Dsei acd hebr

ASIGNACIÓN A CARGO DEL DOCENTE
Seguridad de la informática
Alumno: Héctor Gonzalo Bautista Ruiz
Facilitador: M.C. Ricardo Rodríguez Nieves
Grupo: DSEI-1702-B2-001

• En el Internet se encuentran muchas similitudes con el mundo real. Existen buenas
personas, pero también gente con maldad deshonestas. Muchas actividades van
desde movimientos bancarios y compartir información personal. Toda esa
información debe de considerarse confidencial y resguardada dentro de un entorno
de seguridad informática.
• La seguridad debe de estar basada en tres pilares fundamentales.
• Confidencialidad. Garantía de acceso solo a las personas que disponen de
autorización.
• Integridad: garantía de la exactitud de la información y de su protección frente a
alteraciones o perdidas.
• Disponibilidad: garantía de que la información va a estar disponible en el momento
en que se necesita.
TRIADA DE LA SEGURIDAD: INTEGRIDAD Y
CONFIDENCIALIDAD

El área de sistemas de una organización debe de garantizar la protección y la
seguridad de la información. En el área de desarrollo de software encargado de la
creación de sistemas de información, está basado en normas específicas:
• Procesos operacionales
• Manejo y clasificación de datos sensibles
• Marco legal del país.
Códigos maliciosos
Malware (del inglés malicious software, también llamado badware, software malicioso
o software malintencionado) es el software que realiza cualquier acción
malintencionada sin el consentimiento del usuario. Las intenciones del malware son
diversas, pero entre ellas destacan, la obtención de información sensible, el daño a la
máquina donde se encuentra instalado el software, y la ejecución de estafas en líneas.

El malware ha sufrido cambios en los últimos años. Anteriormente era creado por un
grupo de piratas informáticos, mientras que ahora es producido por mafias
organizadas (ciberdelincuencia) cuyo único fin es el lucro económico.
Tipos de Malware
Es necesario y muy importante conocer los distintos tipos de malware que existen en
la actualidad para poder entender cómo funcionan y las medidas que se
implementaran, disposiciones preventivas que eviten que un software malicioso altere
al sistema de cómputo.
Cuando se detecta o se tienen sospechas de un software que puede dañar a el
sistema de información se puede muestrear si se trata de un código, se lleva a cabo la
recolección para su análisis y posible inclusión en la base de datos de firmas.
Dichas firmas pueden obtenerse de asociaciones y usuarios, quienes las envían a
través de páginas.

En la actualidad se usan programas automatizados para examina y buscar rastros de
códigos maliciosos en la red. El código sospechoso se revisa, para confirmar
actividades dañinas o peligroso.
Un desarrollador de software tiene la capacidad de observar el código original
completo para descubrir la parte que constituye la carga peligrosa del código
malicioso.
Puede ser por medio del método de:
Descompresión. Si el archivo esta comprimido, es necesario una utilidad especial
para descomprimirlo y visualizar su contenido.
Descifrado Si el archivo está cifrado, se debe aplicar la clave para descifrarlo y
mostrar Su contenido.
Desempaquetado / desensamblado. Es llegar hasta el código fuente de un archivo
ejecutable escrito en cualquier lenguaje de programación de alto nivel.

Cuando el código malicioso es identificado, se va a necesitar un editor para manejar
firmas de amenazas y, en algunos casos, un módulo de análisis heurístico dedicado,
para detectarlas amenazas por su comportamiento, no por el código en sí.
Después de la compilación de las definiciones, se prueban y por último, se suben a los
servidores para su distribución.
Los Virus informáticos son el tipo de malware más conocido, programas que se
reproducen infectando a otros archivos e intentando que esos archivos accedidos en
otro entorno para éste, a su vez, sea infectado.

