Electiva 5: Seguridad Informática IUPSM

1. República Bolivariana de Venezuela
Ministerio del Poder Popular para la Educación Universitaria
Instituto Universitario Politécnico Santiago Mariño
Asignatura: Electiva V (Seguridad informática)
Escuela: Sistemas (47)
SEGURIDAD INFORMÁTICA
Facilitador: Bachiller:
Ing. Diógenes Rodríguez Brito Anthoni Y. Cedeño N.
CI.: 25.877.214
Sección: 4A
Porlamar, Junio Del 2017

2. Índice Pág.
Introducción……………………………………………………………… 2
1. Seguridad lógica…………………………………………………… 3
1.1. Controles de acceso………………………………………........ 3
1.1.1. Identificación y autentificación…………………………. 4
1.1.2. Roles……………………………………………………... 4
1.1.3. Transacciones…………………………………………... 5
1.1.4. Limitaciones a los servicios……………………………. 5
1.1.5. Modalidad de acceso…………………………………… 5
1.1.6. Ubicación………………………………………………… 6
1.1.6.1. Palabras claves (passwords)…………………. 7
1.1.6.2. Encriptación……………………………………. 7
1.1.6.3. Listas de control de accesos………………….. 7
1.1.6.4. Limites sobre la interface de usuario…………. 7
1.1.6.5. Etiquetas de seguridad………………………… 8
1.1.7. Control de acceso externo……………………………… 8
1.1.7.1. Dispositivos de control de puertos……………… 8
1.1.7.2. Firewalls o puertas de seguridad………………. 8
1.1.7.3. Acceso de personal contratado o consultores… 9
1.1.7.4. Accesos públicos………………………………… 9
2. Niveles de seguridad informática……………………………….. 9
2.1. Nivel D……………………………………………………………. 10
2.2. Nivel C1: protección discrecional……………………………… 10
2.3. Nivel C2: protección de acceso controlado…………………… 10
2.4. Nivel B1: seguridad etiquetada………………………………… 10
2.5. Nivel B2: protección estructurada……………………………… 10
2.6. Nivel B3: dominios de seguridad………………………………. 11
2.7. Nivel A: protección verificada…………………………………… 11
Conclusión…………………………………………………………………. 12
Referencias Bibliográficas……………………………………………….. 13

3. 2
Introducción
La seguridad lógica es la seguridad en el uso de software, procesos, programas y
la protección de datos. Esta seguridad involucra todas las medidas establecidas por la
administración de usuario y la administración de recursos.
Dentro de esta seguridad se incluyen los controles de acceso que ofrecen la
posibilidad de acceder a recursos físicos o lógicos. De estos controles se desprenden
los siguientes puntos: La identificación y autentificación; Roles; Transacciones;
Limitaciones a los servicios; Modalidad de acceso; Ubicación que se divide en Palabras
claves (Passwords), Encriptación, Lista de Control de acceso, límites sobre la interface
de usuario y Etiquetas de seguridad ; Control de acceso externo que se divide en;
Dispositivos de control de puertos y Firewalls o Puertos de seguridad, acceso de
personal contratados o consultores y accesos públicos.
Los Niveles de Seguridad Informática más usados a nivel internacional es el
TCSEC Orange Book (2) el cual fue desarrollado en el año 1983. De acuerdo a las
Normas de Seguridad en computadoras para la protección del Departamento de
Defensa de los Estados Unidos. Estos niveles son: Nivel D, Nivel C1 (Protección
Discrecional), Nivel C2 ( Protección de Acceso Controlado), Nivel B1 (Seguridad
Etiquetada), Nivel B2 (Protección Estructurada), Nivel B3 (Dominios de Seguridad),
Nivel A (Protección Verificada).
De acuerdo a las normas de seguridad en computadoras para la protección del
departo de defensa de los estados unidos.

