Está en la página 1de 9

Actividad 2

Recomendaciones para presentar la Actividad: Enva el desarrollo de esta actividad a tu tutor@ en un documento de Word, que llamars Evidencias 2. Procura marcar siempre tus trabajos con un encabezado como el siguiente: Nombre Fecha Actividad Tema Sandra Jaramillo moreno 4/12/2013 Evidencia 2 Polticas generales de seguridad

Luego de estructurar el tipo de red a usar en la compaa y hacer su plan para hablar a la gerencia sobre las razones para instaurar polticas de seguridad informticas (PSI), es su objetivo actual crear un manual de procedimientos para su empresa, a travs del cual la proteja todo tipo de vulnerabilidades; sin embargo, para llegar a este manual de procedimientos, se deben llevar a cabo diversas actividades previas, y se debe entender la forma en la que se hacen los procedimientos del manual. Preguntas interpretativas 1. Como gestor de la seguridad de la red de la empresa, usted es el encargado de generar las PSI de la misma. Desarrolle, basado en su plan anteriormente diseado, otro plan para presentar las PSI a los miembros de la organizacin en donde se evidencie la interpretacin de las recomendaciones para mostrar las polticas. RESPUESTA a. Panorama actual sobre la seguridad informtica en Colombia. La seguridad informtica ha sido un tema que ha cobrado importancia recientemente, entre otras cosas, gracias a escndalos internacionales sobre 1ciberespionaje, o violaciones en la web a multinacionales. Pese a la sonoridad de estos casos es poca la importancia que los colombianos le dan a la seguridad en la web, es por ello que varias compaas especializadas en seguridad informtica han intentado divulgar cifras que alerten sobre las tcticas utilizadas para la extorsin y el robo en la web. Las empresas colombianas estn perdiendo cerca de 40 millones de dlares por estos delitos 2.0, una realidad que seguir creciendo dado que en el ltimo ao esta modalidad aument del 36% al 56%, debido a que las empresas no toman las medidas necesarias para blindarse frente a los delincuentes que ahora navegan en internet para saquear las empresas. Segn datos de la compaa Andina Digital Security en el ltimo ao cerca de 10 millones de colombianos han sido vctimas de algn delito informtico. Pero la problemtica va ms all, el
1

Datos de ANDINA DIGITAL SECURITY

1 Redes y seguridad
Actividad 2

99.9% de las vctimas de estas modalidades delictivas no las denuncian, entendiendo as que las denuncias por esta causa no superan la cifra de 23.000, segn el Colegio Colombiano de Juristas. Estudios recientes revelan que el 77% de los colombianos (36 millones de personas) en algn momento de sus vidas han sido vctimas de delincuentes informticos. As las prdidas financieras por ciberataques en los ltimos doce meses ascienden a un monto de 79.180 millones de pesos. b. Introduccin de lo que es seguridad informtica: Seguridad Informtica se refiere a las caractersticas y condiciones de sistemas de procesamiento de datos y su almacenamiento. Donde, garantiza: Confidencialidad. Integridad. Tiempo. Costos. Accesibilidad y disponibilidad. No repudio.

c. Gestin de riesgo: Para cumplir con los propsitos anteriores se deben seguir unos lineamientos como: La Gestin de Riesgo es un mtodo para determinar, analizar, valorar y clasificar el riesgo, para posteriormente implementar mecanismos que permitan controlarlo. En su forma general contiene cuatro fases

Anlisis: Determina los componentes de un sistema que requiere proteccin, sus vulnerabilidades que lo debilitan y las amenazas que lo ponen en peligro, con el resultado de revelar su grado de riesgo. Clasificacin: Determina si los riesgos encontrados y los riesgos restantes son aceptables. Reduccin: Define e implementa las medidas de proteccin. Adems sensibiliza y capacita los usuarios conforme a las medidas. Control: Analiza el funcionamiento, la efectividad y el cumplimiento de las medidas, para determinar y ajustar las medidas deficientes y sanciona el incumplimiento.

d. Las polticas deben:


Definir qu es seguridad de la informacin, cules son sus objetivos principales y su importancia dentro de la organizacin Mostrar el compromiso de sus altos cargos con la misma Definir la filosofa respecto al acceso a los datos Establecer responsabilidades inherentes al tema Establecer la base para poder disear normas y procedimientos referidos a o Organizacin de la seguridad o Clasificacin y control de los datos
2 Redes y seguridad
Actividad 2

o o o o o

Seguridad de las personas Seguridad fsica y ambiental Plan de contingencia Prevencin y deteccin de virus Administracin de los computadores

e. A partir de las polticas se podr comenzar a desarrollar, primero las normas, y luego los procedimientos de seguridad que sern la gua para la realizacin de las actividades.

