Desarrollo de Software

Semestre 8

AL 12524075 GUILLERMO DURAN GARCIA

Programa de la asignatura:
Seguridad de la informática

Unidad 3.
Gestión y aplicación de protocolos de seguridad
informática.

Actividades de aprendizaje

Clave:
15144844

Ciudad de México, marzo del 2017

Universidad Abierta y a Distancia de México

Unidad 3. Gestión y aplicación de protocolos de seguridad

Actividad 2. Protegiendo un SI
Es propósito de esta actividad es que apliques algunos mecanismos
de seguridad en los sistemas de información. Para ello, tu Docente en
línea te hará llegar las instrucciones necesarias; una vez que cuentes
con ellas, sigue estos pasos:

1. Describe el sistema de información, así como sus

vulnerabilidades y riesgos.
2. Identifica un mecanismo de seguridad relacionado con el
sistema de información.
3. Explica la implementación del mecanismo de seguridad,
indicando si corresponde a bases de datos, redes o sistemas
operativos.
 Protocolos que utilizarás.
 Algoritmos criptográficos.
 Restricciones de uso compartido.
4. Documenta el mecanismo de seguridad seleccionado.
5. Lee detenidamente los criterios de evaluación para ser
considerados en tu actividad.
6. Después de realizar la actividad, guárdala con la nomenclatura
DSEI_U3_A2_XXYZ. Sustituye las XX por las dos primeras letras
de tu primer nombre, la Y por tu primer apellido y la Z por tu
segundo apellido y envíala a tu Docente en línea mediante la
herramienta Tarea. Espera y atiende la retroalimentación
correspondiente.

UNADM | DCEIT | DS | DSEI 2

Unidad 3. Gestión y aplicación de protocolos de seguridad

INTRODUCCION

La seguridad Informática es muy primordial en estos días, ya que se cuenta con

numerables amenazas en los sistemas de información. Por tal motivo se deben de
implementar mecanismos de seguridad.

La utilización de más de un método a la vez aumenta las probabilidades de que la

autenticación sea correcta. Pero la decisión de adoptar más de un modo de
autenticación por parte de las empresas debe estar en relación el valor de la
información a proteger.

Los mecanismos de seguridad son también llamadas herramientas de seguridad y

son todos aquellos que permiten la protección de los bienes y servicios
informáticos. Con estos mecanismos es con lo que se contesta la última pregunta
de la metodología de la seguridad informática: ¿Cómo se van a proteger los
bienes?

Estos mecanismos pueden ser algún dispositivo o herramienta física que permita
resguardar un bien, un software o sistema que de igual manera ayude de algún
modo a proteger un activo y que no precisamente es algo tangible, o una medida
de seguridad que se implemente, por ejemplo, las políticas de seguridad.

Los mecanismos también reciben el nombre de controles ya que dentro de sus

funciones se encuentran el indicar la manera en que se deben ejecutar las
acciones que permitan resguardar la seguridad y se eviten vulnerabilidades en la
misma.

UNADM | DCEIT | DS | DSEI 3

Unidad 3. Gestión y aplicación de protocolos de seguridad

MECANISMOS DE SEGURIDAD INFORMÁTICA

Un mecanismo de seguridad es un conjunto de elementos o procesos que

implementan un servicio de seguridad.

Código de detección de modificación

Se trata de una suma que se aplica a los datos a transmitir, el resultado de dicha
suma se envía junto con los datos para que el receptor efectúe una prueba de
comprobación; se debe obtener el mismo resultado tanto de la parte del emisor
como del receptor para estar seguros de que los datos no fueron modificados.
Cabe señalar que la suma es generada utilizando un algoritmo criptográfico.

Código de autenticación del mensaje

Este caso es muy parecido al anterior sólo que el resultado de la suma está
cifrado y cuando el receptor realiza la prueba de comprobación se tendrá la
certeza de que los datos están íntegros y que el emisor es quien se supone los
envió.

Firma digital

Una firma digital es una pieza de información que consiste en una transformación
que por medio de una función relaciona de forma única un documento con la clave
privada del firmante, es decir que las firmas digitales dependen del mensaje y de
quien la genera, con el fin de que la información no sea modificada y al mismo
tiempo sirve para proporcionar servicios de no repudio ya que el destinatario
tendrá la certeza de que el mensaje fue enviado por quien esperaba.

