Capítulo 1

Conceptos básicos de la seguridad informática

1. Seguridad informática ¿por qué?

Uno de los principales problemas a los que se enfrenta la seguridad informática es la creencia
de muchos usuarios de que a ellos nunca les va a pasar lo que a otros.

Con unas buenas políticas de seguridad, tanto físicas como lógicas, conseguiremos que nuestros
sistemas sean menos vulnerables a las distintas amenazas.

Tenemos que intentar lograr un nivel de seguridad razonable y estar preparados para que,
cuando se produzcan los ataques, los daños puedan ser evitados.

2. Objetivos de la seguridad informática

Según la ISO27002, <<La seguridad de la información se puede caracterizar por la preservación

de confidencialidad, integridad y disponibilidad>>.

Según INFOSEC Glossary 2000: <<Seguridad informática son las medidas y controles que
aseguran la confidencialidad, integridad y disponibilidad de los activos de los sistemas de
información, incluyendo hardware, software, firmware y aquella información que procesan,
almacenan y comunican>>

De estas definiciones podemos deducir que los principales objetivos de la seguridad informática
son:

 Confidencialidad: Asegura que el acceso a la información esta adecuadamente autorizado

 Integridad: Salvaguarda la precisión y completitud de la información y sus métodos de
proceso
 Disponibilidad: Asegura que los usuarios autorizados pueden acceder a la información
cuando la necesitan.
 No repudio: Garantiza la participación de las partes en una comunicación.
- No repudio en origen: Garantiza que la persona que envía el mensaje no puede
negar que es el emisor del mismo.
- No repudio en destino: El receptor no puede negar que recibió el mensaje.

Para conseguir los objetivos mencionados se utilizan los siguientes mecanismos:

 Autenticación, que permite identificar al emisor de un mensaje, al creador de un documento

o al equipo que se conecta a una red.
 Autorización, que controla el acceso de los usuarios a zonas restringidas.
 Auditoría, que verifica el correcto funcionamiento de las políticas de seguridad.
 Encriptación, ayuda a ocultar la información transmitida por la red o almacenada en los
equipos.
 Realización de copias de seguridad e imágenes de respaldo.
 Antivirus, permite estar protegido contra las amenazas de los virus.
 Cortafuegos o firewall, audita y evita los intentos de conexión no deseados en ambos
sentidos.
 Servidores proxys, consiste en ordenadores con software especial, que hacen de
intermediario entre la red interna de una empresa y una red externa, como el internet.
 Utilización firma electrónica o certificado digital, son mecanismo que garantizan la identidad
de una persona o entidad evitando el no repudio en las comunicaciones o en la firma de
documentos.

3. Clasificación de seguridad
Según el activo a proteger, para el correcto funcionamiento de la actividad de la empresa,
distinguiremos entre seguridad física y lógica; en dependencia del momento preciso de
actuación, entre seguridad pasiva y activa.

3.1 Seguridad física y lógica

Tipos de seguridad en función del recurso a proteger.
 Seguridad física
Protege el hardware de incendios, inundaciones, de robos, etc.
 Seguridad lógica
Complementa a la seguridad física, protegiendo el software de los equipos informáticos de
robos de perdida de datos, entrada de virus informáticos, etc.

3.2 Seguridad activa y pasiva

Seguridad activa
La seguridad activa la podemos definir como el conjunto de medidas que previenen e
intentan evitar los daños en los sistemas informáticos.
Seguridad pasiva
La seguridad pasiva complemento a la seguridad activa y se encarga de minimizar los
efectos que haya ocasionado algún percance.

4. Amenazas y fraudes en los sistemas de la información

El objetivo final de la seguridad es proteger lo que la empresa posee. Todo aquello que es
propiedad de la empresa se denomina activo, como los equipos informáticos y los datos que
se manejan, etc. Cualquier daño que se produzca sobre estos activos tendrá un impacto en
la empresa

4.1 Actuaciones para mejorar la seguridad

• Identificar los activos.

• Formación de los trabajadores de la empresa.
• Concienciación de la importación de la seguridad informática.
• Evaluar los riesgos.
• Diseñar el plan de actuación.
• Revisar periódicamente las medidas de seguridad adoptadas.
 4.2 Vulnerabilidades

*Vulnerabilidades ya conocidas sobre aplicaciones a sistemas instalados.

Son vulnerabilidades de las que ya tienen conocimientos las empresas.
*Vulnerabilidades conocidas sobre aplicaciones no instaladas.
Estas vulnerabilidades también son conocidas, pero no se actuará porque no hay dicha
aplicación
*Vulnerabilidades aún no conocidas
Estas vulnerabilidades aún no han sido detectadas por la empresa que desarrolla el
programa.