Un mecanismo de seguridad fsica y lgica que se adapte a las necesidades de la compaa y al uso de los empleados Un procedimiento para administrar las actualizaciones Una estrategia de realizacin de copias de seguridad planificada adecuadamente Un plan de recuperacin luego de un incidente (el objetivo es que no llegue hasta ese punto) Un sistema documentado actualizado El proceso de monitoreo y evaluacin, para dar seguimiento a los planes operativos est deficiente y no integrado en estos: Implementar procesos y medidas de proteccin, para garantizar la seguridad, no es una cosa que se hace una vez y despus se olvide, sino requiere un control continuo de cumplimiento, funcionalidad y una adaptacin peridica, de las medidas de proteccin implementadas, al entorno cambiante.

f. Hacer referencia el costo-beneficio para implementar las PSI. segn lo mencionado anteriormente se debe realizar amenazar potenciales que pueden sufrir con la perdidas que puede generar adicionando la probabilidad de ocurrencia y de ah empieza a ejecutarse los mecanismo de seguridad.
2. Las PSI tienen como base terica implcita el algoritmo P-C. Agregue al plan de presentacin a los miembros de la organizacin, al menos 2 eventos diferentes a los de la teora, en los que se evidencien los 4 tipos de alteraciones principales de una red. Tipos de recursos Segn los tipo de alteraciones

Interrupcin Intercepcin Modificacin Produccin


RECURSO AFECTADO SERVICIO NOMBRE CORREO INTERNO

Fsicos Lgicos Servicios

ALTERACION

CAUSA CORTO EN LA RED ELECTRICA Y EL SERVIDOS DE DAO FALTA DE ALIMENTACION ELECTRICA

EFECTO NO ENVIAR CORREOS POR LA INTRANET NO FUNCIONA LOS COMPUTADORES

FISICO INTERRUPCCION

COMPUTADORES

3 Redes y seguridad
Actividad 2

ALTERACION

RECURSO AFECTADO SERVICIO

NOMBRE CORREO ELECTONICO

CAUSA SE INSTALO UN VIRUS QUE PERMITE LIBERACION DE LOS PUERTOS Y LIBRE ACCESO A ARCHIVOS SE INSTALO UN TROYANO QUE PERMITE DUPLICAR CONTRASEAS Y ALMACENARLAS EN UN CORREO EXTERNO.

EFECTO PERMITE ACCESO A LA CORRESPONDECIA TANTO INTERNA Y EXTERNA URTAR INFORMACION DE LOS CLIENTES Y EMPLEADOS Y MANEJO CONTABLES

INTERCEPCIN

LOGICO

BASE DE DATOS DE LOS CLIENTES

ALTERACION

RECURSO AFECTADO SERVICIO

NOMBRE PAGINA WEB

CAUSA INGRESO Y ALTERO MALINTESIONADAMEN TE LA PRESENTACION DE LA PAGINA Y INHABILITO ACCESO POR REDES INTERNAS(INTRASNET) Y EXTERNAS (INTERNET) SE INSTAURO UN SOFTWARE QUE INHABILITA PUERTOS DE ENTRADA Y SALIDA

EFECTO SE COLOCA INFORMACION QUE DESPRESTIGIA LA EMPRESA E INCOMUNICA EN TODA SU GESTION ABMINISTRATIVA Y PRODUCTIVA INHABILITA A LA ADMINISTRACION DE LA PAGINA WEB DE LA COMPAA

MODIFICACION LOGICO ACCESO A INGRESO DE DATOS PAGINA WEB

ALTERACION

RECURSO AFECTADO SERVICIO

NOMBRE INTERNET

CAUSA MODIFICA RESTRICCIONES DE SERVIDOR Y ENRUTA LA INFORMACION A OTRO LADO CREAN RUTAS ALTERNAS LOGICAS PARA QUE LOS RECURSOS LLEGEN A OTRO SITIO VIRTUAL FANTASMA

EFECTO GENERA INFORMACION REAL COMO UN HECHO. PRODUCCION INCORRECTA SE GENERA UN BASE DE DATOS DE TRANSACCIONES COMO SI FUERAN REALES, ES DETECTABLE SOLO CUANDO HAGA RECLAMOS.

PRODUCCIN

LOGICO

DATOS DE LAS TRANSACCIONES CONTABLES EN MERCADO INTERNACIOANL

4 Redes y seguridad
Actividad 2

Preguntas argumentativas 1.

Su empresa debe tener, de acuerdo a la topologa de red definida anteriormente, un conjunto de elementos que permitan el funcionamiento de esa topologa, como routers, servidores, terminales, etc. Genere una tabla como la presentada en la teora, en la que tabule al menos 5 elementos por sucursal. El puntaje asignado a cada elemento debe ser explicado en detalle.

