Seguridad

SEGURIDAD EN
TECNOLOGÍAS DE
INFORMACIÓN
Origen de la seguridad y su problemática

““LA SEGURIDAD INFORMATICA ES UN CAMINO, NOLA SEGURIDAD INFORMATICA ES UN CAMINO, NO
UN DESTINO”UN DESTINO”
Objetivo: mantener los sistemas generando resultados.Objetivo: mantener los sistemas generando resultados.
Si los sistemas no se encuentran funcionando entonces su costo seSi los sistemas no se encuentran funcionando entonces su costo se
convierte en perdidas financieras (en el menos grave de los casos).convierte en perdidas financieras (en el menos grave de los casos).
El resultado generado por un sistema es la INFORMACION queEl resultado generado por un sistema es la INFORMACION que
ALMACENA O PRODUCE.ALMACENA O PRODUCE.
SEGURIDAD INFORMÁTICASEGURIDAD INFORMÁTICA

La seguridad informática NO es un problemaLa seguridad informática NO es un problema
exclusivamente de las computadoras.exclusivamente de las computadoras.
Las computadoras y las redes son el principal campoLas computadoras y las redes son el principal campo
de batalla.de batalla.
Se debe de proteger aquello que tenga un valor paraSe debe de proteger aquello que tenga un valor para
alguien.alguien.

¿Qué la seguridad informática?¿Qué la seguridad informática?
Políticas, procedimientos y técnicas para asegurar laPolíticas, procedimientos y técnicas para asegurar la
integridad, disponibilidad y confiabilidad de datos yintegridad, disponibilidad y confiabilidad de datos y
sistemas.sistemas.
Prevenir y detectar amenazas. Responder de unaPrevenir y detectar amenazas. Responder de una
forma adecuada y con prontitud ante un incidente.forma adecuada y con prontitud ante un incidente.
Proteger y Mantener los sistemas funcionando.Proteger y Mantener los sistemas funcionando.

¿Por qué la seguridad informática?¿Por qué la seguridad informática?
Por $$$, el dueño de los sistemas tiene dineroPor $$$, el dueño de los sistemas tiene dinero
INVERTIDO en algo que le trae un beneficio o ventaja.INVERTIDO en algo que le trae un beneficio o ventaja.
El Cracking a otros sistemas desde cualquier punto deEl Cracking a otros sistemas desde cualquier punto de
vista es ilegal. Estamos defendiéndonos ante el crimen.vista es ilegal. Estamos defendiéndonos ante el crimen.
(aunque no haya leyes).(aunque no haya leyes).
Por CALIDAD, hay que acostumbrarnos a hacer lasPor CALIDAD, hay que acostumbrarnos a hacer las
cosas bien, aunque cueste más esfuerzo.cosas bien, aunque cueste más esfuerzo.

¿De donde surge la seguridad?¿De donde surge la seguridad?
““Tecnológicamente, la seguridad es GRATIS”Tecnológicamente, la seguridad es GRATIS”
YA HAS PAGADO POR ELLA:YA HAS PAGADO POR ELLA:
Los sistemas operativos modernos contienen muchasLos sistemas operativos modernos contienen muchas
características de seguridad.características de seguridad.

La Seguridad Informática es Fácil:La Seguridad Informática es Fácil:
““Con el 20% de esfuerzo se puede lograr el 80% deCon el 20% de esfuerzo se puede lograr el 80% de
resultados”resultados”
Actividades sencillas pero constantes son las queActividades sencillas pero constantes son las que
evitan la mayoría de los problemas.evitan la mayoría de los problemas.
Se debe de trabajar en crear MECANISMOS deSe debe de trabajar en crear MECANISMOS de
seguridad que usan las TECNICAS de seguridadseguridad que usan las TECNICAS de seguridad
adecuadas según lo que se quiera proteger.adecuadas según lo que se quiera proteger.

ROLESROLES
INVOLUCRADOSINVOLUCRADOS
EN SEGURIDADEN SEGURIDAD

USUARIOSUSUARIOS
SEGURIDADSEGURIDAD

Usuarios comunes:Usuarios comunes:
Los usuarios se acostumbran a usar la tecnología sinLos usuarios se acostumbran a usar la tecnología sin
saber como funciona o de los riesgos que puedensaber como funciona o de los riesgos que pueden
correr.correr.
Son el punto de entrada de muchos de los problemasSon el punto de entrada de muchos de los problemas
crónicos.crónicos.
Son “El eslabón más débil” en la cadena de seguridad.Son “El eslabón más débil” en la cadena de seguridad.

