Plantel nm. 9 Lomas de Poleo.
Submodulo 3
Tema:
Establece la seguridad informtica en el
equipo de cmputo
Pasos para plan de seguridad.
Maestra: domenica urquidi.
Alumno: Cristian Daniel Garca
301 SMEC
2/04/14
Anlisis y valoracin de riesgo.
El proyecro comienza con el anlisis del impacto en la organizacin.
Durante esta etapa se identifica los procesos crticos o esenciales y sus
repercinciones en caso de no estar en funcionamiento.
El primer componente del plan de seguridad debe ser una descripcin del servicio
y el riesgo para ese servicio, igualmente se debe determinar el costo que
representa para la organizacin el experimentar un desastre que afecten la
actividad empresarial.
Partir de que el plan de seguridad informtica es la expresin grafica del sistema
de seguridad informtica diseado y de que la esencia de ese diseo es la
realizacin de un anlisis de riesgo, no se concibe seguir adelante en la
elaboracin del plan sin dejar claramente precisando, por lo que en este acpite
debern relacionarse en las principales conclusiones obtenidas en ese proceso,
entre las cuales no pueden faltar:
a) cuales son los activos y recursos ms importantes para la gestin de la
entidad y por lo tanto requiere de una atencin especial desde el punto de
vista de la proteccin, especificando aquellos considerados de la
importancia crtica por el peso que tiene dentro del sistema.
b) que amenazas actan sobre los activos y recursos a proteger y entre ellas
cuales tienen una mayor probabilidad de materializarse (riesgo) y su posible
impacto sobre la entidad.
c) Cules son los activos, recursos y reas con un mayor peso y que amenaza
lo motivan.
En la medida en que las conclusiones del anlisis de riesgo sea ms
precisas se logra una versin ms acertada de hacienda donde pude ser
dirigidos los mayores esfuerzos de seguridad y por supuesto os recursos
disponibles para ello, logrndose que la misma sea ms restable.
Poltica de seguridad informtica.
En esta seccin se vern los aspectos que conforman la estrategia a seguir
Por la Entidad sobre la base de sus caractersticas propias y en
conformidad con la poltica vigente en el negocio en esta materia y el
sistema de seguridad diseado, mediante el establecimiento de las normas
generales que debe cumplir el personal que participa en el sistema
informtico, las cuales se derivan de los resultados obtenidos en el anlisis
de riesgos y de las definidas por las instancias superiores en las leyes,
reglamentos, resoluciones y otros documentos rectores.
Al definir las polticas de Seguridad Informtica se considerarn, entre
otros, los aspectos siguientes:
a) El empleo conveniente y seguro de las tecnologas instaladas y
cada uno de los servicios que estas pueden ofrecer.
b) El tratamiento que require la informacin oficial que se
procese,intercambie, reproduzca o conserves de las tecnologas
de in formacin, segn su categora
c) La definicin de los privilegios y derechos de acceso a los
activos de informacin para garantizar su proteccin contra
modificaciones no autorizadas, perdidas o revelacin.
d) Los principios que garanticen un efectivo control de acceso a la
tecnologa, incluyendo el acceso remoto, y a los locales donde
esta se encuentren.
e) La salva y conservacin de la informacin.
Sistema de seguridad informtica:
En esta seccin se pude describir como se va implementar, en
cada una de las reas a proteger, las polticas generales que han
sido definidas para toda la entidad, en correspondencia con las
necesidades de proctesion en cada una de ellas, atendiendo a
sus formas de ejecucin, periodicidad, personal participantes y
medios .
Medios tcnicos de seguridad:
Ahora se describiran los medios tcnicos utilizados en funcin de
garantizar niveles de seguridad adecuados ,tanto al nivel de
software como de hardware,asi como la configuracin delos
mismos .para lo cual tendr en cuenta:
Sistema operativo y nivel de seguridad instalado.
Tipo de redes utilizadas y topologa de la misma .
Conexin a redes externas de la entidad.
Servidores de uso interno y externo.
Barrera de proctecion y su arquitectura .
Empleo de firewall,de hosts bastiones,sistema proxy,etc.
Habilitacin de trazas y subsistemas de auditora,
Establecimiento de alarmas del sistema,
Sistemas de proteccin criptogrfica,
Dispositivos de identificacin y autenticacin de usuarios,
Proteccin contra programas no deseados,
Software especiales de seguridad,
Medios tcnicos de deteccin de intrusos,
Cerraduras de disqueteras,
Dispositivos de proteccin contra robo de equipos y
componentes,
Sistemas de aterramiento,
Proteccin electromagntica,
Fuentes de respaldo de energa elctrica,
Medios contra incendios,
Medios de climatizacin,
Otros.
