REPÚBLICA BOLIVARIANA DE VENEZUELA

MINISTERIO DEL PODER POPULAR PARA LA DEFENSA

UNIVERSIDAD NACIONAL EXPERIMENTAL POLITÉCNICA DE LA FUERZA
ARMADA NACIONAL BOLIVARIANA
NUCLEO CHUAO – CARACAS
INGENIERÍA DE SISTEMAS

AUDITORIA DE SISTEMAS

¨SEGURIDAD FISICA Y LOGICA¨

Docente: Estudiante:
Msc. Vladimir Peña Jesús Omar Contreras Rivas
C.I: 25.515.368

Caracas, 04 de Noviembre de 2020

 Propósito del documento

El propósito del documento es inducir la importancia que tiene la Seguridad

Física la cual consiste en la aplicación de barreras físicas y procedimientos de control,
como medidas de prevención y contramedidas ante amenazas a los recursos e
información confidencial. En un Data center, se refiere a los controles y mecanismos de
seguridad dentro y alrededor, así como los medios de acceso remoto al y desde el
mismo; implementados para proteger el hardware y medios de almacenamiento de
datos.

 Acrónimos y abreviaturas

La seguridad física: Cuyo término hace referencia a la protección de la

organización frente accesos no autorizados y ataques físicos a los ordenadores,
instalaciones, personal, documentación, etc.

La seguridad lógica: La cual garantiza la seguridad a nivel de los datos,

permitiendo el acceso lógico a la información sólo a personas autorizadas. La
seguridad lógica aplica mecanismos y barreras que mantengan a salvo la información
dela organización desde su propio medio.

Penetración externa: Se verifican los sistemas de forma que estén protegidos

frente a ataques desde fuera de la organización

Penetración interna: Consiste en el mismo estudio de la penetración externa,

pero haciendo la suposición que el ataque procederá desde el interior de la empresa,
es decir, por usuarios del sistema.

Políticas de Seguridad: La política de seguridad define una serie de reglas,

procedimientos y prácticas óptimas que aseguren un nivel de seguridad que esté a la
altura de las necesidades del sistema.

Se basa, por tanto, en la minimización del riesgo, el cual viene definido por la
siguiente ecuación: RIESGO = (AMENAZA x VULNERABILIDAD) / CONTRAMEDIDAS.
En esta ecuación, la amenaza representa el tipo de acción maliciosa, la vulnerabilidad
es el grado de exposición a dicha acción y la contramedida es el conjunto de acciones
que se implementan para prevenir o evitar la amenaza. La determinación de estos
componentes indica el riesgo del sistema. 

 Marco legal

Seguridad informática: El instrumento legal tiene como objetivo la protección

integral de los sistemas que utilicen tecnologías de información. Igualmente, busca la
prevención y sanción para aquellas personas o instituciones que cometan delitos contra
estos sistemas o cualquiera de sus componentes.

Ley contra delitos informáticos: Incluye, predominantemente, una serie de

sanciones que están dirigidas no sólo a los hackers, sino también a quienes realicen
operaciones bancarias con tarjetas copiadas, entre otros. Los castigos contemplados
en la Ley de Delitos Informáticos incluyen prisión para las personas que violen este
marco legal, así como multas y trabajo comunitario. El instrumento legal se basa en el
principio de extraterritorialidad, el cual implica que las sanciones también podrán ser
aplicadas sin importar si el delito se cometió en territorio venezolano.

 Gestión de la seguridad lógica

La seguridad lógica se refiere a la seguridad en el uso de software y los

sistemas, la protección de los datos, procesos y programas, así como la del acceso
ordenado autorizado de los usuarios a la información. La “seguridad lógica” involucra
todas aquellas medidas establecidas por la administración usuarios y administradores
de recursos de tecnología de información para minimizar los riesgos de seguridad
asociados con sus operaciones cotidianas llevadas a cabo utilizando la tecnología de
información

 Detección de ataques informáticos (DoS, hackers, infecciones virales,
entre otros)

- Tipos de Ataques Informáticos

Malware: El término se refiere de forma genérica a cualquier software malicioso

que tiene por objetivo infiltrarse en un sistema para dañarlo. Aunque sepárese a lo que
comúnmente se le conoce como virus, el cual es algún tipo de malware. Igualmente
existen otros como los gusanos, troyanos, etc.

