Poltica de seguridad

Definicin

La poltica define cmo debera implementarse la

seguridad
La poltica definir los mecanismos adecuados a
utilizar para proteger la informacin y los sistemas
Regula el comportamiento del personal en el uso
de los recursos de la organizacin

Objetivo

La poltica proporciona las reglas que gobiernan

cmo deberan ser configurados los sistemas y
cmo deberan actuar los empleados de una
organizacin en circunstancias normales o de
contingencia

Poltica de seguridad

Definiciones

El programa de Poltica de Seguridad es un documento de nivel

ejecutivo

Bosquejado por el Oficial de Seguridad de Informacin

(CIO; Chief Information Officer)

Generalmente 2 a 10 pginas de extensin

Este modela la filosofa de la seguridad en el ambiente TI
En l se definen:

Objetivos

Alcances

Restricciones

Aplicabilidad del programa de poltica de seguridad en

la organizacin

Poltica de seguridad

Hitos de una buena poltica de seguridad

Para cada aspecto de la poltica:

Autoridad Quin es el responsable?

mbito A quin afecta?
Caducidad Cundo termina?
Especificidad Qu se requiere?
Claridad Es entendible por todos?

Poltica de seguridad

Caractersticas de una buena poltica de seguridad

(RFC 2196: http://www.ietf.org/rfc/rfc2196.txt)

Se tiene que poder poner en prctica mediante

procedimientos concretos de administracin de sistemas,
mediante la publicacin de guas sobre el uso aceptable de
los recursos informticos

Debe ser realista (ojo con la usabilidad)

Debe ser implementable

Se debe obligar su cumplimiento mediante herramientas de
seguridad, donde sea posible, y mediante sanciones, donde la
prevencin no sea posible tcnicamente
Debe definir claramente las reas de responsabilidad de los
usuarios, los administradores y la direccin

Tiene que haber un responsable para toda situacin posible

Poltica de seguridad

Componentes de una buena poltica de seguridad

(RFC 2196: http://www.ietf.org/rfc/rfc2196.txt)

Una poltica de privacidad que asegure un nivel mnimo

de privacidad en cuanto a acceso a correo electrnico,
archivos de usuario y loggins (lo que se ingresa desde
teclado)
Una poltica de acceso que defina los niveles de
seguridad, los derechos y privilegios, caractersticas de las
conexiones a las redes internas y externas, mensajes de
aviso y notificacin, etc
Una poltica de responsabilidad que defina las
responsabilidades de los usuarios, y del personal tcnico y
de gestin. Debe definir los procedimientos de auditoria y
de gestin de incidentes (a quin avisar, cundo y cmo,
etc.)
Una poltica de autentificacin que establezca un
esquema de claves o contraseas, que especifique
modelos para la autentificacin remota o el uso de
dispositivos de autentificacin

Poltica de seguridad

Componentes de una buena poltica de seguridad

(RFC 2196: http://www.ietf.org/rfc/rfc2196.txt)

Una declaracin de disponibilidad, que aclare las expectativas

de los usuarios en cuanto a la disponibilidad de los recursos.
Debe definir temas como la redundancia, la recuperacin ante
intrusiones, informacin de contacto para comunicar las
fallas en los sistemas y/o en la red, etc
Una poltica de mantenimiento que describa cmo se lleva a
cabo el mantenimiento interno y externo, si se permite
mantenimiento remoto y/o mantenimiento por outsourcing
Una poltica de comunicacin de violaciones que defina qu
tipos de amenazas, y cmo y a quin se deben comunicar
Informacin de soporte que indique a los usuarios, personal
tcnico y administracin cmo actuar ante cualquier
eventualidad, qu tipo de informacin se considera confidencial
o interna, referencias a otros procedimientos de seguridad,
referencias a legislacin de la compaa y externa, etc

Poltica de seguridad

Componentes de una buena poltica de seguridad

(RFC 2196: http://www.ietf.org/rfc/rfc2196.txt)

Los creadores de las polticas de seguridad deberan considerar

la bsqueda de asistencia legal en la creacin de la poltica
Una vez que la poltica de seguridad esta establecida debe ser
claramente comunicada a los usuarios, soporte tcnico,
administradores y gerentes. El personal debe firmar indicando
que han ledo, entendido y estn de acuerdo en cumplir con
la poltica. Finalmente la poltica debera ser revisada en forma
regular para ver si es soporta satisfactoriamente las necesidades
de seguridad

Poltica de seguridad

Quines deben estar involucrados al formar la poltica?

