ARQUITECTURA
DE
MÓDULO DIDÁCTICO PLATAFORMAS Y
SERVICIOS DE T.I.
–I
SEGURIDAD WILMER JAIME CÓNDOR
RAMOS -DOCENTE
INFORMÁTICA
Oxapampa, abril - 2020
ISTP - OXAPAMPA
INTRODUCCIÓN
Resumen— Cuando se habla de seguridad en el ámbito de la Tecnología de la
Información y Comunicaciones a menudo se confunden los conceptos de seguridad
de la información y seguridad informática. Y siendo ambos realmente importantes y
similares, hay diferencias entre ellos. En este artículo hablaremos sobre los
conceptos de seguridad de la información y seguridad informática y explicaremos
los pilares sobre los que se basa la seguridad de la información. También tendremos
en cuenta los elementos vulnerables de un sistema informático, el concepto de
amenaza, fuentes de amenazas y tipos, así como las políticas de seguridad que
adoptan las organizaciones para asegurar sus sistemas o minimizar el impacto que
éstas pudieran ocasionar.
ISTP - OXAPAMPA
Semana 02
SEGURIDAD INFORMÁTICA
La seguridad informática debe establecer normas que minimicen los riesgos a
la información o infraestructura informática. Estas normas incluyen horarios de
funcionamiento, restricciones a ciertos lugares, autorizaciones, denegaciones,
perfiles de usuario, planes de emergencia, protocolos y todo lo necesario que permita
un buen nivel de seguridad informática minimizando el impacto en el desempeño de
los trabajadores y de la organización en general y como principal contribuyente al
uso de programas realizados por programadores.
La seguridad informática está concebida para proteger los activos informáticos, entre
los que se encuentran los siguientes:
La infraestructura computacional: es una parte fundamental para el
almacenamiento y gestión de la información, así como para el funcionamiento
mismo de la organización. La función de la seguridad informática en esta área
es velar por que los equipos funcionen adecuadamente y anticiparse en caso
de fallos, robos, incendios, sabotajes, desastres naturales, fallos en el
suministro eléctrico y cualquier otro factor que atente contra la infraestructura
informática.
Los usuarios: son las personas que utilizan la estructura tecnológica, zona de
comunicaciones y que gestionan la información. Debe protegerse el sistema
en general para que el uso por parte de ellos no pueda poner en entredicho la
seguridad de la información y tampoco que la información que manejan o
almacenan sea vulnerable.
La información: esta es el principal activo. Utiliza y reside en la
infraestructura computacional y es utilizada por los usuarios.
Amenazas
No solamente las amenazas que surgen de la programación y el funcionamiento de
un dispositivo de almacenamiento, transmisión o proceso deben ser consideradas,
también hay otras circunstancias no informáticas que deben ser tomadas en cuenta.
Muchas son a menudo imprevisibles o inevitables, de modo que las únicas
protecciones posibles son las redundancias y la descentralización, por ejemplo
mediante determinadas estructuras de redes en el caso de las comunicaciones o
servidores en clúster para la disponibilidad.
ISTP - OXAPAMPA
Las amenazas pueden ser causadas por:
Usuarios: causa del mayor problema ligado a la seguridad de un sistema
informático. En algunos casos sus acciones causan problemas de seguridad, si
bien en la mayoría de los casos es porque tienen permisos
sobredimensionados, no se les han restringido acciones innecesarias, etc.
Programas maliciosos: programas destinados a perjudicar o a hacer un uso
ilícito de los recursos del sistema. Es instalado en el ordenador, abriendo una
puerta a intrusos o bien modificando los datos. Estos programas pueden ser
un virus informático, un gusano informático, un troyano, una bomba lógica,
un programa espía o spyware, en general conocidos como malware.
Errores de programación: la mayoría de los errores de programación que se
pueden considerar como una amenaza informática es por su condición de
poder ser usados como exploits por los crackers, aunque se dan casos donde
el mal desarrollo es, en sí mismo, una amenaza. La actualización de parches
de los sistemas operativos y aplicaciones permite evitar este tipo de amenazas.
