Examen práctico de Seguridad Informática

Unidad I
1. Lee atentamente el enunciado y responde las preguntas:

La compañía de seguridad para Internet de SystemSolution ha localizado un nuevo fraude en la red

social Facebook que utiliza para propagarse el etiquetado en las fotos que permite dicha red social.

El método utilizado es el siguiente: un usuario es etiquetado en una foto de una chica joven y vestida
de manera provocativa. Junto a esa foto, se incluye un mensaje que dice: "Descubre quienes son tus
principales seguidores", junto con un link para utilizar una aplicación que permitiría conocer esa
información.

Si el usuario pincha en el link, será redirigido a una aplicación que, por un lado, le pedirá su nombre
de usuario y contraseña y, por otro, le pedirá permisos para publicar mensajes en su muro y para
acceder a su lista de contactos en Facebook. Una vez haya introducido los datos y dado permiso a la
aplicación, esta mostrara un mensaje de error, señalando que no está disponible en este momento.

Sin embargo, inmediatamente, comenzarán a publicarse nuevas fotos en la galería del usuario en la
que saldrán etiquetados todos sus amigos. Además, en el muro de estos aparecerá que alguien les
ha etiquetado en esa foto, junto al comentario inicial ("Descubre quienes son tus principales
seguidores") más el link que conduce a la aplicación falsa.

En el momento en que uno de estos amigos pinche el link e instale la aplicación creyendo que su
amigo ya la ha probado y que se la está recomendando, el proceso volverá a comenzar. De esta
manera, la aplicación consigue un efecto viral, propagándose por la red social.

a) ¿De qué tipo de ataque se trata? (2p)

El ataque es de tipo Phishing, Ingeniería social no es un software, se trata más bien de diversas técnicas de
suplantación de identidad para obtener datos de privados de las víctimas, como por ejemplo las contraseñas o
datos de seguridad bancarios.

b) Analiza las vulnerabilidades y amenazas del sistema. (2p)

VULNERABILIDADES AMENAZAS
Conexiones a red pública desprotegidas. Daño causado por un tercero.
Ausencia de sistemas de identificación y Comprometer información confidencial.
autenticación.
Falta de política de acceso o política de acceso Daño causado por un tercero.
remoto.
Falta de formación y conciencia sobre seguridad. Malversación y fraude.
Clasificación inadecuada de la información. Instalación no autorizada de software.
Respaldo inapropiado o irregular. Divulgación de contraseñas.
 c) ¿Qué recomendaciones darías para evitar esta situación? (2p)

Recomendaciones:
 Verifica la fuente: Verificar la fuente no es tan difícil. Por ejemplo, si se trata de un mensaje de correo
electrónico, mira la cabecera y contrástala con mensajes válidos del mismo remitente. Comprueba
adónde conducen los enlaces: los hipervínculos fraudulentos son fáciles de detectar con solo deslizar
el cursor por encima sin hacer clic en ellas. Comprueba la ortografía: los bancos cuentan con equipos
de personas cualificadas.

 Solicitar autentificación: Y hazlo en todos los supuestos. Verifica el nombre y el número de teléfono de
quienquiera que te llame o te encueste. ¿Para quién trabaja? debería ser una respuesta básica a
cualquier petición de información. Y luego comprueba la guía de teléfono o el organigrama de la
empresa antes de proporcionar información privada o datos personales

 Capacitarse de los ataques que esta propenso en las redes sociales

d) ¿cuál es el activo más valioso de una empresa? (2p)

 El activo más importante de las empresas son sus personas. Sin embargo, no son tantas las
empresas en las que esto sea una realidad evidente, y donde la persona se sienta comprometida e
ilusionada con la estrategia de la empresa.

e) ¿qué vulnerabilidades podrían afectarle? (2p)

Vulnerabilidades:
 Ausencia de sistemas de identificación y autenticación.
 Descarga no controlada de Internet.
 Conexiones a red pública desprotegidas.
 Uso incontrolado de sistemas de información.
 Falta de control sobre los datos de entrada y salida.
 Inadecuada gestión y protección de contraseñas.

f) ¿qué amenazas son las que podrían afectarle? (2p)

Amenazas:
 Daño causado por un tercero.
 Comprometer información confidencial.
 Fallo de los enlaces de comunicación.
 Uso indebido de los sistemas de información.
 Errores de software.
 Cambio involuntario de datos en un sistema de información.
2. Una reconocida empresa de Tecnología localizada les da soporte a varias empresas importantes en
la ciudad de Lima. Cuenta con cinco proyectos en desarrollo con plazos de entrega entre 3 y 6
meses, además tienen pendientes varios requerimientos de desarrollo de sistemas que son
requeridos por el cambio drástico en el ámbito comercial de país. Todos sus trabajadores trabajan
remotamente y no se cuenta con las reglas necesarias para imponerlas a sus trabajadores. Por esta
razón la empresa requiere crear una nueva Política de Teletrabajo. Ante esta situación elabore la
política solicitada. (8p)

Politica de teletrabajo:

 Todo personal que trabaje remotamente deberá estar controlado por un supervisor el cual vera el
tiempo de trabajo y todo lo obtenido durante el dia.
 El tratamiento de la información y documentación estratégica y confidencial deben contar con todos
los aspectos de seguridad, para que el manejo de la misma se realice de forma segura, para que
nuestros competidores y otras personas ajenas no tengan acceso a nuestras actividades de
negocios.
 Los permisos de acceso a todos los sistemas de la Compañía sean estos de las plataformas
informáticas, de telecomunicaciones, financieras, antifraude, y cualquier otra plataforma que
existiere, tendrán un tiempo de expiración de máximo 1 año.
 Se debe aplicar estándares y buenas prácticas sobre manejo de un modelo seguro de datos.
 Todos los empleados que trabaje remotamente y manejen información sensible de la Compañía,
deberán firmar un acuerdo de confidencialidad.