Este documento describe varios aspectos clave de la seguridad en una organización. Explica la importancia de la seguridad física, lógica, de datos y del personal. También cubre temas como clasificación de controles de seguridad, plan de contingencia, seguros y procedimientos de recuperación ante desastres. El documento provee una guía integral para establecer una sólida estrategia de seguridad en una organización.

1. República Bolivariana de Venezuela
Ministerio del Poder Popular para la Educación Superior
Instituto Universitario Politécnico “Santiago Mariño”
Barcelona edo. Anzoátegui
Sección: SA
EVALUACIÓN DE LA SEGURIDAD
Profesor Autor:
Luis Porras Argimiro Domínguez
C.I: 25.245.074
Barcelona, Septiembre de 2018

2. Las organizaciones hoy día se encuentran expuestas a las amenazas tanto
externa como interna. Algunos de los factores que hacen posible que ocurran en
este tipo de eventos son el desconocimiento de los usuarios que laboran en la
organización, falta de políticas adecuadas a la seguridad empresarial y mejores
prácticas en seguridad de la información, la publicación incorrecta de servicios,
configuraciones por defecto y la existencia de programas maliciosos dentro de la
red, este es un tema bastante amplio debido a que la seguridad en una organización
debe ser evaluada en todos los aspectos y bajo minuciosas técnicas por lo que se
puede empezar en las generalidades del área física, la misma radica en la creación
de barreras, impedimentos físicos y procedimientos de control, como medidas de
prevención y contramedidas ante amenazas a los recursos e información
confidencial. Se refiere a los controles y mecanismos de seguridad dentro y
alrededor del centro de trabajo en la organización así como los medios de acceso
remoto al y desde el mismo; implementados para proteger el hardware y medios de
almacenamiento de datos.
Este tipo de seguridad está enfocada a cubrir las amenazas ocasionadas tanto
por el hombre como por la naturaleza del medio físico en el que se encuentra
ubicado el centro de trabajo.
Seguridad lógica y confidencial
Se conoce seguridad lógica como la manera de aplicar procedimientos que
aseguren que sólo podrán tener acceso a los datos las personas o sistemas de
información autorizados para hacerlo.
Están diseñados para salvaguardar la integridad de la información almacenada
de una computadora así como de las aplicaciones y el control del mal uso de la
información. Es necesario Identificar individualmente a cada usuario y sus
actividades en el sistema, para restringir el acceso a los datos dependiendo cual
sea el rol de cada usuario.

3. Debido a la falta de seguridad lógica y confidencial que pudiese existir en una
organización atraería ciertas consecuencias a la empresa como puede ser copia de
programas e información, código malicioso oculto en un programa, entrada de virus,
entre otros problemas que se pueden generar.
Por lo que el sistema integral de seguridad debe comprender ciertos elementos
los cuales son:
 Elementos administrativos.
 Definición de una política de seguridad.
 Organización y división de responsabilidades.
 Seguridad lógica
La seguridad informática puede plantearse desde dos perspectivas:
–Seguridad Física: protección del sistema ante las amenazas físicas, planes de
contingencia, control de acceso físico y políticas de backups.
–Seguridad Lógica: protección de la información en su propio medio mediante el
uso de herramientas de seguridad.
Seguridad personal
Es el conjunto de normas preventivas y operativas, con apoyo de
procedimientos, programas, sistemas, y equipos de seguridad y protección,
orientados a neutralizar, minimizar y controlar los efectos de actos ilícitos o
situaciones de emergencia, que afecten y lesionen a las personas que sean el
recurso humano de la empresa.

4. Clasificación de los controles de seguridad
Se dice que los controles son los mecanismos que se utilizan para poder
controlar los accesos y privilegios a los recursos indicados. El profesional de la
seguridad es quién realiza las sugerencias y decide qué tipo de controles se usaran.
La facultad de decidir cómo será el rol de la seguridad en la organización pertenece
a la administración.
Los controles se dividen en tres tipos:
Administrativos: Los controles administrativos son aquellos que están involucrados
directamente con procedimientos, políticas, estándares, entrenamiento,
procedimientos de monitoreo y control de cambios.
Técnicos: Los controles técnicos están relacionados con el acceso lógico, accesos
de control, contraseñas, administración de recursos, métodos de identificación o
autorización, seguridad de dispositivos y configuraciones de red.
Físicos: Los controles físicos como su nombre lo dicen, se encargan de controlar el
acceso físico a los activos. Son medidas de seguridad en una estructura definida
usada para prevenir o detener el acceso no autorizado a material confidencial
Seguridad de los datos y software de aplicación
Se refiere a medidas de protección de la privacidad digital que se aplican para
evitar el acceso no autorizado a los datos o las aplicaciones necesarias que utilizan
los ordenadores en la organización, los cuales pueden encontrarse en, bases de
datos, sitios web, entre otros. también protege los datos de una posible corrupción
interna en el ente.
Controles para prevenir crímenes y fraudes informáticos.
Uno de los pasos más esenciales es actualizar constantemente el sistema
operativo y los softwares instalados en el computador, poniendo especial atención

