CAPTULO VIII :

SEGURIDAD EN LOS
SISTEMAS DE
INFORMACIN

La seguridad se refiere a las polticas, procedimientos y medidas tcnicas que se utilizan para
evitar el acceso sin autorizacin, la alteracin, el robo o el dao fsico a los sistemas de
informacin.
Los controles son mtodos, polticas y procedimientos organizacionales que refuerzan la
seguridad de los activos de la organizacin; la precisin y confiabilidad de sus registros, y la
adherencia operacional a los estndares gerenciales.

8.1 VULNERABILIDAD Y ABUSO DE LOS SISTEMAS

1.- POR QU SON VULNERABLES LOS SISTEMAS
Cuando se almacenan grandes cantidades de datos en forma electrnica, son vulnerables
a muchos ms tipos de amenazas que cuando existan en forma manual.
Los sistemas de informacin se interconectan en distintas ubicaciones a travs de las
redes de comunicaciones.
El potencial de acceso sin autorizacin, abuso o fraude no se limita a una sola ubicacin,
sino que puede ocurrir en cualquier punto de acceso en la red.

 Los intrusos pueden lanzar ataques de negacin de servicio o software malicioso para
interrumpir la operacin de los sitios Web.
Aquellas personas capaces de penetrar en los sistemas corporativos pueden destruir o
alterar los datos corporativos almacenados en bases de datos o archivos.
Los sistemas fallan si el hardware de computadora se descompone, no est configurado en
forma apropiada o se daa debido al uso inapropiado o actos delictivos.
Sin un resguardo slido, los datos valiosos se podran perder, destruir o hasta caer en manos
equivocadas y revelar importantes secretos comerciales o informacin que viole la
privacidad personal

 Vulnerabilidades de internet
Las redes pblicas grandes, como Internet, son ms vulnerables ya que estn abiertas para
casi cualquiera. Cuando ocurren abusos, pueden tener un impacto muy amplio.
Cuando Internet se vuelve parte de la red corporativa, los sistemas de informacin de la
organizacin son an ms vulnerables a las acciones de personas externas.
Las computadoras que tienen conexin constante a Internet mediante mdems de cable o
lneas de suscriptor digitales (DSL) son ms propensas a que se infiltren personas externas
debido a que usan direcciones de Internet fijas, mediante las cuales se pueden identificar con
facilidad.
La vulnerabilidad tambin ha aumentado debido al extenso uso del correo electrnico , la
mensajera instantnea (IM) y los programas de comparticin de archivos de igual a igual.
Los empleados pueden usar mensajes de correo electrnico para transmitir valiosos secretos
comerciales, datos financieros o informacin confidencial de los clientes a recipientes no
autorizados

 Desafos de seguridad inalmbrica

Las redes Bluetooth y Wi-Fi son susceptibles a la piratera informtica por parte de intrusos
curiosos. Los hackers utilizan estas herramientas para detectar redes no protegidas, monitorear
el trfico de red y obtener acceso a Internet o a redes corporativas.

Los identificadores de conjuntos de servicios (SSID) que identifican los puntos de acceso en
una red Wi-Fi se transmiten varias veces y los programas husmeadores de los intrusos pueden
detectarlos con bastante facilidad.
Un hacker puede emplear una herramienta de anlisis de 802.11 para identificar el SSID
(Windows XP, Vista y 7 tienen herramientas para detectar el SSID que se utiliza en una red y
configurar de manera automtica.
El estndar de seguridad para Wi-Fi, conocido como privacidad equivalente al cableado (WEP),
no es muy efectivo. Muchos usuarios se rehsan a utilizar las caractersticas de seguridad de
WEP y quedan desprotegidos.

