Manual Aplicacion de La Seguridad Jnformatica

Aplicacin de la seguridadinformtica

Manual del participante

Recopilacin realizada en agosto 2014

Por Juan Manuel Campos Navarro

Colegio Nacional de Educacin Profesional TcnicaORGANISMO PBLICO DESCENTRALIZADO DEL GOBIERNO FEDERAL

ConalepMich Plantel Zamora


Juan Manuel Campos Navarro [email protected] 1

PRESENTACINEl mdulo de Aplicacin de la seguridad informtica, se imparte en el tercer semestre ycorresponde al ncleo de formacin profesional, de la carrera de Profesional Tcnico-Bachiller enInformtica. Tiene como finalidad, que el alumno conozca y aplique los procedimientos yestndares de seguridad en equipos de cmputo y en las redes de comunicacin, que acorde a losrequerimientos de uso, conserven la integridad de la informacin generada, procesada yalmacenada.

Para ello, el mdulo est conformado por dos unidades de aprendizaje. La primera unidad abordala aplicacin de estndares de proteccin de informacin; la segunda unidad desarrolla laadministracin de herramientas y mtodos de seguridad informtica y en la tercera unidad seestablecen las acciones de monitoreo y control de parmetros de proteccin.

La contribucin del mdulo al perfil de egreso de la carrera incluye el desarrollo de competenciaspara proteger la informacin almacenada en equipos de cmputo y de comunicacin, a fin de evitarprdidas de datos ataques de virus y acceso a usuarios no autorizados, en un marco de actuacinprofesional tica y responsable.

PROPSITO DEL MDULOOfrecer servicios de seguridad informtica apegados a procedimientos, estndares en equipos decmputo y necesidades del cliente, a travs de la aplicacin, administracin y control deherramientas de proteccin, garantizando integridad, disponibilidad y confidencialidad en lainformacin almacenada en sistemas informticos.

MAPA DEL MDULO



CONCEPTO DE SEGURIDADLa seguridad es la ausencia de riesgo o tambin a la confianza en algo o alguien. Sin embargo, eltrmino puede tomar diversos sentidos segn el rea o campo a la que haga referencia. Laseguridad es un estado de nimo, una sensacin, una cualidad intangible. Se puede entendercomo un objetivo y un fin que el hombre anhela constantemente como una necesidad primaria.CONCEPTO DE INFORMACINEn sentido general, la informacin es un conjunto organizado dedatos procesados, que constituyen un mensaje que cambia el estado de conocimiento del sujeto osistema que recibe dicho mensaje. Los datos sensoriales una vez percibidos y procesadosconstituyen una informacin que cambia el estado de conocimiento, eso permite a los individuos osistemas que poseen dicho estado nuevo de conocimiento tomar decisiones pertinentes acordes adicho conocimiento. Desde el punto de vista de la ciencia de la computacin, la informacin es unconocimiento explcito extrado por seres vivos o sistemas expertos como resultado de interaccincon el entorno o percepciones sensibles del mismo entorno. En principio la informacin, adiferencia de los datos o las percepciones sensibles, tienen estructura til que modificar lassucesivas interacciones del ente que posee dicha informacin con su entorno.

CONCEPTO DE INFORMTICALa Informtica es la ciencia aplicada que abarca el estudio y aplicacin del tratamiento automticode la informacin, utilizando sistemas computacionales, generalmente implementados comodispositivos electrnicos. Tambin est definida como el procesamiento automtico de lainformacin.

CONCEPTO DE SEGURIDAD DE INFORMATICALa seguridad informtica es el rea de la informtica que se enfoca en la proteccin de lainfraestructura computacional y todo lo relacionado con esta (incluyendo la informacin contenida).Para ello existen una serie de estndares, protocolos, mtodos, reglas, herramientas y leyesconcebidas para minimizar los posibles riesgos a la infraestructura o a la informacin. La seguridadinformtica comprende software, bases de datos, metadatos, archivos y todo lo que laorganizacin valore (activo) y signifique un riesgo si sta llega a manos de otras personas. Estetipo de informacin se conoce como informacin privilegiada o confidencial.

El concepto de seguridad de la informacin no debe ser confundido con el de seguridadinformtica, ya que este ltimo slo se encarga de la seguridad en el medio informtico, pudiendoencontrar informacin en diferentes medios o formas.

CONCEPTO DE PRINCIPIOS DE LA SEGURIDAD INFORMATICAConfidencialidadLa confidencialidad se entiende en el mbito de la seguridad informtica, como la proteccin dedatos y de informacin intercambiada entre un emisor y uno o ms destinatarios frente a terceros.Esto debe hacerse independientemente de la seguridad del sistema de comunicacin utilizado: dehecho, un asunto de gran inters es el problema de garantizar la confidencialidad de lacomunicacin utilizada cuando el sistema es inherentemente insegura (como Internet).En un sistema que garantice la confidencialidad, un tercero que entra en posesin de lainformacin intercambiada entre el remitente y el destinatario no es capaz de extraer cualquiercontenido inteligible.Para garantizarla se utilizan mecanismos de cifrado y de ocultacin de la comunicacin.Digitalmente se puede mantener la confidencialidad de un documento con el uso de llavesasimtricas. Los mecanismos de cifrado garantizan la confidencialidad durante el tiempo necesariopara descifrar el mensaje. Por esta razn, es necesario determinar durante cunto tiempo el



mensaje debe seguir siendo confidencial. No existe ningn mecanismo de seguridadabsolutamente seguro.

IntegridadEn informtica, la integridad de datos puede referirse a:

Integridad de datos en general: hace referencia a que todas las caractersticas de los datos(reglas, definiciones, fechas, etc) deben ser correctos para que los datos estn completos.

Integridad de datos en bases de datos: Integridad de datos se refiere al estado decorreccin y completitud de los datos ingresados en una base de datos.

Los SGBD relacional deben encargarse de mantener la integridad de los datos almacenados enuna base de datos con respecto a las reglas predefinidas o restricciones. La integridad tambinpuede verificarse inmediatamente antes del momento de introducir los datos a la base de datos(por ejemplo, en un formulario empleando validacin de datos). Un claro ejemplo de error deintegridad es el ingreso de un tipo de dato incorrecto dentro de un campo. Por ejemplo, ingresar untexto cuando se espera un nmero entero. Tambin una error en la integridad en una base dedatos puede ser la existencia de un valor numrico (id cliente) en la compra de un producto porparte de un cliente que no existe en su correspondiente tabla con ese nmero. (integridadreferencial).

DisponibilidadGarantizar que los usuarios autorizados tengan acceso en todo momento a la informacin cuandosea requerido.

CONCEPTO DE RIESGOLos riesgos informticos se refieren a la incertidumbre existente por la realizacin de un sucesorelacionado con la amenaza de dao respecto a los bienes o servicios informticos. Cuanto mayores la vulnerabilidad mayor es el riesgo (e inversamente), pero cuanto ms factible es el perjuicio odao mayor es el peligro (e inversamente). Por tanto, el riesgo se refiere slo a la terica"posibilidad de dao" bajo determinadas circunstancias, mientras que el peligro se refiere slo a laterica "probabilidad de dao" bajo determinadas circunstancias.

TIPOS DE RIESGOSEl Riesgo, que es el producto de la multiplicacin Probabilidad de Amenaza por Magnitud de Dao,est agrupado en tres rangos: bajo, medio y alto.

1. Riesgo de integridad:Este tipo abarca todos los riesgos asociados con la autorizacin, completitud y exactitud de laentrada, procesamiento y reportes de las aplicaciones utilizadas en una organizacin. Estosriesgos aplican en cada aspecto de un sistema de soporte de procesamiento de negocio y estnpresentes en mltiples lugares, y en mltiples momentos en todas las partes de las aplicaciones;no obstante estos riesgos se manifiestan en los siguientes componentes de un sistema:Interface del usuario: Los riesgos en esta rea generalmente se relacionan con las restricciones,sobre las individualidades de una organizacin y su autorizacin de ejecutar funcionesnegocio/sistema; teniendo en cuenta sus necesidades de trabajo y una razonable segregacin deobligaciones. Otros riesgos en esta rea se relacionan a controles que aseguren la validez ycompletitud de la informacin introducida dentro de un sistema.

Procesamiento: Los riesgos en esta rea generalmente se relacionan con el adecuadobalance de los controles defectivos y preventivos que aseguran que el procesamiento de la



informacin ha sido completado. Esta rea de riesgos tambin abarca los riesgosasociados con la exactitud e integridad de los reportes usados para resumir resultados ytomar decisiones de negocio.

Procesamiento de errores: Los riesgos en esta rea generalmente se relacionan con losmtodos que aseguren que cualquier entrada/proceso de informacin de errores(Excepciones) sean capturados adecuadamente, corregidos y reprocesados con exactitudcompletamente.

Administracin de cambios: Estos riesgos estn asociados con la administracininadecuadas de procesos de cambios de organizaciones que incluyen: Compromisos yentrenamiento de los usuarios a los cambios de los procesos, y la forma de comunicarlos eimplementarlos.

Informacin: Estos riesgos estn asociados con la administracin inadecuada de controles,incluyendo la integridad de la seguridad de la informacin procesada y la administracinefectiva de los sistemas de bases de datos y de estructuras de datos.

2. Riesgos de relacin:Los riesgos de relacin se refieren al uso oportuno de la informacin creada por una aplicacin.Estos riesgos se relacionan directamente a la informacin de toma de decisiones (Informacin ydatos correctos de una persona/proceso/sistema correcto en el tiempo preciso permiten tomardecisiones correctas).

3 Riesgos de acceso:Estos riesgos se enfocan al inapropiado acceso a sistemas, datos e informacin. Estos riesgosabarcan: Los riesgos de segregacin inapropiada de trabajo, los riesgos asociados con laintegridad de la informacin de sistemas de bases de datos y los riesgos asociados a laconfidencialidad de la informacin. Los riesgos de acceso pueden ocurrir en los siguientes nivelesde la estructura de la seguridad de la informacin:

Administracin de la informacin: El mecanismo provee a los usuarios acceso a lainformacin especfica del entorno.

Entorno de procesamiento: Estos riesgos en esta rea estn manejados por el accesoinapropiado al entorno de programas e informacin.

Redes: En esta rea se refiere al acceso inapropiado al entorno de red y su procesamiento. Nivel fsico: Proteccin fsica de dispositivos y un apropiado acceso a ellos.

