Auditor Seguridad

PROTECCION DE LA
INFORMACION
SEGURIDAD DE LA INFORMACIÓN
Existen reportes llenos de hechos en donde

intrusos han accesado redes de cómputo, bombazos de
terroristas o desastres naturales que han dañado o
destruido información crítica. La preocupación por la
confidencialidad de información personal como puede
ser el estatus créditicio o un historial médico, también
son motivo de noticias de primera plana.
SEGURIDAD DE LA INFORMACIÓN Cont.
Cont.
Las amenazas más comunes a las

corporaciones provienen del interior de las
organizaciones. Ya sea intencional o inadvertidamente,
las acciones de personas internas ( empleados que ya
cuentan con acceso a sus sistemas de información,
comunicaciones y cómputo ), pueden poner en riesgo
los activos de la empresa y su integridad física
personal.
Cont.
Con la fuga de información estratégica se pueden planear y llevar

a cabo robos, fraudes, secuestros y atentados. La información
puede ser intervenida, grabada, copiada, interpretada y utilizada
por lo cual debe considerarse como un bien a ser protegido. El
manejo de esta información ofrece riesgos que deben minimizarse
a través de procedimientos y equipos eficientes.
Facsímiles
Celulares
Teléfonos
Cont.
Existe información exclusiva que debe protegerse

como:
• Información técnica de productos, sistemas, equipo,
procesos y servicios.
• Planes y estrategias vitales.
• Información sobre costos, inversiones, utilidades,
pronósticos y operaciones del grupo.
• Información personal útil a terceras personas que
con ella planearían el atentado o graves daños.
La información es uno de los activos más importantes.
Su protección es vital para salvaguardar el futuro de
los negocios.
Cont.
Las personas más interesadas en penetrar en el

sistema generalmente son :
• Empleado enojado o en desacuerdo con la
organización.
• Espionaje.
• Individuos con experiencia con computadoras y
malas intenciones.
• Criminales en busca de elementos para planear
crímenes como robos y fraudes.
La información puede ser: *Almacenada
*Transmitida
En forma de voz, datos, e imágenes.
Cont.
Los grandes campos a proteger son:

• COMUNICACIONES : Fuga de información
confidencial en conversaciones telefónicas y en
transmisión de facsímiles.
• OFICINAS, RESIDENCIAS Y VEHÍCULOS :
Fuga de información confidencial por medio de
micrófonos y transmisores.
• EQUIPO DE COMPUTO : Fuga de información
confidencial, en equipos personales y redes. Daño al
equipo y bancos de información.
• ARCHIVOS : Obtención de información
privilegiada por falta de control sobre documentos en
su elaboración, almacenaje y destrucción.
Cont.
Las personas constituyen riesgos, pero también recursos. El

éxito en la seguridad de la información se basa
principalmente en las personas.
Los usuarios de soporte, responsables de gestionar la

seguridad de la información en la organización, debe de
considerar las siguientes medidas:
• Distribuir las reglas de seguridad.
• Hacer circular regularmente avisos sobre la seguridad.
• Establecer incentivos para fomentar las prácticas de
seguridad.
• Fijar de la seguridad.
• Establezca una línea de comunicación sobre seguridad.
Cont.
• Todo el personal deberá tener conocimiento de las

políticas y procedimientos de seguridad de documentos.
• Todo documento que contenga información competitiva o
significativa de la empresa o de su operación deberá ser
clasificado.
• Se debe considerar como un documento no clasificado a
aquel que no contenga información altamente sensible y
que no requiere el uso de los procedimientos de seguridad
utilizados con el material clasificado.
• La correspondencia de la empresa, aun cuando no sea
considerada como clasificada, no deberá divulgarse ya
que puede proporcionar información valiosa a la
competencia.
Cont.
• Se debe aplicar las políticas de “escritorio limpio” y de “mantener

con llave y guardar la llave” para asegurar que no se presenten
casos de revelación accidental o por confusión de información.
• Se debe limitar la distribución de documentos a bajo el principio
de que “tener que saber” (Need to know).
• Los documentos clasificados como secretos o confidenciales,
no podrán ser duplicados, a excepción de las copias hechas por
el creador del documento.
• Todo material clasificado, deberá mantenerse bajo llave cuando
no se encuentre bajo el control del responsable del mismo.
• Todo material secreto o confidencial, o sus copias y duplicados,
deberán ser destruidos.
Cont.
COPIAS DE SEGURIDAD
En el entorno de las computadoras personales, el problema
principal no es su uso fraudulento, sino el daño o pérdida de
datos importantes.
La medida de seguridad simple más efectiva que puede seguir
es el hacer copias de seguridad en forma regular.
AB
AB
Cont.
INSTALACIÓN DE EQUIPO DE
CODIFICACIÓN Y DECODIFICACION
PARA TRANSMISIÓN Y RECEPCIÓN DE
DATOS
INSTALACIÓN DE PROGRAMAS DE CODIFICACIÓN Y