Intrusos: personas que consiguen acceder a los datos o programas a los cuales
no están autorizados (crackers, defacers, hackers, script kiddie o script
boy, viruxers, etc.).
Un siniestro (robo, incendio, inundación): una mala manipulación o mala
intención derivan en la pérdida del material o de los archivos.
Personal técnico interno: técnicos de sistemas, administradores de bases de
datos, técnicos de desarrollo, etc. Los motivos que se encuentran entre los
habituales son: disputas internas, problemas laborales, despidos, fines
lucrativos, espionaje, etc.
Fallos electrónicos o lógicos de los sistemas informáticos en general.
Cuando hablamos de seguridad de la información estamos indicando que dicha
información tiene una relevancia especial en un contexto determinado y que, por
tanto, hay que proteger.
Hasta la aparición y difusión del uso de los sistemas informáticos, toda la
información de interés de una organización se guardaba en papel y se almacenaba
en grandes cantidades de abultados archivadores. Datos de los clientes o proveedores
de la organización, o de los empleados quedaban registrados en papel, con todos los
problemas que luego acarreaba su almacenaje, transporte, acceso y procesamiento.
ISTP - OXAPAMPA
Los sistemas informáticos permiten la digitalización de todo este volumen de
información reduciendo el espacio ocupado, pero, sobre todo, facilitando su análisis
y procesamiento. Pero aparecen otros problemas ligados a esas facilidades. Si es más
fácil transportar la información también hay más posibilidades de que desaparezca.
Si es más fácil acceder a ella también es más fácil modificar su contenido, etc.
Desde la aparición de los grandes sistemas aislados hasta nuestros días, en los que
el trabajo en red es lo habitual, los problemas derivados de la seguridad de la
información han ido también cambiando, evolucionando, pero están ahí y las
soluciones han tenido que ir adaptándose a los nuevos requerimientos técnicos.
Aumenta la sofisticación en el ataque y ello aumenta la complejidad de la solución,
pero la esencia es la misma. La Seguridad de la Información se puede definir como
conjunto de medidas técnicas, organizativas y legales que permiten a la organización
asegurar la confidencialidad, integridad y disponibilidad de un sistema de
información. Existen también diferentes definiciones del término Seguridad de la
Información. De ellas nos quedamos con la definición ofrecida por el estándar
ISO/IEC 27001, que fue aprobado y publicado en octubre de 2005 por la
International Organization for Standardization (ISO) y por la comisión International
Electrotechnical Commission (IEC). “La seguridad de la información consiste en la
preservación de la confidencialidad, la integridad y la disponibilidad de la
información; además, también pueden estar involucradas otras propiedades, como la
autenticidad, responsabilidad, la confiabilidad y el no repudio.”
SEGURIDAD DE LA INFORMACIÓN: MODELO PDCA Dentro de la
organización el tema de la seguridad de la información es un capítulo muy
importante que requiere dedicarle tiempo y recursos. La organización debe
plantearse un Sistema de Gestión de la Seguridad de la Información (SGSI). El
objetivo de un SGSI es proteger la información y para ello lo primero que debe hacer
es identificar los 'activos de información' que deben ser protegidos y en qué grado.
Se entiende la seguridad como un proceso que nunca termina ya que los riesgos
nunca se eliminan, pero se pueden gestionar. De los riesgos se desprende que los
problemas de seguridad no son únicamente de naturaleza tecnológica, y por ese
motivo nunca se eliminan en su totalidad.
Un SGSI siempre cumple cuatro niveles repetitivos que comienzan por Planificar y
terminan en Actuar, consiguiendo así mejorar la seguridad, como se identifica en la
siguiente gráfica:
ISTP - OXAPAMPA
PLANIFICAR (Plan): consiste en establecer el contexto, en él se crean las políticas
de seguridad, se hace el análisis de riesgos, se hace la selección de controles y el
estado de aplicabilidad. HACER (Do): consiste en implementar el sistema de gestión
de seguridad de la información, implementar el plan de riesgos e implementar los
controles. VERIFICAR (Check): consiste en monitorear las actividades y hacer
auditorías internas. ACTUAR (Act): consiste en ejecutar tareas de mantenimiento,
propuestas de mejora, acciones preventivas y acciones correctivas