4. Riesgo de utilidad:Estos riesgos se enfocan en tres diferentes niveles de riesgo: * Los riesgos pueden serenfrentados por el direccionamiento de sistemas antes de que los problemas ocurran. *Tcnicasde recuperacin/restauracin usadas para minimizar la ruptura de los sistemas. *Backups y planesde contingencia controlan desastres en el procesamiento de la informacin.

5. Riesgos de infraestructura:Estos riesgos se refieren a que en las organizaciones no existe una estructura informacintecnolgica efectiva (hardware, software, redes, personas y procesos) para soportaradecuadamente las necesidades futuras y presentes de los negocios con un costo eficiente. Estosriesgos estn asociados con los procesos de la informacin tecnolgica que definen, desarrollan,mantienen y operan un entorno de procesamiento de informacin y las aplicaciones asociadas(servicio al cliente, pago de cuentas, etc.6. Riesgos de seguridad general:



Los estndares IEC 950 proporcionan los requisitos de diseo para lograr una seguridad general yque disminuyen el riesgo: Riesgos de choque de elctrico: Niveles altos de voltaje. Riesgos de incendio: Inflamabilidad de materiales. Riesgos de niveles inadecuados de energa elctrica. Riesgos de radiaciones: Ondas de ruido, de lser y ultrasnicas. Riesgos mecnicos: Inestabilidad de las piezas elctricas.

MATRIZ DE RIESGO1 = Insignificante (Ninguna o muy bajo)2 = Baja3 = Mediana4 = Alta

CONCEPTO DE VULNERABILIDADEn seguridad informtica, la palabra vulnerabilidad hace referencia a una debilidad en un sistemapermitiendo a un atacante violar la confidencialidad, integridad, disponibilidad, control de acceso yconsistencia del sistema o de sus datos y aplicaciones.

RIESGOS LGICOS

Tipo de Riesgo FactorRobo de hardware AltoRobo de informacin AltoVandalismo MedioFallasen los equipos MedioVirus Informticos MedioEquivocaciones MedioAccesos no autorizados MedioFraude BajoFuego Muy BajoTerremotos Muy Bajo



Son aquellos daos que el equipo puede sufrir en su estado lgico, perjudicando directamente a susoftware.

Cdigos maliciososEn seguridad informtica, cdigo malicioso es un trmino que hace referencia a cualquier conjuntode cdigos, especialmente sentencias de programacin, que tiene un fin malicioso. Esta definicinincluye tanto programas malignos compilados, como macros y cdigos que se ejecutandirectamente, como los que suelen emplearse en las pginas web (scripts).Los cdigos maliciosospueden tener mltiples objetivos como: Extenderse por la computadora, otras computadoras enuna red o por internet.

Robar informacin y claves. Eliminar archivos e incluso formatear el disco duro. Mostrar publicidad invasiva. Mnimos cambios en un cdigo malicioso, pueden hacer que ya

no sea reconocido como malicioso por un programa antivirus; es por esta razn que existentantas variantes de los virus, los gusanos y otros malwares. Adems, los antivirus todavano tienen la suficiente "inteligencia" como para detectar cdigos maliciosos nuevos.

SpamSe llama spam, correo basura o mensaje basura a los mensajes no solicitados, no deseados o deremitente no conocido, habitualmente de tipo publicitario, enviados en grandes cantidades (inclusomasivas) que perjudican de alguna o varias maneras al receptor. La accin de enviar dichosmensajes se denomina spamming. La palabra Spam proviene de la segunda guerra mundial,cuando los familiares de los soldados en guerra les enviaban comida enlatada. Entre estascomidas enlatadas estaba Spam una carne enlatada, que en los Estados Unidos era y es muycomn.Aunque se puede hacer por distintas vas, la ms utilizada entre el pblico en general es la basadaen el correo electrnico. Otras tecnologas de Internet que han sido objeto de correo basuraincluyen grupos de noticias, usenet, motores de bsqueda, redes sociales, wikis, foros, blogs,tambin a travs de ventanas emergentes y todo tipo de imgenes y textos en la web.El correo basura tambin puede tener como objetivo los telfonos mviles (a travs de mensajesde texto) y los sistemas de mensajera instantnea como por ejemplo Outlook, Lotus Notes, etc.Tambin se llama correo no deseado a los virus sueltos en la red y pginas filtradas (casino,sorteos, premios, viajes, drogas, software y pornografa), se activa mediante el ingreso a pginasde comunidades o grupos o acceder a enlaces en diversas pginas.

PirateraTrmino utilizado para referirse a la copia ilegal de obras literarias, musicales, audiovisuales o desoftware, infringiendo los derechos de autor.

Fuga de informacinIncidente que pone en poder de una persona ajena a la organizacin, informacin confidencial yque slo debera estar disponible para integrantes de la misma. La fuga de informacin ocurrecuando un sistema diseado para realizar tareas que no deben ser observadas por un atacanterevela parte de esa informacin debido a errores en los procedimientos de trabajo. Por ejemplo, aldisearse una red de mensajera instantnea cifrada un experto en telecomunicaciones puedesaber en qu momento se emiten los mensajes. Si en el proceso de generacin de nmeros seudoaleatorios se utiliz la hora como semilla se podra deducir la clave secreta estimando el tiempoque tarda la mensajera instantnea en cifrar el mensaje antes de transmitirla.Ingeniera social



En el campo de la seguridad informtica, ingeniera social es la prctica de obtener informacinconfidencial a travs de la manipulacin de usuarios legtimos. Es una tcnica que pueden usarciertas personas, tales como investigadores privados, criminales, o delincuentes computacionales,para obtener informacin, acceso o privilegios en sistemas de informacin que les permitanrealizar algn acto que perjudique o exponga la persona u organismo comprometido a riesgo oabusos.El principio que sustenta la ingeniera social es el que en cualquier sistema "los usuarios son eleslabn dbil". En la prctica, un ingeniero social usar comnmente el telfono o Internet paraengaar a la gente, fingiendo ser, por ejemplo, un empleado de algn banco o alguna otraempresa, un compaero de trabajo, un tcnico o un cliente. Va Internet o la web se usa,adicionalmente, el envo de solicitudes de renovacin de permisos de acceso a pginas web omemos falsos que solicitan respuestas e incluso las famosas "cadenas", llevando as a revelarinformacin sensible, o a violar las polticas de seguridad tpicas. Con este mtodo, los ingenierossociales aprovechan la tendencia natural de la gente a reaccionar de manera predecible en ciertassituaciones, por ejemplo proporcionando detalles financieros a un aparente funcionario de unbanco en lugar de tener que encontrar agujeros de seguridad en los sistemas informticos.

Intrusos informticosLos intrusos informticos, son archivos cuyo propsito es invadir la privacidad de tu computadora,posiblemente dejando daos y alterando el software del equipo. Entre ellos estn: los spyware, etc.

RIESGOS FSICOSSon aquellos riesgos que el equipo puede sufrir un dao en su estado fsico, o que perjudicainmediatamente al hardware. Se clasifican en:1. Controles de acceso.Palabras Claves (Passwords)Generalmente se utilizan para realizar la autenticacin del usuario y sirven para proteger los datosy aplicaciones. Los controles implementados a travs de la utilizacin de palabras clave resultande muy bajo costo. Sin embargo cuando el usuario se ve en la necesidad de utilizar variaspalabras clave para acceder a diversos sistemas encuentra dificultoso recordarlas yprobablemente las escriba o elija palabras fcilmente deducibles, con lo que se ve disminuida lautilidad de esta tcnica.Se podr, por aos, seguir creando sistemas altamente seguros, pero en ltima instancia cada unode ellos se romper por este eslabn: la eleccin de passwords dbiles.Es mi deseo que despus de la lectura del presente quede la idea til de usar passwords segurasya que aqu radican entre el 90% y 99% de los problemas de seguridad planteados.

Sincronizacin de passwords: consiste en permitir que un usuario acceda con la mismapassword a diferentes sistemas interrelacionados y, su actualizacin automtica en todosellos en caso de ser modificada. Podra pensarse que esta es una caracterstica negativapara la seguridad de un sistema, ya que una vez descubierta la clave de un usuario, sepodra tener acceso a los mltiples sistemas a los que tiene acceso dicho usuario. Sinembargo, estudios hechos muestran que las personas normalmente suelen manejar unasola password para todos los sitios a los que tengan acceso, y que si se los fuerza a elegirdiferentes passwords tienden a guardarlas escritas para no olvidarlas, lo cual significa unriesgo an mayor. Para implementar la sincronizacin de passwords entre sistemas esnecesario que todos ellos tengan un alto nivel de seguridad.

Caducidad y control: este mecanismo controla cundo pueden y/o deben cambiar suspasswords los usuarios. Se define el perodo mnimo que debe pasar para que los usuarios



puedan cambiar sus passwords, y un perodo mximo que puede transcurrir para que stascaduquen.

EncriptacinLa informacin encriptada solamente puede ser desencriptada por quienes posean la claveapropiada. La encriptacin puede proveer de una potente medida de control de acceso. Este temaser abordado con profundidad en el Captulo sobre Proteccin del presente.

Listas de Control de AccesosSe refiere a un registro donde se encuentran los nombres de los usuarios que obtuvieron elpermiso de acceso a un determinado recurso del sistema, as como la modalidad de accesopermitido. Este tipo de listas varan considerablemente en su capacidad y flexibilidad.

Lmites sobre la Interfase de UsuarioEsto lmites, generalmente, son utilizados en conjunto con las listas de control de accesos yrestringen a los usuarios a funciones especficas. Bsicamente pueden ser de tres tipos: mens,vistas sobre la base de datos y lmites fsicos sobre la interfase de usuario. Por ejemplo los cajerosautomticos donde el usuario slo puede ejecutar ciertas funciones presionando teclasespecficas.

Etiquetas de SeguridadConsiste en designaciones otorgadas a los recursos (como por ejemplo un archivo) que puedenutilizarse para varios propsitos como control de accesos, especificacin de medidas deproteccin, etc. Estas etiquetas no son modificables.