DECODIFICACION PARA ACCESO RESTRINGIDO
Cont.
Podemos decir que si el principal actualmente no esta

siendo intervenido con micrófonos o lo a sido en el
pasado, probablemente en el futuro lo será. Esto
obliga al profesional en seguridad a comprender los
principios básicos de la vigilancia electrónica y las
medidas de contrainteligencia necesarias para vencer
este tipo de vigilancia.
El espionaje no siempre es de tipo electrónico ya que

de hecho puede existir vigilancia “ auditiva “.
Cont.
Mencionaremos a
continuación algunas formas
de ataques.
 Ataque mecánico o no
electrónico
Uno de los elementos más

utilizados para obtener
información es el oído
humano. Otro tipo de ataque
mecánico es el uso de
grabadoras .
Cont.
 Ataque óptico o visual

Se incluyen los ataques producto de la simple
observación ocupando telescopios, binoculares, cámaras
con telefoto y cámaras de vídeo.
 Ataques de video
Las cámaras de video representan una amenaza en
aquellas áreas a las que el delincuente tiene oportunidad
de tener acceso para esconder el dispositivo. La
tecnología del video continua evolucionando así como la
vigilancia por este tipo de medio.
Cont.
Micrófonos y cableado
MICROFONOS Y TRANSMISORES OCULTOS

Cont.
Un programa de seguridad auditivo efectivo debe

contener 2 consideraciones básicas:
• Aislamiento y nulificación : Medidas que se tomaran

para complicar o prevenir un ataque o espionaje
auditivo
• Búsqueda de elementos auditivos : Medidas que se

tomaran para detectar la presencia de un ataque de
espionaje
Cont.
Celulare Facsímile
s s
Teléfono
s
Cont.
BARRERAS ACÚSTICAS
• Se debe dar una especial consideración en el tipo de
construcción de la habitación con vista en las
características de atenuación acústica del perímetro; esto
es la habilidad de las paredes, techo y piso para actuar
como barrera de sonido.
• Deben también considerarse medidas del tipo electrónico,
como son la instalación de material que edite la salida de
radiación electromagnética de la habitación protegida, en
caso de que se hubiesen introducido algún transmisor de
audio o vídeo en forma posterior ala revisión de
seguridad, o bien que algún asistente a la sala portase un
equipo consigo.
Cont.
INSTALACIÓN DE EQUIPOS INHABILITADORES

DE TRANSMISIÓN Y GRABACIÓN
Tema 4
Introducción a la Seguridad Física
Seguridad Informática y Criptografía
Ultima actualización: 02/03/04

Archivo con 36 diapositivas
Material Docente de Jorge Ramió Aguirre

v 3.2
Libre Distribución Universidad Politécnica de Madrid
Este archivo forma parte de un curso sobre Seguridad Informática y Criptografía. Se autoriza la
reproducción en computador e impresión en papel sólo con fines docentes o personales, respetando
en todo caso los créditos del autor. Queda prohibida su venta, excepto a través del Departamento de
Publicaciones de la Escuela Universitaria de Informática, Universidad Politécnica de Madrid, España.
Curso de Seguridad Informática y Criptografía © JRA

Seguridad Física
Los datos deben protegerse aplicando:
• Seguridad Lógica
– Uso de herramientas de protección de la información en
el mismo medio en el que se genera o transmite.
– Protocolos de autenticación entre cliente y servidor.
– Aplicación de normativas.
• Seguridad Física
– Procedimientos de protección física del sistema: acceso
personas, incendio, agua, terremotos, etc.
– Medidas de prevención de riesgos tanto físicos como
lógicos a través de una política de seguridad, planes de
contingencia, aplicación de normativas, etc.
© Jorge Ramió Aguirre Madrid (España) 2004

La seguridad Física en entornos de PCs
 Anclajes a mesas de trabajo. Temas a tener
 Cerraduras. en cuenta en un
 Tarjetas con alarma. entorno PC
 Etiquetas con adhesivos especiales.
 Bloqueo de disquetera.
 Protectores de teclado.
 Tarjeta de control de acceso al hardware.
 Suministro ininterrumpido de corriente.
 Toma de tierra.
 Eliminación de la estática... etc.