2 enfoques para controlarlos:
Principio del MENOR PRIVILEGIO POSIBLE:Principio del MENOR PRIVILEGIO POSIBLE:
Reducir la capacidad de acción del usuario sobre los sistemas.Reducir la capacidad de acción del usuario sobre los sistemas.
Objetivo: Lograr el menor daño posible en caso de incidentes.Objetivo: Lograr el menor daño posible en caso de incidentes.
EDUCAR AL USUARIO:EDUCAR AL USUARIO:
Generar una cultura de seguridad. El usuario ayuda a reforzar y aplicar losGenerar una cultura de seguridad. El usuario ayuda a reforzar y aplicar los
mecanismos de seguridad.mecanismos de seguridad.
Objetivo: Reducir el número de incidentesObjetivo: Reducir el número de incidentes

USUARIOSUSUARIOS
SEGURIDADSEGURIDAD
CREADORESCREADORES
DE SISTEMASDE SISTEMAS

Creando Software:
El software moderno es muy complejo y tiene una altaEl software moderno es muy complejo y tiene una alta
probabilidad de contener vulnerabilidades de seguridad.probabilidad de contener vulnerabilidades de seguridad.
Un mal proceso de desarrollo genera software de malaUn mal proceso de desarrollo genera software de mala
calidad. “Prefieren que salga mal a que salga tarde”.calidad. “Prefieren que salga mal a que salga tarde”.
Usualmente no se enseña a incorporar requisitos niUsualmente no se enseña a incorporar requisitos ni
protocolos de seguridad en los productos de SW.protocolos de seguridad en los productos de SW.

Propiedades de la Información en un “Trusted
System”
Confidencialidad: Asegurarse que la información en unConfidencialidad: Asegurarse que la información en un
sistema de cómputo y la transmitida por un medio desistema de cómputo y la transmitida por un medio de
comunicación, pueda ser leída SOLO por las personascomunicación, pueda ser leída SOLO por las personas
autorizadas.autorizadas.
Autenticación: Asegurarse que el origen de un mensajeAutenticación: Asegurarse que el origen de un mensaje
o documento electrónico esta correctamenteo documento electrónico esta correctamente
identificado, con la seguridad que la entidad emisora oidentificado, con la seguridad que la entidad emisora o
receptora no esta suplantada.receptora no esta suplantada.

Integridad: Asegurarse que solo el personal autorizadoIntegridad: Asegurarse que solo el personal autorizado
sea capaz de modificar la información o recursos desea capaz de modificar la información o recursos de
cómputo.cómputo.
No repudiación: Asegurarse que ni el emisor o receptorNo repudiación: Asegurarse que ni el emisor o receptor
de un mensaje o acción sea capaz de negar lo hecho.de un mensaje o acción sea capaz de negar lo hecho.
Disponibilidad: Requiere que los recursos de unDisponibilidad: Requiere que los recursos de un
sistema de cómputo estén disponibles en el momentosistema de cómputo estén disponibles en el momento
que se necesiten.que se necesiten.

• Ataques contra el flujo de la información
FLUJO NORMALFLUJO NORMAL
Los mensajes en una red se envían a partir de un emisor a unoLos mensajes en una red se envían a partir de un emisor a uno
o varios receptoreso varios receptores
El atacante es un tercer elemento; en la realidad existenEl atacante es un tercer elemento; en la realidad existen
millones de elementos atacantes, intencionales o accidentales.millones de elementos atacantes, intencionales o accidentales.
Emisor Receptor
Atacante

 INTERRUPCIONINTERRUPCION
 El mensaje no puede llegar a su destino, un recurso delEl mensaje no puede llegar a su destino, un recurso del
sistema es destruido o temporalmente inutilizado.sistema es destruido o temporalmente inutilizado.
 Este es un ataque contra la DisponibilidadEste es un ataque contra la Disponibilidad
 Ejemplos: Destrucción de una pieza de hardware, cortar losEjemplos: Destrucción de una pieza de hardware, cortar los
medios de comunicación o deshabilitar los sistemas demedios de comunicación o deshabilitar los sistemas de
administración de archivos.administración de archivos.
Emisor Receptor
Atacante

