Universidad Nacional Pedro Ruiz Gallo

CURSO: INTRODUCCION A LA INGENIERIA DE SISTEMAS

DOCENTE: ING. CELI AREVALO ERNESTO

INTEGRANTES: ARCE CRUZADO, HECTOR. BONILLA GUERRERO, ALBERT. GIL RUBIO, JHONANTAN. MARTINEZ RAMIREZ, MARIO. SERRANO CABANILLAS, RONAL. SIGUEAS GARCIA, JULIO. TORO ALVAREZ , VICTOR VILLEGAS QUISPE, LUIS.

LAMBAYEQUE, NOVIEMBRE DEL 2013

Pgina | 1

NDICE DE CONTENIDO
I. II. III. INTRODUCCIN.. 4 ANTECEDENTES5 SEGURIDAD DE INFORMACIN...............................................................6 1. Concepto de la Seguridad de Informacin...............................................6 2. Concepcin de la Seguridad de Informacin...........................................6 3. Propsito de la Seguridad de Informacin...............................................7 4. Activos......................................................................................................7 4.1. Concepto..............................................................................................7 4.2. Elementos.............................................................................................7 A) Informacin.................................................................................7 B) Equipos que la soportan.............................................................8 C) Personas que lo utilizan o usuarios............................................9 4.3. Proteccin de los Activos.....................................................................10 A) Principios de la Seguridad de Informacin................................10 A.1) Principio de la Integridad de la Informacin.......................10 A.2) Principio de la Confidencialidad de la Informacin.............11 A.3) Principio de la Disponibilidad de la Informacin..................12 A.4) Principio de la Autentificacin..............................................13 5. No Repudio..............................................................................................13 6. Protocolo de seguridad de Informacin...................................................13 7. Manejo de Riesgos...................................................................................14 8. Amenazas................................................................................................15

Pgina | 2

8.1. Tipos de Amenazas...................................................................15 8.2. Amenazas o Ataques a los Sistemas.........................................16 A) Ataque de Interrupcin.........................................................16 B) Ataque de Interceptacin.....................................................16 C) Ataque de Modificacin.......................................................16 D) Ataque de Generacin. .......................................................16 8.3.

Delitos de Seguridad de Informacin.........................................17 8.4. Amenazas por Internet...............................................................17 A) Virus Informtico..................................................................17 A.1) Tipos de Virus Informticos. ..................................18 A.2) Otras Formas de Virus Informticos.......................19 B) Agresores.............................................................................19 9. Puntos Dbiles..................................................................................................20 9.1. Tipos de Vulnerabilidades. .......................................................20 10. Riesgos de Seguridad. .24 11. Medidas de Seguridad. 24 11.1. Medidas globales de seguridad. .. 24 12. Ciclo de Seguridad de la Informacin 25 IV. CONCLUSION 25 V. BIOGRAFIA.........................................................................................................26

Pgina | 3

INTRODUCCION En la actualidad las empresas utilizan con ms frecuencia las computadoras para manejar y almacenar su informacin vital que constituye el activo ms valioso, esto les trae muchos beneficios, pero tambin los hace vulnerables a los diferentes delitos que se pueden cometer por medio de las computadoras si no se cuentan con un sistema de seguridad. Entre ellos, se pueden mencionar el robo, destruccin o modificacin de informacin, fraude, etc. Que son realizados por personas con algn conocimiento de computacin, ya sea dentro o fuera de la empresa. Uno de los principales peligros hoy en da corresponde a los llamados Hacker, el trmino HACKER (que en castellano significa "Cortador"), son personas con conocimientos de informtica que elaboran programas y son capaces de descubrir los cdigos de acceso los sistemas, puertos libres sin control, errores en los sistemas operativos o alguna ventaja que le brinden los sistemas. De esta forma, logran ingresar a los sistemas informticos de las organizaciones. Una de las formas ms comunes, consiste en la creacin de programas que desencriptan o identifican las contraseas de acceso a la informacin, eliminando de esta manera la proteccin de los sistemas. Otra forma, que algunos llaman "Caballo de Troya", consiste en introducir dentro de un programa, un conjunto de instrucciones o rutinas, que actan en forma imprevista, llegando en algunos casos a borrar la informacin del disco duro. Las acciones de los crackers pueden ir desde simples destrucciones, como el borrado de informacin, hasta el robo de informacin sensible que se puede vender, denominado "robo econmico". Los sistemas de seguridad se han creado para proteger nuestra intimidad y otros derechos individuales. Sin embargo, en ocasiones estos procedimientos de seguridad amenazan dichos derechos. Los estndares de seguridad (tales como la encriptacin) y libertad de las computadoras generan importantes problemas de carcter jurdico legal y tico. Los delitos por computadora y alta tecnologa hacen que en ocasiones sea imposible pensar en los conceptos de derecho tradicionales y ms an el expresarse con el lenguaje tradicional; esto crea nuevas e inquietantes preguntas para los abogados a veces difciles de responder, por tal motivo es necesario prevenir al pblico en general sobre la realidad de este nuevo fenmeno delictivo y crear conciencia sobre la importancia de delinear e implementar polticas y medidas de seguridad de manera integral en las entidades y personas que manejan informacin.
Pgina | 4

ANTECEDENTES Desde el surgimiento de la raza humana en el planeta, la informacin estuvo presente bajo diversas formas y tcnicas. El hombre buscaba representar sus hbitos, costumbres e intenciones en diversos medios que pudiesen ser utilizados por l y por otras personas, adems de la posibilidad de ser llevados de un lugar a otro. La informacin valiosa era registrada en objetos preciosos y sofisticados, pinturas magnficas, entre otros, que se almacenaban con mucho cuidado en locales de difcil acceso, a cuya forma y contenido slo tenan acceso quienes estuviesen autorizados o listos para interpretarla. En la actualidad la informacin es el objeto de mayor valor para las empresas. El progreso de la informtica y de las redes de comunicacin nos presenta un nuevo escenario, donde los objetos del mundo real estn representados por bits y bytes, que ocupan lugar en otra dimensin y poseen formas diferentes de las originales, no dejando de tener el mismo valor que sus objetos reales, y, en muchos casos, llegando a tener un valor superior.