Los virus se clasifican en tres familias:
• Los virus que se encargan de dañar el arranque de un equipo de impidiendo que
inicie correctamente Su propósito es completamente dañino y destructivo.
• Los virus que residen en la memoria de la máquina y son capaces de funcionar
segundo plano, sin que el usuario conozca de su existencia.
• Los virus de macros o script, que suelen aprovechar la capacidad de ejecutarse en
diferentes lenguajes de programación de algunos de los visores de documentos
más utilizados: XL S (Excel), DOC (Word). PPS (PowerPoint), PDF (Acrobat Reader.

Marco legal de seguridad de la informática nacional e internacional
Un delito informático va a ser toda conducta ilícita susceptible de ser sancionada
el derecho penal consistente en el uso indebido de cualquier medio informático.
Convención sobre delitos informáticos.
Armonizar las leyes penales sustantivas aplicables a las conductas delictivas que
tienen como escenario el entorno informático
Proveer reglas de procedimiento penal que brinden a las autoridades nacionales
competentes las facultades necesarias para la investigación y precaución de tales
conductas delictivas.
Establecer un régimen dinámico y efectivo de cooperación internacional.

Fraudes cometidos mediante la manipulación de las computadoras.
Manipulación de datos de entrada
Manipulación de programas
Manipulación de datos de salida
Fraude efectuado por manipulación informática
Falsificaciones informáticas
Utilización de sistemas informáticos como objetos
Utilización de sistemas informáticos como instrumentos
Daños o modificaciones de programas o datos computarizados

Sabotaje informático
Virus
Gusanos
Bomba lógica o cronológica
Acceso no autorizado a sistemas o servicios
Piratas informáticos o hakers
Reproducción no autorizada de programas informáticos con protección legal.

Marco legal de México
Los delitos informáticos con sus reformas fueron publicados en el Diario Oficial de la
Federación el 17 de mayo de 1999,
Los delitos se ubican dentro del Titulo Noveno del Código Punitivo Federal,
denominado: Revelación de secretos y acceso a ilícito a sistemas y equipos de
informática.
El artículo 211 del Código penal Federal prevé sanción de I a 5 años cuando a
revelación punible sea hecha por persona que presta servicios profesionales o
técnicos, o bien, por funcionario o empleado público. Asimismo, cuando el secreto
revelado 0 publicado sea de carácter industrial, el subsecuente numerario, 211 Bis de
dicho ordenamiento legal, dispone que a quien revele, divulgue o utilice
indebidamente o en perjuicio de Otro, información o imágenes obtenidas en una
intervención de comunicación privada, se le aplicarán sanciones de 6 a 12 años de
prisión.

Algoritmo criptográfico
En computación y criptografía un algoritmo criptográfico es un algoritmo que modifica los
datos de un documento con el objetivo de alcanzar algunas características de seguridad
autenticación, integridad y confidencialidad.
• Criptografía simétrica o de clave secreta.
• Criptografía asimétrica o de clave pública.
• Hash o de resumen.
Ejemplos que combinan la utilización de los métodos de criptografía de llave única y de
pública y privada
.NET Framework 1.1
En este ejemplo se demuestra cómo se puede utilizar el cifrado de clave pública para
intercambiar mensajes de forma segura entre tres entidades. Los mensajes se cifran
un algoritmo simétrico (RC2) y, después, la clave RC2 se cifra mediante un algoritmo
asimétrico (RSA).
Son las conexiones seguras, establecidas entre el browser de un usuario y una web, en
transacciones comerciales o bancarias vía Web.

Estándar de cifrado avanzado
En el entorno móvil actual, encontramos tecnología inalámbrica en todos sitios. La
usamos para conectarnos a Internet durante los desplazamientos, conectar
móviles a nuestros PC, escuchar música desde el teléfono... la lista es interminable.
tecnología inalámbrica está tan extendida, que, a menudo, damos por hecho que es
segura. Muchos de nosotros la usamos para especificar contraseñas, enviar datos
personales y compartir información profesional confidencial. La realidad es que
punto de un sistema de comunicación inalámbrica es una posible vulnerabilidad y,
las medidas de seguridad adecuadas, su información privada puede estar en peligro

Estándares y Protocolos de Certificación
Estándares tecnológicos
Los estándares tecnológicos son aquéllos que proporcionan un entorno de trabajo
para el desarrollo de software y de aplicaciones que permiten el acceso y
procesamiento de datos geográficos procedentes de diversas fuentes, a través de
interfaces genéricas dentro de un entorno tecnológico abierto basado en estándares y
protocolos amplia mente conocidos por la comunidad mundial de información
geográfica y por la comunidad web.

