SEGURIDAD INFORMATICA

Exposición Brindada a estudiantes del Instituto Superior Tecnológico UNITEK de la ciudad de Ilo en el 2014, Resaltando que la Información es un activo valioso para las empresas...

1. Ponente:
Ing. Walter Edison Alanya Flores
•Presidente del Capitulo de Sistemas -Colegio de Ingenieros del Perú de Tacna
•Jefe de la Unidad de Informática de la Municipalidad Distrital de Ite
•Docente Contratado de : UPT, ITEL-UNJBG , EXETEC-Moquegua
•Consultor de TI

2. INTRODUCCIÓN.
¿QUÉ ES LA SEGURIDAD INFORMÁTICA?.
SEGURIDAD DE INFORMACION Y PROTECCION DE DATOS.
¿QUÈ ABARCA?
EL OBJETIVO DE LA SEGURIDAD INFORMÁTICA
PRINCIPIOS.
TIPOS DE SEGURIDAD: SEGURIDAD FISICA Y LOGICA.
LA SEGURIDAD INFORMÁTICA ESTÁ CONCEBIDA PARA PROTEGER LOS
ACTIVOS INFORMÁTICOS.
GESTION DE RIESGO EN LA SEGURIDAD INFORMATICA.
¿QUÉ ES UN AMENAZA?
TIPOS DE AMENAZA
LAS AMENAZAS PUEDEN SER CAUSADAS POR.
¿QUÉ ES LA VULNERABILIDAD?
LAS VULNERABILIDADE SE PUEDEN AGRUPAR EN GRUPOS
INGENIERÍA SOCIAL
TÉCNICAS PARA ASEGURAR EL SISTEMA
ALGUNAS AFIRMACIONES ERRÓNEAS COMUNES ACERCA DE LA SEGURIDAD.

3. Nuevastecnologíashanrevolucionadolaformadeproveerserviciosyhacer
negociosperotambiénhanintroducidonuevosriesgos.
Esnecesarioreconoceryasumirquelaseguridadtotalnoexiste.
Incidentesdeseguridadinformáticasonundatodelarealidadyesnecesario
desarrollarmecanismosparagestionarlos.
Lacomplejidadpararealizarunataquesofisticadohadisminuido
significativamenteylamotivaciónsehadiversificadoeincrementado.
Velocidadconlaquelasempresasyorganizacionespuedanreconocer,analizar
yresponderaunincidentelimitarálosdañosydisminuiráloscostosde
recuperación.

5. “Elúnicosistemaseguroesaquelqueestáapagadoy
desconectado,enterradoenunrefugiodeconcreto,
rodeadoporgasvenenosoycustodiadoporguardianes
bienpagadosymuybienarmados.Aunasíyono
apostaríamividaporél”.
Por: GENE SPAFFORD
EugeneSpaffordHoward:(nacidoen1956)
ConocidocomúnmentecomoSpaf,Esunprofesordecienciasdela
computaciónenlaUniversidaddePurdue-USAyunlíderenseguridad
informáticadeexpertos.
Elegidoenel2013miembrodelSalóndelaFamadeCiberseguridad

6. SEGURIDAD INFORMÁTICA NO ES SOLAMENTE
IMPLEMENTAR USUARIOS Y CONTRASEÑAS
La seguridad es… SERVICIO
AntiVirus
AntiPhishing
Firewalls
Control de Accesos
AntiSpam
Sistemas de detección de Intrusos
Análisis de Vulnerabilidades
PKI
Debe implementarse utilizando… Criterio de Negocio
Concientización de usuarios
Encripción
Análisis de Riesgo
Evaluación de Software
Análisis Forense ABM de Usuarios
Herramientas Forenses
Doble Factor de Autenticación
Desarrollo de Políticas Normas y Estándares
Análisis de Eventos
Plan de Continuidad de Negocio
Gestión de Incidentes
Controles
Permisos mínimos necesarios
Marcos Normativos
Correlación de eventos
Test de Penetración

7. La seguridad es más que un
producto que podamos comprar, es
un proceso, son hábitos, es cultura,
es monitoreo y mejora continua.....

