Exposición Brindada a estudiantes del Instituto Superior Tecnológico UNITEK de la ciudad de Ilo en el 2014, Resaltando que la Información es un activo valioso para las empresas...

1. Ponente:
Ing. Walter Edison Alanya Flores
• Presidente del Capitulo de Sistemas - Colegio de Ingenieros del Perú deTacna
• Jefe de la Unidad de Informática de la Municipalidad Distrital de Ite
• Docente Contratado de : UPT, ITEL-UNJBG , EXETEC-Moquegua
• Consultor deTI

2.  INTRODUCCIÓN.
 ¿QUÉ ES LA SEGURIDAD INFORMÁTICA?.
 SEGURIDAD DE INFORMACION Y PROTECCION DE DATOS.
 ¿QUÈ ABARCA?
 EL OBJETIVO DE LA SEGURIDAD INFORMÁTICA
 PRINCIPIOS.
 TIPOS DE SEGURIDAD: SEGURIDAD FISICA Y LOGICA.
 LA SEGURIDAD INFORMÁTICA ESTÁ CONCEBIDA PARA PROTEGER LOS
ACTIVOS INFORMÁTICOS.
 GESTION DE RIESGO EN LA SEGURIDAD INFORMATICA.
 ¿QUÉ ES UN AMENAZA?
 TIPOS DE AMENAZA
 LAS AMENAZAS PUEDEN SER CAUSADAS POR.
 ¿QUÉ ES LA VULNERABILIDAD?
 LAS VULNERABILIDADE SE PUEDEN AGRUPAR EN GRUPOS
 INGENIERÍA SOCIAL
 TÉCNICAS PARA ASEGURAR EL SISTEMA
 ALGUNAS AFIRMACIONES ERRÓNEAS COMUNES ACERCA DE LA SEGURIDAD.

3.  Nuevas tecnologías han revolucionado la forma de proveer servicios y hacer
negocios pero también han introducido nuevos riesgos.
 Es necesario reconocer y asumir que la seguridad total no existe.
 Incidentes de seguridad informática son un dato de la realidad y es necesario
desarrollar mecanismos para gestionarlos.
 La complejidad para realizar un ataque sofisticado ha disminuido
significativamente y la motivación se ha diversificado e incrementado.
 Velocidad con la que las empresas y organizaciones puedan reconocer, analizar
y responder a un incidente limitará los daños y disminuirá los costos de
recuperación.

5. “El único sistema seguro es aquel que está apagado y
desconectado, enterrado en un refugio de concreto,
rodeado por gas venenoso y custodiado por guardianes
bien pagados y muy bien armados. Aun así yo no
apostaría mi vida por él”.
Por: GENE SPAFFORD
Eugene Spafford Howard: (nacido en 1956)
Conocido comúnmente como Spaf, Es un profesor de ciencias de la
computación en la Universidad de Purdue - USA y un líder en seguridad
informática de expertos.
Elegido en el 2013 miembro del Salón de la Fama de Ciberseguridad

6. SEGURIDAD INFORMÁTICA NO ES SOLAMENTE
IMPLEMENTAR USUARIOSY CONTRASEÑAS
La seguridad es… SERVICIO
AntiVirus
AntiPhishing
Firewalls
Control de Accesos
AntiSpam
Sistemas de detección de Intrusos
Análisis de Vulnerabilidades
PKI
Debe implementarse utilizando… Criterio de Negocio
Concientización de usuarios Encripción
Análisis de RiesgoEvaluación de Software
Análisis Forense ABM de Usuarios
Herramientas Forenses
Doble Factor de Autenticación
Desarrollo de Políticas Normas y Estándares
Análisis de Eventos
Plan de Continuidad de Negocio Gestión de Incidentes
Controles
Permisos mínimos necesarios
Marcos Normativos
Correlación de eventos
Test de Penetración

7. La seguridad es más que un
producto que podamos comprar, es
un proceso, son hábitos, es cultura,
es monitoreo y mejora continua.....

8.  Es la “cualidad de seguro”. Buscamos ahora seguro y
obtenemos “libre y exento de todo peligro, daño o riesgo”.
 A partir de estas definiciones no podríamos aceptar que
seguridad informática es “la cualidad de un sistema informático
exento de peligro”, por lo que habrá que buscar una definición
más apropiada.

9.  Un conjunto de métodos y herramientas destinados a proteger la información
y por ende los sistemas informáticos ante cualquier amenaza, un proceso en
el cual participan además personas. Concientizarlas de su importancia en el
proceso será algo crítico.
 La seguridad informática es el área de la informática que se enfoca en la
protección de la infraestructura computacional y todo lo relacionado con esta
(incluyendo la información contenida).

