Introducción a la Seguridad Informática Cualquier medida que impida la ejecución de operaciones no autorizadas sobre un sistema o red informática, cuyos efectos pueden conllevar daños sobre la información, comprometer su confidencialidad, autenticidad o integridad, disminuir el rendimiento de los equipos o bloquear el acceso de usuarios autorizados al sistema.
Seguridad El ISO/IEC 17799, define CIA (Confidentialy, Integrity, Availability) como pilar fundamental de la Seguridad Informática.
Principios de “defensa en profundidad”: cifrado de datos, gestión de usuarios, configuración ribusta de equipos, segmentación de redes (VLANs), Seguridad Perimetral.
Seguridad Informática Existen 4 planes de actuación: técnico, humano, legal y organizativo.
La seguridad es un proceso. Se necesita de un Sistema de Gestión de Seguridad de la Información (SGSI).
La información es un recurso vital en el mundo globalizado de hoy en día.
Seguridad Informática SSE/CMM (Systems Security Engineering/ Capability Maturity Model) define:
Nivel 0: Nada de seguridad
Nivel 1: Prácticas de seguridad realizadas de manera informal
Nivel 2: Planificación y seguimiento de las prácticas de seguridad
Seguridad Informática
Nivel 3: Definición y coordinación de las políticas y procedimientos de seguridad.
Nivel 4: Seguridad controlada a través de distintos controles y objetivos de calidad.
Nivel 5: Implantación de un proceso de mejora continua.
Seguridad Informática Se tiene una jerarquía de seguridad informática:
CIA Políticas Planes Procedimientos Tareas y Operaciones Registros y Evidencias.
Seguridad Informática Ejemplo de seguridad CIA
Política: protección del servidor Web de la organización contra accesos no autorizados.
Procedimiento 1: Actualización del software del servidor Web.
Tarea1: Revisión diaria de los parches publicados por el fabricante.
Seguridad Informática Tarea2: Seguimiento de las noticias sobre posibles fallos de seguridad.
Procedimiento 2: Revisión de los registros de actividad en el servidor.
Tarea1: revisión semanal de los “logs” del servidor para detectar anomalías.
Seguridad Informática Tarea2: Configuraciones de alertas de seguridad que permitan reaccionar de forma urgente ante determinados tipos de ataques e intentos de intrusión.
Inventario de soportes físicos. Destructor de Discos Duros
SGSI Un SGSI se encuentra estandarizado en la norma ISO 27001:2005.
La ISO 17799:2005 define buenas prácticas de SI pero en si no es certificable como tal. Se utilizó hasta antes de definirse el ISO 27001:2005
Está basado en la norma británica BS7799 utilizada en seguridad de SI.
SGSI A continuación se muestran las principales versiones del estándar:
ISO 27000 Vocabulario y Glosario
ISO 27001 Estándar certificable
ISO 27002 Relevo del ISO/IEC 17799:2005
SGSI ISO 27003 Guía de implantación
ISO 27004 Métricas e indicadores
ISO 27005 Gestión de Riesgos
ISO 27006 Requerimientos para las entidades de auditoría y certificación.
SGSI Se basa en la metodología de Dewey (Plan, Do, Check, Act). La cual quedaría definida así:
Plan: Establecer el SGSI
Do: Implantar y Operar el SGSI
Check: Monitorear y Revisar el SGSI
SGSI Act: Mantener y mejorar el SGSI
Otras actividades:
Control de Documentos Capacitación Acción Correctiva Acción preventiva
SGSI Se clasifican cada uno de los activos, se determinan amenazas, vulnerabilidades, riesgos basándose en una escala de 1 (muy bajo) a 5 (muy alto).
Se debe realizar un Plan de Continuidad del Negocio, el cual puede contener:
DRP Disaster Recovery Planning
SGSI BRP Business Resumption Planning
COOP Continuity Operations Planning
CP Contingence Planning
ERP Emergency Response Planning
| Página siguiente |