Curso Reducido

Seguridad de la
Información
Fundamentos de la
Seguridad
de la Información
Fundamentos de la Seguridad
de la Información
Temari
o
Amenazas a la Seguridad de la Información
Confidencialidad
Integridad
Disponibilidad
Políticas de Seguridad de la Información
Normas vigentes
Mecanismos de control de acceso a los sistemas
de información
Administración de claves de acceso
Política de pantalla y de escritorios limpios
Ingeniería Social
Código Malicioso
Amenazas en la navegación por Internet
Uso seguro del correo electrónico
Reporte de incidentes de seguridad
2
de la Información
¿Qué se debe Asegurar?
La información debe
considerarse
un activo importante con el que
cuentan las Organizaciones
para satisfacer sus objetivos,
razón por la cual, tiene un alto
valor para las mismas y es crítica
para su desempeño y
Por tal motivo, al igual que el resto de
subsistencia.
los activos organizacionales, debe
asegurarse que esté debidamente
protegida.
3
de la Información
¿Contra qué se debe proteger la
información?
Las “buenas prácticas” en

Seguridad de la
Información, protegen a
ésta contra una amplia
gama de amenazas, tanto
(destrucción
deparcial o total por incendio
orden fortuito
inundaciones, eventos eléctricos y otros)
como de orden deliberado, tal como
fraude, espionaje, sabotaje, vandalismo,
etc.
4
de la Información
Vulnerabilidades y Amenazas
Una vulnerabilidad es una debilidad en un

activo.
Una amenaza es una violación potencial

de la seguridad. No es necesario que la
violación ocurra para que la amenaza
exista. Las amenazas “explotan”
vulnerabilidades.
5
de la Información
Amenazas
Incendios
Naturale Terremotos
s
Inundaciones
AMENAZA Internas
S
Maliciosas
Externas
Humana
s
No Impericia
Maliciosas 6
de la Información
¿Qué se debe garantizar?
1. CONFIDENCIALIDAD
Se garantiza que la
información es
accesible sólo a
aquellas personas
autorizadas.
7
de la Información
2. INTEGRIDAD
Se salvaguarda la
exactitud y totalidad
de la información
y los métodos de
procesamiento y
transmisión.
8
de la Información
3. DISPONIBILIDAD
Se garantiza que los
usuarios autorizados
tienen acceso a la
información y a los
recursos relacionados toda
vez que lo requieran.
9
de la Información
Política de Seguridad de Ia
Información
 Aumento de los niveles de seguridad
en las organizaciones
La implementación de una “PSI”, le permite a

las Organizaciones cumplir una gestión
efectiva de los recursos de información críticos
e instalar y administrar los mecanismos de
protección adecuados, determinando qué
conductas son permitidas y cuáles no.
Esto redundará en una efectiva reducción de
los niveles de riesgo y de las vulnerabilidades,
lo cual, en definitiva, se traduce en ahorro de
tiempo y dinero, genera mayor confianza y un
fortalecimiento de la imagen institucional.
10
de la Información
PSI
 Planificación de actividades
A través de la actuación de distintos actores las
Organizaciones pueden armar una efectiva
planificación de las actividades a desarrollar, con
el objetivo de hacer más seguros sus sistemas.
Esto es importante pues no sólo asegura que se
abarquen todas las áreas relevantes, si no
también
el cumplimiento de los objetivos.
 Mejora Continua
La PSI describe, no solamente los aspectos a
tener en cuenta en el proceso del alcance de los
objetivos en materia de Seguridad de la
Información, sino también los criterios de
revisión y mejora continua para mantenerlos. 11
de la Información
PSI
 Involucramiento
Ud. es muy importante para la organización, y
como tal debe involucrarse en el cumplimiento
de la PSI.
 Conocimiento
Es necesario que ud. conozca y comprenda la
PSI de su Organización.
12
de la Información
DA 669/2004
Todos los organismos de la APN deben contar con:

