TECNOLOGÍAS DE LA INFORMACIÓN Y COMUNICACIÓN

SEGURIDAD DE LA INFORMACIÓN

Unidad I

 Lozano Hernández Brenda Anahí

 Oscar Manuel Ramírez García

Grupo: GITI9114-s

Dolores Hidalgo CIN, sábado, 26 de enero de 2019

 Política de seguridad de la información

Índice
Política de seguridad de la información ................................................................... 1

Alcance.................................................................................................................... 2

Objetivo ................................................................................................................... 2

Clasificación de la información ................................................................................ 3

Protección contra software malicioso y hacking ................................................... 3

Copias de Seguridad............................................................................................ 3

Administración de Configuraciones de Red ......................................................... 4

Internet y Correo Electrónico................................................................................ 6

Control de Claves y Nombres de Usuario ............................................................ 6

Acceso Remoto .................................................................................................... 6

Objetivos de administración .................................................................................... 7

Documentos de respaldo......................................................................................... 8

Instrucciones específicas ........................................................................................ 9

Responsabilidades ................................................................................................ 10

Consecuencias ...................................................................................................... 11

Referencias ........................................................................................................... 12
 Política de seguridad de la información

Política de seguridad de la información

La integridad de la información es un aspecto muy importante para todos, ya que la

pérdida o daño da misma puede causar muchos problemas, ya sea en el ámbito
económico hablando de una empresa o incluso social, esto dependerá de que tan
valiosa sea la información que se maneja, según ISO27001 “la Seguridad de la
Información, se refiere a la confidencialidad, la integridad y la disponibilidad de la
información y los datos importantes para la organización, independientemente del
formato que tengan, estos pueden ser: Electrónicos, en papel, Audio y vídeo, etc.”
(SGSI, 2016)

1
 Política de seguridad de la información

Alcance

Esta política abordará las maneras correctas en las cuales se debe manejar y
salvaguardar la información que se maneja dentro de la empresa Grupo Siete
Computación S.A. de C.V., cada usuario es responsable de la información que utiliza,
por lo que lo principal será brindar medidas necesarias para cada uno, así como también
estarán obligados a seguirlas tal y como son.

Objetivo

EL objetivo principal de la presente política es dar a conocer a los usuarios como

proteger, preservar y administrar la información que manejan dentro de la empresa,
de modo que conozcan las tecnologías y configuraciones adecuadas de acuerdo a
su función con el fin de garantizar el seguimiento e integridad de los sistemas de
información utilizados.

2
 Política de seguridad de la información

Clasificación de la información

Protección contra software malicioso y hacking

El software malicioso son archivos o programas que contienen virus que poden
llegar a ser destructivos dependiendo el grado de maldad que este tenga y la
palabra hacking según el sitio web de avast es “La manipulación de la conducta
normal de un equipo y de los sistemas que tiene conectados. Esto se hace
generalmente mediante scripts o programas que manipulan los datos que pasan a
través de una conexión de red con el fin de acceder a la información del sistema.
Las técnicas de hacking incluyen el uso de virus, gusanos, Troyanos, ransomware,
secuestros del navegador, rootkits y ataques de denegación de servicio.” (AVAST,
s.f.)

Medidas a seguir:

 Queda estrictamente prohibido abrir archivos adjuntos recibido de

direcciones de correo electrónico sospechosas o desconocidas.
 Queda estrictamente prohibido enviar datos de acceso bancario o números
de tarjetas bancarias por correo electrónico.
 Los sitios web se encontrarán restringidos para evitar cualquier tipo de
descarga de software perjudicial.
 Los programas necesarios para instalación únicamente se podrán descargar
de la red local con previa autorización del administrado.
 Cada equipo de cómputo deberá estrictamente contar con un antivirus y por
ningún motivo podrá deshabilitar el firewall.
 Los puertos USB de los equipos estarán bloqueados y solo mediante
autorización del administrador y con previa solicitud formal podrá hacer uso
de ellos.

Copias de Seguridad
Una copia de seguridad o respaldo de información es una copia de los datos y
archivos originales que tienen cierto nivel de importancia con el fin de prevenir la
pérdida parcial o total de la información.