11.  En la Seguridad Informática se debe distinguir 02 propósitos de protección, la
Seguridad de la Información y la Protección de Datos.
El objetivo de la protección son los datos mismos y
trata de evitar su perdida y modificación No-
autorizado. La protección debe garantizar en primer
lugar la confidencialidad, integridad,
disponibilidad y la autenticidad de los datos.
El objetivo de la protección no son los datos en si
mismo, sino el contenido de la información sobre
personas, para evitar el abuso de esta;
implementación de medidas de protección, por parte
de la institución o persona que maneja los datos

13.  La seguridad informática comprende software, bases de datos,
metadatos, archivos y todo lo que la organización valore
(activo) y signifique un riesgo si ésta llega a manos de otras
personas.
 Este tipo de información se conoce como información
privilegiada o confidencial.

14.  Es mantener la Integridad, Disponibilidad, Privacidad, Control y
Autenticidad de la información manejada por computadora.
OBJETIVOS ESPEFICOS:
• Capacidad para localizar los principales elementos
críticos de la red de una empresa y evaluar los
principales riesgos de seguridad.
• Capacidad para identificar los riesgos de seguridad de un
determinado flujo de información en un entorno.
• Conocer los mecanismos y tecnologías básicas
relacionados con la identidad digital y la protección de
datos de carácter personal.
• Capacidad para saber decidir las medidas de seguridad
más apropiadas para aplicar ante un determinado
escenario de riesgos.

15. INTEGRIDAD:
Garantizar que los datos sean los
que se supone que son
CONFIDENCIALIDAD:
Asegurar que sólo los individuos
autorizados tengan acceso a los
recursos que se intercambian
DISPONIBILIDAD:
Garantizar el correcto
funcionamiento de los sistemas
de información
AUTENTICACIÓN:
Asegurar que sólo los individuos
autorizados tengan acceso a los
recursos
EVITAR EL RECHAZO:
Garantizar de que no pueda
negar una operación realizada

17.  Consiste en la aplicación de barreras físicas y procedimientos de control,
como medidas de prevención para que no le ocurra nada a los equipos de
cómputo, la seguridad física es uno de los aspectos más olvidados a la
hora del diseño de un sistema informático.
 Por Ejemplo: Incendios, inundaciones, terremotos, instalación eléctrica, entre otros.

18.  SEGURIDAD : Nuestro sistema no sólo puede verse afectado de manera
física, si no también contra la Información almacenada, El activo más
importante que se posee es la información, y por lo tanto deben existir
técnicas, más allá de la seguridad física, que la aseguren.
 Por Ejemplo: Control de acceso, autenticación, encriptación, firewalls, antivirus.

20.  Entre los que se encuentran los siguientes:
 La Infraestructura Computacional: Debemos velar que los
equipos funcionen adecuadamente y anticiparse en caso
de fallas, robos, incendios, boicot, desastres naturales,
fallas en el suministro eléctrico y cualquier otro factor
que atente contra la infraestructura informática.
 Los Usuarios: Debe protegerse el sistema en general para
que el uso por parte de ellos no pueda poner en
entredicho la seguridad de la información y tampoco que
la información que manejan o almacenan sea vulnerable.
 La Información: Es el principal activo. Utiliza y reside en la
infraestructura computacional y es utilizada por los
usuarios.

21. DATA CENTER

23.  La Gestión de Riesgo es un método para determinar, analizar, valorar y clasificar el
riesgo, para posteriormente implementar mecanismos que permitan controlarlo.
 En su forma general contiene cuatro fases:
Determina los componentes de un
sistema que requiere protección, sus
vulnerabilidades que lo debilitan y las
amenazas que lo ponen en peligro,
con el resultado de revelar su grado
de riesgo.
Analiza el funcionamiento, la
efectividad y el cumplimiento de las
medidas, para determinar y ajustar
las medidas deficientes y sanciona el
incumplimiento.
Determina si los riesgos
encontrados y los riesgos
restantes son aceptables.
Define e implementa las medidas
de protección. Además
sensibiliza y capacita los usuarios
conforme a las medidas.

24. Implementar medidas de
protección significa invertir en
recursos como tiempo y dinero.

25. Implementar procesos y medidas de
protección, para garantizar la seguridad, no es
una cosa que se hace una vez y después se
olvide, sino requiere un control continuo de
cumplimiento, funcionalidad y una adaptación
periódica, de las medidas de protección
implementadas, al entorno cambiante.

26. El error más común que se comete es que
no se implementa medidas de protección,
hasta que después del desastre, y las
escusas o razones del porque no se
hizo/hace nada al respecto abundan.

27.  Es la posibilidad de ocurrencia de cualquier tipo de evento o
acción que puede producir un daño (material o inmaterial)
sobre los elementos de un sistema, en el caso de la Seguridad
Informática, los Elementos de Información.

28. Amenazas por el origen
• Amenazas internas
• Amenazas externas
Amenazas por el efecto
• Robo de información.
• Destrucción de información.
• Anulación del funcionamiento de los sistemas o
efectos que tiendan a ello.
• Suplantación de la identidad, publicidad de
datos personales o confidenciales, cambio de
información, venta de datos personales, etc.
• Robo de dinero, estafas,...
Amenazas por el medio utilizado
• Virus informático.
• Phishing.
• Ingeniería social
• Denegación de servicio
• Spoofing: de DNS, de IP, de DHCP, etc
TIPOS DE AMENAZA

29. Las amenazas informáticas que viene en el
futuro ya no son con la inclusión de
troyanos en los sistemas o software espía,
sino con el hecho de que los ataques se han
profesionalizado y manipulan el significado
del contenido virtual.