 Una PSI aprobada e implementada.
 Un responsable de seguridad informática.
 Un comité de seguridad de la información para
el tratamiento de dichos temas.
13
de la Información
Protección de la Información
en la APN
Obligaciones de los funcionarios públicos
 Ley 25.164
 Observar el deber de fidelidad y guardar la
discreción correspondiente o la reserva
absoluta, en su caso, de todo asunto del
servicio que así lo requiera.
 Hacer uso indebido o con fines
particulares del patrimonio estatal.
14
de la Información
Prevención de uso no adecuado
de recursos informáticos en la APN
Obligaciones de los funcionarios públicos
Ley 25.188
 Abstenerse de utilizar información adquirida
en el cumplimiento de sus funciones para
realizar actividades no relacionadas con sus
tareas oficiales o de permitir su uso en
beneficio de intereses privados.
 Proteger y conservar la propiedad
del Estado y sólo emplear sus
bienes con los fines autorizados.
15
de la Información
Protección de Datos Personales

Dato personal Ley 25.326
 Toda información relativa a una persona física o
jurídica
Requisitos para el tratamiento de datos
personales
 Consentimiento libre, expreso e informado del
Titular de los datos
 Existen algunas excepciones al consentimiento,
tales como DNI, Nombre, ocupación, domicilio,
etc.
Derechos del titular

 Controlar el tratamiento de sus datos
personales
 Acceder a sus datos personales
contenidos en archivos de terceros
 Solicitar supresión, actualización o
corrección de sus datos personales 16
de la Información
Ley N°
11.723/25.036
Propiedad Intelectual
¿Qué protege?
 Los derechos de autor de los programas de
computación fuente y objeto; las compilaciones
de datos o de otros materiales.
Consecuencias
 Los funcionarios públicos únicamente podrán
utilizar material autorizado por el Organismo.
 El Organismo solo podrá autorizar el uso
de material conforme los términos y
condiciones de las licencias de uso.
 La infracción a estos derechos puede
tener como resultado acciones legales
que podrían derivar en demandas penales.
17
de la Información
Ley N° 25.506 – Firma Digital
Se reconoce la eficacia jurídica al empleo
de la Firma Digital.
 Documento Digital
... Representación digital de actos
o hechos con independencia del
soporte utilizado para su fijación,
almacenamiento o archivo ...
 Firma Digital
... Resultado de aplicar a un documento digital
un procedimiento matemático que requiere
información de exclusivo conocimiento del
firmante
18
de la Información
Firma Digital
Conjunto de datos expresados en formato

digital, utilizados como método de
identificación de un firmante y de verificación
de la integridad del contenido de un
documento digital, que cumpla con los
siguientes requisitos:
haber sido generado exclusivamente

por su titular utilizando una clave que se
encuentre bajo su absoluto y exclusivo control
ser susceptible de verificación
estar vinculado a los datos del documento
digital poniendo en evidencia su alteración
19
de la Información
Acceso a los Sistemas
de Información
Para asegurar el acceso a la información, se
deben realizar tres pasos fundamentales:
 Identificación
Indicarle al sistema cuál es
la cuenta de usuario a utilizar.
 Autenticación
Demostrarle al sistema, por ejemplo
mediante la introducción de una clave,
que el usuario es quien dice ser.
Autorización
Probar que el usuario tiene permiso para
acceder al recurso.
20
de la Información
Acceso a los Sistemas de
Información
Para que el sistema autentique a un usuario hay
que disponer y exhibir:
 Algo que se conoce

(Nombre de Usuario y Clave de Acceso)
 Algo que se posee

(Por Ejemplo: una tarjeta magnética)
 Algo que se es, una

característica personal y única
(Por ejemplo: la huella digital)
Lo ideal es hacer una combinación de 2 factores

