Analisis de Riesgos Informaticos en Empresa Ecuador

ESCUELA POLITCNICA NACIONAL
FACULTAD DE INGENIERA DE SISTEMAS

ANLISIS DE RIESGOS INFORMTICOS Y ELABORACIN DE UN
PLAN DE CONTINGENCIA T.I. PARA LA EMPRESA ELCTRICA
QUITO S.A.
PROYECTO PREVIO A LA OBTENCIN DEL TTULO DE INGENIERO EN

SISTEMAS INFORMTICOS Y DE COMPUTACIN
GALLARDO PIEDRA MARIA CRISTINA

mcris_gallardopsb@hotmail.com
JCOME CORDONES PAL ORLANDO

paul_o_jc@hotmail.com
DIRECTOR: JAIME FABIN NARANJO ANDA, MSC. ING.

jaime.naranjo@epn.edu.ec
Quito, Febrero 2011
DECLARACIN
Nosotros Gallardo Piedra Mara Cristina y Jcome Cordones Pal Orlando,
declaramos bajo juramento que el trabajo aqu descrito es de nuestra autora; que
no ha sido previamente presentada para ningn grado o calificacin profesional; y,
que hemos consultado las referencias bibliogrficas que se incluyen en este
documento.
A travs de la presente declaracin cedo mis derechos de propiedad intelectual
correspondientes a este trabajo, a la Escuela Politcnica Nacional, segn lo
establecido por la Ley de Propiedad Intelectual, por su Reglamento y por la
normatividad institucional vigente.
________________________
Gallardo Cristina
________________________
Jcome Pal
ii
CERTIFICACIN
Certifico que el presente trabajo fue desarrollado por Gallardo Piedra Mara
Cristina y Jcome Cordones Pal Orlando, bajo mi supervisin.
JAIME NARANJO, MSC. ING.

DIRECTOR DE PROYECTO
iii
AGRADECIMIENTO
Quiero agradecer principalmente a Dios, a la Virgencita y al Niito Jess por

estar siempre a mi lado y bendecir a toda mi familia y a m, agradezco
tambin a mi madre por estar siempre apoyndome y dndome esas fuerzas
que a veces faltaban para seguir adelante y concluir con todo lo que me he
propuesto en esta carrera, a mi padre por recalcarme la importancia del
estudio y a mi hermano por estar siempre conmigo apoyndome en todo. A
todos quiero dar las gracias por haberme apoyado y por haber estado junto a
m en los momentos de alegras y tristezas y sobretodo en estos momentos en
los que concluyo con una etapa muy importante en mi vida como es la carrera
universitaria.
Con cario,
Cris
iv
DEDICATORIA
El presente proyecto de titulacin lo dedico principalmente a Dios, la Virgen
y el Niito Jess as como tambin a mis padres, mi hermano, mis amigos y
mi compaero de tesis por haberme apoyado en la realizacin del mismo.
Cris
AGRADECIMIENTO
Agradezco a mis padres quienes siempre han estado a mi lado, que cuando he
cado me han sabido levantar, gracias a ellos soy la persona que soy y espero
seguir saliendo adelante en la vida y nunca decepcionarlos son los mejores y s
que voy a contar con ustedes en las buenas y en las malas, espero ser reciproco y
recompensar todo lo que en la vida me han enseado y brindado.
A mis hermanos por su apoyo continuo para conmigo, hemos pasado ancdotas
buenas y malas en nuestras vidas, y siempre hemos superado cualquier problema,
hemos compartido alegras y tristezas, agradezco mucho su presencia y apoyo y
espero seguir contando con ustedes siempre.
A todos los que han compartido en mi vida momentos inolvidables y que me han
brindado sus consejos y apoyo.
GRACIAS A TODOS
PAL
vi
DEDICATORIA
El presente trabajo lo dedico con mucho cario a Dios, a mis padres, a mis
hermanos y a toda mi familia.
PAL
vii
CONTENIDO
ILUSTRACIONES ................................................................................................... X
TABLAS ................................................................................................................ XII
CAPITULO 1: INTRODUCCION ............................................................................. 1
1.1
ESTUDIO COMPARATIVO DE METODOLOGIAS DE ANALISIS DE
RIESGOS ............................................................................................................ 1
1.1.1
IDENTIFICACIN DE LAS PRINCIPALES METODOLOGAS PARA
ANLISIS DE RIESGOS. ................................................................... 1
1.1.1.1 Magerit ........................................................................................... 1
1.1.1.2 Octave .......................................................................................... 13
1.1.1.3 Mehari .......................................................................................... 18
1.2
CUADRO COMPARATIVO Y SELECCIN DE LA METODOLOGA
PARA REALIZAR EL ANLISIS DE RIESGOS. .............................................. 22
1.2.1
CUADRO COMPARATIVO DE METODOLOGAS PARA ANLISIS
DE RIESGO. .................................................................................... 22
1.2.2
SELECCIN Y JUSTIFICACIN DE LA METODOLOGA DE
ANLISIS DE RIESGOS ................................................................. 23
1.3
ESTUDIO COMPARATIVO DE METODOLOGIAS PARA ELABORAR
UN PLAN DE CONTINGENCIA. ....................................................................... 25
1.3.1
REALIZAR UN PLAN DE CONTINGENCIA. .................................... 25
1.3.1.1 Metodologa General .................................................................... 25
1.3.1.2 Metodologa de William Toigo ...................................................... 28
1.3.1.3 Octave .......................................................................................... 30
1.4
CUADRO COMPARATIVO Y SELECCIN DE LA METODOLOGA
PARA REALIZAR EL PLAN DE CONTINGENCIA. .......................................... 32
1.4.1
CUADRO COMPARATIVO DE METODOLOGAS PARA PLAN DE
CONTINGENCIA. ............................................................................. 32
1.4.2
SELECCIN Y JUSTIFICACIN DE METODOLOGA PARA PLAN
DE CONTINGENCIA. ...................................................................... 33
CAPITULO 2: ANLISIS DE RIESGOS INFORMTICOS EN LA EMPRESA
ELCTRICA QUITO ............................................................................................. 35
2.1
CARACTERIZACIN DE LA EMPRESA ............................................... 35
2.1.1
ORGANIGRAMA DE LA EEQ .......................................................... 36
2.1.2
DIVISIN
DE
TECNOLOGA
INFORMTICA
Y
DE
COMUNICACIONES (TIC) ............................................................... 37
viii
2.1.2.1 Organigrama del Dpto. TIC .......................................................... 37

2.2
IDENTIFICACIN DE LOS RIESGOS INFORMTICOS ....................... 38
2.2.1
CONFORMACIN DEL EQUIPO DE TRABAJO ............................. 38
2.2.2
FASE 1: VISIN DE LA ORGANIZACIN ...................................... 42
2.2.2.1 Proceso 1, 2, 3: Identificacin del conocimiento de los Altos
directivos, Directivos de reas Operativas y Personal en General
..................................................................................................... 43
2.2.2.1.1 Descripcin de los Procesos 1, 2 y 3 ..................................... 44
2.2.2.1.2 Desarrollo Proceso 1: Identificacin del conocimiento de los
Altos Directivos ...................................................................... 48
2.2.2.1.3 Desarrollo Proceso 2: Identificacin del conocimiento de
directivos de reas operativas ............................................... 56
2.2.2.1.4 Desarrollo Proceso 3: Identificacin del conocimiento del
Personal en General .............................................................. 62
2.2.2.2 Proceso 4: Creacin de Perfiles de Amenaza .............................. 65
2.2.2.2.1 Descripcin del Proceso 4 ..................................................... 65
2.2.2.2.2 Desarrollo del Proceso 4........................................................ 68
2.2.3
FASE 2: VISIN TECNOLGICA ................................................. 112
2.2.3.1 Proceso 5: Identificacin de Componentes Clave ...................... 112
2.2.3.1.1 Descripcin del Proceso 5 ................................................... 112
2.2.3.1.2 Desarrollo del Proceso 5...................................................... 114
2.3
EVALUACIN DE LOS RIESGOS INFORMTICOS Y SU IMPACTO ....
.............................................................................................................. 119
2.3.1
PROCESO 6: EVALUACIN DE LOS COMPONENTES
SELECCIONADOS ........................................................................ 119
2.3.1.1 Descripcin del proceso 6 .......................................................... 119
2.3.1.2 Desarrollo del Proceso 6 ............................................................ 121
2.3.1.2.1 Definicin de niveles de severidad para las vulnerabilidades ....
............................................................................................. 121
2.3.1.2.2 Resumen de vulnerabilidades de los componentes
examinados ......................................................................... 121
CAPITULO 3: DESARROLLO DEL PLAN DE CONTINGENCIA PARA LA
EMPRESA ELCTRICA QUITO. ........................................................................ 124
3.1
LINEAMIENTOS GENERALES ............................................................ 124
3.1.1
FASE 3: PLANIFICACIN DE LAS MEDIDAS Y REDUCCIN DE
LOS RIESGOS ............................................................................... 124
3.1.1.1 Proceso 7: Conducir el Anlisis de Riesgos ............................... 124
3.1.1.1.1 Descripcin del Proceso 7 ................................................... 124
ix
3.1.1.1.2 Desarrollo del Proceso 7...................................................... 125

3.2
ELABORACIN DEL PLAN ................................................................ 159
3.2.1
PROCESO 8: DESARROLLAR ESTRATEGIAS Y PLANES DE
PROTECCIN ............................................................................... 159
3.2.1.1 Descripcin del proceso 8 .......................................................... 159
3.2.1.2 Desarrollo del Proceso 8 ............................................................ 161
3.2.1.2.1 Creacin de Estrategias de Proteccin ................................ 161
3.2.1.2.2 Creacin de Planes de Mitigacin para los activos crticos . 168
3.2.1.2.3 Creacin de lista de acciones .............................................. 186
3.3
VALIDACIN DEL PLAN ..................................................................... 200
CAPITULO 4: CONCLUSIONES Y RECOMENDACIONES............................... 202
4.1
4.2
CONCLUSIONES ................................................................................. 202

RECOMENDACIONES ......................................................................... 204
BIBLIOGRAFA .................................................................................................. 207

GLOSARIO DE TRMINOS ............................................................................... 210
ANEXO A: HOJAS DE TRABAJO UTILIZADAS DENTRO DE LA
METODOLOGA OCTAVE ................................................................................. 213
ANEXO B: HOJAS DE TRABAJO CON INFORMACIN RECOPILADA ......... 226
ANEXO C: INVENTARIO DE SERVIDORES DE LA EMPRESA ELCTRICA
QUITO ................................................................................................................. 248
ANEXO D: VULNERABILIDADES ENCONTRADAS EN LOS COMPONENTES
CLAVE ................................................................................................................ 253
ANEXO E: DEPARTAMENTOS DE LA DIVISIN DE TECNOLOGA
INFORMTICA Y DE COMUNICACIONES (TIC) .............................................. 274
ANEXO F: RESUMEN EJECUTIVO ................................................................... 283
ILUSTRACIONES
Ilustracin 1: Fases Metodologa Magerit ................................................................ 6
Ilustracin 2: Balance de la metodologa OCTAVE ............................................... 13
Ilustracin 3: Procesos y fases de la Metodologa OCTAVE ................................. 17
Ilustracin 4: Organigrama de la EEQ ................................................................... 36
Ilustracin 5: Organigrama del Dpto. de TIC de la EEQ ........................................ 37
Ilustracin 6: Diagrama de flujo Proceso 1: Identificar el conocimiento de los altos
directivos ............................................................................................................... 46
Ilustracin 7: Flujo de trabajo Proceso 2: Identificar el conocimiento de los
directivos de reas operativas ............................................................................... 47
Ilustracin 8: Flujo de trabajo Proceso 3: Identificar el conocimiento del personal 48
Ilustracin 9: Perfil de amenaza del activo SIDECOM: Actores humanos que usan
el acceso de red .................................................................................................... 73
Ilustracin 10: Perfil de amenaza del activo crtico SIDECOM: Actores humanos
que usan el acceso fsico ...................................................................................... 74
Ilustracin 11: Perfil de amenaza activo crtico SIDECOM: Problemas del sistema
.............................................................................................................................. 75
Ilustracin 12: Perfil de amenaza activo crtico SIDECOM: Otros problemas ....... 76
Ilustracin 13: Perfil de amenaza activo Infraestructura de red y cableado: Actores
humanos que usan el acceso de red..................................................................... 80
Ilustracin 14: Perfil de amenaza activo Infraestructura de red y cableado: Actores
humanos que usan el acceso fsico ...................................................................... 81
Ilustracin 15: Perfil de amenaza activo Infraestructura de red y cableado: Otros
Problemas ............................................................................................................. 82
Ilustracin 16: Perfil de amenaza activo Servidores: Actores humanos que usan el
acceso de red ........................................................................................................ 89
xi
Ilustracin 17: Perfil de amenaza activo Servidores: Actores humanos que usan el
acceso de fsico..................................................................................................... 90
Ilustracin 18: Perfil de amenaza activo Servidores: Problemas del sistema ........ 91
Ilustracin 19: Perfil de amenaza activo Servidores: Otros problemas ................. 92
Ilustracin 20: Perfil de amenaza activo Sistema SCADA: Actores humanos que
usan el acceso de red ........................................................................................... 96
Ilustracin 21: Perfil de riesgo Actores humanos que usan el acceso de red para
el Activo Crtico: SISTEMA SIDECOM ................................................................ 140
Ilustracin 22: Perfil de riesgo Actores humanos que usan el acceso de fsico
para el Activo Crtico: SISTEMA SIDECOM ........................................................ 141
Ilustracin 23: Perfil de riesgo "Problemas del sistema" para el Activo Crtico:
SISTEMA SIDECOM ........................................................................................... 142
Ilustracin 24: Perfil de riesgo "Otros Problemas" para el Activo Crtico: SISTEMA
SIDECOM............................................................................................................ 143
Ilustracin 25: Perfil de riesgo "Actores humanos que usan el acceso de red" para
el Activo Crtico: INFRAESTRUCTURA DE RED Y CABLEADO ........................ 144
Ilustracin 26: Perfil de riesgo "Actores humanos que usan el acceso de fsico"
para el Activo Crtico: INFRAESTRUCTURA DE RED Y CABLEADO ................ 145
Ilustracin 27: Perfil de riesgo "Otros Problemas" para el Activo Crtico:
INFRAESTRUCTURA DE RED Y CABLEADO ................................................... 146
el Activo Crtico: SERVIDORES .......................................................................... 147
Ilustracin 29: Perfil de riesgo "Actores humanos que usan el acceso fsico para el
Activo Crtico: SERVIDORES .............................................................................. 148
Ilustracin 30: Perfil de riesgo "Problemas del sistema" para el Activo Crtico:
SERVIDORES ..................................................................................................... 149
SERVIDORES ..................................................................................................... 150
xii
el Activo Crtico: SISTEMA SCADA .................................................................... 151
Ilustracin 33: Perfil de riesgo "Actores humanos que usan el acceso de fsico"
para el Activo Crtico: SISTEMA SCADA ............................................................ 152
Ilustracin 34: Perfil de riesgo "Problemas del Sistema" para el Activo Crtico:
SISTEMA SCADA ............................................................................................... 153
Ilustracin 35: Perfil de riesgo "Otros Problemas" para el Activo Crtico: SISTEMA
SCADA ................................................................................................................ 154
el Activo Crtico: ESTACIONES DE TRABAJO Y EQUIPOS PORTTILES ....... 155
Ilustracin 37: Perfil de riesgo "Actores humanos que usan el acceso fsico" para el
Activo Crtico: ESTACIONES DE TRABAJO Y EQUIPOS PORTTILES DE LA
EEQ..................................................................................................................... 156
Ilustracin 38: Perfil de riesgo "Problemas del Sistema" para el Activo Crtico:
ESTACIONES DE TRABAJO Y EQUIPOS PORTTILES DE LA EEQ .............. 157
ESTACIONES DE TRABAJO Y EQUIPOS PORTTILES DE LA EEQ .............. 159
Ilustracin 40: Flujo de trabajo Proceso 8: Desarrollo de las estrategias de
Proteccin y Plan de Mitigacin .......................................................................... 160
TABLAS
Tabla 1: Tabla comparativa Metodologas para el Anlisis de Riesgo .................. 23
Tabla 2: Cuadro comparativo de Metodologas para Plan de Contingencias ........ 33
Tabla 3: Informacin del Activo Crtico SIDECOM ................................................ 68
Tabla 4: Requerimientos de seguridad para el activo crtico SIDECOM ............... 69
Tabla 5: reas de inters por tipo de amenaza para activo SIDECOM................. 72
Tabla 6: Informacin del activo crtico: Infraestructura de red y cableado............. 77
xiii
Tabla 7: Requerimientos de seguridad para activo crtico: Infraestructura de red y

cableado ................................................................................................................ 78
Tabla 8: reas de inters por tipo de amenaza para activo: Infraestructura de red y
cableado ................................................................................................................ 79
Tabla 9: Informacin del activo crtico Servidores ................................................. 83
Tabla 10: Requerimientos de seguridad para el activo crtico Servidores ............. 84
Tabla 11: reas de inters por tipo de amenaza para activo Servidores .............. 88
Tabla 12: Informacin del activo crtico Sistema SCADA ...................................... 93
Tabla 13: Requerimientos de seguridad para el activo crtico Sistema SCADA .... 94
Tabla 14: reas de inters por tipo de amenaza para activo Sistema SCADA ..... 95
Tabla 15: Perfil de amenaza activo Sistema SCADA: Actores humanos que usan el
acceso fsico.......................................................................................................... 97
Tabla 16: Perfil de amenaza activo Sistema SCADA: Problemas del sistema ...... 98
Tabla 17: Perfil de amenaza activo Sistema SCADA: Otros problemas ................ 99
Tabla 18: Informacin del activo crtico Estaciones de trabajo de la EEQ .......... 100
Tabla 19: Requerimientos de seguridad para el activo crtico Estaciones de trabajo
de la EEQ ............................................................................................................ 101
Tabla 20: reas de inters por tipo de amenaza para activo Estaciones de trabajo
de la EEQ ............................................................................................................ 107
Tabla 21: Perfil de amenaza activo Estaciones de trabajo de la EEQ: Actores
humanos que usan el acceso de red................................................................... 108
Tabla 22: Perfil de amenaza activo Estaciones de trabajo de la EEQ: Actores
humanos que usan el acceso fsico .................................................................... 109
Tabla 23: Perfil de amenaza activo Estaciones de trabajo de la EEQ: Problemas
del sistema .......................................................................................................... 110
Tabla 24: Perfil de amenaza activo Estaciones de trabajo de la EEQ: Otros
problemas............................................................................................................ 112
xiv
Tabla 25: Identificacin de Sistemas de inters .................................................. 114

Tabla 26: Identificacin de clases de componentes claves ................................. 114
Tabla 27: Identificacin de los componentes a examinar .................................... 119
Tabla 28: Niveles de severidad para las vulnerabilidades ................................... 121
Tabla 29: Resumen de vulnerabilidades identificadas en los componentes ....... 123
Tabla 30: Resumen de impactos para el activo crtico: Sistema SIDECOM ....... 129
Tabla 31: Resumen de impactos para el activo crtico: Infraestructura de red y
cableado .............................................................................................................. 130
Tabla 32: Resumen de impactos para el activo crtico: Servidores ..................... 133
Tabla 33: Resumen de impactos para el activo crtico: Sistema SCADA ............ 134
Tabla 34: Resumen de impactos para el activo crtico: Estaciones de trabajo de la
EEQ..................................................................................................................... 136
Tabla 35: Criterios de evaluacin de los componentes seleccionados ............... 139
Tabla 36: Propuesta de Estrategias de proteccin .............................................. 167
Tabla 37: Lista de acciones propuestas para la empresa ................................... 188
Tabla 38: Lista de acciones propuestas para los Componentes Claves de la
empresa .............................................................................................................. 199
CAPITULO 1: INTRODUCCION
1.1 ESTUDIO COMPARATIVO DE METODOLOGIAS DE ANALISIS
DE RIESGOS
1.1.1
IDENTIFICACIN
DE
LAS
PRINCIPALES METODOLOGAS
PARA
ANLISIS DE RIESGOS.
En la actualidad, el uso de las TICs (Tecnologas de Informacin y Comunicacin)
es muy generalizado a nivel mundial, ya que ofrecen potenciales beneficios para las
personas y empresas que las usan.
Esto da lugar al surgimiento de varias vulnerabilidades, amenazas y riesgos, los
cuales deben ser eliminados cuando sea posible y en otros casos controlados para
que su impacto no sea significativo, ya que dentro de una organizacin puede
implicar prdidas importantes que disminuyan el desempeo de la misma.
Para ayudar a la mitigacin de estos problemas, se hace necesario un exhaustivo
anlisis de los mismos, para luego proceder a la creacin de ciertas medidas de
seguridad, para que el uso de las TICs generen confianza en cada uno de los
usuarios.
Existen varias metodologas que permiten realizar el respectivo anlisis de los
riesgos que se pueden presentar dentro de una empresa, por esta razn se muestra
a continuacin un estudio de las principales metodologas para anlisis y gestin de
riesgos dentro de los sistemas informticos, como por ejemplo: Magerit, Octave y
Mehari.
1.1.1.1 Magerit
MAGERIT, cuyo acrnimo es "Metodologa de Anlisis y Gestin de Riesgos de los
Sistemas de Informacin de las Administraciones Pblicas", es una metodologa
que se orienta hacia la investigacin y anlisis de los riesgos que se presentan
dentro de los sistemas de informacin, adems de proporcionar medidas

apropiadas, las mismas que servirn para controlar y minimizar estos riesgos.
Esta metodologa es de uso pblico ya que no requiere una previa autorizacin para
su uso por parte del MAP (Ministerio de Administraciones Pblicas) de Espaa.
Objetivos
Los objetivos de MAGERIT son los siguientes:
Directos
1. Concienciar a los responsables de manejar los sistemas de informacin de la
existencia de riesgo y la forma de minimizar o eliminar los mismos.
2. Ofrecer un mtodo ordenado para analizar los riesgos de una organizacin.
3. Ayudar a descubrir y planificar los riesgos encontrados en una organizacin y
as mantenerlos bajo control.
Indirectos
1. Preparar a la organizacin para procesos de evaluacin, auditoria, etc. Segn
sea el caso.
MAGERIT contiene un conjunto de informes uniformes en los cuales se recoge las
principales conclusiones en un proyecto de anlisis y gestin de riesgos, los cuales
se describen a continuacin:
Modelos de valor
Este modelo describe la caracterizacin del valor que representa cada activo
existente en una Organizacin, as como tambin la dependencia que existe entre
los activos.
Mapa de Riesgos
Describe la relacin de las amenazas a las que estn expuestos los activos de una
organizacin.
Evaluacin de Salvaguardas
Aqu se evalan las diferentes salvaguardas que aparecern en una organizacin
de acuerdo a los riesgos existentes.
Estado de riesgo
Descripcin de los activos divididos de acuerdo a su riesgo residual, es decir,
tomando en cuenta lo que puede pasar dependiendo de las salvaguardas
desarrolladas.
Informe de insuficiencias
Aqu se describen la ausencia o debilidad de las salvaguardas que van apareciendo
en una empresa como oportunas para reducir los riesgos existentes sobre los
sistemas.
Plan de seguridad
Este es el conjunto de programas de seguridad que permite desarrollar lo decidido
en la gestin de riesgo realizada en una organizacin.
Guas tcnicas
Magerit emplea guas tcnicas las cuales se utilizan para llevar a cabo un proyecto
de gestin y anlisis de riesgos. Dichas tcnicas se indican a continuacin:
Tcnicas especficas para el anlisis de riesgos
Anlisis mediante tablas
Anlisis algortmico
rboles de ataque
Tcnicas generales
Anlisis coste-beneficio
Diagramas de flujo de datos
Diagramas de procesos
Tcnicas grficas
Planificacin de proyectos
Sesiones de trabajo: entrevistas, reuniones y presentaciones
Valoracin Delphi
Realizacin del Anlisis de gestin de riesgos

Magerit explica en forma clara y precisa los pasos que hay que seguir para el
anlisis y gestin de riesgos, con los cuales se podr determinar qu persiguen
cada uno y de esta forma sacar las respectivas conclusiones que se derivan.
En Magerit existen dos grandes tareas a realizar para cumplir con esto, las cuales
se explican a continuacin.
Anlisis de riesgos
Con lo cual se podr saber de una forma clara y precisa de los activos con los que
cuenta la organizacin y estimar que podra pasar con estos. Cuenta con los
siguientes elementos:
Activos: estos son los elementos con los que cuenta un Sistema de
Informacin dentro de una empresa los cuales aportan algn valor para
la misma.
Amenazas: las amenazas son las cosas que le podran pasar a los
activos los cuales representaran dao o perjuicio a la organizacin.
Salvaguardas: son las medidas de control que se despliegan para
minimizar las amenazas que existan en la empresa.
Con los elementos descritos se puede estimar lo siguiente:

El impacto: el impacto es lo que podra pasar.
El riesgo: es la probabilidad de que una amenaza se cumpla.
Gestin de riesgos
La gestin de riesgos tiene como objetivo identificar los mecanismos de
salvaguardas para de esta forma reducir los riesgos identificados en la organizacin
y de esta manera garantizar la operatividad de la empresa en las mejores
condiciones posibles.
Pasos para realizar un Anlisis de Riesgos

El objetivo de realizar un anlisis de riesgos es determinar una aproximacin
metdica en los que se determina los riesgos, para lo cual se sigue una serie de
pasos normalizados.
1. Identificar los activos de la organizacin, su relacin y el coste que este

representara a la misma en caso de que fallara.
2. Determinar las amenazas a las que estaran expuestos los activos de la
organizacin.
3. Establecer las respectivas salvaguardas que se tomaran para mitigar o
minimizar los riesgos y cuan eficaces son estos.
4. Estimar el impacto que podran tener los activos en caso de materializarse las
amenazas.
5. Estimar el riesgo de la expectativa de materializacin de la amenaza.
MAGERIT en su versin propone primeramente tratar los pasos 1, 2, 4 y 5. Esto
debido a que en caso de no tener salvaguardas en la organizacin esto se vera
como un potencial impacto o riesgo dentro de la misma y una vez obtenido el
escenario necesario se incorpora al paso 3 derivando en estimaciones realistas de
impacto y riesgo.
La siguiente figura muestra los pasos que hay que seguir para realizar un Anlisis
de Riesgo.
Ilustracin 1: Fases Metodologa Magerit
Paso 1. Activos
Los activos son definidos como los recursos con los que cuenta una organizacin,
de tal modo que sta funcione de una manera correcta y pueda alcanzar sus
objetivos trazados.
El principal activo con el que cuenta una organizacin es la informacin (datos) que
se manejan en los sistemas y alrededor de esta se derivan otros activos como los
siguientes:
Los servicios
Las aplicaciones informticas
Los equipos informticos
Los soportes de informacin
El equipamiento auxiliar
Las redes de comunicacin
Las instalaciones
Las personas
Existen diferentes tipos de activos dentro de una Organizacin y dependiendo del

tipo de activo al que pertenece se puede determinar las amenazas y salvaguardas
de estos.
Dependencias
La definicin de dependencia entre activos es muy importante a la hora de realizar
un Anlisis de Riesgo, ya que de sta forma se puede analizar la medida en que
se vera afectado un activo superior por algn incidente que se presentara en un
activo inferior.
Se dice que un activo depende de otro cuando la materializacin de la amenaza

en un activo inferior tiene como consecuencia un perjuicio en un activo superior.
MAGERIT ha desarrollado una forma de clasificacin de dependencias entre

activos que generalmente se dan en casi todas las organizaciones, la cual se
describe a continuacin:
Capa 1: el entorno: los cuales garantizan las siguientes capas

Equipamiento y suministros: energa, climatizacin, comunicaciones
Personal: de direccin, de operacin, de desarrollo, etc.
Otros: edificios, mobiliario, etc.
Capa 2: el sistema de informacin

Equipos informticos (hardware)
Aplicaciones (software)
Comunicaciones
Soportes de informacin: discos, cintas, etc.
Capa 3: la informacin
Datos
Meta-datos: estructuras, ndices, claves de cifra, etc.
Capa 4: las funciones de la organizacin

Objetivos y misin
Bienes y servicios producidos
Capa 5: otros activos

Credibilidad o buena imagen
Conocimiento acumulado
independencia de criterio o actuacin
intimidad de las personas
integridad fsica de las personas
Paso 2: Amenazas
El siguiente paso que se realiza en MAGERIT es la de determinar las amenazas
que pueden afectar a los activos de la organizacin, las amenazas son cosas que
pudieran pasar y que afectaran al buen funcionamiento de los activos.
Las amenazas que podran pasar son cosas como accidentes naturales
(terremotos, inundaciones, etc.) y desastres industriales (contaminacin, fallos
elctricos, etc.) donde se deber tomar medidas para minimizar el impacto de estas
amenazas. Tambin existen amenazas que pueden ser causadas por personas,
bien de manera accidental o intencional.
Valoracin de las amenazas

Una vez determinadas las amenazas hay que evaluar cun vulnerables son los
activos, esto se lo realiza tomando en cuenta 2 aspectos:
Degradacin: cuan perjudicado resulta un activo.
Frecuencia: cada cuanto se materializa una amenaza.
La degradacin mide el dao ocasionado a un activo en el supuesto de que se

materializara la amenaza.
La frecuencia pone en perspectiva el dao que pueden sufrir los activos debido a
que algunas amenazas pueden representar daos incalculables a estos, pero es
10
poco probable de que se den. En cambio existen amenazas que no representan

mayor dao a los activos pero que se dan con mayor frecuencia pudiendo causar
un dao acumulado considerable.
Paso 4: Determinacin del impacto

La determinacin de impacto es denominada como el dao que causa la
materializacin de una amenaza sobre uno o varios activos de una organizacin. Es
obvio que el valor de los sistemas se centra en los servicios que presta y en los
datos que se manejan, por esto las amenazas suelen materializarse en los medios.
Impacto acumulado
Es el calculado de un activo teniendo en cuenta.
Su valor acumulado (el propio ms el acumulado de los activos que dependen

de l)
Las amenazas a las que est expuesto
Impacto repercutido
Es el calculado de un activo teniendo en cuenta.
Su valor propio.
Las amenazas a que estn expuestos los activos de los que depende.
Agregacin de valores de impacto

Hay una forma de valorar el impacto que tendra una amenaza sobre un activo en
ciertas dimensiones, esto se puede realizar bajo ciertas condiciones:
Puede agregarse el impacto repercutido sobre diferentes activos,
Puede agregarse el impacto acumulado sobre activos que no sean

dependientes entre s,
No debe agregarse el impacto acumulado sobre activos que no sean

independientes,
Puede agregarse el impacto de diferentes amenazas sobre un mismo activo,
11
Puede agregarse el impacto de una amenaza en diferentes dimensiones.
Paso 5: Determinacin del Riesgo

Se denomina riesgo a la medida de dao probable que podra darse sobre un
sistema, una vez conocido el impacto de las amenazas sobre los activos es muy
fcil determinar el riesgo de estos tomando en cuenta la frecuencia con que estos
se presentan.
Riesgo acumulado
Es el calculado sobre un activo teniendo en cuenta
El impacto acumulado sobre un activo debido a una amenaza y
La frecuencia de la amenaza
Riesgo repercutido
Es el calculado sobre un activo teniendo en cuenta
El impacto repercutido sobre un activo debido a una amenaza y
La frecuencia de la amenaza.
Agregacin de valores de riesgo

Hay una forma de valorar el riesgo que tendra una amenaza sobre un activo en
ciertas dimensiones, esto se puede realizar bajo ciertas condiciones:
Puede agregarse el riesgo repercutido sobre diferentes activos,
Puede agregarse el riesgo acumulado sobre activos que no sean

dependientes entre s,
No debe agregarse el riesgo acumulado sobre activos que no sean

independientes,
Puede agregarse el riesgo de diferentes amenazas sobre un mismo activo,
Puede agregarse el riesgo de una amenaza en diferentes dimensiones.
12
Paso 3: Salvaguardas
Las salvaguardas son procedimientos o mecanismos tecnolgicos con los cuales se
reduce el riesgo en una organizacin.
Las salvaguardas entran en el clculo del riesgo de dos formas:
Reduciendo la frecuencia de las amenazas

Estas son denominadas salvaguardas preventivas las cuales se aplican antes de
que se materialice una amenaza con los cual se puede cubrir las mismas en su
totalidad.
Limitando el dao causado
En este tipo de salvaguardas, en todos los escenarios se materializan las
amenazas sobre uno o varios activos, el objetivo de este tipo de salvaguardas es
identificar las amenazas y minimizar su impacto para de esa forma limitar sus
consecuencias.
Las salvaguardas se miden por su eficacia frente a la amenaza a la cual pretende

minimizar su riesgo, la salvaguarda ideal es 100% eficaz lo que implicar que:
Es tericamente idnea
Est perfectamente desplegada, configurada y mantenida
Se emplea siempre
Existen procedimientos claros de uso normal y en caso de incidencias
Los usuarios estn formados y concienciados
Existen controles que avisan de posibles fallos
13
1.1.1.2 Octave
Operational Critical Threat, Asset and Vulnerability Evaluation. Por sus siglas
en ingles es una metodologa de anlisis y gestin de riesgos, donde el objetivo
principal es garantizar los sistemas informticos dentro de una organizacin.
Cuando se aplica esta metodologa, varias personas pertenecientes a los sectores
operativos, de negocios y de los departamentos de tecnologa de la informacin (TI)
trabajan juntos, enfocndose en las necesidades de seguridad y equilibrando los
tres aspectos mostrados en la ilustracin 2: RIESGOS OPERATIVOS, PRACTICAS
DE SEGURIDAD Y TECNOLOGIA.
Ilustracin 2: Balance de la metodologa OCTAVE
El objetivo de OCTAVE va direccionado a dos aspectos diferentes: riesgos

operativos y prcticas de seguridad. En este caso la tecnologa es examinada en
proporcin a las prcticas de seguridad, esto permite a las compaas realizar la
toma de decisiones de proteccin de informacin basados en los riesgos de
Fuente: OCTAVE Method Implementation Guide v2.0
14
confidencialidad, integridad y disponibilidad de los bienes afines a la informacin

crtica.
Esta metodologa fue desarrollada por el CERT2 de la Universidad Carnegie Mellon
de Pensilvania, Estados Unidos, Octave tiene tres fases de desarrollo las cuales
son:
Fase 1: Visin de la organizacin

Activos
Amenazas
Vulnerabilidades de la organizacin
Exigencias de seguridad
Normas existentes
Para realizar esta fase OCTAVE ha desarrollado una serie de procesos que son los
siguientes:
Proceso 1: Identificar el conocimiento de los altos directivos
En este proceso se recopila informacin de los principales activos de la

organizacin, los niveles de seguridad y los motivos de preocupacin por esos
activos, as como tambin las estrategias actuales de proteccin y las
vulnerabilidades de la organizacin.
Los participantes de este nivel son los altos directivos de la organizacin.
Proceso 2: Identificar el conocimiento de los directivos de reas

operativas
CERT: Coordination Center Del Software Engineering Institute
15
Este proceso tiene como objetivo recopilar informacin a nivel operativo, es

decir, de los encargados operacionales de los activos importantes de la
organizacin, de igual forma que en el anterior proceso se identificar los
requisitos de seguridad y los motivos de preocupacin por esos activos.
Los participantes de este nivel son los encargados de las reas operativas.
Proceso 3: Identificar el conocimiento del personal
En este nivel se recopila informacin de miembros de personal sobre activos

importantes de la organizacin, requisitos de seguridad y motivos de
preocupacin por esos activos, estrategias actuales de la proteccin, y
vulnerabilidades de organizacin.
Este nivel tiene dos tipos de participantes: el personal de planta y el personal
del departamento de Tecnologa de informacin (TI).
Proceso 4: Crear perfiles de amenaza.
En este proceso el equipo de anlisis evala la informacin obtenida durante los

procesos 1 al 3, en donde se selecciona 5 activos crticos sobre los cuales se
definen los requisitos y las amenazas de seguridad para esos activos.
Fase 2: Visin tecnolgica

Componentes claves
Vulnerabilidades tcnicas
De igual forma en esta fase hay que continuar con los procesos para desarrollar
de una manera correcta el anlisis y gestin de riesgos dentro de una
organizacin:
16
Proceso 5: Identificar componentes claves, los cuales son sistemas

importantes para activos crticos.
En este nivel para cada activo crtico encontrado hay que identificar los
componentes claves que se deben evaluar para las vulnerabilidades de la
tecnologa. El equipo de anlisis realiza esta actividad, con ayuda del personal
de TI, segn la necesidad.
Proceso 6: Evaluacin de componentes seleccionados, donde

debemos identificar las principales vulnerabilidades de los
componentes crticos.
En este nivel el equipo del anlisis y los miembros de equipo suplemntales

evalan cada uno de los componentes de la infraestructura de tecnologa,
identificando las vulnerabilidades de los mismos. Aqu se necesita la ayuda de
herramientas de evaluacin de vulnerabilidades las cuales se seleccionan, se
aprueban, y se utilizan antes del taller. Durante el taller, se repasan y se refinan
los resultados, y se debe documentar un resumen de las vulnerabilidades.
Fase 3: Planificacin de las medidas y reduccin de los riesgos
Evaluacin de los riesgos

Ponderacin de los riesgos
Estrategia de proteccin
Plano de reduccin de los riesgos
Por ltimo en la ltima fase se debe seguir los siguientes procesos:
Procesos 7: Realizar un anlisis de riesgos, donde debemos

identificar los riesgos que se podran dar sobre los activos crticos
de una organizacin.
Para realizar este proceso se utiliza la informacin recopilada. Este proceso

utiliza la informacin de los procesos 1 al 6 para crear los perfiles de riesgo para
17
los activos crticos, en donde se definen cada una de las descripciones de los
impactos encontrados, se crean los criterios de la evaluacin, y al final se
evalan los resultados de cada amenaza contra los criterios. Este proceso es
realizado por el equipo del anlisis, en colaboracin con personal suplementario
(encargado operacional del rea) segn lo necesitado.
Proceso 8: Desarrollo de estrategias de proteccin, donde se debe

definir una serie de acciones, estrategias y planes para proteger los
activos crticos, los cuales debern ser estudiados y aprobados para
su ejecucin.
El esquema grfico de esta metodologa para el anlisis y gestin de riesgos es

el que se muestra a continuacin:
Ilustracin 3: Procesos y fases de la Metodologa OCTAVE
Fuente: OCTAVE Method Implementation Guide v2.0
18
1.1.1.3 Mehari
Mtodo Armonizado de Anlisis de Riesgos esta metodologa originalmente
desarrollada por la comisin Mtodos de Clusif4, en 1996 es una metodologa
utilizada para apoyar a los responsables de la seguridad informtica de una
empresa mediante un anlisis riguroso de los principales factores de riesgos
evaluando cuantitativamente de acuerdo a la situacin de la organizacin donde se
requiere el anlisis, acopla los objetivos estratgicos existentes con los nuevos
mtodos de funcionamiento de la empresa, esto se lo realiza mediante una poltica
de seguridad y mantenimiento de los riesgos a un nivel convenido.
MEHARI propone un mdulo para analizar los intereses implicados por la seguridad,
y un mtodo de anlisis de riesgos con herramientas de apoyo. Estos dos son
necesarios para evaluar de una manera exitosa los riesgos en una empresa.
Los diagnsticos de seguridad
Esta metodologa propone dos mdulos para realizar el anlisis de riesgos dentro
de una organizacin:
Modulo rpido.
Modulo detallado.
En los dos casos el objetivo es el mismo, es decir evaluar el nivel de seguridad de
la organizacin. La diferencia radica en el nivel de profundidad de la evaluacin,
en este caso el mdulo rpido resultara menos preciso y el mdulo detallado ms
confiable.
El mdulo rpido es utilizado generalmente para una primera evaluacin en la cual
se identifican las principales debilidades de una organizacin. En el mdulo de
anlisis detallado se analiza todas las posibles debilidades de cada uno de los
servicios de seguridad con los que cuenta la organizacin a evaluar, con lo cual se
CLUSIF = Club de la Seguridad de los Sistemas de Informacin Franceses
19
crea una base experta, la misma que podremos utilizar posteriormente para el
anlisis de riesgos.
Existe la opcin de combinar estos dos mdulos donde se puede comenzar con el
mdulo rpido y realizar un diagnstico y luego profundizar los mismos con el
mdulo detallado.
Estos mdulos se pueden utilizar de maneras diferentes como se explica a
continuacin:
El diagnstico de seguridad
El realizar un correcto diagnstico de seguridad dentro de una organizacin

representa la base primordial para asegurar la reduccin de los riesgos dentro
de la misma.
Planes de seguridad basados en diagnsticos de vulnerabilidad
La manera correcta de gestionar la seguridad de una organizacin es

estableciendo planes de accin en base a la evaluacin del estado de los
servicios de seguridad.
Dominios cubiertos por el mdulo de diagnstico
MEHARI identifica todas las situaciones de riesgo dentro de una organizacin

de tal forma que tambin cubre aquellos riesgos no aceptables.
Esta metodologa no se restringe solamente a realizar un anlisis de la parte
informtica sino que tambin incluye en su anlisis los sistemas de informacin,
la organizacin en general, el entorno de trabajo adems de aspectos legales y
reglamentarios.
Sntesis sobre los mdulos de diagnstico
Estos mdulos nos ofrecen una vista amplia y relacionada con la seguridad,
pudindose utilizar progresivamente de acuerdo a la madurez de la empresa u
organizacin donde se vaya a .implementar.
20
Anlisis de los intereses implicados por la seguridad