Número de secuencia del mensaje

Cuando un mensaje se divide en varios paquetes para ser transmitido; a cada

paquete se le agrega un número el cual puede ir cifrado o no, dicho número es en
realidad una secuencia de bits que identifica el número de secuencia del paquete;
de esta manera el receptor tiene que comprobar que dicha secuencia de bits
corresponde con el número de paquete que está recibiendo. Con este
procedimiento se verifica si algún paquete fue insertado o sustraído por un tercer
agente durante la transmisión.

UNADM | DCEIT | DS | DSEI 4

Unidad 3. Gestión y aplicación de protocolos de seguridad

Cifrado

Con el fin de que a individuos o procesos no autorizados les resulte inteligible la

información, ésta se transforma por medio de los métodos de cifrado a una forma
que no pueda entenderse a simple vista. Con la utilización de este mecanismo de
seguridad se busca proteger la confidencialidad de los datos, aunque no es de uso
exclusivo para este servicio ya que se puede usar conjuntamente con otros
mecanismos para dar soporte a otros servicios.

Control de acceso

Se emplean contraseñas para permitir el acceso a la información a todos aquellos

agentes autorizados.

Relleno de tráfico

Se trata de transmitir unidades de datos falsos del mismo modo que se transmiten
las unidades que llevan información correcta, con ello se busca que si un individuo
está realizando un análisis de tráfico no conozca si las unidades llevan realmente
información útil.

Control de encaminamiento

Este mecanismo otorga la oportunidad de mandar la información por una ruta

diferente cuando la conexión actual está siendo atacada.

Certificación

Se realiza una certificación por un tercer agente de confianza, el cual da fe de la

integridad, secuencia y frecuencia de los datos, así como el emisor y receptor de
los mismos.

UNADM | DCEIT | DS | DSEI 5

Unidad 3. Gestión y aplicación de protocolos de seguridad

CASO DE ESTUDIO

La biblioteca de la Universidad Regional, que es una de las instituciones más

grandes de la universidad ha detectado diferentes fallas y vulnerabilidades que
desean controlar y corregir lo antes posible. Si bien, se cuenta con cierta
infraestructura tiene en general los siguientes problemas:

1) No se llevan a cabo respaldos de información

2) No se trabaja en un esquema de carpetas compartidas ni un servidor en el que
se puedan compartir archivos.
3) No cuenta con sistemas de respaldo de energía. No tiene nobreaks, UPS o
planta de energía.
4) No se cuenta con un plan de contingencia en caso de desastres naturales sobre
todo para la protección de la información.
5) Parte de los fondos de la biblioteca es gracias a que en sus instalaciones se
pueden consultar acervos federales. El gobierno federal da un apoyo económico
siempre y cuando siempre esté disponible la consulta de dichos acervos.
6) Hay personas que solo ellas saben cómo realizar los procedimientos por lo que
nadie más tiene conocimiento de cómo hacerlo.

a) ¿Qué planes y acciones se tienen que tomar para solucionar y prever las
vulnerabilidades?
b) ¿Qué pasaría si no se tuviera una protección de los sistemas de información?
Debido a lo anterior se te solicita que realices un análisis de riesgo en el cual
identifiques las vulnerabilidades antes descritas, así como las no visualizadas por
la mesa directiva, para que de ahí se proponga una solución para cada una de
ellas, por lo cual se debe de realizar lo siguiente:

1. Identifica por lo menos 15 riesgos o vulnerabilidades que se pudieran presentar

en la empresa.
2. Identifica una solución para cada riesgo o vulnerabilidad.
3. Elabora un cuadro comparativo en donde integre lo anterior.

UNADM | DCEIT | DS | DSEI 6

Unidad 3. Gestión y aplicación de protocolos de seguridad

PROTEGER SISTEMA DE INFORMACION

No se llevan a cabo respaldos de información

Una compañía que mantiene copias de seguridad periódicas de su información es

capaz de recuperarse más rápido de cualquier ciberataque. Se pueden hacer
respaldos físicos (que deben ser cambiados cada cierto tiempo), en la nube o una
combinación de ambas. La opción que se escoja depende en gran medida de las
necesidades de su empresa, pero lo ideal es que se cuente con una alternativa
que se haga de manera automática y periódica. También puede encriptar los
backups con una contraseña, en caso de que quiera cuidar información
confidencial.

No se trabaja en un esquema de carpetas compartidas ni un servidor en el

que se puedan compartir archivos.

Se tiene que instalar un Servidor y crear carpetas compartidas para que cada
usuario que esté conectado a la red pueda ingresar a dichas carpetas.

