Clase_1_Seguridad_de_la_Informacion.pptx

SEGURIDAD DE LA INFORMACIÓN
Ing. Ana Doris M. Barrera Loza
FACULTAD DE INGENIERIA INDUSTRIAL, SISTEMAS E INFORMÁTICA
1

Seguridad
El término seguridad proviene de la palabra en latín
securitas.
"Característica que indica que un sistema esta libre de
todo peligro, daño o riesgo."
2

Seguridad de la Información
En la actualidad la información es el objeto
de mayor valor para las empresas por lo tanto
requiere ser protegida adecuadamente. Como
sabemos la información tiene un valor
estratégico, económico y legal para la
organización.
3

La seguridad de la información es el conjunto de medidas
preventivas y reactivas de las organizaciones y de los sistemas
tecnológicos que permiten resguardar y proteger la información
buscando mantener la confidencialidad, la disponibilidad e
integridad de datos.
La Seguridad de la Información tiene como finalidad proteger la
información en todas sus dimensiones: información digitalizada o
electrónica, impresa, en formato de audio, etc. Es decir se preocupa
de la información independientemente del medio que la contenga,
almacene o distribuya
4

Abarca todo tipo de información:
 Impresa o escrita a mano
 Grabada con asistencia técnica
 Transmitida por correo electrónico o electrónicamente
 Incluida en un sitio web
 Mostrada en videos corporativos
 Mencionada durante las conversaciones
 Etc.
5

Una de las preocupaciones de la seguridad de la información es
proteger los elementos que forman parte de la comunicación.
Es necesario identificar los elementos que la seguridad de la
información busca proteger:
 La información
 Los equipos que la soportan
 Las personas que la utilizan
6

La Información es:
7
Crítica
• Es indispensable para la operación de la empresa.
Valiosa
• Es un activo de la empresa y muy valioso.
Sensible
Debe de ser conocida por las personas autorizadas

Principios de la Seguridad de la
Información
Confidencialidad
Es la propiedad que impide la divulgación de información a
individuos, entidades o procesos no autorizados. A grandes rasgos,
asegura el acceso a la información únicamente a aquellas personas
que cuenten con la debida autorización.
8

Integridad
Es la propiedad que busca mantener los datos libres de
modificaciones no autorizadas. Es mantener con exactitud la
información tal cual fue generada, sin ser manipulada ni alterada
por personas o procesos no autorizados.
La integridad también es la propiedad que busca proteger que se
modifiquen los datos libres de forma no autorizada, para
salvaguardar la precisión y completitud de los recursos.
9

Disponibilidad
La disponibilidad es la característica, cualidad o condición de la
información de encontrarse a disposición de quienes deben
acceder a ella, ya sean personas, procesos o aplicaciones. Es el
acceso a la información y a los sistemas por personas autorizadas
en el momento que así lo requieran.
10

Autenticación o autentificación
Es la propiedad que permite identificar el
generador de la información. Por ejemplo al
recibir un mensaje de alguien, estar seguro
que es de ese alguien el que lo ha mandado,
y no una tercera persona haciéndose pasar
por la otra (suplantación de identidad). En
un sistema informático se suele conseguir
este factor con el uso de cuentas de usuario
y contraseñas de acceso.
11

Servicios de seguridad
No repudio
Proporciona protección contra la interrupción, por parte de alguna de las entidades
implicadas en la comunicación, de haber participado en toda o parte de la
comunicación. El servicio de Seguridad de No repudio o irrenunciabilidad está
estandarizado en la ISO-7498-2.
No Repudio de origen: El emisor no puede negar qué envió porque el destinatario
tiene pruebas del envío. El receptor recibe una prueba infalsificable del origen del
envío, lo cual evita que el emisor, de negar tal envío, tenga éxito ante el juicio de
terceros. En este caso, la prueba la crea el propio emisor y la recibe el destinatario.
 Prueba que el mensaje fue enviado por la parte específica
12

No Repudio de destino: El receptor no puede negar que recibió el mensaje
porque el emisor tiene pruebas de la recepción. Este servicio proporciona al
emisor la prueba de que el destinatario legítimo de un envío, realmente lo
recibió, evitando que el receptor lo niegue posteriormente. En este caso la
prueba irrefutable la crea el receptor y la recibe el emisor.
 Prueba que el mensaje fue recibido por la parte específica.
El no repudio evita que el emisor o el receptor nieguen la transmisión de un
mensaje.
13

