CAPITULO 8: Seguridad en los sistemas de información.

CAPITULO 8: Seguridad en los sistemas de información.

1. 8.1 VULNERABILIDAD Y ABUSO DE LOS SISTEMASTENDENCIAS DE REDES Y COMUNICACIÓN El uso de los sistemas de información de un negocio debe ser seguro. La seguridad se refiere a las políticas, procedimientos y medidas técnicas para evitar el acceso sin autorización, la alteración, el robo o el daño físico a los sistemas de información.

   • POR QUÉ SON VULNERABLES LOS SISTEMAS Acceso sin autorización, abuso o fraude puede ocurrir en cualquier punto de la red, debido a accesos sin permiso o mala manipulación.
     • Vulnerabilidades de Internet Las redes públicas grandes, como Internet, son más vulnerables que las internas, ya que están abiertas para casi cualquiera.
     • Desafíos de seguridad inalámbrica Las redes Bluetooth y Wi-Fi son susceptibles a la piratería informática por parte de intrusos que pueden infiltrarse con facilidad en las redes de área local (LAN). Los hackers utilizan herramientas para detectar redes no protegidas, monitorear el tráfico de red y, en algunos casos, obtener acceso a Internet o a redes corporativas.
   • AMENAZAS INTERNAS: LOS EMPLEADOS Los empleados de una empresa plantean serios problemas de seguridad
     • Acceso a información privilegiada –como los códigos de seguridad y contraseñas · Son capaces de vagar por los sistemas de una organización sin dejar rastro. La falta de conocimiento de los usuarios: principal causa individual de las brechas de seguridad en las redes · Contraseñas olvidadas o uso compartido. · Ingeniería social: intrusos maliciosos que buscan acceder al sistema engañan a los empleados para que revelen sus contraseñas al pretender ser miembros legítimos de la compañía que necesitan información. Errores introducidos en el software por: · Ingreso de datos erróneos, mal uso del sistema · Errores al programar, diseño de sistema
   • SOFTWARE MALICIOSO: VIRUS, GUSANOS, CABALLOS DE TROYA Y SPYWARE Malware: software malicioso que variedad de amenazas, como virus de computadora, gusanos y caballos de Troya.
     • Keyloggers Registran cada tecleo ingresado en una computadora. Roban números seriales o contraseñas
     • Spyware Pequeños programas que se instalan subrepticiamente a sí mismos en las computadoras para vigilar las actividades de navegación del usuario en la Web y presentar publicidad.
     • Virus de computadora Programa de software malintencionado al que se adjunta a sí misma a otros programas o archivos de datos La carga útil puede ser relativamente benigna o ser sumamente destructiva
     • Gusanos: Programas independientes que se copian a sí mismos en la computadora a través de una red
     • Caballo de Troya Programa de software que aparenta ser benigno pero que hace algo distinto a lo esperado.
   • LOS HACKERS Y LOS DELITOS COMPUTACIONALES
     • Hacker: Individuo que intenta obtener acceso sin autorización a un sistema computacional. · Cracker: hacker con intención criminal. · Cibervandalismo: interrupción, desfiguración o destrucción intencional de un sitio Web o sistema de información corporativo. Spoofing y Sniffing · Spoofing: Distorsión, por ej.: utilizando direcciones de correo falsas o redireccionando hacia sitios Web falsos · Sniffer: Programa de espionaje que vigila la información que viaja a través de una red.
     • Delitos por computadora El delito por computadora se define en el Departamento de Justicia de Estados Unidos como “cualquier violación a la ley criminal que involucra el conocimiento de una tecnología de computadora para su perpetración, investigación o acusación”.
     • Robo de identidad Usar fracciones de información personal clave (número de identificación del seguro social, números de licencia de conducir o número de tarjeta de crédito) con el propósito de hacerse pasar por alguien más. · Phishing: Establecimiento de sitios Web falsos o el envío de mensajes de correo electrónico semejantes a los de las empresas auténticas para solicitar a los usuarios datos personales confidenciales · Evil twins: Redes inalámbricas que fingen ofrecer conexiones e intentan capturar contraseñas o números de tarjeta de crédito. · Pharming: Redirige a los usuarios a una página Web falsa, aún cuando éstos ingresen la dirección correcta de la página
     • Fraude del clic Ocurre cuando un individuo o un programa de computadora hace clic de manera fraudulenta en un anuncio en línea sin la intención de conocer más sobre el anunciante o de realizar una compra.
     • Amenazas globales: ciberterrorismo y ciberguerra Las actividades cibercriminales no tienen fronteras. Se cree que por lo menos 20 países (uno de ellos China) están desarrollando capacidades ofensivas y defensivas de ciberguerra.
   • VULNERABILIDAD DEL SOFTWARE
     • Bugs: Defectos de código del programa. Los estudios han demostrado que es casi imposible eliminar todos los bugs de programas grandes. La principal fuente de los bugs es la complejidad del código de toma de decisiones.

