A NÁ L IS I S D EL C A S O

• PARA LLEVAR A CABO EL ESTUDIO DE ESTE CASO, DEBEREMOS REALIZAR LAS SIGUIENTES
ACTIVIDADES:

• 1. ELABORA UN LISTADO DE LOS ACTIVOS DE LA CLÍNICA

• ¿CUÁLES SON LOS ACTIVOS?
• LOS ACTIVOS QUE SE PUEDE PRESENCIAR EN ESTE CASO Y SOBRE TODO EN LA CLÍNICA SON:
• EQUIPO INFORMÁTICO:
• COMPUTADORES (2).
• SERVIDOR

• SOFTWARE – APLICACIONES INFORMÁTICAS:

• BASE DE DATOS
• SISTEMA DE AGENDAS
• SISTEMA OPERATIVO (WINDOWS, LINUX)

• PERSONAL:
• MÉDICO ESPECIALISTA.
• AUXILIAR EN CLÍNICA.
• AUXILIAR ADMINISTRATIVO
• TITULAR.

• INSTALACIONES:
• LOCAL ACTUAL DE LA EMPRESA.
• 2. OBSERVA QUÉ SISTEMAS DE SEGURIDAD FÍSICA Y LÓGICA ESTÁN PROTEGIENDO ACTUALMENTE EL SISTEMA. SI
ESTÁN REVISADOS Y ACTUALIZADOS.
• No presenta seguridad física ni lógica (no cuentan con antivirus), no hay extintores en el área o cerca de
los servidores, se cree que por tener un antivirus, un servidor va a estar totalmente protegido. de
considerar que la información va estar protegida, sí, lo va a estar, pero no es la única medida de
seguridad que debe tomar. también necesita hacer un correcto mantenimiento a los ordenadores,
actualizar los softwares (algo que en el caso no se hace mención, por lo tanto asumimos que están
desactualizados), montar un dominio para la correcta administración de permisos, instalar en todos los
puestos de red el sistema operativo profesional, tener una política de copias de seguridad definida
(políticas que la empresa no tiene) y, sobre todo, contar con la ayuda de un profesional de ti, con el que
pueda centralizar todas las incidencias.
• ¿QUÉ ES SEGURIDAD FÍSICA Y LÓGICA?
• Seguridad física
• Consiste en la “aplicación de barreras físicas y procedimientos de control, como medidas de prevención y contramedidas
ante amenazas a los recursos e información confidencial”.
• CONTROL DE ACCESO: SOLO PERSONAL CLASIFICADO (ESPECIALISTA, EL AUXILIAR Y AUXILIAR ADMINISTRATIVO) DE CLÍNICA
PUEDE MANIPULAR LOS EQUIPOS INFORMÁTICOS (COMPUTADOR, SERVIDOR).

• EQUIPOS FÍSICOS DE PROTECCIÓN: BUENO EN REPRESENTACIÓN QUE LA CLÍNICA ES FORMAL CUMPLE CON YA POR SI CON EL
REGLAMENTE DE ESTABLECIMIENTO DE SALUD Y SERVICIOS DE APOYO:
• EXTINTORES, ALARMA CONTRA INTRUSOS, DETECTOR DE HUMO.
• SEGURIDAD LÓGICA
• CONSISTE EN LA “APLICACIÓN DE BARRERAS Y PROCEDIMIENTOS QUE RESGUARDEN EL ACCESO A LOS DATOS Y SÓLO SE PERMITA ACCEDER
A ELLOS A LAS PERSONAS AUTORIZADAS PARA HACERLO”. ES DECIR, LA SEGURIDAD EN EL USO DEL SOFTWARE, LA PROTECCIÓN DE LOS
DATOS, PROCESOS Y PROGRAMAS, ASÍ COMO LA DEL ACCESO ORDENADO Y AUTORIZADO DE LOS USUARIOS A LA INFORMACIÓN.