2.-SOFTWARE MALICIOSO: VIRUS, GUSANOS, CABALLOS DE TROYA Y

SPYWARE
Los programas de software malicioso se conocen como malware e incluyen una variedad de
amenazas, como virus de computadora, gusanos y caballos de Troya.
VIRUS DE COMPUTADORA
Es un programa de software malintencionado que se une a otros programas de software o
archivos de datos para poder ejecutarse, por lo general sin el conocimiento o permiso del
usuario
Por lo general los virus se esparcen de una computadora a otra cuando los humanos realizan
una accin, como enviar un adjunto de correo electrnico o copiar un archivo infectado.
GUSANOS
Programas de computadora independientes que se copian a s mismos de una computadora
a otras computadoras a travs de una red

 Pueden operar por su cuenta sin necesidad de unirse a otros archivos de programa de
computadora
Dependen menos del comportamiento humano para poder esparcirse de una computadora a
otra. Esto explica por qu los gusanos de computadora se esparcen con mucha mayor
rapidez que los virus)
Los gusanos destruyen datos y programas; adems pueden interrumpir o incluso detener la
operacin de las redes de computadoras.
EL CABALLO DE TROYA
En s no es un virus, ya que no se reproduce, pero es con frecuencia un medio para que los
virus u otro tipo de software malicioso entren en un sistema computacional.
KEYLOGGERS
Registran cada pulsacin de tecla en una computadora para robar nmeros de serie de
software, obtener acceso a cuentas de correo electrnico, conseguir contraseas para los
sistemas computacionales protegidos o descubrir informacin personal tal como los nmeros
de tarjetas de crdito.

 3.- LOS HACKERS Y LOS DELITOS COMPUTACIONALES

Un hacker es un individuo que intenta obtener acceso sin autorizacin a un sistema
computacional.
El trmino cracker se utiliza con frecuencia para denotar a un hacker con intencin
criminal.
Obtienen acceso sin autorizacin al encontrar debilidades en las protecciones de seguridad
empleadas por los sitios Web y los sistemas computacionales.
CIBERVANDALISMO: la interrupcin, desfiguracin o destruccin intencional de un sitio
Web o sistema de informacin corporativo.

 Spoofing y Sniffing
Los hackers que intentan ocultar sus verdaderas identidades utilizan direcciones de correo
falsas o se hacen pasar por alguien ms.
El spoofing:
Puede implicar el hecho de redirigir un vnculo Web a una direccin distinta de la que se tena
pensada, en donde el sitio se hace pasar por el destino esperado.
Un husmeador (sniffer)
Es un tipo de programa espa que monitorea la informacin que viaja a travs de una red.
Ayudan a identificar los potenciales puntos problemticos en las redes o la actividad
criminal.
Los husmeadores permiten a los hackers robar informacin propietaria de cualquier parte
de una red, como mensajes de correo electrnico, archivos de la compaa e informes
confidenciales

 Ataques de negacin de servicio

En un ataque de negacin de servicio (DoS):
Los hackers inundan un servidor de red o de Web con muchos miles de comunicaciones o
solicitudes de servicios falsas para hacer que la red falle. La red recibe tantas solicitudes que
no puede mantener el ritmo y, por lo tanto, no est disponible para dar servicio a las
solicitudes legtimas.
Un ataque de negacin de servicio distribuida (DDoS):
Utiliza varias computadoras para saturar la red desde muchos puntos de lanzamiento.
Delitos por computadora
La mayora de las actividades de los hackers son delitos criminales. Los tipos de delitos que
provocan el mayor dao econmico son los ataques DoS, la introduccin de virus, el robo de
servicios y la interrupcin de los sistemas computacionales.

 Robo de identidad
Es un crimen en el que un impostor obtiene piezas clave de informacin personal, como
nmeros de identificacin del seguro social, nmeros de licencias de conducir o nmeros
de tarjetas de crdito, para hacerse pasar por alguien ms.
La informacin se puede utilizar para obtener crdito, mercanca o servicios a nombre de
la vctima, o para proveer al ladrn credenciales falsas
PHISHING
implica el proceso de establecer sitios Web falsos o enviar tanto correo electrnico como de
texto que se parezcan a los de las empresas legtimas, para pedir a los usuarios datos
personales o confidenciales.
LOS GEMELOS MALVADOS
Redes inalmbricas que pretenden ofrecer conexiones Wi-Fi de confianza a Internet, como las
que se encuentran en las salas de los aeropuertos, hoteles o cafeteras. Los estafadores tratan de
capturar contraseas o nmero de tarjetas de crdito de los usuarios que inician sesin en la red
sin darse cuenta de ello.