 INTERCEPCIONINTERCEPCION
 Una persona, computadora o programa sin autorizaciónUna persona, computadora o programa sin autorización
logra el acceso a un recurso controlado.logra el acceso a un recurso controlado.
 Es un ataque contra la Confidencialidad.Es un ataque contra la Confidencialidad.
 Ejemplos: Escuchas electrónicos, copias ilícitas deEjemplos: Escuchas electrónicos, copias ilícitas de
programas o datos, escalamiento de privilegios.programas o datos, escalamiento de privilegios.
Emisor Receptor
Atacante

 MODIFICACIONMODIFICACION
 La persona sin autorización, además de lograr el acceso,La persona sin autorización, además de lograr el acceso,
modifica el mensaje.modifica el mensaje.
 Este es un ataque contra laEste es un ataque contra la IntegridadIntegridad..
 Ejemplos: Alterar la información que se transmite desde unaEjemplos: Alterar la información que se transmite desde una
base de datos, modificar los mensajes entre programas parabase de datos, modificar los mensajes entre programas para
que se comporten diferente.que se comporten diferente.
Emisor Receptor
Atacante

 FABRICACIONFABRICACION
 Una persona sin autorización inserta objetos falsos en elUna persona sin autorización inserta objetos falsos en el
sistema.sistema.
 Es un ataque contra laEs un ataque contra la AutenticidadAutenticidad..
 Ejemplos: Suplantación de identidades, robo de sesiones,Ejemplos: Suplantación de identidades, robo de sesiones,
robo de contraseñas, robo de direcciones IP, etc...robo de contraseñas, robo de direcciones IP, etc...
 Es muy difícil estar seguro de quién esta al otro lado de laEs muy difícil estar seguro de quién esta al otro lado de la
línea.línea.
Emisor Receptor
Atacante

USUARIOSUSUARIOS
SEGURIDADSEGURIDAD
CREADORES DECREADORES DE
SISTEMASSISTEMAS
GERENTESGERENTES

Para que esperar…
““Si gastas más dinero en café que en SeguridadSi gastas más dinero en café que en Seguridad
Informática, entonces vas a ser hackeado, es más,Informática, entonces vas a ser hackeado, es más,
mereces ser hackeado”mereces ser hackeado”
La mayoría de las empresas incorporan medidas deLa mayoría de las empresas incorporan medidas de
seguridad hasta que han tenido graves problemas.seguridad hasta que han tenido graves problemas.
¿para que esperarse?¿para que esperarse?

Siempre tenemos algo de valor para alguienSiempre tenemos algo de valor para alguien
Razones para atacar la red de una empresa:Razones para atacar la red de una empresa:
$$$, ventaja económica, ventaja competitiva, espionaje político,$$$, ventaja económica, ventaja competitiva, espionaje político,
espionaje industrial, sabotaje,…espionaje industrial, sabotaje,…
Empleados descontentos, fraudes, extorsiones, (insiders).Empleados descontentos, fraudes, extorsiones, (insiders).
Espacio de almacenamiento, ancho de banda, servidores deEspacio de almacenamiento, ancho de banda, servidores de
correo (SPAM), poder de cómputo, etc…correo (SPAM), poder de cómputo, etc…
Objetivo de oportunidad.Objetivo de oportunidad.

Siempre hay algo que perder:Siempre hay algo que perder:
¿Cuánto te cuesta tener un sistema de cómputo¿Cuánto te cuesta tener un sistema de cómputo
detenido por causa de un incidente de seguridad?detenido por causa de un incidente de seguridad?
Costos económicos (perder oportunidades de negocio).Costos económicos (perder oportunidades de negocio).
Costos de recuperación.Costos de recuperación.
Costos de reparación.Costos de reparación.
Costos de tiempo.Costos de tiempo.
Costos legales y judiciales.Costos legales y judiciales.
Costos de imagen.Costos de imagen.
Costos de confianza de clientes.Costos de confianza de clientes.
Perdidas humanas (cuando sea el caso).Perdidas humanas (cuando sea el caso).