5. a las actualizaciones de su navegador web. A veces, los sistemas operativos
presentan fallos, que pueden ser aprovechados por delincuentes informáticos.
Microsoft está creando constantemente actualización que solucionan dichos fallos.
Estar al día con las actualizaciones, así como aplicar los parches de seguridad
recomendados por los fabricantes, le ayudará a prevenir la posible intrusión de
hackers y la aparición de nuevos virus.
Tener instalado y actualizado un antivirus para este es necesario adquirir
licencias premium para mejor protección ya que nos proporciona mayor blindaje en
los datos como es el caso de la seguridad en tiempo real, que como su nombre lo
dice nos permite protegernos en tiempo real de un ataque e incluso antes de que el
mismo ocurra
Tener activado el Firewall o Cortafuegos con el fin de restringir accesos no
autorizados de Internet.
Es recomendable tener instalado en su equipo algún tipo de software anti-
spyware, para evitar que se introduzcan en su equipo programas espías destinados
a recopilar información confidencial sobre el usuario.
Relacionados con la navegación en internet:
 Utilice contraseñas seguras, es decir, aquellas compuestas por ocho
caracteres, como mínimo, y que combinen letras, números y símbolos. Es
conveniente además, que modifique sus contraseñas con frecuencia. En
especial, le recomendamos que cambie la clave de su cuenta de correo si
accede con frecuencia desde equipos públicos.
 Navegue por páginas web seguras y de confianza. Para diferenciarlas
identifique si dichas páginas tienen algún sello o certificado que garanticen
su calidad y fiabilidad. Extreme la precaución si va a realizar compras online
o va a facilitar información confidencial a través de internet. En estos casos
reconocerá como páginas seguras aquellas que cumplan dos requisitos:

6.  Deben empezar por https:// en lugar de http. Apareciendo el icono del
candado cerrado. A través del mismo se puede acceder a un certificado
digital que confirma la autenticidad de la página.
 Tener especial atención en el tratamiento de su correo electrónico y capacitar
al personal sobre este tipo de ataques ya que es una de las herramientas
más utilizadas para llevar a cabo estafas, introducir virus, etc. Por ello es
recomendable que:
 No abra mensajes de correo de remitentes desconocidos.
 Desconfíe de aquellos e-mails en los que entidades bancarias, compañías
de subastas o sitios de venta online, le solicitan contraseñas, información
confidencial, etc.
 No propague aquellos mensajes de correo con contenido dudoso y que le
piden ser reenviados a todos sus contactos. Este tipo de ataque pretende
avisar de la aparición de nuevos virus, transmitir leyendas urbanas o
mensajes solidarios, difundir noticias impactantes, etc. Estas cadenas de e-
mails se suelen crear con el objetivo de captar las direcciones de correo de
usuarios a los que posteriormente se les enviarán mensajes con virus,
phishing o todo tipo de spam.
 Utilice algún tipo de software Anti-Spam para proteger su cuenta de correo
de mensajes no deseados.
Plan de contingencia, seguros, procedimientos de recuperación de desastres.
El plan de recuperación es importando debido a que si en un hipotético caso
ocurriese en desastre en la organización teniendo una póliza, la misma no nos
cubriría el total de la perdida, por lo que es indispensable tener un plan de
recuperación en la organización tanto para prevenir daños como para combatir
cuando estos ocurran lo cual nos ayudará a no perder los clientes en un posible
caso, nos proporcionará fondos por adelantado para mantener funcionando el
negocio hasta que se haya recuperado.

7. Según la NIST SP 800-34 [PDF], Contingency Planning for Information
Technology Systems (Planificación de contingencias para los sistemas de
tecnologías de la información), del National Institute for Standards and Technology
(NIST, o Instituto Nacional de Estándares y Tecnología) de los Estados Unidos, lo
que viene a continuación resume la estructura ideal de un plan de recuperación de
desastres TI.
1. Elaboración de la declaración de políticas para el plan de contingencia. Contar
con unas directivas formales proporciona la autoridad y orientación necesaria para
elaborar un plan de contingencia efectivo.
2. Realización del análisis de impacto sobre el negocio (BIA). El análisis del impacto
sobre el negocio ayuda a identificar y priorizar los sistemas y componentes críticos
de TI.
3. Identificación de controles preventivos. Medidas que reducen los efectos de las
disrupciones al sistema y pueden aumentar su disponibilidad y reducir los costos de
contingencia del ciclo de vida.
4. Desarrollo de estrategias de recuperación. Tener una estrategia integral garantiza
que el sistema se recuperará de manera rápida y efectiva después de una
disrupción.
5. Desarrollo de un plan de contingencia TI. El plan de contingencia debería
contener orientaciones y procedimientos detallados para la restauración del sistema
dañado.
6. Prueba, formación y ejecución del plan. La prueba del plan identifica lagunas en
la planificación, mientras que la formación prepara al personal de recuperación para
la activación del plan; ambas actividades mejoran la eficacia del plan y la
preparación general de la entidad.
7. Mantenimiento del plan. El plan debería ser un documento vivo que se actualiza
regularmente para mantenerlo al día con mejoras al sistema.

