Seguridad en entornos tecnolgicos

Introduccin a la seguridad de la informacin

Objetivos
Conocer las diferentes categoras existentes de los activos de una empresa. Comprender el concepto de puntos d biles para identificar las posibles vulnerabilidades y amenazas existentes en los activos. Interpretar la clasificacin propuesta de las posibles amenazas encontradas en los diferentes procesos de la empresa. Revisar los conceptos de integridad, confidencialidad y disponibilidad de la informacin. Conocer el concepto de riesgo y su implicacin en el ciclo de seguridad de la informacin de la empresa. Distinguir la diferencia entre aplicar o no medidas de seguridad en los diferentes aspectos de nuestra empresa. Comprender los conceptos b sicos de anlisis de riesgo y poltica de ? seguridad, dos puntos muy importantes para definir las acciones en materia de seguridad que se aplican en las empresas.

Conceptos bsicos de la seguridad de la informacin

La informacin es el objeto de mayor valor para las empresas.

Nuevo escenario

Los objetos del mundo real estn representados por bits y bytes

La seguridad de la informacin es un asunto tan importante para todos, pues afecta directamente a los negocios de una empresa o de un individuo.

La seguridad de la informacin tiene como propsito proteger la informacin registrada, independientemente del lugar en que se localice: impresos en papel, en los discos duros de las computadoras o incluso en la memoria de las personas que la conocen.

... una de las preocupaciones de la seguridad de la informacin es

proteger los elementos que forman parte de la comunicacin.

La informacin

La seguridad de la informacin

Los equipos que la soportan

Las personas que la utilizan

Activos

Activos.
Saba usted que el 94% de las empresas que pierden sus datos desaparece? * Segn un estudio de la Universidad de Texas, slo el 6% de las empresas que sufren un desastre informtico sobreviven. El 94% restante tarde o temprano desaparece. Investigaciones de Gartner Group, aunque ms moderadas, respaldan esta tendencia al indicar que dos de cada cinco empresas que enfrentan ataques o daos en sus sistemas dejan de existir.

Son tres elementos que conforman lo que denominamos activos:

La Informacin, Los Equipos que la soportan y,
b.1 Software b.2 Hardware b.3 Organizacin

Las personas que los utilizan.

La Informacin
documentos

En este grupo estn los elementos que contienen informacin registrada, en medio electrnico o fsico, dentro de los ms importantes tenemos:

informes libros manuales correspondencias patentes informacin de mercado cdigo de programacin lneas de comando reportes financieros archivos de configuracin planillas de sueldos de empleados plan de negocios de una empresa, etc.

Posibles vulnerabilidades

Robo de documentos, prdida de archivos de configuracin, entre otros.

Software
Las aplicaciones comerciales

Este grupo de activos contiene todos los programas de computadora que se utilizan para la automatizacin de procesos, es decir, acceso, lectura, trnsito y almacenamiento de la informacin.

Los programas institucionales

Los sistemas operativos

otros

La seguridad de la informacin
Busca evaluar la forma en que se crean las aplicaciones, cmo estn colocadas a disposicin y la forma como son utilizadas por los usuarios y por otros sistemas, para detectar y corregir problemas existentes en la comunicacin entre ellos.

Posibles vulnerabilidades
Fallas publicadas de los sistemas operativos y las aplicaciones no reparadas pueden representar accesos indebidos a los equipos. Son entradas usadas por hackers y virus.

Hardware
Estos activos representan toda la infraestructura tecnolgica que brinda soporte a la informacin durante su uso, trnsito y almacenamiento.
toda la infraestructura tecnolgica que brinda soporte a la informacin durante su uso, trnsito y almacenamiento .

Hardware
las computadoras los servidores los equipos porttiles los mainframes los medios de almacenamiento los equipos de conectividad, enrutadores, switchs y cualquier otro elemento de una red de computadoras por donde transita la informacin.