En esta parte se debe tener claro los intereses de seguridad que la organizacin
realmente requiere, ya que se debe mantener un equilibrio entre las inversiones de
seguridad y el verdadero nivel de los interese implicados por la seguridad.
Para cumplir este objetivo esta metodologa nos indica que es necesario contestar
a la siguiente doble pregunta:
Qu puede ocurrir, y si ocurre, puede ser serio?
Esta metodologa proporciona un mdulo para el anlisis del inters implicado por
la seguridad de los cuales se extraen principalmente dos informes o resultado:
Una escala de valoracin de disfunciones.
Una clasificacin de la informacin y de los activos informativos
Escala de valoracin de las difusiones
En la escala de valoracin de disfunciones se identifican los acontecimientos

que se podran temer que se den dentro de las actividades propias de la
empresa con esto obtenemos:
Una descripcin de los posibles tipos de disfunciones.
Una definicin de los parmetros que influyen en la seriedad y gravedad
de cada una del as disfunciones.
Una evaluacin de los lmites crticos de aquellos parmetros que
cambian el nivel de seriedad de las disfunciones.
Clasificacin de la informacin y de los activos informativos
Dentro de la seguridad informtica los trminos de calcificacin de informacin y

clasificacin de activos.
21
Esta clasificacin consiste en valorar para cada tipo de informacin y para cada
uno de los activos informticos, la seriedad de la perdida de las cualidades que
estos poseen principalmente la Disponibilidad, Integridad y Confidencialidad.
Esta clasificacin se constituye como la escala de valoracin de difusiones
definida anteriormente, convertida en indicadores de sensibilidad asociados con
los activos informticos.
Anlisis de Riesgos
El objetivo principal perseguido por esta metodologa es la correcta evaluacin y
anlisis de los riesgos en una organizacin, para lo cual se basa en conocer los
principales factores de riesgo los cuales son:
Factores estructurales que no dependen de medidas de seguridad, pero
s de la actividad principal de la organizacin, su entorno, y su contexto.
Factores de reduccin de riesgo que son una funcin directa de
medidas de seguridad implementadas.
Esta metodologa realizar una evaluacin cuantitativa y cualitativa de los factores
antes descritos, ayudando en la evaluacin de los niveles de riesgo
Los pasos que hay que seguir para realizar el anlisis de riesgo en esta
metodologa son los siguientes:
Anlisis de riesgos: metodologa para la elaboracin del plan de
seguridad.
Anlisis sistemtico de situaciones de riesgo
Anlisis especfico de situaciones de riesgo
Anlisis de riesgo en nuevos proyectos
22
1.2 CUADRO
COMPARATIVO
Y
SELECCIN
DE
LA
METODOLOGA PARA REALIZAR EL ANLISIS DE RIESGOS.
En esta parte nos centraremos en la comparacin de las metodologas explicadas
en el punto anterior para posteriormente seleccionar la ms adecuada para realizar
el anlisis de riesgos en la Empresa Elctrica Quito.
1.2.1
CUADRO COMPARATIVO DE METODOLOGAS PARA ANLISIS DE
RIESGO.
En primer lugar realizaremos un cuadro comparativo de las metodologas de
anlisis de riesgo investigadas anteriormente:
METODOLOGIA
DESCRIPCION
FASES
MAGERIT
Esta
metodologa
consta
de 5 fases bien definidas y correctamente
identificadas para realizar un anlisis de
riesgo dentro de una organizacin y cuyos
objetivos son generales para cualquier tipo
de organizacin donde se ejecute la
misma.
1. Identificar los activos de

la empresa.
2. Determinar las amenazas
3. Establecer las respectivas
salvaguardas
4. Estimar el impacto
5. Determinacin del Riesgo
OCTAVE
Esta
metodologa
consta
de tres fases las cuales renen a ocho
procesos, con el objetivo de organizar e
identificar todos los riesgos en cada uno de
los niveles de los que consta la empresa u
organizacin donde se vaya a realizar
dicho
anlisis
de
riesgos.
Cada uno de los procesos tiene un objetivo
especfico que ayudar a identificar y
mitigar las posibles amenazas y riesgos
que pueda ocurrir en una empresa.
1. Identificar el conocimiento de los

altos directivos.
2. Identificar el conocimiento de los
directivos de reas operativas.
3. Identificar el conocimiento del
personal.
4. Crear perfiles de amenaza
5. Identificar componentes
claves.
6. Evaluar componentes
seleccionados.
7. Realizar un anlisis de riesgos
8. Desarrollo de una estrategia de
proteccin
23
MEHARI
Esta metodologa consta 5 fases o pasos

con los cuales ayudan a los responsables
de mantener un control y prevencin sobre
cualquier imprevisto o amenaza que pueda
darse sobre la infraestructura de tecnologa
e informacin de una empresa de tal forma
que en el momento en el que la amenaza
pase pueda guiarse en estas guas
previamente identificadas para mitigar
dichos riesgos.
1. Anlisis de riesgos.
2. Anlisis sistemtico de
situaciones de riesgo.
3. Anlisis especfico de situaciones
de riesgo.
4. Anlisis de riesgo en nuevos
proyectos
Tabla 1: Tabla comparativa Metodologas para el Anlisis de Riesgo

Elaborado por los autores
1.2.2
SELECCIN Y JUSTIFICACIN DE LA METODOLOGA DE ANLISIS DE
RIESGOS
La metodologa seleccionada, luego de realizar el anlisis respectivo de acuerdo a
las necesidades de la empresa donde vamos a implementar el anlisis de riesgos
es OCTAVE, por las siguientes razones:
Tiene fases muy detalladas para cada nivel organizacional, abarcando toda
la informacin importante y sin correr el riesgo de omitir datos significativos
de la organizacin.
Al trabajar directamente con el personal de la misma organizacin,
correspondiente a las reas donde se realizar el anlisis y quienes
adems conocen internamente los procesos y los riesgos que podran
correr los activos con los que se desenvuelve la organizacin, pueden
orientar el anlisis hacia las partes ms vulnerables evitando as el
desperdicio de recursos y tiempo en estudios innecesarios y que podran
representar gastos excesivos a la empresa.
Trabaja con dos partes muy importantes de una organizacin como son la
parte organizacional y la parte tecnolgica.
24
Dichas partes, al relacionarse estrechamente, podrn presentar los riesgos

importantes que tiene la organizacin y que deben ser tomados en cuenta
dentro del anlisis a realizarse.
Identifica los procesos crticos de la empresa tanto en la parte
organizacional como en la parte tecnolgica, de esta forma en caso de
alguna eventualidad se conoce de forma exacta los procesos que necesitan
ser recuperados en primera instancia y no perder de esa forma tiempo
importante al tratar de recuperar procesos secundarios de la empresa.
25
1.3 ESTUDIO
COMPARATIVO
DE
METODOLOGIAS
PARA
ELABORAR UN PLAN DE CONTINGENCIA.

1.3.1
REALIZAR UN PLAN DE CONTINGENCIA.

En la actualidad, es necesario que una organizacin contemple el hecho de que,
en alguna circunstancia, sus sistemas informticos y de comunicacin, vitales
para el funcionamiento de la misma, se vean afectados por alguna eventualidad
que haga que estos servicios dejen de funcionar, ya sea por un periodo
determinable o indefinido lo cual producira prdidas tanto econmicas as como
de credibilidad ante sus usuarios o clientes.
Es por esta razn que en los ltimos tiempos la mayora de organizaciones se
han visto obligados a crear salvaguardas que ayude a minimizar las amenazas
que podran darse en la organizacin, esto se lo realiza mediante un plan de
contingencia que no es ms que el proceso de determinar qu hacer si una
catstrofe o cualquier otra circunstancia se abate sobre la empresa y es
necesario recuperar la red y los sistemas.
En esta parte vamos a identificar y describir las principales metodologas que
ayudan a realizar e implementar de una forma efectiva un plan de contingencia
dentro de una organizacin tomando en cuenta las necesidades especficas de
cada organizacin donde se realice la misma.
1.3.1.1 Metodologa General
Est metodologa toma en cuenta principalmente el punto donde se prosigue o
comienza a crear un plan de contingencia para una organizacin ya que esto
puede representar un gasto considerable para la misma por esto es que para
realizar el plan se toma en cuenta las siguientes actividades mencionadas a
continuacin:
26
1. El plan de contingencia debe ser desarrollado de acuerdo a las

necesidades y situacin de cada empresa.
2. El plan podra incluir la construccin de lugares especiales para los
equipos de cmputo y de infraestructura.
3. El plan requerir un compromiso de la empresa en costo y velocidad de
recuperacin, esto implica tener una idea de la medida de recuperacin
y del alcance de los desastres que deberan ser cubiertos.
Como en cualquier otro proyecto de diseo se debe tener, o se debe guiar en
una metodologa estructurada la cual verifique que se tomarn en cuenta todos
los factores que corresponden el implementar o estructurar un plan de
contingencia dentro de una empresa, para lo cual se proponen las siguientes
actividades para su desarrollo:
1. Identificacin de riesgos
Esta fase de un plan de contingencia es una de las ms importantes y cuya
explicacin se dio en los puntos anteriores a este captulo donde la principal
preocupacin se basa en realizarse tres preguntas qu est bajo riesgo?,
qu puede ir mal? y cul es la probabilidad de que suceda?
2. Evaluacin de riesgos
La evaluacin de riesgos comprende el proceso de determinar el costo de
las prdidas que se podran dar en una empresa en el caso de que algn
desastre o eventualidad afecte sus actividades normales, por ejemplo, en
los sistemas informticos podran haber prdidas por las siguientes
eventualidades que se mencionan a continuacin:
Costos reales de reemplazar el sistema informtico
Costos por falta de produccin.
27
Costos por negocio perdido

Costos de reputacin.
3. Asignacin de prioridades a las aplicaciones
Esta parte de la metodologa contempla el hecho de que hay que
comprender las principales aplicaciones, datos y sistemas de la empresa,
para de este modo cuando haya sucedido alguna eventualidad en los
mismos se sepa anticipadamente cules hay que recuperar primero y no
perder el tiempo restaurando datos o sistemas equivocados.
4. Establecimiento de los requerimientos de recuperacin
En esta fase se debe estimar el tiempo en el cual toda la red va a estar
funcionando de forma correcta comenzando, como se dijo en el punto
anterior, por las aplicaciones, datos y sistemas de ms importancia, esto
con el objetivo de hacer conocer a los directivos de la organizacin cuando
las aplicaciones de la empresa estarn nuevamente funcionado para que
de esa forma puedan realizar las actividades de la compaa.
Esta es una de las razones por las cuales es muy importante otorgarse un
tiempo adecuado para realizar la recuperacin de las aplicaciones de la
compaa. Este tiempo es conocido como Tiempo de Recuperacin
Objetivo (TRO).
5. Elaboracin de la documentacin
En esta fase se elaborar un documento de referencia donde se incluir a
todo el personal de la compaa donde se intenta definir las 5 reas
siguientes:
Listas de notificacin, nmeros de telfono, mapas y direcciones
Prioridades, responsabilidades, relaciones y procedimientos
28
Informacin sobre adquisiciones y compras

Diagramas de las instalaciones
Sistemas, configuraciones y copias de seguridad en cinta
6. Verificacin e implementacin del plan
En esta fase se probar todo lo establecido en el plan de contingencia para
estar seguros de que funcionar y tambin detectar posibles errores para
su posterior correccin.
7. Distribucin y mantenimiento del plan
Luego de que se disponga del plan definitivo hay que distribuirlo al personal
de la compaa para su completo conocimiento.
Su mantenimiento se lo debe hacer en un periodo relativamente aceptable y
comprender el hecho de revisar el plan existente y actualizar informacin o
datos que se hayan incorporado recientemente a la compaa.
1.3.1.2 Metodologa de William Toigo
William Toigo un experto en temas relacionados en planificacin y recuperacin
de desastres elabor una metodologa para la realizacin de un plan de
contingencia para una determinada compaa, la cual se basa en las siguientes
etapas:
Etapa 1:
Anlisis de riesgo: en esta etapa se nos indica que se debe determinar los
lmites de la compaa para a partir de ah realizar la planificacin de los
elementos que interactan con el rea donde se vaya a realizar el plan de
contingencia.
29
Etapa 2:
Proteccin de la instalacin: en esta etapa se determinarn las estrategias
comunes de prevencin de desastres y de proteccin en general dentro de
la organizacin.
Etapa 3:
Almacenamiento fuera del sitio: En esta etapa se determinar la eficiencia
de los mecanismos de respaldo de la organizacin, para lo cual debemos
conocer la informacin vital de la misma. "Planificacin de la estrategia de
respaldo".
Etapa 4:
Estrategia de respaldo de sistemas: en esta etapa se analiza la
planificacin obtenida en la etapa anterior para determinar el mecanismo de
respaldo ms adecuado para implementar en la organizacin.
Etapa 5:
Estrategia de respaldo de redes: En esta etapa se evala detenidamente
los sistemas de redes de la organizacin ya que estos constituyen el motor
de la misma es decir su estructuracin, comunicacin y todos sus servicios,
para que estos puedan ser rpidamente restaurados.
Etapa 6:
Toma de decisiones en caso de emergencia: en esta etapa se analizan
todas aquellas actividades que se realizaran para la recuperacin en caso
de emergencia.
30
Etapa 7:
Elaboracin del documento del Plan de Contingencia: es esta etapa se
redactar el instructivo del plan de contingencia de la empresa, donde
constar todos los riesgos y salvaguardas que se han evaluado durante el
proceso.
Etapa 8:
Mantenimiento y pruebas del plan: en esta fase se obtendr y se distribuir
el plan de contingencia, para lo cual es necesario tomar en cuenta los
siguientes aspectos:
Mantenerlo actualizado
Gente preparada y capacitada en el plan.
Ser probado e identificar fallas y errores del mismo.
1.3.1.3 Octave
Dentro de esta metodologa se incluye un proceso para el desarrollo de un plan de
contingencia, la cual consta de los siguientes subprocesos:
1. Revisin de vulnerabilidades, prcticas de estrategias de proteccin,
vulnerabilidades organizacionales, requerimientos de seguridad y
riesgo de la informacin
Esta actividad est destinada a revisar toda la informacin que se recopil en

los procesos anteriores de la metodologa OCTAVE, esto con el objetivo de
tener claro las posibles acciones a tomar para cada uno de los riesgos
encontrados en la empresa donde se realizar el anlisis.
31
2. Creacin de estrategias de proteccin

En esta actividad se realizar una propuesta de las posibles estrategias de
proteccin para la empresa donde se realiz el anlisis de riesgo respectivo.
3. Creacin de planes de mitigacin
En esta actividad se crearn los planes de mitigacin de riesgos para los
activos crticos identificados por la metodologa OCTAVE.
4. Creacin de lista de acciones
Durante esta actividad se proceder a la creacin de la lista de acciones a
tomarse dentro de la empresa una vez desarrollado el respectivo plan de
mitigacin de riesgos.
5. Revisin de riesgos de la informacin
Una vez realizadas todas las actividades descritas anteriormente se proceder
a revisar la misma para corregir, si fuese el caso, o validar la informacin
recopilada.
32
1.4 CUADRO
COMPARATIVO
METODOLOGA
PARA
SELECCIN
REALIZAR
EL
DE
LA
PLAN
DE
CONTINGENCIA.
1.4.1
CUADRO COMPARATIVO DE METODOLOGAS PARA PLAN DE
CONTINGENCIA.
METODOLOGA
DESCRIPCIN
FASES
METODOLOGA
GENERAL
Esta es una metodologa

general con las fases
necesarias para realizar un
plan de contingencia en una
organizacin, la misma se
basa en analizar el punto de
partida para realizar una
metodologa nueva o para
actualizar una existente en el
departamento
de
la
organizacin donde se vaya
a realizar la misma.
METODOLOGA
WILIAM TOIGO
DE Esta
metodologa
fue
originalmente
desarrollada
por William Toigo el cual es
un experto en la materia de
planificacin y recuperacin
de desastres el cual propone
7 etapas donde se distribuye
todos los puntos esenciales
para realizar de manera
correcta
un
plan
de
contingencia de acuerdo a
las necesidades de cada
empresa.
1. Identificacin de riesgos
2. Evaluacin de riesgos
3. Asignacin de prioridades a
las aplicaciones
4. Establecimiento de los
requerimientos
de
recuperacin
5. Elaboracin
de
la
documentacin
6. Verificacin
e
implementacin del plan.
7. Elaboracin del documento
del Plan de Contingencia.
8. Distribucin
y
mantenimiento del plan.
1. Anlisis de riesgo
2. Proteccin
de
la
instalacin.
3. Almacenamiento fuera del
sitio
4. Estrategia de respaldo de
sistemas
5. Estrategia de respaldo de
redes
6. Toma de decisiones en
caso de emergencia
7. Mantenimiento y pruebas
del plan
33
OCTAVE
Esta metodologa, destinada 1. Revisin

de
para el anlisis de riesgos
vulnerabilidades, prcticas
de
estrategias
de
informticos dentro de una
empresa, contiene entre sus
proteccin,
procesos
la
parte
de
vulnerabilidades
desarrollo e implementacin
organizacionales,
requerimientos
de
de un plan de mitigacin.
seguridad y riesgos de la
informacin.
2. Creacin de estrategias de
proteccin.
3. Creacin de planes de
mitigacin.
4. Creacin de lista de
acciones.
5. Revisin de riesgos de la
informacin.
Tabla 2: Cuadro comparativo de Metodologas para Plan de Contingencias

1.4.2
SELECCIN Y JUSTIFICACIN DE METODOLOGA PARA PLAN DE
CONTINGENCIA.
Luego de realizar el anlisis respectivo de acuerdo a las necesidades de la
empresa donde vamos a implementar el Plan de Contingencia y debido a que la
metodologa con la cual se va a llevar a cabo el Anlisis de riesgos informticos
es OCTAVE, se ha escogido esta propuesta para realizar el respectivo Plan de
Contingencia, las principales caractersticas que sobresalen de sta son las
siguientes:
Cuenta con la ventaja de que dentro de la misma metodologa, en sus
anteriores procesos y fases, realiza el anlisis de riesgos previo, para en
base a esa informacin recopilada realizar un plan de contingencia
actualizado y realista dentro de la empresa.
34
Trabaja con actividades bien determinadas que buscan resguardar los

principales activos crticos encontrados dentro de la organizacin.
Esta metodologa ha sido desarrollada e implementada en otras
organizaciones
obteniendo buenos resultados, lo cual es un punto
importante a tomarse en cuenta para la seleccin de la misma.
35
CAPITULO 2: ANLISIS DE RIESGOS INFORMTICOS EN

LA EMPRESA ELCTRICA QUITO
2.1
CARACTERIZACIN DE LA EMPRESA
La Empresa Elctrica Quito fundada en 1834 como La Elctrica por los seores
Vctor Gangotena, Manuel Jijn y Julio Urrutia, que inici la generacin elctrica
en el pas con una capacidad de 200KW, ubicada en el sector de Chimbacalle
junto al rio Machngara, y que actualmente cuenta con una demanda de 7840KW,
es una de las ms importantes empresas generadoras elctricas del pas.
Misin5
Apoyar el desarrollo integral de Quito y su regin, suministrando energa limpia y
de bajo costo para dinamizar el aparato productivo y mejorar la calidad de vida de
los habitantes.
Visin6
Ser una Empresa eficiente y moderna, lder en el sector elctrico ecuatoriano y
una de las primeras en el contexto latinoamericano.
Valores7

Honestidad.
Lealtad.
Respeto.
Responsabilidad social y ambiental.
Solidaridad.
Disciplina.
Tomado de la pgina web de la empresa: http://www.eeq.com.ec/

7
6
36
2.1.1
ORGANIGRAMA DE LA EEQ8
Ilustracin 4: Organigrama de la EEQ
8
9
EEQ: Empresa Elctrica Quito S.A.

Tomado de la pgina de la empresa: http://www.eeq.com.ec/
37
2.1.2
DIVISIN DE TECNOLOGA INFORMTICA Y DE COMUNICACIONES
(TIC)
2.1.2.1 Organigrama del Dpto. TIC10
Ilustracin 5: Organigrama del Dpto. de TIC de la EEQ11
La descripcin de cada uno de los departamentos descritos en el diagrama se

encuentra en el Anexo E.
10
11
Tecnologa Informtica y Comunicaciones

Diagrama proporcionado por la EEQ
38
2.2
IDENTIFICACIN DE LOS RIESGOS INFORMTICOS
2.2.1
CONFORMACIN DEL EQUIPO DE TRABAJO
Para conducir correctamente la Metodologa OCTAVE, es necesario definir un

equipo de trabajo interdisciplinario, el mismo que ser responsable de llevar a
cabo varias de las actividades a desarrollarse dentro de OCTAVE. Al tener un
equipo interdisciplinario se asegurar de abarcar las principales reas de la
empresa como son el rea de los altos directivos, el rea operativa y el rea de los
usuarios finales. Con esto se tendr una perspectiva ms amplia de lo que
requiere la empresa a nivel tecnolgico y organizacional.
El equipo de anlisis facilitar los talleres a desarrollarse dentro de los diferentes
procesos de OCTAVE y analizar la informacin obtenida en cada uno de estos
procesos, alcanzndose as el objetivo planteado con esta metodologa.
Las personas que conformen este equipo de anlisis tendrn varios roles y
responsabilidades, as como tambin debern poseer varias habilidades. Estos
detalles se indican a continuacin:
Roles y responsabilidades del equipo de anlisis:
Trabajar con los directivos en el alcance de la evaluacin, seleccin de
participantes y programacin de cundo se llevarn a cabo cada una de las
actividades pertenecientes a cada proceso de la metodologa OCTAVE:
Coordinar con los altos directivos, los directivos de reas operativas y el
soporte de TI las respectivas evaluaciones de vulnerabilidades.
Recopilar, analizar y mantener datos y resultados durante los procesos de
OCTAVE.
Proveer de soporte logstico.
39
Habilidades del equipo de anlisis:

Habilidades de facilitacin
Buenas habilidades de comunicacin
Buenas habilidades analticas
Habilidad de presentar y trabajar con los altos directivos, directivos de reas
operativas y el personal en general.
Entendimiento del ambiente de negocio de la empresa.
Entendimiento del ambiente tecnolgico de la empresa y cmo el personal
legtimamente utiliza la tecnologa de la informacin dentro de la
organizacin.
Posteriormente, el equipo de anlisis, en forma conjunta con la empresa realizar
la seleccin de los participantes que sern miembros del equipo de trabajo
contraparte de la empresa. Estos miembros trabajarn conjuntamente con el
equipo de anlisis en el desarrollo de OCTAVE. El personal que ser seleccionado
estar clasificado por Altos Directivos, Directivos de reas Operativas y Personal
en General.
Seleccin de los Altos Directivos
Los Altos Directivos a seleccionarse debern tener la capacidad y los
conocimientos necesarios para identificar los activos de informacin ms
importantes dentro de la Empresa, las amenazas para esos activos, los
requerimientos de seguridad de los activos, las actuales estrategias de proteccin
y las vulnerabilidades organizacionales.
El perfil asociado para estas personas es el siguiente:
40
Estar familiarizado con los tipos de activos de informacin utilizados en la

empresa.
Ser capaz de destinar el tiempo requerido para estas evaluaciones.
Tener la autoridad de seleccionar y autorizar el tiempo para los directivos de
las reas operativas.
Haber estado en su respectivo rol por al menos un ao.
Seleccin de los Directivos de reas Operativas
Los Directivos de reas Operativas son requeridos para identificar los activos de
informacin importantes para ellos y la organizacin, las amenazas que poseen
los activos identificados, los requerimientos de seguridad de los activos, las
actuales estrategias de proteccin y las vulnerabilidades organizacionales.
El perfil asociado para los Directivos de reas Operativas es el siguiente:
Estar familiarizado con los tipos de activos de informacin usados en la
empresa.
Estar familiarizado con las maneras o formas, en las cuales, dichos activos
de informacin son utilizados.
Ser capaz de destinar el tiempo necesario para estas evaluaciones.
Haber estado en su rol por lo menos dos aos.
Tener la autoridad de seleccionar y autorizar el tiempo necesario para el
personal en general.
Seleccin del Personal en General
41
El personal en general se encargar de identificar los activos de informacin que

ellos consideran importantes, las respectivas amenazas para dichos activos, los
requerimientos de seguridad, las actuales estrategias de proteccin y las
vulnerabilidades organizacionales.
El perfil necesario para el personal en general es el siguiente:
Estar familiarizado con los tipos de activos de informacin usados en la
organizacin.
Estar familiarizado con las formas en las cuales dichos activos son
utilizados.
Ser capaz de destinar el tiempo necesario para estas evaluaciones
Haber estado en su rol por lo menos tres aos.
Seleccin del Equipo de trabajo
Luego de haber realizado un anlisis de los candidatos a formar parte del equipo
de trabajo se ha escogido a las siguientes personas debido a su experiencia y
gran conocimiento dentro de la EEQ:
Altos directivos
Ing. Alberto Belalczar
Jefe de la Divisin de Tecnologa

Informtica y de Comunicaciones (TIC)
Ing. Carlos Benavides
Jefe de Administracin de Planes y

Proyectos Informticos
Directivos de reas Operativas
42
Ing. Jaime Raza
Jefe
del
Administracin
Departamento
de
de
Sistemas
Estratgicos (DATA CENTER)
Ing. Miguel Araujo
Jefe
del
Departamento
de
Comunicaciones y Soporte
Personal en General
Ing. Wilson Castro
Jefe de la Seccin de Soporte Software

de Estaciones de trabajo
Ing. Bolvar Ortz
Jefe
de
la
Seccin
de
Soporte
Hardware de Estaciones de trabajo.
A continuacin se realizar la identificacin de los riesgos informticos existentes

dentro de la Empresa Elctrica Quito S.A. sta identificacin se la realizar en
base a cada una de las fases de la metodologa OCTAVE, las mismas que fueron
brevemente descritas dentro del Captulo 1.
En los apartados siguientes se ir desarrollando cada una de estas fases con sus
respectivos procesos pero ya enfocados dentro de las necesidades de la Empresa
Elctrica Quito.
2.2.2
FASE 1: VISIN DE LA ORGANIZACIN
El objetivo principal de esta fase es la recopilacin de la informacin

proveniente de los diferentes niveles de la organizacin, as como la
43
consolidacin y anlisis de dicha informacin. Esta fase consta de 4 procesos,

de los cuales, los tres primeros son talleres para obtener informacin y
conocimientos acerca de los activos ms importantes que son utilizados dentro
de la empresa. Los tres niveles bsicos en los cules se enfocarn estos
talleres sern los altos directivos, los directivos de reas operativas y el
personal que labora en la organizacin.
Dentro del proceso 4 se realizar una consolidacin y anlisis previo de toda la
informacin obtenida en los tres primeros procesos y se crearn perfiles de
amenazas para los activos crticos que se hayan seleccionado.
Cabe recalcar que para este caso de estudio, los tres primeros procesos de
esta
fase,
Identificacin
del
Conocimiento
de
los
Altos
Directivos,
Identificacin del Conocimiento de los Directivos de reas Operativas e

Identificacin del Conocimiento del Personal respectivamente, en un comienzo
realizan el mismo tipo de preguntas dentro de cada encuesta realizada, pero es
necesario aclarar que dichas encuestas son aplicadas sobre distintos niveles de
la organizacin, con lo cual se tendr una perspectiva ms amplia sobre las
tecnologas de informacin utilizadas dentro de la misma y lo que nos llevar a
realizar un anlisis de riesgos en funcin de toda la organizacin sin perder
detalle o dejar de lado alguna de sus reas. Por este motivo, el desarrollo de
cada proceso lo realizaremos en forma separada mientras que la descripcin de
los mismos lo haremos en forma conjunta. El formato de las encuestas se
encuentran en el Anexo A: Hojas de trabajo utilizadas dentro de la Metodologa
OCTAVE.
2.2.2.1 Proceso 1, 2, 3: Identificacin del conocimiento de los Altos directivos,
Directivos de reas Operativas y Personal en General
44
2.2.2.1.1 Descripcin de los Procesos 1, 2 y 3

Dentro de estos procesos, se trabajar directamente con los altos directivos,
directivos de reas operativas y el personal en general, todos pertenecientes
al Departamento de TIC de la Empresa Elctrica Quito S.A. Se recopilar
informacin acerca de los activos tecnolgicos ms importantes dentro de la
organizacin, as como tambin las principales preocupaciones acerca de las
amenazas que rodean a estos bienes, los requisitos de seguridad de los
activos, las actuales estrategias que se llevan a cabo en la empresa para
proteger dichos activos y temas asociados con la proteccin de los bienes.
Estos procesos constan de las siguientes actividades:
Identificacin de los principales activos: donde todas las personas
mencionadas anteriormente indican cules consideran que son los
principales activos tanto para ellos como para la empresa. Asimismo
priorizan los activos para identificar los cinco ms importantes.
Descripcin de las reas de inters: donde para los cinco activos ms
importantes e identificados en la actividad anterior se describen los
escenarios en los que stos se veran amenazados.
Definicin de requisitos de seguridad de los activos importantes: donde
el personal involucrado en estos procesos definen los requisitos de
seguridad de los activos importantes.
Identificacin
de
las
estrategias
de
proteccin
actual
las
vulnerabilidades de la organizacin: donde el personal mencionado

completar encuestas, las mismas que se indican en el Anexo
A. Adems explican sus respuestas proporcionando as, informacin
adicional sobre lo que, en trminos de seguridad, se tiene implementado
y lo que no.
45
Revisin del alcance de la evaluacin: Dentro de esta actividad se

realiza una revisin de los participantes para el siguiente proceso,
pudiendo realizarse modificaciones o aadiduras de personal en caso
de ser necesario.
46
Diagrama de flujo Proceso 1
Ilustracin 6: Diagrama de flujo Proceso 1: Identificar el conocimiento de los altos

12
directivos
12
Fuente: OCTAVE
SM
Method Implementation Guide Version 2.0
47
Ilustracin 7: Flujo de trabajo Proceso 2: Identificar el conocimiento de los directivos de

13
reas operativas
13
Fuente: OCTAVE
SM
48
Ilustracin 8: Flujo de trabajo Proceso 3: Identificar el conocimiento del personal
14
2.2.2.1.2 Desarrollo Proceso 1: Identificacin del conocimiento de los Altos Directivos

Las encuestas realizadas dentro de este proceso son las que se indican en el
Anexo A y fueron utilizadas para la obtencin de informacin acerca de los
activos ms importantes dentro de la organizacin, as como tambin se pudo
recopilar datos sobre los escenarios que los pudieran amenazar en algn
momento y sus principales impactos dentro de la empresa.
14
Fuente: OCTAVE
SM
49
Por otra parte se pudo conocer las estrategias de proteccin implementadas

actualmente y cules deberan ser los requerimientos de seguridad que cada
activo importante debera tener.
A continuacin mostramos la informacin concerniente al proceso 1, basados
en las respuestas proporcionadas por los altos directivos:
Identificacin de Activos de los Altos Directivos con prioridades
relativas
Los principales activos identificados por los altos directivos fueron los
siguientes:
Sistema SIDECOM y SCADA.
Red de fibra ptica que conecta las 40 subestaciones y edificios

principales de la EEQ para sus sistemas SCADA, tele proteccin y
aplicaciones corporativas.
Servidores para aplicaciones y bases de datos, entre otros.
Data Center con instalaciones elctricas con protecciones y sistemas

de respaldo de energa (UPS) con acondicionamiento del ambiente
(Sistemas de Aire Acondicionado y Ventilacin)
concentracin
del
respectivo
equipamiento
para los sitios de

informtico
de
comunicaciones, sistema de control de accesos y sistema contra

incendio.
Informacin de los clientes, del sistema elctrico y empleados de la

EEQ. S.A.
Sistemas de Bases de Datos con licenciamiento y de tipo software

libre.
50
Estaciones de trabajo de tipo escritorio (CPUs y dispositivos de E/S) y

equipos porttiles (Laptops, notebooks y PDAs), para los diferentes
usuarios de la EEQ. S.A.
Equipos para copia e impresin fsica de documentos
en papel
(Impresoras matriciales, inyeccin a tinta, lser y copiadoras).
Aplicaciones de seguridad para el equipo de usuario.
Instalaciones elctricas con protecciones y sistemas de respaldo de

energa (UPS y APS) con acondicionamiento del ambiente (Sistemas
de Aire Acondicionado y Ventilacin) para los sitios de concentracin
del respectivo equipamiento informtico y de comunicaciones.
Sistemas Operativos para servidores con licenciamiento y de tipo

software libre.
Seleccin de los cinco activos crticos dentro de la organizacin

Los altos directivos han identificado a los siguientes activos como los
ms importantes dentro de la organizacin:
Sistema SIDECOM y SCADA

aplicaciones corporativas.

concentracin
del
respectivo
equipamiento
para los sitios de

informtico
de
51

incendio.

EEQ. S.A.
Identificacin de las reas de inters para los cinco activos crticos

Las reas de inters que se han identificado para los activos crticos son las
siguientes:
Desastres naturales
Terrorismo y/o vandalismo contra los sitios donde reside los sistemas
informticos y de comunicaciones
Delito informtico externo o interno.
Impacto para la organizacin

El impacto ms fuerte e importante que los encuestados consideran es
acerca del proceso de restauracin de todos los activos crticos
mencionados anteriormente, entre ellos se encuentran bases de datos,
aplicaciones, servidores con su adecuacin necesaria, entre otras.
Tambin consideran de alto impacto el tiempo que tomara todo el proceso
de restauracin ya que esto podra ocasionar cuantiosas prdidas tanto
econmicas como de aspectos sociales para la poblacin que se sirve del
servicio de energa elctrica.
Identificacin de Requerimientos de seguridad para los activos
crticos
Para este punto se tom en cuenta aspectos como confidencialidad,
integridad, disponibilidad y otros.
52
Sistema SIDECOM y SCADA: Para este activo crtico, se ha

identificado que los requerimientos de seguridad ms importantes son
la disponibilidad y la integridad. Esto debido a que la EEQ requiere
que estos sistemas se encuentren funcionando constantemente y
siempre se pueda acceder a ellos, ya que son sistemas con los que la
empresa realiza sus tareas diarias de comercializacin y de monitoreo
hacia otras subestaciones. As tambin se requiere que la informacin
entregada por stos sea ntegra.

aplicaciones
corporativas:
Para
este
activo
critico
las
recomendaciones de seguridad son las de tener una buena

administracin de la red, para cuando se produzca una falla en las
comunicaciones, se lo pueda resolver en el menor tiempo posible sin
causar un gran impacto en la organizacin. Adems se requiere de
una disponibilidad 24/7 para el constante paso de informacin entre
los departamentos de la EEQ. As tambin se requiere de un control
con el cual se conozca a los equipos que se conecten a la misma para
saber si se encuentran autorizados o no.
Servidores de aplicaciones y bases de datos: Para este activo crtico,

uno de los requerimientos de seguridad que los altos directivos
consideran necesarios es la seguridad fsica, es decir, restriccin del
ingreso al personal no autorizado a las instalaciones donde se
encuentren dichos servidores, ya que puede producirse un robo de la
informacin o dao fsico intencional o no de los equipos.
Data Center con su respectivo adecuamiento fsico: Para este activo

crtico, respondieron que los requerimientos de seguridad ms
53
importantes a mencionarse son con respecto a la adecuada seleccin

y mantenimiento del lugar donde se encuentre ubicado este Data
Center ya que pueden ocasionarse fallas en las instalaciones
elctricas, tener un inadecuado acondicionamiento del ambiente
donde se encuentre el mismo o desconocimiento de las polticas sobre
qu se puede hacer al momento en que se produzca uno de los
eventos mencionados anteriormente y a quin se lo debe reportar,
entre otros.

EEQ. S.A.: Para este activo ellos consideran que los requerimientos
de seguridad que deberan tomarse en cuenta son la obtencin de
respaldos de dicha informacin, los mismos que deberan ubicarse
dentro de las instalaciones y fuera de ellas. Esto servira en el caso de
que se presentara alguna eventualidad dentro de las instalaciones que
causara la perdida irrecuperable de la informacin antes mencionada.
Tambin recalcan que es motivo de preocupacin la confidencialidad

de dichos datos ya que solo las personas autorizadas y responsables
de manejar dicha informacin pueden tener acceso a la misma.
Requerimiento de seguridad ms importante
De forma general, se reconoci como el requerimiento de seguridad ms
importante, dentro de la Empresa Elctrica Quito, es el contar con una
definicin de polticas y procedimientos orientados a la administracin de
seguridad, en los cuales se identifiquen los riesgos para los activos y las
acciones a seguir para mitigar los mismos.
54
Identificacin de las actuales prcticas de estrategias de proteccin

Polticas especficas, estrategias y prcticas generales para activos
especficos
Esta parte de la encuesta estuvo orientada a la necesidad de conocer si
dentro de la organizacin existen polticas, ya sean de seguridad,
administracin o de cualquier otra ndole y que fueran nicas para activos
especficos. Se conoci que formalmente no se tiene dichas especificaciones
dentro de la empresa.
Como parte de este proceso, se realiz adems, una encuesta para obtener
informacin acerca de las seguridades y principales vulnerabilidades que
posee la empresa con respecto a tecnologas de informacin.
Especificaciones de seguridad cumplidas por la EEQ
Funciones
responsabilidades
referentes
seguridad
son
comprendidas por los miembros.
Las consideraciones de seguridad son tomadas en cuenta por las

estrategias de negocio de la organizacin.
Se asignan fondos y recursos suficientes para actividades referentes a

seguridad de seguridad de la informacin.
Las funciones de seguridad y las responsabilidades son definidas para

todo el personal de la organizacin.
Se recibe y se acta sobre informes de rutina que resumen la

informacin
relacionada con la seguridad (por ejemplo, auditorias,
registros, evaluaciones de riesgos y vulnerabilidad).
Existe un conjunto completo de documentacin acerca de las polticas

actuales,
las
mismas
que
son
revisadas
actualizadas
55
peridicamente. Cabe recalcar que dentro de esta documentacin no

constan polticas especficas para activos crticos.
Especificaciones de seguridad no cumplidas por la EEQ
No existe documentacin verificada sobre todas las funciones y

responsabilidades de cada miembro del personal respecto a
seguridad.
No existe una sensibilizacin, formacin ni recordatorios peridicos

para todo el personal de la empresa acerca de las polticas y
estrategias de seguridad en cuanto a tecnologas de informacin.
Las estrategias de negocio y los objetivos de la organizacin no son

tomados en cuenta por las estrategias de seguridad y las polticas de
tecnologas de informacin.
Las estrategias de seguridad, metas y objetivos no se documentan,

revisan, actualizan, y se comunican a la organizacin.
No se han revisado, documentado y probado Planes de Continuidad

del Negocio o Planes de Operacin de Emergencia, Planes de
Recuperacin de Desastres ni Plan de Contingencia para responder a
emergencias.
No existen polticas y procedimientos documentados para trabajar con

los organismos de aplicacin de la ley.
56
2.2.2.1.3 Desarrollo Proceso 2: Identificacin del conocimiento de directivos de reas

operativas
A continuacin mostramos la informacin concerniente al proceso dos,
basados en las respuestas dadas por parte de los directivos de reas
operativas:
Identificacin de Activos de los Directivos de reas Operativas con
prioridades relativas
En esta seccin dividiremos los activos identificados segn el rea a la que
corresponden de acuerdo al organigrama de la empresa.
Dpto. de Comunicacin y Soporte
Equipamiento de comunicaciones para redes LAN, WAN, MAN y

seguridad de comunicaciones.
Enlaces de comunicaciones en diferentes medios de transmisin (Fibra

ptica, cobre y espectro radioelctrico).
Servidores para aplicaciones y bases de datos.
Sistemas de respaldo de energa (UPS y APS) con acondicionamiento

del ambiente (Sistemas de Aire Acondicionado y Ventilacin) para los
sitios de concentracin del respectivo equipamiento informtico y de
comunicaciones.

Equipos de comunicacin mvil (Mdems de acceso a Internet Banda

ancha).
57
Sistemas Operativos para servidores con licenciamiento y de tipo

software libre.
Aplicaciones para el monitoreo del estado de los sistemas de

comunicaciones y monitoreo de bases de datos.
Dpto. de Administracin de Sistemas Estratgicos (DATA CENTER)
Sistemas de Bases de Datos con licenciamiento y de tipo software libre

concentracin
del
respectivo
equipamiento
para los sitios de

informtico
de

incendio.
Servidores para aplicaciones y bases de datos.