• OBSERVAMOS EN EL CASO QUE:

• ANTIVIRUS: YA QUE UTILIZAN EL SISTEMA OPERATIVO WINDOWS Y SABEMOS QUE EN LA ACTUALIDAD ESTE SISTEMA OPERATIVO
YA TRAE CONSIGO EL ANTIVIRUS DEFENDER.
•3. COMPRUEBA CUÁLES SON LAS VULNERABILIDADES DEL SISTEMA INFORMÁTICO,
TANTO EN EL SOFTWARE, COMO EN EL HARDWARE, EL PERSONAL Y LAS
INSTALACIONES. 
•¿QUÉ PROPIEDADES DEBE TENER EL SISTEMA INFORMÁTICO PARA SER SEGURO?
•CONFIDENCIALIDAD: LOS DATOS Y LA INFORMACIÓN SOLO ESTÁN DISPONIBLES A
AQUELLAS PERSONAS AUTORIZADAS A TENER ACCESO DE LA MISMA.
•INTEGRIDAD: GARANTIZA LA AUTENTICIDAD DE LOS DATOS O INFORMACIÓN.
•DISPONIBILIDAD: LA INFORMACIÓN SIEMPRE TIENE QUE ESTAR DISPONIBLE PARA LOS
USUARIOS.
•AUTENTIFICACIÓN: EL SISTEMA DEBE SER CAPAZ DE VERIFICAR QUE UN USUARIO
IDENTIFICADO QUE ACCEDE A UN SISTEMA O QUE GENERA UNA DETERMINADA
INFORMACIÓN ES QUIEN DICE SER.
•TRAZABILIDAD: PROPIEDAD O CARACTERÍSTICA CONSISTENTE EN QUE LAS
ACTUACIONES DE UNA ENTIDAD PUEDEN SER IMPUTADAS EXCLUSIVAMENTE A DICHA
ENTIDAD.
¿QUÉ AMENAZAS Y RIESGOS EXISTEN?
ACTIVOS AMENAZAS
Equipos Informáticos
 Daños por agua
 Desastres naturales
 Errores de mantenimiento/Actualización de programas (software).
Computadoras  Errores de mantenimiento/Actualización de equipos (hardware).
 Acceso no autorizado.
 Cortes de energía eléctrica.
 Fuego.
 Perdida por equipo
 Desastres naturales
 Errores de mantenimiento/Actualización de programas (software)
Servidor  Errores de mantenimiento/Actualización de equipos (hardware)
 Fuego
 Daños por agua
 Acceso no autorizado
Software – Aplicaciones informáticas
 Errores de mantenimiento/Actualización de programas (software)
Sistema operativo  Difusión de software dañino
 Vulnerabilidades de los programas (software)
 Errores de mantenimiento/Actualización de programas (software)
Bases de datos  Difusión de software dañino
 Vulnerabilidades de los programas (software)
 Errores de mantenimiento/ Actualización de programas (software)
Software(,Sistema de agendas)  Difusión de software dañino
 Vulnerabilidades de los programas (software)
 Instalaciones
 Desastres naturales
Local actual de la empresa  Terremotos
 Fuego
Personal
 Errores del administrador
Titular  Ingeniería social
 Enfermedad
 Errores de usuario
 Ingeniería social
 Enfermedad
Médico especialista
 Robo
 Extorción
 Manipulación deliberada de la información
 Errores de usuario
 Ingeniería social
 Enfermedad
Auxiliar de clínica
 Robo
 Extorción
 Manipulación deliberada de la información
 Errores de usuario
 Ingeniería social
 Enfermedad
Auxiliar administrativo
 Robo
 Extorción
 Manipulación deliberada de la información
 ACTIVOS RIESGOS
Equipos Informáticos
 Deterioro de los equipos.
 Daño de los equipos.
 Posibilidad del mal funcionamiento del equipo.
 Posibilidad de inoperabilidad de los equipos.
Computadoras
 Posibilidad de que un usuario no autorizado dañe el equipo.
 Posibilidad de que los equipos pierdan la operatividad
 Deterioro de los equipos a causa de un incendio,
 
 Sustracción indebida del servidor.
 Deterioro de los equipos.
 Configuración inadecuada.
Servidor  Deterioro de los equipos a causa de un incendio.
 Deterioro de los equipos
 Posibilidad de acceso no permitido
 
Software – Aplicaciones informáticas
 Posibilidad de fallo en el S.O
Sistema operativo  Errores de funcionamiento
 Posibilidad de burlar y encontrar fallos en los programas
 Posibilidad de fallo en la DB
Bases de datos  contraer virus
 Posibilidad de burlar y encontrar fallos en los programas
 Mal funcionamiento de S.I.
 Errores de funcionamiento del S.I
Software(,Sistema de agendas)
 Posibilidad de burlar y encontrar fallos en el software
 
Instalaciones

Local actual de la empresa  Deterioro y pérdida del local.