Análisis de riesgo: plan estratégico
• Es el proceso de identificación y evaluación del

riesgo a sufrir un ataque y perder datos, tiempo y
horas de trabajo, comparándolo con el costo que
significaría la prevención de este suceso.
• Su análisis no sólo nos lleva a establecer un

nivel adecuado de seguridad, sino que permite
conocer mejor el sistema que vamos a proteger.

Información del análisis de riesgo
• Información que se obtiene en un análisis de riesgo:
– Determinación precisa de los recursos sensibles de la
organización.
– Identificación de las amenazas del sistema.
– Identificación de las vulnerabilidades específicas del
sistema.
– Identificación de posibles pérdidas.
– Identificación de la probabilidad de ocurrencia de una
pérdida.
– Derivación de contramedidas efectivas.
– Identificación de herramientas de seguridad.
– Implementación de un sistema de seguridad eficiente en
costes y tiempo.

Ecuación básica del análisis de riesgo
¿BPL?
– B: Carga o gasto que significa la prevención

de una pérdida específica por vulnerabilidad.
– P: Probabilidad de ocurrencia de esa pérdida
específica.
– L: Impacto total de dicha pérdida específica.

¿Cuándo y cuánto invertir en seguridad?
Si BPL
Hay que implementar una medida de
prevención.
Si BPL
No es necesaria una medida de prevención.
... al menos matemáticamente. No obstante, siempre
puede ocurrir una desgracia que esté fuera de todo
cálculo. Por ejemplo, el ataque a las torres gemelas y
sus posteriores consecuencias informáticas no estaba
contemplado en ningún plan contingencia...

Efectividad del coste de la medida
• Las medidas y herramientas de control han de
tener menos coste que el valor de las posibles
pérdidas y el impacto de éstas si se produce el
riesgo temido.
• Ley básica: el costo del control ha de ser menor

que el activo que protege. Algo totalmente lógico
y que tanto los directivos como los responsables
de seguridad de la empresa deberán estimar de
forma adecuada a su realidad.

El factor L en la ecuación de riesgo
Factor L (en B  P  L)
• El factor de impacto total L es difícil de evaluar.
Incluye daños a la información, a los equipos,
pérdidas por reparación, por volver a levantar el
sistema, pérdidas por horas de trabajo, etc.
• Siempre habrá una parte subjetiva.
• La pérdida de datos puede llevar a una pérdida de
oportunidades por el llamado efecto cascada.
• En la organización debe existir una comisión
especializada interna o externa que sea capaz de
evaluar todas las posibles pérdidas y cuantificarlas.

El factor P en la ecuación de riesgo
Factor P (en B  P  L)
• El factor P está relacionado con la determinación
del impacto total L y depende del entorno en el
que esté la posible pérdida. Como este valor es
difícil de cuantificar, dicha probabilidad puede
asociarse a una tendencia o frecuencia conocida.
– Conocido P para un L dado, se obtiene la
probabilidad de pérdida relativa de la ocurrencia PL
que se comparará con B, el peso que supone
implantar la medida de prevención respectiva.

El factor B en la ecuación de riesgo
Factor B (en B  P  L)
• Indica qué se requiere para prevenir una pérdida.
Es la cantidad de dinero que vamos a disponer
para mitigar la posible pérdida.
– Ejemplo: la carga de prevención para que un sistema
informático minimice el riesgo de que sus servidores
sean atacados desde fuera incluye la instalación de
software y hardware adecuado, un cortafuegos, un
sistema de detección de intrusos, una configuración de
red segura, una política de seguimiento de accesos y de
passwords, personal técnico cualificado, etc. Todo ello
importa una cantidad de dinero específica.

Cuantificación de la protección
¿BPL?
• ¿Cuánta protección es necesaria?
– En nuestro ejemplo: qué configuración de red usar,
en qué entorno trabajar, qué tipo de cortafuegos, etc.
Eso dependerá del novel de seguridad que nuestra
empresa desee o crea oportuno.
• ¿De qué forma nos protegeremos?
– Una casa puede protegerse con puertas, cerraduras,
barras en ventanas, sistemas de alarmas, etc.
– En un sistema informático podemos aplicar medidas
físicas, políticas de seguridad de accesos, planes de
contingencia y recuperación, cortafuegos, cifrado de
la información, firmas, pasarelas seguras, etc.