3
 Política de seguridad de la información

Medidas a seguir:

 Se tendrá una carpeta destinada por usuario en el servidor, que sera donde
guarde todos sus archivos.
 Sera responsabilidad del usuario el no hacer uso de la carpeta del servidor,
en caso que el SO o el disco duro se dañe.
 Cada usuario firmará una responsiva del uso de usuario y contraseña de la
carpeta que usará.

Administración de Configuraciones de Red

A continuación, se dará a conocer la manera en la cual deben ir configurados los
switches para evitar ataques en la red, un switch es “dispositivo que permite que la
conexión de computadoras y periféricos a la red para que puedan comunicarse entre
sí y con otras redes.” (Significados, s.f.)

Pasos necesarios para configurar seguridad de puertos en un puerto de acceso:

Paso 1. Configure una interfaz como interfaz de acceso.

Switch(config-if)# switchport mode access

Si la interfaz se encuentra en el modo por defecto (dynamic auto), la misma no

puede ser configurada como un puerto seguro.

Paso 2. Habilitar la seguridad de puerto en la interfaz utilizando el comando

Switch(config-if)# switchportport-security.

La sintaxis completa incluye un conjunto de parámetros opcionales.

Switch(config-if)# switchport port-security [mac-address dirección-mac [vlan {id-

vlan|{access | voice}}]] | [mac-address sticky [dirección mac| vlan {id-vlan |
{access|voice}}]] [maximum valor [vlan {vlan-list | {access | voice}}]]

Paso 3. Configurar el número máximo de direcciones MAC seguras para la interfaz.

(Opcional)

Switch(config-if)# switchport port-security maximum valor

El rango es entre 1 y 132. El valor por defecto es 1.

4
 Política de seguridad de la información

Una vez habilitada la seguridad del puerto, es necesario establecer las reglas de
violación del puerto de acceso. Las reglas de violación se refieren a las acciones
que debe realizar el switch en el caso de que ocurra una violación de seguridad.

Paso 4. Configure el modo de violación. Esta es la acción que el switch realiza

cuando se detecta una violación de seguridad. Si no se especifica un modo de
violación, el modo por defecto apaga administrativamente el puerto.

Switch(config-if)# switchport port-security violation {protect | restrict | shutdown |

shutdown vlan}

Cuando un puerto seguro se encuentra en el estado "error-disable" (deshabilitado

por error), significa que ha ocurrido una violación y el puerto se encuentra
deshabilitado.

Para recuperar el funcionamiento del puerto, debe utilizarse el comando de

configuración global errdisable recovery cause psecure-violation, o bien puede
habilitarse en forma manual ingresando los comandos de configuración de interfaz
shutdown y no shutdown.

Paso 5. Ingrese una dirección MAC segura estática para la interfaz.

Switch(config-if)# switchport port-security mac-address dirección-mac (las

necesarias)

Paso 6. Habilite el modo de aprendizaje "sticky" (adhesivo) en la interfaz.

Switch(config-if)# switchport port-security mac-address sticky

Cuando se encuentra habilitado el modo de aprendizaje "sticky", la interfaz agregará

todas las direcciones MAC seguras que aprenda en forma dinámica hasta el máximo
permitido configurado.

Utilizar el comando de configuración de interfaz no switchport port-security para

devolver a la interfaz a su estado por defecto de puerto no seguro. Las direcciones
seguras aprendidas como "sticky" permanecen como parte de la configuración de
ejecución.

5
 Política de seguridad de la información

Utilizar el comando de configuración de interfaz no switchport port-security

máximum valor para devolver a la interfaz al número por defecto de direcciones
MAC seguras.

Utilizar el comando de configuración de interfaz no switchport port-security violation

{protect | restrict} para devolver al modo de violación a su condición por defecto
(modo shutdown).

Internet y Correo Electrónico

 Los usuarios tendrán acceso solo a intranet.
 En caso de ser necesario, pero se tendrá que hacer previa solicitud por medio
del encargado del área para el acceso a internet y este será limitado.
 Relacionado al correo electrónico este estará restringido solo para correos
internos.
 En caso que sea necesario el correo externo tendrá que ser solicitado de
manera formal por su encargado.

Control de Claves y Nombres de Usuario

 Cada usuario se le proporcionaran sus cuentas y contraseñas firmando una
responsiva para su uso.
 Los nombres de usuario irán estándar de acuerdo al área en la que se
encuentran.
 Se tendrá un estándar de formato de contraseña, únicamente las conocerá
el administrador.
 Es responsabilidad del usuario el uso indebido de las cuentas dadas.