Protocolos de seguridad de la información
Son un conjunto de reglas que gobiernan dentro de la transmisión de datos entre la
comunicación de dispositivos para ejercer una confidencialidad, integridad,
autenticación y el no repudio de la información. Se componen de:
Criptografía (Cifrado de datos). Se ocupa de transposicionar u ocultar el mensaje
enviado por el emisor hasta que llega a su destino y puede ser descifrado por el
receptor.
Lógica (Estructura y secuencia). Llevar un orden en el cual se agrupan los datos del
mensaje el significado del mensaje y saber cuando se va enviar el mensaje.
Identificación (Autenticación). Es una validación de identificación técnica mediante la
cual un proceso comprueba que el compañero de comunicación es quien se supone
que es y no se trata de un impostor.
14

Seguridad Física y Lógica
Seguridad Física
Consiste en la "aplicación de barreras físicas y procedimientos de control,
como medidas de prevención y contramedidas ante amenazas a los
recursos e información confidencial“.
Se refiere a los controles y mecanismos de seguridad dentro y alrededor,
así como los medios de acceso remoto al y desde el mismo;
implementados para proteger el hardware y medios de almacenamiento
de datos.
15

Seguridad Lógica
Consiste en la "aplicación de barreras y procedimientos que resguarden
el acceso a los datos y sólo se permita acceder a ellos a las personas
autorizadas para hacerlo.“
Involucra todas aquellas medidas establecidas por la administración para
minimizar los riesgos de seguridad asociados con sus operaciones
cotidianas.
16

Calidad de la Información
Los datos que recopilamos sufren varias transformaciones desde el
momento que se obtiene hasta el momento que se presenta para toma
de decisiones. Los datos se capturan, se almacenan, se procesan, y se
presenta el resultado como información. Existen algunas herramientas
que pueden facilitar garantizar la calidad de la misma, pero también se
requiere conciencia en quien está trabajando con la información de la
importancia de la fidelidad de la misma.
El manejo de la calidad de la información se da desde la captura de la
misma, mediante la validación de los datos.
17

La información disponible en el organismo debe cumplir con los
atributos de: contenido apropiado, oportunidad, actualización, exactitud
y accesibilidad.
El almacenamiento de la información debe hacerse en forma celosa,
impidiendo que la información sea manipulada por elementos que no
dejen rastro de dicha manipulación. Es muy importante que si se van a
modificar ciertos datos, quede registro de esta modificación para luego,
en caso que sea necesario, se pueda recurrir a la información base.
18

Seguridad Informática
La seguridad informática, también conocida
como ciberseguridad o seguridad de tecnologías
de la información, es el área de la informática
que se enfoca en la protección de la
infraestructura computacional y todo lo
relacionado con esta y la información contenida
o circulante. Para ello existen una serie de
estándares, protocolos, métodos, reglas,
herramientas y leyes concebidas para minimizar
los posibles riesgos a la infraestructura o a la
información.
19

La seguridad informática es la disciplina que se ocupa de diseñar las
normas, procedimientos, métodos y técnicas destinados a conseguir
un sistema de información seguro y confiable.
Estas normas incluyen horarios de funcionamiento, restricciones a
ciertos lugares, autorizaciones, denegaciones, perfiles de usuario,
planes de emergencia, protocolos y todo lo necesario que permita un
buen nivel de seguridad informática.
20

La definición de seguridad de la información no debe ser
confundida con la de «seguridad informática», ya que esta última
solo se encarga de la seguridad en el medio informático, pero la
información puede encontrarse en diferentes medios o formas, y
no solo en medios informáticos.
21

22

 En la Seguridad de la Información el objetivo de la protección son
los datos mismos y trata de evitar su perdida y modificación no
autorizada.
 En el caso de la Protección de Datos, el objetivo de la protección
no son los datos en si mismo, sino el contenido de la información
sobre personas, para evitar consecuencias negativas para las
personas de las cuales se trata la información.
23

Objetivos de la Seguridad Informática
La seguridad informática está concebida para proteger los activos
informáticos, entre los que se encuentran los siguientes:
La infraestructura computacional: es una parte fundamental para el
almacenamiento y gestión de la información, así como para el
funcionamiento mismo de la organización. La función de la seguridad
informática en esta área es velar por que los equipos funcionen
adecuadamente y anticiparse en caso de fallas, robos, incendios,
sabotajes, desastres naturales, fallas en el suministro eléctrico y cualquier
otro factor que atente contra la infraestructura informática.
24

