CISA Tema4

Capitulo 4
ENTREGA Y SOPORTE DE SERVICIO DE TI

Manual de Preparacion al Examen elSA 2008

335

(

Capitulo 4

ENTREGA Y SOPORTE DE SERVICIO DE TI

4.1INTRODUCCION 339

4.1.1 OBJETIVO 339

4.1.2 TAREAS 339

4.1.3 DECLARACIONES DE CONOCIMIENTO 339 (

4.1.4 RELACION ENTRE LAS DECLARACTONES DE TAREA Y LAS DECLARACIONES DE

CONOCIMIENTO 340 r

4.2 OPERACIONES DE SISTEMAS DE INFORMACION 343

4.2.1 ADMINISTRACION DE OPERACIONES DE SI 343

Funciones de Control ,', ,344

4.2.2 ADMINISTRACION DE SERVICIOS DE TI.. 345

Nivel de Set .. vicio ,., 41 , ••••••••• 346

4.2.3 OPERACIONES DE INFRAESTRUCTURA 348

Operaciones Lights-Out (Operaciones Automatizadas No Atendidas) 349

Funciones de Entrada I Salida de Datos " " u 349

Contabilidad de Trabajos (Job Accounting) " " 41 350

Preparacien de Cronogramas (Scheduling) " .•• 350

SOFTWARE DE CREACION DE CRONOGRAMAS DE TRABAJO 350

4.2.4 MONITOREO DEL USO DE LOS RECURSOS 351

Proceso de Manejo de Incidentes , , 351

Admlnistraclen de Problemas 351

(

Deteccien, Documentacien Control, Resoluclon y Reporte de Condiciones Anormales

.... , ,., ,., ," 352

4.2.5 HELP DESK / AYUDA (SUPPORT/HELP DESK) 353

4.2.6 PROCESO DE ADMINISTRACION DE CAMBIOS 354

4.2.7 SISTEMAS DE ADMINTSTRACION DE BIBLIOTECAS DE PROGRAMAS 355

4.2.8 SOFTWARE DE CONTROL DE BlBLIOTECA 355

(

Integridad de C6digo Ejecutable y Codigo Fuente I111 356

Comparacion de C6digo Fuente " 356

4.2.9 ADMINlSTRACrON DE VERSIONES 357

4.2.10 ASEGURAMIENTO DE LA CALIDAD 358

4.2.11 ADMINISTRACION DE SEGURIDAD DE INFORMACION 358

4.3 HARDWARE DE SISTEMAS DE INFORMACION 359

4.3.1 COMPONENTES Y ARQUITECTURAS DE HARDWARE DE COMPUTADORA 359

Componentes de Procesamiento ", " 359

Componentes de Entrada y Salida , 359

Tipos de Computadoras " , , , 360

Caracteristicas Comunes de los Tipos Diferentes de Computadora 361

Roles Comunes de la Computadora , ,... , ,., 362

BIIS Serial Universal (USB) , ,., 363

Tarjetas de memoria/Flash Drives ,., , 364

Identiflcacien de Frecuencia de Radio (RFID) 364

Escribir Una Vez y Leer Muchas , , 364

4.3.2 PROGRAMA DE MANTENIMIENTO DEL HARDWARE 365

4.3.3 PROCEDTMIENTOS DE MONITOREO DE HARDWARE 365

4.3.4ADMINISTRACION DE LA CAPACIDAD 366

4.4 ARQUITECTURA Y SOFTWARE DE SI 367

4.4.1 SISTEMAS OPERATIVOS 368

336

Manual de Preparacion al Examen crsx 2008

Funciones 0 Para metros de Control de Software " 369

Arquitectura de DBMS , , 374

Problemas de Integridad de Software , 370

Registro de Actividad y Opciones de Informacion 371

4.4.2 SOFTWARE DE CONTROL DE ACCESO 372

4.4.3 SOFTWARE DE COMUNICACIONES DE DATOS 372

4.4.4 ADMINISTRACION DE DATOS 373

Organizacion de Archivos , 373

4.4.5 SISTEMA DE ADMlNISTRACION DE BASE DE DATOS (DBMS) " 373

Arquitectura detail ada de los Metadatos de DBMS 374

Diccionario de Datos I Sistema de Directorio (DD/DS) 374

Estructura de Base de Datos " 375

Controles de Base de Datos , 378

4.4.6 SISTEMAS DE ADMINISTRACION DE ClNTA Y DE DlSCO 379

4.4.7 PROGRAMAS DE UTILERlA 379

4.4.8 ASPECTOS DEL LICENCIAMIENTO DE SOFTWARE 380

4.5INFRAESTRUCTURA DE LAS REDES DE SI 381

4.5.1 ARQUITECTURAS DE RED DE EMPRESAS 382

4.5.2 TIPOS DE REDES 383

4.5.3 SERVICIOS DE RED 383

4.5.4 ESTANDARES Y PROTOCOLOS DE RED 384

4.5.5 ARQUITECTURA DE OSI 386

4.5.6 APLICACION DEL MODELO OSI EN LAS ARQUlTECTURAS DE RED 387

,

Red de Area Local (LAN) 387

FUNDAMENTOS Y ESPECIFICACIONES DE DISENO DE LA LAN 388

ESPECIFICACIONES DE LOS MEDIOS FISICOS DE RED 388

TOPOLOGiAS Y PROTOCOLOS LAN 391

Figura 4.7 391

TECNOLOGIAS LAN DE ACCESO A MEDIOS 391

COMPONENTES DE LAN 393

CRITERIOS DE SELECCION DE LA TECNOLOGIA DE LAN 395

,

Red de Area Amplia (WAN) , 395

TECNICAS DE TRANSMISION DE MENSAJES WAN 395

DISPOSITIVOS WAN 396

TECNOLOGIAS WAN 397

Protocolo de Punto a Punto (PPP) 398

X.25 398

Retransmision de tramas (Prame relay) 398

Red Digital de Servicios Integrados (ISDN) 398

Modo de Transferencia Aslncrona (ATM) 398

Conmutaci6n de Etiqueta de Protocolo Multiple (MPLS) 399

Lineas Digitales de Abonado (DSL) 399

Redes Virtuales Privadas (VPN) 399

Redes Inalambrlcas , 401

REDES INALAMBRICAS DE AREA AMPLIA 401

REDES INALAMBRICAS DE AREA LOCAL 402

WIRED EQUIVALENT PRIVACY (WEP) 405

REDES INALAMBRICAS DE AREA PERSONAL 405

REDES AD HOC 406

PROTO COLO DE APLICACrON INALAMBRICA (W AP) 406

Infraestructura Publica "Global" De Internet , 408

TCP/[P Y SU RELACION CON EL MODELO OSI DE REFERENCIA 408

SERVICIOS DE TCP/IP WORLD WIDE WEB DE INTERNET 409

TERMINOLOGiA GENERAL DE INTERNET 412

FLUJO DE DATOS TRANSFRONTERA 413

Manual de Preparacien al Examen elSA 2008

337

Admlnlstraclon y Control de Red , , 413

MEDIDA DEL DESEMPEN'O DE LA RED , , ,., , 414

ASPECTOS DE LA ADMINISTRACION DE RED , 414

HERRAMIENTAS DE ADMINISTRACION DE RED 414

f".~ ..... ~

Aplicaciones en un Entorno en Red 415

TECNOLOGIA CLIENTE / SER VIDOR 416

MIDDLEWARE , , 418

4.6 AUDITORfA DE LA INFRAESTRUCTURA Y DE LAS OPERACIONES 419 (

4.6.1 REVISIONES DE HARDWARE , , 419

4.6.2 REVISIONES DEL SISTEMA OPERATIVO .420

4.6.3 REVISIONES DE LA BASE DE DATOS 422

4.6.4 REVISIONES DE INFRAESTRUCTURA E IMPLEMENTACION DE LA RED 423

4.6.5 REVISIONES DE CONTROL OPERATIVO DE REDES 426 (

4.6.6 REVISIONES DE LAS OPERA ClONES DE SI 427

Operaciones de Cemputo , ,', , 427

Procedimientos de Manejo de Archivos iIII 429

Control de Entrada de Datos ,', , 429

4.6.7 OPERACIONES LIGHTS-OUT ,., 429

4.6.8 REVISIONES DE REPORTE DE PROBLEMAS POR LA GERENCIA 430

4.6.9 REVISIONES DE DISPONIBILIDAD DE HARDWARE Y DE REPORTE DE UTILlZACION 431

4.6.10 REVISION DE CRONOGRAMAS 431

4.7 Capitulo 4 Estudio de Caso 432

4.7.1 Caso de Estudio A , 432

Escenario de Caso de Estudio A , , 432

Preguntas de Caso de Estudio A , 433

4.8 RESPUESTAS A LAS PREGUNTAS DE PRAcTICA 433

4.9 Respuestas a las Preguntas del Caso de Estudio 435

Respuestas a las Preguntas de Caso de Estudio A 435

4.10 RECURSOS SUGERIDOS PARA MAs ESTUDIO 436

338



339

Las practicas de administraci6n de servicios de TI son importantes para proveer aseguramiento a los usuarios as! como tambien a la gerencia de que el nivel de servicio esperado sera entregado. Las expectativas del nivel de servicio se derivan de los objetivos de negocio de la organizaci6n. La entrega de servicios de TI incluye operaciones de SI, administraci6n de SI y servicios de TI y los grupos responsables de soportarlos,

4.1.10BJETIVO

EI objetivo de esta area es asegurar que el auditor de SI entienda y pueda proveer seguridad con relacion a que las practicas de gerencia aseguraran Ia entrega de los niveles de servicio requeridos para el soporte de los objetivos de la organizacion.

Esta area representa el14 por ciento del examen de elSA (aproximadamente 28 preguntas)

4.1.2 TAREAS

Hay 7 tareas dentro del area de entrega y soporte de servicio de TI:

T4.! Evaluar las practicas de administracion de nivel de servicio para asegurar que el nivel de servicio de los proveedores internos y externos este definido y administrado.

T4.2 Evaluar la administraci6n de operaciones para asegurar que las funciones de soporte de TI satisfagan efectivamente las necesidades de negocio.

T4.3 Evaluar las practicas de administracion de datos para asegurar la integridad y optimizacion de las bases de datos.

T4.4 Evaluar el uso de herramientas y tecnicas de monitoreo de capacidad y desempefio para asegurar que los servicios de TI cumplen con los objetivos de la organizacion.

T4.S Evaluar las practicas de administracion de cambio, configuracion y edicion para asegurar que los cambios efectuados en el entorno de producci6n de 1a organizaci6n esten adecuadamente controlados y documentados.

T4.6 Evaluar las practicas de administracion de problemas e incidentes para asegurar que los incidentes, problemas 0 errores sean registrados, analizados y resueltos a su debido tiempo.

T4.7 Evaluar la funcionalidad de la infraestructura de TI (por ej., componentes de red, hardware, software de sistema) para asegurar que soporta los objetivos de la organizacion,

4.1.3 DECLARACIONES DE CONOCIMIENTO

Hay II declaraciones de conocimiento dentro del area de entrega y soporte de servicios de TI:

KS4.1 Conocimiento de practicas de administraci6n de nivel de servicio

KS4.2 Conocimiento de las mejores practicas de administraci6n de operaciones (por ej., preparaci6n de cronogramas de carga de trabajo, administraci6n de servicios de red, mantenimiento preventivo) KS4.3 Conocimiento de procesos, herramientas y tecnicas de monitoreo de desempefio de los sistemas (par ej., analizadores de red, reportes de utilizaci6n de sistemas, balanceo de carga)

KS4,4 Conocimiento de la funcionalidad de los componentes de hardware y de red (por ej., routers, switches, firewalls, perifericos)

KS4.5 Conocimiento de las practicas de administraci6n de base de datos

KS4.6 Conocimiento de la funcionalidad del software de base incluyendo sistemas operativos, utilitarios, y sistemas de administracion de base datos

KS4.7 Conocimiento de tecnicas de planificacion y monitoreo de la capacidad

KS4.8 Conocimiento de los procesos para adrninistrar cambios program ados y de emergencia a los sistemas de produccion y 10 a la infraestructura, incluyendo practicas de cambio, configuracion, versionado (release) y administracion de parches

KS4.9 Conocimiento de practicas de administracion de incidentes /problemas (por ej., help desk, procedimientos de escalacion, rastreo)

KS4.10 Conocimiento de licenciamiento de software y practicas de inventario

KS4.11 Conocimiento de herramientas y tecnicas para la robustez (resiliency) del sistema (por ej., hardware tolerante a falIas, eliminacion de un unico punto de falla, clustering)

4.1.4 RELACION ENTRE LAS DECLARACIONES DE TAREA Y LAS DECLARACIONES DE CONOCIMIENTO

Las declaraciones de tarea son 10 que se espera que el candidato de CISA sepa hacer. Las declaraciones de conocimiento Describen 10 que se espera que el candidato de ClSA sepa para realizar las tareas. Las declaraciones de tarea y de conocimiento estan mapeadas aproximadamente en la Figura 4.1 hasta donde es posible hacerlo, Note que a pesar de que a menudo hay traslape, cada declaracion de tarea generalmente se mapeara a varias declaraciones de conocimiento, como se muestra en la Figura 4.1.

T4.1 Evaluar las practicas de administracion de

nivel de servicio para asegurar que el nivel de servicio proveniente de proveedores internos y externos esta definido y administrado,

KS4.1 Conocimiento de practicas de

administracion de nivel de servicio

KS4.2 Conocimiento de las mejores practicas

de administracion de operaciones (por ej., preparacion de cronogramas de carga de trabajo, adrninistracion de servicios de red, mantenimiento preventivo)

KS4.3 Conocimiento de procesos,

herramientas y tecnicas de monitoreo de desempefio de los sistemas (por ej., analizadores de red, reportes de utilizaci6n de sistemas, balanceo de carga)


KS4.7 Conocimiento de tecnicas de

planificacion y monitoreo de la capacidad


administraci6n de incidentes /problemas (por ej., help desk, procedimientos de escalaci6n, rastreo)

KS4.11 Conocimiento de herramientas y

tecnicas para la robustez (resiliency) del sistema (por ej., hardware tolerante a falIas, eliminaci6n de

un unico de cluster

T4.2

Evaluar la administracion de operaciones KS4.2 las mej

las funciones de de TI

340


(

(

satisfacen eficazmente las necesidades del negocio

T4.3 Evaluar las practicas de adrninistracion de datos para asegurar la integridad y la optimizaci6n de las bases de datos

T4.4 Evaluar el uso de la capacidad y de herramientas de monitoreo del desempefio y las tecnicas para asegurar que los servicios de TI cumplen los objetivos de la organizaci6n

preparaci6n de cronogramas de carga de trabajo, administraci6n de servicios de red, mantenimiento preventivo)



KS4.4 Conocimiento de la funcionalidad de

los componentes de hardware y de red (por ej., routers, switches, firewalls, perifericos)

KS4.5 Conocimiento de las practicas de

administracion de base de datos

KS4.6 Conocimiento de la funcionalidad del software de base incluyendo sistemas operativos, utilitarios, y sistemas de administraci6n de base datos

KS4.8 Conocimiento de los procesos para

administrar cambios programados y de emergencia a los sistemas de produccion y 10 a la infraestructura, incluyendo practicas de cambio, configuracion, versionado (release) y administracion de parches


administraci6n de incidentes Iproblemas (por ej., help desk, procedimientos de escalacion, rastreo)

KS4.10 Conocimiento de licenciamiento de

software y practicas de inventario


tecnicas para la robustez (resiliency) del sistema (pOI' ej., hardware tolerante a fallas, eliminaci6n de un unico punto de falla, clustering)


administraci6n de base de datos

KS4.6 Conocimiento de la funcionalidad del software de base incluyendo sistemas operativos, utilitarios, y sistemas de administraci6n de base datos


planificaci6n y monitoreo de la capacidad


tecnicas para la robustez (resiliency) del sistema (por ej., hardware tolerante a fallas, eliminaci6n de un unico punto de falla, clustering)


administraci6n de nivel de servicio


de administraci6n de operaciones (por ej., preparacion de cronogramas de carga de trabajo, administraci6n de servicios de red, mantenimiento preventivo)


herramientas y tecnicas de monitoreo de

341

Manual de Preparaclon at Examen elSA 2008

desempefio de los sistemas (por ej., analizadores de red, reportes de utilizaci6n de sistemas, balanceo de carga)


planificacion y monitoreo de la capacidad

KS4.11 Conocimiento de herramientas y tecnicas para la robustez (resiliency) del sistema (por ej., hardware tolerante a fallas, eliminacion de un unico punto de falla, clustering)

T4.S Evaluar las practicas de administraci6n de cambios, configuracion y liberacion para asegurar que los cam bios hechos at entorno de producci6n de la organizacion estan adecuadamente controlados y documentados


de administraci6n de operaciones (por ej., preparacion de cronogramas de carga de trabajo, administracion de servicios de red, mantenimiento preventivo)


administrar cambios program ados y de emergencia a los sistemas de producci6n y /0 a Ia infraestructura, incluyendo practicas de cambio, configuracion, versionado (release) y administracion de parches


administracion de incidentes /problemas (pOI' ej., help desk, procedimientos de escalacion, rastreo)

T4.6 Evaluar las practicas de administraci6n de problemas e incidentes para asegurar que los incidentes, problemas so errores son registrados, analizados y resueltos a su debido tiempo.


adrninistracion de nivel de servicio


de administracion de operaciones (por ej., preparacion de cronogramas de carga de trabajo, administraci6n de servicios de red, mantenimiento preventivo)




administrar cambios programados y de emergencia a los sistemas de produccion y /0 a la infraestructura, incluyendo practicas de cambio, configuracion, versionado (release) y administracion de parches


administracion de incidentes /problemas (por ej., help desk, procedimientos de escalacion, rastreo)

T4.7 evaluar la funcionalidad de la infraestructura de TI (e.g., componentes de red, hardware, software de sistema) para asegurar que soporta los objetivos de la organizacion,


de administracion de operaciones (por ej., preparacion de cronogramas de carga de trabajo, administracion de servicios de red, mantenimiento preventivo)

KS4.3 Conqcimiento de procesos,

herramientas y tecnicas de monitoreo de desempefio de los sistemas (por ej., analizadores de red, reportes de utilizaci6n de sistemas, balanceo

342

Manual de Preparaclon al Examen elSA 2008

(

de carga)

KS4.4 Conocimiento de la funcionalidad de

los componentes de hardware y de red (por ej., routers, switches, firewalls, perifericos)


adrninistracion de base de datos



tecnicas para la robustez (resiliency) del sistema (por ej., hardware tolerante a fallas, eliminacion de un unico punto de falla, clustering)

Las operaciones de SI en las instalaciones de informatica son parte de las actividades diarias relacionadas con el entorno de hardware y software de SI de la organizacion, Esta funcion es particularmente importante cuando se ejecutan regularmente tareas de compute muy grandes y centralizadas para fines del negocio, produciendo resultados 0 actualizando situaciones. La organizacion de las operaciones de SI varia dependiendo del tamafio del entorno y de la carga de trabajo de la computadora.

Las operaciones de SI incluyen generahnente las areas de funcionamiento siguientes:

• Administraci6n de las Operaciones de SI,

• Soporte de infraestructura incIuyendo operaciones de computadora,

• Soporte tecnico/ helpdesk,

• Cronogramas de ejecucion de trabajos (Job Scheduling),

• Control de entrada Isalida de datos,

• Aseguramiento de la Cali dad,

• Control de cambios y adrninistracion de publicaciones

• Administracion de la configuraci6n

It sistema de administracion de biblioteca de programas y software de control

• Procedimientos de administracion de problemas,

• Monitoreo y adrninistracion del desempefio

• Monitoreo y planeaci6n de la capacidad

• Administraci6n de la seguridad flsica y del ambiente It Administracion de la seguridad de informaci6n.

4.2.1 ADMINISTRACION DE OPERACIONES DE SI

La Administracion de Sl tiene la responsabilidad general pOl' todas las operaciones dentro del departamento de SI. Esta area incluira la asignaci6n de recursos (planeacion y organizacion), acatamiento de las normas y procedimientos (entrega y soporte), y monitoreo de los procesos de operacion de SI (monitoreo y evaluacion), POl' 10 tanto, las funciones de la administracion de operaciones incluyen:

It Asignacien de Recursos - La administracion de SI es responsable de asegurar que los recursos necesarios esten disponibles para realizar las actividades planificadas dentro de la funci6n de SI.


343

(

• Normas y Procedimientos - La administracion de SI es responsable por establecer las normas y los

procedimientos necesarios para todas las operaciones en conformidad con las estrategias y politicas (~~'

generales del negocio.

• Monitoreo de los procesos - La administracion de Sl es responsable de monitorear y medir la (

efectividad y eficiencia de los procesos de operaci6n de Sl, de modo que los procesos sean mejorados

a traves del tiempo.

Funciones de Control

Las funciones de control de la administraci6n incluyen:

• Asegurar que existan cronogramas detallados para cada turno operativo,

• Planificar para asegurar el uso mas eficiente y efectivo de los recursos de la operacion,

• Autorizar y monitorear el uso de los recursos de TI basado en las politicas corporativas

• Asegurar que las vulnerabilidades de seguridad sean identificadas y resueltas en tiempo

• Detectar intentos de intrusion

• Resolver problemas de seguridad de informaci6n a tiempo

• Revisal' y autorizar cambios a los cronogramas de operaciones,

• Revisal' y autorizar los cambios a la red, el sist ema y las aplicaciones

• Monitorear las operaciones para asegurar que se cumpla con las normas,

• Revisal' el registro (log) de todos los sistemas de TI para detectar el caso de sistema critico y establecer la imputabilidad de las operaciones de TI,

• Asegurar que el procesamiento de los sistemas de informaci6n puede recuperarse oportunamente tanto frente a interrupciones menores como mayores de las operaciones,

• Asegurar la confidencialidad, la integridad, y la disponibilidad de los datos

• Monitorear el desempefio del sistema y el uso de recursos para optimizar la utilizaci6n de los recursos de la computadora,

• Anticipar el reemplazo /capacidad de los equipos para maximizar el rendimiento del trabajo en curso y planificar estrategicamente las adquisiciones futuras,

• Monitorear el ambiente y la seguridad de la instalacion para mantener las condiciones apropiadas para el desernpefio del equipo,

• Asegurarse de que los cam bios al hardware y al software no ocasionen una perturbaci6n indebida al procesamiento normal,

• Mantener los reportes de registro de actividades y de otros registros de auditoria,

• Limitar el acceso logico y ffsico a los recursos informaticos a los que 10 requieran y esten autorizados para usarlos.

Preguntas de Practica

4-1 GCm'll de 10 siguiente provee el MEJOR metodo para determinar el nivel de desempefio suministrado por entornos similares de facilidad de procesamiento de informacion?

A. Satisfacci6n del usuario

B. Logro de las metas

C. Benchmarking

D. Planeaci6n de capacidad y crecimiento

Vel' las respuestas y explicaciones a las preguntas de practica al final del capitulo.

344


(

4.2.2 ADMINISTRACION DE SERVICIOS DE TI

La administracion de servicios de TI (ITSM) comprende los procesos y procedimientos involucrados en su entrega eficiente y efectiva y el soporte de diversas funciones de TI. Se enfoca en afinar los servicios de TI para que se ajusten a las cambiantes demandas de la empresa, y para medir y mostrar mejoras en la calidad de los servicios de TI ofrecidos, con una reduccion en el costo de servicio en ellargo plazo. (Esta ultima frase no figura en la version en ingles)

La administracion de servicios de TI se concentra en la perspectiva de negocio y en la administracion de infraestructuras de las aplicaciones de TI para soporte y entrega de servicios de TI.

Los servicios de soporte de TI son la mesas de ayuda (service desk) , la administracion de incidentes, la administracion de problemas, la administracion de configuraciones, la administracion de cambios y Ia administracion de publicaciones (versiones). Los servicios de entrega de TI son administracion de nivel de servicios, administracion financiera de TI, administracion de capacidad, adrninistracion de continuidad de servicios de TI y administracion de la disponibilidad. Aunque cada area de administracion es un proceso separado pOl' si mismo, cada proceso es altamente interdependiente de uno 0 mas de los otros.

Los servicios de TI pueden ser administrados mejor con un contrato de nivel de servicio (SLA) y los servicios ofrecidos forman una base para dichos contratos. Hay una posibilidad de una brecha entre las expectativas de cIientes y los servicios ofrecidos, y esta es estrechada pOI' el contrato de nivel de servicio, que define completarnente la naturaleza, el tipo, el tiempo y otra informacion relevante para los servicios que se estan ofreciendo. Toda esta informacion es almacenada en una base de datos.

POl' ejemplo, cualquier queja recibida poria mesa de ayuda (service desk) despues de clasificarla y almacenarla como un incidente estara buscando una solucion en la informaci6n almacenada de incidentes registrados. Incidentes repetitivos 0 grandes incidentes pueden requerir el procesamiento del proceso de administracion de problemas. Si se necesitaran cambios, la administracion de cambios del pl'ograma /proceso proveera una funcion de apoyo despues de consular al grupo de administracion de configuraciones.

Cualquier cambio requerido, ya sea originado como una soluci6n a un problema, una mejora 0 por cualquier otra razon, pasara pOl' el proceso de administracion de cambios. El analisis costo-beneficio y el estudio de factibilidad /viabilidad son revisados antes de que los cambios sean aceptados y aprobados. EI cambio puede ser para un item de configuraci6n 0 para multiples items y el proceso de administracion de cam bios invocara el proceso de administraci6n de configuraciones.

POI' ejemplo, el software podria comprender sistemas diferentes, cada uno de ellos conteniendo diferentes programas y cada programa teniendo diferentes m6dulos. La informacion de configuracion puede ser mantenida a nivel del sistema, el nivel de programa 0 el nivel de modulo. La organizacion puede tener una politica que dice que cualquier cambio hecho en el nivel del sistema sera publicado como una nueva version. Puede tambien decidir publicar una nueva versi6n si este implica cambios a nivel de programa aun para otra aplicacion.

Manual de Preparaciou al Examen elSA 2008

345

Las publicaciones (ya sean mayores 0 menores) tendran una identidad unica, A veces, las correcciones menores 0 pequefias pueden provocar algun otro problema. Las publicaciones mayores totalmente probadas, pueden no tener tales problemas. Debido al tiempo de prueba, espacio y a otras limitaciones, tambien es posible tenet' una publicacion parcial, que se conoce como una publicaci6n delta (incremental). La publicacion delta contiene s610 los items que han sufridos cambios desde la ultima publicacion,

Las publicaciones de nuevas versiones son controladas, y en el caso de cualquier problema en la nueva publicacion, se debe poder salir completamente y restablecer el estado anterior. Adecuados planes de contingencia pueden tambien ser desarrollados, si no son completamente restaurables. Estos planes son desarrollados antes que se implemente la nueva publicacion,

La metrica de administracion de servicios debe ser captada y analizada de manera apropiada, para que esta informaci6n pueda ser usada para aumentar la cali dad del servicio.

La administracion de servicios comprende una base de datos de administracion de configuraciones (CMDB - Configuration Management Database) que almacena cad a uno de los items de configuracion sobre los que se ofrecen soluciones; los problemas que son resueltos 0 una SLA que se extrae. La implernentacion de ITSM dentro de una empresa puede ser certificada contra la norma ISO flEC 20000. ITSM es un metodo basado en la estructura de la Biblioteca de Infraestructura de Tecnologia de Informacion (ITIL - Information Technology Infraestructure Library), que fue creada pOl' el gobierno del Reino Unido para mostrar los mejores practicas de procesos y procedimientos de la industria. El centro de ejecucion de operaciones de clientes (COPC) es otra mejor practica similar a la del proceso biblioteca de Infraestructura de Tecnologia de Informacion (ITIL). La diferencia clave entre ITIL y COPC es que ITIL provee input para esta blecer una infraestructura que se espera que cumpla con todos los requisitos de entrega, mientras que COPC provee requerimientos que una infraestructura debe entregar. Asf, las expectativas de entrega de servicio de TI pueden escribirse usando COPC y ser usadas para medir las entregas de TI contra estas expectativas,

Nivel de Servicio

El departamento de SI es una organizacion de servicio para los usuarios finales. Como tal, el exito del departamento de SI depende de satisfacer los requerimientos de procesamiento y de servicio del usuario final. Estos servicios incluyen exactitud, integridad, oportunidad y distribucion apropiada de la salida relacionada con el procesamiento de las aplicaciones, Hay a disposici6n muchas herramientas para monitorear la eficiencia y la efectividad de los servicios brindados por el personal de S1.

Estas herramientas incluyen:

• Reportes de Termlnacion Anormal de Trabajos - Estos reportes automatizados identifican todos los trabajos en lote (batch) de aplicaci6n terminados antes de su conclusi6n exitosa e incluyen en general una explicaci6n 0 una indicaci6n de condiciones asociadas de tenninaci6n anormal.

El exceso de terminaciones anormales puede indicar:

Disefio, desarrollo 0 prueba de aplieaci6n deficiente Instrucciones de operacion inadecuadas,

Soporte inadecuado de operaciones,

Entrenamiento 0 monitoreo de desempefio del operador inadecuados.

• Reporte de reejecucion del trabajo - Un reporte adieional automatico que debe ser considerado con este proceso es el reporte de reejeeuci6n del trabajo que identifica todas las ejecuciones y reinicios de aplicacion, Esto proveeria mas informacion tail respecto a las operaciones de SI ya que la mayoria de las terminaciones anormales de trabajo resultan en reinicios de trabajo.

• Reportes de Problemas del Operador - Estos reportes manuales son usados pOl' los operadores para registrar los problemas de operacion de la computadora y sus resoluciones. Las respuestas del operador deben ser revisadas poria adrninistracion de SI para determinar si las acciones del operador fueron las apropiadas 0 si se Ies debe dar mas entrenamiento a los operadores,

346 Manual de Preparacion al Examen elSA 2008

(

(

(

Manual de Preparachin al Examen elSA 2008

347

• Reportes de Distribuci6n de Salidas - Estos reportes identifican todos los reportes de apticaci6n generados y sus lugares de distribuci6n. Ellos pueden ser manuales 0 automatizados y pueden ser utiles para rastrear reportes perdidos, demorados 0 dirigidos de manera equivocada.

• Registros de la Consola - Estos reportes automatizados identifican la mayoria de las actividades que se realizan en la computadora. Debido a su tamafio y complejidad, es diffcil usar el registro de la consola para monitorear la actividad de la computadora, En general, la administracion de SI usa uno de los reportes de funciones especificas citados aqui anteriormente, Muchas instalaciones producen autornaticamente los registros de toda la actividad de la computadora, como por ejemplo, el registro de la facilidad de administraci6n de sistemas (SMF, sigla de los terminos en ingles) de IBM para el sistema as 0 los registros dump y temp en el sistema UNIX. Se han desarrollado programas que analizan el registro de sistemas para reportar sobre rubros definidos especificamente. Usando este software, el auditor puede llevar a cabo pruebas para asegurarse de que:

S610 los programas autorizados tengan acceso a los datos sensitivos,

Las utilerias 0 ayudas de servicios que puedan alterar los archivos de datos y las bibliotecas de programas sean usadas s610 para los fines autorizados,

Los programas aprobados sean ejecutados s610 cuando esten program ados y a la inversa, las ejecuciones no autorizadas no se lleven a cabo,

Se tenga acceso a Ia generacion de los archivos correctos de datos con fines de producci6n, Los archivos de datos esten protegidos de manera adecuada.

Adernas, hay paquetes de software similares a los registros de consola que proveen facilidades par registrar y reportar todas los incidentes de terminal logon/logoff, mal funcionamiento de hardware, inicios y cierres de sistema e inicio y detenci6n de trabajos.

• Cronogramas de Trabajo del Operador - Estos cronogramas son general mente mantenidos por la administraci6n SI para asistir en la planificacion de recursos humanos. Asegurando la contrataci6n del personal apropiado de soporte de operaciones, la administracion de SI se asegura que se satisfagan los requerimientos del servicio de los usuarios finales. Esto es especialmente importante durante los periodos criticos 0 de mucho uso de la computadora, Estos cronogramas deben ser 10 suficientemente flexibles como para permitir el debido entrenamiento cruzado y los requerimientos de personal de emergencia.

Muchos departamentos de 8I definen el nivel de servicio que ellos garantizaran a los usuarios de las facilidades de 8I. Este nivel de servicio esta a menudo docurnentado en los contratos de nivel de servicios (SLAs, sigla de los terminos en Ingles). Es en particular importante definir niveles de servicio cuando hay una relacion contractual entre eI departamento de SI y el usuario final. Las SLAs estan atadas al sistema charge-back, en el que cierto porcentaje del costa es asignado par el departamento de usuaries finales al departamento de 8I. Cuando las funciones del departamento de 81 son realizadas par un tercero es importante tener un SLA de outsourcing.

Los niveles de servicio estan a menudo definidos para que incluyan objetivos de desempefio del hardware y del software (como pOl' ejemplo tiempo de respuesta y disponibilidad de hardware) pero pueden tambien incluir una amplia gama de otras medidas de desempefio, Dichas medidas podrfan incluir medidas de desempefio financiero (como por ejemplo reducci6n de los costos incrernentales de un atio para otro), medidas de relaciones humanas (como por ejemplo planificaci6n de recursos y circulacion de personal, medidas desarrollo 0 entrenamiento 0 de administracion de riesgos (cumplimiento de los objetivos de control). EI Auditor de 81 debe estar consciente de los tipos diferentes de medidas que existen y debe asegurarse de que estas sean comprensivas e incluyan medidas de riesgo, de seguridad y de control as! como tam bien medidas de eficiencia y de efectividad.

Cuando las funciones de un departamento de SI se seleccionan mediante outsourcing, el Auditor de 81 debe asegurarse de que se haga la provision para los reportes de los auditores independientes que abarcan todas las areas esenciales y para que el usuario tenga pleno acceso a la auditoria,


4-2 Cuando revisa un contrato de nivel de servicio para un centro informatico mercerizado un auditor de SI debe PRIMERO determinar que:

A. el costa propuesto para los servicios es razonable

B. los mecanismos de seguridad estan especificados en el contrato

C. los servicios en el contrato se basan en un analisis de las necesidades del negocio

D. el acceso de auditorfa al centro inforrnatico esta permitido bajo el contrato.

4-3 EI departamento de TI y la oficina de servicios financieros de una universidad (FSO) tienen un contrato de nivel de servicio existente que requiere que la disponibilidad durante cada mes exceda en un 98 por ciento. La FSO ha analizado la disponibilidad y noto que ha excedido un 98 por ciento para cada uno de los ultimos 12 meses, pero ha promediado unicamente un 93 pOl' ciento durante cierres de fin de mes. l,Cmi1 de las opciones siguientes refleja MEJOR el curso de accion que debe tomar la FSO?

A. Renegociar el contrato

B. Informal' a TI que no esta cumpliendo con la norma requerida de disponibilidad

C. Adquirir recursos informaticos adicionales

D. Modernizar el proceso de cierre de fin de mes.

4.2.3 OPERACIONES DE INFRAESTRUCTURA

Los operadores de computadora son responsables de la operacion correcta y eficiente de los trabajos de computadora programados.

Las tare as del operador incluyen:

• Ejecutar trabajos Imacros /programas,

• Reiniciar aplicaciones de computadora despues que el departamento responsable haya investigado y

resuelto una terrninacion anorrnal,

• Facilitar respaldo de seguridad (Backups) oportuno de los archivos de computadora,

• Observar Ia facilidad de procesamiento de informacion en busca de entradas no autorizadas,

• Monitorear la adhesion a cronogramas documentados de trabajos como 10 establecen la gerencia de SI

y la del negocio,

• Participar en pruebas de planes de recuperaci6n de desastres.

• Monitorear el desempefio, disponibilidad y falla de los recursos de informacion

• Facilitar la resolucion de problemas (troubleshooting) y el manejo de los incidentes

Los procedimientos que detaIl an instrucciones para las tareas y los procedimientos operativos, junto con una vision apropiada de la administracion de SI, son partes necesarias del ambiente de control de SI.

Esta documentacion debe incluir:

• Procedimientos de operador basados en instrucciones de operacion de computadora y de equipos perifericos yen flujos de trabajo,

• Procedimientos para rectificar las fatlas de las maquinas 0 de los programas y superacion de las fallas no resueltas,

• Instrucciones para la distribucion de reportes de salida,


(


349

• Procedimientos para obtener archivos de la biblioteca fuera de linea y devolver archivos a la

biblioteca,

• Procedimientos para reportar dernoras de ejecucion,

• Procedimientos para reportar y corregir fallas de equipo y demoras en eI procesamiento de trabajos,

• Procedimientos para recuperar los archivos guardados.

Operaciones Lights-Out (Operaciones Automatizadas No Atendidas)

Operaciones Lights Out es la automatizacion de las operaciones c1aves 0 principales de la sala de computes poria cual las tareas se pueden llevar a cabo sin intervencion humana.

Los tipos de tareas que estan siendo automatizadas con el uso de software de operaciones de sistemas son:

• Preparacion de cronogramas de trabajo,

• Operacion de la consola,

• Balance y distribucion de reportes,

• Actividades de nueva ejecucion Ireinicio,

• Montaje y administracion de Cintas,

• Administracion de dispositivos de almacenamiento,

• Monitoreo ambiental,

• Seguridad ffsica y de los datos.

Las ventajas de las operaciones Lights Out son:

• Contencion y/o reduccion de los costos en las operaciones de SI,

• Operaciones continuadas (24 17),

• Se reduce el numero de errores e interrupciones de sistema.

Funciones de Entrada / Salida de Datos

El personal de Control de Entrada ISalida (1/0) es responsable de asegurar que la informacion de procesamiento de lotes sea procesada de manera correcta y completa en conformidad con la intencion y la autorizacion de la gerencia de SI.

En los ambientes en linea donde el procesamiento en general no se hace en papel, las interrelaciones entre diversas aplicaciones son tratadas de la forma mas apropiada durante la porcion de control del procesamiento en la revision de una aplicacion. POl' ejemplo, en un sistema de procesamiento de ordenes que trabaja sin papeles, en el cual los clientes inician las ordenes y se les carga a ellos por medio de intercambio electronico de datos (EDI), 20 0 mas aplicaciones separadas que pueden estar involucradas. En un sistema asl, la salida de un sistema es la entrada para el sistema siguiente en secuencia. En general, mientras las aplicaciones de la persona son mantenidas en linea, los archivos son transferidos entre la aplicacion que usa un mecanismo de transferencia de archivos de lote controlado par el que programo el trabajo. Si se modifica el cronograma estandar de trabajo, es concebible que los archivos de entrada esperados por una aplicacion sucesora no puedan estar presentes y poria tanto ocasionara que se detenga el procesamiento en produccion. Se debe sefialar que estas transferencias de datos entre aplicaciones se construyen con frecuencia como interfaces en linea (similar a las arquitecturas de web orientadas a servicios); sin embargo, el metodo de transferencia de lotes aun es relevante.