¿Qué hacer?¿Qué hacer?
Los altos niveles de la empresa tienen que apoyar yLos altos niveles de la empresa tienen que apoyar y
patrocinar las iniciativas de seguridad.patrocinar las iniciativas de seguridad.
Las políticas y mecanismos de seguridad deben deLas políticas y mecanismos de seguridad deben de
exigirse para toda la empresa.exigirse para toda la empresa.
Con su apoyo se puede pasar fácilmente a enfrentarCon su apoyo se puede pasar fácilmente a enfrentar
los problemas de manera proactiva (en lugar delos problemas de manera proactiva (en lugar de
reactiva como se hace normalmente)reactiva como se hace normalmente)

USUARIOSUSUARIOS
SEGURIDADSEGURIDAD
SISTEMASSISTEMAS
GERENTESGERENTES
HACKERHACKER
CRACKERCRACKER

Cracking:Cracking:
Los ataques son cada vez mas complejos.Los ataques son cada vez mas complejos.
Cada vez se requieren menos conocimientos para iniciarCada vez se requieren menos conocimientos para iniciar
un ataque.un ataque.
México es un paraíso para el cracking.México es un paraíso para el cracking.
¿Por qué alguien querría introducirse en mis sistemas?¿Por qué alguien querría introducirse en mis sistemas?
¿Por qué no? Si es tan fácil:¿Por qué no? Si es tan fácil:
DescuidosDescuidos
DesconocimientoDesconocimiento
Negligencias (factores humanos).Negligencias (factores humanos).

¿Quienes atacan los sistemas?¿Quienes atacan los sistemas?
Gobiernos Extranjeros.Gobiernos Extranjeros.
Espías industriales o políticos.Espías industriales o políticos.
Criminales.Criminales.
Empleados descontentos y abusos internos.Empleados descontentos y abusos internos.
Adolescentes sin nada que hacerAdolescentes sin nada que hacer

Niveles de Hackers:Niveles de Hackers:
Nivel 3:Nivel 3: (ELITE) Expertos en varias áreas de la informática, son los que(ELITE) Expertos en varias áreas de la informática, son los que
usualmente descubren los puntos débiles en los sistemas y pueden crearusualmente descubren los puntos débiles en los sistemas y pueden crear
herramientas para explotarlos.herramientas para explotarlos.
Nivel 2:Nivel 2: Tienen un conocimiento avanzado de la informática y puedenTienen un conocimiento avanzado de la informática y pueden
obtener las herramientas creadas por los de nivel 3, pero pueden darleobtener las herramientas creadas por los de nivel 3, pero pueden darle
usos más preciso de acuerdo a los intereses propios o de un grupo.usos más preciso de acuerdo a los intereses propios o de un grupo.
Nivel 1Nivel 1 o Script Kiddies: Obtienen las herramientas creadas por los deo Script Kiddies: Obtienen las herramientas creadas por los de
nivel 3, pero las ejecutan contra una víctima muchas veces sin saber lonivel 3, pero las ejecutan contra una víctima muchas veces sin saber lo
que están haciendo.Son los que con más frecuencia realizan ataquesque están haciendo.Son los que con más frecuencia realizan ataques
serios.serios.
Cualquiera conectado a la red es una víctima potencial, sin importar a queCualquiera conectado a la red es una víctima potencial, sin importar a que
se dedique, debido a que muchos atacantes sólo quieren probar quese dedique, debido a que muchos atacantes sólo quieren probar que
pueden hacer un hack por diversión.pueden hacer un hack por diversión.

USUARIOSUSUARIOS
SEGURIDADSEGURIDAD
SISTEMASSISTEMAS
GERENTESGERENTES
HACKER CRACKERHACKER CRACKER
ADMINISTRADORES DE T.I.

ADMINISTRADORES DE TI:ADMINISTRADORES DE TI:
Son los que tienen directamente la responsabilidad de vigilar a losSon los que tienen directamente la responsabilidad de vigilar a los
otros roles. (aparte de sus sistemas).otros roles. (aparte de sus sistemas).
Hay actividades de seguridad que deben de realizar de maneraHay actividades de seguridad que deben de realizar de manera
rutinaria.rutinaria.
Obligados a capacitarse, investigar, y proponer soluciones eObligados a capacitarse, investigar, y proponer soluciones e
implementarlas.implementarlas.
También tiene que ser hackers: Conocer al enemigo, proponerTambién tiene que ser hackers: Conocer al enemigo, proponer
soluciones inteligentes y creativas para problemas complejos.soluciones inteligentes y creativas para problemas complejos.