 Deterioro de la infraestructura de la empresa a causa de un incendio.
Personal

 Mala operatividad del sistema

Gerente
 Posibilidad de robo de información
 Posibilidad de inoperabilidad de la parte gerencia

 Mala operabilidad del sistema.

Médico especialista
 Posibilidad de robo de información.
 Posibilidad de alteración de la información

 Mala operabilidad del sistema.

Auxiliar de clínica
 Posibilidad de robo de información.
 Posibilidad de alteración de la información

 Mala operatividad del sistema

Auxiliar administrativo  Posibilidad de robo de información.
 Posibilidad de alteración de la información.
 Posibilidad de robo de información.
• ¿QUÉ VULNERABILIDADES TIENE EL SISTEMA?

• VULNERABILIDAD DE LOS DATOS.

• ACCESO A OTROS PROGRAMAS, Y ESTO A SU VEZ INFECTA A LA INSTALACIÓN DE SOFTWARES DAÑINOS.

• CONFIGURACIÓN INADECUADA DE LOS SISTEMAS INFORMÁTICOS.

• DESCONOCIMIENTO Y FALTA DE SENSIBILIZACIÓN DE LOS USUARIOS Y DE LOS RESPONSABLES DE INFORMÁTICA.

• DISPONIBILIDAD DE HERRAMIENTAS QUE FACILITAN LOS ATAQUES.

• 4. ELABORA UNA LISTA DE SERVICIOS Y MECANISMOS QUE INCREMENTARÍAN LA SEGURIDAD DE LA INFORMACIÓN.
• ¿QUÉ SERVICIOS DE SEGURIDAD SE NECESITAN Y QUÉ MECANISMOS SON NECESARIOS PARA ASEGURAR ESOS
SERVICIOS?
• CUANDO SE REALIZA UN ANÁLISIS DE RIESGO HAY QUE DETECTAR QUE SERVICIOS DE SEGURIDAD CUMPLE EL SISTEMA DE
INFORMACIÓN Y CUALES QUEDAN DESCUBIERTOS O INCOMPLETOS PARA PODER APLICAR LOS MECANISMOS NECESARIOS QUE
ASEGUREN LA CONSECUCIÓN DE LOS OBJETIVOS DE SEGURIDAD DE LA ORGANIZACIÓN.
• UN MECANISMO DE SEGURIDAD ES UN CONJUNTO DE ELEMENTOS O PROCESOS QUE IMPLEMENTAN UN SERVICIO DE
SEGURIDAD. 
• PREVENTIVOS. ACTÚAN ANTES DE QUE SE PRODUZCA EL ATAQUE, SU MISIÓN ES EVITARLO.
• DETECTORES. ACTÚAN CUANDO EL ATAQUE SE HA PRODUCIDO Y ANTES DE QUE CAUSE DAÑOS EN EL SISTEMA.
• CORRECTORES. ACTÚAN DESPUÉS DE QUE HAYA HABIDO UN ATAQUE Y SE HAYAN PRODUCIDO DAÑOS. SU MISIÓN ES LA DE CORREGIR LAS
CONSECUENCIAS DAÑO.

• A CONTINUACIÓN, SE LISTAN ALGUNOS EN BASE AL CASO ANALIZADO:

• CIFRADO: CON EL FIN DE QUE A INDIVIDUOS O PROCESOS NO AUTORIZADOS LES RESULTE INTELIGIBLE LA
INFORMACIÓN, ÉSTA SE TRANSFORMA POR MEDIO DE LOS MÉTODOS DE CIFRADO A UNA FORMA QUE NO PUEDA
ENTENDERSE A SIMPLE VISTA. 