21
de la Información
Clave de Acceso
Es un conjunto de caracteres escrito por el

usuario siguiendo una norma preestablecida,
que lo identificarán ante el sistema de
información.
Debe ser:
 personal
 secreta
 intransferible
 modificable solo por su titular
 difícil de averiguar
22
de la Información
Normas para construir una
Clave de Acceso
 No utilice palabras comunes ni nombres de
fácil deducción por terceros (nombre de
mascota)
 No las vincule a una característica personal,

(teléfono, D.N.I., patente del automóvil, etc.).
 No utilice terminología técnica conocida

(admin)
 Combine caracteres alfabéticos,

mayúsculas y minúsculas, números,
caracteres especiales.
 Constrúyalas utilizando al menos 8
caracteres.
 Use claves distintas para máquinas 23
de la Información
Normas para construir una
Clave de Acceso
 Use un acrónimo de algo fácil de recordar
Ej: NorCarTren (Norma , Carlos, Tren)
 Añada un número al acrónimo para mayor
seguridad: NorCarTren09 (Norma, Carlos, Tren, Edad
del hijo)
 Mejor aún, si la frase origen no es conocida por
otros: Verano del 42: Verdel4ydos
 Elija una palabra sin sentido, aunque
pronunciable. (galpo-glio)
 Realice reemplazos de letras por signos o
números. (3duard0palmit0)
 Elija una clave que no pueda olvidar, para
24
evitar escribirla en alguna parte. (arGentina6-0)
de la Información
Claves de Acceso
Normas de Uso
 Cuide que no lo vean cuando tipea su clave.
 No observe a otros mientras lo hacen.
 No escriba la clave en papelitos, ni post-it, ni en

archivos sin cifrar.
 No comparta su clave con otros.
 No pida la clave de otro.
 No habilite la opción de “recordar

claves” en los programas que utilice.
25
de la Información
Claves de Acceso
Normas de Uso
 Si por algún motivo tuvo que escribir la clave,
no la deje al alcance de terceros (debajo del
teclado, en
un cajón del escritorio) y NUNCA pegada al
monitor.
 NUNCA envíe su clave por correo electrónico ni

la mencione en una conversación, ni se la
entregue a nadie, aunque sea o diga ser el
administrador del sistema.
 No mantenga una contraseña indefinidamente.

Cámbiela regularmente, aunque las políticas26
de la Información
Escritorio Limpio
Durante el día:
 Guarde los documentos sensibles bajo llave.
 Si utiliza una notebook, manténgala en un

lugar seguro para evitar robos.
 No deje pendrives, CD’s, diskettes, u otro
elemento removible con información en
lugares visibles y accesibles.
 Guarde su portafolio o cartera en muebles
seguros.
27
de la Información
Escritorio Limpio
No deje accesible documentos impresos que
contengan datos sensibles, por ejemplo:
 Datos de Empleados
 Contratos
 Números de Cuenta
 Informes confidenciales
 Información con Propiedad Intelectual
 Nombres de Usuarios y Passwords (claves)
28
de la Información
Escritorio Limpio
Al terminar el día, tómese unos minutos para:
 Juntar y guardar en forma segura el material

sensible.
 Cerrar con llave gabinetes, cajones y oficinas.
 Asegurar el equipo costoso (notebook, PDA,
etc.).
 Destruir en forma efectiva los documentos
sensibles que tiró al canasto de basura (usar
máquinas picadoras de papel, etc).
 Revisar que deja su lugar de trabajo en orden,
los equipos apagados y ningún documento sin
guardar, antes de irse definitivamente de su 29
de la Información
Pantalla Blanca
 Nunca deje desatendida su terminal.
 Si debe abandonar, aunque sea

momentáneamente, su puesto de trabajo,
bloquee su terminal con las facilidades que
provee el sistema operativo o con un
salvapantallas que solicite el ingreso de
una clave para desbloquear la terminal.
30
de la Información
Ingeniería Social
La Ingeniería Social (literalmente del inglés:
Social Engineering) es un conjunto de
acciones que se realizan con el fin de obtener
información a través de la manipulación de
usuarios legítimos.
Es un conjunto de trucos, engaños