Pasos en un análisis de riesgos
1. Identificación costo 3. Identificar posibles

Se
posibles pérdidas (L) acciones (gasto) y sus
cierra
el implicaciones. (B)
ciclo Seleccionar acciones a
Identificar amenazas implementar.
¿ B  PL ?
2. Determinar susceptibilidad.
La probabilidad de pérdida (P)

Algunas políticas de seguridad
• Políticas administrativas
– Procedimientos administrativos.
• Políticas de control de acceso
– Privilegios de acceso del usuario o programa.
• Políticas de flujo de información
– Normas bajo la cuales se comunican los
sujetos dentro del sistema.

Aspectos administrativos
• Políticas administrativas
– Se establecen aquellos procedimientos de
carácter administrativo en la organización
como por ejemplo en el desarrollo de
programas: modularidad en aplicaciones,
revisión sistemática, etc.
– Se establecen responsabilidades compartidas
por todos los usuarios, cada uno en su nivel.

Control de accesos
• Políticas de control de acceso

– Política de menor privilegio
• Acceso estricto a objetos determinados, con
mínimos privilegios para los usuarios.
– Política de compartición
• Acceso de máximo privilegio en el que cada
usuario puede acceder a todos los objetos.
– Granularidad
• Número de objetos accesibles. Se habla entonces
de granularidad gruesa y fina.

Control de flujo
• Políticas de control de flujo
– La información a la que se accede, se envía y
recibe por:
• ¿Canales claros o canales ocultos? ¿Seguros o no?
– ¿Qué es lo que hay que potenciar?
• ¿La confidencialidad o la integridad?
• ¿La disponibilidad? ... ¿El no repudio?
• Según cada organización y su entorno de trabajo y
servicios ofrecidos, habrá diferencias. En algunos
sistemas primarán unos más que otros, en función
de cuán secreta es la información que procesan.

Modelos de seguridad
• Modelo de Bell LaPadula (BLP)
– Rígido. Confidencialidad y con autoridad. Se definirán
• Modelo de Take-Grant (TG) brevemente
– Derechos especiales: tomar y otorgar. en próximas
• Modelo de Clark-Wilson (CW) diapositivas
– Orientación comercial: integridad.
• Modelo de Goguen-Meseguer (GM)
– No interferencia entre usuarios.
• Modelo de Matriz de Accesos (MA)
– Estados y transiciones entre estados
• Tipo Graham-Dennig (GD)
• Tipo Harrison-Ruzzo-Ullman (HRU)

Modelo de Bell LaPadula BLP
• La escritura hacia abajo está prohibida.

• La lectura hacia arriba está prohibida.
• Es el llamado principio de tranquilidad.
No lectura hacia arriba Secreto máximo

usuario dado de alta
con un nivel secreto Secreto
No escritura hacia abajo No clasificado

Modelo de Take Grant TG
• Se describe mediante grafos orientados:

– el vértice es un objeto o sujeto.
– un arco es un derecho.
• Se ocupa sólo de aquellos derechos que

pueden ser transferidos.

Modelo de Clark Wilson CW
• Basado en políticas de integridad

– Elementos de datos restringidos.
• sobre éstos debe hacerse un chequeo de
consistencia.
– Elementos de datos no restringidos.
– Procedimientos de transformación.
• trata los dos elementos.
– Procedimientos de verificación de integridad.

Criterios y normativas de seguridad
• Criterio de evaluación TSEC
– Trusted Computer System Evaluation Criteria, también
conocido como Orange Book.
• Criterio de evaluación ITSEC
– Information Technology Security Evaluation Criteria.
• Criterio de evaluación CC
– Common Criteria: incluye los dos anteriores.
• Ley Orgánica de Protección de Datos LOPD (1999, España)
– Establece un conjunto de medidas de seguridad de debido
cumplimiento por parte de empresas y organismos.
• Normativa internacional 17799
– Desarrolla un protocolo de condiciones mínimas de seguridad
informática de amplio espectro.

Planes de contingencia
• Un Plan de Contingencia consiste en un análisis
pormenorizado de las áreas que componen nuestra
organización que nos servirá para establecer una política de
recuperación ante un desastre.
– Es un conjunto de datos estratégicos de la empresa y que
se plasma en un documento con el fin de protegerse ante
eventualidades.
• Además de aumentar su seguridad, con un plan estratégico la
empresa también gana en el conocimiento de fortalezas y
debilidades.
• Pero si no lo hace, se expone a sufrir una pérdida irreparable
mucho más costosa que la implantación de este plan.

