2. Estructura de la información

Presentación asignatura TI por Stephen García Garibay se encuentra bajo una Licencia Creative Commons Atribución-NoComercial 3.0 Unported.
Universidad Nacional Autónoma de México
Programa de Posgrado en Ciencias de la Administración
Maestría en Administración de la Tecnología
Mtro. Stephen Garibay
sgg [at] unam [dot] mx
Tecnologías de Información
Tema 2 Estructura de la información

2.1 Auditoría de la información

Concepto 1 Auditoría de la información
• Serie de exámenes periódicos de un servicio
informático cuya finalidad es analizar y
evaluar la planificación, el control, la
eficacia, la seguridad, la economía y la
adecuación de la infraestructura de TI en la
empresa.
González Ramírez, M. R. (2001). Sistemas de información para la
empresa. España: Publicaciones de la Universidad de Alicante.

• Proceso que permite detectar, controlar
y evaluar la información que existe en
una organización y los flujos de información
que en ésta discurren, el uso que se hace de
ella y su adecuación con las necesidades de
su personal y con los objetivos de la
organización.
Serrano González, S. y Zapata Lluch, M. (s/f). Auditoria de la
información, punto de partida de la gestión del conocimiento. EOI
América, disponible en http://docencia.udea.edu.co/ingenieria/
semgestionconocimiento/documentos/Mod5_AuditInfo.pdf

• Examen y evaluación periódica de los
recursos informativos de una organización
para conocer la utilización que se hace de la
información, las barreras que se le impone y
el establecimiento de procesos de mejora.
Ros Martín, M. (11 de junio 2004). El porqué de las auditorías de
información en las organizaciones. Post en el El Documentalista
Enredado: www.documentalistaenredado.net/77/metodologas-para-la-
auditora-de-informacin/

Problemas a resolver (1)
• Incertidumbre sobre qué información se tiene
y dónde está situada, identificando:
Duplicidades
• Información que se crea, mantienen y almacena de forma independiente entre
unidades de una misma empresa.
Carencias
• Entre unidades de no se comparte información que puede perjudicar la estrategia
de la empresa (vacíos de información).
Inconsistencias
• Se mantienen la misma información de forma independiente dando lugar a
información dispar o contradictoria.

Problemas a resolver (2)
• Diagnosticar qué uso se hace de la
información y la importancia que a ésta se le
otorga.
Quién esta usando la información
Para qué se usa la información
Detectar los puntos críticos de la cadena de
valor, donde el uso de la información es esencial

Problemas a resolver (3, 4, 5)
• Detectar los input de información, cómo
fluye y su relación con la información
generada al interior.
• Detectar los outputs de información y en
qué casos genera un flujo de retorno de
información.
• Detectar las necesidades concretas de
información de los miembros de la empresa,
los proveedores y clientes.

Elementos de una auditoría
• Identificación de recursos y
flujos de información.
• Valoración del uso efectivo que
se hace de las TI disponibles.
• Control y racionalización de
costos.
• Diseño de las tareas de las
personas que trabajan con
información dentro de la unidad
de negocio.

Metodologías de auditoria de información
2.1 Auditoría de la información

Metodología 1
Serrano González, S. y Zapata Lluch, M. (s/f). Auditoria de la
información, punto de partida de la gestión del conocimiento. EOI
América, disponible en http://docencia.udea.edu.co/ingenieria/
semgestionconocimiento/documentos/Mod5_AuditInfo.pdf

Fases de la auditoría: Serrano y Zapata
1. Planiﬁcación
2. Colección de
datos
3. Análisis de
datos
4. Evaluación de
datos
5. Comunicar
recomendaciones
6. Implementación de
las recomendaciones
7. Seguimiento de
la auditoria

1. Planificación
• Definir los objetivos, que se desea
conseguir, conocer la organización,
identificar a personas claves a nivel
funcional (no jerárquico), alcance del
proyecto.
• Preparar una base de datos de recursos de
información, colección de datos,
cuestionarios y entrevistas grupales e
individuales.
2. Colección de datos

3. Análisis de datos
• Preparación de los datos y método de
análisis.
• Evaluar vacíos y duplicaciones, interpretar el
flujo de información , evaluar los problemas,
formular recomendaciones, desarrollar un
plan de acción para el cambio
4. Evaluación de datos

5. Comunicar recomendaciones
• Redactar el informe, presentaciones orales y
seminarios, intranets/extranets corporativos, obtener
feedback con participantes y personas claves en el
proceso.
• Desarrollar un programa de implementación,
incorporar los cambios dentro de los planes formales
(marketing, negocios y estrategia), desarrollar una
estrategia de post implementación, desarrollar una
política de información.
6. Implementación de las recomendaciones

7. Seguimiento de la auditoria
• Medir y valorar los cambios, planear un
ciclo regular de auditoria de información.

Metodología 2
González Ramírez, M. R. (2001). Sistemas de información para la
empresa. España: Publicaciones de la Universidad de Alicante.