o artimañas que permiten confundir
a una persona para que entregue
información confidencial, ya sea los
datos necesarios para acceder a
ésta o la forma de comprometer
seriamente un sistema de seguridad.
31
de la Información
Ingeniería Social
“ La mejor manera de estar prevenido,
”
es tener conocimiento del tema
 Todo el personal debe ser educado, desde los

operadores de computadoras hasta el personal
de limpieza.
 No informar telefónicamente a nadie (por más
que se arroguen cargos directivos o funciones
especificas de tecnología) de las características
técnicas de la red, nombre de personal a cargo,
claves de acceso, etc.
 Controlar el acceso físico al sitio donde se
encuentran los equipos de procesamiento y 32
de la Información
Código
Malicioso
Programa de computadora escrito para
producir inconvenientes, destrucción, o violar
la política de seguridad.
Tipos
Virus: Necesita interacción del usuario

Troyanos: Doble funcionalidad: Una
conocida y una oculta.
Gusanos: Autoreplicación
Etc
Nota: Ningún antivirus puede detectar todo

los programas maliciosos!
33
de la Información
Código
Malicioso
Ejemplos de cosas que puede hacer:
 Borrar archivos del disco rígido para que la

computadora se vuelva inoperable.
 Infectar una computadora y usarla para atacar
a otras.
 Obtener informacion sobre ud., los sitios web
que visita, sus hábitos en la computadora.
 Capturar sus conversaciones activando el
microfono.
 Ejecutar comandos en la computadora, como si
lo hubiera hecho ud.
 Robar archivos del equipo, por
ejemplo aquellos con información
personal, financiera, etc.
34
de la Información
Navegación Web:
Verificar el destino de los
enlaces
En algunas ocasiones, el enlace no coincide con la
dirección del sitio real de la empresa que dice
solicitar la información. Esto puede servir para
mostrar páginas engañosas o no solicitadas.
Se recomienda:
 Verificar el destino en “Propiedades”.
 Escribir el enlace tal cual lo
conocemos en una ventana
nueva del navegador.
35
de la Información
Navegación Web: Buenas
prácticas
 Evitar acceder a sitios desconocidos o no confiables.
 No aceptar la instalación automática de software.
 No descargar archivos ejecutables.
 No dejar información sensible en páginas o foros.
 Si debe enviar información sensible:
 Solo hacerlo en sitios seguros (https)
 Verificar el certificado del sitio.
 Consulte con su administrador
sobre configuración segura del navegador.
36
de la Información
Correo Electrónico:
Propagación de código
malicioso
Muchos virus, para su propagación, no solo

utilizan la libreta de direcciones de correo,
sino que utilizan también las direcciones de
correos enviados o de otras carpetas
donde encuentren
direcciones de correo.
Es importante tratar
con sumo cuidado
los archivos adjuntos.
37
de la Información
Archivos Adjuntos:
Buenas prácticas
 No abrir archivos adjuntos de origen desconocido.
 No abrir archivos adjuntos que no esperamos recibir, aunque nos
parezca que su origen es conocido.
 No abrir adjuntos que tengan extensiones ejecutables.
 No abrir adjuntos que tengan más de una extensión.
 Chequear con el remitente la razón por
la cual nos envió un archivo adjunto.
38
de la Información
Reenvío de Correo Electrónico:
Buenas Prácticas
Si, por motivos laborales, debe reenviar un
correo electrónico:
 Borre la/s dirección/es de correo
del/los remitente/s
 O mejor aún: copie el contenido del
correo original y arme uno nuevo
 Si lo reenvía a más de una persona,
utilice la opción de enviar “Copia Oculta”
 ¡¡¡ No sea un reenviador compulsivo
de correos electrónicos !!!
39
de la Información
Cadena de Correo
Electrónico
Armar cadenas de correos electrónicos, es una de las