Resp.: personal de todos los niveles. La siguiente lista es de los

individuos que deben estar envueltos en la creacin y revisin de los
documentos de la poltica de seguridad:

1) Oficial de seguridad (CIO)

2) Soporte tcnico

3) Administradores de los distintos departamentos

4) Equipo de respuesta ante un incidente de seguridad

5) Representantes de los usuarios afectados por la poltica de

seguridad

6) Administrador y/o gerente

7) Asesor legal (si se necesita)

Administrador representa a quienes tienen el presupuesto y la
autoridad para implementar y hacer cumplir las polticas
Soporte son quienes tienen el conocimiento tcnico y pueden dar
sugerencias con respecto a la factibilidad de la implementacin
Consulta legal sabe de las ramificaciones legales de las distinta
opciones

Poltica de seguridad

Qu hace una buena poltica de seguridad?

Las caractersticas de una buena poltica de

seguridad incluyen:

1. Debe ser implementable a travs de procedimientos de

sistemas administrativos y mecanismos tcnicos
2. Debe estar respaldado por herramientas de seguridad
3. Debe definir claramente las reas de responsabilidad
para los usuario, administradores y gerentes

Polticas de informacin

La poltica de informacin define qu informacin de

la empresa es confidencial y cmo debera estar
protegida

P.e. cada empleado es responsable de proteger la

informacin confidencial que llegue a sus manos

La informacin puede estar en papel o en bits

La informacin confidencial puede incluir:

Diseos de productos, informacin de patentes,

directorio telefnico de la compaa
Nminas, domicilios y nmeros telefnicos de los
empleados, e-mails, seguro social, etc

Polticas de informacin

Clasificaciones

Por lo general se definen dos o tres niveles de

clasificacin

El nivel ms bajo debera ser de dominio pblico

Otro nivel puede ser denominada propietaria, delicada o
confidencial para la compaa
Puede darse a conocer a los empleados o a otras
organizaciones previo acuerdo de confidencialidad
Puede causar dao a la empresa si es conocida por el
pblico o la competencia
Si existe un tercer nivel puede ser llamado restringido o
protegido
Slo es conocido por un nmero limitado de
empleados

Polticas de informacin

Marcacin y almacenamiento de la informacin

confidencial

La poltica debera definir cmo rotular esta informacin

Si est en formato impreso debera rotularse en la parte superior
e inferior de cada pgina
Poltica de escritorio limpio (e.d. ninguna informacin
confidencial debera dejarse sobre el escritorio)
Se debe hacer uso de archivadores y cajones con llaves
Si el usuario tiene oficina debera dejarla siempre cerrada
Cuando la informacin se encuentra en formato digital se
pueden utilizar niveles de proteccin:

Controles de acceso a los archivos (privilegios)

Usuario y contrasea

La informacin puede estar cifrada

Polticas de informacin

Transmisin de la informacin confidencial

Existen diversas maneras de enviar informacin

confidencial:

E-mail, correo regular, fax, etc.

E-mail: cifrar archivos adjuntos y/o el cuerpo principal
del mensaje
Si se envan copias fsicas se debe buscar un
mecanismo que requiera de una confirmacin firmada de
recibo (p.e. correo certificado)
Si es enviado por fax, coordinar con el destinatario para
que est junto a la mquina hasta que llegue el
documento

Polticas de informacin

Destruccin de la informacin confidencial

La que se arroja a la basura o a contenedores de reciclaje puede

quedar al alcance de personas no autorizadas
El papel con informacin confidencial debera destruirse

Existen trituradoras de corte cruzado

Poca probabilidad de que la informacin pueda ser

reconstruida
La informacin digital almacenada en un medio magntico
puede ser recuperada despus de su eliminacin

