AUDITORIA DE SISTEMAS

ANALISIS CRÍTICO “COMO EVITAR LOS CIBERATAQUES EN LOS

SERVIDORES DE LAS COMPAÑIAS”

ACTIVIDAD 5 – APOYO A TEMATICAS

DANIEL FELIPE CHARY FUENTES ID: 672621

ROSELL FRANGESSE NARVAEZ ID:
FELIPE GUZMAN ID:
DAGNE ANREA ID:

DOCENTE: SAIN SOLANO FIERRO

NRC 9883

CORPORACION UNIVERSITARIA MINUTO DE DIOS

FACULTAD DE CIENCIAS ADMINISTRATIVAS
PROGRAMA DE CONTADURIA PÚBLICA
NIEVA – HUILA
2021

1
 Tabla de contenido

Introducción---------------------------------------------------------------------------------------3
1. Riesgos informáticos a los que está expuesta una compañía-------------------4
2. Beneficio que busca un hacker al secuestrar una sesión o un servidor------5
3. El riesgo de ataque de un hacker puede considerarse interno o externo---6
4. Cuál es el papel del auditor frente al riesgo de un ciberataque----------------7
5. Políticas de seguridad en redes y servidores para mitigar el riesgo de
ciberataques---------------------------------------------------------------------------------8
6. Un antivirus es una estrategia lo suficientemente segura para ser la única
aplicable en una organización---------------------------------------------------------9
7. Puede un firewall mitigar los riesgos de ataques informáticos----------------9
Conclusión----------------------------------------------------------------------------------10
Bibliografía----------------------------------------------------------------------------------11

2
 INTRODUCCIÓN

Los elementos de la información tales como datos, sistemas e infraestructura y

personal involucrado son activos indispensables dentro de la empresa por tanto deben
ser protegidos para evitar la pérdida, modificación y uso inadecuado de la información;
la pérdida o mal uso de la información genera daños y pérdidas significativas en las
compañías relacionadas con la confidencialidad, la integridad y la disponibilidad de los
archivos.

Una forma de proteger la información es por medio de una política de seguridad

clara y definida ya que controla el acceso a la red informática y a los equipos que
forman parte de los sistemas informáticos; no tener una política de seguridad
informática conlleva al riesgo de robo de la información importante y confidencial, lo
cual puede ocasionar hasta el cierre de una compañía.

Hoy en día los virus informáticos y otros programas de software malicioso ya

no están desarrollados por hackers aficionados que buscan la fama dentro de su
entorno. La mayoría de ellos los crean delincuentes profesionales que ganan
millones con sus ataques. Estos delincuentes quieren tener acceso a los
ordenadores, a nuestras contraseñas de PayPal y a los números de nuestras
tarjetas de crédito

3
 1. Cuáles son los principales riegos informáticos a los que está expuesta una
compañía.

Los riesgos informáticos son aquellas amenazas o vulnerabilidades a las cuales está

expuesta la información almacenada en un computador o un dispositivo con la
capacidad de almacenar información.
Las empresas y los establecimientos comerciales son las víctimas más frecuentes
del robo de la información, que puede traducirse en graves delitos como la suplantación
de identidad, desfalcos y hurtos al bien, ya que los riesgos informáticos a los cuales
están expuestos este tipo de establecimientos es mucho más elevado que los hogares
y los dispositivos tecnológicos que allí se encuentran. 

Existen varios tipos de riesgos informáticos a los cuales puede estar expuesta tu
compañía o tu negocio: 
• Relación: Por personas cercanas a la compañía. 
• Acceso: Claves de seguridad débiles. 
• Utilidad: Mal uso de la tecnología. 
• Infraestructura: Hurtos de activos como aparatos tecnológicos. 
• Seguridad integral: Sistemas de seguridad privada y CCTV (Circuitos cerrados de
televisión.
 
Todos estos riesgos se miden en función a la relación y la optimización del
funcionamiento de los computadores y los sistemas de computación al interior de la
compañía, también de la construcción de los circuitos cerrados de televisión (CCTV) y
los parámetros de seguridad que se implementan al interior de la compañía. 

4
 2. ¿cuál es el beneficio que busca un hacker a secuestrar una sección o servidor?