Desastres naturales y su prevención
• Desastres naturales • Medidas prevención

– Huracán – Emplazamientos
– Tormenta adecuados
– Inundación – Protección fachadas,
– Tornado ventanas, puertas
– Vendaval
– Incendio
– Otros

Vandalismo informático y su prevención
• Terrorismo • Medidas de prevención

• Sabotaje – Fortificación entradas
– Guardia Jurado
• Robo – Patrullas
– Circuito cerrado TV
– Control de accesos
– Protección de software y
• Virus hardware con antivirus,
• Programas malignos cortafuegos, etc.

Amenazas del agua y su prevención
• Amenazas • Medidas prevención
– Inundaciones por – Revisar conductos de
causas propias de la agua.
empresa – Localizar la sala con los
– Inundaciones por equipos más caros en un
causas ajenas sitio libre de estos
– Pequeños incidentes problemas.
personales (botella de – Instalar sistemas de
agua, taza con café) drenaje de emergencia.
– Concienciar empleados.

Amenazas del fuego y su prevención
• Amenazas • Medidas prevención

– Una mala instalación – Detector humo y calor.
eléctrica. – Materiales ignífugos.
– descuidos personales
– Almacén de papel
como fumar en la sala
de ordenadores. separado de máquinas.
– Papeleras mal ubicadas – Estado del falso suelo.
en la que se tira un – Extintores revisados.
cigarrillo no apagado. • Es la amenaza más
– Vulnerabilidades del temida por su rápido
sistema por humo. poder destructor.

¿Qué sucede si se produce una catástrofe?
• Las empresas dependen hoy en día de los equipos

informáticos y de todos los datos que hay allí
almacenados (nóminas, clientes, facturas, ...).
• Dependen también cada vez más de las
comunicaciones a través de redes de datos.
• Si falla el sistema informático y éste no puede
recuperarse, la empresa puede desaparecer porque
no tiene tiempo de salir nuevamente al mercado
con ciertas expectativas de éxito, aunque conserve
a todo su personal.

Tiempos de recuperación ante desastres
• Período máximo de paro de una empresa

sin poner en peligro su supervivencia:
– Sector Seguros: 5,6 días
– Sector Fabricación: 4,9 días
– Sector Industrial: 4,8 días
– Sector Distribución: 3,3 días
– Sector Financiero: 2,0 días
Ref. Estudio de la Universidad de Minnesota (1996)

Pérdidas por no contar con un plan
• Pérdida de clientes.
• Pérdida de imagen.
• Pérdida de ingresos por beneficios.
• Pérdida de ingresos por ventas y cobros.
• Pérdida de ingresos por producción.
• Pérdida de competitividad.
• Pérdida de credibilidad en el sector.

Implantación de medidas básicas
• Plan de emergencia
– Vidas, heridos, activos, evacuación personal.
– Inventariar recursos siniestrados.
– Evaluar el coste de la inactividad.
• Plan de recuperación
– Acciones tendentes a volver a la situación que
existía antes del desastre.

Plan de continuidad
• Instalaciones alternativas
– Oficina de servicios propia.
– Acuerdo con empresa vendedora de HW y SW.
– Acuerdo recíproco entre dos o más empresas.
– Arranque en frío; sala vacía propia.
– Arranque en caliente: centro equipado.
– Sistema Up Start: caravana, unidad móvil.
– Sistema Hot Start: centro gemelo.
Fin del Tema 4

Cuestiones y ejercicios (1 de 2)
1. ¿Qué es y qué significa hacer un análisis de riesgos?
2. Explique el sentido de las ecuaciones B > PL y B  PL.
3. Tras un estudio, obtenemos B > PL, ¿podemos estar totalmente
tranquilos al no utilizar medida alguna de prevención?
4. Explique qué significan los factores L y P en la ecuación B > PL.
5. ¿Cuáles son los pasos a seguir en un análisis de riesgos de acuerdo a
los factores de la ecuación de B > PL?
6. En algunos sistemas de gestión de información a veces prima más el
elemento confidencialidad, en cambio en otros más el de integridad.
Dé algunos ejemplos en que pueda cumplirse al menos en parte este
escenario. ¿Qué opina respecto a una transacción electrónica?
7. Comente el modelo de seguridad de Bell Lapadula. ¿Por qué se le
llama el modelo de la tranquilidad?

