UNIVERSIDAD MARIANO GÁLVEZ DE GUATEMALA

CENTRO UNIVERSITARIO AMATITLÁN

CONTADURÍA PÚBLICA Y AUDITORÍA

LICDA: María José Castañeda Santiz

CURSO: Auditoría de Sistemas de Información

DEBILIDADES DE UNA EMPRESA Y CÓMO ESTA PUEDE SER VULNERADA

EN SUS SISTEMAS DE INFORMACIÓN

Noé De Jesús Sinay Gómez

Carne: 6532-18-15986
Fecha: 10 de febrero de 2022
 INDICE
Introducción…………………………………………….…………………………………1
Debilidades de una empresa y cómo esta puede ser vulnerada en sus sistemas de
información………………………………………………..………………………………2
Amenazas, vulnerabilidades y ataques………………..………………………………2
Errores del factor humano………………………………..……………………………..3
Disponer de una autenticación débil……………………..…………………………….3
Descontrol de los privilegios……………………………..……………………………..3
Robo de copias de seguridad……………,,,………………..………………………….4
Los ataques DDoS…………………………………………..…………………………..4
Ataques de inyección SQL…………………,…………,……….………………………4
Protocolos insuficientes en tu base de datos………,,,,,………….………………….5
Tipos de Vulnerabilidades y Amenazas informáticas en la empresa…,,,,,,…….…5
Amenazas de Malware………………………………………….………………………6
Vulnerabilidades del sistema……………………,,………………….…………………7
Amenazas de ataques de denegación de servicio ……,,,………….……………….7
Vulnerabilidades producidas por contraseñas…………,,,,……….…………………7
Vulnerabilidades producidas por usuarios…………,,,,,………….…………………..8
Otras amenazas informáticas………………………,,…………………………………8
Conclusiones…………………………………,…………………………………………10
Recomendaciones…………..……………,……………………………………………11
Bibliografía………………………………………………………………………………12
 INTRODUCCIÓN

El término vulnerabilidad de seguridad es considerado cualquier tipo de efecto tanto

de hadware o software que cualquier persona mal intencionada utiliza para obtener
acceso a un dispositivo de red con el objetivo de sustraer, robar o corromper los
activos físicos o digitales de una persona u organización de ahí se desprende el
término de ataque que no es más que beneficiarse de la debilidad de un sistema
aprovechándose para ello de una vulnerabilidad encontrada y conocida permitiendo
posteriormente acceder a los recursos como los datos e información.

Cuando se habla de seguridad en el ámbito de las TIC a menudo se confunden los

conceptos de seguridad de la información y seguridad informática. Y siendo ambos
realmente importantes y similares, hay diferencias entre ellos.

También repasaremos los elementos vulnerables de un sistema informático, el

concepto de amenaza, fuentes de amenazas y tipos, así como las políticas de
seguridad que adoptan las organizaciones para asegurar sus sistemas o minimizar
el impacto que éstas pudieran ocasionar.

1
 Debilidades de una empresa y cómo esta puede ser vulnerada en sus
sistemas de información

Amenazas, vulnerabilidades y ataques

Las amenazas y los ataques a los sistemas y dispositivos que permiten la conexión
a la red y que pueden poner en peligro los datos almacenados y transmitidos,
llegando a vulnerar su confidencialidad, y segundo, la privacidad de los individuos,
empresas y organismos.
La disciplina de la seguridad se encarga de proteger los activos de una organización
o de un particular. Un activo es cualquier elemento que tiene valor para una
organización o sujeto. Según el tipo de activo a proteger, estaremos tratando de
seguridad de la información, seguridad de las TIC o ciberseguridad. En general, la
seguridad de la información abarca todo aquello que tiene que ver con la protección
de la información, ya sea almacenada o transmitida. Cuando la información se
transmite, entonces se hace referencia a la seguridad TIC, en el sentido de que son
las tecnologías de la información y las comunicaciones las encargadas de velar por
los activos. Por su parte, la ciberseguridad no solo con- templa la seguridad de la
información que se transmite (momento en el que se interseca con la seguridad de
la in- formación), sino que contempla otros activos que no son solo información,
pero que también pueden ser atacados por las TIC. Teniendo en cuenta esta
distinción, para no abusar del lenguaje, a lo largo de este libro utilizaremos los
términos “seguridad” y “ciberseguridad” como sinónimos, salvo que se especifique
lo contrario. Por otra parte, no consideraremos la seguridad física, salvo cuando se
diga expresamente.
La pérdida de información a consecuencia de ciberataques es una realidad cada
vez más frecuente, que provoca enormes pérdidas económicas.
Estas vulnerabilidades se deben a la carencia de sistemas de seguridad adecuados
y por eso desde ESED, como especialistas en ciberseguridad, recomendamos
contar con una protección integral que ofrezca cobertura antes, durante y después
de un posible ataque informático. Un ataque directo a tu empresa puede suponer la

