Seguridad Física y Seguridad Física y Seguridad LógicaSeguridad Lógica

Seguridad Física y Seguridad Física y Seguridad LógicaSeguridad Lógica

César Farfán Masíasfamas8@hotmail.comhttp://cesarfamas.blogspot.com

La Seguridad depende de La Seguridad depende de procesosprocesos

¿Quién necesita accesos a mis datos / servicios?¿Quién necesita accesos a mis datos / servicios? ¿Cómo reconoceré a esas personas?¿Cómo reconoceré a esas personas? ¿ Que datos / servicios necesitarán? ¿ Que datos / servicios necesitarán? ¿ Cuanta seguridad realmente necesito? ¿ Cuanta seguridad realmente necesito? ¿ Que tan seguro es mi proceso existente?¿ Que tan seguro es mi proceso existente? ¿Cómo puedo agrupar gente y definir roles para ¿Cómo puedo agrupar gente y definir roles para

facilitar la administración?facilitar la administración?

Preguntas frecuentesPreguntas frecuentes

El estudio de la seguridad informática podríamos El estudio de la seguridad informática podríamos plantearlo desde dos enfoques distintos aunque plantearlo desde dos enfoques distintos aunque complementarios:complementarios:– La Seguridad Física: puede asociarse a la La Seguridad Física: puede asociarse a la

protección del sistema ante las amenazas protección del sistema ante las amenazas físicas, incendios, inundaciones, edificios, físicas, incendios, inundaciones, edificios, cables, control de accesos de personas, etc. cables, control de accesos de personas, etc.

– La Seguridad Lógica: protección de la La Seguridad Lógica: protección de la información en su propio medio, mediante el información en su propio medio, mediante el enmascaramiento de la misma usando técnicas enmascaramiento de la misma usando técnicas de criptografía. Este enfoque de las aplicaciones de criptografía. Este enfoque de las aplicaciones criptográficas, es el que será tratado a lo largo criptográficas, es el que será tratado a lo largo de los capítulos de este libro.de los capítulos de este libro.

Seguridad Física y Seguridad Seguridad Física y Seguridad LógicaLógica

Seguridad Física y Seguridad Seguridad Física y Seguridad LógicaLógica

La gestión de la seguridad está en medio de la dos: los planes de contingencia, políticas de seguridad, normativas, etc. Aunque muy brevemente, este tema será tratado en un próximo capítulo.

No obstante, tenga en cuenta que esta clasificación en la práctica no es tan rigurosa. En resumidas cuentas, podríamos decir que cada vez está menos claro dónde comienza una y dónde termina la otra.

Veremos a continuación los tres principios Veremos a continuación los tres principios básicos de la seguridad informática: el del básicos de la seguridad informática: el del acceso más fácil, el de la caducidad del acceso más fácil, el de la caducidad del secreto y el de la eficiencia de las medidas secreto y el de la eficiencia de las medidas tomadas.tomadas.

Principios de la seguridad Principios de la seguridad informáticainformática

• Tras los acontecimientos del 11/09/2001 en Nueva York, los del 11/03/2004 en Madrid y los del 07/07/2005 en Londres, que echaron por tierra todos los planes de contingencia, incluso los más paranoicos, comenzamos a tener muy en cuenta las debilidades de los sistemas y valorar en su justa medida el precio de la seguridad.

Es necesario aprender de los errores

1er principio de la seguridad 1er principio de la seguridad informáticainformática

sistema utilizará el artilugio que haga más fácil su acceso y posterior ataque.Existirá una diversidad de frentes desde los que puede producirse un ataque, tanto internos como externos. Esto dificultará el análisis de riesgo ya que el delincuente aplicará la filosofía del ataque hacia el punto más débil: el equipo o las personas.

PREGUNTA:¿Cuáles son los puntos débiles

de un sistema informático?

2º principio de la seguridad 2º principio de la seguridad informáticainformática

P2: los datos confidenciales deben protegerse P2: los datos confidenciales deben protegerse sólo hasta que ese secreto pierda su valor sólo hasta que ese secreto pierda su valor como tal.como tal.

Se habla, por tanto, de la caducidad del Se habla, por tanto, de la caducidad del sistema de protección: tiempo en el que debe sistema de protección: tiempo en el que debe mantenerse la confidencialidad o secreto del mantenerse la confidencialidad o secreto del dato.dato.

Esto nos llevará a la fortaleza del sistema de Esto nos llevará a la fortaleza del sistema de cifra.cifra.

3er principio de la seguridad 3er principio de la seguridad informáticainformática

P3: las medidas de control se implementan para que P3: las medidas de control se implementan para que tengan un comportamiento efectivo, eficiente, sean fáciles tengan un comportamiento efectivo, eficiente, sean fáciles de usar y apropiadas al medio.de usar y apropiadas al medio.– Efectivo: que funcionen en el momento oportuno.Efectivo: que funcionen en el momento oportuno.– Eficiente: que optimicen los recursos del sistema.Eficiente: que optimicen los recursos del sistema.– Apropiadas: que pasen desapercibidas para el usuario.Apropiadas: que pasen desapercibidas para el usuario.

Y lo más importante: ningún sistema de Y lo más importante: ningún sistema de control resulta efectivo hasta que control resulta efectivo hasta que debemos utilizarlo al surgir la necesidad debemos utilizarlo al surgir la necesidad de aplicarlo. Junto con la concienciación de aplicarlo. Junto con la concienciación de los usuarios, éste será uno de los de los usuarios, éste será uno de los grandes problemas de la Gestión de la grandes problemas de la Gestión de la Seguridad Informática.Seguridad Informática.