herramientas que se utilizan comercialmente para
obtener direcciones de correo electrónico y armar bases
de datos con las mismas.
También es una oportunidad que se le brinda a los
piratas informáticos, pues obtienen blancos reales a los
que enviarles virus y todo tipo de software malicioso.
40
de la Información
Cadena de Correo
electrónico
@
Es común leer en las cadenas de correo electrónico
electrónic
“ No sé si será cierto, pero por las dudas

lo reenvío…
”
“@
Debería cambiarse esa forma de pensar, por ésta:
No sé si será cierto, pero por las dudas
”
NO lo reenvío…
41
Seguridad dede
Fundamentos la la
Información
Seguridad
de la Información
en las Tareas Cotidianas
Correo electrónico: Hoax
Hoax es un vocablo que significa “engaño” o

“broma”.
Los hay de distintos tipos:

 Alertas sobre virus “incurables”
 Mensajes de temática religiosa
 Cadenas de solidaridad
 Cadenas de la suerte
 Leyendas urbanas
 Métodos para hacerse millonario
 Regalos de grandes compañías
42
de la Información
Hoax: ¿Cómo descubrirlos?
 Suelen tener frases catastróficas y/o alarmistas

 Suelen no estar firmados ni tener información válida de
contacto.
 También pueden contener frases amenazantes o que lo
pueden hacer sentir mal
 Suelen estar mal redactados, o con vocablos que no
son propios del país o región
 Algunos son malas traducciones del inglés u otro
idioma (traductores automáticos)
 Nos piden que lo reenviemos !!!
43
de la Información
Mensajes no solicitados (SPAM)
Spam son mensajes no solicitados,

habitualmente de tipo publicitario, enviados
en cantidades masivas.
Los spammers utilizan diversas técnicas para

armar largas listas de direcciones de correo a
las cuales enviarles spam:
 Búsqueda de direcciones en paginas web

y foros
 Captura de direcciones en cadenas de correo
 Suscripciones a Listas de correo
 Compra de bases de datos de direcciones de
correo
 Acceso no autorizado en servidores de correo
44
de la Información
SPAM: Recomendaciones
 No deje su dirección de correo electrónico en
cualquier formulario o foro de Internet.
 No responda los correos no solicitados. Bórrelos.
Es lo más seguro.
 En general, no conviene enviar respuesta a la
dirección que figura para evitar envíos
posteriores.
 Configure filtros o reglas de mensaje en el
programa de correo para filtrar mensajes de
determinadas direcciones.
 No configure “respuesta automática” para los
pedidos de acuse de recibo.
 No responda a los pedidos
de acuse de recibo de
orígenes dudosos.
45
de la Información
Solicitud de datos confidenciales:
Phishing
Pueden recibirse correos electrónicos de empresas
conocidas, solicitando información personal
confidencial.
Generalmente piden el envío de información, o
tienen un link hacia páginas camufladas.
Las técnicas más usadas son:

 Mensajes alarmistas para forzar
al usuario a acceder al enlace web
indicado en el mail.
 Pedidos de envío de datos en
forma inmediata. Las páginas
suelen tener poco tiempo de publicación.
46
de la Información
Solicitud de datos confidenciales
Phishing
En el caso de recibir pedidos de envío de

información confidencial, se recomienda:
 Comunicarse telefónicamente con

la Empresa, para confirmar el pedido.
 Nunca enviar por correo información
confidencial sin cifrar.
 Verificar el origen del correo.
 Verificar el destino de
los enlaces.
47
de la Información
Incidente
Un incidente de seguridad,
es un evento adverso que
puede afectar a un sistema
o red de computadoras.
Puede ser causado por una
falla en algún mecanismo de

seguridad,
un intento o amenaza (concretada o
no)
de romper mecanismos de 48
de la Información
Incidentes
 Los usuarios de servicios de