Cuestiones y ejercicios (2 de 2)
8. Ud. es el responsable de seguridad y detecta que un empleado está
robando información confidencial, ¿cómo reaccionaría?
9. ¿Cuáles pueden ser las pérdidas en una empresa si no se cuenta con
un adecuado Plan de Contingencia y sucede un desastre?
10. ¿Qué es un Plan de Contingencia y por qué es importante?
11. Nuestra empresa está a medias entre el rubro distribución y el de las
finanzas. ¿Resulta estratégico tener aquí un Plan de Contingencia?
12. ¿Qué soluciones tenemos para que un banco no se vea afectado por
un desastre y pueda seguir trabajando con sus clientes con un
tiempo de recuperación bajo o mínimo? ¿Cómo sería su coste?
13. ¿Se pueden prever situaciones extremas como lo acontecido con las
torres gemelas? ¿En que tipo de empresas o instituciones no deben
descartarse estos extremos? ¿En mi empresa que vende pasteles?

Tema 4
ÁREAS CUBIERTAS AUDITORÍA

Los controles directivos.
El desarrollo de las políticas.
El marco jurídico y cumplimiento de contratos.
Control de acceso lógico y físico.
Protección de los datos.
Comunicación y Redes.
El entorno de protección.
El desarrollo de las aplicaciones.
La continuidad de las operaciones.
RIESGOS Y AMENAZAS
Amenazas Físicas:
 Externas:
incendios, corte de línea, huelgas, etc.
 Internas:
sabotaje, negligencias, etc.
Amenazas Lógicas:
 Externas:
virus, etc.
 Internas:
accesos no permitidos, realizar acciones completas, entre otras.
RIESGOS Y AMENAZAS
Evaluación:
 Cuantificar su probabilidad.
 Identificar los riesgos :
Tipo de información almacenada, procesada y
transmitida.
Criticidad de las aplicaciones.
Tecnología usada.
Medidas Preventivas:
 Formar al personal.
Establecer cláusulas en los contratos.
Separar las funciones.
 Dispositivos físicos.
FASES DE LA AUDITORÍA
Objetivos y delimitación del alcance.

Recopilación de información.
Determinar el plan de trabajo, recursos y plazo.
Adaptación del cuestionario.
Considerar herramientas.
Realización de entrevistas y pruebas.
Análisis de resultados y valoración de riesgos.
Presentación y discusión del informe provisional.
Informe definitivo.
AUDITORÍA SEGURIDAD FÍSICA
Existen distintos tipos de amenazas:

 Sabotaje.
 Inundaciones.
 Averías.
Se evaluarán las protecciones físicas de:
 Instalaciones.
 Equipos.
 Programas.
 Datos.
 Redes.
 Personal.
AUDITORÍA SEGURIDAD LÓGICA
Acceso restringido a recursos.
Uso de contraseñas.
 Cambio de contraseñas iniciales
 Vigencia.
 Longitud y características mínimas.
 Riesgo uso mismas contraseñas en distintos sistemas
Transmisión de datos.
 Uso de cifrado.
 Software control uso red.
 Revisar seguridad de equipos con Modem.
 Deshabilitar / controlar accesos remotos a servidores.
AUDITORÍA SEGURIDAD LÓGICA
Generar ataques para probar seguridad de red.
 Uso de Cortafuegos.
 Servidores:
Desde el propio servidor.
Desde la Intranet.
Desde Internet.
 Servidores web.
Otros controles:
 Hardware y Software de acceso no controlado.
 Existencia de políticas que impidan instalaciones de
software no autorizadas.
 Detección de Caballos de Troya o similares
AUDITORÍA SEGURIDAD Y
DESARROLLO DE APLICACIONES
Revisar:
 Participación de usuarios.
 Librerías accesibles.
 Separación de entornos.
 Metodología a seguir.
 Ciclos de vida del software.
 Términos del contrato y su cumplimiento.
 Selección y uso de paquetes.
 Realización de pruebas a distintos niveles.
 Mantenimiento.
AUDITORÍA SEGURIDAD Y
DESARROLLO DE APLICACIONES
Controlar el paso de las aplicaciones desarrollas en el

entorno de trabajo al entorno real.
Controlar la protección de los programas desde dos

puntos de vista:
 Los programas deben de ser propiedad de la entidad.