Para tener más seguridad en cuanto a quien puede acceder a las carpetas se
pueden cifrar las carpetas compartidas. El cifrado AES de 256 bits protege los
datos bloqueando todos los intentos de acceso no autorizados. Ninguna otra
persona sin clave de cifrado podrá acceder ni modificar los datos cifrados, aunque
retiren los discos duros y los monten en otro dispositivo.

No cuenta con sistemas de respaldo de energía. No tiene nobreaks, UPS o

planta de energía.

Se necesitan comprar Nobreaks, o en su defecto tener una planta de emergencia

para estar seguros si hay un apagón de energía o variación de la misma y no
destruya los equipos, Otra opción es implantar discos sólidos para evitar que se
dañen los mismos y se borre la información

No se cuenta con un plan de contingencia en caso de desastres naturales

sobre todo para la protección de la información.

UNADM | DCEIT | DS | DSEI 7

Unidad 3. Gestión y aplicación de protocolos de seguridad

El proyecto comienza con el análisis del impacto en la organización. Durante esta

etapa se identifican los procesos críticos o esenciales y sus repercusiones en caso
de no estar en funcionamiento. El primer componente del plan de contingencia
debe ser una descripción del servicio y el riesgo para ese servicio, igualmente se
debe determinar el costo que representa para la organización el experimentar un
desastre que afecte la actividad empresarial. responsabilidades que salvaguarden
la información y permitan su recuperación garantizando la confidencialidad,
integridad y disponibilidad de ésta en el menor tiempo posible y a unos costos
razonables.
El plan de contingencia debe cubrir todos los aspectos que se van a adoptar tras
una interrupción, lo que implica suministrar el servicio alternativo y para lograrlo no
solo se deben revisar las operaciones cotidianas, sino que también debe incluirse
el análisis de los principales distribuidores, clientes, negocios y socios, así como la
infraestructura en riesgo. Esto incluye cubrir los siguientes tópicos:

 Hardware
 Software
 Documentación
 Talento humano
 Soporte logístico

Hay personas que solo ellas saben cómo realizar los procedimientos por lo
que nadie más tiene conocimiento de cómo hacerlo.

Para evitar que solo un grupo de empleados puedan realizar los procedimientos,
es necesario capacitar al personal, crear manuales y concientizar al personal
sobre los métodos que se realizan en la biblioteca.

UNADM | DCEIT | DS | DSEI 8

Unidad 3. Gestión y aplicación de protocolos de seguridad

PASOS PARA ELABORAR UN PLAN DE SEGURIDAD INFORMÁTICA

1. Identificación

Para proteger a tu organización, lo primero que debes hacer es saber lo que tienes
en ella que vale la pena proteger. Este paso inicial implica averiguar el conjunto de
los activos de la organización, incluido el personal, el hardware, software, sistemas
y datos que componen tu sistema informático. Pueden incluir programas
informáticos, servidores y servicios externos como alojamiento web.

2. Evaluación de riesgos

Ahora necesitas establecer qué es lo que podría poner en peligro los activos
anteriores. Por ejemplo, los virus informáticos, hackers, daños físicos o errores de
los empleados. Considera el tipo y el alcance del daño que podría ser causado en
cada caso. Por ejemplo, si el servidor se pone fuera de línea, ¿tu empresa podría
seguir funcionando? Anota todo esto en tu plan de seguridad informática.

3. Prioriza tu protección IT

Una vez que hayas evaluado el daño potencial de cada amenaza y la probabilidad
de que se produzca, puedes decidir qué amenazas son las más importante e
interesantes para empezar a proteger. Por ejemplo, podrías determinar que la
protección de tu servidor es más importante que la protección de los equipos
individuales.

4. Toma las precauciones adecuadas

Decide cuáles son los pasos que debes tomar para protegerte contra los riesgos
que has identificado en toda la parte anterior de este plan de seguridad
informática, y asegura que tu negocio va a seguir siendo capaz de operar si algo
va mal. Por ejemplo, deberías restringir el acceso a tu servidor o instalar un
firewall de hardware. Tu plan de recuperación de desastres debe explicar qué
hacer si ocurre una crisis.

¿QUÉ HACEMOS UNA VEZ TENEMOS EL PLAN?

UNADM | DCEIT | DS | DSEI 9

Unidad 3. Gestión y aplicación de protocolos de seguridad

Una vez tengamos este plan de seguridad informática por escrito, debes poner en
práctica las siguientes recomendaciones:

Comunica el plan a todo el personal: Haz que algunos empleados concretos sean
responsables de áreas específicas. Asegúrate de que tengan tiempo y recursos
para hacer los cambios recomendados a sus sistemas de IT.