Medidas y procedimiento de seguridad informtica.
En esta parte se relacinaran las acciones que deben ser realizadas en cada area
eapecifica por el personal a que en correspondencia con las polticas generales para
toda la entidad en l caso que se requiera ,de los mediuos tcnicos descritos a las
necesidades de proctecion de cada una de ellas de acuerso con el peso del
riesgoestimado para cada bien informatico objeto de proctecion.
Algunos procedimientos a considerar son los siguientes:
Algunos procedimientos a considerar son los siguientes:
Otorgar (retirar) el acceso de personas a las tecnologas de informacin y
como se controla el mismo.
Asignar (retirar) derechos y permisos sobre los ficheros y datos a los
usuarios.
Autorizar (denegar) servicios a los usuarios. (Ejemplo: Correo Electrnico,
Internet)
Definir perfiles de trabajo.
Autorizacin y control de la entrada/salida de las tecnologas de
informacin.
Gestionar las claves de acceso considerando para cada nivel el tipo de
clave atendiendo a su longitud y composicin, la frecuencia de
actualizacin, quin debe cambiarla, su custodia, etc.
Realizacin de salva de respaldo, segn el rgimen de trabajo de las
reas,
de forma que las salvas se mantengan actualizadas, y las acciones que se
adoptan para establecer la salvaguarda de las mismas, de forma que se
garantice la compartimentacin de la informacin segn su nivel de
confidencialidad.
Garantizar que los mantenimientos de los equipos, soportes y datos, se
realicen en presencia y bajo la supervisin de personal responsable y que
en caso del traslado del equipo fuera de la entidad la informacin
clasificada o limitada sea borrada fsicamente o protegida su divulgacin.
Salva y anlisis de registros o trazas de auditoria, especificando quien lo
realiza y con qu frecuencia.
De proteccin fsica.
A las reas con tecnologas instaladas
Se precisarn, a partir de las definiciones establecidas en el Reglamento
sobre la Seguridad Informtica, las reas que se consideran vitales y
reservadas en correspondencia con el tipo de informacin que se procese,
intercambie, reproduzca o conserve en las mismas o el impacto que pueda
ocasionar para la Entidad la afectacin de los activos o recursos que en
ellas se encuentren, relacionando las medidas y procedimientos
especficos que se apliquen en cada una. (Ejemplo: restricciones para
limitar el acceso a los locales, procedimientos para el empleo de cierres de
seguridad y dispositivos tcnicos de deteccin de intrusos, etc.)
Control de acceso a los activos y recursos
En esta parte del Plan se describirn las medidas y procedimientos que
aseguran el acceso autorizado a los activos de informacin y recursos
informticos que requieren la imposicin de restricciones a su empleo,
especificando:
A que activos y recursos se le implementan medidas de control de acceso.
Mtodos de control de acceso utilizados.
Quien otorga los derechos y privilegios de acceso.
A quien se otorgan los derechos y privilegios de acceso.
Como se otorgan y suspenden los derechos y privilegios de acceso.
El control de acceso a los activos y recursos deber estar basado en una
poltica de mnimo privilegio, en el sentido de otorgar a cada usuario solo
los derechos y privilegios que requiera para el cumplimiento de las
funciones
que tenga asignadas.
Integridad de los ficheros y datos
Se describirn las medidas y procedimientos establecidos con el fin de
evitar
la modificacin no autorizada, destruccin y prdida de los ficheros y datos,
as como para impedir que sean accedidos pblicamente, especificando:
Medidas de seguridad implementadas a nivel de sistemas operativos,
aplicacin o ambos para restringir y controlar el acceso a las bases de
datos.
Medidas para garantizar la integridad del software y la configuracin de los
medios tcnicos.
Empleo de medios criptogrficos para la proteccin de ficheros y datos.
Medidas y procedimientos establecidos para la proteccin contra virus y
otros programas dainos que puedan afectar los sistemas en explotacin,
as como para evitar su generalizacin, especificando los programas
antivirus utilizados y su rgimen de instalacin y actualizacin.