2
pérdida de clientes por daños en tu reputación y la consecuente pérdida de
confianza.

Las vulnerabilidades de las empresas favorecen la pérdida de información

Errores de factor humano

Tú y tus empleados, sin ser conscientes de ello, podéis ser el principal motivo de
fuga o pérdida de información y datos en tu empresa por ataques de phishing.
Muchos ciberdelincuentes lanzan amenazas a través de correos electrónicos a los
empleados de una empresa, y haciéndose pasar por CEOs o empresas legítimas
buscan que hagan transferencias a cuentas bancarias falsas o le faciliten datos
confidenciales. Introducir sistemas de seguridad antiphishing es de suma
importancia para garantizar, no sólo la seguridad de tu empresa, sino también la de
tus empleados. Te invitamos a conocer la solución que ofrecemos en ESED contra
el phishing.

Disponer de una autenticación débil

Disponer de un servicio de autenticación débil o de seguridad baja supone que los

ciberdelincuentes puedan descubrir de manera fácil y rápida la identidad de los
usuarios gracias al hackeo de tus bases de datos. En este sentido, el cambio
frecuente de tus credenciales o contraseñas y la creación de contraseñas de
seguridad alta o muy alta, ayudarán a mantener tu seguridad, disminuyendo la
posibilidad de hackeo dada su dificultad.

Descontrol de los privilegios

Es importante que tengas unas políticas de control de acceso bien definidas y muy
exhaustivas, para evitar cualquier tipo de brecha que pueda suponer una fuga de
información. Es importante tener controlados los privilegios que tienen tus

3
empleados y colaboradores a la hora de manejar información confidencial o datos
vulnerables que puedan exponer a la empresa.

Robo de copias de seguridad

El robo de copias de seguridad es otra de las vulnerabilidades a las que se enfrentan

las empresas. Por este motivo, recomendamos el cifrado de toda la información
perteneciente a las copias de seguridad.

Los ataques DDoS

Los ataques DDoS o de denegación de servicios son ataques realizados por una
gran cantidad de sistemas con un objetivo único, provocar la denegación de servicio.
Para evitar vulneraciones en tu sistema que puedan provocar este tipo de
ataques, recomendamos incluir en tus bases de datos el despliegue de un IDS y
controles de la velocidad de conexión. Con esta medida complicarás el acceso a
usuarios individuales que pretendan usar los recursos del servidor de base de
datos.
Además, desde ESED, hemos encontrado la manera de detectar estos ataques
antes de que sucedan, y así evitarlos. Con ESED Attack, una solución basada en
encontrar brechas de seguridad en un sistema, para así, encontrar la manera de
resolverlas antes de que sean atacadas.

Ataques de inyección SQL

Los ataques de inyección SQL son aquellos en los que un usuario se ha

aprovechado de las vulnerabilidades que puede tener una aplicación web para
enviar consultas de bases de datos no autorizadas. Normalmente, esto sucede a
usuarios a los que se les han concedido privilegios elevados dentro de una empresa.
Para evitar este tipo de ataques, desde ESED, recomendamos que realices

4
auditorías de base de datos y soluciones que te ayuden a detectar consultas no
autorizadas.

Protocolos insuficientes en tu base de datos

Tener vulnerabilidades en los protocolos de tu base de datos puede suponer que un

usuario no autorizado acceda a ellos. Por esto, en ESED recomendamos una buena
estrategia y protocolo de seguridad antes de implementar cualquier sistema, de esta
manera, podrás ver qué puede estar fallando o hay probabilidad de que falle y
solventarlo a tiempo.
Estas son algunas de las vulnerabilidades más frecuentes que padecen las pymes
y que les pueden suponer pérdidas económicas derivadas de pérdidas de
información. Por esto es importante que lleves un control exhaustivo de toda tu
información, sepas en todo momento dónde se encuentra y quién tiene acceso a
ella.
Para solventar este tipo de vulnerabilidades, en ESED hemos desarrollado ESED
Control, una solución para llevar el control absoluto de tu información y garantizar
la protección de tus datos de manera automática. Te invitamos a contactar con
nosotros para que podamos ayudarte a construir un plan de seguridad para tu
empresa.

