EJE 2 CIBERSEGURIDAD

Y CIBERDEFENSA

GERSON ESTEBAN MONTAÑEZ

TORRES

4 DE SEPTIEMBRE DE 2022
ING. JOSE ALFREDO TREJOS MOTATO
FUNDACIÓN UNIVERSITARIA AREANDINA
 INTRODUCCIÓN

En este trabajo veremos y conoceremos la importancia de implementar un modelo de

prevención de ataques informáticos, para ello debemos profundizar en la creación e
implementación de políticas de seguridad de la información y medios físicos para limitar
el movimiento libre en la red de la compañía.

OBJETIVOS
● Comprender la importancia de las políticas de seguridad de la información como medio
preventivo a ataques informáticos.
● Socializar y aplicar políticas de seguridad informática en los diferentes escenarios
laborales donde se maneje información clasificada o no clasificada.
● Disminuir los riesgos informáticos tanto físicos como lógicos a los que podríamos estar
expuestos en el ámbito laboral o personal.

EJE 2
POLITICAS A NIVEL LÓGICO

POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN

Las políticas de seguridad de la información son procedimientos, pautas y directrices que
se implementan al interior de una organización, donde principalmente los empleados y
directivos de una organización las debe aplicar dentro de sus actividades laborales, con el
fin de minimizar el riesgo de afectación en la confidencialidad, disponibilidad e
integridad de la información.

POLÍTICAS USO DEL INTERNET

Para el uso de internet a través de los recursos informáticos corporativos, se deben
establecer unos lineamientos y parámetros de navegación en páginas web para garantizar
la navegación segura y el uso adecuado de la red.

Por tal motivo los empleados deben contar con unos permisos específicos que garanticen
la operación de sus actividades laborales a través de la internet, minimizando al máximo
el riesgo y las amenazas que pueden afectar la información y los recursos físicos
corporativos.
Dentro de este proceso se debe restringir el uso de páginas donde transcurre o fluye
información sin relación con las actividades laborales, entre estas principalmente están
las redes sociales, páginas de videojuegos, página de descarga o escucha de música,
almacenamiento en la nube (no corporativo, en caso de que la empresa cuente con un
servicio de estos, y cuentas de correo no institucionales.

POLÍTICA DE CONTROL DE ACCESO A NIVEL LÓGICO

Se deben establecer y exigir unos parámetros de acceso, como son un usuario y
contraseña, a los empleados y directivos de una empresa para acceder a los múltiples
servicios digitales con que cuenten para el desarrollo de sus actividades laborales como
son VPN, base de datos, plataformas, correo electrónico, recursos de red, entre otros.

Sin embargo, es importante revisar y asignar los privilegios estrictamente necesarios, que
cada usuario requiere para el cumplimiento de su función.

POLÍTICA DE GESTIÓN DE LA INFORMACIÓN

Todas las personas que laboran en la compañía y deban hacer uso de los equipos de
cómputo, y conexiones web, deben acatar las políticas de seguridad de la misma, así
mismo el personal que se retire de la compañía, deben entregar los equipos y toda la
información electrónica que haya derivado de sus actividades, ya que todo esto por ser
producido en los equipos de la empresa, pertenece a la misma, y no debe ser copiado o
divulgado sin autorización expresa.

POLÍTICA DE USO DE CORREO ELECTRÓNICO

El correo electrónico institucional es exclusivo para envío y recepción de mensajes de
datos relacionados con las actividades de la compañía, no se hará uso de él para fines
personales como registros en redes sociales, registros en sitios web con actividades
particulares o comerciales o en general entablar comunicaciones en asuntos no
relacionados con las funciones y actividades de la empresa, esta información, es
propiedad de la empresa, y puede ser usada por ella en cualquier momento.

