Teorı́a De La Seguridad Análisis De Un Caso

Práctico
Alejandra Trujillo Sánchez-1811027286 Marco Alexander Garcı́a Zamudio-1821026882
Jesica Andrea Monroy tapieros -1921022806 Andrés Fernando
Marles Agudelo -191102032

1 Identifique por lo menos 3 activos de infor-

mación importantes para la empresa
A. Software El software fue un desarrollo a la medida, diseñado y elaborado por
un grupo de ingenieros calificados para tal fin, bajo el lenguaje de programación
Cobol Versión gráfica. Este software es altamente utilizado por entidades fi-
nancieras gracias a su nivel de seguridad. Actualmente se encuentra instalado
en el equipo servidor de la empresa y el acceso al mismo por parte de los demás
usuarios se realiza por medio de un recurso compartido por red. Adicional-
mente, el software permite la inclusión de información importante por medio de
tablas que luego es utilizada en los registros presentados anteriormente. Esto
facilita la labor de digitación y agiliza dicho proceso para elaborar más cuentas
en el menor tiempo y minimiza los errores que en digitación se pueden cometer.
B. Gestión de backup Se realiza un backup diferencial y un backup Incre-
mental semanalmente, a través del software Cobián Backup 11. El backup es
almacenado en tres fuentes diferentes, servidor fı́sico, nube (Mega) y disco duro
externo. Existe una polı́tica de backup.
C. Soluciones de seguridad Actualmente, AIPAD SAS cuenta con esquema
de seguridad, compuesto por un dispositivo de seguridad perimetral que permite
control sobre la navegación y establecimiento de VPN hacia la red de AIPAD.
Tiene un sistema de alarmas para ingreso a las oficinas operativas. Un an-
tivirus para control de seguridad a nivel de EndPoint. Se cuenta con regulador
de voltaje para evitar picos eléctricos que pueden afectar el acceso al recurso
compartido.

1
2 Confirme en qué medida la norma ISO 27001:2013
ayudarı́a a la empresa a tomar medidas con
respecto a seguridad.
Al aplicar la norma ISO 27001:2013 ayudarı́a a la empresa en un 100 Adicional
a lo anterior, brinda un mayor nivel de seguridad a nivel fı́sico en las instala-
ciones de la empresa, permitiendo una correcta identificación, control de acceso
y control de actividades por parte de todas las personas que hacen uso de las
instalaciones.

3 Si la empresa no realiza un ejercicio de im-

plementar polı́ticas de seguridad, ¿cómo se
verı́an afectados cada uno de los principios?
Mencione por lo menos 2 situaciones de afectación
por cada principio.
La seguridad tiene como objetivo resguardar la confidencialidad, integridad y
disponibilidad de la información, por lo tanto, se tiene que aplicar de forma
efectiva en toda la cadena. Siempre debemos tener claro que un sistema es
mucho más vulnerable de lo que pensamos. Es necesario que tengamos en
cuenta las causas de los riesgos y la posibilidad de que ocurran fallos. Todas las
organizaciones deben velar por resguardar la seguridad de la información crı́tica.
No hacerlo puede costarle muy caro en caso de que se produzca un incidente. Lo
importante es que los riesgos de seguridad de la información sean gestionados.
La recomendación es apoyarse en organizaciones especialistas que cuentan con
la experiencia y conocimientos para hacerlo de forma adecuada
A. Multas y Sanciones. Las sanciones para las empresas dependerán de su
tamaño, ya sea micro, pequeña, mediana o gran empresa, ası́ como el número
de trabajadores y el valor de sus activos,
B. Perder contratos con entidades públicas y privadas.
Las empresas deberán hacerse cargo de las consecuencias negativas que se
presenten al no cerciorarse previamente que sus contratistas tengan un SG-SST,
en caso que ocurriera un incidente que afectara la integridad y salud del traba-
jador enviado por la empresa contratista. Esta determinación surge debido a
los casos frecuentes en los cuales las responsabilidades de accidentes de trabajo
quedan sin resolverse porque se pasan la responsabilidad entre las partes involu-
cradas ya sea el empleador principal, el directo y la ARL, afectando la salud y
vida del trabajador. Debido a estas medidas del SG-SST, que son obligatorias,
usted como empresa no se arriesgará a contratar sin exigir el cumplimiento de
esta norma por parte de sus proveedores y contratistas, además que es requi-
sito dentro de su Sistema de Gestión. Confidencialidad: robo de contraseñas,
intervención de mecanismos de cifrado y la ingenierı́a social. Integridad: cor-

2
rupción de archivos, modificación maliciosa, reemplazo de datos o falta de en-
trenamiento.

4 De acuerdo con la afectación de los principios

y los activos indicados, indique una Vulnera-
bilidad, amenaza y riesgo por cada activo.
A. Software
• Vulnerabilidad: Instalación de software de origen no conocido.
• Amenaza: Inyección o Ejecución de virus, troyanos o software malicioso.
• Riesgo: Daño o modificación de datos y/o archivos.
B. Gestión de Backup
• Vulnerabilidad: contraseñas inseguras
• Amenaza: Ingreso a los datos de personas no autorizadas
• Riesgo: Pérdida de información, daño o modificación de datos.
C. Soluciones de seguridad
• Vulnerabilidad: No tener una polı́tica clara de seguridad informática y de
la información.
• Amenaza: Desconocimiento y falta de preparación técnica de los traba-
jadores.
• Riesgo: Robo y perdida de información

5 Mencione posibles ataques a los cuales estarı́a

expuesta la empresa, si no se toman acciones
para mejorar la gestión de la seguridad.
Uno de los posibles ataques a los que puede estar expuesta la empresa es al mo-
mento del retiro de los trabajadores, es decir el personal que ya no labora más
con la compañı́a, al no tener un procedimiento o cronograma de actividades claro
al momento del retiro, los ex empleados pueden hacer uso de usuarios y con-
traseñas para el ingreso al software de la empresa, ocasionando posibles pérdidas
o fuga de información, modificación de datos o secuestro de información, lo cual
es un riesgo de alta complejidad lo cual hasta el momento no tendrı́a previsto
la empresa. Una de las afectaciones posibles es la suplantación de personal
por medios electrónicos y llamadas, modificando ası́ datos confidencias. Esta
es una de las comunes que consiste en que empresas o personas de supuesta
confianza manipulan al personal para obtener información de claves de acceso
o intercambio de información confidencial.

References
[1] https://www.esic.edu/rethink/tecnologia/seguridad-la-informacion-proteccion-
ante-ataquesJ. Clerk Maxwell, A

3
 [2] https://www.mintic.gov.co/gestionti/615/articles-5482G uiaS eguridadi nf ormacionM ypimes.pdf
[3] file:///C:/Users/alejandra.Lenovo-PC/Downloads/URJNxqQgBUIuSWkd2 xDvgX5zdjXalsKW −
lectura − 20 − f undamental − 202.pdf R.
[4] file:///C:/Users/alejandra.Lenovo-PC/Downloads/URJNxqQgBUIuSWkd2 xDvgX5zdjXalsKW −
lectura − 20 − f undamental − 202.pdf