccion_1_2024.pdf
03 - RUP_Elaboracion_Construccion_1_2024.pdf03 - RUP_Elaboracion_Construccion_1_2024.pdf
03 - RUP_Elaboracion_Construccion_1_2024.pdfRodrigo Cerón
 
Simuladores de circuitos electrónicos.pdf
Simuladores de circuitos electrónicos.pdfSimuladores de circuitos electrónicos.pdf
Simuladores de circuitos electrónicos.pdfLeonardoOa4
 
Formato de práctica reflexiva ante una problemática social.docx.pdf
Formato de práctica reflexiva ante una problemática social.docx.pdfFormato de práctica reflexiva ante una problemática social.docx.pdf
Formato de práctica reflexiva ante una problemática social.docx.pdfjuanrubenc78
 
Herramientas de Mantenimiento_Soporte Técnico_David Andrade.pdf
Herramientas de Mantenimiento_Soporte Técnico_David Andrade.pdfHerramientas de Mantenimiento_Soporte Técnico_David Andrade.pdf
Herramientas de Mantenimiento_Soporte Técnico_David Andrade.pdfdaa100407
 
02 - RUP_Introduccion_Definicion.pdf
02 - RUP_Introduccion_Definicion.pdf02 - RUP_Introduccion_Definicion.pdf
02 - RUP_Introduccion_Definicion.pdfRodrigo Cerón
 
Los mejores simuladores electrónicos que se pueden utilizar
Los mejores simuladores electrónicos que se pueden utilizarLos mejores simuladores electrónicos que se pueden utilizar
Los mejores simuladores electrónicos que se pueden utilizarjosuesj13
 
Diseño de Algoritmos Paralelos. Mejorando la eficiencia computacional aprovec...
Diseño de Algoritmos Paralelos. Mejorando la eficiencia computacional aprovec...Diseño de Algoritmos Paralelos. Mejorando la eficiencia computacional aprovec...
Diseño de Algoritmos Paralelos. Mejorando la eficiencia computacional aprovec...AlexaRamirez39
 

Dernier (9)

Algoritmos Paralelos - Actividad 14 - UNIBE.pdf
Algoritmos Paralelos - Actividad 14 - UNIBE.pdfAlgoritmos Paralelos - Actividad 14 - UNIBE.pdf
Algoritmos Paralelos - Actividad 14 - UNIBE.pdf
 
Virus -Josue Cabascango _20240322_194349_0000.pdf
Virus -Josue Cabascango _20240322_194349_0000.pdfVirus -Josue Cabascango _20240322_194349_0000.pdf
Virus -Josue Cabascango _20240322_194349_0000.pdf
 
03 - RUP_Elaboracion_Construccion_1_2024.pdf
03 - RUP_Elaboracion_Construccion_1_2024.pdf03 - RUP_Elaboracion_Construccion_1_2024.pdf
03 - RUP_Elaboracion_Construccion_1_2024.pdf
 
Simuladores de circuitos electrónicos.pdf
Simuladores de circuitos electrónicos.pdfSimuladores de circuitos electrónicos.pdf
Simuladores de circuitos electrónicos.pdf
 
Formato de práctica reflexiva ante una problemática social.docx.pdf
Formato de práctica reflexiva ante una problemática social.docx.pdfFormato de práctica reflexiva ante una problemática social.docx.pdf
Formato de práctica reflexiva ante una problemática social.docx.pdf
 
Herramientas de Mantenimiento_Soporte Técnico_David Andrade.pdf
Herramientas de Mantenimiento_Soporte Técnico_David Andrade.pdfHerramientas de Mantenimiento_Soporte Técnico_David Andrade.pdf
Herramientas de Mantenimiento_Soporte Técnico_David Andrade.pdf
 
02 - RUP_Introduccion_Definicion.pdf
02 - RUP_Introduccion_Definicion.pdf02 - RUP_Introduccion_Definicion.pdf
02 - RUP_Introduccion_Definicion.pdf
 
Los mejores simuladores electrónicos que se pueden utilizar
Los mejores simuladores electrónicos que se pueden utilizarLos mejores simuladores electrónicos que se pueden utilizar
Los mejores simuladores electrónicos que se pueden utilizar
 
Diseño de Algoritmos Paralelos. Mejorando la eficiencia computacional aprovec...
Diseño de Algoritmos Paralelos. Mejorando la eficiencia computacional aprovec...Diseño de Algoritmos Paralelos. Mejorando la eficiencia computacional aprovec...
Diseño de Algoritmos Paralelos. Mejorando la eficiencia computacional aprovec...
 