El hackeo puede ser por robo, pero también por reto o vandalismo. De hecho, una
encuesta realizada por Thycotic revela que la búsqueda de emociones es la principal
motivación para la mitad de los hackers, mientras que sólo un 18% busca el beneficio
económico.
En el caso de necesitar robar credenciales de inicio de sesión, el 40% de
los hackers encuestados afirmó que su principal objetivo serían los contratistas, que
ellos perciben como el eslabón más débil del personal vinculado a las empresas,
aunque no siempre tiene acceso a las redes corporativas, mientras que el 30%
menciona como objetivo primario a los administradores TI, con acceso directo a los
servidores y sistemas que alojan los datos sensibles de la empresa. Así, una vez que el
atacante ha obtenido el control de las credenciales de acceso, puede pasar a controlar
rápidamente el sistema.
Según Panda Security, son tres las motivaciones de los hackers para atacar una
empresa:
- El hackeo como desafío intelectual. La gratificación puede ser meramente personal,
o bien una demostración hacia otros hackers.
- El hackeo como robo. La mayoría de los ataques relevantes son el medio para el
robo de información o dinero.
- El hackeo como vandalismo. A veces la única motivación es el ánimo de crear caos
haciendo caer los sistemas informáticos de determinados territorios y/u organizaciones,
aunque otras veces esta clase de ataques viene motivada por fines políticos
(hacktivismo).

5
 3. El riesgo de ataque de un hacker puede considerarse un tipo de riesgo interno o
externo

Cuando hablamos de ataques cibernéticos, podemos agruparlos principalmente en

tres, por un lado tenemos los ataques externos y por el otro, ataques internos (estos, a
su vez pueden clasificarse como ataques intencionados o no intencionados).

A. Ataques cibernéticos externos:

Los ataques cibernéticos externos, son los que se ejecutan por hackers de forma
remota, sin tener conocimiento alguno del funcionamiento de la red que están
atacando, y en la cual debe ejecutar una serie de protocolos con la finalidad de
vulnerarla. Generalmente estos ataques tomarán días o semanas, dependiendo del tipo
de seguridad con la que cuente la red y lo “bueno” que sea el ciber-criminal, por así
decirlo.

B. Ataques cibernéticos internos intencionados:

Por otro lado, los ataques cibernéticos internos constituyen una mayor preocupación,
al existir no solo un abuso de confianza, sino al ser una amenaza constante en el
ámbito de la seguridad informática, ya que no se sabe con certeza cuándo sucederá.

C. Ataques cibernéticos no intencionados

Este tipo de amenazas, clasificadas como ataques cibernéticos, es un verdadero
dolor de cabeza para los expertos en seguridad informática.

En este caso el usuario no pretende hacer daño alguno, simplemente por falta de
conocimiento comete un error que en la mayoría de veces trae consigo graves
consecuencias.

6
 4. Cuál es el papel del auditor frente al riesgo de un ciberataque.

Auditores deben adaptar el modelo de las tres líneas de defensa al riesgo

cibernético para establecer los controles necesarios y mitigar los riesgos derivados de
la ciberseguridad.

La entidad afirma que se debe adaptar el modelo de las tres líneas de defensa al
riesgo cibernético, con el objetivo de establecer los controles necesarios para mitigar
los riesgos derivados de la ciberseguridad.

La primera línea de defensa es la encargada de gestionar los riesgos en el día a día

y la responsable de realizar procedimientos de control interno.
También debe poner en funcionamiento todas las medidas necesarias para que
empleados y usuarios sean conscientes de que son la puerta de entrada del riesgo
cibernético.
«Para ello, necesita generar controles como la gestión de accesos y el cifrado de
información, y promover la educación en materia de ciberseguridad, para propender por
el uso adecuado de los dispositivos móviles, las redes wifi seguras, la apertura de
correos electrónicos sospechosos, entre otras cosas»,

La segunda línea de defensa compuesta por el área de gestión de riesgos,

cumplimiento normativo y seguridad de los sistemas establece un modelo de
aseguramiento que facilite la realización de revisiones proactivas de ciberseguridad,
donde se establezcan metodologías para monitorear los controles, proveer un mapa de
riesgos completo y establecer sistemas de reporte horizontal y vertical de incidentes
que afecten la ciberseguridad.

La tercera línea de defensa recae sobre la auditoría interna, la cual deber ser
independiente de las dos líneas anteriores y debe proveer garantías de control interno
a los órganos de gobierno de la entidad.

7
 5. Que políticas de seguridad en redes y servidores conoce o considera que
pueden ser aplicadas para mitigar el riesgo

Para reducir cualquier amenaza interna o externa que influya directamente en el

funcionamiento óptimo de la compañía, hay algunas recomendaciones esenciales que,
como comentábamos, toda compañía debería incorporar también a su estrategia o
acciones habituales:
Establecer un inventario de todos y cada uno de los riesgos cibernéticos existentes:
¿Qué información debe proteger la empresa que pudiera ser motivo de crisis en el
caso de ver la luz?
¿Qué datos deberían protegerse con un nivel más alto de seguridad para que nunca
trasciendan a la competencia o al público general?
¿Qué vulnerabilidades de la seguridad informática de la empresa podrían incurrir en
multas, costes legales, reducción de ingresos o ventas?