Faces de la auditoría: González
2. Planiﬁcación de
la operación
3. Desarrollo de la
auditoría
4. Síntesis y
diagnóstico
5. Presentación
de conclusiones
6. Informe y plan
de mejoras
1. Conocimiento
de la organización

1. Conocimiento de la organización
• Realizar entrevistas, observación directa, análisis
de documentos, para obtener un análisis inicial
que defina la viabilidad del proyecto.
• Detallar los objetivos esperados; determinar los
tiempos; exponer los problemas detectados en el
análisis inicial; realizar inventario de puntos a
estudiar; identificar a los participantes y el
momento de su colaboración; establecer la
documentación necesaria para la auditoría.
2. Planiﬁcación de la operación

3. Desarrollo de la auditoría
• Fase de mayor duración; ejecución de las tareas
planificadas; 1ro. se analiza el entorno puramente
informático, 2do la satisfacción en la utilización de
los SI de los usuarios.
• Conclusión del estudio; analizar e interpretar la
información obtenida en fases anteriores; el
resultado es un diagnostico de la situación
observada (puntos débiles y fuertes del sistema,
posibles riesgos y oportunidades, posibles
soluciones y mejoras).
4. Síntesis y diagnóstico

5. Presentación de conclusiones
• Se presenta las evidencias a la dirección
de la empresa y se confrontan con los
responsables afectados (entrevista previa
al informe).
• Documento que expresa el juicio emitido
por el auditor y la única referencia oficial
verificable de la auditoría.
6. Informe y plan de mejoras

Referencias de interés
• Cómo elaborar un plan de trabajo para
realizar una auditoría de información:
• http://www.documentalistaenredado.net/994/
propuesta-de-un-plan-de-trabajo-para-la-realizacion-
de-una-auditoria-de-informacion-trabajando-en-
profundidad-1/
• Cuestionarios para auditorías de un sistema
de información:
• Página 146-148 de González Ramírez, M. R. (2001).
Sistemas de información para la empresa. España:
Publicaciones de la Universidad de Alicante.

2.2 Arquitectura de la información

Contexto
• ¿Cómo es su intranet?, ¿Localizan lo que
necesitan?, ¿La consultan a diario?
• Conforme el usuario dispone de menos
tiempo y la información crece,  
se vuelve esencial la organización de la
información.

¿Qué es la arquitectura de la información?
• Es la actividad de
organizar la información
para que sea útil.
• Son procedimientos
orientados a
estructurar, clasificar,
recuperar, construir y
capturar, cuestiones
relacionadas con el uso
de la información.

Perfil de un CIOFunciones de un arquitecto de la información

Cómo agrupar la información
• Agrupación exacta
• Orden alfabético, cronológico, geográfico, etc.
• Agrupación ambigua
• Interpretación subjetiva
• Agrupación de sectores industriales, etc.
* El inconveniente de esta agrupación se da cuando
quien busca información no tienen el mismo patrón de
quien organizo la información.

2.3 Desinformación e infoxicación y calidad de la información

Ley de Mooers, 1959
“Un sistema de recuperación de información
tiende a no ser utilizado cuando el proceso de
información le resulta al usuario más pesado y
problemático que el hecho de no tenerla. 
• El problema no es el exceso de información.
• ¿La información recibida es de la suficiente
calidad requerida o se adecua a un propósito
determinado?
”

Desinformación
• Situación de ausencia de información.
• La información:
• No tiene la suficiente calidad.
• No es adecuada para un propósito determinado.
• Resultado de una acción intencionada:
manipulación informativa.
• Aspectos fortuitos:  
errores, omisiones, saturación de información.

Aspectos negativos de la desinformación
• Favorece la parálisis o dilatación en la toma
de decisiones: Visión incompleta o sesgada.
• Reclamos de clientes debido a:
• Retrasos de productos.
• Creación de falsas expectativas sobre un producto
• Consultas para resolver dudas.
• Consecuencia en la perdida de reputación y tiempo
en la reparación de los reclamos.
• Inventar la rueda y la amnesia documental:
• Repercute en tiempos y costos.