Tipos de Vulnerabilidades y Amenazas informáticas en la empresa

Son muchas las vulnerabilidades y amenazas informáticas a las que están

expuestas las empresas en la actualidad. Por eso la inversión en ciberseguridad y
sistema de protección ha experimentado un gran aumento en los últimos años,
siendo los profesionales en ciberseguridad uno de los perfiles más buscados en el
sector de la informática.
A continuación, veremos las principales amenazas y vulnerabilidades a las que se
exponen las empresas hoy en día:

5
Amenazas de Malware

Los programas maliciosos son una de las mayores ciberamenazas a la que se

exponen las empresas. Dentro del malware existen distintos tipos de amenazas,
siendo las principales.

• Virus. Los virus informáticos son un software que se instalan en un

dispositivo con el objetivo de ocasionar problemas en su funcionamiento.
Para que un virus infecte un sistema es necesaria la intervención de un
usuario (intencionada o inintencionadamente).
• Gusanos. Es uno de los malware más comunes que infectan los equipos y
sistemas de una empresa, ya que no requieren de la intervención del
usuario ni de la modificación de algún archivo para poder infectar un
equipo. El objetivo de los gusanos es el de replicarse e infectar el mayor
número de dispositivos posibles utilizando la red para ello. Son una
amenaza para las redes empresariales, porque un solo equipo infectado
puede hacer que la red entera se vea afectada en un espacio corto de
tiempo.
• Troyanos. Los troyanos son programas que se instalan en un equipo y pasan
desapercibidos para el usuario. Su objetivo es el de ir abriendo puertas
para que otro tipo de software malicioso se instale.
• Ransomware. El ransomware se ha convertido en el malware más temido
en la actualidad por las empresas. Consiste en encriptar toda la
información de la empresa, impidiendo el acceso a los datos y los sistemas
y se pide un rescate para poder liberar la información (normalmente en
criptomonedas como bitcoins).
• Keyloggers. Se instalan a través de troyanos y se encargan de robar datos
de acceso a plataformas web, sitios bancarios y similares.

6
Vulnerabilidades del sistema

Los sistemas y aplicaciones informáticos siempre tienen algún error en su diseño,

estructura o código que genera alguna vulnerabilidad. Por muy pequeño que sea
ese error, siempre podrá generar una amenaza sobre los sistemas y la información,
siendo la puerta de entrada para recibir ataques externos o internos. Las principales
vulnerabilidades suelen producirse en:
• Errores de configuración.
• Errores en la gestión de recursos.
• Errores en los sistemas de validación.
• Errores que permiten el acceso a directorios.
• Errores en la gestión y asignación de permisos.

Amenazas de ataques de denegación de servicio

Un ataque de denegación de servicio distribuido (DDoS) se produce cuando un

servidor recibe muchas peticiones de acceso, sobrecargando el sistema y haciendo
que el servidor caiga o funcione de forma incorrecta (acceso lento o rebotando
mensajes de errores). Para realizar este tipo de ataques se utilizan muchos
ordenadores (bots) que de forma automatizada hacen peticiones a ese servidor.
Los ataques DDoS son muy habituales contra servidores o servidores web de
empresas, por lo que es muy importante disponer de medidas protectoras contra
esta peligrosa amenaza que puede dejar fuera de servicio la actividad de una
empresa.

Vulnerabilidades producidas por contraseñas

Con el teletrabajo y el cloud computing la gestión de contraseñas se ha convertido

en uno de los puntos más importantes en ciberseguridad. Para acceder a las
plataformas de trabajo de las empresas es necesario utilizar un usuario y
contraseña. Utilizar contraseñas poco seguras genera vulnerabilidades en los

7
sistemas, pues si son fácilmente descifrables pueden generar incursiones de
terceros no autorizados que pueden robar, modificar o eliminar información, cambiar
configuraciones si disponen de los privilegios apropiados, o incluso apagar equipos.
La generación de contraseñas seguras es una de las claves para incrementar
el nivel de ciberseguridad de las empresas.

