Proyecto de Aula

Empresa: “Rubros & tributos S.A”

Elaborado por:

Rubén Darío Casallas.

William Jose Anaya Santos
Adriana Carolina Méndez González

Docente:
Mauricio Rodriguez Garcia

Corporación Unificada Nacional de Educación Superior CUN

Ingeniería de Sistemas
Seguridad en redes
Grupo 54234
Bogotá D.C.
2020
Nombre Empresa: “Rubos & Tributos S.A”

Empresa outsourcing de contabilidad

Cantidad de Sedes y ubicación:

Tres sedes

Sede Bogotá

Sede Medellín

Sede Cali

Cantidad de Empleados por Sede

Bogotá: 50 empleados

Medellín: 30 empleados

Cali: 30 empleados

Cantidad de Centros de cableado - Switches - Routers - Access Point - Servidores por Sede

Bogotá:

● 1 centro cableado
● 1 router
● 1 firewall
● 2 Switches 48 puertos
● 3 acces point
● 5 servidores (Telefonía, base de datos, aplicación, copias de seguridad, directorio
activo)

Medellín:

● 1 centro cableado
● 1 Firewall
● 1 Switch 48 puertos
● 2 acces point
 ● 1 servidor de copias de seguridad

Cali:

● 1 centro cableado
● 1 Firewall
● 1 Switch 48 puertos
● 2 acces point
● 1 servidor de copias de seguridad

Proveedores, Anchos de Banda y Canales de Internet y Datos entre las sedes

Bogotá:

● Troncal SIP 10
● Banda ancha de 50MB
● MPLS 20MB

Medellín:

● MPLS 10MG
● Banda ancha de 30MB

Cali:

● MPLS 10MG
● Banda ancha de 30MB

Servicios Utilizados:

● Telefonía Voz IP
● FTP
● SAMBA
● Active Directory
● SQL Server
● Apache Tomcat

Estructura de Seguridad Actual a Nivel de la red Principal, de cada Sede y de la Red en

general hacia Internet
Bogotá (Sede principal):

● Firewall que gestiona el acceso a internet.

● Antivirus en todos los dispositivos con bloqueo de puertos físicos
● Switches capa 2 con filtro por MAC

Medellín:

● Firewall que gestiona el acceso a internet.

● Antivirus en todos los dispositivos con bloqueo de puertos físicos
● Switches capa 2 con filtro por MAC

Cali:

● Firewall que gestiona el acceso a internet.

● Antivirus en todos los dispositivos con bloqueo de puertos físicos
● Switches capa 2 con filtro por MAC

Políticas Actuales

Regulación del tráfico de las redes de la empresa en sus diferentes sedes por medio de un
firewall UTM.

Protección contra malwares en la puerta de enlace con la finalidad de reducir amenazas en el

punto final.

Equipos de Seguridad Actuales

3 Firewall UTM (uno por sede)

4 Switches capa 2 (2 sede principal y uno en cada una de las otras sedes)

Elementos aplicados de la Norma ISO 27001

● Configuración de plan de copias de seguridad, respaldos del servidor de archivos.

● Continuidad del negocio, replicación y almacenamiento de las diferentes copias de
seguridad en los servidores de cada sede, configuración de restauración de archivos.
Planos:
- Sede Bogotá:

- Sede Medellín:
 - Sede Cali:

UTM SELECCIONADO: CLOUDFLARE LOAD BALANCING

EQUILIBRIO DE CARGA CON CLOUDFLARE

• Verificaciones de estado con una rápida conmutación por error: mejore la visibilidad
de la disponibilidad de los servicios y dirija rápidamente el tráfico hacia aquellos que
estén en buen estado.
• Equilibro de carga local y global: reduce la latencia equilibrando la carga de tráfico
entre varios servidores o dirigiendo el tráfico a la región de geolocalización más
cercana.
EQUILIBRIO DE CARGA GLOBAL Y LOCAL
El equilibrio de carga de Cloudflare reduce automáticamente la latencia, dirigiendo a los
visitantes a las infraestructuras cercanas a ellos: por ejemplo, envía a los clientes europeos al
centro de datos de Londres y a los clientes australianos al centro de datos de Sídney. El
equilibrio de carga está construido sobre la red Anycast de Cloudflare, lo que permite una
entrega rápida de activos estáticos a través de la CDN de Cloudflare y reduce la latencia para
las solicitudes dinámicas manteniendo a los visitantes cerca de su infraestructura.
El equilibrio de carga global de Cloudflare opera a nivel de DNS y es compatible con
cualquier protocolo: desde el HTTP(S) hasta los servicios basados en los protocolos TCP y
UDP. Eso permite su uso con los servicios existentes o en conjunción con otros proveedores
de nube, ya sean de computación, almacenamiento o cualquier combinación de los mismos
Precio de la herramienta:

20 dólares por mes.

Ideal para peticiones WEB donde los equipos pueden trabajar de manera segura sobre la
página que se desea consultar, blindando el servicio alojado en el servidor y permitiendo el
uso de altos estándares de seguridad para nuestra webapp.

