TEMA VIII

SEGURIDAD
ELECTRONICA
Y LEGISLATIVA
DE LAS TICS
 Seguridad TIC
La seguridad de la información es el conjunto de medidas preventivas y reactivas de las
organizaciones y de los sistemas tecnológicos que permiten resguardar y proteger la
información buscando mantener la confidencialidad, la disponibilidad e integridad de
la misma.

El desarrollo de la sociedad de la información y la expansión de la informática y de las

telecomunicaciones plantea nuevas amenazas para la privacidad que han de ser
afrontadas desde diversos puntos de vista: social, cultural, legal, tecnológico.

Si tenemos en cuenta que la información es hoy día uno de los principales activos de
una gran variedad de empresas, podemos entender que en este contexto
la seguridad TIC haya alcanzado la relevancia que tiene.
 Conceptos de Seguridad
Hacker
Es un individuo que intenta obtener acceso sin autorización a un sistema computacional.

Cracker
Se denomina este como un Hacker con intención criminal para provocar daños.

Cibervandalismo
Es la interrupción, desfiguración o destrucción intencional de un sitio web o Sistema de
información.
Spoofing
Es el hecho de redirigir un vínculo web a una dirección distinta de la que correspondía, en
donde el sitio funciona como el destino esperado.

Husmeador (sniffer)
Es un tipo de programa que monitorea la información que viaja a través de una red, y se
puede utilizar para rastrear, recomponer y decifrar mensajes para diversos usos.
 Conceptos de Seguridad
Pheakers
Son intrusos especializados en sabotear redes telefónicas para realizar llamadas
gratuitas.

Spammers
Son los responsables del envío masivo de miles de mensajes de correo electrónicos no
solicitados a través de internet provocando sobrecargas y colapsos de los servidores.
 Ataques a los sistemas
Ataque de negación de servicio (DoS)
Es cuando los hackers inundan un servidor de Red o Web con miles de solicitudes de servicios
falsas para hacer que la red colapse.

Ataque de negación de servicio (DDoS)

Es cuando los hackers utilizan varias computadoras para saturar la red desde muchos
puntos de lanzamiento.
Botnet
Es un software malicioso que utilizan los hackers para infectar computadores de otras
personas, las cuales se convierten en esclavos y proporcionan servicios a otras con fines
maliciosos.
 Ataques a los sistemas (ii)
Delito Electrónico, Delito Informático o Ciber delito
Delito informático, delito cibernético o ciberdelito es toda aquella acción
antijurídica que se realiza en el entorno digital, espacio digital o de Internet.

Sabotaje informático
Implica que el delincuente busque destruir el centro de cómputos en sí (las máquinas) o
los programas o informaciones almacenados en los Computadores.

Piratería informática
La piratería informática consiste en la violación ilegal del derecho de autor.
 Ataques a los sistemas (ii)
Ramsonware
Es un software malicioso que al infectar nuestro equipo le da al ciberdelincuente la
capacidad de bloquear un dispositivo desde una ubicación remota y encriptar nuestros
archivos quitándonos el control de toda la información y datos almacenados.

Phishing
Es un método que los ciberdelincuentes utilizan para engañar y conseguir información
personal, como contraseñas o datos de tarjetas de crédito y de la seguridad social y
números de cuentas bancarias, esto lo hacen mediante el envio de correos electrónicos
fraudulentos o dirigiendo a un sitio web falso.
 Ataques a los sistemas (iii)
ingeniería social
Es un conjunto de técnicas que usan los cibercriminales para engañar a los usuarios
incautos para que les envíen datos confidenciales, infecten sus computadoras con
malware o abran enlaces a sitios infectados.
 Amenazas a los sistemas
Ciberterrorismo y Ciberguerra
Es una actividad relacionado con el delito informático que puede provocar un colapso
global cuya consecuencia genere una Guerra informática.

Amenazas del personal interno

Son los responsables de los ataques e incidentes de seguridad informática.

Ex empleados
Pueden actuar por despecho o venganza a través de sus credenciales si estas aún no han
sido canceladas.
Intrusos remunerados
Son expertos informáticos contratados por un tercero para la sustracción de información
confidencial o posibles sabotajes informáticos.
 Motivaciones de los Atacantes

• Consideraciones económicas.
• Diversión
• Ideología (por aspectos politicos)
• Autorrealización
• Búsqueda de reconocimiento social o estatus dentro de una
comunidad de usuarios avanzados.
 Algunas predicciones sobre la seguridad de la
informacion
Los ataques de ingeniería social se volverán más complejos

La “nueva normalidad” será atacada

El 2021 traerá un mayor enfoque en las soluciones de automatización y eficiencia en el

mercado de la seguridad.

Se harán más inversiones y se resaltará la necesidad de mantenerse seguro en línea.

La IA y el aprendizaje automático en el punto de mira.

El ransomware evolucionará.

El tsunami de IoT y los Automóviles conectados

 Gestión de Incidentes de Seguridad
Un incidente de seguridad es cualquier evento que pueda provocar una interrupción
o degradación de los servicios ofrecidos por un Sistema, o bien afectar la
confidencialidad o integridad de la información.