Crea políticas de IT y forma a la gente: Modifica las políticas de IT para que estén
en línea con el plan de seguridad. Si es necesario, forma a la gente para que todo
el personal entienda cómo minimizar las vulnerabilidades de seguridad.

Establece un calendario para poner en marcha las medidas del plan: Recuerda
que puede tomar tiempo hacer grandes cambios en los sistemas.

MANTENIMIENTO DEL PLAN DE SEGURIDAD INFORMÁTICA

Los riesgos de seguridad cambian constantemente, por lo que deberás revisar

periódicamente tu plan de seguridad informática. Mantente al día de las
vulnerabilidades de seguridad emergentes suscribiéndote a boletines de empresas
de seguridad. Asegúrate de que actualizas regularmente tus protecciones. Si se
realizan cambios en tu sistema informático o inviertes en nuevo hardware o
software, revise tu plan de seguridad informática. Tratar de identificar nuevas
vulnerabilidades de seguridad y revisa también las políticas y procedimientos al
menos cada 12 meses. Por último, pon a alguien a cargo del plan de seguridad
informática, para que no haya ninguna posibilidad de que quede descuidado.

UNADM | DCEIT | DS | DSEI 10

Unidad 3. Gestión y aplicación de protocolos de seguridad

RIESGOS DE SEGURIDAD INFORMÁTICA EN TU EMPRESA

Muchas empresas viven de espaldas a los problemas de seguridad. Creen que es

sólo un desembolso de dinero, pero lo cierto es que supone un verdadero riesgo
desde distintos puntos de vista.

Por un lado, puede acarrear costos económicos en la medida en que su negocio

esté parado durante el tiempo en que tengan que resolver la incidencia. Por otro,
la pérdida de datos es un problema cada vez más evidente. No sólo somos
responsables de conservar los datos de nuestro negocio, sino también y sobre
todo de nuestros clientes.

TRABAJAR EN ORDENADORES SIN ANTIVIRUS

Cuando no hay un buen antivirus instalado en tus ordenadores, pero estos están
conectados a Internet, corren un serio peligro. Pero incluso si no los tienes
conectados a la red, es posible que se te pueda colar un malware a través de una
memoria USB.

Gran parte de lo virus informáticos, troyanos y gusanos que entran en una

computadora podrían eliminarse o bloquearse a través de un buen software
antivirus.

NO HACER COPIAS DE SEGURIDAD, O HACERLAS MAL

Si no haces copias de seguridad, corres el riesgo de que puedas perder una gran
cantidad de archivos importantes. En la empresa, es posible incluso que
almacenes bases de datos de clientes, catálogos de productos, o incluso que
tengas un software de gestión instalado. No tener un sistema que genere copias
de seguridad seguras y cifradas es, en cualquier caso, un suicidio.

Hay quien sí hace copias de respaldo, pero las hace mal. Las almacena en el
propio ordenador, con lo que al final, si éste resultara afectado, podrían también
perderse. También puede ser que las almacene en dispositivos como memorias
USB o discos duros externos, que, en cualquier caso, son dispositivos físicos y, si
están conectados a la computadora, también podrían resultar infectados.

UNADM | DCEIT | DS | DSEI 11

Unidad 3. Gestión y aplicación de protocolos de seguridad

ABRIR CORREOS ELECTRÓNICOS SOSPECHOSOS

La falta de criterio a la hora de tratar con el correo electrónico da lugar a muchos

disgustos. Los ciber-delincuentes aprovechan el desconocimiento y la buena
voluntad del usuario para que éste acabe haciendo lo que ellos quieren.

Se ha repetido hasta la sociedad, pero muchos todavía siguen cometiendo el

mismo error. Debemos evitar descargar archivos adjuntos de correos electrónicos
de personas o entidades que no conozcamos. Debemos evitar absolutamente
hacer click en los enlaces. Y, por supuesto, si vamos a parar a una página web a
partir de ellos, no tenemos que facilitar datos personales o de la empresa en
ningún caso.

ABRIR MENSAJES SOSPECHOSOS EN LAS REDES SOCIALES

Las amenazas a la seguridad pueden venir de las redes sociales. Una de las
redes sociales que a veces puede dar lugar a problemas es Twitter. En ocasiones,
se puede llegar a recibir un mensaje directo de un desconocido, indicándonos que
hagamos click en un enlace que nos proporciona.