EEQ. S.A.
Dpto. de Desarrollo
Sistemas SIDECOM y SCADA.


seguridad de comunicaciones.
58
Enlaces de comunicaciones en diferentes medios de transmisin (Fibra

ptica, cobre y espectro radioelctrico).

comunicaciones y monitoreo de bases de datos.

comunicaciones.

siguientes:
Desastres naturales

El impacto para la organizacin en caso de prdida parcial o total de los
activos anteriormente nombrados es principalmente el costo que se tendra al
restaurar toda la infraestructura tanto de hardware como de software as
como tambin los servicios que se proveen dentro de la organizacin.
De igual manera otro impacto importante sera el tiempo que implicara el
proceso de restauracin de dichos activos para un correcto y normal
desenvolvimiento dentro de la organizacin.
59
Identificacin de Requerimientos de seguridad para los activos crticos


seguridad de comunicaciones y Enlaces de comunicaciones en
diferentes medios de transmisin (Fibra ptica, cobre y espectro
radioelctrico): Para todo lo referente a la infraestructura de red que
posee la empresa, se requiere que sta est disponible las veinticuatro
horas del da, siete das a la semana, ya que de esto depende el normal
funcionamiento de la organizacin para la ejecucin de sus tareas
diarias.
Servidores para aplicaciones y bases de datos, entre otros: Para este

activo crtico, el requerimiento ms importante es el de tener siempre
disponible este
activo,
ya
que
de
stos
depende
el
normal
desenvolvimiento de la empresa en lo concerniente a sus tareas diarias

como la comercializacin de sus servicios.

comunicaciones y monitoreo de bases de datos: Otro requerimiento de
seguridad que se mencion fue el de realizar el respectivo monitoreo
tanto a las aplicaciones existentes como a la infraestructura de
comunicaciones lo que permita el correcto desenvolvimiento de la
organizacin en sus labores diarias.

comunicaciones: Los encuestados identificaron que el requerimiento de
seguridad para este activo crtico es que este sistema se encuentre
disponible cuando se lo requiera, ya que es importante que, en caso de
60
ocurrir alguna falla en el sistema elctrico normal, se tenga un

respectivo sistema de respaldo del mismo y poder operar con
normalidad.
Segn los encuestados, el principal y ms importante requerimiento de
seguridad es el establecimiento de polticas donde se indiquen todas las
restricciones y requerimientos de seguridad para cada uno de los activos
crticos de la organizacin.
Especificaciones de seguridad cumplidas por las reas operativas
Dentro de la organizacin existe una adecuada experiencia interna para

soportar todos los servicios, mecanismos y tecnologas como por
ejemplo el cifrado, logging, monitoreo, entre otras y su respectivo
funcionamiento seguro.
Cada una de las funciones de seguridad y las responsabilidades

respectivas son definidas para todo el personal de la organizacin.
Los aspectos de seguridad de informacin como por ejemplo

establecimiento de permisos son tomados en cuenta al momento en
que personal nuevo o temporal entra a la organizacin as tambin
cuando el personal saliente deja de laborar en la empresa.
Los riesgos de seguridad de la informacin son gestionados y

evaluados as como tambin se realiza la toma de medidas para mitigar
dichos riesgos a un nivel medio. Cabe recalcar que no se tiene una
respectiva documentacin sobre esto.
61
Los
procedimientos
de
gestin
de
incidentes
son
probados
peridicamente, verificados y actualizados.

Especificaciones de seguridad no cumplidas por las reas operativas
No se tiene una adecuada documentacin de todos los servicios,

mecanismos y tecnologas referentes a seguridad como por ejemplo el
cifrado, monitoreo, logging, etc. ni su funcionamiento respectivo dentro
de la empresa.
No se realiza una revisin, actualizacin acerca de las estrategias de

seguridad ni su respectiva comunicacin en la EEQ.
La organizacin no realiza la comprobacin sobre el cumplimiento de

las necesidades y requerimientos de los servicios de seguridad,
mecanismos y tecnologas externas.
No existen polticas ni procedimientos documentados para la gestin de

visitantes.
No existen polticas y procedimientos documentados para el control

fsico de hardware y software
No existen polticas y procedimientos documentados para el control de

acceso fsico a las reas de trabajo y el hardware (ordenadores,
dispositivos de comunicacin, etc.) y los medios de comunicacin de
software.
No existe proteccin fsica para las estaciones de trabajo y otros

componentes que permiten el acceso a la informacin sensible de la
organizacin.
No existe una adecuada documentacin y evaluacin de los planes de

seguridad para salvaguardar los sistemas y redes de la EEQ.
62
No existen polticas ni procedimientos documentados para establecer y

determinar el derecho de acceso a la informacin tanto para los
individuos como para los grupos.
2.2.2.1.4 Desarrollo Proceso 3: Identificacin del conocimiento del Personal en General

Este proceso se desarrollar en base a las encuestas realizadas al personal
en general de la EEQ.
Identificacin de Activos del personal con prioridades relativas
Aplicaciones transaccionales y de informacin utilizadas en la EEQ.

S.A. Como por ejemplo: Sistema SIDECOM, SCADA, entre los
principales.
Estaciones de trabajo y equipos porttiles para cada uno de los

usuarios que labora en la EEQ.
Aplicaciones de seguridad para los equipos de los usuarios.
Aplicaciones de oficina y herramientas utilizadas por el usuario final en

la EEQ.
Medios de almacenamiento fsico (memory flash, pen drive, discos

duros externos, CDs, DVDs, cintas magnticas y diskettes).

Los usuarios finales de la EEQ identificaron como los cinco activos ms
importantes, todos los mencionados en el literal anterior.
63

siguientes:
Desastres naturales
Dao en los equipos utilizados por los usuarios.
Sabotaje
Apropiacin de informacin sensible.

Los posibles escenarios de impactos identificados son: en primer lugar la
paralizacin laboral por falta de recursos necesarios (computadoras, red,
aplicaciones, etc.) para el desempeo normal de su trabajo, esto a su vez
ocasiona prdidas econmicas para la empresa.
Otro impacto importante es la prdida de la informacin sensible manejada
por cada uno de los usuarios, lo cual representara una significativa inversin
de tiempo al tratar de recuperar dicha informacin.
Identificacin de Requerimientos de seguridad para los activos
crticos
Los encuestados identificaron que para los activos crticos mencionados
anteriormente, se requiere que stos se encuentren disponibles para poder
as realizar sus tareas diarias normalmente y poder brindar el servicio
respectivo a los clientes. As tambin, se requiere que estos sistemas sean
64
confiables y que la informacin que stos entregan sea ntegra. Por otra
parte se requiere que los sistemas posean cierto nivel de seguridad como por
ejemplo claves de acceso a los mismos.
El principal requerimiento de seguridad mencionado en este nivel fue el tener
un buen sistema de seguridad tales como clave de ingreso a su estacin de
trabajo, antivirus instalado y actualizado, sistema de respaldo de informacin
sensible de la cual sean responsables, etc.
Especificaciones de seguridad cumplidas por el personal
Todo el personal comprende sus funciones y responsabilidades de

seguridad respectivas.
El personal sigue algunas prcticas de seguridad al momento de

asegurar la informacin de la que son responsables como por ejemplo,
no divulgar informacin confidencial a otras personas (resistencia a la
ingeniera social),
tener la capacidad adecuada para manejar el
hardware y software de tecnologa de la informacin, comprensin y

seguimiento de algunas polticas de seguridad, capacidad de reconocer
y reportar incidentes.
Especificaciones de seguridad no cumplidas por las reas operativas
Las funciones y responsabilidades de seguridad correspondientes al

personal no se encuentran documentadas ni verificadas.
65
Todo el personal no tiene un adecuado conocimiento de sus

responsabilidades en funcin de planes de backups de software y
hardware.
El personal en todos los niveles de responsabilidad no ponen en

prctica sus funciones asignadas y la respectiva responsabilidad de la
seguridad de la informacin.
2.2.2.2 Proceso 4: Creacin de Perfiles de Amenaza

2.2.2.2.1 Descripcin del Proceso 4
Dentro de este proceso se integrar toda la informacin recopilada en los
procesos 1, 2 y 3 desarrollados anteriormente. Luego de la integracin, se
crearn perfiles de amenaza para un conjunto de activos crticos. Las
actividades a desarrollarse durante este proceso son las siguientes:
Proceso 4:
Crear perfiles de
amenaza
Salidas
Entradas
Informacin consolidada de:
Conocimiento actual del equipo

de anlisis
Activos
Requerimientos de seguridad
Perfiles de amenaza genricos
reas de inters
Resultados del proceso 1
Activos crticos
Requerimientos de seguridad para
los activos crticos
Amenazas para los activos crticos
Ilustracin 8: Flujo de trabajo Proceso 4: Creacin de perfiles de amenaza
15
Fuente: OCTAVE
SM
15
66
Consolidacin preliminar de datos

Luego de haber recopilado la informacin, resultante de los procesos 1, 2 y 3, se
realizar una consolidacin de la misma dentro de los formatos que establece la
metodologa. Dentro de esta consolidacin se realizar tres tipos de agrupaciones:
Agrupacin de activos por nivel organizacional: Donde se tendr
identificado y documentado de mejor manera, en los formatos
indicados en el Anexo A, los activos importantes para cada uno de
los niveles organizacionales, la razn por la cual los participantes los
escogieron, as como tambin el por qu son considerados
importantes y finalmente un listado de otros activos identificados
dentro de la empresa. Dentro del Anexo B, se puede observar las
hojas de trabajo con toda la informacin respectiva y referente a este
literal.
Agrupacin
de
requerimientos
de
seguridad
por
nivel
organizacional y por activo: Donde se aadirn, dentro del formato

indicado en el Anexo A, los respectivos requerimientos de seguridad
para cada activo importante identificado en los procesos 1, 2 y 3.
Estos requerimientos se los identificar nicamente para los activos
importantes mencionados por cada nivel organizacional. Dentro del
Anexo B se puede observar la hoja de trabajo con toda la
informacin de la empresa y referente a este literal.
Agrupacin
de
reas
de
Inters
Impactos
por
nivel
organizacional y por activo: Donde para cada uno de los activos

importantes se ir aadiendo, en la hoja de trabajo respectiva y que
se encuentra dentro del Anexo A, las reas de inters e impactos
que ya fueron identificados en los procesos 1, 2 y 3. Las hojas de
trabajo con toda la informacin de la empresa referente a este literal
se encuentra dentro del Anexo B.
67
Los formatos utilizados se encuentran en el anexo A y la informacin recopilada

dentro de los formatos anteriormente mencionados se encuentra dentro del Anexo
B.
Seleccin de Activos Crticos
Dentro de esta actividad, se seleccionarn 5 activos crticos, a partir del listado
consolidado de los activos considerados como ms importantes por los altos
directivos, directivos de reas operativas y el personal en general y que fueron
obtenidos en el literal anterior. Estos activos crticos sern seleccionados de
acuerdo al nivel de ocupacin de los mismos dentro de la empresa y la
importancia que stos tienen para el cumplimiento de la misin de la organizacin.
Las hojas a llenarse, para esta actividad, se encuentran en el Anexo A y las hojas
con la informacin ya recopilada sobre esta seleccin de activos crticos, se
encuentra dentro del Anexo B.
Refinamiento de los Requerimientos de Seguridad para los activos
Crticos
Dentro de esta actividad se crearn y refinarn los requerimientos de seguridad
para los activos crticos, ya que dichos requerimientos son aquellos que trazan las
cualidades pertenecientes a un activo y que deben ser protegidas.
Los tipos de requerimientos de seguridad que se identificarn sern acerca de la
confidencialidad, integridad, disponibilidad y de ser el caso otros que tambin sean
importantes. Las hojas a llenarse se encuentran en el Anexo A mientras que las
que poseen la informacin recopilada se encuentran en el Anexo B.
Identificacin de Amenazas para los Activos Crticos
En esta actividad se realizar una identificacin de las posibles amenazas para los
activos crticos. Una amenaza es aquella indicacin de un posible potencial evento
no deseable, el mismo que puede ser causado de forma deliberada o accidental.
68
Dentro de esta actividad se tienen cuatro categoras para clasificar las amenazas,
las mismas que son: Actores humanos utilizando el acceso a la red, Actores
humanos utilizando el acceso fsico, Problemas en los sistemas y Otros
problemas.
Para poder identificar de mejor manera las amenazas con sus clasificaciones y
tipos respectivos, se realizar un rbol que contiene informacin acerca del activo,
el actor, el motivo donde se define si la accin realizada fue accidental o
deliberada, el acceso y la salida o el resultado de la amenaza.
2.2.2.2.2 Desarrollo del Proceso 4
Los activos crticos seleccionados son los que se indican a continuacin, y para
cada uno de los cuales se describen tambin los requerimientos de seguridad y
las amenazas respectivas.
Las tablas que se muestran a continuacin fueron realizadas por los autores
ACTIVO
CRTICO
COMERCIALIZACIN)
1:
SISTEMA
SIDECOM
(SISTEMA
DE
Informacin del Activo Crtico

Activo
SIDECOM Sistema de Comercializacin
Razn para
seleccionarlo
como activo
crtico
Fue seleccionado como crtico debido a que este es un sistema que apoya
a toda la gestin comercial que realiza la EEQ, desde que un cliente nuevo
ingresa hasta que se le realiza la conexin del servicio. As tambin realiza
toda la gestin posterior de administracin, atencin al cliente, facturacin,
recaudacin, etc., es decir, este sistema es esencial para las tareas diarias
de la EEQ. La falta de este sistema hara que la empresa quede
inoperativa y sin poder dar la atencin respectiva a sus clientes.
Breve
Descripcin
Este activo crtico es una combinacin armoniosa de hardware, software y

comunicacin de datos. Fue desarrollado para apoyar a toda la gestin
comercial que realiza la EEQ con sus clientes. Este sistema consta de la
aplicacin desarrollada y su respectiva base de datos.
Tabla 3: Informacin del Activo Crtico SIDECOM
69
Requerimientos de seguridad para el Activo Crtico SIDECOM

Tipo de
requerimiento de
seguridad
Requerimientos especficos
Confidencialidad
Permitir el acceso a esta aplicacin solo a personal autorizado de

la EEQ.
El personal de la EEQ debe ingresar a esta aplicacin de acuerdo
a perfiles de usuario, con los cuales podr manejar nicamente la
informacin necesaria para realizar su trabajo.
Integridad de los datos que se maneja dentro de este sistema.
Integridad
Tener polticas y procedimientos para realizar respaldos con la

frecuencia que sea necesaria, y as poder tener toda la informacin
ntegra y consistente.
Disponibilidad
El servicio provedo por esta aplicacin debe ser 24/7, es decir que
debe estar disponible en cualquier momento.
Tabla 4: Requerimientos de seguridad para el activo crtico SIDECOM
reas de Inters por Tipo de Amenaza para el Activo Crtico SIDECOM

Tipo de amenaza
Actores humanos utilizando el acceso de la

red
reas de inters para SIDECOM

Revelacin / Perdida, destruccin /
Modificacin / Interrupcin
Personal no autorizado de la EEQ puede
tener acceso a la red y como resultado
puede lograr conectarse hacia el
SIDECOM
utilizando
la
propia
infraestructura que posee la EEQ
poniendo en gran riesgo toda la
informacin que el sistema almacena.
70
Tipo de amenaza

Personal propio de la EEQ puede tener
acceso a la red y as obtener acceso a
mdulos o partes del sistema a las cuales
no se encuentra autorizado a acceder en
lo concerniente a su trabajo, pudiendo
conocer, modificar o destruir datos
sensibles.
Personal no autorizado de la EEQ puede
tener acceso fsico al sistema pudiendo
tener conocimiento de datos sensibles,
modificarlos o destruirlos ocasionando un
riesgo en la integridad de la informacin
del SIDECOM.
Actores humanos que usan el acceso fsico
Problemas del sistema

Personal propio de la EEQ y que no se
encuentra autorizado puede tener acceso
fsico al SIDECOM y como resultado
puede tener acceso a informacin a la cual
no se encuentra autorizado a acceder,
poniendo en riesgo la integridad de los
datos que maneja el SIDECOM.
Revelacin / Modificacin / Prdida,
destruccin
La falta de perfiles de usuario ocasionara
que personal no autorizado a acceder a
cierta
informacin
sensible
pueda
conocerla o modificarla.
71
Tipo de amenaza

Modificacin / Prdida, destruccin /
Interrupcin
Puede existir alguna falla en el hardware
que forma parte de este sistema, lo cual
puede ocasionar principalmente una
prdida o destruccin de la informacin
manejada
as
como
tambin
la
interrupcin del servicio.
Posibles errores de programacin en la
aplicacin utilizada por el SIDECOM
puede ocasionar una modificacin en los
datos manejados por dicha aplicacin as
como tambin una interrupcin del servicio
que brinda la misma.
Interrupcin
Problemas ocasionados en la red pueden
ocasionar que no se tenga acceso al
SIDECOM dejando inoperativa a la
organizacin.
Interrupcin / Modificacin / Prdida
, destruccin
Puede estar expuesto a virus informticos
en el caso de que los servidores que
forman parte del SIDECOM tengan acceso
a Internet o a los cuales se introduzcan
dispositivos de almacenamiento infectados
de algn virus daino.
Otros problemas
Prdida, destruccin / Interrupcin

Pueden existir variaciones de voltaje o
interrupciones del suministro elctrico, lo
que ocasionara el no funcionamiento de
los equipos sobre los cuales funciona el
SIDECOM.
72
Tipo de amenaza

Un desastre natural como un terremoto,
inundacin, erupcin volcnica, etc.,
puede causar mucho dao al SIDECOM si
no se tienen las precauciones necesarias.
Perdida, destruccin / interrupcin
Al ser esta una institucin pblica, est
sujeta a posibles amenazas de tipo
terrorista o vandlica, pudiendo causar
daos y prdidas permanentes a los
activos y en general a la empresa,
existiendo el riesgo de que sta se
paralice en su totalidad.
Tabla 5: reas de inters por tipo de amenaza para activo SIDECOM
73
Perfiles de Amenazas para el Activo Crtico: SIDECOM
Actores Humanos que usan el acceso de red
ACTIVO
ACCESO
ACTOR
MOTIVO
RESULTADO
Revelacin
accidental
Modificacin
Prdida, destruccin
Interrupcin
Dentro
Revelacin
deliberado
Modificacin
Prdida, destruccin
Interrupcin
SIDECOM
RED
Revelacin
accidental
Modificacin
Prdida, destruccin
Interrupcin
Fuera
Revelacin
deliberado
Modificacin
Prdida, destruccin
Interrupcin
Ilustracin 9: Perfil de amenaza del activo SIDECOM: Actores humanos que usan el acceso
de red
74
Actores Humanos que usan el acceso fsico
ACTIVO
ACCESO
ACTOR
MOTIVO
RESULTADO
Revelacin
accidental
Modificacin
Prdida, destruccin
Interrupcin
Dentro
Revelacin
deliberado
Modificacin
Prdida, destruccin
Interrupcin
SIDECOM
FISICO
Revelacin
accidental
Modificacin
Prdida, destruccin
Interrupcin
Fuera
Revelacin
deliberado
Modificacin
Prdida, destruccin
Interrupcin
Ilustracin 10: Perfil de amenaza del activo crtico SIDECOM: Actores humanos que usan el
acceso fsico
75
ACTIVO
ACTOR
RESULTADO
Revelacin
Falta de perfiles de
Modificacin
usuario
Prdida, destruccin
Interrupcin
Revelacin
Defectos de hardware
Modificacin
Prdida, destruccin
Interrupcin
Revelacin
SIDECOM
Defectos de software
Modificacin
Prdida, destruccin
Interrupcin
Revelacin
Cadas en el sistema
Modificacin
Prdida, destruccin
Interrupcin
Revelacin
Cdigo malicioso (virus)
Modificacin
Prdida, destruccin
Interrupcin
Ilustracin 11: Perfil de amenaza activo crtico SIDECOM: Problemas del sistema
76
Otros Problemas
ACTIVOS
ACTOR
RESULTADO
Revelacin
Problemas elctricos
Modificacin
Prdida, destruccin
Interrupcin
Revelacin
Desastres Naturales
Modificacin
(Eje. Terremotos,
Prdida, destruccin
diluvios, fuego, etc.)
Interrupcin
SIDECOM
Revelacin
Problemas en las
Modificacin
telecomunicaciones
Prdida, destruccin
Interrupcin
Revelacin
Terrorismo y/o vandalismo
Modificacin
Prdida, destruccin
Interrupcin
Ilustracin 12: Perfil de amenaza activo crtico SIDECOM: Otros problemas
77
ACTIVO CRTICO 2: INFRAESTRUCTURA DE RED Y CABLEADO

Activo
INFRAESTRUCTURA DE RED Y CABLEADO
Razn para
seleccionarlo
como activo
crtico
Fue seleccionado ya que mediante este activo se realiza el transporte y

difusin de informacin entre las subestaciones de la organizacin de la
EEQ as como tambin se mantiene el funcionamiento en lnea de varias
aplicaciones utilizadas tales como SCADA, entre otras aplicaciones
corporativas utilizadas diariamente. Si esta red no est en constante
funcionamiento la EEQ no podra realizar sus actividades diarias.
Breve
Descripcin
Esta infraestructura consta de todos los dispositivos de red tales como

routers, switches, cables, y dems, los mismos que son necesarios para la
difusin de la informacin que se maneja dentro de la EEQ. Adems
consta de fibra ptica que sirve para la interconexin de las 40
subestaciones y edificios principales de la EEQ con sus sistemas SCADA,
Tele proteccin y dems aplicaciones corporativas.
Tabla 6: Informacin del activo crtico: Infraestructura de red y cableado
Requerimientos de seguridad para el Activo Crtico INFRAESTRUCTURA DE

RED Y CABLEADO
Tipo de
requerimiento de
seguridad
Confidencialidad
La configuracin de cada uno de los dispositivos fsicos que

forman parte de la red, deben ser conocidas y ejecutadas
nicamente por el personal calificado para esta tarea.
Implementar un control de acceso para que nicamente personas
autorizadas puedan conectarse por medio de esta infraestructura.
Integridad
Poseer polticas de respaldo de todas las configuraciones de

cada uno de los dispositivos de la red.
El hardware de la infraestructura de la red debe ser modificado
nicamente por personal que conozca del mismo
Poseer polticas de proteccin de los componentes de esta
infraestructura, en caso de que se produzcan acontecimientos
78
Tipo de
requerimiento de
seguridad
como desastres naturales entre otros.

Disponibilidad
Continua operatividad de la red, en lo posible, 24/7.

Disponibilidad de la red todo el tiempo, ya que las aplicaciones y
dems estaciones de la EEQ requieren estar interconectadas
siempre.
Otros
Control de acceso: La conexin a la red de fibra ptica debe

permitirse nicamente a equipos autorizados, sean estos internos
o externos a la EEQ.
Administrador de redes y comunicaciones de la empresa.
Tabla 7: Requerimientos de seguridad para activo crtico: Infraestructura de red y cableado
reas de Inters por Tipo de Amenaza

Tipo de amenaza

red
para
el
Activo
Crtico
reas de inters para

INFRAESTRUCTURA DE RED Y
CABLEADO
Se pueden producir cambios en la
configuracin de los equipos de la red por
parte de personal no autorizado.
Revelacin / Modificacin
Personal que no se encuentra autorizado
puede tener acceso a informacin sobre
los equipos.
Prdida, destruccin / Modificacin

Personal que no se encuentra autorizado
puede tener acceso fsico a los equipos
que forman parte de la red y ejecutar
modificaciones no autorizadas.
79
Tipo de amenaza
reas de inters para

INFRAESTRUCTURA DE RED Y
CABLEADO
Perdida, destruccin / Modificacin
No se tiene ningn tipo de control de
acceso para las personas que ingresan al
lugar donde residen los equipos.
Cualquier
desastre
natural
puede
ocasionar que se pierda o se dae la
infraestructura de red dando como
resultado una paralizacin en el trabajo
que se realiza dentro de la EEQ.
Interrupcin
Variaciones en el voltaje o cortes de
suministro elctrico ocasionaran una
interrupcin del servicio que sta red
presta.
Otros problemas
Cortes de energa elctrica o variaciones
en el voltaje pueden ocasionar una
prdida en la configuracin de los equipos
de la red.
Al ser esta una institucin pblica, est
Tabla 8: reas de inters por tipo de amenaza para activo: Infraestructura de red y cableado
80
Perfiles de Amenazas para el Activo Crtico: INFRAESTRUCTURA DE RED Y

CABLEADO.
ACTIVO
ACCESO
ACTOR
MOTIVO
RESULTADO
Revelacin
accidental
Modificacin
Prdida, destruccin
Interrupcin
Dentro
Revelacin
deliberado
Modificacin
Prdida, destruccin
Interrupcin
INFRAESTRUCTURA RED
DE RED Y
CABLEADO
accidental
Revelacin
Modificacin
Prdida, destruccin
Interrupcin
Fuera
Revelacin
deliberado
Modificacin
Prdida, destruccin
Interrupcin
Ilustracin 13: Perfil de amenaza activo Infraestructura de red y cableado: Actores humanos
que usan el acceso de red
81
ACTIVO
ACCESO
ACTOR
MOTIVO
RESULTADO
Revelacin
accidental
Modificacin
Prdida, destruccin
Interrupcin
Dentro
Revelacin
deliberado
Modificacin
Prdida, destruccin
Interrupcin
INFRAESTRUCTURA FISICO
DE RED Y
Revelacin
CABLEADO
accidental
Modificacin
Prdida, destruccin
Interrupcin
Fuera
Revelacin
deliberado
Modificacin
Prdida, destruccin
Interrupcin
Ilustracin 14: Perfil de amenaza activo Infraestructura de red y cableado: Actores humanos
que usan el acceso fsico
82
Otros problemas
ACTIVO
ACTOR
RESULTADO
Revelacin
Problemas elctricos
Modificacin
Prdida, destruccin
Interrupcin
Revelacin
INFRAESTRUCTURA
DE RED Y
CABLEADO
Desastres naturales
Modificacin
(Eje. Terremotos,
Prdida, destruccin
Interrupcin
Revelacin
Problemas en las
Modificacin
telecomunicaciones
Prdida, destruccin
Interrupcin
Revelacin
Modificacin
Prdida, destruccin
Interrupcin
Ilustracin 15: Perfil de amenaza activo Infraestructura de red y cableado: Otros Problemas
83
ACTIVO CRTICO 3: SERVIDORES

Activo
SERVIDORES
Razn para
seleccionarlo
como activo
crtico
Debido a que en estas mquinas se encuentra alojado informacin

importante para la EEQ (Ej. Informacin de clientes, informacin de
empleados, etc.), as como tambin todas las aplicaciones, bases de datos
controladores del dominio, etc. Las cuales son de vital importancia para el
normal funcionamiento de la empresa.
Breve
Descripcin
Esta es la unin de diferentes componentes, los cuales forman una

plataforma robusta en la cual se ejecutan las distintas aplicaciones que
funcionan dentro de la EEQ para as proveer el servicio requerido para las
tareas diarias de los empleados de la empresa.
Adems dentro de estos componentes se ejecutan tambin los respectivos
sistemas operativos los cuales permiten el correcto y normal
funcionamiento de estas aplicaciones.
1
Los servidores con los que cuentan en la EEQ son :

13 servidores IBM
2 servidores Compact
1: Vase anexo C: Inventario de Servidores de la EEQ.
Tabla 9: Informacin del activo crtico Servidores
84
Requerimientos de seguridad para el Activo Crtico SERVIDORES

Tipo de
requerimiento de
seguridad
Confidencialidad
El acceso a los servidores ya sea lgica o fsica debe

contar con un proceso de autenticacin de usuarios.
Debe existir polticas de perfiles de usuarios para
accesar a los servidores.
No se deber permitir la divulgacin de datos
confidenciales.
Integridad
La informacin almacenada dentro de los servidores

solo podr ser modificada por personal autorizado y
con los permisos respectivos.
La informacin que se almacene dentro de los
servidores deber ser siempre completa y exacta.
Se debe contar con un plan de recuperacin de
desastres o siniestros.
Planificacin de respaldos de la informacin que se
aloja en los servidores.
Disponibilidad
Los servicios y la informacin provedos por los

Servidores deber estar disponible en cualquier
momento que sea requerido.
Los
servidores
activos
debern
funcionamiento todo el tiempo.
Otros
estar
en
Adecuada seleccin y mantenimiento del lugar donde

se encuentran los servidores.
Creacin e implementacin de polticas y
procedimientos para la adecuacin y mantenimiento
de los servidores.
Tabla 10: Requerimientos de seguridad para el activo crtico Servidores
85
reas de Inters por Tipo de Amenaza para el Activo Crtico SERVIDORES

Tipo de amenaza
reas de inters para el activo

SERVIDORES
Revelacin / Modificacin /Prdida,
destruccin
Personal no autorizado puede tener
acceso a informacin confidencial que se
maneja dentro de este activo. Ejemplo
contraseas, informacin de clientes, etc.

red
Los servidores pueden ser objeto de
modificaciones en sus configuraciones por
parte de personal no autorizado
destruccin
Personal no autorizado puede tener
acceso remoto a los servidores.
Revelacin,
De los equipos servidores con los que
cuenta la empresa, esta informacin
podra ser usada de manera inapropiada
ya sea interna o externamente para por
ejemplo planear un robo a las
instalaciones.
Modificacin
Modificacin en forma accidental de las
configuraciones fsicas (Ej. Seguridad de
acceso) por parte de personal no
autorizado de la empresa.
Modificacin
De las configuraciones de los servidores
por parte de personal no autorizado de la
empresa, con el propsito de realizar
algn sabotaje en contra de la empresa.
86
Tipo de amenaza

SERVIDORES
Prdida, destruccin
El impacto ms grave que se puede
presentar en este activo se da en el caso
de falla total o perdida de los mismos lo
cual conllevara un tiempo significativo el
recuperar la infraestructura que se maneja
dentro del mismo.
Interrupcin
Esto se presentara en caso de que las
acciones provocadas para realizar dicha
interrupcin hayan sido de forma
accidental o deliberada, provocando una
discontinuidad en las tareas diarias que
realiza la empresa.
Prdida, destruccin
Se pueden presentar en el caso de que el
problema sea dado por defectos de
hardware o de software. Pudiendo
provocar la destruccin y en ese caso la
perdida de los componentes, servicios o
datos los cuales se manejan dentro de
este activo.
Prdida, destruccin
Se podra presentar en caso de alguna
falla en los sistemas con los cuales
funcionan los equipos (cabe recalcar que
un sistema es el conjunto de componentes
relacionados que interactan entre s para
lograr un objetivo en comn).
Interrupcin
La inestabilidad en cualquiera de los
componentes que forman parte de este
activo,
provocara
una
significativa
interrupcin a los principales servicios que
se brindan a travs de este activo, sea
esto producido por fallas en el hardware o
fallas propias del sistema.
87
Tipo de amenaza

SERVIDORES
Revelacin
Al tener una configuracin accesible ya
sea en la seguridad fsica para el acceso
donde se encuentra este activo o en la
seguridad para ingresar a los servidores,
podra tener revelacin de informacin la
cual puede ser utilizada de forma
inapropiada.
Modificacin
Al
no
contar
con
personal
de
mantenimiento especializado en el rea
tecnolgica referente a este activo, podra
existir un mal manejo del mismo y en
consecuencia podra darse modificaciones
en las configuraciones del mismo,
afectando directamente a los servicios que
este activo brinda a la empresa.
Otros problemas
Modificacin
Al existir una fcil configuracin en los
componentes de este activo puede existir
una probabilidad alta de que se pueda
realizar modificaciones en estos, las
cuales
podran
afectar
el
buen
funcionamiento de los mismos.
Modificacin
Una de las causas que se podra tener
para que los componentes de este activo
sean modificados de mala manera, es una
falta de conocimiento y control sobre los
mismos. Esto tambin est relacionado al
problema
de
no
tener
personal
especializado que est a cargo del rea
donde se encuentra este activo.
Este caso se podra presentar, en el caso
de no existir personal especializado en el
rea donde se maneja los componentes
de los activos, en donde adems de la
posible prdida o destruccin se tendra
una grave interrupcin en los servicios que
este activo brinda a la EEQ.
88
Tipo de amenaza

SERVIDORES
En el caso de que se presente algn
desastre natural (terremoto, inundacin,
erupcin volcnica, etc.), esto podra ser
muy perjudicial no solamente para este
activo y todos sus componentes, sino
tambin para toda la empresa en general.
La falta de control sobre la tecnologa con
la que se trabaja, ya sea esta de hardware
o de software, puede representar que
sobre los mismos exista un riesgo mayor
de posibles fallos o prdidas, lo cual
conllevara
evidentemente
una
interrupcin en los servicios que brindan.
Al ser esta una institucin pblica est
Tabla 11: reas de inters por tipo de amenaza para activo Servidores
89
Perfiles de Amenazas para el Activo Crtico: SERVIDORES
Actores humanos que usan el acceso de red

ACTIVO
ACCESO
ACTOR
MOTIVO
Accidental
RESULTADO
Revelacin
Modificacin
Prdida/Destruccin
Interrupcin
Dentro
Deliberado
Revelacin
Modificacin
Prdida/Destruccin
Interrupcin
SERVIDORES RED
Accidental
Revelacin
Modificacin
Prdida/Destruccin
Interrupcin
Fuera
Deliberado
Revelacin
Modificacin
Prdida/Destruccin
Interrupcin
Ilustracin 16: Perfil de amenaza activo Servidores: Actores humanos que usan el acceso de
red
90
Actores humanos que usan el acceso fsico.

ACTIVO
ACCESO
ACTOR
MOTIVO
RESULTADO
Revelacin
accidental
Modificacin
Prdida, destruccin
Interrupcin
Dentro
Revelacin
Deliberado Modificacin
Prdida, destruccin
Interrupcin
FISICO
SERVIDORES
Revelacin
accidental
Modificacin
Prdida, destruccin
Interrupcin
Fuera
Revelacin
Prdida, destruccin
Interrupcin
Ilustracin 17: Perfil de amenaza activo Servidores: Actores humanos que usan el acceso de
fsico
91

ACTIVO
ACTOR
RESULTADO
Revelacin
Modificacin
Prdida, destruccin
Interrupcin
Revelacin
Modificacin
Prdida, destruccin
Interrupcin
Revelacin
SERVIDORES
Cadas del Sistema
Modificacin
Prdida, destruccin
Interrupcin
Revelacin
Modificacin
Prdida, destruccin
Interrupcin
Ilustracin 18: Perfil de amenaza activo Servidores: Problemas del sistema
92
Otros problemas
ACTIVOS
ACTOR
RESULTADO
Revelacin
Problemas de suministros
Modificacin
de poder
Prdida, destruccin
Interrupcin
Revelacin
Falta de personal de
Modificacin
mantenimiento
Prdida, destruccin
especializado
Interrupcin
Desastres naturales
Revelacin
Modificacin
(Eje. Terremotos,
Prdida, destruccin
Interrupcin
SERVIDORES
Revelacin
Facilidad en la
Modificacin
configuracin
Prdida, destruccin
Interrupcin
Revelacin
Falta de control sobre el
Modificacin
hardware y software
Prdida, destruccin
Interrupcin
Revelacin
Modificacin
Prdida, destruccin
Interrupcin
Ilustracin 19: Perfil de amenaza activo Servidores: Otros problemas
93
ACTIVO CRTICO 4: SISTEMA SCADA (SISTEMA DE CONTROL Y

ADQUISICION DE DATOS)
Activo
SCADA - Sistema de control y adquisicin de datos
Razn para
seleccionarlo
como activo
crtico
El sistema SCADA es uno de los ms importantes dentro de la EEQ, con

el cual se determina el estado de los principales componentes elctricos
de 36 subestaciones de la EEQ, realizar operaciones en los sistemas de
subtrasmisin y distribucin, realizar telecontrol y adquisicin de datos.
Breve
Descripcin
Esta solucin SCADA es un sistema de adquisicin, almacenamiento y

procesamiento de datos en tiempo real, con la capacidad de proveer
informacin de subestaciones que se encuentran geogrficamente
alejadas para as poderlas monitorear remotamente.
Tabla 12: Informacin del activo crtico Sistema SCADA
Requerimientos de seguridad para el Activo Crtico SCADA

Tipo de
requerimiento de
seguridad
Confidencialidad
La informacin que se maneja y almacena dentro de este sistema

deber ser realizada solamente por personal autorizado
Debe existir polticas de perfiles de usuarios para accesar a la
informacin y servicios que brinda este sistema.
No se deber permitir la divulgacin de datos confidenciales.
Integridad
Los datos almacenados en el sistema SCADA podr ser

modificada por personal autorizado y con los permisos respectivos.
Los datos que se almacene en el sistema SCADA deber ser
siempre completa y exacta.
Deber existir polticas de respaldo con el fin de salvaguardar la
informacin y los datos que provee este sistema.
Disponibilidad
Este sistema as como tambin los servicios que esta proporciona
94
Tipo de
requerimiento de
seguridad
debern estar en funcionamiento siempre 24/7.

Se deber garantizar el correcto funcionamiento de cada uno de
los servicios proporcionados por el sistema SCADA.
Se deber contar con personal debidamente capacitado para el
manejo y administracin de este sistema.
Otros
Creacin e implementacin de polticas y procedimientos para el

mantenimiento y monitoreo de este sistema.
Tabla 13: Requerimientos de seguridad para el activo crtico Sistema SCADA
reas de Inters por Tipo de Amenaza para el Activo Crtico SCADA

Tipo de Amenaza
Actores humanos que usan el acceso de

red
Actores humanos que usan el acceso

fsico
rea de inters para el activo SISTEMA

SCADA
Destruccin / Interrupcin
Personal no autorizado podra tener acceso a
informacin los datos sensibles que se
administran dentro de este sistema. Esto
podra poner en riesgo la integridad de los
datos que ah se manejan, as como tambin el
correcto funcionamiento del mismo.
Personal no autorizado podra tener acceso a
fsico al sitio donde reside este activo. Esto
podra poner en riesgo la integridad y correcto
funcionamiento del sistema SCADA.
Modificacin / Prdida, Destruccin /
Interrupcin
Podran existir fallas o defectos en los equipos
que son los encargados del almacenamiento
de los datos y la correcta ejecucin de este
activo.
95
Interrupcin / Modificacin
Fallas en sistema podra provocar una
importante interrupcin de los servicios que
este brinda, as como tambin podra existir
una alteracin en los datos que ah se
manejan.
Interrupcin / Modificacin
Fallas en la de red podran de igual forma
provocar una posible alteracin de datos, as
como tambin la interrupcin de los servicios
que este activo brinda.
Modificacin / Prdida, Destruccin /
Interrupcin
Cdigo malicioso (virus) podra afectar
seriamente los servidores donde reside este
activo, poniendo en peligro la integridad de los
datos almacenados y el sistema mismo.
Otros problemas
Prdida, Destruccin / Interrupcin

Problemas de energa podran provocar la
prdida total o parcial de datos que se manejan
en este activo, as como tambin provocaran
la interrupcin de los servicios que desde este
se brindan a la EEQ.
Revelacin / Modificacin / Perdida,
La falta de personal con la suficiente
capacitacin para la administracin del sistema
podra poner en riesgo este activo.
Perdida, Destruccin / Interrupcin
La ocurrencia de un desastre natural podra
provocar la prdida de total o parcial de la
infraestructura de la EEQ.
Tabla 14: reas de inters por tipo de amenaza para activo Sistema SCADA
96
Perfiles de Amenazas para el Activo Crtico: SCADA.

ACTIVO
ACCESO
ACTOR
MOTIVO
Accidental
RESULTADO
Revelacin
Modificacin
Prdida/Destruccin
Interrupcin
Dentro
Deliberado
Revelacin
Modificacin
Prdida/Destruccin
Interrupcin
SCADA
RED
Accidental
Revelacin
Modificacin
Prdida/Destruccin
Interrupcin
Fuera
Deliberado
Revelacin
Modificacin
Prdida/Destruccin
Interrupcin
Ilustracin 20: Perfil de amenaza activo Sistema SCADA: Actores humanos que usan el
acceso de red
97

ACTIVO
ACCESO
ACTOR
MOTIVO
RESULTADO
Revelacin
accidental
Modificacin
Prdida, destruccin
Interrupcin
Dentro
Revelacin
deliberado
Modificacin
Prdida, destruccin
Interrupcin
FISICO
SCADA
Revelacin
accidental
Modificacin
Prdida, destruccin
Interrupcin
Fuera
Revelacin
deliberado
Modificacin
Prdida, destruccin
Interrupcin
Tabla 15: Perfil de amenaza activo Sistema SCADA: Actores humanos que usan el acceso
fsico
98

ACTIVO
ACTOR
RESULTADO
Revelacin
Modificacin
Prdida, destruccin
Interrupcin
Revelacin
Modificacin
Prdida, destruccin
Interrupcin
Revelacin
SCADA
Cadas del Sistema
Modificacin
Prdida, destruccin
Interrupcin
Revelacin
Modificacin
Prdida, destruccin
Interrupcin
Tabla 16: Perfil de amenaza activo Sistema SCADA: Problemas del sistema
99
Otros Problemas
ACTIVOS
ACTOR
RESULTADO
Revelacin
Modificacin
de energa
Prdida, destruccin
Interrupcin
Revelacin
SCADA
Modificacin
mantenimiento
Prdida, destruccin
especializado
Interrupcin
Desastres naturales
Revelacin
Modificacin
(Ejem. Terremotos,
Prdida, destruccin
Interrupcin
Revelacin
Facilidad en la
Modificacin
configuracin
Prdida, destruccin
Interrupcin
Revelacin
Problemas de
Modificacin
telecomunicaciones
Prdida, destruccin
Interrupcin
Revelacin
Problemas de otros
Modificacin
sistemas
Prdida, destruccin
Interrupcin
Tabla 17: Perfil de amenaza activo Sistema SCADA: Otros problemas
100
ACTIVO CRTICO 5: ESTACIONES DE TRABAJO Y EQUIPOS

PORTTILES DE LA EEQ.
Activo
ESTACIONES DE TRABAJO Y EQUIPOS PORTTILES DE LA

EEQ.
Razn para
seleccionarlo
como activo
crtico
Este es un activo importante ya que sin stos, el personal que hace uso de
los mismos y que labora en la EEQ no podra realizar su trabajo diario. Sin
stos equipos se tendra una paralizacin en las tareas diarias que cumple
el personal.
Tambin debido a que el personal maneja el correo interno a travs de las
PCs, as como tambin la conexin a internet y se conectan a travs de
este a los principales servidores para hacer uso de las aplicaciones que se
utilizan en la EEQ.
Breve
Descripcin
Las estaciones de trabajo y equipos porttiles son las principales

herramientas utilizadas por los usuarios que trabajan en la EEQ, desde las
cuales tienes acceso a los servicios proporcionados por la empresa para
cumplir con su diaria labor y garantizar el buen funcionamiento de la
misma.
Tabla 18: Informacin del activo crtico Estaciones de trabajo de la EEQ
Requerimientos de seguridad para el Activo Crtico ESTACIONES DE

TRABAJO Y EQUIPOS PORTTILES DE LA EEQ.
Tipo de
requerimiento de
seguridad
Confidencialidad
El acceso a las estaciones de trabajo y equipos porttiles deber

contar con un proceso de autenticacin de usuarios.
No se deber permitir la divulgacin de informacin confidencial
que se encuentres dentro de este activo.
Integridad
La informacin contenida dentro de este activo solo podr ser

modificada por el usuario que cuente con los permisos
suficientes.
Planificacin de respaldos de la informacin que se aloja en este
101
Tipo de
requerimiento de
seguridad
activo.
Disponibilidad
Ya que esta es la principal herramienta de trabajo para el

personal de la EEQ. Estos equipos sirven como dispositivos de
almacenamiento de informacin relacionada a la EEQ, tambin a
travs de estos los usuarios tienen acceso al correo interno de la
empresa y dems servicios proporcionados.
Otros
Sistema de seguridad de ingreso.