Basado en el ejemplo mencionado aqui anteriormente y en las responsabilidades asociadas can esta posicion, debe estar claro que las tareas tipicas realizadas pOl' el personal de Control de 1/0 incluyen asegurar 10 siguiente:

• Que la entrada sea procesada correctamente y a su debido tiempo,

• Que 1a salida sea producida en e1 formato apropiado y sea distribuida a la gente apropiada. Con la disponibilidad de facilidades de comunicacion, 1a impresion a alta velocidad de los documentos en pape1 (por ejemplo reportes, facturas, etc.) a menudo se logra en un lugar distante y a veces separado del departamento de SI, y los archivos pueden ser almacenados para recuperacion a distancia (e.g., proto colo de transferencia de archivos [FTPD pOl' otras organizaciones

• Que 1a salida que se convierta en entrada para el sistema siguiente en secuencia sea correcta y este

completa y se produzca a su debido tiempo,

• Que los archivos correctos hayan sido usados durante el procesamiento,

• Que los operadores hayan emprendido las acciones adecuadas,

• Que no exista ninguna evidencia que indique que los datos fueron alterados en una forma no autorizada.

Contabilidad de Trabajos (Job Accounting)

Las aplicaciones de contabilidad de trabajos estan disefiadas para monitorear y registrar e1 uso de los recursos de SI. La informacion registrada por estas aplicaciones (como por ejemplo e1 desempefio y la utilizacion de la CPU, los medios de almacenamiento secundario y e1 tiempo de conexion de la terminal) es usada poria adrninistracion de SI para realizar actividades que inc1uyan:

• Hacer coincidir la utilizacion de recursos con los usuarios asociados can fines de facturacion

• Optimizar el desempefio del hardware cambiando 0 "afinando" las fallas del software de sistema

Preparacion de Cronogramas (Scheduling)

La preparacion de cronogramas es una funcion de importancia dentro del departamento de SI. El cronograma incJuye los trabajos que deben ejecutarse, la secuencia de ejecucion de los trabajos y las condiciones que causan que se ejecute el programa, Tambien pennite que se programe trabajos de baja prioridad si se dispone de tiempo. El software de preparacion automatizada de cronogramas de trabajos provee control sobre el proceso de preparacion de los cronogramas ya que la informacion de los trabajos es establecida una vez, reduciendo la posibilidad de errores; se puede definir de quien dependen los trabajos y el software puede dar seguridad al acceso de los datos de produccion,

Se debe dar la maxima disponibilidad de recursos a los trabajos de alta prioridad mientras que las funciones de mantenimiento como pOI' ejemplo las copias de seguridad y la reorganizacion del sistema deben ser realizados en 10 posib1e a un nivel manejab1e, y se debe permitir que los trabajos inesperados 0 a solicitud sean procesados sin demoras innecesarias,

Los procedimientos de programacion (cronograma) de trabajos son necesarios para asegurar que los recursos de SI sean utilizados de la mejor manera posible sobre la base de los requerimientos de procesamiento.

SOFTWARE DE CREACION DE CRONOGRAMAS DE TRABAJO

Software de creacion de cronogramas de trabajo es un software de sistema usado por instalaciones que procesan un gran numero de trabajos de lote. E1 software de creacion de cronogramas establece cronogramas diarios de trabajo y deterrnina automaticamente que trabajos deben ser sometidos al sistema para procesar.

Las siguientes son algunas de las ventajas de usar software de creacion de cronogramas de trabajo:

• La informacion de trabajo es establecida solo una vez, reduciendo la probabilidad de un error,

• Las dependencias de trabajo estan definidas, para que si un trabajo falla, no se procesaran los trabajos subsiguientes basados en su resultado.


• Se llevan registros de todos los exitos y fracasos del trabajo

• Se reduce la confianza basada en el operador.

4.2.4 MONITOREO DEL USO DE LOS RECURSOS

Los recursos de compute, como cualquier otro activo de una organizacion, deben ser usados en una forma que beneficie a toda la organizacion, Esto incluye suministrar informacion cuando y donde se necesite, a un costa que sea identificable y que se pueda auditar. Los recursos de compute incluyen hardware, software, telecomunicaciones, redes y datos.

A veces se hace referencia a los controles sobre estos recursos como controles generales. EI control efectivo sobre los recursos de c6mputo es critico debido a que para administrar el negocio es necesario basarse en el procesamiento de compute.

Proceso de Manejo de Incidentes

La administracion de incidentes es uno de los procesos crlticos en la administraci6n de servicios de TI. La TI necesita ser atendida periodicamente para servir mejor a los clientes. Se concentra en proveer la maxima continuidad de servicio reduciendo 0 retirando el efecto adverso de perturbaciones a los servicios de Tl, Abarca casi todas las operaciones no estandar de los servicios de TI, y pOl' ella define el alcance para incluir virtualmente cualquier evento no estandar, que en ciertas organizaciones puede incluir una solicitud de cartucho de tinta. Ademas del inicio de incidente. Otros pasos inc1uyen la clasificacion de incidentes, su envfo a especialistas, resolucion y cierre de incidente.

Es esencial para cualquier proceso de manejo de incidentes clasificar por orden de prioridad los items despues de determinar su impacto y urgencia, Por ejemplo, podrla haber una situacion en la que una solicitud de servicio del jefe de tecnologia (eTO) de un problema de impresora lIega al mismo tiempo que una solicitud del equipo de tecnologia para atender una caida (crash) de un servidor , La gerencia de S1 debe tener parametres instalados para asignar la prioridad de estos incidentes considerando tanto la urgencia como el impacto.

Los incidentes no resueltos son escalados basados en los criterios fijados porIa gerencia. La administracion de incidentes es reactiva y su objetivo es responder a y resolver los problemas tan rapidamente como sea posible. A veces existen contratos forrnales de nive1 de servicio que definen los rangos aceptables para las estadisticas de administracion de diversos incidentes.

Administracien de Problemas

La administraci6n de problemas apunta a resolver problemas a traves de la investigacion y un analisis en profundidad de uno 0 varios incidentes importantes que son similares en su naturaleza para identificar la causa raiz del incidente. Una de las metodologfas estandar para este analisis es el desarrollo de un diagrama Ishikawa (0 diagrama de causa-efecto) a traves de la inspiracion de las partes afectadas.


351

Una vez identificado un problema, la condicion se convierte en un "error conocido". Entonces se puede desarrollar un proceso para resolver el estado de error y prevenir que ocurra en el futuro un incidente relacionado.

La administracion de problemas y la administracion de incidentes estan relacionadas pero tienen diferentes metodos y objetivos. El objetivo de la administracion de problemas es reducir el numero y/o la severidad de los incidentes, mientras que el objetivo de la administracion de incidentes es devolver el proceso de negocio efectuado de regreso a su "estado normal" tan rapidamente como sea posible,

(

minimizando el impacto sobre el negocio. La adrninistracion efectiva de problemas puede mostrar una

mejora significativa en la calidad del servicio de una organizacion de 81. (~

Deteccien, Documentaclon Control, Resolucidn y Reporte de Condiciones Anormales

Debido al caracter altamente complejo del software, hardware y de sus interrelaciones, debe existir un (

mecanismo para detectar y para documental' cualquier condici6n anorrnal que pudiera conducir a la identificaci6n del error. Esta documentaci6n toma generalmente la forma de un registro mecanizado 0

manual.

Los errores que deb en ser ingresados en el registro incluyen: (

• Errores de programa,

• Errores de sistema,

• Errores de operador,

• Errores de red

• Errores de telecomunicaci6n,

• Errores de hardware.

Los ejemplos de rubros que deben aparecer en una entrada de registro de errores incluyen:

• Fecha del enol',

• Descripci6n de la resolucion del error,

• C6digo de error,

• Descripci6n del error,

• Fuente del error,

• Fecha y hora de la intensificaci6n del error,

• Iniciales de la persona responsable de mantener el registro,

• Iniciales de la persona responsable del cierre del ingreso al registro,

• Departamento /centro responsable de la resoluci6n de errores,

• C6digo de situaci6n de 1a resolucion del problema (por ejemplo, problema abierto, problema cerrado en espera de una fecha especifica futura 0 el problema no tiene soluci6n en el ambiente actual),

• Narrativa de la situaci6n de resoluci6n del error.

(_

(

Para los fines de control, la capacidad de agregar al registro de errores no debe estar restringida. La capacidad para actualizar el registro de errores debe, sin embargo, estar restringida a las personas autorizadas. Una segregaci6n correcta de funciones requiere que la capacidad para cerrar una entrada de registro de errores asignada a una persona diferente de la que es responsable de mantener 0 de iniciar la entrada al registro de errores,

La gerencia debe estar al tanto de cualquier dispositivo de comunicaci6n 0 mecanismo de acceso (i.e., m6dems, VPN, etc.) que tenga la organizacion que permita que los vendedores se conecten a distancia con los sistemas de prcduccion para resolver y corregir un problema. Ello es posible con dispositivos que tengan facilidades de discado para evitar las funciones de seguridad y para hacer modificaciones sin el conocimiento de Ia administraci6n de 81. Esto tambien brinda un metodo para que las personas no autorizadas ganen acceso y afecten los recursos de c6mputo de las organizaciones,

La gerencia de 81 debe asegurarse de que los mecanismos de manejo de incidentes y problemas sean mantenidos debidamente y de que los errores pendientes esten siendo tratados de manera adecuada y resueltos dentro de un tiempo apropiado.

352


La gerencia de 81 debe desarrollar documentaci6n de operaciones para asegurarse de que existen procedimientos para superar los problemas no resueltos a un nivel mas alto de 1a gerencia de 81. Mientras

Manual de Prcparaci6n al Examen elSA 2008

353

que hay muchas razones para que un problema permanezca pendiente indefinidamente, no se debe aceptar que un problema permanezca sin ser resuelto. El riesgo primario que resulta de la falta de atencion a los problemas no resueltos es la interrupcion de las operaciones del negocio. Un problema no resuelto de hardware 0 de software podria potencial mente dafiar los datos de produccion. Los procedimientos de superacion de problemas deben estar bien documentados. La gerencia de SI debe asegurarse de que los procedirnientos de superaci6n de problemas esten siendo debidamente seguidos. Los procedimientos de superacion de los problemas incluyen generalmente:

• nombres Idetalles de contactos de personas que pueden manejar tipos de problemas especificos,

• tipos de problemas que requieren resolucion con urgencia y

• problemas que pueden esperar hasta horas habiles normales.

La resoluci6n de problemas debe ser comunicada al personal apropiado de sistemas, programacion, operaciones y departainentos usuarios para asegurarse de que los problemas sean resueltos a su debido tiempo. El auditor de SI debe examinar los reportes de problemas y registros de seguimiento pare asegurarse que estan siendo asignados a las personas 0 grupos mas capaces para resolverlos.

Los departamentos y las posiciones responsables de resolver los problemas deben formal' parte de la documentacion de administraci6n de problemas. Esta documentaci6n debe ser mantenida debidamente para que sea util,

4. 2.5 HELP DESK / A YUDA (SUPPORT /HELP DESK)

La responsabilidad de la funci6n de soporte tecnico es proveer conocimientos especializados de los sistemas de producci6n para identificar y asistir en el cambio Idesarrollo de sistemas y en la resoluci6n de problemas. Ademas, es la responsabilidad del soporte tecnico evaluar la administracion de las tecnologias actuales que puedan beneficial' las operaciones generales.

Los procedimientos que abarcan las tareas que deben ser Ilevadas a cabo por el personal de soporte tecnico deben establecerse en conformidad con las estrategias y politicas generales de una organizacion.

Las funciones de soporte incluyen:

• Determinar el origen de los problemas de compute y emprender las acciones correctivas apropiadas.

• Iniciar los reportes de problemas que se requieran y asegurar que los problemas sean resueltos a su

debido tiempo.

• Obtener conocimientos detallados del sistema operativo y del software de otros sistemas.

• Responder a las interrogantes relativas a sistemas especificos,

• Controlar la instalaci6n de software del vendedor y del sistema para mejorar su eficiencia y personalizar el sistema sobre la base de los requisitos de la organizacion y a la configuraci6n de las cornputadoras.

• Brindar soporte tecnico al procesamiento computarizado de las telecomunicaciones.

• Mantener documentacion del software del vendedor incluyendo la emision de nuevas versiones (releases) y resoluci6n de problemas, as! como tambien documentaci6n de los sistemas y utilerias desarrollados localmente.

• Comunicarse con las operaciones de SI para seiialar patrones anormales en llamadas 0 cornportamiento de aplicaciones

El proposito primario de la funci6n de helpdesk es servir al usuario. EI personal de helpdesk debe asegurar que todos los problemas del hardware 0 del software esten plenamente documentados y c1asificados sobre la base de las prioridades establecidas porIa gerencia. En muchas organizaciones la

funci6n de helpdesk pretende cosas diferentes. Sin embargo, la funci6n basica del helpdesk es la siguiente:

• Documental' los problemas que surjan a los usuaries e iniciar la resoluci6n de los mismos

• Clasificar los problemas de acuerdo con la prioridad y enviarlos consecuentemente a los gerentes apropiados.

• Dar seguimiento a los problemas no resueltos,

• Cerrar los problemas resueltos anotando la autorizaci6n correspondiente del usuario para cerrar el problema,

4.2.6 PROCESO DE ADMINISTRACION DE CAMBIOS

Los procedimientos de control de cambio de programa (PCC, sigla de los terrninos en ingles), una parte de la funcion que mas abarca a la que se hace referencia como administraci6n de cambio, estan establecidos poria administracion de SI para controlar el movimiento de aplicaciones (constituidas por trabajos 0 programas) provenientes del ambiente de prueba, donde tienen lugar el desarrollo y el mantenimiento, al ambiente de distribuci6n, donde se Bevan a cabo pruebas exhaustivas y luego al ambiente de producci6n. Esa porcion del mecanismo de PCC que describe las acciones que el personal de operaciones de Sf debe llevar a cabo despues de que un trabajo 0 programa ha pasado porla aprobaci6n del usuario y va a ser trasladado del ambiente de distribucion al ambiente de producci6n puede ser referido usualmente como procedimientos formales de circulacion de trabajos,

Los procedirnientos asociados con este proceso de circulacion inc1uyen asegurar que:

• La documentaci6n del sistema, de las operaciones y del programa esten completas, actualizadas y cumplan con las normas establecidas.

• Se hayan establecido la preparacion del trabajo, el cronograma y las instrucciones de operacion,

• Los resultados de la prueba del sistema y del programa hayan sido revisados y aprobados por el usuario y Ia administracion de proyectos.

• La conversi6n de archivos de datos, si fuera necesario, se haya hecho correctamente y completamente como 10 evidencie Ia revision y aprobaci6n de la administraci6n del usuario.

• La conversi6n del sistema se haya hecho correctamente y completamente como 10 evidencie la revision y aprobacion de la administraci6n del usuario.

• Todos los aspectos de los trabajos entregados hayan sido comprobados, revisados y aprobados pOl' el personal de control / operaciones.

• Los riesgos que afectan adversamente la operacion de negocio son revisados y se desarrolla un plan de reserva para compensar los cambios, si fuera necesario.

Ademas del control de cambio de programa, se necesitan metodos y procedimientos estandarizados para Ia administracion de cambios, para asegurar y mantener los niveles acordados en Ia calidad del servicio. Estos metodos estan dirigidos a minimizar el impacto adverso de cualquier probable incidente que haya sido provocado por el cambio,

Esto se logra formalizando y documentando el proceso de solicitud de cambio, autorizacion, prueba, implernentacion y comunicacion a los usuarios. Las solicitudes de cambio a menudo se clasifican en cambios de emergencia, cambios mayores y cambios menores, y pueden tener instalados diferentes procedimientos de administracion de cambio para cada tipo de cambio.

354

Manual de Preparaci6n al Examen elSA 2008

(

(

(

t'

A. Rastrear desde Ia informaci6n generada por sistema hasta la documentacion de administraci6n de cambios

B. Examinar la documentaci6n de administraci6n de cambios en busca de evidencia de exactitud

C. Rastrear desde la documentaci6n de administraci6n de cambios hasta una pista de auditorta generada por sistema

D. Examinar la documentaci6n de administraci6n de cambios en busca de evidencia de totalidad


4-4 l.Cmil de los siguientes es el metodo MAs efectivo para que un auditor de SI use para probar el proceso de administraci6n de cambios de programa?

Ver el Capitulo 3, Administracion del Cicio de Vida de Infraestructura y Sistemas, para detalles sobre controles de cambio de programa.

4.2.7 SISTEMAS DE ADMINISTRACION DE BIBLIOTECAS DE PROGRAMAS

Los sistemas de administracion de bibliotecas de programas proveen varias posibilidades funcionales para facilitar la administraci6n efectiva y eficiente del inventario de software del centro de datos. El inventario puede incluir un codigo de aplicacion y un c6digo de sistema de programa de software, declaraciones de control de trabajo que identifican los recursos usados y los procesos a ser ejecutados y los parametres de procesamiento que dirigen el procesamiento.

Algunas de las capacidades del sistema de administraci6n de bibliotecas son:

• Intcgridad - A cada programa fuente se Ie asigna un numero de modificaci6n y un numero de version, y cada declaraci6n de fuente es asociada con una fecha de creaci6n. Se provee seguridad para las bibliotecas de program as, los conjuntos de lenguaje de control de trabajos y archivos de parametres a traves del uso de contrasefias, encripcion, facilidades de compresi6n de datos y creaci6n automatica de copias de seguridad.

• Actualizaci6n - Los sistemas de administraci6n de bibliotecas facititan la adici6n, modificaci6n, eliminaci6n, re-secuenciacion y edici6n de los miembros de la biblioteca. POl' ejemplo, creando una copia automatica de seguridad antes de que se hagan los cambios y manteniendo una pista de auditoria de todas las actividades de la biblioteca.

• Reporte - Se pueden prepal'ar listas de adiciones, eliminaciones, modificaciones, catalogo de biblioteca y atributos de miembro de biblioteca para la administracion y para revision pOl' el auditor.

• Interfaz - Los paquetes de software de biblioteca pueden intercomunicarse con el sistema operativo, el sistema de cronograma de trabajos, el sistema de control de acceso y la administracion de programas en linea.


355

4.2.8 SOFTWARE DE CONTROL DE BIBLIOTECA

El software de control de biblioteca debe usarse para separar las bibliotecas de prueba de las bibliotecas de producci6n tanto en un mainframe como en un entorno cliente-servidor. El principal objetivo del software de biblioteca es asegurar que todos los cambios de pl'ograma hayan sido autorizados. El control minimo necesario es autorizacion de los cam bios a la biblioteca de produccion, que requiere un procedimiento de autorizaci6n entre las bibliotecas de prueba y de producci6n. Los controles de autorizaci6n deben aplicarse a las bibliotecas de prcduccion de pruebas. El riesgo de no tener controles

sobre ambas bibliotecas es que una version de prueba puede contener codigo no autorizado 0 fraudulento, que pcdria ser usado en el siguiente cambio a produccion, Despues de ser vinculado a un objeto de produccion, el codigo fraudulento seria puesto en produce ion.

EI propos ito primario del software de control de biblioteca es:

• Prohibit' a los programadores tener acceso a las bibliotecas fuente y objeto de produccion

• Prohibir la actualizaci6n de programas de lote

• Requerir que el grupo 0 el operador de control actualicen la biblioteca objeto con la version de prcduccion despues de probar que este completa

• Requerir que el programador entregue el codigo fuente cambiado al grupo de control 0 al operador que actualiza la biblioteca objeto 0 promueva el codigo a una region de prueba

• Requerir que el grupo de control 0 el operador actualicen la biblioteca objeto con la version de produce ion despues de que la prueba se haya realizado

• Perrnitir acceso de lectura solamente al c6digo fuente

• Implantar un estandar de nomenclatura de programas que pennita que los programas de prueba sean rapidamente distinguidos de los programas de producci6n

• Implementar controles de monitoreo de programas escritos en lenguaje de control para prevenir la ejecucion inadvertida de un programa de prueba en el ambiente de produccion,

• Permitir que los cambios puedan ser revertidos

• Hacer cumplir tas normas de programacion /codificacion

(

(

Integridad de Cedigo Ejecutable y Codigo Fuente

Cada modulo de produccion ejecutable debe tener un modulo fuente correspondiente. Siempre que un (

programa modificado es movido a la biblioteca de codigo fuente de produccion, se debe mover una

version ejecutable compilada de ese programa a la biblioteca de producci6n. POI' 10 general este es un procedimiento manual realizado por el grupo 0 poria persona responsable de la migracion de programas.

Un procedimiento optimo seria uno que cree automaticamente un m6dulo de c6digo ejecutable cada vez

que un modulo fuente sea movido a la producci6n. Este procedimiento es a veces una funci6n de los

productos de software de administraci6n de biblioteca que estan disponibles para muchas plataformas de computadora.

Asegurar la integridad ejecutable Ifuente es vital para el debido control de los sistemas de produccion, pot'que provee aseguramiento de que no se esta ejecutando la version incorrecta de un programa, El sella de tiempo del modulo fuente no debe ser mas tarde del tiempo del m6dulo ejecutable correspondiente. En ningun momenta el usuario ni el programador de aplicaci6n deben tener acceso al c6digo fuente de produccion ni a las bibliotecas de carga en el entorno de mainframe. Este se usa para minimizar el riesgo de segregaci6n inapropiada de funciones en el proceso de control de cambios. Sin embargo, en un desarrollo de aplicaci6n controlada por el usuario, los usuarios desarrollan sus propias aplieaciones independientes del departamento de S1. En algunos casos, los usuarios trabajan con PCs independientes, en otros ellos usan terminaJes conectadas a mainframes dedicadas 0 compartidas 0 entornos clienteservidor. Los auditores de SI debe revisal' con especial cuidado esas aplicaciones desarrolladas pOl' usuarios finales autonomos, en especial cuando las aplicaciones pueden ser usadas para tener acceso 0 para manipular archivos centrales de datos. Sin la guia de los desarrolladores profesionales, los usuarios pueden potencialmente desarrollar programas defectuosos, general' reportes engaftosos de administraci6n o incluso introducir errores en los archivos de datos.

Comparacirin de Codigo Fuente

El software de comparacion de c6digo fuente es un metodo efectivo y facil de usar para rastrear cambios a los programas. EI auditor de SI debe primero obtener y ahnacenar (en cinta 0 en disco) una copia de control del codigo fuente del progl'ama a ser probado. En alguna feella futura (en una semana 0 en un


mes), el auditor de SI cone el programa de comparacion de fuente para rastrear las diferencias entre el control y la fuente corriente, Una lista de adiciones, eliminaciones y cambios es impresa y usada por el auditor para revisal' documentaci6n de aprobacion de autorizacion de cambio como por ejemplo solicitudes de trabajo, aprobaciones y pruebas de programa,

Los program as de comparacion de fuente permiten que el auditor de SI examine los cambios y controles de programa fuente sin asistencia 0 posible informacion engafiosa del personal de SI. Esta tecnica, sin embargo, no detecta un programa fuente que haya sido cambiado y restaurado a su forma original durante el tiempo entre la adquisicion de copias de control y la corrida de comparacion. Los metodos para detectar los cambios a los modules de carga deben usarse con el software de comparacion de codigo fuente.

Una revision manual de los cambios en el codigo fuente se considera valida pero no totalmente efectiva. El auditor de SI obtiene un listado fuente del modulo que esta siendo auditado y escanea el programa en busca de declaraciones de pistas de auditoria. POl' ejemplo, los programadores pueden ingresar evidencia de un cambio de programa (por ej., una fecha, iniciales, numero de solicitud de trabajo). Ademas, el codigo eliminado 0 cambiado no es necesario que sea eliminado fisicamente del codigo fuente; las lfneas fuente etiminadas u originales pueden ser cambiadas a comentarios. EI programador puede tambien escribir una historia 0 narrativa de cambios en la seccion de observaciones permitida en la mayoria de las reg las de codificacion de lenguaje de programacion.

4.2.9 ADMINISTRACION DE VERSIONES

Administracion de versiones de software es el proceso a traves del cual se pone software a disposicion de los usuarios. El termino "version" se usa para describir una coleccion de cambios autorizados, La version estara constituida tfpicamente por un numero de reparaciones de problemas y ampliaciones al servicio. Una version esta constituida pOI' el software nuevo 0 cambiado requerido. Las versiones estan a menudo dividas en:

• Versiones mayores ~ Nonnalmente contienen un cambio 0 adicion significativa a nueva funcionalidad. Una version 0 ampliacion mayor pOl' 10 general reemplaza a todas las ampliaciones menores que le precedieron, Agrupando juntas una gama de facilidades de cambio facilita una prueba mas comprensiva y un entrenamiento planeado del usuario. Las grandes organizaciones tienen tfpicamente un itinerario predefinido para imp I emen tar versiones mayores durante todo el afio (es decir, por ejemplo, trimestralmente). Las organizaciones mas pequenas pueden tener solamente una version durante el afio 0 numerosas versiones si Ia organizacion esta creciendo rapidamente,

• Versiones men ores de software ~ Ampliaciones, que normalmente contienen pequefias ampliaciones y reparaciones, Una ampliacion 0 versi6n menor pOl' 10 general reemplaza a todas las reparaciones de emergencia que Ie precedieron. Las versiones menores se usan generalmente para reparar pequefios problemas de confiabilidad 0 funcionalidad que no pueden esperar hasta la siguiente version mayor. Todo el proceso de version debe ser seguido en busca de Ia preparacion e implementacion de versiones menores, pero es probable que tome menos tiempo pOl' que las actividades de desarrollo, prueba e implementaci6n no requieran tanto tiempo como las versiones mayores.

• Reparaciones de software de emcrgencia ~ Normalmente contienen las correcciones de un pequefio numero de problemas conocidos. Las versiones de emergencia son reparaciones que requieren implementacion tan pronto como sea posible para prevenir tiempo de inactividad y funciones criticas del negocio. Dependiendo de Ia urgencia requerida de la version, las actividades de pruebas limitadas y de adrninistracion de versiones son ejecutadas antes de la implernentacion. Dichos cambios deben ser evitados porque aumentan el riesgo de que se introduzcan errores,

Manual de Preparacitin al Examen elSA 2008

357

4.2.10 ASEGURAMIENTO DE LA CALIDAD

(

Muchas nuevas implementaciones del sistema involucraran la entrega en etapas de la funcionalidad y de ese modo requeriran multiples liberaciones. Adicionalmente, las liberaciones planificadas ofreceran un proceso continuo para ampliaci6n del sistema.

Los roles y responsabilidades principales en la administraci6n de versiones deben ser definidos para asegurar que todos entiendan su rol y nivel de autoridad y los de los otros que participan en el pl'Oceso. La organizaci6n debe decidir el metodo mas apropiado, dependiendo del tamafio y la naturaleza de los sistemas, el numero y frecuencia de las versiones requeridas, y cualquier necesidad especial de los usuarios, por ejemplo, si se requiere un desarrollo pOl' etapas en un perfodo de tiempo prolongado. Todas las versiones deben tener un identificador unico que pueda ser usado poria administracion de

eonfiguraci6n. (

Planificar una version involucra:

• Obtener consenso sobre el contenido de la versi6n

• Aceptar la creaei6n de etapas en el tiempo y pOl' ubicacion geografica, unidad de negocio y clientes

• Producir un cronograma de versiones de alto nivel

• Planificar niveles de recursos (incluyendo sobre tiempo del personal)

• Acordar sobre las funciones y responsabilidades

• Producir planes de retire (back-out)

• Desarrollar un plan de calidad para las versiones

• Planifiear la aceptaci6n de grupos de soporte y el cliente

Un personal de aseguramiento de la caIidad (QA) veri fica que los cambios de sistema esten autorizados, probados e implementados en una forma controlada antes de ser introducidos en el entorno de producci6n. Tambien, con la asistencia de software de bibliotecario, ellos supervisan el debido mantenimiento de versiones de programa y c6digo fuente para integridad objeto.

Vel' el Capitulo 3, Cicio de Vida de Desarrollo de Sistemas, para mas detalles en QA y en objetivos especificos de la funci6n de QA.

4.2.11 ADMINISTRACION DE SEGURIDAD DE INFORMACION

La administraci6n de seguridad de informaci6n es una parte critica de las operaciones de SI, que asegura la operaci6n continua de TI y la seguridad del proceso de negocio y de los datos. La administraci6n de seguridad de informaci6n incluye diversos proeesos de seguridad para proteger los activos de informaci6n. Los proeesos de seguridad de informacion deben estar integrados en todos los proeesos de operaci6n de TI.

La administraci6n de seguridad de informacion incluye:

• Realizar analisis de riesgo sobre activos de informacion

• Realizar analisis de impacto en el negocio

• Desarrollar y hacer cumplir polltica, proeedimientos y normas de seguridad de informacion

• Llevar a cabo estudios de seguridad regularmente

• Implementar un proceso formal de administracion de vulnerabilidades

358


Ver el capitulo 5, Proteccion de los Activos de Informacion, para mas detalles sobre la adrninistracion de la seguridad de informacion.

Esta secci6n provee una introducci6n a las plataforrnas de hardware que confonnan los sistemas de empresa de las organizaciones de la actualidad. Describe los conceptos basicos de y la historia detras de los diferentes tipos de computadoras desarrolladas y los avances en tecnologla de la informaci6n que han ocurrido. Tambien se discuten las consideraciones clave de auditorla, tales como administraci6n de capacidad, monitoreo de sistemas, mantenimiento de hardware y pasos tipicos en la adquisicion de nuevo hardware.

4.3.1 COMPONENTES Y ARQUITECTURAS DE HARDWARE DE C OMPUTAD ORA

Los componentes de hardware de sistemas de computadora incluyen componentes diferentes interdependientes que realizan funciones especificas, las cuales pueden c1asificarse como componentes de procesamiento 0 de input /output.

Componentes de Procesamiento

El componente principal de una computadora es la unidad central de procesamiento (CPU). La unidad central de procesamiento a su vez comprende una unidad aritmetica logica (ALU), una unidad de control y una memoria interna. La unidad de control comprende circuitos electricos que controlan /dirigen todas las operaciones en el sistema de computadora. La unidad de aritmetica logica efectua operaciones matematicas y logicas, La memoria interna es la parte de la memoria dentro de la CPU, como los registros, que se usan para procesar las transacciones.

Otros componentes importantes en una computadora incluyen la memoria de acceso aleatorio (RAM), memoria de s610 lectura (ROM), etc. La computadora por 10 general necesita dispositivos permanentes de almacenamiento, tales como el disco duro, para operar,

Componentes de Entrada y Salida

Los componentes de ingreso Isalida de datos se usan para pasar informacion de instrucciones a la computadora y para recoger 0 registrar la salida de datos generada poria computadora. Algunos componentes, tales como el teclado, son dispositivos de ingreso de datos solamente, mientras que otros, tales como la unidad de exhibicion visual (VDU), son tanto dispositivos de entrada como de salida de datos; las impresoras son un ejemplo de un dispositivo de salida de datos unicamente.


359

Tipos de Computadoras

Las computadoras pueden categorizarse en base a varios criterios, usados principalmente en su poder de procesamiento, tamafio, y arquitecturas. Estas categorias incluyen las siguientes:

• Supercomputadoras - Computadoras muy grandes y costosas con la mas alta velocidad de procesamiento, disefiadas para ser usadas para un proposito 0 campo especializado que requieren un gran poder de procesamiento (ej., modelos de tiempo, calculos matematicos 0 logicos complejos). Ellas estan tipicamente dedicadas a unos pocos programas especfficos de sistemas especializados 0 de aplicaci6n.

• Mainframe - Grandes computadoras para prop6sitos generales que estan hechas para compartir su poder e instalaciones de procesamiento con miles de usuarios internos y externos. Ellos logran esto otorgando una gran variedad de tarcas casi simultaneamente, EI rango de capacidades de estas computadoras es extenso. Una computadora mainframe a menudo tiene su propio sistema operativo patentado que puede soportar programas de fondo (lote) y en tiempo real (en linea) que operan aplicaciones paralelas. Las mainframes han sido tradicionalmente el recurso principal de procesamiento de datos y de almacenamiento de datos de grandes empresas y, como tales, han side por mucho tiempo protegidas por un numero de las primeras herramientas de seguridad y de control.

Muchas de las mejores practicas que surgieron del ambiente de la mainframe han sido adoptadas en cierto grado en otros tipos de ambientes de computadora. POl' ejemplo, las mainframes tienen la segregacion integrada en su sistema de controles de hardware. Esto pennite que los componentes de software (por ejemplo, los lenguajes de programaci6n, bibliotecas de enlace, programas de sistema almacenados, bases de datos, programas de aplicaci6n de usuario, etc.) sean mantenidos en areas separadas y se ejecuten en un ambiente totalmente separado. Esto protege el sistema operativo contra el riesgo de interferencia (integridad y disponibilidad) y la aplicaci6n del negocio del riesgo de divulgaciones inesperadas (confidencialidad).

Adicionalmente, los sistemas de la mainframe, a traves de divisiones 16gicas separadas en la misma unidad fisica, proveen un mecanismo integrado para acceso controlado para los ambientes de producci6n (en vivo) y de desarrollo (pruebas) y para sus bases de datos asociadas, almacenamiento y perifericos, preservando de ese modo los program as de administraci6n (integridad).

• Computadora de Mediano Alcance (tambien conocida como minicomputadora) - Sistemas de procesamiento capaces de soportar hasta cientos de usuarios simultaneos, En tamafio y potencia, las computadoras de mediano alcance, pueden ser comparables can pequenas mainframes. Las computadoras de mediano a1cancen tienen todas las funciones de control de las mainframes, como por ejemplo, administraci6n de memoria, segregacion de folderes de trabajo, lenguaje de comandos, etc. Sus capacidades son tambien comparables con pequefias mainframes in terminos de procesamiento de datos y ejecucion de programas de clientes, pem cuestan mucho menos que las mainframes. Sus sistemas operativos y sus componentes de base de software de sistema son a menudo productos comerciales,

• Mlcrocomputadoras (computadoras personales, PC) ~ Un pequefio sistema de computadora al que se hace referencia como una computadora personal 0 estaci6n de trabajo que esta disefiada para un usuario individual, de bajo costo y basada en tecnologia de microprocesador, que coloca a toda una CPU en un chip. Su uso incluye funciones de automatizaci6n de oficina, tales como procesamiento de palabras, planillas electronicas y correo electr6nico; administracion de base de datos; interaccion con las aplicaciones basadas en la web; y otros, tales como graficas personales, voz, imagen, disefio, acceso a la web y entretenimiento, A pesar de estar disefiadas como sistemas de un solo usuario, estas computadoras estan cornunmente conectadas juntas para formar una red. En terminos de potencia, en el extrema mas alto, la distincion entre las computadoras personales y las estaciones de trabajo se ha desvanecido. Ambas, en general, vienen con una pantalla grande, de graficas de alta resolucion, hasta 1 Gigabyte (GB) de memoria volatil (RAM), y soporte para interfaz de red y tarjetas

360 Manual de Preparacion al Examcn elSA 2008

(

(

(

(

de comunicaciones. Ambas tienen tam bien dispositivos de ahnacenamiento de disco magnetico grandes y muy rapidos, a los que se hace referencia como discos duros, que pueden contener de manera permanente much a mas informaci6n que RAM (corrientemente en el rango de lOa 40 GB); sin embargo, para usa en red, un tipo especial de estacion de trabajo, Hamada estaci6n de trabajo sin disco, viene sin disco duro. Los sistemas operativos mas comunes usados por las organizaciones de negocio para PCs son versiones diferentes de UNIX y de Microsoft Windows.

• Computadoras delgadas de cliente - Estas son computadoras personales que generahnente estan configuradas con funciones minimas de hardware (e.g., estaciones de trabajo sin disco) con la intencion de que ocurra la mayor parte del procesamiento en el nivel del servidor que use software, como por ejemplo Servicios Microsoft de Terminal 0 Servidor de Presentaci6n CITRIX, para acceder a una secuencia de aplicaciones.

• Computadoras notebook !laptop -Computadoras personales de peso liviano (menos de 10 libras) que son facilmente transportables y que se alimentan por media de una conexi6n AC normal a por media de baterias. Similares a la variedad de escritorio de computadoras personales en 10 que respecta a su capacidad, tienen las mismas CPUs, capacidad de memoria y capacidad de almacenamiento de disco. Pero el paquete de baterias las hace menos vulnerables a las fallas de energia,

Esta familia de computadoras ha evolucionado para satisfacer los requerimientos de computacion movil portatil, donde los usuarios puede llevar su correo electronico, herramientas de oficina y aplicaciones de negocio relevantes en sus laptop y trabajar desde cualquier lugar, tanto en la oficina como a distancia como un teleconmutador. Usan sistemas operatives comunes, tales como diferentes versiones de UNIX y Microsoft Windows. Al ser portatiles, son vulnerables a1 robo. Los dispositivos pueden ser robados para obtener la informacion contenida en ellos y la conectividad puede ser pirateada, ya sea dentro de una red interna de area local (LAN) interno 0 a distancia.

• Asistente digital personal (PDAs) - Un dispositivo portatil que permite a sus usuarios usar un pequefio dispositivo de computo del tamafio de una calculadora como un organizador y planeador personal. Algunos de sus usos incluyen organizacion de agendas, telefono y libro de direcciones, creacion y mantenimiento de lista de tareas, administrador de gastos, y una variedad de otras funciones de oficina basadas en automatizacion, Dichos dispositivos pueden tambien combinar funciones de compute, telefono Ifax y red juntas de modo que puedan usarse en cualquier momento y en cualquier lugar. Una funcion periferica comun de hardware que difiere de otras cornputadoras es que la mayoria de las asistentes digitales personales (PDAs) se basan en pluma. Ademas de poderse operar a traves de un teclado, ellas aceptan ingreso de caracteres provenientes de una stylus escribiendo a sefialando en la pantalla e incorporan funciones de reconocimiento de escritura manuscrita. Elias son tambien capaces de comunicarse con computadoras personales para respaldar 0 transferir informacion importante, De igual modo, la informacion de desde una computadora personal puede sel' cargada a las PDAs.