Pgina | 5

SEGURIDAD DE INFORMACION 1-CONCEPTODE LA SEGURIDAD DE INFORMACIN. La seguridad de la informacin es el conjunto de medidas preventivas y reactivas de las organizaciones y de los sistemas tecnolgicos que permitan resguardar y proteger la informacin buscando mantener la confidencialidad, la disponibilidad e integridad de la misma. El concepto de seguridad de la informacin no debe ser confundido con el de seguridad informtica, ya que este ltimo slo se encarga de la seguridad en el medio informtico, pero la informacin puede encontrarse en diferentes medios o formas, y no solo en medios informticos. Para el hombre como individuo, la seguridad de la informacin tiene un efecto significativo respecto a su privacidad, la que puede cobrar distintas dimensiones dependiendo de la cultura del mismo. El campo de la seguridad de la informacin ha crecido y evolucionado considerablemente a partir de la Segunda Guerra Mundial, convirtindose en una carrera acreditada a nivel mundial. Este campo ofrece muchas reas de especializacin, incluidos la auditora de sistemas de informacin, planificacin de la continuidad del negocio, ciencia forense digital y administracin de sistemas de gestin de seguridad, entre otros. 2.-CONCEPCINDE LA SEGURIDAD DE INFORMACIN. En la seguridad de la informacin es importante sealar que su manejo est basado en la tecnologa y debemos de saber que puede ser confidencial: la informacin est centralizada y puede tener un alto valor. Puede ser divulgada, mal utilizada, ser robada, borrada o saboteada. Esto afecta su disponibilidad y la pone en riesgo. La informacin es poder, y segn las posibilidades estratgicas que ofrece tener acceso a cierta informacin, sta se clasifica como: Crtica: Es indispensable para la operacin de la empresa. Valiosa: Es un activo de la empresa y muy valioso. Sensible: Debe de ser conocida por las personas autorizadas Existen dos palabras muy importantes que son riesgo y seguridad: Riesgo: Es la materializacin de vulnerabilidades identificadas, asociadas con su probabilidad de ocurrencia, amenazas expuestas, as como el impacto negativo que ocasione a las operaciones de negocio. Seguridad: Es una forma de proteccin contra los riesgos.

Pgina | 6

3.-PROPSITO DE LA SEGURIDAD DE INFORMACIN. La seguridad de la informacin tiene como propsito proteger la informacin registrada, independientemente del lugar en que se localice ya sea impresos en papel, en los discos duros de las computadoras o incluso en la memoria de las personas que la conocen. 4.-ACTIVOS. 4.1-CONCEPTO. Un activo es todo aquel elemento que compone el proceso de la comunicacin, partiendo desde la informacin, su emisor, el medio por el cual se transmite, hasta su receptor. Los activos son elementos que la seguridad de la informacin busca proteger. Los activos poseen valor para las empresas y como consecuencia de ello, necesitan recibir una proteccin adecuada para que sus negocios no sean perjudicados. 4.2-ELEMENTOS. Son tres elementos que conforman lo que denominamos activos: A. Informacin. B. Equipos que la soportan: b.1 Software b.2 Hardware b.3 Organizacin C. Personas que los utilizan o usuarios. A.INFORMACIN. En este grupo estn los elementos que contienen informacin registrada, en medio electrnico o fsico, dentro de los ms importantes tenemos: Documentos Informes Libros Manuales Correspondencias Patentes Informacin de mercado Cdigo de programacin Lneas de comando Reportes financieros Archivos de configuracin Planillas de sueldos de empleados Plan de negocios de una empresa, etc.

POSIBLES VULNERABILIDADES:
Pgina | 7

 Robo de documentos Prdida de archivos de configuracin B.-EQUIPOS QUE LO SOPORTAN. B.1-SOFTWARE. Este grupo de activos contiene todos los programas de computadora que se utilizan para la automatizacin de procesos, es decir, acceso, lectura, trnsito y almacenamiento de la informacin. Entre ellos citamos: Las aplicaciones comerciales Programas institucionales Sistemas operativos Otros La seguridad de la informacin busca evaluar la forma en que se crean las aplicaciones, cmo estn colocadas a disposicin y la forma como son utilizadas por los usuarios y por otros sistemas, para detectar y corregir problemas existentes en la comunicacin entre ellos. Ejemplo: Sistemas operativos (Unix, Windows, Linux, etc.), programas de correo electrnico, bases de datos, aplicaciones especficas, sistemas de respaldo entre otros. POSIBLES VULNERABILIDADES Fallas publicadas de los sistemas operativos y las aplicaciones no reparadas pueden representar accesos indebidos a los equipos. Son entradas usadas por hackers y virus. B.2-HARDWARE. Estos activos representan toda la infraestructura tecnolgica que informacin durante su uso, trnsito y almacenamiento. Los activos que pertenecen a este grupo son: Cualquier equipo en el cual se almacene, procese o transmita la informacin de la empresa. las computadoras los servidores los equipos porttiles los mainframes los medios de almacenamiento los equipos de conectividad, enrutadores, switchs y cualquier otro elemento de una red de computadoras por donde transita la informacin. POSIBLES VULNERABILIDADES Fallas elctricas que daen los equipos, inundaciones en centros de cmputo, robo de equipos porttiles.
Pgina | 8

brinda soporte a la

B.3-ORGANIZACIN En este grupo se incluyen los aspectos que componen la estructura fsica y organizativa de las empresas. Se refiere a la organizacin lgica y fsica que tiene el personal dentro de la empresa en cuestin. Como ejemplos de estructura organizativa, tenemos entre otros: La estructura departamental y funcional El cuadro de asignacin de funcionarios La distribucin de funciones y los flujos de informacin de la empresa En lo que se refiere al ambiente fsico, se consideran entre otros: Salas y armarios donde estn localizados los documentos, Fototeca, sala de servidores de archivos.

POSIBLES VULNERABILIDADES Ubicacin insegura de documentos, equipos o personas. Estructura organizacional que no permita los cambios en materia de seguridad.

C.-PERSONAS QUE LOS UTILIZAN O USUARIOS. El grupo usuarios se refiere a los individuos que utilizan la estructura tecnolgica y de comunicacin de la empresa y que manejan la informacin. El enfoque de la seguridad en los usuarios, est orientado hacia la toma de conciencia de formacin del hbito de la seguridad para la toma de decisiones y accin por parte de todos los empleados de una empresa, desde su alta direccin hasta los usuarios finales de la informacin, incluyendo los grupos que mantienen en funcionamiento la estructura tecnolgica, como los tcnicos, operadores y administradores de ambientes tecnolgicos.