Instalacin y actualizacin de antivirus
Tabla 19: Requerimientos de seguridad para el activo crtico Estaciones de trabajo de la EEQ
reas de inters por Tipo de Amenaza para el Activo Crtico ESTACIONES

DE TRABAJO Y EQUIPOS PORTTILES DE LA EEQ.
Tipo de amenaza

ESTACIONES DE TRABAJO Y EQUIPOS
De informacin ya sea esta personal o
relacionada a la empresa por parte de
personal de la empresa que tenga acceso
a la red ya sea interna o externamente, lo
cual podra provocar que la informacin
recopilada sea usada en forma maliciosa.
Actores humanos que usan el acceso a la red
Las estaciones de trabajo son vulnerables,
puesto que a veces el personal de la
empresa se olvida de salir del sistema, lo
que facilita el fenmeno de red
compartida; es decir, el acceso indebido y
posible modificacin o prdida de
informacin sensitiva.
102
Tipo de amenaza

Personal de la empresa con acceso
ilegtimo a las PCs a veces prestan las
contraseas de acceso para ver
informacin
que
no
debera
ser
compartida. Lo cual podra provocar que
dicha informacin sea modificada o en su
defecto destruida.
La interrupcin se dara en cualquiera de
los casos mencionados anteriormente,
esta interrupcin vendra de acuerdo al
tipo de falla que se presente, donde este
podra ser mnimo en el cual el usuario no
percibira mayor interrupcin, as como
tambin podra ser significativa en el caso
de que la falla sea muy grave.
Actores Humanos que usan el acceso fsico.
Cualquier miembro del personal interno de
la empresa puede tener acceso fsico y
utilizar los equipos dejados activos
inadvertidamente en los puestos de
trabajo, con lo cual se podra tener acceso
a informacin privada que podra ser
utilizada de una forma inapropiada.
Cualquier persona ajena a la EEQ que
utiliza el acceso fsico puede tener acceso
a las PCs o estaciones de trabajo no
desactivadas, de esta manera podra ver o
modificar accidentalmente o de forma
deliberada la informacin que se
encuentra en las mismas.
103
Tipo de amenaza

la empresa puede tener acceso fsico a las
PCs y estaciones de trabajo dejadas
activadas en los escritorios, por este
motivo no se podra controlar la prdida o
destruccin de informacin privada que se
encuentren en ella, as como tambin el
posible plagio de programas.
la empresa puede tener acceso fsico a las
PCs y estaciones de trabajo, por este
motivo no se podra controlar la
responsabilidad en cuanto a prdidas de
hardware, lo cual provocara adems de
un ambiente de inseguridad en el trabajo
la interrupcin en las tareas diarias hasta
que el equipo quede funcionando
correctamente.
En el caso de no existir seguridades de
acceso, cualquier persona ajena a la EEQ
podra tener acceso fsico a las
instalaciones y por ende a las PCs y
estaciones de trabajo, por lo que sera fcil
extraerse hardware indispensable para su
funcionamiento, provocando adems una
interrupcin en las labores diarias de la
persona directamente afectada por este
hecho.
104
Tipo de amenaza

Al darse un defecto en cualquiera de los
componentes de software que se tenga
instalado en las PCs y estaciones de
trabajo, especialmente en aquellos que
sean de vital importancia para llevar a
cabo las tareas diarias, podra darse una
prdida o dao de archivos importantes.
Podra darse a causas de falla total o
parcial de componentes del hardware de
los ETEP ya que esto representara que
estos debern ser reemplazados para que
los equipos funcionen en forma correcta
provocando una significativa interrupcin
en los usuarios afectados.
Problemas del sistema.
Prdida, destruccin /Interrupcin

Virus, gusanos, troyanos, cdigo malicioso
que haya infectado una PC o estacin de
trabajo puede provocar la prdida o
destruccin de archivos importantes,
provocando adems una interrupcin
significativa en los usuarios que trabajan
en las mismas.
Los problemas relacionados a las
telecomunicaciones (red, acceso a bases
de datos, etc.) podran afectar de sobre
manera al trabajo que el personal realiza
en sus equipos, ya que no tendran
ninguna garanta de que la informacin a
la cual estn accediendo est actualizada
o si la misma se est guardando de forma
correcta.
105
Tipo de amenaza

En caso de que se presentara la misma
situacin explicada anteriormente, podra
existir una prdida o destruccin de
informacin privada que podra ser
relevante para el usuario afectado as
como tambin para la empresa.
Las cadas de sistemas como el de la red
o de aplicaciones que se utilicen por este
acceso, puede causar la interrupcin de
las tareas diarias del personal que utiliza
las mismas.
Virus, gusanos, troyanos, etc. Pueden
modificar archivos importantes que el
sistema utiliza para su funcionamiento
normal.
Al no contar con todos los recursos
tecnolgicos
o
computacionales
relacionados a la empresa disponible, el
personal de la empresa sufrira una
significativa interrupcin en las labores
diarias de la empresa afectndola de
manera directa.
El personal en forma no intencionada
puede compartir carpetas de sus PCs en
la red, las cuales pueden ser accesados
por cualquier persona que tenga acceso a
la misma, con lo cual se podra acceder a
informacin privada la cual podra ser
usada de una forma inapropiada.
106
Tipo de amenaza

Si se presentara una falla en el suministro
de energa por cualquier causa de forma
inesperada, los usuarios por no estar
preparado para dicha eventualidad
podran perder informacin con la cual
estn trabajando en ese momento.
Al no poseer personal especializado que
pueda dar soporte a los usuarios que
operan en las PCs, estos pueden ser
utilizados de una mala manera pudiendo
causar daos a nivel de hardware o
software causando una interrupcin de
tiempo en funcin al dao causado.
Otros Problemas

Cualquier desastre natural (terremoto,
inundacin, incendio, etc.) puede provocar
la prdida total o parcial de las estaciones
de trabajo y equipos porttiles de la
empresa.
La falta de conocimientos y control sobre
el hardware y software disponibles en las
PCs de cada uno de los usuarios, puede
causar la prdida o destruccin de los
servicios que se encuentran habilitadas en
las mismas.
El mal uso del internet por parte de los
usuarios de las PCs podra causar la
incursin de virus, gusanos, cdigo
malicioso, troyanos, etc. en las mismas,
esto en consecuencia podra causar la
falla del sistema en forma parcial o total.
107
Tipo de amenaza

Una mala poltica a nivel de asignacin de
contraseas de usuarios para ingreso a
sus PCs, podra provocar la violacin de
la seguridad a estos, teniendo acceso a
informacin privada la cual puede ser
utilizada de una manera inapropiada.
Tabla 20: reas de inters por tipo de amenaza para activo Estaciones de trabajo de la EEQ
108
Perfiles de Amenazas para el Activo Crtico: ESTACIONES DE TRABAJO Y

EQUIPOS PORTTILES DE LA EEQ.
ACTIVO
ACCESO
ACTOR
MOTIVO
RESULTADO
Revelacin
accidental
Modificacin
Prdida, destruccin
Interrupcin
dentro
Revelacin
deliberado
Modificacin
Prdida, destruccin
Interrupcin
ETEP16
RED
Revelacin
accidental
Modificacin
Prdida, destruccin
Interrupcin
fuera
Revelacin
deliberado
Modificacin
Prdida, destruccin
Interrupcin
Tabla 21: Perfil de amenaza activo Estaciones de trabajo de la EEQ: Actores humanos que
usan el acceso de red
16
ETEP: ESTACIONES DE TRABAJO Y EQUIPOS PORTTILES DE LA EEQ.
109

ACTIVO
ACCESO
ACTOR
MOTIVO
RESULTADO
Revelacin
accidental
Modificacin
Prdida, destruccin
Interrupcin
Dentro
Revelacin
deliberado
Modificacin
Prdida, destruccin
Interrupcin
FISICO
ETEP
Revelacin
accidental
Modificacin
Prdida, destruccin
Interrupcin
Fuera
Revelacin
deliberado
Modificacin
Prdida, destruccin
Interrupcin
Tabla 22: Perfil de amenaza activo Estaciones de trabajo de la EEQ: Actores humanos que
usan el acceso fsico
110

ACTIVO
ACTOR
RESULTADO
Revelacin
Defectos de software/ hardware
Modificacin
Prdida, destruccin
Interrupcin
Revelacin
Virus
Modificacin
Prdida, destruccin
Interrupcin
ETEP
Revelacin
Cadas del sistema
Modificacin
Prdida, destruccin
Interrupcin
Revelacin
Problemas de
telecomunicaciones
o inestabilidad
Modificacin
Prdida, destruccin
Interrupcin
Revelacin
Indisponibilidad de los recursos
Modificacin
de la organizacin relacionados
Prdida, destruccin
interrupcin
Revelacin
Discos compartidos en la red
Modificacin
Prdida, destruccin
Interrupcin
Tabla 23: Perfil de amenaza activo Estaciones de trabajo de la EEQ: Problemas del sistema
111
Otros problemas
ACTIVO
ACTOR
RESULTADO
Revelacin
Problemas en el
Modificacin
suministro de la energa
Prdida, destruccin
Interrupcin
Revelacin
Modificacin
mantenimiento
Prdida, destruccin
especializado
Interrupcin
ETEP
Revelacin
El sistema no esta
Modificacin
familiarizado con las
Prdida, destruccin
necesidades de la EEQ.
Interrupcin
Revelacin
Desastres naturales
Modificacin
(Eje. Terremotos,
Prdida, destruccin
Interrupcin
Revelacin
Facilidad en la
Modificacin
configuracin
Prdida, destruccin
Interrupcin
Revelacin
Modificacin
hardware y software
Prdida, destruccin
Interrupcin
112
Revelacin
Mal uso del Internet
Modificacin
Prdida, destruccin
Interrupcin
Tabla 24: Perfil de amenaza activo Estaciones de trabajo de la EEQ: Otros problemas
2.2.3
FASE 2: VISIN TECNOLGICA
2.2.3.1 Proceso 5: Identificacin de Componentes Clave

Dentro de este proceso se identificarn los componentes clave de la
infraestructura, los mismos que deben ser examinados por las vulnerabilidades
tecnolgicas por cada activo crtico.
El equipo buscar los sistemas de inters para cada activo crtico, es decir, el (los)
sistema(s) que estn ms cercanamente relacionados a los activos crticos.
Las clases de componentes clave que son parte de o relacionados al (los)
sistema(s) de inters son identificados y luego, instancias especficas de los tipos
de componentes son seleccionados para la evaluacin. Ellos son evaluados por
las vulnerabilidades tecnolgicas dentro del proceso 6.
En resumen el proceso 5 consta de:
Identificar las clases de componentes clave: Un sistema de inters es
identificado por cada activo crtico. La topologa u otros tipos de mapas de
redes son usados para revisar en dnde los activos crticos viven y cmo
ellos son accesados. Las clases de componentes claves son seleccionados
en base a cmo el activo es accesado y usado. Toda la informacin es
almacenada en el apropiado Libro de Trabajo de Perfiles de Activos.
113
Identificar los componentes de la infraestructura a examinar: Para cada tipo

de componente, el equipo de anlisis selecciona componentes especficos
de esa clase a evaluar. El Departamento de IT debe proveer las direcciones
especficas de la red o ubicaciones fsicas y sern necesitadas para la
evaluacin. Todos los resultados son almacenados en el apropiado Libro de
Trabajo de Perfiles de Activos.
Propsito del proceso 5

Identificar clases de componentes de infraestructura a evaluar, seleccionar uno o
ms componentes de infraestructura de cada clase y seleccionar un objetivo y
herramientas especficas para evaluar vulnerabilidades.
Dentro de este proceso interviene el equipo de anlisis y el personal de IT.
Diagrama de flujo del proceso 5
Proceso 5:
Identificar
componentes clave
Entradas
de anlisis y personal clave de TI
Diagramas de la actual topologa
de red (incluyendo direcciones IP
para los componentes)
Amenazas
crticos
para
los
activos
Salidas
Clases de componentes clave
Componentes de infraestructura a
examinar
Objetivos seleccionados para
evaluar cada componente de
infraestructura.
Ilustracin 9: Flujo de trabajo Proceso 5: Identificacin de componentes claves
17
Fuente: OCTAVE
SM
17
114

Las tablas que se muestran a continuacin fueron realizadas por los autores.
Identificacin de Sistemas de Inters
NOMBRE
DESCRIPCION
Sistema de Comercializacin
(SIDECOM)
Este sistema se encarga de apoyar a toda la gestin

comercial que realiza la EEQ con sus clientes.
Sistema de Control y Adquisicin

de Datos (SCADA)
Es el sistema de adquisicin, almacenamiento y

procesamiento de datos en tiempo real que provee
informacin de todas las subestaciones que se
encuentran geogrficamente alejadas.
CISCO-IOS
Estos es el sistema operativo que funciona dentro de

cada uno de los switches inteligentes.
Tabla 25: Identificacin de Sistemas de inters
Identificacin de clases de componentes clave

Clases de Componentes
Razn para su seleccin
Servidores
Fueron seleccionados debido a que son importantes

dentro de la EEQ as como tambin
porque las
aplicaciones se ejecutan por medio de stos. Adems, a
travs de ellos se gestiona informacin primordial para la
empresa.
Componentes de red
Ya que por medio de stos componentes se transmite la

informacin de la EEQ, as como tambin se mantiene
en lnea el funcionamiento de varias aplicaciones como
SCADA, entre otras.
Componentes de seguridad
Estos componentes son muy importantes para asegurar

tanto lgica como fsicamente a los activos crticos de la
EEQ.
Tabla 26: Identificacin de clases de componentes claves
115
Rutas de Acceso y Clases de Componentes clave para SIDECOM

La siguiente ilustracin muestra las diferentes rutas de acceso hacia el sistema de
inters SIDECOM y los respectivos componentes clave.
Catalyst 3560
1
S YST
R PS
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
15 X 17X
31X 33X
47X
16 X
32X 34X
48X
18 X
SE RIES
PoE-48
48
1X
2X
STAT
DUPLX
S PEED
POE
MO DE
Componentes claves SIDECOM

Rutas de Acceso
Ilustracin 10: Rutas de Acceso y clases de componentes clave para el activo SIDECOM
18
Fuente: Diagrama de red proporcionado por la EEQ.
18
116
Rutas de Acceso y Clases de Componentes clave para SCADA

La ilustracin 11 nos muestra las rutas de acceso y componentes claves para el
sistema de inters SCADA.
Catalyst 3560
1
S YST
R PS
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
15 X 17X
31X 33X
47X
16 X
32X 34X
48X
18 X
SE RIES
PoE-48
48
1X
2X
STAT
DUPLX
S PEED
POE
MO DE
Componentes claves SCADA
Rutas de Acceso
Ilustracin 11: Rutas de Acceso y Clases de Componentes clave para el activo Sistema
19
SCADA
19
117
Rutas de Acceso y Clases de Componentes clave para CISCO IOS

Debido a que cada uno de los componentes claves de este sistema de inters
(routers, switchs) accede a sus respectivos IOS, es necesario especificar mediante
un grfico las rutas de acceso a los mismos lo cual conlleva prcticamente a toda
la red. Sin embargo para evitar ataques provenientes de la red externa, la EEQ
tiene restricciones de acceso a los servidores centrales que se manejan
internamente.
Catalyst 3560
1
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
15 X 17X
31X 33X
47X
2X
16 X
32X 34X
48X
STAT
DUPLX
S PEED
POE
18 X
SE RIES
PoE-48
48
1X
S YST
R PS
MO DE
Componentes claves CISCO-IOS
Rutas de Acceso
20
Ilustracin 12: Ruta de acceso y clases de componentes clave para CISCO-IOS
20
118
Identificacin de los Componentes a examinar

Luego del respectivo anlisis junto con el Equipo de trabajo se han se
seleccionado los siguientes componentes estructurales para su posterior
evaluacin. Cabe recalcar que las aplicaciones SIDECOM y SCADA no fueron
evaluadas a peticin del equipo de trabajo por no poseer un ambiente de pruebas
actualizado para ejecutar las herramientas de anlisis de vulnerabilidades. La
siguiente tabla muestra los componentes a ser evaluados:
Componente clave
Herramientas
Razn
Servidor
de
Respaldo GFI LANguard Network
SISTEMA SCADA
Security Scanner 9,5
Consultant Edition.
Servidor SCADA
Nessus-4.2.2-i386
Servidor
Citrix
7
NetTools 5.0
(SISTEMA SIDECOM)
Servidor de Correo
Longcat TCP
UDP Flooder v2 3
Servidor de Aplicaciones
MSAT 4.0
Servidor de Dominio
SWITCHES CISCO (EEQ)
Cisco Torch v0.4b
Las
herramientas
seleccionadas proveen de la
visualizacin
de
las
vulnerabilidades encontradas
as
como
tambin
recomendaciones para poder
minimizar el riesgo que
conllevan.
HTTP
De
acuerdo
a
las
investigaciones realizadas, se
observ que una de las
herramientas
seleccionadas
para este anlisis categoriza
119
Cisco SNMP Tool V 2.5
Routers CISCO (EEQ)
las
vulnerabilidades
de
acuerdo al impacto que puede
causar. Estos niveles son alto,
medio y bajo.
Las herramientas que han sido
seleccionadas para realizar el
presente
anlisis
e
identificacin
de
vulnerabilidades
han
sido
utilizadas y probadas por
empresas reconocidas a nivel
mundial.
Los scripts que se utilizaron
para analizar vulnerabilidades
de
routers CISCO no son
propietarios de la marca. Son
herramientas
que
son
utilizadas para el anlisis de
las
vulnerabilidades
ms
conocidas de estos sistemas.
Tabla 27: Identificacin de los componentes a examinar

2.3
EVALUACIN DE LOS RIESGOS

IMPACTO
2.3.1
PROCESO
6:
EVALUACIN
DE
INFORMTICOS Y SU
LOS
COMPONENTES
SELECCIONADOS
2.3.1.1 Descripcin del proceso 6
Dentro de este proceso se evaluar los componentes seleccionados para obtener
las vulnerabilidades tecnolgicas. Para esto se corrern las herramientas de
evaluacin indicadas anteriormente, se analizar los resultados obtenidos con las
mismas y finalmente se elaborar un resumen de las vulnerabilidades para cada
activo crtico. El resumen a obtener contendr los siguientes puntos:
120
Nmero de vulnerabilidades a arreglar inmediatamente (vulnerabilidades

de alta gravedad)
Nmero de vulnerabilidades a arreglar pronto (vulnerabilidades de
gravedad media)
Nmero de vulnerabilidades a arreglar despus (vulnerabilidades de baja
intensidad)
Cabe recalcar que las vulnerabilidades tecnolgicas son debilidades en los
sistemas que pueden directamente conducir a acciones no autorizadas. Las
vulnerabilidades tecnolgicas son a menudo agrupadas en tres categoras:
Vulnerabilidades de diseo: Es una vulnerabilidad inherente al diseo o
especificacin de hardware o software por el que incluso una
implementacin perfecta puede resultar en vulnerabilidad.
Vulnerabilidades de implementacin: Es una vulnerabilidad resultante a
partir de un error en la implementacin de un diseo satisfactorio de
software o hardware.
Vulnerabilidades de configuracin: Es una vulnerabilidad resultante a partir
de un error en la configuracin y administracin de un sistema o
componente.
Proceso 6:
Evaluacin de los
componentes
seleccionados
Entradas
Lista de vulnerabilidades tecnolgicas
La topologa de la red actual de la

EEQ.
Los componentes de la infraestructura

a examinar.
Salidas
Vulnerabilidades tecnolgicas
Resumen de las vulnerabilidades
tecnolgicas.
Ilustracin 13: Flujo de trabajo Proceso 6: Evaluacin de los componentes seleccionados
21
Fuente: OCTAVE
SM
21
121
2.3.1.2 Desarrollo del Proceso 6

La siguiente tabla resume los niveles de severidad para las vulnerabilidades y el
tiempo mximo en el que podrn ser arregladas.
2.3.1.2.1 Definicin de niveles de severidad para las vulnerabilidades
Nivel de severidad de la vulnerabilidad
Definicin
Nivel Alto
Este nivel determina que el componente

afectado
deber
ser
arreglado
o
reemplazado en menos de un mes.
Nivel Medio
En este nivel el componente afectado

deber ser arreglado o reemplazado en
menos de dos meses.
Nivel Bajo
En este nivel el componente podr ser

reparado despus de cierto tiempo, sin que
esto conlleve alguna prdida para la EEQ.
Tabla 28: Niveles de severidad para las vulnerabilidades
2.3.1.2.2 Resumen de vulnerabilidades de los componentes examinados

A continuacin se presenta una tabla que contiene todos los resultados de las
evaluaciones respectivas:
Componentes
Herramientas
Resumen
vulnerabilidades
Servidor de Respaldo
SISTEMA SCADA
GFI LANguard Network

Security Scanner 9.5
Consultant Edition
NetTools 5.0
Nessus-4.2.2-i386
Longcat TCP HTTP
UDP Flooder v2 3
Nivel Alto
Nivel Medio
Nivel Bajo
5
0
7
Servidor SCADA

Consultant Edition
NetTools 5.0
Nivel Alto
Nivel Medio
Nivel Bajo
5
0
11
122
Nessus-4.2.2-i386
Longcat TCP HTTP
UDP Flooder v2 3
Servidor Citrix 7
(SISTEMA SIDECOM)

Nivel Alto
Nivel Medio
Nivel Bajo
5
0
8
Servidor de Correo

Nivel Alto
Nivel Medio
Consultant Edition
Nivel Bajo
NetTools 5.0
Nessus-4.2.2-i386
Longcat TCP HTTP
UDP Flooder v2 3
1
0
6

Consultant Edition
NetTools 5.0
Nessus-4.2.2-i386
Longcat TCP HTTP
UDP Flooder v2 3
Nivel Alto
Nivel Medio
Nivel Bajo
3
1
8
Servidor de Dominio

Consultant Edition
NetTools 5.0
Nessus-4.2.2-i386
Longcat TCP HTTP
UDP Flooder v2 3
Nivel Alto
Nivel Medio
Nivel Bajo
4
1
7
SWITCH CISCO 2950
Cisco Torch v0.4b
Nivel Alto
Nivel Medio
Nivel Bajo
0
0
0
SWITCH CISCO 3560
Cisco Torch v0.4b
Nivel Alto
Nivel Medio
Nivel Bajo
0
0
0
Router CISCO 2600
Cisco Torch v0.4b
Nivel Alto
Nivel Medio
Nivel Bajo
0
0
0
Router CISCO 820
Cisco Torch v0.4b
Nivel Alto
Nivel Medio
Nivel Bajo
0
0
0
123
Router CISCO SB 101
Cisco Torch v0.4b
Nivel Alto
Nivel Medio
Nivel Bajo
Tabla 29: Resumen de vulnerabilidades identificadas en los componentes

0
0
0
124
CAPITULO
3:
CONTINGENCIA
QUITO.
DESARROLLO
DEL
PARA LA EMPRESA
PLAN
DE
ELCTRICA
3.1 LINEAMIENTOS GENERALES

Este captulo comprende la conduccin del anlisis de riesgos, detallado en el
proceso 7 y necesario para la elaboracin del plan de contingencia, el desarrollo
de las estrategias de proteccin as como tambin el plan de contingencia, para lo
cual, segn lo escogido en el captulo 1 de este proyecto de titulacin, se utilizar
el proceso 8 de la metodologa OCTAVE para realizar el mismo. Los dos procesos
mencionados anteriormente se encuentran dentro de la fase 3: Planificacin de las
Medidas y Reduccin de los Riesgos.
3.1.1
FASE 3: PLANIFICACIN DE LAS MEDIDAS Y REDUCCIN DE LOS
RIESGOS
3.1.1.1 Proceso 7: Conducir el Anlisis de Riesgos

Dentro de este proceso se realizar una revisin de la informacin obtenida hasta
el momento a travs de los procesos 1 al 6. Posteriormente, se crearn los
respectivos perfiles de riesgo para cada activo crtico, es decir, se aadir el
impacto que causan las amenazas sobre los activos crticos. Para esto tambin se
realizar una medicin cualitativa del impacto sobre la organizacin para todas las
posibles amenazas que se puedan presentar.
El proceso 7 consiste de las siguientes actividades:
125
Identificacin del impacto de las amenazas sobre los activos crticos: Para
cada activo crtico se definir el impacto actual causado por las amenazas a
la organizacin.
Creacin de criterios de evaluacin de riesgos: Luego de los impactos
identificados se definirn los tres niveles de evaluacin (alto, medio, bajo)
para mltiples aspectos.
Evaluar el impacto de las amenazas sobre los activos crticos: De acuerdo a
los criterios de amenaza definidos anteriormente se los ir aadiendo a
cada rama del rbol de amenazas elaborado en el proceso 4.
Diagrama de flujo del proceso 7

Proceso 7:
Conducir el anlisis
de riesgos
Entradas
Salidas

de anlisis y el personal clave
Impacto de las amenazas

sobre los actives crticos
Activos crticos
para los activos crticos
Criterios de evaluacin de
riesgos
Valores de impacto
Amenazas para los activos

crticos
reas de inters para los activos

crticos
Ilustracin 14: Flujo de trabajo Proceso 7: Conduccin del anlisis de riesgo22
22
Fuente: OCTAVE
SM
126
Identificacin del impacto de las amenazas sobre los activos crticos

Dentro de esta tarea se definirn descripciones del impacto para cada una de los
tipos de salidas que se tienen dentro de los grficos de perfiles de amenaza
elaborados dentro del proceso 4. Las posibles salidas a las que se hace referencia
son: revelacin, modificacin, prdida / destruccin, interrupcin. En las tablas
que se indican a continuacin, se presentan las descripciones de impacto para
cada una de las salidas. Cabe recalcar que cada una de las tablas que se
presentan corresponde a cada uno de los activos crticos.
Las tablas que se muestran a continuacin fueron realizadas por los autores.
Descripciones del impacto para el activo crtico: SISTEMA SIDECOM
Salidas
Descripcin del Impacto

La reputacin de la organizacin podra verse
afectada ya que la informacin de los clientes e
informacin sensible de la empresa podra ser
revelada y esto no sera conveniente para la EEQ.
Por ejemplo informacin de los clientes, deudas de
los clientes para con la EEQ, entre otras).
Personal que no se encuentre autorizado puede
tener acceso a informacin a la cual no se
encuentra autorizado de conocer.
Revelacin
El no tener una correcta administracin de los

perfiles de usuario puede ocasionar que personas
no autorizadas conozcan informacin que no es
concerniente a su trabajo.
La credibilidad de la empresa para con el cliente
puede verse afectada, y adems puede disminuir,
en el caso de que conozca que su informacin ha
sido revelada a otras personas. Por ejemplo
informacin de los clientes, deudas de los clientes
para con la EEQ, entre otras).
Valor
Medio
Alto
Alto
Medio
127
Modificacin
Los clientes pueden pensar que su informacin no

se encuentra segura dentro de la EEQ, si sta
llegara a ser modificada.
Medio
Alguna falla, ya sea en el hardware o software de

este sistema puede ocasionar que la informacin
que ste contiene se modifique o se pierda.
Alto
Modificaciones incorrectas sobre la informacin,

en cualquiera de sus mbitos, puede dar como
resultado una mala atencin al cliente en lo
referente a la comercializacin que la empresa
realiza en su da a da.
La reputacin de la organizacin podra verse
afectada al no poder atender de manera eficiente a
los clientes que se dirigen a la EEQ a solicitar un
determinado servicio. Por ejemplo, un nuevo
medidor de energa elctrica. Esto para los casos
en los que el Sistema SIDECOM se encuentre no
disponible, destruido por algn motivo o perdido.
La confianza del cliente tambin podra verse
afectada al pensar que no implementan
mecanismos de seguridad para resguardar los
equipos
tecnolgicos
que
almacenan
la
informacin de la empresa.
Prdida,
Destruccin
Financieramente, la empresa tambin puede verse

afectada ya que sin este sistema sera muy difcil
realizar las tareas de comercializacin que se lo
hace a travs de este sistema en estos momentos.
La informacin del SIDECOM puede ser difcil de
reconstruir inmediatamente. El proceso de
verificacin de la informacin anterior y la actual
para revisar la informacin perdida o daada, y su
respectiva actualizacin gastara todo el tiempo
disponible as tambin como los recursos.
Alto
Alto
Medio
Alto
Alto
128
La integridad fsica de los componentes con los

que cuenta este activo se ven amenazados debido
a que al ser esta una institucin pblica, est
sujeta a posibles amenazas de tipo terrorista o
vandlica.
La productividad de los empleados se vera
afectada ya que no podran realizar muchas de las
tareas que tienen al momento de comercializar un
producto de la EEQ, entre otros.
La empresa podra incurrir en multas graves si no
puede presentar informacin necesaria a las
entidades de control.
Si este sistema estuviera inoperativo, la
organizacin se vera afectada en el aspecto
financiero ya que no podra vender sus productos
y servicios normalmente.
La EEQ podra verse afectada financieramente si
no pudiera realizar sus tareas diarias de gestin de
comercializacin a travs de este sistema.
Interrupcin
La productividad de la empresa se ve afectada en

el caso de variaciones de voltaje, interrupciones
del suministro elctrico, inundaciones, terremotos
o cualquier otro desastre natural. Esto puede
ocasionar la falla total o parcial de los servicios
que este activo brinda a la empresa.
Los clientes se veran insatisfechos al no recibir un
servicio de calidad. Por ejemplo, cuando los
clientes realizan la solicitud de un medidor de
energa elctrica, cancelar deudas pendientes,
realizar la facturacin de los servicios que presta la
EEQ, entre otras.
Los empleados de la organizacin no podran
entregar un servicio eficiente a los clientes, los
cuales se veran insatisfechos si el servicio que
presta el SIDECOM no puede ser proporcionado
de forma correcta.
Alto
Alto
Alto
Alto
Alto
Medio - Alto
Medio
Alto
129
Tabla 30: Resumen de impactos para el activo crtico: Sistema SIDECOM
Descripciones del impacto para el activo crtico: INFRAESTRUCTURA DE

RED Y CABLEADO
Salidas
Revelacin

La informacin de las configuraciones de los
equipos que forman parte de la infraestructura de
red son conocidas por personas no autorizadas.
Habra un desperdicio de recursos al momento de
realizar reparaciones a este activo. Esto, en el
caso de que personas no autorizadas realicen
modificaciones a las configuraciones sobre esta
infraestructura.
Modificacin
Personas no autorizadas han tenido acceso fsico

al lugar donde reside esta infraestructura,
pudiendo causar modificaciones no deseadas
sobre la misma.
Las
configuraciones
de
los
equipos
correspondientes a la infraestructura de red son
afectados ya que personas no autorizadas han
realizado configuraciones sobre los mismos.
Modificaciones realizadas sin un anlisis y una
autorizacin previas puede conducir a una falta del
servicio que presta este activo crtico, dejando
inoperativa toda la red o parte de ella.
La prdida o dao de alguno de los componentes
de esta infraestructura puede dar como resultado
un dao grave y colapso del servicio que presta
esta red a los usuarios.
Valor
Alto
Alto
Alto
Alto
Alto
Medio - Alto
130
Prdida,
Destruccin
La productividad de la empresa se ve afectada en

el caso de variaciones de voltaje, interrupciones
del suministro elctrico, inundaciones, terremotos
o cualquier otro desastre natural que afecten a la
infraestructura de red. Esto puede ocasionar la
falla total o parcial de los servicios que este activo
brinda a la empresa.
que cuenta este activo se ven amenazados debido
a que al ser esta una institucin pblica, est
sujeta a posibles amenazas de tipo terrorista o
vandlica.
La reparacin o compra de nuevos equipos que se
hayan daado por cualquier motivo conlleva
gastos que la EEQ debera realizar para poder
reemplazarlo y restituir el servicio.
Interrupcin
Si el servicio se interrumpe habra una paralizacin

de las tareas que los usuarios realizan a travs de
este activo.
Alto
Medio
Medio - Alto
Medio - Alto
Tabla 31: Resumen de impactos para el activo crtico: Infraestructura de red y cableado
Descripciones del impacto para el Activo Crtico: SERVIDORES

La siguiente tabla contiene la informacin relevante del activo crtico seleccionado.
Salidas
Revelacin

Personal no autorizado podra tener acceso a la
informacin correspondiente a los passwords de
los servidores, con lo que se podra tener una fuga
de la informacin que se maneja en los mismos
ocasionando una mala reputacin a la empresa si
esa informacin llegara a ser conocida por
personas externas a la empresa.
Valor
Alto
131
Al tener una configuracin accesible ya sea en la

seguridad fsica donde se encuentra este activo o
en la seguridad lgica para ingresar a los
componentes que se manejan dentro del mismo,
se podra tener revelacin de informacin,
provocando una disminucin de confianza con
respecto a la seguridad de los servicios que
brinda este activo a toda la empresa..
Personal no autorizado puede tener acceso a
informacin sensible que se encuentre disponible
en este activo (datos del personal, cliente, mails,
etc.) la cual pueda ser utilizada de forma
inapropiada, provocando una baja credibilidad y
confianza hacia la EEQ.
Disminucin de la confianza entre el personal de la
EEQ si usuarios no autorizados modificaran de
forma deliberada la informacin que se encuentra
almacenada dentro de los servidores.
Modificacin
La productividad de la EEQ podra verse

seriamente afectada si en el caso de existir una
fcil configuracin de la seguridad fsica para el
acceso a los componentes de este activo, estos
fueran modificados deliberada o accidentalmente
lo cual podra ocasionar una falla en los servicios
que estos brindan a la EEQ.
El personal podra verse afectado directamente en
caso de existir modificaciones deliberadas sobre la
informacin de la cual son responsables.
La reputacin de la empresa se vera afectada
gravemente en el caso de que la informacin
sensible que se maneja en este activo se perdiera
definitivamente de sus registros. Por ejemplo datos
con relacin a los clientes de la empresa.
Medio
Alto
Alto
Alto
Alto
Alto
132
Prdida,
Destruccin
La productividad de la empresa se vera afectada

en el caso de que se diera una prdida total o
parcial de los componentes con los que cuenta
este activo debido a defectos o daos que se
puedan presentar en los mismos, lo cual
ocasionara una suspensin de los servicios que
este activo brinda a toda la empresa.
La reparacin o compra de nuevos equipos que se
hayan daado por cualquier motivo conlleva
gastos que la EEQ debera realizar para poder
reemplazarlo y restituir el servicio.
que cuenta este activo se podran ver amenazados
debido a que al ser esta una institucin pblica,
est sujeta a posibles amenazas de tipo terrorista
o vandlica.
La reputacin y confianza de la empresa hacia los
clientes podra verse afectada en el caso de darse
una interrupcin de los servicios que se brinda
desde este activo a ellos. Por ejemplo falta de
disponibilidad de la pgina web de la EEQ,
suspensin del fluido elctrico en un sector
determinado, etc.
Interrupcin
La productividad de la empresa se vera afectada

en el caso de darse apagones, inundaciones,
terremotos o cualquier otro desastre natural. Esto
puede ocasionar la falla total o parcial de los
servicios que este activo brinda a la empresa.
Cualquier
desastre
natural,
terrorismo
o
vandalismo puede ocasionar la prdida parcial o
total de los componentes con los que cuenta este
activo.
Medio - Alto
Medio - Alto
Medio
Medio
Medio - Alto
Medio - Alto
133
La confianza de la EEQ se vera afectada si

informacin sensible que se maneja en este activo
llegara a perderse sin poseer respaldos de la
misma, el tiempo que conllevara en la
restauracin de dicha informacin ocasionara una
paralizacin o interrupcin a las actividades
normales de la empresa.
La falla en cualquier sus componentes, provocara
una significativa interrupcin a los principales
servicios que se brindan a travs de este activo,
sea esto producido por fallas en el hardware o
fallas propias del sistema.
Alto
Alto
Tabla 32: Resumen de impactos para el activo crtico: Servidores
Descripciones del Impacto para el Activo Crtico: SISTEMA SCADA

Salidas
Revelacin

Disminucin en la confianza entre el personal que
labora en la EEQ, esto podra darse debido a que
usuarios no autorizado podra tener acceso a
informacin sobre datos sensibles que se
administran dentro de este sistema.
La confianza interna podra verse afectada en el
caso de que personal no autorizado modificara de
forma deliberada la informacin que se encuentra
almacenada dentro de este sistema.
Modificacin
Las actividades y servicios que brinda la EEQ

podran verse gravemente afectados en el caso de
que
personal
no
autorizado
realizara
modificaciones en la informacin o configuraciones
lgicas de este sistema.
En caso de graves modificaciones a este activo, la
EEQ podra incurrir en gastos econmicos para el
pronto restablecimiento de los servicios que este
activo brinda.
Valor
Alto
Alto
Alto
Alto
134
Prdida,
Destruccin
Fallas en los equipos que alojan este sistema

pueden provocar la prdida o modificacin de los
datos, afectando la integridad de la informacin
que aqu se maneja.
La reputacin de la empresa podra verse afectada
en el caso de una prdida total o parcial de los
servicios que este activo brinda.
Financieramente, la empresa tambin puede verse
afectada, ya que con la prdida o destruccin de
este sistema sera muy difcil el realizar el control a
las subestaciones a las que este sistema brinda
sus servicios de control remoto.
La productividad de la empresa puede verse
gravemente afectada debido a incidentes como
apagones, inundaciones, terremotos o cualquier
otro desastre natural, los cuales pueden ocasionar
que no se pueda acceder a los servicios que este
activo brinda a la empresa.
Interrupcin
La reputacin de la EEQ podra verse afectada en

el caso de que los servicios que se brinda a travs
de este activo sufrieran alguna interrupcin que
pusiera en riesgo la normal actividad de los
mismos.
Financieramente la empresa tambin podra verse
afectada debido a la falta de disponibilidad de este
activo debido a la gran importancia que el mismo
representa para la continuidad del normal
funcionamiento de la empresa.
Tabla 33: Resumen de impactos para el activo crtico: Sistema SCADA
Alto
Medio
Alto
Medio - Alto
Medio
Medio
135
Descripcin del Impacto para el Activo Crtico: ESTACIONES DE TRABAJO Y

EQUIPOS PORTTILES DE LA EEQ.
Salida

La confiabilidad interna entre el personal que
labora en la empresa se podra ver seriamente
afectada en el caso que usuarios ajenos o
propios de la empresa pudieran acceder a
informacin disponible en la red que puede
ser utilizada de una mala forma.
Valor
Alto
Revelacin
El personal que labora en la empresa
abandona sus computadores para ausentarse
momentneamente mostrando informacin
confidencial. Esto puede ocasionar que
personas ajenas a la institucin tengan acceso
y vean esta informacin confidencial, la cual
puede ser usada de una forma inapropiada.
Modificacin
Podra darse una prdida de tiempo entre las

actividades y tareas del personal que labora
en la empresa si la informacin o software
especializado
que
manejan
fuesen
modificados deliberadamente por usuarios no
autorizados.
Informacin compartida en la red podra ser
modificada por usuarios no autorizados.
Prdida, Destruccin
Las normales actividades del personal que

labora en la empresa se veran afectados en el
caso de que se dieran daos o fallas en el
hardware (disco duro, memoria, placa base,
etc. puede causar la prdida y destruccin de
la informacin y software instalado que existan
en este activo.
Financieramente, la empresa se vera afectada
en el caso de producirse un desastre natural
en el que se podra dar la prdida parcial o
total de estos equipos.
Alto
Medio
Medio
Alto
Alto
136
Interrupcin
En el caso de producirse eventos como

desastres naturales, falla en el sistema, falla
en el hardware o software, etc, se presentara
una interrupcin considerable que afectara el
Alto
Tabla 34: Resumen de impactos para el activo crtico: Estaciones de trabajo de la EEQ
Creacin de los criterios de evaluacin