Posibles vulnerabilidades
Fallas elctricas que daen los equipos, inundaciones en centros de cmputo, robo de equipos porttiles.

Organizacin
En este grupo se incluyen los aspectos que componen la estructura fsica y organizativa de las empresas
Como ejemplos de estructura organizativa , tenemos entre otros: La estructura departamental y funcional El cuadro de asignacin de funcionarios La distribucin de funciones y los flujos de informacin de la empresa

Respecto al ambiente fsico , se consideran Las salas y armarios donde estn localizados los documentos,fototeca, sala de servidores de archivos.

Posibles vulnerabilidades
Ubicacin insegura de documentos, equipos o personas. Estructura organizacional que no permita los cambios en materia de seguridad.

Las personas que los utilizan

Se refiere a los individuos que utilizan la estructura tecnolgica y de comunicacin de la empresa y que manejan la informacin

El enfoque de la seguridad en los usuarios, est orientado hacia la toma de conciencia de formacin del hbito de la seguridad para la toma de decisiones y accin por parte de todos los empleados de una empresa,

Desde su alta direccin hasta los usuarios finales de la informacin, incluyendo los grupos que mantienen en funcionamiento la estructura tecnolgica, como los tcnicos, operadores y administradores de ambientes tecnolgicos.

Posibles vulnerabilidades
N ? o usar contrase as complejas. ? No bloquear la computadora. Falta de cooperacin por parte de los usuarios en materia de seguridad. Descuido de parte de los usuarios en el manejo de la informacin. ? Robo de informacin.

Principios bsicos de la seguridad de la informacin

Proteger los activos significa mantenerlos seguros contra amenazas que puedan afectar su funcionalidad
Corrompindola, Accedindola indebidamente, o incluso Eliminndola o hurtndola.

Tres principios bsicos:

Integridad Confidencialidad y, Disponibilidad de la informacin.

Principio de la integridad de la informacin

Una informacin ntegra es una informacin que no ha sido alterada de forma indebida o no autorizada

La quiebra de integridad ocurre cuando la informacin se corrompe, falsifica o burla.

Principio de la confidencialidad de la informacin

Tiene como propsito el asegurar que slo la persona correcta acceda a la informacin que queremos distribuir.
Prdida de confidencialidad significa prdida de secreto. Si una informacin es confidencial, es secreta, se deber guardar con seguridad y no ser divulgada para personas no autorizadas.

Grado de sigilo
Es una graduacin atribuida a cada tipo dec informacin, con base en el grupo de usuarios que poseen permisos de acceso.
Dependiendo del tipo de informacin y del pblico para el cual se desea colocar a disposicin los grados de sigilo podrn ser: Confidencial Restricto Sigiloso Pblico

Principio de disponibilidad de la informacin

Se refiera a la disponibilidad de la informacin y de toda la estructura fsica y tecnolgica que permite el acceso, trnsito y almacenamiento.
La disponibilidad de la informacin permite que: Se utilice cuando sea necesario Que est al alcance de sus usuarios y destinatarios Se pueda accederla en el momento en que necesitan utilizarla.

Para garantizar la disponibilidad, se toman en cuenta muchas medidas. Entre ellas destacamos:
La configuracin segura de un ambiente, donde todos los elementos que forman parte de la cadena de la comunicaci n estn dispuestos en forma adecuada para asegurar el xito de la lectura, trnsito y almacenamiento de la informacin. Tambin se realizan las copias de respaldo . backup . Hacer el respaldo de informacin permite que las mismas estn duplicadas en otro local para ser utilizadas en caso de no ser posible recuperarlas de su base original.

Amenazas y puntos dbiles

Las amenazas
Son agentes capaces de explotar los fallos de seguridad que denominamos puntos dbiles y, como consecuencia de ello, causar prdidas o daos a los activos de una empresa, afectando sus negocios.

