Hol

holkadlllllllskkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkkk
kkkkkkk

Tema 1 introducion a la seguridad infromatica

1.1sistemas de informacin y sistemas informticos
Un sistema de informacin (si) es el conjunto de elementos organizados, relacionados y
cordinados entre si encargados de facilitar el funcionamiento de una empresa o organizacin
con el fin de conseguir un objetivo.
Grfico

Estos elementos pueden ser fsicos o lgicos y son:

informacin: un conjunto de datos que tiene un significado

personal: lo forman las personas que trabajan por trabajo para esa organizacin
recursos:
fsicos
logicos

Actividades son los procesos que realizan las organizaciones que pueden estos o no
relacionamiento con la informacin. Si estas estn relacionadas con la informacin
entonces estamos ablando de un sistema informatico.
ACTIVIDAD DE UN SISTEMA INFORMATICO

Entrada
ALMACEANAMIENTO.

Procesamiento
Calcular
Ordena
Claseifica

salida

Retroalimentacin

Este modelo (seguridad) ser el encargado de desarrollo todo lo relativo a la seguridad

de los sistemas de informacin.

1.2 seguridad
La seguridad informtica es una disciplina que se encarga de gestionar procesimientos
mtodos y tcnicas destinadas a conseguir un sistema seguro y confiable.
Para que en diseo de un sistema de seguridad sea establecido debemos conocer:
1
2
3

Los elementos que lo componen

Los peligros que le afectan
Las medidas para prevenir , impedir, reducir. De los potenciales riesgos.

Este trabajo debe ser revisado peridicamente para actualizar estos elementos.

1.3 Tipos de seguridad

Dependiendo de como se trata un incidente de seguridad podemos definir. Dos tipos de
seguridad:
1
2

ACTIVA. Comprende el conjunto de medidas cullo objetivo es evitar o corejir los

riesgos que amenazan un sistema informatico. (antivirus, firewall, contraseas)
PASIVA. Es la que esta formada por las medidas que se inplantan una ver que se a
producido el incidente y que tratan de minimizar lo ocurrido o al menos reducirlo:.
Ejemplo : copias de seguridad, seguros.

1.4 Objetivos de la seguridad

Un sistema es seguro cuando cumple las siguientes prioridades:
1

CONFIDENCIALIDAD: que se define como la capacidad de garantizar que la

informacin que contiene un sistema solo este accesible a las personas
autoridades y en caso de caer en manos agenas que no sea posible su
interpretacin.
2 DISPONIVIlIDAD: es la capacidad de garantizar que tanto el sistema como los datos
estn disponibles para el usuario en todo momento.
3 INTEGRIDAD: es la capacidad de garantizar que los datos no an sido modificados ni
destruidos de manera autorizada
4 NO REPUDIO: es la capacidad que garantiza la participacin de las partes que hay
en una comunicacin por eso pueden ser:
4.1 De origen: la persona que enva la informacin no puede negar que es el emisor
4.2 De destino: el receptor no puede negar que a reemviado la informacin

1.5 Analisis de riesgos

A la hora de datos a un sistema de indormacion de seguridad tenemos que tener en cuenta los
siguientes elementos.
1

ACTIVOS: son las propios recursos del sistema de informacin. Se pueden clasificar en
o Datos: Siempre contitullen el nucleo de toda organizacin
o SOFTWARE: aplicacin y sistemas operativos
o HARWARE:equipos, perifricos, pc
o REDES: vas de tranmision
o Soportes: lugares donde se almacena la informacin
o Instalaciones: edificio
o Personal: administradores, gefes
o Servicios: que son los que ofrecen a los clientes de la organizacin

2. amenazas
Es la presencia de uno o mas factores que de tener la oportunidad atacaran el sistema
aprovechando su vulnerabilidad. (virus, conrtacircuitos, riesgos medioambientales)
Las ameazas se pueden clasificar segn su dao:
INTERRUPCION. Su objetivo es deshabilitar el acceso a la informacin (Denegacion de
servicios)
INTERCEPTACION. Cuyo objetivo es captar la informacin
MODIFICACION. Cullo objetivo es modificar o alterar la informacin de
FABRICACION. Agregar informacin falsa en el sistema
Por que tambin se pueden clasificar segn su origen es:
ACCIDENTALES: por incidentes fortuitos como sistemas meteorolgicos o errores
humanos
INTENCIONADO: Estos siempre son por accin humana, de la propia organizacin o de
fuera