Caracteristicas Commies de los Tipos Diferentes de Computadora

Todos los tipos de computadoras, con excepcion de algunas PDAs, pueden soportar monitores a color con resolucion de alta calidad y dispositivos perifericos, tales como tarjetas de audio, CD-ROMs, DVDs, unidades de cintas, unidades de discos/impresoras laser, moderns de alta velocidad y dispositivos especiales para estaciones de trabajo,

Con los aumentos de Ia velocidad, poder de procesamiento y capacidad de almacenamiento de las computadoras personales y la reducci6n en tamafio de las computadoras, en general, las distinciones entre estas categorlas y tipos de uso es ahora menos importante que en e1 pasado. POl' ejemplo, algunas mainframes usan sistemas operativos UNIX; las mainframes y las minicomputadoras se usan a menudo como servidores de base de datos; y las minicomputadoras, ya sea independientes 0 en configuracion de grupo (cluster), se usan como el recurso principal de compute compartido, por las compafiias de tamafio


361

regular. Todas las categorias de maquina pueden tener mas de un procesador, Adicionalmente, a traves de la CPU, todos los tipos de computadora pueden desernpefiar varias tareas casi simultaneamente usando los siguientes principios:

• Multitarea (Multitasking)- la capacidad de ejecutar dos 0 mas programas al mismo tiempo; a menudo realizados asignando a cada aplicacion una cantidad de tiempo de procesamiento. cada tarea individual esta segmentada y cada segmento es ejecutado durante un espacio (corto) de tiempo. Posteriorrnente, se suspende la ejecuci6n de esa tarea. Los derechos de procesamiento se dan entonces a una tarea diferente que ejecuta su propio segmento, y as! sucesivamente, para todas las

tare as activas que necesiten ser computadas. De esta forma, al usuario del sistema Ie parece que cada (

tare a es continua sin interrupcion alguna .

• Procesamiento Multiple (Multiprocessing) - EI enlace de mas de un procesador compartiendo la (

misma memoria para ejecutar programas simultaneamente asi como tambien concurrentemente.

• Usos multiples (Multiusing) - Tambien se hace referencia a esto como tiempo compartido. Usando capacidades de tare as multiples, multiples usuarios pueden tener acceso y usar un sistema operativo de microcomputadora simultaneamente. Todas las mainframes, minicomputadoras y sistemas de

microcomputadora disefiados para cornputo cliente-servidor son entornos basados en multiples (

usuarios. POl' ejernplo, en los ambientes de computadora personal, las estaciones de trabajo tienen

acceso a los servidores a traves de una red de modo que la carga de computo es compartida entre las estaciones de trabajo y los servidores. Sin embargo, la unica area restante de distincion se relaciona

con estaciones de trabajo basadas en cornputadoras personales, que generalmente no pueden permitir

que dos 0 mas usuarios simultaneos operen su sistema.

• Multithreading - Cuando un programa es ejecutado, hay varias subactividades que tienen lugar dentro del programa. Estas subactividades se realizan a traves de hilos separados predefinidos 0 identificados, y producen salida para toda Ia actividad sin costuras. Las ventajas son la optimizacion

del procesador y la minimizacion del tiempo inactivo dentro del procesador. (

• Computacion tie Tramas - Algunas aplicaciones estan disefiadas para utilizar el poder de procesamiento de muchos en algunos casos inclusos miles de computadoras para ejecutar programas que requieren enormes cantidades de poder de procesamiento, simi lares a las encontradas en las supercomputadoras. Utilizando ciclos no usados de procesamiento en muchas computadoras que son accesibles por Internet, esta tecnica conocida como grid computing permit que se realicen tareas de recursos intensivos mediante arreglos de maquinas ordinarias,

Roles Comunes de la Computadora

En el ambiente distribuido de hoy, hay muchos dispositivos diferentes usados para entregar los servicios de aplicacion. Las siguientes son algunos de los dispositivos mas comunes encontrados,

• Servidores de impresien - Los negocios de todos los tamafios necesitan que haya capacidad de impresion a disposicion de los usuarios en todos los sitios y dominios multiples. En general, una impresora de red esta configurada basada en donde la impresora esta ffsicamente ubicada y quien dentro de la organizacion necesita usarla. Los servidores de impresion permiten a los negocios consolidar los recursos de impresion para ahorrar costos.

• Servidores de archivo - Proveen acceso en toda la organizacion a archivos y programas. Los depositos de documentos pueden ser centralizados a unos pocos lugares dentro de la organizacion y estar controlados mediante una matriz de control de acceso. La colaboracion del grupo y la adrninistracion de documentos son mas faciles cuando se usa un deposito de documentos en lugar de el almacenamiento disperso en multiples estaciones de trabajo.

• Servidores (de programas) de aplicacion - Un servidor de aplicacion tipicamente aloja los programas de software que proveen acceso de aplicacion a las computadoras de los c1ientes, inc1uyendo el procesamiento de la logica de aplicacion y la comunicacion del negocio con la base de datos de aplicacion. La consolidacion de aplicaciones y licencias en los servidores perrniten la administracion centralizada y un ambiente mas seguro.

362


• Servidores de la web - Proveen informacion y servicios a los clientes externos y a los empleados internos a traves de paginas web. Un servidor de la web es normalmente accesado porURL, pOl' ejemplo, http://www.isaca.org

• Servidores proxy - Proveen un enlace intermedio entre los usuarios y los recursos, En oposicion al acceso directo, los servidores proxy tendran acceso a los servicios en representacion de un usuario, Los servidores se concentran en almacenar informacion en vez de presentarla para que sea usada. Los servidores de aplicacion y los servidores de la web usan los datos almacenados en los servidores de base de datos y procesan los datos en informacion utilizable.

• Servidores de base de datos - Almacenan datos no procesados y actuan como repositorio. Los servidores se concentran en almacenar informacion en lugar de presentarla de modo que se pueda usaf. Los servidores de aplicacion y los servidores web usan los datos almacenados en los servidores de base de datos y procesan los datos convirtiendolos en informacion utilizable.

• Artefactos (dispositivos especializados) - Proveen un servicio especifico y normalmente no sedan capaces de ejecutar otros servicios. En consecuencia, el dispositivo es significativamente mas pequefio y mas rapido tanto como es muy eficiente. Las exigencias de capacidad y rendimiento cornunmente encontrados en el ambiente de hoy son:

Firewalls - Un dispositivo especifico que inspecciona todo el trafico que va entre los segmentos y aplica politicas de seguridad para ayudar a asegurar una red segura. La implementacion efectiva de un firewall depende de la calidad de las pollticas de calidad escritas y de su cumplimiento con las mejores practicas,

Sistema de deteccien de intrusos (IDS) - Escucha todo el trafico entrante y saliente para deducir y advertir las conexiones potencial mente maliciosas.

Interruptores - Los interruptores son dispositivos a nivel de enlace de datos que pueden dividir e interconectar los segmentos de red y ayudan a reducir los dominios de colis ion en las redes basadas en Ethernet.

Ruteadores (Routers) Dispositivos usados para enlazar dos 0 mas segmentos de red separados fisicamente. Los segmentos de red enlazados pOI' un ruteador permanecen separados logicamente y pueden funcionar como redes independientes.

Red privada virtual (VPN) Una VPN provee acceso remoto a los recursos de TI de la empresa solamente a traves de un browser de Internet.

Balanceador de Carga (interruptor de contenido de carga 7) - Un balanceador de carga distribuye trafico a traves de varios dispositivos diferentes para aumentar el desempefio y la disponibilidad de los servicios de TI.

Bus Serial Universal (USB)

Los adaptadores, cables, CDRW, DVDRW, scanners, webcams, flash readers, discos duros, hubs, interruptores y telefonos de video pueden conectarse a la computadora usando la conexi6n USB.

Los puertos USB superan las limitaciones de los puertos seriales y paralelos en terminos de velocidad y el numero real de conexiones que pueden hacerse. Los puertos de USB pueden transferir datos hasta 480 Mbps, y se pueden conectar hasta 127 dispositivos a una sola computadora, Es facil conectar los dispositivos usando un USB, ya que enos son intercambiables en caliente, es decir, no se requiere reiniciar el sistema para inicializar el dispositivo.

La mayoria de los sistemas operativos reconocen cuando un dispositivo de USB esta conectado y asigna a cada dispositivo una direccion, EI sistema operativo entonces tratara de cargar las pistas de dispositive necesarias buscando las pistas apropiadas que ya estan en el sistema. Si no se encontrara ninguna, el usuario entonces sera advertido para que instale manualmente las pistas apropiadas para el dispositivo.


363

(

Tarjetas de memoria/Flash Drives

A causa de la versatilidad de las computadoras y de los dispositivos de cornputacion, han surgido dispositivos alternativos para almacenar informacion. I-Ia habido un cambio completo en la forma,

tamafio y capacidad de los dispositivos de almacenamiento, con algunas tarjetas de memoria tan pequefias f

como estampillas postales. Ellas son no volatiles, retirables, pequefias, faciles de borrar y de almacenar, y

a menudo referidas como tarjetas de memoria flash. (

Elias pueden usarse en camaras, reproductores de rnusica, PDAA, telefonos moviles, impresoras, sistemas de navegaci6n y muchos otros dispositivos,

Un tipo de dispositivo comb ina la memoria flash con un plug de USB para constituir un dispositivo que se conoce como varilIa de memoria ("flash drive" 0 "pen drive"), que es considerablemente util para almacenar informacion. Este dispositivo es mas confiable que, y puede reemplazar, a los discos flexibles (floppy). A pesar del hecho de que la encripcion esta disponible para los flash drives, ellos plantean graves problemas de seguridad.

• Cualquier que use dicho dispositivo puede copiar gigabytes de datos sin dejar huella.

• Un flash drive que se pierde 0 es robado podrla exponer gigabites de informaci6n confidencial.

• Algunos de los dispositivos de USB evaden las verificaciones de seguridad y exponen completamente al sistema.

(

(

Identlflcaclon de Frecuencia de Radio (RFID)

La identificaci6n de frecuencia de radio usa ondas de radio para identificar objetos marcados dentro de un radio limitado. Una coletilla (tag) esta constituida par un microchip y una antena. La otra parte de la coletilla es Ia antena, que transmite la informaci6n al lector de RFID.

(

La energla que se neeesita para impulsar la eoletilla puede derivarse en dos modos. El primer modo, usado en las coletillas pasivas, saca la energia de la radiacion incidente que llega del lector. El segundo modo, usado en las coletillas activas, deriva su suministro electrico de baterias conectadas al mismo y es capaz de utilizar frecuencias mas altas y de a1canzar distancias mas largas de comunicaci6n. Una coletilla activa es reutilizable, cara y puede contener mas datos, y una coletilla pasiva es generalmente 10 opuesto.

Una eoletilla pasiva puede generalmente contener cerca de dos kilobytes de datos, 10 cual es suficiente para almacenar informacion basica sobre un punto. Como se sefialo aqui anterionnente, una coletilla activa puede contener mas informacion, Las coletillas pueden usarse para identificar un objeto basado en o bien identificacion directa de producto 0 en identificaci6n de la portadora. En el caso de la ultima, la ID de un articulo es alimentada manualmente en el sistema (por ejemplo, utilizando un c6digo de barra) y se usa junto con lectores de frecuencia de radio coloeados estrategicamente para rastrear y ubicar un objeto. RFID tiene muchas aplicaciones, incluyendo logistica, inventario, supervision de articulos, rastreo de objetos e incluso monitoreo de ganado.

364


Escribir Una Vez y Leer Muchas

EI adelanto de la tecnologia de cornputacion requiere medios de almacenamiento cada vez mas grandes con coletillas de precio accesible. En el pasado, un disco floppy y un disco duro de pequena capacidad serfa suficiente para hacer casi todo. Esto ya no es cierto. En anos recientes, se han introducido muchas tecnologias nuevas, incluyendo las que estan en la categoria WORM. Vale la pena mencionar que este tipo de WORM esta totalmente no relacionado con el c6digo malicioso al que tambien se hace referencia como un "worm".

I-lay varios tip os de medios WORM como sigue:


365

• Discos compactos (CDs) - Comunmente se encuentran en las tiendas de audio y de computadoras, tienen funciones de almacenamiento de multiples propositos, Un CD puede usarse para almacenar audio, conocido como CDs de musica, 0 archivos de datos. Los CDs pueden ahnacenar hasta 80 minutos de Audio 0 700MB de datos y son la forma mas comun de medios de WORM. Los CDs son cornunes, accesibles en precio y el numero usado puede ser variado para ajustarse a las necesidades del usuario.

• Disco compacto registrable I reescrlbible (CDRlCDRW) - Un tipo de CD que puede ser escrito con dispositivos del consumidor, tales como escritores CDRlCDRW. Medio de disco compacto que es reescribible (R W) tecnicamente no es un medio WORM.

• Disco de VIdeo digital (DVD) - La nueva generacion de tecnologia de almacenamiento optico de discos. Los DVDs son esencialmente una capacidad mayor [varios gigabytes (GB)], CD mas rapido que puede contener video tipo cine, audio mejor que CD, fotograflas y datos de computadora. Los DVDs estan dirigidos a abarcar entretenimiento en el hogar, computadoras e informacion de negocio con un solo formato digital. Ellos han reemplazado al disco laser, asi como tambien estan en camino a reemplazar video tape y cartuchos de juegos de video, y podrian eventualmente reemplazar el CD y el CD-CDROM de audio.

• Disco de alta densidad de video digital (DVD-HD, Blu-Ray) - La mas reciente generacion de tecnologfa de disco de video digital, este forrnato utiliza un laser azul violeta que, a causa de su longitud de onda mas corta, puede escribir mas injforrnacion en un solo disco. (15-25 GB).

4.3.2 PROGRAMA DE MANTENIMIENTO DEL HARDWARE

Para asegurar una operacion apropiada, el hardware debe ser limpiado y mantenido rutinariamente, Los requerimientos de mantenimiento varian basandose en la complejidad y el desempefio de las cargas de trabajo (ej., requerimientos de procesamiento, acceso a terminales y numero de aplicaciones que se estan corriendo). En cualquier caso, el mantenimiento debe ser program ado para que coincida estrechamente con las especificaciones suministradas por el vendedor. El programa de mantenimiento del hardware esta disefiado para documental' la ejecucion de este mantenimiento.

La informacion man ten ida tipicamente por este programa incluye:

• Informacion de compafiias de servicios que tengan buena reputacion para cada recurso de hardware

de SI que requiem mantenimiento de rutina

• EI program a de mantenimiento

• Costo de mantenimiento

• La historia de desempefio de mantenimiento, tanto planificada como excepcional

La adrninistracion de SI debe monitorear, identificar y documental' cualquier desviacion respecto a las especificaciones de mantenimiento hechas pOl' el vendedor, junto con los argumentos que la respalden.

Cuando se real ice una auditoria de esta area, el Auditor de SI debe

• Asegurarse que se haya desarrollado y aprobado poria gerencia un plan formal de mantenimiento.

• Identificar los costos de mantenimiento que excedan el presupuesto 0 que sean excesivos. Estos promedios pueden ser una indicacion de una falta de acatamiento de los procedimientos de mantenimiento 0 de los cambios inminentes al hardware. Se deben llevar a cabo procedimientos apropiados de consulta y de seguimiento.

4.3.3 PROCEDIMIENTOS DE MONITOREO DE HARDWARE

Los siguientes son procedimientos tipicos y reportes para monitorear el uso eficiente y efectivo del hardware:

(

• Informes de Disponibilidad - Estos informes indican los perlodos de tiempo durante los cuales la computadora esta en operacion y esta disponible para ser utilizada por los usuarios 0 para otros procesos. Una preocupacion importante de la que se ocupa este inforrne es la no disponibilidad excesiva de SI a la que se hace referencia en el tiempo improductivo. Esta no disponibilidad puede indicar facilidades de hardware inadecuadas, mantenimiento excesivo del sistema operativo, la necesidad de mantenimiento preventivo, planta fisica inadecuada (par ejemplo, fuente de energia 0 de aire acondicionado) 0 entrenamiento inadecuado de los operadores,

• Informes de Errol' de Hardware - Estos inforrnes identifican la CPU, 1a Entrada /SaJida (I/O abreviaturas de los terrninos en ingles), fallas de energia y de almacenamiento. Estos informes deben ser revisados poria gerencia de operaciones de SI para asegurar que el equipo esta funcionando

debidamente, detectar las fallas e iniciar la acci6n correctiva. EI auditor de SI debe estar consciente (

de que una atribucion segura de un error en el hardware 0 en el software no es necesariamente facil e

inmediata. Los informes deb en ser verificados en busca de problemas intermitentes 0 recurrentes,

que podrlan indicar dificultades en diagnosticar correctamente los errores.

• Informcs de UtiIizaci6n - Estos inforrnes automatizados documentan el uso de la maquina y de los perifericos, Los monitores de software se usan para captar las medidas de utilizacion para los procesadores, los canales y los medios de almacenamiento secundario tales como unidades de discos y unidades de cintas. Dependiendo del sistema operativo, Ia utilizacion de recursos para los ambientes de computacion de usuarios multiples que se encuentran en las computadoras mainframe Ide gran escala deberian promediar entre 85 por ciento y 95 pOI' ciento, con tolerancias para utilizacion que alcanzan ocasionalmente el 100 por ciento y que pueden a veces caer pOl' debajo del 70 pOI' ciento. Las tendencias suministradas por los informes de utilizacion pueden ser usadas porIa gerencia de SI para predecir d6nde se requieren mas 0 menos recursos de procesamiento.

• Reportes de administraci6n de activos /flota - Inventario de equipos conectados por red como pOl'

ejemplo PCs, servidores, routers y otras dispositivos, (

Si Ia utilizacion esta de manera rutinaria pOl' encima de un nivel del 95 pOl' ciento, la gerencia de SI puede I

considerar revisal' los patrones de usuarios y aplicaciones para liberal' espacio, aumentar la capacidad del

hardware de la computadora y/o investigar d6nde se pueden haeer ahorros eliminando proeesamiento que

no es esencial 0 trasladando el proeesamiento critico a los periodos de menos demanda (tales como

durante la noche). Si la utilizaci6n esta rutinariamente por debajo del 85 par ciento, hay necesidad de determinar si el hardware excede los requerimientos de proeesamiento. Una decision de pennitir Ia utilizaci6n mas baja podria depender de la necesidad de mantener recursos libres para fines de respaldo.

4.3.4 ADMINISTRACION DE LA CAPACIDAD

La administracion de la capacidad es la planificacion y el monitoreo de los recursos de compute para asegurar que los recursos disponibles estan siendo usados de manera eficiente y efectiva. Esto requiere que la expansi6n 0 redueci6n de los recursos tenga lugar en paralelo con el crecimiento 0 la reduccion del negocio en general. EI plan de capacidad debe ser desarrollado sobre la base de la entrada tanto del usuario como de la gerencia de SI para asegurar el logro de las metas del negocio en la forma mas eficiente y efectiva. Este plan debe ser revisado y actualizado pOl' 10 menos una vez a1 ano.

La planificacion de la capacidad debe incluir proyecciones substanciadas pOI' la experiencia pasada, considerando tanto el crecimiento del negocio existente como futuras expansiones. La informacion que sigue es clave para la realizacion exitosa de esta tarea:

• Utilizacion de Ia CPU

• Utilizaci6n del almacenamiento de la computadora

• Utilizacion de las eomunicaciones y del ancho de banda de redes de banda ancha

• Utilizacion de las terminales

• Utilizaci6n del canal de I/O

• Numero de usuarios

366 Manual de Preparacion al Examen crsx 2008


367

• Nuevas tecnologias

• Nuevas aplicaciones

• Contratos de nivel de servicios (SLAs)

El auditor de SI debe darse cuenta que la cantidad y la distribucion de estos requerimiento tiene una flexibilidad intrlnseca. Los recursos especializados de una clase dada, pueden tener un impacto sobre los requerimientos de otras clases. POl' ejemplo, el uso apropiado de terminales mas "inteligentes" puede consumir menos potencia de procesador y menos ancho de banda de comunicaciones que otras terminales. En Consecuencia, la informacion citada arriba esta estrictamente relacionada con el tipo y la calidad de los componentes de sistema usados 0 planeados.

Un e1emento en la administracion de capacidad es decidir si las ap1icaciones de 1a organizacion distribuidas en un numero de pequefios servidores 0 si se consolidaran en unos pocos servidores de gran porte. Las consolidacion de aplicaciones en pocos servidores grandes (tambien conocidas como apilamiento de aplicaciones), a menudo perrnite que 1a organizacion haga mejor uso total de los recursos, pero por otro lado aumenta el impacto de la no disponibilidad de servidor y afecta mas aplicaciones cuando el servidor tiene que ser sacado de servicio por mantenimiento.

Las organizaciones mas grandes tienen a menudo cientos, si no miles, de servidores que estan ordenados en grupos a los que se hace referencia como un patio de servidores.


4-5 E1 objetivo clave de los procedimientos de planeaci6n de capacidad es asegurar que.

A. los recursos disponib1es esten plenamente utilizados

B. se agregaran nuevos recursos para nuevas aplicaciones a su debido tiempo

C. los recursos disponibles se usan eficiente y eficazmente

D. 1a utilizaci6n de recursos no cae por debajo del 85 por ciento.

La arquitectura de 1a mayoria de las computadoras puede ser considerada como un numero de capas de circuitos y logicas, ordenadas en una estructura jerarquica, En la base inferior de la jerarquia esta e1 hardware de 1a computadora que incluye algunas instrucciones embebidas en el Hardware (Firmware). El siguiente nivel hacia arriba en 1a jerarquia comprende las funciones centrales 0 del nucleo. Las funciones del nucleo se relacionan con los procesos basicos asociados con el sistema operativo, el cual incluye:

• Manejo de interrupciones

• Creacion Idestrucci6n de procesos

• Cambio del estado del proceso

• Despacho

• Sincronizaci6n del proceso

• Comunicaci6n entre Procesos

• Soporte de los procesos de input loutput

• Soporte de asignaci6n y reasignacion Ides-asignaci6n de memoria

EI area del nucleo es un area altamente privilegiada donde el acceso esta restringido para muchos usuarios. POl' encima del nucleo hay diversos procesos del sistema operativo que soportan a los usuarios.

(

(

Estos procesos a los que se hace referencia como software de sistema son una colecci6n de program as de computadora usados en el disetio, procesamiento y control de todas las operaciones de computadora usadas para operar y mantener el sistema de computadora. Constituido pOl' utilidades y programas de sistema, asegura la integridad del sistema, controla el flujo de los programas y de los eventos en la computadora y administra las interfaces con la computadora, El software desarrollado para la computadora debe ser compatible con su sistema operativo. Los ejemplos inc1uyen:

• Software de control de acceso

• Software de comunicaciones de datos

• Software de administraci6n de la base de datos (DBMS)

• Sistemas de administraci6n de bibliotecas de programas

• Sistemas de administracion de cintas y de discos

• Software de administracion de la red

• Software de programacion del trabajo (Job scheduling)

• Programas utilitarios

(

(

4.4.1 SISTEMAS OPERATIVOS

Antes de discutir las diversas formas del software de sistema, es necesario referirse mas al software de sistema mas significativo relacionado con una computadora - su sistema operativo -. EI sistema operativo, el componente mas importante de la categoria de software de sistemas, contiene programas que intercomunican entre el usuario, el procesador y el software de aplicaciones. Provee los medios primarios para administrar compartir con varios usuarios y de controlar como se comparten y se usan los recursos de la computadora tales como los procesadores, la memoria real (por ejemplo, RAM), la memoria auxiliar (por ejemplo, ahnacenamiento de disco), y los dispositivos de entrada Isalida.

Un sistema operativo:

• Define las interfaces del usuario

• Permite que los usuarios compartan el hardware (

• Permite que los usuarios compartan los datos

• Programa los recursos entre los usuarios

• Informa a los usuarlos sobre cualquier error que ocurra con el procesador, con los dispositivos de IIO o con los programas

• Recuperaci6n de los errores del sistema

• Comunicaciones entre el sistema operativo y los programas de aplicacion, asignando memoria a los procesadores y poniendo memoria a disposici6n al terminarse un proceso

• Administracion de archivo de sistema

• Administraci6n de contabilidad de sistema

Como se mencion6, uno de los roles de los sistemas operativos es administrar los recursos y el procesamiento de la computadora. Los recursos incluyen:

• Dispositivos de entrada y salida - tec1ados, ratones, scanners, webcams, , unidades de discos, unidades de cintas, CD-ROMs, microfonos, displays, pantallas tenninales, impresoras y parlantes,

• Memoria - el almacenamiento interno conectado directamente a Ia CPU

• Almacenamiento Interno y/o Externo - pistas de disco, disquetes, pistas de cinta, CD-ROMs, CDRWs, DVD-Rs y DVDs

• Tiempo de CPU - EI tiempo disponible para el procesamiento de instrucciones en la CPU

• Redes - los canales de comunicaci6n que conectan los dispositivos de entrada Isalida con los procesadores de computadora.


En los sistemas grandes, el c6digo de programa de sistema operativo as puede ser almacenado en diversos tipos de memorias de lectura solamente (ROMs) y almacenamiento de control de alta velocidad, llamados firmware, en lugar de ser cardado y corrido en la memoria principal de la computadora. EI almacenamiento en firmware provee mayor velocidad de procesamiento para las funciones usadas con frecuencia y la capacidad de ser configurado y cambiado mas facilmente que los circuitos de cornputadora diseftados a la medida.

La mayoria de los sistemas operativos modernos han expandido las funcionalidades operativas basicas del sistema para incluir capacidades para asistir en la operaci6n eficiente del sistema y en software de aplicaciones POl' ejemplo, todos los sistemas operativos modernos pueden establecer una capacidad virtual de memoria de almacenamiento, que perrnite a los programas dar como referencia direcciones mas grande que la memoria real. EI hardware y el software de sistema operan el mapeo entre las direcciones virtual y real, siendo esta ultima un subconjunto de "segmentos" de toda la gama de direcciones virtuales. Una imagen completa de la memoria virtual es normalmente mantenida en un almacenamiento de alta velocidad, dirigible, permanente (disco duro); los segmentos que contienen las direcciones estan siendo referenciadas son cargados al almacenamiento operativo interno, con segmentos mas nuevos que sobrescriben los segmentos mas viejos no usados. Esta tecnica de mapear partes de una gran memoria mas lenta a una memoria operativa mas rapida y mas pequefia se usa entre diversos niveles de "memoria escondida" dentro de los sistemas modernos.

Los sistemas operativos varian en los recursos administrados, Ia comprensi6n de la administraci6n y de las tecnicas usadas para administrar los recursos. E1 tipo de computadora, el uso que se pretende darle, y los dispositivos y las redes que se espera que se encuentren conectados influyen en los requerimientos, las caracteristicas y la complejidad del sistema operativo. POl' ejernplo, un solo usuario que opera una microcomputadora que trabaja independiente, 0 stand-alone, necesita un sistema operativo capaz de catalogar archivos y de cargar programas para ser efectiva.

Una computadora mainframe que maneja grandes volumenes de transacciones para su consolidaci6n y distribucion requiere un sistema operativo capaz de adrninistrar extensos recursos y operaciones practicamente incontables que se dan concurrentemente en terrninos de entrada y salida de aplicaciones, con un grado muy elevado de fiabilidad. POl' ejemplo, el sistema operativo OS/390 Almacenamiento Virtual MUltiple (MVS sigla de los terminos en ingles), de IBM, ha sido creado especificamente para complemental' este ambiente.

Un servidor con multiples usuarios que interactuan con los datos y con los program as desde sus terminales, 0 con una combinacion de lotes y de procesamiento interactivo, requiere un sistema operativo que pueda asignar y segregar memoria. Debe poder compartir espacio de disco (archivos) y tiempo de CPU entre varios usuarios, as! como tambien debe poder administrar las conexi ones de red con las terminales. POI' ejemplo, el sistema operativo Unix esta disefiado para tratar especlficamente este tipo de ambientes.

Una microcomputadora en un entomo de red que funciona como servidor con funciones especiaJizadas (aplicaciones, DBMS, almacenamiento de directorio /archivos, etc.) tiene tambien la capacidad de interactuar con los datos y programas de multiples usuarios para proveer servicios a las estaciones de trabajo de clientes en toda la red.

Funciones 0 Parametres de Control de Software

Diferentes productos de software de SO proveen parametres y opciones para el ajuste del sistema a la medida y para la activaci6n de funciones tales como registro de actividad. Los parametres son irnportantes para determinar c6mo un sistema funciona permitiendo que una parte estandar de software sea adaptada a diferentes ambientes.


369

Los parametres de control de software tienen que vel' con:

• Administracion de datos

• Administracion de recursos

• Administracion de trabajos

• Determinacion de prioridades

(

Las selecciones de pararnetros deben ser las adecuadas para la carga de trabajo y la estructura de control del ambiente de la organizacion. EI medio mas efectivo de determinar como estan funcionando los controles dentro de un sistema operative es revisal' las funciones y/o los parametres de control del

software. (

La implementacion y/o el monitoreo indebido de los sistemas operativo puede tener como consecuencia errores no detectados y corrupcion de los datos que esten siendo procesados, aS1 como tambien puede conducir a un acceso no autorizado y al registro incorrecto de uso del sistema.

Problemas de Jntegridad de Software

La integridad del SO es un requerimiento muy importante y la capacidad del sistema operativo e implica utilizar funciones especificas de hardware y de software para:

• Protegerse de cualquier modificacion deliberada e inadvertida

• Asegurar que los programas privilegiados no puedan ser interferidos por los programas de usuario

• Proveer un aislamiento efectivo del proceso para asegurar que:

Los multiples procesos que se estan ejecutando concurrentemente no interferiran por accidente 0 disefio entre S1 y que esten protegidos de introduccion de escrituras del otro en sus memorias respectivas (por ejemplo, cambial' instrucciones, com partir recursos, etc.)

Ejecucion del menor privilegio donde los procesos no tengan mas privilegios que los necesarios (

para ejecutar funciones y modules que exijan mas rutinas de priviJegio solo en la medida que sea

necesario y durante el tiempo que sea necesario.

Una funcion soportada pOl' hardware, especfficamente disefiada con este fin, es Ia cap acid ad de operar en dos estados de control diferentes:

• EI estado supervisor -Se refiere al modo operativo de mas privilegio que existe en un sistema operativo de computadora y que esta tipicamente restringido al nucleo del sistema. Permite acceso irrestricto a todos los recursos, tales como memoria, dispositivos de hardware e instrucciones privilegiadas. Generalmente, los programas de software de sistema, como pOl' ejemplo las utilidades del sistema, operan en este estado y, por 10 tanto, deben ser estrictamente controladas, Un usuario al que se perrnite directamente a1canzar, 0 de otro modo que alcanza privilegios de estado supervisor podria evadir cualquier tipo de mecanismos de seguridad instalados y virtualmente poseer el sistema y sus recursos.

• EI estado de problema "usuario general" - Se refiere al modo de procesador mas restringido, donde el usuario solo puede tener acceso a su propio espacio de direccion virtual y debe basarse en ejecutar el codigo en un area privilegiada de OS para realizar otras funciones privilegiadas, como pOl' ejemplo abrir una linea de la comunicacion. Esto es, el sistema permite al c6digo de usuario general Hamar a las funciones que se ejecutan en un area privilegiada, y estas actuan en nombre del solicitante, Sin embargo, esta delegacion de funciones esta estrictamente controlada para que la solicitud del usuario no pueda ocasionar interferencia ni dafios a otros procesos, dispositivos, 0 al sistema mismo.

POl' 10 tanto, para mantener el sistema y la integridad de datos, es necesario definir correcta y consistentemente, ejecutar y monitorear el ambiente operativo, y los permisos otorgados. La gerencia de SI es responsable de la implementacion de tecnicas de autorizacion apropiadas para prevenir que usuarios

370



371

no privilegiados logre la capacidad de ejecutar instrucciones privilegiadas y de ese modo, tomen control de toda la maquina,

POl' ejemplo, Los sistemas mainframe zJOS mainframe de IBM estan adaptados en tiempo de generacion de sistema (SYSGEN). Cuando estos sistemas son iniciados (carga del programa inicial), se leen opciones y parametres importantes de la informacion mantenida en un directorio clave del sistema (a los que se hace referencia como el conjunto de datos compartimentados SISl.PARMLIB). EI directorio especifica los parametres crlticos de inicio que se us an para satisfacer los requisites de instalacion de un centro de datos (es decir, otro software de sistema activado para cronograma de trabajos, seguridad, registro de actividad, etc.). Estas opciones, si no estuvieran controladas, proveen una forma para que un usuario no privilegiado gane acceso al estado de supervisor del sistema operativo. Los profesionales de auditoria y control deben revisal' los directorios I archivos de configuraci6n del sistema en todos los sistemas operativos en busca de opciones de control usadas para proteger el estado de supervisor.

Del mismo modo, los sistemas operativos basados en PC cliente-servidor de Windows NT y UNIX Y LINUX tienen archivos y directorios especiales de configuracion de sistema. La existencia de defectos de programa 0 errores en la configuracion, control y actualizacion de los sistemas hasta los parches de seguridad mas recientes, los hace vulnerables de ser afectados pOl' perpetradores, Las opciones y parametres importantes de los sistemas Windows puestos en archivos especiales de configuraci6n de sistema, a los que se hace referencia como un "registro" en un ambiente Windows. POl' 10 tanto, "registro" es un aspecto importante de la auditoria de S1. Notal' cualesquiera cambios que ocurran en el registro es crucial para mantener la integridad, confidencialidad y disponibilidad de los sistemas. En los sistemas operativos basados en UNIX, son evidentes los mismos problemas. Los archivos y directorios de configuraci6n crltica del sistema relacionados con las operaciones del nucleo (kernel), el arranque del sistema, el archivo de red compartida y otros servicios remotos deben tambien ser asegurados debidamente y se debe verificar su correccion,

Registro de Actividad y Opciones de Informacion

La actividad de procesamiento de la computadora puede registrarse para analizar las funciones del sistema. Las siguientes son algunas de las areas que se pueden analizar basadas en el registro de actividad:

• Versiones de archivo de datos usadas para procesamiento de produccion

• Accesos de programa a datos sensitivos

• Programas incluidos en cronogramas y ejecutados

• Uso de utilerlas 0 de servicios de ayuda

• Opera!' el sistema operativo para asegurar que la integridad del sistema operativo no se ha visto afectado debido a cambios inapropiados en los parametres y bibliotecas del sistema

• Analisis de la Base de Datos para:

Evaluar la eficiencia de la estructura de la base de datos Determinar la seguridad de la base de datos

Validar la documentacion de la DBA

Deterrninar si se han seguido las normas de la organizacion

• Analisis del control de acceso para:

Evaluar los controles de acceso sobre los archivos I bases de datos y los programas

Evaluar las facilidades de seguridad que esten activas en los sistemas de comunicaci6n, en los sistemas de administracion de base de datos (DBMSs) y en las aplicaciones.

Muchos intrusos trataran de alterar los registros para esconder sus actividades. Tambien se necesita un registro de acceso seguro para preservar la autenticidad de evidencia si se requirieran los registros de acceso para uso legal Ijudicial. Para un registro de acceso seguro, es por 10 tanto importante que los

(

registros sean almacenados en medios removibles que luego sean colocados en un area flsicamente segura. A pesar de que los medios WORM se podrlan usar, su capacidad puede no ser suficiente.

4.4.2 SOFTWARE DE CONTROL DE ACCESO

El software de control de acceso esta disefiado para impedir el acceso no autorizado a los datos, el uso no autorizado de las funciones y programas del sistema, las actualizaciones Icambio no autorizados de datos, y detectar 0 impedir intentos no autorizados de lograr acceso a los recursos de la computadora, Para mas detalles sobre software de control de acceso, vel' capitulo 5, Proteccion de los Activos de Informacion.

4.4.3 SOFTWARE DE COMUNICACIONES DE DATOS

El software de comunicaciones de datos se usa para transmitir mensajes 0 datos de un punto a otro, que podria ser local 0 remoto, POl' ejemplo, una solicitud de base de datos de un usuario final es en realidad

transmitida desde la terminal de dicho usuario hasta una aplicacion en linea, luego a un sistema de (

administracion de base de datos (DBMS) en la forma de mensajes manejados pOl' software de comunicacion de datos" De igual modo, las respuestas a1 usuario son manejadas en la misma forma (es

decir, desde el DBMS hasta la aplicacion en linea de regreso a la terminal del usuario). Algunos de los

codigos comunes de transmision son EBCDIC, ASCII y unicote.

Un sistema tfpico sencillo de comunicaciones de datos tiene tres componentes. Ellos son:

1. EI transmisor (fuente)

2. La via de transmision (canal 0 linea)

3. EI receptor ( recipiente)

Se dice que existe una comunicacion de una via cuando la comunicacion fluye en una direccion solamente. En una comunicacion de dos vias, ambos extremos pueden operar simultaneamente como fuente y receptor, con los datos fluyendo pOI' el mismo canal en am bas direcciones. Al sistema de comunicaciones de datos solo le concierne la transmisi6n correcta entre dos puntos. No opera sobre el contenido de la informacion.

Un sistema de comunicacion de datos esta dividido en muchas capas funcionales. En cada capa 0 estrato, el software entra en comunicacion can el hardware para proveer un conjunto especffico de funciones. Todos los sistemas de comunicacion de datos tienen par 10 menos una capa flsica y una capa de enlace de datos. (Refierase a la seccion sobre normas y protocolos de la red mas adelante en este capitulo para discutir respecto a las capas de comunicacion de datos.

Las aplicaciones basadas en la comunicacion operan tanto en los ambientes de redes de area local como de redes de area ampIia para soportar:

• Sistemas de transferencia electronica de fondos (EFT)

• Sistemas de informacion de oficina

• Servicios electronicos al cliente lintercambio electronico de datos (EDI)

• Sistemas de mensaje electronico que incluyen tableros de mensajes y el correo electronico

EI sistema de comunicacion de datos hace interfaz con el sistema operativo, los pl'Ogramas de aplicacion, los sistemas de base de datos, los sistemas de direccionamiento, las telecomunicaciones, el sistema de control de la red, el sistema de programacion de los trabajos y las consolas de los operadores.

372


4.4.4 ADMINISTRACION DE DATOS

Las capacidades de adrninistracion de datos son habiIitadas pOl' los componentes de software de sistema que instituyen y soportan la definicion, el almacenamiento, la participacion y el procesamiento de los datos de usuario, y se ocupan de las actividades de administracion de archives.

Organizaci6n de Archivos

Los datos de usuario y de sistema estan por 10 general compartimentados en unidades administrables, los archives de datos. Algunas organizaciones de archivos de administracion de datos que pueden estar soportadas incluyen:

• Secuencial- Un registro es procesado despues de otro, desde el inicio hasta el final de un archivo.

• Secuenclal Indexado - Los registros son ordenados 16gicamente de acuerdo con una clave relacionada con datos y pueden ser accesados en base a dicha clave.

• Acceso aleatorlo directo - Los registros son dirigidos de manera individual en base a una clave no relacionada con los datos (por ejemplo, numero de registro),

La decision sobre cual metodo de acceso usar necesitaria estar basada en los requerimientos de los programas que tienen acceso a los datos. Los sistemas cornerciales y abiertos ponen a disposicion interfaces de software estructurado para fines de almacenamiento y administracion de datos. Los sistemas de administracion de base de datos, pueden ser enlazados a estos interfaces y estan disponibles para la programacion de aplicacion de usuario de alto nivel.

