Tecnicatura Superior en Ciberseguridad – Gestión de la Ciberseguridad

Trabajo Práctico N° 1: Seguridad de Sistemas, Control de acceso

Actividad Grupal – Fecha de entrega: 28/04/2023
Titular de Cátedra: Maximiliano Scarimbolo
JTP: Gabriel Greco
Autores: Bressan, Esteban
Bustos, Mauro
Capano, Federico
Carini, Alfredo
Castro, Mónica

Trabajo grupal de 5 a 7 integrantes. Características del documento: máximo 3

páginas tamaño A4; carátula con el nombre del trabajo, autores y fecha de entrega;
títulos letra Arial tamaño 12 estilo negrita, texto del documento letra Arial tamaño
11, interlineado sencillo. Citar la fuente de búsqueda y consulta. Será excluido en
copiado y pegado literal. Se evalúa con nota numérica, la desaprobación requerirá
la re-entrega del trabajo. Al finalizar la respuesta a todos los ítems solicitados
exportar el documento en formato PDF y subir el archivo en la actividad “Tarea”
habilitada dentro del aula virtual.
Desarrollar una política de control de acceso. Será expuesta por escrito en tres
etapas:

· Objetivos

· Alcance

· Checklist

Describir cada punto propuesto en base al material visto en clase, puede ser
utilizado como guía, sumar un trabajo de investigación propia que amplíe lo
desarrollado en clase.

Objetivos

. • Cumplir con la Política General de Seguridad de la Información

SOBRE LA POLÍTICA DE SEGURIDAD

1. Objetivo de la Política

El objetivo de esta política de seguridad es mantener un control de acceso, sobre las

carpetas compartidas de la Entidad Omega y que el servicio externo solo tenga acceso a
aquellos datos que les son de necesidad, y de mantener la confidencialidad de aquella
información que no le es relevante para cumplir con sus tareas.

Para que la misma cumpla correctamente su función, el servicio externo sólo debe poder
hacer uso del recurso que la organización considere necesaria para que estos puedan
cumplir con su función y que toda la información permanezca íntegra, confiable y disponible.

Para ello la política deberá cumplimentar los siguientes lineamientos:

•Asegurar el cumplimiento del estándar ISO 27002, inciso A9.

•Definir el acceso a los recursos compartidos de la empresa Omega.

•Definir la composición que tienen las credenciales de acceso.

•Controlar el acceso a los recursos de la empresa Omega.

•Prevenir acceso no autorizado a los Sistemas de Información .

•Proteger adecuadamente la red y los servicios de red de la Institución.

•Registrar adecuadamente cada uno de los accesos, internos y externos.

•Establecer los niveles de acceso apropiados a la información institucional, brindando y

asegurando la confidencialidad, integridad y disponibilidad que requiera cada sistema,
usuario y archivo.

2. Alcance:

Esta política alcanza a todos los usuarios que hayan sido contratados por Omega y terceras
partes vinculadas, y a acuerdos de confidencialidad establecidos entre las partes que
necesiten acceder de manera remota a servicios, equipos, información o cualquier otro
activo digital propiedad de Omega o sus clientes para brindar servicios relacionados al
almacenamiento, infraestructura, plataforma o software que sean entregados a Omega en
modalidad de servicio y/o provisión de productos.
.
3. Checklist
Se detallan los controles para revisar el cumplimiento de la política de seguridad respecto al
control de acceso.
Los controles serán clasificados de acuerdo a su complejidad de acuerdo a los siguientes
niveles.

Nivel 1 (Básico): Los recursos y costos necesarios para su implementación son accesibles
para la entidad.
 Nivel 2 (Intermedio): Los recursos y costos necesarios para su implementación requieren
mayor esfuerzo y compromiso por parte de la entidad. Puede ser necesario el uso de
software específico que requiera algún nivel de configuración.
Nivel 3 (Avanzado): Los recursos y costos necesarios para su implementación requieren un
elevado esfuerzo y compromiso por parte de la entidad. Podrían ser necesarios tanto
software, hardware y personal especializado. Se contempla la necesidad de contar con
mecanismos de recuperación ante fallos.

Los controles tendrán los alcances definidos a continuación.

Dirección (DIR): aplicable al personal de alta gerencia, dirección y/o gestión.
Tecnología (TEC): aplicable al personal técnico especializado.
Personal Interno (P-I): aplicable al personal interno de Omega.
Personal Externo (P-E): aplicable al personal externo.

NIVEL ALCANCE CONTROL

1 DIR Política de usuarios y grupos

Define los roles de usuarios y grupos en función del tipo de información al que podrán
acceder, así como también sus responsabilidades.

1 TEC Autorización
Asigna los permisos necesarios para que cada usuario o grupo de usuarios solo
puedan realizar las acciones pertinentes sobre la información a la que tienen acceso.

1 TEC Gestión de cuentas de usuario

Define los procedimientos para realizar altas, bajas y modificaciones sobre las
cuentas de usuario.

1 TEC Cuentas de Administrador

Gestiona las cuentas de administrador en función de su criticidad.

2 TEC Mecanismos de Autenticación

P-I Determina e implementa las técnicas de autenticación más acordes para gestionar el
P-E acceso a la información. Así como también el uso de factores adicionales.
Se establece una contraseña de un solo uso de cambio obligatorio después del
primer acceso.

TEC Registro de eventos

3 Determina los mecanismos necesarios para registrar los eventos relevantes e
importantes en la manipulación de la información.

1 TEC Revisión de permisos

Revisión periódica de la correcta asignación de los permisos concedidos a los
usuarios.

1 TEC Revocación de Permisos

Desactivación de permisos, eliminación/suspensión de las cuentas de usuario
finalizada la relación contractual o en casos específicos (licencias, vacaciones).
2 TEC Control de Cambios
Registros, versionados históricos de los cambios realizados en los repositorios a los
que se accede.

2 TEC Tiempo de vida de los accesos

Limitación temporal respecto de los accesos a los repositorios, tanto en su duración
como en su temporalidad.

3 DIR Redundancia sobre los Recursos

Establece el nivel de redundancia necesaria para asegurar la disponibilidad de los
repositorios accedidos.

Fuentes:
● Ohttps://www.incibe.es/sites/default/files/contenidos/politicas/documentos/control-de-
acceso.pdfrientación Profesional en Ciberseguridad | INCIBE
● https://www.igualdadgenero.gob.ec/wp-content/uploads/downloads/2021/05/POL%C
3%8DTICA-DE-CONTROL-DE-ACCESOS-A-SERVICIOS-TECNOL%C3%93GICOS.
pdf
● https://www.mtt.gob.cl/wp-content/uploads/2018/12/Pol-SSI-09_v3.0_-_Poli%CC%81
tica_de_Control_de_Acceso_Lo%CC%81gico.pdf
● https://github.com/Alfredo-Carini/Politica-seguridad---control-Accesos-1-a-o-UNSO/bl
ob/main/Trabajo%20Fundamentos%20de%20Ciberseguridad%20V1.pdf