8. Esla“cualidaddeseguro”.Buscamosahoraseguroy
obtenemos“libreyexentodetodopeligro,dañooriesgo”.
Apartirdeestasdefinicionesnopodríamosaceptarque
seguridadinformáticaes“lacualidaddeunsistemainformático
exentodepeligro”,porloquehabráquebuscarunadefinición
másapropiada.

9. Unconjuntodemétodosyherramientasdestinadosaprotegerlainformación
yporendelossistemasinformáticosantecualquieramenaza,unprocesoen
elcualparticipanademáspersonas.Concientizarlasdesuimportanciaenel
procesoseráalgocrítico.
Laseguridadinformáticaeseláreadelainformáticaqueseenfocaenla
proteccióndelainfraestructuracomputacionalytodolorelacionadoconesta
(incluyendolainformacióncontenida).

11. EnlaSeguridadInformáticasedebedistinguir02propósitosdeprotección,la
SeguridaddelaInformaciónylaProteccióndeDatos.
El objetivo de la protección son los datos mismos y
trata de evitar su perdida y modificación No-
autorizado. La protección debe garantizar en primer
lugar laconfidencialidad,integridad,
disponibilidady la autenticidad de los datos.
El objetivo de la protección no son los datos en si
mismo, sino el contenido de la información sobre
personas, para evitar el abuso de esta;
implementación de medidas de protección, por parte
de la institución o persona que maneja los datos

13. Laseguridadinformáticacomprendesoftware,basesdedatos,
metadatos,archivosytodoloquelaorganizaciónvalore
(activo)ysignifiqueunriesgosiéstallegaamanosdeotras
personas.
Estetipodeinformaciónseconocecomoinformación
privilegiadaoconfidencial.

14. EsmantenerlaIntegridad,Disponibilidad,Privacidad,Controly
Autenticidaddelainformaciónmanejadaporcomputadora.
OBJETIVOSESPEFICOS:
•Capacidadparalocalizarlosprincipaleselementos
críticosdelareddeunaempresayevaluarlos
principalesriesgosdeseguridad.
•Capacidadparaidentificarlosriesgosdeseguridaddeun
determinadoflujodeinformaciónenunentorno.
•Conocerlosmecanismosytecnologíasbásicas
relacionadosconlaidentidaddigitalylaprotecciónde
datosdecarácterpersonal.
•Capacidadparasaberdecidirlasmedidasdeseguridad
másapropiadasparaaplicaranteundeterminado
escenarioderiesgos.

15. INTEGRIDAD:
Garantizar que los datos sean los
que se supone que son
CONFIDENCIALIDAD:
Asegurar que sólo los individuos
autorizados tengan acceso a los
recursos que se intercambian
DISPONIBILIDAD:
Garantizar el correcto
funcionamiento de los sistemas
de información
AUTENTICACIÓN:
Asegurar que sólo los individuos
autorizados tengan acceso a los
recursos
EVITAR EL RECHAZO:
Garantizar de que no pueda
negar una operación realizada

17. Consisteenlaaplicacióndebarrerasfísicasyprocedimientosdecontrol,
comomedidasdeprevenciónparaquenoleocurranadaalosequiposde
cómputo,laseguridadfísicaesunodelosaspectosmásolvidadosala
horadeldiseñodeunsistemainformático.
PorEjemplo:Incendios,inundaciones,terremotos,instalacióneléctrica,entreotros.

18. SEGURIDAD:Nuestrosistemanosólopuedeverseafectadodemanera
física,sinotambiéncontralaInformaciónalmacenada,Elactivomás
importantequeseposeeeslainformación,yporlotantodebenexistir
técnicas,másalládelaseguridadfísica,quelaaseguren.
PorEjemplo:Controldeacceso,autenticación,encriptación,firewalls,antivirus.