4. 3
Seguridad lógica
Es la seguridad en el uso de software y los sistemas, la protección de los datos,
procesos y programas, así como la del acceso ordenado y autorizado de los usuarios a
la información. Este tipo de seguridad involucra todas aquellas medidas establecidas
por la administración de usuarios y administradores de recursos de tecnología de
información para minimizar los riesgos de seguridad asociados con sus operaciones.
-Al analizar los resultados y según la opinión de Fabián F. Sánchez (2011): “La
seguridad lógica se refiere a la seguridad en el uso de software y los sistemas, la
protección de los datos, procesos y programas, así como la del acceso ordenado y
autorizado de los usuarios a la información. La “seguridad lógica” involucra todas aquellas
medidas establecidas por la administración -usuarios y administradores de recursos de
tecnología de información- para minimizar los riesgos de seguridad asociados con sus
operaciones cotidianas llevadas a cabo utilizando la tecnología de información.” (Pár. 1).
1.1. Controles de acceso
Consiste en la verificación de si una entidad solicita acceso a un recurso tiene los
derechos necesarios para hacerlo. Ofrece la posibilidad de acceder a recursos físicos o
lógicos.
-“El control de acceso consiste en la verificación de si una entidad (una persona,
vehículo, ordenador, etc...) solicitando acceso a un recurso tiene los derechos necesarios
para hacerlo.
Un control de acceso ofrece la posibilidad de acceder a recursos físicos (por ejemplo,
a un edificio, a un local, a un país) o lógicos (por ejemplo, a un sistema operativo o a una
aplicación informática específica).” (Kim; 2010; Michael, 2010; Whitman, 2013; Mattord,
2013).

5. 4
1.1.1. Identificación y autentificación
La identificación es cuando usuario se da a conocer en el sistema y autenticación
es la verificación que se realiza en el sistema sobre esta identificación. Hay 4 tipos de
técnicas que permiten realizar la autenticación de la identidad del usuario que son:
 Cuando solamente el individuo conoce: Una clave, un pin, entre otros.
 Cuando la persona posee: Una tarjeta.
 Cuando el individuo es: Huella digital o voz.
 Cuando el individuo es capaz de hacer: Patrones de escritura.
-“Se denomina identificación al momento en que el usuario se da a conocer en el
sistema y autenticación a la verificación que se realiza en el sistema sobre esta
identificación. Existen 4 tipos de técnicas que permiten realizar la autenticación de la
identidad del usuario, las cuales pueden ser utilizadas individualmente o combinadas:
 Algo que solamente el individuo conoce: Una clave, un pin etc.
 Algo que la persona posee: Una tarjeta.
 Algo que el individuo es: Huella digital o voz
Algo que el individuo es capaz de hacer: Patrones de escritura.” (Navarro 2010;
Dolores, 2013).
1.1.2. Roles
Está definido por las responsabilidades a cumplir, es el conjunto de actividades
relacionadas que se asocian a un tipo de trabajo. Una persona puede ejecutar uno o
varios roles y un rol puede ser cubierto por varias personas.
- Al analizar los resultados y según la opinión de Yolanda Guadalupe (2012): “Un rol
está definido por las responsabilidades a cumplir, es el conjunto de actividades
relacionadas que se asocian a un tipo de trabajo. Una persona puede ejecutar uno o varios
roles y un rol puede ser cubierto por varias personas. Los roles deben estar bien definidos
y ser conocidos por todos. En el siguiente apartado se presenta una visión clara y práctica
de los diferentes roles y funciones que se deben asumir en el desarrollo de sistemas de
información, En un equipo de aseguramiento de la calidad del Software y En una unidad