Los usuarios: son las personas que utilizan la estructura tecnológica, zona
de comunicaciones y que gestionan la información. Debe protegerse el
sistema en general para que el uso por parte de ellos no pueda poner en
entredicho la seguridad de la información y tampoco que la información
que manejan o almacenan sea vulnerable.
La información: esta es el principal activo. Utiliza y reside en la
infraestructura computacional y es utilizada por los usuarios.
25

Áreas que cubre la Seguridad Informática
* Políticas de Seguridad
* Seguridad Física
* Autentificación
* Integridad
* Confidencialidad
* Control de Acceso
* Auditoría
26

Diferencias entre Seguridad Informática y
Seguridad de la Información
Seguridad Informática:
 Se centra en proteger las infraestructuras tecnológicas y de
comunicaciones que soportan la operación de una organización (se
centra básicamente en hardware y software).
 El análisis de riesgos se centra en vulnerabilidades del hardware o
software, y llevar el nivel de riesgo a nivel aceptable por la
organización.
27

Seguridad de la Información:
 La seguridad de la información tiene como objetivo resguardar la
información de una organización, independientemente del lugar
en que se localice: impresiones, medios de almacenamiento,
incluso en la memoria de las personas que la conocen.
 El ámbito de acción cubre Análisis de Riesgos, Seguridad del
Personal, Seguridad física y del entorno, Gestión de
comunicaciones, Desarrollo y Mantenimiento de Sistemas, Control
de Accesos, Gestión de Incidentes, y Continuidad de Negocio entre
otros.
 Busca mitigar o mantener los riesgos en la gestión de la seguridad
de la información a un nivel aceptable
28

29

Mecanismos de Seguridad
Los mecanismos de seguridad son también llamadas herramientas de
seguridad y son todos aquellos que permiten la protección de los
bienes y servicios informáticos.
 Estos mecanismos pueden ser algún dispositivo o herramienta física
que permita resguardar un bien, un software o sistema que de
igual manera ayude de algún modo a proteger un activo y que no
precisamente es algo tangible, o una medida de seguridad que se
implemente, por ejemplo las políticas de seguridad.
30

 Los mecanismos también reciben el nombre de controles ya que
dentro de sus funciones se encuentran el indicar la manera en que
se deben ejecutar las acciones que permitan resguardar la
seguridad y se eviten vulnerabilidades en la misma.
31

Finalmente los mecanismos pueden clasificarse de acuerdo con el
objetivo principal de los mismos en:
 Mecanismos preventivos. Como su nombre lo dice, son aquellos
cuya finalidad consiste en prevenir la ocurrencia de un ataque
informático. Básicamente se concentran en el monitoreo de la
información y de los bienes, registro de las actividades que se
realizan en la organización y control de todos los activos y de
quienes acceden a ellos.
32

 Mecanismos detectores. Son aquellos que tienen como objetivo
detectar todo aquello que pueda ser una amenaza para los bienes.
Ejemplos de éstos son las personas y equipos de monitoreo,
quienes pueden detectar cualquier intruso u anomalía en la
organización.
33

 Mecanismos correctivos. Los mecanismos correctivos se encargan
de reparar los errores cometidos o daños causados una vez que se
ha cometido un ataque, o en otras palabras, modifican el estado
del sistema de modo que vuelva a su estado original y adecuado.
 Mecanismos disuasivos. Se encargan de desalentar a los
perpetradores de que cometan su ataque para minimizar los daños
que puedan tener los bienes.
34

Entre los mecanismos básicos de seguridad tenemos:
 Autenticación. Definimos la Autenticación como la verificación
la identidad del usuario, generalmente cuando entra en el sistema
o la red, o accede a una base de datos. para entrar en el sistema
informático se utiliza un nombre de usuario y una contraseña.
 Autorización. Definimos la Autorización como el proceso por el
cual se determina qué, cómo y cuándo, un usuario autenticado
puede utilizar los recursos de la organización.
35

 Administración. Definimos la Administración como la que
establece, mantiene y elimina las autorizaciones de los usuarios
del sistema, los recursos del sistema y las relaciones usuarios-
recursos del sistema. La administración de la seguridad
informática dentro de la organización es una tarea en continuo
cambio y evolución ya que las tecnologías utilizadas cambian
muy rápidamente y con ellas los riesgos.
36