Implementación de ISO 27001 Anexo A:

1. Políticas de seguridad de la información:

Para Rubros & tributos S.A la información es el activo más importante, por ello se
resuelve lo siguiente;
● La información de la empresa será de uso laboral, se prohíbe el manejo de
información laboral en equipos ajenos de la empresa, así como correos o
nubes no autorizadas.
● Los equipos de cómputo deberán permanecer siempre vigilados y son de
carácter intransferible.
● Se garantiza el respaldo periodico de la información para evitar daños
● Puertos y unidades están bloqueados
● La eliminación de la información será responsabilidad de la persona a cargo y
en caso de gravedad será causal de despido y judicialización
● El uso de internet será monitoreado y administrado por el área de
telecomunicaciones quienes deberán impedir el acceso a sitios no seguros.

2. Organización de la seguridad de la información:

Es deber del empleado cumplir con los lineamientos de la política de seguridad así
como los siguientes aspectos.
● La información no se deberá borrar hasta una vez se realice el respaldo de la
misma.
● Cualquier evento o correo dañino deberá ser reportado al área a cargo de la
seguridad para su revisión.
 ● El equipo y el acceso al mismo debe ser único de la persona.

3. Seguridad de los recursos humanos:

El recurso humano es de vital importancia para Rubros & tributos S.A por ello:
● Se prohíbe el acceso a personal no autorizado a áreas laborales.
● El acceso a los programas de la empresa están determinados con perfiles que
permiten el acceso controlado a funciones únicas a su puesto por parte del
trabajador.
● El acceso a internet está limitado a sus funciones impidiendo el manejo de
información no necesaria para su labor en la empresa.

4. Gestión de Activos:
Los activos se administrarán de la siguiente manera:
● Se hará entrega de equipo de computo en perfectas condiciones a cada
empleado para desarrollar sus funciones, el empleado deberá responder por su
integridad y reportar en caso de daño.
● Los activos de telecomunicaciones serán responsabilidad del líder de ésta área
quien a su vez designará un equipo o técnico encargado de gestión estos,
hacerles mantenimiento y monitoreo
● Los activos no computacionales son responsabilidad del área de
mantenimiento quienes a su vez verán por que todo esté en perfectas
condiciones.
● Ante cualquier daño el usuario está en la obligación de hacer reporte al área
correspondiente para su respectiva gestión
5. Controles de acceso:
Los distintos centros de datos, serán limitados solo al personal registrado y autorizado
por el líder el cual a través de control de acceso biométrico solo permitirá el acceso a
estas personas quienes deberán hacer registro del motivo de acceso al documento
estipulado para el mismo.
6. Criptografía – Cifrado y gestión de claves:
Toda la información está cifrada por defecto con EFS asociado a la contraseña
asignada al usuario de Active Directory entregado en el momento de creación, las
claves de aplicativos, programas y cuenta no deberán ser la misma y deberá contar
con una longitud mínima de 9 caracteres, debe contener una mayúscula, una
minúscula, un carácter especial y un número.
7. Seguridad física y ambiental:
● Se realiza respaldo de información a través de información la cual estará en
todas los servidores de respaldo en cada sede, así se garantiza que en caso de
desastre se podrá restablecer el servicio sin perder la información.
● Se deberá contar con red eléctrica regulada, con supresión de picos y UPS para
garantizar la operación.
 ● El control de temperatura en los centros de datos deberá contar con un aire
acondicionado que regulará la temperatura con un máximo de 20 grados
ambiente y un mínimo de 16 grados.
● Los centros de datos tendrán alarmas de incendios y humo.
● Los centros de datos deben contar con extintores o sistemas contra-incendios
que permitan minimizar eventos.
● El acceso al centro de datos estará siempre bajo monitoreo de cámaras de
seguridad y solo habilitado al control de acceso biométrico.

8. Seguridad operacional:
● Se implementarán cámaras de seguridad en sitios críticos para la operación las
cuales evitaran la caida del proceso
● Se colocarán sistemas de monitoreo en red para verificar el estado de los
equipos de red, servidores y equipos de cómputo en general

9. Seguridad de las comunicaciones:

● La seguridad de comunicaciones está gestionada por el grupo de
telecomunicaciones quienes darán cumplimiento de la política de la seguridad
de la información apoyados en equipos especializados en materia de seguridad

10. Adquisición, desarrollo y mantenimiento del sistema:

● La adquisición de equipos del sistema deberá contar con un mínimo de 3
cotizaciones formales con valores al día, con empresas registradas en cámara
de comercio, Dian y con certificación bancaria
● La cotización de nuevo servicios se llevará a cabo por el líder de compras en
asesoría del líder de tecnología quienes a su vez diagnosticaron el alcance de
la herramienta para su negociación y posterior aprobación de contrato

11. Gestión de incidentes de seguridad de la información

● Ante la eventual incidencia de falla de información, el área de compras deberá
comprar el equipo de respaldo en un lapso no mayor a 24 horas y el equipo de
tecnología deberá subir el servicio en un máximo de 48 horas.
● En caso de comprometerse un servicio se deberá hacer uso de los respaldos
realizados en cada sede y restablecer el funcionamiento en el menor tiempo
posible no máximo a 4 horas de encontrado el incidente
12. Cumplimiento:
● Se debe dar cumpliento a la totalidad de los lineamientos anteriormente
mencionados, en caso de que no, se deberá documentar el causal y generar un
plan de mejora.