Virus: El virus es un código que infecta los archivos del sistema mediante un

código maligno, pero para que esto ocurra necesita que nosotros, como usuarios, lo
ejecutemos. Una vez que se ejecuta, se disemina por todo nuestro sistema a donde
nuestro equipo o cuenta de usuario tenga acceso, desde dispositivos de hardware
hasta unidades virtuales o ubicaciones remotas en una red.

Gusanos: Un gusano es un programa que, una vez infectado el equipo, realiza

copias de sí mismo y las difunde por la red. A diferencia del virus, no necesita nuestra
intervención, ni de un medio de respaldo, ya que pueden transmitirse utilizando las
redes o el correo electrónico. Son difíciles de detectar, pues al tener como objetivo el
difundirse e infectar a otros equipos, no afectan al funcionamiento normal del sistema.
Su uso principal es el de la creación de bot nets, que son granjas de equipos zombis
utilizados para ejecutar acciones de forma remota como por ejemplo un ataque DDoS a
otro sistema.

Troyanos: Son similares a virus, pero no completamente iguales. Mientras que el

virus es destructivo por sí mismo, el troyano lo que busca es abrir una puerta trasera
para favorecer la entrada de otros programas maliciosos. Su nombre es alusivo al
“Caballo de Troya” ya que su misión es precisamente, pasar desapercibido e ingresar a
los sistemas sin que sea detectado como una amenaza potencial. No se propagan a sí
mismos y suelen estar integrados en archivos ejecutables aparentemente inofensivos.

Spyware: Un spyware es un programa espía, cuyo objetivo principal es obtener

información. Su trabajo suele ser también silencioso, sin dar muestras de su
funcionamiento, para que puedan recolectar información sobre nuestro equipo con total
tranquilidad, e incluso instalar otros programas sin que nos demos cuenta de ello. 

AdWare: La función principal del adware es la de mostrar publicidad. Aunque su

intención no es la de dañar equipos, es considerado por algunos una clase de spyware,
ya que puede llegar a recopilar y transmitir datos para estudiar el comportamiento de
los usuarios y orientar mejor el tipo de publicidad.
 Ransomware: Este es uno de los más sofisticados y modernos malwares ya que
lo que hace es secuestrar datos (encriptándolos) y pedir un rescate por ellos.
Normalmente, se solicita una transferencia en bitcoins, la moneda digital, para evitar el
rastreo y localización. Este tipo de ciber ataque va en aumento y es uno de los más
temidos en la Actualidad.

Phishing: Se trata más bien de diversas técnicas de suplantación de identidad

para obtener datos de privados de las víctimas, como por ejemplo las contraseñas o
datos de seguridad bancarios. Los medios más utilizados son el correo electrónico,
mensajería o llamadas telefónicas, se hacen pasar por alguna entidad u organización
conocida, solicitando datos confidenciales, para posteriormente utilizar esos datos en
beneficio propio. Por lo que se ha tenido que implementar por todas las amenazas
comentadas anteriormente lo siguiente:

- Restringir el acceso a los programas y archivos
-  Asegurar que los operadores puedan trabajar sin una supervisión minuciosa y
no puedan modificar los programas ni los archivos que no correspondan.
-  Asegurar que se estén utilizando los datos, archivos y programas correctos.
- Que la información transmitida sea recibida por el destinatario al cual ha sido
enviada y no a otro.

 Control y monitorización de equipos conectados a la red

Es inevitable que el personal tenga acceso físico a las máquinas sobre las que
deben trabajar, y en algunos casos incluso a los dispositivos de red. Cuando el usuario
debe usar el hardware directamente, como usando disqueteras, CD-ROM o similares la
máquina que alberga estos dispositivos debe estar cercana al usuario. Lo mismo es
aplicable para los servidores y dispositivos de red y los administradores de sistemas,
para poder realizar su trabajo tienen que tener normalmente acceso físico a los
dispositivos de red.