Infoxicación
• La producción y consumo de la información es
cada vez más sencilla.
• Pero la capacidad individual para atender y
procesar información tienen límites.
• Saturación informativa provoca el borrar o
pasar por alto información importante.
• La infoxicación es la saturación informativa del
individuo.
• El correo electrónico, grupos de whats app, etc.

Calidad de la información
• Se puede valorar por las dimensiones de:
Thomas Davenport (1999) Alfonso Cornella (2002)
•Precisión
•Oportunidad
•Accesibilidad
•Atracción
•Aplicación
•Singularidad
•Relevancia
•Focalización
•Presición
•Exhaustividad
•Puntualidad
•Detalle
•Formato
•Comprensibilidad
•Tiempo

Valor de la información de Davenport

Actividad: Caso UPS
• Página 53 y 54.
• ¿Cuáles son las entradas, procesamiento y
salidas del sistema de seguimiento de
paquetes de UPS?
• ¿Qué tecnologías utiliza UPS y cómo se
relacionan con la estrategia de negocios de
UPS?
• ¿Qué problemas resuelven los sistemas de
información de UPS y qué sucedería si no
estuvieran disponibles?

Excelente noche chicos

2.4 Ingeniería social e inteligencia empresarial

Contexto
• La necesidad de proteger
información crítica en las
organizaciones ha creado
toda una industria de la
seguridad.
• Debido a lo anterior, los
"hackers" se han centrado
en una metodología de
ataque mucho más
efectiva: el wetware

30:70
• Diversos estudios
señalan que:
• El 30% de los
ataques de
ingeniería social
viene del exterior.
• El 70% es realizado
por empleados.

Qué es la Ingeniería Social (IS)
• Es el arte de manipular
psicológicamente a una
persona para que divulgue
información confidencial.
• Puede ser utilizada por
empresas rivales para su
sistema de inteligencia
empresarial.
• El objetivo es engañar al
empleado para obtener
información.

Debilidad en la empresa
El objetivo del ingeniero
social es aprovechar ciertas
cualidades de la naturaleza
humana del empleado:
El deseo de ser útil a la
empresa: con la
premisa de satisfacer
siempre al cliente, se
puede revelar
demasiada información.
1

continua…
La tendencia a confiar en la gente, hasta que se
demuestre lo contrario.
Temor a meterse en problemas al verificar la
identidad y accesos a cierta información cuando lo
solicita un superior, dado que el superior se ofende.
2
3

Continua…
• La pereza del resguardo de las contraseña o de uso de
contraseñas seguras.

El factor humano
• El wetware es una
analogía de la unión
de un ser humano a
un sistema
informático.
• El wetware es la
parte más débil en
la cadena de
seguridad de la
información.

Ejemplo
• Datos bancarios
• Llamada
• Recibo telefónico
• Hablo del helpdesk estamos solucionando
el problema del "SIED”debido al corte de
energía que hubo en la mañana, nos
proporcionas tu usuario y contraseña para
dejarte el acceso a los documentos
solicitados sin problemas con tu jefe.

La IS basa sus ataques en tres aspectos de la psicología
1. Técnicas de persuasión e inﬂuencia
2. Rutas alternas de persuasión
• Método directo: menos efectivo pero rápido y es solicitar la
información de forma directa con argumentos lógicos que
funcionan con la víctima.
• Método indirecto: buscar áreas susceptibles que
desencadenen emociones fuertes como la excitación o el
miedo. Las víctimas raramente cuestionan la identidad de un
ingeniero social.
3. Actitudes y creencias

Tipos comunes de IS
•A) Basada en
la interacción
humana
•B) Basado en
tecnología

Basada en la interacción humana
•1. Suplantación de identidad
• ¿Cómo obtener los datos de un empleado clave?
• La web y las redes sociales facilitan este proceso

Continua…
2)Autorización de un tercero
• Utilizar el nombre de un superior quien ha dado
autorización para acceder a la información.
• Solicitar información con la autorización verbal de un
tercero.
•3) En persona
• Pasar por un empleado de bajo perfil: limpieza, de
mantenimiento de TI, etc.
•4) El bote de basura
• La documentos tirados al cesto de la basura pueden revela
información suficiente para proseguir con un ataque.