Dsei_acd_alzr

  • 1. Universidad Abierta y a Distancia de México Ingeniería en Desarrollo de Software Seguridad de la Informática Profesora: MC. Ricardo Rodríguez Nieves Alfonso Rodrigo Zepeda Reyes AL12509711 Actividad del Facilitador Fecha de entrega: 12 de Diciembre de 2017
  • 2.  Unidad 1. Principios de Seguridad Informática
  • 3.   Al aumentar la demanda de los sistemas de TI mantener la seguridad de la informática es vital en los sistemas de información.  Los sistemas de información van desde el correo, mensajería, comercio, transacciones, firmas y certificados digitales. A lo largo de la materia se verán diferentes metodologías para procurar la seguridad informática. La seguridad en los sistemas de información.
  • 4.  Recursos de Hardware: Servidores, estaciones de trabajo, computadoras, impresoras, escáneres, periféricos.  Recursos de Software: Sistemas operativos, herramientas ofimáticas, software de gestión, herramientas de programación, aplicaciones desarrolladas a la medida.  Elementos de Comunicaciones: Dispositivos de conectividad, armarios con paneles de conexión, cableado, puntos de acceso a la red, líneas de comunicación con el exterior.  Información: La información que se almacena, procesa y distribuye a través del sistema.  Espacios físicos: Locales y oficinas donde se ubican los recursos físicos.  Usuarios: Personas que se benefician directa o indirectamente con el funcionamiento del sistema.  Imagen y prestigio de la organización: La manera en la que los clientes perciben la organización derivada de los objetivos de ésta. Recursos de un Sistema de Información
  • 5.   Confidencialidad: Garantía del acceso sólo a las personas que disponen de autorización.  Integridad: Garantía de la exactitud de la información y de su protección frente a alteraciones o pérdidas.  Disponibilidad: Garantía de que la información va a estar disponible en el momento en que se necesita. Triada de la Seguridad
  • 6.   Análisis y diseño de sistemas  Complejidad del sistema, a mayor complejidad más difícil encontrar y solucionar los problemas.  Insuficiente participación de los usuarios, las personas no confían en la automatización de tareas ya que piensan que perderían su trabajo al convertir sus actividades en rutinas del sistema.  Alteración del sistema con fines delictivos, se busca alterar el sistema para generar datos fantasma o desviar fondos y recursos a otras áreas.  Revelación de información confidencial, tener filtraciones de datos a terceras personas provocando que los usuarios del sistema tengan sus datos comprometidos.  Deficiencia en la elaboración del lenguaje de control para el procesamiento de la información, esto se debe a una mala planeación de procedimientos y pasos dentro del funcionamiento del sistema. Implicaciones de la Seguridad Informática
  • 7.   Programación.  Factible alteración de programas, el creador del programa puede alterar el programa para filtrar información o volverlo código malicioso.  Creación artificiosa de programas, programas que debido al poco tiempo de desarrollo no cumplen los requisitos para los que fue creado.  Selección de personal no idóneo, al tener personal barato y poco ético pueden las empresas tener personal que filtre información o que vulnere el sistema.  Complejidad en la creación de programas aunque cumplan el objetivo deseado, esto se debe a los programas que responden bien a los objetivos originales pero fallan en el la facilidad de uso haciendo complicado el manejo del sistema.
  • 8.   Funcionamiento de sistemas, muchas veces aunque el sistema este bien elaborado puede llegar a tener vulnerabilidades.  Codificación de datos, en esta actividad se presentan situaciones como código ilegible la cual detecta al momento de efectuar a captura de datos.  Captura de datos, al pasar los datos a las bases de datos puede llegar a tener una serie de errores el capturista.  Operación de sistemas, al manejar el sistema pueden existir errores de operación por parte del usuario.  Control de documentos fuente, filtraciones de estos documentos pueden llegar a generar problemas ya que daría armas a intrusos para vulnerar el sistema.  Control de inventarios de suministros informáticos, al no tener un inventario de los bienes físicos pueden tener robos y extravíos de estos provocando daños en el manejo del sistema.  Control de resultados, se debe verificar que los sistemas funcionen correctamente al evaluar los resultados obtenidos de ellos.  Mantenimiento de equipo, a falta de mantenimiento los bienes físicos pueden fallar y provocar pérdidas de funciones del sistema.