 Uso adecuado de los programas.
AUDITORÍA SEGURIDAD EN EL
ÁREA DE PRODUCCIÓN
Revisar:
 Contratación de Servicios.
 Protección de utilidades y programas especialmente

peligrosos.
 Control de formularios críticos.
 Gestión de problemas y cambios.
 Calidad.
AUDITORÍA SEGURIDAD DATOS
Enfoques respecto a las características:
 Confidencialidad.
 Disponibilidad
 Integridad.
Ciclo de vida de los datos:

 Origen del Dato
 Proceso de los Datos.
 Salida de resultados.
 Retención de información y protección según su
clasificación.
AUDITORÍA SEGURIDA EN
COMINICACIONES Y REDES
Protección de:
 Transmisiones por fax.
 Conversaciones de voz.
 Transferencia de ficheros.
Conexiones externas:
 Intranet.
 Internet.
 Correo electrónico.
 Control paginas web visitadas.
 Comercio electrónico.
AUDITORÍA SEGURIDAD DATOS
Cortafuegos:
 Impiden accesos no autorizados desde el exterior.
 Basados en Router.
Filtros básicos.
No ofrecen registros de conexión.
 Basados en Servidor.
Es más avanzado.
Necesita un host dedicado.
Ofrece registro de conexiones.
PLANES DE CONTINGENCIA
Posibilita la recuperación de los servicios

paralizados ante cualquier contingencia.
Existencia y criterios de elaboración
Contenido y finalidad.
Mantenimiento y Pruebas.
PREVENCION DE
ATENTADOS
CONCEPTO DE ATENTADO
 Acto de violencia grave y público contra la
vida, integridad física o moral de las
personas.
 Puede ser por secuestro, amenaza de bomba,
agresión química, bacteriológica u ocupación
de las instalaciones.
 Se realizan en forma anónima, directa o
indirectamente, en este caso por teléfono,
correo o notas depositadas en cualquier parte
del edificio.
GENERALIDADES
 En el panorama internacional los atentados
con explosivos es una situación común en la
totalidad de los países.
 Su importancia varía de acuerdo con la
situación económica, social, política y el
estado de las relaciones internacionales de
cada país.
 Es un problema que puede activarse por la
facilidad que existe para la fabricación de
explosivos y bombas caseras y un gran
número de blancos vulnerables.
ACTIVISTAS
 No pueden ser identificados por su apariencia
o características.
 Intentan satisfacer motivos de venganza y

alcanzar objetivos, cumpliéndolos con
urgencia compulsiva.
 La experiencia y las estadísticas nos dicen

que los motivos del activista y del incendiario
tienen mucha similitud.
ACTIVISTAS Y SUS MOTIVOS
 POLITICOS
 RELIGIOSOS
 NACIONALISTAS
 TRAVESURAS
 TERRORISTAS-ANARQUISTAS
 DISPUTAS LABORALES
 ORGANIZACIONES DE ACTIVIDAD CRIMINAL
 RACIALES
 VENGANZAS
 SUICIDIOS
ACTIVISTAS Y SUS MOTIVOS
 ANTIESTABLECIMIENTO
 EXTORSION
 RIVALIDAD EN LOS NEGOCIOS
 INTENTO DE FORMAR GUERRILLA
 COBRO PRIMAS DE SEGURIDAD
 ENCUBRIMIENTOS CRIMINALES
 INTENTO DE GANAR NOTORIEDAD
 ENVIDIAS
 ODIO-AMOR
CONCEPTO DE EXPLOSIVO
 Es todo aquello que golpeado, cortado o
friccionado reacciona violentamente produciendo
gases de alta temperatura, que incendian e
impulsan todo lo que se encuentra en sus
inmediaciones.
 TIPOS DE EXPLOSIVOS:
 Bajos explosivos
 Altos explosivos, que a su vez se dividen en:
 Altos explosivos primarios
 Altos Explosivos secundarios
CLASIFICACION
 BAJOS EXPLOSIVOS Reaccionan ardiendo
progresivamente, es decir, más que
fragmentar los materiales que lo rodean en el
momento de la explosión, los desplazan. Un
ejemplo es la ojiva de un cartucho. Su reacción
se llama “Deflagración”
 ALTOS EXPLOSIVOS Reaccionan de manera
violenta fragmentando e impulsando los
materiales que los rodean al momento de la
explosión. Ejemplo de estos son la dinamita y
la granada . Su reacción se llama “Detonación”
ALTOS EXPLOSIVOS
 ALTOS EXPLOSIVOS PRIMARIOS Son los mas
sensitivos, pueden detonarse muy fácilmente por
choque, calor presión y corte, por lo que se
utilizan para detonar a los grandes explosivos
secundarios.
 ALTOS EXPLOSIVOS SECUNDARIOS Por su baja

