POLITICAS DE SEGURIDAD EN LA INFORMACIN DIGITAL
11 Nov 2019
Se considera que la
informacin es el patrimonio principal de toda Institucin,
Por lo que se deben
aplicar medidas de seguridad para protegerla y estar preparados para afrontar
contingencias y desastres de diversos tipos.
El centro de gravedad
en
Poltica
Una poltica dentro de seguridad en
computo, es semejante a un cdigo de conducta para la utilizacin adecuada de
un sistema de computo.
Debe especificar las actividades que no
son permitidas, los pasos a seguir para obtener la proteccin adecuada as como
los pasos en caso de presentarse un incidente de seguridad, adems establece
responsabilidades y derechos.
Es necesario que la institucin defina por
escrito polticas de seguridad,
Las polticas de seguridad deben ser
definidas por los funcionarios de alto nivel,
Como las normas de personal o de
contratacin, las normas o poltica de seguridad constituyen un documento
fundamental para una empresa que se apoye en computadoras.
Se ha de fijar la responsabilidad de
cada nivel dentro de la organizacin respecto a las medidas de seguridad.
Definicin de
responsabilidades para la
Seguridad de Datos, Sistemas y Programas.
Las responsabilidades especficas
para la proteccin de los datos, sistemas, programas, unidades de equipo, etc.
deben ser firmemente mantenidos si se desea una seguridad adecuada.
Los Auditores internos y el personal
de seguridad deben revisar que se les d una adecuada proteccin a los datos.
Debido a que ellos no tienen control fsico sobre esto, no pueden tener la
responsabilidad principal de su cuidado, pero s del cumplimiento de las normas
y procedimientos de seguridad.
SEGURIDAD
FSICA
Segn los informes estadsticos el 70%
de los ataques son generados por empleados descontentos con la organizacin
para la que trabajan.
El personal relacionado con los sistemas
informticos es, en la mayora de los casos, quien mejor conoce cmo funcionan
y qu debilidades tienen, adems de tener en su mente multitud de contraseas
vitales.
Los ataques podran realizarse, incluso,
utilizando las propias estaciones de trabajo.
FINALIDAD
DE
El objetivo principal de las medidas de
seguridad fsica es proteger al personal que labora con material de cmputo,
Establecer procedimientos para la
proteccin de los equipos e
Impedir el acceso de personal no
autorizado a los ambientes en los que se ubiquen los dispositivos de cmputo,
de comunicacin de datos, lneas de transmisin y medios de almacenamiento.
APLICACIONES
DE
Los puntos bsicos que debe contemplar
la seguridad fsica son:
o
Construccin de instalaciones y sistemas de
aire acondicionado.
o
Control de accesos.
o
Deteccin de intrusos.
o
Sistemas contra incendios.
o
Sistemas para suministro ininterrumpido de
energa elctrica.
o
Riesgo de inundacin
o
Vibraciones y terremotos
o
Tormentas elctricas
SEGURIDAD DE LA INFORMACION
Una plataforma requiere seguridad que
sea lo suficientemente rigurosa para proteger la informacin crucial de un
sabotaje, pero a la vez lo suficientemente flexible para que los usuarios
autorizados puedan asignar diferentes niveles de acceso a documentos
individuales.
Ladrones,
manipuladores, saboteadores, espas, etc. reconocen que el centro de cmputo de
una institucin es su nervio central, que normalmente tiene informacin confidencial
y que, a menudo, es vulnerable a cualquier ataque.
La seguridad de la
informacin tiene dos aspectos.
1) negar el acceso a
los datos a aquellas personas que no tengan derecho a ellos, al cual
tambin se le puede llamar proteccin de la privacidad, si se trata de datos
personales, y mantenimiento de la seguridad en el caso de datos
institucionales.
2) garantizar el acceso
a todos los datos importantes a las personas que ejercen adecuadamente su
privilegio de acceso, las cuales tienen la responsabilidad de proteger los
datos que se les ha confiado.
CONCEPTOS
BASICOS DE SEGURIDAD EN
La clave para
la seguridad en un sistema distribuido es la encriptacin.