  • 9.   Primer nivel: Entorno nacional o local.  Segundo nivel: Entorno organizacional.  Tercer nivel: Seguridad física.  Cuarto nivel: Seguridad en hardware.  Quinto nivel: Seguridad en software.  Sexto nivel: Seguridad en datos. Niveles de seguridad
  • 10.   Nivel D1, es el nivel más bajo de seguridad no ofrece protección de hardware ni e software.  Nivel C1, existe cierto nivel de protección de hardware, el usuario debe identificarse con contraseña.  Nivel C2, maneja un sistema controlado restringiendo a los usuarios con permisos según su nivel.  Nivel B1, maneja seguridad multinivel con restricciones de accesos.  Nivel B2, tiene protección estructurada, pueden estar asignados a varios niveles de seguridad.  Nivel B3, refuerza los dominios de seguridad con la instalación de hardware que requiere a los equipos conectado en redes confiables.  Nivel A, diseño verificado, es el nivel más alto, protege al equipo y al sistema durante traslados y manejos dentro de las instalaciones.
  • 11.   Instaurado por el IFAI  Busca proteger a los usuarios que alimentan bases de datos para evitar que esta información sea utilizada por terceras personas así como busca mantener la información segura para que no sea utilizada con otros fines diferentes a los explícitamente mencionados por la institución que esta recopilando dichos datos. LFPDPPP
  • 12.   El propósito fundamental es identificar los activos involucrados en una organización, sus metodologías y procesos para estimar e riesgo asociado, desde el punto de vista de la administración de la misma.  Al analizar los riesgos se puede obtener:  Permitir una mejor gestión del riesgo organizacional  Mejorar la administración de la organización mediante la toma de decisiones e inversión en seguridad de la información.  Mejorar significativamente la aplicación y los procesos de gestión.  Mayor control sobre los activos.  Mejorar la seguridad de sistemas de información para almacenar, procesar y transmitir la información de la organización. Análisis de Riesgos y Amenazas
  • 13.   Seguridad física: implica la aplicación de barreras físicas y procedimientos de control como medidas de prevención y contramedidas ante amenazas a los recursos e información confidencial.  Las amenazas pueden ser:  Incendios  Inundaciones  Condiciones climatológicas  Señales de radas  Instalaciones eléctricas Clasificación de la Seguridad Informática
  • 14.   Seguridad lógica: busca aplicar procedimientos para que solo el persona autorizado pueda acceder a determinadas áreas de la empresa, se puede hacer uso de antivirus, antispam y antispyware.
  • 15.   Es un software malintencionado que realiza acciones fuera del consentimiento del usuario, estos programas van desde el robot de información, dañar a la máquina, ejecución de actos ilícitos. Malware
  • 16.   Virus informáticos, son el malware mas común, son programas que se reproducen al infectar otros archivos intentando que estos archivos sean ejecutados en otros entornos para seguir diseminándose.  Gusanos, tiene la propiedad de replicarse así mismo utilizando rutinas automáticas del sistema operativo, tiende a propagarse por redes infectando a todos los dispositivos en dicha red.  Troyanos, es un software que se enmascara con una fase identidad, como puede ser un programa o archivo útil, pero al ser ejecutado realiza acciones maliciosas dentro del sistema contaminado.  Spyware, son programas espías que se dedican a recopilar información en los sistemas donde se instalan.  Phishing, es un software que busca suplantar una organización para que el usuario al pensar que esta tratando con dicha información de sus datos y por lo tanto robe la información recibida. Tipos de Malware
  • 17.   Rogue Software, es un software antivirus falso que levanta falsos positivos para que el usuario utilice la herramienta y en ese momento infectar al sistema.  Spam, son correos electrónicos masivos que saturan las bandejas de entrada con fines publicitarios, propagar virus, etc.  Rootkits y backdoors, son aplicaciones ocultas en el sistema que reemplazan aplicaciones reales del mismo.  Adware, es un malware que genera publicidad en el equipo infectado sin que el usuario tenga control en ellas.  Hoax, son correos de contenido falso aunque provengan de fuentes legítimas, buscando confundir al usuario y haciéndolo entrar en links inseguros.  Keyloggers, son programas espías que capturan los movimientos hechos por el teclado o el mouse pudiendo adquirir usuarios y contraseñas así como información importante del usuario.