información, al momento de
tomar conocimiento directa o
indirectamente acerca de una
debilidad de seguridad, son
responsables de registrar y
comunicar las mismas al
Responsable de Seguridad
de la Información o a las
Autoridades del Organismo.
49
de la Información
Porque reportar Incidentes
 Para saber qué es lo que está pasando,

aprender de la experiencia, responder
más eficientemente la próxima vez, etc.
 A su vez el organismo debe reportar los

incidentes al ArCERT
(http://www.arcert.gov.ar), para que
este pueda colaborar en la resolución del
incidente y coordinar acciones con otros
organismos del sector público para que
no sufran los mismos ataques.
50
de la Información
Incidentes - ¿Qué deben
hacer los usuarios?
 Registrar los síntomas del problema y

los mensajes que aparecen en pantalla.
 Establecer las medidas de aplicación

inmediata ante la presencia de una anomalía.
 Alertar inmediatamente al Responsable de

Seguridad de la Información o del Activo de
que se trate.
51
de la Información
Incidentes - ¿Qué NO deben
hacer los usuarios?
 Desinstalar el software que

supuestamente tiene una anomalía.
 Realizar pruebas para detectar

y/o utilizar una supuesta debilidad
o falla de seguridad.
 Tratar de solucionar por su cuenta los

problemas que pudieran aparecer.
52

Curso Reducido

Загружено:

Сведения о документе

Оригинальное название

Авторское право

Доступные форматы

Поделиться этим документом

Поделиться или встроить документ

Параметры публикации

Этот документ был вам полезен?

Это неприемлемый материал?

Авторское право:

Доступные форматы

Curso Reducido

Загружено:

Авторское право:

Доступные форматы

Seguridad de la

Las “buenas prácticas” en

Una vulnerabilidad es una debilidad en un

Una amenaza es una violación potencial

La implementación de una “PSI”, le permite a

Todos los organismos de la APN deben contar con:

Protección de Datos Personales

Derechos del titular

Conjunto de datos expresados en formato

haber sido generado exclusivamente

 Algo que se conoce

 Algo que se posee

 Algo que se es, una

Lo ideal es hacer una combinación de 2 factores

Es un conjunto de caracteres escrito por el

 No las vincule a una característica personal,

 No utilice terminología técnica conocida

 Combine caracteres alfabéticos,

 No observe a otros mientras lo hacen.

 No escriba la clave en papelitos, ni post-it, ni en

 No comparta su clave con otros.

 No pida la clave de otro.

 No habilite la opción de “recordar

 NUNCA envíe su clave por correo electrónico ni

 No mantenga una contraseña indefinidamente.

 Si utiliza una notebook, manténgala en un

Al terminar el día, tómese unos minutos para:

 Juntar y guardar en forma segura el material

 Si debe abandonar, aunque sea

Es un conjunto de trucos, engaños

“ La mejor manera de estar prevenido,

 Todo el personal debe ser educado, desde los

Virus: Necesita interacción del usuario

Nota: Ningún antivirus puede detectar todo

 Borrar archivos del disco rígido para que la

Muchos virus, para su propagación, no solo

Armar cadenas de correos electrónicos, es una de las

“ No sé si será cierto, pero por las dudas

No sé si será cierto, pero por las dudas

Hoax es un vocablo que significa “engaño” o

Los hay de distintos tipos:

 Suelen tener frases catastróficas y/o alarmistas

Spam son mensajes no solicitados,

Los spammers utilizan diversas técnicas para

 Búsqueda de direcciones en paginas web

Las técnicas más usadas son:

En el caso de recibir pedidos de envío de

 Comunicarse telefónicamente con

falla en algún mecanismo de

 Los usuarios de servicios de

 Para saber qué es lo que está pasando,

 A su vez el organismo debe reportar los

 Registrar los síntomas del problema y

 Establecer las medidas de aplicación

 Alertar inmediatamente al Responsable de

 Desinstalar el software que

 Realizar pruebas para detectar

 Tratar de solucionar por su cuenta los

Вам также может понравиться