Existen programas comerciales que borran la informacin de

manera ms segura (p.e. PGP Desktop y BCWipe)

http://www.pgp.com/downloads/desktoptrial.html

http://www.jetico.com/

Polticas de seguridad

Identificacin y autentificacin

Se debe definir cmo sern identificados los usuarios

Se debe definir un estndar para las ID de los usuarios
Se debe definir mecanismos de autentificacin o validacin
para los administradores y usuarios

Si es mediante el uso de contraseas, entonces se debe

definir la longitud mnima, la duracin y el contenido de sta
Se puede definir distintos niveles de robustez en el mecanismo
de autentificacin

P.e. para accesos remotos como VPN

Uso de smart card como mtodo robusto para la

autentificacin o validacin

Biometra

Polticas de seguridad

Control de acceso

Definir el requerimiento estndar para los controles

de acceso que se establecern el los archivos
digitales
El mecanismo debe proporcionar alguna forma de
control de acceso

Polticas de seguridad

Conectividad de redes

Para cada tipo de conexin se debe especificar las reglas para la

conectividad y los mecanismos de proteccin que sern empleados

Conexiones por marcacin telefnica (modem callback)

Conexiones permanentes

Definir el equipo de seguridad que se utilizar (p.e. la implementacin

de un firewall)

Acceso remoto al sistemas internos

Especificar requerimientos tcnicos de identificacin y autentificacin

Especificar mecanismos de acceso, comunicacin segura y de

autentificacin robusta (p.e. VPN)
Procedimientos para permitir a los empleados obtener autorizacin
para un acceso de esta clase

Redes inalmbricas

Condiciones bajo las cuales se debera permitir la operacin de una red

inalmbrica y procedimientos para obtener autorizacin en el uso de
esta red
Especificar mecanismos de autentificacin y cifrado (p.e. WEP, WPA,
WPA2)

Polticas de seguridad

Cdigo malintencionado

La poltica deber especificar en qu lugar se

ubicarn los programas de seguridad que buscarn
cdigos malintencionados (p.e. virus, rootkits,
backdoors, troyanos, etc)

Servidores de archivos, servidores de correo electrnico,

servidor web, etc

Requerimientos para que examinen tipos especficos

de archivos y verifiquen cuando sean abiertos o
hacerlos en forma peridica
Definir las actualizaciones peridicas de los
programas de seguridad (p.e. actualizacin mensual
del antivirus)

Polticas de seguridad

Cifrado

La poltica debera definir el tipo de algoritmo de

cifrado aceptables para su uso al interior de la
organizacin
Especificar procedimientos para la administracin de
la clave

Apndices

Las configuraciones detalladas de seguridad para

los sistemas operativos, dispositivos de red, equipos
de telecomunicaciones, debern situarse en
apndices
Esto permitir que estos documentos detallados se
puedan modificar sin tener que cambiar la poltica de
seguridad de la organizacin

Polticas de uso de los

computadores

Define quin puede usar los computadores de la

organizacin y cmo pueden ser utilizados
Generalmente se omite ya que parece un simple
sentido comn
El problema de omitir la propiedad y el uso de los
computadores es que la organizacin quede
expuesta a demandas legales por parte de los
empleados

Polticas de uso de los

computadores

Propiedad de los computadores

Debe establecer claramente que los computadores

son de propiedad de la organizacin y que stos son
proporcionados a los empleados para su uso de
acuerdo a sus funciones dentro de la organizacin
Debe prohibir el uso de computadores ajenos a la
organizacin que se utilice para hacer negocios
dentro de la misma

P.e. si los empleados siguen trabajando en sus casas la

empresa debe proporcionar un computador adecuado

Definir que slo computadores pertenecientes a la

organizacin podrn tener acceso remoto a sta

Polticas de uso de los

computadores

Propiedad de la informacin

Establecer que la informacin almacenada o utilizada en los

computadores de la organizacin pertenece a ella
No sirve generar carpetas privadas u ocultas por parte de los
usuarios

Uso aceptable de los computadores

Establecer que los computadores de la organizacin

nicamente pueden utilizarse para propsitos del negocio
En los turnos de noche la organizacin podra dejar que los
empleados se entretengan con juegos, pero debera estar
establecido con claridad en la poltica
En cuanto al software, se debe especificar que ningn software
no autorizado puede ser instalado
Adems debe definir quin carga el software autorizados