Auditora y Alarmas
Se describirn las medidas y procedimientos implementados para el
registro y anlisis de las trazas de auditora en las redes y sistemas
instalados, con el fin de monitorear las acciones que se realicen (acceso a
ficheros, dispositivos, empleo de los servicios, etc.), y detectar indicios de
hechos relevantes a los efectos de la seguridad que puedan afectar la
estabilidad o el funcionamiento del sistema informtico.
En caso de empleo de software especializado que permita la deteccin de
posibles errores de configuracin u otras vulnerabilidades se describirn
los procedimientos requeridos.
Se describirn adems las medidas que garanticen la integridad de los
mecanismos y registros de auditora limitando su acceso solo a las
personas autorizadas para ello.
Seguridad de operaciones
En esta parte del Plan se incluirn las medidas y procedimientos
relacionados
con los siguientes aspectos:
Identificacin y control de las tecnologas en explotacin, en particular
aquellas donde se procese informacin clasificada.
Control sobre la entrada y salida en la entidad de las tecnologas de
informacin (mquinas porttiles, perifricos, soportes, etc.).
Metodologa establecida para las salvas de la informacin, especificando
su
periodicidad, responsabilidades, cantidad de versiones, etc.)
Acciones especficas durante las conexiones externas a la entidad.
Autorizar (denegar) servicios a los usuarios. (Ejemplo: Correo Electrnico,
Internet)
Gestin de las claves de acceso considerando para cada nivel el tipo de
clave, la frecuencia de actualizacin, quin debe cambiarla, su custodia,
etc.
Gestin de salvas de respaldo, segn el rgimen de trabajo de las reas,
incluyendo las acciones que se adoptan para establecer la salvaguarda de
las mismas.
Mantenimientos de los equipos, soportes y datos en presencia y bajo la
supervisin de personal responsable y en caso del traslado de equipos
fuera
de la entidad.
Salva y anlisis de registros o trazas de auditoria, especificando quien lo
realiza y con qu frecuencia.
De recuperacin ante contingencias
Se describirn las medidas y procedimientos de neutralizacin y
recuperacin ante cualquier eventualidad que pueda paralizar total o
parcialmente la actividad informtica o degraden su funcionamiento,
minimizando el impacto negativo de stas sobre la entidad.
A partir de los resultados obtenidos en el anlisis de riesgos, se
determinarn las acciones a realizar para neutralizar aquellas amenazas
que tengan mayor probabilidad de ocurrencia en caso de materializarse,
as como para la recuperacin de los procesos, servicios o sistemas
afectados, precisando en
cada caso:
Que acciones se deben realizar.
Quin las realiza.
En que momento debe realizarlas.
Como debe realizarlas.
De qu recursos debe disponer.
Programa de Seguridad Informtica
En esta parte del Plan se incluirn aquellos aspectos cuya realizacin
requiera de un tiempo adicional, ya sea porque necesitan algn tipo de
recursos con que no se cuenta, la realizacin de gestiones
complementarias u otras causas, sealando los plazos para su
cumplimiento y el personal responsabilizado con su ejecucin. Los
aspectos que lo requieran deben ser considerados dentro del Plan de
Inversiones de la entidad. Algunos aspectos a considerar pudieran ser
los siguientes:
La implementacin a mediano y largo plazo de aquellos aspectos que as
lo exijan para lograr un nivel de seguridad ptimo, como por ejemplo la
introduccin de medios tcnicos de seguridad, modificacin de locales, etc.
La preparacin y capacitacin del personal en materia de seguridad
informtica, segn su participacin en el sistema diseado, ya sea a travs
de cursos especficos, mediante la imparticin de materias relacionadas
con el tema u otras medidas de divulgacin.
La organizacin y ejecucin de pruebas, inspecciones y auditoras
(internas y externas) para asegurar la continuidad de la integridad funcional
del Sistema de Seguridad Informtica existente, mencionando con que
frecuencia se realizan, quienes participan y el contenido de las mismas.
Listado nominal de Usuarios con acceso a redes de alcance
global
Si la entidad tiene acceso a redes de alcance global se anexar un Listado
de Usuarios autorizados, especificando Nombre, Apellidos y Cargo que
ocupa en la entidad, as como los Servicios para los que est autorizado.
Registros
Se definirn los documentos de registro que se requieran para el control de
la actividad, de acuerdo a los requerimientos del sistema de seguridad
diseado, pudindose considerarse entre otros los siguientes:
Registro de inspecciones.
Registro y control de los soportes.
Registro de software de nueva adquisicin.
Registro de entrada, salida y movimiento de tecnologas de informacin.
Registro de incidencias de la Seguridad Informtica.