Teniendo en cuenta este factor debemos intentar mediante el estudio de la red

de las aplicaciones que han de correr los usuarios finales el mantener al menos los
servidores y los dispositivos de red lejos del usuario final, en racks, armarios o centros
de datos. Los usuarios podrán acceder a sus datos a través de la red localy mantener
los datos importantes a salvo, aunque el hardware donde van a trabajar este
desprotegido por estar en su puesto de trabajo.

Los sistemas NAS y otros sistemas de almacenamiento de datos o servidores

de aplicaciones pueden ayudar en esto. Por tanto, la idea es mantener al menos los
datos y el trabajo del usuario fuera de la máquina donde se va a trabajar. Debemos
instar al personal de administración para que organice el sistema de forma que los
usuarios finales trabajen directamente sobre servidores de ficheros y servidores de
aplicaciones, manteniendo así los datos a salvo de errores o manipulaciones del
hardware. Bien estudiado este sistema puede suponer un ahorro adicional en hardware
en las estaciones de trabajo del usuario final, que podrán ser menos complicadas en su
constitución y más sencillas de administrar.

Denegación de servicio (DoS - Denial of Service): Los protocolos existentes

actualmente fueron diseñados para ser empleados en una comunidad abierta y con una
relación de confianza mutua. La realidad indica que es más fácil desorganizar el
funcionamiento de un sistema que acceder al mismo; así los ataques de negación de
servicio tienen como objetivo saturar los recursos de las víctimas de forma que se
inhabiliten los servicios brindados por la misma. 

Se ha instalado un troyano y se necesita que la víctima reinicie la máquina para

que surta efecto. Se necesita cubrir inmediatamente sus acciones o un uso abusivo de
CPU. El intruso cree que actúa bien al dejar fuera de servicio algún sitio web que le
disgusta. El administrador de sistema quiere comprobar que sus instalaciones no son
vulnerables a estos ataques. El administrador del sistema tiene un proceso que no
puede “matar” en su servidor y debido a este no puede acceder al sistema. Para ello,
lanza contra sí mismo un ataque DoS deteniendo los servicios. Entre los distintos tipos
de DoS tenemos:
 Jamming o Flooding: Este tipo de ataques desactivan o saturan los recursos del
sistema. Por ejemplo, se puede consumir toda la memoria o espacio disponible en
disco, así como enviar tanto tráfico a la red que nadie puede utilizarla. El atacante
satura el sistema con mensajes que requieren establecer conexión. Sin embargo, en
vez de proveer la dirección IP del emisor, el mensaje contiene falsas direcciones IP
usando “Spoofing” y “Looping”. El sistema responde al mensaje pero al no recibir
respuesta acumula buffers con información de las conexiones abiertas, no dejando
lugar a las conexiones legítimas.
 
Connection Flood: La mayoría de las empresas que brindan servicios de Internet
tienen un límite máximo en el número de conexiones simultáneas. Una vez que se
alcanza este límite, no se admitirán conexiones nuevas. Así, por ejemplo, un servidor
Web puede tener, capacidad para atender a mil usuarios simultáneos. Si un atacante
establece mil conexiones y no realiza ninguna petición sobre ellas, monopolizará la
capacidad del servidor. Las conexiones van caducando por inactividad poco a poco,
pero el atacante sólo necesita intentar nuevas conexiones para mantener fuera de
servicio al servidor.

Net Flood: El atacante envía tantos paquetes de solicitud de conexión que las
conexiones auténticas no pueden competir. En casos así el primer paso a realizares
ponerse en contacto con el Proveedor del servicio para que intente determinar la fuente
del ataque, y como medida provisional, filtre el ataque en su extremo de la línea. El
siguiente paso consiste en localizar las fuentes del ataque e informar a sus
administradores, ya que seguramente se estarán usando sus recursos sin su
conocimiento y consentimiento.