Tipos de amenazas

Amenazas naturales
Condiciones de la naturaleza y la intemperie que podrn causar daos a los activos, tales como fuego, inundacin, terremotos,

Intencionales
Son amenazas deliberadas, fraudes, vandalismo, sabotajes, espionaje, invasiones y ataques, robos y hurtos de informacin, entre otras.

Involuntarias
Son amenazas resultantes de acciones inconscientes de usuarios, por virus electrnicos, muchas veces causadas por la falta de conocimiento en el uso de los activos, tales como errores y accidentes.

Principales amenazas a la informacin de las empresas brasileas

Vulnerabilidades fsicas
Como ejemplos de este tipo de vulnerabilidad se distinguen:
Instalaciones inadecuadas del espacio de trabajo Ausencia de recursos para el combate a incendios Disposicin desorganizada de cables de energa y de red. Ausencia de identificacin de personas y de locales,entre otros.

Vulnerabilidades naturales
Entre las amenazas naturales ms comunes podemos citar: Ambientes sin proteccin contra incendios, Locales prximos a ros propensos a inundaciones, Infraestructura incapaz de resistir a las manifestaciones de la naturaleza como terremotos, maremotos, huracanes etc.

Vulnerabilidades de hardware
Existen muchos elementos que representan puntos dbiles de hardware. Entre ellos podemos mencionar:
La ausencia de actualizaciones conforme con las orientaciones de los fabricantes de los programas que se utilizan, y La conservacin inadecuada de los equipos.

Vulnerabilidades de software
Entre stos destacamos: La configuracin e instalacin indebidas de los programas de computadora, que podrn llevar al uso abusivo de los recursos por parte de usuarios mal intencionados. A veces la libertad de uso implica el aumento del riesgo.
Lectores de e-mail que permiten la ejecuci n de cdigos maliciosos, editores de texto que permiten la ejecuci n de virus de macro etc. Estos puntos dbiles colocan en riesgo la seguridad de los ambientes tecnolgicos.

 Las aplicaciones son los elementos que realizan la lectura de la informacin y que permiten el acceso de los usuarios a dichos datos en medio electrnico y, por esta razn, se convierten en el objetivo predilecto de agentes causantes de amenazas.

 Los sistemas operativos como Microsoft Windows y Unix , que ofrecen la interfaz para configuracin y organizacin de un ambiente tecnolgico. Estos son el blanco de ataques, pues a travs de los mismos se podrn realizar cualquier alteracin de la estructura de una computadora o red

Vulnerabilidades de medios de almacenaje

Los medios de almacenamiento podrn ser afectados por puntos dbiles que podrn daarlos e incluso dejarlos indispuestos. Entre estos puntos dbiles, destacamos los siguientes:
plazo de validez y caducidad defecto de fabricacin uso incorrecto lugar de almacenamiento en locales insalubres o con alto nivel de humedad, magnetismo o esttica, moho, etc..

Vulnerabilidades de comunicacin
Se debe evitar que:
Cualquier falla en la comunicacin haga que una informacin quede no disponible para sus usuarios, o por el contrario, estar disponible para quien no posee derechos de acceso. La informacin sea alterada en su estado original, afectando su integridad . ? La informacin sea capturada por usuarios no autorizada, afectando su confidencialidad.

 La ausencia de sistemas de encriptacin en las comunicaciones que pudieran permitir que personas ajenas a la organizacin obtengan informacin privilegiada. La mala eleccin de sistemas de comunicacin para envo de mensajes de alta prioridad de la empresa pudiera provocar que no alcanzaran el destino esperado o bien se interceptara el mensaje en su trnsito.

Vulnerabilidades humanas
Destacamos dos puntos dbiles humanos por su grado de frecuencia:
La falta de capacitacin espec fica para la ejecucin de las actividades inherentes a las funciones de cada uno, La falta de conciencia de seguridad para las actividades de rutina, los errores, omisiones, insatisfacciones etc.

vulnerabilidades humanas de origen externo

Vandalismo Estafas Invasiones

Riesgos, medidas y ciclo de seguridad

Riesgos
El riesgo es la probabilidad de que las amenazas exploten los puntos dbiles, causando prdidas o daos a los activos e impactos al negocio, es decir, afectando: La confidencialidad, la integridad y la disponibilidad de la informacin.