Puntos Débiles en los Sistemas
Comunicaciones
Almacenamiento de datos
Sistema Operativo
Servicios Públicos
Aplicación
Usuarios
Servicios Internos

 Qué se debe asegurar ?Qué se debe asegurar ?
Siendo que la informaciSiendo que la informacióón debe considerarse como un recurson debe considerarse como un recurso
con el que cuentan las Organizaciones y por lo tanto tiene valorcon el que cuentan las Organizaciones y por lo tanto tiene valor
parapara ééstas, al igual que el resto de los activos, debe estarstas, al igual que el resto de los activos, debe estar
debidamente protegida.debidamente protegida.
 ¿Contra qué se debe proteger la Información ?¿Contra qué se debe proteger la Información ?
La Seguridad de la InformaciLa Seguridad de la Informacióón, protege an, protege a éésta de una ampliasta de una amplia
gama de amenazas, tanto de orden fortuito como destruccigama de amenazas, tanto de orden fortuito como destruccióón,n,
incendio o inundaciones, como de orden deliberado, tal comoincendio o inundaciones, como de orden deliberado, tal como
fraude, espionaje, sabotaje, vandalismo, etc.fraude, espionaje, sabotaje, vandalismo, etc.

 ¿Qué se debe garantizar?¿Qué se debe garantizar?
 ConfidencialidadConfidencialidad: Se garantiza que la información es: Se garantiza que la información es
accesible sólo a aquellas personas autorizadas a tener accesoaccesible sólo a aquellas personas autorizadas a tener acceso
a la misma.a la misma.
 IntegridadIntegridad: Se salvaguarda la exactitud y totalidad de la: Se salvaguarda la exactitud y totalidad de la
información y los métodos de procesamiento.información y los métodos de procesamiento.
 DisponibilidadDisponibilidad: Se garantiza que los usuarios autorizados: Se garantiza que los usuarios autorizados
tienen acceso a la información y a los recursos relacionadostienen acceso a la información y a los recursos relacionados
con la misma toda vez que se requiera.con la misma toda vez que se requiera.

 ¿Porqué aumentan las amenazas?¿Porqué aumentan las amenazas?
Las Organizaciones son cada vez mas dependientes de susLas Organizaciones son cada vez mas dependientes de sus
Sistemas y Servicios de Información, por lo tanto podemosSistemas y Servicios de Información, por lo tanto podemos
afirmar que son cada vez mas vulnerables a las amenazasafirmar que son cada vez mas vulnerables a las amenazas
concernientes a su seguridad. Algunas causas son:concernientes a su seguridad. Algunas causas son:
Crecimiento exponencial de las Redes y Usuarios InterconectadosCrecimiento exponencial de las Redes y Usuarios Interconectados
Profusión de las BD On-LineProfusión de las BD On-Line
Inmadurez de las Nuevas TecnologíasInmadurez de las Nuevas Tecnologías
Alta disponibilidad de Herramientas Automatizadas de AtaquesAlta disponibilidad de Herramientas Automatizadas de Ataques
Nuevas Técnicas de Ataque Distribuido (Ej:DDoS)Nuevas Técnicas de Ataque Distribuido (Ej:DDoS)
Técnicas de Ingeniería SocialTécnicas de Ingeniería Social

 ¿Cuáles son las amenazas?¿Cuáles son las amenazas?
 AccidentesAccidentes:: Averías, Catástrofes, Interrupciones..
 ErroresErrores:: de Uso, Diseño, Control..
 Intencionales PresencialesIntencionales Presenciales:: Atentado con acceso físico no autorizado.
 Intencionales RemotasIntencionales Remotas: Requieren acceso al canal de comunicación: Requieren acceso al canal de comunicación..
InterceptaciónInterceptación pasiva de la información (amenaza a lapasiva de la información (amenaza a la
CONFIDENCIALIDAD).CONFIDENCIALIDAD).
Corrupción o destrucciónCorrupción o destrucción de la información (amenaza a lade la información (amenaza a la
INTEGRIDAD).INTEGRIDAD).
Suplantación de origenSuplantación de origen (amenaza a la AUTENTICACIÓN)(amenaza a la AUTENTICACIÓN)

