Ponente:Ing. Walter Edison Alanya Flores

• Presidente del Capitulo de Sistemas - Colegio de Ingenieros del Perú de Tacna• Jefe de la Unidad de Informática de la Municipalidad Distrital de Ite• Docente Contratado de : UPT, ITEL-UNJBG , EXETEC-Moquegua• Consultor de TI

INTRODUCCIÓN. ¿QUÉ ES LA SEGURIDAD INFORMÁTICA?. SEGURIDAD DE INFORMACION Y PROTECCION DE DATOS. ¿QUÈ ABARCA? EL OBJETIVO DE LA SEGURIDAD INFORMÁTICA PRINCIPIOS. TIPOS DE SEGURIDAD: SEGURIDAD FISICA Y LOGICA. LA SEGURIDAD INFORMÁTICA ESTÁ CONCEBIDA PARA PROTEGER LOS

ACTIVOS INFORMÁTICOS. GESTION DE RIESGO EN LA SEGURIDAD INFORMATICA. ¿QUÉ ES UN AMENAZA? TIPOS DE AMENAZA LAS AMENAZAS PUEDEN SER CAUSADAS POR. ¿QUÉ ES LA VULNERABILIDAD? LAS VULNERABILIDADE SE PUEDEN AGRUPAR EN GRUPOS INGENIERÍA SOCIAL TÉCNICAS PARA ASEGURAR EL SISTEMA ALGUNAS AFIRMACIONES ERRÓNEAS COMUNES ACERCA DE LA SEGURIDAD.

Nuevas tecnologías han revolucionado la forma de proveer servicios y hacernegocios pero también han introducido nuevos riesgos.

Es necesario reconocer y asumir que la seguridad total no existe. Incidentes de seguridad informática son un dato de la realidad y es necesario

desarrollar mecanismos para gestionarlos. La complejidad para realizar un ataque sofisticado ha disminuido

significativamente y la motivación se ha diversificado e incrementado. Velocidad con la que las empresas y organizaciones puedan reconocer, analizar

y responder a un incidente limitará los daños y disminuirá los costos derecuperación.

“El único sistema seguro es aquel que está apagado ydesconectado, enterrado en un refugio de concreto,rodeado por gas venenoso y custodiado por guardianesbien pagados y muy bien armados. Aun así yo noapostaría mi vida por él”.

Por: GENE SPAFFORD

Eugene Spafford Howard: (nacido en 1956)Conocido comúnmente como Spaf, Es un profesor de ciencias de lacomputación en la Universidad de Purdue - USA y un líder en seguridadinformática de expertos.Elegido en el 2013 miembro del Salón de la Fama de Ciberseguridad

SEGURIDAD INFORMÁTICA NO ES SOLAMENTE IMPLEMENTAR USUARIOS Y CONTRASEÑAS

La seguridad es… SERVICIO

AntiVirus

AntiPhishingFirewalls

Control de Accesos

AntiSpam

Sistemas de detección de Intrusos

Análisis de Vulnerabilidades

PKI

Debe implementarse utilizando… Criterio de Negocio

Concientización de usuarios Encripción

Análisis de RiesgoEvaluación de Software

Análisis Forense ABM de Usuarios

Herramientas Forenses

Doble Factor de Autenticación

Desarrollo de Políticas Normas y Estándares

Análisis de Eventos

Plan de Continuidad de Negocio Gestión de Incidentes

Controles

Permisos mínimos necesarios

Marcos Normativos

Correlación de eventos

Test de Penetración

La seguridad es más que un producto que podamos comprar, es un proceso, son hábitos, es cultura, es monitoreo y mejora continua.....

Es la “cualidad de seguro”. Buscamos ahora seguro yobtenemos “libre y exento de todo peligro, daño o riesgo”.

A partir de estas definiciones no podríamos aceptar queseguridad informática es “la cualidad de un sistema informáticoexento de peligro”, por lo que habrá que buscar una definiciónmás apropiada.

Un conjunto de métodos y herramientas destinados a proteger la informacióny por ende los sistemas informáticos ante cualquier amenaza, un proceso enel cual participan además personas. Concientizarlas de su importancia en elproceso será algo crítico.

La seguridad informática es el área de la informática que se enfoca en laprotección de la infraestructura computacional y todo lo relacionado con esta(incluyendo la información contenida).

En la Seguridad Informática se debe distinguir 02 propósitos de protección, laSeguridad de la Información y la Protección de Datos.

El objetivo de la protección son los datos mismos y trata de evitar su perdida y modificación No-

autorizado. La protección debe garantizar en primer lugar la confidencialidad, integridad,

disponibilidad y la autenticidad de los datos.