POSIBLES VULNERABILIDADES No usar contraseas complejas. No bloquear la computadora. Falta de cooperacin por parte de los usuarios en materia de seguridad. Descuido de parte de los usuarios en el manejo de la informacin. Robo de informacin.

Pgina | 9

4.3-PROTECCION DE LOS ACTIVOS. A-PRINCIPIOS DE LA SEGURIDAD DE INFORMACIN. Proteger los activos significa mantenerlos seguros contra amenazas que puedan afectar su funcionalidad corrompindola, accedindola indebidamente, o incluso eliminndola o hurtndola. Por lo tanto, entendemos que la seguridad de la informacin tiene en vista proteger a estos activos de una empresa o individuo, con base en la preservacin de los principios bsicos: A.1-PRINCIPIO DE LA INTEGRIDADDE LA INFORMACIN. Principio el cual nos permite garantizar que la informacin no ha sido alterada en su contenido, por tanto, es ntegra. Una informacin ntegra es una informacin que no ha sido alterada de forma indebida o no autorizada. Para que la informacin se pueda utilizar, deber estar ntegra. O sea cuando ocurre una alteracin no autorizada de la informacin en un documento, quiere decir que el documento ha perdido su integridad. La integridad de la informacin es fundamental para el xito de la comunicacin. El receptor deber tener la seguridad de que la informacin obtenida, leda u oda es exactamente la misma que fue colocada a su disposicin para una debida finalidad. Estar ntegra quiere decir estar en su estado original, sin haber sido alterada por quien no tenga autorizacin para ello. Si una informacin sufre alteraciones en su versin original, entonces la misma pierde su integridad, ocasionando errores y fraudes y perjudicando la comunicacin y la toma de decisiones. La quiebra de integridad ocurre cuando la informacin se corrompe, falsifica o burla. Una informacin se podr alterar de varias formas, tanto su contenido como el ambiente que la soporta. Por lo tanto, la quiebra de la integridad de una informacin se podr considerar bajo dos aspectos: Alteraciones del contenido de los documentos, donde se realizan inserciones, sustituciones o remociones de partes de su contenido. Alteraciones en los elementos que soportan la informacin, donde se realizan alteraciones en la estructura fsica y lgica donde una informacin est almacenada. Ejemplo: Cuando se alteran las configuraciones de un sistema para tener acceso a informaciones restrictas, cuando se superan las barreras de seguridad de una red de computadoras. Todos son ejemplos de quiebra de la integridad que afectan a la seguridad. Por lo tanto, la prctica de la seguridad de la informacin tiene como objeto impedir que ocurran eventos de quiebra de integridad, causando daos a las personas y empresas. GARANTA DE LA INTEGRIDAD DE LA INFORMACIN Buscar la integridad es asegurarnos que slo las personas autorizadas puedan hacer alteraciones en la forma y contenido de una informacin, as como en el ambiente en el cual la misma es almacenada y por el cual transita, es decir, en todos los activos. Por lo
Pgina | 10

tanto, para garantizar la integridad, es necesario que todos los elementos que componen la base de gestin de la informacin se mantengan en sus condiciones originales definidas por sus responsables y propietarios. A.2- PRINCIPIO DE LACONFIDENCIALIDAD DE LAINFORMACIN. El propsito es el asegurar que slo la persona correcta acceda a la informacin que queremos distribuir. La informacin que se intercambian entre individuos y empresas no siempre deber ser conocida por todo el mundo. Mucha de la informacin generada por las personas se destina a un grupo especfico de individuos, y muchas veces a una nica persona. Eso significa que estos datos debern ser conocidos slo por un grupo controlado de personas, definido por el responsable de la informacin. Por ese motivo, se dice que la informacin posee un grado de confidencialidad que se deber preservar para que personas sin autorizacin no la conozcan. Tener confidencialidad en la comunicacin, es la seguridad de que lo que se dijo a alguien o escribi en algn lugar ser escuchado o ledo slo por quien tenga ese derecho. Prdida de confidencialidad significa prdida de secreto. Si una informacin es confidencial, es secreta, se deber guardar con seguridad y no ser divulgada para personas no autorizadas. Ejemplo: Pensemos en el caso de una tarjeta de crdito, el nmero de la tarjeta slo podr ser conocido por su dueo y por el vendedor de la tienda donde lo usa. Si este nmero es descubierto por alguien malintencionado, como en los casos denunciados en los diarios de delitos en Internet, el dao de esa prdida de confidencialidad podr ser muy elevado, pues este nmero podr ser usado por alguien para hacer compras va Internet, trayendo prdidas financieras y un gran dolor de cabeza para el propietario de la tarjeta. Lo mismo sucede en el caso de uso indebido de contraseas de acceso a sistemas de bancos, por ejemplo. Miles de dlares se roban diariamente por la accin de criminales virtuales que se dedican a invadir sistemas para quebrar la confidencialidad de las personas y empresas. GARANTA DE LA CONFIDENCIALIDAD DE LA INFORMACIN. Garantizar la confidencialidad es uno de los factores determinantes para la seguridad y una de las tareas ms difciles de implementar, pues involucra a todos los elementos que forman parte de la comunicacin de la informacin, desde su emisor, el camino que ella recorre, hasta su receptor. Y tambin, cuanto ms valiosa es una informacin, mayor debe ser su grado de confidencialidad. Y cuanto mayor sea el grado de confidencialidad, mayor ser el nivel de seguridad necesario de la estructura tecnolgica y humana que participa de este proceso: del uso, acceso, trnsito y almacenamiento de las informaciones. Se deber considerar a la confidencialidad con base en el valor que la informacin tiene para la empresa o la persona y los impactos que podra causar su divulgacin indebida. Siendo as, debe ser accedida, leda y alterada slo por aquellos individuos que poseen permisos para tal. El acceso debe ser considerado con base en el grado de sigilo de las informaciones, pues no todas las informaciones sensibles de la empresa son confidenciales Pero para garantizar lo anterior, slo la confidencialidad de las informaciones no es suficiente, es importante que adems de ser confidenciales, las informaciones tambin
Pgina | 11