Despus de las descripciones de impacto realizadas anteriormente, para cada uno
de los tipos de amenaza de los rboles de perfiles de amenaza, se deben
establecer criterios para evaluar dichos impactos. Para esto, se han tomado en
cuenta las siguientes reas propuestas por la metodologa para determinar si un
impacto es alto, medio o bajo:
Reputacin / confianza del usuario
Productividad
Multas / penalidades legales
Finanzas
137
rea de Impacto
Reputacin
confianza
usuario
Productividad
/
del
Alto
Medio
Bajo
Prdida de la confianza por parte de

ms del 40% del personal de la EEQ
que usa los sistemas SCADA y
SIDECOM y la informacin que
estas aplicaciones les proporcionan.
Prdida de la confianza de ms del
40% de los clientes externos a los
cuales
se
les
proporciona
informacin. (Por ejemplo: errores
en los valores de las facturas
entregadas a los clientes).
Prdida total de la confianza de los
usuarios ya que existen muchos
casos de violaciones a la seguridad
de los sistemas que ellos manejan y
por
lo
tanto
revelacin
de
informacin sensible al pblico en
general o a personal de la empresa.
Prdida de la confianza por parte de

ms del 10% y menos del 40% del
personal de la EEQ que usa los
sistemas SCADA y SIDECOM y la
informacin que estas aplicaciones
les proporcionan.
Prdida de la confianza de ms del
10% y menos del 40% de los
clientes externos a los cuales se les
proporciona
informacin.
(Por
ejemplo: errores en los valores de
las facturas entregadas a los
clientes)
Prdida parcial de la confianza de
los usuarios ya que existen varios
casos de violaciones a la seguridad
de los sistemas que ellos manejan y
por
lo
tanto
revelacin
de
informacin sensible al pblico en
general o a personal de la empresa.
Prdida de la confianza por

parte de menos del 10% del
personal de la EEQ que usa
los sistemas SCADA y
SIDECOM y la informacin
que estas aplicaciones les
proporcionan.
Prdida de la confianza de
menos del 10% de los
clientes externos a los
cuales se les proporciona
informacin. (Por ejemplo:
errores en los valores de
las facturas entregadas a
los clientes).
Prdida casi nula de la
confianza de los usuarios
ya que han existido pocos
casos de violaciones a la
seguridad de los sistemas
que ellos manejan.
El
activo
se
encuentra
completamente
destruido
e
inutilizable.
El activo se encuentra no disponible
por fallas tcnicas, robos, daos,
siniestros, manipulacin incorrecta,
entre otros.
Informacin importante se ha
El activo se encuentra parcialmente

destruido o inutilizable.
Cualquiera de los componentes se
encuentra parcialmente inutilizable o
destruido.
El activo se encuentra no disponible
por varias horas.
El personal de la EEQ no puede
No existen daos en los

activos crticos, o el dao
presentado no implica una
inversin econmica.
El activo se encuentra no
disponible
por
pocos
minutos.
El personal de la EEQ tiene
138
perdido por motivos de encontrarse

no disponible el activo.
El personal de la EEQ no puede
realizar
sus
tareas
diarias
normalmente ya que los activos no
se encuentran disponibles.
La EEQ no puede prestar sus
servicios con normalidad a los
clientes por no disponibilidad en los
servicios proporcionados por sus
activos
principales
como
los
servidores, infraestructura de red,
aplicaciones SIDECOM y SCADA,
etc.
La informacin sensible como la
contenida en las aplicaciones
SIDECOM y SCADA se ha perdido.
Prdida de recursos al momento de
recuperar el activo que se ha
perdido. (Por ejemplo, el tiempo que
debe invertir el personal al intentar
recuperar la informacin que se ha
perdido).
realizar
sus
tareas
diarias
normalmente ya que los activos se
encuentran no disponibles por
algunas horas.
La EEQ no puede prestar sus
servicios con normalidad a los
clientes por no disponibilidad de
algunas horas de los servicios
proporcionados por sus activos
principales como los servidores,
infraestructura de red, aplicaciones
SIDECOM y SCADA, etc.
La informacin sensible como la
contenida en las aplicaciones
SIDECOM y SCADA se ha perdido
parcialmente pero puede
ser
recuperada.
Prdida parcial de recursos al
momento de recuperar el activo que
se ha encuentra parcialmente
daado o inutilizable. (Por ejemplo,
el tiempo que debe invertir el
personal al intentar recuperar la
informacin que se ha perdido).
que
esperar
algunos
minutos para continuar con
la ejecucin de sus tareas
diarias.
La EEQ debe hacer esperar
a sus clientes unos cuantos
minutos
para
poderle
prestar
sus
servicios
normalmente.
Existen prdidas nulas de
informacin sensible.
Multas
por
valores
altos
ocasionadas por no poder presentar
informacin a las entidades de
control. Esto debido a que los
activos crticos y la informacin que
ellos almacenan se encuentran
daados.
Multas por valores medianos

ocasionadas por no poder presentar
informacin a las entidades de
control. Esto debido a que los
activos crticos y la informacin que
ellos almacenan se encuentran
parcialmente daados.
No existen multas o las hay

por valores muy pequeos
ocasionados por no poder
presentar
informacin
requerida por las entidades
de control. Esto debido a
que los activos crticos y la
informacin
que
ellos
Multas
penalidades
legales
139
almacenan
puede
encontrarse no disponible
en ese momento.
Finanzas
Se debe realizar una inversin

significativa para recuperarse de los
daos causados por la prdida del
activo.
Se debe realizar una inversin

mediana para recuperar a los
activos crticos de la empresa por
los daos causados.
Tabla 35: Criterios de evaluacin de los componentes seleccionados
Se
requiere
de
una
inversin muy baja o nula
de dinero para recuperar a
los activos crticos.
140
Evaluacin del impacto de las amenazas sobre los activos crticos
Perfiles de Riesgo para el activo crtico: SISTEMA SIDECOM

ACTIVO
ACCESO
ACTOR
MOTIVO
RESULTADO
Revelacin
accidental
Modificacin
Prdida, destruccin
IMPACTO
Alto
Medio - Alto
Alto
Interrupcin
Medio - Alto
Revelacin
Alto
Modificacin
Alto
Prdida, destruccin
Alto
Interrupcin
Alto
Revelacin
Alto
Dentro
deliberado
SIDECOM
RED
accidental
Modificacin
Prdida, destruccin
Medio - Alto
Alto
Interrupcin
Medio - Alto
Revelacin
Alto
Modificacin
Alto
Prdida, destruccin
Alto
Interrupcin
Alto
Fuera
deliberado
Ilustracin 21: Perfil de riesgo Actores humanos que usan el acceso de red para el Activo
Crtico: SISTEMA SIDECOM
141
ACTIVO
ACCESO
ACTOR
MOTIVO
RESULTADO
Revelacin
accidental
IMPACTO
Medio
Modificacin
Medio - Alto
Prdida, destruccin
Medio - Alto
Interrupcin
Medio - Alto
Revelacin
Alto
Modificacin
Alto
Prdida, destruccin
Alto
Interrupcin
Alto
Revelacin
Medio
Dentro
deliberado
SIDECOM
FISICO
accidental
Modificacin
Medio - Alto
Prdida, destruccin
Medio - Alto
Interrupcin
Alto
Revelacin
Alto
Modificacin
Alto
Prdida, destruccin
Alto
Interrupcin
Alto
Fuera
deliberado
Ilustracin 22: Perfil de riesgo Actores humanos que usan el acceso de fsico para el
Activo Crtico: SISTEMA SIDECOM
142
ACTIVO
ACTOR
RESULTADO
IMPACTO
Revelacin
Alto
Falta de perfiles de
Modificacin
Alto
usuario
Prdida, destruccin
Alto
Interrupcin
Alto
Revelacin
Modificacin
Medio Alto
Prdida, destruccin
Alto
Interrupcin
Alto
Revelacin
SIDECOM
Modificacin
Alto
Prdida, destruccin
Interrupcin
Alto
Revelacin
Cadas en el sistema
Modificacin
Prdida, destruccin
Interrupcin
Alto
Revelacin
Modificacin
Alto
Prdida, destruccin
Alto
Interrupcin
Alto
Ilustracin 23: Perfil de riesgo "Problemas del sistema" para el Activo Crtico: SISTEMA
SIDECOM
143
Otros Problemas
ACTIVOS
ACTOR
RESULTADO
IMPACTO
Revelacin
Problemas elctricos
Modificacin
Prdida, destruccin
Alto
Interrupcin
Alto
Revelacin
Desastres Naturales
Modificacin
(Eje. Terremotos,
Prdida, destruccin
Interrupcin
Medio - Alto
Alto
Medio - Alto
SIDECOM
Revelacin
Problemas en las
Modificacin
telecomunicaciones
Prdida, destruccin
Interrupcin
Medio - Alto
Revelacin
Modificacin
Prdida, destruccin
Alto
Interrupcin
Alto
Ilustracin 24: Perfil de riesgo "Otros Problemas" para el Activo Crtico: SISTEMA SIDECOM
144
Perfiles de Riesgo para el activo crtico: INFRAESTRUCTURA DE RED Y

CABLEADO
ACTIVO
ACCESO
ACTOR
MOTIVO
RESULTADO
IMPACTO
Revelacin
accidental
Modificacin
Bajo
Medio
Prdida, destruccin
Interrupcin
Medio - Alto
Revelacin
Medio - Alto
Modificacin
Medio - Alto
Dentro
deliberado
Prdida, destruccin
INFRAESTRUCTURA RED
DE RED Y
CABLEADO
accidental
Interrupcin
Alto
Revelacin
Modificacin
Medio
Medio
Prdida, destruccin
Interrupcin
Medio - Alto
Revelacin
Alto
Modificacin
Alto
Fuera
deliberado
Prdida, destruccin
Interrupcin
Ilustracin 25: Perfil de riesgo "Actores humanos que usan el acceso de red" para el Activo
Crtico: INFRAESTRUCTURA DE RED Y CABLEADO
Alto
145
ACTIVO
ACCESO
ACTOR
MOTIVO
RESULTADO
IMPACTO
Revelacin
accidental
Bajo
Modificacin
Medio Alto
Prdida, destruccin
Medio Alto
Interrupcin
Medio Alto
Revelacin
Medio - Alto
Dentro
deliberado
Modificacin
Alto
Prdida, destruccin
Alto
Interrupcin
Alto
Revelacin
Medio
INFRAESTRUCTURA FISICO
DE RED Y
CABLEADO
accidental
Modificacin
Medio Alto
Prdida, destruccin
Alto
Interrupcin
Medio - Alto
Revelacin
Alto
Modificacin
Alto
Prdida, destruccin
Alto
Interrupcin
Alto
Fuera
deliberado
Ilustracin 26: Perfil de riesgo "Actores humanos que usan el acceso de fsico" para el
Activo Crtico: INFRAESTRUCTURA DE RED Y CABLEADO
146
Otros problemas
ACTIVO
ACTOR
RESULTADO
IMPACTO
Revelacin
Problemas elctricos
Modificacin
Prdida, destruccin
Interrupcin
Alto
Medio - Alto
Revelacin
INFRAESTRUCTURA
DE RED Y
CABLEADO
Desastres naturales
Modificacin
(Eje. Terremotos,
Prdida, destruccin
Alto
Interrupcin
Alto
Revelacin
Problemas en las
Modificacin
telecomunicaciones
Prdida, destruccin
Interrupcin
Medio - Alto
Revelacin
Modificacin
Prdida, destruccin
Alto
Interrupcin
Alto

147
Perfiles de Riesgo para el activo crtico: SERVIDORES

Actores humanos que usan el acceso de Red
ACTIVO
ACCESO
ACTOR
MOTIVO
Accidental
RESULTADO
IMPACTO
Revelacin
Modificacin
Prdida/Destruccin
Interrupcin
Alto
Alto
Revelacin
Modificacin
Alto
Alto
Prdida/Destruccin
Interrupcin
Alto
Alto
Dentro
Deliberado
SERVIDORES RED
Accidental
Revelacin
Modificacin
Prdida/Destruccin
Interrupcin
Alto
Alto
Alto
Revelacin
Modificacin
Prdida/Destruccin
Interrupcin
Alto
Alto
Alto
Alto
Fuera
Deliberado
Crtico: SERVIDORES
148

ACTIVO
ACCESO
ACTOR
MOTIVO
RESULTADO
IMPACTO
Revelacin
accidental
Modificacin
Alto
Prdida, destruccin
Alto
Interrupcin
Alto
Revelacin
Alto
Dentro
Alto
Prdida, destruccin
Alto
Interrupcin
Alto
FISICO
SERVIDORES
Revelacin
accidental
Modificacin
Prdida, destruccin
Interrupcin
Alto
Revelacin
Alto
Fuera
Prdida, destruccin
Alto
Interrupcin
Alto
Ilustracin 29: Perfil de riesgo "Actores humanos que usan el acceso fsico para el Activo
Crtico: SERVIDORES
149
Problemas del Sistema

ACTIVO
ACTOR
RESULTADO
IMPACTO
Revelacin
Modificacin
Prdida, destruccin
Interrupcin
Medio-Alto
Alto
Revelacin
Modificacin
Prdida, destruccin
Interrupcin
Alto
Medio-Alto
Alto
Revelacin
SERVIDORES
Cadas del Sistema
Modificacin
Prdida, destruccin
Bajo
Medio-Alto
Interrupcin
Alto
Revelacin
Alto
Modificacin
Alto
Prdida, destruccin
Interrupcin
Medio-Alto
Alto
Ilustracin 30: Perfil de riesgo "Problemas del sistema" para el Activo Crtico: SERVIDORES
150
Otros Problemas
ACTIVOS
ACTOR
RESULTADO
IMPACTO
Revelacin
Modificacin
de poder
Prdida, destruccin
Bajo
Interrupcin
Bajo
Revelacin
Modificacin
mantenimiento
Prdida, destruccin
Medio-Alto
especializado
Interrupcin
Medio-Alto
Desastres naturales
Revelacin
Modificacin
(Eje. Terremotos,
Prdida, destruccin
Interrupcin
Alto
Alto
Revelacin
Bajo
SERVIDORES
Facilidad en la
Modificacin
configuracin
Prdida, destruccin
Alto
Medio-Alto
Interrupcin
Revelacin
Modificacin
Medio-Alto
hardware y software
Prdida, destruccin
Medio-Alto
Interrupcin
Alto
Revelacin
Modificacin
Prdida, destruccin
Alto
Interrupcin
Alto
Ilustracin 31: Perfil de riesgo "Otros Problemas" para el Activo Crtico: SERVIDORES
151
Perfiles de Riesgo para el activo crtico: SISTEMAS SCADA

ACTIVO
ACCESO
ACTOR
MOTIVO
Accidental
RESULTADO
IMPACTO
Revelacin
Modificacin
Prdida/Destruccin
Interrupcin
Alto
Alto
Alto
Medio-Alto
Dentro
Deliberado
SCADA
Revelacin
Modificacin
Alto
Alto
Prdida/Destruccin
Interrupcin
Alto
Medio-Alto
Revelacin
Modificacin
Prdida/Destruccin
Interrupcin
Alto
Alto
Alto
Medio-Alto
Revelacin
Modificacin
Prdida/Destruccin
Interrupcin
Alto
Alto
Alto
Alto
RED
Accidental
Fuera
Deliberado
Crtico: SISTEMA SCADA
152

ACTIVO
ACCESO
ACTOR
MOTIVO
accidental
RESULTADO
IMPACTO
Revelacin
Alto
Modificacin
Alto
Prdida, destruccin
Alto
Interrupcin
Medio-Alto
Revelacin
Alto
Modificacin
Alto
Prdida, destruccin
Alto
Interrupcin
Alto
Dentro
deliberado
FISICO
SCADA
Revelacin
accidental
Modificacin
Prdida, destruccin
Interrupcin
Alto
Revelacin
Alto
Fuera
deliberado
Modificacin
Prdida, destruccin
Alto
Interrupcin
Alto
Ilustracin 33: Perfil de riesgo "Actores humanos que usan el acceso de fsico" para el
Activo Crtico: SISTEMA SCADA
153

ACTIVO
ACTOR
RESULTADO
IMPACTO
Revelacin
Modificacin
Prdida, destruccin
Alto
Interrupcin
Alto
Revelacin
Modificacin
Prdida, destruccin
Alto
Interrupcin
Alto
Revelacin
SCADA
Cadas del Sistema
Modificacin
Prdida, destruccin
Interrupcin
Alto
Medio-Alto
Revelacin
Modificacin
Prdida, destruccin
Interrupcin
Medio-Alto
Ilustracin 34: Perfil de riesgo "Problemas del Sistema" para el Activo Crtico: SISTEMA
SCADA
154
Otros Problemas
ACTIVOS
ACTOR
RESULTADO
IMPACTO
Revelacin
de energa
Modificacin
Prdida, destruccin
Medio
Interrupcin
Medio-Alto
Revelacin
Alto
Modificacin
Medio-Alto
mantenimiento
Prdida, destruccin
especializado
Interrupcin
Desastres naturales
Revelacin
Modificacin
(Eje. Terremotos, diluvios,
Prdida, destruccin
fuego, etc.)
Interrupcin
Medio-Alto
Revelacin
Bajo
Facilidad en la
Modificacin
Alto
configuracin
Prdida, destruccin
Medio
Medio-Alto
Alto
Interrupcin
Revelacin
Problemas de
Modificacin
telecomunicaciones
Prdida, destruccin
Interrupcin
Problemas de otros
Revelacin
Modificacin
sistemas
Prdida, destruccin
Interrupcin
Alto
Medio-Alto
Ilustracin 35: Perfil de riesgo "Otros Problemas" para el Activo Crtico: SISTEMA SCADA
155
Perfiles de Riesgo para el activo crtico: Estaciones de trabajo y equipos

porttiles.
ACTIVO
ACCESO
ACTOR
MOTIVO
accidental
RESULTADO
IMPACTO
Revelacin
Medio-Alto
Modificacin
Prdida, destruccin
Medio
Alto
Interrupcin
Medio-Alto
Revelacin
Medio-Alto
dentro
deliberado
Modificacin
Prdida, destruccin
Medio
Alto
Interrupcin
Medio-Alto
Revelacin
Medio-Alto
RED
ETEP
accidental
Modificacin
Prdida, destruccin
Medio
Alto
Interrupcin
Medio-Alto
Revelacin
Medio-Alto
fuera
deliberado
Modificacin
Prdida, destruccin
Interrupcin
medio
Alto
Medio-Alto
Crtico: ESTACIONES DE TRABAJO Y EQUIPOS PORTTILES
156

ACTIVO
ACCESO
ACTOR
MOTIVO
RESULTADO
IMPACTO
Revelacin
accidental
Modificacin
Prdida, destruccin
Alto
Interrupcin
Medio
Revelacin
Medio-Alto
Dentro
deliberado
Modificacin
Prdida, destruccin
Interrupcin
Medio
Alto
Medio
FISICO
ETEP
Revelacin
accidental
Modificacin
Prdida, destruccin
Alto
Interrupcin
Medio
Revelacin
Medio-Alto
Fuera
deliberado
Modificacin
Prdida, destruccin
Interrupcin
Medio
Alto
Medio
Ilustracin 37: Perfil de riesgo "Actores humanos que usan el acceso fsico" para el Activo
Crtico: ESTACIONES DE TRABAJO Y EQUIPOS PORTTILES DE LA EEQ
157

ACTIVO
ACTOR
RESULTADO
IMPACTO
Revelacin
Defectos de software/ hardware
Modificacin
Prdida, destruccin
Alto
Interrupcin
Alto
Revelacin
Virus
ETEP
Modificacin
Medio-Alto
Prdida, destruccin
Alto
Interrupcin
Alto
Revelacin
Cadas del sistema
Modificacin
Prdida, destruccin
Bajo
Interrupcin
Bajo
Revelacin
Problemas de
Telecomunicaciones
o inestabilidad
Modificacin
Prdida, destruccin
Bajo
Interrupcin
Bajo
Revelacin
Indisponibilidad de los recursos
Modificacin
de la organizacin relacionados
Prdida, destruccin
Bajo
Interrupcin
Bajo
Revelacin
Bajo
Discos compartidos en la red
Modificacin
Prdida, destruccin
Medio
Medio-Alto
Interrupcin
Ilustracin 38: Perfil de riesgo "Problemas del Sistema" para el Activo Crtico: ESTACIONES
DE TRABAJO Y EQUIPOS PORTTILES DE LA EEQ
158
Otros Problemas
ACTIVO
ACTOR
RESULTADO
IMPACTO
Revelacin
Problemas en el
Modificacin
suministro de la energa
Prdida, destruccin
Bajo
Interrupcin
Bajo
Revelacin
Modificacin
mantenimiento
Prdida, destruccin
especializado
Interrupcin
ETEP
Medio
Bajo
Revelacin
El sistema no esta
Modificacin
familiarizado con las
Prdida, destruccin
necesidades de la EEQ.
Interrupcin
Bajo
Revelacin
Desastres naturales
Modificacin
(Eje. Terremotos,
Prdida, destruccin
Alto
Interrupcin
Alto
Revelacin
Medio-Alto
Facilidad en la
Modificacin
configuracin
Prdida, destruccin
Alto
Interrupcin
Revelacin
Modificacin
hardware y software
Prdida, destruccin
Alto
Interrupcin
Alto
159
Revelacin
Mal uso del Internet
Modificacin
Prdida, destruccin
Bajo
Interrupcin
Bajo
Ilustracin 39: Perfil de riesgo "Otros Problemas" para el Activo Crtico: ESTACIONES DE
TRABAJO Y EQUIPOS PORTTILES DE LA EEQ
3.2 ELABORACIN DEL PLAN

3.2.1
PROCESO
8:
DESARROLLAR
ESTRATEGIAS
PLANES
DE
PROTECCIN
3.2.1.1 Descripcin del proceso 8
Este proceso contempla el desarrollo y revisin de las estrategias de proteccin,
planes de mitigacin para los activos crticos identificados y lista de acciones a
corto plazo. Todos estos se desarrollan en base a la revisin de los riesgos e
informacin identificada durante los anteriores procesos de esta metodologa.
Este proceso consta de 5 actividades bien definidas las cuales se listan a
continuacin:
Revisin de vulnerabilidades, prcticas de estrategias de proteccin,
vulnerabilidades
organizacionales,
Requerimientos
de
informacin sobre los riesgos para los activos crticos.

Creacin de Estrategias de Proteccin
Creacin de Planes de Mitigacin para los activos crticos
Creacin de Lista de acciones
Revisin de riesgos de la informacin.
seguridad
160
Diagrama de flujo del Proceso 8
Proceso 8:
Desarrollo de las
estrategias de
Proteccin y Plan
de Mitigacin.
Salidas
Entradas
Conocimiento actual del equipo de
anlisis y personal clave.
Informacin consolidada
Activos
reas de inters
Actuales prcticas de estrategias de
proteccin para cada nivel de la
organizacin.
Actuales estrategias y prcticas de

proteccin.
Vulnerabilidades actuales de la
organizacin.
Estrategias de proteccin
propuestas.
Plan de mitigacin propuesta.
Lista de acciones propuestas.
Vulnerabilidades organizacionales de
cada nivel de la organizacin.
Activos crticos
Requerimientos de seguridad para
los activos crticos.
Amenazas de los activos crticos.
Clases de componentes claves
Componentes de infraestructura a
examinar
Resumen de vulnerabilidades
tecnolgicas.
Ilustracin 40: Flujo de trabajo Proceso 8: Desarrollo de las estrategias de Proteccin y Plan
23
de Mitigacin
23
Fuente: OCTAVE
SM
161
3.2.1.2 Desarrollo del Proceso 8

3.2.1.2.1 Creacin de Estrategias de Proteccin
Una estrategia de proteccin es aquella que define las estrategias que
una
organizacin utiliza para activar, implementar y mantener su seguridad interna.

Una estrategia de proteccin se enfoca principalmente en la organizacin y en las
diferentes actividades que tendr que desarrollar a largo plazo para elevar o
mantener unos excelentes niveles de seguridad dentro de la misma. El objetivo de
estas estrategias es el de proveer una direccin para esfuerzos futuros en
seguridad de la informacin, para de esta forma no alarmarse de dar soluciones
inmediatas a cada vulnerabilidad y preocupaciones en cuanto a seguridad que se
presenten.
A continuacin se listan las reas en las que sern definidas las estrategias de
proteccin:
Concientizacin sobre seguridad y capacitacin
Estrategias de Seguridad
Gestin de la Seguridad
Polticas y reglamentos de seguridad
Administracin colaborativa de la seguridad
Planes de Contingencia / Recuperacin de Desastres
Seguridad Fsica
Seguridad de la Tecnologa de la Informacin
Seguridad del personal
La siguiente tabla contiene las estrategias propuestas para las reas listadas de
acuerdo a la situacin de la empresa.
162
rea Estratgica
Concientizacin
sobre
seguridad
capacitacin.
Estrategia
La concientizacin sobre seguridad y
capacitacin dentro de la EEQ debe
ser constante. Dentro de esta
estrategia se debe tratar de reforzar el
valor de las personas en la dinmica
de la empresa, para lo cual se propone
las siguientes estrategias:
Proporcionar
capacitaciones
peridicas en el campo de
seguridad fsica a todo el
personal que labora en el rea
de IT de la EEQ.
Es necesario que la empresa
desarrolle
planes
de
actualizacin y capacitacin a
mediano y largo plazo para
instruir a todo el personal
existente dentro de la misma,
as como tambin realizar
entrenamientos peridicos con
el afn de refrescar los
conocimientos de las personas.
Mejorar la formacin para el
personal de IT para que de
esta manera puedan proveer
de un adecuado soporte a la
empresa.
Implantar
una
lnea
de
capacitacin no tan costosa
para la formacin del personal.
Establecer
procedimientos
uniformes para la formacin en
seguridad
y
las
futuras
actualizaciones.
Tener
documentacin
disponible
para
todo
el
personal de la EEQ, en los que
consten polticas para proteger
a los activos que posee la
empresa.
Incorporar los resultados obtenidos del
anlisis, realizado en este trabajo,
dentro del plan estratgico de la
Divisin de Tecnologa Informtica y
de Comunicaciones (TIC), con la
debida aprobacin de las autoridades
163
correspondientes
y
coordinando
actividades con los distintos niveles.
Determinar el tiempo total
necesario para la aplicacin de
las mejoras de seguridad a
nivel
de
planificacin
estratgica.
Investigar e implementar las
mejores prcticas en el manejo
de seguridad dentro de otras
empresas para as poder tomar
las ms adecuadas para la
institucin e implementarlas.
Tener documentacin sobre las
estrategias de seguridad. Estos
documentos
deben
estar
disponibles para el personal as
como tambin deben ser
actualizados y comunicados a
todo el personal de la EEQ.
Continuar con la asignacin de los

fondos necesarios para el manejo de
la seguridad de los sistemas y activos
crticos identificados dentro de la EEQ.
Dicho presupuesto anual estimado
debera prever todas las situaciones,
como inversiones necesarias para
manejo de las mismas, que se
requieran a futuro.
Definir claramente los roles, funciones
y responsabilidades de todo el
personal y
comunicarlo. Esto en
cuanto a seguridad.
Realizar informes de seguridad de TI
peridicamente y revisarlos con los
directivos.
Reexaminar
los
resultados
encontrados en el presente proyecto
de titulacin al menos 2 veces al ao.
Desarrollar algn procedimiento de
seguridad para cuando una persona
deja de formar parte de la institucin.
(Por ejemplo, desactivar su usuario y
claves respectivas de todos los
sistemas a los cuales tena acceso
cuando ya no forme parte de la EEQ).
164
Revisar y difundir las polticas y

procedimientos actuales a todos los
niveles de la EEQ.
Revisar las polticas y procedimientos
de seguridad, compararlos con otras
instituciones pblicas de ser posible,
para determinar as las mejores
prcticas de seguridad para la EEQ.
Documentar, publicar y difundir las
sanciones respectivas por violaciones
a las polticas de seguridad a todo el
personal.
Asegurarse de que las leyes y
reglamentos
establecidos
son
entendidos en todos los niveles
organizacionales de la empresa
cuando son difundidas.
Realizar y documentar un proceso
para todo lo referente a la gestin de
polticas de seguridad incluyendo la
creacin
de
las
mismas,
la
administracin (donde se indiquen
cundo se realizarn revisiones y
actualizaciones), y su respectiva
comunicacin.
Desarrollar las respectivas polticas y

procedimientos de seguridad para
proteger la informacin cuando se
trabaja con entidades externas,
especialmente
proveedores
de
servicios.
Dichas
polticas
y
procedimientos deben ser revisados y
actualizados peridicamente.
Desarrollar un conjunto de listas y
herramientas de controles para
establecer contratos con terceros,
donde se especifiquen instrucciones
claras sobre las revelaciones de
informacin sensible y verificaciones
de cumplimiento.
Planes de Contingencia / Recuperacin de

Desastres
Revisar y actualizar el respectivo plan

de contingencia, desarrollado dentro
de este proyecto de titulacin, por lo
165
menos una vez al ao.

Asignar al personal respectivo cuya
responsabilidad sea la de revisar y
actualizar peridicamente el presente
plan de contingencia.
Tomar en cuenta a los proveedores
de servicios de la EEQ al momento de
revisar y actualizar el presente plan
de contingencia. En caso de que un
determinado proveedor no posea un
plan de contingencia, se lo debe
tomar en cuenta en este respectivo
plan.
Establecer procedimientos para la
revisin y actualizacin del presente
Comunicar a todo el personal de la
EEQ sobre la existencia del presente
Desarrollar otro tipo de planes por
ejemplo
como
un
Plan
de
Recuperacin de Desastres.
Seguridad Fsica
Asignar los recursos necesarios para

implementar
las
respectivas
seguridades fsicas para salvaguardar
los activos crticos de la EEQ de ser
necesario.
Establecer y documentar polticas y
procedimientos para el control de
acceso fsico en el que solo personal
autorizado podr ingresar a los
activos identificados como crticos
dentro de la EEQ as como tambin a
la informacin sensible que stos
contienen.
Establecer polticas y procedimientos
para tener un adecuado control fsico
tanto de hardware como software que
posee la EEQ.
Identificar la ubicacin fsica de los
componentes claves identificados en
el presente proyecto de titulacin,
para verificar el nivel de seguridad
fsica que existe sobre los mismos.
Coordinar ejercicios de prueba en el
que se desafi las medidas de
seguridad existentes dentro de la
166
Seguridad de
Informacin
la
Tecnologa
de
la
empresa.
Revisar, actualizar y hacer cumplir las
polticas existentes sobre el apropiado
uso de las estaciones de trabajo.
Establecer un mecanismo de control
de acceso con el cual almacene y
genere
reportes
al
respectivo
departamento
responsable
de
salvaguardar la seguridad fsica de los
activos crticos, para que de esta
manera, el encargado responsable
sepa quin accedi a los distintos
activos crticos.
Revisin de las medidas de seguridad
que deben tener las estaciones de
trabajo en reas libres de acceso
como por ejemplo rea de recepcin,
rea de cobros de facturas, entre
otras.
Revisar, actualizar y hacer cumplir las
polticas
y
procedimientos
de
seguridad en cuanto a instalacin de
software en todos los niveles de la
empresa.
Asignar personal de TI que se
encargue de verificar la seguridad
fsica de los equipos de la empresa.
Establecer, concientizar y comunicar
que tanto el personal interno como el
externo son responsables de la
seguridad fsica de todos los equipos
de la EEQ.
Desarrollar un plan a largo plazo para
la modernizacin de los servicios
relacionados con la seguridad de TI
dentro de la EEQ. Se deben incluir
dentro del mismo un informe de
costos para su respectiva gestin.
para la creacin de perfiles de
usuarios para restringir el acceso a
informacin sensible que se maneje
dentro de la empresa. Estos perfiles
deben ser tanto para individuos como
para grupos.
Establecer un tiempo determinado
para bloqueo de servidores as como
tambin de los equipos que se
167
encuentren en lugares de acceso

libre.
Mejorar, adquirir o mantener un
Sistema alterno de energa elctrica
para en caso de fallos o cortes de
energa ste pueda suplir de manera
adecuada a los activos crticos de la
EEQ asegurando su funcionamiento
por un tiempo ptimo o garantizando
su correcto apagado.
Instituir
la
prctica
de
la
administracin de vulnerabilidades
dentro del departamento de TIC de la
EEQ y establecer que la mencionada
prctica sea parte de la capacitacin
continua que debe recibir el personal.
Documentar
los
respectivos
procedimientos para la realizacin de
backups tanto de hardware como de
software indicando tambin las
personas responsables de realizarlas.
Asignar los recursos necesarios para

implementar medidas de seguridad
dentro de la EEQ para salvaguardar la
integridad del personal y de los
equipos. Por ejemplo: equipos de
primeros auxilios y contingencia ante
incendios
(extintores,
sistemas
automticos detectores de humo,
alarmas, etc.).
para la realizacin, actualizacin e
informe de incidentes que ocurran
dentro de la EEQ.
Asignar personal especializado para
manejo el manejo de incidentes.
Elaborar
un
procedimiento
de
comunicacin
de
incidentes
acompaado de un listado telefnico
para contactar al personal adecuado
para manejar cualquier incidente que
se presente dentro de la EEQ.
Tabla 36: Propuesta de Estrategias de proteccin

168
3.2.1.2.2 Creacin de Planes de Mitigacin para los activos crticos

Los planes de mitigacin de riesgos son instrumentos de gestin para garantizar la
continuidad del negocio as como el correcto desempeo de la empresa, estos son
especficos para los riesgos asociados con los activos crticos identificados en la
empresa. El objetivo de los mismos es superar las amenazas a los que se vean
expuestos dichos activos.
En vista de que los planes de mitigacin de riesgos estn orientados a responder
las amenazas sobre los activos crticos, se plantear planes de mitigacin para
cada activo crtico de acuerdo a las reas de actividades recomendadas
correlacionadas con los diferentes tipos de fuentes de amenazas en sus perfiles
de riesgo: Estas cuatro reas y tipos de amenazas son:
Actores humanos utilizando acceso de red
Actores humanos utilizando acceso fsico
Problemas de sistemas
Otros problemas
El respectivo plan de mitigacin propuesto se basa en la informacin recopilada y
analizada a lo largo de este proyecto de titulacin, en las diferentes fases de
anlisis de riesgos y vulnerabilidades realizadas sobre los activos crticos y
componentes claves identificados dentro de la EEQ.
169
Plan de mitigacin de Riesgos Activo Crtico: SISTEMA SIDECOM

A continuacin se listan las posibles actividades que se debern realizar para
mitigar los riesgos, cuyo tiempo de implementacin, recursos, responsables, fecha
de inicio y fecha de finalizacin debern ser designados por las respectivas
autoridades del rea responsable de este activo.
Actores Humanos utilizando el acceso de red
Establecer polticas y procedimientos para la determinacin de roles
y responsabilidades que tendr el personal que se encarga del
manejo y administracin de este sistema, esto con el objetivo de
evitar al mximo posibles errores humanos que pongan en riesgo el
buen funcionamiento de este sistema. Por ejemplo, en casos de
mantenimiento o actualizacin.
Se deber crear y mantener cuentas de usuarios de acuerdo a
perfiles establecidos, con el objetivo de tener registrado y
monitoreado cada una de las actividades realizadas por los usuarios
al momento de la utilizacin del sistema.
Permitir el acceso a este sistema nicamente a estaciones de trabajo
que se encuentren autorizadas para tal fin. Se deber monitorear
permanentemente las actividades que se realicen sobre este sistema
para evitar el acceso de intrusos. Esto se lo puede realizar con
mecanismos de control como IDS24 o IPS25 los cuales debern ser
implantados dentro de la empresa.
Crear una poltica de contraseas seguras para cada uno de los
usuarios que estn autorizados a utilizar este sistema, esto con el
24
IDS: Sistema de Deteccin de Intrusos (Intrusion detection system)
25
IPS: Sistema de Prevencin de Intrusos (Intrusion prevention system)
170
afn de minimizar al mximo el espionaje informtico el cual podra

ocasionar prdida o modificacin de los datos que se manejan en el
mismo.
Actores Humanos utilizando el acceso fsico
Ejecutar las estrategias de proteccin propuestas en el apartado
anterior y que sean referentes a seguridad fsica.
Establecer polticas y procedimientos para lo referente al acceso
fsico al lugar donde resida este sistema, con el fin de evitar al
mximo el acceso no autorizado al mismo, creando controles fsicos
donde solo personal autorizado pueda tener acceso.
Capacitar al personal responsable de la custodia de este activo
crtico en temas de seguridad y actualizacin, para de este modo
evitar cualquier error humano que pueda poner en riesgo los datos e
informacin que maneja este sistema.
Crear polticas, regulaciones y sanciones con respecto al acceso
fsico de personas no autorizadas, donde se encuentra alojado este
sistema e informar a todo el personal de los mismos.
Problemas de sistema
Establecer y crear perfiles de usuario para controlar el acceso de las
personas que acceden a este sistema as como tambin de las
personas que manejan y administran el mismo.
Planificar el mantenimiento peridico del hardware sobre el que se
ejecuta este sistema, como por ejemplo los servidores. Para esto se
debe designar el personal respectivo que se encargar de realizar
dichos mantenimientos.
171
Generar reportes acerca del estado y situacin de los equipos donde

se encuentra alojado este sistema.
Proyectar actividades preventivas para el mantenimiento y revisiones
del sistema SIDECOM.
Crear polticas y procedimientos documentados del proceso que se
debe seguir para realizar las actualizaciones a este sistema,
respetando las seguridades que se deben tomar al momento de
realizar esta actividad.
Crear y documentar procedimientos para verificar peridicamente el
buen funcionamiento del sistema SIDECOM, esto con el objetivo de
detectar posibles fallas del sistema que puedan comprometer los
datos e informacin que se maneja en el mismo.
Crear y documentar procedimientos para la realizacin de pruebas
en el sistema SIDECOM. Esto con el objeto de detectar posibles
errores de codificacin, as tambin se podra establecer pruebas de
carga sobre este sistema para verificar el nmero mximo de
conexiones que ste sistema puede soportar. Con el resultado de
estas pruebas se puede analizar la factibilidad y planificar un posible
aumento de los recursos del sistema y as permitir ms conexiones
de ser el caso.
Instalar software especializado en control de virus en los equipos
donde se aloje el sistema SIDECOM esto con el objetivo de
garantizar el buen funcionamiento del mismo as como de los datos y
la informacin que se encuentran aqu.
172
Otros Problemas
Crear y documentar polticas y procedimientos para garantizar el
normal funcionamiento del sistema SIDECOM, an en casos donde
se presenten, por ejemplo, problemas de suministro de energa,
desastres naturales, algn evento de terrorismo o vandalismo, etc.
Asignar
personal
responsable
para
garantizar
el
normal
funcionamiento del sistema SIDECOM ante cualquier eventualidad

que se presente, esto deber ser debidamente documentado por las
autoridades pertinentes.
Plan de mitigacin de Riesgos Activo Crtico: INFRAESTRUCTURA DE RED Y

CABLEADO
Actores Humanos utilizando el acceso de red
Asignar personal con roles y responsabilidades bien definidas para
que se encargue de custodiar el buen funcionamiento, control y
monitoreo constante de los dispositivos de seguridad existentes en la
EEQ, con lo cual, este personal podra ser capaz de identificar en
tiempo real los posibles ataques que se pueda tener por medio de la
red.
Crear
documentos
donde
se
almacene
las
principales
configuraciones lgicas de los equipos de seguridad primordiales

existentes dentro de la EEQ, esto con el motivo de que si sucede
algn evento de modificacin se pueda restablecer los servicios
afectados en el menor tiempo posible.
Establecer polticas y procedimientos para los casos en que se
adquiera nuevo equipamiento de hardware o software para
173
implantarlas correctamente y evitar accesos no autorizados, tanto

desde dentro como desde fuera de la EEQ, por medio de stos.
Establecer polticas y procedimientos para la creacin y mantencin
de respaldos de las configuraciones lgicas que se manejen dentro
de los dispositivos de seguridad, para en caso de ser necesario,
stos sirvan para reponer la funcionalidad de los mismos en el menor
tiempo posible.
Actores humanos utilizando el acceso fsico

Crear un sitio fsico adecuado para el alojamiento de todos los
componentes de este activo, el mismo que deber contar con un
sistema de control de acceso, esto con el objetivo de disminuir al
mximo el ingreso de personal no autorizado que pueda poner en
riesgo el normal funcionamiento de estos componentes.
Implementar un sistema de control de ingreso de personal ajeno a la

EEQ, de modo que se tenga un registro de esta actividad, el motivo
por el cual ingres y el responsable de permitir su entrada.
Contar con un equipo de respaldo de informacin, adems de medir,

conocer y analizar el impacto de restablecer datos al sistema. Por
otra parte se debe verificar la informacin respaldada en forma
peridica para estar seguros de los respaldos realizados.
Contar con un documento en el que se detalle las respectivas
personas con sus roles y responsabilidades en cuanto al
mantenimiento y operacin de todos los equipos pertenecientes a la
infraestructura de red.
174
Asignar
personal
que
sea
responsable
de
respaldar
las
configuraciones de los equipos de conectividad, el cual adems

deber contar con un documento detallado de cmo manejar los
dispositivos, para en caso de darse un colapso de los mismos, se
pueda garantizar una pronta recuperacin.
Establecer polticas y procedimientos para realizar peridicamente
pruebas de seguridad de los dispositivos que se encuentran dentro
de este activo, para garantizar el estado real de la seguridad que se
tiene dentro de la EEQ.
Otros Problemas
Se deber contar con un espacio fsico, adecuado para el
alojamiento de estos componentes, con el fin de evitar cualquier
posible violacin de seguridad as como tambin fallos en los
dispositivos por manejo inadecuado del mismo.
Se deber contar con equipos de alimentacin elctrica alterna, para
que, en caso de suspensin del servicio elctrico, se pueda seguir
brindado el servicio de conectividad y no pararlo.
Se deber contar con un stock de refacciones de los principales
dispositivos de seguridad, para en el caso de requerir un cambio de
los mismos poder realizarlo. Esto con el objetivo de no frenar las
operaciones diarias de la EEQ.
Cuando el administrador de la red se encuentre ausente, se
recomienda capacitar a una persona que pueda hacer lo mnimo
indispensable para levantar todos los servicios, normalmente este
tipo de acciones lo realizan el personal de soporte tcnico, aunque
175
sea responsabilidad del administrador de la red. Con este tipo de

acciones, las operaciones bsicas no se vern interrumpidas.
Tener la informacin actualizada de los proveedores que brindan
servicios a la EEQ, para poder contactarlos al momento de
requerirlos, tambin se deber establecer un criterio de respaldo
alternativo del servicio para el caso en que el proveedor principal
falle.
Generar y difundir entre el personal responsable de la custodia de los
componentes de este activo, un documento en donde consten las
principales configuraciones fsicas y ordenamiento de los equipos,
para que, en caso de que ocurra alguna eventualidad en los mismos,
se pueda reponer el normal funcionamiento de los mismos.
Plan de mitigacin de Riesgos Activo Crtico: SERVIDORES

Actores humanos utilizando el acceso de red
Establecer polticas y procedimientos para el control de acceso a los
servidores por medio de la red, se deber tener un control y reportes
del personal que accede al mismo, para de esta forma, evitar al
mximo el acceso de personal no autorizado que pueda poner en
riesgo el buen funcionamiento de este activo.
Asignar personal especializado con sus roles y responsabilidades
bien establecidas para que se encargue de la actualizacin de las
polticas del manejo de los servidores.
Monitorear peridicamente los servidores y componentes con los que
cuenta este activo para garantizar la disponibilidad de los servicios
que esto brindan a la EEQ.
176
Crear polticas y procedimientos para la administracin y creacin de

contraseas que se manejen para el ingreso a los distintos
servidores, las mismas que debern contar con los estndares de
seguridad recomendados para evitar posibles intrusiones mediante la
red, a estos equipos.
Crear manuales que contengan informacin pertinente en lo que
respecta a los procesos que hay que seguir en cuanto a la seguridad
lgica de los componentes.