2. 8.2 VALOR DE NEGOCIOS DE LA SEGURIDAD Y EL CONTROL Proteger los sistemas de información es algo imprescindible para la operación de la empresa. Los sistemas alojan información confidencial sobre los impuestos de las personas, los activos financieros, los registros médicos y las revisiones del desempeño en el trabajo.

   • REQUERIMIENTOS LEGALES Y REGULATORIOS PARA LA ADMINISTRACIÓN DE REGISTROS DIGITALES Obligaciones de las compañías sobre la seguridad y el control para proteger los datos contra el abuso, la exposición y el acceso sin autorización.
     • Ley de Gramm-Leach-Bliley Requiere que las instituciones financieras garanticen la seguridad y confidencialidad de los datos de sus clientes
     • HIPAA Reglas y procedimientos sobre la seguridad y privacidad médicas
     • Ley Sarbanes-Oxley Impone responsabilidad a las empresas y sus administraciones de salvaguardar la exactitud e integridad de la información financiera que se maneja de manera interna y que se emite al exterior.
   • EVIDENCIA ELECTRÓNICA Y ANÁLISIS FORENSE DE SISTEMAS Hoy en día, los juicios se apoyan cada vez más en pruebas en forma de datos digitales. El correo electrónico es el tipo más común de evidencia electrónica.
     • Recuperar datos de las computadoras y preservar al mismo tiempo la integridad evidencial
     • Almacenar y manejar con seguridad los datos electrónicos recuperados
     • Presentar la información a un juzgado

3. 8.3 ESTABLECIMIENTO DE UN MARCO DE TRABAJO PARA LA SEGURIDAD Y EL CONTROL

   • CONTROLES DE LOS SISTEMAS DE INFORMACIÓN
     • Controles generales: · Gobiernan el diseño, la seguridad y el uso de los programas de computadora, además de la seguridad de los archivos de datos en general, en toda la infraestructura de tecnología de la información de la organización. · Consisten en una combinación de hardware, software y procedimientos manuales.
     • Los controles de aplicación: · Controles específicos únicos para cada aplicación computarizada, como nómina o procesamiento de pedidos. · Aseguran que la aplicación procese de una forma completa y precisa sólo los datos autorizados.
   • EVALUACIÓN DEL RIESGO Determina el nivel de riesgo para la firma si no se controla una actividad o proceso específico de manera apropiada. No todos los riesgos se pueden anticipar o medir, pero la mayoría de las empresas podrán adquirir cierta comprensión de los riesgos a los que se enfrentan.
   • POLÍTICA DE SEGURIDAD Enunciados que clasifican los riesgos de información, identifican los objetivos de seguridad aceptables y también los mecanismos para lograr estos objetivos.
   • PLANIFICACIÓN DE RECUPERACIÓN DE DESASTRES Y PLANIFICACIÓN DE LA CONTINUIDAD DE NEGOCIOS
   • LA FUNCIÓN DE LA AUDITORÍA • Auditoría MIS: examina el entorno de seguridad general de la empresa así como los controles que rigen los sistemas de información individuales. También puede examinar la calidad de los datos. • Auditoría de seguridad: revisan tecnologías, procedimientos, documentación, capacitación y personal. Puede incluso simular un ataque o desastre para evaluar la respuesta