EL PHARMING
Redirige a los usuarios a una pgina Web falsa, aun y cuando el individuo escribe la direccin
de la pgina Web correcta en su navegador.
Fraude del clic
Ocurre cuando un individuo o programa de computadora hace clic de manera fraudulenta
en un anuncio en lnea, sin intencin de aprender ms sobre el anunciante o de realizar una
compra
Se ha convertido en un grave problema en Google y otros sitios Web que cuentan con
publicidad en lnea del tipo pago por clic.

 AMENAZAS INTERNAS: LOS EMPLEADOS

Los trabajadores internos de la compaa representan graves problemas de seguridad.
Los empleados tienen acceso a la informacin privilegiada, y en la presencia de
procedimientos de seguridad interna descuidados, con frecuencia son capaces de vagar por
los sistemas de una organizacin sin dejar rastro.
VULNERABILIDAD DE SOFTWARE
Los errores de software representan una constante amenaza para los sistemas de
informacin, ya que provocan prdidas incontables en cuanto a la productividad.
Un problema importante con el software es la presencia de bugs ocultos, o defectos de
cdigo del programa.
Las fallas en el software abren las redes a los intrusos.
Para corregir las fallas en el software una vez identificadas, el distribuidor del software
crea pequeas piezas de software llamadas parches para reparar las fallas sin perturbar la
operacin apropiada del software.

8.2 VALOR DE NEGOCIOS DE LA

SEGURIDAD Y EL CONTROL
Muchas compaas se rehsan a invertir mucho en seguridad debido a que no se relaciona
de manera directa con los ingresos de ventas. Sin embargo, proteger los sistemas de
informacin es algo tan imprescindible para la operacin de la empresa que merece
reconsiderarse.
Estos activos de informacin tienen un tremendo valor, y las repercusiones pueden ser
devastadoras si se pierden, destruyen o ponen en las manos equivocadas.
Los negocios deben proteger no slo sus propios activos de informacin, sino tambin los
de sus clientes, empleados y socios de negocios.
Una seguridad y un control slidos tambin incrementan la productividad de los empleados
y reducen los costos de operacin.

 1.-EVIDENCIA ELECTRNICA Y ANLISIS FORENSE DE LOS SISTEMAS

La seguridad, el control y la administracin de los registros digitales se han vuelto
fundamentales para responder a las acciones legales.
En una accin legal, una empresa se ve obligada a responder a una solicitud de exhibicin
de pruebas para acceder a la informacin que se puede utilizar como evidencia, y la
compaa debe por ley entregar esos datos.
Anlisis forense de sistemas
El proceso de recolectar, examinar, autenticar, preservar y analizar de manera cientfica
los datos retenidos o recuperados de medios de almacenamiento de computadora, de tal
forma que la informacin se pueda utilizar como evidencia en un juzgado.

Se encarga de los siguientes problemas:

Recuperar datos de las computadoras y preservar al mismo tiempo la integridad
evidencial.
Almacenar y manejar con seguridad los datos electrnicos recuperados.
Encontrar informacin importante en un gran volumen de datos electrnicos.
Presentar la informacin a un juzgado.