deben estar ntegras. Por lo tanto, se debe mantener la integridad de una informacin, segn el principio bsico de la seguridad de la informacin. GRADO DE SIGILO La informacin generada por las personas tiene un fin especfico y se destina a un individuo o grupo. Por lo tanto, la informacin necesita una clasificacin en lo que se refiere a su confidencialidad. Es lo que denominamos grado de sigilo, que es una graduacin atribuida a cada tipo de informacin, con base en el grupo de usuarios que poseen permisos de acceso. Dependiendo del tipo de informacin y del pblico para el cual se desea colocar a disposicin los grados de sigilo podrn ser: Confidencial Restricto Sigiloso Pblico A.3- PRINCIPIO DE LA DISPONIBILIDAD DE LA INFORMACIN. Este principio est asociado a la adecuada estructuracin de un ambiente tecnolgico y humano que permita la continuidad de los negocios de la empresa o de las personas, sin impactos negativos para la utilizacin de las informaciones. No basta estar disponible: la informacin deber estar accesible en forma segura para que se pueda usar en el momento en que se solicita y que se garantice su integridad y confidencialidad. Ejemplos: Durante una reunin de altos ejecutivos de su empresa, los servicios de base de datos de la compaa fallan y esto impide que se pueda tomar una decisin clave en materia de negocios. Tras un incendio en una de sus oficinas, se destruye la informacin de ventas de la compaa y no se contaba con un respaldo de la misma. GARANTIA DE LA DISPONIBILIDAD DE INFORMACION. Para que se pueda garantizar la disponibilidad de la informacin, es necesario conocer cules son sus usuarios, con base en el principio de la confidencialidad, para que se puedan organizar y definir las formas de colocacin en disponibilidad, garantizando, conforme el caso, su acceso y uso cuando sea necesario. La disponibilidad de la informacin se deber considerar con base en el valor que tiene la informacin y en el impacto resultante de su falta de disponibilidad. Para garantizar la disponibilidad, se toman en cuenta muchas medidas. Entre ellas destacamos: -La configuracin segura de un ambiente, donde todos los elementos que forman parte de la cadena de la comunicacin estn dispuestos en forma adecuada para asegurar el xito de la lectura, trnsito y almacenamiento de la informacin. -Tambin se realizan las copias de respaldo. Hacer el respaldo de informacin permite que las mismas estn duplicadas en otro local para ser utilizadas en caso de no ser posible recuperarlas de su base original. -Para aumentar an ms la disponibilidad de la informacin debern: Definirse estrategias para situaciones de contingencia.
Pgina | 12

 Establecerse rutas alternativas para el trnsito de la informacin, para garantizar su acceso y la continuidad de los negocios incluso cuando algunos de los recursos tecnolgicos, o humanos, no estn en perfectas condiciones de operacin. A.4-PRINCIPIO DE LA AUTENTIFICACION. Es la propiedad que permite identificar el generador de la informacin. Por ejemplo al recibir un mensaje de alguien, estar seguro que es de ese alguien el que lo ha mandado, y no una tercera persona hacindose pasar por la otra (suplantacin de identidad). En un sistema informtico se suele conseguir este factor con el uso de cuentas de usuario y contraseas de acceso. 5. -NO REPUDIO. Garantiza la participacin de las partes en una comunicacin. En toda comunicacin, existe un emisor y un receptor, por lo que podemos distinguir dos tipos de no repudio: No repudio en origen: garantiza que la persona que enva el mensaje no puede negar que es el emisor del mismo, ya que el receptor tendr pruebas del envo. No repudio en destino: el receptor no puede negar que recibi el mensaje, porque el emisor tiene pruebas de la recepcin del mismo. Si la autenticacin prueba quin es el autor o propietario de un documento y cul es su destinatario, el no repudio prueba que el autor envi la comunicacin (no repudio en origen) y que el destinatario la recibi (no repudio en destino). 6.-PROTOCOLO DE SEGURIDAD DE INFORMACION. Los protocolos de seguridad son un conjunto de reglas que gobiernan dentro de la transmisin de datos entre la comunicacin de dispositivos para ejercer una confidencialidad, integridad, autenticacin y el no repudio de la informacin. Se componen de:

Criptografa (Cifrado de datos), se ocupa del cifrado de mensajes, un mensaje es enviado por el emisor lo que hace es transposicionar u ocultar el mensaje hasta que llega a su destino y puede ser descifrado por el receptor. Lgica (Estructura y secuencia). Llevar un orden en el cual se agrupan los datos del mensaje, el significado del mensaje y saber cundo se va enviar el mensaje. Identificacin (Autenticacin). Es la tcnica mediante la cual un proceso comprueba que el compaero de comunicacin es quien se supone que es y no se trata de un impostor.

Pgina | 13

7.-EL MANEJO DE RIESGOS. Dentro de la seguridad en la informacin se lleva a cabo la clasificacin de las alternativas para manejar los posibles riegos que un activo o bien puede tener dentro de los procesos de organizacin. Esta clasificacin lleva el nombre de manejo de riegos. El manejo de riesgos, conlleva una estructura bien definida, con un control adecuado y su manejo, habindolos identificado, priorizados y analizados, a travs de acciones factibles y efectivas. Para ello se cuenta con las siguientes tcnicas de manejo del riesgo:

Evitar. El riesgo es evitado cuando la organizacin rechaza aceptarlo, es decir, no se permite ningn tipo de exposicin. Esto se logra simplemente con no comprometerse a realizar la accin que origine el riesgo. Esta tcnica tiene ms desventajas que ventajas, ya que la empresa podra abstenerse de aprovechar muchas oportunidades. Ejemplo: No instalar empresas en zonas ssmicas.

Reducir. Cuando el riesgo no puede evitarse por tener varias dificultades de tipo operacional, la alternativa puede ser su reduccin hasta el nivel ms bajo posible. Esta opcin es la ms econmica y sencilla. Se consigue optimizando los procedimientos, la implementacin de controles y su monitoreo constante. Ejemplo: No fumar en ciertas reas, instalaciones elctricas anti flama, planes de contingencia.

Retener, Asumir o Aceptar el riesgo. Es uno de los mtodos ms comunes del manejo de riesgos, es la decisin de aceptar las consecuencias de la ocurrencia del evento. Puede ser voluntaria o involuntaria, la voluntaria se caracteriza por el reconocimiento de la existencia del riesgo y el acuerdo de asumir las perdidas involucradas, esta decisin se da por falta de alternativas. La retencin involuntaria se da cuando el riesgo es retenido inconscientemente.