Este tipo de estándares está relacionado con las especificaciones de la OGC. La
especificación de implementación de OGC está detallada en el marco de trabajo del
desarrollo de software para el acceso distribuido a los datos geográficos y a los
recursos de procesamiento en línea de datos geográficos. Esta especificación
proporciona tanto a los desarrolladores de software como a los usuarios de
información geográfica, unas interfaces comunes detalladas que permiten que
herramientas de software desarrolladas por comunidades privadas y/o bajo filosofía
de código abierto, puedan interoperar entre sí con información geográfica
permitiendo el intercambio, uso y acceso de manera masiva a esta clase de datos.

Normas y Estándares
Todos los componentes que intervienen en el Servicio de Timestamping han sido
desarrollados por el Departamento de Ingeniería de ANF AC, siguiendo y respectando las
normas técnicas internacionales.
Entre ellas destaca el documento RFC 5816 "Internet X.509 Public Key Infrastructure Time-
Stamp Protocol" de la IETF (Internet Task Engineering Force), que actualiza el RFC 3161 de
agosto de 2001 y es conforme con la norma ETSI TS 101 861.
Este documento determina que el Sellado Digital de Tiempo confiable se emite por un
de confianza, que actúa como Autoridad de Sellado de Tiempo o TSA (Time Stamping
Authority). Asimismo permite el uso de la estructura ESSCertIDv2, tal como se define en el
5035, para especificar el valor hash de un certificado del firmante, cuando el hash se calcula
con una función distinta al algoritmo SHA-1.

Normas de referencia respetadas por ANT TSA AC
[RFC 5816] "Internet X.509 Public Key Infrastructure Time-Stamp Protocol (TSP)" (actualiza RFC 3161)
RFC 3628 “Policy Requirements for Time Stamping Authorities (TSAs)”
[TS 101 861] ETSI Technical Specification TS 101 861 V1.2.1. (2001-11). Time stamping profile
[TS 102 023] ETSI Technical Specification TS 102 023. Policy requirements for Time stamping Authorities
[ISO 18014] “Time-stamping services is an international standard that specifies Time stamping
techniques”
[ISO 8601] “Data elements and interchange formats — Information interchange — Representation of
dates and times”
[TF.460-5] ITU-R Recommendation TF.460-5 (1997): Standard- frequency and time-signal emissions
[TF.536-1] ITU-R Recommendation TF.536-1 (1998): Time-scale nota

Firma digital
Una firma digital es un mecanismo criptográfico que permite al receptor de un
mensaje firmado digitalmente identificar a la entidad originadora de dicho mensaje
(autenticación de origen y no repudio), y confirmar que el mensaje no ha sido
alterado desde que fue firmado por el originador (integridad).
Propiedades
Se han establecido una serie de propiedades necesarias que tiene que cumplir un
esquema de firma para que pueda ser utilizado. La validez de una firma se ampara
la imposibilidad de falsificar cualquier tipo de firma radica en el secreto del firmante.
En el caso de las firmas escritas el secreto está constituido por características de tipo
grafológico inherentes al signatario y por ello difíciles de falsificar