4.4.5 SISTEMA DE ADMINISTRACION DE BASE DE DATOS (DBMS)

EI software de sistema DBMS da asistencia para organizar, controlar y usar los datos que necesitan los programas de aplicaci6n. Un DBMS provee la facilidad de crear y de mantener una base de datos bien organizada. Las funciones primarias incluyen reducir la redundancia de datos, disminuir el tiempo de acceso y establecer medidas basicas de seguridad sobre los datos sensitivos

Los datos DBMS estan organizados en esquemas de niveles multiples, con elementos de datos basicos, como por ejemplo los campos, al nivel mas bajo (por ejemplo, un numero de seguridad social podria ser un campo). Los niveles arriba de cada campo tienen propiedades diferentes dependiendo de la arquitectura de la base de datos ..

EI DBMS puede inc1uir un diccionario de datos que identifica los campos, sus caracteristicas y su uso. Los diccionarios de datos activos requieren entradas para todos los elementos de los datos y asisten en el procesamiento de aplicaci6n de los elementos de datos, tales como proveer las caracteristicas de validacion 0 los formatos de impresion, Los diccionarios pasivos son solo un repositorio de informacion que se puede vel' 0 imprimir.


373

Un DBMS puede controlar el acceso del usuario en los niveles siguientes:

• U suario y base de datos

• Programa y base de datos

• Transaccion y base de datos

• Programa y campo de datos

• U suario y transaccion

• U suario y campo de los datos

Las siguientes son algunas de las ventajas de DBMS:

• Independencia de los datos para los sistemas de aplicaci6n

• Facilidad de soporte y flexibilidad para cumplir con los requerimientos de datos cambiantes

• Eficiencia de procesamiento de las transacciones

• Reduccion de la redundancia de datos

• Capacidad para maximizar la consistencia de los datos

• Capacidad para minimizer el costo de mantenimiento compartiendo los datos

• Oportunidad para ejecutar los datos /estandares de programacion

• Oportunidad para ejecutar la seguridad de los datos

• Disponibilidad de verificaciones de la integridad de los datos alrnacenados

• Facilita a los usuarios de las tenninales el acceso ad-hoc a los datos, mediante lenguajes de consulta Igeneradores de aplicacion diseiiados especialmente

Arquitectura de DBMS

Los elementos de los datos que se requieren para definir una base de datos se denominan meta-datos. Esto incluye datos sobre elementos de datos usados para definir los campos logicos y fisicos, archivos, relaciones de datos, investigaciones, etc. Hay tres tipos de metadatos: los metadatos de esquema conceptual, los metadatos de esquema externo y los metadatos de esquema interno. Si cualquiera de estos elementos faltara de la definicion de los datos mantenida dentro del DBMS, el DBMS no podra adecuarse para satisfacer las necesidades del usuario.

Arquitectura detallada de los Metadatos de DBMS

Dentro de cada nivel, hay un componente de lenguaje de definicion de datos (DDL, sigla de los terminos en ingles) para crear 1a representacion esquematica necesaria para interpretar y para responder a la

solicitud del usuario. AI nivel externo, un DBMS alojara por 10 general multiples DDLs para varios (

lenguajes de programaci6n de aplicaciones compatibles con los DBMS. El nivel conceptual proveera los

mapeos apropiados entre el esquema externo y el interne, Los esquemas externos son independientes de

la ubicacion del esquema interno.

Diccionario de Datos / Sistema de Dlrectorio (DD/DS)

EI diccionario de datos y los sistemas de directorio (OOiDS) han sido desarrollados para definir y para almacenar en formas de fuente y de objeto todas las definiciones de datos para los esquemas externos, los esquemas conceptuales, el esquema interno y todos los mapeos asociados. EI diccionario de datos contiene un Indice y una descripci6n de todos los rubros almacenados en Ia base de datos. El directorio describe la ubicacion de los datos y el metodo de acceso.

374


DD/DS provee las siguientes capacidades funcionales:

• Procesador del lenguaje de definicion de los datos que permite al administrador de 1a base de datos (DBA) crear 0 modificar una definici6n de los datos tal como para los mapeos entre los esquemas externos y los conceptuales.

• Valida la definicion que se provee para asegural' la integridad de los metadatos.

• Impide el acceso no autorizado 0 la manipulacion de los metadatos

• Facilidades de interrogacion y de reporte que permiten al DBA hacer averiguaciones sabre la definici6n de los datos.

DDIDS puede ser usado por diversos DBMSs; par 10 tanto, el uso de un DD/DS podria reducir el impacto de cambial' de un DBMS a otro DBMS. Algunos de los beneficios de usar DD/DS incluyen:

• Aumentar la documentacion

Figura 4.2

• Proveer criterios comunes de validacion

• Facilitar la programaci6n reduciendo las necesidades de definici6n de datos

• Estandarizar los metodos de programaci6n

Estructura de Base de Datos

Hay tres tipos principales de estructura de base de datos: jerarquica, de red y relacional. De estas, los dos primeros se usaron principalmente antes de 1990 y han side en su mayoria reemplazados por bases de datos relacionales. Una descripcion de estos modelos esta a continuaci6n:

• Modelo Jerarquico de Base de Datos - En este modelo hay una jerarquia de segmentos de datos padre e hijo. Para crear enlaces entre elios, este modelo, usa relaciones padre / hijo. Estos son: I:N (uno a muchos) mapeos entre tipos de registro, representados pOl' arboles logicos, como se muestra en la figura 4.1. Un segmento hijo esta limitado a tener s610 un segmento padre, de modo que la duplicacion de datos es necesaria para expresar relaciones con multiples padres. Los segmentos subordinados son recuperados a traves del segmento padre. No se permiten los puntos de reversa. Cuando las relaeiones de datos son jerarquicas, la base de datos es facil de implernentar, modificar e investigar.

• Modelo de Base de Datos de Red - En el modelo de red, la construccion de modelos basicos de datos se denomina un conjunto. Un conjunto esta formado por el tipo de registro de un duefio, un tipo de registro de miembro y un nombre. Un tipo de registro de miembropuede tener ese 1'01 en mas de un conjunto, de modo que la relacion de multiples duefios esta perrnitida. Un tipo de registro de duefio puede tambien ser un miembro 0 duefio en otro conjunto. Usualmente un conjunto define una relaei6n 1 :N, a pesar de que se permite una relacion uno a uno (I: 1). Una desventaja del modele de red es que dichas estrueturas pueden ser extremadamente complejas y dificiles de comprender, modificar y reconstruir en caso de falla. Este modele se usa rara vez en los actuales entornos, Verla figura 4.3. Los modelos jerarquicos y de red no soportan encuestas de alto nivel, Los programas de usuario tienen que navegar las estructuras de datos.

Orzanizacion de una Base de Datos Jerarquica

~artamento d~ ]
C6mputo
rl
[-
Gerente Gerente
(Desarrollo) (Operaciones
-Z 7~
I Analista de Negocio I ~.ador l Operador I
~ompL;'20~
~ramador -I I =«

375

Figura 4.3

Organizacien de una Base de Datos de Red

(

{

(

(

(

(

• Modelo de Relaclrin de Base de Datos - El modelo de relacion, como se muestra en el Figura 4.3,

fue desarrollado pOl' E.F. Codd. El modelo de relacion se bas a en la teoria de conjuntos y en los (

calculos de relacion, Una base de datos de relacion perrnite la definici6n de estructuras de datos, operaciones de almacenamiento /recuperacion y limitaciones de integridad. En una tal base de datos,

los datos y las relaciones entre estos datos estan organizados en tablas. Una tabla es una colecci6n de

filas, tarnbien conocidas como tuplas, y cada tupla en una tabla contiene las mismas columnas. Las

columnas, llamadas dominios 0 atributos, corresponden a campos. Las tuplas son iguales a los

registros en una estructura convencional de filas.

376



377

Figura 4.4

Organizacien de una base de datos relacional

Las tablas de relaci6n tienen las siguientes propiedades:

• Los val ores son at6micos

• Cada fila es (mica

• Los valores de columna son del mismo tipo

• La secuencia de columnas es insignificante

• La secuencia de filas es insignificante

• Cada columna tiene un nombre unico

Ciertos campos pueden ser designados como claves, de modo que las busquedas de valores especificos de ese campo seran mas rapidas debido al usa de indexaci6n. Si los campos en dos tablas diferentes toman sus valores del mismo conjunto, una operaci6n conjunta se puede realizar para seleccionar registros relacionados en las dos tablas haciendo coincidir los valores en esos campos. Esto se puede extender a unir tablas multiples en campos multiples. Estas relaciones se especifican solamente en el momento de recuperaci6n, de modo que las bases de datos relacionales son dinamicas, EI modelo relacional es independiente de la implementaci6n fisica de la estructura de datos, y tiene muchas ventajas sobre los modelos de base de datos jerarquica y de red. Con las bases de datos relacionales es mas facil:

• Para los usuarios entender e implementar un sistema flsico de base de datos

• Convertir desde otras estructuras de base de datos

• Impiementar la proyecci6n y las operaciones conjuntas (grupos de referencia de elementos de datos relacionados no aimacenados juntos)

• Crear nuevas reJaciones para aplicaciones

• Implementar control de acceso sobre datos sensitivos

• Modificar 1a base de datos

Una caracteristica clave de bases de datos relacionales es el uso de reglas llamadas de normalizaci6n para minimizar la cantidad de informacion que se necesita en las tab las para satisfacer las preguntas estructuradas y no estructuradas del usuario a la base de datos. Las reglas de norrnalizacion general mente seguidas incluyen:

• Una instancia dada de un objeto de datos tiene un valor y solo uno para cada atributo.

• Los atributos representan datos elementales; ellos no deb en contener estructura interna.

• Cada tupla esta constituida por una clave primaria que identifica a1guna entidad, junto con un conjunto de cera 0 mas valores de atributos independientes entre sf que describe la entidad en alguna forma (totalmente dependientes de 1a clave primaria).

La mayoria de los DBMSs tienen funciones internas de seguridad que se interconectan con el mecanismo /paquete operativo de control de acceso al sistema. A menudo se usa una combinacion de las funciones de seguridad de DBMS y de las funciones del paquete de seguridad para cubrir todas las funciones de seguridad que se requieren.

Controles de Base de Datos

Es critico que se mantengan la integridad y la disponibilidad de la base de datos. Esto se asegura a traves de los siguientes controles:

• Establecer y ejecutar normas de definicion

• Establecer e implementar copias de seguridad de los datos y procedimientos de recuperacion para asegurar la disponibilidad de 1a base de datos

• Establecer los niveles de controles de acceso necesarios para los rubros de datos, tablas y archivos para prevenir el acceso inadvertido 0 no autorizado

• Establecer controles para asegurar que solo el personal autorizado pueda actualizar la base de datos

• Establecer controles para manejar los problemas de acceso concurrente, tales como, multiples usuarios que deseen actualizar elementos de los mismos datos al mismo tiempo (i.e., compromiso de transaccion, acerrojado de registros /archivos.

• Establecer controles para asegurar la correccion, integridad y consistencia de los elementos de los datos y de las relaciones en la base de datos. Es importante que estos controles, si fuera posible, esten contenidos en las definiciones de la tabla /columnas. De esta forma, no hay posibilidad de que estas reglas sean violadas debido a defectos de programaci6n, 0 a traves del uso de utilerias para manipular los datos.

• Usar puntos de verificaci6n de la base de datos en las uniones en el flujo de trabajo que minimice la perdida de datos y los esfuerzos de recuperacion para reiniciar el procesamiento despues de una falla de sistema.

• Realizar una reorganizacion de la base de datos para reducir el espacio de disco no usado y verificar las relaciones definidas de los datos.

• Seguir los procedimientos de reestructuracion de la base de datos cuando se hagan los cambios logicos, flsicos y de procedimiento.

• Usar herramientas de reporte del desempefio de la base de datos para monitorear y mantener la eficiencia de la base de datos (espacio disponible para almacenamiento, tamafio de la memoria intennedia (buffer), uso de la CPU, configuraci6n del almacenamiento de disco y condiciones de estancamiento) y

• minimizar 1a capacidad de usar medios que no sean del sistema, pOl' ejemplo, los que estan fuera del control de 1a seguridad, para tener acceso a la base de datos.

378 Manual de Preparaclon al Examen elSA 2008

{


4~6 El beneficio PRIMORDIAL de la normalizacion de base de datos es:

A. la redundancia de minimizacion de la informacion en tablas requerida para satisfacer las

necesidades de los usuarios

B. la capacidad de satisfacer mas solicitudes

C. la maximizacion de la integridad de la base de datos proveyendo informacion en mas de una tabla

D. la minimizaci6n del tiempo de respuesta a traves de un procesamiento mas rapido de la informacion.

4.4.6 SISTEMAS DE ADMINISTRACION DE CINTA Y DE DISCO

Un sistema automatizado de administracion de cinta (tape management system ~ TMS) 0 sistema de administraci6n de disco (disk management system ~ OMS), es un software especializado de sistemas que rastrea y enumera los recursos de cinta Idisco que se necesitan para procesar el centro de datos. Los sistemas incluyen el nombre del conjunto de datos (dataset) y del carrete especffico de cinta 0 ubicaci6n de la unidad de disco, fecha de creaci6n, fecha en que entre en vigencia, perfodo de retencion, fecha de expiracion e informacion del contenido. TMS IOMS minimizan el tiempo del operador de la computadora y los errores causados ubicando los archivos correctos 0 montando la version equivocada del conjunto de datos (dataset) y puede mejorar la eficiencia de espacio consolidando los espacios libres fragmentados. Ademas, la mayoria de los sistemas de TMS proveen control de inventario sobre las cintas, identificacion de la rotacion en otra parte de los medios de copias de seguridad y las funciones de seguridad para controlar el acceso a las cintas. Un numero de sistemas TMS trabaja con unidades roboticas para recuperar automaticamente y cargar volumenes de cintas cuando el sistema de cornputo se los solicita. Los entornos c1iente serv idor estan utilizando con mas frecuencia las redes de area de almacenamiento (SANs) y la redundancia apropiada de almacenamiento conectado a red (NAS). Esto provee mayor eficiencia en costos; sin embargo, ello puede conducir al riesgo de crear un solo punto de fall a si no se integra en el disefio la redundancia apropiada.

4.4.7 PROGRAMAS DE UTILERlA

Los programas de utileria son software de sistema usados para realizar mantenimiento y rutinas que son frecuentemente requeridas durante las operaciones normales de procesamiento. Los programas de utilerla se pueden clasificar pOl' su uso en cinco areas funcionales:

1. Entender los sistemas de aplicacion (diagramas de flujo, analizador de perfil de transacciones, analizador de vlas de ejecucion y diccionario de datos).

2. Evaluar 0 probar la calidad de datos (utilerias de manipulaci6n de datos, dump/lister, utileria de comparaci6n de datos y facilidad de encuesta)

3. Probar la capacidad de un programa para funcionar correctamente y para mantener la integridad de los datos (generador de datos de prueba, facilidad de depuradores en linea, analizador de salida y simulador de red).

4. Asistir en el desarrollo mas rapido del programa (utilerfa de despliegue visual, copia de biblioteca, editor de texto, facilidad de codificacion en linea, generadores de informes y de codigos).

5. Mejorar la eficiencia operativa (CPU y monitores de utilizaci6n de memoria y analizadores de lineas de cornunicacion),

Los sistemas de computadora mas pequefios (i.e., PC y sistemas operativos de servidor) estan a menudo equipados can utilerfas especificas para:


379

(

(

• Operar la verificacion, limpieza y defragmentaci6n del disco duro y de las unidades de memoria removible

• Definir el sistema de archivo estandar INT del sistema de archivos (NTFS) 0 tabla de asignaci6n de archives (FAT) a ser usada para cada unidad

• Inicializar volumenes de datos removibles (disco floppy) y vohimenes de memoria de disco

/removible

• Salvar /restaurar imagenes de sistema

• Reconstruir y restaurar (logicamente) los archivos cancelados

• Probar las unidades y los perifericos del sistema

Muchos de estos programas de utilerla pueden ejecutarse fuera del sistema de seguridad 0 pueden funcionar sin producir una pista de actividad de auditoria. A consecuencia de ello, se debe controlar y restringir bien el acceso a estas utilerias sensitivas y poderosas y el uso de las mismas.

4.4.8 ASPECTOS DEL LICENCIAMIENTO DE SOFTWARE

Hoy cada vez mas aplicaciones de mision critica se desarrollan en las PCs y en las plataformas de cliente Iservidor. Estas maquinas pueden ser independientes (stand-alone) 0 estar conectadas con otros dispositivos en un LAN a a un procesador mainframe a traves de una red 0 de una linea telefonica. Dependiendo del pais 0 de la regi6n, las leyes de derechos de autor de software deben ser cumplidas para protegerse contra la posibilidad de que una compafiia pague multas par violaciones del derecho de autor can el agregado de una situacion embarazosa frente al publico por ser identificada como una compafiia que usa ilegalmente software copiado. Para prevenir 0 para detectar las violaciones de licencias de software, el Auditor de SI debe:

• Revisal' las politicas y procedimientos documentados que protegen contra el uso no autorizado 0 la copia de software. En algunos casos, las compafiias estan exigiendo a los usuarios que firmen un contrato de no copiar software sin la debida aprobacion y sin un contrato de licencia de software.

• Obtener copias de todos los contratos de software para determinar la naturaleza de los contratos de (

licencia, ya sean licencias ilimitadas de empresa, licencia pOl' sede 0 copias individuales.

• Revisal' el listado de todo el software estandar de aplicacion y de software de sistemas utilizados y licenciado, Esta lista debe ser comparada con el software ubicado en diferentes servidores en la red. Una muestra aleatoria 0 una lista que incluye todo 10 que esta cargado en la PC de un usuario especffico tambien debe ser revisado.

• Revisal' el software actualmente instalado en las maquinas del usuario usando herramientas tales como Microsoft SMS/System Center 0 Peregrine.

380

Manual de Preparachin al Examen elSA 2008

Todo esto identificara si una organizaci6n ha establecido un entorno estandar de escritorio y ha implementado poifticas para el software patentado en la red yen las PCs.

Las opciones disponibles para prevenir las violaciones de licencias de software incluyen:

• Centralizar el control y la distribuci6n automatizada y la instalaci6n de software (incluyen inhabilitar la capacidad de los usuarios para instalar software, donde sea posible).

• Requerir que todas las PCs sean estaciones sin disco y tengan aplicaciones de acceso ala estacion de trabajo sin pistas de disco 0 puertos de trabajo de Bus Serial Universal (USB) y aplicaciones de acceso provenientes de un LAN asegurado.

• Instalar software medidor' (software de medici6n: aplicaci6n que inspecciona y registra cuantas sesiones estan activadas al mismo tiempo para el software bajo control, y por quien) en el LAN y requerir que todas las PCs tengan acceso a las aplicaciones a traves del software medidor,

• Escanear regularmente las pes de los usuarios ya sea desde el LAN 0 directamente para asegurar que no se han cargados en la PC copias no autorizadas de software.


381

Otro control util para prevenir la duplicaci6n ilegal de software en las multiples PCs en una red es hacer contratos concurrentes de patente con los vendedores, Con licencias concurrentes de software, la licencia esta basada en el mimero de usuarios que tienen acceso a la red en vez de relacionar un contrato de licencia a un usuario a maquina especificos.

De manera alternativa, para limitar los costos de licencia, una compafHa puede tener un acuerdo de licencia concurrente. Con Ia obtenci6n de licencias concurrentes hay un numero total de usuarios que pueden tener acceso al software en la red al mismo tiempo. Esto requiere general mente el uso de software de medici6n. Si todas las sesiones concurrentes de acceso estan en uso el siguiente usuario recibira el mensaje "esperando obtencion de patente" cuando trate de tener acceso al software. Tan pronto como una este disponible, el usuario puede usar el software. Los contratos de obtenci6n de licencias concurrentes tambien ayudan a que los administradores de la red identifiquen la necesidad de comprar mas licencias de software basados en el numero de usuarios. POI' ejemplo, si un mensaje de lien espera de la licencia" apareciera, ello se registrara de modo que el administrador podra monitorear la necesidad de aumentar el numero de licencias concurrentes,

Las redes de SI fueron desarrolladas a partir de la necesidad de compartir recursos de informacion que residen en diferentes dispositivos de computadora, que permitira a las organizaciones mejorar los procesos del negocio y realizar ganancias sustanciales de productividad,

Generalmente, los enlaces 0 llneas de telecomunicaci6n para las redes pueden ser 0 bien analogas 0 digitales; se usan para vincular juntos diferentes dispositivos dependiendo del uso de aplicaci6n de LAN, MAN 0 WAN. Ellos se pueden clasificar segun el tipo de proveedor, como:

• Redes privadas de un solo uso

• Sistemas que interconectan redes privadas

• Redes privadas compartidas

• Redes publicas a nivel nacional

• Redes publicas internacionales

Las redes privadas de un solo uso estan disefiadas para abastecer una aplicaci6n con varios usuarios que no se limitan a una Terminal fija (e.g., departamento editorial en una pequefia unidad de publicaciones). La informacion es actualizada pOl' cualquier usuario autorizado desde cualquiera de las terminales disponibles,

Los sistemas que intercornunican redes privadas tienen mas de una aplicaci6n con cada usuario trabajando en estas aplicaciones desde una a mas terminates (e.g., conectandose con multiples servidores usando emulaci6n de Terminal desde una maquina de cliente).

Las redes privadas cornpartidas abastecen a multiples aplicaciones donde los usuarios pertenecen a sus propias aplicaciones,

Las redes publicas limitadas abastecen a una aplicacion especifica 0 a un circuito especifico (via) cuando se conecta a traves de un proveedor de servicio de Internet (ISP).

Las redes publicas a nivel nacional estan establecidas pOl' diversas companias telefonicas que actuan como ISPs dando conectividad a todo el pais para organizaciones e individuos.

Las redes publicas internacionales son similares a las redes publicas nacionales; sin embargo, abastecen a los usuarios en varios paises usando conectividad transfrontera.

Los metodos para transmitir sefiales a traves de enlaces 0 lineas de telecomunicacion analogas son 0 bien banda base a banda ancha, como se describe a continuacion:

• Banda base - Las senales son inyectadas directamente en el enlace de comunicaci6n, para que un solo canal este disponible en ese enlace para transmitir senales, Como resultado, toda la capacidad del canal de comunicaci6n se usa para transmitir una serial de datos, y la comunicaci6n puede moverse solo en una direccion por vez (comunicacion half-duplex). Las estaciones estan conectadas al media de transmision mediante dispositivos que operan alternativamente como transmisor y receptor, Ilamados transceptores,

• Red de banda ancha - Frecuencias diferentes de portadoras, definidas dentro de Ia banda disponible, pueden llevar sefiales analogas, tales como las generadas por procesadores de imagenes 0 pOl' un modern de datos, como si estuvieran colocadas en canales de banda base separados. La interferencia se evita separando las frecuencias de portadoras adyacentes con una brecha que depende de los requerimientos de banda de las sefiales transportadas. La posibilidad de sectorizar multiples canales independientes sobre medios de una sola portadora amplia considerablemente la efectividad de las conexiones remotas. La condicion cuando los datos simultaneos 0 la transmision /recepcion de controles tiene lugar entre dos estaciones se llama una conexi6n full-duplex,

4.5.1 ARQUITECTURAS DE RED DE EMPRESAS

Las redes de la actualidad SOll parte de una solucion de arquitectura grande, administrada centralmente de redes locales de alta velocidad y area amplia que sirven a los equipos basados en cliente servidor de las organizaciones. Dichas arquitecturas pueden incluir agl'upar tipos comunes de funciones de TI juntos en segmentos de red cada uno identificable unicamente y especializado por tareas. POl' ejemplo, los segmentos de red 0 bloques pueden incluir servidores (publicos a privados) de aplicacion front end basados en la web, servidores de aplicacion y de base de datos, y servidores de mainframe que usan software de emulacion de terminal para permitir a los usuarios finales tener acceso a estos sistemas de aplicacion legados en el back-end .. A su vez, los usuarios finales pueden ser agrupados juntos dentro de sus propias LANs de red, pero can capacidades de acceso rapido para incorporar recursos de informacion. Algunas organizaciones pueden implementar arquitecturas orientadas a servicio (SOA) en las cuales los componentes web de software, usando Protocolo Simple de Acceso a Objeto (SOAP) y lenguaje Markup (XML), interoperan en una forma conectada y distribuida relajada en toda la red. Dentro de este entorno,

la informaci6n es altamente accesible y esta disponibJe en cualquier momento y en cualquier lugar, y I"

adrninistrada centralmente para resolucion de problemas y administracion de desempefio altamente

efectivo y eficiente para alcanzar el uso optimo de los recursos de red.

y Para entender las soluciones de arquitectura de red ofrecidas en la actualidad, desde el punto de vista de un negocio, disefio de desempefio y seguridad, un auditor de SI debe entender tecnologias de informacion asociadas con el disefio y desarrollo de una infraestructura de telecomunicaciones (por ejemplo, especificaciones LAN y WAN). El termino telecomunicaciones proviene del griego tele (distancia) y comunicare (compartir), En terminos modernos, las telecomunicaciones son la transmisi6n electronica de datos, sonido imagenes entre sistemas conectados (dos 0 mas computadoras actuando como transmisores y receptores respectivamente), Este proceso es habilitado por un subsistema de comunicaciones, tal como una tarjeta de interfaz de red conectada con la computadora de cada usuario final junto can un medio cornun de transmision, y dispositivos de red tales como puentes, interruptores y routers, para conectar computadoras que residen en redes diferentes.

382


Manual de Preparaclon at Examen elSA 2008

383

4.5.2 TIPOS DE REDES

Los tipos de redes comunes a todas las organizaciones se definen como sigue:

• Redes de area personal (PANs) - Generalmente esta es una red de microcomputadoras usada para las comunicciones entre dispositivos de computadora (incluyendo telefonos, asistentes digitales personales, impresoras, camaras, escaners, y otros) que estan siendo utilizados por una persona individual. La extension de una PAN esta tipicamente dentro de un radio de 32.8 pies (10 metros). Las PANs pueden ser usadas para la cornunicacion entre los dispositivos personales mismos 0 para conectarse con una red de nivel superior y la Internet.

Las PANs pueden ser alambradas con buses de computadora, como par ejemplo USB, Firewire y ot1'OS estandares, Si las PANs son implementadas sin alambres, se denominan PANs inalarnbricas (WPANs), que tarnbien puede hacerse posible con tecnologias de red tales como IrDA y Bluetooth. Una pan Bluetooth tambien se denomina una piconet y esta compuesta de hasta ocho dispositivos activos en una relacion amo-esclavo, EI primer dispositivo Bluetooth en la piconet es el amo, y todos los demas dispositivos son esclavos que se comunican con el amo. Una piconet tipicamente tiene un radio de 32.8 pies (10 metros), a pesar de que en circunstancias ideales se pueden alcanzar radios de hasta 328 pies (100 metros).

• Redes de area local (LANs) - Las LANs son redes conmutada no publica que yace dentro de un area limitada que provee servicios a un grupo organizativo en particular y que usa un tipo especifico de topologia de red. Los servicios prestados por una red inc1uyen transferencias de archivos, correo electronico, usa de recursos de impresora, emulacion de terminal y comunicaciones,

• Redes de area amplia (W ANs) - Las W ANs son una red de una organizacion de subredes geograficamente dispersas que provee conectividad y servicios de red para las LANS y otros tip os de segmentos de red interconectados

• Redes de area de almacenamiento (SANs) - Una variaci6n de una LAN que esta dedicada para el propos ito expreso de conectar dispositivos de ahnacenamiento a servidores y a otros dispositivos de compute. Las SANs centralizan el proceso para el almacenamiento y la administracion de datos.

4.5.3 SERVICIOS DE RED

Los servicios de red son caracterlsticas funcionales que se hicieron posibles mediante aplicaciones apropiadas del sistema operativo. Ellos permiten la utilizacion ordenada de los recursos en la red. En lugar de tener un solo sistema operativo que controla sus propios recursos y que los comparte con los programas que 10 solicitan, la red se basa en estandares y en un protocolo especffico 0 conjunto de reglas, establecidas y operadas a traves del software basico del sistema de los diversos dispositivos de red que son capaces de soportar los servicios de red individual. Los usuarios y las aplicaciones de negocio pueden solicitar servicios de red a traves de llamadas linterfaces especificos.

Los siguientes son servicios de aplicaci6n de red que se usan comunmente en los entornos en red de las organizaciones:

• Archivo compartido - Permite a los usuarios compartir infonnaci6n y recursos de informacion entre sf.

• Servicios de cnrreo electrrinico - Provee la capacidad, por medio de una terminal 0 PC conectada a una red de comunicaci6n, de enviar un mensaje no estructurado a otra persona 0 grupo de personas.

• Servicios de impresora - Provee la capacidad, por 10 general a traves de un servicio de impresi6n en una red, para administrar y ejecutar servicios de solicitud de impresi6n desde otros dispositivos en la red.

(

• Servicios de acceso a distancia - Provee capacidades de acceso remoto donde aparece un dispositive de compute, como si estuviera conectado directamente al anfitrion remoto (por ejemplo, telnet, rhost, uucp, etc.)

• Servicios de emulacien de terminal (TES) - Provee capacidades de acceso remoto donde pareciera que el acceso remoto es una terminal directamente conectada a una anfitriona remota. Es el software de emulacion de terminal (TES) instalado en la PC que provee esta capacidad mientras trabaja con un anfitrion heterogeneo,

• Servicios de dlrectorio - Almacena informacion sobre los diversos recursos en una red y ayuda a

que los dispositivos de red ubiquen servicios en forma muy similar a un directorio telefonico (

convencional, incluyendo prestar los servicios que ponen esta informacion a disposicion y la hacen de

utilidad. (

• Admlnlstracion de red - Provee un conjunto de funciones para controlar y mantener la red. Provee informacion detallada sobre la situacion de todos los componentes en la red tales como estatus de lfnea, terminal activa, largo de las filas de espera de mensajes, promedio de errores en una linea y el trafico en una linea. Permite a las computadoras compartir informacion y recursos dentro de una red y provee fiabilidad de red. Provee tambien al operador una sefial anticipada de advertencia de problemas de red antes que estas afecten la fiabilidad de red, permitiendo que el operador emprenda acciones oportunas, preventivas 0 de remediacion.

4.5.4 ESTANDARES Y PROTOCOLOS DE RED

Los estandares de arquitectura de red facilitan el proceso de crear un entorno integrado que las aplicaciones pueden trabajar dentro proveyendo un modelo de referencia que puede ser usado por las organizaciones para estructurar procesos intercomputadora y de comunicacion de red.

Ademas de la conveniencia de usar arquitecturas compatibles, una ventaja importante de los estandares de red es que ell os ayudan a las organizaciones a lograr el desaflo de disefiar e implementar una arquitectura de red de LANs y W ANs integrada, altamente eficiente, fiable, escalable y segura con conectividad externa (Internet publica). Este es un gran desafio debido a los requerimientos de:

• Interoperabilidad - Conecta diversos sistemas para soportar la comunicacion entre tecnologias dispares donde diferentes sitios pueden usar diferentes tipos de medios que pueden operar a velocidades diferentes.

• Dispouihilidad - donde una organizacion requiere que sus usuarios finales tengan servicio continuo, fiable y seguro 2417.

• Flexibilidad - Para escalabilidad de red necesaria para alojar expansion de red y requerimientos para nuevas aplicaciones y servicios

• Mantenlbilldad - Soporte centralizado y resolucion de problemas por sistemas heterogeneos pero altamente integrados.

Pam lograr estas tareas, las organizaciones necesitan tener la capacidad para definir especificaciones para los tip os de redes a ser establecidas (por ejemplo, LANs/WANs) cuando crean un entorno integrado donde sus aplicaciones pueden trabajar. Ellas pueden tambien proveer soporte centralizado y resolucion de problemas (troubleshooting) a traves de sistemas heterogeneos, pero altamente integrados.

EI proposito de los estandares de arquitectura de red es facilitar este proceso proveyendo un modele de referencia que las organizaciones pueden usar para disefiar procesos intercomputadoras y de cornunicacion de red respectivamente.

La norma de referencia para este proceso, el modelo de referencia de Interconexion de Sistema Abierto (OSI) desarrollado poria Organizacion Internacional para la Estandarizacion (ISO) fue desarrollado en 1984. EI OSI es una prueba de un modele de concepto compuesto por siete capas, cada una de las cuales

384

Manual de Preparaclon al Examen crsx 2008


385

especifica tare as 0 funciones particulares especializadas. Cada capa es autonoma y relativarnente independiente de las otras capas en terminos de su funcion particular. Esto permite que las soluciones ofrecidas por una capa sean actualizadas sin afectar adversamente las otras capas.

Los objetivos del modele ISO/OSI fueron proveer un conjunto de estandares de sistema abierto para los fabricantes de equipos y proveer un punto de referencia para comparar diferentes sistemas de comunicacion tomando en cuenta otros protocolos que pueden operar a traves del protocolo de TCP/UDP de Internet usado en todo el mundo. En efecto, el modele ISO de referencia fue formulado como una plantilla para la estructura de los sistemas de comunicacion.

Es importante sefialar que en el modele OSI cada capa se comunica no solamente con las capas superiores e inferiores a ella en la pita local, sino que tambien can la misma capa en el sistema remoto. Par ejemplo, la capa de aplicacion en el sistema local parece que se esta comunicando con la capa de aplicacion en el sistema rernoto. Todos los detalles de como se procesan los datos hacia abajo de la pita estan escondidos de la capa de aplicaci6n. Esto es cierto en cad a nivel del modelo. Cada capa parece tener una conexi on directa (virtual) con la misma capa en el sistema remoto.

Las funciones de las capas especfficas del modele ISO/OSI se describen como sigue:

o Capa de apllcacton - La capa de aplicacion provee la facilidad para que las aplicaciones que deban comunicarse con la red (por ejemplo, imprimir archivos en una impresora de red, enviar un mensaje de correo electronico 0 almacenar datos en un servidor de archivos). De ese modo, aetna como una interfaz de la red. Ademas, comunica los recursos disponibles de la computadora con el resto de red. La capa de aplicacion no debe confundirse con el software de aplicaci6n. El software de aplicacion usa el interfaz de capa de aplicaci6n para tener acceso a los recursos conectados a la red.

o Capa de presentacien - Esta capa realiza transformaciones en los datos para proveer una interfaz estandarizada de aplicaci6n y para proveer servicios de comunicaci6n comunes tales como encripcion, compresion y reforrnateo de texto (por ejemplo, codigo EBCDIC a codigo ASCII). La capa de presentacion convierte los datos salientes a un formate aceptable por el estandar de red y luego pasa los datos a la capa de sesion, De manera similar, la capa de presentacion convierte los datos provenientes de la capa de sesion en un formato de los datos apropiado para la capa de aplicacion.

o Capa de sesion - La capa de sesion controla los dialogos (sesiones) entre las computadoras.

Establece, administra y termina las conexiones entre la capa de aplicacion local y la remota. Todas las conversaciones, intercambio de datos y dialogos entre las capas de aplicacion son administradas poria capa de sesion,

o Capa de transporte - La capa de transporte provee transferencia confiable y transparente de datos entre los extremos, recuperaci6n de errores de extrerno a extrerno, y control de flujo. La capa de transporte asegura que todos los datos que le sean enviados poria capa de sesion sean recibidos exitosamente poria capa de transporte del sistema remoto. La capa de transporte es responsable de confirmar la recepcion de todos los bloques de datos recibidos de la capa de transporte remota, y controlando que se reciba una confirmacion de la remota por todo bloque enviado. Si no se recibiera la confirrnacion de un bloque, entonces ese bloque sera reenviado ..

o Calla de red - La capa de red crea un circuito virtual entre la capa de transporte en el dispositivo local y la capa de transporte en el dispositivo remoto. Esta es la capa de la pila que entiende las direcciones de IP y es responsable del enrutamiento (routing), reenvio (forwarding), manejo de errores y control de la congestion. Esta capa prepara los bloques para la capa de enlace de datos convirtiendo cada paquete en uno 0 mas datagramas. La capa de red tambien determinara la direcci6n MAC (vel' el parrafo siguiente) del siguiente "hop" y pasa esta informacion a la cap a de enlace de

datos. En 1a mayoria de los casos, el siguiente "hop" sent un router 0 un switch (conmutador de enrutamiento 0 conmutador de capa 3).

• Cap a de enlace de datos - Esta capa provee la transferencia confiable de datos a traves de un enlace flsico. Recibe bloques de datos llamados frames de la capa de red, los reformatea en estructuras (frames) y los envla como una secuencia de bits a la cap a flsica. Estas estructuras estan constituidas por los datos originales y campos de control necesarios para proveer sincronizaci6n, detecci6n de errores y control de flujo. La detecci6n de errores se logra a traves del uso de una verificaci6n de redundancia ciclica (CRC) que es calculada y luego agregada a cada estructura de datos. La capa de red receptora calcula el valor de CRC para la porci6n de datos de la estructura recibida y descarta la estructura si los valores calculados y recibidos no coinciden. Un calculo de CRC detectara todos los

errores de un bit, y la mayorla de los errores multiples de bit. (

Una secuencia de bits recibida de la capa ffsica es de igual manera convertida en bloques de datos y enviada a la capa de red. La capa de enlace de datos se conecta 16gicamente con otro dispositivo en el mismo segmento de red usando una direccion de Control de Acceso a los Medias (MAC). Cada

dispositivo en la red tiene una direcci6n unica de hardware MAC que es asignada a este en el (

momenta de la fabricaci6n. La direcci6n de MAC puede ser modificada, pero esta practica no se recomienda. La capa de enlace de datos normalmente "escucha" solamente los datos que estan destinados a su direccion MAC. Una excepci6n importante a esta regia es que un interfaz de red

puede ser configurado como un interfaz "promiscuo", que escuchara a todos los datos que le envie la

cap a flsica.

• Capa fisica - Esta capa provee el hardware que transmite y recibe la secuencia de bits como sefiales electricas, opticas a de radio a traves de un media 0 de una portadora apropiada. Esta cap a define los cables, conectores, tarjetas y aspectos flsicos del hardware requerido para conectar flsicamente un dispositivo a la red. La correcci6n y detecci6n de errores poria general no es implementada en la capa fisica, con pocas excepciones notables. Los telefonos celulares y los sistemas digitales de microonda tipicamente implementara alguna forma de c6digo de correccion de errores, no solamente detectando sino realmente corrigiendo errores. Las formas mas sofisticadas de estes son usadas poria NASA (el programa espacial de Estados Unidos) para comunicarse con sus sondas del espacio exterior.

4.5.5 ARQUITECTURA DE OSI

La Organizaci6n Internacional para la Estandarizaci6n formulo el modele OSI para establecer estandares para los vendedores que desarrollan protocolos que soportan arquitectura de sistemas abiertos. La intenci6n es hacer que sistemas patentados diferentes funcionen dentro de la misma red sin inconvenientes. La implementaci6n real de las funciones definidas en cada capa se basa en protocolos desarrollados para cad a capa. Un protocolo es un conjunto acordado de reglas y procedimientos a seguir cuando se implementan las tareas asociadas con una capa determinada del modelo O'Sl,

La intenci6n del modelo OSl es proveer un interfaz estandar en cada capa y asegurar que cada capa no tenga que preocuparse con los detalles de c6mo se implementan las otras capas.