Ejemplo de asumir el riesgo: Con recursos propios se financian las prdidas.

Transferir. Es buscar un respaldo y compartir el riesgo con otros controles o entidades. Esta tcnica se usa ya sea para eliminar un riesgo de un lugar y transferirlo a otro, o para minimizar el mismo, compartindolo con otras entidades. Ejemplo: Transferir los costos a la compaa aseguradora.

Pgina | 14

8.- AMENAZAS. Las amenazas son agentes capaces de explotar los fallos de la seguridad que denominamos puntos dbiles y, como consecuencia de ello, causar prdidas o daos a los activos de una empresa, afectando sus negocios. Los activos estn constantemente sometidos a amenazas que pueden colocar en riesgo la integridad, confidencialidad y disponibilidad de la informacin. Estas amenazas siempre existirn y estn relacionadas a causas que representan riesgos, las cuales pueden ser: causas naturales o no naturales causas internas o externas Por lo tanto, entendemos que uno de los objetivos de la seguridad de la informacin es impedir que las amenazas exploten puntos dbiles y afecten alguno de los principios bsicos de la seguridad de la informacin (integridad, disponibilidad, confidencialidad), causando daos al negocio de las empresas. Dada la importancia de las amenazas y el impacto que puede tener para la informacin de las organizaciones, revisemos ahora su clasificacin. 8.1.-TIPOS DE AMENAZAS. Las amenazas son constantes y pueden ocurrir en cualquier momento. Esta relacin de frecuencia-tiempo, se basa en el concepto de riesgo, lo cual representa la probabilidad de que una amenaza se concrete por medio de una vulnerabilidad o punto dbil. Las mismas se podrn dividir en tres grandes grupos: Amenazas naturales: Condiciones de la naturaleza y la intemperie que podrn causar daos a los activos, tales como fuego, inundacin, terremotos. Intencionales: Son amenazas deliberadas, fraudes, vandalismo, sabotajes, espionaje, invasiones y ataques, robos y hurtos de informacin, entre otras. Involuntarias: Son amenazas resultantes de acciones inconscientes de usuarios, por virus electrnicos, muchas veces causadas por la falta de conocimiento en el uso de los activos, tales como errores y accidentes. Entre las principales amenazas, la ocurrencia de virus, la divulgacin de contraseas y la accin de hackers estn entre las ms frecuentes.

Pgina | 15

8.2.-AMENAZAS O ATAQUES A LOS SISTEMAS. En una comunicacin hay un flujo de informacin desde una fuente hacia un destino remoto, que est expuesta a cuatro categoras de ataque, como: Interrupcin Interceptacin Modificacin Generacin A. ATAQUE DE INTERRUPCION Se daa, pierde o deja de funcionar un punto del sistema. Su deteccin es inmediata. Ejemplos: -Destruccin del disco duro -Borrado de programas o datos -Corte de una lnea de Comunicacin B. ATAQUE DE INTERCEPTACION. Acceso a la informacin por parte de personas no autorizadas. Uso de privilegios no adquiridos. Su deteccin es difcil, a veces no deja huellas. Ejemplos: -Copias ilcitas de programas -Escucha en lnea de datos C. ATAQUE DE MODIFICACION. Acceso no autorizado que cambia la informacin para su beneficio. Su deteccin es difcil segn las circunstancias. Ejemplos: -Modificacin de bases de datos -Modificacin de mensajes transmitidos en una red D. ATAQUE DE GENERACION. Creacin de nuevos objetos dentro del sistema. Su deteccin es difcil: delitos de falsificacin. Ejemplos: -Introduccin de mensajes falsos en una red. -Aadir registros en base de datos.

Pgina | 16

8.3- DELITOS DE SEGURIDAD DE INFORMACION. Son acciones que vulneran la confidencialidad, integridad y disponibilidad de la informacin Estos son: Fraude: Acto deliberado de manipulacin de datos perjudicando a una persona natural o jurdica que sufre de esta forma una prdida econmica. El autor del delito logra de esta forma un beneficio normalmente econmico. Sabotaje: Accin con la que se desea perjudicar a una empresa entorpeciendo deliberadamente su marcha, averiando sus equipos, herramientas, programas, entre otros. El autor no logra normalmente con ello beneficios econmicos pero perjudica a la organizacin. Chantaje: Accin que consiste en exigir una cantidad de dinero a cambio de no dar a conocer informacin privilegiada o confidencial y que puede afectar gravemente a la empresa, por lo general a su imagen corporativa. Mascarada: Utilizacin de una clave por una persona no autorizada y que accede al sistema suplantando una identidad. De esta forma el intruso se hace dueo de la informacin, documentacin y datos de otros usuarios con los que puede, por ejemplo, chantajear a la organizacin.

8.4.-AMENAZAS POR INTERNET. A.-VIRUS INFORMATICOS. Cdigo diseado para introducirse en un programa, modificar o destruir datos. Se copia automticamente a otros programas para seguir su ciclo de vida. Es comn que se expanda a travs de plantillas, las macros de aplicaciones y archivos ejecutables. Tiempo de vida Los virus se crean o nacen, en la computadora del creador como subprograma o microprograma ejecutable. Despus se suelta en la red o se copia dentro de un programa comercial de gran difusin, para asegurar un contagio rpido y masivo. Despus de esta primera fase de creacin, vienen las fases ms importantes tales como contagio, incubacin replicacin y ataque. El contagio El contagio es quizs la fase ms fcil de todo este arduo proceso. Solo hay que tener en cuenta que el virus debe introducirse o soltarse en la red. El virus debe ir incrustado en un archivo de instalacin o en una simple pgina WEB a travs de los cookies. Las vas de infeccin son tambin principalmente los disquetes, programas copiados, Internet o el propio correo electrnico.
Pgina | 17

