Evaluación de la seguridad computacional

Se le dice seguridad informática tanto a la investigación como a la ejecución de políticas de

protección de datos en ordenadores por parte de un individuo o equipo de expertos en
computación.

Las prácticas de este tipo de seguridad son diversas, y a menudo consisten en la restricción
del acceso al sistema o a partes del sistema. Estas iniciativas buscan preservar la integridad
de la información, tanto como su confidencialidad, disponibilidad e irrefutabilidad.

En general, cuando se habla de la seguridad en un sistema informático se hace referencia a

los activos (recursos del sistema necesarios para que ése funcione), amenaza (evento,
individuo o entidad que presenta un riesgo para el sistema), impacto (medición de las
consecuencias de la materialización de un riesgo o amenaza), vulnerabilidad (posibilidad de
que una amenaza tenga lugar), ataque, desastre o contigencia.

Los usuarios, ya que a menudo sus acciones premeditadas o no premeditadas desencadenan

episodios de vulnerabilidad al sistema. Por ejemplo, al descargar archivos peligrosos o borrar
archivos importantes para el sistema. Al mismo tiempo, programas maliciosos como virus o
malware. También, intrusos como hackers que ingresan al sistema sin autorización con
propósitos perjudiciales. Incluso, también se considera una amenaza a siniestros como
incendios o inundaciones que tienen un efecto devastador para una computadora.
 Integridad de datos y manejo de la información

La integridad de un dato hace referencia a la cualidad que es inherente a la información

cuando se considera exacta, sólida y coherente con la intención de los creadores de los datos

que la conforman.

Esta cualidad, al contrario de lo que sostienen creencias bastante extendidas; se obtiene

cuando se impide que el contenido de una base de datos, de un proceso o de un sistema se
vea, accidental o intencionalmente.

La intención y objetivo general de cualquier técnica de integridad de datos es la misma:

asegurar que los datos se registran exactamente como estaba previsto y asegurarse que los
datos que se recuperan sean los mismos que los que se guardaron. En definitiva, la
integridad de datos tiene por objetivo prevenir cambios involuntarios en la información.

No debe confundirse con seguridad de los datos, que es la disciplina que se encarga de
proteger los datos de accesos no autorizados.

Un cambio no intencionado de datos es el resultado de operaciones de almacenamiento,

recepción o procesamiento, incluyendo fallos de hardware, errores humanos, errores lógicos

de diseño etc. Si los cambios son el resultado de un acceso no autorizado a los datos
entonces también se considera una falla en la seguridad de los datos.

Los datos que no son íntegros suelen manifestarse de diversas maneras dependiendo de la
naturaleza del dato, de cómo se almacena o se accede.

Por ejemplo, si esperamos un dato numérico y aparecen letras, probablemente haya algún
problema de integridad de datos.
En el caso de una imagen digital, si al visualizarla aparece cortada o con píxeles de diversos
colores donde no van, probablemente se trate de un problema en la integridad de sus datos

debido a un problema en el medio de almacenamiento, en la codificación de la imagen, etc.

Problemas de integridad física pueden ser fallas electromecánicas en el medio de

almacenamiento, fatiga del material, corrosión, fallas de diseño, apagones eléctricos,

desastres naturales, actos de guerra, terrorismo, radiación ionizante, temperaturas extremas,

presión extrema, etc.

Asegurar la integridad física de los datos incluye métodos como hardware redundante,
suministro de energía ininterrumpido, RAID, protectores de radiación, corrección de errores

de memoria, uso de sistemas en nube, uso de sistemas de archivos con chequeo a nivel
bloque (como ZFS), etc.

La integridad física a menudo emplea algoritmos de detección de errores conocidos como

códigos de corrección de errores.
 Seguridad física y confidencial

Esto consiste en la aplicación de barreras físicas, y procedimientos de control como medidas

de prevención y contra medidas ante amenazas a los recursos y la información confidencial,

se refiere a los controles y mecanismos de seguridad dentro de la obligación de los sistemas

informáticos así como los medios de acceso, implementados para proteger el hardware y
medios de almacenamiento de datos.

Este tipo de seguridad está enfocado a cubrir las amenazas ocasionadas tanto por el hombre

como por la naturaleza del medio físico en que se encuentra ubicado el sistema. Las
principales amenazas que se toman en consideración son los desastres naturales, incendios

accidentales y cualquier variación producida por la naturaleza. Por otro lado están las
amenazas ocasionadas por el hombre como robos o sabotajes, y también los disturbios

internos y externos deliberados. Evaluar y controlar permanentemente la seguridad física del

sistema es la base para comenzar a integrar la seguridad como función primordial del

mismo. Tener controlado el ambiente y acceso físico permite disminuir siniestros y tener los
medios para luchar contra accidentes.
 Seguridad del personal

Es el método por el que nos protegeríamos de cualquier posible amenaza que atente contra

la protección de nuestros datos y los de los clientes. Si queremos estar plenamente

conscientes de tener nuestra información a salvo, deberemos ser conscientes de lo que

hacemos con ella, como la guardamos y a quien y de que manera se la ofrecemos.

Existen dos tipos de personal:

Personal interno técnico: Son aquellas apersonas que tienen el conocimiento suficiente para
poner en riesgo la seguridad de los sistemas y por ende la información. Se deberá aplicar

políticas mas estrictas. En ocasiones de despidos labores, se corre un riesgo por

inconformidad del personal.