20. Entrelosqueseencuentranlossiguientes:
LaInfraestructuraComputacional:Debemosvelarquelos
equiposfuncionenadecuadamenteyanticiparseencaso
defallas,robos,incendios,boicot,desastresnaturales,
fallasenelsuministroeléctricoycualquierotrofactor
queatentecontralainfraestructurainformática.
LosUsuarios:Debeprotegerseelsistemaengeneralpara
queelusoporpartedeellosnopuedaponeren
entredicholaseguridaddelainformaciónytampocoque
lainformaciónquemanejanoalmacenanseavulnerable.
LaInformación:Eselprincipalactivo.Utilizayresideenla
infraestructuracomputacionalyesutilizadaporlos
usuarios.

21. DATA CENTER

23. LaGestióndeRiesgoesunmétodoparadeterminar,analizar,valoraryclasificarel
riesgo,paraposteriormenteimplementarmecanismosquepermitancontrolarlo.
Ensuformageneralcontienecuatrofases:
Determina los componentes de un
sistema que requiere protección, sus
vulnerabilidades que lo debilitan y las
amenazas que lo ponen en peligro,
con el resultado de revelar su grado
de riesgo.
Analiza el funcionamiento, la
efectividad y el cumplimiento de las
medidas, para determinar y ajustar
las medidas deficientes y sanciona el
incumplimiento.
Determina si los riesgos
encontrados y los riesgos
restantes son aceptables.
Define e implementa las medidas
de protección. Además
sensibiliza y capacita los usuarios
conforme a las medidas.

24. Implementar medidas de
protección significa invertir en
recursos como tiempo y dinero.

25. Implementar procesos y medidas de
protección, para garantizar la seguridad, no es
una cosa que se hace una vez y después se
olvide, sino requiere un control continuo de
cumplimiento, funcionalidad y una adaptación
periódica, de las medidas de protección
implementadas, al entorno cambiante.

26. El error más común que se comete es que
no se implementa medidas de protección,
hasta que después del desastre, y las
escusas o razones del porque no se
hizo/hace nada al respecto abundan.

27. Eslaposibilidaddeocurrenciadecualquiertipodeeventoo
acciónquepuedeproducirundaño(materialoinmaterial)
sobreloselementosdeunsistema,enelcasodelaSeguridad
Informática,losElementosdeInformación.

28. Amenazas por el origen
•Amenazasinternas
•Amenazasexternas
Amenazas por el efecto
•Robodeinformación.
•Destruccióndeinformación.
•Anulacióndelfuncionamientodelossistemaso
efectosquetiendanaello.
•Suplantacióndelaidentidad,publicidadde
datospersonalesoconfidenciales,cambiode
información,ventadedatospersonales,etc.
•Robodedinero,estafas,...
Amenazas por el medio utilizado
•Virusinformático.
•Phishing.
•Ingenieríasocial
•Denegacióndeservicio
•Spoofing:deDNS,deIP,deDHCP,etc
TIPOS DE AMENAZA

29. Las amenazas informáticas que viene en el
futuro ya no son con la inclusión de
troyanos en los sistemas o software espía,
sino con el hecho de que los ataques se han
profesionalizado y manipulan el significado
del contenido virtual.

30. Mantenerlassolucionesactivadasyactualizadas.
Evitarrealizaroperacionescomercialesencomputadorasdeuso
públicooenredesabiertas.
Verificarlosarchivosadjuntosdemensajessospechososyevitarsu
descargaencasodeduda.

31. Usuarios:Causadelmayorproblemaligadoalaseguridad
deunsistemainformático.
Programasmaliciosos:Programasdestinadosaperjudicaro
ahacerunusoilícitodelosrecursosdelsistema,como:virus
informático,spywareymalware.
Erroresdeprogramación:Lamayoríadeloserroresde
programaciónquesepuedenconsiderarcomounaamenaza
informáticaesporsucondicióndepoderserusados
comoexploitsporloscrackers,aunquesedancasosdonde
elmaldesarrolloes,ensímismo,unaamenaza.
Intrusos:personaqueconsiguenaccederalosdatoso
programasaloscualesnoestánautorizados(crackers,
defacers,hackers,scriptkiddieoscriptboy,viruxers,etc.).

