ACTIVIDAD EVALUATIVA EJE 4

INGENIERIA DE SOFWARE II

CARLOS ANDRES ARBELÁEZ SALAZAR

FUNDACIÓN UNIVERSITARIA ÁREA ANDINA

BOGOTÁ

2022
TABLA DE CONTENIDO

Introducción………………………………………………………………………………3

Desarrollo………………………………………………………………………………….4

Conclusión……………………………………………………………………………….13

Bibliografía………………………………………………………………………………14
 INTRODUCCION

Por medio del presente trabajo realizar un plan de acción para una agencia inmobiliaria

donde vamos a identificar el problema.

Un plan de acción es una hoja de ruta que puede ayudarlo a lograr sus metas y objetivos.

Así como hay muchas formas de llegar a un destino si va de viaje, un programa puede

tomar muchos caminos para alcanzar las metas, cumplir los objetivos y lograr resultados.
 OBJETIVO GENERAL

 Crear un plan de seguridad informática para el sistema de información.

 Plan de seguridad Informática

un plan es una norma internacional que permite el aseguramiento, la confidencialidad

e integridad de los datos y de la información, así como de los sistemas que la procesan.

Se realizará un diseño de un plan de seguridad informática:

Fase 1:
Determinar las Fase 2: Definir el
necesidades de plan de seguridad
que garantice Fase 3:
protección del
sistema minimizar los Evaluar el plan
informático objeto riesgos de seguridad
de análisis identificados en la diseñado.
primera fase.
 Primer paso

En esta fase se realizará una serie de perfiles con el fin de ser protegidos, restringir el

acceso a la información, su clasificación y valoración según su importancia y no afecte la

privacidad e integridad de la información en la base de datos evaluando el estado actual

de la seguridad.

Segundo Paso

Cuando determinemos lo que se desea proteger y se estimen los riesgos, es necesario

definir políticas de seguridad y los procedimientos que se deben implementar para

garantizar el cumplimiento de estas políticas.

Tercer paso

Es necesario que mediante el proceso se realicen pruebas en el sistema a nivel de

seguridad, intentando vulnerar cualquier ingreso al mismo o la base de datos, y revisar si

se logro un correcto procedimiento que garanticen su implementación.

 Método de Utilización

Nuestro propósito es dar a conocer la metodología utilizada, para entender el estado

actual de seguridad del sistema y tener un punto de partida para desarrollar el plan de

seguridad informática.

Con esta metodología se pretende realizar la familiarización del sistema mediante

una lista de chequeo, de igual forma, se pretende identificar, medir, controlar los diferentes

eventos, vulnerabilidades y/o amenazas, a los que puede verse enfrentado el sistema, al

momento: generar, capturar, procesar, transportar, almacenar y la disposición final de la

información propia.

EVALUACION DE SEGURIDAD

Se evaluar el estado actual de seguridad informática del sistema de la empresa

inmobiliaria. Esto permite identificar aquellas áreas en las cuales se deben mejorar.

Se realizo una evaluación de los riesgos de seguridad para lo cual se diagnosticaron

los siguientes dominios:

 1. Evaluación de los riesgos de seguridad

2. Políticas de seguridad de la información

3. Seguridad en los recursos humanos

4. Gestión de activos

5. Control de accesos

6. Criptografía

7. Seguridad física

8. Seguridad de las operaciones

9. Seguridad de las comunicaciones

10. Adquisición, desarrollo y mantenimiento de sistemas

11. Gestión de incidentes de seguridad de la información

12. Cumplimientos.

REVISION DEL CODIGO

Consiste en validar el código fuente una vez culminado el proyecto, para evitar

fallos y vulnerabilidades.
 CRITERIOS DE IMPACTO

En los criterios de impacto (entendiéndose por impacto las consecuencias o efectos

que pueden ocasionar la materialización del riesgo) se especificaron en términos de daño

para la organización causados por un evento de seguridad, se consideraron los siguientes

aspectos.

RESTRICCIONES AL SERVIDOR

Consiste en restringir el acceso al servidor donde se encuentra alojado el servicio,

producto o aplicación, manejando credenciales de acceso, para

prevenir que terceros pueda ingresar y afectar el mismo.

 CUADRO MATRIZ DE RIESGO

GESTION DE RESPUESTA A INCIDENTES DE

NOMBRE DEL PLAN SEGURIDAD INFORMATICA

Actuar de forma eficaz ante la presencia de incidentes de

OBJETIVO
seguridad informática.

1. Posible explotación de vulnerabilidades técnicas debido a

deficiencias en la detección o remediación de estas en el sistema

RIESGO TRATADO de información.

2. Posible afectación en la disponibilidad e integridad del sistema

por la manipulación de la configuración.