4.3 Tipos de amenazas

*Según los ataques que puede sufrir un sistema:

• Interrupción: Un sistema deja de estar disponible debido al ataque.
• intercepción: Un intruso accede a la información de nuestro equipo.
• Modificación: La información ha sido modificada sin autorización.
• Fabricación: Se crea un producto difícil de distinguir del auténtico.
*Según cómo actúan los ataques:
Malware: Se introduce programas malintencionados en nuestro equipo
Keyloggers: Se utiliza una herramienta que permite conocer todo lo que el usuario
escribe.

4.4 Pautas de protección para nuestro sistema

• No instalar nada que no sea necesario en los servidores.

• Actualizar todos los parches de seguridad.
• Instalar un firewall.
• Mantener copias de seguridad según las necesidades.
• Gestionar y revisar los logs del sistema.

5. Leyes relacionadas con la seguridad de la información

5.1 Normativa que protege los datos personales

El objetivo de esta ley es garantizar y proteger los derechos fundamentales y,

especialmente la intimidad de las personas físicas en relación con sus datos personales.
- Protección de datos
Nuestros datos están almacenados en ficheros que deberán cumplir esta legislación.
- Medidas de seguridad
Siempre que se vaya a crear un fichero de datos de carácter personal, es necesario
solicitar la aprobación de la Agencia de Protección de Datos.
Capítulo 2

Seguridad pasiva.

Hardware y almacenamiento

1. Ubicación y protección física

Se trata de aplicar barreras físicas y procedimientos de control, como medidas

de prevención y contra medidas para proteger los recursos y la información, tanta
para mantener la seguridad dentro y alrededor del Centro de Cálculo como los medios
de acceso remoto a él o desde él.

1.1. Factores para elegir la ubicación

Cuando hay que instalar un nuevo centro de cálculo es necesario fijarse en varios
factores. Como son: el edificio, tratamiento acústico, seguridad física del edifico,
suministro eléctrico propio del CPD y las condiciones ambientales que rodean al local
donde se va a instalar el CPD.

¿Dónde se debe instalar el CPD?

La ubicación más conveniente se sitúa en las plantas intermedias de un edificio o en

ubicaciones centrales en entornos empresariales.

1.2. Control de acceso

De modo complementario o la correcta elección de la ubicación del CPD es necesario

un férreo control de acceso al mismo.

1.3. Sistemas de climatización y protección en el CPD

Además de instalar el CPD en la mejor localización posible, es imprescindible que se

instalen en su interior, ¡unto con los equipos propios de procesamiento de datos,
sistemas de climatización, de protección contra incendios (PCI) y sistemas de alarmo
apropiado.

1.4. Recuperación en caso de desastre

Nuestro objetivo debe ser siempre evitar daños en el CPD, pero hay que ser realistas y
tener preparado un plan de contingencia que debe ponerse en marcha en caso de
desastre.

2. Sistemas de alimentación ininterrumpida

Utilizar sistemas auxiliares de alimentación.

 2.1. Definición de SAI
Un SAl o sistema de alimentación ininterrumpida es un dispositivo electrónico que
permite proteger a los equipos frente a los picos o caídas de tensión.

2.2. Tipos de SAl

. Sistemas de alimentación en estado de espera o Stand-by Power Systems (SPS).

. SAl en línea (on-fine), que alimenta el ordenador de modo continuo.

3. Almacenamiento de la información

En este punto hablaremos de los tres aspectos más importantes que debemos tener en
cuenta cuando tratemos la seguridad física de la información: el rendimiento, la
disponibilidad y la accesibilidad a la misma.

4. Almacenamiento redundante y distribuido

RAID consiste en un conjunto de técnicas hardware o software que utilizando varios discos
proporcionan principalmente tolerancia a fallos, mayor capacidad y mayor fiabilidad en el
almacenamiento.

5. Clusters de servidores

Un cluster es un grupo de ordenadores que se unen mediante una red de alta velocidad,
de tal forma que el conjunto se ve como un único ordenador, mucho más potente que
los ordenadores comunes.

6. Almacenamiento externo

Existen otras alternativas que nos permitirán un control y una gestión mucha mayores sobre
los datos procesados, como las tecnologías NAS y SAN. El uso de cualquiera de estas
tecnologías es independiente de la existencia de un cluster.

• Los dispositivos NAS (Network Attached Storage) son dispositivos de almacenamiento

específicas, a los cuales se accede utilizando protocolos de red, generalmente TCP/IP.

• Una red SAN (Storage Area Network) o red con área de almacenamiento, está pensada
para conectar servidores, discos de almacenamiento, etc., utilizando tecnologías de fibra.