2. Proteccin contra falla elctricaLos picos y ruidos, alto y bajo voltaje, como apagones, van daando poco a poco los componenteselctricos de los aparatos. Recordemos que la mayora de estos equipos no cubren garanta porfalla elctrica. Actualmente los Centros de Datos tienen la conciencia de que deben proteger todossus equipos contra incendios y fallas elctricas por toda la informacin que manejan. Lassoluciones de respaldo de energa (UPS) proveen proteccin, seguridad y respaldo en fallaselctricas para que los equipos protegidos funcionen eficientemente, por ello buscamos capacitar aquien lo solicite para asegurar que la cultura del respaldo y proteccin de energa llegue acualquier sitio donde se guarde informacin o se cuide la seguridad de las personas.Necesariamente deben contar con un UPS de calidad, que proteja y respalde toda la informacinacumulada en caso de falla del suministro elctrico. Porque sin energa, simplemente la solucinde seguridad se viene abajo y deja de funcionar. La importancia de llevar a la oficina, a laempresa, al hogar una energa limpia y apropiada para los equipos que se utilizan, adems deofrecer soluciones que den respaldo a los equipos durante apagones.

3. Proteccin contra desastres naturalesDesastres naturales

Terremoto: Tcnicamente el terremoto es un estado vibratorio o inestabilidad de la cortezaterrestre, que se presenta sbita y violentamente, produciendo desplazamientos en elsuelo, que pueden ser horizontales o verticales. Esto trae como consecuencia las continuastransfomaciones y cambios de la superficie de la tierra. Su origen es diverso, ya que puedeser por la ruptura de la corteza terrestre, por el movimiento de las placas tectnicas o porinfluencia de un volcn.



Huracn: Los huracanes son tormentas organizadas alrededor de un punto centralconocido como ojo. Los vientos alcanzan velocidades por encima de los 119 kph., y losmismos circulan alrededor del ojo. El dimetro del huracn vara entre 80 y 150 Kms. Loshuracanes se desarrollan en los mares tropicales; en el Ocano Atlntico se mueven deEste a Oeste. El ojo del huracn, que viene siendo el centro de la tormenta, se caracterizapor tener cielos despejados, vientos ligeros y es donde se registra la presin ms baja delsistema

Inundaciones: Se define como la invasin de agua por exceso de escurrimientossuperficiales o por acumulacin en terrenos planos, ocasionada por falta de drenaje ya seanatural o artificial. Esta es una de las causas de mayores desastres en centros decmputos. Adems de las causas naturales de inundaciones, puede existir la posibilidad deuna inundacin provocada por la necesidad de apagar un incendio en un piso superior.Para evitar este inconveniente se pueden tomar las siguientes medidas: construir un techoimpermeable para evitar el paso de agua desde un nivel superior y acondicionar las puertaspara contener el agua que bajase por las escaleras.

4. Administracin del software de la organizacin.Dentro de muchas empresas el rea de informtica y sistemas se encuentra apenas en etapa dedesarrollo, pero en la actualidad esto ha ido cambiando y se pueden encontrar una gran cantidadde empresas en donde este departamento ya forma parte del rea administrativa y estratgica dela empresa.El software comercial resulta indispensable para cualquier organizacin, ya sea grande o pequea.Gracias al software, su empresa se vuelve ms eficiente, sus trabajadores ms productivos, yusted puede aprovechar todos los beneficios que ofrece el comercio electrnico. Pero para podersacar el mayor provecho de su software, usted debe administrarlo correctamente, tal y como lohara con cualquier otro activo de valor de su empresa. La administracin deficiente de losprogramas de software priva a su empresa del valor total de la productividad y la eficacia delsoftware. Adems, puede ocultar fcilmente la piratera de dichos programas, que consiste en lainstalacin o empleo de copias no autorizadas de software. La piratera de software es ilegal ypuede tener consecuencias muy costosas para su empresa.

ITILDesarrollada a finales de 1980, la Biblioteca de Infraestructura de Tecnologas de la Informacin(ITIL) se ha convertido en el estndar mundial de facto en la Gestin de Servicios Informticos.Iniciado como una gua para el gobierno del Reino unido, la estructura base ha demostrado ser tilpara las organizaciones en todos los sectores a travs de su adopcin por innumerablescompaas como base para consulta, educacin y soporte de herramientas de software. Hoy, ITILes conocido y utilizado mundialmente. Pertenece a la OGC (Open Geospatial Consortium), peroes de libre utilizacin. ITIL fue desarrollada al reconocer que las organizaciones dependen cadavez ms de la Informtica para alcanzar sus objetivos corporativos. Esta dependencia en aumentoha dado como resultado una necesidad creciente de servicios informticos de calidad que secorrespondan con los objetivos del negocio, y que satisfagan los requisitos y las expectativas delcliente. A travs de los aos, el nfasis pas de estar sobre el desarrollo de las aplicaciones a lagestin de servicios. La aplicacin (a veces nombrada como un sistema de informacin) slocontribuye a realizar los objetivos corporativos si el sistema est a disposicin de los usuarios y, encaso de fallos o modificaciones necesarias, es soportado por los procesos de mantenimiento yoperaciones.A lo largo de todo el ciclo de los productos, la fase de operaciones alcanza cerca del 70-80% deltotal del tiempo y del coste, y el resto se invierte en el desarrollo del producto (u obtencin). De



esta manera, los procesos eficaces y eficientes de la Gestin de Servicios se convierten enesenciales para el xito de los departamentos de Tecnologa e informacin. Esto se aplica acualquier tipo de organizacin, grande o pequea, pblica o privada, con servicios centralizados odescentralizados, con servicios Tecnolgicos de informacin internos o suministrados por terceros.En todos los casos, el servicio debe ser fiable, consistente, de alta calidad, y de costo aceptable.

COBITEs una metodologa aceptada mundialmente para el adecuado control de proyectos de tecnologa,los flujos de informacin y los riesgos que stas implican. La metodologa COBIT se utiliza paraplanear, implementar controlar y evaluar el gobierno sobre tecnologas de la informacin y lacomunicacin; incorporando objetivos de control, directivas de auditora, medidas de rendimiento yresultados, factores crticos de xito y modelos de madurez. Permite a las empresas aumentar suvalor tecnologas de la informacin y la comunicacin y reducir los riesgos asociados a proyectostecnolgicos. Ello a partir de parmetros generalmente aplicables y aceptados, para mejorar lasprcticas de planeacin, control y seguridad de las Tecnologas de Informacin. COBIT contribuyea reducir las brechas existentes entre los objetivos de negocio, y los beneficios, riesgos,necesidades del control y aspectos tcnicos propios de un proyecto TIC proporcionado un MarcoReferencial Lgico para su direccin efectiva.

ISM3Pretende alcanzar un nivel de seguridad definido, tambin conocido como riesgo aceptable, enlugar de buscar la invulnerabilidad. ISM3 ve como objetivo de la seguridad de la informacin elgarantizar la consecucin de objetivos de negocio. La visin tradicional de que la seguridad de lainformacin trata de la prevencin de ataques es incompleta. ISM3 relaciona directamente losobjetivos de negocio (como entregar productos a tiempo) de una organizacin con los objetivos deseguridad (como dar acceso a las bases de datos slo a los usuarios autorizados). Algunascaractersticas significativas de ISM3 son:

Mtricas de Seguridad de la Informacin - "Lo que no se puede medir, no se puedegestionar, y lo que no se puede gestionar, no se puede mejorar" - ISM3 v1.20 hace de laseguridad un proceso medible mediante mtricas de gestin de procesos, siendoprobablemente el primer estndar que lo hace. Esto permite la mejora continua delproceso, dado que hay criterios para medir la eficacia y eficiencia de los sistemas degestin de seguridad de la informacin.

Niveles de Madurez ISM3 se adapta tanto a organizaciones maduras como aemergentes mediante sus cinco niveles de madurez, los cuales se adaptan a los objetivosde seguridad de la organizacin y a los recursos que estn disponibles.

Basado el Procesos - ISM3 v1.20 est basado en procesos, lo que lo hace especialmenteatractivo para organizaciones que tienen experiencia con ISO9001 o que utilizan ITIL comomodelo de gestin de TIC. El uso de ISM3 fomenta la colaboracin entre proveedores yusuarios de seguridad de la informacin, dado que la externalizacin de procesos deseguridad se simplifica gracias a mecanismos explcitos, como los ANS y la distribucin deresponsabilidades.

Adopcin de las Mejores Prcticas Una implementacin de ISM3 tiene ventajas comolas extensas referencias a estndares bien conocidos en cada proceso, as como ladistribucin explcita de responsabilidades entre los lderes, gestores y el personal tcnicousando el concepto de gestin Estratgica, Tctica y Operativa.

Certificacin Los sistemas de gestin basados en ISM3 pueden certificarse bajoISO9001 o ISO27001, lo que quiere decir que se puede usar ISM3 para implementar un



SGSI basado en ISO 27001. Esto tambin puede ser atractivo para organizaciones que yaestn certificadas en ISO9001 y que tienen experiencia e infraestructura para ISO9001.

Accesible Una de las principales ventajas de ISM es que los Accionistas y Directorespueden ver con mayor facilidad la Seguridad de la Informacin como una inversin y nocomo una molestia, dado que es mucho ms sencillo medir su rentabilidad y comprendersu utilidad.

Estandares BS 7799 (Reino Unido)Desde 1901, y como primera entidad de normalizacin a nivel mundial, BSI (British StandardsInstitution, la organizacin inglesa equivalente a AENOR en Espaa) es responsable de lapublicacin de importantes normas como:1979 Publicacin BS 5750 - ahora ISO 90011992 Publicacin BS 7750 - ahora ISO 140011996 Publicacin BS 8800 - ahora OHSAS 18001

La norma BS 7799 de BSI aparece por primera vez en 1995, con objeto de proporcionar acualquier empresa -britnica o no- un conjunto de buenas prcticas para la gestin de la seguridadde su informacin.

El estndar britnico BS 7799 es un estndar aceptado ampliamente que ha sido utilizado comobase para elaborar otros estndares de seguridad de la informacin incluyendo el ISO 17799La versin actual de estndar tiene dos partes:

BS7799-1:1999 Information Security Management. Code of Practice for InformationSecurity Management. Es la gua de buenas prcticas, para la que no se establece unmodelo de certificacin.

BS7799-2:1999 Information Security Management. Specification for Information SecurityManagement Systems. Establece los requisitos de un sistema de seguridad de lainformacin (SGSI) para ser certificable por una entidad independiente.