 ¿Cómo resolver el desafío de la seguridad¿Cómo resolver el desafío de la seguridad
informática?informática?
Las tres primeras tecnologías de protección más utilizadas son el controlLas tres primeras tecnologías de protección más utilizadas son el control
de acceso/passwords (100%), software anti-virus (97%) y firewalls (86%)de acceso/passwords (100%), software anti-virus (97%) y firewalls (86%)
Los ataques más comunes durante el último año fueron los virusLos ataques más comunes durante el último año fueron los virus
informáticos (27%) y el spammimg de correo electrónico (17%) seguido deinformáticos (27%) y el spammimg de correo electrónico (17%) seguido de
cerca (con un 10%) por los ataques de denegación de servicio y el robo decerca (con un 10%) por los ataques de denegación de servicio y el robo de
notebook:notebook:
El problema de la Seguridad Informática está en suEl problema de la Seguridad Informática está en su
GerenciamientoGerenciamiento
y no en las tecnologías disponiblesy no en las tecnologías disponibles

POR AHORA ....POR AHORA ....
Protección de la Información
Confidencialidad
Integridad
Disponibilidad
Amenazas
Internas
Externas
Gerenciar Seguridad InformáticaGerenciar Seguridad Informática

Aspectos LegalesAspectos Legales

• Requerimiento básicoRequerimiento básico
•Apoyo de la Alta GerenciaApoyo de la Alta Gerencia
•RRHH con conocimientos y experienciaRRHH con conocimientos y experiencia
•RRHH capacitados para el día a díaRRHH capacitados para el día a día
•Recursos EconómicosRecursos Económicos
•TiempoTiempo

• Análisis de RiesgosAnálisis de Riesgos
•Se considera Riesgo Informático, a todo factor que puedaSe considera Riesgo Informático, a todo factor que pueda
generar una disminución en:generar una disminución en:
Confidencialidad – Disponibilidad - IntegridadConfidencialidad – Disponibilidad - Integridad
•Determina la probabilidad de ocurrenciaDetermina la probabilidad de ocurrencia
•Determina el impacto potencialDetermina el impacto potencial

• Modelo de GestiónModelo de Gestión
ActivosActivos AmenazasAmenazas
ImpactosImpactos VulnerabilidadesVulnerabilidades
RiesgosRiesgos
FunciónFunción
CorrectivaCorrectiva
ReduceReduce
FunciónFunción
PreventivaPreventiva
ReduceReduce

• Política de Seguridad:Política de Seguridad:
““Conjunto de Normas y ProcedimientosConjunto de Normas y Procedimientos
documentadosdocumentados yy comunicadoscomunicados, que tienen por, que tienen por
objetivo minimizar los riesgos informáticos masobjetivo minimizar los riesgos informáticos mas
probables”probables”
InvolucraInvolucra
•Uso de herramientasUso de herramientas
•Cumplimiento de Tareas porCumplimiento de Tareas por
parte de personasparte de personas

• Plan de ContingenciasPlan de Contingencias
““Conjunto de Normas y ProcedimientosConjunto de Normas y Procedimientos
documentadosdocumentados yy comunicadoscomunicados, cuyo objetivo es, cuyo objetivo es
recuperar operatividad mínima en un lapsorecuperar operatividad mínima en un lapso
adecuado a la misión del sistema afectado, anteadecuado a la misión del sistema afectado, ante
emergencias generadas por los riesgosemergencias generadas por los riesgos
informáticos”informáticos”
InvolucraInvolucra
•Uso de herramientasUso de herramientas
•Cumplimiento de Tareas porCumplimiento de Tareas por
parte de personasparte de personas

• Control por OposiciónControl por Oposición
•Auditoría Informática Interna capacitadaAuditoría Informática Interna capacitada
•Equipo de Control por Oposición FormalizadoEquipo de Control por Oposición Formalizado
•Outsourcing de AuditoríaOutsourcing de Auditoría

• Herramientas:Herramientas:
•Copias de ResguardoCopias de Resguardo
•Control de AccesoControl de Acceso
•EncriptaciónEncriptación
•AntivirusAntivirus
•Barreras de ProtecciónBarreras de Protección
•Sistemas de Detección de IntrusionesSistemas de Detección de Intrusiones