4. 8.4 TECNOLOGÍAS Y HERRAMIENTAS PARA PROTEGER LOS RECURSOS DE INFORMACIÓN Herramientas para administrar las identidades de los usuarios, evitar el acceso no autorizado a los sistemas y datos, asegurar la disponibilidad del sistema y asegurar la calidad del software.

   • ADMINISTRACIÓN DE LA IDENTIDAD Y LA AUTENTICACIÓN Software de administración de identidad automatiza el proceso de llevar el registro de todos estos usuarios y sus privilegios de sistemas.
   • FIREWALLS, SISTEMAS DE DETECCIÓN DE INTRUSOS Y SOFTWARE ANTIVIRUS Combinación de hardware y software que controla el flujo del tráfico que entra y sale de una red. Previene accesos no autorizados
   • SEGURIDAD EN LAS REDES INALÁMBRICAS • WEP: proporciona un pequeño margen de seguridad si está activo • Tecnología VPN: puede ser utilizada por las corporaciones para ayudar a la seguridad
   • CIFRADO E INFRAESTRUCTURA DE CLAVE PÚBLICA • Transforma texto o datos comunes en texto cifrado, utilizando una clave de encriptación • El receptor tiene que desencriptar el mensaje
   • ASEGURAMIENTO DE LA DISPONIBILIDAD DEL SISTEMA Procesamiento de transacciones en línea: la computadora procesa de inmediato las transacciones que se realizan en línea.
     • Sistemas de computadora tolerantes a fallas
     • Computación de alta disponibilidad
     • Computación orientada a la recuperación.
   • Control del tráfico de red: inspección profunda de paquetes (DPI) Uso de la red para descargar música o ver YouTube, consumiendo ancho de banda, obstruyendo y reduciendo la velocidad de las redes corporativas, lo cual degrada su desempeño.
     • Subcontratación (outsourcing) de la seguridad Subcontratar muchas funciones de seguridad con proveedores de servicios de seguridad administrados (MSSP), quienes monitorean la actividad de la red y realizan pruebas de vulnerabilidad, además de detección de intrusos.
   • ASPECTOS DE SEGURIDAD PARA LA COMPUTACIÓN EN LA NUBE Y LA PLATAFORMA DIGITAL MÓVIL Seguridad en la nube • El proveedor de la nube debe almacenar y procesar los datos en jurisdicciones específicas, de acuerdo con las reglas de privacidad de esas jurisdicciones. • Prueba de que los mecanismos de cifrado son sólidos. • cómo responderá el proveedor de la nube si ocurre un desastre, si el proveedor podrá restaurar por completo sus datos y qué tanto tiempo tardaría. • los proveedores estarían dispuestos a someterse a auditorías y certificaciones de seguridad externas
     • Seguridad en las plataformas móviles Los dispositivos móviles necesitan estar protegidos de igual forma que las computadoras de escritorio y laptops contra malware, robo, pérdida accidental, acceso sin autorización y hackers. Los dispositivos móviles que acceden a los sistemas y datos corporativos requieren protección especial
   • ASEGURAMIENTO DE LA CALIDAD DEL SOFTWARE La métrica de software consiste en las evaluaciones de los objetivos del sistema en forma de medidas cuantificadas. Permite al departamento de sistemas de información y a los usuarios finales medir en conjunto el desempeño del sistema, e identificar los problemas a medida que ocurren.
     • El número de transacciones que se pueden procesar en una unidad de tiempo específica,
     • el tiempo de respuesta en línea,
     • el número de errores conocidos por cada 100 líneas de código de programa.
     • la cantidad de cheques de nómina impresos en una hora

Images and files in the map