6. 5
informática. Dichas funciones son de vital importancia para el éxito de este tipo de
proyectos.” (Pág. 2)
1.1.3. Transacciones
Se refiere a un conjunto de operaciones que forman una única unidad lógica de
trabajo. Se ejecutan completamente todas las acciones de una transacción, en caso de
fallo, se deshacen los efectos parciales de la transacción. Esta propiedad se le llama
atomicidad. Una vez ejecutada con éxito una transacción, sus efectos deben persistir
en la base de datos:
- Al analizar los resultados y según la opinión de Alberto Torres (2009): “El término
transacción hace referencia a un conjunto de operaciones que forman una única unidad
lógica de trabajo. Por ejemplo, la transferencia de dinero de una cuenta a otra es una
transacción que consta de dos actualizaciones, una para cada cuenta.
Resulta importante que, o bien se ejecuten completamente todas las acciones de una
transacción, o bien, en caso de fallo, se deshagan los efectos parciales de la transacción.
Esta propiedad se denomina atomicidad. Además, una vez ejecutada con éxito una
transacción, sus efectos deben persistir en la base de datos: un fallo en el sistema no debe
tener como consecuencia que la base de datos se olvide de una transacción que haya
completado con éxito.” (pág. 4, pág. 5).
1.1.4. Limitaciones a los servicios
Son las restricciones que dependen de parámetros propios de la utilización de la
aplicación o preestablecidos por el administrador del sistema.
-Al analizar los resultados y según la opinión de Spinetti, Angeline (2014): “Son
controles que describen la restricciones que dependen de medidas propias del uso de la
aplicación o preestablecidos por el administrador del sistema.” (Pág. 5)
1.1.5. Modalidad de acceso
Es modo de acceso que se permite al usuario sobre los recursos y a la información.
Esta modalidad puede ser:

7. 6
 Lectura: el usuario puede únicamente leer o visualizar la información pero no
puede alterarla.
 Escritura: este tipo de acceso permite agregar datos, modificar o borrar
información.
 Ejecución: este acceso otorga al usuario el privilegio de ejecutar programas.
 Borrado: permite al usuario eliminar recursos del sistema.
-Al analizar los resultados y según la opinión de tecnodelainfo (2011): “Se refiere al
modo de acceso que se permite al usuario sobre los recursos y a la información. Esta
modalidad puede ser:
 Lectura: el usuario puede únicamente leer o visualizar la información pero no
puede alterarla. Debe considerarse que la información puede ser copiada o impresa.
 Escritura: este tipo de acceso permite agregar datos, modificar o borrar
información.
 Ejecución: este acceso otorga al usuario el privilegio de ejecutar programas.
 Borrado: permite al usuario eliminar recursos del sistema (como programas,
campos de datos o archivos). El borrado es considerado una forma de modificación.” (Pág.
5).
1.1.6. Ubicación
El acceso a recursos del sistema puede estar basado en la ubicación física o lógica
de los datos o personas.
-Al analizar los resultados y según la opinión de tecnodelainfo (2011): “El acceso a
determinados recursos del sistema puede estar basado en la ubicación física o lógica de
los datos o personas. En cuanto a los horarios, este tipo de controles permite limitar el
acceso de los usuarios a determinadas horas de día o a determinados días de la semana.
De esta forma se mantiene un control más restringido de los usuarios y zonas de ingreso.
Se debe mencionar que estos dos tipos de controles siempre deben ir acompañados
de alguno de los controles anteriormente mencionados.” (Pág. 5).