Polticas de uso de los

computadores

Nulas expectativas de privacidad

Se debe declarar que el empleado no debera tener

esperanzas de privacidad respecto a cualquier
informacin almacenada, enviada o recibida en o
desde cualquier computador de la organizacin
El empleado debe comprender que cualquier
informacin, incluyendo el e-mail, puede ser
examinada por los administradores
Incluso los administradores pueden hacer
seguimiento de los sitios web que se visitan

Polticas de uso de Internet

Polticas de uso de Internet

Las organizaciones conceden conectividad a Internet a sus

empleados para que stos puedan realizar sus labores con
mayor eficacia y de este modo beneficiar a la organizacin
Definir los usos apropiados de Internet: investigacin
relacionada con el negocio, adquisiciones, comunicaciones por
e-mail, etc
Definir los usos no apropiados de Internet: visitas a sitios web no
relacionados con el negocio, descarga de software protegido por
derecho de autor, comercio o intercambio de msica o envo de
cadenas
Establecer que la organizacin puede dar seguimiento al uso de
Internet por parte de los empleados, y que stos no deben tener
expectativas de privacidad cuando hagan uso de Internet

Polticas de uso de Internet

Polticas de e-mail

Cuestiones de correo interno

La poltica no debera entrar en conflicto con otras

polticas de recursos humanos:

La poltica de e-mail debe hacer referencia al acoso u

hostigamiento sexual

No se deben enviar bromas subidas de tono a los

colaboradores por medio del e-mail
Comentarios inapropiados o subidos de tono
Establecer que el empleado no tenga expectativas de
privacidad del e-mail

Polticas de e-mail

Cuestiones de correo externo

El e-mail que sale de la organizacin puede contener

informacin confidencial
La poltica debe definir cmo debera estar protegida esta
informacin
Puede ser apropiado que la organizacin coloque una exencin
de responsabilidad (disclaimer) o una firma en la parte inferior,
para indicar que la informacin del propietario debe ser
protegida. P.e.:

Este mensaje es de naturaleza confidencial y puede contener

informacin protegida por normas de secreto y propiedad
intelectual. Si usted ha recibido este correo electrnico por error, le
agradeceremos se comunique inmediatamente con nosotros por
este misma va y tenga adems la amabilidad de borrar el mensaje
y sus adjuntos; as mismo, usted no deber copiar el mensaje ni
sus adjuntos ni divulgar su contenido a ninguna persona. Muchas
gracias

Sobre el e-mail entrante, se debe considerar examinar los archivos

adjuntos (virus, gusanos, troyanos, etc)

Polticas de respaldos

Frecuencia de respaldos

Almacenamientos de respaldos

Debe definir con qu frecuencia se realizarn los respaldos de

informacin
Lo tpico es que se hagan respaldos completos un da a la
semana y respaldos incrementales a diario

Respaldo incremental se respalda slo los archivos que han

cambiado desde el ltimo respaldo
Guardar los medios utilizados para los respaldos en una
ubicacin segura y accesible

Informacin que ser respaldada

Los archivos de datos que se modifican con frecuencia

Polticas de respaldos

Prximamente

Plan de recuperacin de desastres

Plan de continuidad del negocio

Temas tareas

XSS
Programar socket para realizar un ataque de
escaneo de puertos de algn servidor
Ingeniera social
Esteganografa
Seguridad inlmbrica (Cristobal Rojas)
IP Spoofing ARP poisoning (Nicols Delgado)
Ataque DDoS (Jaime Campano)
Colisiones de funciones hash (Ral Lpez)
Criptografa cuntica
Kerberos y Radius (Mauricio Caroca)
IDS e IPS (Snort) 2 alumnos (Valeria y Alejandro
Medina)
Anlisis forense
Test de penetracin
GPG GNU FSF

Polticas de respaldos

Actividad

Formar grupos de 4 personas

1 representante de la gerencia

1 representante de los usuarios (empleados)

1 Oficial de seguridad (CIO)

1 asesor legal (opcional)

Generar un programa de poltica de seguridad para una
empresa donde todos los integrantes estn plenamente de
acuerdo y se alcancen los objetivos de seguridad, de negocio y
considere aspectos legales (si aplica)

Empresa en estudio:

Empresa ficticia