Ese link puede conducir a una web infectada con malware que nos acabe
infectando la computadora. O a nuestro móvil. O también a una página en la que,
mediante técnicas de ingeniería social, se intente recoger nuestros datos.

INTRODUCIR MEMORIAS USB INFECTADAS EN TU COMPUTADORA

Un troyano se puede auto-instalar en tu computadora gracias a una memoria USB.

A partir de ese momento, alguien puede estar robándote recursos para participar
en una red zombie de ordenadores utilizados en la ciberdelincuencia. O también
es posible que alguien pueda estar capturando las teclas que pulsas en tu teclado
y pueda recolectar información, contraseñas, nombres de usuario e información
confidencial.

Las memorias USB pueden ser útiles, pero se han convertido también en una gran
fuente de contagio. Siempre que sea posible, te recomendamos que traslades
información de un sitio a otro a través de sitios seguros, bien a través de tu propia
red privada, o mediante programas en la nube de reconocido valor y prestigio.

DEFICIENTE CONTROL DE ACCESO A LAS APLICACIONES

El 48% de los participantes ha detectado que, en su compañía, el acceso de los

trabajadores a las aplicaciones debería estar mejor controlado.

UNADM | DCEIT | DS | DSEI 12

Unidad 3. Gestión y aplicación de protocolos de seguridad

EXISTENCIA DE VULNERABILIDADES WEB

El 47% de las empresas afirman que este año han detectado vulnerabilidades web
mediante hacking éticos que pueden permitir accesos indebidos a información
sensible de la compañía.

FALTA DE FORMACIÓN Y CONCIENCIACIÓN

La necesidad de potenciar la formación y concienciación en materia de seguridad

de la información tanto al personal interno como a los socios de negocio se ha
detectado en un 45% de las empresas encuestadas. El factor humano es de vital
relevancia para prevenir los ciberataques avanzados.

Proceso de gestión de incidentes de seguridad: La inexistencia o necesidad de

mejora de la respuesta ante un incidente de seguridad ha sido identificada por el
44,6% de los interlocutores que han participado en el estudio.

EXISTENCIA DE CAMBIOS REGULATORIOS

El 43% ha reflejado la complejidad de adaptarse a los nuevos cambios

regulatorios tanto legales como normativos que aplican a cada sector.

CONTROL DE ACCESO A LA RED

El 42% de las empresas dicen que están en riesgo debido a la falta o, en

ocasiones, inexistencia de control de los accesos de los usuarios internos y
terceros tales como proveedores o invitados a la red corporativa.

FUGAS DE INFORMACIÓN

La fuga de datos es uno de los mayores riesgos a los que se exponen las
compañías en la actualidad, según reconoce el 413% de las empresas.

FRAUDE Y ROBO DE INFORMACIÓN

El 403% de las compañías afirman que existe una gran vulnerabilidad en los
llamados filtros informativos, lo que provoca que el fraude y robo de la información
sea más común de lo que aparenta ser.

UNADM | DCEIT | DS | DSEI 13

Unidad 3. Gestión y aplicación de protocolos de seguridad

FALTA DE PLANIFICACIÓN DE CONTINUIDAD DE NEGOCIO

Una pandemia, un pequeño incendio o un cambio significativo sobre todo entre los
miembros de la cúpula directiva de una compañía provoca que sea estrictamente
necesario contar con una planificación de la continuidad del negocio, según un
32,5% de las empresas.

DESARROLLO DE SOFTWARE SEGURO

La creciente utilización de herramientas informáticas para mecanizar los procesos

de negocio ha provocado que el 39,8% de los encuestados identifique los
aspectos de seguridad de la información como aspectos clave en el ciclo de vida
del desarrollo de software.

UNADM | DCEIT | DS | DSEI 14

Unidad 3. Gestión y aplicación de protocolos de seguridad

CONCLUSIÓN

Se han indicado algunos riesgos de seguridad informática que debes tener en

cuenta. A algunos les parecerán cosas muy obvias. Por desgracia, te podemos
asegurar que hay muchos que todavía no lo tienen claro.

BIBLIOGRAFIA

https://www.portafolio.co/innovacion/siete-
recomendaciones-para-proteger-los-sistemas-
informaticos-de-su-compania-506755
http://materiadeinformatica3q.blogspot.com/2013/05/mec
anismos-de-seguridad-informatica.html
https://www.synology.com/es-
mx/knowledgebase/SRM/help/SRM/USBStorage/storage_pr
ivileges

UNADM | DCEIT | DS | DSEI 15