Medidas de seguridad
Las medidas de seguridad son acciones orientadas hacia la eliminacin de vulnerabilidades, teniendo en mira evitar que una amenaza se vuelva realidad.
Con medidas de Seguridad Sin medidas de Seguridad Activo

Activo

Medidas o acciones de seguridad

Preventivo: buscando evitar el surgimiento de nuevos puntos dbiles y amenazas; Perceptivo: orientado hacia la revelacin de actos que pongan en riesgo la informacin o Correctivo: orientado hacia la correccin de los problemas de seguridad conforme su ocurrencia.

medidas de seguridad
Anlisis de riesgos Poltica de seguridad Especificacin de seguridad Administracin de seguridad

Anlisis de Riesgos
Es una medida que busca rastrear vulnerabilidades en los activos que puedan ser explotados por amenazas . El anlisis de riesgos tiene como resultado un grupo de recomendaciones para la correccin de los activos para que los mismos puedan ser protegidos.

Polticas de Seguridad
Es una forma de suministrar un conjunto de normas para guiar a las personas en la realizacin de sus trabajos. Es el primer paso para aumentar la conciencia de la seguridad de las personas , pues est orientada hacia la formacin de hbitos, por medio de manuales de instruccin y procedimientos operativos.

Especificacin de seguridad
Son medidas que tienen en mira instruir la correcta implementacin de un nuevo ambiente tecnolgico , por medio del detalle de sus elementos constituyentes y la forma con que los mismos deben estar dispuestos para atender a los principios de la seguridad de la informacin.

Administracin de la seguridad
Son medidas integradas para producir la gestin de los riesgos de un ambiente. La administracin de la seguridad involucra a todas las medidas mencionadas anteriormente, en forma preventiva, perceptiva y correctiva

Por lo tanto, la seguridad es .

una actividad cuyo propsito es: Proteger a los activos contra accesos no autorizados , Evitar alteraciones indebidas que pongan en peligro su integridad Garantizar la disponibilidad de lainformacin

Y es instrumentada por medio de polticas y procedimientos de seguridad que permiten: la identificacin y control de amenazas y puntos dbiles, teniendo en mira la preservacin de la confidencialidad, integridad y disponibilidad de la informacin.

Concepto de anlisis de riesgos

 Hoy en d a, las vulnerabilidades son explotadas a una velocidad mucho mayor por aquellas personas cuya intencin es da ar los activos de las empresas. Dicha velocidad implica que debemos estar m s alertas que nunca, no slo actuando en consecuencia, sino tambin previniendo posibles riesgos y problemas de seguridad.

Qu es el anlisis de riesgos
Es un paso importante para implementar la seguridad de la informacin. Como su propio nombre lo indica, es realizado para detectar los riesgos a los cuales estn sometidos los activos de una organizacin, es decir, para saber cul es la probabilidad de que las amenazas se concreten.

Resultado del anlisis de riesgos

Encontrar la consolidacin de las vulnerabilidades para identificar los pasos a seguir para su correccin. Identificar las amenazas que pueden explotar esas vulnerabilidades y de esta manera se puede llegar a su correccin o eliminacin.

Resultado del anlisis de riesgos

Identificar los impactos potenciales que pudieran tener los incidentes y de esta forma aprovechar las vulnerabilidades encontradas Determinar las recomendaciones para que las amenazas sean corregidas o reducidas.

Lecciones aprendidas
Comprendemos ahora que los riesgos siempre han existido, y nuestra tarea, es reducirlos al mximo. Reconocemos al anlisis de riesgos como una actividad que se centra en descubrir las posibles vulnerabilidades en nuestros sistemas. Estimamos que, con la importancia hoy en d a de la tecnolog a en los procesos esenciales de negocio de las empresas, el anlisis de riesgos se convierte en una actividad de alta prioridad.