El objetivo de la protección no son los datos en si mismo, sino el contenido de la información sobre

personas, para evitar el abuso de esta; implementación de medidas de protección, por parte

de la institución o persona que maneja los datos

La seguridad informática comprende software, bases de datos,metadatos, archivos y todo lo que la organización valore(activo) y signifique un riesgo si ésta llega a manos de otraspersonas.

Este tipo de información se conoce como informaciónprivilegiada o confidencial.

Es mantener la Integridad, Disponibilidad, Privacidad, Control yAutenticidad de la información manejada por computadora.

OBJETIVOS ESPEFICOS:• Capacidad para localizar los principales elementos

críticos de la red de una empresa y evaluar losprincipales riesgos de seguridad.

• Capacidad para identificar los riesgos de seguridad de undeterminado flujo de información en un entorno.

• Conocer los mecanismos y tecnologías básicasrelacionados con la identidad digital y la protección dedatos de carácter personal.

• Capacidad para saber decidir las medidas de seguridadmás apropiadas para aplicar ante un determinadoescenario de riesgos.

INTEGRIDAD:Garantizar que los datos sean los

que se supone que son

CONFIDENCIALIDAD:Asegurar que sólo los individuos autorizados tengan acceso a los

recursos que se intercambian

DISPONIBILIDAD:Garantizar el correcto

funcionamiento de los sistemas de información

AUTENTICACIÓN:Asegurar que sólo los individuos autorizados tengan acceso a los

recursos

EVITAR EL RECHAZO:Garantizar de que no pueda

negar una operación realizada

Consiste en la aplicación de barreras físicas y procedimientos de control,como medidas de prevención para que no le ocurra nada a los equipos decómputo, la seguridad física es uno de los aspectos más olvidados a lahora del diseño de un sistema informático. Por Ejemplo: Incendios, inundaciones, terremotos, instalación eléctrica, entre otros.

SEGURIDAD : Nuestro sistema no sólo puede verse afectado de manerafísica, si no también contra la Información almacenada, El activo másimportante que se posee es la información, y por lo tanto deben existirtécnicas, más allá de la seguridad física, que la aseguren. Por Ejemplo: Control de acceso, autenticación, encriptación, firewalls, antivirus.

Entre los que se encuentran los siguientes:

La Infraestructura Computacional: Debemos velar que losequipos funcionen adecuadamente y anticiparse en casode fallas, robos, incendios, boicot, desastres naturales,fallas en el suministro eléctrico y cualquier otro factorque atente contra la infraestructura informática.

Los Usuarios: Debe protegerse el sistema en general paraque el uso por parte de ellos no pueda poner enentredicho la seguridad de la información y tampoco quela información que manejan o almacenan sea vulnerable.

La Información: Es el principal activo. Utiliza y reside en lainfraestructura computacional y es utilizada por losusuarios.

DATA CENTER

La Gestión de Riesgo es un método para determinar, analizar, valorar y clasificar elriesgo, para posteriormente implementar mecanismos que permitan controlarlo.

En su forma general contiene cuatro fases:

Determina los componentes de un sistema que requiere protección, sus vulnerabilidades que lo debilitan y las

amenazas que lo ponen en peligro, con el resultado de revelar su grado

de riesgo.

Analiza el funcionamiento, la efectividad y el cumplimiento de las medidas, para determinar y ajustar

las medidas deficientes y sanciona el incumplimiento.

Determina si los riesgos encontrados y los riesgos restantes son aceptables.

Define e implementa las medidas de protección. Además

sensibiliza y capacita los usuarios conforme a las medidas.

Implementar medidas de protección significa invertir en

recursos como tiempo y dinero.

Implementar procesos y medidas de protección, para garantizar la seguridad, no es

una cosa que se hace una vez y después se olvide, sino requiere un control continuo de

cumplimiento, funcionalidad y una adaptación periódica, de las medidas de protección implementadas, al entorno cambiante.

El error más común que se comete es que no se implementa medidas de protección,

hasta que después del desastre, y las escusas o razones del porque no se

hizo/hace nada al respecto abundan.

Es la posibilidad de ocurrencia de cualquier tipo de evento oacción que puede producir un daño (material o inmaterial)sobre los elementos de un sistema, en el caso de la SeguridadInformática, los Elementos de Información.

Amenazas por el origen• Amenazas internas• Amenazas externas

Amenazas por el efecto

• Robo de información.• Destrucción de información.• Anulación del funcionamiento de los sistemas o

efectos que tiendan a ello.• Suplantación de la identidad, publicidad de

datos personales o confidenciales, cambio deinformación, venta de datos personales, etc.

• Robo de dinero, estafas,...