Es fundamental registrar los incidentes ya que estos permiten minimizar los riesgos
que se presentaron o se puedan presentar, facilitar la rápida gestión para actuar en
el momento correcto y así evitar futuras pérdidas, interrupción en los procesos o
violación en aspectos legales.

La manera de almacenarlos normalmente se hace a través de un formulario en

donde se va condensando toda la información con respecto a esto el cual debe
contener el nombre del responsable, el tipo de incidente y datos adicionales que
deban ser tenidos en cuenta.
 MECANISMO DE CONTROL DE ACCESO O INTRUSIONES
Firewalls
Evitan que los usuarios sin autorización accedan a redes privadas.
Sistemas de detección de intrusos
Contienen herramientas de monitoreo de tiempo complete que se conlocan en puntos
vulnerables o “puntos activos”de las redes corporativas, para detectar y evadir a los
intrusos de manera continua.
Sistemas de Antivirus y antispyware
Son herramientas diseñadas para revisar Sistemas computacionales y las unidades en busca
de la presencia de virus informática.
Honeypots y honeynets (señuelos)
Proporcionan mecanismos para la monitorización, registro y control de las acciones de los
intrusos.
Sistema de administración unificada de amenazas
Son sistemas que protegen la periferia de la red y que tienen funcionalidades de detección
de intrusos, filtrados web y antispam.
 ANALISIS FORENSE INFORMATICO

Ciencia Forense
Es aquella que proporciona los principios y técnicas que facilitan la investigación de
los delitos criminales mediante la identificación, captura, reconstrucción y análisis de
la evidencia.
Informática Forense
Es aquella que se encarga de adquirir, preservar, obtener y presentar datos que
han sido procesados electrónicamente y guardados en un medio computacional.

Etapas del análisis forense de un incidente informático

• Identificación y captura de las evidencias.
• Preservación de las evidencias.
• Análisis de la información obtenida.
• Elaboración de un informe con las conclusions del análisis forense.
 MECANISMO DE CIFRADO Y NEGOCIO ELECTRONICO

Cifrado
Es el proceso de transformar texto o datos simples en texto cifrado que no pueda
leer nadie más que el emisor y receptor deseado.

Metodos de Cifrado
• SSL
• S-HTTP
• Certificados Digitales
ESTANDARES PARA LA CONSTRUCCION DE CONFIANZA EN LOS SISTEMAS

NORMA
Una norma es por definición un «documento establecido por consenso y aprobado por
un organismo reconocido, que provee, para el uso común y repetitivo, reglas, directrices
o características para actividades o, sus resultados dirigido a alcanzar el nivel óptimo
de orden en un concepto dado».

Las normas fueron creadas, en un principio, como respuesta a la necesidad de

documentar procedimientos eficaces de procesos tecnológicos y más tarde se
comercializaron para utilizarlas en procedimientos administrativos.

A partir de entonces se crearon organizaciones regionales, nacionales y luego

internacionales, formando una jerarquía bien definida, que determinaron qué
características concretas debían poseer los equipos para que estos pudieran ser
utilizados en cualquier parte del mundo sin problemas.
ESTANDARES PARA LA CONSTRUCCION DE CONFIANZA EN LOS SISTEMAS

NORMA

Estos organismos internacionales elaboran series de normas que son revisadas

periódicamente y se comprueban de acuerdo con las tecnologías de producción y
medición utilizadas para asegurar que son válidas.

Ventajas para la empresa al obtener una norma o certificación :

• Garantía de calidad y eficiencia
• Cumplimiento de legislación
• Mejora de la imagen de marca y aumento del prestigio
• Aumento del número de clientes
• Homologación con distribuidores o proveedores
ESTANDARES PARA LA CONSTRUCCION DE CONFIANZA EN LOS SISTEMAS

ISO 27000 – GESTION DE SEGURIDAD DE LA INFORMACION

Es una norma internacional que proporciona los requisitos de los Sistemas de Gestión
de Seguridad de la información con el fin de permitir a una organización evaluar el
riesgo y aplicar controles adecuados para preservar la confidencialidad, integridad
y disponibilidad de los activos de información.
El objetivo de esta norma es que la información no caiga en las manos equivocada o
se pierda para siempre.

ISO 22301 – GESTION DE CONTINUIDAD DE NEGOCIOS

Es un conjunto de acciones necesarias con el fin de que la organización pueda
recuperarse y no ver alterada la continuidad de su actividad ante cualquier
imprevisto.
ESTANDARES PARA LA CONSTRUCCION DE CONFIANZA EN LOS SISTEMAS

OEA – OPERADOR ECONÓMICO AUTORIZADO

Es el reconocimiento o estatus que otorga una autoridad aduanera a una empresa
que demuestra estar comprometida con la seguridad en toda la cadena de
suministro, mediante la adopción de practices fundamentadas en la mejora y
cumplimento de requisites en materia de seguridad.
MARCO NORMATIVO Y REGULATORIO DE LA SEGURIDAD Y DEL ECOMMERCE

Ley 53-07 – Sobre crímenes y delitos de alta tecnología

Ley 310-14 – Sobre comunicación electronica y SPAM
Ley 172-13 – Sobre protección integral de los datos personales
Ley 65-00 – Sobre derecho de autor
Ley 126-02 sobre Comercio Electrónico