El standard de
industria para acceder a directorios esta basado en la tecnologa de
encriptacin RSA de llaves pblicas, reconocida como el nico sistema de
encriptacin que no tiene caractersticas que puedan comprometerla.
Utilizando la criptografa y otras
facilidades de seguridad, podemos determinar cuatro niveles de seguridad: autenticacin,
control de acceso, privacidad de nivel de campo
y firmas digitales.
Autenticacin
La autenticacin es la forma en que un
usuario es identificado confiablemente.
La autenticacin se utiliza cada vez que un usuario o un servidor, o dos
servidores se estn comunicando mutuamente.
Control
de acceso
Una lista de control de acceso (ACL)
regula quien tiene acceso a cuales recursos y que tipos de acceso estn
permitidos (ej. Componer, leer, escribir, eliminar
Firmas
digitales
Frecuentemente, los usuarios deben
verificar que la informacin que reciben les fue realmente enviada por el
promotor listado en el documento.
Las firmas digitales garantizan a los
usuarios que un mensaje dado est enviado por el promotor que indica.
Esta es una forma de autenticacin de
usuario a usuario.
Riesgo
El riesgo es la posibilidad de que un
intruso pueda tener xito al tratar de acceder de manera ilegal una red
En general, los efectos producidos por
acceso ilegal de un intruso se encuentran en los siguientes tres grupos:
- Efectos
producidos por acceso a lectura.-
Leer o copiar informacin de las mquinas de una red de manera
ilcita.
- Efectos
producidos por acceso a escritura.- Escribir o destruir datos
pertenecientes a una red, incluyendo la inclusin de virus, puertas
traseras, caballos de Troya, etc.
- Efectos
producidos por la negacin de servicios.- Negacin del uso normal de los
recursos por el consumo total de la capacidad de CPU de memoria.
Vulnerabilidad
Esencialmente significa la forma de cuan
protegida esta la red de cualquier ataque externo para ganar acceso ilegal
a ella, y de la forma de cuan protegida se encuentra de alguien dentro
de la misma red.
Amenazas a un Sistema
Monitoreo,
significa que el intruso simplemente lee la informacin. Existen hoy da muchos productos tales como
analizadores de LAN(red de rea local), analizadores de red, analizadores de
protocolo y analizadores de WAN (red de rea extensa) que pueden obtenerse con
un desembolso relativamente pequeo.
Modificacin,
significa que la informacin es manipulada en alguna forma durante la fase de
transmisin.
Mensaje demorado, significa que la informacin
es grabada y enviada con retraso, pudiendo el retraso ser perjudicial para el
receptor.
- Repeticin del mensaje, significa que la informacin
es grabada por un intruso y enviada nuevamente ms tarde. La duplicacin de ciertos mensajes puede
crear confusin y dar inicio a falsas acciones o medidas por parte del
destinario del mensaje
Control de acceso a
Se deber considerar la
existencia de :
Programas de
Control.
Deben existir programas protegidos que mantengan y controlen a los usuarios y
sus derechos de acceso, ya sea por grupos o individualmente.
El uso de tal programa
puede conferir al usuario algunos de los privilegios que corresponden al
controlador de dichos programas..
Palabra de
Acceso (Password). Es una palabra especial o cdigo que debe teclearse al
sistema de computadora antes que se realice un proceso.
Constituye un
procedimiento de seguridad que protege los programas y datos contra los
usuarios no autorizados.
La identificacin de un
individuo debe ser muy difcil de imitar y copiar. Deben de existir polticas
de seguridad al respecto.
El sistema de
computacin debe cerrarse despus que un individuo no autorizado falle dos
veces al intentar ingresar una clave de acceso.
Niveles de
Acceso. Los programas de control de acceso debern identificar a
los usuarios autorizados a usar determinados sistemas, con su correspondiente
nivel de acceso. Las distinciones que existen en los niveles de acceso estn
referidos a la lectura o modificacin en sus diferentes formas.
De acuerdo a ello se
tienen los siguientes niveles de acceso a la informacin:
Nivel de consulta de la informacin no
restringida o reservada.
Nivel de mantenimiento de la informacin no
restringida o reservada.
Nivel de consulta de la informacin incluyendo
la restringida o reservada.