Por su parte, en el caso de las firmas digitales, el firmante tiene el conocimiento exclusivo de
una clave (secreta) utilizada para generar la firma. Para garantizar la seguridad de las firmas
digitales es necesario a su vez que estas sean:
Únicas: Las firmas deben poder ser generadas solamente por el firmante y por lo tanto
infalsificable. Por tanto la firma debe depender del firmante.
Infalsificables: Para falsificar una firma digital el atacante tiene que resolver problemas
matemáticos de una complejidad muy elevada, es decir, las firmas han de ser
computacionalmente seguras. Por tanto la firma debe depender del mensaje en sí.
Verificables: Las firmas deben ser fácilmente verificables por los receptores de las mismas y, si
ello es necesario, también por los jueces o autoridades competentes.
Innegables: El firmante no debe ser capaz de negar su propia firma.
Viables: Las firmas han de ser fáciles de generar por parte del firmante.

Mecanismos de seguridad en los sistemas informáticos, redes, sistemas operativos,
bases de datos
Un sistema informático se conforma por hardware, software y datos; respecto a la
seguridad, son los componentes hacia los cuales puede ir dirigido un ataque
informático.
Los ataques informáticos se clasifican en:
interrupción, intercepción, modificación y fabricación.
Metodologías fundamentales:
prevención, detección y respuesta.

Metodología para el desarrollo de proyectos de seguridad informática
La metodología del Instituto Internacional de Recuperación de Desastres DRII (por sus siglas en inglés,
Recovery Institute International) para el desarrollo del Proyecto de BCP proporciona programas de educación
servicios de certificación para profesionales de la planificación de recuperación de desastres
Etapas:
1. Inicio y administración del proyecto
2. Evaluación y control del riesgo
3. Análisis de impacto al negocio (BIA)
4. Desarrollo de estrategias de continuidad del negocio
5. Respuesta a la emergencia y estabilización
6. Desarrollo e implementación de planes de continuidad del negocio
7. Programas de concientización y entrenamiento
8. Prueba y mantenimiento de los planes de continuidad del negocio
9. Relaciones públicas y coordinación de la crisis
10. Coordinación con las autoridades públicas

Etapas de la metodología del DRII:
Inicio y administración del proyecto
Objetivos:
• Establecer la necesidad de desarrollar e implementar un Plan de Continuidad del Negocio.
• Obtener el soporte directivo.
• Organizar y administrar el proyecto hasta su completa realización y acorde con los límites de
presupuesto.
Justificaciones para implementar un DRP–BCP
• Sobrevivir a un desastre.
• Cumplir con los Service Level Agreements o Acuerdos de nivel de servicios.
• Cumplir con los requerimientos o recomendaciones de auditoría.
• Cumplir con los Requerimientos Legales (Legislaciones de Estados Unidos y de México).
• Reducir los costos de seguros.
• Usar las instalaciones y equipo de respaldo para otros propósitos.
• Promover los objetivos de la cultura corporativa (contar un plan que garantice la disponibilidad de
servicios en un evento de desastre).

Comité de dirección. En general cuenta con los siguientes elementos:
• Director general.
• Director de finanzas.
• Director de comercialización.
• Gerente de relaciones públicas.
• Gerentes de las unidades de negocios.
• Gerente de operaciones.
• Gerentes de soporte.
• Gerente de administración del edificio.
• Gerente e IT y comunicaciones.
• Líder del proyecto de continuidad del negocio.
Seleccionar a los integrantes del equipo de trabajo del proyecto:
• Personal gerencial de unidades de negocio.
• Expertos funcionales del negocio.
• Expertos técnicos.
• Personal administrativo y de soporte

Grupos de recuperación–continuidad. Tienen a su cargo identificar a los participantes
que intervienen en el proceso de recuperación y continuidad que harán frente a un
evento de desastre en forma organizada y controlada.
Preparar y llevar a cabo Kick–Off Meeting, establecer el alcance del proyecto:
• Presentar los objetivos del proyecto de desarrollo del DRP-BCP.
1. Objetivos del DRP-BCP.
2. Objetivos generales del proyecto.
3. Objetivos específicos del proyecto.
4. Entregables del proyecto.