EJECUTOR Y Seguridad de la información, administradores del sistema y jefes

RESPONSABLES oficina de sistemas.

1. Definición de responsabilidades y procedimientos.

Inicialmente se deben definir los responsables para llevar a cabo

ACTIVIDADES
la gestión de incidentes y que este se pueda comunicar de forma

adecuada dentro de la inmobiliaria. Se deben tener en cuenta los

siguientes procedimientos:
-Procedimiento para planificación y preparación de respuesta a

incidentes.

-Procedimientos para seguimiento, detección, análisis y reporte

de eventos de seguridad.

- Procedimientos para el registro de los diferentes incidentes

- Procedimientos para el manejo de evidencia forense.

- Procedimientos para la valoración y toma de decisiones sobre

eventos de seguridad y valoración de vulnerabilidades.

- Procedimientos para respuesta a incidentes que incluya la

recuperación controlada de un incidente y la comunicación con

las partes interesadas dentro de la empresa inmobiliaria.

 FUGA DE INFORMACIÓN

Consiste en hacer acciones especiales, para evitar de cualquier manera la fuga de la

información del sistema y que llegue a manos inescrupulosas, teniendo en cuenta que la

información es vulnerable y nos puede llevar a una falla que afecta el sistema de la

empresa.

CERTIFICADOS DEL SISTEMA

Se certifica que el sistema para la empresa inmobiliaria está respaldada y asegurada a nivel

nacional e internacional, dando confianza y seguridad.

CONFIGURACION FIREWALL

Consiste en tener reglas de bloqueo de acceso a la URL donde se encuentre el

sistema, para evitar ataques al servicio, se provee instalación de antivirus para evitar

ataques.
 SEGURIDAD DE EQUIPOS.

Se debe tener acceso controlado y restringido al servidor principal, terminales de

acceso, router y todo lo que tenga que ver estructura física.

El servidor que contenga la información y servicios de la empresa inmobiliaria,

deben ser mantenidos en un ambiente seguro y protegido por los menos con:

• Controles de acceso y seguridad física.

• Detección de incendio y sistemas de extinción de conflagraciones.

• Controles de humedad y temperatura.

• Bajo riesgo de inundación.

• Sistemas eléctricos regulados y respaldados por fuentes de potencia

ininterrumpida (UPS) SOFTWARE MALICIOSO, todos los sistemas informáticos deben

ser protegidos teniendo en cuenta un enfoque multinivel que involucre controles

humanos, físicos técnicos y administrativos.

El ingeniero de sistemas estará al tanto de la elaboración y mantendrán un

conjunto de políticas, normas, estándares, procedimientos y guías que garanticen la

mitigación de riesgos asociados a amenazas de software malicioso y técnicas de hacking.

En todo caso y como control mínimo, las estaciones de trabajo la inmobiliaria,

deben estar protegidas por software antivirus con capacidad de actualización automática

en cuanto a firmas de Seguridad de la Información.

 COPIAS DE SEGURIDAD.

Toda información que pertenezca a la inmobiliaria, o que sea de interés para un

proceso operativo o de misión crítica debe ser respaldada por copias de seguridad

tomadas de acuerdo a los procedimientos documentados por la gerencia, se recomienda

un Backus mensual del sistema.

CONFIGURACIÓN DE RED.

La configuración de enrutadores, switches, firewall, sistemas de detección de

intrusos y otros dispositivos de seguridad de red; debe ser documentada, respaldada por

copia de seguridad y mantenida por la Gerencia de la inmobiliaria.

CERTIFICACIÓN SSL PARA EL PRODUCTO

Todos los sistemas actuales mínimamente deben tener este certificado digital

Un certificado SSL (Secure Sockets Layer) es un título digital que autentifica la identidad

de un sitio web y cifra con tecnología SSL la información que se envía al servidor.

CIBERATAQUES QUE DEBEMOS PREVENIR

•proteger las redes de malware. Se tiene información que los proveedores de

firewall normalmente emiten actualizaciones de protección contra malware una vez al día.

Esta baja frecuencia de actualización hace que el sistema quede expuesto a posibles

ataques continuos a cualquier hora del día.

La ruta de los ataques es una ruta muy trillada qué pasa a través de redes

Para qué los atacantes moneticen con éxito una mala higiene cibernética. Al

combinar la gestión de vulnerabilidad basada en el riesgo y la seguridad de active directory,

se deben detener los ataques asegurando que los atacantes tengan dificultades para

encontrar un punto de apoyo y que no tengan hacia donde ir si solo encuentran:

- PUNTO DE APOYO INICIAL

Vía phishing o vulnerabilidad

- LA RUTA DE ATAQUE

Explorar movimiento lateral a lo largo del entorno objetivo.