Vulnerabilidades producidas por usuarios

Una de las principales causas de los ataques informáticos está relacionada con un
uso incorrecto o negligente por parte de un usuario. Una mala asignación de
privilegios o permisos puede hacer que un usuario tenga acceso a opciones de
administración o configuración para las que no está preparado, cometiendo errores
que suponen una amenaza para la empresa.
El error humano es otra causa de riesgos en ciberseguridad. El usuario siempre
tiene el riesgo de cometer un error que pueda generar una vulnerabilidad que
suponga una amenaza informática. Por eso en ciberseguridad se tiende
a automatizar procesos críticos para minimizar o eliminar el factor de riesgo del error
humano.

Las malas prácticas o la falta de formación en ciberseguridad también generan

vulnerabilidades, como la apertura de ficheros de dudosa procedencia, engaños por
publicidad falsa, apertura de correos fraudulentos y similares. Estas acciones son
una amenaza a sufrir ataques como el phishing (suplantación de identidad) o
similares.

Otras amenazas informáticas

Existen muchas otras amenazas informáticas que afectan a las empresas como
los ataques por Inyección SQL que afectan a servidores de bases de datos
empresariales, red de equipos zombies (utilizando recursos de la empresa para
actividades ilícitas), ataques MITM (man in the middle), etc.

8
Los ciberdelincuentes no descansan y siempre buscan nuevas formas de atacar,
infectar y robar información de las empresas, por lo que la ciberseguridad debe ser
una actividad flexible y dinámica que se adapte a las nuevas amenazas.
Las vulnerabilidades hacen susceptibles a las empresas de las amenazas
informáticas. Eliminar vulnerabilidades será por lo tanto una de las principales
acciones de la ciberseguridad para reducir las amenazas informáticas.
Existen muchos tipos de vulnerabilidades y amenazas informáticas, muchas de
ellas provenientes del exterior como el malware o los ataques DDoS, y otras
internas causadas por los propios usuarios o colaboradores de la empresa, como
robos, accesos con privilegios incorrectos, o simplemente errores humanos.

9
 CONCLUSIONES

Proteger los archivos, así como la red de usuarios es uno de los principales objetivos
tanto para una empresa como para una persona ya que son de mucha importancia,
así que debemos tener mecanismos para protegerla.

Es necesario mantener un estado de alerta y actualización permanente: la seguridad

es un proceso continuo que exige aprender sobre las propias experiencias.

Debido a las constantes amenazas en que se encuentran los sistemas, es necesario

que los usuarios y las empresas enfoquen su atención en el grado de vulnerabilidad
y en las herramientas de seguridad con las que cuentan para hacerle frente a
posibles ataques informáticos que luego se pueden traducir en grandes pérdidas.

10
 RECOMENDACIONES

Actualice regularmente su sistema operativo y el software instalado en su equipo,

poniendo especial atención a las actualizaciones de su navegador web. Estar al día
con las actualizaciones, así como aplicar los parches de seguridad recomendados
por los fabricantes, le ayudará a prevenir la posible intrusión de hackers y la
aparición de nuevos virus.

Instale un Antivirus y actualícelo con frecuencia. Analice con su antivirus todos los
dispositivos de almacenamiento de datos que utilice y todos los archivos nuevos,
especialmente aquellos archivos descargados de internet.

Navegue por páginas web seguras y de confianza. Para diferenciarlas identifique si

dichas páginas tienen algún sello o certificado que garanticen su calidad y fiabilidad.
Extreme la precaución si va a realizar compras online o va a facilitar información
confidencial a través de internet.

En general, es fundamental estar al día de la aparición de nuevas técnicas que

amenazan la seguridad de su equipo informático, para tratar de evitarlas o de aplicar
la solución más efectiva posible.

11
 BIBLIOGRAFIA
http://recursostic.educacion.es/observatorio/web/es/component/content/article/104
0-introduccion-a-la-seguridad-informatica

http://seguridadinformatica10h.blogspot.com/p/conclusiones-y-
recomendasiones.html

https://www.ambit-bst.com/blog/tipos-de-vulnerabilidades-y-amenazas-
inform%C3%A1ticas

https://www.esedsl.com/blog/vulnerabilidades-pymes-y-perdida-informacion

12