• Presentar el plan del proyecto (metodología).
1. Fases y actividades del proyecto.
2. Calendarización de actividades (diagrama de Gantt).
• Presentar la estructura organizacional del equipo de trabajo.
• Asignar tareas y responsabilidades.
• Presentar otros aspectos de coordinación y control del proyecto.
• Distribuir las herramientas de recolección de datos.

Requerimientos presupuestales:
• Costos fijos.
Mobiliario, equipo de cómputo, energía eléctrica, gastos telefónicos, renta de oficina,
etc.
• Nómina.
Idealmente, considerar como tiempo completo al coordinador del proyecto y a su
asistente o secretario. En tiempo parcial, los miembros del equipo de trabajo que
serán prestados por otros departamentos.
• Viáticos y gastos de viaje.
• Honorarios de consultores.
• Suministros, accesorios y consumibles.
• Otros gastos imprevistos.

2. Evaluación y control del riesgo Objetivos:
• Determinar los eventos y circunstancias del ambiente (interrupciones y
desastres) que pueden afectar adversamente a la organización y sus instalaciones.
• Determinar el daño que tales eventos pueden causar.
• Determinar los controles necesarios para prevenir o minimizar los efectos de
pérdidas potenciales
• Proveer el análisis costo-beneficio para justificar la inversión en controles para
mitigar los riesgos

3. Análisis de impacto al negocio (BIA)
A: Identificar los impactos que resultan de la interrupciones y escenarios de desastre que
pueden afectar a la organización.
B: Identificar las técnicas que pueden ser usadas para cuantificar y calificar tales impactos.
C: Determinar las funciones críticas, sus prioridades de recuperación y sus interdependencias,
de tal manera que se pueda establecer el Tiempo Objetivo de
Recuperación (RTO = Recovery Time Objective).
El BIA analiza el impacto financiero y operacional de desastres sobre las áreas de
negocio y los procesos de una organización.

El impacto financiero se refiere a las pérdidas monetarias tales como; ventas
perdidas, inversiones perdidas, multas, penas o sanciones contractuales, etc.
El impacto operacional representa las pérdidas no monetarias relacionadas con las
operaciones del negocio, y pueden incluir: pérdida de ventaja competitiva, daño a
la confianza de los inversionistas, mal servicio a clientes, bajo estado de ánimo
(moral) del personal y daño a la reputación de la empresa.

El proceso de desarrollo del BIA implica los siguientes pasos:
• Definir objetivos, alcance y suposiciones del BIA.
• Identificar las funciones del negocio y sus procesos.
• Evaluar los impactos financieros y operacionales.
• Identificar los procesos críticos.
• Evaluar los MTD y priorizar los procesos críticos.
• Identificar los sistemas y aplicaciones informáticas críticas.
• Identificar los recursos no-informáticos que son críticos.
• Determinar el RTO.
• Determinar el PRO.
• Identificar los procedimientos alternativos.
• Generar reporte BIA.

4. Desarrollo de estrategias de continuidad del negocio. Consiste en determinar y
guiar la selección de estrategias funcionales alternativas para recuperar el negocio y el
servicio informático dentro del tiempo objetivo de recuperación (RTO), al tiempo que se
establecen las funciones críticas de la organización.
5. Respuesta a la emergencia y estabilización
Objetivos:
• Desarrollar e implementar procedimientos para responder y estabilizar la situación
• inmediata siguiente a un incidente o evento.
• Establecer y administrar un centro de operaciones de emergencia para ser usado como un
centro de mando durante la emergencia.

6. Desarrollo e implementación de planes de continuidad del negocio
Objetivo:
• Diseñar, desarrollar e implementar el BCP que provea la recuperación dentro del
Tiempo Objetivo de Recuperación (RTO).
7. Programas de concientización y entrenamiento
Objetivos:
• Preparar un programa para crear conciencia corporativa.
• Preparar un programa para mejorar las habilidades requeridas para desarrollar,
implementar, mantener y llevar a cabo el BCP.