Land Attack: Este ataque se basa en un error de la pila TCP/IP de las

plataformas Windows. Consiste en mandar a algún puerto abierto de un servidor un
paquete con la dirección y puerto origen igual que la dirección y puerto destino. El
resultado es que después de cierta cantidad de mensajes enviados y recibidos la
máquina termina colgándose.
 OOB (Out Of Band), Supernuke o winnuke: Es un ataque característico en los
equipos Windows que hace que los equipos que escuchan por el puerto NET Bios
sobre TCP/UDP 137 a 139 queden fuera de servicio o disminuyan su rendimiento al
enviarle paquetes UDP manipulados. Generalmente se envían fragmentos de paquetes
OOB que la máquina víctima detecta como inválidos pasando a un estado inestable.
OOB es el término normal pero realmente consiste en configurar el bit Urgente (URG)
en los indicadores del encabezamiento TCP.E-Mail Bombing

Spamming: Consiste en enviar muchas veces un mensaje idéntico a una misma

dirección saturando así el buzón de correo del destinatario. El spamming, en cambio,
se refiere a enviar un e-mail a miles de usuarios, haya estos solicitados el mensaje o
no. Es muy utilizado por las empresas para hacer publicidad de sus productos.

 Plan de recuperación de comunicaciones

El costo de la Recuperación en caso de desastres severos, como los de un

terremoto que destruya completamente el interior de edificios e instalaciones, estará
directamente relacionado con el valor de los equipos de cómputo e información que no
fueron informados oportunamente y actualizados en la relación de equipos informáticos
asegurados que obra en poder de la compañía.

El Costo de Recuperación en caso de desastres de proporciones menos

severos, como los de un terremoto de grado inferior a 07 o un incendio de controlable,
estará dado por el valor no asegurado de equipos informáticos e información más el
Costo de Oportunidad, que significa, el costo del menor tiempo de recuperación
estratégica, si se cuenta con parte de los equipos e información recuperados. Este plan
de restablecimiento estratégico del sistema de red, software equipos informáticos será
abordado en la parte de Actividades Posteriores al desastre. El paso inicial en el
desarrollo del plan contra desastres, es la identificación de las personas que serán las
responsables de crear el plan y coordinar las funciones. Típicamente las personas
pueden ser: personal del CIT, personal de Seguridad. Las actividades a realizar en un
Plan de Recuperación de Desastres se clasifican en tres etapas:
 - Actividades Previas al Desastre.
- Actividades Durante el Desastre.
- Actividades Después del Desastre.

 Gestión de la seguridad física

Cuando hablamos de seguridad física nos referimos a todos aquellos

mecanismos, generalmente de prevención y detección destinados a proteger
físicamente cualquier recurso del sistema; estos recursos son desde un simple teclado
hasta una cinta de backup con toda la información que hay en el sistema, pasando por
la propia CPU de la máquina.

 Barreras físicas y procedimientos de control

Consiste en la aplicación de barreras físicas y procedimientos de control como

medidas de prevención y contra medidas ante amenazas a los recursos e información
confidencial. Se aplica tanto a equipos de hogar y pequeñas oficinas como a servidores
y CPD. La seguridad física está enfocada en cubrir las amenazas ocasionadas tanto
por el hombre como por la naturaleza del medio físico en que se encuentra el centro.
Las principales amenazas son:

- Ocasionadas por el hombre (robos, destrucción de la información o de equipos).

- Desastres naturales (Alteraciones y cortes de electricidad, incendios, tormentas
e inundaciones).
- Disturbios Sabotajes internos y externos deliberados.
 