386


Esto soporta la comunicaci6n de sistema a sistema (relacion de colega a colega) donde cada capa dellado del rernitente provee informaci6n a su capa colega en el lado del receptor. EI proceso tambien se caracteriza como un proceso transversal de datos donde ocurren las siguientes acciones:

• Los datos viajan hacia abajo a traves de capas en el extremo de recepcion Idestino,

• La informacion protocolo-control (encabezados Iremolques) se usa como un sobre en cada capa para captar informacion de control,

• Los datos viajan hacia arriba a traves de capas en el extremo local,


387

• La informacion protocolo-control (encabezados-remolques) es retirada a medida que la informacion es pasada hacia arriba.

Un modele tradicional de OSI que muestra este proceso se describe en la figura 4.5.

Figura 4.5

Modelo Tradicional OSI

HU MAHDEflCT10N

4.5.6 APLICACION DEL MODELO OSI EN LAS ARQUITECTURAS DE RED

Los conceptos del modele OSI se usan en el disefio y desarrollo de las arquitecturas de red de las organizaciones, Esto incluye redes de area local, redes de area amplia, redes de area metropolitana, y uso de la Internet global publica basada en TCP/IP. Las siguientes secciones proveeran una discusion tecnica detallada de cada una y mostrara como el modele OSI de referencia se aplica a las diversas arquitecturas ..

Red de Area Local (LAN)

Una LAN es una red de computadoras que abarca un area local pequefia. Unas pocas estaciones de trabajo e impresoras en una sola habitacion podrlan comprender una LAN, tambien podrian tres 0 cuatro edificios en estrecha proximidad con miles de dispositivos conectados juntos.

El gran aumento en el ancho de banda con precios razonables ha reducido el esfuerzo de disefio que se requiere para proveer soluciones LAN eficientes en costo para cualquier tamafio de organizacion,

Las nuevas LANs son casi siempre implementadas usando switched Ethernet (802.3). el cableado de pares retorcidos (twisted-pair cabling) (tOOBase T 0 mejor y, cada vez mas, LANs inalambricas) conecta interruptores de piso a las estaciones de trabajo e impresoras en el area inmediata. Los interruptores de piso pueden estar conectados entre sf con 1000Base T 0 cableado de fibra optica. En las organizaciones mas grandes, los interruptores de piso pueden todos estar conectados con interruptores mas grandes y mas rapidos cuyo solo proposito es dirigir correctamente el interruptor a los datos de interruptor.

A medida que las LANs se vuelven mas grandes y el trafico aumenta, el requerimiento de planear cuidadosamente la configuracion Iogica de la red se vuelve cada vez mas importante. Los planificadores de red necesitan ser altamente capacitados y tener muchos conocimientos. Sus herramientas en el oficio incluyen monitores de trafico que les permiten monitorear los volumenes de trafico en los enlaces criticos, Rastrear los volumenes de trafico, las tasas de error y los tiempos de respuesta es en cada bit tan importante en los LANs mas grandes como en los servidores distribuidos y en las mainframes.

FUNDAMENTOS Y ESPECIFICACIONES DE DISENO DE LA LAN

Para establecer una LAN, una organizacion debe calcular costa, velocidad, flexibilidad y confiabilidad, Los aspectos incluyen:

• Determinar los medios para transmitir datos fisicamente;

• Determinar metodos para el medio ffsico de red;

• Entender desde un punto de vista de desempefio y seguridad como se transmitiran los datos a traves de la red y como la red real de LAN esta organizada y estructurada en funci6n de optimizar el desempeiio de los dispositivos que estan conectados can ella.

En las siguientes secciones discutiremos las especificaciones, la topologia y los protocolos de los medios fisicos de red.

ESPECIFICACIONES DE LOS MEDIOS FislCOS DE RED

Los medios flsicos usados para conectar diversos tipos de dispositivos de compute juntos en una LAN son:

• Pares retorcidos para LANs de banda base,

• Fibra optica para arquitecturas de alta capacidad y especlficas,

• Ondas infrarrojas, y de radio (inalambricas),

Generalmente, los pares retorcidos (por ejemplo, cableado CAT 5 Y CAT 6) y coaxiales han sido los usados mas comunrnente, sin embargo, en los ultimos dos a tres ail os, ha habido un mayor usa de medios inalambricos para la conectividad LAN. El tipo y las caracteristicas de los medios fisicos (por ej., velocidad, sensibilidad a perturbaciones externas, perdida y propagacion de serial, seguridad) no solo afectan el costa de implementacion y soporte sino tambien tienen un impacto sobrela capacidad, la flexibilidad y la fiabilidad de la red.

Las LANs pueden ser implementadas usando diversos tipos de medios, que incluyen:

• Circuitos (pares retorcidos) de cobre - Dos alambres aislados retorcidos entre sf, con la corriente fluyendo a traves de ellos en direcciones opuestas. Esto reduce la oportunidad de conversaciones cruzadas entre pares en el mismo manojo y pennite una sensibilidad mas baja a las perturbaciones electrornagneticas (pares retorcidos protegidos) dentro de cada par individual.. Los pares retorcidos pueden tambien usarse para algunas redes dedicadas de datos. Actualmente, los estandares comunes

388


(

(


389

para los pares retorcidos son CAT5 y CAT6. Las redes de las organizaciones como mfnimo deben estar usando CAT5 en especial ya que su predecesor CAT3 no soporta transmisiones delOO MB y de 1 GB. AI usar estos cables efectivamente para evitar fall as, las organizaciones deben probar y certificar todo el cableado antes de su uso, y las areas de problema de segmento COll tecnologia de conmutaci6n de capa de enlace de datos. Ad icional mente, se debe proveer garantia de que las longitudes maximas de cableado no son excedidas, ya que esto producira fallas intennitentes, 10 cual causa un aumento en las colisiones. Una desventaja en los pares retorcidos no protegidos 0 en el cableado no protegido es que no son inmunes a los efectos de la interferencia electromagnetica (EM!) y deben ser ejecutados en lineas dedicadas bien alejadas de fuentes de potencial interferencia como por ejemplo luces fluorescentes. Las ejecuciones paralelas de cable pOl' lasgas distancias deben tambien evitarse ya que las senales en un cable pueden interferir con senates en cables adyacentes - una condici6n de EMI conocida como cross-talk ..

• Los sistemas de flbra 6ptica - Usan fibras de vidrio para llevar seiiales binarias como rayos de luz.

Los sistemas de fibra 6ptica tienen baja perdida de transmisi6n en comparacion con los pares retorcidos y, como ya se menciono, las fibras pueden transportal' rayos individuates 0 multiples de colores diferentes (fibras unimodales 0 multimodales). La longitud de onda de transmisi6n usada para el modo unico es de 1.2 micrometros. Los cables de fibra optica no irradian energia nl electricidad de conduccion. Ademas, estan Iibres de interferencia electromagnetica (EMI), como por ejemplo conversacion cruzada e interferencia inducida por los rayos, y presentan un riesgo significativamente mas bajo de problemas de seguridad, tales como intercepciones. La fibra optica es mas pequefia y mas liviana que los cables metalicos que tienen la misma capacidad. La fibra es la eleccion preferida para ejecuciones de gran volumen y distancias mas largas. Ademas, el cable de fibra optica a menudo se usa para conectar servidores con las redes de area de almacenamiento.

• Los sistemas de radio - Comunican los datos entre los dispositivos usando sistemas de baja potencia que transmiten (0 irradian) y reciben sefiales electromagneticas que representan datos.

Las WANs pueden ser implementadas usando:

Los cables de fibra optica por 10 general se usan para la mayorla de las conexiones de red de alta capacidad, tanto entre edificios como entre ciudades, estos dlas. Otros sistemas que pueden usarse inc1uyen:

• Los sistemas de radio de microonda - La radio de microonda proveen lineas de transmision de lugar de voz y datos a traves del aire. Esta tecnologia se usa pot'que provee una alternativa de mas bajo costo que los sistemas de portadores de cable de baja capacidad de Ia epoca, Muchos sino Ia mayoria de los sistemas de microonda "de via pesada" han sido desde entonces reemplazados por sist emas de cable de fibra optica proveyendo capacidad grandemente aumentada y una confiabilidad muy mejorada a un costo por milla de canal que es una infima fraccion del costa de los circuitos de microonda de capacidad similar. Todas las nuevas construcciones de microonda usan sefiales digitales, proveyendo mucho mayores tasas de datos y tasas reducidas de error cuando se las compara con los circuitos analogos. Los circuitos de radio de microonda ann estan en uso en las "vias livianas" donde la economla no favorece la instalaci'no de fibra, La mayoria de las companfas de servicios publicos de electricidad usaran sistemas de microonda para conectar juntos sus Sistemas de Adquisicion de Control de Supervision y Datos (SCADA). El disefio de los circuitos de microonda debe tomar en cuenta la topologla flsica del area y el clima. Las antenas de microonda deben poder "verse" unas a otras, Las condiciones climaticas, tales como la lluvia, pueden afectar adversamente los enlaces de microonda.

• Los sistemas satelitales de enlace de radio - Contienen varias secciones de receptor lamplificador Itransmisor denominados transpondedoras (transponders). Cada transpondedora tiene un ancho de banda de 36 MHz, opera a una frecuencia levemente diferente, tiene lugares de transmision individual y envia rayos angostos de seiiales de microonda al satelite. Al igual que las microondas, las sefiales de satelite pueden ser afectadas pOl' el tiempo. A pesar de que pueden transportar grandes cantidades de informacion por vez, tiene la desventaja de una de mora mayor en cornparacion con todos los

medias anteriores, debido al "salta" desde la Tierra hasta el satelite y de regreso (estimado en aproximadamente 300 milisegundos),

La Figura 4.6 identifica las ventajas y desventajas de cad a media de capa fisica disponible para las redes. Tambien sirvanse notal' que estas especificaciones ftsicas son aplicables a las tecnologias WAN, que seran tratadas mas adelante en este capitulo.

Figura 4.6

...... __ ._------

• Facil de interceptar

• Interferencia

• Ruido

--1-------- .... - ... ----~ .~-----

Sistema de Radio de. Transportadora de. Economica • Facil de interceptar

Microonda linea de vista para. Sencillos de instalar • Interferencia

sefiales de voz y de. Disponibles • Ruido

datos

Cobre • U sado para distancias •
cortas (>200 pies) •
• Soporta voz y datos •
•
. hie Coaxial • Soporta datos y video •
•
• Fibra • Se usa para •
distancias largas
•
•
•
•
•
•
de Radio • Usados para •
distancias cortas Desventajas Facil de interceptar Facil de empalmar Sencillo de modificar Diafonia Interferencia

Ruido

Economico •

Sencillo de instalar •

Disponible enseguida • Sencillo de modificar •

•

•

Facil de instalar •

Directo •

Disponible enseguida •

Grueso Caro

No soporta muchos LANs

enlace

• Usan •

transpondedoras para

enviar informacion

• Sensible a la distancia

• Dificil de modificar

Altas capacidades de. Cara

aneho de banda Extremadamente

segura

Diflcil de interceptar Diflcil de empalmar Diflcil de modificar No tiene disfonia Mas economica, mas

pequefia y mas

liviana el cobre

Economico

---------:-----,--.- .....

Alto ancho de banda • y frecuencias • diferentes

.~ .. l__ ....

I nterferencia Ruido

390


(


391

TOPOLOGIAS Y PROTOCOLOS LAN

Las topologfas LAN definen como las redes estan organizadas desde un punto de vista flsico, mientras que los protocolos definen como la informacion transmitida a traves de la red es interpretada por los sistemas.

La topologla fisica de la LAN fue anteriormente amarrada muy estrechamente con los protocolos que se usaron para transferir informacion a traves de Ia linea. Esto ya no es cierto. Para la actual tecnologia, la topologia fisica es impulsada porIa facilidad de construccion, confiabilidad y practicidad. De las topologias fisicas que se han usado comunmente - de bus, de anillo y de estrella - solo la de estrella se usa para cualquier gran medida en la nueva construccion, La figura 4.7 ilustra las topologias flsicas comunmente usadas.

Figura 4.7

TECNOLOGIAS LAN DE ACCESO A MEDIOS

Las tecnologfas LAN de acceso a medios para tener acceso a los medios de transmision flsica son primariamente Ethernet y token passing. Estas tecnologlas dan acceso compartido de dispositivos a la red, al tiempo que tambien impiden que un dispositivo monopolice la red.

Ethernet ha evolucionado desde su velocidad original de 10 Mbps con dos versiones de cable coaxial (fino y grueso), pasando a IO-Base-T (Ethernet que usa cable de pares retorcidos) y luego a las versiones mas modernas de la actualidad: Fast-Ethernet (100 Mbps) y mas recientemente, Gigabit Ethernet (1 Gbps),

Comunmente las aplicaciones incIuyen 1 O-base- T (par retorcido) para conexi6n de escritorio dentro de una determinada LAN, Fast Ethernet donde una LAN se conecta con un nivel de trafico superior mas centralizado dentro de la jerarquia de red de la organizacion, y Gigabit Ethernet que se conecta a un plano medular centralizado total de Ia organizacion,

Un aspecto critico de cualquier comunicaci6n es determinar quien es el destinatario de un mensaje. En este nivel, considerando Fast Ethernet y Gigabit Ethernet, una direccion MAC se usa para especificar el destinatario. Todos y cada uno de los interfaces de red que se fabrican tienen una sola direccion MAC,

que solo se usa para el ultimo hop de cualquier comunicacion. Verla seccion en el modelo ISO mas tarde en este capitulo para vel' como esto encaja con las direccion del mundo real, tales como 192.168.4.5. Cada tarjeta de interfaz de red (NIC) conectada a la red escucha cada conversaci6n en la red. Normalmente, un impulsor de dispositivo NIC (software) solo recoge los datos con su direccion, Un Nrc que ha sido colocado en modo promiscuo leera todos los datos que pasen poria red (incluyendo IDs de usuario, contrasefias ).

El arreglo inicial de bus tipicamente provee una conexion (throughput) efectiva de 5Mbps entre todos los sistemas conectados a un segmento de bus. Los segmentos de bus podrian estar conectados juntos con repetidoras 0 puentes. Las repetidoras regenerarian sefiales - permitiendo un tramo mas largfo para la red.

Los puentes eonectarian juntos multiples buses - bloqueando cualquier trafico que no pudiera ser (

entregado en un segmento dado. Los puentes tambien sirvieron para otra funcion critica - la de romper la

red en multiples dominios de colis ion.

Ethernet (IEEE 802.3) es un protoeolo de Acceso Multiple /Deteccion de Colisiones (CSMA/CD). Este es analogo al intento de un vehiculo de entrar a una calle. La vision del con doctor es limitada a solo la calle que esta frente a 61. Si nada es visible, el conductor trata de entrar a la calle. Si el conductor colisiona con

otro vehiculo, retrocede y trata nuevamente mas tarde. Deberia ser aparente que si la calle esta muy (

transitada, ocurririan muchas colisiones. De manera similar, si todo el traflco viene desde una casa en

particular, entonces muchos vehiculos pueden ser manejados en una forma eficiente. Si hay vehfculos que

vienen desde muchas casas diferentes, entonees el volument total de trafico que puede ser manejado es

mucho mas bajo. Esta es la forma en que Ethernet Se comporta en un arreglo de bus. El uso de cable

coaxial en este ejemplo es bastante problematico, El cable mismo es un solo punto de falla, Agregar una

nueva estaci6n no resolverla el problema y existe una falta evidente de flexibilidad con dicha implementaci6n.

Para aliviar este problema, se desarrolla una nueva implernentacion fisica que usa un cable telef6nico de pares retorcidos. Este medio es mucho mas barato que el cable coaxial y puede ser implementado usando una topologia de estrella. La primera implementacion tiene todos los puntos de la estrella conectados

juntos usando un dispositivo inteligente llamado hub - basicamente, un panel de conectores que permite (

que todos los cables sean unidos. Los circuitos dentro del hub desconectan electricamente cualquier ramal

que no este activo. Un problema en un solo ramal puede ann causal' problemas a toda la red, pero los

circuitos son mas sencillos y un tecnico puede facilmente aislar el problema en el hub. EI problema de embotellamiento de trafico aun existe, sin embargo.

EI siguiente gran adelanto esta reemplazando a los hubs con switches. Un switch es un dispositivo inteligente que basicamente provee una via privada para cada par de conexi ones en el switch. Si A esta transfiriendo datos a B, puede hacerlo sin requerir que C transfiera datos aD. Ademas, las transferencias desde A a D pueden ser manejadas sin temor de colisiones. Esto es analogo a una luz de trafico en una LAN. Las colisiones son entonces solo un problema si mas de un vehlculo va al mismo destino y una luz de trafico puede ocuparse de ese problema.

Este ultimo adelanto provee algunas soluciones significativas. Mientras que el volumen de trafico hacia 0 desde algun dispositivo dado aun se limita a los restricciones establecidas poria tecnologia usada (e.g., 10, 100, 1000 MBit/s), este volumen puede ser mantenido entre muchos pares de dispositivos. Adicionalmente, el problema de las colisiones se elimina - el switch asegura que estes no puedan ocurrir, Un paquete puede demorarse - mientras espera que otro trafico despeje la interseccion - pero nunca encuentra una demora causada pOI' una colisi6n ni necesita ser reenviado.

Desde una perspectiva de seguridad, los switches proveen otra mejora significativa. Cada dispositivo en la red puede s610 vel' el trafico destinado para su direccion MAC y no puede escuchar furtivamente (eavesdrop) en el trafico de red que tenga otro destino.

392



393

Actualmente, los switches son tan bajos en costa que hay pooca justificacion para continual' usando hubs. Los switches que proveen dispositivos individuales con servicio de 100 Mbps y proveen conexion de n 1 Gbps a switches de un nivel mas elevado estan en uso generalizado. Los switches estan cada vez mas proveyendo mas funcionalidad que puede ser usada para implementar la politica de seguridad corporativa.

Otra tecnologia de acceso a los medios usada en las LANs en la actualidad se relaciona con el metodo de acceso a medio de anillo de token asociado con las redes de anillo.

Los dispositivos que usan este metoda ganan acceso a la red sobre la base de un marco unico Ilamado token, que es pasado alrededor de la red. Cuando una estacion de trabajo quiere transmitir datos, espera que el token le sea pasado. EI proposito del token es conectarse a un usuario 0 a un dispositivo cuando transmite mensajes Idatos para su pretendido destinatario. Cuando no esta conectado a un usuario 0 dispositivo, el cabezal del token, el campo de datos y los componentes del remolque estan vacios pero son lienados par dispositivos que necesitan transmitir:

COMPONENTES DE LAN

Los componentes comunmente asociadas con las LANs son repetidoras, hubs, puentes, switches y routers.

• Repetldoras - Dispositivos que extienden el a1cance de una red 0 conectan juntos dos segmentos separados de red. Las repetidoras reciben senates desde un segmento de red y amplifican (regeneran) la sefial para compensar pOl' las senates (analogas 0 digitales) que son distorsionadas debido a una reducci6n de fortaleza de sefial durante la transmision (es decir, atenuaci6n).

• Hubs - Un dispositivo de capa flsica que sirve como el centro de una red de topologia de estrella 0 un con centrad or de red. Los hubs pueden ser activos (si repiten las sefiales enviadas a traves de ellos) 0 pasivos (si estan meramente separan, las sefiales),

• Puentes - Un dispositivo de capa de enlace de datos, los puentes fueron desarrollados a principios de los afios 80 para conectar LANs 0 crear dos segmentos de red LAN 0 WAN separados de un solo segmento para reducir los dominios de colision, Los dos segmentos trabajan como LANs diferentes pOI' debajo del nivel del enlace de datos del modelo OSI de referencia pero a partir de ese nivel hacia arriba se comportan como una sola red logica, Los puentes actuan como almacen y dispositivo de envio para mover los marcos hacia su destino. Esto se hace analizando el encabezado de control de acceso a los medios (MAC) de un paquete de datos, que representa la direccion de hardware de una tarjeta de interfaz de red (NIC). Los puentes pueden tambien filtrar marcos basados en informacion de la capa 2. POl' ejemplo, elIos pueden impedir que los marcos enviados desde las direcciones de MAC entren en una red en particular. Los puentes estan basados en software, y son menos eficientes que otros dispositivos similares basados en hardware, tales como los switches. POl' 10 tanto, ellos no son componentes de importancia en los disefios actuales de red de empresa.

• Switches de capa 2 - Los switches de la capa 2 son dispositivos a nivel de enlace de datos que pueden dividir e interconectar segmentos de red y ayudar a de reducir los dominios de colision en las redes basadas en Ethernet.

Ademas, los switches almacenan y envian marcos, filtrando y enviando paquetes entre segmentos de red basados en direcciones fuente y destino MAC de cada dos, como hacen los puentes y hubs en la capa de enlace de datos. Los switches, sin embargo, proveen una funcionalidad mas robusta que los puentes a traves del uso de protocolos mas sofisticados de capa de enlace de datos, que son implementados por la via de hardware especializado llamado circuitos integrados de aplicacion especifica (ASICs). Los beneficios de esta tecnologia son eficiencias de desempefio ganadas a traves de costos reducidos, baja latencia de tiempo improductivo, y un mayor nurnero de puertos en un switch con capacidades dedicadas de ancho de banda de "alta velocidad" (por ejemplo, muchos puertos en un switch disponible con velocidades de 10/100 Ethernet y/o Gigabit Ethernet).

.. '

(

(Los switches son tambien aplicables en las especificaciones de tecnologia WAN. Verla seccion WAN para discusion de los switches en los entornos WAN).

• Routers - Similares a los puentes y a los switches en que ellos conectan fisicamente dos 0 mas (

segmentos separados de red. Los segmentos de red conectados pOl' un router, sin embargo, siguen

estando separados logicamente y pueden funcionar como redes independientes. Los routers operan

en la capa de red de OS! examinando las direcciones de red (es decir, informacion de enrutamiento codificada en un paquete de IP). Examinando la direccion IP, el router, puede tamar decisiones inteligentes para dirigir el paquete a su destino, Los routers difieren de los switches que operan al en

la capa de enlace de datos en que ellos usan direcciones de red basadas en la logica, usan diferentes

direcciones /segmentos de red fuera de todos los puertos, bloquean informacion transmitida, bloquean (

el trafico a las direcciones desconocidas, y filtran el trafico basado en la informacion de la red a del

anfitrion.

Los routers no son tan eficientes como los switches, ya que son dispositivos basados en software y examinan cada paquete que viene a traves de ellos, que puede crear cuellos de botella significativos dentro de una red. POl' 10 tanto, se debe tener mucho cuidado respecto a donde se ubican los routers

en una red. Esto deberia incluir apalancar switches en el disefio de red as! como tambien aplicar (

principios de balance de carga con otros routers para consideraciones de eficiencia de desempefio.

• Switches de capa 3 y 4 - Los adelantos en la tecnologia de switches tarnbien han provisto switches con capacidades operativas en la Capa 3 y en la Capa 4 del modelo de referencia de OSI. Un switch de capa 3 va mas alla del direccionamiento y ruteo de MAC de la Capa 2. El switch de capa 3 mira el protocolo de red del paquete entrante, pOI' ej., el protocolo de IP. EI switch compara la direccion de destino de IP con la lista de direcciones en sus tablas, para calcular de manera activa la mejor forma

de enviar un paquete a su destino. Esto crea un "circuito virtual", es decir, el switch tiene la (

capacidad de segmental' la LAN dentro de sf mismo y creara un pasaje entre el dispositivo que recibe

y el que transmite para enviar los datos. Luego envia el paquete a la direccion del destinatario. Esto

provee el beneficio agregado de reducir el tamafio de los dominios de transmisi6n de red. Un

dominio de transmisi6n es el segmento 0 los segmentos de dominio en los que todos los dispositivos conectados pueden ser dirigidos simultaneamente pOI' un mensaje usando un rango especial de

direccion comun de red, al que se hace referencia como direccion de transmision, Esta se necesita

para las funciones especfficas de administracion de red. A medida que el dominio de transmision se

hace mas grande, esto puede causal' ineficiencias de desempefio y problemas de seguridad mayores en

terminos de fuga de informacion dentro de una red (por ejemplo, enumerando dominios de red, computadoras especificas dentro de un dominio). Los dominies de transmision deben estar limitados

o alineados con las areas funcionales de negocio /grupos de trabajo dentro de una organizacion, para

reducir el riesgo de fuga de informacion a los que no tienen necesidad de saber, en los que los

sistemas pueden ser tomados como objetivo y sus vulnerabilidades explotadas. Los switches que desempefian esta funcion tipo router son tambien mas eficientes que los routers al examinar paquetes,

a causa de su alta velocidad, capacidades basadas en hardware. EIlos, a diferencia de los routers,

pueden ser puestos en cualquier parte en un entorno de red.

394

Manual de Preparacirin al Examen elSA 2008

Al crear dominios separados de transmision, los dispositivos de switch de capa 3 tambien habilitan el concepto de establecer una LAN virtual (VLAN). Las VLANs son un grupo de dispositivos en una 0 mas LANS segmentadas logicamente. Ellas se establecen configurando puertos en un switch, de modo que los dispositivos conectados con estos puertos puedan comunicarse como si estuvieran conectados a1 mismo segmento fisico de red, a pesal' de que estan ubicadas en segmentos de LAN diferentes. Las VLANs se basan en la logica en lugar de conexiones flsicas y de ese modo permiten gran flexibilidad. Esto permite a los administradores restringir el acceso de los usuarios a los recursos de red a solo los recursos de red especificados y de segmento para desempefio optimo,

En el switching de la capa 4, se toma en cuenta 1a informacion de algunas aplicaciones junto con las direcciones de 1a Capa 3. Para IP, esta informacion incluye los numeros de puerto de protocolos tales


395

como UDP Y TCP. Estos dispositivos, a diferencia de los switches de la capa 3, son mas intensivos en recursos, ya que tienen que almacenar informacion de protocolo basada en aplicaciones. Solo la informacion de direcci6n fue ahnacenada en los niveles de la Capa 2 y Capa 3.

• Brouters - Dispositivos que realizan las funciones tanto de puentes como de routers,

• Gateways - Dispositivos que son convertidores de protocolo. Tlpicamente, ellos se conectan y convierten entre las LANs y la mainframe 0 entre las LANs y la Internet en la capa de aplicaci6n del modele OSI de referencia. Dependiendo del tipo de gateway, la operaci6n ocurre en diversas capas de OSI. La forma mas comun de gateway es un gateway de SNA, que convierte entre una sesi6n de TCP/IP, NetBios 0 Internetwork Packet Exchange (IPX) (emulando una terminal) y Ia mainframe.

(

CRITERIOS DE SELECCION DE LA TECNOLOGiA DE LAN Algunos de los criterios de selecci6n mas relevantes son:

i, Que son las aplicaciones?

i,Cuales son las necesidades de ancho de banda? i,Que es el presupuesto?

i,CuaJes son las necesidades de administraci6n a distancia? i,Cuales son las necesidades de seguridad?

Red de Area Amplia (WAN)

Una WAN es una red de comunicacion de datos que transmite informacion a traves de redes de area local dispersa geograficamente como pOI' ejemplo entre sitios de plantas (empresas), ciudades y naciones,

Las caracteristicas de WAN incluyen:

• Son aplicables a las capas, flsica, de enlace de datos y de red del modele OSI de referencia.

• El flujo de datos puede ser simplex (flujo de una via), half duplex (una via pOI' vez) 0 full duplex (am bas vias a la vez sin demora de regreso),

• Las lineas de comunicaci6n pueden ser 0 bien conmutadas 0 dedicadas.

TItCNICAS DE TRANSMISION DE MENSAJES WAN Las tecnicas de transmisi6n de mensaje WAN incluyen:

• Conmutaclon de Mensajes - Envia un mensaje completo al punto de concentraci6n para su almacenamiento y direccionamiento at punto de destino cuando este disponible una via de comunicaci6n. EI costa de transmision se basa en la longitud del mensaje.

• Conmutacion de Paquetes - Es un medio sofisticado de maximizar Ia capacidad de transmisi6n de las redes. Esto se logra desglosando un mensaje en unidades de transmision llamadas paquetes, y dirigiendolos individualmente a traves de la red dependiendo de la disponibilidad de un canal para cada paquete. Se pueden inc1uir contrasefias y todo tipo de datos dentro del paquete y el costa de transmisi6n es por paquete y no pOl' mensaje, ruta 0 distancia. La red aplica sofisticados procedimientos de control de error y de flujo en cada enlace.

• Conmutaclon de Circuito - Un canal fisico de comunicaciones se establece entre los equipos que se comunican a traves de una red conmutada de circuito. Esta red puede ser pOl' ejemplo, de punto a punto (por ej., linea arrendada), multipunto, una red publica de telefonos conmutados (PSTN) 0 una red digital de servicios integrados (ISDN). Una vez que se ha establecido 1a conexion, la usan exclusivamente los dos abonados por el tiempo que dure la Hamada. La red no provee control de error 0 de flujo en los datos transmitidos, de modo que el usuario debe hacer esta tarea.

• Circuitos virtuales - Un circuito l6gico entres dos dispositivos de red que provee comunicaciones confiables de datos. Se hace referencia ados tipos disponibles como circuitos virtu ales conmutados

(SVCs) 0 circuitos virtuales permanentes (PVCs). Los SVCs establecen dinamicamente conectividad a demanda, y los PVCs establecen una conexion siempre activada en la que la transferencia de datos entre los dispositivos de red es constante.

• Servicios de discado WAN - Los servicios de discado que usan conectividad asincrona y sincrona estan ampliamente disponibles y bien adaptados para las organizaciones con un gran numero de usuarios moviles, Sus desventajas son bajo ancho de banda y desempeiio limitado.

DISPOSITIVOS WAN (

Los siguientes dispositivos que operan tlpicamente en 0 bien la capa ftsica 0 de enlace de datos del

modelo OSI de referencia, son especfficos del entorno WAN: (

• Switch de WAN - un dispositivo de capa de enlace de datos usado para implementar diversas tecnologias tales como A TM, soluciones de retransmision de tramas de punto a punto, e ISDN. Estos dispositivos estan tipicamente asociados con redes de transportadoras que proveen conmutacion dedicada de WAN Y servicios de router a las organizaciones a traves de conexiones T -l o T - 3.

• Routers - Un dispositivo que opera en la cap a de red del modele OSI de referencia y que provee un interfaz entre diferentes segmentos de red en una red interna 0 conecta la red interna con una red externa.

• MOdems (modulador Idemodulador) ~ Dispositivos de equipo de comunicacion de datos (DCE) que hacen posible usar lineas analogas (general mente la red de telefonos publicos) como medios de transmision para las redes digitales. Los modems convierten las sefiales digitales de computadora en seflales analogas de datos y las sefiales analogas de datos nuevamente a digitales. Cuando se establece un enlace, los modems que operan en ambos extremes de estos negocian automaticamente el estandar mas rapido y mas seguro que las lineas y modems mismos pueden usaf, estableciendo velocidad, paridad, algoritmo criptografico y cornpresion.

Para fines de transmision, los modems desensamblan bytes a una secuencia de bits que son enviados secuenciahnente ala Ilnea. En el extremo que recibe, estos bits deben ser rearmados en bytes.

Una tarea principal de los m6dems en ambos extremos es mantener su sincronizacion para que el dispositivo que reciba sepa cuando cada byte comienza y cuando termina. Dos metodos pueden usarse

para este proposito: (

Transmlsion sincrona - Los bits son transmitidos sin interrupcion a una velocidad constante. EI

m6dem que envia usa un caracter especifico cuando comienza a transmitir un bloque de datos para "sincronizar" el dispositivo que recibe. Este modo perrnite maxima eficiencia, pero s6lo si los

bloques no son demasiado cortos, Se debe observar reglas tecnicas especificas para mantener la sincronizaci6n.

Transmlslen asincrona - El dispositivo que transmite marca el comienzo y el final de un byte enviando un bit de "inicio" y de "alto" antes y despues de cada byte de datos. La eficiencia de la linea es mas baja pero el estandar asincrono es mas sencillo y trabaja bien para las transmisiones de caracteres y de modo de bloque.

Los enlaces de comunicaci6n pueden ser operados de ambas formas. Referirse a la seccion TCP lIP y Su Relacion con el Modelo OSI de Referencia y ala figura 4.8, discutida mas adelante en este capitulo.

396


Figura 4.8

Model

Conceptual Layers

File Transport Protocol (FTP)

Remere Terminal Control Protocol (TELNET) Simple Mall Transport Protocol (SMTP) Name Server Protocol (NSP)

Simple Network Management Protocol (SNMP)

Application

Appllcation

7

(J Presentation

5 Session

Transport

Transport 'Iransmlsslon Control Protocol (rep) User Datagram Protocol (UDP)

4

NC:.!(WOl'k

Network Interface Internet Protocol (IP)

LAN or WAN Ethernet, Token Rlng,

In terface Point-to-point Protocol (PPP)

2

Data Link

Physical

1

• Servidores de acceso - Estos proveen control de acceso centralizado para administrar servicios de discado de acceso remoto

• U nidad de servicio de canal lunidad de servicio digital (CSU/DSU) - Esta se intercomunica en la capa flsica del modelo OSI de referencia, equipos de terminal de datos (DTE) a equipos de terminaci6n de circuitos de datos (DeE), para redes conmutadas de portadoras.

• Multiplexores - Un dispositivo de capa flsica usado cuando un circuito flsico tiene mas capacidad de ancho de banda que el requerido par sefiales individuales. El multiplexor puede asignar porciones de su ancho de banda total y usar cada porci6n como un enlace separado de sefial, Tambien puede conectar varias Ilneas de baja velocidad con una linea de alta velocidad para aumentar las capacidades de transmisi6n.

Generalmente, los metodos para multiplexar datos incluyen los siguientes:

Multlplexacien de division de tiempo (TOM) -A Ia informacion proveniente de cada canal de datos se le asigna un ancho de banda basado en ranuras de tiempo asignadas previamente, independientemente de si hay datos para transmitir,

Multlplexaclon asincrona de division de tiempo (ATOM) - A la informaci6n proveniente de los canales de datos se le asigna un ancho de banda a medida que 10 necesite, mediante ranuras de tiempo asignadas dinamicamente,

Multiplexacien de division de frecuenclas (FOM) - A la informaci6n de cada canal de datos se Ie asigna un ancho de banda basado en la frecuencia de serial del trafico,

Multlplexacion estadistica - El ancho de banda es asignado dinamicamente a cualesquiera canales de datos que tengan informacion para transmitir,

TECNOLOGiAS WAN

Algunos tipos comunes de tecnologias WAN usadas para administrar los enlaces de comunicaci6n se proveen en las siguientes secciones.


397

Protocolo de Punto a Punto (PPP)

PPP trabaja en la cap a de enlace de datos. PPP pl'Ovee una sola ruta de eomunicaci6n de WAN desde las premisas del cliente hasta una red remota, usualmente alcanzada a traves de una red de portadoras, tales como una companla telef6niea. Es una soluci6n de acceso remoto disponible ampliamente, que soporta los enlaces tanto asincronos como sincronos y que opera a traves de una amplia gama de medios. Como es mas estable que el antiguo Protocolo de Internet de LInea Serial (SLIP), es el estandar de Internet para la transmisi6n de paquetes de IP sobre lineas seriales, PPP hace uso de dos protocolos primarios para operar. EI Primer Protocolo de Control de Enlace (LCP), se usa cuando se establece, configura, y prueba la conexi6n de enlace de datos. EI segundo, Protocolos de Control de Red (NCP), establece y configura diferentes protocolos de capa de red (por ejemplo, IPX). Las caracterlsticas de PPP incluyen notificaci6n de direcci6n, autenticaci6n, soporte para protocolos multiples y monitoreo de enlaces.

X.2S

Como un paquete conmutado 0 implementacion de circuito virtual, X.25 es una norma de telecomunicaci6n (ITU-T) que define como las conexiones entre los equipos de terminal de datos y las comunicaciones de datos 0 equipos que terrninan circuitos son mantenidas para acceso a terminal remota y comunicaciones de computadora en las redes publicas de datos (PONs). Desarrollado en 1976, X.25 opera en las tres capas mas bajas del modelo OSI de referencia, pero actual mente ya no esta ampliamente disponible en principio pOl'que es intensivo en recursos para proveer capacidades de control de error.

Retransmisi6n de tramas (Frame relay)

Como un paquete conmutado 0 implementaci6n de circuito virtual, Frame Relay es un protocolo de eapa de enlace de datos para eonmutar dispositivos que usa una tecnica de encapsulamiento de estandares para manejar circuitos virtuales multiples entre dispositivos coneetados. El metodo de encapsulamiento es control de alto nivel de enlace de datos (HDLC) para enlaces sincronos de serie usando caracteres de marco y sumas de comprobaci6n 0 de control. La retransmision de tramas es mas eficiente que X.25, el protocolo para el que se considera generalmente un reemplazo. Contrario a X.25, retransmision de tramas se basa mas en protocolos de las capas superiores para los procesos de manejo de errores significativos en las transmisiones de datos, Retransmisi6n de tramas es una tecnologia LAN disponible ampJiamente a bajo costo, usada en las conexiones de punta a punto de WAN.

Red Digital de Servicios Integrados (ISDN)

Como una implementaci6n conmutada de circuito, ISDN corresponde a voz, datos y video integrados, y es una arquitectura para las telecomunicaciones en todo el mundo. Este servicio integra comunicaci6n de voz, de datos y de video a traves de conmutaci6n y transmision a traves de las Iineas portadoras publicas digitales. Las tecnologfas ISDN implementadas actualmente son ISDN de banda angosta (tasa basica) e ISDN de banda ancha. Se usan canales separados para informacion al cliente (pOl' ej., canales portadores B - voz, datos y video) y para enviar seftales e infonnaci6n de control (por ej., canales de datos D). ISDN usa un protocolo estratificado de nodos de paquete basado en la norma X.25 de CCnT. A diferencia de frame relay, esta moderadamente disponible para todo.

Modo de Transferencia Asincrona (ATM)

Como una implementaci6n conmutada de paquete que opera en la capa de enlace de datos, A TM se basa en el uso de una norma de tecnologia de conmutacion y multiplexion de una celula (bloque de datos de tamafto fijo) que cornbina los beneficios de conmutacion de circuito (capacidad garantizada y demora de transmision constante) con los de conmutaci6n de paquetes (flexibilidad y eficiencia para trafico intermitente). Como ATM es aslncrono, las ranuras de tiempo estan disponibles a demanda con informacion que identifica la fuente de la transmisi6n contenida en el encabezado de cada celula ATM. A TM es considerado relativamente caro como una opci6n de linea dedicada arrendada en comparacion con otras opciones disponibles WAN.