RECURSOS FISICO Y LOGICOS DEL SISTEMA


SURCURSAL CANTIDAD NOMBRE

RIESGO R 10 10 9 9 10

IMPORTANCIA W 10 10 9 9 10

1 2 4 4 1

SEDE PRINCIPAL EN-CORE

6 6 12 4 12 3 5 3 2

SERVIDOR ADMINITRADOR DE DATOS SERVIDOR DE RESPALDO SERVIDOR WEB SERVIDOR E-MAL SERVIDOR SISTEMA DE SEGURIDAD (ALARMA DE INCEDIOS, HURTO FISICO, ACTUDORES PARA ABRIR Y CERRAR PUERTAS, CAMARA DE VIGILANCIA, CENTRAL TELEFONICA (PBX)) SWITCH ROUTERS ACCESS POINT MODEMS COMPUTADORAS EQUIPO SISTEMA DE REFRIERACION TELEFONOS IP SOFTWARE BASE DE DATOS RECURSO HUMANO (ADMINISTRADORES)

TOTAL RIESGO R*W 100 100 81 81 100

8 8 10 6 10 10 7 10 10

7 7 10 6 10 10 8 10 10

56 56 100 36 100 100 56 100 100

5 Redes y seguridad
Actividad 2

RECURSOS FISICO Y LOGICOS DEL SISTEMA


SURCURSAL CANTIDAD NOMBRE

RIESGO R 10 9 10

IMPORTANCIA W 10 9 10

1 1 1

SUCURSAL 1 MEDELLIN

3 2 4 2 5 1 2 2 1

SERVIDOR ADMINITRADOR DE DATOS SERVIDOR WEB SERVIDOR SISTEMA DE SEGURIDAD (ALARMA DE INCEDIOS, HURTO FISICO, ACTUDORES PARA ABRIR Y CERRAR PUERTAS, CAMARA DE VIGILANCIA) SWITCH ROUTERS ACCESS POINT MODEMS COMPUTADORAS EQUIPO SISTEMA DE REFRIERACION TELEFONOS IP SOFTWARE BASE DE DATOS RECURSO HUMANO (ADMIISTRADOR)

TOTAL RIESGO R*W 100 81 100

8 8 10 6 10 10 7 10 10

7 7 10 6 10 10 8 10 10

56 56 100 36 100 100 56 100 100

RECURSOS FISICO Y LOGICOS DEL SISTEMA


SURCURSAL CANTIDAD NOMBRE

RIESGO R 10 10 9 9 10

IMPORTANCIA W 10 10 9 9 10

1 2 4 4 1

SUCURSAL 2 BOGOTA

3 3 10 4 6 2 3 3 1

SERVIDOR ADMINITRADOR DE DATOS SERVIDOR DE RESPALDO SERVIDOR WEB SERVIDOR E-MAL SERVIDOR SISTEMA DE SEGURIDAD (ALARMA DE INCEDIOS, HURTO FISICO, ACTUDORES PARA ABRIR Y CERRAR PUERTAS, CAMARA DE VIGILANCIA, CENTRAL TELEFONICA (PBX)) SWITCH ROUTERS ACCESS POINT MODEMS COMPUTADORAS EQUIPO SISTEMA DE REFRIERACION TELEFONOS IP SOFTWARE BASE DE DATOS RECURSO HUMANO (ADMINISTRADORES)

TOTAL RIESGO R*W 100 100 81 81 100

8 8 10 6 10 10 7 10 10

7 7 10 6 10 10 8 10 10

56 56 100 36 100 100 56 100 100

6 Redes y seguridad
Actividad 2

RECURSOS FISICO Y LOGICOS DEL SISTEMA


SURCURSAL CANTIDAD NOMBRE

RIESGO R 10 9 10

IMPORTANCIA W 10 9 10

1 1 1

SUCURSAL 3 MEDELLIN

3 2 4 2 5 1 2 2 1

SERVIDOR ADMINITRADOR DE DATOS SERVIDOR WEB SERVIDOR SISTEMA DE SEGURIDAD (ALARMA DE INCEDIOS, HURTO FISICO, ACTUDORES PARA ABRIR Y CERRAR PUERTAS, CAMARA DE VIGILANCIA) SWITCH ROUTERS ACCESS POINT MODEMS COMPUTADORAS EQUIPO SISTEMA DE REFRIERACION TELEFONOS IP SOFTWARE BASE DE DATOS RECURSO HUMANO (ADMIISTRADOR)