 Centro de datos (Sala de servidores)

Restringir el acceso a través de múltiples métodos de verificación, monitorear

todos los accesos autorizados y contar con redundancia energética y de
comunicaciones. El acceso a la sala de ordenadores de un data center está restringido
a un pequeño grupo de personas. Existen diversos métodos para restringir el acceso a
esta área, y estos pueden ser clasificados en base a su nivel de confiabilidad.
  Adecuación de instalaciones según normas y estándares

Los riesgos más inmediatos y generalmente más fáciles de detectar están en los
entornos físicos. Debe existir una protección física adecuada de las instalaciones, los
equipos, los programas y los datos respecto a cualquier acceso no autorizado cualquier
tipo de riesgo en general; en instalaciones importantes es frecuente que haya una
persona o equipo responsable de la seguridad informática en general, función diferente
de la auditoria informática. El auditor debe revisar los puntos siguientes:
 
- Instalaciones
-  Accesos
-  Salidas de evacuación
-  Documentación
- Control de impresos
- Personal
- Contratación de pólizas de seguro adecuadas Instalaciones

o Revisar la ubicación de los ordenadores: estos deben de estar protegidos de

inundaciones u otras catástrofes y de la manipulación de empleados no
autorizados.
o Sala de ordenadores y sus instalaciones auxiliares: estas deben de ser
construidas con materiales adecuados y resistentes, el falso suelo y falso techo
han de ser incombustibles y también deberían serlo las puertas y las paredes.
o Fuego: debe de haber detectores de humo, detectores de calor y extintores.
o Existencia de alarmas y sistemas de extinción: los extintores no deben ser
nocivos, ni dañar los ordenadores y no deberían de ser ecológicamente dañinos.
o Las cajas de impresos: deben de estar en áreas distintas, no solo por el fuego
sino porque su manipulación genera polvo y partículas perjudiciales para el
procesador y disco.
 o El tabaco: debe estar prohibido fumar y se debe recordar con carteles.
o Planes de adecuación: para facilitar la labor de los bomberos y equipos de
extinción es necesario contar con planos, señalización adecuada instrucciones.
o Personal: en cuanto a las personas, es necesario tener un botiquín de primeros
auxilios, para quemaduras y cualquier emergencia.
o Pruebas: deben hacerse pruebas periódicas de detectores y extintores
automáticos y revisar la carga.
o Aire acondicionado: necesario no solo por la temperatura y por la humedad sino
por la pureza del aire; las partículas dañan dispositivos y soportes magnéticos.

 Protección de cableado

- El cableado debe cumplir con la norma RETIE y la red de iluminación por la
norma RETILAP está divido por una parte electricidad y por otra parte la
acometida de datos.
- Las líneas de energía eléctrica y de telecomunicaciones que entran ainstalacion
es de procesamiento de información deben ser subterráneas.
- Los cables de energía eléctrica deben estar separados de los cables de
comunicaciones para evitar interferencia.
- El acceso a los paneles de conexión y recintos de cables debe ser controlado.

 Plan de revisión y mantenimiento de conexiones físicas y equipos

Es un pequeño procedimiento que va desde revisar la parte superficial de los

dispositivos del gabinete, hasta los rincones más estrechos; se realiza antes de dar
mantenimiento al equipo. Esta revisión permite identificar posibles fallas, lo cual la hace
una rutina bastante benéfica para la computadora. En la revisión física se observa y
verifica que todos los componentes estén colocados correctamente, que los
ventiladores no estén atascados, que la fuente de poder este bien conectada, etc. Los
aspectos más importantes que deben revisarse son que las tarjetas y cables estén
correctamente conectados.

 Mecanismos de escucha y traza de comunicaciones

 - Restringir el acceso a los programas y archivos.
- Asegurar que los operadores puedan trabajar sin una supervisión minuciosa y no
puedan modificar los programas ni los archivos que no correspondan.
- Asegurar que se estén utilizando los datos, archivos y programas correctos en y
por el procedimiento correcto.
- Que la información transmitida sea recibida por el destinatario al cual ha sido
enviada y no a otro.
- Que la información recibida sea la misma que ha sido transmitida.
- Que existan sistemas alternativos secundarios de transmisión entre diferentes
puntos.
- Que se disponga de pasos alternativos de emergencia para la transmisión de
información.

 Características de las líneas telefónicas destinadas al transporte de datos

Son las características, que permiten la eficiencia de los procesos, en el sentido

de transito de Red PSTN y Datos a la misma, es decir cuál es su máxima eficiencia, y
referencia a su tecnología de red conmutada basada en telefonía y red de datos.