  • 18.   Actualización del software, al actualizar el sistema se obtienen las últimas mejoras en el mismo haciéndolo más seguro y estable.  Cortafuegos, impide que el equipo sea accesible desde internet así como evita que algún malware abra los puertos del equipo para ser atacado exteriormente.  Anti buffer overflow, los nuevos sistema operativos cuentan con esta herramienta que evita que los procesos excedan sus capacidades haciendo que el sistema pueda fallar.  Herramientas Anti Malware, son programas destinados a destruir o prevenir el ingreso de un malware en los equipos que utilizamos. Prevención y Desinfección del Malware
  • 19.   Herramientas Anti Spyware, son herramientas que escanean el sistema en busca de spyware evitando que éste pueda actuar al ser detectado y eliminado por estas herramientas.  Antivirus de escritorio, son programas que contienen defensas contra vulnerabilidades, como es el escaneo de los sitios web, archivos, memorias extraibles, etc. Este es una de las herramientas mas completas para combartir el malware y es el mas recomendado.  Antivirus Online y sandbox, este antivirus online puede escanear archivos que se le envíen devolviendo datos sobre dichos archivos, el sandbox es un entorno controlado donde se ejecuta un archivo para ver que reacción tendrá sin riesgo a que su acción llegue al sistema completo.
  • 20.   Dentro de la seguridad informática existe una regulación en el marco legal lo cual indica las obligaciones que se deben cumplir para proteger los sistemas informáticos.  En México se tienen 10 años con el concepto de delitos informáticos, aunque a nivel mundial desde 1977 se mencionó el término debido a que surgían los sistemas informáticos cada vez mas complejos. Marco Legal de Seguridad de la Informática Nacional e Internacional
  • 21.   Fraudes cometidos mediante manipulación de computadoras  Manipulación de datos de entrada  Manipulación de programas  Manipulación de datos de salida  Fraude efectuado por manipulación informática  Falsificaciones informáticas  Utilizando sistemas informáticos como objetos  Utilizando sistemas informáticos como instrumentos  Daños o modificaciones de programas o datos computarizados  Sabotaje informático  Virus  Gusanos  Bomba lógica o cronológica  Acceso no autorizado a sistemas o servicios  Piratas informáticos o hackers  Reproducción no autorizada de programas informáticos con protección legal. Tipos de Delitos Delictivos
  • 22.  Unidad 2. Mecanismos Criptográficos en los sistemas informáticos
  • 23.   Es una disciplina que conjuga conocimientos de lenguaje, matemáticas e informática que tiene como objetivo el codificar y decodificar mensajes haciendo uso de algoritmos difíciles de manejar e interpretar para proteger la información de terceras personas.  Desde los orígenes de la escritura se ha mejorado el sistema criptográfico de tal forma que con la llegada de la informática también se adaptó dicha disciplina para cifrar mensajes. Criptografía
  • 24.   Algoritmos Criptográficos de Clave Privada, se basan en algoritmos, métodos y cifrados que usan una única clave para cifrar y descifrar los mensajes y criptogramas. El objetivo de este tipo de algoritmos es proteger la clave ya que una vez que la clave es conocida se puede descifrar cualquier mensaje encriptado con dicho algoritmo.  Algoritmos Criptográficos de Clave Pública, este tipo de algoritmo requiere 2 tipos de claves, una pública y una privada que deben estar matemáticamente relacionadas, este tipo de encriptación es utilizado en comunicaciones, firmas digitales y en el intercambio de claves. Clasificación de los Algoritmos Criptográficos
  • 25.   Seguridad de las comunicaciones, es la principal aplicación de la criptografía a las redes computacionales. Ya que esto permite crear canales seguros para intercambiar información.  Identificación y autentificación, gracias al uso de firmas digitales y otras técnicas criptográficas se permite validar el acceso a un recurso en un entorno de red con más garantías que con usuario y contraseñas tradicionales.  Certificación, es un esquema mediante agentes fiables para validar la identidad de los agentes desconocidos, esto nos ayuda a identificar y autenticar cuando se emplea a gran escala.  Comercio electrónico, con el empleo de canales seguros y a los mecanismos de identificación se posibilita el comercio electrónico para que las empresas como los usuarios tengan garantías de que las operaciones no pueden ser espiadas. Aplicaciones de la Criptografía