La incubacin Generalmente los virus se crean de formas especficas que atienden a una serie de instrucciones programadas como el esconderse y reproducirse mientras se cumplen unas opciones predeterminadas por el creador del virus. As, el virus permanece escondido reproducindose en espera de activarse cuando se cumplan las condiciones determinadas por el creador. Este proceso puede ser muy rpido en algunos casos y bastante largo en otros, segn el tipo de virus. La replicacin La replicacin consiste en la produccin de una copia de s mismo, que se situar en otro archivo distinto al que ocupa. De esta forma el virus se contagia en otros archivos y otros programas, asegurndose de que el proceso de multiplicacin est asegurado. Adems, el virus asegura su extensin a otras computadoras y debe hacerlo de la forma ms discreta y rpida posible. En este momento el virus no se manifiesta, ya que solo se instala en todos los lugares posibles. Solo de esta forma, hay ms posibilidades de daar un mayor nmero de computadoras El ataque Cuando se cumplen las condiciones, efectuadas por el creador del virus, este entra en actividad destructora. Aqu es donde formatea el disco duro o borra archivos con extensin Como EXE por citar algunos ejemplos. El ataque es el escaln final del trabajo del virus. Cuando se llega a este punto el trabajo ha culminado. La computadora se encuentra infectada y si no se dispone de un programa que elimine el virus, jams se podr recuperar los archivos. Podemos instalar de nuevo el software, pero de nuevo tendremos la destruccin de nuestra unidad nada ms se cumplan los acontecimientos antes citados. Estos programas capaces de destruir el virus, se denominan vacunas antivirus. A.1.-Tipos de Virus Informticos. Entre algunos tipos de Virus conocidos podemos mencionar: -Virus de arranque o Virus de Boot: Los Virus de boot o de arranque eran hasta los 90 los tpicos virus que infectaban el sector de arranque del disco y estos eran introducidos a la computadora a travs dedisquetes. El modo de funcionamiento es bsico, al arrancar la computadora, el virus se instalaba en la memoria RAM antes que los ficheros del sistema. Para no ser detectados, estos virus de Boot, se copiaban a s mismos en otro lugar del disco duro, con el fin de no ser descubiertos. -Virus de Macro: Los virus de Macro estn ms elaborados y son virus escritos apartir del macrolenguaje de una aplicacin determinada. -Virus polimrficos: Estos virus son capaces de cambiar de estado o la propia cadena de datos. De esta forma el mismo Virus puede verse dividido en varias secciones repartidas en varios ficheros, pero a causas naturales acta como tal. Estos virus pueden estar encriptados y muy bien repartidos por decenas de ficheros, con lo cual se convierten en los virus ms peligrosos, dado que pueden ser programas largos.
Pgina | 18

-Virus multiparte: Estos virus estn conformados a base de Virus tipo boot que operan desde la memoria y virus de Fichero, que infectan extensiones ejecutables. Estos Virus tambin pueden burlar los modernos mtodos heursticos de bsqueda de los programas antivirus.

A.2.-Otros formas de virus informticos. -Los caballos de Troya: Virus que entra al ordenador y posteriormente acta de forma similar a este hecho de la mitologa griega. As, parece ser una cosa o programa inofensivo cuando en realidad est haciendo otra y expandindose. Puede ser muy peligroso cuando es un programador de la propia empresa quien lo instala en un programa. -Gusanos: Virus que se activa y transmite a travs de la red. Tiene como finalidad su multiplicacin hasta agotar el espacio en disco o RAM. Suele ser uno de los ataques ms dainos porque normalmente produce un colapso en la red como ya estamos acostumbrados. -Spam: El spam o correo no deseado, si bien no lo podemos considerar como un ataque propiamente dicho, lo cierto es que provoca hoy en da prdidas muy importantes en empresas y muchos dolores de cabeza.

B.-AGRESORES. CRACKER: Es un hacker maligno, se dedica a romper la seguridad del sistema informtico para robar informacin o destruirla. Son los piratas modernos al estilo ciberntico. BACKDOORS: Este atacante penetra en el sistema sin que su identidad sea autenticada, produce acciones no autorizadas y eventos ilcitos como resultado de la ejecucin de comandos del sistema. HACKER: Es una persona con grandes conocimientos de Internet, de tcnicas de programacin y sistemas operativos robustos como Linux y Unix y posee muchos conocimientos en herramientas de seguridad. SCRIPT KIDDIE: Un inexperto, normalmente un adolescente, que usar programas que se descarga de Internet para atacar sistemas.

Pgina | 19

9.-PUNTOS DBILES Los puntos dbiles son los elementos que, al ser explotados por amenazas, afectan la confidencialidad, disponibilidad e integridad de la informacin de un individuo o empresa. Uno de los primeros pasos para la implementacin de la seguridad es rastrear y eliminar los puntos dbiles de un ambiente de tecnologa de la informacin. Al ser identificados los puntos dbiles, ser posible dimensionar los riesgos a los cuales el ambiente est expuesto y definir las medidas de seguridad apropiadas para su correccin. Los puntos dbiles dependen de la forma en que se organiz el ambiente en que se maneja la informacin. La existencia de puntos dbiles est relacionada con la presencia de elementos que perjudican el uso adecuado de la informacin y del medio en que la misma se est utilizando. Podemos comprender ahora otro objetivo de la seguridad de la informacin: la correccin de puntos dbiles existentes en el ambiente en que se usa la informacin, con el objeto de reducir los riesgos a que est sometida, evitando as la concretizacin de una amenaza. 9.1.-TIPOS DE VULNERABILIDADES a) Vulnerabilidades fsicas: Los puntos dbiles de orden fsico son aquellos presentes en los ambientes en los cuales la informacin se est almacenando Fsicas o manejando. Ejemplo -Instalaciones inadecuadas del espacio de trabajo. -Ausencia de recursos para el combate a incendios. -Disposicin desorganizada de cables de energa y de red. -Ausencia de identificacin de personas y de locales, entre otros. Estos puntos dbiles, al ser explotados por amenazas, afectan directamente los principios bsicos de la seguridad de la informacin, principalmente la disponibilidad. b) Vulnerabilidades naturales Los puntos dbiles naturales son aquellos relacionados con las condiciones de la naturaleza que puedan colocar en riesgo la informacin. Muchas veces, la humedad, el polvo y la contaminacin podrn causar daos a los activos. Por ello, los mismos debern estar protegidos para poder garantizar sus funciones. La probabilidad de estar expuestos a las amenazas naturales es determinante en la eleccin y montaje de un ambiente. Se debern tomar cuidados especiales con el local, de acuerdo con el tipo de amenaza natural que pueda ocurrir en una determinada regin geogrfica. Ejemplo -Ambientes sin proteccin contra incendios.
Pgina | 20