 Protocolo de actuación en caso de desastres

En un buen plan existen diferentes factores que hay que tomar en cuenta. Los más
importantes son:

o El árbol telefónico: para notificar todo el personal clave del problema y asignarles

tareas enfocadas hacia el plan de recuperación.
o  Reservas de memoria: si las cintas de reserva son tomadas fuera de sitio es
necesario grabarlas; si se usan servicios remotos de reserva se requerirá una
conexión de red a la posición remota de reserva (o Internet).
 o Clientes: la notificación de clientes sobre el problema reduce al mínimo el
pánico.
o Instalaciones: teniendo sitios calientes o sitios fríos para empresas más grandes;
instalaciones de recuperación móviles están también disponibles en muchos
proveedores.
o Trabajadores con conocimiento: Durante desastre a los empleados se les
requiere trabajar horas más largas y más agotadoras; debe haber un sistema de
apoyo para aliviar un poco de tensión.
o La información de negocio: Las reservas deben estar almacenadas
completamente separadas de la empresa
o La seguridad y la fiabilidad de los datos es clave en ocasiones como estas.

 Plan de contingencia

Los planes de contingencia se elaboran como respuesta a la acción de los

diferentes riesgos y tienen los siguientes objetivos fundamentales:

o Minimizar las interrupciones en la operación normal.
o Limitar la extensión de las interrupciones y de los daños que originen
o Posibilitar una vuelta al servicio rápida y sencilla
o Ofrecer al personal unas normas de actuación frente a emergencias
o Dotar de medios alternativos de proceso en caso de catástrofe
 
Para garantizar la validez del Plan y que no quede obsoleto, debe ser revisado
periódicamente. El Plan de Contingencia recoge los siguientes planes como respuesta
a los problemas:

- Plan de Emergencia: normas de actuación durante o inmediatamente después

de cada fallo o daño.
- Plan de Recuperación: normas para reiniciar todas las actividades del proceso
en el Centro.
 - Plan de Respaldo: especifica todos los elementos y procedimientos precisos
para mantener la seguridad de la información, como configuración del equipo,
comunicaciones, SO y opciones, etc.

 Vulnerabilidades y amenazas detectadas 

Bajo la etiqueta de ‘amenazas lógicas’ encontramos todo tipo de programas que

de una forma u otra pueden dañar a nuestro sistema, creados de forma intencionada
(software malicioso, también conocido como malware) o simplemente un error (bugs o
agujeros). Esto es, una amenaza es la posibilidad de la ocurrencia de algún evento que
afecte el buen funcionamiento de un sistema, es decir, cualquier elemento que
comprometa el sistema. Las amenazas pueden ser analizadas en tres momentos:
antes del ataque, durante y después del mismo, por lo que son necesarios mecanismos
que garanticen la seguridad para cada momento. Estos son:

o La prevención (antes): mecanismos que aumentan la seguridad (fiabilidad) de un
sistema durante su funcionamiento normal. Por ejemplo, el cifrado de
información.
o La detección (durante): mecanismos orientados a revelar violaciones a la
seguridad. Generalmente son programas de auditoria.
o La recuperación (después): mecanismos que se aplican cuando la violación del
sistema ya se ha detectado, para retornar éste a su funcionamiento normal. Por
ejemplo, recuperación desde las copias de seguridad realizadas previamente. La
identificación de las amenazas requiere conocer los tipos de ataques, el tipo de
acceso, método de trabajo y los objetivos del atacante.

Riesgo, Proximidad o posibilidad de daño sobre un bien, ya se trate de actos

naturales, errores u omisiones humanas y actos intencionados, cada riesgo debería ser
considerado de las siguientes maneras:
 
- Minimizando la posibilidad de que ocurra.
- Reduciendo al mínimo el perjuicio producido si no ha podido evitarse que
ocurriera.
 - Diseñando métodos para la más rápida recuperación de los daños
experimentados.
- Corrigiendo las medidas de seguridad en función de la experiencia recogida, son
las debilidades del sistema que pueden ser empleadas por la amenaza para
comprometerlo. 