398

Manual de Preparacion a] Examen elSA 2008

(

(


399

Conmutaci6n de Etiqueta de Proto colo Multiple (MPLS)

La conmutacion de etiqueta de protocolo multiple (MPLS) provee un mecanisme para disefiar patrones de trafico de red que es independiente de las tablas de direccionamiento, MPLS asigna etiquetas cortas a los paquetes que describen como enviarlos a traves de la red. MPLS es independiente de cualquier protocolo de direccionamiento y puede ser usado para paquetes unicast,

En el envio tradicional del nivel 3, a medida que un paquete viaja desde un router al siguiente, se toma una decision independiente de envio en cada saltc, EI encabezado de capa de red de IP es analizado, y el siguiente saito es escogido en base a este anal isis y a la informacion en la tabla de ruta, En un entorno de MPLS, se efectua el analisis del encabezado de paquete una vez solamente, cuando un paquete entra a la nube de MPLS. EI paquete es luego asignado a una corriente, que es identificada pOl' una etiqueta - un valor Cotto (20 bits) de longitud fija en el frente del paquete, Las etiquetas se usan como indices de busqueda en la tabla de envio de etiquetas, Esta tabla almacena informaci6n que se envia para cada etiqueta, Puede asociarse informacion adicional a una etiqueta, como por ejemplo val ores de cIase de servicio (CoS) que pueden ser usados para clasificar pOI' prioridad el envlo de paquetes.

Lineas Digitales de Abonado (DSL)

Un servicio de proveedor de red que usa una tecnologfa de m6dem a traves de lineas telef6nicas de pares retorcidos para transportal' datos de alta banda ancha, como pOI' ejemplo multimedia y video. Las caracteristicas de DSL incluyen:

• Acceso de red publica dedicado, de punto a pun to, en el buc1e local (local loop). Los bucles locales (local loop) son general mente la "ultima milia" entre una oficina central del proveedor de servicios de red (NSP, siglas de los terrninos en ingles) y el sitio del cliente.

• Entrega tasas de datos de alta banda ancha a clientes dispersos a bajo costo a traves de la infraestructura de telecomunicaciones existente.

• EI acceso siempre encendido (Always-on) elimina el establecimiento de lIamadas de acceso, situaci6n que 10 hace ideal para el uso de Internet, Intranet y LANs remotos.

Redes Virtu ales Privadas (VPN)

Estas extienden la red corporativa con seguridad mediante paquetes encriptados a traves de conexiones virtuales en la Internet publica hasta oficinas distantes, los trabajadores locales, el personal de ventas y los socios de negocios. Pero, en vez de usar Ifneas caras, dedicadas y arrendadas, las VPN, aprovechan los servicios de infraestructura de red mundial de IP, que permite a los usuarios remotos hacer una Hamada local (versus discar a tarifas de larga distancia) 0 usar un m6dem de cable de Internet 0 conexiones DSL para conectividad de red publica de bajo costo.

Los VPNs son independientes de las platafonnas. Cualquier sistema de computadora que este configurado para ser ejecutado en una red de IP puede ser incorporado en un VPN sin modificaciones, con excepci6n de la instalaci6n de software remoto.

Existen tres tipos de VPNs:

1. VPNs de acceso remoto - usados para conectar las teleconmutadoras y los usuarios moviles a la WAN de la ernpresa en una forma segura. Baja la barrera para teleconmutar asegurando que la informaci6n este razonablemente protegida yendo a traves de la Internet.

2. VPN s de Intranet - usadas para conectar las sucursales con las oficinas centrales dentro del WAN de una empresa.

3. VPNs de extra net - usadas para dar a los socios del negocio acceso limitado a la red corporativa de cada cual, Un ejemplo de esto seria un fabricante de automoviles con sus proveedores.

La unica diferencia entre una VPN (intranet) tradicional, entre compafiias y una VPN intercompafiia (extranet) es la forma en que la VPN es administrada. Con una intranet VPN, todos los recursos de VPN

son administrados par una sola organizacion, Cuando el VPN de una organizacion es usado para una extranet, el control de gerencia se debilita; pOI' 10 tanto, se recomienda que cad a compafiia que la constituya que comparta el VPN de extranet establezca su propio VPN y mantenga el control sobre esta.

Las VPNs permiten:

• Que los administradores de red expandan 1a red corporativa mediante una relacion eficiente de costos,

• Que los usuarios remotos de la red tengan acceso a su empresa corporativa can seguridad y

facilmente,

• Que las Corporaciones se comuniquen can seguridad con los socios de negocios,

• Una gerencia eficiente y efectiva de la cadena de suministros,

• Que los proveedores de servicios cultiven sus negocios brindando ancho de banda sustancia1mente mayor con servicios de valor agregado.

Determinar que recursos de red deberian estar conectados pOI' una VPN depende de las aplicaciones usadas en los diversos sistemas. Los requerimientos usados a menudo para determinar la conectividad de red incluyen pollticas de seguridad, model os de negocio, acceso a servidor de intranet, requerimientos de aplicacion, acceso a servidor para compartir y aplicar datos.

El proceso de encriptar paquetes, 10 cual hace de 1a VPN un esquema efectivo de proteccion, usa la norma de Seguridad de IP (IPSec) de la Fuerza de Tarea de Ingenieria de Internet (Internet Engineering Task Force [IETF]. Esta norma permite que to do el paquete incluyendo su encabezado sea encriptado, 10 cual se conoce como el modo de encripcion de tunel de IPSec. Alternativamente, e1 modo de transporte encripta la porcion de datos del paquete solamente. Estos modos de encripcion son representativos del proceso de encapsulamiento pOl' e1 cual se crea un nuevo paquete.


4-7

loCuM de 10 siguiente permitiria a una compafila extender su intranet de empresa a traves de la Internet a sus socios de negocio?

A. red privada virtual

B. cliente-servidor C, acceso de discado

D. proveedor de servicio de red

4-8 Geual de las siguientes afirmaciones relativas a las redes de conmutacion de paquetes es CORRECTA?

A. Los paquetes para un mensaje dado viajan la misma ruta

B. Las contrasefias no pueden estar integradas en el paquete

C. Las longitudes de paquete son variables y cada paquete contiene 1a nusma cantidad de informacion

D. EI costo que se carga pOl' transmision se basa en el paquete no en 1a distancia 0 la via recorrida

400


(

(

(

Redes Inalambricas

Las tecnologfas inalambricas en el sentido mas sencillo, permiten que uno 0 mas dispositivos se comuniquen sin conexiones ffsicas, es decir, sin requerir red 0 cableado periferico. La tecnologfa inalambrica es una tecnologla que permite a las organizaciones adoptar soluciones de negocio electronico con tremendo potencial de crecimiento. Las tecnologias inalambricas usan transmisiones de frecuencia de radio como el medio para transmitir datos, mientras que las tecnologias alambricas usan cables. Las tecnologias inalambricas van desde sistemas complejos tales como redes inalambricas de area amplia (WW AN), redes inalambricas de area local (WLAN) y telefonos celulares, hasta sencillos dispositivos tales como audffonos, microfonos y otros dispositivos inalambricos que no procesan ni almacenan informacion. Ellos incluyen tambien dispositivos Bluetooth con un transceptor de mini radiofrecuencia y dispositivos infrarrojos (Ik), tales como controles remotos, algunos teclados de computadora y ratones inalambricos, y audifonos estereos de alta fidelidad inalambricos, todos los cuales requieren de una lfnea directa de vista entre el transmisor y el receptor para cerrar el enlace.

Sin embargo, la tecnologia inalambrica introduce nuevos elementos que deben ser tratados. POl' ejemplo, las aplicaciones existentes pueden necesitar ser readaptadas para hacer usa de los interfaces inalambricos, La estandarizacion de redes debe ocurrir par que los dispositivos inalambricos que usen diferentes sistemas operativos puedan comunicarse entre S1. Tambien, es necesario to mar decisiones respecto a la conectividad general, para facilitar el desarrollo de aplicaciones moviles completamente inalambricas, u otras aplicaciones que se basan en la sincronizacion de transferencia de datos entre los sistemas moviles de cornputacion y la infraestructura corporativa. Otros aspectos incluyen ancho de banda estrecho, falta de un estandar maduro, y problemas de seguridad y de privacidad no resueltos.

Las redes inalambricas sirven como mecanisme de transporte entre dispositivos, y entre dispositivos y las redes alambricas tradicionales. Las redes inalambricas son muchas y diversas pero frecuentemente son categorizadas en tres grupos basados en su ran go de cobertura:

• WANs (Redes inalambricas de area amplia)

• LANs (Redes inalambricas de area local)

• Redes inalambricas de area personal (WPANs)

• Redes inalambricas ad hoc

REDES INALAMBRICAS DE AREA AMPLIA

La creacion de redes de area amplia es el proceso de vincular diferentes redes en una gran area geografica para permitir que se compartan archivos y conectividad mas ampliamente. A pesar de que las computadoras estan a menudo conectadas con redes tradicionales de area amplia usando soluciones de red por cable, como por ejemplos los sistemas telefonicos, las redes inalambricas de area amplia estan conectadas por medio de tecnologfas de radio, satelite y telefono movil.


401

Las WWANs, que usan tecnologias de radio, satelite y telefono movil, pueden complementarse y competir con sistemas mas tradicionaies de redes basadas en cable. Estas incluyen tecnologfas de area de cobertura amplia, tales como celular 2G, Cellular Digital Packet Data (CDPD), Sistema Global para Comunicaciones Moviles (GSM) y Mobitex.

Para algunas organizaciones, tales como las que estan en areas rurales, donde el tendido de cables es demasiado caro, la tecnologfa inalambrica ofrece la (mica solucion de tendido de redes, Para otros, el tendido de redes inalambricas de area amplia provee mayor flexibilidad de sistema, asl como tambien la oportunidad de controlar los costos cuando se es duefio del equipo.

802.11 se refiere a una familia de especificaciones para la tecnologia inalambrica LAN. 802.11 especifica un interfaz por aire entre un cliente inalambrico y una estaci6n base 0 entre dos clientes inalambricos. EI IEEE acepto la especificacion en 1997.

(

Implementar una WW AN requiere cuidadosa atenci6n a la planeacion y supervision de la red. Tambien se debe considerar el costa total de propiedad involucrado en cambiarse a este sistema de red de rapida evoluci6n.

REDES INALAMBRICAS DE AREA LOCAL

Las WLANs permiten mayor flexibilidad y portabilidad que las redes alambricas de area local tradicionales. A diferencia de una LAN tradicional, que requiere un alambre para conectar la

computadora de un usuario con la red, una WLAN conecta computadoras y otros componentes a la red (

usando un dispositivo de punto de acceso. Un punta de acceso, 0 hub de red inalambrica, se comunica

con dispositivos equipados con adaptadores inalambricos de red dentro de un radio especifico del punto

de acceso; se conecta con una LAN alambrica de Ethernet pOI' medio de un puerto RJ-45. Los dispositivos de puntos de acceso tienen tipicamente areas de cobertura de hasta 300 pies (aproximadamente 1 00 metros). Esta area de cobertura se llama una celula 0 radio. Los usuarios se

mueven Iibremente dentro de la celula con su laptop u otro dispositivo de red. Las celulas de punto de

acceso pueden vincularse juntas para pennitir a los usuaries incluso "roam" dentro de un edificio 0 entre

edificios. La WLAN, que representa las redes inalarnbricas de area local, incluye 802.11, HiperLAN,

HomeRF y varios otros.

Las tecnologias de las WLANs se ajustan a una variedad de estandares y frecen diversos niveles de funciones de seguridad, Las principales ventajas de los estandares son fomentar 1a produccion en masa y perrnitir que los productos de multiples vendedores interoperen. EI estandar mas util usado actua1mente es el estandar IEEE 802.11.

Hay varias especificaciones en la familia de 802.11:

• 802.11 Legacy - La version original del estandar IEEE 802.11 publicada en 1997, Hamada 802.11 Legacy, especifica dos velocidades de datos de 1 y 2 Megabits pOl' segundo (Mbps) a ser transmitidas poria via de sefiales infrarrojas (IR) 0 en la banda ISM en 2.4 gigaherz (GHz). IR ha sido abandonada de revisiones posteriores del estandar, porque no podia tener exito frente al bien estab1ecido protocolo Infrared Data Association (IrDA) y no tenia implementaciones conocidas. Legacy 802.11 fue rapidamente sucedida por 802.11 b.

• 802.11b - 802.11b tiene un alcance de aproximadamente 164 pies con las antenas omnidireccionales de baja ganancias usadas tipicamente en los dispositivos. 802.11 b tiene una conexi6n (throughput) maxima de 11 Mpbs; sin embargo, un porcentaje significativo de este ancho de banda se usa para encabezados de cornunicacion. En la practica, la conexi6n maxima es aproximadamente 5.5 Mbps. EI metal, el agua y en particular las paredes gruesas absorben las sefiales de 802.11 b y reducen el a1cance drasticamente. 802.11 opera en el espectro de 2.4 GHz y usa CSMA/CA como su metodo de acceso a los medios.

Con antenas externa de alta ganancia, este protocolo tambien puede usarse en escenarios fijos de punta a punto en a1cances de hasta 8 kilometres 15 millas. Puede usarse para reemplazar costosas lineas arrendadas 0 en lugar de equip os de comunicaci6n pOl' microonda. Las actuales tarjetas pueden operar a 11 Mbps, pero perderan velocidad si 1a potencia de sefial es un problema. 802.lIb divide el espectro en 14 canales superpuestos, escalonados de 22 megahertz (MHz) cada uno. Diferentes canales 0 radios son legales en diferentes palses, Se pueden usar tres 0 cuatro canales simultaneamente en 1a misma area con poea 0 ninguna superposici6n, tipicamente los canales I, 6 y 11.

402


Se han hecho extensiones al protocolo 802.11 b para au mental' la velocidad a 22, 33 y 44 Mbps, pew las extensiones son privadas y no estan avaladas por el IEEE. Muchas compaiiias Haman a estas versiones aumentadas 802.11 b+.

• 802.11a - Aun a pesar de que el estandar 802.11a mas rapido fue ratificado en 1999, no cornenzo a ser enviado hasta 2001. El estandar 802.11a usa la banda de 5 GHz y opera a una velocidad promedio de 54 Mbps; sin embargo, mas general mente opera a velocidades en el rango de mediados de 20 Mpbs. La velocidad se reduce a 48,36,34, 18, 12,9 Y luego a 6 Mbps, si se requiere. 802.11a tiene 12 canales que no se superponen, ocho dedicados al uso interno y cuatro de punto a punto.

802.11 a no ha visto amplia aceptacion a causa de la alta tasa de adopcion de 802.11 b, Y preocupaciones sobre su alcance, A cinco GHz, 802.11a no puede alcanzar a 802.11 b (asumiendo las mismas Iimitaciones de potencia) y puede ser absorbido mas rapidamente, La mayorfa de los fabricantes de equipos 802.11 a contrarrestaron la falta de exito en el mercado pubJicando tarjetas dual-band/dual-mode 0 tri-mode que pueden manejar automaticamente multiples estandares (802.11a y 802.lIb para tarjeta dual-band/dual-mode 0 802.11a, S02.lIb y 802-11g para tarjetas tri-mode) 0 publicando puntos de acceso que pueden soportar todos los estandares simultaneamente.

• 802.11g - En junio de 2003, se ratifico un tercer estandar para codificar, 802.11g, S02.1Ig funciona en la banda de 2.4 GI-Jz como 802,11 b, pero opera a una velocidad promedio de 54 Mbps 0, mas generalmente, a aproximadamente 24.7 Mbps neto de conexion, como pOI' ejemplo 802.11a. Es totalmente compatible hacia atras con 802.11 b.

• 802.I1i - En junio de 2004, el IEEE ratifico el estandar de seguridad 802.IIi para tecnologia inalambrica, Remplazo el debil protocolo Wired Equivalent Privacy (WEP) e introdujo el protocolo Robust Secure Network (RSN) para establecer comunicaciones seguras, El estandar de IEEE 802.11 i utiliza los esquemas de autenticacion de 802,IX y Extensible Authentication Protocol (EAP) adem as de un nuevo esquema de encripci6n Advanced Encryption Standard (AES) y esquema dinamico de distribucion clave - Temporal Key Integrity Protocol (TKIP).

Un esquema alternativo de autenticacion, que utiliza una metodologia clave precornpartirda, es tambien apoyada en la especificacion de 802.11 i. Esta esta disefiada para ambientes Small Office Home Office (SOHO) que pueden no tener los recursos para desplegar una infraestructura de 802.IX,

• 802.11n - una velocidad estandar de 100 Mbits - incluso 250 Mbits en la Capa Fisica (PRY) - de modo que de 4 a 5 veces mas rapido que los estandares 802.11 b y 802.11 g. Tambien ofrece una mejor distancia de operacion en las actuales redes que no utilizan velocidades mas elevadas.

La figura 4.9 resume los principales puntos de varios estandares de WLAN.


403

Figura 4.9

ii;7 .L"'" .. .sr iri..J0.:·c~I!!' lew:UA'N+ """:::,!""",,,,"""""""'"
m"'''_ :,
Estandar Velocidad ~~quema de Seguridad Pros ICons
de Datos Modulacion
IEEE 802.11 Hasta 2Mbps en la FHSS 0 DSSS WEPyWPA Esta "':;Y",\,;U,,,,,,,IVl1 ha sido extendida
banda de 2,4 OHz 802.11 b. "",___ """
Hasta54 Mbps en la _ ..... _, ... ---
IEEE 802.lla OFDM WEPyWPA Los productos que adhieren a esta
I (Wi-Fi) banda de 50Hz norma se considera que estan
I certificados por Wi-Fi. Ocho canales
I
I disponibles y menos potencial para
interferencia de Frecuencia de Radio
(RF) que 802.11b y 802.11g. Mejor
I que 802.11 b en soportar voz
I ! multimedia, aplicaciones de video y de
imagen grande en entornos de usuario
densamente poblados. Radio de accion
relativamente mas COltO que 802.11 b.
No interoperable con 802.11 b.
IEEE 802.llb Hasta 11 Mbps en la DSSS conCCK WEPyWPA Los productos que adhieren a esta
(Wi-Fi) banda de 2.4 OHz norma se considera que estan
I certificados por Wi-Fi. No
interoperable con 802.11 a. Requiere de
menos puntas de acceso que 802.11a
para cobertura de areas grandes, Ofrece
acceso de alta velocidad a los datos de
I hasta 300 pies (91.46 m) desde la
I estacion base. 14 canales disponibles
I en la banda de 2.40Hz con solo tres
IEEE802.llg canales que no s~~uperponen.
Hasta 54 Mbps en la OFDMpor arriba WEPyWPA Los productos que adhieren a est a
I (Wi-Fi) banda de 2.4 GHz de 20 Mbps, norma se considera que estan
I DSSS conCCK certificados por Wi-Fi. Puede
i por debajo de 20 reemplazar a 802.11 b. Aumentos de
Mbps seguridad mejorada por encima de
I 802.11. Compatible con 802.11 b.
I Catorce canales disponibles en la banda
I de 2.401-lz con solo tres canales que no
, se superponen,
i IEEE 802.11i i Hasla I I Mbps en la DSSS WPA, TKIP, i Agrega el protocolo de seguridad de
! (Wi-Fi) I banda de 2.4 OHz WPA2, AES, I AES a la norma 802.11 para las
I I RADIUS WLANs. La seguridad ha sido una
i I preocupacion primaria para desplegar
redes inalambricas,
~-,' .. -- Hagta 2 Mbps en la FHSS ._--_._ .. No hay soporte oi:iginal para IP, de
Bluetooth PPTP, SSL 0
banda de 2.450Hz VPN modo que no soporta bien TCP/IP y las
aplicaciones de WLAN. Es mas
adecuado para conectar las PDAs,
I telefonos celulares y PCs en intervalos !
I .... _-_._ cortos. I
~-,- .... _ .. _ ...... 404

Manual de Preparacion al Exarnen CISA 2008

(

(

(

(

(

Figura 4.9 (cont.)

Hasta 10 Mbps en la banda de 2.4 OHz

HomeRF ya no es soportado por ningun vendedor 0 grupo de trabajo. Destinado para uso en hogares, no en ernpresas. EI radio de accion es s610 150 pies (45.7 metros) desde la estacion base. Relativamente economico de instalar y de mantener. La calidad de voz es siempre buena porque reserva continuamente un trozo de ancho de banda para servicios de voz. Responde bien a la interferencia a causa de modulacion de saIto de frecuencia.

8610 disponible en Europa. HiperLAt.fes totalmente ad hoc, no requiriendo configuraci6n ni controlador central. No pro vee servicios isocronons reales, Relativamente caro para operar y mantener, Sin garantla de ancho de banda.

Direcciones independientes de red IP para cada red. Los datos son enviados con un algoritmo de encripcion de 56 bits.

Hasta 20 Mbps enTa CSMAI

banda de 50Hz CA

Encripcion por sesion y autenticacion individual.

Hiper LAN/l (Europa)

HiperLAN/2 (Europa)

L_ _

Fuertes funciones de S610 disponible en Europa. Disefiado

seguridad con soporte para transportal' celulas A TM, paquetes

para autenticaci6n de IP, paquetes Firewire (de telefonos

individual y Haves de celulares). Mejor calidad de servicio que

_ .... _ ... __ . L__ __ ---'--=-en::::_c::..:cr-=.o:i :....:.c.~!'J~_po_=_r-=-se_'_'sc..c.io-'-" n='_...l...C_H::..:cilC_e::..:cr=L-=--,A=N_c_/Lyg~raQJi~~~ncho de banda.

Hasta 54 Mbps en la OFDM banda de 50Hz

WIRED EQUIVALENT PRIVACY (WEP)

La encripcion Wired Equivalent Privacy (WEP) de IEEE 802.11, usa c1aves simetricas privadas, que significa tarjeta de interfaz de red basada en radio del usuario final (NIC) y el punto de acceso debe tener la misma clave. Esto lleva a dificultades periodicamente involucradas con la distribucion de nuevas claves a cada NIC. Como resultado, las c1aves permanecen inalteradas en las redes por tiempos prolongados. Con las c1aves estaticas, varias herramientas de hacking facilmente irrumpen en los mecanismos de encripcion de WEP relativamente debiles,

Debido al problema de reutilizacion de c1aves y a otros defectos, la actual version estandarizada de WEP no ofrece una seguridad 10 suficientemente fuerte para la mayoria de las aplicaciones corporativas. Los protocolos mas nuevas de seguridad, tales como S02.lli y Wi-Fi Protected Access (WPA), sin embargo, utilizan tecnicas de criptografia de Have publica para proveer autenticacion y encripcion efectivas entre los usuarios y los puntos de acceso.

REDES INALAMBRICAS DE AREA PERSONAL

Las Redes Inalambricas de Area Personal (WPANs) son redes inalambricas de corto alcance que conectan los dispositivos inalambricos entre sf. La forma mas dominante de tecnologla WPAN es Bluetooth, que enlaza dispositivos inalambricos a distancias muy cortas. La forma mas antigua de conectar dispositivos en una forma WPAN son las comunicaciones infrarrojas (IR).


405

406


Bluetooth es un estandar de fuente abierta que toma prestadas muchas caracteristicas de los estandares inalambricos existentes, como pOl' ejemplo IEEE 802.11, IrDA (Infrared Data Association), DECT

(Digital Enhanced Cordless Telecommunications), el Piano de Motorota y TCP/IP, para conectar {

dispositivos portatiles sin alambres, por medio de frecuencias de radio de corto alcance (RF).

Bluetooth es un protocolo inalambrico que conecta dispositivos dentro de un alcance de hasta 15 metros /47 pies y que se ha convertido en una caracterlstica de algunos PDAs, telefonos moviles, teclados de PC, ratones, impresoras, etc. Es un sistema que cambia frecuencias de un momento a otro usando una tecnica Hamada frequency-hopping y que tiene un alcance efectivo de aproximadamente 10 metros /37 pies, pero

ocasionalmente mayor. Bluetooth esta empezando a aparecer en los sistemas de computadora, en especial (

libros de notas, como un sustituto de los cables flsicos y de las conexiones infrarrojas, que se limitan ala

Hnea de vista. Los dispositivos Bluetooth se encuentran el uno at otro cuando estan dentro del alcance y automaticamente establecen una conexion de fondo.

Bluetooth permite velocidades elevadas de datos (entre 1 Mbps y 2 Mbps), pero esta disefiado solo para transferencia de datos entre semejantes. Una nueva forma emergente de la tecnologia WPAN, Hamada ZigBee, ofrece velocidades mas lentas de datos (250 Kbps) que Bluetooth, pero es mas barata que Bluetooth y requiere de mucho menos energia para funcionar.

REDES AD HOC

Las redes ad hoc son redes disefiadas para conectar a los dispositivos remotes de manera dinamica, como pOl' ejemplo, los telefonos celulares, las laptops y las PDAa. Estas redes se denominan ad hoc a causa de sus cambiantes topologias de red. Mientras que las WLANs 0 WPANs usan una infraestructura fija de red, las redes ad hoc mantienen configuraciones aleatorias de red, basandose en un sistema de routers moviles conectados por enlaces inalambricos para perrnitir que los dispositivos se comuniquen, Las redes Bluetooth pueden comportarse como redes ad hoc, ya que los routers m'viles controlan las topologlas cambiantes de red de estas redes, Los routers tambien controlan el flujo de datos entre los dispositivos

que son capaces de soportar enlaces directos entre sf. A medida que los dispositivos se desplazan en una (

forma impredecible, estas redes deben ser reconfiguradas en su trayectoria para manejar la topologia

dinamica, EI protocolo de enrutamiento empleado en Bluetooth permite a los routers establecer y

mantener estas redes cambiantes.

EI router movil esta comunmente integrado en un dispositivo tal como una PDA, un notebook 0 un telefono movil. Este router movil, cuando es configurado, asegura que un dispositivo remoto, movil, como pOl' ejemplo un telefono movil, permanezca conectado con la red. EI router mantiene la conexi6n y controla el flujo de comunicacion,

PROTOCOLO DE APLICACION INALAMBRICA (W AP)

El protocolo de aplicacion inalambrica (WAP) es un termino general usado para describir el protocolo de capas multiples y las tecnologfas relacionadas que traen el contenido de Internet a los dispositivos moviles inalambricos tales como las PDAs y los telefonos celulares, Los protocolos W AP se basan en gran medida en tecnologias de Internet. La motivaci6n para desarrollar W AP fue extender las tecnologias de Internet a las redes, soportadores y dispositivos inalambricos,

W AP soporta la mayorla de las redes inalambricas y es soportado por todos los sistemas operativos creados especificamente para dispositivos manuales y algunos telefonos moviles,

Estos tip os de dispositivos que usan pantallas y tienen acceso a Internet, ejecutan 10 que se denominan microbrowsers ~ con que tienen tamafios de archivos pequefios que pueden acomodar las limitaciones de poca memoria de dispositivos manuales y las limitaciones de bajo ancho de banda de una red inalambrica

manual. A pesar de que WAP soporta HTML y XML, el lenguaje WML (una aplicacion de XML) esta disefiada especfficamente para pantallas pequefias y navegacion de una mana sin teclado.

WML es escalable desde pantallas de dos lineas de texto hasta pantallas graficas que se encuentran en articulos como por ejemplo telefonos inteligentes, PCs de bolsillo y comunicadores. WAP soporta tambien WMLScript. Es similar a JavaScript pero hace demandas minimas a la memoria y a la potencia de la CPU, porque es mas especifica y no contiene muchas de las funciones innecesarias que se encuentran en JavaScript yen otros lenguajes de escritura.

Los siguientes son problemas y exposiciones generales relacionados con el acceso inalambrico:

• La Intercepchin de informacion sensitiva - La informacion es transmitida por el aire de modo que aumente el potencial para que la informacion no protegida sea interceptada por personas no autorizadas.

• La Perdida 0 robo de dispositivos - Los dispositivos inalambricos tienden a ser relativamente pequefios de modo que pueden ser robados 0 perdidos mucho mas facilmente. Un intruso (hacker) puede facilmente Ilegar a la informacion como la contrasefia 0 PIN protegido.

• El Abuso de dispositivos - Los dispositivos pueden ser usados para recolectar informacion 0 interceptar informacion que esta siendo pas ada a traves de redes inalambricas para beneficio financiero 0 personal.

• La Perdlda de datos contenidos en los dispositivos - E1 tamafio de los dispositivos los hace susceptib1es a robo 0 perdida, Esto puede tener como consecuencia 1a perdida de datos que han sido a1macenados en estos dispositivos. EI almacenamiento va desde unos pocos MBs a varios GBs dependiendo del dispositivo.

• Distracciones ocasionadas por los dispositivos - El uso de dispositivos inalambricos puede tener como consecuencia distracciones para el usuario. Si estos dispositivos estan siendo usados en situaciones en que se requiere toda 1a atencion de un individuo (por ejemplo conducir un automovil) entonces estas pueden tener como consecuencia un aumento en el numero de accidentes.

• Posibies efectos del uso de dispositivos sobre Ia salud -Los peligros de seguridad 0 para la salud aim no han sido identificados. Sin embargo, existen actualmente un numero de preocupaciones con respecto a la radiacion electromagnetica en especial para los dispositivos que deben ser mantenidos junto a la cabeza para su uso.

• Autentlcaclon de usuario inaIiimbrico - Hay una necesidad de herramientas inalambricas mas fuertes de autenticacion y de autorizacion de usuario al nivel de dispositivos. La tecnologia actual esta recien emergiendo.

• Seguridad de archivos - Los telefonos inalambricos y los PDAs no usan el tipo de seguridad de acceso de archivos que las otras plataformas de computadora pueden proveer.

• Encripcton Alambrica de Seguridad de Prlvacidad Equivalente (WEP) - La seguridad de WEP depende en particular de Ia longitud de la Have de encripcion y del uso de WEP estatica (muchos usuarios en una WLAN comparten la misma Have) 0 WEP dinamica (por usuario, por sesion, Have de WEP dinamica Jigada al logon de la red). Las Haves de encripcion de 64 bits que estan en uso en la encripcion estandar de la WEP pueden ser facilrnente rotas por 1a energia de compute actualtnente disponible. La WEP estatica, usada en muchas WLANs para propositos de flexibilidad, es un serio riesgo de seguridad, como una llave estatica puede facilmente perderse 0 romperse, y una vez que esto ha ocurrido, toda la informacion queda a disposicion para vel' y usar. Un atacante que posea la Have WEP podrla tambien husmear paquetes que estan siendo transmitidos y desencriptarlos ..

• Interoperabilidad - La mayoria de los vendedores ofrecen modos de encripcion de 128 bits, sin embargo, no estan estandarizados de modo que no hay garantia de que interoperaran, El uso de la clave de encripcion de 128 bits tiene un impacto importante sobre el desempefio con 15% a 20% de degradacion experimentada. Algunos vendedores ofrecen soluciones patentadas, sin embargo, esto solo funciona si todos los puntos de acceso y tarjetas inalambricas provienen del mismo vendedor.


407

• El Uso de redes subordinadas inalambrlcas - Para aumentar la seguridad es posible crear redes subordinadas especiaJes para trafico inalambrico y requieren autorizaci6n antes de que los paquetes sean enrutados.

• Punto de traducchin - Ubicaci6n donde la informaci6n esta siendo transmitida poria via de la red inalambrica es convertida a la red alambrica, En este punto la informaci6n que ha sido comunicada porIa via del modelo de seguridad de W AP usando la seguridad inalambrica de capas de transporte es convertida a capa segura de socket. En este punto, la informaci6n es desencriptada y luego encriptada nuevamente para comunicaci6n por la via de TCP/IP.

Infraestructura Publica "Global" De Internet

EI Internet esta constituido por redes que se conectan entre sf via pasos, que permiten el intercambio de (

informacion, de datos y de archivos. Estar conectado a la Internet significa ser 16gicamente parte de esta,

Usando estos pasos, una computadora conectada puede enviar 0 recibir paquetes de datos a /desde (

cualquier otro dispositivo de Internet.

En la actualidad, la Internet es una vasta red global de redes, que van desde redes universitarias hasta redes corporativas de area local hasta grandes servicios en tfnea. Ninguna persona individual, grupo u

organizaci6n opera la Internet. Lo unico que esta controlado centralmente es la disponibilidad y (

asignacion de direcciones de Internet y de los nombres simbolicos de anfitrion adjuntos. Las direcciones

y nombres se usan para localizar las redes fuente 0 destino.

Los usuarios pueden tener acceso a Ia Internet a traves de 0 bien una red de area local en un lugar de negocio 0 discando en una computadora conectada a la Internet pOl' medio de un servicio en linea 0 un proveedor de servicio de discado de Internet (ISP). Los routers, que conectan redes, realizan la mayoria del trabajo de dirigir el trafico en la Internet. Los routers examinan los paquetes de datos que viajan a traves de la Internet para vel' adonde se dirigen los datos. Basados en el destine de los datos, los routers los dirigen a la ruta mas eficiente (generalmente a otro router), que a su vez 10 envian al siguiente router y as! sucesivamente. Las redes estan conectadas en muchas formas diferentes. Hay lineas de telefono dedicadas que pueden transmitir datos hasta a 56 Kb pOl' segundo. Hay un numero cada vez mayor de Iineas arrendadas T-l que pueden llevar 1,544 Mb de datos pOI' segundo. Los enlaces de velocidad mas elevada de lfneas T-3, que pueden llevar datos a 44.746 Mb pOl' segundo, se usan tambien. Los satelites pueden tambien conectar redes, como tambien pueden los cables de fibra optica 0 las lineas telefonicas ISDN.

Las redes en un area geografica en particular estan conectadas en una gran red regional. Las redes regionales estan conectadas entre sf por medio de backbones de alta velocidad (conexi ones que pueden enviar datos a velocidades extremadamente alta). Cuando los datos son enviados desde una red regional a otra, ellos primero viajan a un punta de acceso a red (NAP). Los NAPs luego enlutan los datos a backbones de alta velocidad, tales como los servicios de red de backbone de alta velocidad CBNS), que pueden transmitir datos a 155 Mbps. Los datos son entonces enviados a 10 largo del backbone a otra red regional y luego a una red y computadora especificas dentro de esa red regional.

TCP/IP Y SU RELACION CON EL MODELO OSI DE REFERENCIA

La suite de protocolos impuesto como estandar de uso para la Internet se conoce como el Protocolo de Control de Transmision /Protocolo de Internet (PCP/IP). TCP/IP incluye tanto los protocolos orientados a la red como los protocolos de soporte de aplicaci6n. El figura 3.6 muestra algunos de los estandares asociados con la suite TCP/IP y d6nde estos encajan dentro del modele ISO. Es interesante notar que el conjunto de protocolos TCP/IP fue desarrollado antes que Ia estructura ISOIOSI; por lo tanto, no hay una coincidencia directa entre los estandares TCP/IP y las capas de la estructura.

408


Figura 4.10

Estandares Asociados con Ia Suite TCP/IP
._c ___ . ___ ._ ...
Modelo Referencia Capas Conceptuales Protocolos
ISO TCP/IP --_ .. _-----_."-_ .. ,',,._. • , •• _0 •••••• ___ •
--,_ ... ",_,-- ----------------
7 Aplicacion Aplicacion File Transport Protocol (FTP)
Remote Terminal Control Protocol (Telnet)
Simple Mail Transport Protocol (SMTP)
Name Server Protocol (NSP)
-_. _-", --- Simple Network Management Protocol (SNMP)
6 Pl~esentllci6n
5 Sesion
--------- -- ---- Transrnision Control Protocol (TCP)
4 Transporte Transporte
User Datagram Protocol (UDP)
3 Red Interfaz de Red Internet Protocol (IP)
.-, ..
2 Enlace de Datos Interfaz de LAN 0 de Ethernet, Token Ring,
1 Ffsica WAN Point-to-point Protocol (PPP) SERVICIOS DE TCP/IP WORLD WIDE WEB DE INTERNET

La forma mas comun que los usuarios tienen acceso a los recursos en la Internet es a traves del servicio de aplicacion World Wide Web TCP/IP de Internet. Este servicio de aplicacion de Internet es la parte de mas rapido crecimiento y mas innovadora de la Internet. Cuando el usuario navega en la web, visualiza paginas multimedia compuestas de texto, graficas, sonido y video. La web usa enlaces de hipertexto que permiten a las conexiones sal tar desde cualquier lugar en la web a cualquier otro lugar en la web; el lenguaje que permite al usuario activar los enlaces de hipertexto y visualizar las paginas web se llama lenguaje Hipertext Markup (HTML). La web esta implementada sobre la base de un modelo clienteservidor, EI software de cliente, como pOl' ejemplo Microsoft Internet Explorer 0 Mozilla Firefox, es conocido como un navegador de la web, y los usuaries 10 utilizan en su computadora local para tener acceso a los recursos basados en servidor en la web. EI software de servidor se ejecuta en una anfitriona de la web, que a menudo es un sistema Windows 0 UNIX.

Otra terrninologia asociada al acceso y uso del servicio www inc1uye:

• URL - EI Localizador de Recursos Uniforme (Uniform Resource Locator - URL) identifica la direccion en el www donde esta localizado un recurso especffico. Para ara tener acceso a un sitio web, un usuario entrara al sitio en los Iocalizadores universales de recursos de su navegador CURL), en el espacio para URL 0 el usuario puede dar click en el enlace de hipertexto que los enviara a la Iocalizacion, EI navegador web busca la direccion IP del sitio, y envia una solicitud de la URL pOl' medio del Protocolo de Transferencia de Hipertexto (http). Este protocolo define como el navegador web y el servidor web se comunican entre sf.

Manual de Preparacion al Examen CISA 2008

409

Los URLs contienen varias partes. Un ejemplo de un URL es http://www.isaca.ol.g/certl.htm

1. El http:// detalla que protocolo de Internet se debe usar

2. EI sitio www.isaca.org identifica el dominic y servidor a ser contactados. Es normal usar la primera parte del nombre de servidor ("www" en este caso) para identificar la cIase de recurso de Internet que esta siendo contactado, 0 para dirigir varios servidores en el mismo dominio (i.e., isaca.org), como por ejemplo: web 1, web2, ftpl , ftp2. Un URL puede usar una direccion IP en lugar de un nombre de dominio.

3. La/certificacion identifica un directorio especifico, un home page, documento u otro objeto en el servidor con el servidor.