  • 26.   Los certificados vinculan los datos de verificación de firma a un signatario y confirma su identidad.  Las firmas digitales son un conjunto de datos adjuntos o lógicamente asociado a un mensaje, la finalidad de esto es comprobar su integridad y permitir la identificación unívoca del autor.  Con la firma digital se pueden garantizar los siguientes aspectos:  Autenticidad, es la posibilidad técnica de establecer un nexo unívoco entre un documento, mensaje, archivo o firma electrónica y su autor.  No Repudio, ofrece protección a un usuario frente a que otro usuario niegue posteriormente que en realidad se realizó la comunicación.  Confidencialidad, se trata de la seguridad de que los datos que contiene el documento permanecen ocultos a los ojos de terceras personas durante su viaje por el medio desde A a B. Certificados y Firmas Digitales
  • 27.   La clave pública PKI es una combinación de programas, tecnologías de encriptación, procesos y servicios, que permite a las organizaciones asegurar las comunicaciones y las transacciones del negocio. Infraestructuras de Clave Pública PKI
  • 28.   Los certificados digitales son útiles cuando existe una autoridad certificadora que los valide, esta autoridad dará validez y autentificará la identidad de una empresa por medio de una firma digital, los certificados digitales proporcionan un mecanismo criptográfico para implementar la autentificación. Estándares y Protocolos de Certificación Digital
  • 29.  Unidad 3. Gestión y Aplicación de Protocolos de Seguridad Informática
  • 30.   Como se ha visto un sistema informático se conforma por hardware, software y datos. Todo lo anterior mencionado puede ser atacado con interrupciones, intercepciones, modificaciones y fabricaciones. Mecanismos de Seguridad en los Sistemas Informáticos: Redes, Sistemas Operativos y Bases de Datos
  • 31.  Seguridad por Oscuridad, es un método que se utiliza el secreto de diseño o implementación para que por desconocimiento no e encontraran los puntos débiles de dicho sistema.  Seguridad del Perímetro, se basa en reforzar los puntos de acceso o conexión de nuestra red privada con la red externa. Para esto se bloquean los accesos físicamente y con firewalls.  Seguridad en Profundidad, se asume que cada una de las medidas tomadas pueden ser rotas por atacantes, esto hace que se hagan capas de seguridad haciendo que las probabilidades de que los atacantes lleguen a su objetivo sean menores entre mas capas tenga el sistema. Las capas son:  Área de Influencia: Es la zona más externa del sistema, donde se pueden hacer acciones en contra de esta zona.  Área de Exclusión: Es el espacio concéntrico exterior al área protegida, de utilización restringida.  Área Protegida: Es el espacio delimitado por barreras físicas que ejerce un cierto control de movimiento y permanencia.  Área Crítica: Espacio delimitado por barreras físicas, dentro del área protegido cuyo acceso y permanencia son objeto de medidas especiales de control. Modelos de Seguridad
  • 32.   Prevención, Utilizando métodos de autenticación, identificación, control de acceso, plataformas heterogéneas, sistemas honeypot, etc.  Detección, A través de programas de auditoria Tripwire o Nagios que se encargan de chequear el sistema.  Respuesta, Implementando métodos de backups y software de análisis forense. Mecanismos de Seguridad
  • 33.   Existen diferentes metodologías para los proyectos de seguridad informática, la más usada es la creada por el Instituto Internacional de Recuperación de Desastres DRII. Esta seguridad cuenta con las siguientes etapas:  Inicio y administración del proyecto  Evaluación y administración del proyecto  Análisis de impacto al negocio (BIA)  Desarrollo de estrategias de continuidad de negocio  Respuesta a la emergencia y estabilización  Desarrollo e implementación de planes de continuidad del negocio  Programas de concientización y entrenamiento  Prueba y mantenimiento de los planes de continuidad de negocio  Relaciones públicas y coordinación de la crisis  Coordinación con las autoridades públicas Metodología para el Desarrollo de Proyectos de Seguridad Informática
  • 34.   Inicio y Administración del Proyecto  Establecer la necesidad de desarrollar e implementar un plan de continuidad del negocio  Obtener el soporte directivo  Organizar y administrar el proyecto hasta su completa realización y acorde con los límites de tiempo y presupuesto  Justificaciones para implementar un DRP-BCP  Sobrevivir a un desastre  Cumplir con los Service Level Agreements o acuerdos de nivel de servicios  Cumplir con los requerimientos o recomendaciones de auditoria  Cumplir con los Requerimientos Legales  Reducir los costos seguros  Usar las instalaciones y equipo de respaldo para otros propósitos  Promover los objetivos de la cultura corporativo Etapas de la Metodología DRII