8.3 ESTABLECIMIENTO DE UN MARCO

DE TRABAJO PARA LA SEGURIDAD Y
CONTROL
1.-CONTROLES DE LOS SISTEMAS DE INFORMACIN

Los controles de los sistemas de informacin pueden ser manuales y automatizados

Los controles generales:
Se asignan a todas las aplicaciones computarizadas y consisten en una combinacin de
hardware, software y procedimientos manuales que crean un entorno de control en general.
Los controles generales cuentan con controles de software, controles de hardware fsicos,
controles de operaciones de computadora, controles de seguridad de datos, controles sobre
la implementacin de procesos de sistemas y controles administrativos

Los controles de aplicacin

Son controles especficos nicos para cada aplicacin computarizada, como nmina o
procesamiento de pedidos. Implican procedimientos tanto automatizados como manuales
-Los controles de aplicacin se pueden clasificar como:
1. Los controles de entrada
Verifican la precisin e integridad de los datos cuando stos entran al sistema. Hay controles
de entrada especficos para autorizacin de la entrada, conversin de datos, edicin de datos y
manejo de errores.
2. Los controles de procesamiento
Establecen que los datos sean completos y precisos durante la actualizacin.
3. Los controles de salida
Aseguran que los resultados del procesamiento de computadora sean precisos, completos y se
distribuyan de manera apropiada

 2.- EVALUACIN DEL RIESGO

Una evaluacin del riesgo ayuda a saber qu activos requieren proteccin y a determinar
el conjunto ms eficiente de controles para proteger activos.
Determina el nivel de riesgo para la firma si no se controla una actividad o proceso
especfico de manera apropiada.
No todos los riesgos se pueden anticipar o medir, pero la mayora de las empresas podrn
adquirir cierta comprensin de los riesgos a los que se enfrentan.

 3.- POLTICA DE SEGURIDAD

Una poltica de seguridad consiste de enunciados que clasifican los riesgos de
informacin, identifican los objetivos de seguridad aceptables y tambin los mecanismos
para lograr estos objetivos.
Controla las polticas que determinan el uso aceptable de los recursos de informacin de la
firma y qu miembros de la compaa tienen acceso a sus activos de informacin.
La administracin de identidad consiste en
Una poltica de uso aceptable (AUP)
los procesos de negocios para identificar a
define los usos admisibles de los
los usuarios vlidos de un sistema, y para
recursos de informacin y el equipo de
controlar su acceso a los recursos del mismo.
cmputo de la firma, que incluye las
computadoras laptop y de escritorio,
Involucra las polticas para identificar y
los dispositivos inalmbricos e Internet
autorizar a distintas categoras de usuarios
del sistema, especificar los sistemas o partes
de los mismos a los que cada usuario puede
acceder.

 4.-PLANIFICACIN DE RECUPERACIN DE DESASTRES Y PLANIFICACIN

DE LA CONTINUIDAD DE NEGOCIOS
Planificacin de recuperacin de desastres
Idea planes para restaurar los servicios de cmputo y comunicaciones despus de haberse
interrumpido.
El principal enfoque es mantener los sistemas en funcionamiento, tales como qu archivos
respaldar y el mantenimiento de los sistemas de cmputo de respaldo o los servicios de
recuperacin de desastres.
La planificacin de continuidad de negocios
Se enfoca en la forma en que la compaa puede restaurar las operaciones de negocios
despus de que ocurre un desastre

 5.-LA FUNCIN DE LA AUDITORA

Cmo sabe la gerencia que la seguridad y los controles de los sistemas de informacin son
efectivos?
Para responder a esta pregunta, las organizaciones deben llevar a cabo auditoras exhaustivas y
sistemticas.
Una auditora de MIS examina el entorno de seguridad general de la firma, adems de
controlar el gobierno de los sistemas de informacin individuales.
Las auditoras de seguridad revisan las tecnologas, los procedimientos, la documentacin,
la capacitacin y el personal.
Una auditora detallada puede incluso simular un ataque o desastre para evaluar la respuesta
de la tecnologa, el personal de sistemas de informacin y los empleados de la empresa.

8.4 TECNOLOGAS Y
HERRAMIENTAS PARA PROTEGER
LOS RECURSOS DE
INFORMACIN
Las empresas cuentan con una variedad de tecnologas para proteger
sus recursos de informacin, tales como herramientas para administrar
las identidades de los usuarios, evitar el acceso no autorizado a los
sistemas y datos, asegurar la disponibilidad del sistema y asegurar la
calidad del software.

