Controles para la seguridad EN LA Operación DE LOS SISTEMAS COMPUTACIONALES
Carácterísticas de la Investigación
Crítica:
Es indispensable para la operación de la empresa.
Valiosa:
Es un activo de la empresa y muy valioso.
Sensible:
Debe de ser conocida por las personas autorizadas
Seleccione el concepto según corresponda
Verificar:
Consiste en monitorear las actividades y hacer auditorías internas
Hacer:
Implementar plan de riesgos y controles
Planificar:
Se crean políticas de seguridad, se hace análisis de riesgos, selección de controles
Actuar:
Ejecutar tareas de mantenimiento,
Un sistema de gestión de seguridad de la información (SGSI) debe cumplir cuatro niveles
Planificar, Hacer, Revisar, Actuar
Seleccione el concepto según corresponda
Seguridad Informática:
área de la informática que se enfoca en la protección de la infraestructura computacional
Confidencialidad:
Hace referencia a la necesidad de ocultar o mantener en secreto determinado información o recursos
Integridad:
Hace referencia a la fidelidad de la información
Disponibilidad:
hace referencia a que la información del sistema debe permanecer accesible a elementos autorizados
Formula del análisis de riesgos
Probabilidad de amenaza–
Magnitud cero
Ámbito de análisis de riesgos
Ámbito tecnológico, ámbito humano, ámbito de procesos, ámbito físico
Acciones a seguir en un análisis de riesgo:
Controlar el riesgo, eliminar el riesgo, compartir riesgo, aceptar riesgo
El riesgo y Actuar y control es:
Riesgo:
Es el impacto negativo, en el ejercicio de la vulnerabilidad, considerando la probabilidad y la importancia de ocurrencia.
Actuar:
Ejecutar tareas de mantenimiento, propuesta de mejoras
Control:
Permite asegurar que solo los usuarios autorizados tengan acceso a la información
Los mecanismos básicos de seguridad son:
Autenticación, autorización, administración, auditoria y registro, mantenimiento de la integridad
Autenticación:
Es la verificación de la identidad del usuario, cuando entra en el sistema o red, o accede a una base de datos.
Autorización:
Es lo que se permite cuando se ha otorgado el acceso.
Administración:
Minimizar errores, fraudes y perdidas en los sistemas de información.
Auditoria y registro:
Es la remisión y análisis de la secuencia de eventos.
Mantenimiento:
Corregir defectos técnicos tanto de hardware o software
Seguridad de la información (SGSI)
Toda organización debe plantearse un sistema de gestión de seguridad de información.- Su objetivo es proteger la información para ello se debe identificar los activos de la información que debe ser protegidos y en qué grado.
SGSI (sistema de gestión de la seguridad de la información) siempre debe cumplir con cuatro niveles para la seguridad de la información aplicando el modelo PDCA.
Planificar, hacer Revisar,actuar
Análisis de Riesgo Informático
Es un proceso que comprende la identificación de activos informáticos, sus vulnerabilidades y amenazas a los que se encuentran expuestos así como su probabilidad de ocurrencia y el impacto de las mismas
Acciones a seguir en un análisis de riesgo
Controlar el riesgo:
Fortalecer los controles existentes.
Eliminar el riesgo
Eliminar el activo relacionado y con ella se elimina el riesgo.
Compartir el riesgo:
Mediante acuerdos se traspasa parte del riesgo a un tercero
Aceptar el riesgo:
Determina el nivel de riesgo si es adecuado se lo acepta
Elementos relacionado el análisis de riesgo
Activo:
Es un objeto o recurso de valor de una empresa.
Amenaza:
Evento que causa un incidente de seguridad en una empresa.
Vulnerabilidad:
Debilidad que puede ser explotada por una o varias amenazas.
Riesgo
Situación, que ocurre en un sitio concreto, con consecuencia negativas o positivas que pueden afectar el cumplimiento de los objetivos
Análisis:
Revisar un detalle cada elementos que lo forman.
Control
Mecanismo de seguridad de prevención y corrección para disminuir las vulnerabilidades
Tipos de amenazas
Amenazas por el origen
-Amenazas internas:Son aquellas que se originan dentro de la red.
-Amenazas externas: Son aquellas que se originan fuera de la red
Amenazas por el efecto
Estos pueden ser: Robo de información, destrucción de información, suplantación de identidad, estafas, robos de dinero.
Amenaza por el medio utilizado:
-Estos pueden ser: Malware, phishing, ingeniería social, denegación de servicio, spoofing.
Ejemplos de Vulnerabilidades
•la falta de mantenimiento en las instalaciones.
• La falta de capacitación al personal.
• La falta de manuales de procedimientos.
• La inexistencia de respaldos de información y equipamiento redundante.
• La falta de políticas de acceso a los sistemas informáticos.
• La divulgación o utilización de contraseñas inseguras.
• La transmisión de información por medios inseguros.
• Los errores de programación en las aplicaciones.
• La falta de mobiliario de oficina con llave.
• El acceso irrestricto al lugar de trabajo.
• La eliminación insegura de la información.
Ejemplos de amenazas
•De origen natural:
Inundaciones, terremotos, tornados, incendios, tormentas
eléctricas y otros desastres naturales.
• De origen humano:
Eventos que son permitidos o causados por seres humanos, tales como actos involuntario (errores de operarios), errores de programación, ausencia de personal
técnica responsable.
• Acciones intencionales:
Comisión de robo o fraude, el acceso no autorizado a la información, la suplantación de identidad, etc.
• Del entorno:
Interrupciones prolongadas de servicios eléctricos o de comunicaciones, fallas por obsolescencia o mal funcionamiento de equipamiento, etc.