Lecciones aprendidas
Determinamos que nuestro an lisis de riesgos debe considerar factores que pueden afectar su duracin y tiempo de realizacin, lo cual permitir que dimensionemos correctamente esta actividad. Conocimos los mbitos en los que podemos realizar nuestro anlisis de riesgos, adems de describir otra serie de factores que pueden ser tomados en cuenta durante su realizacin.Esto nos permitir que dicho an lisis sea implementado en las reas que mayor impacto positivo tenga en la empresa

Identificacin de la relevancia en los procesos para dirigir las acciones de seguridad de la informacin

Al hacer un anlisis de riesgos, es importante identificar la relevancia que tienen los procesos de la empresa en la organizacin, para as poder priorizar las acciones de seguridad, es decir, iniciar el trabajo de implementacin de seguridad en las reas ms estratgicas que puedan traer un impacto mayor a la organizacin cuando se presente algn incidente.

La identificacin de la relevancia de los procesos de negocio

Dirigir las acciones de seguridad a las reas ms crticas y prioritarias.

Dirigir las acciones de seguridad a las reas donde se reduzcan costos y se optimicen los recursos

Identificacin de la relevancia de la seguridad en los procesos de negocio

Dirigir las acciones de seguridad a las reas donde es ms urgente atender

Amenazas de seguridad
La suplantacin de identidades es la capacidad de obtener y usar la informacin de autenticacin de otro usuario. Un ejemplo de suplantacin de identidad es la utilizacin del nombre y la contrasea de otro usuario.

Amenazas de seguridad
La alteracin de datos implica su modificacin. Un ejemplo sera alterar el contenido del cookie de un cliente.

Amenazas de seguridad
El repudio es la capacidad de negar que algo ha ocurrido. Un ejemplo es que un usuario cargue datos dainos en el sistema cuando en ste no se puede realizar un seguimiento de la operacin.

Amenazas de seguridad
La divulgacin de informacin implica la exposicin de informacin ante usuarios que se supone que no deben disponer de ella. Un ejemplo de divulgacin de informacin es la capacidad de un intruso para leer archivos mdicos confidenciales a los que no se le ha otorgado acceso.

Amenazas de seguridad
Los ataques de denegacin de servicio privan a los usuarios del servicio normal. Un ejemplo de denegacin de servicio consiste en dejar un sitio Web inaccesible, al inundarlo con una cantidad masiva de solicitudes HTTP. .

Amenazas de seguridad
La elevacin de privilegios es un proceso que siguen los intrusos para realizar una funcin que no tienen derecho a efectuar. Para ello se explota una debilidad del software o se usan credenciales de forma ilegtima.

Identificacin de la relevancia de los activos para dirigir las acciones de seguridad de la informacin

Para alcanzar el objetivo de identificar la relevancia de los activos, el an lisis de riesgos busca proveer datos cuantitativos y cualitativos sobre el nivel de seguridad existente en la organizacin, para que se puedan realizar las acciones y cumplan su propsito en cuanto a la seguridad de la informacin, como garantizar su confidencialidad, integridad y disponibilidad.

Lecciones aprendidas
Comprendimos la importancia de aumentar la seguridad a aquellos procesos que tienen un mayor impacto para nuestra empresa, as sabremos priorizar en que mbitos tomar acciones que sean en mayor beneficio para el negocio. Reconocimos la importancia de proteger los principales activos del negocio, esto con el fin de dar mayor importancia a aquello que es vital para el crecimiento y la supervivencia de la empresa.

El anlisis tcnico
Es la forma en que se obtiene la informacin especfica de como son gestionados en general los activos de la empresa. De esta forma, es posible identificar, en las entrelneas de las configuraciones, la forma en que son utilizados y manipulados, buscando identificar vulnerabilidades de seguridad.