 1.-ADMINISTRACIN DE LA IDENTIDAD Y LA AUTENTICACIN

Las compaas grandes y de tamao mediano tienen infraestructuras de TI complejas y muchos
sistemas distintos, cada uno con su propio conjunto de usuarios.
Para obtener acceso a un sistema, es necesario que el usuario tenga autorizacin y est
autenticado
La autenticacin se refiere a la habilidad de saber que una persona es
quien dice ser.
La forma ms comn de establecer la autenticacin es mediante el uso de
contraseas que slo conocen los usuarios autorizados

Las nuevas tecnologas de autenticacin, como los tokens, las tarjetas inteligentes y la
autenticacin biomtrica, solucionan algunos de estos problemas

 Un token es un dispositivo fsico, similar a una tarjeta de

identificacin, que est diseado para demostrar la
identidad de un solo usuario

Una tarjeta inteligente es un dispositivo con un tamao

aproximado al de una tarjeta de crdito, que contiene un chip
formateado con permiso de acceso y otros datos

La autenticacin biomtrica usa sistemas que leen e

interpretan rasgos humanos individuales, como las huellas
digitales, el iris de los ojos y las voces, para poder otorgar o
negar el acceso.

 2.- FIREWALL, SISTEMAS DE DETECCIN DE INSTRUSOS Y SOFTWARE

ANTIVIRUS
Los firewalls, los sistemas de deteccin de intrusos y el software antivirus se han
vuelto herramientas de negocios esenciales.
LOS FIREWALLS
Evitan que los usuarios sin autorizacin accedan a redes privadas. Un firewall es una
combinacin de hardware y software que controla el flujo de trfico de red entrante y
saliente.
Identifica nombres, direcciones IP, aplicaciones y otras caractersticas del trfico
entrante.
Para crear un buen firewall, un administrador debe mantener reglas internas detalladas
que identifiquen a las personas, aplicaciones o direcciones que se permiten o rechazan.
Existen varias tecnologas de filtrado de firewall, como el filtrado de paquete esttico,
la inspeccin con estado, la Traduccin de direcciones de red (NAT) y el filtrado de
proxy de aplicacin

El filtrado de paquetes
Examina ciertos campos en los encabezados de los paquetes de datos que van y vienen
entre la red de confianza e Internet; se examinan paquetes individuales aislados
La inspeccin con estado
Provee una seguridad adicional al determinar si los paquetes forman parte de un
dilogo continuo entre un emisor y un receptor
La traduccin de direcciones de red (NAT)
Puede proveer otra capa de proteccin
cuando se emplean el filtrado de paquetes
estticos y la inspeccin con estado. NAT
oculta las direcciones IP de la(s)
computadora(s) host interna(s) de la
organizacin para evitar que los programas
husmeadores,

El filtrado de proxy de aplicacin

Examina el contenido de los paquetes
relacionado con aplicaciones. Un
servidor proxy detiene los paquetes de
datos que se originan fuera de la
organizacin, los inspecciona y pasa un
proxy al otro lado del firewall

 Sistemas de deteccin de intrusos

Contienen herramientas de monitoreo de tiempo completo que se colocan en
los puntos ms vulnerables, o puntos activos de las redes corporativas,
para detectar y evadir a los intrusos de manera continua.
El sistema genera una alarma si encuentra un evento sospechoso o anormal
Software antivirus
El software antivirus est diseado para revisar los sistemas
computacionales y las unidades en busca de la presencia de virus de
computadora. Por lo general, el software elimina el virus del rea infectada.