Nota: Un URL pueden tarnbien usarse para tener acceso a otros servicios TCP/IP de Internet:

ftp;llisaca.org telnet:/ lisaca.org

EI URL es la ubicaci6n de recursos especificos (e.g., paginas, datos) 0 servicios en la Intenet. En el ejemplo, el recurso es una pagina web Hamada "certificaci6n" y se encuentra en el servidor web de ISACA. Esta solicitud se envia a traves de la Internet, y los routers transfieren la solicitud a 1 servidor web dirigido, el cual activa el protocolo http y procesa la solicitud. Cuando el servidor encuentra entre sus recursos Ia home page, documento u objeto solicitado, envia 1a solicitud (figura 4.11) de regreso al navegador web. En el caso de una pagina HTML, 1a informaci6n enviada de regreso contiene datos y especificaciones de formateo. Estas estan en la forma de un programa que es ejecutado pOl' el navegador web del cliente y produce Ia pantalla que se muestra al usuario. Despues que la pagina es enviada por el servidor, la conexi6n http se cierra y puede ser reabierta. La figura 4.12 muestra la ruta,

Figura 4.11

• Scripts de Common Gateway Interface (COl) - Un programa de software ejecutable, independiente de la maquina, ejecutado en el servidor, que puede ser llamado y ejecutado par una pagina de servidor web. Realiza un conjunto especffico de tareas, tales como pro cesar informacion entrante recibida de un c1iente que escribio informaci6n en un fonnulario en un servidor web. Es corrido en el servidor y esta generalmente codificado en lenguajes como Perl 0 C. N6tese que las encripciones CGI necesitan sel' evaluadas estrechamente, pOl'que como eIlas corren en el servidor, una fa11a (bug) en ellos puede permitir que un usuario obtenga acceso no autorizado al servidor y desde alli eventualmente a la red de la organizaci6n.

• Cookie - Un mensaje mantenido en el navegador web con el fin de identificar usuarios y posiblemente preparar paginas web personalizadas para elias. Dependiendo del navegador, la implementacion puede variar, pero el proceso es el siguiente. Cuando se ingresa por prirnera vez a un sitio web que usa cookies, es posible que se solicite al usuario que pase pOI' un proceso de registro tal como llenar un fonnulario suministrando informacion que inc1uye nombre e intereses, El servidor web enviara de regreso una cookie con informaci6n (mensaje de texto en encabezado de http), que sera mantenida como un mensaje de texto por el navegador. Luego, cada vez que el usuario solicite nuevamente una pagina de ese servidor en particular, el mensaje de la cookie es enviado de regreso al


(

(


411

servidor, para que se pueda producir la visualizaci6n personalizada, basada en los intereses 0 preferencias particulares de ese usuario. Las cookies son una funcionalidad importante, pOl'que el proto colo http no soporta originalmente el concepto de sesi6n. Las cookies permiten que el servidor web discierna si un usuario conocido esta conectado 0 si es uno nuevo, y lleve cuenta de la informaci6n enviada anteriormente a ese usuario. La implementaci6n del navegador de cookies, sin embargo, ha traldo varias preocupaciones de seguridad, permitiendo violaciones de seguridad y el robo de informaci6n personal (e.g., contrasefias de usuarios que validan la identidad del usuario y permiten servicios restringidos de la web),

• Applets - Programas descargados de los servidores web que se ejecutan en los navegadores web en las maquinas del cliente para ejecutar cualquier aplicaci6n basada en la web (e.g., general' forrnularios de entrada de pagina web, ejecutar programas de audio/video, etc.) Los lenguajes mas comunes usados para applets son Java, JavaScript y Visual Basic. Los applets exponen a la maquina del usuario a riesgos, si no son debidamente controlados pOl' el navegador. Por ejemplo, el navegador del usuario debe estar configurado para no perrnitir que un applet tenga acceso a la informacion de una maquina sin la previa autorizaci6n del usuario.

Figura 4.12

• Servlets - Este terrnino indica tipicamente un applet de Java 0 un pequefio programa que se ejecuta dentro de un entorno de servidor web. Un Java Servlet es similar a un programa COl, pero a diferencia de un programa COl, una vez que es iniciado permanece en memoria y puede satisfacer multiples solicitudes, ahorrando as! tiempo de ejecuci6n del servidor y acelerando los servicios,

• Bookmark - Un marcador 0 direcci6n que identifica un documento 0 un lugar especifico en un documento.

Los terminos siguientes estan relacionados con el uso de la Internet:

• Provcedor de servicio de Internet (ISP) ~ Compafiias que proveen las Iineas de comunicacion y los

servicios para conectar a los usuarios (empresas, universidades, personas, etc.) a la Internet. (

• Punto de Acceso a la Red (NAP) ~ Estos son puntos de concentraci6n de trafico, por 10 general el punto de convergencia para accesos de muchos proveedores de servicios de Internet

• Enlace de Internet ~ La conexion entre los usuaries de Internet y el proveedor de servicios de Internet.

• Protocolo de control de terminal remota (TELNET) ~ Un proto colo estandar de ernulacion de

terminal usado para las conexiones de terminales remotas, que permite a los usuarios registrarse en sistemas remotos y usar recurs os como si ellos estuvieran conectados a un sistema local. Un auditor de SI debe notar que el trafico estandar de Telnet no esta encriptado por defecto y considerar este riesgo para cualquier uso de producci6n de Telnet.

• Servicios de nombre de dominio (DNS) - Un sistema distribuido de base de datos que traduce nombres de anfitriones a direcciones de Protocolo de Internet (IP) y direcciones de IP a nombres de anfitri6n, donde un nornbre de anfitrion es un URL en la World Wide Web. Esta tarea se hace a traves de servidores especializados de DNS, que son interrogados por medio de un protocolo especffico.

• Conexlon directa - Las LANs 0 las grandes computadoras, como las mainframes, que pueden estar directamente conectadas a la Internet. Cuando una LAN esta conectada a la Internet, todas las computadoras en la red pueden tener pleno acceso a la Internet.

• Dispositivo de Internet (dispositivo portatil manual, tambien lIamado Net 0 dispositivo inteligente) ~ Un dispositive de Internet de bajo costo como par ejemplo un PDA, que tiene un procesador habilitado para Web, es facil de usar y puede ser usado en cualquier parte, en cualquier momento. Dicho dispositivo tiene una computadora, con potencia de procesamiento, m6dem y monitor limitados, y capacidad de ahnacenamiento y s610 funciones esenciales. Los programas son corridos desde un servidor de Internet en lugar de serlo desde el artefacto, y los datos son almacenados en el servidor en vez de serlo en el artefacto.

• Servicios en linea - Todos los principales servicios en linea penniten a los usuarios utilizar toda la potencia de la Internet. No se requiere ninguna preparaci6n especial. Cuando los usuarios discan los

servicios en linea, ell os pueden usaf los recursos de Internet, incluyendo navegar la World Wide Web.

• Protocolo de Transferencia de Archivos (FTP) - Un protocolo que soporta uno de los usos mas populares de la Internet cargando archivos desde una computadora en la Internet a la computadora del

usuario. Estos archives pueden ser de muchos tipos, incluyendo programas que el usuario puede

correr en su computadora, graficas, sonidos y musica, 0 archivos de texto que pueden ser leidos, La

mayoria de los archivos de Internet son bajados usando el Protocolo de Transferencia de Archivos

(FTP). Tambien se puede usar para cargar archivos desde la computadora a otra computadora en la

Internet. Para conectarse a un sitio FTP y bajar archivos, es posible que se necesite ingresar un

numero de cuenta (0 nombre de usuario) y una contrasefia antes que el servidor 0 el sistema permite

al usuario bajar 0 cargar archivos. Algunos sitios permiten a cualquiera entrar y bajar archivos. Estos

sitios son a menudo referidos como sitios an6nimos de FTP. Como la definici6n 10 sugiere, el FTP

anonimo requiere s610 un ID y contrasefia ficticios para transferir archivos. Los sitios anonimos de

FTP pueden ser potenciahnente peligrosos si el administrador de red que esta estableciendo el sitio no

entiende plenamente los riesgos asociados con el FTP an6nimo. Si los permisos de archivo no han

sido especificados, el usuario de FTP anonimo podria tarnbien cargar libremente archives al servidor, introduciendo nuevos archivos 0 cambiando los archivos existentes.

• Protocolo sencillo de transporte de correspondencia (SMTP) ~ Un protocolo de Internet que provee servicios electr6nicos de correspondencia

TERMINOLOGIA GENERAL DE INTERNET

412


(

(

(


413

FLUJO DE DATOS TRANSFRONTERA

El flujo de datos transfrontera se refiere a la transmisi6n de datos entre dos palses, Los datos y los programas pueden transmitirse poria via de cables suboceanicos, por cable, telefono, enlaces de televisi6n Y por satelites, La selecci6n de las alternativas debe incluir el costa y las posibles demoras de transmisi6n. EI pats de origen 0 el pais de destino podria tener varias leyes aplicables al flujo de datos transfrontera que deberla ser tratadas. EI cumplimiento y la protecci6n legales, asi como tam bien la seguridad y la integridad de los datos son una preocupaci6n con las transmisiones transfrontera.

La privacidad es tambien un aspecto, porque las leyes respecto a la protecci6n y el acceso a la informacion personal pueden ser diferentes 0 conflictivas entre los palses fuente y destino.

Algunos paises tienen tambien leyes que conciernen a la encripci6n de datos /informacion enviada a traves de comunicaciones transfrontera afectando asi la seguridad y la protecci6n de los datos que pueden ser intercambiados entre los paises

Esto es un aspecto particularmente importante en las comunicaciones de Internet, porque el direccionamiento de la informaci6n es determinado por los routers y no es fijo y, pOl' 10 tanto, puede atravesar la frontera de un pais (inc1uso mientras se conectan dos computadoras ubicadas en el mismo pais.

Admlnlstraclen y Control de Red

La administracion de red asegura que la red este funcionando debidamente desde una perspectiva de desempefio y seguridad. Estas funciones incluyen uso de monitoreo y throughput, balanceo de carga, reaccion frente a las violaciones de seguridad y condiciones de falla, guardar y restaurar datos, y hacer cambios para la escalabilidad a medida que crece el uso de Ia red. POl' 10 tanto, se requiere un conocimiento apropiado de la estructura y topologia de red, los protocolos us ados y la administracion disponible.

El software usado para monitorear la red y efectuar cambios deberia ser accesible al administrador de red solamente. Este software es el software de sistemas operativos de red asociado con dispositivos especificos de red en la arquitectura de red de una organizacion, principal mente switches y routers.

Los sistemas operativos de red proveen muchas funciones, dirigidas a dar forma a la red como un entorno de computaci6n unificado, controlado y uniforme, que incluye:

• Soportar el acceso local y remoto a terminales para anfitriones y servidores,

• Soportar recursos compartidos de red comun, tales como servicios de archivo y de impresora

• Establecer enlaces a anfitriones y servidores.

Los sistemas operativos de red tienen las siguientes funciones orientadas a usuarios:

• Perrnitir el acceso trans parente a los diversos recursos de los anfitriones de la red, o Verificar la autorizacion de usuario a recursos particulares,

• Medial' y simplificar el acceso a los recursos remotos tan facilmente como a los recursos locales

• Establecer procedimientos uniformes de logon y de contabilidad en toda la red

• Hacer que la documentacion de red en linea esta disponible hasta el ultimo minuto

• Permitir una operacion mas confiable que la que es posible en un solo anfitri6n 0 servidor, en especial cuando se usan grupos de anfitriones equivalentes.

(

MEDIDA DEL DESEMPENO DE LA RED

La metrica 0 las medidas de desempefio son medidas de latencia y rendimiento de la comunicacion ( throughput).

Latencia es la demora que tendra un mensaje 0 paquete en su paso desde la fuente hasta el destino. La latencia aparece porque la informacion necesita atravesar diferentes dispositivos (conmutacion y tiempo de direccionamiento) y, en menor grado, porque las sefiales deben viajar cierta distancia (demora de propagacion), Cuando un dispositivo de red esta ocupado, los paquetes deben 0 bien esperar en fila en un buffer 0 tienen que ser abandonados (solo dejarlo caer). Una forma muy sencilla de computar una latencia en una red TCP/IP, es usar el comando ping,

(

Throughput es la cantidad de trabajo util hecha pOl' el sistema por unidad de tiempo. En las telecomunicaciones, es el numero de bytes pOl' segundo que estan pasando en un canal.

ASPECTOS DE LA ADMINISTRACION DE RED (

Hoy es mucho mas comun (y 10 sera attn mas en el futuro) vel' los WANs constituyendose con una combinaci6n de trafico de SNA y de LAN 0 de puro trafico orientado a LAN. En otras palabras, casi

todas las organizaciones estan estandarizando su infraestructura de telecomunicaciones para que esta se

base en TCPIIP yen routers modernos.

Esta tendencia a un enfoque diferente de disefio tecnico tambien se hace evidente pOl' el nombre especifico (red de area amplia) que designa las redes de telecomunicaci6n en un entorn de TCP/IP. Un WAN necesita ser monitoreado y administrado de manera similar a una LAN. ISO, como parte de su esfuerzo de creacion de modelos de comunicaci6n, ha definido cinco tare as basicas relacionadas con la administracion de red:

• Administrachin de FaUas - Detectar los dispositivos que presenten algun tipo de falla,

• Administraclen de la Conflguraclen - Ser capaz de conocer, definir y cambial' a distancia la configuraci6n de cualquier dispositivo,

• Recursos de Contabilidad - Tener los registros del uso de recursos en todo el WAN (quien usa (

que),

• Administracion de Desempefio - Monitorear los niveles de uso y dar la alarma cuando se haya transgredido un umbral,

• Adminlstracion de Ia Seguridad - Esta area es cada vez mas compleja, pero como minimo, queremos detectar trafico 0 usuarios sospechosos y general' alarmas en consecuencia.

HERRAMIENTAS DE ADMINISTRACION DE RED

En un entorno moderno que de redes que se interconectan de una organizacion, todas las tareas mencionadas aqui anteriormente podrlan ser realizadas pOl' un con junto de herramientas llamadas genericamente herramientas de administracion de red.

Las siguientes SOil algunas de estas herramientas:

• Reportes de Tiempo de Respuesta - ldentifican el tiempo necesario para que un coman do entrado por un usuario en una terminal sea respondido por el sistema anfitrion. El tiempo de respuesta es importante porque los usuarios que estan experimentando un tiempo de respuesta lento se resistiran a utilizar los recursos de SI en todo su alcance, Estos informes tipicamente identifican tiempos de respuesta promedio, el mejor y el peor tiempo de respuesta en un intervale de tiempo dado para Iineas o sistemas individuales de telecomunicaci6n. Estos informes deben ser revisados poria administraci6n de SI y pOl' el personal de apoyo del sistema para rastrear los problemas potenciales. Si el tiempo de respuesta es lento, todas las causas posibles deben ser investigadas, como por ejemplo

414



415

cuellos de botella del canal 110, utilizaci6n de ancho de banda y capacidad de la CPU, se deben analiza!' divers as soluciones, y se deben emprender las acciones correctivas justificadas por los costos.

• Reportes de Tiempo Improductivo (downtime) Rastrean la disponibilidad de lineas y circuitos de comunicaci6n. En este reporte se identifican las interrupciones debidas a fallas de energia /Iinea, carga excesiva del trafico, error de operador u otras condiciones an6malas estan identificadas en este reporte. Si el tiempo improductivo es excesivo, la administraci6n de SI debe considerar los siguientes remedios:

Agregar 0 reemplazar llneas de telecomunicaci6n,

Cambiar a un enlace mas confiable de transmision (como pOl' ejemplo Iineas dedicadas versus lineas compartidas),

Instalar fuentes de energia de respaldo, Mejorar los controles de aceeso,

Monitorear estrechamente la utilizacion de linea para pronosticar mejor las necesidades del usuario, tanto en el corto como en ellargo plazo.

• Monitores en linea - Verificar la correcei6n y los errores de transmisi6n de datos. EI monitoreo se puede haeer por verificacion de eco (los datos reeibidos son rebotados de regreso al remitente para su verificacion) y verificacion la situacion de todas las transmisiones, para asegurar que los mensajes no se pierdan ni sean transmitidos mas de una vez.

• Analizadores de Protocolo - Herramientas de diagnostico conectadas a un enlace de red que usan inteligencia de los protocolos de red para monitorear los paquetes que fluyen a 10 largo del enlace y producen reportes de uso de red. Tfpicamente estan basados en hardware y operan en el nivel del enlace de datos y /0 de la red. Su resultado incluye las funciones siguientes:

Protocolos en uso

EI tipo de paquete que esta pasando a traves del enlace monitoreado, Analisis del volumen de trafico,

Errores de hardware, el ruido y los problemas de software,

Otras estadlsticas de desempefio (por ejemplo, porcentaje de ancho de banda usado), Problemas y las soluciones posibles.

• Protocolo Simple de Adminlstracion de Red (SNMP) - Este protocolo basado en TCP/[P para una administraci6n de red que monitorea y controla diferentes variables en toda la red, administra las configuraciones y recopila estadisticas sabre el desempefio y la seguridad. Cuando monitorea los dispositivos de red, una consola principal registra todos los dispositivos de manera regular para desplegar la situacion global. El software SNMP es capaz de aceptar, en tiempo real, solicitudes especificas del operador. Basado en las instrucciones del operador, el software SNMP envia ordenes especificas a un dispositive habilitado pOl' SNMP Y recupera la informacion solicitada. Para realizar todas estas tareas, cada dispositivo (routers, conmutadores, hubs, PCs, servidores) necesita tener en ejecucion un agente de SNMP. Las comunicaciones reales de SNMP ocurren entre todos los agentes y la consola.

• Informes de help desk son preparados por el help desk, que tiene un personal 0 es soportado pOl' el personal tecnico de soporte de SI entrenado para resolver los problemas que ocurran en el curso ordinaria de las operaciones de S1. Si un usuario final encontrara algun problema, el usuario puede comunicarse can el help desk y solicitar asistencia, Las facilidades del help desk son criticas para el ambiente de telecomunicaciones ya que brindan a los usuarios finales un medio sencillo de identifiear y de resolver los problemas con rapidez antes de que estes tengan un efecto mayor en el desempefio de SI y en la utilizaci6n de los recursos por el usuario final. Los reportes preparados por el help desk suministran una historia de los problemas y sus formas de resolverlos,

Aplicaciones en un Entorno en Red

Existen diferentes tipos de aplicaciones utilizadas en una arquitectura de red.

TECNOLOGIA CLIENTE I SERVIDOR

Cliente-Servidor es el nombre de la arquitectura de red en la que cada computadora 0 proceso en la red es o bien un servidor (una fuente de servicios y datos) 0 un c1iente (un usuario de estos servicios y datos que se basa en los servidores para obtenerlos). En una tecnologia cliente-servidor, la potencia de computacion disponible puede ser distribuida y compartida entre las estaciones de trabajo. El uso de la tecnologia cliente I servidor es una de las tendencias mas populares en construir aplicaciones dirigidas a los entornos en red. A menudo, en un entorno c1iente-servidor de red, el servidor provee distribucion de datos y funciones de seguridad a otras computadoras que estan funcionando de manera independiente diversas

aplicaciones. (

La arquitectura c1iente /servidor tiene un numero de ventajas, tales como distribuir el trabajo entre los (

servidores y ejecutar tanto trabajo de cornputo como sea posible en la estacion de trabajo del cliente parar

ahorrar ancho de banda y potencia de computacion del servidor. Importantes tareas, tales como

manipular y cambial' los datos, se pueden efectuar localmente y sin la necesidad de controlar los recursos

en la unidad principal de procesamiento. De esta forma, las aplicaciones pueden ejecutarse mas

eficientemente. (

Para lograr estas ventajas, los sistemas de aplicacion cliente /servidor se dividen en partes 0 tareas (

separadas. Ellos estan divididos de modo que el procesamiento puede tener lugar en diferentes maquinas

(e.g., el servidor y la computadora de escritorio). Cada componente de procesamiento depende mutuamente de los otros. Esta es una diferencia principal entre el procesamiento c1iente-servidor y el procesamiento tradicional de mainframel distribuido.

El c1iente tipico es una sola PC 0 estaci6n de trabajo que lleva software que provee una interfaz grafico a los recursos de cornputacion de servidor, La presentaci6n se brinda usualmente por medio de software de procesamiento visualmente mejorado conocido como una Interfaz Grafica de Usuario (GUI). El "servidor" es una 0 mas computadoras de multiples usuarios (estas pueden ser mainframes, minicomputadoras 0 PCs). Las funciones de servidor incluyen cualquier rol soportado centrahnente, como por ejemplo compartir archivos, compartir impresoras, tener acceso a las bases de datos y a Ia administraci6n de los mismos, servicios de cornunicacion, servicios de facsimil, desarrollo de aplicaciones y otros. Las funciones multiples pueden ser soportadas pOl' un solo servidor.

Una arquitectura cliente /servidor normalmente se basa en tres niveles de tareas inforrnaticas (i.e., arquitectura de tres tires),

Una arquitectura de tres tiers esta constituida por:

• Un cliente de baja potencia (liviano), enfocado en hacer tareas ~UI (podrla ser un browser de Internet).

• Un grupo (uno 0 mas) de servidores de aplicacion. Este nuevo tier esta enfocado a ejecutar la logica de aplicaci6n. Estos servidores podrian ejecutar programas generados en JAVA (Ilamados servlets) 0 con otras herramientas de desarrollo.

• Un grupo (uno 0 mas) de servidores de base de datos.

Esta arquitectura no tiene las limitaciones mencionadas para las aplicaciones de dos tiers y tiene otras ventajas, tales como:

• Clientes Iivianos, que son menos complejos y menos costosos de comprar y de mantener.

• Mas escalabilidad (hasta varios miles de usuarios concurrentes) debido a que la carga esta balanceada entre servidores diferentes.

• Puede implementarse en aplicaciones para uso interne solamente 0 en aplicaciones de negocio electronico (en este caso podriamos hacer que el web represente otro tier).

416 Manual de Preparacion al Examcn elSA 2008


417

• La logica de todo el programa esta separada del resto del codigo (poria vfa de servidores de aplicacion),

Los disefios que contienen mas de dos tires son referidos como de multiples tiers 0 n-tiered.

Las aplicaciones de arquitectura de tres tiers son, sin embargo, mas complejas de construir y mas diflciles de mantener que las de dos tiers.

Las aplicaciones de arquitectura de tres tiers son, sin embargo, mas complejas de construir y mas diflciles de mantener que las de dos tiers.

Las ventajas de las arquitecturas de n tires es que son mucho mas escalables ya que balancean y distribuyen la carga de procesamiento entre nodos de servidor especializados multiples, a menudo redundantes. Esto a su vez, mejora el desempefio y la confiabilidad general del sistema ya que mas de la carga de procesamiento puede ser acomodada simultaneamente.

Cada instancia del software de cliente puede enviar solicitudes de datos a uno 0 mas servidores conectados. A su vez, los servidores pueden aceptar estas solicitudes, procesarlas, y devolver al c1iente la informacion solicitada. A pesar de que este concepto puede ser aplicado por una variedad de razones a muchos tipos diferentes de aplicaciones, 1a arquitectura sigue siendo fundamentalmente la misma.

Estos dlas, los clientes son mas frecuentemente web browsers, a pesar de que no ha side siempre el caso. Los servidores inc1uyen tipicamente servidores web, servidores de base de datos y servidores de correo,

La interaccion entre cIiente y servidor se describe a menudo usando diagramas de secuencia, Los diagramas de secuencia estan estandarizados en el Lenguaje Unified Modeling.

Los clientes pueden ser gruesos 0 delgados. Un cliente delgado (a veces llamado tambien un lean client) es una computadora de cliente 0 un software de ctiente en las redes de arquitectura de servidor de cliente que depende primariamente del servidor central para procesar las actividades, y principalmente se concentra en transmitir input y output entre el usuario y el servidor remoto. En contracte, un cliente grueso 0 gordo (fat client) hace tanto procesamiento como sea posible y pasa unicamente datos para comunicaciones y almacenamiento al servidor,

Muchos dispositivos de cliente delgado corren unicamente web browsers 0 software de escritorio remoto, en el sentido que todo el procesamiento significativo ocurre en el servidor. Sin embargo, los dispositivos recientes comercializados como clientes delgados pueden correr sistemas operativos completos tales como Debian GNU/Linux calificandolos como nodos sin disco 0 clientes hibridos.

Ya sea que los clientes sean delgados 0 gruesos, y que las arquitecturas de servidor de cliente sean de dos tiers, tres tiers 0 n tiers, la entrega y el soporte son igualmente importantes para lograr los objetivos del negocio.

Desaflos del Negocio

El rapido crecimiento y complejidad de los entornos cliente/servidor desaflan la capacidad del personal de TI de administrar y soportar eficazmente los entornos,

Mas compafifas se estan trasladando a plataforrnas c1iente/servidor a medida que su mision /aplicaciones criticas se vuelven mas complejas,

Las compafiias estan experimentando mas problemas integrando cambios de aplicacion a los sistemas de red existentes,

EI gran movimiento de personal como resultado de la demanda de tecnicos cliente Iservidor se suma al costa de contratar y entrenar, haciendo un gran impacto sobre los presupuestos,

Las compafiias que tienen numerosos lugares de oficinas y una estrategia agresiva de fusion /adquisicion no tienen sistemas cliente/servidor localizados centralmente, Adicionalmente, multiples lugares requieren soporte para una amplia variedad de sistemas operativos, haciendo diflcil administrar y soportar los sistemas debidamente.

La soluci6n (

Para resolver los desafios del negocio, la gerencia tiene que ocuparse del dominio "Entrega y soporte

(OS) de Cob iT. Al dominic Ie concierne la entrega real de los servicios requeridos, que incluye entrega

de servicio, administracion de la seguridad y continuidad, soporte de servicio para los usuarios y administraci6n de datos e instalaciones operacionales. Tipicamente responde a las siguientes preguntas de

gerencia:

6Los servicios de TI son entregados en linea con las prioridades del negocio? 610s costos de TI estan optimizados?

61a fuerza laboral puede usar productiva y seguramente los sistemas de TI?

l,I-lay confidencialidad, integridad y disponibilidad adecuadas para seguridad de informacion?

Para responder las preguntas anteriores, la gerencia tiene que resolver cada uno de los Objetivos de Control de CobiT de los siguientes procesos correspondientes al dominio "Entrega y Soporte" (OS):

DS 1 Definir y Administrar los Niveles de Servieio OS2 Administrar Servicios de Tereeros

OS3 Administrar Desempefio y Capaeidad

DS4 Asegurar Servieio Continuo

OSS Asegurar Seguridad de Sistemas

OS6 Identificar y Asignar Costos

OS7 Educar y Entrenar a los U suarios

OS8 Adminsitrar Escritorio de Servicios e Incidentes OS9 Administrar la Configuracion

OS 1 0 Administrar Problemas

OS11 Administrar Datos

OS I 2 Administrar el entorno flsico OS 13 Administrar las Operaciones

MIDDLEWARE

Middleware es un terminos especffico cliente I servidor usado para describir una clase (mica de software empleado por las aplieaciones cliente I servidor. Sirve como un pegamento entre dos aplicaciones de otro modo diferentes, Provee servicios como pOI' ejemplo identificacion, autenticaci6n, autorizacion, directorios y seguridad. Este software reside entre una aplicacion y la red y administra la interaccion entre el GUr en los servidores front end y de datos en el back-end. Facilita las conexiones cliente Iservidor en la red y permite que las aplicaciones de cliente tengan acceso y actualicen las bases de datos y archivos de mainframe distantes.

418


(

(

(

Manual de Preparaelon al Examen elSA 2008

419

Middleware se usa comunmente como:

• Monitores de Procesamiento de Transacciones (TP) - programas que manejan y monitorean transacciones de base de datos y que se usan primariamente para balance de carga,

• Llamadas de Procedimlento a Distancia (RPC), un protocolo que permite que un programa ejecute en la computadora del cliente otro programa en una computadora distante (usualmente un servidor),

• Tecnologfa de Agente de Solicitud de Objetos (ORB) - el uso de objetos de negocio compartidos, que se pueden volver a usar en un ambiente de computaci6n distribuida. Esto provee la capacidad de dar apoyo a la interoperabilidad entre lenguajes y plataforrnas, asl como tambien aumentar la posibilidad de dar mantenimiento y la adaptabilidad del sistema, Ejemplos de estas tecnologias son la Arquitectura de Agente de Solicitudes de Objetos Comunes (CORBA, sigla de los terminos en ingles) y Modelo de Objeto de Componente de Microsoft (COM/DCOM),

• Servidores de Mensajeria - servidores que dan prioridades, ponen en espera y/o procesan mensajes de manera asincrona, usando un servidor dedicado.

Los riesgos y controles asociados con middleware en un ambiente cliente /servidor son:

• Riesgos - La integridad del sistema puede ser afectada de manera adversa a causa del prop6sito mismo del middleware, que se pretende que sea soportar multiples entornos operativos que interactuan concurrentemente. La falta de un software apropiado para controlar la capacidad de transportal' datos 0 programas a traves de multiples plataformas podria tener como consecuencia una perdida de datos 0 de integridad del programa.

• Controles - La gerencia debe implementar controles compensatorios para asegurar la integridad de las redes cliente/servidor. La gerencia debe implementar controles para asegurar que los sistemas sean probados y aprobados debidamente y que las modificaciones esten adecuadamente autorizadas e implementadas y que se sigan los procedimientos apropiados de control de versi6n.

~~6,~t.:Jmlmm~I~'me; E.i~ INGII~ES[i~t~.u~muu~~ ~ mil, ~~s ' ,

mllllR~€H(E)NES, , ,,' , ' , " ' ' ,

La cambiante infraestructura tecnol6gica y la manera de operar ha conducido a formas evolutivas de realizar auditorias y revisiones especificas de hardware, sistemas operativos, bases de datos, redes de area local, controles operativos de red, operaciones de Sl, lights-out, reporte de administraci6n de problemas, disponibilidad de hardware y reporte de utilizacion, y preparacion de cronograma,

4.6.1 REVISIONES DE HARDWARE

Cuando se audita infraestructura y operaciones, las revisiones de hardware incluirfan:

• Revisal' los procedimientos de administraci6n de 1a capacidad para el hardware y para los

procedimientos de evaluaci6n del desempefio, para determinar:

Si ellos garantizaran la revision continuada del desempefio y de la capacidad del hardware y del software del sistema.

Si los criterios usados en el plan de monitoreo del desempefio del hardware de la administracion de SI se basan en los datos hist6ricos yen el analisis obtenido de los registros de problemas de Sl, cronogramas de procedimientos, reportes de los sistemas de contabilidad de los trabajos, cronogramas y reportes de mantenimiento preventivo,

• Revisal' el plan de adquisici6n de hardware para determinar:

Si el plan de adquisici6n de hardware es comparado regularmente can el plan de negocios de la administracion,

Si el ambiente es adecuado para acomodar el hardware instalado actualmente y el nuevo hardware que deba ser agregado en conforrnidad con el plan aprobado de adquisicion de hardware.

Si el plan de adquisicion de hardware de la administracion esta sincronizado con los planes de SI para identificar cualquier deficiencia en el primero de estos,

Si el plan de adquisicion de hardware de la administracion ha tornado en consideracion la obsolescencia tecnologica del equipo instalado, asi como tarnbien el nuevo equipo en el plan de adquisicion,

La adecuacion de la documentacion para las especificaciones del hardware y del software, los requerimientos de instalacion y el probable plazo asociado con las adquisiciones planeadas.

• Revisal' los criterios de adquisicion de microcomputadoras (PC) para determinar:

Si la adrninistracion de SI ha emitido pOl' escrito declaraciones de su politica en relacion con la adquisicion y uso de microcomputadoras y si estas declaraciones han side comunicadas a los usuarios.

Si se han desarrollado criterios para la adquisicion de microcomputadoras y si se han establecido procedimientos y formularios para facilitar el proceso de aprobaci6n de la adquisicion.

Si las solicitudes de adquisici6n de microcomputadoras estan respaldadas por analisis de costa Ibeneficio.

• Revisal' los controles de administracion de cambios (hardware) para determinar si:

Existe un proceso formal de control de cambios (documentado, aceptado y aprobado)

La persona responsable de preparar el cronograma fue notificada oportunamente respecto de los cambios de configuracion del software.

La administracion de SI haya desarrollado y ejecutado los cronogramas de cambios que dan tiempo para la adecuada instalacion y comprobacion del nuevo hardware.

La documentacion del operador usada en el departamento de SI sea revisada debidamente antes de la implementaci6n de los cambios en el hardware.

Una muestra de los cam bios de hardware que hayan afectado la elaboracion del cronograma del procesamiento de SI y para deterrninar si los planes para los cambios estell siendo encarados a su debido tiempo.

Todos los cam bios de hardware hayan sido informados a los programadores del sistema, a los programadores de aplicaciones y al personal de SI para asegurar que los cambios y las pruebas esten debidamente coordinadas.

La eficacia de los cam bios para asegurarse de que los 1l1is1l10S no interfieren con Ia aplicacion normal del procesamiento de la produccion,

4.6.2 REVISIONES DEL SISTEMA OPERATIVO

Cuando se hace una auditoria del desarrollo, adquisicion 0 mantenimiento del software operativo, se puede adoptar el metodo siguiente:

• Entrevistar al personal de servicio tecnico y otro en relacion con:

El proceso de revision y aprobacion de la seleccion de opciones,

Los procedimientos de la prueba para la implementaci6n del software,

Los procedimientos de revision y aprobacion para los resultados de pruebas, Los procedimientos de implementaci6n,

Los requisitos de documentacion,

• Revisal' los procedimientos de seleccion del software de sistema para determinar que ellos:

Cumplen con los planes de SI de corto y largo alcance,

Inc1uyan el procesamiento de SI y los requerimientos de control,

Incluyan un panorama de las capacidades del software y de las opciones de control, Cumplan con los requerimientos de SI y del negocio.

420


(

(

(

(

Manual de Preparacion at Examen elSA 2008

421

• Revisal' el estudio de factibilidad y el proceso de selecci6n para determinar 10 siguiente:

Que los objetivos y fines propuestos para el sistema sean consistentes con la solicitud /propuesta, Que se apliquen a todas las propuestas los mismos criterios de selecci6n.

• Revisal' el analisis costa Ibeneficio de los procedimientos de software de sistema para determinar que

este haya tratado las areas siguientes:

Los costos financieros directos asociados con el producto, El costa de mantenimiento del producto,

Los requerimientos de hardware y la capacidad del producto, Los requerimientos de entrenamiento y de soporte tecnico,

EI impacto del producto sobre la fiabilidad del procesamiento, El impacto sabre Ia seguridad de los datos,

La estabilidad financiera de las operaciones del vendedor.

• Revisar los controles sobre la instalaci6n del software de sistema cambiado para determinar 10

siguiente:

Que se hayan implementado los niveles de software apropiados y que se hayan llevado a cabo las actualizaciones del anterior,

Que los cambios de software del sistema esten programados para el momento en que ellos afecten menos el procesamiento de Sl,

Que se haya establecido pOl' escrito un plan para probar los cam bios al software de sistema Que las pruebas se esten concluyendo como se planific6,

Que los problemas que se hayan encontrado durante la realizaci6n de las pruebas hayan sido resueltos y que los cambios hayan sido sometidos a prueba nuevamente,

Que los procedimientos de prueba sean adecuados para ofrecer una garantfa razonable de que los cambios aplicados al sistema corrigen los problemas que se conocen y que no crean nuevos problemas,

Que el software sera identificado antes de ser puesto en el ambiente de producci6n,

Que esten instalados los procedimientos de fallback 0 restitucion en caso de falIa de produccion. • Revisal' las actividades de mantenimiento del software del sistema para determinar 10 siguiente:

Si se han documentado los cambio efectuados al sistema,

Si las versiones corrientes del software son soportadas pOl' el vendedor.

• Revisal' los controles de cambio del software del sistema para determinar 10 siguiente:

Si el acceso a las bibliotecas que contienen el software del sistema esta limitado a la 0 las personas que necesitan contar con dicho acceso,

Que los cambios al software deben ser documentados de manera apropiada y probados antes de su implementaci6n,

Que el software debe ser debidamente autorizado antes de ser trasladado del ambiente de prueba al ambiente de produccion.

• Revisal' la documentaci6n de los sistemas, especificamente en las areas siguientes:

Estados de control de instalaci6n, Tablas de parametres, Definiciones de salida,

Registros /reportes de actividad.

• Revisal' y probar la implementaci6n del software del sistema para determinar la adecuaci6n de los

controles en:

Procedimientos de cambio, Procedimientos de autorizaci6n, Funciones de seguridad de acceso, Requisitos de documentaci6n, Documentaci6n de prueba del sistema, Pistas de auditoria,

Controles de acceso sobre el software en produccion,

Revisal' el esquema logico para asegurar que todas las entidades en el diagrama entidad-relaci6n existan como tablas 0 como vistas. Todas las relaciones deb en estar representadas por media de

c1aves primarias 0 secundarias y todos los atributos deb en tener un nombre l6gico, un indicador que (

10 especifique como una clave primaria 0 secundaria y un indicador de los valores cero estan 0 no permitidos. Los ceros no deben ser permitidos para las claves primarias, mientras que podrian

perrnitirse para las c1aves secundarias en tanto estas esten en conformidad con 1a cardinalidad

expresada en el modelo entidad-relaci6n.

• Revisal' la documentaei6n de autorizaci6n para determinar:

Si las adiciones, eliminaci6n 0 cambios a la autorizaci6n de aceeso han sido doeumentados, Si se ha documentado el repOlte y seguimiento de los intentos de trasgresion,

• Revisal' la seguridad del software del sistema para verificar:

Si se han establecido procedimientos para restringir la posibilidad de evadir los controles de acceso logico de seguridad.

Si se han establecido procedimientos para limitar el acceso a la capacidad de interrupci6n del sistema

Si se han establecido procedimientos para administrar los parches de software y mantener actualizado el software de sistema

La seguridad que provee el software del sistema (

Si las disposiciones fisicas y logicas de seguridad existentes son adecuadas para restringir el

acceso a las consolas principales.

Si se cambiaron las contrasefias del software del sistema suministradas pOI' el vendedor en el momenta de la instalacion

4.6.3 REVISIONES DE LA BASE DE DATOS

Cuando se hace una auditoria a una base de datos, el Auditor de SI debe revisal' el disefio, el acceso, la administracion, las interfaces y Ia portabilidad.

• Disefio - Verificar la existencia de un modelo de base de datos, que todas las entidades tengan un nombre significativo, y c1aves primarias y secundarias. Verificar que las relaciones tengan una cardinalidad especifica y nombres coherentes y significativos y que las reglas del negocio estell expresadas en el diagrama. Finalmente verificar que el modele entidad-relaci6n este sincronizado con el esquema flsico de la base de datos.

Se debe revisal' el esquema ffsico buscando la asignaci6n de espacio (almacenamiento) inicial y de extension para las tablas, registros, Indices, y areas temporales. Los indices pOl' clave primaria y la frecuencia de acceso deben existir. Si la base de datos no esta regulada pOI' normas, se debe revisal' la justificacion.

• Acceso - Analizar los aceesos principales a la base de datos, los proeedimientos y los activadores almacenados, verificar que el uso de indices minimice el tiempo de acceso y que las busquedas abiertas, si no estan basadas en los indices sean justifieadas. Si el DBMS permite la selecci6n de los metodos 0 tipos de indices, se debe verificar el usa correcto.