Estandares ISO 17799El estndar de seguridad de la informacin ISO 17799, es descendiente del BS 7799 InformationSecurity Management Standard de la BSI (British Standard Institute) que public su primeraversin en Inglaterra en 1995, con actualizaciones realizadas en 1998 y 1999, consiste de dospartes:

Parte 1. Cdigo de prcticas. Parte 2. Especificaciones del sistema de administracin de seguridad de la informacin.

Por la necesidad generalizada de contar con un estndar de carcter internacional que permitierareconocer o validar el marco de referencia de seguridad aplicado por las organizaciones, seelabor el estndar ISO17799:2000, basado principalmente en la primera parte del BS 7799conocida como Cdigo de Prcticas (BS 7799 Part 1: Code of Practice).

El ISO 17799, al definirse como una gua en la implementacin del sistema de administracin de laseguridad de la informacin, se orienta a preservar los siguientes principios de la seguridadinformtica:

Confidencialidad. Asegurar que nicamente personal autorizado tenga acceso a lainformacin.

Integridad. Garantizar que la informacin no ser alterada, eliminada o destruida porentidades no autorizadas.



Disponibilidad. Asegurar que los usuarios autorizados tendrn acceso a la informacincuando la requieran.

Estos principios en la proteccin de los activos de informacin constituyen las normas bsicasdeseables en cualquier organizacin, sean instituciones de gobierno, educativas e investigacin;no obstante, dependiendo de la naturaleza y metas de las organizaciones, stas mostrarnespecial nfasis en algn dominio o rea del estndar ISO 17799.

Los controles del ISO 17799El xito de la implementacin del estndar de seguridad ISO 17799 requiere de una serie deprocedimientos donde, inicialmente, el anlisis de riesgos identificar los activos de la informaciny las amenazas a las cuales se encuentra expuesta.El anlisis de riesgos guiar en la correcta seleccin de los controles que apliquen a laorganizacin; este proceso se conoce en la jerga del estndar como Statement of Applicability, quees la definicin de los controles que aplican a la organizacin con objeto de proporcionar nivelesprcticos de seguridad de la informacin y medir el cumplimiento de los mismos.A continuacin, se describirn cada una de las diez reas de seguridad con el objeto de esclarecerlos objetivos de estos controles.1. Polticas de seguridad. El estndar define como obligatorias las polticas de seguridaddocumentadas y procedimientos internos de la organizacin que permitan su actualizacin yrevisin por parte de un Comit de Seguridad.

2. Seguridad organizacional. Establece el marco formal de seguridad que debe integrar unaorganizacin, tales como un foro de administracin de la seguridad de la informacin, un contactooficial de seguridad (Information System Security Officer ISSO), revisiones externas a lainfraestructura de seguridad y controles a los servicios de outsourcing, entre otros aspectos.

3. Clasificacin y control de activos. El anlisis de riesgos generar el inventario de activos quedeber ser administrado y controlado con base en ciertos criterios de clasificacin y etiquetado deinformacin, es decir, los activos sern etiquetados de acuerdo con su nivel de confidencialidad.

4. Seguridad del personal. Proporcionar controles a las acciones del personal que opera con losactivos de informacin.El objetivo de esta rea del estndar es contar con los elementos necesarios para mitigar el riesgoinherente a la interaccin humana, es decir, establecer claras responsabilidades por parte delpersonal en materia de seguridad de la informacin.

5. Seguridad fsica y de entorno. Identificar los permetros de seguridad, de forma que sepuedan establecer controles en el manejo de equipos, transferencia de informacin y control de losaccesos a las distintas reas con base en el tipo de seguridad establecida.

6. Comunicaciones y administracin de operaciones. Integrar los procedimientos de operacinde la infraestructura tecnolgica y de controles de seguridad documentados, que van desde elcontrol de cambios en la configuracin de los equipos, manejo de incidentes, administracin deaceptacin de sistemas, hasta el control de cdigo malicioso.

7. Control de acceso. Habilitar los mecanismos que permitan monitorear el acceso a los activosde informacin, que incluyen los procedimientos de administracin de usuarios, definicin deresponsabilidades o perfiles de seguridad y el control de acceso a las aplicaciones.



8. Desarrollo de sistemas y mantenimiento. La organizacin debe disponer de procedimientosque garanticen la calidad y seguridad de los sistemas desarrollados para tareas especficas de laorganizacin.

9. Continuidad de las operaciones de la organizacin. El sistema de administracin de laseguridad debe integrar los procedimientos de recuperacin en caso de contingencias, los cualesdebern ser revisados de manera constante y puestos a prueba con la finalidad de determinar laslimitaciones de los mismos.

10. Requerimientos legales. La organizacin establecer los requerimientos de seguridad quedeben cumplir todos sus proveedores, socios y usuarios; stos se encontrarn formalizados en loscontratos o convenios.Cada una de las reas establece una serie de controles que sern seleccionados dependiendo delos resultados obtenidos en el anlisis de riesgos, adems, existen controles obligatorios para todaorganizacin, como es el de las polticas de seguridad cuyo nmero depender ms de laorganizacin que del estndar, el cual no establece este nivel de detalle.

Estandares ISO 27000ISO/IEC 27000 es un conjunto de estndares desarrollados -o en fase de desarrollo- por ISO(International Organization for Standardization) e IEC (International Electrotechnical Commission),que proporcionan un marco de gestin de la seguridad de la informacin utilizable por cualquiertipo de organizacin, pblica o privada, grande o pequea.El ISO-27000 se basa en la segunda parte del estndar britnico BS7799 (BS7799:2). Estcompuesta a grandes rasgos por:

ISMS(Information Security Management System). Valoracin de Riesgo. Controles.

A semejanza de otras normas ISO, la 27000 es realmente una serie de estndares. ISO 27000: En fase de desarrollo. Contendr trminos y definiciones que se emplean en

toda la serie 27000. La aplicacin de cualquier estndar necesita de un vocabularioclaramente definido, que evite distintas interpretaciones de conceptos tcnicos y de gestin.Esta norma ser gratuita, a diferencia de las dems de la serie, que tendrn un coste.

ISO 27001: Es la norma principal de requisitos del sistema de gestin de seguridad de lainformacin. Tiene su origen en la BS 7799-2:2002 y es la norma con arreglo a la cual secertifican por auditores externos los SGSI de las organizaciones. Fue publicada el 15 deOctubre de 2005 y sustituye a la BS 7799-2, habindose establecido unas condiciones detransicin para aquellas empresas certificadas en esta ltima.

En su Anexo A, enumera en forma de resumen los objetivos de control y controles que desarrollala ISO 27002:2005 (nueva numeracin de ISO 17799:2005 desde el 1 de Julio de 2007), para quesean seleccionados por las organizaciones en el desarrollo de sus SGSI; a pesar de no serobligatoria la implementacin de todos los controles enumerados en dicho anexo, la organizacindeber argumentar slidamente la no aplicabilidad de los controles no implementados.

ISO 27002: Cambio de nomenclatura de ISO 17799:2005 realizada el 1 de Julio de 2007.Es una gua de buenas prcticas que describe los objetivos de control y controlesrecomendables en cuanto a seguridad de la informacin. No es certificable. Contiene 39objetivos de control y 133 controles, agrupados en 11 dominios.



ISO 27003: En fase de desarrollo; probable publicacin a finales de 2008. Contendr unagua de implementacin de SGSI e informacin acerca del uso del modelo PDCA y de losrequerimientos de sus diferentes fases. Tiene su origen en el anexo B de la norma BS7799-2 y en la serie de documentos publicados por BSI a lo largo de los aos conrecomendaciones y guas de implantacin.

ISO 27004: En fase de desarrollo; probable publicacin a lo largo de 2008. Especificar lasmtricas y las tcnicas de medida aplicables para determinar la eficacia de un SGSI y delos controles relacionados. Estas mtricas se usan fundamentalmente para la medicin delos componentes de la fase Do (Implementar y Utilizar) del ciclo PDCA.

ISO 27005: En fase de desarrollo; probable publicacin a finales de 2007 principios de2008. Consistir en una gua para la gestin del riesgo de la seguridad de la informacin yservir, por tanto, de apoyo a la ISO27001 y a la implantacin de un SGSI. Se basar en laBS7799-3 (publicada en Marzo de 2006) e ISO 13335-3.

ISO 27006: Publicada en Febrero de 2007. Especifica los requisitos para la acreditacin deentidades de auditora y certificacin de sistemas de gestin de seguridad de lainformacin.

ESQUEMAS DE SEGURIDAD INFORMTICAPolticas de SeguridadLas polticas de seguridad informtica (PSI) surgen como una herramienta organizacional paraconcientizar a cada uno de los miembros de una organizacin sobre la importancia y sensibilidadde la informacin y servicios crticos que permiten a la compaa desarrollarse y mantenerse en susector de negocios.De acuerdo con lo anterior, el proponer o identificar una poltica de seguridad requiere un altocompromiso con la organizacin, agudeza tcnica para establecer fallas y debilidades, yconstancia para renovar y actualizar dicha poltica en funcin del dinmico ambiente que rodea lasorganizaciones modernas.La poltica de seguridad es un conjunto de leyes, reglas y prcticas que regulan la manera dedirigir, proteger y distribuir recursos en una organizacin para llevar a cabo los objetivos deseguridad informtica dentro de la misma.Las polticas de seguridad definen lo que est permitido y lo que est prohibido, permiten definirlos procedimientos y herramientas necesarias, expresan el consenso de los dueos y permitenadoptar una buena actitud dentro de la organizacin.

La OCDE considera que los elementos de las polticas son:1) Concienciacin: Los participantes debern ser conscientes de la necesidad de contar consistemas y redes de informacin seguros, y tener conocimiento de los medios para ampliar laseguridad.

El conocimiento de los riesgos y de los mecanismos disponibles de salvaguardia, es el primer pasoen la defensa de la seguridad de los sistemas y redes de informacin. Estos sistemas y redes deinformacin pueden verse afectados tanto por riesgos internos como externos. Los participantesdeben comprender que los fallos en la seguridad pueden daar significativamente los sistemas yredes que estn bajo su control. Deben asimismo ser conscientes del dao potencial que estopuede provocar a otros derivados de la interconexin y la interdependencia. Los participantesdeben tener conocimiento de las configuraciones y actualizaciones disponibles para sus sistemas,as como su lugar que ocupan dentro de las redes, las prcticas a ejecutar para ampliar laseguridad, y las necesidades del resto de los participantes.