Estaciones de trabajo
Ejemplos de vulnerabilidades comunes en este tipo de activos: ausencia de protector de pantallas bloqueado por clave, que permite que las mquinas dejadas solas no sean utilizadas por personas no autorizadas; ausencia de configuraciones de seguridad que permitan la instalacin o ejecucin de ficheros maliciosos; periodicidad de actualizacin de programas antivirus, forma de organizacin de los directorios, presencia o ausencia de documentos confidenciales, forma de utilizacin de la estructura de servidores de ficheros, que garanticen de una manera ms eficiente la copia de seguridad de los datos, es decir, su disponibilidad.

Servidores
El enfoque principal se encuentra en los ficheros de configuracin y de definicin de usuarios que tienen derechos de administracin del ambiente, una vez que son los privilegios de administracin los que ms amenazan los entornos de tecnologa y tambin son los ms anhelados por los invasores.

Equipos de conectividad
El anlisis de equipos de conectividad est centrado en la deteccin de configuraciones que ponen en riesgo las conexiones realizadas por la red de comunicacin que respalda un proceso de negocio.

Conexiones
Las conexiones de comunicacin entre las redes deben estar seguras: fibra ptica, satlite, radio, antenas Para eso, es importante realizar actividades de anlisis sobre la forma con que las conexiones estn configuradas y dispuestas en la representacin topolgica de la red

Bases de datos
En las bases de datos son evaluados los privilegios de los usuarios con relacin a los permisos de uso, principalmente en lo que se refiere al acceso de aplicaciones que hacen la lectura y escritura de estas informaciones.

Aplicaciones
Las aplicaciones deben garantizar un acceso restrictivo, con base en los privilegios de cada usuario

Anlisis de seguridad fsica

Anlisis de seguridad fsica

El anlisis de seguridad f sica se inicia con la visita tcnica en los entornos en donde se realizan actividades relacionadas directa o indirectamente con los procesos de negocio que estn siendo analizados, a los cuales se deben atribuir soluciones de seguridad.

Estos ambientes deben ser observados con relacin a lo siguiente: Disposicin organizativa
La organizacin del espacio con relacin a cmo estn acomodados los muebles y los activos de informacin. Que las reas de circulacin de personas en lugares de alto transito estn libres de activos valor o importancia. Que los activos de alta importancia se ubiquen en reas libres de acceso de personas que no estn autorizadas para operarlos.

Sistemas de combate a incendio Se considera la disposicin de los mecanismos de combate a incendio, cuidando que est n en los lugares adecuados:
los detectores de humo, los aspersores de agua, los extintores de incendio, entre otras cosas.

Control de acceso Se ocupa de la disposicin de sistemas de deteccin y autorizacin de acceso a las de personas, para esto se hace uso de:
cmaras de video, hombres de seguridad, trinquete para acceso, mecanismos de reconocimiento individual, entre otros.

Exposicin a clima y medio ambiente Disposicin de las ventanas y puertas de reas crticas. Se preocupa que se encuentren ubicadas prximas a activos crticos, Si los activos crticos reciben luz solar o posibilidad de amenaza causadas por los fen menos de la naturaleza, como viento o lluvias fuertes.

Topografa Se interesa en la localizacin del centro de procesamiento de datos, de la sala de c mputo o del sitio de servidores, o cualquier rea crtica con relacin a la topograf a del terreno si se encuentran en el subsuelo, al alcance de inundaciones, prximas a reas de riesgo como proximidad al mar, ros o arroyos o reas de retencin de agua o con posibilidad de prdidas de ca eras hidrulicas.

Los Riesgos y Amenazas Informtica debe conocer

Polticas de seguridad
Modelo de estructura de poltica

Directrices (Estrategias)
Conjunto de reglas generales de nivel estratgico donde se expresan los valores de seguridad de la organizacin. Es endosada por el lder empresarial de la organizacin y tiene como base su visin y misin para abarcar toda la filosofa de seguridad de la informacin. Las directrices corresponden a las preocupaciones de la empresa sobre la seguridad de la informacin, al establecer sus objetivos, medios y responsabilidades.