• Uso de EstándaresUso de Estándares
NORMA ISO/IRAM 17799NORMA ISO/IRAM 17799

• Norma ISO/IRAM 17.799Norma ISO/IRAM 17.799
Estándares InternacionalesEstándares Internacionales
- Norma basada en la BS 7799- Norma basada en la BS 7799
- Homologada por el IRAM- Homologada por el IRAM

ORGANIZACION DE LA SEGURIDADORGANIZACION DE LA SEGURIDAD
•Infraestructura de la Seguridad de la InformaciónInfraestructura de la Seguridad de la Información
•Seguridad del Acceso de tercerosSeguridad del Acceso de terceros
•Servicios provistos por otras OrganizacionesServicios provistos por otras Organizaciones
CLASIFICACION Y CONTROL DE BIENESCLASIFICACION Y CONTROL DE BIENES
•Responsabilidad de los BienesResponsabilidad de los Bienes
•Clasificación de la InformaciónClasificación de la Información

SEGURIDAD DEL PERSONALSEGURIDAD DEL PERSONAL
•Seguridad en la definición y la dotación deSeguridad en la definición y la dotación de
tareastareas
•Capacitación del usuarioCapacitación del usuario
•Respuesta a incidentes y mal funcionamientoRespuesta a incidentes y mal funcionamiento
de la Seguridadde la Seguridad
SEGURIDAD FISICA Y AMBIENTALSEGURIDAD FISICA Y AMBIENTAL
•Áreas SegurasÁreas Seguras
•Seguridad de los EquiposSeguridad de los Equipos
•Controles generalesControles generales

GESTION DE LAS COMUNICACIONES Y LASGESTION DE LAS COMUNICACIONES Y LAS
OPERACIONESOPERACIONES
•Procedimientos operativos y responsabilidadesProcedimientos operativos y responsabilidades
•Planificación y aceptación del SistemaPlanificación y aceptación del Sistema
•Protección contra el software malignoProtección contra el software maligno
•Tares de acondicionamientoTares de acondicionamiento
•Administración de la redAdministración de la red
•Intercambio de información y softwareIntercambio de información y software

CONTROL DE ACCESOCONTROL DE ACCESO
•Requisitos de la Organización para el control de accesoRequisitos de la Organización para el control de acceso
•Administración del acceso de usuariosAdministración del acceso de usuarios
•Responsabilidades de los usuariosResponsabilidades de los usuarios
•Control de acceso de la RedControl de acceso de la Red
•Control de acceso al Sistema OperativoControl de acceso al Sistema Operativo
•Control de acceso de las AplicacionesControl de acceso de las Aplicaciones
•Acceso y uso del Sistema de MonitoreoAcceso y uso del Sistema de Monitoreo
•Computadoras móviles y trabajo a distanciaComputadoras móviles y trabajo a distancia

DESARROLLO Y MANTENIMIENTO DE LOSDESARROLLO Y MANTENIMIENTO DE LOS
SISTEMASSISTEMAS
•Requisitos de Seguridad de los SistemasRequisitos de Seguridad de los Sistemas
•Seguridad de los Sistemas de AplicaciónSeguridad de los Sistemas de Aplicación
•Controles CriptográficosControles Criptográficos
•Seguridad de los archivos del SistemaSeguridad de los archivos del Sistema
•Seguridad de los procesos de desarrollo y soporteSeguridad de los procesos de desarrollo y soporte

DIRECCION DE LA CONTINUIDAD DE LADIRECCION DE LA CONTINUIDAD DE LA
ORGANIZACIONORGANIZACION
•Aspectos de la dirección de continuidad de la OrganizaciónAspectos de la dirección de continuidad de la Organización
CUMPLIMIENTOCUMPLIMIENTO
•Cumplimiento con los requisitos legalesCumplimiento con los requisitos legales
•Revisión de la Política de seguridad y del CumplimientoRevisión de la Política de seguridad y del Cumplimiento
TécnicoTécnico
•Consideración de las Auditorías del SistemaConsideración de las Auditorías del Sistema

Seguridad

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Was ist angesagt?

Was ist angesagt? (14)

Ähnlich wie Seguridad

Ähnlich wie Seguridad (20)

Seguridad