8. 7
1.1.6.1. Palabras claves (passwords)
Se utilizan para realizar la autenticación del usuario y sirven para proteger datos y
aplicaciones. Los controles implementados a través del uso de palabras clave resultan
de muy bajo costo.
-Al analizar los resultados y según la opinión de Spinetti, Angeline (2014):
“Generalmente se utilizan para realizar la autenticación del usuario y sirven para proteger
los datos y aplicaciones. Los controles implementados a través de la utilización de palabras
clave resultan de muy bajo costo. Sin embargo cuando el usuario se ve en la necesidad de
utilizar varias palabras clave para acceder a diversos sistemas encuentra dificultoso
recordarlas y probablemente las escriba o elija palabras fácilmente deducibles, con lo que
se ve disminuida la utilidad de esta técnica.” (Pág. 8).
1.1.6.2. Encriptación
Proceso que permite volver ilegible información que es considerada importante. La
información una vez encriptada sólo puede leerse aplicando una clave.
-Al analizar los resultados y según la opinión de Spinetti, Angeline (2014): “Es un
proceso permite volver ilegible información que se considerada importante. La
información una vez encriptada sólo puede leerse aplicándole una clave.” (Pág. 9).
1.1.6.3. Listas de control de accesos
Registro en la cual deben tener los nombres de los usuarios que obtuvieron
permiso para entrar a un determinado sistema, así como la modalidad de acceso
permitido. Esta lista varía considerablemente en su capacidad y flexibilidad.
-Al analizar los resultados y según la opinión de Spinetti, Angeline (2014): “Es un
registro en la cual deben tener los nombres de los usuarios que obtuvieron permiso para
entrar a un determinado sistema, así como la modalidad de acceso permitido. Este tipo
de lista varía considerablemente en su capacidad y flexibilidad.” (Pág. 5).
1.1.6.4. Limites sobre la interface de usuario
Son usados en conjunto con las listas de control de accesos y restringen a los
usuarios a funciones específicas. Básicamente pueden ser de tres tipos: menús, vistas
sobre la base de datos y límites físicos sobre la interface de usuario.
-Al analizar los resultados y según la opinión de tecnodelainfo (2011): “Esto límites,
generalmente, son utilizados en conjunto con las listas de control de accesos y restringen a
los usuarios a funciones específicas. Básicamente pueden ser de tres tipos: menús, vistas
sobre la base de datos y límites físicos sobre la interfase de usuario. Por ejemplo los

9. 8
cajeros automáticos donde el usuario sólo puede ejecutar ciertas funciones presionando
teclas específicas.” (Pág. 6)
1.1.6.5. Etiquetas de seguridad
Son designaciones establecidas a los recursos que pueden usarse para varios
propósitos como control de accesos, especificación de medidas de protección, entre
otros. Estas etiquetas no se pueden modificar.
-Al analizar los resultados y según la opinión de tecnodelainfo (2011): “Consiste en
designaciones otorgadas a los recursos (como por ejemplo un archivo) que pueden
utilizarse para varios propósitos como control de accesos, especificación de medidas de
protección, etc. Estas etiquetas no son modificables.” (Pág. 7).
1.1.7. Control de acceso externo
Dispositivos de Control de Puertos Firewalls o Puertas de Seguridad Acceso de
Personal Contratado o Consultores.
1.1.7.1. Dispositivos de control de puertos
Autorizan el acceso a un puerto determinado y pueden estar físicamente separados
o incluidos en otro dispositivo de comunicaciones, como un módem.
-Al analizar los resultados y según la opinión de Spinetti, Angeline (2014): “Estos
dispositivos autorizan el acceso a un puerto determinado y pueden estar físicamente
separados o incluidos en otro dispositivo de comunicaciones, como por ejemplo un
módem.” (Pág. 11)
1.1.7.2. Firewalls o puertas de seguridad
Permiten bloquear o filtrar el acceso entre dos redes, normalmente una privada y
otra externa. Los firewalls permiten que los usuarios internos se conecten a la red
exterior al mismo tiempo que previenen la intromisión de virus a los sistemas de la
organización.
-Al analizar los resultados y según la opinión de Spinetti, Angeline (2014): “Permiten
bloquear o filtrar el acceso entre dos redes, usualmente una privada y otra externa (por
ejemplo Internet). Los firewalls permiten que los usuarios internos se conecten a la red
exterior al mismo tiempo que previenen la intromisión de atacantes o virus a los sistemas
de la organización. Este tema será abordado con posterioridad.” (Pág. 12).