2) ResponsabilidadTodos los participantes son responsables de la seguridad de los sistemas y redes de informacin.Los participantes dependen de los sistemas y redes de informacin local y global, y debencomprender su responsabilidad en la salvaguarda de la seguridad de los sistemas y redes deinformacin. Asimismo deben responder ante esta responsabilidad de una manera apropiada a supapel individual. Los participantes deben igualmente revisar sus propias polticas, prcticas,medidas y procedimientos de manera regular, y evaluar si stos son apropiados en relacin con supropio entorno. Aquellos que desarrollan y disean o suministran productos o servicios debernelevar la seguridad de los sistemas y redes, y distribuir a los usuarios de manera apropiadainformacin adecuada en materia de seguridad, incluyendo actualizaciones, para que stosentiendan mejor la funcionalidad de la seguridad de sus productos y servicios, as como laresponsabilidad que les corresponde en materia de seguridad.

3) RespuestaLos participantes deben actuar de manera adecuada y conjunta para prevenir, detectar yresponder a incidentes que afecten la seguridad.Al reconocer la interconexin de los sistemas y de las redes de informacin, as como el riesgopotencial de un dao que se extienda con rapidez y tenga un alcance amplio, los participantesdeben actuar de manera adecuada y conjunta para enfrentarse a los incidentes que afecten laseguridad. Asimismo han de compartir informacin sobre los riesgos y vulnerabilidades y ejecutarprocedimientos para una cooperacin rpida y efectiva que permita prevenir, detectar y respondera incidentes que afecten a la seguridad. Cuando sea posible, estas actuaciones habrn de suponerun intercambio de informacin y una cooperacin transfronteriza.

4) ticaLos participantes deben respetar los intereses legtimos de terceros.Debido a la permeabilidad de los sistemas y de las redes de informacin en nuestras sociedades,los participantes necesitan reconocer que sus acciones o la falta de stas, pueden comportardaos a terceros. Es crucial mantener una conducta tica, debiendo los participantes haceresfuerzos por desarrollar y adoptar buenas prcticas y promover conductas que reconozcan lanecesidad de salvaguardar la seguridad y respetar los intereses legtimos de terceros.

5) Democracia.La seguridad de los sistemas y redes de informacin debe ser compatible con los valoresesenciales de una sociedad democrtica.La seguridad debe lograrse de manera consistente con garanta de los valores reconocidos por lassociedades democrticas, incluyendo la libertad de intercambio de pensamiento e ideas, as comoel libre flujo de informacin, la confidencialidad de la informacin y la comunicacin y la proteccinapropiada de informacin personal, apertura y transparencia.

6) Evaluacin del riesgoLos participantes deben llevar a cabo evaluaciones de riesgo.La evaluacin del riesgo identificar las amenazas y vulnerabilidades, y debe ser losuficientemente amplia para incluir factores internos y externos fundamentales como tecnologa,factores fsicos y humanos, y polticas y servicios de terceros que tengan repercusiones en laseguridad. La evaluacin del riesgo permitir determinar los niveles aceptables de seguridad yayudar en la seleccin de controles apropiados para administrar el riesgo de daos potenciales alos sistemas y redes de informacin, en relacin a la naturaleza e importancia de la informacinque debe ser protegida. Debido a la creciente interconexin de los sistemas de informacin, la



evaluacin del riesgo debe incluir asimismo consideraciones acerca del dao potencial que sepuede causarse a terceros o que pueden tener su origen en terceras personas.

7) Diseo y realizacin de la seguridad.Los participantes deben incorporar la seguridad como un elemento esencial de los sistemas yredes de informacin.Los sistemas, las redes y las polticas debern ser diseados, ejecutados y coordinados demanera apropiada para optimizar la seguridad. Un enfoque mayor pero no exclusivo de esteesfuerzo ha de encontrarse en el diseo y adopcin de mecanismos y soluciones quesalvaguarden o limiten el dao potencial de amenazas o vulnerabilidades identificadas. Tanto lassalvaguardas tcnicas como las no tcnicas as como las soluciones a adoptar se hacenimprescindibles, debiendo ser proporcionales al valor de la informacin de los sistemas y redes deinformacin. La seguridad ha de ser un elemento fundamental de todos los productos, servicios,sistemas y redes; y una parte integral del diseo y arquitectura de los sistemas. Para los usuariosfinales el diseo e implementacin de la seguridad radica fundamentalmente en la seleccin yconfiguracin de los productos y servicios de sus sistemas.

8) Gestin de la Seguridad.Los participantes deben adoptar una visin integral de la administracin de la seguridad.La gestin de la seguridad debe estar basada en la evaluacin del riesgo y ser dinmica, debiendocomprender todos los niveles de las actividades de los participantes y todos los aspectos de susoperaciones. Asimismo ha de incluir posibles respuestas anticipadas a riesgos emergentes yconsiderar la prevencin, deteccin y respuesta a incidentes que afecten a la seguridad,recuperacin de sistemas, mantenimiento permanente, revisin y auditora. Las polticas deseguridad de los sistemas y redes de informacin, as como las prcticas, medidas yprocedimientos deben estar coordinadas e integradas para crear un sistema coherente deseguridad. Las exigencias en materia de gestin de seguridad dependern de los niveles departicipacin, del papel que desempean los participantes, del riesgo de que se trate y de losrequerimientos del sistema.

9) ReevaluacinLos participantes deben revisar y reevaluar la seguridad de sus sistemas y redes de informacin, yrealizar las modificaciones pertinentes sobre sus polticas, prcticas, medidas y procedimientos deseguridad.De manera constante se descubren nuevas amenazas y vulnerabilidades. Los participantesdebern, en este sentido, revisar y evaluar, y modificar todos los aspectos de la seguridad demanera continuada, a fin de poder enfrentarse a riesgos siempre en evolucin permanente.

Postura: De acuerdo a (Daltabuit Gods & Vzquez Gmez, 2007), la confianza es el principiobsico que rige el desarrollo de polticas. Lo primero es determinar quin tiene privilegios, y hayque usar el principio del mnimo privilegio posible.Hay que tener cuidado en que tanto se confa en el personal. Se otorgan privilegios a medida quese necesitan y se requieren controles tcnicos para asegurar que no se den violaciones.Adoptar el modelo Todo lo que no est especficamente prohibido est permitido obien Todo est prohibido excepto lo que est especficamente permitido.

Beneficios: Las polticas de seguridad informtica muchas veces ayudan a tomar decisionessobre otros tipos de poltica (propiedad intelectual, destruccin de la informacin, etc.). Tambin



son tiles al tomas decisiones sobre adquisiciones porque algunos equipos o programas no sernaceptables en trminos de las polticas mientras que otras la sustentaran.Las polticas de seguridad informtica deben considerarse como un documento de largo plazo, queevolucionan. No contienen asuntos especficos de implementacin, pero si asuntos especficos delequipo de cmputo y telecomunicaciones de la organizacin. Probablemente sern la gua para eldiseo de cambios a esos sistemas.

El desarrollo e implantacin de polticas de seguridad informtica es una indicacin de que unaorganizacin est bien administrada y los auditores lo toman en cuenta en sus evaluaciones.Condicen a una profesionalizacin de la organizacin.

Proceso del Diseo de PolticasDe acuerdo a (Daltabuit Gods & Vzquez Gmez, 2007), hay que especificar el alcance de laspolticas y los objetos de las mismas, consistentemente con la misin de seguridad previamenteestablecida.Las polticas promulgadas deben escribirse en prrafos que sean, cada uno por separado,implementarles mediante un mecanismo especfico. Es decir, hay que procurar pensar claramenteen la conveniencia de que las polticas sean sumamente especficas, si esto se puede lograr, esdeseable fragmentar las polticas por departamento o unidad de trabajo. Pueden entoncespensarse en una jerarqua de polticas, unas con aplicabilidad general, y otras para aplicabilidadpara grupos o tareas especficas.

Las polticas que no cuenten con la aceptacin entusiasta de los usuarios de todos los nivelessern muy difciles de implantar. Todos aquellos que seran afectados por las polticas deben tenerla oportunidad de revisarlas y hacer comentarios antes de que se promulguen, deben contar con elapoyo total de los administradores.En esta etapa deben considerarse los mecanismos de difusin, capacitacin y concientizacininiciales y permanentes sobre seguridad informtica.La cultura de la organizacin y sus necesidades de seguridad son un factor determinante para elequipo de redaccin de las polticas. El nivel del control que se establezca no debe resultar en unareduccin de la productividad, pues en muchos casos los ingresos y la carrera de la persona estadesignadas por su productividad. Si son demasiadas restrictivas en comparacin de la culturaorganizacional se violarn las polticas.Las razones que llevan la implantacin de una poltica deben de explicarse dentro de la polticamisma. Tambin debe definirse la cultura de cada poltica: quin, qu y cundo.

Algunas polticas necesariasDe acuerdo a (Daltabuit Gods & Vzquez Gmez, 2007), hay que considerar las siguientespolticas necesarias:

Polticas de uso aceptableDetermina que se puede hacer con los recursos de cmputo (equipo y datos) de laorganizacin. Tambin determinan lo que no se puede hacer con esos recursos. Indica lresponsabilidad de los usuarios en la proteccin de la informacin que manejan y en qucondiciones puede afectar o leer datos que no les pertenezca.

Polticas de cuentas de usuarioDetermina el procedimiento que hay que seguir para adquirir privilegios de usuarios en unoo ms sistemas de informacin y la vigencia de estos derechos.Adems quien tiene la autoridad de asignar estos privilegios y quienes no podran recibiresos privilegios por causas legales. Debe exhibir explcitamente los deberes y derechos de



los usuarios. Se explicara cmo y cundo se deshabilitaran las cuentas de usuarios y quese har con la informacin que contenga. Debe especificar claramente los detalles de losprocedimientos de identificacin y autenticacin.

Polticas de acceso remotoSe definen y explican los mtodos aceptables para conectarse a los sistemas deinformacin de la organizacin desde el exterior de la misma. Son particularmente paraorganizaciones geogrficamente extendidas o aquellas cuyos miembros pasa la mayorparte del tiempo viajando. Adems de establecer quien tiene derecho a este tipo deconexin tambin establecen quienes pueden emplear mdems para conectarse al exteriorde la organizacin, sobre todo mdems de alta velocidad.