Amenazas por el medio utilizado

• Virus informático.• Phishing.• Ingeniería social• Denegación de servicio• Spoofing: de DNS, de IP, de DHCP, etc

TIPOS DE AMENAZA

Las amenazas informáticas que viene en el futuro ya no son con la inclusión de

troyanos en los sistemas o software espía, sino con el hecho de que los ataques se han profesionalizado y manipulan el significado

del contenido virtual.

Mantener las soluciones activadas y actualizadas. Evitar realizar operaciones comerciales en computadoras de uso

público o en redes abiertas. Verificar los archivos adjuntos de mensajes sospechosos y evitar su

descarga en caso de duda.

Usuarios: Causa del mayor problema ligado a la seguridadde un sistema informático.

Programas maliciosos: Programas destinados a perjudicar oa hacer un uso ilícito de los recursos del sistema, como: virusinformático, spyware y malware.

Errores de programación: La mayoría de los errores deprogramación que se pueden considerar como una amenazainformática es por su condición de poder ser usadoscomo exploits por los crackers, aunque se dan casos dondeel mal desarrollo es, en sí mismo, una amenaza.

Intrusos: persona que consiguen acceder a los datos oprogramas a los cuales no están autorizados (crackers,defacers, hackers, script kiddie o script boy, viruxers, etc.).

Un siniestro (robo, incendio, inundación): unamala manipulación o una mala intención derivan ala pérdida del material o de los archivos.

Personal técnico interno: técnicos de sistemas,administradores de bases de datos, técnicos dedesarrollo, etc. Los motivos que se encuentranentre los habituales son: disputas internas,problemas laborales, despidos, fines lucrativos,espionaje, etc.

Fallos electrónicos o lógicos de los sistemasinformáticos en general.

Catástrofe naturales: rayos, terremotos,inundaciones, rayos cósmicos, etc.

Es la capacidad, las condiciones y características del sistema mismo(incluyendo la entidad que lo maneja), que lo hace susceptible a amenazas,con el resultado de sufrir algún daño. En otras palabras, es la capacitad yposibilidad de un sistema de responder o reaccionar a una amenaza o derecuperarse de un daño.

Las vulnerabilidades están en directa interrelación con las amenazas porque si no existe una amenaza tampoco existe la

vulnerabilidad o no tiene importancia, porque no se puede ocasionar un daño.

Dependiendo del contexto de la institución: Ambiental / Física: Desastres Naturales, incendios accidentales

tormentas e inundaciones, Ubicación, Capacidad Técnica, Materiales…

Económica: Escasez y manejo de recursos.

Social – Educativo: Relaciones, Comportamientos, Métodos, Conductas…

Institucional / Política: Procesos, Organización, Burocracia, Corrupción,Autonomía,…

Es el arte de manipular a las personas, con el fin de obtenerinformación que revele todo lo necesario para penetrar laseguridad de algún sistema.

Esta técnica es una de las más usadas a la hora de averiguarnombres de usuario y contraseñas.

La Seguridad se ha convertido en un área

crítica de los Sistemas de Información

El activo más importante que se posee es la información y, por lo tanto, deben existir técnicas que la aseguren, más allá de la seguridad física que se establezca sobre los equipos en los

cuales se almacena.

Cada tipo de ataque y cada sistema requiere de un medio de protección o más , en la mayoría de los casos es una combinación de varios de ellos

A continuación se enumeran una serie de medidas que se consideran básicas:

Mi sistema no es importante para un hacker. Estoy protegido pues no abro archivos que no

conozco. Como tengo antivirus estoy protegido. Como dispongo de un firewall no me contagio. Tengo un servidor web cuyo sistema operativo es

un Unix actualizado a la fecha y por tanto seguro

LEY 27309 que incorpora al Código Penal del Perú los Delitos Informáticos(Promulgada el 15 de Julio del año 2000).

Ley N° 27269 Ley de Firmas y Certificados Digitales del Perú. LEY Nº 27310 - Modifica el artículo 11° de la ley N° 27269. LEY Nº 28493 - Ley que regula el uso del correo electrónico no solicitado

(SPAM). LEY Nº 27291 - Modifica el código civil permitiendo la utilización de los

medios electrónicos para la comunicación de la manifestación de voluntad yla utilización de la firma electrónica.

LEY Nº 27419 - Ley sobre notificación por correo electrónico LEY Nº 26612 - Mediante el cual se regula el uso de tecnologías avanzadas

en materia de archivo de documentos e información Procedimientos Legales - Los Delitos contra el honor (difamación, calumnia e

injuria) NTP 1799 Buenas Practicas de Seguridad de la Información. Resolución Ministerial 129-2012-PCM: Implementación Incremental de NTP-

ISO/IEC 27001:2008

http://www.ongei.gob.pe/

http://www.isaca.org.pe/

Ponente:Ing. Walter Edison Alanya Flores

Email:

walanya_flores@hotmail.com

Dedicado a mi Tío Jesús Salas