Personal interno común: Conocido como usuario final, en estos casos la falta de capacitación
ocasiona que existan casos de errores por descuido. (ejemplo: eliminar registros
importantes). Realizar procesos del sistema que afecten directa o indirectamente a los demás
módulos, originando en ocasiones perdidas de tiempo o depuración en la información.

Ahora bien, existen técnicas para lograr un personal seguro, entre las cuales están:

 Controles de acceso y uso tanto de software como de hardware que sean aplicables

a todo el personal, independientemente de la jerarquía.

 Fomentar la capacitación continua al personal tanto para el sistema y uso de los

recursos informáticos disponibles así como de la seguridad de los sistemas.
  Documentar procesos, con la finalidad de mantener el orden en las operaciones de
los sistemas y seguridad de toda la estructura informática. ( fomentar la

comunicación con los usuarios, email).

Las políticas de seguridad informática fijan los mecanismos y procedimientos que deben

adoptar las empresas para salvaguardar su infraestructura informática además de la

información que estos contienen.
 Seguridad física de los centros de computos

La seguridad de los centros de computos consiste básicamente en asegurar la capacidad de

supervivencia de la organización ante eventos que pongan en peligro su existencia, y

también proteger y conservar los activos de la organización, de riesgos, de desastres

naturales o actos mal intencionados. Reducir la probabilidad de las pérdidas, a un

mínimo nivel aceptable, a un costo razonable y asegurar la adecuada recuperación.

Asegurar que existan controles adecuados para las condiciones ambientales que
reduzcan el riesgo por fallas o mal funcionamiento del equipo, del software, de los datos y

de los medios de almacenamiento. Controlar el acceso, de agentes de riesgo, a la

organización para minimizar la vulnerabilidad potencial.

Seguridad en la utilización de los equipos

La seguridad de la información en la empresa se ha convertido en una de las principales

preocupaciones de las compañías desde que comenzaron a usarse los software de gestión
empresarial para organizar y gestionar los datos.

Al tener toda la información de la empresa informatizada corremos el riesgo de que, si ocurre

un fallo informático o nuestros archivos se infectan con un virus, podemos perder años de
trabajo en un momento.

Para resolver este problema se empezaron a realizar las copias de seguridad o backup on-

premise, discos duros o equipos externos en los que las empresas guardaban toda la
información relevante de sus organizaciones para poder recuperarla en caso de borrar un
archivo por error, ser infectados por un virus, tener un fallo informático o sufrir un robo
 Procedimientos de respaldo y plan de recuperación

en caso de desastres

El plan de recuperación de desastres es un documento, el cual tiene instrucciones específicas

para afrontar de la manera correcta cualquier suspensión temporal de nuestras operaciones.

Se trata de tomar una serie de medidas para reducir sus efectos y garantizar el

funcionamiento de nuestra empresa en el menor tiempo posible. Se deben tomar en cuenta

los siguientes aspectos:

Elección del equipo responsable

Lo primero que debemos hacer es crear al equipo responsable del plan y especificar las
funciones y responsabilidades de cada uno de sus miembros.

Análisis de riesgos

Una vez seleccionado el equipo responsable, debemos tener una idea clara de qué riesgos
pueden amenazar a nuestra empresa y ante cuáles debemos tomar precauciones para evitar

daños irreparables. Por lo tanto el plan debe especificar la capacidad de respuesta, los
recursos a emplear en las actividades de recuperación y el orden en que deben efectuarse.

Estrategias de recuperación y copia de seguridad

Cuando hablamos de seguridad nos referimos también a las estrategias de recuperación de

las aplicaciones y los equipos claves de nuestra empresa. Es decir, aquellas actividades que
son esenciales para su funcionamiento.
Esto nos lleva a los siguientes puntos:

El tiempo de recuperación, es decir, el tiempo que un sistema, una computadora o una red
pueden estar inactivos sin crear graves pérdidas a nuestra empresa.

El punto de recuperación, que es el tiempo en el que restauramos nuestros datos desde otra

ubicación. Esto último está directamente relacionado con la copia de seguridad o backup,
uno de los elementos esenciales para preservar nuestra información y la de nuestros clientes.

Los diferentes tipos de plan de recuperación de desastres y virtualización

Para el backup podemos escoger un soporte físico o bien podemos optar por un

almacenamiento en la nube. Hay que recordar que la nube nos ofrece una gran variedad de
servicios en este sentido con la ventaja que podemos recuperar nuestros datos desde
cualquier dispositivo, reduciendo el tiempo ante un desastre informático. Es conveniente por

lo tanto, saber qué tipo de plan es el más apropiado de acuerdo a nuestra actividad y
recursos.

Revisión y pruebas de ejecución

Otro aspecto que debemos mencionar en lo que se refiere a la seguridad es la revisión que
se debe hacer cada cierto tiempo del plan de recuperacion de desastres. No hay que olvidar
que este debe responder con garantías ante cualquier tipo de emergencia. Para asegurarse
de que funciona y cumple sus objetivos debemos de ponerlo en práctica en diversos

escenarios. Hablamos por ejemplo, de prácticas para la recuperación de datos, para el

reinicio de las actividades o el establecimiento de una ubicación alternativa que nos permita
continuar con nuestras operaciones comerciales.