10. 9
1.1.7.3. Acceso de personal contratado o consultores
Ya que este tipo de personal en general presta servicios temporarios, debe estar en
especial consideración en la política y administración de sus perfiles de acceso.
-Al analizar los resultados y según la opinión de tecnodelainfo (2011): “Debido a que
este tipo de personal en general presta servicios temporarios, debe ponerse especial
consideración en la política y administración de sus perfiles de acceso.” (Pág. 7).
1.1.7.4. Accesos públicos
Hay que tener ciertas medidas especiales de seguridad cuando los sistemas de
información son consultados por el público ya que el peligro es más alto y se dificulta
su administración. Se debe considerar para estos casos de sistemas públicos, que un
ataque externo o interno puede acarrear un impacto negativo en la imagen de la
organización.
-Al analizar los resultados y según la opinión de Spinetti, Angeline (2014): “Es
importante tener ciertas medidas especiales de seguridad cuando los sistemas de
información son consultados por el público (mediante, por ejemplo, la distribución y
recepción de formularios en soporte magnético, o la consulta y recepción de información a
través del correo electrónico), ya que aumenta el peligro y se dificulta su administración.
Debe considerarse para estos casos de sistemas públicos, que un ataque externo o interno
puede acarrear un impacto negativo en la imagen de la organización.” (13)
Niveles de seguridad informática
El estándar de niveles de seguridad más utilizado internacionalmente es el TCSEC
Orange Book (2), desarrollado en 1983 de acuerdo a las normas de seguridad en
computadoras del Departamento de Defensa de los Estados Unidos.
Los niveles describen diferentes tipos de seguridad del Sistema Operativo y se
enumeran desde el mínimo grado de seguridad al máximo.
Estos niveles han sido la base de desarrollo de estándares europeos
(ITSEC/ITSEM) y luego internacionales (ISO/IEC).
Cabe aclarar que cada nivel requiere todos los niveles definidos anteriormente: así
el subnivel B2 abarca los subniveles B1, C2, C1 y el D. (Fabián F. Sánchez, 2011; Parf.
6).

11. 10
2.1. Nivel D
Contiene sólo una división y está reservada para sistemas que han sido evaluados
y no cumplen con ninguna especificación de seguridad. Sin sistemas no confiables, no
hay protección para el hardware, el sistema operativo es inestable y no hay
autentificación con respecto a los usuarios y sus derechos en el acceso a la
información. Los sistemas operativos que responden a este nivel son MS-DOS y
System 7.0 de Macintosh. (Fabián F. Sánchez, 2011; Par. 7).
2.2. Nivel C1: protección discrecional
Necesita identificación de usuarios que permita el acceso a distinta información.
Cada usuario puede manejar su información privada y se hace la distinción entre los
usuarios y el administrador del sistema, quien tiene control total de acceso. (Fabián F.
Sánchez, 2011; Par. 8).
2.3. Nivel C2: protección de acceso controlado
Fue diseñado para solucionar las debilidades del C1. Cuenta con características
adicionales que crean un ambiente de acceso controlado.
-Al analizar los resultados y según la opinión de Fabián F. Sánchez (2011): “Este
subnivel fue diseñado para solucionar las debilidades del C1. Cuenta con características
adicionales que crean un ambiente de acceso controlado. Se debe llevar una auditoria de
accesos e intentos fallidos de acceso a objetos.” (Par. 9).
2.4. Nivel B1: seguridad etiquetada
Es un subnivel; el primero de los tres con que cuenta el nivel B. Soporta seguridad
multinivel, como la secreta y ultra secreta. Se establece que el dueño del archivo no
puede modificar los permisos de un objeto que está bajo control de acceso obligatorio.
(Fabián F. Sánchez, 2011; Par. 10).
2.5. Nivel B2: protección estructurada
Necesita que se etiquete cada objeto de nivel superior por ser padre de un objeto
inferior.
La Protección Estructurada es la primera que empieza a referirse al problema de un
objeto a un nivel más elevado de seguridad en comunicación con otro objeto a un nivel
inferior.