 Auditoría. Definimos la Auditoría como la continua vigilancia de
los servicios en producción y para ello se recaba información y se
analiza. Este proceso permite a los administradores verificar que
las técnicas de autenticación y autorización utilizadas se realizan
según lo establecido y se cumplen los objetivos fijados por la
organización.
 Registro. Definimos el Registro como el mecanismo por el cual
cualquier intento de violar las reglas de seguridad establecidas
queda almacenado en una base de eventos para luego analizarlo.
37

 Mantenimiento de la Integridad. Definimos el Mantenimiento de
la integridad de la información como el conjunto de
procedimientos establecidos para evitar o controlar que los
archivos sufran cambios no autorizados y que la información
enviada desde un punto llegue al destino inalterada. Dentro de
las técnicas más utilizadas para mantener (o controlar) la
integridad de los datos están: uso de antivirus y encriptación.
38

Causas de la Inseguridad
Generalmente, la inseguridad se puede dividir en dos categorías:
 Un estado de inseguridad activo; es decir, la falta de conocimiento
del usuario acerca de las funciones del sistema, algunas de las cuales
pueden ser dañinas para el sistema (por ejemplo, no desactivar los
servicios de red que el usuario no necesita)
 Un estado de inseguridad pasivo; es decir, la falta de conocimiento
de las medidas de seguridad disponibles (por ejemplo, cuando el
administrador o usuario de un sistema no conocen los dispositivos
de seguridad con los que cuentan).
39

Amenazas
Las amenazas pueden ser causadas por:
 Usuarios: causa del mayor problema ligado a la seguridad de un sistema
informático. En algunos casos sus acciones causan problemas de seguridad, si
bien en la mayoría de los casos es porque tienen permisos
sobredimensionados, no se les han restringido acciones innecesarias, etc.
 Programas maliciosos: programas destinados a perjudicar o a hacer un uso
ilícito de los recursos del sistema. Es instalado en el ordenador, abriendo una
puerta a intrusos o bien modificando los datos. Estos programas pueden ser
un virus informático, un gusano informático, un troyano, una bomba lógica, un
programa espía o spyware, en general conocidos como malware.
40

 Errores de programación: la mayoría de los errores de programación que se
pueden considerar como una amenaza informática es por su condición de
poder ser usados como exploits por los crackers, aunque se dan casos donde
el mal desarrollo es, en sí mismo, una amenaza. La actualización de parches
de los sistemas operativos y aplicaciones permite evitar este tipo de
amenazas.
 Intrusos: personas que consiguen acceder a los datos o programas a los
cuales no están autorizados (crackers, defacers, hackers, script kiddie o script
boy, viruxers, etc.).
41

 Un siniestro (robo, incendio, inundación): una mala manipulación o mala
intención derivan en la pérdida del material o de los archivos.
 Personal técnico interno: técnicos de sistemas, administradores de bases de
datos, técnicos de desarrollo, etc. Los motivos que se encuentran entre los
habituales son: disputas internas, problemas laborales, despidos, fines
lucrativos, espionaje, etc.
 Fallos electrónicos o lógicos de los sistemas informáticos en general.
 Catástrofes naturales: rayos, terremotos, inundaciones, rayos cósmicos, etc.
42

LOS MANDAMIENTOS MAS IMPORTANTES DE
SEGURIDAD
 Siempre respetar las políticas de seguridad
 Siempre tener nuestros servicios actualizados a la ultima versión
conocida estable
 Utilizar mecanismos de criptografía para almacenar y transmitir datos
sensibles
 Cambiar las claves cada cierto tiempo
 Auto-auditar nuestros propios servicios. Autoatacarnos para saber si somos
o no vulnerables
 Estar siempre alerta. Nunca pensar ”a nosotros nadie nos ataca”.
 No dejar respaldos con información sensible en directorios web
 No usar las mismas claves para servicios distintos.
43

Clase_1_Seguridad_de_la_Informacion.pptx

Recomendados

Recomendados

Más contenido relacionado

Similar a Clase_1_Seguridad_de_la_Informacion.pptx

Similar a Clase_1_Seguridad_de_la_Informacion.pptx (20)

Último

Último (20)

Clase_1_Seguridad_de_la_Informacion.pptx