- ELEVAR LA SEGURIDAD

Obtener acceso privilegiado.

- EVADIR LOS ATAQUES

Ocultar las huellas forenses.

 - ESTABLECER

Instalar código de seguridad para obtener permanencia en todo el sistema

EXFILTRAR LOS SISTEMAS

Exfiltrar datos o ir tras un rescate del sistema.

• Infectar las redes con diferentes tipos de malware. Los ciberdelincuentes utilizan

diferentes tipos de malware para realizar ataques a redes. Estos son los 5 tipos de malware

más comunes que debemos evitar:

• Los virus informáticos. Los cuales debemos tener cuidado en los archivos recibido

en memorias, archivos transmitidos a través de archivos compartidos, descargas web,

archivos adjuntos en correos electrónicos etc.

• Debemos cuidarnos de troyanos ya que fueron diséñanos inicialmente para extraer

información confidencial de la red. Debemos prevenirlos ya que lograrían controlar el

sistema infectado y abren un camino por el que el atacante accede en cualquier momento.

• Prevenir los Spyware ya que afectan a navegadores web, registrando en secreto en

los patrones de uso y comportamiento del usuario en la red.

POLITICAS DE SEGURIDAD INFORMATICA

El objetivo final es mitigar el riesgo de pérdida, deterioro o acceso no autorizado.

Además de la información, en las políticas de seguridad informática se incluyen elementos

como el hardware, el software y los empleados; se identifican posibles vulnerabilidades y

amenazas externas e internas; y se establecen medidas de protección y planes de acción

ante una falla o un ataque.

 COMUNICACIÓN CON LA EMPRESA

Cuando se implementa la encriptación de datos sensibles se puede mitigar un poco,

que, en caso de un ataque, estos datos queden expuestos de forma directa para cualquier

persona, si se hace correctamente y con métodos de buen cifrado, puede dar que la persona

que realizo el ataque le quede imposible poder descifrarlos, haciendo que la información

que tiene en su poder no le sea de mucho valor.

El cifrado es una técnica con la cual se altera la información para que esta no sea

legible para quienes lleguen a tener acceso a los datos. En las empresas, la protección de

todas las comunicaciones por las cuales se transmiten datos sensibles debe ser una prioridad

corporativa.

PROTEGER TODOS LOS EQUIPOS

Adicional al antivirus se deben tener otras medidas frente a la seguridad en las redes

que componen la empresa y por consiguiente el producto.

Aunque aún no existen en el mercado opciones de antivirus para

estos aparatos específicos, sí se puede minimizar el riesgo con ciertas acciones. Las

impresoras se deben ubicar con cortafuegos de la empresa y sin conexión abierta a internet,

se debe cifrar el disco duro y controlarlo a través de contraseñas, algo que se debe tener en

cuenta siempre es mantener actualizado siempre el software. No olvidar la protección de la

red Wi-Fi, una de las ventanas preferidas por los atacantes por la cual pueden acceder a la
red de las empresas. Para protegerla de manos criminales, empiece por cambiar la clave que

viene por defecto en el router por una de alto nivel de seguridad, así como el nombre de la

red. Utilice el nivel de seguridad WPA2 (el más seguro), reduzca los rangos de direcciones

IP permitidas y autentique a todas las personas que se conectan a dicha red.

CONCLUSIONES

Teniendo en cuenta lo anterior se realizó un análisis donde se estableció un plan de acción,

el plan de acción sirve para facilitar la visualización de los participantes, que logran

acompañar las tareas e identificar en qué etapa se encuentran. De ese modo, es posible

entender cuál es el camino para recorrer y cuánto tiempo hay disponible para ello.
 BIBLIOGRAFIA

 Página no encontrada | Universidad Nacional de la Patagonia Austral. (s. f.).

https://www.unpa.edu.ar/sites/default/files/descargas/Administracion_y_Apoyo/

4.+Materiales/2015/T205/GESTION+GENERAL/

PROCESO+DE+DESARROLLO/

PAS_DOCUMENTO+DE+DEFINICION+DEL+PROCESO_+V+2.0.pdf
 Ingeniería del Software II. (2022, 15 septiembre). Universidad a Distancia de

Madrid. https://www.udima.es/es/ingenieria-software-II.html

 Campo de AcciÃ3n - IngenierÃa de Sistemas -. (s. f.). DONDE ESTUDIAR

UNA CARRERA. TEST VOCACIONAL. CARRERAS UNIVERSITARIAS -

UNIVERSIA COLOMBIA.

https://orientacion.universia.net.co/carreras_universitarias-52/campo-de-

accion---ingenieria-de-sistemas-170.html