  • 35.   Apoyo directivo  Llevar a cabo un análisis informal de riesgos de desastre  Recolectar estadísticas de la industria  Investigar historias de casos de desastre  Identificar los mandatos legales y regulatorios relevantes  Desarrollar la justificación para el proyecto de DRP-BCP  Llevar a cabo una sesión ejecutiva de sensibilización de la dirección y de la gerencia.  Comité de dirección, cuenta con:  Director general  Director de finanzas  Director de comercialización  Gerente e relaciones públicas  Gerentes de las unidades de negocios  Gerente de operaciones  Gerentes de soporte  Gerente de administración del edificio  Gerente de IT y comunicaciones  Lider del proyecto de continuidad del negocio
  • 36.   Consultores, especializados en DRP que pueden ser útiles en el desarrollo del proyecto por su experiencia en otros proyectos de DRP en otras empresas.  Grupos de recuperación- continuidad, tienen a su cargo identificar a los participantes que intervienen en el proceso de recuperación y continuidad que harán frente a un evento de desastre en forma organizada y controlada.
  • 37.   Evaluación y control de riesgos  Objetivos, determinar los eventos y circunstancias del ambiente, determinar el daño de los eventos, determinar los controles necesarios para prevenir o minimizar los efectos de pérdidas potenciales  Análisis de impacto a negocio  Definir objetivos, alcance y suposiciones del BIA  Identificar las funciones del negocio y sus procesos  Evaluar los impactos financieros y operacionales  Identificar los procesos críticos  Evaluar los MTD y priorizar los procesos críticos  Identificar los sistemas y aplicaciones informáticas críticas  Identificar los recursos no-informáticos que son críticos  Determinar el RTO  Determinar el PRO  Identificar los procedimientos alternativos  Generar reporte BIA
  • 38.   Desarrollo de estrategias de continuidad del negocio, determina y guiar a selección de estrategias funcionales alternativas para recuperar el negocio y servicio informático dentro del tiempo objetivo.  Respuesta de emergencia y estabilización.  Desarrollar e implementar procedimientos para responder y estabilizar la situación inmediata siguiente a un incidente o evento  Establecer y administrar un centro de operaciones de emergencia para ser usado como un centro de mando durante la emergencia  Desarrollo e implementación de planes de continuidad del negocio  Diseñar, desarrollar e implementar el BCP que provea la recuperación dentro del tiempo Objetivo de Recuperación RTO  Programas de concientización y entrenamiento  Preparar un programa para crear conciencia corporativa  Preparar un programa para mejorar las habilidades requeridas para desarrollar, implementar, mantener y llevar a cabo el BCP
  • 39.   Prueba y mantenimiento de los planes de continuidad del negocio  Pre-planear y coordinar las pruebas del BCP  Evaluar y documentar los resultados de las pruebas  Desarrollar procesos para mantener a vigencia de capacidades para mantener la continuidad y la vigencia del documento del plan de acuerdo con la dirección estratégica  Verificar la efectividad del plan comparándolo con un estándar adecuado  Reportar los resultados de manera clara y concisa  Relaciones públicas y coordinación de la crisis  Desarrollar, coordinar, evaluar y ejercitar planes para manejar a los medios de comunicación durante la situaciones de crisis  Proveer asesoramiento sobre el manejo de traumas a los empleados, sus familiares, clientes, claves, proveedores, etc.  Asegurar que todos los stakeholders se les mantenga informados.
  • 40.   Coordinación con las autoridades públicas  Establecer la políticas y procedimientos aplicables para coordinar las actividades de respuesta, continuidad y restauración, con la autoridades respectivas de manera que se cumpla con los estatutos y reglamentos aplicables.
  • 41.   Es un plan de emergencia que pretende mantener la funcionalidad de la organización a un nivel mínimo aceptable durante una contingencia. Este plan debe contemplar una serie de medidas preventivas para cuando suceda un contingencia todo con el fin de asegurar una reanudación oportuna y ordenada de los procesos de negocio generando un impacto mínimo ante cualquier incidente. Plan de Continuidad de Negocio (BCP)