Polticas de la proteccin de la informacinEl objetivo es evitar que la informacin sea modificada o difundida durante su proceso,almacenamiento o transmisin. Especfica como deben establecerse jerarquas deconfidencialidad e integridad, y como se implementan su proteccin. Debe ponerse especialatencin a la divulgacin y la destruccin de la informacin.

Polticas de configuracin del cortafuegoEstablece quien determina el establecimiento y los cambios de la configuracin. Tambinquin debe tener acceso a ser usuario del cortafuego y quin puede obtener informacinacerca de la configuracin del mismo. Debe establecer los de administracin de laconfiguracin, para que responda a las necesidades de la organizacin.

Polticas de cuentas privilegiadasEstablece los requisitos que debe satisfacer quienes usen cuentas privilegiadas (root, bkup,admin) en cuanto a su biografa y trayectoria dentro de la organizacin. Contienenprocedimientos de la auditoria del uso de este tipo de cuentas, particularmente sobre losprocedimientos de identificacin y autenticacin, y su uso. Determina en qu condicionesse debe cancelar el acceso privilegiado.

Polticas de conexin a la redDefine los requisitos que deben cumplirse para que se conecten nuevos dispositivos a lared de la organizacin. Son particularmente importantes para organizaciones que tienenuna diversidad de equipos de soporte tcnico, y para aquellos que no estn protegidos conun cortafuegos. Deben especificar quien puede instalar nuevos recursos en la red, cul esla autorizacin requerida y como se documentan los cabios. Deben aclarar cmo semanejan los dispositivos inseguros.

Restricciones a las polticasLa principal fuente de restricciones es la prdida de productividad. Es inevitable que laimplementacin poltica de seguridad informtica distraiga recursos humanos e informticos que sepodan emplear para otros fines.Otra fuente de restricciones son la legislacin y los derechos de los empleados y de los clientes.Cada pas tiene su propia cultura, as como cada organizacin tiene la propia. Las polticas debenajustarse al entorno cultural en el que estn inmersas y ciertamente no pueden violar la legislacinvigente localmente.

ProcedimientosUna vez que se han determinado las polticas de seguridad que especifican lo que hay queproteger, es necesario realizar los procedimientos de seguridad que indican cmo hay que llevar acabo la proteccin. Estos procedimientos tambin constituyen los mecanismos para hacer laspolticas. Adems resultan tiles, pues indican detalladamente que hay que hacer cuando



sucedan incidentes especficos, son referencias rpidas en casos de emergencia y ayudan aeliminar los puntos de falla crticos.A continuacin se menciona algunos procedimientos que son necesarios, de acuerdo a (DaltabuitGods & Vzquez Gmez, 2007):

Auditora de la seguridad de los sistemasDado que los datos que se almacenan sobre el uso de los sistemas son la principalherramienta para detectar violaciones a las polticas, es necesario especificardetalladamente lo que se desea almacenar. Como se resguardan estas bitcoras y quientiene acceso a ellas.

Administracin de cuentasAbarca desde cmo se tiene que solicitar una cuenta en su sistema de informacin, o envarios sistemas hasta qu tienen que hacer el departamento de personal antes de despedira un empleado. Tambin lo que debe hacerse para cambiar los privilegios de una cuenta ocancelarla. Especifican como se documentan el manejo de las cuentas y como se vigila elcumplimiento de las polticas correspondientes.

Administracin de autenticadoresHay cuatro tipos de autenticadores: mediante conocimientos, caractersticas fsicas, objetosy ubicacin geogrfica. Los sistemas de control de acceso, en general deben emplear porlos menos dos autenticadores de tipos de distintos para cada usuario. Estos procedimientosindican cmo deben obtenerse los autenticadores, como deben resguardarse, la vigenciade los mismos y las caractersticas que deben tener. Por ejemplo el procedimiento de usode contraseas indicar su longitud, su posicin, el algoritmo de cifrado que se debeemplear para archivarlas y resguardarlas. En el caso de autenticadores biomtricos seespecifican la caracterstica seleccionada, los algoritmos que permiten uso, cmo se puedeevitar que se construya la caracterstica y como se debe archivar y resguarda los datoscorrespondientes.

Administracin de la configuracin de los sistemasDefine como se instala y prueba un equipo nuevo o un programa nuevo, cmo sedocumentan los cambios de los equipos y la configuracin, a quien se debe informarcuando hagan cambios y quin tiene la autoridad para hacer cambios de equipo,programas y configuracin.

Respaldos y acervos de datos y programasDefine qu sistema de archivos hay que respaldar, cuando hay que hacer los respaldos,cmo se administran los medios que se utilizan para los respaldos, donde se guardan losrespaldos fuera de sitio, como se etiquetan los medios y como documentan los respaldos.

Manejo de incidentesDefine cmo se manejan las instrucciones, delimita la responsabilidad de cada miembro delequipo de respuesta, indica que informacin hay que anotar e investigar, a quin hay quenotificar y cundo, determinar quin, cundo y cmo se har el anlisis posterior delincidente.

Escalamiento del problemaEs una coleccin de recetas para el personal de soporte de primera lnea. Define a quinhay que llamar y cundo, indica que pasos iniciales hay dar y que informacin inicial hayque anotar.

Planes de respuesta a desastresUn desastre es un evento de gran escala que afecta a grandes secciones de laorganizacin. El plan debe delinear qu acciones hay que tomar para que los recursoscrticos sigan funcionando y minimice el impacto del desastre. Debe indicar que hay quetener fuera del sitio y fcilmente disponible para emplearlo despus de un desastre. Hay



que estratificar el plan para responder a distintos niveles de daos. Definir si se requierensitios alternos calientes o fros. Se debe establecer cada cuando se harn simulacrospara probar el plan

Modelos de SeguridadUn modelo de seguridad es la presentacin formal de una poltica de seguridad. El modelo debeidentificar el conjunto de reglas y prcticas que regulan cmo un sistema maneja, protege ydistribuye informacin delicada (Lpez Barrientos & Quezada Reyes, 2006).De acuerdo a (Lpez Barrientos & Quezada Reyes, 2006), los modelos se clasifican en:

1. Modelo abstracto: se ocupa de las entidades abstractas como sujetos y objetos. El modeloBell LaPadula es un ejemplo de este tipo.

2. Modelo concreto: traduce las entidades abstractas en entidades de un sistema real comoprocesos y archivos.

Adems, los modelos sirven a tres propsitos en la seguridad informtica:1. Proveer un sistema que ayude a comprender los diferentes conceptos. Los modelos

diseados para este propsito usan diagramas, analogas, cartas. Un ejemplo es la matrizde acceso.

2. Proveer una representacin de una poltica general de seguridad formal clara. Un ejemploes el modelo Bell-LaPadula.

3. Expresar la poltica exigida por un sistema de cmputo especfico.

Problemas al implantar las polticas de seguridadMuchas veces las organizaciones realizan grandes esfuerzos para definir sus directrices deseguridad y concretarlas en documentos que orienten las acciones de las mismas, con relativoxito. Pero resulta una labor ardua el convencer a los altos ejecutivos de la necesidad de buenaspolticas y prcticas de seguridad informtica.

Muchos de los inconvenientes se inician por los tecnicismos informticos y la falta de unaestrategia de mercadeo de los especialistas en seguridad, que llevan a los altos directivos apensamientos como: ms dinero para los juguetes de los ingenieros. Esta situacin ha llevado aque muchas empresas con activos muy importantes, se encuentren expuestas a graves problemasde seguridad, que en muchos de los casos lleva a comprometer su informacin sensitiva y porende su imagen corporativa.

Ante esta encrucijada, los encargados de la seguridad deben asegurarse de que las personasrelevantes entienden los asuntos importantes de la seguridad, conocen sus alcances y estn deacuerdo con las decisiones tomadas en relacin con esos asuntos. En particular, la gente debesaber las consecuencias de sus decisiones, incluyendo lo mejor y lo peor que podra ocurrir.

Luego, para que las polticas de seguridad logren abrirse espacio al interior de una organizacindeben integrarse a las estrategias del negocio, a su misin y visin, con el propsito de que losque toman las decisiones reconozcan su importancia e incidencias en las proyecciones y utilidadesde la compaa. De igual forma, las polticas de seguridad deben ir acompaadas de una visin denegocio que promueva actividades que involucren a las personas en su diario hacer, donde seidentifiquen las necesidades y acciones que materializan las polticas.

En este contexto, el entender la organizacin, sus elementos culturales, es decir, la forma en queacta la gente cuando nadie le dice qu hacer, estableciendo la manera en que los miembros de la



empresa deben conducirse, y los comportamientos, los cuales depender de su motivacin,caractersticas personales y del ambiente que lo rodea, nos deben llevar a reconocer claramentelas normas de seguridad que tendrn que privar en ese sitio de seguridad necesarias y suficientesque aseguren confiabilidad en las operaciones y funcionalidad de la compaa.

Procedimientos y Planes de ContingenciaEn el mundo de hoy, las organizaciones dependen del procesamiento de datos para el flujo deinformacin esencial, ya que si se quedara sin procesamiento de datos durante dos das, o duranteuna o dos semanas, las operaciones comerciales podran limitarse de tal manera que afectaran losactivos corporativos, los movimientos comerciales, el servicio a clientes, el flujo de dinero, lasoportunidades de inversin y el margen de competencia, toda la organizacin sera vulnerable encaso de que las operaciones de cmputo no funcionen.

Las amenazas son reales y un desastre puede resultar de diferentes fuentes. Pueden ocurrirdesastres naturales, fallas prolongadas de energa elctrica, incendios, sabotaje y hasta explosinde bombas. Asimismo, es importante comprender que un desastre puede ocurrir de la mismamanera que producirse, por ello se debe estar preparado.Por lo que en esta seccin se revisarn los siguientes puntos:

Definicin Utilidad del Plan de contingencia Elementos Quin debe escribir el Plan de Contingencia? Metodologas de desarrollo de Planes de Contingencia

DefinicinUn plan de contingencia o plan de recuperacin en caso de desastre es una gua para larestauracin rpida y organizada de las operaciones de cmputo despus de una suspensin.Especfica quin hace qu y cmo. Los objetivos de dicho plan son los de restablecer, lo mspronto posible, el procesamiento de aplicaciones crticas (aquellas necesarias para larecuperacin) para posteriormente restaurar totalmente el procesamiento normal. Un plan decontingencias no duplica un entorno comercial normal (en forma inmediata), pero s minimiza laprdida potencial de activos y mantiene a la empresa operando, al tomar acciones decisivasbasadas en la planeacin anticipada.Dicho de otra manera, un plan de contingencias es un programa de recuperacin de laorganizacin, cabe aclarar que el plan de contingencias no slo es un problema del rea desistemas, sino de toda la organizacin.Un plan de contingencia es un plan escrito en el que se detallan acciones, procedimientos yrecursos que deben usarse durante un desastre que cause destruccin parcial o total de losservicios de computacin. En este plan se define qu tareas son crticas, quin es el responsablede todos los aspectos del proceso de recuperacin, y cmo va a funcionar la organizacin mientraslos sistemas estn siendo reparados o transportados a un nuevo local.