30.  Mantener las soluciones activadas y actualizadas.
 Evitar realizar operaciones comerciales en computadoras de uso
público o en redes abiertas.
 Verificar los archivos adjuntos de mensajes sospechosos y evitar su
descarga en caso de duda.

31.  Usuarios: Causa del mayor problema ligado a la seguridad
de un sistema informático.
 Programas maliciosos: Programas destinados a perjudicar o
a hacer un uso ilícito de los recursos del sistema, como: virus
informático, spyware y malware.
 Errores de programación: La mayoría de los errores de
programación que se pueden considerar como una amenaza
informática es por su condición de poder ser usados
como exploits por los crackers, aunque se dan casos donde
el mal desarrollo es, en sí mismo, una amenaza.
 Intrusos: persona que consiguen acceder a los datos o
programas a los cuales no están autorizados (crackers,
defacers, hackers, script kiddie o script boy, viruxers, etc.).

32.  Un siniestro (robo, incendio, inundación): una
mala manipulación o una mala intención derivan a
la pérdida del material o de los archivos.
 Personal técnico interno: técnicos de sistemas,
administradores de bases de datos, técnicos de
desarrollo, etc. Los motivos que se encuentran
entre los habituales son: disputas internas,
problemas laborales, despidos, fines lucrativos,
espionaje, etc.
 Fallos electrónicos o lógicos de los sistemas
informáticos en general.
 Catástrofe naturales: rayos, terremotos,
inundaciones, rayos cósmicos, etc.

33.  Es la capacidad, las condiciones y características del sistema mismo
(incluyendo la entidad que lo maneja), que lo hace susceptible a amenazas,
con el resultado de sufrir algún daño. En otras palabras, es la capacitad y
posibilidad de un sistema de responder o reaccionar a una amenaza o de
recuperarse de un daño.

34. Las vulnerabilidades están en directa
interrelación con las amenazas porque si
no existe una amenaza tampoco existe la
vulnerabilidad o no tiene importancia,
porque no se puede ocasionar un daño.

35.  Dependiendo del contexto de la institución:
 Ambiental / Física: Desastres Naturales, incendios accidentales
tormentas e inundaciones, Ubicación,CapacidadTécnica, Materiales…
 Económica: Escasez y manejo de recursos.
 Social – Educativo: Relaciones, Comportamientos, Métodos, Conductas…
 Institucional / Política: Procesos, Organización, Burocracia, Corrupción,
Autonomía,…

36.  Es el arte de manipular a las personas, con el fin de obtener
información que revele todo lo necesario para penetrar la
seguridad de algún sistema.
 Esta técnica es una de las más usadas a la hora de averiguar
nombres de usuario y contraseñas.

37. La Seguridad se ha
convertido en un área
crítica de los Sistemas de
Información

38. El activo más importante que se posee es la información y, por
lo tanto, deben existir técnicas que la aseguren, más allá de
la seguridad física que se establezca sobre los equipos en los
cuales se almacena.

39. Cada tipo de ataque y cada sistema
requiere de un medio de protección
o más , en la mayoría de los casos es
una combinación de varios de ellos
A continuación se enumeran una serie de medidas que
se consideran básicas:

51.  Mi sistema no es importante para un hacker.
 Estoy protegido pues no abro archivos que no
conozco.
 Como tengo antivirus estoy protegido.
 Como dispongo de un firewall no me contagio.
 Tengo un servidor web cuyo sistema operativo es
un Unix actualizado a la fecha y por tanto seguro

52.  LEY 27309 que incorpora al Código Penal del Perú los Delitos Informáticos
(Promulgada el 15 de Julio del año 2000).
 Ley N° 27269 Ley de Firmas y Certificados Digitales del Perú.
 LEY Nº 27310 - Modifica el artículo 11° de la ley N° 27269.
 LEY Nº 28493 - Ley que regula el uso del correo electrónico no solicitado
(SPAM).
 LEY Nº 27291 - Modifica el código civil permitiendo la utilización de los
medios electrónicos para la comunicación de la manifestación de voluntad y
la utilización de la firma electrónica.
 LEY Nº 27419 - Ley sobre notificación por correo electrónico
 LEY Nº 26612 - Mediante el cual se regula el uso de tecnologías avanzadas
en materia de archivo de documentos e información
 Procedimientos Legales - Los Delitos contra el honor (difamación, calumnia e
injuria)
 NTP 1799 Buenas Practicas de Seguridad de la Información.
 Resolución Ministerial 129-2012-PCM: Implementación Incremental de NTP-
ISO/IEC 27001:2008

53. http://www.ongei.gob.pe/

54. http://www.isaca.org.pe/

55. Ponente:
Ing. Walter Edison Alanya Flores
Email:
walanya_flores@hotmail.com
Dedicado a miTío Jesús Salas