3. Riesgos
Es la posibilidad de que se manterializan o no una amenaza aprovechando una vulnerabilidad
no contitulle riesgo como amenaza cuando no hay vulnerabilidad ni en una vulnerabilidad no
existe amenaza.
Ante estos riesgos se pueden tomar tres alternativas:
Prevenir: copias de seguridad
Asimilaralo: sin hacer nada
Tranferirlo: a un tercero( seguros

4.Bulneravilidades
Son las proavilidades que exsisten de que una amenaza se marealice. Contra un activ. Ejemplo
los datos son bilnerables a un haker

5.Ataques
Se produce un ataque cuando se materializan una amenaza pueden ser de dos tipos
Activos: cuando, crean, modifican, daan o suprimen informacin
Pasivos: si solo acceden a la informacin

6. Impactos
Son la consecuencia de la materializacin de una amenaza sobre uno o varios activos
aprovechando alguna vulnerabilidad del sistema, en resumen el diseo causado. Son de dos
tipos:
Cuantitativos: que pueden ser medidos, por ejemplo un inpazto de un disco duro
Cualitativos: no pueden ser medidos favorables.(privacidad)
Una vez que tenemos entendido todos los factores pues intenta una poltica de seguridad que
son efectivos tendremos que seguir los siguientes pasos:

Hacer inventarios y valoracin de los activos

Identificacin y valoracinlas amenazas que pueden afectar a la seguridad

Identificar y valorar: los estilos de seguridad exsistentes

Identificaccion de los objetos de la seguridad de la agrupacin
Detencin de sistemas de detencin de riesgos
Detencin de inprevisto que produce un ataque
Identificacin y revelaciones las medidas de proteccin

1.6control de riesgos
Una vez que hemos analizados los riesgos tendremos que establecer cuales son los servicios
con los que tendremos que deber los sistemas de los mecanismos correspondientes. Los
mecanismos la seguridad se puede clasificar en mecanismo de los componentes.
1. Preventivos: actos antes de que se producen y el ataque y que causen males peores
2. Detectores: actos cuando se a producido el ataque y estos deque causen daos
mayores (detector de humo)
3. Convectores: actos de que se produce el ataque que su misin es corregir la
consecuencia de esos daos (copia de seguridad)
Otra funcin de los mecanismos de seguridad es segn el objetivo de lo que tienen que
proteger pudiendo ser:

Logicos: tienen como objetivo proteger digitalmente la informacin de

manera directa por ejemplo. Control de aceso por usuario y contresea,
antivirus,encriptaciondes, firma digital, certificado digital.

En el caso de las redes inalmbricas el uso de las claves incriptadas o el filtrado de direcciones
MAC.

FIsicos:cullo objetivo es proteger el sistema ( y por tanto tambin la

informacin) como por ejemplo, Extirntores, alarmas, refigeracion,
almacenada miento de las copias de seguridad en los sitios seguros.

GRAFICAMENTE .todo lo que emos visto easta ahora se puede resumir de siguiente forma.

Activo

amenaza
frecuencia

Inpacto

vulnerable

reduce
Produce
repara

Servicio de seguridad
Proporcionan
Mecanismos de seguridad

previene

El nucleo de todo sistema de informacin es la informacin. Para proteger las prioridades de

integridad, confidencial, disponibilidad, no repudio.
Debe ser protegidas teniedo en cuenta los niveles que provean a la informacin para dotarlos
de mecanismos y servicios de seguridad desde el exterior asta la informacin s epuede definir
de esotos niveles

Edificio
Harware
s.o
informacin

internet

software
red

1.7 herramientas de anlisis y control de accesos

1.7.1 piliticas de seguridad
La seguridad como parte de los polticos generales que debe de tener una empresa debe ser
aprobada por la direccin de la misma el objetivo principal debe ser el concenciar a todas las
personas de la empresa y en particular a los que estn involucrados en el sistema de
informacin . de la necesidad de conocer los principios de regir la seguridad, cuales son sus
normas y sus objetivos. Por lo que deven ser redaztados de forma entendible para todo el
personal. Existen algunos entendores por paiese o por reas para su elaboracin pero
cualqueira de ellos debe tener cuenta almenos estas cinco condiciones

Identificar las clases de seguridad los riesgos los impaztos ante un posible
ataque
Relacioan medidas de seguridad que afrontan grupos de activos o activos
Definir procedimientos: que devan aplicarse ante los posibles riesgos
Detectar las bolneravilidades del sistema
Definir un plan de contingencias

Debido a la complejidad. Que supone el desarrollo de todos esto existe en el mercado

programas que serven para confecioanr redaztar, polticas de seguridad, como por ejemplo
MAGERIT (el que se utiliza en la administracin publica)