B) Basado en tecnología
• Rasomware
• Phising
• Troyanos
• Rootkits
• Keyloggers
• Spware

Rasgos explotados por un IS
1) Difusión de la responsabilidad
compartida
• ¿Qué sucedió con los cientos de sitios que
recabaron donativos para el terremoto y
tsunami de Japón en 2011 a los minutos
de sucedido el evento natural?
2) Agradar a alguien
• En las llamadas utilizar voces del sexo
contrario.

3) Confianza en una relación
• Desarrollo de una relación con las posibles
víctimas mediante pequeñas interacciones por
teléfono que al principio no comprometan
información.
4) La culpa
• Nadie se niega ante los sentimientos de
preocupación y tristeza de alguien.
• Hacer creer a la víctima que el rechazar la
solicitud de información dará lugar a
consecuencias importantes para el solicitante.
Continúa...

Defensa hacia la IS
• Métodos de autenticación de tecnología y
humanos.
• Pero sobre todo buenas prácticas
• Requerir la identificación adecuada de
cualquiera.
• Establecer una norma de recuperación de
contraseña en el help desk.
• Buenas prácticas para las contraseñas

Continua…
• Crear varias contraseñas según el
nivel de seguridad de la
información
• No es lo mismo la contraseña del
sistema de nomina de la empresa
que la del foro de deportes.
• Utilizar el tono de llamadas para
identificar llamadas del exterior, lo
que previenen la suplantación de
un help desk, por ejemplo.
• Trituradora de papel.

Continua…
• La más importante la capacitación y
sensibilización del manejo de la información
• No es suficiente con publicar políticas y
normas
• ¿A dónde va un ex empleado?
• Dejar ver que todos son responsables de la
seguridad de la información
• Mostar ejemplos reales y las consecuencias
de como daña a la organización una
violación a la seguridad.

Lectura
•Goodchild, J. (2011, febrero 14).  
Tres ejemplos de hacking humano.  
http://cioperu.pe/articulo/6405/
ingenieria-social-tres-ejemplos-de-
hacking-humano

Lectura: reflexión
• No hay información, independientemente de
su carácter personal o emocional, que esté
fuera de los límites de un ingeniero social que
busca hacer daño.
• Con frecuencia la persona que piensa que
está más segura es la que posee la mayor
vulnerabilidad. Un consultor de seguridad dijo
recientemente a CSO que los ejecutivos son
los blancos más fáciles de ingeniería social.

• La política de seguridad es solo tan buena como
lo es su aplicación.
• Los delincuentes suelen jugar con la naturaleza
buena de un empleado y el deseo de ser útil.
• La ingeniería social puede ser parte de la
estrategia de defensa de una organización.
• Los delincuentes suelen ir a la fruta madura.
Cualquiera puede ser un objetivo si la seguridad
es baja.
Lectura: reflexión

Reflexión
Un ingeniero social con suﬁciente
tiempo, paciencia y determinación
eventualmente puede explotar
alguna debilidad en los controles
de seguridad de una empresa

Más información
• Redes sociales, entre la ingeniería social y los
riesgos a la privacidad:
revista.seguridad.unam.mx/numero-12/redes-
sociales-entre-la-ingenierí-social-y-los-
riesgos-la-privacidad
• Ingeniería Social: eludiendo el “firewall
humano”: www.magazcitum.com.mx/?
p=1173
• Libro: Social Engineering: The Art of Human
Hacking de Christopher Hadnagy

Actividad: Ingeniería social en iCloud

Actividad: Ingeniería social en iCloud
a) Si la situación descrita les hubiera pasado a
ustedes y tomando en cuenta que su trabajo depende
al 100% de lo digital, ¿cuáles son las afectaciones
profesionales?.
b) Si Mat Honan les pide asesoría para recuperarse
de este tipo de ataque de ingeniera social, ¿cuáles
acciones recomendarían de forma especíﬁca?.
c) ¿Qué recomendarían a las empresas involucradas
para evitar que otro de sus usuarios sea blanco de un
ataque de ingeniería social como el descrito?.

Buenas noches!

2. Estructura de la información

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Ähnlich wie 2. Estructura de la información

Ähnlich wie 2. Estructura de la información (20)

Mehr von Universidad Nacional Autónoma de México

Mehr von Universidad Nacional Autónoma de México (18)

Kürzlich hochgeladen

Kürzlich hochgeladen (20)

2. Estructura de la información