  • 42.   Identificar los diversos eventos que podrían impactar sobre la continuidad de las operaciones y su impacto sobre el negocio  Obliga a conocer los tiempos críticos de recuperación para volver a la situación anterior al desastre sin comprometer al negocio  Previene o minimiza las pérdidas para el negocio en caso de desastre  Clasifica los activos para priorizar su protección en caso de desastre  Aporta una ventaja competitiva frente a la competencia Beneficio de BCP
  • 43.   El plan de recuperación de desastre es un conjunto de estrategias definidas para asegurar la reanudación oportuna y ordenada de los servicios informáticos críticos en caso de contingencia. El método depende de los departamentos de la empresa y cuenta con 4 fases:  Analizar  Desarrollar  Ejecutar  Mantener Plan de Recuperación de Desastre (DRP)
  • 44.   Lo primero que se debe hacer es un análisis de impacto al negocio(BIA), el cual es un informe que nos muestra el coste ocasionado por la interrupción de los procesos de negocio que se incluye en el plan de continuidad del negocio. Dentro del análisis hay 3 aspectos de primordial importancia para el análisis, los cuales son:  Criticidad de los recursos de información relacionados con los procesos críticos del negocio  Periodo de recuperación crítico antes de incurrir en pérdidas significativas  Sistema de clasificación de riesgos
  • 45.   El DRP no se puede lograr sin personal dedicado, de tiempo completo, con la responsabilidad de mantener los planes, el personal debe estar capacitado para asumir responsabilidades de recuperación y actualización de los planes, para reflejar los cambios en el procesamiento de la información y entornos empresariales.
  • 46.   Los beneficios de DRP son:  La capacidad de proteger lo sistemas críticos para la empresa  Reducción de pérdidas tras un incidente  Garantizar la fiabilidad de los sistemas de reserva  Proporcionar un sentido de seguridad  Minimizar el riesgo de retrasos  Proporcionar un estándar para probar el plan  Minimizar la toma de decisiones en caso de desastre  La reducción de las posibles responsabilidades legales  Mejora la eficiencia general de la organización y la relación de bienes, recursos humanos y financieros para los servicios críticos.
  • 47.   El manejar software y herramientas de última generación para mantener la seguridad informática es de vital importancia ya que entre más moderna sea la herramienta mejor responderá a las vulnerabilidades, así como el implementar normas actualizadas mejora la herramienta de seguridad.  También se debe actualizar la política de seguridad de la empresa con los requerimientos de la empresa que también esta en constante cambio y con nuevas necesidades. Nuevas Tecnologías de Seguridad de la Informática
  • 48.   Esto esta definido en el manual de operaciones del personal, en este manual se debe evitar el mal manejo en la operación del equipo que puedan crear riesgo de negligencia o accidente.  Para asegurar el software se debe restringir el acceso a programas y archivos, aplicar medidas antivirus, asegurar que los operadores puedan trabajar sin supervisión rigurosa, también el manual debe asegurar que usen los datos, archivos y programas correctos.  Existen factores que pueden afectar la seguridad del sistema:  Manejo pobre de modems  Transmisión de archivos no cifrados  Indiferencia con la seguridad  Clave de acceso débil y obvia  No validar/verificar a los usuarios  No inspeccionar el software nuevo  No realizar procedimientos con el antivirus  Tener empleados descontentos o deshonestos  Errores de programación  Aplicaciones no autorizadas  NO tener controles de auditoria Seguridad Física
  • 49.   Se debe tener una comunicación entre personal de computación y a los usuarios, debe existir una unidad o encargado de canalizar las solicitudes y modificaciones del programa. El control que se debe llevar debe asegurar que los datos sean procesados e incluidos en los archivos correspondiente.  La seguridad de los archivos debe tener el almacenamiento de las copias de respaldo en un lugar diferente con identificación y control de los archivos a través de etiquetas u otros medios. Seguridad de la Aplicación
  • 50.   En caso de desastre se debe tener un respaldo informático que nos debe permitir la continuidad del negocio, la importancia de esto debe trabajar sin problema para garantizar la seguridad y la continuidad del negocio.  Debido a la amplia gama de ataques las empresas deben elegir que vulnerabilidades se deberán trabajar y proteger analizando que es lo de mayor valor para la empresa y enfocarse en protegerlo al máximo. Seguridad en Caso de Contingencias