8. Técnicas y herramientas relacionadas con la seguridad física y del personal
Suele ocurrir en algunos casos que la empresa está muy protegida contra
ataques externos pero la seguridad interna de la misma es ineficiente si no se ha
previsto como combatir un desastre natural o un problema que atente contra la
seguridad del personal que labora en ella.
Las principales amenazas que se prevén en la seguridad física son:
1. Desastres naturales, incendios accidentales tormentas e inundaciones.
2. Amenazas ocasionadas por el hombre.
3. Disturbios, sabotajes internos y externos deliberados.
Por lo que las técnicas y herramientas para la seguridad física del personal surgen
generalmente de prevención y detección destinadas a proteger físicamente
cualquier recurso del sistema; estos recursos son desde un simple teclado hasta
una cinta de backup con toda la información que hay en el sistema, pasando por la
propia CPU de la máquina, hasta el personal.
Dependiendo del entorno y los sistemas a proteger esta seguridad será
necesitada, y aunque siempre no siempre sea así se debe tener en cuenta.
Técnicas y herramientas relacionadas con la seguridad de los datos y
software de aplicación
La protección de los datos puede tener varios enfoques respecto a ciertas
características: la confidencialidad, disponibilidad e integridad. Puede haber datos
críticos en cuanto a su confidencialidad, como datos médicos u otros especialmente
sensibles. Por lo que es importante verificar que existan los planes políticas y
procedimientos relativos a la seguridad dentro de la organización la confirmación de
que exista un análisis costo-beneficio de los controles y procedimientos antes de
ser implantados, comprobar que los planes y políticas de seguridad y de
recuperación sean difundidos y conocidos por la alta dirección y asegurar la

9. disponibilidad y continuidad del equipo de cómputo el tiempo que requieran los
usuarios para el procesamiento oportuno de sus aplicaciones. A continuación se
mencionan algunas de las técnicas y herramientas utilizadas para ello:
Técnicas:
 Documentación
 Programación estructurada
 Modulación de datos y procesos
 Entrevistas
Herramientas:
 Cuestionarios.
 Entrevistas.
 Checklist.
 Trazas.
 Software de interrogación.
Una vez realizado este trabajo se puede determinar cuán importante es tener
políticas de seguridad acordes a la necesidad de cada organización sin olvidarse
del otro aspecto. La seguridad implica bienestar y resguardo tanto para la empresa
como para los clientes al proteger su información, lo cual se puede traducir en
confianza, siento entonces un ente competitivo ante el mercado.
Es importante contar con un plan de acción ante una violación de seguridad ya
que esto pude implicar salir con el menor daño posible o sin perdida alguna, para
ello es de vital importancia que la organización capacite al personal tanto para
prevenir como para cuando ocurra.

10. Referencias bibliográficas
Rosario Ruiz (junio de 2011). Aplicaciones de la seguridad informática. Recuperado
de http://rosario-ruiz.blogspot.com/2011/06/generalidades-de-la-seguridad-
area.html
PRIMERA PAGINA BOLETIN RSS. BmcsoftwareI iso20000 . (Diciembre 2010).
Seguridad lógica y confidencial. Disponible en: http://muziek-film-
kunst.blogspot.com/2011/01/seguridad-logica-y-confidencial.html
SEGUNDA PÁGINA WordPress (junio, 2014). Seguridad lógica, confidencial y
personal. Disponible en
https://auditoriainformaticaunivia.wordpress.com/2014/06/16/seguridad-logica-
confidencial-y-personal/
BOLETIN RSS. BmcsoftwareI iso20000 . [En línea] 2010. [Fecha de acceso 10 de
diciembre de 2010]. URL disponible en: http://muziek-film-
kunst.blogspot.com/2011/01/plan-de-contingencia-seguros.html
Recovery Labs (s/f). SOBRE SEGURIDAD INFORMÁTICA Recuperdo de
http://www.delitosinformaticos.info/consejos/sobre_seguridad_informatica.html
Paul Kirvan (Marzo 2013) Plan para la Recuperación de Desastres de TI. Recuperdo
de https://seguinfo.wordpress.com/2013/03/25/plan-para-la-recuperacion-de-
desastres-de-ti/

11. Angiie Sosa Ross (s/f). Técnicas y herramientas relacionadas con la seguridad física
y delpersonal Seguridad física. Recuperado de
https://es.scribd.com/document/90681405/4-9-Tecnicas-y-herramientas-
relacionadas-con-la-seguridad-fisica-y-del-personal