32. Unsiniestro(robo,incendio,inundación):una
malamanipulaciónounamalaintenciónderivana
lapérdidadelmaterialodelosarchivos.
Personaltécnicointerno:técnicosdesistemas,
administradoresdebasesdedatos,técnicosde
desarrollo,etc.Losmotivosqueseencuentran
entreloshabitualesson:disputasinternas,
problemaslaborales,despidos,fineslucrativos,
espionaje,etc.
Falloselectrónicosológicosdelossistemas
informáticosengeneral.
Catástrofenaturales:rayos,terremotos,
inundaciones,rayoscósmicos,etc.

33. Eslacapacidad,lascondicionesycaracterísticasdelsistemamismo
(incluyendolaentidadquelomaneja),quelohacesusceptibleaamenazas,
conelresultadodesufriralgúndaño.Enotraspalabras,eslacapacitady
posibilidaddeunsistemaderesponderoreaccionaraunaamenazaode
recuperarsedeundaño.

34. Las vulnerabilidades están en directa
interrelación con las amenazas porque si
no existe una amenaza tampoco existe la
vulnerabilidad o no tiene importancia,
porque no se puede ocasionar un daño.

35. Dependiendodelcontextodelainstitución:
Ambiental/Física:DesastresNaturales,incendiosaccidentales
tormentaseinundaciones,Ubicación,CapacidadTécnica,Materiales…
Económica:Escasezymanejoderecursos.
Social–Educativo:Relaciones,Comportamientos,Métodos,Conductas…
Institucional/Política:Procesos,Organización,Burocracia,Corrupción,
Autonomía,…

36. Eselartedemanipularalaspersonas,conelfindeobtener
informaciónquereveletodolonecesarioparapenetrarla
seguridaddealgúnsistema.
Estatécnicaesunadelasmásusadasalahoradeaveriguar
nombresdeusuarioycontraseñas.

37. La Seguridad se ha
convertido en un área
crítica de los Sistemas de
Información

38. El activo más importante que se posee es la información y, por
lo tanto, deben existir técnicas que la aseguren, más allá de
laseguridad físicaque se establezca sobre los equipos en los
cuales se almacena.

39. Cada tipo de ataque y cada sistema
requiere de un medio de protección
o más , en la mayoría de los casos es
una combinación de varios de ellos
A continuación se enumeran una serie de medidas que
se consideran básicas:

51. Misistemanoesimportanteparaunhacker.
Estoyprotegidopuesnoabroarchivosqueno
conozco.
Comotengoantivirusestoyprotegido.
Comodispongodeunfirewallnomecontagio.
Tengounservidorwebcuyosistemaoperativoes
unUnixactualizadoalafechayportantoseguro

52. LEY27309queincorporaalCódigoPenaldelPerúlosDelitosInformáticos
(Promulgadael15deJuliodelaño2000).
LeyN°27269LeydeFirmasyCertificadosDigitalesdelPerú.
LEYNº27310-Modificaelartículo11°delaleyN°27269.
LEYNº28493-Leyqueregulaelusodelcorreoelectróniconosolicitado
(SPAM).
LEYNº27291-Modificaelcódigocivilpermitiendolautilizacióndelos
medioselectrónicosparalacomunicacióndelamanifestacióndevoluntady
lautilizacióndelafirmaelectrónica.
LEYNº27419-Leysobrenotificaciónporcorreoelectrónico
LEYNº26612-Medianteelcualseregulaelusodetecnologíasavanzadas
enmateriadearchivodedocumentoseinformación
ProcedimientosLegales-LosDelitoscontraelhonor(difamación,calumniae
injuria)
NTP1799BuenasPracticasdeSeguridaddelaInformación.
ResoluciónMinisterial129-2012-PCM:ImplementaciónIncrementaldeNTP-
ISO/IEC27001:2008

53. http://www.ongei.gob.pe/

54. http://www.isaca.org.pe/

55. Ponente:
Ing.WalterEdisonAlanyaFlores
Email:
[email protected]
Dedicado a mi Tío Jesús Salas