Establecer mecanismos que mantengan a salvo cada elemento de la empresa que

está en la red: en base a los riesgos y el nivel de incidencia que tendrían en la
empresa, podremos definir mucho mejor estos mecanismos pero algunos básicos que
se pueden mencionar:
Mantener actualizado tanto hardware como software
Disponer de un sistema de copias de seguridad distribuidas
Contratar servicios de alta disponibilidad
Formación y educación continua en seguridad de todo el personal
Marcar una periodicidad para los procesos de seguridad: una revisión y actualización
periódica también es capital para que el riesgo se mantenga en el nivel más bajo
posible con el paso del tiempo.
Por último señalar que la empresa deberá valorar, en función del riesgo y sus
recursos, qué medidas de seguridad puede resolver de forma interna, mediante sus
propios medios y personal, y qué medidas será preferible contratar mediante
compañías externas que ofrezcan soluciones efectivas sobre ciberseguridad.

8
 6. Un antivirus es una estrategia suficiente segura para ser la única aplicable en
una organización

Lo primero de todo hay que mencionar que es importante contar con un antivirus. Eso
hay que tenerlo en cuenta. Sin embargo no es suficiente para tener nuestro equipo
totalmente protegido. Entran en juego también otros factores, otras opciones que son
igualmente necesarias.

7. Puede un firewall mitigar los riesgos de ataques informáticos.

Un firewall humano es la línea de defensa que las personas constituyen para

combatir las amenazas a la seguridad de una organización. Mientras que un firewall
técnico arbitra digitalmente el tráfico de la red, un firewall humano es una capa humana
de protección. Se empodera a través de la educación y los incentivos, que abarcan
equipos, funciones comerciales y tecnologías en toda una organización.
Un firewall humano no es/está:
Una sola persona o "evangelista";
Limitada al equipo de seguridad o cualquier equipo único;
Responsabilidad exclusiva del trabajador; o
Un estado de "configurar y olvidar".
Para construir un firewall humano sólido, las empresas deben proporcionar una
amplia educación, simulación, formación y relevancia para los trabajadores. La
capacitación en conciencia de seguridad no solo debe tener lugar en el contexto del
producto o servicio principal de la empresa, sino también en las funciones y métricas
específicas de los empleados. Esto va mucho más allá del equipo de seguridad para
incluir a todos los trabajadores, desde ejecutivos y agentes del centro de llamadas,
hasta diseñadores de productos y asociados en el campo.

9
 CONLUSIONES

Más del 90% de los ataques empiezan con un correo electrónico que abre una
persona, por lo que es imprescindible reforzar las defensas de la compañía haciendo
uso de la tecnología adecuada y concienciar a los empleados sobre este tema para
reducir de forma efectiva el riesgo. Así, no sólo hemos de usar de la manera correcta
las plataformas, sino también diseñar, planificar y ejecutar campañas formativas. 

 La tecnología es crítica para luchar contra las intrusiones pero el usuario final es
crucial para detener una brecha. La concienciación del profesional debe ser el punto de
inicio del combate contra amenazas básicas como el phishing o las técnicas de
ingeniería social.

 Los ataques interactivos utilizan técnicas de ocultación diseñadas para saltarse las
herramientas de detección y análisis automatizadas. Por ello, una estrategia de
seguridad proactiva es la clave para detectar y prevenir ataques persistentes o
sofisticados. Desde Open3S apuntan que para detectar y responder adecuadamente a
los ataques es fundamental conocer las ciberamenazas. Esto significa que las
empresas deben disponer de distintas fuentes de información que les permitan estar al
día de los riegos reales

 Las empresas deben considerar la autenticación multifactor para acceder a

cualquier servicio abierto al público. Además, los procesos de gestión de privilegios
pueden limitar los daños causados por los ciberdelincuentes, en caso de que consigan
entrar en la red corporativa, y reducir sus movimientos. Finalmente, se deben implantar
soluciones de confianza nula para compartimentar y restringir el acceso a los datos y
reducir así posibles daños provocados por un acceso no autorizado a información
sensible.

10
 BILBIOGRAFIA

Tomado de
https://ticnegocios.camaravalencia.com/servicios/tendencias/ciberataques-a-
empresa-que-hacer-para-evitarlos/ Fecha 12-02-2015

Tomado de: https://www.clavei.es/blog/riesgos-ciberataque-empresa/ Fecha

14-06-2015

Tomado de: https://www2.deloitte.com/es/es/pages/legal/articles/Pasos-a-

seguir-ante-un-ataque-informatico.html Fecha 01-05-2010

Tomado de:https://mymarketlogic.net/bluevoyant/mitigue-y-reduzca-los-
riesgos-ciberneticos/?
gclid=Cj0KCQjws4aKBhDPARIsAIWH0JUZ8nSND1mvcA3P0uJFSmgknmgkNxtV
WpSBZouu2qrjOjCSgqEO4IQaAtPAEALw_wcB Fecha 19-06-2018

11