Normas (Tctico)
Conjunto de reglas generales y espec ficas de la seguridad de la informacin que deben ser usadas por todos los segmentos involucrados en los procesos de negocio de la institucin, y que pueden ser elaboradas por activo, rea, tecnolog a, proceso de negocio, p blico a que se destina, etc. Las normas, por estar en un nivel tctico, pueden ser espec ficas para el pblico a que se destina,
Normas de Seguridad para tcnicos Normas de Seguridad para Usuarios

Procedimientos e instrucciones de trabajo (Operacional)

Procedimiento Conjunto de orientaciones para realizar las actividades operativas de seguridad, que representa las relaciones interpersonales e nter departamentales y sus respectivas etapas de trabajo para la implantacin o manutencin de la seguridad de la informacin. Instruccin de trabajo Conjunto de comandos operativos a ser ejecutados en el momento de la realizacin de un procedimiento de seguridad establecido por una norma, establecido en modelo de paso a paso para los usuarios del activo en cuestin.

Conclusiones
Una poltica de seguridad bien implantada es aquella que refleja los objetivos de negocio de la empresa. Para lograr el xito para la implantacin de la poltica de seguridad, es necesario tener el apoyo y crear conciencia en la alta direccin de la empresa. La poltica de seguridad puede comprender una gran variedad de mbitos dentro de la empresa y estos se seleccionan en base a la importancia de cada uno en los negocios de la empresa. La poltica de seguridad se convierte en el primer paso para lograr que la seguridad sea un esfuerzo com n.

Implementacin de la seguridad
Son varias las medidas de protecci n que recomendamos para la reducci n de las vulnerabilidades de la informaci n. Entre otras: Proteccin contra virus Implementaci n de firewalls Control de acceso a los recursos de la red Control de acceso fsico Sistemas de vigilancia Deteccin y control de invasiones Polticas generales o especficas de seguridad Equipos Configuraci n de ambientes Entrenamiento Campaas de divulgaci n Planes de continuidad Clasificaci n de la informaci n VPN Virtual Private Network Acceso remoto seguro Monitoreo y gestin de la seguridad ICP Infraestructura de llaves pblicas

Consideraciones en la implementacin de acciones de seguridad de la informacin Plan de Seguridad A partir de la poltica de seguridad, se definen quacciones deben implementarse (herramientas de software o hardware, campaas de toma de conciencia, entrenamiento etc.), para alcanzar un mayor nivel de seguridad.

Plan de accin Una vez definido y aprobado el plan de seguridad,se parte hacia la definicin del plan de accin para las medidas que se deben implementar.

Recomendaciones de los fabricantes Es muy importante que las recomendaciones de los fabricantes de los productos sean conocidas antes de la implementacin.

Soporte Se puede necesitar la ayuda de profesionales con la experiencia necesaria para la ejecucin de determinadas actividades.

Planificacin de la implantacin Algunas de las cosas a implantar (aplicaciones,equipos, campaas de divulgacin y toma de conciencia entre otras) pueden durar varios das y afectar a varios ambientes, procesos y personas de la organizacin.

Plataforma de Pruebas En algunos casos, una plataforma de pruebas es necesaria para evaluar la solucin y reducir los posibles riesgos sobre el ambiente de produccin.

Metodologa de Implementacin Al realizar la implementacin propiamente dicha, es muy importante seguir una metodologa, que:
defina c mo dar los pasos necesarios para ejecutar un plan de accin mantenga un mismo est ndar de calidad en la implementacin sin importar quin lo est ejecutando.

Registro de Seguridad Despus de la implementacin de una nueva medida de seguridad, es importante mantener el registro de lo que fue implementado.

Monitoreo y Administracin del Ambiente La administracin de un ambiente seguro involucra a todo un ciclo de macro actividades .

Gracias
jcuadrosb@upch.edu.pe