1.7.2 AUDITORIA
Una auditoria es un anlisis personalizado de un sistema de informacin que sirve para
detectar y corregir bilneravilidades en los activos y en los procesos. En difinitiva su finalidad es
verificar que se cumplen los objetivos de la poltica de seguridad. Al final de la misma el
encargado emite un informe que debe contener al menos:
1. Descripcin y caractersticas de los actuales y de los procesos
2. Anlisis de las relaciones entre activos y procesos
3. Relaciona y evaluacin de vulnerabilidades

4. Verificacin del cumplimiento de la normativa de seguridad

5. Propuesta de medidas correctoras o preventivas
Para ello el encargado de la misma utilizara herramientas manuales (entrevistas y o
observaciones)
Y tambin software especifico para auditorias conocido con el nombre de caat
Porejemplo de CAATS, CASEWARE, WIZSOFT

1.7.3 plan de contingencias

Se trata de un intrumento que contiene las medidas que garantizan la continuacin de
actividad protegida al sistema el sistema de las posibles amenazas o recuperndolo tras un
inpazto. Un plan de contingencias conpone de tres partes:
1. Plan de respaldo: que contendr las medidas preventivas para evitar que se produzca
el dao. Por ejemplo copias de seguridad
2. Plan de emergencia : con la medida a tomar cuando se esta produciendo la amenaza a
cuando acaba de producirse. Restauracin copias de seguridad
3. Plan de recuperacin que indica las memidas que se aplicaran cuando se a producido
el desastre y de evaluar del inpazto por regresar cuanto antes al estado inicial de
funcionamiento.

1.7.4 modelo de seguridad

Es la manera formal de una poltica de seguridad. Al decir formal que debemos de ser redacta
en trminos tcnicos y didcticos. Los modelos de seguridad se pueden clasificar en 3 grandes
grupos.
1. Matriz de acceso (ACM). Este modelo consta de 3 elemntos, sujetos , objeto y tipo de
acceso. Con el que procedemos dar autorizaciones totales o parciales.
2. Aceso bisado en acciones control(RBAC)
Puede considerarse una modalidad de lo anterior pero en este modelo no se define el sujeto
que funcin tiene (rol)
3. Modelo multinivel. Se van en la gerarquizacion de los datos es decir unos datos son
mas privados que otros. Tendr acceso a un nivel u otro a esa gerarquia de datos
segn los primeros se les a otorgado

Tema 2: la seguridad en el entorno fsico

2.1 tipo de seguridad
como ya vimos en le tema anterior la seguridad la podemos clasificar en activas y pasivos pero
tambin exsisten otra clasificacin segn elementos a proteger .
Segridad fsica. Es la que tiene que ver con el daos de elementos fsicos (harware) o
las instalaciones.
Seguridad lgica: ser aquella que tiene que ver como el software, datos y la
informacin.

2.2 la seguridad en el entorno fsico

se entiende por entorno fsico la sala conjunto de salas o el edificio en el que se encuentra los
equipos perifricos y equipos de red

2.2.1 acceso al recinto

los espacios donde se encuentra el harware debe contar con diferentes restricciones de acceso
quqe debe ser asegurado con sistemas muy diversos entre los que podemos contar. Alarmas,
cmaras de seguridad, vigilantes de seguridad, perro, cerraduras.

2.2.2instalacion elctrica
Tenido encuenta que prcticamente la totalidad de todos los equipos informticos funcionan
con la energa elctrica en un puente grande a tener en cuenta donde dos puentes de visita.

EXTERNAS; pertenece a la compaa proveedora de electricidad sobre las

que poco podemos intervenir
Internas: en la que si podemos intervenir claramente contrata potencia
independiente. Desarrollaremos todo esto aspectos en el tema 4

2.2.3temperatura
el funcionamiento ideal de cualqueira equipo informacin es siempre a baja temperatura entre
15 y 25. Debe considerarse la instalacin de sistema de climatizacin de echo las salas donde
se alvegan randan temperaturas de 18c y por ello se reconoce como sala fra

2.2.4 humedad ambiente y aire

El grado de humedad optimo en una sala de ordenadores entre un 40 y 50 humedad.
Teniendo en cuenta que los personas apertamos 10% de humedad. Mientras que los equipos
hacen lo contrario. Se hace necesario la instalacin de equipos intalas humedificadores y
dehumedificadores.
En cuanto al aire las partculas de polvo don el peor enemigos de los quipo ya que se incrustan
en regia vantilador, etc
Para contrataremos esta situacin se aconseja la instalacin de sistema de aireacin (aire
limpio)

2.2.5 agua
El mayor enemigo de cualquier elemento electrnico en el agua. Por ello las medidas a tener
en cuenta en las intalaciones para ello dotaremos la instalacin con detectores de agua.