Establecer un mecanismo de control de acceso fsico a los
servidores, tales como acceso con tarjetas magnticas, controles
biomtricos, entre otros, con el objetivo de contar con un registro de
las personas que ingresaron al lugar asignado a los equipos, qu
tarea realizaron y a qu hora salieron del mismo.
Establecer polticas a nivel de departamento que determinen los roles
y responsabilidades de las personas encargadas de custodiar y velar
por el buen funcionamiento de los equipos, siendo stas las nicas
personas autorizadas para ingresar, modificar, actualizar, etc.
cualquier configuracin o cambio fsico en los mismos.
Generar un mecanismo para el control de ingreso al lugar donde se
encuentran alojados los equipos por parte de personal ajeno a la
empresa, donde deber constar la hora de ingreso, las tareas
realizadas, la hora de salida y la(s) persona(s) responsable(s) de
permitir el ingreso.
177

Asignar personal especializado, que como parte de las actividades
que realizan en la EEQ, conste el revisar peridicamente el buen
funcionamiento de los equipos, y de ser el caso, brinden el
respectivo mantenimiento a los mismos. Esto con el objetivo de
evitar fallas que puedan darse a nivel de hardware causados por
residuos de polvo, acumulacin de pelusas, etc., los cuales se
generan por el uso diario.
Contar con un espacio fsico adecuado para el alojamiento de estos
equipos, con la temperatura y controles pertinentes que garanticen el
normal funcionamiento de los mismos.
Establecer polticas y procedimientos en los cuales debe constar la
forma de actuar en caso de que falle el software que se encuentra
dentro de uno de esto equipos. Dentro de estas polticas y
procedimientos debe constar, por ejemplo, cmo reinstalar el
software, algn equipo espejo que conste con el mismo software o la
recuperacin alternativa de los datos.
Adquirir o actualizar herramientas antivirus para todos los equipos
con los que cuenta la EEQ. Estos pueden ser de distribucin libre o
adquirida mediante licencia.
Realizar la respectiva capacitacin a todo el personal de la EEQ
sobre el manejo y forma de actualizacin de la herramienta de
antivirus, esto con el objetivo de reducir al mximo el posible
contagio de virus a los equipos considerados como crticos dentro de
la EEQ.
178
Investigar e implementar un sistema de control de virus informticos

que
puedan
propagarse
por
la
red
documentar
estos
procedimientos dentro del departamento.

Definir y documentar las acciones y pasos a seguir en caso de que
se presente una cada del sistema, la misma que ser desarrollada
por el personal responsable de los servidores para garantizar una
total habilitacin de estos en el menor tiempo posible.
Otros Problemas
Contar con UPSs que garanticen el funcionamiento de los equipos
aunque sea por un periodo corto de tiempo en caso de que el
suministro normal de corriente falle, esto con el objetivo de que en
ese periodo de tiempo, el personal responsable de la custodia de los
mismo pueda apagar o conectar alguna fuente de energa de
emergencia, evitando as posibles fallos a nivel de software o
hardware.
Contar con una fuente de energa alterna en caso de que el
suministro normal falle (Ejemplo. planta de poder), esto con el
objetivo de mantener las actividades normales dentro de la EEQ
hasta que se restablezca el suministro normal de energa.
Definir o actualizar los planes de recuperacin de desastres de los
servidores para garantizar los restablecimientos de los servicios que
estos brindan a la EEQ en el menor tiempo posible.
Definir o actualizar un inventario de los servidores con los que

consta la EEQ, as como tambin de los servicios que brindan cada
uno de stos. Esto con el objetivo de tener un control y conocimiento
real del estado de los mismos y sobre eso tomar las respectivas
decisiones.
179
Definir procesos claros sobre la forma de cmo se operan los

servidores dentro de la institucin, esto a nivel de configuracin fsica
y lgica, estos debern ser distribuidos a todo el personal encargado
del manejo y operacin de los servidores.
Plan de mitigacin de Riesgos Activo Crtico: SISTEMA SCADA

Actores humanos utilizando el acceso de red
Establecer
polticas
procedimientos
sobre
la
creacin
mantenimiento de perfiles de usuarios con sus respectivos roles y

actividades, as como tambin informacin con respecto a la
administracin y al manejo del mismo.
Crear y mantener cuentas de usuario de acuerdo a los perfiles
establecidos, esto con el objetivo de mantener un registro del
personal que ingresa al sistema, las actividades que realizan en el
mismo y la hora de salida, para minimizar los accesos no autorizados
y posibles fallas o ataques que se puedan de forma accidental o
deliberada.
Permitir el acceso a este sistema nicamente a estaciones de trabajo
que estn autorizadas para este fin. Se deber implementar un
mecanismo de deteccin y prevencin de intrusos para garantizar
que personas no autorizadas ingresen al mismo y puedan causar
daos afectando la disponibilidad e integridad del mismo.
Crear una poltica de contraseas seguras para cada uno de los
usuarios que estn autorizados a utilizar este sistema, esto con el
afn de minimizar al mximo el espionaje informtico el cual podra
ocasionar la prdida o modificacin de los datos que se manejan
dentro de este sistema.
180
Se deber pensar en la implementacin de un servidor de

autenticacin, para garantizar el mantenimiento remoto de este
sistema a travs de un sistema de autenticacin criptogrfica.
Aislar al servidor del sistema detrs de un firewall, con el objetivo de
limitar al mximo las conexiones con el mundo exterior y as evitar
posibles hackeos al mismo desde fuera de la red.
Se deber monitorizar el trfico de la red, con el objetivo de enviar
alertas sobre actividades sospechosas que se estn dando sobre
este sistema, para de esta forma actuar de una manera adecuada y
rpida para dar solucin al mismo.
Actores humanos utilizando el acceso fsico

Evitar al mximo el acceso no autorizado al lugar donde se
encuentran los servidores que alojan este sistema, creando controles
fsicos donde solo personal autorizado pueda tener acceso al mismo.
Capacitar al personal responsable de la custodia de este activo en
temas de seguridad, manejo y actualizacin, para de este modo
evitar cualquier error humano que pueda poner en riesgo los datos e
informacin que se maneja en este sistema.
Crear polticas, regulaciones y sanciones con respecto al acceso
fsico no autorizado al lugar donde se encuentra alojado este sistema
e informar a todo el personal de las mismas.
Debido a que este sistema se conecta a subestaciones externas de
la EEQ se deber pensar en la implementacin de cmaras de
vigilancia IP sobre un sistema de comunicaciones unificadas, de
manera que el personal responsable de su control pueda tener
181
completa visin de lo que sucede en las subestaciones y centrales al

instante de operar en ellas.

Planificar el mantenimiento peridico de los servidores donde se
encuentra alojado este sistema, los mismos que debern ser
documentados por el personal responsable que se asigne para esta
tarea, y de este modo, evitar problemas de hardware y software que
puedan darse a futuro y que comprometan los datos e informacin
que se maneja dentro del mismo.
Generar reportes acerca del estado y situacin de los equipos donde
se encuentra alojado dicho sistema.
Proyectar actividades preventivas para el mantenimiento y revisiones
de este sistema.
Contar con una infraestructura de telecomunicaciones adecuada para
de esta forma acortar a nivel lgico, las grandes distancias que
recorre este sistema para realizar el control en todas las
subestaciones donde se conecta, tales como, lneas alquiladas,
Internet + VPN, radio enlaces punto a punto, redes WAN propias,
etc.
Otros Problemas
Crear y documentar polticas y procedimientos para garantizar el
normal funcionamiento del sistema SCADA, an en casos donde se
182
presenten, por ejemplo problemas de suministro de energa,

desastres naturales, algn evento de terrorismo o vandalismo, etc.
Asignar
personal
responsable
para
garantizar
el
normal
funcionamiento del sistema SCADA ante cualquier eventualidad que

se presente, esto deber ser debidamente documentado por las
autoridades pertinentes.
Capacitar al personal responsable del manejo y control de este
sistema, acerca de temas como la actualizacin y mantenimiento del
mismo, para de este modo evitar al mximo errores humanos que
puedan poner en peligro la integridad y disponibilidad de este
sistema.
Concientizar a los responsables del manejo y administracin de este
sistema acerca de la importancia que tiene el mismo para la EEQ y
los servicios que se brindan a travs del mismo.
Plan de mitigacin de Riesgos Activo Crtico: ESTACIONES DE TRABAJO Y

EQUIPOS PORTATILES DE LA EEQ.
Establecer polticas y procedimientos de contraseas para los
usuarios de la PCs, las mismas que debern ser personales para
evitar al mximo los accesos no autorizados.
Se deber crear un tiempo lmite en las PCs para su bloqueo
automtico, esto con el objetivo de que en caso de dejar sin ninguna
proteccin las PCs sta pueda bloquearse, evitando de esta forma el
acceso no autorizado a las mismas.
183
Establecer polticas y procedimientos acerca del buen uso del

internet, ya que sta puede ser una puerta de entrada de virus y
cdigo malicioso que puede poner en riesgo la integridad de la
informacin que se maneje en la misma.
Creacin de perfiles para el uso del internet, con el objetivo de
minimizar al mximo el acceso a contenidos que no tengan relacin
con las funciones que ejerce el personal dentro de la empresa y
tambin para contar con una proteccin contra amenazas, virus,
spam, etc.
Establecer procedimientos para forzar el cambio de las contraseas
por parte de los usuarios de la EEQ luego de un tiempo determinado,
esto con el objetivo de prevenir el uso indebido de las mismas por
parte de personas que han obtenido esta informacin en forma
accidental o deliberada.

Establecer polticas y mecanismos de control para el registro de
personal ajeno a la empresa, con el objetivo de minimizar al mximo
los posibles accesos no autorizados a las estaciones de trabajo.
Concientizar al personal sobre las medidas de seguridad bsicas que
se deberan tomar para minimizar al mximo accesos no autorizados
a sus equipos, como por ejemplo al momento de dejar sus puestos
de trabajo habilitar el bloqueo de su equipo para que as sea
nicamente sta persona la que pueda acceder en su retorno.
Implantar un mecanismo de vigilancia dentro de las oficinas donde
labora el personal de la EEQ, como por ejemplo cmaras de
184
seguridad, con el objetivo de minimizar al mximo el acceso de

personas no autorizadas a las estaciones de trabajo y en caso de
darse, tener un registro de las personas que incidieron en esta falta.

Asignar personal capacitado para el debido soporte tcnico, al
personal de la EEQ, para de esta forma tener un control y registro de
todos los incidentes que se susciten a este nivel en la EEQ.
Establecer polticas y procedimientos para realizar peridicamente el
respectivo mantenimiento a las estaciones de trabajo y equipos
porttiles que existen en la EEQ. Esto con el objetivo de reducir los
riesgos de posibles daos a nivel de hardware causados por
residuos de polvo, acumulacin de pelusas, etc., los cuales se
generan por el uso diario.
Adquirir o actualizar herramientas antivirus para todos los equipos
con los que cuenta la EEQ. Estos pueden ser de distribucin libre o
adquirida mediante licencia.
Realizar la respectiva capacitacin a todo el personal de la EEQ
sobre el manejo y forma de actualizacin de la herramienta de
antivirus, esto con el objetivo de reducir al mximo el posible
contagio de virus, troyanos, cdigos maliciosos, etc.
Establecer polticas y procedimientos sobre la forma de actuar en
caso de ocurrir una falla total en un equipo, para de esta manera
habilitar en el menor tiempo posible un equipo de respaldo para que
de esta forma el usuario afectado pueda volver a realizar sus
actividades de la forma ms normal posible.
185
Establecer polticas sobre la forma de comunicacin estndar entre

estaciones de trabajo.
Capacitar al personal acerca del peligro que conlleva el tener
carpetas o discos compartidos en la red, ya que de esta forma,
personal no autorizado tiene acceso a la misma y puede divulgar o
modificar informacin sensible del usuario original.
Otros Problemas
Contar con una fuente de energa alterna en caso de que el
suministro normal falle (Ejemplo. planta de poder), esto con el
objetivo de mantener las actividades normales dentro de la EEQ
hasta que se restablezca el suministro normal de energa.
Adquirir herramientas para asistencia remota, con el objetivo de
brindar una atencin y solucin inmediata a cualquier incidente que
se presente, adems el personal tcnico responsable de esto deber
emitir reportes peridicos de estos incidentes para analizar en qu
periodo se presentan y tratar de solucionar definitivamente los
mismos.
Definir o actualizar los planes de recuperacin de desastres para
garantizar los restablecimientos de los equipos con los que cuenta la
EEQ en el menor tiempo posible.
Definir o actualizar un inventario de las estaciones de trabajo y
equipos porttiles con los que cuenta la EEQ, esto con el objetivo de
tener un control y conocimiento real del estado de los mismos y
sobre eso tomar las respectivas decisiones.
186
Contratar un seguro para las estaciones de trabajo y equipos

porttiles con los que cuenta la EEQ.
Establecer polticas y procedimientos para la planificacin y
realizacin de respaldos peridicos de toda la informacin sensible
que es manejada por los usuarios en las estaciones de trabajo y
equipos porttiles de EEQ.
3.2.1.2.3 Creacin de lista de acciones

Las listas de acciones definen las actividades que el personal de la empresa
puede tomar en un corto tiempo ante cualquier eventualidad que se pueda
presentar en la EEQ.
La tabla contiene la lista de acciones propuestas para este fin, con el objetivo de
mejorar la implementacin de las estrategias de proteccin y planes de mitigacin
propuestos en este proyecto de titulacin.
187
Lista de Acciones
Lnea de Accin
Revisar las vulnerabilidades identificadas en los
activos crticos para de esta forma tomar las
acciones necesarias para su correccin.
Asignar personal del departamento TIC que se
encargue de realizar las correcciones
necesarias
para
solucionar
las
fallas
identificadas en los activos crticos
Informacin
Responsabilidad:
Equipo de
trabajo de la EEQ
Tiempo de finalizacin: Por
tratarse de una propuesta de una
lista de acciones de corto plazo
se sugiere actuar de acuerdo al
nivel de severidad de la
vulnerabilidad que se va a tratar,
en ese contexto, si se tratara de
una vulnerabilidad de nivel Alto
se sugiere un tiempo de menos
de un mes y para el caso de las
vulnerabilidades medias y bajas
se sugiere un tiempo mximo de
2 meses para realizar las
respectivas correcciones.
Medidas necesarias de accin:
Gestionar
de
una
forma
organizada todas las actividades
que se deban realizar para llevar
a cabo las correcciones de las
vulnerabilidades
encontradas
dentro de los activos crticos
identificados en el presente
proyecto.
188
Lista de Acciones
Lnea de Accin
Informacin
Se deber realizar una nueva bsqueda de

vulnerabilidades en los componentes claves
identificados en cada uno de los activos crticos
de la empresa
Se deber realizar un anlisis a partir de la
evaluacin realizada en busca de nuevas
vulnerabilidades, las mismas que debern ser
categorizadas para determinar las acciones
correctivas a corto, mediano y largo plazo.
Proponer y analizar soluciones para las nuevas
vulnerabilidades encontradas para que sean
tomadas en cuenta por el equipo de trabajo
asignado por el departamento de TIC de la
EEQ.
Responsabilidad:
Equipo de
trabajo de la EEQ
Tiempo de finalizacin: Por
tratarse de una propuesta de una
lista de acciones de corto plazo,
se sugiere actuar de acuerdo al
nivel de severidad de la
vulnerabilidad que se va a tratar,
en ese contexto si se tratara de
una vulnerabilidad de nivel Alto
se sugiere un tiempo de menos
de un mes y para el caso de las
vulnerabilidades medias y bajas
se sugiere un tiempo mximo de
2 meses para realizar las
respectivas correcciones.
Medidas necesarias de accin:
Gestionar
de
una
forma
organizada todas las actividades
que se deban realizar para llevar
a cabo las correcciones de las
nuevas
vulnerabilidades
encontradas dentro de los activos
crticos identificados en el
presente proyecto.
Tabla 37: Lista de acciones propuestas para la empresa

Elaborada por los autores
A continuacin se presenta una lista de acciones para solucionar de forma rpida

las vulnerabilidades encontradas en los componentes clave. Esto con el fin de
prevenir sobre los posibles daos que se pueden dar en el caso de materializarse
alguna de las vulnerabilidades de los componentes claves identificados en el
presente proyecto de titulacin.
189
Componente
Vulnerabilidad
AutoRun
habilitado:
Microsoft Windows admite
la ejecucin automtica de
CD / DVD y otros medios
extrables.
Acciones a tomar
Se recomienda deshabilitar el
autorun pues este representa
un riesgo para la seguridad en
el caso de que un CD o disco
extrable,
que
contenga
software
malicioso,
se
instalara
automticamente
cuando
se
inserta
el
dispositivo.
POP3: Servidores POP3 Para evitar ataques que se

podran ser vulnerables a puedan dar a travs de esta
ataques de desbordamiento vulnerabilidad se recomienda:
de buffer remotos.
Si este equipo no est
funcionando
como
servidor de correo se
recomienda deshabilitar
estos servicios.
Utilizar las versiones
ms modernas con los
parches de seguridades
actualizados.
SERVIDOR SCADA
Controlar el acceso a
estos servicios utilizando
TCP wrappers y canales
encriptados tales como
SSH y SSL, esto con el
objetivo de proteger las
contraseas.
190
OVAL: 332: Word Count

Vulnerability: Vulnerabilidad
no
especificada
en
Microsoft Word 2000, 2002
y Word Viewer 2003
permite
a
atacantes
remotos asistidos por el
usuario ejecutar cdigo
arbitrario a travs de un
elaborado archivo DOC que
provoca daos en la
memoria.
Se recomienda instalar las

actualizaciones de seguridad
para prevenir ataques a
travs de esta vulnerabilidad,
la
lista
completa
de
actualizaciones se encuentran
la referencia26 mostrada en el
inferior de esta pgina.
OVAL:
12209:
Vulnerabilidad de ruta de
bsqueda no son de
confianza
en
Microsoft
Windows
Program
Converter

de Windows para evitar
ataques que se puedan filtrar
por esta vulnerabilidad la lista
completa de actualizaciones
se
encuentran
en
la
siguientes referencia27.
OVAL:11574:
Microsoft Del mismo modo que con las
Internet
Explorer vulnerabilidades anteriores se
vulnerabilidad de ejecucin recomienda
instalar
las
remota de cdigo
ltimas actualizaciones de
seguridad disponibles para
este producto.
Auto Share Server: Los
recursos
compartidos
administrativos
(C,
D,
ADMIN,
etc.)
estn
disponibles en este equipo.
Ultimo
logged-on
usuario esta visible
Deshabilitar
los
recursos
compartidos en este servidor
a fin de consolidar los puntos
de entrada posibles ya que de
esta forma el servidor est
ms expuesto a ataques.
de Desactivar
la
accin
predeterminada de Windows
de permitir mostrar el ltimo
usuario registrado.
26
http://www.microsoft.com/latam/technet/seguridad/boletines/2007/ms07-014.mspx
27
http://www.microsoft.com/latam/technet/seguridad/boletines/2010/ms10-jul.mspx
191
AutoRun
habilitado:
extrables.
el caso en un CD o disco
extrable
que
contenga
software
malicioso
se
instalara
automticamente
cuando
se
inserta
el
dispositivo.

de buffer remotos.
funcionando
como
estos servicios.
ms modernas con los
actualizados.
SERVIDOR DE
RESPALDO SCADA
contraseas.
192

no
especificada
en
y Word Viewer 2003
permite
a
atacantes
provoca daos en la
memoria.

la
lista
completa
de
OVAL:
12209:
bsqueda no son de
confianza
en
Microsoft
Windows
Program
Converter.

se
encuentran
en
la
siguientes referencia.
OVAL:11574:
Internet
instalar
las
remota de cdigo
este producto.
recursos
compartidos
administrativos
(C,
D,
ADMIN,
etc.)
estn
Ultimo
logged-on
usuario esta visible
28
Deshabilitar
los
recursos
de Desactivar
la
accin
usuario registrado.
193
SMTP: Si este no es un De ser el caso deshabilitar el

servidor de correo SMTP, el servicio.
SMTP
est
activado
innecesariamente.
HTTP: Si no es un servidor De ser el caso deshabilitar el
web
el
servicio
est servicio.
activado innecesariamente.
de buffer remotos.
ms modernas con los
actualizados.
contraseas.
SERVIDOR
CORREO
DE
HTTP: Si no es un servidor De ser el caso deshabilitar

web
el
servicio
est este servicio.
SSH: Si este equipo no se De ser el caso deshabilitar
administra a travs de un este servicio.
Shell seguro, el servicio
est activado innecesaria.
CUPS: Si esto no es un De ser el caso deshabilitar
servidor
de
impresin este servicio.
CUPS, el servicio de
servidor de CUPS est
HTTPS: Si esto no es un De ser el caso deshabilitar
servidor web seguro, el este servicio.
servicio
HTTPS
est
194
MySQL: Si esto no es un De ser el caso deshabilitar

servidor de base de datos, este servicio.
el servicio MySQL est
AutoRun
habilitado:
extrables.
el caso en un CD o disco
extrable
que
contenga
software
malicioso
se
instalara
automticamente
cuando
se
inserta
el
dispositivo.

de buffer remotos.
funcionando
como
estos servicios.
ms modernas con los
actualizados.
contraseas.
SERVIDOR
APLICACIONES
29
DE
OVAL:
12209:
bsqueda no son de
confianza
en
Microsoft
Windows
Program
Converter

se
encuentran
en
la
siguientes referencia29.
http://www.microsoft.com/latam/technet/seguridad/boletines/2010/ms10-jul.mspx
195
OVAL:11574:
Internet
instalar
las
remota de cdigo
este producto.
La versin del Remote
Desktop Protocol Server
(Terminal Service) (puerto
3389) es vulnerable a un
ataque Man-In-The-Middle.
Existen varios tipos de

defensas para prevenir estos
ataques basados en la
seguridad de autenticacin los
cuales
se
listan
a
continuacin:
Autenticacin con claves
pblicas
Autenticacin
fuerte.
mutua
Aplicar
las
actualizaciones
de
seguridad ms recientes
para de esta forma
mantener los equipos
protegidos.
Obtener las licencias
debidas
para
los
servicios de terminal
server.
recursos
compartidos
administrativos
(C,
D,
ADMIN,
etc.)
estn
Deshabilitar
los
recursos
Ultimo logged-onde usuario

esta visible: De forma
predeterminada, Windows
muestra el ltimo usuario
registrado.
Desactivar
la
accin
usuario registrado.
SMTP: Si este no es un De ser el caso deshabilitar

servidor de correo SMTP, el este servicio.
SMTP
est
activado
innecesariamente.
196
MySQL: Si esto no es un De ser el caso deshabilitar

servidor de base de datos, este servicio.
el servicio MySQL est
POP3: Si esto no es un De ser el caso deshabilitar
servidor de correo POP, el este servicio.
servicio POP3 est activado
innecesariamente.
IMAP4: Si esto no es un De ser el caso deshabilitar
servidor de correo IMAP, el este servicio.
servicio
IMAP4
est
AutoRun
habilitado:
extrables
autorun, pues ste representa
el caso de que un CD o disco
extrable
que
contenga
software
malicioso
se
instalara
automticamente
cuando
se
inserta
el
dispositivo.

de buffer remotos.
funcionando
como
estos servicios.
ms modernas con los
actualizados.
contraseas.
197
OVAL:
12209:
bsqueda no son de
confianza
en
Microsoft
Windows
Program
Converter

se
encuentran
en
la
OVAL:11574:
Internet
instalar
las
remota de cdigo
este producto.
La versin del Remote
Desktop Protocol Server
(Terminal Service) (puerto
3389) es vulnerable a un
ataque Man-In-The-Middle.
Existen varios tipos de

defensas para prevenir estos
ataques basados en la
seguridad de autenticacin los
cuales
se
listan
a
continuacin:
Autenticacin con claves
pblicas
Autenticacin
fuerte.
mutua
Aplicar
las
actualizaciones
de
seguridad ms recientes
para de esta forma
mantener los equipos
protegidos.
SERVIDOR
DOMINIO
DE
Obtener las licencias

debidas
para
los
servicios de terminal
server.
recursos
compartidos
administrativos
(C,
D,
ADMIN,
etc.)
estn
Deshabilitar
los
recursos
198
Ultimo logged-on de usuario Desactivar

la
accin
esta visible
usuario registrado.
SMTP: Si este no es un De ser el caso deshabilitar
servidor de correo SMTP, el este servicio.
SMTP
est
activado
innecesariamente.
POP3: Si este no es un De ser el caso deshabilitar
servidor de correo POP, el este servicio.
servicio
POP3
est
IMAP4: Si esto no es un De ser el caso deshabilitar
servidor de correo IMAP, el este servicio.
servicio
IMAP4
est
AutoRun
habilitado:
extrables
autorun, pues ste representa
un riesgo para la seguridad,
en el caso de que un CD o
disco extrable que contenga
software
malicioso
se
instalara
automticamente
cuando
se
inserta
el
dispositivo.
POP3: Servidores POP3

podran ser vulnerables a
ataques de desbordamiento
de buffer remotos.
Si este equipo no funciona

como servidor de correo se
recomienda deshabilitar este
servicio.
SERVIDOR CITRIX 7
199

no
especificada
en
y Word Viewer 2003 que
permite
a
atacantes
provoca daos en la
memoria.

la
lista
completa
de
OVAL:
12209:
bsqueda no son de
confianza
en
Microsoft
Windows
Program
Converter

se
encuentran
en
la
OVAL:11574:
Internet
instalar
las
remota de cdigo
este producto.
recursos
compartidos
administrativos
(C,
D,
ADMIN,
etc.)
estn
Deshabilitar
los
recursos
ltimo nombre de usuario

loggeado
visible:
Por
defecto, Windows despliega
el ltimo nombre de usuario
que se logge a la
mquina.
Se recomienda que cada vez

que un usuario acceda al
equipo, borre el nombre de
usuario con el que accedi.
Esto para evitar que este
nombre de usuario sea visto
por personas no autorizadas.
Tabla 38: Lista de acciones propuestas para los Componentes Claves de la empresa
30
200
3.3 VALIDACIN DEL PLAN
En base a los resultados y recomendaciones presentados en este proyecto de

titulacin se procedi a mostrar a los altos directivos de la EEQ, cabe recalcar que
en el alcance no est estipulado la ejecucin del presente trabajo por parte de los
autores, por lo que la validacin del mismo correr por parte de las autoridades
pertinentes de la EEQ, sin embargo una vez que se valide ste, se recomienda
seguir los siguientes pasos para que la ejecucin de este trabajo refleje los
resultados esperados:
Se deber crear un equipo de trabajo para el anlisis de los resultados
presentados en este trabajo.
El equipo de trabajo de la empresa deber revisar la informacin de los
riesgos con sus respectivos perfiles identificados para cada activo crtico.
Las autoridades pertinentes de la empresa debern examinar y revisar las
estrategias de proteccin, planes de mitigacin y lista de acciones
propuestas, y de ser el caso cambiarlas o aadir otras, con el objetivo de
que estos se encuentren bien alineados a las necesidades actuales de la
empresa y le permitan cumplir con sus objetivos.
Las autoridades pertinentes debern decidir la forma de aplicar de mejor
manera los resultados entregados en esta evaluacin y en base a eso
apoyar una iniciativa de seguridad continua para toda empresa.
Luego de que la empresa haya analizado las estrategias de proteccin y planes de
mitigaciones propuestas en este proyecto, el mismo quedar listo para su
ejecucin, completando con esto todos los procesos y fases de la metodologa
OCTAVE.
201
Tambin se ha incluido un resumen ejecutivo donde se resumen las principales

caractersticas y aspectos del presente proyecto de titulacin el cual se encuentra
descrito en el anexo F para su respectiva revisin por parte de los altos directivos
de la empresa y del departamento de T.I. de la EEQ.
202
CAPITULO 4: CONCLUSIONES Y RECOMENDACIONES

4.1
CONCLUSIONES
Al realizar un anlisis de las diferentes metodologas para realizar el plan de
contingencia dentro de la empresa se ha podido probar que la metodologa
escogida es la ms adecuada para la realizacin de proyectos como el
presente.
OCTAVE
involucra
desde
el
comienzo
los
principales
niveles
organizacionales de la empresa como son los altos directivos, directivos de

reas operativas y personal en general, garantizando de este modo una
participacin activa y por ende un anlisis de riesgos ms objetivo y en
base a las necesidades actuales de la empresa. Tomando este precedente
se consigui recopilar el conocimiento y criterio de los participantes en lo
referente a los activos que consideran ms importantes dentro de la
empresa, principales reas de inters, requerimientos de seguridad,
prcticas de estrategias de proteccin actual y vulnerabilidades que existen
dentro de la misma, logrando de esta manera una seleccin acertada de los
activos crticos, que para la empresa son fundamentales para su normal
funcionamiento.
La consolidacin de la informacin recopilada, durante las encuestas
realizadas a travs de los tres primeros procesos, fue una tarea muy
importante, ya que ayud principalmente a conocer el entorno tecnolgico y
organizacional actual de la empresa, as como tambin a organizar dicha
informacin en las respectivas hojas de trabajo, y de esta manera poder
continuar con el desarrollo de los siguientes procesos propuestos dentro de
la metodologa.
203
Para la seleccin de los activos crticos y la identificacin de los respectivos

sistemas de inters a los que pertenecen, fue necesario analizar las
funciones que estos cumplen dentro de la empresa y cmo estos apoyan a
la ejecucin de la misin de la misma, para de esta forma poder definir los
diferentes perfiles de amenazas y riesgos y proponer las respectivas
estrategias de proteccin, planes de mitigacin y listas de acciones para
minimizar al mximo los impactos que las amenazas identificadas pueden
causar a la empresa.
La identificacin de los riesgos, que podran darse sobre los activos crticos
de la empresa, fue realizada en base a las principales perfiles de amenazas
a los que stos se ven expuestos y al nivel de impacto que dichas
amenazas podran causar sobre los activos, con lo cual se realiz la
respectiva propuesta del plan de mitigacin para tratar de minimizar al
mximo el impacto que estas amenazas podran causar a la empresa.
La evaluacin de las vulnerabilidades tecnolgicas de cada uno de los
componentes clave identificados fueron hechos con la ayuda de
herramientas automatizadas y especializadas en este tipo de trabajo, con lo
cual se realiz la propuesta de las respectivas acciones que se deberan
tomar para su correccin y normal funcionamiento de dichos componentes.
Se logr realizar el anlisis de riesgos, evaluacin de vulnerabilidades y
elaboracin del plan de contingencia en base a lo propuesto por la
metodologa OCTAVE.
204
4.2
RECOMENDACIONES
Es recomendable la revisin peridica de este plan presentado, ya que la
tecnologa est cambiando constantemente y por ende se generan nuevas
amenazas y riesgos que deben ser controlados para evitar futuros
problemas.
Se recomienda aplicar esta misma metodologa para analizar los riesgos e
impactos, para de esta manera proponer estrategias de proteccin, planes
de mitigacin y lista de acciones, sobre los dems activos que posee la
empresa y que no fueron contemplados en este trabajo.
Se recomienda realizar una priorizacin de los activos crticos de la
empresa, con el objetivo de conocer su respectiva importancia en lo
referente a la consecucin de la misin y objetivos de la misma y de esta
manera garantizar la continuidad de las operaciones a travs de dichos
activos crticos.
Se recomienda que dentro de la empresa exista un grupo de personas que
est monitoreando constantemente las seguridades de los activos crticos y
dems tecnologas de la empresa.
Las estrategias de proteccin, plan de mitigacin y lista de acciones
debern ser difundidas a todo el personal de la empresa.
Se recomienda realizar campaas de concientizacin a todo el personal de
la empresa con el fin de motivar a las personas en cuanto al buen uso de
los activos que manejan y de los cuales son responsables. As tambin se
deber difundir con ms nfasis las polticas actuales, que se manejan
dentro de la organizacin, y las que se desarrollarn en un futuro con
respecto a seguridad de la informacin. Del mismo modo se debern
comunicar las estrategias de proteccin, plan de mitigacin y lista de
acciones propuestas en este trabajo.
205
Se recomienda la revisin, documentacin y actualizacin constante de las

polticas y procedimientos tecnolgicos que posee la empresa, para que se
relacionen con las estrategias de proteccin, planes de mitigacin y listas
de acciones propuestas.
Se recomienda tener planes de capacitacin continua para todo el personal
en lo referente a las estrategias de seguridad, para que estos tengan
conocimiento de la forma de proceder en caso de presentarse alguna
eventualidad. Adems se recomienda que el personal encargado de
sistemas especficos, que son considerados crticos dentro de la empresa y
que se encargan de su gestin y seguridad, sea capacitado en lo referente
a seguridad de la informacin para que tengan conocimiento de cmo
deben administrar y proteger la informacin sensible y de la cual son
responsables.
Es recomendable que la EEQ ponga en funcionamiento todo lo definido
dentro de este proyecto de titulacin.
Se recomienda a la EEQ continuar con la investigacin, anlisis y posterior
implementacin de temas relacionados con la seguridad de la informacin.
Es
recomendable
que
la
EEQ
realice
convenios
con
empresas
especializadas en seguridad de la informacin.

Debido a que, por peticin de la EEQ este proyecto de titulacin fue
realizado nicamente dentro del Departamento de TIC, se recomienda que
se recopile el conocimiento de las dems reas organizacionales, es decir,
los gerentes de otras reas de la empresa para saber en qu podran verse
afectados si los activos crticos antes mencionados se perdieran o
estuvieran inaccesibles. De esta manera se podr tener una perspectiva
ms amplia del anlisis de riesgo de los activos crticos.
206
Por motivos de que la metodologa utilizada para la realizacin de este

proyecto de titulacin, OCTAVE, no contempla la probabilidad de ocurrencia
para lo referente al anlisis de riesgos, se recomienda que se la incorpore
para que as el anlisis de riesgos sea completo.
Debido a que es muy importante saber el costo que tiene la implementacin
de un plan de contingencia, se recomienda que la EEQ realice el posterior
anlisis de costos para todas las recomendaciones que se mencionan
dentro de este plan, para que, de esta manera, la empresa tenga una
perspectiva ms amplia sobre los costos que conllevara la implementacin
del mismo.
207
BIBLIOGRAFA
Libros
CHRISTOPHER, J. Alberts; AUDREY, J. Dorofee. OCTAVESM Method
Implementation Guide. Version 2.0. Estados Unidos. Carnegie Mellon
University. Software Engineering Institute. 2001.
ANDRADE RAMOS, Manuel Ral. Proyecto de Titulacin Anlisis de
Riesgos y Diseo de un Plan de Seguridad de Informacin para el Instituto
Geofsico de la Escuela Politcnica Nacional. 2006.
Pginas web
Metodologas de Anlisis de Riesgos: Noviembre 12 2008
http://secugest.blogspot.com/2008/11/metodologias-de-analisis-deriesgos.html
OCTAVE Method, Carnegie Mellon University, Julio 30 2008

http://www.cert.org/octave/octavemethod.html
MAGERIT: Anlisis y Gestin de riesgos

www.lcc.uma.es/~jignacio/index_archivos/Seguridad.pdf
MEHARI 2010, Club de la Seguridad de los Sistemas de Informacin

Franceses, Julio 2010
www.clusif.asso.fr/fr/production/.../pdf/MEHARI-2010-Introduccion.pdf
208
Metodologa de Anlisis de Riesgos: MAGERIT y OCTAVE, Agosto 12

2010
http://seguridadenlasredes.wordpress.com/2010/08/12/metodologias-deanalisis-de-riesgos-magerit-y-octave/
Plan de Contingencias, Victor Cappuccio, Octubre 25 2009

http://www.monografias.com/trabajos11/plconting/plconting.shtml
Metodologas y planes de contingencia, Conocimientos - La divisa del

nuevo milenio
http://www.conocimientosweb.net/portal/article41.html
Sistema de administracin de riesgos en tecnologa informtica, Alberto

Cancelado
http://www.monografias.com/trabajos14/riesgosinfor/riesgosinfor2.shtml
NTP 308: Anlisis preliminar de la gestin preventiva: cuestionarios de

evaluacin, Febrero 18 2009
http://www.jmcprl.net/ntps/@datos/ntp_308.htm
Conformidad metodolgica : Octave - IS Decisions

http://www.isdecisions.com/es/conformidad/metodologica/octave.cfm
Anlisis de riesgos informticos con OCTAVE, Juan Alvarez

http://www.slideshare.net/fluidsignal/analisis-de-riesgo-informatico-conoctave
209
Artculo analizando
Septiembre 25 2009
un
Plan
de
Contingencia,
HISPASECURITY,
http://www.virusprot.com/Art4.html
OVAL Repository - View Definition, OVAL, Febrero 3 2011

http://oval.mitre.org/repository/
210
GLOSARIO DE TRMINOS
Anlisis de Riesgo: estudio de las causas de las posibles amenazas que se
tendran sobre los activos de una empresa, as como tambin de los daos y
consecuencias que estas amenazas provocaras sobre los mismos.
Amenaza: peligro latente que representa la posible manifestacin de un fenmeno
de origen natural, socio-natural o antropognico, que se anticipa puede producir
efectos adversos en las personas, la produccin, la infraestructura, los bienes y
servicios y el ambiente expuesto.
Impacto: Son las distintas eventualidades que se podran presentar dentro de una
empresa en caso de que la amenaza llegara a materializarse.
Riesgo: es la probabilidad de que una amenaza se cumpla. Es la amenaza ms el
impacto.
Activo: elementos con los que cuenta un sistema de informacin dentro de una
empresa, los cuales aportan algn valor para la misma.
Sistema de informacin: conjunto de elementos relacionados entre s, los cuales
se encargan de procesar datos en funcin de objetivos determinados.
Componentes claves: conjunto de elementos que se relacionan directamente con
los activos de una empresa y cuya funcin influye en la normal actividad de los
mismos.
Vulnerabilidad: debilidad que existe en un activo o sistema de una empresa, el
cual puede permitir ataques de confidencialidad, integridad, disponibilidad o
control de acceso sobre estos componentes.
211
Evaluacin de vulnerabilidades: es el proceso mediante el cual se determina el

grado de exposicin y la tendencia de que un elemento o grupo de elementos se
pierdan.
Plan de contingencia: es un conjunto de medidas tcnicas, humanas y
organizativas para garantizar la continuidad del negocio ante la ocurrencia de
cualquier eventualidad y minimizar al mximo los impactos que estos puedan
ocasionar.
Terminal Service: componente propio de Windows mediante el cual se puede
acceder a aplicaciones o datos almacenados en otros equipos mediante un
acceso remoto de red.
Man-In-The-Middle: es un tipo de ataque en donde el intruso puede leer,
modificar o insertar datos de mensajes que son enviados en forma de paquetes
entre dos equipos sin que los afectados lo noten.
Infraestructura: es el conjunto de elementos que por la funcin que cumplen o el
servicio que brindan dentro de una empresa son fundamentales para el normal
funcionamiento de la misma.
VPN: tecnologa de red que permite conectar a travs de un acceso comn
(internet) dos o ms redes locales que se encuentran fsicamente alejadas.
IDS: programas utilizados para detectar el acceso no autorizado a un equipo o a
una red.
IPS: dispositivos que ejercen control sobre los sistemas de red para evitar posibles
ataques o abusos en un sistema computacional.
Estrategia de proteccin: Es aquella que define la estrategia que una empresa
debe seguir para habilitar, iniciar, implementar y mantener su seguridad interna.
Se enfoca en la organizacin.
212
Plan de Mitigacin: Es aquel que est destinado para reducir el riesgo de los
activos crticos. Esta definicin conforme a la metodologa utilizada.
Listas de accin: Es un listado donde constan las acciones rpidas que se
pueden tomar para eliminar una amenaza.
213
ANEXO A: HOJAS DE TRABAJO UTILIZADAS DENTRO

DE LA METODOLOGA OCTAVE
Formato de la primera encuesta aplicada para recopilar informacin de
Altos Directivos, Directivos de reas Operativas y Personal en
General.
ESCUELA POLITCNICA NACIONAL

ENCUESTA TCNICA
Con el objetivo de tener una perspectiva acerca de los activos de informacin con los que
la Empresa Elctrica Quito hemos realizado esta breve encuesta que nos permitir
conocer su apreciacin en particular respecto a los activos ms importantes con los que
cuenta la misma as como tambin las seguridades que poseen para salvaguardar estos.
Es por esto que le solicitamos, por favor responder lo siguiente:
1. Mencione los activos de informacin que son importantes dentro de la Empresa

Elctrica Quito?
Considere:
Informacin
Sistemas
Software
Hardware
Personas
2. Identifique, segn su criterio, los 5 activos ms importantes de entre los

que mencion en el literal anterior y la razn por la cual los escogi?
Considere:
Informacin
Sistemas
Software
214
Hardware
Personas
3. Cules cree Ud. que son los escenarios en que los activos mencionados en el
literal 2 se veran amenazados?
4. Cules seran los impactos para la organizacin (EEQ) si los escenarios del literal
anterior llegaran a ocurrir?
5. Cules cree Ud. que seran los requerimientos de seguridad ms importantes

para cada uno de los activos de informacin?
Considere:
Confidencialidad
Integridad
Disponibilidad
Otros
6. Cul es el requerimiento de seguridad ms importante?
7. Cules son algunos de los problemas ms importantes que cree que la encuesta
no cubri?
8. Existen polticas especficas, estrategias y prcticas que sean nicas para activos
especficos? Cules son stas?
9. Cree Ud. Que las estrategias de proteccin de su organizacin son efectivas?