Utilidad del Plan de contingencianUn plan de contingencia o tambin llamado plan de recuperacin de desastres, permite controlar lasituacin y realizar las actividades necesarias sin afectar a la informacin y para ello se debe detomar en cuenta lo siguiente:

Disminuir los efectos de esos desafortunados desastres y permitir una respuesta rpida,una transferencia del procesamiento crtico a otras instalaciones, y una eventualrecuperacin.



Proporcionar a los directivos de una empresa una excelente oportunidad para aliviar ominimizar problemas potenciales que, en un momento dado, podran interrumpir elprocesamiento de datos.

Debern tener sentido, ser legibles e indicar todos los aspectos de la funcin de lacuestin.

El nivel de detalle para el plan de contingencia, para respaldar la informacin y para losprocedimientos de recuperacin, depender de la importancia de la aplicacin y del tipo deinformacin.

Se desarrollar un plan de contingencia propio para cada empresa y as cubrir susnecesidades especficas.

ElementosEl plan de contingencia, es un plan de emergencia y recuperacin porque incorpora seguridadfsica al centro de cmputo, es decir, es un plan formal que describe los pasos a seguir en el casode presentarse alguna situacin de emergencia, con la finalidad de reducir el impacto que puedaprovocar el desastre, y posteriormente restablecer las operaciones del procesamiento electrnicode datos en forma tan inmediata como sea posible.Por lo tanto, el diseo e implementacin de un plan de esta naturaleza debe contemplar:

Los riesgos y los porcentajes de factibilidad de stos, a los que est expuesta laorganizacin.

La asignacin de responsabilidades al personal, tanto en las actividades que se realizarndurante la emergencia como en las de preparacin y las de recuperacin.

La identificacin de aplicaciones (sistemas automatizados) de mayor importancia dentro dela produccin de datos, para darles la seguridad necesaria.

La especificacin de alternativas de respaldo. La definicin de procedimientos y polticas a seguir durante el momento de la crisis. La definicin de medidas y el tiempo previsto para la recuperacin. La integracin de prcticas de mantenimiento, entrenamiento en el plan y pruebas del

mismo.Es importante destacar que un plan de contingencia no evita los desastres, sino que provee losmedios para salvaguardar al mximo los recursos del rea de procesamiento electrnico de datosy reducir as las posibles prdidas que resultan de estos desastres.Una de las claves en el desarrollo de un plan de contingencia estriba en la evaluacin de posiblesriesgos (posibilidad de ocurrencia), que envuelven el ambiente informtico. Sin embargo, esposible prever en un 100% todos y cada uno de los riesgos que acosan nuestra operatividad. Esentonces vital en listarlos y agruparlos con la finalidad de anticipar la mayor parte de ellos yposteriormente establecer el impacto que pueden causar en caso de su materializacin.

La concepcin del plan de contingencia debe tener un alcance tal que permita una completarecuperacin de la prdida eventual, segn el tiempo que de antemano se haya considerado paraello. Surge entonces la pregunta qu significa hacer exitoso un plan de contingencia?Consideramos que el xito de este plan estar en funcin del tiempo y del costo necesario pararestablecer la operacin normal de los sistemas de cmputo.

Quin debe escribir el Plan de Contingencia?Una vez que se ha tomado la decisin de hacer un plan de contingencia, el Director de Sistemasjunto con el cuerpo directivo de la empresa determinarn que es lo que ms le interesa a laorganizacin y as tomar la decisin si se contrata a un consultor externo para hacerlo odesarrollarlo en casa. Ambas opciones tienen pros y contras.



De acuerdo a (Rodrguez, 1995), a primera vista, contratar a un consultor externo con muchosaos de experiencia en el desarrollo de este tipo de proyectos puede parecer la mejor opcin.Algunas de las ventajas son:

El desarrollo de un plan de contingencia estn complicado como cualquier sistemaimportante (figura 4.1), debido a que en ambos se debe de seguir una serie de pasosordenadamente para obtener un buen resultado. Por esto requiere de una persona (o unequipo) dedicado exclusivamente al desarrollo de este proyecto.

Los consultores poseen conocimientos especializados que pueden facilitar el desarrolloms rpido de un buen plan. Un consultor con experiencia sabe cmo se hace un plan decontingencias, adems sabe quin es quin dentro de la industria de la seguridad de lainformacin.

Figura 4.1. Comparacin entre el Ciclo de Vida de un Sistema de Informacin y el de un Plande Contingencias.

Los consultores, al ser externos a la empresa, miran con ojo nuevo al proyecto, y sepercatan de requerimientos que podran ser pasados por alto por una persona de laempresa.

Los planes hechos por consultores, tpicamente vienen acompaados de un acuerdo demantenimiento. Por alguna cuota, el consultor regresar con determinada frecuencia aayudar en las pruebas, entrenamiento y actualizacin del plan.Por su parte la mayor desventaja de contratar consultores especializados en el desarrollode planes de contingencias es su precio: es muy caro, por lo que muchas empresas noestaran en condiciones de pagarlo.Por otro lado, si se decide que el plan sea desarrollado en casa, se tienen las siguientesventajas:

El desarrollador del plan de contingencias, al formar parte de la empresa, tendra un accesoms rpido y completo a la informacin que necesite.

El desarrollador del plan, como miembro del rea de sistemas (seguramente as ser) conayuda de todos los miembros del personal de sistemas, tendr ms facilidad para larealizacin del inventario de hardware y software, as como para la etapa de clasificacin



de los sistemas de acuerdo a su importancia y consecuentemente para la definicin de losprocedimientos de respaldo.

Podr conocer todas las medidas de seguridad de la informacin implementadas en laempresa sin ninguna reserva.

Puede utilizar el conocimiento que tiene acerca de sus compaeros de trabajo, para tratarde definir quines son las personas ms adecuadas para la conformacin de los diversosequipos de contingencia.Por lo que respecta a las desventajas de que el plan sea desarrollado por un empleado dela empresa, podemos mencionar las siguientes:

La persona encargada, en la mayora de los casos no contar con la experiencia necesariaen el desarrollo de este tipo de proyectos.

Nuevamente en la mayora de los casos, a la persona encargada de desarrollar el plan seasignar esta tarea como una adicional a las que ya vena realizando. Es decir, no contarcon tiempo completo para dedicarlo a este proyecto. Por lo tanto, el tiempo de desarrollodel plan ser excesivamente largo, o bien, ser terminado en el lmite fijado, pero la calidaddel mismo podra no ser completamente satisfactoria.

METODOLOGAS DE DESARROLLO DE PLANES DE CONTINGENCIAA continuacin se describen tres metodologas de desarrollo de Planes de Contingencia paraSistemas de Informacin (Rodrguez, 1995): la de William Toigo, la de Hewlett-Packard y unaUniversal llamada as por sus caractersticas.

a. Metodologa de William Toigob. Metodologa de Hewlett-Packardc. Metodologa Universald. Metodologa para el Desarrollo de Planes de Atencin de Emergencias

Metodologa de William ToigoEsta metodologa consta de ocho etapas. De cada una de ellas se enuncian las principales tareasque la componen.

I. Definicin y Arranque Definir los objetivos del plan Seleccionar la metodologa Obtener la aprobacin de la Direccin Diseo de cuestionarios

II. Anlisis de riesgosa) Recoleccin de datos

Inventario de hardware, software, aplicaciones, bases de datos y telecomunicaciones. Se obtiene el grado crtico de los sistemas, tanto desde el punto de vista de los usuarios

como de los tcnicos. Se determina la tolerancia a una falla o desastre. En trminos prcticos, la tolerancia

puede ser expresada como un valor en pesos: es la prdida de ingresos de la empresa,debida a una suspensin del procesamiento de cierta duracin.

Identificacin de amenazas al procesamiento normal. Estas amenazas pueden serhumanas, de error de hardware, de error de red, de tipo lgico y de desastres, ya vistas enel captulo anterior.



b) Anlisis de datos Habiendo clasificado el grado crtico de los sistemas, asignado costos a suspensin de

funcionamiento del sistema, e identificado amenazas a los sistemas y a la informacin,resta analizar todos estos datos y formular un conjunto de objetivos especficos para guiarel desarrollo de la capacidad de recuperacin. El objetivo es eliminar los riesgos quepuedan ser eliminados y minimizar los efectos de los riesgos que no puedan eliminar.

III. Proteccin de la instalacinEn esta seccin se discuten varias estrategias comunes de prevencin de desastres y deproteccin que se pueden poner en prctica para proveer la capacidad de evitar desastres:

Deteccin de agua Proteccin contra fuego Eliminacin de contaminantes Falla de suministro de elctrico Control de acceso fsico

El diseador del plan de contingencia debe conocer estos temas y su aplicacin en la empresa, yaque sin factores que comnmente organizan desastres.

IV. Almacenamiento fuera del SiteEl almacenamiento fuera del site incluye el anlisis y clasificacin de los datos, la revisin de losprocedimientos de respaldo existentes (si los hay), la evaluacin y seleccin de un proveedor deespacio de almacenamiento, y la formalizacin de agendas para el mantenimiento actualizado dedatos del sitio externo.Se requiere que la informacin correcta (que se usar para reducir el tiempo de suspensin delfuncionamiento de los sistemas y sus efectos negativos) sea identificada, para conseguir esto deberealizarse las siguientes acciones:

a. Deben identificarse los sistemas crticos y vitales (este autor clasifica los registros deinformacin como crticos, vitales, sensibles y no crticos, en orden descendente deimportancia).

b. Las entradas y salidas de esos sistemas deben ser definidas.c. Tambin deben almacenarse respaldos de los programas, sistemas y software de la base

de datos en produccin.d. Identificar la documentacin requerida para restaurar los sistemas e informacin; esto

incluye inventarios, manuales tcnicos y de usuario, formas impresas, copias del plan decontingencia, etc.