• FIRMA DIGITAL: DIGITAL ES UNA PIEZA DE INFORMACIÓN QUE CONSISTE EN UNA TRANSFORMACIÓN QUE POR
MEDIO DE UNA FUNCIÓN RELACIONA DE FORMA ÚNICA UN DOCUMENTO CON LA CLAVE PRIVADA DEL FIRMANTE, ES
DECIR QUE LAS FIRMAS DIGITALES DEPENDEN DEL MENSAJE Y DE QUIEN LA GENERA, CON EL FIN DE QUE LA
INFORMACIÓN NO SEA MODIFICADA Y AL MISMO TIEMPO SIRVE PARA PROPORCIONAR SERVICIOS DE NO REPUDIO
YA QUE EL DESTINATARIO TENDRÁ LA CERTEZA DE QUE EL MENSAJE FUE ENVIADO POR QUIEN ESPERABA.

• CONTROL DE ACCESO AL SOFTWARE: OPTIMIZAR EL CONTROL DE ACCESO A LAS BASES DE DATOS O AL SISTEMA
DE AGENDAS, PROPONIENDO CLAVES CAMBIANTES CADA CIERTO PERIODO.
• EL SERVICIO DE SEGURIDAD SE NECESITA TRABAJAR EN BASE A 5 PUNTOS
PARA MEJORAR:
• INTEGRIDAD
• CONFIDENCIALIDAD
• DISPONIBILIDAD
• AUTENTIFICACIÓN
• NO REPUDIO(O IRRENUNCIABILIDAD)
• 5. INVESTIGA SI LA CLÍNICA DISPONE DE UNA POLÍTICA DE SEGURIDAD O DE UN PLAN DE
CONTINGENCIAS.
• ¿ESTÁ INFORMADO TODO EL PERSONAL DE LA POLÍTICA DE SEGURIDAD?
• NO, PORQUE NO CUENTAN CON POLÍTICAS DE SEGURIDAD.
• TODA ORGANIZACIÓN TIENE QUE TENER UNA, YA QUE FORMA PARTE DE SU POLÍTICA GENERAL, POR LO TANTO
TIENE QUE SER APROBADA POR LA DIRECCIÓN, SU OBJETIVO PRINCIPAL ES CONCIENTIZAR A TODO EL
PERSONAL DE UNA ORGANIZACIÓN CUALES SON LOS PRINCIPIOS QUE RIGEN LA SEGURIDAD DE LA ENTIDAD Y
CUÁLES SON LAS NORMAS PARA CONSEGUIR LOS OBJETIVOS DE SEGURIDAD PLANIFICADOS.

• ¿SE REALIZAN ENSAYOS Y SIMULACROS SEGÚN EL PLAN DE CONTINGENCIAS?

• NO, PORQUE NO CUENTA CON UN PLAN DE CONTINGENCIA, Y ES ALGO QUE NO DEBE QUEDAR AL AIRE YA QUE
DETERMINADAS AMENAZAS A CUALQUIERA DE LOS ACTIVOS DEL S.I, PUEDEN PONER EN PELIGRO LA
CONTINUIDAD DEL NEGOCIO.
• 6. DETERMINA SI LA CLÍNICA REQUIERE UNA AUDITORÍA INFORMÁTICA.
• ES EVIDENTE QUE NECESITA UNA AUDITORÍA INTERNA Y/O EXTERNA PARA EVALUAR
EL SISTEMA DE INFORMACIÓN, EVALUAR EL PERSONAL Y PREVENIR Y
RESGUARDAR LOS ACTIVOS DE LA EMPRESA ANTE UNA VULNERABILIDAD.
• ¿EN QUÉ CONSISTIRÁ LA AUDITORÍA?
• CONSISTE EN DIAGNOSTICAR EL ESTADO DE LA ORGANIZACIÓN RESPECTO:
• NIVEL DE SEGURIDAD
• NIVEL DE CALIDAD
• NIVEL DE EFICACIA EN TI
• NIVEL DE EFICIENCIA EN TI

• TODO ESTO NOS BASAMOS DE ACUERDO AL SOFTWARE QUE SE UTILIZARÁ EN LA

AUDITORÍA MEYCOR COBIT.

• ¿SE REALIZARÁ CON ALGÚN SOFTWARE ESPECÍFICO PARA AUDITORÍA

INFORMÁTICA?
• MEYCOR COBIT