sensitividad es posible manejarlos con seguridad
pues para su detonación se necesita de una
explosión auxiliar. Se usan para fragmentar roca,
corte de materiales y esquirlamientos por lo que
también se denominan “Rompientes” (TNT,
dinamita, amatol, anfo, etc.)
CLASIFICACION DE LAS
EXPLOSIONES
 EXPLOSIONES MECANICAS Es la liberación en
forma rápida de una gran presión Por ejemplo olla
expres, contenedor de gas, etc..
 EXPLOSION QUIMICA Es la reacción química de un

explosivo que ha sido excitado convirtiéndose en
gases de alta temperatura y de gran volumen.
 EXPLOSION NUCLEAR Es una reacción de fisión a

nivel atómico con diversos efectos.

Auditor Seguridad

Cargado por

Información del documento

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Auditor Seguridad

Cargado por

Copyright:

Formatos disponibles

PROTECCION DE LA

Existen reportes llenos de hechos en donde

Las amenazas más comunes a las

Con la fuga de información estratégica se pueden planear y llevar

Existe información exclusiva que debe protegerse

Las personas más interesadas en penetrar en el

Los grandes campos a proteger son:

Las personas constituyen riesgos, pero también recursos. El

Los usuarios de soporte, responsables de gestionar la

• Todo el personal deberá tener conocimiento de las

• Se debe aplicar las políticas de “escritorio limpio” y de “mantener

INSTALACIÓN DE PROGRAMAS DE CODIFICACIÓN Y

Podemos decir que si el principal actualmente no esta

El espionaje no siempre es de tipo electrónico ya que

Uno de los elementos más

 Ataque óptico o visual

MICROFONOS Y TRANSMISORES OCULTOS

Un programa de seguridad auditivo efectivo debe

• Aislamiento y nulificación : Medidas que se tomaran

• Búsqueda de elementos auditivos : Medidas que se

INSTALACIÓN DE EQUIPOS INHABILITADORES

Seguridad Informática y Criptografía

Ultima actualización: 02/03/04

Material Docente de Jorge Ramió Aguirre

Curso de Seguridad Informática y Criptografía © JRA

© Jorge Ramió Aguirre Madrid (España) 2004

© Jorge Ramió Aguirre Madrid (España) 2004

• Es el proceso de identificación y evaluación del

• Su análisis no sólo nos lleva a establecer un

© Jorge Ramió Aguirre Madrid (España) 2004

© Jorge Ramió Aguirre Madrid (España) 2004

– B: Carga o gasto que significa la prevención

© Jorge Ramió Aguirre Madrid (España) 2004

© Jorge Ramió Aguirre Madrid (España) 2004

• Ley básica: el costo del control ha de ser menor

© Jorge Ramió Aguirre Madrid (España) 2004

© Jorge Ramió Aguirre Madrid (España) 2004

© Jorge Ramió Aguirre Madrid (España) 2004

© Jorge Ramió Aguirre Madrid (España) 2004

© Jorge Ramió Aguirre Madrid (España) 2004

1. Identificación costo 3. Identificar posibles

© Jorge Ramió Aguirre Madrid (España) 2004

© Jorge Ramió Aguirre Madrid (España) 2004

© Jorge Ramió Aguirre Madrid (España) 2004

• Políticas de control de acceso

© Jorge Ramió Aguirre Madrid (España) 2004

© Jorge Ramió Aguirre Madrid (España) 2004

© Jorge Ramió Aguirre Madrid (España) 2004

• La escritura hacia abajo está prohibida.

No lectura hacia arriba Secreto máximo

© Jorge Ramió Aguirre Madrid (España) 2004

• Se describe mediante grafos orientados:

• Se ocupa sólo de aquellos derechos que

© Jorge Ramió Aguirre Madrid (España) 2004

• Basado en políticas de integridad

© Jorge Ramió Aguirre Madrid (España) 2004

© Jorge Ramió Aguirre Madrid (España) 2004

© Jorge Ramió Aguirre Madrid (España) 2004

• Desastres naturales • Medidas prevención

© Jorge Ramió Aguirre Madrid (España) 2004

• Terrorismo • Medidas de prevención

© Jorge Ramió Aguirre Madrid (España) 2004

© Jorge Ramió Aguirre Madrid (España) 2004