V. Estrategia de respaldo de SistemasEn esta etapa nuevamente se hace uso de los resultados del anlisis de riesgos. Hay que saber:

a. Qu aplicaciones son crticas o vitales?b. Cul es la configuracin mnima de hardware para correr los sistemas?c. Cuntos usuarios tienen los sistemas?d. Cules son los requerimientos de la empresa?

Existen muchas estrategias de respaldo de los sistemas de cmputo; debe analizarse cada casopara determinar cul es la ms conveniente.

VI. Estrategia de respaldo de redesEl diseador del plan de contingencia debe entender las redes de comunicacin que estnalrededor de los procesadores.



Una actividad preliminar consiste en revisar el anlisis de riesgo para identificar dependencias enredes, el grado crtico de los servicios de red y el nivel mnimo de servicio requerido para lacontinuidad del negocio.Existen varias opciones para recuperar las redes que han tenido fallas:a. Para sistemas de comunicacin interna:

Es importante adquirir software apropiado para diagnstico y reparacin de problemas deredes

En el caso de una falla del conmutador hay dos opciones: (1) instalar suficientes lneasdirectas para las funciones dependientes de las telecomunicaciones y (2) comprar unsegundo conmutador y tenerlo de respaldo.

VII. Toma de decisiones en caso de emergenciaSe refiere a tres proyectos fundamentales para la recuperacin de emergencias:

Evacuacin Recuperacin Reinstalacin de las actividades normales

Debe tomarse en cuenta las siguientes consideraciones:a. Es imposible predecir todos los escenarios y tomar todas las decisiones por adelantado; poreso, resulta intil disear procedimientos muy rgidos.b. Sin embargo, el plan es necesario para coordinar las acciones de recuperacin ya que sin l,sera ms lenta; y el desastre causara daos mayores a la empresa.c. En esta fase debe disearse los equipos que llevarn a cabo el plan de contingencia (estosmismos equipos pueden tener diferentes funciones durante la evacuacin, la recuperacin y lareinstalacin de actividades normales).d. Despus de disearse, debe formarse los equipos. As mismo debe hacerse el directoriotelefnico de estas personas y de todas las que tengan alguna relacin con este plan.e. Puede disearse uno o varios Diagramas de Flujo de Manejo de Emergencias que describan lasecuencia en la cual se realizarn las tareas de recuperacin.

VIII. Mantenimiento y pruebas del planEl plan de contingencia es un documento vivo y cambiante, por lo que requiere demantenimiento.Antes de probar el plan, se debe dar entrenamiento especfico a todos los miembros de losequipos de recuperacin en las tareas que realizarn en caso de desastre. Los lderes de losequipos, en cambio, deben recibir entrenamiento general sobre todo el plan completo.a. Los objetivos principales de las pruebas son:

Asegurar que el plan pueda aplicarse exitosamente recuperando lo que sea posible. Las pruebas sirven como una herramienta de auditora. Las pruebas pueden revelar informacin til acerca del desempeo de los sistemas a un

nivel de emergencia, entre otras cosas. Las pruebas son una forma de entrenar y adems pueden utilizar sus resultados para

corregir el plan o agregarle aspectos no considerados originalmente.b. Para hacer pruebas:

Debe establecerse un escenario Deben definirse los objetivos de la prueba Definirse las reglas Designar participantes y observadores Documentar los resultados



Metodologa Hewlett-PackardEsta metodologa consta de 11 etapas (ver imagen) y de cada una de ellas se enuncian lasprincipales tareas que la componen.

1. Administracin de proyectosa) Obtener un compromiso preliminar de la Gerencia: la Direccin de la empresa debecomprometerse a desarrollar el plan de contingencia en caso de desastre, de tal manera que losrecursos necesarios puedan ser asignados al proyecto.b) Organizar el equipo de desarrollo del plan de contingencia: identificar a los individuos de laadministracin, del procesamiento de datos y usuarios, para que participen en la preparacin delprograma de recuperacin.c) Auditar el estado de la preparacin del plan de contingencia previo(si existe): algunosprocedimientos e informacin necesarios para el plan de recuperacin de desastres posiblementeya se han desarrollado y puesto en prctica. Sabiendo lo que ya existe y lo que falta por hacer,ser posible tomar decisiones ms realistas sobre el tiempo y los recursos que debe asignarse alproyecto.d) Desarrollar un plan administrativo para el proyecto: realizar una estimacin de la duracinde las tareas, asignar recursos y desarrollar un calendario para el proyecto.e) Seleccionar las herramientas de documentacin: decidir qu paquete o paquetes se usarny los procedimientos generales; por ejemplo, quin ser responsable de la documentacin, cundose har (al concluirlo o durante el desarrollo del plan), existen normas de la empresa para lageneracin de este tipo de documentos?, etc.

2. Aplicaciones crticasa) Establecer prioridades de las aplicaciones: analizar todas las aplicaciones para priorizarlas eidentificar cules son crticas. Esta metodologa maneja tres categoras: crtica, importante y todaslas dems. Considera que la prioridad de una aplicacin se basa en tres factores principales: valormonetario (cantidad de ingresos producidos por la aplicacin), limitaciones y prioridades (las



aplicaciones pueden ser necesarias por las limitaciones, p. ej. Leyes, regulaciones, contratos; oporque son usadas para reunir las prioridades claves comerciales, p. ej. Servicio a clientes),urgencia de tiempo (la necesidad de ejecutar una aplicacin en perodos o frecuenciasdeterminadas).b) Especificar prioridades de procesamiento para la recuperacin de desastres: listas lasaplicaciones en orden de restauracin durante la recuperacin. Esta lista sirve para distintospropsitos. En primer lugar, es una herramienta excelente para comunicar las prioridades deprocesamiento que sern seguidas en caso de desastre. En segundo lugar, es utilizada en lasiguiente actividad, en donde se debe determinar los requerimientos de procesamiento para cadatipo de prioridad. Esto, a su vez, se usa para establecer los objetivos de recuperacin y paraseleccionar las instalaciones de respaldo apropiadas. Finalmente, es un paso preliminar en eldesarrollo de un plan de restauracin.c) Determinar los requerimientos del procesamiento: analizar los recursos necesarios paraprocesar las aplicaciones con prioridad alta, de tal manera que se tenga suficiente capacidad derespaldo. Una decisin clave que debe tomarse es definir cuntos niveles de prioridad van a serrespaldados.d) Establecer objetivos de la recuperacin de desastres: especificar el nivel de procesamientoy tiempos de recuperacin que se han de lograr en la restauracin de desastres menores, mayoresy catastrficos.

3. Instalacin de respaldo y procedimientosa) Seleccionar una localidad externa de almacenamiento (caja de seguridad): los datos ydocumentacin de respaldo deben almacenarse fuera de la instalacin para que sobrevivan, auncuando exista una destruccin total del centro de cmputo. En esta etapa se debe identificar una oms localidades externas donde se puedan almacenar seguramente los datos y documentacin derespaldo.b) Determinar el contenido indispensable de la caja de seguridad externa: identificar losarchivos, programas, documentacin, materiales, etc., especficos que deban respaldados ymantenidos en un lugar fuer de la instalacin.c) Especificar procedimientos de almacenamiento y actualizacin: determinar el equipo y lacapacidad de procesamiento necesaria en la instalacin de respaldo.d) Identificar los requerimientos del sistema para las instalaciones de respaldo: determinar elequipo y la capacidad de procesamiento necesaria en la investigacin de respaldo. El propsito deesta tarea es investigar qu recursos de cmputo son necesarios en la instalacin de respaldo:tiempo, sistemas, perifricos, comunicaciones de datos y otros equipos, para procesar lasaplicaciones de determinada prioridad.e) Seleccionar una o ms de estas instalaciones: evaluar las instalaciones potenciales derespaldo y elegir una o ms para hacer los arreglos necesarios. El plan de contingencia en caso dedesastre debe tomar en cuenta un rango de posibilidades desde un desastre menor, tal como unasuspensin de cmputo prolongada, hasta un desastre catastrfico que destruya totalmente elcentro de cmputo.f) Producir una gua de respaldo de la instalacin: una o ms instalaciones de respaldo hansido seleccionadas para ser usadas durante la recuperacin de desastres. Estas instalaciones sediferenciarn entre s y del centro de cmputo primario. La informacin especfica de cada unadebe documentarse en una gua de la instalacin de respaldo.g) Identificar al personal de respaldo: idealmente, el personal del centro de cmputo estardisponible durante un desastre. De cualquier modo, si no est disponible, entonces sus funcionestendrn que ser realizadas por otras personas (el personal de respaldo).



4. Procedimientos y procesamiento alternoa) Identificar las aplicaciones crticas que requieran procedimientos del procesamientoalterno: las aplicaciones crticas son, por definicin, aquellas necesarias para la supervivencia dela compaa; el plan de contingencia, en caso de desastre, proporcionan restauracin para estasaplicaciones.b) Desarrollar los procedimientos de procesamiento alterno: para las aplicaciones crticasseleccionadas, se debe crear el procedimiento de procesamiento alterno, que pueda usarse encaso de que las instalaciones del centro de cmputo no estn disponibles.

5. Procedimientos de recuperacina) Definir equipos de recuperacin y sus funciones: las acciones que deben tomar paraefectuar el restablecimiento de un desastre, son llevadas a cabo por equipos de recuperacin,cada uno con su propia rea de responsabilidad. El propsito de esta tarea es especificar losequipos de recuperacin y las funciones de cada uno.b) Identificar a los miembros de cada equipo: nombrar a las personas que servirn en cadaequipo de recuperacin.c) Especificar sus procedimientos: establecer los pasos de accin que tienen que seguir loslderes y miembros del equipo. Se debe distinguir entre lo que debe realizar el lder y lo quepueden hacer los otros miembros.

6. Procedimientos de deteccin de eventosa) Especificar los procedimientos de emergencia: los procedimientos de emergencia son lasacciones que deben realizarse inmediatamente, en respuesta a un evento daino o a unasituacin amenazadora.b) Establecer los procedimientos de escalacin: el propsito de esta estos procedimientos esdefinir la distribucin de los pasos y del tiempo que

Manual Aplicacion de La Seguridad Jnformatica

Documents

Transcript of Manual Aplicacion de La Seguridad Jnformatica