Cmo lo sabe?
10. Cules son los sistemas de informacin que procesan y almacenan informacin y
que son utilizados? Entindase por sistemas a una combinacin de activos de

informacin, hardware y software. Por ejemplo clientes, servidores, redes, pueden
ser considerados un sistema.
215
Formato de la segunda encuesta aplicada para recopilar informacin de Altos Directivos, Directivos de
reas Operativas y Personal en General.
Encuesta para Altos Directivos, Directivos de reas Operativas y Personal en General

Prctica
Es esta prctica utilizada en la

organizacin?

Los miembros del personal comprendan sus funciones y responsabilidades de seguridad. Esto
est documentado y verificado
Si
No
No conozco
Hay una adecuada experiencia interna para soportar todos los servicios, mecanismos y
tecnologas (por ejemplo, logging, monitoreo, o el cifrado), incluido su seguro funcionamiento. Esto
est documentado y verificado.
Si
No
No conozco
Existe una concientizacin, formacin y recordatorios peridicos para todo el personal acerca de
las polticas, estrategias y dems temas de seguridad.
Si
No
No conozco
Las estrategias de negocio de la organizacin de forma rutinaria toman en cuenta las

consideraciones de seguridad.
Si
No
No conozco
Las estrategias de seguridad y las polticas toman en cuenta las estrategias de negocio y los
objetivos.de la organizacin
Si
No
No conozco
Las estrategias de seguridad, metas y objetivos se documentan, se revisan, actualizan, y

comunican a la organizacin
Si
No
No conozco
216

Prctica

organizacin?
Se asigna los fondos y recursos suficientes para las actividades de seguridad de la informacin.
Si
No
No conozco
Las funciones de seguridad y las responsabilidades se definen para todo el personal de la

organizacin
Si
No
No conozco
La contratacin y finalizacin de prcticas del personal dentro la organizacin toma en cuenta

problemas en la seguridad de la informacin.
Si
No
No conozco
La organizacin gestiona los riesgos de seguridad de la informacin incluyendo,
Si
No
No conozco
Si
No
No conozco
La organizacin tiene un conjunto completo de documentacin de las polticas actuales que son
peridicamente revisados y actualizados
Si
No
No conozco
Existe un proceso documentado para la gestin de las polticas de seguridad, incluida la
Si
No
No conozco
Evaluacin de riesgos de seguridad de la informacin
tomando medidas para mitigar los riesgos a un nivel aceptable
La administracin recibe y acta sobre los informes de rutina que resumen la informacin
relacionada con la seguridad (por ejemplo, auditoras, registros, evaluaciones de riesgos y
vulnerabilidad).
Polticas y reglamentos de Seguridad
creacin
administracin (incluidas las revisiones y actualizaciones peridicas)
comunicacin
217

Prctica

organizacin?
La organizacin tiene un proceso documentado para evaluar y garantizar el cumplimiento de las

polticas de seguridad de la informacin
Si
No
No conozco
La organizacin aplica de manera uniforme sus polticas de seguridad
Si
No
No conozco
Si
No
No conozco
Si
No
No conozco
Si
No
No conozco

La organizacin tiene polticas y procedimientos para proteger la informacin cuando se trabaja
con organizaciones externas (por ejemplo, los terceros, colaboradores, subcontratistas o socios),
incluyendo
proteccin de la informacin pertenecientes a otras organizaciones
la comprensin de la polticas de seguridad y procedimientos de las organizaciones

externas
finalizacin del acceso a la informacin por finalizar contrataciones con terceras personas.
La organizacin comprueba que los servicios de seguridad, mecanismos y tecnologas externas

cumplan sus necesidades y requerimientos.
Se han realizado anlisis de las operaciones, aplicaciones, datos y su criticidad antes eventuales
situaciones
218

Prctica
La organizacin ha documentado, revisado y probado

organizacin?
Si
No
No conozco
Las contingencias, recuperacin de desastres y planes de continuidad de negocio consideran los

requisitos y controles de acceso fsico y electrnico.
Si
No
No conozco
Todo el personal son:
Si
No
No conozco
Los planes de seguridad de las instalaciones y los procedimientos para salvaguardar las
instalaciones, edificios, y las reas restringidas son documentados y probados.
Si
No
No conozco
Existen polticas y procedimientos documentados para la gestin de los visitantes.
Si
No
No conozco
Existen polticas y procedimientos documentados para el control fsico de hardware y software
Si
No
No conozco
Planes de continuidad del negocio o planes de operacin de emergencia
Planes de recuperacin de desastres
Plan de contingencia para responder a las emergencias
Est consciente de la existencia de los planes de contingencia y planes de recuperacin de

desastres
Han entendido y son consientes de cumplir con sus responsabilidades

Seguridad fsica, planes y procedimientos
219

Prctica

organizacin?
Seguridad de acceso fsico

Existen polticas y procedimientos documentados para el control de acceso fsico a las reas de
trabajo, el hardware (ordenadores, dispositivos de comunicacin, etc) y los medios de
comunicacin de software.
Si
No
No conozco
Las estaciones de trabajo y otros componentes que permiten el acceso a la informacin sensible
estn fsicamente protegidos para evitar el acceso no autorizado.
Si
No
No conozco
Los planes de seguridad para salvaguardar los sistemas y redes son documentados y probados
Si
No
No conozco
Existen pruebas y documentacin de los planes de backups tanto para software como para
hardware. Todo el personal entiende sus responsabilidades en funcin de estos planes
Si
No
No conozco
Si
No
No conozco
Existen procedimientos documentados para la identificacin, notificacin y respuesta a incidentes

de seguridad sospechosos y violaciones.
Si
No
No conozco
Los procedimientos de gestin de incidentes son probados peridicamente, verificados y

actualizados
Si
No
No conozco
Existen polticas y procedimientos documentados para trabajar con los organismos de aplicacin
de la ley.
Si
No
No conozco
Gestin de redes y sistemas
Autenticacin y Autorizacin
Existen polticas y procedimientos documentados para establecer y finalizar el derecho de acceso
a la informacin tanto para los individuos como para los grupos.
Gestin de Incidentes
220

Prctica

organizacin?
Practicas generales del Personal

Los miembros del personal siguen buenas prcticas de seguridad, tales como:
Si
No
No conozco
Todo el personal en todos los niveles de responsabilidad pone en prctica sus funciones
asignadas y la responsabilidad de la seguridad de la informacin.
Si
No
No conozco
Existen procedimientos documentados para la autorizacin y el control de todo el personal

(incluidos contratistas, socios, colaboradores y personal de organizaciones de terceros) quienes
trabajan con informacin sensible o que trabajan en lugares donde la informacin reside.
Si
No
No conozco
Asegurar la informacin de la que son responsables
No divulgar informacin confidencial a otras personas (resistencia a la ingeniera

social)
Tener la capacidad adecuada para manejar el hardware y software de tecnologa de

la informacin
Uso de prcticas de buenas contraseas
Comprensin y seguimiento de las polticas y reglamentos de seguridad
Capacidad de Reconocer y reportar incidentes
Tabla A. 1: Encuestas para Altos Directivos, Directivos de reas Operativas y Personal en General
221
Hoja de trabajo de Activos: Altos Directivos

Grupo de Activos
Altos directivos
Activos importantes
Otros activos
Tabla A. 2: Hoja de trabajo de Activos: Altos Directivos
222
Hoja de trabajo de Activos: Directivos de reas Operativas

Grupo de Activos
Activos importantes
Otros activos
Tabla A. 3: Hoja de trabajo de Activos: Directivos de reas Operativas
223
Hoja de trabajo de Activos: Personal en General

Grupo de Activos
Personal en General
Activos importantes
Otros activos
Tabla A. 4: Hoja de trabajo de Activos: Personal en General
224
Hoja de trabajo: Grupo de Requerimientos de Seguridad para Activos

Activo:
Requerimientos de Seguridad
Nivel Organizacional:
DISPONIBILIDAD
CONFIDENCIALIDAD
INTEGRIDAD
OTROS
Tabla A. 5: Hoja de trabajo: Grupo de Requerimientos de Seguridad para Activos
Hoja de trabajo: Grupo de reas de Inters

Grupo de reas de Inters
Activo:
reas de inters de.
Impacto
Tabla A. 6: Hoja de trabajo: Grupo de reas de Inters
225
Hoja de trabajo: Refinamiento de Requerimientos de seguridad

Activo:
Requerimiento de Seguridad
CONFIDENCIALIDAD
INTEGRIDAD
DISPONIBILIDAD
OTROS
Tabla A. 7: Hoja de trabajo: Refinamiento de Requerimientos de seguridad
226
ANEXO B: HOJAS DE TRABAJO CON INFORMACIN

RECOPILADA
Hoja de trabajo con informacin de Activos: Altos Directivos
Grupo de Activos
Altos directivos
Activos importantes
Sistema SIDECOM y SCADA
El sistema SCADA es uno de los ms

importantes dentro de la EEQ, con el cual
se determina el estado de los principales
componentes
elctricos
de
36
subestaciones de la EEQ, realizar
operaciones
en
los
sistemas
de
subtrasmisin y distribucin, realizar
telecontrol y adquisicin de datos.
El sistema SIDECOM se encarga de
apoyar toda la gestin comercial que
realiza la EEQ, desde que un cliente
nuevo ingresa hasta que se le realiza la
conexin del servicio.
Red de fibra ptica que conecta las 40

subestaciones y edificios principales de la
EEQ para sus sistemas SCADA, tele
proteccin y aplicaciones corporativas.
Ya que mediante este activo se mantiene

la comunicacin entre las subestaciones
de la organizacin de la EEQ as como
tambin para realizar el manejo de sus
principales aplicaciones.
Servidores para aplicaciones y bases de

datos.
Este activo es muy importante debido a

que en estas mquinas se encuentra
alojado informacin importante para la
EEQ (Ej. Informacin de clientes,
informacin de empleados, etc.), as como
tambin todas las aplicaciones, bases de
datos controladores del dominio, etc. Las
cuales son de vital importancia para el
227
Data Center con instalaciones elctricas con

protecciones y
sistemas de respaldo de
energa (UPS) con acondicionamiento del
ambiente (Sistemas de Aire Acondicionado y
Ventilacin) para los sitios de concentracin
del respectivo equipamiento informtico y de
comunicaciones, sistema de control de
accesos y sistema contra incendio.
Es muy importante ya que es necesario

mantener un adecuado lugar para los
principales equipos informticos con los
que se maneja la empresa, ya que si estos
sufren algn desperfecto conllevara una
importante prdida para la organizacin
Informacin de los clientes, del sistema Esto debido a que por la naturaleza de la
elctrico y empleados de la EEQ. S.A.
organizacin esta informacin debe ser
mantenida de una manera especial y
sobre todo debe estar bien protegida.
Otros activos
Sistemas de Bases de Datos con licenciamiento y de tipo software libre.
Estaciones de trabajo de tipo escritorio (CPUs y dispositivos de E/S) y equipos

porttiles (Laptops, notebooks y PDAs), para los diferentes usuarios de la
EEQ. S.A.
Equipos para copia e impresin fsica de documentos en papel (Impresoras

matriciales, inyeccin a tinta, lser y copiadoras).
Aplicaciones de seguridad para el equipo de usuario.
Instalaciones elctricas con protecciones y sistemas de respaldo de energa

(UPS y APS) con acondicionamiento del ambiente (Sistemas de Aire
Acondicionado y Ventilacin) para los sitios de concentracin del respectivo
equipamiento informtico y de comunicaciones.
Sistemas Operativos para servidores con licenciamiento y de tipo software

libre.
Tabla B. 1: Hoja de trabajo con informacin de Activos: Altos Directivos
228
Hoja de trabajo con informacin de Activos: Directivos de rea

Operativas
Grupo de Activos
Activos importantes
Equipamiento de comunicaciones para redes El equipamiento de comunicaciones de tipo voz
LAN,
WAN,
MAN
y
seguridad
de o datos permite el transporte de la informacin
del estado de las diferentes instalaciones de la
comunicaciones.
EEQ. S.A. que prestan el servicio tanto de
generacin como de distribucin elctrica hacia
Enlaces de comunicaciones en diferentes
los diferentes abonados del servicio as como
medios de transmisin (Fibra ptica, cobre y los puntos de interconexin con el sistema
nacional interconectado de energa elctrica, lo
espectro radioelctrico).
cual permite tomar decisiones oportunas ante
eventualidades presentadas en dicho sistema
elctrico.
Servidores para aplicaciones y bases de

datos.
Este activo es muy importante debido a que en

estos se encuentra la informacin que maneja la
EEQ.
Aplicaciones para el monitoreo del estado de Este activo se encarga de monitorear los
los sistemas de comunicaciones y monitoreo diferentes sistemas de comunicacin y base de
datos de la EEQ con el objetivo de detectar
de bases de datos.
fallas o daos en el mismo y as poder
resolverlos rpidamente.
Sistemas de respaldo de energa (UPS y APS)
para los sitios de concentracin del respectivo
equipamiento
informtico
y
de
comunicaciones.
Este activo es importante para la EEQ debido a

que en caso de falla de energa u otra
eventualidad parecida que se presente en estos,
se pueda dar un rango de tiempo para respaldar
la informacin que se est manejando en ese
momento as como tambin proceder al correcto
apagado para evitar daos en los mismos.
Otros activos
Estaciones de trabajo de tipo escritorio (CPUs y dispositivos de E/S) y equipos
porttiles (Laptops, notebooks y PDAs), para los diferentes usuarios de la EEQ.
S.A.
Equipos de comunicacin mvil (Mdems de acceso a Internet Banda ancha).
Sistemas Operativos para servidores con licenciamiento y de tipo software libre.
229
Sistemas de Bases de Datos con licenciamiento y de tipo software libre.
Informacin de los clientes, del sistema elctrico y empleados de la EEQ. S.A.
Tabla B. 2: Hoja de trabajo con informacin de Activos: Directivos de rea Operativas
Hoja de trabajo con informacin de Activos: Personal en General

Grupo de activos
Personal en general
Activos importantes
Aplicaciones transaccionales y de informacin

utilizadas en la EEQ. S.A. Como por ejemplo:
Sistema SIDECOM, SCADA, entre los
principales.
Estas aplicaciones son muy importantes debido

a que apoyan al desempeo diario de las tareas
del personal as como tambin a la actividad
principal de la empresa que es la de brindar un
servicio especfico a la poblacin.
Estaciones de trabajo y equipos porttiles Este es un activo importante ya que sin stos, el
para cada uno de los usuarios que labora en personal que hace uso de los mismos y que
la EEQ.
labora en la EEQ no podra realizar su trabajo
diario. Sin stos equipos se tendra una
paralizacin en las tareas diarias que cumple el
personal.
Aplicaciones de seguridad para los equipos de La razn de su seleccin es debido a la
usuarios.
importancia de tener protegida la informacin
que cada usuario maneja dentro de cada
equipo.
Aplicaciones de oficina y herramientas Esto debido a que con estas herramientas el
usuario realiza la mayora de sus tareas diarias,
utilizadas por el usuario final en la EEQ.
las mismas que son de gran importancia para la
empresa.
Medios de almacenamiento fsico (memory
flash, pen drive, discos duros externos, CDs,
DVDs, cintas magnticas y diskettes).
Estos son muy importantes para respaldar

informacin de la empresa as como tambin
trasladar dichos respaldo a una ubicacin
geogrfica distinta para preservar los mismos.
Tabla B. 3: Hoja de trabajo con informacin de Activos: Personal en General
230

de Altos Directivos
Activo: Sistema SCADA y SIDECOM
Nivel Organizacional: Altos Directivos
DISPONIBILIDAD
Estos sistemas deben estar disponibles 24/7
CONFIDENCIALIDAD
El ingreso a este sistema debe permitirse solo a
personas autorizadas
Activo: Servidores de aplicaciones y bases de

datos.
CONFIDENCIALIDAD
Seguridad fsica (restriccin de ingreso a
personal no autorizado)
OTROS
procedimientos para la seguridad fsica
Activo: Red de fibra ptica que conecta las 40

subestaciones y edificios principales de la EEQ
para sus sistemas SCADA, tele proteccin y
aplicaciones corporativas
OTROS
Administrador de redes y comunicaciones de la
empresa.
Activo: Data Center

con instalaciones
elctricas con protecciones y sistemas de
respaldo de energa (UPS)
OTROS
Adecuada seleccin y mantenimiento del lugar
donde se encuentre el Data Center.
procedimientos para la adecuacin y
mantenimiento de las instalaciones del data
center.
Activo: Informacin de los clientes, del sistema

CONFIDENCIALIDAD
Administracin de permisos para acceder a la
informacin.
OTROS
Obtencin de respaldos y ubicacin de los
mismos dentro de las instalaciones y fuera de
ellas.
Creacin e implementacin de polticas para la
asignacin de permisos para el acceso a la
informacin.
Creacin e implementacin de polticas para la
obtencin de respaldos y ubicacin de los
mismos.
Tabla B. 4: Hoja de trabajo: Grupo de Requerimientos de Seguridad para Activos de Altos
Directivos
231

de Directivos de reas Operativas
Activo: Equipamiento de comunicaciones para

redes LAN, WAN, MAN y seguridad de
comunicaciones.
Nivel Organizacional: reas Operativas
OTROS
procedimientos para la deteccin de delito
informtico.
Activo: Enlaces de comunicaciones en diferentes

medios de transmisin (Fibra ptica, cobre y
espectro radioelctrico).
OTROS
Monitoreo de la infraestructura de redes y
comunicaciones.
Monitoreo de la infraestructura de redes y

comunicaciones
Activo: Servidores para aplicaciones y bases de
datos.
CONFIDENCIALIDAD
Seguridad fsica (restriccin de ingreso a
personal no autorizado)
Activo: Aplicaciones para el monitoreo del

estado de los sistemas y monitoreo de bases de
datos
OTROS
Monitoreo de aplicaciones existentes
OTROS
procedimientos para la seguridad fsica
Activo: Sistemas de respaldo de energa (UPS y

APS) para los sitios de concentracin del
respectivo equipamiento informtico y de
comunicaciones.
OTROS
Adecuada seleccin y mantenimiento de los
sistemas de respaldo de energa.
Tabla B. 5: Hoja de trabajo: Grupo de Requerimientos de Seguridad para Activos de

232

del Personal en General
Activo: Aplicaciones transaccionales y

informacin utilizadas en la EEQ. S.A.
Nivel Organizacional: Personal en General
OTROS
de
Activo: Aplicaciones de oficina y herramientas

utilizadas por el usuario final en la EEQ.
DISPONIBILIDAD
Que estas herramientas se encuentren disponibles
para cuando el usuario las necesite.
Activo: Aplicaciones de seguridad para el equipo

de usuario.
OTROS
Activo: Medios de almacenamiento fsico

(memory flash, pen drive, discos duros externos,
CDs, DVDs, cintas magnticas y diskettes).
OTROS
Establecer polticas de seguridad para prohibir la
extraccin de informacin confidencial fuera de
las instalaciones a travs de medios de
almacenamiento fsicos.
Activo: Estaciones de trabajo y equipos

porttiles para cada uno de los usuarios que
labora en la EEQ.
OTROS
Sistema de respaldo de informacin sensible
Tabla B. 6: Hoja de trabajo: Grupo de Requerimientos de Seguridad para Activos del

Personal en General
233
Hojas de trabajo: Grupo de reas de Inters para Activos de Altos

Directivos
Activo: Sistema SIDECOM y SCADA.
reas de inters de los altos directivos
Impacto
La empresa dejara de operar como lo hace
normalmente, es decir, las tareas diarias de
la organizacin que son realizadas a travs
de estos sistemas no podran ser llevadas a
cabo.
Desastres naturales
Terrorismo y/o vandalismo contra los sitios

donde residen los activos.
De igual manera que con el anterior

impacto, la empresa se paralizara si los
sitios donde residen los activos de
informacin llegaran a sufrir algn dao.
Tabla B. 7: Hoja de trabajo: Grupo de reas de Inters para Activos de Altos Directivos
Sistema SIDECOM Y SCADA

Activo: Red de fibra ptica que conecta las 40 subestaciones y edificios principales de la
EEQ para sus sistemas SCADA, tele proteccin y aplicaciones corporativas.
Desastres naturales
Impacto
Daos severos o prdida total de la
infraestructura de fibra ptica.
Prdida de la comunicacin con las dems
empresa.
Dao total o parcial de la infraestructura de

fibra ptica.
Prdida de la comunicacin con las dems

empresa.
234
Interrupcin.
Tiempo de restauracin de la comunicacin

en caso de interrupcin en la misma.
Tabla B. 8: Hojas de trabajo: Grupo de reas de Inters para Activos de Altos Directivos Red
de Fibra ptica que conecta las 40 subestaciones y edificios principales de la EEQ

Activo: Servidores para aplicaciones y bases de datos, entre otros.
Desastres naturales
Impacto
Daos incalculables en las instalaciones
donde se encuentran estos servidores que
por ende afectara a toda la organizacin
de forma severa, ya que en ellos se
encuentra informacin importante y de
utilidad para la empresa. As tambin el
impacto sera econmico ya que se tendra
que repararlos de ser posible o adquirir
nuevos servidores para reemplazar los
anteriores.
Robo o prdida de informacin valiosa para
la empresa, la misma que reside dentro de
los servidores de bases de datos.

Interrupcin.
Dao
en
la
infraestructura
de
comunicaciones y del sitio donde se
encuentran los sistemas informticos.
Acceso a informacin a la cual no estn
autorizadas personas pertenecientes a la
empresa o personas ajenas a ella
Mal uso de la informacin ya que puede
ocasionarse revelacin o distribucin
inapropiada de la misma.
Tiempo de restauracin as como posible
inversin de dinero para poder solucionar
dicha interrupcin.
Tabla B. 9: Hojas de trabajo: Grupo de reas de Inters para Activos de Altos Directivos.
Servidores para aplicaciones y bases de datos, entre otros
235

Activo: Data Center con instalaciones elctricas con protecciones y sistemas de respaldo
de energa (UPS)
Desastres naturales
Impacto
Prdida de la infraestructura del datacenter,
es decir los equipos que forman parte de
ste.
Prdida monetaria al realizar la compra de
nuevos equipos en caso de daos
irreparables a dicha infraestructura.

Interrupcin.
Robo o prdida de los equipos que forman

parte del data center as como tambin de
su dems infraestructura como los UPS.
Prdida monetaria al realizar la adquisicin
de nueva infraestructura para el data center
en caso de producirse el robo o la
destruccin del mismo.
Tiempo de restauracin que tomara en

adecuar nuevamente el data center para
ponerlo en operacin nuevamente.
Tabla B. 10: Hojas de trabajo: Grupo de reas de Inters para Activos de Altos Directivos
Data Center con instalaciones elctricas con protecciones y sistema de respaldo de energa
(UPS)
236

Activo: Informacin de los clientes, del sistema elctrico y empleados de la EEQ. S.A.
Impacto
Dao o prdida total de dicha informacin
vital para la empresa.
Desastres naturales
Impacto econmico que implicara la

prdida de informacin sensible y de suma
importancia para el normal desempeo de
la empresa como es la informacin de sus
abonados o del personal que labora en la
misma.
Tiempo de restauracin que tomara la
recuperacin de la informacin a partir de
sus respectivos respaldos.
Interrupcin.
Tabla B. 11: Hojas de trabajo: Grupo de reas de Inters para Activos de Altos Directivos
Informacin de los clientes, del sistema elctrico y empleados de la EEQ. S.A.
Hojas de trabajo: Grupo de reas de Inters para Activos de Directivos

de reas Operativas.
Activo: Equipamiento de comunicaciones para redes LAN, WAN, MAN y seguridad de
comunicaciones.
reas de inters de los directivos de reas
operativas
Impacto
Desastres naturales
Dao total o parcial de este equipamiento

para las distintas redes implementadas.

Dao total o parcial de este equipamiento

para las distintas redes implementadas.
Tabla B. 12: Hojas de trabajo: Grupo de reas de Inters para Activos de Directivos de reas
Operativas. Equipamiento de comunicaciones para redes LAN, WAN, MAN y
seguridad de comunicaciones
237

Activo: Enlaces de comunicaciones en diferentes medios de transmisin (Fibra ptica,
cobre y espectro radioelctrico).
operativas
Impacto
Dao parcial o permanente en la
infraestructura de comunicacin de la
empresa
Desastres Naturales
donde reside los sistemas informticos y de
comunicaciones
Dao parcial o total a la infraestructura de

comunicacin de la empresa.
Operativas. Enlaces de comunicaciones en diferentes medios de transmisin (Fibra
ptica, cobre y espectro radioelctrico

Activo: Servidores para aplicaciones y bases de datos, entre otros.
operativas
Desastres naturales
Impacto
Un desastre natural causara muchos
daos fsicos para los servidores y
principalmente para toda la informacin que
stos almacenan en su interior. Adems se
tendra un impacto tambin grande que es
el econmico, ya que se tendra que
reparar dichos servidores de ser posible o
adquirir nuevos servidores para reemplazar
los anteriores.
238

Si se produjera un Robo o prdida de estos

equipos se estara difundiendo de cierta
manera la informacin valiosa que contiene
ese servidor,
Dao
en
la
infraestructura
de
comunicaciones y del sitio donde se
encuentran los sistemas informticos.
El impacto causado sera un acceso no
autorizado a los servidores de la empresa.
Mal uso de la informacin ya que puede
ocasionarse revelacin o distribucin
inapropiada de la misma.
El tiempo de restauracin as como posible
inversin de dinero para poder solucionar
dicha
interrupcin
seran
grandes
dependiendo del volumen de informacin
que se tenga al momento del incidente y la
misma que debe ser recuperada.
Interrupcin.
Operativas. Servidores para aplicaciones y bases de datos, entre otros

Activo: Aplicaciones para el monitoreo del estado de los sistemas de comunicaciones y bases
de datos.
operativas
Impacto
Acceso a las aplicaciones por parte de
usuarios no autorizados, los mismos que
podran causar dao o sabotaje parcial o
total en los mismos.
Operativas. Aplicaciones para el monitoreo del estado de los sistemas de
comunicaciones y bases de datos.
239

Activo: Sistemas de respaldo de energa (UPS y APS) para los sitios de concentracin del
respectivo equipamiento informtico y de comunicaciones.
operativas
Impacto
Desastres Naturales
Dao total o parcial en el activo mencionado.

comunicaciones
Dao total o parcial en el activo mencionado.
Operativas. Sistemas de respaldo de energa (UPS y APS) para los sitios de
concentracin del respectivo equipamiento informtico y de comunicaciones
Hojas de trabajo: Grupo de reas de Inters para Activos de Personal

en General
Activo: Aplicaciones transaccionales y de informacin utilizadas en la EEQ. S.A.
reas de inters del personal
Impacto
Acceso a las aplicaciones por parte de
usuarios no autorizados.
Tabla B. 17: Hojas de trabajo: Grupo de reas de Inters para Activos de Personal en
General. Aplicaciones transaccionales y de informacin utilizadas en la EEQ. S.A
240

Activo: Estaciones de trabajo y equipos porttiles para cada uno de los usuarios que labora
en la EEQ
Impacto
Desastres Naturales
Dao total o parcial en el activo mencionado,

lo que ocasionara una posible prdida del
mismo.

comunicaciones

mismo.
General. Estaciones de trabajo y equipos porttiles para cada uno de los usuarios
que labora en la EEQ

Activo: Aplicaciones de seguridad para el equipo de usuario.
Impacto
Acceso no autorizado a las aplicaciones
pudiendo obtener o daar informacin
sensible que se maneje a travs de la misma.
General. Aplicaciones de seguridad para el equipo de usuario
241

Activo: Medios de almacenamiento fsico (memory flash, pen drive, discos duros externos,
CDs, DVDs, cintas magnticas y diskettes).
Impacto
Desastres naturales

mismo. As tambin se tendra una prdida
de la informacin que stos contienen.
Dao en los equipos o sabotaje


comunicaciones

General. Medios de almacenamiento fsico (memory flash, pen drive, discos duros
externos, CDs, DVDs, cintas magnticas y diskettes).
Hoja de trabajo: Seleccin de Activos Crticos

Activo
SIDECOM Sistema de Comercializacin
Razn
Fue seleccionado como crtico debido a
que este es un sistema que apoya a toda la
gestin comercial que realiza la EEQ,
desde que un cliente nuevo ingresa hasta
que se le realiza la conexin del servicio.
As tambin realiza toda la gestin posterior
de administracin, atencin al cliente,
facturacin, recaudacin, etc., es decir,
este sistema es esencial para las tareas
diarias de la EEQ. La falta de este sistema
hara que la empresa quede inoperativa y
sin poder dar la atencin respectiva a sus
clientes.
242
Infraestructura de Red y Cableado
Fue seleccionado ya que mediante este

activo se realiza el transporte y difusin de
informacin entre las subestaciones de la
organizacin de la EEQ as como tambin
se mantiene el funcionamiento en lnea de
varias aplicaciones utilizadas tales como
SCADA, entre otras aplicaciones
corporativas utilizadas diariamente. Si esta
red no est en constante funcionamiento la
EEQ no podra realizar sus actividades
diarias.
Informacin de los clientes, del sistema Esto debido a que por la naturaleza de la
organizacin esta informacin debe ser
mantenida de una manera especial y sobre
todo debe estar bien protegida.
Del mismo modo la informacin de los
empleados que laboran en la EEQ debe ser
manejada de forma especial dentro de la
organizacin.
Servidores
Debido a que en estas mquinas se

encuentra alojado informacin importante
para la EEQ (Ej. Informacin de clientes,
informacin de empleados, etc.), as como
tambin todas las aplicaciones, bases de
datos controladores del dominio, etc. Las
cuales son de vital importancia para el
SCADA Sistema de Control y Adquisicin El sistema SCADA es uno de los ms

de datos
importantes dentro de la EEQ, con el cual
se determina el estado de los principales
componentes
elctricos
de
36
subestaciones de la EEQ, realizar
operaciones
en
los
sistemas
de
subtrasmisin y distribucin, realizar
telecontrol y adquisicin de datos.
Estaciones de Trabajo y Equipos Porttiles Este es un activo importante ya que sin
de la EEQ.
stos, el personal que hace uso de los
mismos y que labora en la EEQ no podra
243
realizar su trabajo diario. Sin stos equipos

se tendra una paralizacin en las tareas
diarias que cumple el personal.
Tambin debido a que el personal maneja
el correo interno a travs de las PCs, as
como tambin la conexin a internet y se
conectan a travs de este a los principales
servidores para hacer uso de las
aplicaciones que se utilizan en la EEQ.
Tabla B. 21: Hoja de trabajo: Seleccin de Activos Crticos
Hoja de trabajo: Refinamiento de Requerimientos de Seguridad para

Activos Crticos
Activo: SIDECOM Sistema de Comercializacin
CONFIDENCIALIDAD
Permitir el acceso a esta aplicacin solo a personal autorizado de la EEQ.

El personal de la EEQ debe ingresar a esta aplicacin de acuerdo a perfiles de usuario, con
los cuales podr manejar nicamente la informacin necesaria para realizar su trabajo.
INTEGRIDAD
Integridad de los datos que se maneja dentro de este sistema.

Tener polticas y procedimientos para realizar respaldos con la frecuencia que sea
necesaria, y as poder tener toda la informacin ntegra y consistente.
DISPONIBILIDAD
El servicio provedo por esta aplicacin debe ser 24/7, es decir que debe estar disponible en
cualquier momento.
Tabla B. 22: Hoja de trabajo: Refinamiento de Requerimientos de Seguridad para Activos

Crticos. SIDECOM Sistema de Comercializacin
244
Activo: Infraestructura de Red y Cableado

CONFIDENCIALIDAD
La configuracin de cada uno de los dispositivos fsicos que forman parte de la red, deben
ser conocidas y ejecutadas nicamente por el personal calificado para esta tarea.
Implementar un control de acceso para que nicamente personas autorizadas puedan
conectarse por medio de esta infraestructura.
INTEGRIDAD
Poseer polticas de respaldo de todas las configuraciones de cada uno de los dispositivos
de la red.
El hardware de la infraestructura de la red debe ser modificado nicamente por personal
que conozca del mismo
Poseer polticas de proteccin de los componentes de esta infraestructura, en caso de que
se produzcan acontecimientos como desastres naturales entre otros.
DISPONIBILIDAD
Continua operatividad de la red, en lo posible, 24/7.

Disponibilidad de la red todo el tiempo, ya que las aplicaciones y dems estaciones de la
EEQ requieren estar interconectadas siempre.
OTROS
Control de acceso: La conexin a la red de fibra ptica debe permitirse nicamente a
equipos autorizados, sean estos internos o externos a la EEQ.
Administrador de redes y comunicaciones de la empresa.

Crticos. Infraestructura de Red y Cableado
245
Activo: Servidores
CONFIDENCIALIDAD
El acceso a los servidores ya sea lgica o fsica debe contar con un proceso de
autenticacin de usuarios.
Debe existir polticas de perfiles de usuarios para accesar a los servidores.
INTEGRIDAD
La informacin almacenada dentro de los servidores solo podr ser modificada por personal
autorizado y con los permisos respectivos.
La informacin que se almacene dentro de los servidores deber ser siempre completa y
exacta.
Se debe contar con un plan de recuperacin de desastres o siniestros.
Planificacin de respaldos de la informacin que se aloja en los servidores.
DISPONIBILIDAD
Los servicios y la informacin provedos por los Servidores deber estar disponible en
cualquier momento que sea requerido.
Los servidores activos debern estar en funcionamiento todo el tiempo.
OTROS
Adecuada seleccin y mantenimiento del lugar donde se encuentran los servidores
Creacin e implementacin de polticas y procedimientos para la adecuacin y
mantenimiento de los servidores.

Crticos. Servidores
246
Activo: SCADA Sistema de control y adquisicin de datos

CONFIDENCIALIDAD
La informacin que se maneja y almacena dentro de este sistema deber ser realizada
solamente por personal autorizado
Debe existir polticas de perfiles de usuarios para accesar a la informacin y servicios que
brinda este sistema.
INTEGRIDAD
Los datos almacenados en el sistema SCADA podr ser modificada por personal autorizado
y con los permisos respectivos.
Los datos que se almacene en el sistema SCADA deber ser siempre completa y exacta.
Deber existir polticas de respaldo con el fin de salvaguardar la informacin y los datos que
provee este sistema.
DISPONIBILIDAD
Este sistema as como tambin los servicios que esta proporciona debern estar en
funcionamiento siempre 24/7.
Se deber garantizar el correcto funcionamiento de cada uno de los servicios
proporcionados por el sistema SCADA.
OTROS
Se deber contar con personal debidamente capacitado para el manejo y administracin de
este sistema.
Creacin e implementacin de polticas y procedimientos para el mantenimiento y
monitoreo de este sistema.

Crticos. SCADA Sistema de control y adquisicin de datos
247
Activo: Estaciones de trabajo y equipos porttiles de la EEQ

CONFIDENCIALIDAD
El acceso a las estaciones de trabajo y equipos porttiles deber contar con un proceso de
autenticacin de usuarios.
No se deber permitir la divulgacin de informacin confidencial que se encuentres dentro
de este activo.
INTEGRIDAD
La informacin contenida dentro de este activo solo podr ser modificada por el usuario que
cuente con los permisos suficientes.
Planificacin de respaldos de la informacin que se aloja en este activo
DISPONIBILIDAD
Ya que esta es la principal herramienta de trabajo para el personal de la EEQ. Estos

equipos sirven como dispositivos de almacenamiento de informacin relacionada a la EEQ,
tambin a travs de estos los usuarios tienen acceso al correo interno de la empresa y
dems servicios proporcionados.
OTROS
Sistema de seguridad de ingreso

Crticos. Estaciones de trabajo y equipos porttiles de la EEQ
248
ANEXO C: INVENTARIO DE SERVIDORES DE LA

EMPRESA ELCTRICA QUITO
Los servidores con los que cuenta la EEQ son especificados en las siguientes
tablas, las cuales fueron realizadas con la informacin proporcionada por la EEQ:
Servidor IBM RS-6000 SP
ITEM
Procesador
Memoria
Disco Duro
Sistema Operativo
Servicios
CARACTERISTICA
4 procesadores de 400 MHZ
1 GB de RAM.
RACK discos 80 GB
AIX 4.3
- Servidor Base de Datos,
- SIDECOM, RH, Financiero
(Sistema Comercial y
Administrativo-Financiero)
- ORACLE 7.3.4.
Tabla C.1: Servidor IBM RS-600 SP
Servidor IBM RS 6000 GH1

ITEM
Procesador
Memoria
Disco Duro
Sistema Operativo
Servicios
CARACTERISTICA
1 GB de RAM.
RACK discos 74 GB
AIX 4.3
- Servidor Base de Datos,
- Sistemas tcnicos (GIS,
Distribucin, UIA).
- ORACLE 8.1
Tabla C.2: Servidor RS 6000 GH1
Servidor IBM RS 6000 B80

ITEM
Procesador
Memoria
Disco Duro
Sistema Operativo
Servicios
CARACTERISTICA
512 MB de RAM.
Disco Interno 36 GB
AIX 4.3
- Servidor Aplicaciones.
- Administrativo Financiero
249
Correo Interno (Nueva Versin 3

Capas y Cliente servidor)
Developer 2000 Server
ORACLE 9.1
Tabla C.3: Servidor RS 6000 B 80

ITEM
Procesador
Memoria
Disco Duro
Sistema Operativo
Servicios
CARACTERISTICA
512 MB de RAM.
Disco Interno 18 GB
AIX 4.3
- Servidor Aplicaciones.
- Comercializacin (Nueva Versin
3 CAPAS y Cliente Servidor)
- Developer 2000 Server
- ORACLE 9.1
Tabla C.4: Servidor RS 6000 B80

ITEM
Procesador
Memoria
Disco Duro
Sistema Operativo
Servicios
CARACTERISTICA
1 procesador de 450 MHZ
512 MB de RAM.
Disco Interno 18 GB
AIX 4.3
- Servidor Firewall
Tabla C.5: Servidor IBM RS 6000 B80

ITEM
Procesador
Memoria
Disco Duro
Sistema Operativo
Servicios
CARACTERISTICA
1 procesador de 450 MHZ
512 MB de RAM.
Disco Interno 18 GB
AIX 4.3
- Servidor WEB
Tabla C.6: Servidor RS 600 B50
Servidor IBM RS600 C10

ITEM
Procesador
Memoria
CARACTERISTICA
1 Procesador 200 MHZ
128 MB de RAM.
250
Disco Duro
Sistema Operativo
Servicios
Disco Interno 6 GB
AIX 3.3
- Servidor Aplicaciones
- Administrativas.
- Servidor de Impresin
Tabla C.7: Servidor IBM RS600 C10
Servidor IBM RS6000 360

ITEM
Procesador
Memoria
Disco Duro
Sistema Operativo
Servicios
CARACTERISTICA
128 MB de RAM.
Disco Interno 10 GB
AIX 3.3
- Servidor Aplicaciones
- Financiero.
- Servidor de Impresin
Tabla C.8: Servidor IBM RS 6000 360
Servidor IBM RS6000 340

ITEM
Procesador
Memoria
Disco Duro
Sistema Operativo
Servicios
CARACTERISTICA
64 MB de RAM.
Disco Interno 4 GB
AIX 3.3
- Servidor Aplicacin PIA
Tabla C.9: Servidor IBM RS 6000 340
Servidor IBM Netfinity 1000

ITEM
Procesador
Memoria
Disco Duro
Sistema Operativo
Servicios
CARACTERISTICA
1 Procesador Pentium III
256 MB de RAM.
Disco Interno 18 GB
Windows NT 4.0
- Servidor Aplicaciones Sistema
Distribucin
Tabla C.10: Servidor IBM Netfinity 1000
251
Servidor Compaq PROLIANT 800

ITEM
Procesador
Memoria
Disco Duro
Sistema Operativo
Servicios
CARACTERISTICA
1 Procesador Pentium II
128 MB de RAM.
Disco Interno 9 GB
Windows NT 4.0
- Servidor de Correo Externo.
- Lotus Domino.
Tabla C.11: Servidor Proliant 800
Servidor Compaq PROLIANT 1600

ITEM
Procesador
Memoria
Disco Duro
Sistema Operativo
Servicios
CARACTERISTICA
512 MB de RAM.
Disco Interno 20 GB
Windows NT 4.0
- Servidor de Aplicaciones
- Sistemas UIA y GIS.
Tabla C.12: Servidor Compaq Proliant 1600
Servidor IBM Netfinity 3000

ITEM
Procesador
Memoria
Disco Duro
Sistema Operativo
Servicios
CARACTERISTICA
128 MB de RAM.
Disco Interno 9 GB
OS/2 WARP VER 4.51
- Servidor Respaldo del Sistema
SCADA
Tabla C.13: Servidor IBM Netfinity 3000
Servidor IBM XSERIES 240

ITEM
Procesador
Memoria
Disco Duro
Sistema Operativo
Servicios
CARACTERISTICA
256 MB de RAM.
Disco Interno 20 GB
OS/2 WARP VER 4.51
- Servidor SISTEMA SCADA
Tabla C.14: Servidor IBM XSERIES 240
252
Servidor IBM HS21

ITEM
Procesador
Memoria
Disco Duro
Sistema Operativo
Servicios
CARACTERISTICA
Procesador Intel Xeon de doble
ncleo de 3.00GHz
2 GB de RAM.
Disco Interno 20 GB
WINDOWS SERVER 2003
- Servidor de Dominio.
Tabla C.15: Servidor IBM HS21
253
ANEXO D: VULNERABILIDADES ENCONTRADAS EN LOS

COMPONENTES CLAVE
El siguiente anexo contiene la descripcin de todas las vulnerabilidades
encontradas dentro de los componentes clave. Debido a que las herramientas con
las que hemos realizado dichas evaluaciones son de origen evaluativo no se
dispone de reportes formales o estructurados, por lo que nicamente se listar las
vulnerabilidades encontradas.
Vulnerabilidad Servidor SCADA
Herramientas
GFI LANguard Network Security Scanner 9.5 Consultant Edition
NetTools 5.0
Nessus-4.2.2-i386
Longcat TCP HTTP UDPFlooderv2 3
Pruebas realizadas
En este servidor y con la ayuda de personal de TIC de la EEQ se realizaron las
siguientes pruebas:
Escaneo de vulnerabilidades (Herramienta automatizada).
Escaneo de puertos abiertos. En donde se escanearon 65535 puertos.
Denegacin de servicios.
En donde se obtuvieron los siguientes resultados.
Puertos Abiertos
TCP
Puerto 25:
Servicio: SMTP
Puerto 80:
Servicio: HTTP
Puerto 81:
Servicio: HTTP
254
Puerto 110:
Servicio: POP3
Puerto 119:
Servicio: NNTP
Puerto 135:
Servicio: DCE
Puerto 139:
Servicio: NetBIOS SessionService
Puerto 143:
Servicio: IMAP
Puerto 445:
Servicio: Microsoft-DS Active Directory
Puerto 1036:
Servicio: Desconocido
Puerto 1494:
Servicio: Citrix XenApp
Puerto 3389:
Servicio: Terminal Server
Puerto 6129:
Servicio: DameWare Mini Remote Control
Puerto 8080:
Servicio: HTTP Alternativo
UDP
Puerto 123:
Servicio: NTP
Puerto 137:
Servicio: NetBIOS NameService
Puerto 138:
Servicio: NetBIOS DatagramService
Puerto 445:
Servicio: Microsoft-DS SMB file sharing
Puerto 500:
Servicio: ISAKMP
Puerto 4500:
Servicio: IPsec NAT traversal
Vulnerabilidades Encontradas
Al evaluar este componente se encontraron las siguientes vulnerabilidades:
Nivel Alto
AutoRun habilitado: Microsoft Windows admite la ejecucin automtica de
CD / DVD y otros medios extrables. Esto plantea un riesgo para la
255
seguridad en el caso en un CD o disco extrable que contiene software

malicioso que se instala automticamente cuando se inserta el disco.
POP3:
Servidores
POP3
podran
ser
vulnerables
ataques
de
desbordamiento de buffer remotos.