Nivel de mantenimiento de la informacin incluyendo
la restringida.
Destruccin
Sin adecuadas medidas de seguridad las
empresas pueden estar a merced no slo de la destruccin de la informacin sino
tambin de la destruccin de su equipo informtico.
La destruccin del
equipo puede darse por una serie de desastres como son: incendios,
inundaciones, sismos, o posibles fallas elctricas, etc.
Cuando se pierden los
datos y no hay disponibles copias de seguridad, se han de volver a crear los
datos o trabajar sin ellos.
Para evitar daos
mayores al ser destruida la informacin, debe hacerse backups de
la informacin vital para la empresa y almacenarse en lugares adecuadamente
preparados para ese fin y de preferencia aparte del local donde se encuentran
los equipos que usualmente lo manejan.
Por ejemplo: hay casos
en los que, empleados que han sido recientemente despedidos o estn enterados
que ellos van a ser despedidos, han destruido o modificado archivos para su
beneficio inmediato o futuro.
Nuestra mejor
proteccin contra la prdida de datos consiste en hacer copias de seguridad, almacenando copias actualizadas de
todos los archivos valiosos en un lugar seguro.
Las empresas deben
tener muy en cuenta los siguientes puntos para la proteccin de sus datos de
una posible contingencia.
1. Hacer de la copia de
seguridad una poltica, no una opcin.
2 . Hacer que la copia
de seguridad resulte deseable.
3 . Facilitar la
ejecucin de la copia de seguridad (equipos adecuados, disponibilidad,
suministros).
4. Hacer la copia de
seguridad obligatoria.
5 . Asegurarse de que
los usuarios cumplen la poltica de copias de seguridad (Poltica de Auditora
a las Copias de Seguridad).
REVELACIN O INFIDENCIA
La revelacin o infidencia es otra forma
que utilizan los malos empleados para su propio beneficio.
La informacin, que es de carcter
confidencial, es vendida a personas ajenas a la institucin.
Para tratar de evitar este tipo de
problemas se debe tener en cuenta lo siguiente:
Control del uso de
informacin en paquetes abiertos o cintas y otros datos residuales
La informacin puede ser conocida por
personas no autorizadas, cuando se deja en paquetes abiertos o cintas que otras
personas pueden usar.
Se deben tomar medidas para deshacerse
del almacenaje secundario de informacin importante o negar el uso de sta a
aquellas personas que pueden usar mal los datos residuales de stas.
Mantener datos
sensitivos fuera del trayecto de la basura
El material de papel en
la plataforma de la descarga de la basura puede ser una fuente altamente
sensitiva de recompensa para aquellos que esperan el recojo de la basura. Los
datos sensitivos deben ser apartados de este procedimiento para tener una mayor
seguridad de proteccin de la informacin, cuando stos son descartados o
eliminados, debiendo recurrirse a destructores o picadoras de papel.
Preparar procedimientos
de control para la distribucin de informacin
Una manera de
controlar la distribucin y posible diversificacin de informacin, es mantener
un rastro de copias mltiples indicando confidencialidad o usando numeracin
como "Pg. 1 de 9".
Determinar
procedimientos para controlar los programas de aplicacin
Adicionalmente a
proteger sus programas de Aplicacin como activos, es a menudo necesario
establecer controles rgidos sobre las modificaciones a los programas, para
estar seguros de que los cambios no causan daos accidentales o intencionados a
los datos o a su uso no autorizado.
Magster en Informtica, Estrategia, Administracin y Negocios, con varios cursos de perfeccionamiento y postgrados en el pas y el extranjero. Ejerce la docencia en diferentes Escuelas de Postgrado con ms de 20 aos de experiencia profesional en Cooperacin Internacional y entidades del Estado en las reas de tecnologas de informacin, comercio electrnico, gestin de crisis, electrnica, administracin, logstica, planeamiento estratgico, proyectos y licitaciones.
Alfredo Carpio Ramrez
Calle Albaricoque 140 La Molina
Teléfono: +51 1 7676260
WhatsApp: +51 991 509 949
PUBLICACIONES
© 2022 Instituto de Estudios Histórico - Marítimos del Perú