POLÍTICA USO DE SOFTWARE INSTITUCIONAL

El espacio en disco de los equipos de cómputo corporativos, solo pueden estar

configurados según las políticas internas de la empresa, por ende, la instalación y
desinstalación de software, la instalación y desinstalación de dispositivos, debe ser
realizada únicamente por personal del área de IT, no se debe hacer uso de ese espacio
para almacenar información de tipo personal o académico (documentos, imágenes,
música, video).

POLÍTICA ROBUSTA DE CUENTAS DE USUARIOS EN DOMINIO

Esta política se centra principalmente en administrar la autenticación y las directivas de
seguridad pertinentes de las estaciones de trabajo a través de un controlador de dominio
con el fin de realizar este proceso de forma centralizada y eficiente. De esta forma será
efectiva la gestión de usuarios y accesos a los recursos de la organización.
Bajo esta política se pueden listar las siguientes directivas de grupo a fin de aumentar la
seguridad y por ende los riesgos de ataque a la infraestructura corporativa:

- Validación longitud y complejidad de contraseña de usuarios (mínimo 12

caracteres con caracteres especiales, mayúsculas, minúsculas, números y
símbolos).
- Deshabilitar cuenta de invitado por defecto.
- Tiempo de caducidad de contraseñas (máximo 30 días a 3 meses).
- Usuarios sin nivel de privilegio elevado.
- Controlar el acceso a elementos administrativos del panel de control.
- Evitar el almacenamiento de los hashes de contraseñas NT y LM en la base de
datos SAM.
- Reducir el acceso a la consola CMD a los usuarios normales.
POLÍTICAS DE ACTUALIZACIONES DE SISTEMA OPERATIVO

Esta política de seguridad busca que los sistemas operativos tanto de servidores, estaciones
de trabajo y dispositivos de red/comunicaciones cuenten constantemente con los últimos
parches de seguridad ofrecidos por las compañías fabricantes con el objetivo de prevenir
ataques por vulnerabilidades en el código que los conforma.

La implementación del servicio WSUS (Windows Server Update Services) permitirá tener
un control detallado del estado actual de los sistemas operativos Windows en las estaciones
de trabajo.

CAPACITACIÓN A USUARIO FINAL

Se deberá capacitar a todo el personal sobre el cuidado y protección de la información,

indicar las restricciones en el acceso al sistema de gestión de base de datos (SGBD) para
cada departamento y establecer un plan de contingencia en caso de emergencia.

Realizar una metodología de capacitación la cual permita evidenciar las falencias y

necesidades del personal en cuanto al manejo de sistemas de información.

Creación de tips informáticos recordando constantemente a los usuarios sobre el manejo de

las herramientas informáticas, estos deben de ser publicados por medio correo, intranet.

POLÍTICAS DE SEGREGACIÓN DE RED

Esta política está encaminada a segregar los diferentes departamentos de la compañía en

diferentes segmentos de red mediante VLANs para reducir dominios de colisión y accesos
no deseados a recursos. De igual forma segregar la red de los servidores en un segmento
independiente y diferente a los demás y permitir únicamente el tráfico necesario mediante
puertos y/o tipo de tráfico.

POLÍTICA IDS/IPS
Establece el uso de sistemas de detección de intrusos y sistemas de prevención de intrusos
(IDS e IPS), los cuales son herramientas de control y monitoreo de actividad ilegítima
dentro de la red corporativa, informarán mediante alarmas sobre comportamientos
anómalos y realizarán bloqueos de actividad, basados en directivas.

POLÍTICAS DLP (DATA LOSS PREVENTION)

Se crean con el fin de proteger la fuga de información sensible de la red corporativa,
mediante políticas de detección y prevención de salida de información por correo
electrónico, plataformas colaborativas, almacenamiento en la nube, etc.

POLÍTICAS DE BACKUPS
Política paralela y alternativa, la cual complementa las demás políticas listadas
anteriormente ya que permite respuesta efectiva a ataques. Se recomienda una política de
backups constantes tipo sincronización con el fin de tener la información completamente
respaldada constantemente.