-Locales prximos a ros propensos a inundaciones. -Infraestructura incapaz de resistir a las manifestaciones de la naturaleza como terremotos, mare motos, huracanes etc. c) Vulnerabilidades de hardware Los posibles defectos en la fabricacin o configuracin de los equipos de la empresa que pudieran permitir el ataque o alteracin de los mismos. Existen muchos elementos que representan puntos dbiles de hardware. Entre ellos podemos mencionar: La ausencia de actualizaciones conforme con las orientaciones de los fabricantes de los programas que se utilizan, y conservacin inadecuada de los equipos. Por ello, la seguridad de la informacin busca evaluar: -si el hardware utilizado est dimensionado correctamente para sus funciones. -si posee rea de almacenamiento suficiente, procesamiento y velocidad adecuados. Ejemplo -La falta de configuracin de respaldos o equipos de contingencia pudiera representar una vulnerabilidad para los sistemas de la empresa.

d) Vulnerabilidades de software Los puntos dbiles de aplicaciones permiten que ocurran accesos indebidos a sistemas informticos incluso sin el conocimiento de un usuario o administrador de red. Los puntos dbiles relacionados con el software podrn ser explotados por diversas amenazas ya conocidas. Entre stos destacamos: La configuracin e instalacin indebidas de los programas de computadora, que podrn llevar al uso abusivo de los recursos por parte de usuarios mal intencionados. A veces la libertad de uso implica el aumento del riesgo. Ejemplo -Lectores de e-mail que permiten la ejecucin de cdigos maliciosos, editores de texto que permiten la ejecucin de virus de macro etc. Estos puntos dbiles colocan en riesgo la seguridad de los ambientes tecnolgicos. Las aplicaciones son los elementos que realizan la lectura de la informacin y que permiten el acceso de los usuarios a dichos datos en medio electrnico y, por esta razn, se convierten en el objetivo predilecto de agentes causantes de amenazas. Ejemplo -Tambin podrn tener puntos dbiles de aplicaciones los programas utilizados para la edicin de texto e imagen, para la automatizacin de
Pgina | 21

procesos y los que permiten la lectura de la informacin de una persona o empresa, como los navegadores de pginas del Internet. Los sistemas operativos como Microsoft Windows y Unix , que ofrecen la interfaz para configuracin y organizacin de un ambiente tecnolgico. Estos son el blanco de ataques, pues a travs de los mismos se podrn realizar cualquier alteracin de la estructura de una computadora o red. Ejemplo -Estas aplicaciones son vulnerables a varias acciones que afectan su seguridad, como por ejemplo la configuracin e instalacin inadecuada, ausencia de actualizacin, programacin insegura etc. e) Vulnerabilidades de medios de almacenaje Los medios de almacenamiento son los soportes fsicos o magnticos que se utilizan para almacenar la informacin. Entre los tipos de soporte o medios de almacenamiento de la informacin que estn expuestos podemos citar: disquetes, cd-roms, cintas magnticas, discos duros de los servidores y de las bases de datos, as como lo que est registrado en papel. Si los soportes que almacenan informacin, no se utilizan de forma adecuada, el contenido en los mismos podr estar vulnerable a una serie de factores que podrn afectar la integridad, disponibilidad y confidencialidad de la informacin Ejemplo -Los medios de almacenamiento podrn ser afectados por puntos dbiles que podrn daarlos e incluso dejarlos indispuestos. Entre estos puntos dbiles, destacamos los siguientes: -Plazo de validez y caducidad -Defecto de fabricacin -Uso incorrecto -Lugar de almacenamiento en locales insalubres o con alto nivel de humedad, magnetismo o esttica, moho, etc. f) Vulnerabilidades de comunicacin Este tipo de punto dbil abarca todo el trnsito de la informacin. Donde sea que la informacin transite, ya sea va cable, satlite, fibra ptica u ondas de radio, debe existir seguridad. El xito en el trnsito de los datos es un aspecto crucial en la implementacin de la seguridad de la informacin. Hay un gran intercambio de datos a travs de medios de comunicacin que rompen barreras fsicas tales como telfono, Internet, WAP, fax, tlex etc. Siendo as, estos medios debern recibir tratamiento de seguridad adecuado con el propsito de evitar que: Cualquier falla en la comunicacin haga que una informacin quede no disponible para sus usuarios, o por el contrario, estar disponible para quien
Pgina | 22

no posee derechos de acceso. La informacin sea alterada en su estado original, afectando su integridad La informacin sea capturada por usuarios no autorizada, afectando su confidencialidad. Por lo tanto, la seguridad de la informacin tambin est asociada con el desempeo de los equipos involucrados en la comunicacin, pues se preocupa por: la calidad del ambiente que fue preparado para el trnsito, tratamiento, almacenamiento y lectura de la informacin. Ejemplo -La ausencia de sistemas de encriptacin en las comunicaciones que pudieran permitir que personas ajenas a la organizacin obtengan informacin privilegiada. -La mala eleccin de sistemas de comunicacin para envo de mensajes de alta prioridad de la empresa pudiera provocar que no alcanzaran el destino esperado o bien se interceptara el mensaje en su trnsito.

g) Vulnerabilidades humanas Esta categora de vulnerabilidad est relacionada con los daos que las personas pueden causar a la informacin y al ambiente tecnolgico que la soporta. Los puntos dbiles humanos tambin pueden ser intencionales o no. Muchas veces, los errores y accidentes que amenazan a la seguridad de la informacin ocurren en ambientes institucionales. La mayor vulnerabilidad es el desconocimiento de las medidas de seguridad adecuadas para ser adoptadas por cada elemento constituyente, principalmente los miembros internos de la empresa. Destacamos dos puntos dbiles humanos por su grado de frecuencia: La falta de capacitacin especfica para la ejecucin de las actividades inherentes a las funciones de cada uno, La falta de conciencia de seguridad para las actividades de rutina, los errores, omisiones, insatisfacciones etc. En lo que se refiere a las vulnerabilidades humanas de origen externo, podemos considerar todas aqullas que puedan ser exploradas por amenazas como: vandalismo, estafas, invasiones, etc. Ejemplo -Contraseas dbiles, falta de uso de criptografa en la comunicacin, compartimiento de identificadores tales como nombre de usuario o credencial de acceso, entre otros.