OVAL: 332: Word Count Vulnerability: Vulnerabilidad no especificada en
Microsoft Word 2000, 2002 y Word Viewer 2003 permite a atacantes
remotos asistidos por el usuario ejecutar cdigo arbitrario a travs de un
elaborado archivo DOC que provoca daos en la memoria.
OVAL: 12209: Vulnerabilidad de ruta de bsqueda no son de confianza en
Microsoft Windows Program Converter
OVAL:11574: Microsoft Internet Explorer vulnerabilidad de ejecucin remota
de cdigo
Nivel Bajo
Auto Share Server: Los recursos compartidos administrativos (C, D, ADMIN,
etc.) estn disponibles en este equipo. Para las redes internas estos son
normalmente activados para fines administrativos. Para el servidor web (s),
estos son normalmente apagado a fin de consolidar los puntos de entrada
posible (ya que est ms expuesta a los ataques.).
AutoShareWKS: Los recursos compartidos administrativos (C, D, ADMIN,
Ultimo logged-on de usuario esta visible: De forma predeterminada,
Windows muestra el ltimo usuario registrado.
256
SMTP: Si este no es un servidor de correo SMTP, el SMTP est activado

innecesariamente.
POP3: Si esto no es un servidor de correo POP, el servicio POP3 est
IMAP4: Si esto no es un servidor de correo IMAP, el servicio IMAP4 est
Vulnerabilidad Servidor SIDECOM

Herramientas
NetTools 5.0
Nessus-4.2.2-i386
Pruebas realizadas
siguientes pruebas:
Puertos Abiertos
TCP
Puerto 25:
Servicio: SMTP
Puerto 80:
Servicio: HTTP
257
Puerto 110:
Servicio: POP3
Puerto 119:
Servicio: NNTP
Puerto 135:
Servicio: DCE
Puerto 139:
Puerto 143:
Servicio: IMAP
Puerto 445:
Puerto 3306:
Servicio de MySQL
Puerto 3389:
Servicio: Terminal Server
Puerto 6129:
UDP
Puerto 123:
Servicio: NTP
Puerto 137:
Puerto 138:
Puerto 445:
Puerto 500:
Servicio: ISAKMP
Puerto 4500:
Vulnerabilidades Encontradas
Nivel Alto
258
POP3:
Servidores
POP3
podran
ser
vulnerables
ataques
de

de cdigo
Nivel Bajo
innecesariamente.
259
Vulnerabilidades Servidor Respaldo SCADA

Herramientas
NetTools 5.0
Nessus-4.2.2-i386
Pruebas realizadas
siguientes pruebas:
Puertos Abiertos
TCP
Puerto 25:
Servicio: SMTP
Puerto 80:
Servicio: HTTP
Puerto 110:
Servicio: POP3
Puerto 119:
Servicio: NNTP
Puerto 135:
Servicio: DCE
Puerto 139:
Puerto 143:
Servicio: IMAP
Puerto 445:
Puerto 1044:
260
Puerto 3306:
Servicio: MySQL
Puerto 3389:
Servicio: Terminal Services
Puerto 6129:
UDP
Puerto 123:
Servicio: NTP
Puerto 137:
Puerto 138:
Puerto 445:
Puerto 500:
Servicio: ISAKMP
Puerto 4500:
Vulnerabilidades encontradas
Nivel Alto
POP3:
Servidores
POP3
podran
ser
vulnerables
ataques
de

261
OVAL: 11574: Microsoft Internet Explorer vulnerabilidad de ejecucin

remota de cdigo.
Nivel Bajo
innecesariamente.
HTTP: Si este no es un servidor web, el servicio HTTP est activado
innecesariamente.
262
Vulnerabilidades Servidor de Correo

Herramientas
NetTools 5.0
Nessus-4.2.2-i386
Pruebas realizadas
siguientes pruebas:
Puertos Abiertos
TCP
Puerto 22:
Servicio: SSH
Puerto 25:
Servicio: SMTP
Puerto 80:
Servicio: HTTP
Puerto 110:
Servicio: POP3
Puerto 111:
Servicio: SRPC
Puerto 119:
Servicio: NNTP
Puerto 143:
Servicio: IMAP
Puerto 209:
Servicio: QMTP
263
Puerto 443:
Servicio: HTTPS
Puerto 636:
Servicio: LDAPS
Puerto 993:
Servicio: IMAPS
UDP
Puerto 111:
Servicio: SRPC
Puerto 631:
Servicio: IPP
Puerto 5353:
Servicio: MDNS
Nivel Alto
POP3:
Servidores
POP3
podran
ser
vulnerables
ataques
de

Nivel Medio
No se encontraron vulnerabilidades en este nivel.
Nivel Bajo
HTTP: Si no es un servidor web el servicio est activado innecesariamente.
SSH: Si este equipo no se administra a travs de un shell seguro, el servicio
est activado innecesaria.
CUPS: Si esto no es un servidor de impresin CUPS, el servicio de servidor
de CUPS est activado innecesariamente.
HTTPS: Si esto no es un servidor web seguro, el servicio HTTPS est
264
MySQL: Si esto no es un servidor de base de datos, el servicio MySQL est

Apache manual: Manual de Apache en lnea no se ha eliminado.
Vulnerabilidades Servidor de Aplicaciones

Herramientas utilizadas
NetTools 5.0
Nessus-4.2.2-i386
Pruebas realizadas
siguientes pruebas:
Puertos Abiertos
TCP
Puerto 25:
Servicio: SMTP
Puerto 80:
Servicio: HTTP
Puerto 110:
Servicio: POP3
Puerto 119:
Servicio: NNTP
265
Puerto 135:
Servicio: DCE
Puerto 139:
Puerto 143:
Servicio: IMAP
Puerto 445:
Puerto 1044:
Puerto 3306:
Servicio: MySQL
Puerto 3389:
Puerto 6129:
UDP
Puerto 123:
Servicio: NTP
Puerto 137:
Puerto 138:
Puerto 445:
Puerto 500:
Servicio: ISAKMP
Puerto 4500:
Nivel Alto
266
POP3:
Servidores
POP3
podran
ser
vulnerables
ataques
de

remotos asistidos por el usuario para ejecutar cdigo arbitrario a travs de
un elaborado archivo DOC que provoca daos en la memoria.
Nivel Medio
La versin del Remote Desktop Protocol Server (Terminal Service) (puerto
3389) es vulnerable a un ataque Man-In-The-Middle. Un atacante puede
explotar esta falla y desencriptar informacin sensitiva como passwords del
sistema.
Nivel Bajo
AutoShareServer: Los recursos compartidos administrativos (C, D, ADMIN,
HTTP: Si no es un servidor web el servicio est activado innecesariamente.
267

innecesariamente.
MySQL: Si esto no es un servidor de base de datos, el servicio MySQL est
Vulnerabilidades Servidor de Dominio

NetTools 5.0
Nessus-4.2.2-i386
Pruebas realizadas
siguientes pruebas:
Puertos Abiertos
TCP
268
Puerto 25:
Servicio: SMTP
Puerto 53:
Servicio: DNS
Puerto 88:
Servicio: Kerberos - authentication system
Puerto 110:
Servicio: POP3
Puerto 119:
Servicio: NNTP
Puerto 135:
Servicio: DCE
Puerto 139:
Puerto 143:
Servicio: IMAP
Puerto 389:
Servicio: LDAP
Puerto 445:
Puerto 464:
Servicio: Kerberos Change/Set password
Puerto 593:
Servicio: HTTP RPC
Puerto 636:
Servicio: LDAPS
Puerto 3389:
Puerto 6129:
Nivel Alto
269
POP3:
Servidores
POP3
podran
ser
vulnerables
ataques
de

de cdigo
Nivel Medio
La versin del Remote Desktop Protocol Server (Terminal Service)

(puerto3389) es vulnerable a un ataque Man-In-The-Middle. Un atacante
puede explotar esta falla y desencriptar informacin sensitiva como
passwords del sistema.
Nivel Bajo
AutoShareServer: Los recursos compartidos administrativos (C, D, ADMIN,
Ultimo logged-onde usuario esta visible: De forma predeterminada,
270

innecesariamente.
DNS: Si esto no es un servidor de nombres de dominio de Internet, el
servicio DNS est activado innecesariamente.
Vulnerabilidades Router CISCO 2600

Cisco Torch v0.4b
Pruebas realizadas
En este dispositivo se realizaron las siguientes pruebas:
Nivel Alto
Nivel Medio
Nivel Bajo
271
Vulnerabilidades Router CISCO 820

Cisco Torch v0.4b
Pruebas realizadas
Nivel Alto
Nivel Medio
Nivel Bajo
Vulnerabilidades Router CISCO SB 101

Cisco Torch v0.4b
Pruebas realizadas
272
Nivel Alto
Nivel Medio
Nivel Bajo
Vulnerabilidades SWITCH CISCO 2950

Cisco Torch v0.4b
Pruebas realizadas
Nivel Alto
Nivel Medio
Nivel Bajo
Vulnerabilidades SWITCH CISCO 3560

273
Cisco Torch v0.4b

Pruebas realizadas
Nivel Alto
Nivel Medio
Nivel Bajo
274
ANEXO E: DEPARTAMENTOS DE LA DIVISIN DE

TECNOLOGA INFORMTICA Y DE COMUNICACIONES
(TIC)
I
DIVISION DE TECNOLOGIA INFORMATICA Y DE COMUNICACIONES

(TIC)
Este es el departamento encargado de toda el rea de tecnologas de la

informacin, en la que se encuentran varios departamentos como los que se
detallan posteriormente. La principal misin de este departamento es la de
brindar asesoramiento, soporte y conduccin del desarrollo informtico dentro
de la EEQ basndose en la planificacin estratgica de la misma y su sistema
de control de calidad.
Entre las principales tareas de este departamento tenemos el diseo y
ejecucin del plan informtico de acuerdo a los lineamientos de la Gerencia
General de la EEQ as como tambin la administracin del avance del mismo.
Tambin se encuentra el establecimiento de polticas, administracin de
proyectos de desarrollo informtico, atencin de requerimientos de entidades de
control tanto interno como externo, cuidar y mantener la infraestructura
informtica y de comunicaciones, determinar los recursos informticos y de
comunicaciones necesarios para el funcionamiento de la empresa entre otras.
I.1 ADMINISTRACIN DE PLANES Y PROYECTOS INFORMATICOS

Esta es un rea de soporte para la Divisin de Tecnologa Informtica y de
Comunicaciones. Dicha rea de Administracin de Planes y Proyectos
Informticos ser la encargada de la planificacin del desarrollo informtico as
como tambin de la conduccin de proyectos especiales para el desarrollo
275
tecnolgico y la administracin ptima
y segura de todos los recursos
informticos con el propsito de asegurar su disponibilidad.

Entre las principales funciones de este departamento se encuentran la
formulacin del plan operativo anual bajo los lineamientos generales de la
Divisin de Tecnologa de la Informacin y Comunicaciones (TIC), preparar el
presupuesto informtico anual de la empresa, elaborar el Plan Anual de
Capacitacin y Entrenamiento de Personal informtico de la Divisin de
Tecnologa de la Informacin y Comunicaciones (TIC) con ayuda del
departamento de Capacitacin y las reas Informticas.
I.2 SESIN DE MESA DE AYUDA (HELPDESK)

Esta es un rea tcnica que se especializa en dar soporte de primer nivel a los
usuarios finales as como tambin solucin a problemas tanto en el rea de
hardware como de software, comunicaciones y aplicaciones.
La principal funcin de este departamento es el de mantener una permanente
labor de atencin y soporte a los usuarios mediante la ayuda de un sistema de
Help Desk que incluya base de conocimiento, as tambin se encargar de
direccionar a los departamentos correspondientes en caso de que no se pueda
resolver directamente un determinado problema.
I.3 DPTO DE COMUNICACIONES Y SOPORTE

Esta es un rea especializada en lo relacionado con el hardware, software e
plataforma y telecomunicaciones con el fin de dar el soporte correspondiente a
las reas de la empresa en cuanto a hardware y telecomunicaciones se refiere.
276
Entre las principales funciones de este departamento tenemos el diseo de las

redes de datos y telecomunicaciones de la empresa as como tambin su
correspondiente mantenimiento y monitorizacin, asesorar y participar en lo que
a adquisicin de equipos y servicios relacionados con la transmisin de voz y
datos se refiere, administracin de seguridades fsicas y lgicas, entre otras.
Dicho departamento de Comunicaciones y Soporte se divide a su vez en los
departamentos que se detallan a continuacin.
a) Seccin Soporte hardware de estaciones de trabajo
Esta es un rea tcnica operativa cuyo trabajo se realiza en el mbito de
cobertura de la plataforma de equipos electrnicos de procesamiento de
datos en la EEQ.
Entre las principales funciones tenemos la solucin de todo problema
relacionado con el hardware de las estaciones de trabajo, mantener dentro
de una base de conocimiento los problemas reportados y las respectivas
soluciones con la finalidad de recomendar soluciones orientadas a resolver
problemas repetitivos, determinar y recomendar los cambios de modelo o
versin, re potenciacin y agregacin de componentes de hardware y
software para las estaciones de trabajo, entre otras.
b) Seccin Redes y Comunicaciones
Esta es un rea tcnica operativa cuyo trabajo se lo realiza en el mbito de
la infraestructura de comunicaciones y la red de datos de la EEQ.
Entre las principales funciones se encuentran las de coordinar con
proveedores de servicios la reparacin y mantenimiento preventivo y
correctivo a la infraestructura de comunicaciones y redes.
277
c) Seccin Soporte software de estaciones de trabajo

Esta es un rea dedicada a desarrollar software base. Su objetivo principal
es dar soporte a todas las reas de la empresa en cuanto a uso y
tendencias de software se requieran.
Entre las principales funciones que tiene este departamento estn las de
especificar los requerimientos en cuanto a capacitacin del personal dentro
del nuevo software y aplicaciones de uso general, fiscalizar los contratos de
adquisicin de software base, administrar el licenciamiento del software de
las estaciones de trabajo, elaborar las especificaciones tcnicas del
software a ser adquirido por la empresa, entre otras.
I.4 DPTO DE ADMINISTRACIN DE SISTEMAS ESTRATGICOS (DATA

CENTER)
Esta rea es la responsable de la administracin de los recursos informticos
en cuanto a nivel de bases de datos y servidores se refiere. Esto con el fin de
garantizar la disponibilidad de sus servicios.
Las principales funciones que cumple este departamento son el de la creacin e
implementacin de medidas de seguridad internas y externas, fsicas y lgicas
orientadas a proteger la integridad y correcto uso de los datos, administracin
de los respaldos de las bases de datos y de las respectivas aplicaciones con el
fin de garantizar la disponibilidad y recuperacin en cualquier momento,
organizar y custodiar los archivos de claves y permisos de accesos a los
distintos sistemas de informacin con el objetivo de prevenir accesos no
autorizados.
a) Seccin Administracin de Seguridad Informtica
278
Esta es un rea que se encarga de difundir alertas, proponer y definir

esquemas que reduzcan los incidentes en cuanto a seguridad se presenten
dentro de la empresa.
Entre sus principales funciones se encuentra la de seleccin de
mecanismos y herramientas adecuadas para la aplicacin de polticas de
seguridad, coordinacin con los respectivos responsables de desarrollo de
sistemas, los controles y acceso a los datos, dar solucin en cuanto a
problemas o incidentes escalados por el Help Desk y que pertenezcan a
esta rea.
I.5 DPTO DESARROLLO DE SISTEMAS ADMINISTRATIVOS

Esta es un rea dedicada al desarrollo e implantacin del respectivo plan
informtico cuyo objetivo es el de la automatizacin efectiva, actualizada y
controlada
de
los
procesos
tales
como
administrativo,
financiero
comercializacin de la empresa.
Las principales funciones que cumple son la preparacin del presupuesto
informtico anual para el desarrollo y mantenimiento de los sistemas, elaborar
el respectivo plan anual de capacitacin informtica para el personal de la
empresa, establecer las especificaciones tcnicas del hardware, software base
y otros elementos para el desarrollo y explotacin de los sistemas de
informacin. Estas ltimas con ayuda de la Seccin Desarrollo Organizacional
de Sistemas Administrativos y Comerciales.
a) Seccin Desarrollo Tecnolgico de Sistemas de Administracin
El principal objetivo de esta rea es el de conseguir la satisfaccin de los
usuarios mediante el asesoramiento, garantizando la integridad y eficiencia
en la explotacin de los sistemas.
279
Las principales funciones de este departamento son la construccin de

programas utilizando lenguajes y tcnicas de programacin apropiados,
disear con criterio corporativo las bases de datos para la sustentacin de
los sistemas de informacin de la empresa, administrar los permisos para el
acceso de los usuarios a las diferentes opciones de los sistemas
computacionales.
b) Seccin Desarrollo Organizacional de Sistemas de Administracin
Esta rea est dedicada al desarrollo e implantacin del Plan Informtico.
Su objetivo principal es la correcta documentacin actualizada e integrada
de todos los procesos de la empresa.
Entre las principales funciones que tiene este departamento son el dar
soporte a la elaboracin y seguimiento del Plan Operativo y Presupuesto
Anual del departamento, elaboracin del Plan Anual de Capacitacin,
elaboracin del anlisis de ndices de gestin del departamento, atencin
de
requerimientos
asesoramiento
del
Sistema
capacitacin
de
de
Gestin
de
procedimientos
Calidad
(SGC),
administrativos
computacionales de los diferentes sistemas en explotacin, entre otras.

c) Seccin Produccin de Sistemas de Administracin
Es un rea con perfil tcnico administrativo que se dedica al estudio de
requerimientos de informacin que se encuentran dentro del Plan de
Actividades y Desarrollo de Sistemas, as como de conocer los objetivos y
medios disponibles, evaluar y proponer soluciones para mejorar los
procesos de explotacin.
Entre las principales funciones de esta rea se encuentran la realizacin de
la planificacin de respaldos del servidor de programas y archivos de
acuerdo a polticas establecidas, obtencin de la base de datos SIDECOM
conforme a los requerimientos de los usuarios y previa autorizacin,
280
ejecucin de procesos batch de acuerdo a la carga de trabajo diario, entre

otras.
I.6 DPTO DESARROLLO DE SISTEMAS TCNICOS
Esta es un rea dedicada al desarrollo e implantacin del Plan Informtico.
Tiene como principal objetivo la automatizacin de forma integrada y
actualizada de todos los procesos de Distribucin y Generacin de la Empresa.
Las principales funciones que tiene esta rea son la preparacin del
presupuesto informtico anual para el desarrollo y mantenimiento de los
sistemas, evaluar los sistemas de informacin, elaboracin del plan anual de
capacitacin informtica para el personal de la empresa, establecer las
especificaciones tcnicas del hardware, software base y otros elementos
necesarios para el desarrollo y explotacin de los sistemas de informacin,
verificacin previa al desarrollo de aplicaciones de todas las bases de datos,
coordinacin, organizacin y custodia de los programas fuentes en todos los
sistemas de informacin, entre otras.
a) Seccin de Desarrollo Tecnolgico de Sistemas Tcnicos
Esta es un rea netamente tcnica cuyo principal objetivo es conseguir la
satisfaccin de los usuarios mediante el asesoramiento y automatizacin de
los procesos, garantizando integridad y eficiencia en la explotacin de los
sistemas.
Las funciones principales que realiza esta seccin son el anlisis, diseo,
construccin, implantacin y mantenimiento de los sistemas de la empresa,
disear con criterio corporativo las bases de datos, determinar las
necesidades de espacio en almacenamiento normal y de respaldo de bases
de datos y porcentajes de crecimiento, administracin de permisos para el
acceso de los usuarios a las diferentes opciones dentro de las aplicaciones,
entre otras.
281
b) Seccin Desarrollo Organizacional de Sistemas Tcnicos

Esta rea se dedica al desarrollo e implantacin del Plan Informtico dentro
del cual el objetivo principal es la documentacin efectiva, actualizada e
integrada de todos los procesos que se realizan en la empresa.
Entre sus principales funciones se encuentran la atencin de los
requerimientos del Sistema de Gestin de la Calidad (SGC) en los aspectos
que tienen relacin a: levantamiento de no - conformidades, acciones
preventivas y correctivas a cargo de este departamento, dar soporte a los
usuarios mediante la elaboracin de instructivos y manuales, elaborar el
Plan Anual de Capacitacin de acuerdo a los requerimientos del
departamento, elaboracin de planes, normas, programas y procedimientos
administrativos, entre otras.
I.7 DPTO DE DESARROLLO DE SISTEMAS GIS
A este departamento tambin se lo conoce con el nombre de Departamento de
Desarrollo del Sistema de Informacin Geogrfica y Avalo. Es el encargado del
Sistema de Informacin Geogrfico. Su misin es realizar la captura de datos
geogrficos, elctricos entre otros, as como tambin el almacenamiento y
manejo de datos mediante bases de datos geogrficas, su respectivo anlisis
tcnico y creacin de modelos que permitan crear realidades virtuales. Dichos
modelos sern utilizados para distintos procesos dentro de la empresa.
Entre las principales funciones de este departamento tenemos la obtencin de
valores de las redes elctricas para el inventario y avalo que es parte del
sistema GIS, realizacin de informes de gestin, reportes de trabajos en curso,
entre otras.
282
a) Seccin de Desarrollo Tecnolgico de Sistemas GIS

Entre
las
principales
funciones
de
este
departamento
tenemos
el
mantenimiento de los programas GIS as como el conocimiento y definicin de

procesos de actualizacin de la informacin, desarrollo y manejo de WebGIS,
administracin de usuarios, desarrollo de aplicaciones que faciliten la
comunicacin y la transferencia de informacin, entre otras.
b) Seccin Geomtica y control de actualizacin de redes elctricas y base
geogrfica
Entre las principales funciones de esta rea tenemos la actualizacin de la
base de datos llamada tambin cartografa del rea de concesin de la
empresa, transferencia de informacin a instituciones para el manejo de Base
Geogrfica Interinstitucional, entre otras.
c) Seccin de inventarios, avalos, anlisis y modelamiento
Esta rea se encarga principalmente del anlisis y modelamiento de la
informacin de GIS. Posee otras dos funciones como son el mantenimiento
vigente de los conceptos de valoracin y actualizacin de activos fijos y su
relacin con el sistema financiero de la EEQ, y conciliacin de valores
contables con el verdadero activo que existe en cada punto de concesin de la
EEQ. Estas dos ltimas funciones no se encuentran dentro del rea de TI.
283
ANEXO F: RESUMEN EJECUTIVO

A continuacin se presentar un resumen ejecutivo del presente proyecto de
titulacin para su posterior anlisis principalmente por parte de los altos directivos
de la empresa y del departamento de T.I. de la misma.
La metodologa escogida para realizar el presente anlisis de riesgos informticos
fue la metodologa OCTAVE la cual presenta las siguientes fases y procesos:
FASE
PROCESO
A1: Identificar el conocimiento de los Altos Directivos
FASE 1: VISIN DE LA ORGANIZACIN
A2: Identificar el conocimiento de los Directivos de las

reas operativas
A3: Identificar el conocimiento del personal
A4: Crear perfiles de amenaza
A5: Identificar los componentes clave
FASE 2: VISIN TECNOLGICA

A6: Evaluar los componentes seleccionados
FASE 3:
MEDIDAS
RIESGOS
PLANIFICACIN
Y REDUCCIN
DE
DE
LAS A7: Conducir el anlisis de riesgos

LOS
A8: Desarrollar estrategia y planes de proteccin
Tabla F. 1. Fases de la Metodologa OCTAVE
Conformacin del Equipo de trabajo

Para conducir correctamente la Metodologa OCTAVE, es necesario definir un
equipo de trabajo interdisciplinario, el mismo que ser responsable de llevar a
cabo varias de las actividades a desarrollarse dentro de OCTAVE.
Dentro del equipo de trabajo se encuentra el equipo de anlisis, que facilitar los
talleres a desarrollarse dentro de los diferentes procesos de OCTAVE y analizar
la informacin obtenida en cada uno de estos procesos, alcanzndose as el
objetivo planteado con esta metodologa.
284
Equipo de Anlisis
Cristina Gallardo
Pal Jcome
Tabla F. 2. Equipo de Anlisis
Posteriormente, el equipo de anlisis, en forma conjunta con la empresa realizar

la seleccin de los participantes que sern miembros del equipo de trabajo
contraparte de la empresa.
Equipo de Trabajo
Altos Directivos
Ing. Alberto Belalczar
Jefe de la Divisin de Tecnologa Informtica y de

Comunicaciones (TIC)
Ing. Carlos Benavides
Jefe de Administracin de Planes y Proyectos

Informticos

Ing. Jaime Raza
Jefe del Departamento de Administracin de

Sistemas Estratgicos (DATA CENTER)
Ing. Miguel Araujo
Jefe del Departamento de Comunicaciones y

Soporte
Personal en General
Ing. Wilson Castro
Jefe de la Seccin de Soporte Software de

Estaciones de trabajo
Ing. Bolvar Ortz
Jefe de la Seccin de Soporte Hardware de

Estaciones de trabajo.
Tabla F. 3. Equipo de Trabajo
285
Desarrollo de la Metodologa OCTAVE

Procesos 1, 2, 3: Identificacin del conocimiento de los Altos directivos,
Directivos de reas Operativas y Personal en General
Identificacin de Activos de los Altos Directivos con prioridades relativas
Identificacin de Requerimientos de seguridad para los activos crticos
Polticas especficas, estrategias y prcticas generales para activos

especficos
Especificaciones de seguridad cumplidas por la EEQ
Especificaciones de seguridad no cumplidas por la EEQ
En el desarrollo de los tres primeros procesos se recopilo informacin importante

que ayudo a conocer la situacin actual de la empresa, esta informacin es
consolidada en el proceso cuatro cuyos resultados fueron los siguientes:
Activos crticos identificados:
Sistema SIDECOM (SISTEMA DE COMERCIALIZACIN)
Infraestructura de red y cableado
Servidores
Sistema SCADA (Sistema de control y adquisicin de Datos)
Estaciones de trabajo y equipos porttiles de la EEQ.
286
Proceso 4: Creacin de Perfiles de Amenaza

En este proceso los principales objetivos fueron los siguientes:
Consolidacin preliminar de datos
Agrupacin de activos por nivel organizacional
Agrupacin de requerimientos de seguridad por nivel organizacional

y por activo
Agrupacin de reas de Inters e Impactos por nivel organizacional y

por activo
Seleccin de Activos Crticos

Refinamiento de los Requerimientos de Seguridad para los activos Crticos
Identificacin de Amenazas para los Activos Crticos
Una vez identificados cada uno de los aspectos los cuales constan en el presente
trabajo se crearon los respectivos perfiles de amenaza para cada uno de los
activos crticos seleccionados, esto a travs de rboles de amenazas los cuales
constan de las siguientes entradas:
Actores humanos que usan el acceso de la red.
Actores humanos que usan el acceso fsico.
Problemas del sistema.
Otros problemas.
Con lo cual obtenemos arboles de amenaza para cada uno de los activos crticos
con la siguiente estructura.
287
Ilustracin F. 1. Perfiles de Amenaza
Proceso 5: Identificacin de Componentes Clave

En el proceso 5 se identificaron los clases de componentes claves de inters para
cada activo crtico y los componentes de infraestructura para su respectiva
evaluacin, mediante el uso de herramientas especializadas en la deteccin de
vulnerabilidades tecnolgicas los componentes claves as como tambin los
componentes de infraestructura se muestran en las siguientes tablas
respectivamente:
288
Sistemas de Inters
NOMBRE
DESCRIPCION
Sistema
de Este sistema se encarga de apoyar a toda la gestin comercial que
Comercializacin realiza la EEQ con sus clientes.
(SIDECOM)
Sistema
de Es el sistema de adquisicin, almacenamiento y procesamiento de
Control
y datos en tiempo real que provee informacin de todas las
Adquisicin de subestaciones que se encuentran geogrficamente alejadas.
Datos (SCADA)
CISCO-IOS
Estos es el sistema operativo que funciona dentro de cada uno de los

switches inteligentes.
Tabla F. 4. Sistemas de Inters
Clases de componentes claves

Clases de
Componentes
Servidores
Fueron seleccionados debido a que son importantes dentro de la EEQ

as como tambin porque las aplicaciones se ejecutan por medio de
stos. Adems, a travs de ellos se gestiona informacin primordial
para la empresa.
Componentes de Ya que por medio de stos componentes se transmite la informacin

red
de la EEQ, as como tambin se mantiene en lnea el funcionamiento
de varias aplicaciones como SCADA, entre otras.
Componentes de Estos componentes son muy importantes para asegurar tanto lgica
seguridad
como fsicamente a los activos crticos de la EEQ.
Tabla F. 5. Clases de componentes clave
En este nivel se escogi las herramientas para la posterior evaluacin de los

componentes claves mencionados, cuya seleccin se bas en un anlisis de las
289
principales herramientas para identificar riesgos tecnolgicos utilizados por

empresas a nivel mundial.
Proceso 6: Evaluacin de los componentes seleccionados

Con estos aspectos bien identificados en el proceso 6 se procedi a la evaluacin
de los componentes seleccionados durante el proceso 5 para lo cual en primer
lugar se realiz la definicin de los niveles de severidad con los cuales se va a
evaluar, los mismos que se presentan en el siguiente cuadro:
Nivel de severidad de la
vulnerabilidad
Definicin
Nivel Alto
Este nivel determina que el componente afectado

deber ser arreglado o reemplazado en menos de
un mes.
Nivel Medio
En este nivel el componente afectado deber ser

arreglado o reemplazado en menos de dos meses.
Nivel Bajo
En este nivel el componente podr ser reparado

despus de cierto tiempo, sin que esto conlleve
alguna prdida para la EEQ.
Tabla F. 6. Niveles de Severidad de la vulnerabilidad
La siguiente actividad realizada en este proceso fue en si la evaluacin de cada

uno de los componentes seleccionados para su posterior anlisis y
recomendaciones, los resultados de la evaluacin se resumen en la siguiente
tabla:
Componentes
Resumen vulnerabilidades
Servidor de Respaldo SISTEMA SCADA
Nivel Alto
Nivel Medio
Nivel Bajo
5
0
7
Servidor SCADA
Nivel Alto
Nivel Medio
Nivel Bajo
5
0
11
Servidor Citrix 7 (SISTEMA SIDECOM)
Nivel Alto
Nivel Medio
5
0
290
Nivel Bajo
Servidor de Correo
Servidor de Dominio
Nivel Alto
Nivel Medio
Nivel Bajo
Nivel Alto
Nivel Medio
Nivel Bajo
1
0
6
3
1
8
Nivel Alto
Nivel Medio
Nivel Bajo
4
1
7
Tabla F. 7. Resumen de vulnerabilidades
Proceso 7: Conducir el Anlisis de Riesgos

Una vez establecidos e identificados los riesgos, vulnerabilidades y niveles de
seguridad actuales dentro de la empresa el proceso 7 se encarga de la
conduccin del anlisis
de riesgos, cuyos principales objetivos son los
siguientes:
Identificacin del impacto de las amenazas sobre los activos crticos:
Donde se establecen las descripciones de los impactos causados por las
amenazas identificadas anteriormente.
Creacin de los criterios de evaluacin: Que sirven para evaluar las
descripciones de impacto anteriores.
Reputacin / confianza del usuario

Productividad
Multas / penalidades legales
Finanzas
Evaluacin del impacto de las amenazas sobre los activos crticos:

Donde, con los criterios de evaluacin definidos, se evala las descripciones
de impacto.
Donde una vez realizado cada uno de los aspectos anteriores se obtuvo la matriz
de riesgos para cada uno de los activos crticos la cual tiene el siguiente aspecto:
291
Perfiles de Riesgo para el activo crtico: Estaciones de trabajo y equipos

porttiles.
Ilustracin F. 2. Perfiles de Riesgo
Una vez culminado este trabajo tenemos el anlisis de riesgos informticos y la

identificacin de vulnerabilidades tecnolgicas dentro de la empresa.
292
Proceso 8: Desarrollar estrategias y planes de proteccin

El ltimo proceso de esta metodologa tiene como objetivo el desarrollo de
estrategias y planes de proteccin, el cual contempla la revisin de
vulnerabilidades, prcticas de estrategias de proteccin, vulnerabilidades
organizacionales, Requerimientos de seguridad e informacin sobre los riesgos
para los activos crticos.
Las actividades que se tienen que realizar para desarrollar este proceso son las
siguientes:
Revisin de vulnerabilidades, prcticas de estrategias de proteccin,
vulnerabilidades organizacionales, Requerimientos de seguridad e informacin
sobre los riesgos para los activos crticos.
Creacin de Estrategias de Proteccin: Que se enfocan principalmente en
la organizacin y en las diferentes actividades que tendr que desarrollar a
largo plazo para elevar o mantener unos excelentes niveles de seguridad
dentro de la misma.
Los aspectos sobre los cuales se realizaron estas estrategias de proteccin dentro
de la EEQ son los siguientes:

Seguridad Fsica
Seguridad de la Tecnologa de la Informacin
Creacin de Planes de Mitigacin para los activos crticos: Estn

orientados a responder las amenazas sobre los activos crticos.
En esta actividad se plantea planes de mitigacin para cada activo crtico de
acuerdo a las reas de actividades recomendadas correlacionadas con los
diferentes tipos de fuentes de amenazas en sus perfiles de riesgo: Estas cuatro
reas y tipos de amenazas son:
293
Actores humanos utilizando acceso de red

Actores humanos utilizando acceso fsico
Problemas de sistemas
Otros problemas
Creacin de Lista de acciones: Donde se definen las actividades que el

personal de la empresa puede tomar en un corto tiempo ante cualquier
eventualidad que se pueda presentar en la EEQ.
Estas tablas contienen la lista de acciones propuestas para este fin, con el objetivo
de mejorar la implementacin de las estrategias de proteccin y planes de
mitigacin propuestos en este proyecto de titulacin.
294
Tabla F. 8. Lista de Acciones
Como se pudo observar, tanto este resumen ejecutivo como el presente proyecto
de titulacin podrn ser revisados, analizados y validados por parte de la Gerencia
General y el Departamento de TIC de la Empresa Elctrica Quito S.A.

Analisis de Riesgos Informaticos en Empresa Ecuador

Cargado por

Información del documento

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Analisis de Riesgos Informaticos en Empresa Ecuador

Cargado por

Copyright:

Formatos disponibles

ESCUELA POLITCNICA NACIONAL

FACULTAD DE INGENIERA DE SISTEMAS

PROYECTO PREVIO A LA OBTENCIN DEL TTULO DE INGENIERO EN

GALLARDO PIEDRA MARIA CRISTINA

JCOME CORDONES PAL ORLANDO

DIRECTOR: JAIME FABIN NARANJO ANDA, MSC. ING.

JAIME NARANJO, MSC. ING.

Quiero agradecer principalmente a Dios, a la Virgencita y al Niito Jess por

2.1.2.1 Organigrama del Dpto. TIC .......................................................... 37

3.1.1.1.2 Desarrollo del Proceso 7...................................................... 125

CONCLUSIONES ................................................................................. 202

BIBLIOGRAFA .................................................................................................. 207

Tabla 7: Requerimientos de seguridad para activo crtico: Infraestructura de red y

Tabla 25: Identificacin de Sistemas de inters .................................................. 114

dentro de los sistemas de informacin, adems de proporcionar medidas

Realizacin del Anlisis de gestin de riesgos

Con los elementos descritos se puede estimar lo siguiente:

Pasos para realizar un Anlisis de Riesgos

1. Identificar los activos de la organizacin, su relacin y el coste que este

Ilustracin 1: Fases Metodologa Magerit

Las aplicaciones informticas

Los equipos informticos

Los soportes de informacin

Las redes de comunicacin

Existen diferentes tipos de activos dentro de una Organizacin y dependiendo del

Se dice que un activo depende de otro cuando la materializacin de la amenaza

MAGERIT ha desarrollado una forma de clasificacin de dependencias entre

Capa 1: el entorno: los cuales garantizan las siguientes capas

Capa 2: el sistema de informacin

Capa 4: las funciones de la organizacin

Capa 5: otros activos

Valoracin de las amenazas

Degradacin: cuan perjudicado resulta un activo.

Frecuencia: cada cuanto se materializa una amenaza.

La degradacin mide el dao ocasionado a un activo en el supuesto de que se

poco probable de que se den. En cambio existen amenazas que no representan

Paso 4: Determinacin del impacto

Su valor acumulado (el propio ms el acumulado de los activos que dependen

Las amenazas a las que est expuesto

Agregacin de valores de impacto

Puede agregarse el impacto repercutido sobre diferentes activos,

Puede agregarse el impacto acumulado sobre activos que no sean

No debe agregarse el impacto acumulado sobre activos que no sean

Puede agregarse el impacto de diferentes amenazas sobre un mismo activo,

Puede agregarse el impacto de una amenaza en diferentes dimensiones.

Paso 5: Determinacin del Riesgo

El impacto acumulado sobre un activo debido a una amenaza y

El impacto repercutido sobre un activo debido a una amenaza y

Agregacin de valores de riesgo

Puede agregarse el riesgo repercutido sobre diferentes activos,

Puede agregarse el riesgo acumulado sobre activos que no sean

No debe agregarse el riesgo acumulado sobre activos que no sean

Puede agregarse el riesgo de diferentes amenazas sobre un mismo activo,

Puede agregarse el riesgo de una amenaza en diferentes dimensiones.

Las salvaguardas entran en el clculo del riesgo de dos formas:

Reduciendo la frecuencia de las amenazas

Las salvaguardas se miden por su eficacia frente a la amenaza a la cual pretende

Est perfectamente desplegada, configurada y mantenida

Existen procedimientos claros de uso normal y en caso de incidencias

Los usuarios estn formados y concienciados

Existen controles que avisan de posibles fallos

Ilustracin 2: Balance de la metodologa OCTAVE

El objetivo de OCTAVE va direccionado a dos aspectos diferentes: riesgos

Fuente: OCTAVE Method Implementation Guide v2.0