8. Prueba y mantenimiento de los planes de continuidad del negocio
Objetivos:
• Pre-planear y coordinar las pruebas del BCP.
• Evaluar y documentar los resultados de las pruebas.
• Desarrollar procesos para mantener la vigencia de capacidades para mantener
la continuidad y la vigencia del documento del plan de acuerdo con la dirección
estratégica de la organización.
• Verificar la efectividad del plan comparándolo con un estándar adecuado.
• Reportar los resultados de manera clara y concisa.

9. Relaciones públicas y coordinación de la crisis
Objetivos:
• Desarrollar, coordinar, evaluar, y ejercitar planes para manejar a los medios de
comunicación durante las situaciones de crisis.
• Desarrollar, coordinar, evaluar, y ejercitar planes para comunicar y, según sea
necesario, proveer asesoramiento sobre el manejo de traumas, a los empleados,
sus familiares, clientes clave, proveedores críticos, dueños/accionistas de la empresa, y a la
gerencia corporativa durante la crisis.
• Asegurar que a todos los stakeholders se les mantenga informados según sea
necesario.
10. Coordinación con las autoridades públicas
• Establecer las políticas y procedimientos aplicables para coordinar las actividades de
respuesta, continuidad y restauración, con las autoridades respectivas, de manera que se
cumpla con los estatutos y reglamentos aplicables

Plan de continuidad de negocio (BCP)
Un plan de continuidad de negocio (o BCP por sus siglas en inglés) es un plan de
emergencia, el cual tiene como objetivo el mantener la funcionalidad de la
organización a un nivel mínimo aceptable durante una contingencia.
Nos va a ayudar a mitigar el impacto que pudiera presentarse en
caso de un desastre. Asimismo, el BCP ayuda a mantenerse en el negocio,
identificando
los impactos potenciales que amenazan la organización, logrando así establecer un
plan
que permita continuar con la actividad de nuestra empresa en caso de una
interrupción.

Plan de recuperación de desastre (DRP)
El Plan de recuperación de desastres es un conjunto de estrategias definidas para
asegurar la reanudación oportuna y ordenada de los servicios informáticos críticos en
caso de contingencia. Su método de gestión depende de varios departamentos de una
empresa y de diferentes fases: analizar, desarrollar, ejecutar y mantener
Lo primero que se debe realizar es un análisis de impacto al negocio (BIA). Éste es
básicamente un informe que nos muestra el coste ocasionado por la interrupción de los
procesos de negocio que se incluye en el Plan de continuidad de negocio (BCP). Con este
informe la compañía tiene la capacidad de clasificar los procesos de negocio en función de
criticidad, y lo que es más importante: establecer la prioridad de recuperación o su orden
secuencial.

Nuevas tecnologías de seguridad de la informática
Seguridad física
Para tener una seguridad en los equipos, se debe definir, en el manual de operaciones del
los procedimientos para evitar malos manejos en la operación del equipo que puedan crear
de negligencia o accidente. Para asegurar los programas, es necesario restringir el acceso a
programas y archivos, aplicar medidas antivirus, asegurar que los operadores puedan trabajar sin
una supervisión rigurosa, y necesiten autorización para modificar programas y archivos, así como
asegurar que se usen los datos, archivos y programas correctos. Para manejar una protección
acceso no autorizado y/o interferencia electrónica, se deben implantar medidas para evitar que
personas no autorizadas ingresen remotamente a los sistemas (“hackers”). Se recomienda el uso
criptografía para el envío de información. La protección de la identidad y autenticación se logra
identificando a los usuarios, obligándolos a cambiar de clave con frecuencia, a usar criptografía
claves de acceso, emitir tarjetas de acceso y utilización de aparatos biométricos para resguardo
la información. Existen diversos factores que pueden afectar la seguridad de un sistema de
información:

Dsei acd hebr

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (20)

Similar a Dsei acd hebr

Similar a Dsei acd hebr (20)

Último

Último (20)

Dsei acd hebr