• Adminlstraclun - Se deben identifiear los niveles de seguridad para todos los usuaries dentro de la base de datos y los derechos de acceso para todos los usuarios y/o grupos de usuarios debe estar justificada.

Deben existir procedimientos de copia de seguridad y de recuperacion de desastre para garantizar la fiabilidad y disponibilidad de la base de datos. Los meeanismos y procedimientos deben estar instalados para garantizar el manejo adecuado de consistencia e integridad durante los aecesos concurrentes.

• Interfaces - Para garantizar la integridad y la eonfidencialidad de los datos, se deben verificar los proeedimientos de importacion y exportacion de infonnaci6n con otros sistemas.

422 Manual de Preparacion al Examen crsx 2008


• Portabilidad - Verificar que, siempre que sea posible, se use el Lenguaje Estructurado de Consulta (Structured Query Language) (SQL).

• Controles de SI soportados porIa base de datos - Para determinar que:

El acceso a los datos compartidos es apropiado La organizacion de los datos es apropiada

Se utilizan procedimientos adecuados de cambio para asegurar la integridad del software de administracion de base de datos

Se mantiene la integridad del diccionario de datos del sistema de administracion de la base de datos

Se minimiza la redundancia de datos por el sistema de administracion de base de datos; donde existe datos redundantes, se mantiene la referencia cruzada apropiada dentro del diccionario de . datos del sistema 0 de otra documentaci6n.

4-9 Cuando lleva a cabo una auditoria de seguridad de base de datos cliente-servidor, el auditor de SI debe estar mas preocupado sobre la disponibilidad de:

A. utilerfas del sistema

B. generadores de programas de aplicaci6n

C. documentaci6n de seguridad de sistemas

D. acceso a los procedimientos almacenados

4.6.4 REVISIONES DE INFRAESTRUCTURA E IMPLEMENTACION DE LA RED

EI Auditor de SI debe revisal' los controles sobre los LANs para asegurar que existan los estandares para disefiar y seleccionar la arquitectura de un LAN y para asegurar que los costos de obtencion y de operacion del LAN no excedan los beneficios.

EI caracter unico de cada LAN hace diflcil definir los procedimientos estandar de auditorfa. Las redes modernas estan mezcladas con varios tipos de dispositivos y topologias (PANs, LANs, WANs, WPANs, WLANs, WWANs, etc.).

Para efectuar una revision con eficacia, el Auditor de SI debe identificar 10 siguiente:

• La topologia de LAN y el disefio de la red

• Los componentes importantes de LAN (como por ejemplo los servidores y los modems)

• La topologia de la red (incluyendo la configuracion interna del LAN asi como tambien las interconexiones con otros LANs, WANs 0 redes publicas),

• Los usos del LAN (incluyendo los tipos significantes de trafico y las principales aplicaciones usadas

en la red)

• El administrador del LAN

• Los grupos importantes de los usuarios del LAN

• Ademas, el Auditor de Sf debe lIegar a una comprension de 10 siguiente:

Las funciones realizadas por el adrninistrador del LAN

Los procedimientos y las normas de la division 0 departamento de la compafila relativos al disefio, soporte, convenciones de nomenclatura de la red, incIuyendo los puentes, routers y gateways

La transmision de medios y tecnicas de LAN, incluyendo bridges, routers y gateways.

Manual de Preparacion al Examcn elSA 2008

423

La comprension de la informacion citada aquf anteriormente debe permitir al Auditor de SI hacer una estimacion de las amenazas significativas a la LAN, junto con el impacto potencial y la probabilidad de que ocurra cada amenaza. Despues de haber hecho una estimaci6n de los riesgos para la LAN, el Auditor de SI debe evaluar los controles usados para minimizar los riesgos.

Los controles fisicos deben proteger los componentes de la red (hardware y software) y los puntos de acceso limitando el acceso a las personas autorizadas por la administraci6n. A diferencia de la mayoria de las mainframes, las computadoras en una red mixta son habitualmente descentralizadas. Los datos de la cornpafiia almacenados en un servidor de archivos son mas faciles de daiiar 0 de que sean robados que cuando estan en una mainframe y deben estar por 10 tanto protegidos. EI Auditor de Sl debe revisal' 10 siguiente:

• Que los dispositivos del hardware de la red, ell particular el servidor de archivos y la documentaci6n, esten ubicados en una instalaci6n segura y restringida al administrador del LAN. Otros componentes incluidos en la revisi6n de la seguridad flsica deben ser el gabinete de alambrado y el cableado.

• Se deben controlar las Haves de la facilidad del servidor de archivos de la red para prevenir 0 para minimizar el riesgo de accesos no autorizados.

• EI alojamiento del servidor de archivos de la red debe estar cerrado bajo Have 0 de otro modo asegurado para prevenir el retiro de tarjetas, chips 0 la computadora misma.

Para pro bar la seguridad fisica, un Auditor de SI debe hacer 10 siguiente:

• Inspeccionar el gabinete de cableado y el eableado de los medios de transmisi6n de la red y verificar que esten asegurados flsicarnente

• Observar la computadora del servidor de archivos de la red y verificar que este asegurada de manera que se reduzca el riesgo de retiro de los componentes y de la computadora misma.

• Obtener una copia de los registros de las Haves para Ia sala del servidor de archivos y para el gabinete del cableado, comparar los registros de cIaves con las Haves aetuales que se hayan emitido y determinar que todas las Haves que se tienen estan asignadas a las personas apropiadas, pOl' ejemplo, al administrador de Ia red y al personal de soporte.

• Escoger una muestra de las Ilaves que tienen las personas que no tienen acceso autorizado para la instalaci6n del servidor de archives de la red y para el gabinete de cableado y determinar que estas Haves no permiten el aceeso a estas facilidades.

• Busear manuales de operaci6n y documentaei6n de la red que no esten debidamente asegurados.

Los eontroles ambientales para los componentes de la red son similares a los considerados en el ambiente de la mainframe (vel' Capitulo 5, Exposiciones y Controles Ambientales). Sin embargo, el equipo puede no requerir eontroles atmosfericos tan extensivos como algunos componentes centrales WAN 0 MAN. Se debe considerar 10 siguiente:

• EI equipo del servidor de archivos de la red debe estar protegido de los efeetos de Ia electrieidad estatica (alfombra antiestatica) y de las subidas de voItaje (protector de voltaje).

• Los sistemas de aire acondicionado y de control de humedad deben ser los adecuados para mantener las temperaturas dentro de las espeeificaciones de los fabricantes

• EI suministro de energia de la red debe estar debidamente controlado para asegurar que permanezca dentro de las especifieaeiones del fabricante.

• La red debe estar equipado con un proveedor de energla in-interrumpible (UPS) que permita a la red operar en caso de fluctuaeiones menores de Ia energia electrica 0 ser apagado debidamente en easo de un corte prolongado de energia,

• La facilidad del servidor de archivos de la red debe ser mantenido libre de poIvo, humo y otros objetos, en particular de alimentos.

• Los disquetes y cintas de seguridad, CD ROMs y otros dispositivos fuera de linea deben estar protegidos de dafios del ambiente.

424


(

(

(

(

Para probar los controles ambientales, un Auditor de SI debe hacer 10 siguiente: • Visitar la instalaci6n del servidor de archivos del LAN y verificar que:

Que la temperatura y la humedad sean las adecuadas Que haya protectores de electricidad estatica

Que haya protectores de voltaje

Que haya un sistema de supresi6n de incendios y que este sea probado /inspeccionado regularmente

Que haya cerca extintores de incendio y que estes sean inspeccionados regularrnente,

Para asegurar que este instalado aislamiento electromagnetico:

• Observar la facilidad del servidor de archivos de la red y fijarse si hay en el area y en las papeleras recipientes de alimentos y de bebidas y productos de trabajo.

• Observar los metodos de almacenamiento y los medios para las copias de seguridad y verificar que estas esten protegidas de dafios ambientales.

Debe haber controles de seguridad logica de la red para restringir, identificar y reportar los usuarios autorizados y no autorizados del LAN.

• Se debe requerir que los usuarios tengan contraseiias (micas y que esten obligados a cambiarlas periodicamente. Las contrasefias deben ser encriptadas y no deben ser mostradas en Ia pantalla de la computadora cuando se entre a esta,

• El acceso de usuario a la red debe basarse en una autorizaci6n por escrito y dada sobre la base de una necesidad de saber/de hacer. Esto debe incluir documental' las solicitudes de adiciones, cambios y eliminaciones del acceso logico de ia red.

• La estaci6n de trabajo de una red debe quedar inhabilitada automaticamente despues de un breve perfodo de inactividad.

• El acceso remoto al supervisor del sistema debe estar prohibido. Para una seguridad maxima, solo una persona debe poder entrar a Ia cuenta del supervisor en la terminal de la consola. Esta combinacion de seguridad fisica sobre las consolas y seguridad 16gica sobre la cuenta del supervisor brinda maxima protecci6n contra los accesos no autorizados,

• Todos los intentos de ingresar a la cuenta del supervisor deben ser registrados en el sistema de la computadora. Adicionalmente, las actividades realizadas por el supervisor 0 por las cuentas administrativas deben ser registradas y estar sujetas a revisi6n independiente.

• El supervisor de la red debe mantener informaci6n actualizada sobre todas las lfneas de comunicacion que estan conectadas con el exterior.

Para probar la seguridad logica, un auditor de SI debe efectuar 10 siguiente:

• Entrevistar al personal responsable de mantener la seguridad de red para asegurar que la persona este: - Consciente de los riesgos asociadas con el acceso fisico y logico que deben minimizarse.

- Consciente de la necesidad de monitorear activamente los logons y dar cuenta de los cambios de

empleado

- Debe saber como mantener y monitorear el acceso

• Entrevistar a los usuarios para determinar si estan en conocimiento de las politicas de gerencia respecto a la seguridad y confidencialidad de red.

• Evaluar una muestra de los perfiles de acceso /seguridad de red de los usuarios para asegurar que eI acceso es apropiado y que esta autorizado basado en las responsabilidades de Ia persona.

• Revisal' una muestra de los reportes de seguridad para:

- Asegurar que s610 ocurren accesos autorizados

~ Verificar que se neva a cabo la revision oportuna y efectiva de estos reportes y que hay evidencias de la revisi6n

- Verificar si hay usuarios no autorizados. Si se encontraran, deterrninar la adecuaci6n y la oportunidad de los procedimientos de seguimiento.


425

Preguntas de Practlca

o Tratar de obtener acceso usando una variedad de logon Ids /contraseiias no autorizadas. Verificar que el acceso se niegue y se registre. Conectarse a la red y usarla. Luego, verificar que el acceso y el uso sean registrados debidamente en el reporte automatico de actividad,

o Si la sesi6n de conexion a la red se desconecta automaticamente despues de un corto periodo de inactividad, conectarse a la terminal y verificar visualmente la funci6n de desconexi6n (logoff).

o Buscar visual mente contrasefias escritas en las areas generales de las computadoras que utilizan la red.

o Si la red esta conectada a una fuente externa a traves de un modern, de una red de discado 0 de Internet, tratar de obtener acceso a la red a traves de estos medios de telecomunicacion usando administraci6n autorizada y no autorizada,

• Revisal' una muestra de solicitudes de cambia de acceso a la red, y deterrninar si estas son utilizadas pOl' la gerencia apropiada y si el formulario estandar ha sido utilizado.

La naturaleza (mica de cada Red de Area Local (LAN) hace diflcil definir procedimientos estandar de auditoria. Para realizar una revisi6n de manera efectiva, el auditor de SI debe identificar 10 siguiente:

o Topologfa de la LAN y disefio de red

o Componentes significativos de la LAN (tales como servidores, routers, switches, hubs y m6dems)

o Topologla de red (incluyendo configuraci6n interna de la LAN asi como tambien interconexiones a otras LANs, WANs 0 redes publicas)

o Usos de la LAN (including significant traffic types and main applications used over the network)

o Administrador de LAN

o Grupos significativos de usuario de LAN

Adernas, el auditor de SI debe lograr entender 10 siguiente:

• Las funciones realizadas por el administrador de la LAN

• Los procedimientos y estandares de la division 0 departamento de la companla relativos al disefio de red, soporte, que nombren convenciones y seguridad de datos

• Los medios y tecnicas de transmision de la LAN, incluyendo bridges, routers y gateways

La comprension de la informacion que antecede debe permitir al auditor de SI hacer una evaluacion de las amenazas significativas a la LAN, junto con el impacto potencial y la probabilidad de que ocurra cada amenaza. Habiendo evaluado los riesgos a la LAN, el auditor de SI debe evaluar los controles usados para minimizar los riesgos.

4-10 Cuando revisa una red usada para comunicaciones de Internet, un auditor de SI examinara PRIMERO:

A. la validez de las ocurrencias de cambio de contrasefia

B. la arquitectura de la aplicacion cliente-servidor

C. la arquitectura y disefio de la red

D. la protecci6n del firewall y los servidores Proxy.

4.6.5 REVISIONES DE CONTROL OPERATIVO DE REDES

Un Auditor de SI debe revisal' los controles operativos de red para determinar:

• Si se desarrollaron planes de pruebas de implementacion, conversion y aceptacion apropiados para la red de procesamiento de datos distribuidos de la organizacion,

• Si se establecieron planes de implernentacion y de prueba para el hardware y los enlaces de comunicaciones de la red.

426


• Si existen disposiciones operativas para las redes de procesamiento de datos distribuidos para asegurar su consistencia con las leyes y reglamentaciones que rigen la transmision de datos.

• Si se aplican debidamente a todos los conjuntos de datos de la red los procedimientos para asegurar la cornpatibilidad de los datos y si se han determinado los requisitos para su seguridad.

• Si se han identificado en la red todos los archivos Iconjuntos de datos sensitivos y si se han determinado los requisitos para su seguridad

• Si fueron establecidos procedimientos para asegurar controles efectivos sobre el hardware y el software usado por los departamentos atendidos poria red de procesamiento distribuido.

• Si se han instalado mecanismos adecuados de reinicio y recuperacion en todos los lugares de usuarios atendidos por la red de procesamiento distribuido.

• Si se ha disefiado la red distribuida de SI para asegurar que una falla de servicio en cualquiera de los emplazamientos tendra un efecto minimo sobre el servicio continuado para los demas emplazamientos atendidos porIa red.

• Si todos los cambios hechos en los emplazamientos de usuarios 0 poria administracion de SI al software de sistemas operativos usados por Ja red estan controlados y pueden ser detectados prontamente poria administracion de la red 0 por los responsables de la misma.

• Si las personas s610 tienen acceso a las aplicaciones, procesadores de transacciones y conjuntos de datos autorizados.

• Si los comandos del sistema que afectan a mas de un emplazamiento de Ia red estan restringidos a una terminal y a una persona autorizada con una responsabilidad de control general de la red y autorizaci6n de seguridad.

• Si la encripcion se usa en la red para los datos sensitivos

• Si se han implementado pollticas y procedimientos de seguridad apropiados en uno de los ambientes

siguientes:

Altamente Distribuida - l,esta la seguridad bajo el control de la administracion de usuarios individuales?

Distribuida - l,esta la seguridad bajo la direccion de la administracion de usuarios, pero acata las directrices establecidas poria administracion de SI?

Mixta - l,Esta la seguridad bajo la direccion de la administracion de usuarios individuales pero la responsabilidad total permanece en la administraci6n de SI?

Centralizada - l,Eshi la seguridad bajo la direccion de la administracion de SI, pero mantiene una estrecha relacion con la administracion de usuarios?

Altamente Centralizada - c',Esta la seguridad bajo el completo control de la administracion de Sl?

4.6.6 REVISIONES DE LAS OPERACIONES DE SI

Debido a que los ambientes de procesamiento varian entre las diferentes instalaciones, un recorrido de la Facilidad de Procesamiento de la Informacion proveera generalmente al Auditor de SI una mejor comprension de las tareas, procedimientos y ambiente de control de las operaciones.

Los procedimientos de Auditoria deben incluir la observacion del personal de SI cuando realiza sus funciones para determinar si existen los controles para asegurar la eficiencia de las operaciones, el acatamiento a las normas y politicas establecidas, una supervisi6n adecuada, la revision de la administraci6n de SI y la integridad y seguridad de los datos,

Operaciones de Cdmputo

Los controles de las operaciones de compute se relacionan con la operaci6n cotidiana del hardware y del software dentro de la organizacion de SI, la responsabilidad de la operacion de las computadoras

Manual de Preparaclon al Examen elSA 2008 427

incluyendo el montaje de los archivos ubicados en los medio de almacenamiento secundario, cambial' los formularios de la impresora y la discontinuidad del uso de dispositivos que requieren mantenimiento, Los controles de las operaciones de c6mputo inc1uyen 10 siguiente:

• Restringir las posibilidades de acceso del operador I

Restringir el acceso a las bibliotecas de archivos y de documentaci6n

Limitar las responsabilidades del operador a la operaci6n de la computadora y del equipo periferico re1acionado

Restringirlos de la correcci6n de programas y los problemas de datos

Restringir el acceso a las utilerias que permitan arreglos del sistema al software y /0 a los datos. Limitar el acceso a1 c6digo de fuente de produccion y a las bibliotecas de datos, incluyendo los procedimientos de operacion,

• Preparacion de cronogramas

Las operaciones deben registrar los trabajos que deban ser procesados y sus archives de datos requeridos,

Las operaciones deben elaborar un cronograma de los trabajos que haya que procesar en una manera determinada y hacerlos usando 0 bien software automatizado de elaboracion de cronogramas 0 bien un cronograma manual.

• Usar procedimientos de procesamiento de excepci6n para obtener aprobacion escrita a electronica de

los propietarios de aplicaciones para ejecutar trabajos 0 programas en otra secuencia:

Los operadores deben obtener la aprobaci6n escrita 0 electronica de los propietarios cuando (

preparen el cronograma de trabajos por pedido.

Los operadores deben registrar todas las solicitudes de procesamiento de excepci6n.

Los operadores deben revisal' el registro de solicitudes de procesamiento de excepcion para determinar si los procedimientos realizados son los apropiados.

• Ejecucion del manejo de segunda operacion: (

Todas las repeticiones de ejecucion de trabajos deben ser debidamente autorizadas y registradas

para que puedan ser revisadas porIa administracion de SI.

Se deben establecer procedimientos para la repeticion de la ejecucion de trabajos para asegurar que se usen los archivos de entrada correctos y que los trabajos posteriores en la secuencia sean tambien vueltos a ejecutar si fuera apropiado.

Los procedimientos de las operaciones de c6mputo deb en incluir una revision de los manu ales del (

operador para determinar si las instrucciones son adecuadas para tratar la operacion de la computadora y

de su equipo periferico, los procedimientos de arranque y de cierre, las acciones que deb en emprenderse

en el caso de fallas de maquina/ programa, registros que deben ser retenidos, funciones de trabajos de

rutina y actividades restringidas. Ademas, el Auditor de SI debe llevar a cabo pruebas para determinar si

se estan siguiendo estos procedimientos en conformidad con 10 que pretende la administraci6n y con la autorizacion de esta,

• Capacidades de Acceso del Bibliotecario

EI bibliotecario no debe tener acceso al hardware de Ia computadora

EI bibliotecario solo debe tener acceso al sistema de administraci6n de cintas

EI acceso a las facilidades de biblioteca debe estar restringido al personal autorizado

EI retiro de archivos debe estar restringido pOl' el software de elaboracion de cronogramas de produccion

EI bibliotecario debe manejar el recibo y la devolucion de medias extrafios que entren a la biblioteca.

Se deben mantener los registros de entrada y de salida de los archivos de datos y de los medios

• Contenido y ubicacion del almacenamiento off-line

Los medios de almacenamiento de archivos off-line que contengan programas de sistemas de produccion deben estar claramente marcados en 10 que respecta a su contenido.

Las facilidades de biblioteca off-line deben estar ubicadas fuera de la sala de computes.

Los procedimientos de auditoria deben incluir una revision de politicas y procedimientos para:

428



429

• Adrninistrar la biblioteca off-line

• Registrar entrada y salida de los medios de cinta inc1uyendo las autorizaciones de firma

• Identificar, etiquetar, entregar y recuperar archives de seguridad fuera del sitio

• Inventariar el sistema para las cintas locales y de otros sitios inc1uyendo ubicaciones especfficas de almacenamiento de cada cinta.

• Inicializar, borrar y asegurar que los juegos de datos de cintas se eliminenl destruyan inc1uyendo las autorizaciones firmadas

Procedimientos de Manejo de Archivos

Se deben establecer procedimientos para controlar la recepcion y entrega de medios de archivos lalmacenamiento secundario hacia 0 desde otros lugares. Las etiquetas internas de cintas deben usarse para ayudar a asegurar que se monten para procesamiento las cintas correctas, Los procedimientos de auditoria deben incluir una revision de estos procedimientos para detenninar si son los adecuados y si estan en concordancia con los deseos y con la autorizacion de la administracion, Ademas, el Auditor de SI debe verificar para determinar si estos procedimientos se estan siguiendo.

Control de Entrada de Datos

Los controles de ingreso de datos incluyen:

• Autorizacion de los documentos de entrada

• Reconciliacion de los lotes totales

• Segregaci6n de funciones entre la persona que codifica los datos y la persona que revisa los datos codificados para verificar si estan correctos y si hay errores

Los procedimientos de auditorla para el ingreso de datos deben incluir una revisi6n de los controles y de los procedimientos para determinar:

• Si existen controles adecuados

• Si el personal de SI esta acatando las polizas establecidas

• Si se esta manteniendo la debida segregaci6n de funciones

• Si se estan produciendo, manteniendo y revisando los reportes de control

• Si los reportes de control son correctos y si estan completos

• Si los formularios de autorizaci6n estan completos y si contienen las firmas apropiadas.

4.6.7 OPERACIONES LIGHTS-OUT

Una operaci6n lights out provoca diversas preocupaciones en relacion con los controles. Estas preocupaciones incluyen las siguientes:

• A menudo se otorga el acceso remoto a la consola principal a los operadores disponibles para fines de contingencias como pOl' ejemplo una falla en el software automatizado. Es pOl' esa razon que se abre el acceso de comunicacion para permitir ordenes de consola muy riesgosos de alta energia, La seguridad de los accesos de comunicacion debe ser muy extensiva. Esto incluirla usar llneas arrendadas y capacidades de marcado de respuesta.

• Los planes de contingencia deben permitir la identificaci6n adecuada de un desastre en la facilidad que no este vigilada 0 que sea automatica. Ademas, el software de operacion automatizada 0 los procedimientos mammies de contingencia deben estar documentados y probados adecuadamente en el lugar de recuperacion,

• Como los sistemas de software realizan las operaciones vitales de SI, es necesario que se apliquen periodicamente a este software controles de cambio de programa y controles de acceso adecuados.

Tambien se deben llevar a cabo pruebas del software periodicamente, en especial cuando se aplican cambios 0 actualizaciones.

• Existen garantlas de que no hay errores ocultos por el software y que todos los errores sean notificados por el operador.

4.6.8 REVISIONES DE REPORTE DE PROBLEMAS POR LA GERENCIA

Cuando este realizando una auditoria en esta area, eI Auditor de SI debe asegurarse de que se hayan desarrollado los procedimientos adecuados y que los mismos esten documentados, para oriental' al personal de operaciones de SI en registrar, analizar, resolver y superar los problemas a tiempo en conformidad con los deseos y con la autorizaci6n de la administraci6n.

El Auditor de SI debe llevar a cabo procedimientos para garantizar que se este manteniendo debidamente el mecanismo de manejo de problemas y que los errores pendientes esten siendo tratados adecuadamente y esten siendo resueltos a su debido tiempo. Estos procedimientos incluyen:

• Entrevistas al personal de operaciones de SI

• Revisiones de los procedimientos usados pOl' el depat1amento de SI para registrar, evaluar y resolver o superar cualquier problema 0 problemas operativos 0 de procesamiento para detenninar si son los adecuados para analisis de servicios.

• Revisiones de los registros de desempefio para determinar si hay problemas en el curso del procesamiento.

• Revisiones de las causas de demora en el procesamiento de program as de aplicacion para determinar si las mismas son validas.

• Revisiones de los procedimientos usados pOl' el departamento de SI para recolectar estadlsticas en relacion con el desempefio de procesamientos en linea para deterrninar si el analisis es correcto y si esta completo.

• Determinar si el departamento de SI ha establecido procedimientos para manejar los problemas de procesamiento de datos.

• Deterrninar si todos los problemas identificados par operaciones de SI estan siendo registrados para su posterior verificacion y resolucion,

• Determinar si se han identificado los problemas de significacion y los recurrentes, y que acciones se estan emprendiendo para prevenir que se repitan.

• Determinar si se resolvieron a su debido tiempo los problemas de procesamiento y si la resolucion de los mismos fue completa y razonable.

• Revisiones de los reportes de administraci6n de SI producidos par el sistema de administraci6n de problemas para asegurar que haya evidencia de una revisi6n correcta pOI' parte de la administracion.

• Revisiones de las entradas al registro de errores pendientes que describen problemas que deben sel' resueltos para su debida documentacion y para asegurar que los mismos estan siendo atendidos oportunamente,

• Revisiones de documentacion de las operaciones para asegurar que se han desarrollado los procedimientos para superar los problemas no resueltos a un nivel superior de la administraci6n de SI.

• Revisiones de los registros de llamadas al help desk para deterrninar si hay cualquier problema que vuelve a ocurrir que no este siendo reportado a la gerencia de SI.

430


(

(

(


431

4.6.9 REVISIONES DE DISPONIBILIDAD DE HARDWARE Y DE REPORTE DE UTILIZACION

La disponibilidad de hardware y su utilizacion se puede obtener a partir del registro de problemas, de los cronogramas de procesamiento, de los reportes de sistema de contabilidad de trabajos, cronogramas de mantenimiento preventivo y reportes, y a partir del plan de monitoreo de ejecuciones.

Los siguientes son algunos de los procedimientos de auditorla que pueden ayudar a determinar si se 11eva a cabo el reporte apropiado de las actividades del sistema para asegurar la disponibilidad y utilizacion optimas del hardware:

• Revisal' el plan de monitoreo de desempefio del hardware y compararlo con el registro de problemas, con los cronogramas de procesamiento, con los reportes de sistema de contabilidad de trabajos, con los cronogramas de mantenimiento preventivo y con los reportes para determinar la validez del proceso.

• Revisal' el registro de problemas para detenninar si hay problemas de funcionamiento del hardware, repeticion de ejecuciones, si se usan las utilerias del software, si hay terminaciones anormales del sistema y si la adrninistracion de SI ha revisado las acciones del operador.

• Revisal' el cronograma de mantenimiento preventivo para determinar si la frecuencia de mantenimiento recomendada por los vendedores del hardware respectivo se estan observando.

• Revisal' el cronograma de mantenimiento preventivo para verificar que el mantenimiento no se haya efectuado durante periodos pica de cargas de trabajo, evitando de ese modo que se obstaculice la disponibilidad del hardware.

• Revisal' el cronograma de mantenimiento preventivo para determinar que el mismo no se este llevando a cabo mientras el sistema este procesando aplicaciones criticas 0 sensitivas,

• Revisal' el control y que la administracion de los equip os pueda comunicarse con su fabricante sin intervencion manual en caso de fa11a de equipo.

• Revisal' la disponibilidad del hardware y los reportes de utilizacion del mismo para determinar que el cronograma haya sido preparado de manera adecuada para que satisfagan Ia carga de trabajo y los requerimientos de los usuarios.

• Revisal' el cronograma de carga de trabajo y la disponibilidad del hardware y los reportes de utilizacion del rnismo para determinar si el cronograma es suficientemente flexible como para acomodar el mantenimiento preventivo del hardware que se requiera,

• Determinar si los recursos de SI estan disponibles de inmediato para procesar los programas de aplicaci6n que requieran un alto nivel de disponibilidad de recursos.

4.6.10 REVISION DE CRONOGRAMAS

El metodo de auditorla siguiente debe ser considerado cuando se revise el cronograma de volumen trabajos y el cronograma del personal:

• Obtener una lista de las aplicaciones programadas regularrnente y la infonnaci6n relacionada como por ejemplo fechas tope de las entradas, tiempo de preparacion de los datos, tiempo estimado de procesamiento y fechas tope de salida para determinar si estos han sido incluidos en contratos de servicio.

• Revisal' el registro de la consola para determinar si los trabajos programados fueron completados como se program6. Si el procesamiento se hubiera llevado a cabo en una forma que no fuera la programada, analizar los motivos para verificar si son validos.

432


• Revisal' el cronograma para deterrninar si se han establecido prioridades de procesamiento para cada aplicacion, Revisal' si las personas capaces de cambial' los cronogramas de trabajo 0 las prioridades de trabajo son apropiadas. Determinar si el cronograma de los trabajos urgentes 0 de los que necesitan ser repetidos es consistente con la prioridad que se les asigno.

• Determinar si se han identificado las aplicaciones criticas de modo que se les de la mayor prioridad en el caso de haber escasez de recursos /capacidad.

• Determinar si se emplean procedimientos de elaboracion de cronogramas para facilitar el mejor uso de los recursos de compute al tiempo que se satisfacen los requerimientos de servicio.

• Determinar si la cantidad de personal asignado a cada turno es la adecuada para soportar la carga de trabajo.

• Asegurar que el programa diario de trabajos provee a cada turno de operadores de computadora el (

trabajo para que se haga, la secuencia en la que los programas deben ser ejecutados y em indo se puede

hacer el trabajo que tiene baja prioridad, Al final de un turno, cad a operador debe pasar al planificador de trabajos 0 al siguiente turno de operadores un estado de los trabajos realizados y los

motivos por los que no se termino algun trabajo que estaba programado, Esta documentaci6n sirve

como pista para el Auditor respecto de los trabajos programados para el ambiente.

• Revisal' los procedimientos para recolectar, reportar y analizar los indicadores c1aves de ejecuci6n que estan definidos en los contratos de nivel de servicio.

EI siguiente estudio de caso esta incluido como una herramienta de aprendizaje para reforzar los conceptos introducidos en este capitulo. Los candidatos a examen deben notal' que el examen de elSA no

usa actualmente este formato para prueba. (

4.7.1 Caso de Estudio A

Escenario de Caso de Estudio A

Al auditor de SI se le ha solicitado recientemente que realice una evaluaci6n extern a e interna de seguridad de red para una organizaci6n que procesa rec1amos de beneficios de salud. La organizacion tiene una compleja infraestructura de red con multiples redes de area local e inalambricas, una red de Relevo de Trama cruza las fronteras internacionales. Adicionalmente, hay un sitio de Internet a al que tienen acceso los medicos y los hospitales. EI sitio de Internet tiene tanto areas abiertas como secciones que contienen informaci6n de reclamos medicos que requiere una identificaci6n y una contrasefia para tener acceso, Tambien hay un sitio Intranet que permite que los ernpleados verifiquen el estado de sus reclamos medicos personales y comprar farmacos por prescripcion con descuento usando una tarjeta de credito, La red de relevo de trama lIeva datos estadisticos no sensitivos encriptados que son enviados a las agencias regulatorios pero no incluyen informaci6n de cliente identificable. La ultima revisi6n de seguridad de red se efectu6 hace mas de cinco afios, En ese tiempo, se notaron nurnerosas exposiciones en las areas de administracion de reglas de firewall y administraci6n de parches para los servidores de aplicaci6n. Tambien se encontro que las aplicaciones de Internet eran susceptibles a inyeccion de SQL. Se debe sefialar que el acceso inalambrico asi como tambien el portal Intranet no habia sido instalado en el momento de la ultima revisi6n. Desde la ultima revision, se ha instalado un nuevo firewall y la administraci6n de parches esta ahara controlada pOl' un mecanismo centralizado para impulsar los parches para todos los servidores. La capacidad de las aplicaciones de Internet ha sido ampliada para aprovechar las nuevas tecnologlas. Adicionalmente, se ha agregado un sistema de deteccion de intrusos y los reportes

A. Explotacion

B. Enumeracion

C. Reconocimiento

D. Escaneo de vulnerabilidad

producidos por este sistema son monitoreados diariamente. EI trafico a traves de la red involucra una mezcla de protocolos, ya que ann esta en uso un numero de sistemas de legado. Todo el trafico sensitivo de red que atraviesa la Internet es primero encriptado antes de ser enviado. EI trafico en las redes de area local interna y las redes inalambricas esta codificado en hexadecimal de modo que ningun dato aparece en texto normal. Un numero de dispositivos tambien utiliza Bluetooth para transmitir datos entre los PDAs y las computadoras laptop.

Preguntas de Caso de Estudio A

1. Al efectuar una evaluacion externa de seguridad de red, i,cual de 10 siguiente deberia ser efectuado PRIMERO?

2. Geual de 10 siguiente presenta el MAYOR riesgo para la organizacion?

A. No todo el trafico que atraviesa Ia Internet esta encriptado.

B. EI trafico en las redes internas no esta encriptado.

C. EI flujo de datos transfrontera no esta encriptado.

D. Se estan usando multiples protocolos.

4-1

4-2

4-3

C

Benchmarking provee un medio de determinar el nivel de desempefio ofrecido por entornos similares de facilidad de procesamiento de informacion. La satisfaccion del usuario es la medida para asegurar que una operacion efectiva de procesamiento de informacion cumple con los requerimientos del usuario. EI lagro de las metas evahia la eficacia involucrada en comparar el desempefio con las metas predefinidas. La planeacion de capacidad y crecimiento es esencial debido a la importancia de TI en las organizaciones y el cambio constante en la tecnologia,

c

La primera consideracion al revisar el contrato es asegurarse de que el negocio este pidiendo los servicios mas apropiados para satisfacer sus requerimientos de negocio. Debe haber evidencia de que el negocio ha considerado que servicios se requieren, tan en el presente como en el futuro. EI costa es importante (opcion A)~ ya que el negocio puede estar pagando por niveles de servicios que no se requieren 0 que no son apropiados, pero eso no es de primera importancia. Tanto el acceso de auditoria (la opcion D) como los objetivos de seguridad, y no los mecanismos de seguridad (la opcion B), son problemas a ser considerados como parte de la revision, pero tampoco son de primera importancia,

A

La FSO acordo un SLA inadecuado. Para satisfacer las necesidades del negocio, la FSO debe renegociar 10 antes posible. Esta claro que TI esta cumpliendo con la norma requerida de disponibilidad. Adquirir recursos adicionales de cornputacion puede ser ineficiente 0 su costo prohibitivo. Modernizar el cierre de fin de mes puede no ser posible y/o puede no afectar la disponibilidad.

Manual de Preparaci6n at Examen elSA 2008

433

4-4

4-5

4-6

4-7

4-8

4-9

A

Cuando prueba la administraci6n de cam bios, el auditor de SI debe siempre cornenzar con informaci6n generada pOl' el sistema, conteniendo la fecha y hora en que un m6dulo fue actualizado la ultima vez, y rastrear desde alll hasta la documentaci6n que autoriza el cambia. Rastrear en la direccion opuesta correria el riesgo de no detectar los cambios no documentados. De manera similar, concentrarse exclusivamente en la exactitud 0 totalidad de la documentaci6n examinada no asegura que todos los cambios fueron realmente documentados.

C

La administraci6n de la capacidad es la planeacion y e1 monitoreo de los recursos de computadora para asegurar que los recursos disponibles son usados de manera eficiente y efectiva. Esto no significa que todos los recursos debe sel' totalmente utilizados; la utilizacion plena (100 pOl' ciento) es una indicaci6n de que la gerencia debe considerar agregar capacidad, Las nuevas aplicaciones no siempre requieren nuevas recursos ya que Ia cap acid ad existente puede ser suficiente para acomodarlas, La utilizaci6n de be ser rutinariamente entre el 85 y el 95 pOl' ciento, pero tambien son aceptables cafdas ocasionales.

A

La normalizaci6n significa la eliminacion de datos redundantes, POl' 10 tanto, el objetivo de la normalizaci6n en la bases de datos relacionales es minimizar el quantum de informaci6n eliminando los datos redundantes en las tab las, procesando rapidamente las solicitudes de los usuarios y manteniendo la integridad de los datos. Maximizar el quantum de informacion es contra las reg las de la normaIizaci6n. Si se provee informaci6n particular en tablas diferentes, el objetivo de la integridad de datos puede ser violado pot'que una tabla puede estar actualizada y las otras no. Las reglas de la normalizacion abogan pOl' almacenar datos solo en una tabla, por 10 tanto, minimizando el tiempo de respuesta a traves de procesamiento mas rapido de la informacion.

A

La tecnologia VPN permite que los socios externos participen en la intranet de manera segura usando redes publicas como un trans porte 0 red privada cornpartida. Debido al bajo costo, usar las redes publicas (Internet) como un trans porte es el metoda principal. Las VPN se basan en tecnicas de tunelizaci6n lencapsulaci6n, 10 cual perrnite que el Protocolo de Internet (IP) transporte una variedad de protocolos diferentes (e.g., SNA, IPX, NETBEUI). Cliente-servidor no resuelve extender la red a los socios de negocio (i.e., los cliente-servidores se refieren a un grupo de computadoras dentro de una organizacion conectadas mediante una red de comunicaciones donde el cliente es la maquina que solicita y el servidor es la maquina que suministra). Un proveedor de servicios de red puede proveer servicios a una red privada compartida proveyendo servicios de Internet, pero no extiende la intranet de una organizacion,

D

D es la opci6n correcta ya que los cargos de transmision se basan en paquetes transmitidos, no en la distancia 0 la via recorrida, Las contrasefias y otros datos pueden ser colocados dentro de un paquete, haciendo la opcion B incorrecta. Las opciones Aye no son correctas porque un mensaje completo esta roto en unidades de transmision (paquetes), que estan ruteados individualmente a traves de la red.

A

Las utilerias del sis tema pueden permitir que se hagan cambios no autorizados en la base de datos cliente-servidor. En una auditoria de seguridad de base de datos, los controles sobre dichas utilerias sedan la preocupacion primaria del auditor de SI. Los generadores de programas de aplicacion son una parte intrfnseca de la tecnologfa cliente-servidor, y el auditor de SI evaluaria los controles sobre los derechos de acceso de los generadores a la base de datos, y no su disponibilidad. La documentaci6n de seguridad debe estar restring ida al personal de seguridad autorizado, pero esta no es una preocupacion primaria, ni es el acceso a los procedimientos almacenados.

434


(

CISA Tema4

Cargado por

Información del documento

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

CISA Tema4

Cargado por

Copyright:

Formatos disponibles

Capitulo 4

ENTREGA Y SOPORTE DE SERVICIO DE TI

También podría gustarte

CISA Tema4

Cargado por

Información del documento

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

CISA Tema4

Cargado por

Copyright:

Formatos disponibles

﻿Capitulo 4

ENTREGA Y SOPORTE DE SERVICIO DE TI

También podría gustarte

Capitulo 4