Las consecuencias de los ataques se podrían clasificar en:

 Corrupción de Datos: la información que no contenía defectos pasa atenerlos.

 Denegación de Servicio: servicios que deberían estar disponibles no lo están.
 Filtrado: los datos llegan a destinos a los que no deberían llegar. Los ataques de
una forma general se clasifican en: 

Ataques Pasivos: El atacante no altera la comunicación sino que únicamente la

escucha o monitoriza para obtener información que está siendo transmitida. Sus
objetivos son la interceptación de datos y el análisis de tráfico. Se suelen emplear para:

 Obtención del origen y destinatario de la comunicación, a través de la lectura de

las cabeceras de los paquetes monitorizados.
 Control del volumen de tráfico intercambiando entre las entidades monitorizadas,
obteniendo así información acerca de actividad o inactividad inusuales.
 Control de las horas habituales de intercambio de datos entre las entidades de la
comunicación, para extraer información acerca de los periodos de actividad. El
cifrado de información, por ejemplo, puede evitar el éxito, si bien no el ataque. 

Ataques Activos: Estos ataques implican algún tipo de modificación del flujo de
datos transmitidos, la creación de un falso flujo de datos. Generalmente son realizados
por hackers, piratas informáticos o intrusos remunerados y se los pueden subdividir en
varias categorías:

 Interrupción: Un ataque se clasifica como interrupción si hace que un objeto del

sistema se pierda, quede inutilizable o no disponible.
  Interceptación: Se tratará de una interceptación si un elemento no autorizado
consigue un acceso a un determinado objeto del sistema.
 Modificación: Si además de conseguir el acceso consigue modificar el objeto.
 Destrucción: Algunos autores consideran un caso especial de la modificación la
destrucción, entendiéndola como una modificación que inutiliza al objeto
afectado.
 
 Elabore una escala tipo likert de 30 preguntas para realizar la Auditoría de
Seguridad Física y Lógica.
 CONCLUSIONES Y RECOMENDACIONES

Aunque las implantaciones de la seguridad van siendo más sofisticados y
llegando a áreas o aspectos casi desconocidos hace años, esto no implica que estén
plenamente resueltos lo más básicos: encontramos bastantes deficiencias en controles
físicos, no tanto porque no existan cuanto por las brechas o descuidos que se pueden
encontrar.

La auditoría en sistemas de información no está suficientemente implantada en

la mayoría de las entidades españolas, si bien supondría una mayor garantía de que
las cosas se hacen bien y como la entidad quiere: en general hay coincidencia entre
ambos puntos. Como función aporta al auditor un conocimiento privilegiado del área de
Sistemas de Información con una perspectiva muy amplia. La forma de realizar el
trabajo va variando y se está llegando a aplicar el control por excepción y la tele
auditoría.

En cuanto a nuevas áreas, surge el auge del comercio electrónico, el control de

páginas WEB: la revisión de quien autoriza, varía y controla los contenidos: esas
entidades por seguridad y productividad, y en los hogares, aunque esto se sale de la
auditoria y queda en el control para evitar que los menores accedan a contenidos con
violencia o pornografía.

 
 REFERENCIAS BIBLIOGRAFICAS

Electrónicas en Línea:

 https://instituciones.sld.cu/dnspminsap/files/2013/08/Metodologia-PSI-
NUEVAProyecto.pdf

 http://servicios.unileon.es/gestion-de-residuos/wp-
content/blogs.dir/34/files/2014/03/guia-de-seguridad-y-buenas-practicas-en-el-
laboratorio.pdf

 https://blogseguridad.tyco.es/consejos/seguridad-fisica-en-los-centros-de-datos/

 https://www.mtnet.com.mx/blog/seguridad-fisica-en-el-data-center-las-cuatro-capas/

 https://jservan.files.wordpress.com/2011/01/unidad-2-resumen-seguridad-fc3adsica-
resumido.pdf

 https://www.monografias.com/trabajos101/plan-contingencia-y-seguridad-
informacion/plan-contingencia-y-seguridad-informacion.shtml