Pgina | 23

10.-RIESGOS DE SEGURIDAD. El riesgo es la probabilidad de que las amenazas exploten los puntos dbiles, causando prdidas o daos a los activos e impactos al negocio, es decir, afectando: La confidencialidad, la integridad y la disponibilidad de la informacin. 11.-MEDIDAS DE SEGURIDAD. Las medidas de seguridad son acciones orientadas hacia la eliminacin de vulnerabilidades, teniendo en mira evitar que una amenaza se vuelva realidad. Estas medidas son el paso inicial para el aumento de la seguridad de la informacin en un ambiente de tecnologa de la informacin y debern considerar el todo. Ya que existe una variedad de clases de puntos dbiles que afectan la disponibilidad, confidencialidad e integridad de la informacin, debern existir medidas de seguridad especficas para el tratamiento de cada caso. Antes de la definicin de las medidas de seguridad a ser adoptadas, se deber conocer el ambiente en sus mnimos detalles, buscando los puntos dbiles existentes. A partir de este conocimiento, se toman las medidas o acciones de seguridad que pueden ser de ndole: Preventivo: Buscando evitar el surgimiento de nuevos puntos dbiles y amenazas; Perceptivo: Orientado hacia la revelacin de actos que pongan en riesgo la informacin. Correctivo: Orientado hacia la correccin de los problemas de seguridad conforme su ocurrencia. 11.1.-MEDIDAS GLOBALES DE SEGURIDAD. La seguridad de la informacin debe ser garantizada en una forma integral y completa de ah que resulte de mucha utilidad conocer con un poco ms de detalle estas cuatro medidas de seguridad que permiten movernos desde el anlisis de riesgos hasta la administracin de la seguridad: Anlisis de riesgos: Es una medida que busca rastrear vulnerabilidades en los activos que puedan ser explotados por amenazas. El anlisis de riesgos tiene como resultado un grupo de recomendaciones para la correccin de los activos para que los mismos puedan ser protegidos.

Poltica de seguridad: Es una medida que busca establecer los estndares de seguridad a ser seguidos por todos los involucrados con el uso y mantenimiento de los activos. Es una forma de suministrar un conjunto de normas para guiar a las personas en la realizacin de sus trabajos. Es el primer paso para aumentar la conciencia de la seguridad de las personas, pues est orientada hacia la formacin de hbitos, por medio de manuales de instruccin y procedimientos operativos.

Pgina | 24

 Especificacin de seguridad: Son medidas que tienen en mira instruir la correcta implementacin de un nuevo ambiente tecnolgico, por medio del detalle de sus elementos constituyentes y la forma con que los mismos deben estar dispuestos para atender a los principios de la seguridad de la informacin. Administracin de seguridad: Son medidas integradas para producir la gestin de los riesgos de un ambiente. La administracin de la seguridad involucra a todas las medidas mencionadas anteriormente, en forma preventiva, perceptiva y correctiva, con base en el ciclo de la seguridad.

12.-CICLO DE SEGURIDAD DE LAINFORMACIN. El ciclo de seguridad se inicia con la identificacin de las amenazas a las cuales estn sometidas las empresas. La identificacin de las amenazas permitir la visualizacin de los puntos dbiles que se podrn explotar, exponiendo los activos a riesgos de seguridad. Esta exposicin lleva a la prdida de uno o ms principios bsicos de la seguridad de la informacin, causando impactos en el negocio de la empresa, aumentando an ms los riesgos a que estn expuestas las informaciones. Para que el impacto de estas amenazas al negocio se pueda reducir, se toman medidas de seguridad para impedir la ocurrencia de puntos dbiles. Los riesgos en la seguridad de la empresa aumentan en la medida que las amenazas pueden explotarlas vulnerabilidades, y por tanto causar dao en los activos. Estos daos pueden causar que la confidencialidad, integridad o disponibilidad de la informacin se pierda, causando impactos en el negocio de la empresa. Las medidas de seguridad permiten disminuir los riesgos, y con esto, permitir que el ciclo sea de mucho menor impacto para los activos, y por tanto, para la empresa.

Por lo tanto, la seguridad es una actividad cuyo propsito es: proteger a los activos contra accesos no autorizados, evitar alteraciones indebidas que pongan en peligro su integridad garantizar la disponibilidad de la informacin Y es instrumentada por medio de polticas y procedimientos de seguridad que permiten: la identificacin y control de amenazas y puntos dbiles, teniendo en mira la preservacin de la confidencialidad, integridad y disponibilidad de la informacin.

CONCLUSION DE SEGURIDAD DE INFORMACION. Concluimos que la seguridad es una prctica orientada hacia la eliminacin de las vulnerabilidades para evitar o reducir la posibilidad que las potenciales amenazas se concreten en el ambiente que se quiere proteger. El principal objetivo es garantizar el xito de la comunicacin segura, con informacin disponible, ntegra y confidencial, a travs de medidas de seguridad que puedan tornar factible el negocio de un individuo o empresa con el menor riesgo posible.

Pgina | 25

BIBLIOGRAFIA

Rami Aguirre, Jorge. Seguridad Informtica y Criptografa v 4.1 (texto gua de clases) Dpto. de Publicaciones E.U.I., 2006 (edicin impresa). Libro electrnico gratuito disponible en la pgina Web del autor. Aplicaciones Criptogrficas. Segunda Edicin), Dpto. de Publicaciones EUI 1999. Menezes, Alfred; Oorsschof, Paul; Vanstone, Scott. Handbook of Applied Cryptography. CRC Press, 1977. Libro electrnico gratuito disponible en la pgina Web del autor Stallings, William. Cryptography and Network Security. Principles and Practice. Third ed., Prentice Hall International Editions, 2003. Pastor, Jos; Sarasa, Miguel Angel. Criptografa Digital. Coleccin Textos Docentes; Prensas Universitarias de Zaragoza, 1998. Schneier, Bruce. Applied Cryptography. Protocols, Algorithms, and Source Code in C. 2nd ed., John Wiley & Sons, Inc., 1996 Fster, A.; De la Gua, D.; Hernndez, L.; Montoya, F.; Muoz, J. Tcnicas Criptogrficas de Proteccin de Datos. 2 ed, Ra-Ma, 2000 Caballero, Pino. Introduccin a la Criptografa. Ra-Ma, Textos Universitarios, 1996. Cariacedo Gallardo, Justo. Seguridad en Redes Telemticas. McGraw Hill, 2004. Areitio, Javier. Seguridad de la Informacin. Redes, informtica y sistemas de informacin. Paraninfo, 2008.

Pgina | 26