 Sistemas de administracin unificada de amenazas

Para ayudar a las empresas a reducir costos y mejorar la capacidad de administracin,
se han combinado varias herramientas de seguridad en un solo paquete, que ofrece
firewalls, redes privadas virtuales, sistemas de deteccin de intrusos y software de
filtrado de contenido Web y antispam.
Estos productos de administracin de seguridad completos se conocen como sistemas
de administracin unificada de amenazas (UTM).
3.- SEGURIDAD EN LAS REDES INALMBRICAS
A pesar de sus fallas, WEP ofrece cierto margen de seguridad si los usuarios de Wi-Fi
recuerdan activarla.
Las corporaciones pueden mejorar an ms la seguridad Wi-Fi si utilizan WEP junto
con la tecnologa de redes privadas virtuales (VPN) para acceder a los datos
corporativos internos.

 4.-CIFRADO E INFRAESTRUCTURA DE CLAVE PBLICA.

El cifrado es el proceso de transformar texto o datos simples en texto cifrado que no
pueda leer nadie ms que el emisor y el receptor deseado.
Para cifrar los datos se utiliza un cdigo numrico secreto, conocido como clave de
cifrado,
Los dos mtodos para cifrar el trfico de red en Web son SSL y S-HTTP.
1.-La capa de sockets seguros (SSL) permiten que las computadoras cliente y servidor
manejen las actividades de cifrado y descifrado a medida que se comunican entre s durante
una sesin Web segura.
2.-El protocolo de transferencia de hipertexto seguro (S-HTTP) es otro protocolo que se
utiliza para cifrar los datos que fluyen a travs de Internet, pero se limita a mensajes
individuales

 5.-ASEGURAMIENTO DE LA DISPONIBILIDAD DEL SISTEMA

A medida que las compaas dependen cada vez ms de las redes digitales para obtener
ingresos y operaciones, necesitan realizar ciertos pasos adicionales para asegurar que sus
sistemas y aplicaciones estn siempre disponibles

 Control del trfico de red: inspeccin profunda de paquetes (dpi)

Las aplicaciones que consumen ancho de banda, como los programas de procesamiento de
archivos, el servicio telefnico por Internet y el video en lnea, son capaces de obstruir y
reducir la velocidad de las redes corporativas, lo cual degrada su desempeo.
DPI examina los archivos de datos y ordena el material en lnea de baja prioridad mientras
asigna mayor prioridad a los archivos crticos para la empresa.
Subcontratacin (outsourcing) de la seguridad
Muchas compaas, en especial las pequeas empresas, carecen de los recursos o la
experiencia para proveer un entorno de computacin seguro. Por fortuna, pueden
subcontratar muchas funciones de seguridad con proveedores de servicios de seguridad
administrados (MSSP), quienes monitorean la actividad de la red y realizan pruebas de
vulnerabilidad, adems de deteccin de intrusos.

 6.- ASPECTOS DE SEGURIDAD PARA LA COMPUTACIN EN LA NUBE Y LA

PLATAFORMA DIGITAL MVIL
Seguridad en la nube
Cuando el procesamiento se lleva a cabo en la nube, la rendicin de cuentas y la
responsabilidad de proteger los datos confidenciales an recae en la compaa que posee esos
datos.
Es imprescindible comprender cmo es que el proveedor de computacin en la nube organiza
sus servicios y administra los datos.
Seguridad en las plataformas mviles
Si los dispositivos mviles estn realizando muchas de las funciones de las computadoras,
necesitan estar protegidos de igual forma que las computadoras de escritorio y laptops contra
malware, robo, prdida accidental, acceso sin autorizacin y hackers.
Las compaas tendrn que asegurar que todos los telfonos inteligentes estn actualizados
con los parches de seguridad ms reciente y con software antivirus/antispam; adems la
comunicacin se debe cifrar siempre que sea posible

 7.-ASEGURAMIENTO DE LA CALIDAD DEL SOFTWARE

La mtrica de software consiste en las evaluaciones de los objetivos del sistema en
forma de medidas cuantificadas.
El uso continuo de la mtrica permite al departamento de sistemas de informacin y
a los usuarios finales medir en conjunto el desempeo del sistema, e identificar los
problemas a medida que ocurren.

GRACIAS