Acceso Remoto

Solo usuarios permitidos podrán tener acceso a escritorio remoto, el cual se deberá
solicitar de manera formal y también deberá justificar su uso.

6
 Política de seguridad de la información

Objetivos de administración

EL objetivo principal de seguir cada una de las políticas dadas es muy importante para
la seguridad de la información de la empresa, al aceptar los términos y firmar las debidas
cartas responsivas, cada usuario se hace responsable de su uso y cuidado, cualquier
rompimiento o violación generará sanciones que serán desde una suspensión o despido
hasta una demanda penal, esto dependerá del daño causado.

7
 Política de seguridad de la información

Documentos de respaldo

ISO/IEC 27001

Esta norma sirve para la seguridad de la información y estipula las actividades

necesarias para establecer o mejorar un sistema de gestión de seguridad de la
información dependiendo del caso que sea, además de que es la norma principal
para los requisitos del SGSI.

ISO/IEC 27002

Es la norma que da una guía para saber las buenas prácticas para la gestión de la
seguridad de la información basado en los lineamientos de la entidad y va dirigida
hacia todos los interesados o responsables del SGSI.

ISO/IEC 27003

Esta norma sirve para llevar acabo las directrices para la buena implementación o
poner en práctica un buen SGSI, esta norma va de la mano con la 27001 debido a
que se aplican en conjunto.

8
 Política de seguridad de la información

Instrucciones específicas

 El equipo de cómputo solo podrá ser utilizado por el empleado asignado al

mismo.
 El empleado deberá tener un usuario y contraseña única.
 Las contraseñas o usuarios de los empleados no deben de ser compartidas
con el demás personal.
 El equipo de cómputo solo deberá ser usado para las actividades
relacionadas con la empresa.
 No se permite el uso de software que no haya sido instalado por la empresa.
 Solo tendrán acceso a internet los usuarios que lo necesiten para sus
actividades de la empresa.
 No se permite realizar descargas no autorizadas de archivos o programas
por medio de internet.
 No se permite acceder a correos que no sean los asignados por la empresa.
 Queda prohibido el uso de dispositivos de almacenamiento (USB, Discos
Duros, etc.)
 El lugar de trabajo del personal deberá estar libre de alimentos o líquidos que
puedan derramarse en los equipos de cómputo.
 Queda prohibido enviar información de la empresa a personal no autorizado.
 Queda prohibido el uso o robo de información de la empresa con fines
lucrativos o que no sean a un fin específico de la empresa.

9
 Política de seguridad de la información

Responsabilidades

 El empleado será el encargado de resguardar su usuario y contraseña.

 El empleado cambiara su contraseña cada mes para evitar pérdida o robo de
la misma.
 El empleado estará a cargo de la seguridad de su equipo de cómputo.
 El empleado deberá analizar los archivos con el antivirus antes de abrirlos.
 El encargado de la red deberá de asignar los usuarios y contraseñas solo al
personal autorizado.
 El encargado de la red deberá dar acceso a internet solo a personal
autorizado.
 El encargado de la red deberá de etiquetar los puertos de la red por nombre
de colaborador o ip de máquina.
 El encargado de la red deberá de dar mantenimiento a los puertos o cableado
de la red para evitar pérdidas de información o filtración por medio de la red.

10
 Política de seguridad de la información

Consecuencias

 Recisión de contrato.
 Acta informativa.
 Acta administrativa.
 Suspensión de labores.
 Enviar a prisión.
 Descender de cargo asignado.
 Cambio de actividades a realizar.
 Penalizaciones monetarias

Las consecuencias dependerán de la gravedad de la falta que haya cometido el

colaborador.

11
 Política de seguridad de la información

Referencias

AVAST. (s.f.). Obtenido de https://www.avast.com/es-es/c-hacker

SGSI. (21 de 05 de 2016). Obtenido de Blog especializado en Sistemas de Gestión :

https://www.pmg-ssi.com/2015/05/iso-27001-que-significa-la-seguridad-de-la-
informacion/

Significados. (s.f.). Obtenido de https://www.significados.com/switch/

http://cantone.com.ar/SEGURIDAD/seguridadcapa2.pdf

12