12. 11
Así, un disco rígido será etiquetado por almacenar archivos que son accedidos por
distintos usuarios. (Fabián F. Sánchez, 2011; Par. 11).
2.6. Nivel B3: dominios de seguridad
Refuerza a los dominios con la instalación de hardware.
-Al analizar los resultados y según la opinión de Fabián F. Sánchez (2011): “Refuerza
a los dominios con la instalación de hardware: por ejemplo el hardware de administración
de memoria se usa para proteger el dominio de seguridad de acceso no autorizado a la
modificación de objetos de diferentes dominios de seguridad.” (Par. 12).
2.7. Nivel A: protección verificada
Nivel más elevado, incluye un proceso de diseño, control y verificación, mediante
métodos formales (matemáticos) para asegurar todos los procesos que realiza un
usuario sobre el sistema.
Para llegar a este nivel de seguridad, todos los componentes de los niveles
inferiores deben incluirse. El diseño requiere ser verificado de forma matemática y
también se deben realizar análisis de canales encubiertos y de distribución confiable. El
software y el hardware son protegidos para evitar infiltraciones ante traslados o
movimientos del equipamiento. (Fabián F. Sánchez, 2011; Par. 13).

13. 12
Conclusión
Después de finalizar el presente trabajo de investigación puedo concluir que la
seguridad informática fue creada con la finalidad de proteger y resguardar información.
Cuando hablamos de la seguridad lógica nos referimos a una seguridad que consta
con todos los modelos establecidos por la administración de usuario y la administración
de recursos de tecnología de información. Esta tiene varios componentes que lo
conforman, los cuales podemos mencionar como los controles de acceso que ofrece la
posibilidad u oportunidad de acceder a recursos físicos o lógicos; dentro de esta
conseguimos lo que son: la identidad y la autenticación, los roles las transacciones, las
limitaciones a los servicios, la modalidad de acceso, la ubicación y el control de acceso
externo; Dentro de lo que es la ubicación conseguimos los siguientes componentes:
Las palabras claves (Passwords), la encriptación, la lista de control de acceso, los
limites sobre la interface de usuario y las etiquetas de seguridad; Y dentro del control
de acceso externo conseguimos: Los dispositivos de control de puertos, los firewalls, el
acceso de personal contratado y el acceso público.
La seguridad informática la podemos dividir en varios niveles los cuales cada uno
debe cumplirse para que exista una buena seguridad, estos niveles son: Nivel D; Nivel
C1: protección discrecional; Nivel C2: protección de acceso controlado; Nivel B1:
seguridad etiquetada; Nivel B2: protección estructurada; Nivel B3: dominios de
seguridad; Y el nivel A.

14. 13
Referencias Bibliográficas
 Fabián F. Sánchez (2011). Seguridad lógica. Lugar de publicación: Blogger.
Recuperado de http://electivaprof.blogspot.com/
 Control de acceso. Lugar de publicación: wikipedia. Recuperado de
https://es.wikipedia.org/wiki/Control_de_acceso
 Navarro S., (2010). Dolores, (2013). Seguridad lógica. Lugar de publicación:
wikispaces. Recuperado de https://seguridadinformaticasmr.wikispaces.com/TEMA+3+-
+SEGURIDAD+L%C3%93GICA
 Yolanda Guadalupe, (2012). Roles y funciones. Lugar de publicación: slideshare.
Recuperado de https://es.slideshare.net/cotorrito/roles-y-funciones-12849484
 Torres A., (2009). Transacción. Lugar de publicación: slideshare. Recuperado de
https://es.slideshare.net/intelectual1117/transaccion
 Spinetti A., (2014). Seguridad Lógica y Niveles de Seguridad Informática. Lugar
de publicación: slideshare. Recuperado de
https://es.slideshare.net/AngelineSpinetti/electiva5?from_action=save
 Tecnodelainfo., (2011). Seguridad lógica. Lugar de publicación: slideshare.
Recuperado de https://es.slideshare.net/tecnodelainfo/seguridad-lgica-10075178