TOTAL RIESGO R*W 100 81 100

8 8 10 6 10 10 7 10 10

7 7 10 6 10 10 8 10 10

56 56 100 36 100 100 56 100 100

2. Para generar la vigilancia del plan de accin y del programa de seguridad, es necesario disear

grupos de usuarios para acceder a determinados recursos de la organizacin. Defina una tabla para cada sucursal en la que explique los grupos de usuarios definidos y el porqu de sus privilegios. SUCURSAL RECURSO DEL SISTEMA NMERO NOMBRE Infraestructura Equipos de red cableada (servidores ,routers, etc) 1 Equipos de red inalmbricas (routers y punto de acceso) SEDE Programas de PRINCIPAL administracin EN-CORE (contabilidad, 2 manejo de personal, Software contable etc.) RIESGO TIPO DE ACCESO PERMISOS OTORGADOS

Grupo de Local Mantenimiento

Lectura y escritura

Grupo de tesorera y , auditores Grupo de insumos y produccin Grupo de Ventas y Cobros

Local

Lectura

3 4

Archivo (base de datos internos y externos) Base de datos Clientes

Local Local y Remoto

Lectura y Escritura Lectura y Escritura

7 Redes y seguridad
Actividad 2

RECURSO DEL SISTEMA SUCURSAL NMERO NOMBRE

RIESGO Grupo de Cobro Jurdico Grupo de Gerentes

TIPO DE ACCESO Remoto

PERMISOS OTORGADOS Lectura

1
1 2 3

Bases de datos clientes en mora

Aplicacin de inventarios

Remoto

Lectura y Escritura

Preguntas propositivas

1. Usando el diagrama de anlisis para generar un plan de seguridad, y teniendo en cuenta las caractersticas aprendidas de las PSI, cree el programa de seguridad y el plan de accin que sustentarn el manual de procedimientos que se disear luego. PROGRAMA DE SEGURIDAD Alcance de la poltica se refiere en cuanto se restringe el acceso de informacin a las personas o personal por los tanto se crean grupos de trabajos con funciones determinadas. Separacin de labores (control y vigilancia) entre los departamentos y/o partes involucradas en la operatividad de la organizacin. Dispositivos de biomtricos o sensores de seguridad Generacin de contraseas de accesos con beneficios especficos y restricciones a ciertos grupos. Firma de acuerdos de confidencialidad. Programas que generen restricciones o utilice protocolos para manejo de informacin de forma segura. Codificacin y Encriptacin de datos. Realizacin de Auditoras internas programadas y no programadas. Vigilancia de los procesos realizados en los diferentes estamentos de la compaa permanentemente. Ejecucin de backups permanentes en servidores diferentes a los que se encuentran en la misma organizacin. Finalmente, como documento dinmico de la organizacin, deben seguir un proceso de actualizacin peridica sujeto a los cambios organizacionales relevantes: crecimiento de la
8 Redes y seguridad
Actividad 2

planta de personal, cambio en la infraestructura computacional, alta y rotacin de personal, desarrollo de nuevos servicios, cambio o diversificacin de negocios. PLAN DE ACCIN Monitoreo y evaluacin de los proceso procesos. Estar latente y conocimiento de los nuevos y posibles ciberataques y generar cambios en infraestructura y software. Actualizacin y/o nueva asignacin de contraseas de acceso. Auditorias. Capacitaciones permanentes en aplicacin de las polticas de seguridad informtica y cmo ests influyen sobre la operatividad de la empresa.

2. Enuncie todos los procedimientos que debe tener en su empresa, y que deben ser desarrollados en el manual de procedimientos. Agregue los que considere necesarios, principalmente procedimientos diferentes a los de la teora. Procedimiento de Control de cuentas Procedimiento Otorgar o retirar: el acceso de personas a las tecnologas de informacin y como se controla el mismo. Incluyendo derechos y permisos sobre los ficheros y datos a los usuarios. Procedimiento de definir perfiles de trabajo. Autorizacin y control de la entrada/salida de las tecnologas de informacin. Gestionar las claves de acceso considerando para cada nivel el tipo de clave atendiendo a su longitud y composicin, la frecuencia de actualizacin, quin debe cambiarla, su custodia, etc. Realizacin de copias de respaldo, segn el rgimen de trabajo de las reas, de forma que las copias se mantengan actualizadas, y las acciones que se garanticen el acceso de informacin y el compartimiento de esta segn el nivel confidencialidad. Procedimiento control del trfico de red: Obtener informacin referente a la anomala en la utilizacin de programas no autorizados. o Almacenamiento y anlisis de registros de auditoria, especificando quien lo realiza y con qu frecuencia o El monitoreo de los puertos en la red: idntica la habilitacin de los puertos y su funcionalidad Identificacin de tipos de ataques: (pasivos o activos) o Pasivos: Se observa solo los datos sin alterarlos o Activos: Modifica y afecta la informacin.

9 Redes y seguridad
Actividad 2