2º principio de la seguridad 2º principio de la seguridad informáticainformática

ii

P3: las medidas de control se implementan para que P3: las medidas de control se implementan para que tengan un comportamiento efectivo, eficiente, sean tengan un comportamiento efectivo, eficiente, sean fáciles de usar y apropiadas al medio.fáciles de usar y apropiadas al medio.– Efectivo: que funcionen en el momento oportuno.Efectivo: que funcionen en el momento oportuno.– Eficiente: que optimicen los recursos del sistema.Eficiente: que optimicen los recursos del sistema.– Apropiadas: que pasen desapercibidas para el Apropiadas: que pasen desapercibidas para el

usuario.usuario.

Y lo más importante: ningún sistema Y lo más importante: ningún sistema de control resulta efectivo hasta que de control resulta efectivo hasta que debemos utilizarlo al surgir la debemos utilizarlo al surgir la necesidad de aplicarlo. Junto con la necesidad de aplicarlo. Junto con la concienciación de los usuarios, éste concienciación de los usuarios, éste será uno de los grandes problemas de será uno de los grandes problemas de la Gestión de la Seguridad la Gestión de la Seguridad Informática.Informática.

Seguridad

Informática

Medidas de control

Amenazas del sistemaAmenazas del sistema Las amenazas afectan Las amenazas afectan

principalmente al principalmente al hardware, al software hardware, al software y a los datos. Éstas se y a los datos. Éstas se deben a fenómenos deben a fenómenos de:de:– InterrupciónInterrupción– InterceptaciónInterceptación– ModificaciónModificación– GeneraciónGeneración

Interrupción Interceptación

Flujo Normal

Modificación Generación

Amenazas de interrupciónAmenazas de interrupción

Interrupción

Intruso

Se daña, pierde o deja de funcionar un Se daña, pierde o deja de funcionar un punto del sistema.punto del sistema.

Su detección es inmediata.Su detección es inmediata.

Ejemplos: Destrucción del hardware.Borrado de programas, datos.Fallos en el sistema operativo.

Amenazas más característicasAmenazas más características Hardware: Hardware:

– Agua, fuego, electricidad, polvo, cigarrillos, comida.Agua, fuego, electricidad, polvo, cigarrillos, comida. Software:Software:

– Además de algunos típicos del hardware, borrados Además de algunos típicos del hardware, borrados accidentales o intencionados, estática, fallos de accidentales o intencionados, estática, fallos de líneas de programa, bombas lógicas, robo, copias líneas de programa, bombas lógicas, robo, copias ilegales.ilegales.

Datos:Datos:– Tiene los mismos puntos débiles que el software. Tiene los mismos puntos débiles que el software.

Pero hay dos problemas añadidos: no tienen valor Pero hay dos problemas añadidos: no tienen valor intrínseco pero sí su interpretación y, por otra parte, intrínseco pero sí su interpretación y, por otra parte, habrá datos de carácter personal y privado que habrá datos de carácter personal y privado que podrían convertirse en datos de carácter público: hay podrían convertirse en datos de carácter público: hay leyes que lo protegen.leyes que lo protegen.

Debilidades del sistema Debilidades del sistema informático (1)informático (1)

HARDWARE - SOFTWARE - DATOSHARDWARE - SOFTWARE - DATOS

MEMORIA - USUARIOSMEMORIA - USUARIOS

Los tres primeros puntos conforman el llamado Los tres primeros puntos conforman el llamado Triángulo de Debilidades del Sistema:Triángulo de Debilidades del Sistema:– Hardware: pueden producirse errores intermitentes, Hardware: pueden producirse errores intermitentes,

conexiones sueltas, desconexión de tarjetas, etc.conexiones sueltas, desconexión de tarjetas, etc.– Software: puede producirse la sustracción de Software: puede producirse la sustracción de

programas, ejecución errónea, modificación, defectos programas, ejecución errónea, modificación, defectos en llamadas al sistema, etc.en llamadas al sistema, etc.

– Datos: puede producirse la alteración de contenidos, Datos: puede producirse la alteración de contenidos, introducción de datos falsos, manipulación introducción de datos falsos, manipulación fraudulenta de datos, etc.fraudulenta de datos, etc.

Debilidades del sistema Debilidades del sistema informático (2)informático (2)

– Memoria: puede producirse la introducción de un Memoria: puede producirse la introducción de un virus, mal uso de la gestión de memoria, bloqueo virus, mal uso de la gestión de memoria, bloqueo del sistema, etc.del sistema, etc.

– Usuarios: puede producirse la suplantación de Usuarios: puede producirse la suplantación de identidad, el acceso no autorizado, visualización de identidad, el acceso no autorizado, visualización de datos confidenciales, etc.datos confidenciales, etc.

Es muy difícil diseñar un plan que contemple minimizar Es muy difícil diseñar un plan que contemple minimizar de forma eficiente todas estas amenazas, y que además de forma eficiente todas estas amenazas, y que además se entienda y pase desapercibido por los usuarios.se entienda y pase desapercibido por los usuarios.

Debido al principio de acceso más fácil, el responsable Debido al principio de acceso más fácil, el responsable de seguridad informática no se deberá descuidar de seguridad informática no se deberá descuidar ninguno de los cinco elementos susceptibles de ataque ninguno de los cinco elementos susceptibles de ataque al sistema.al sistema.

El concepto de datos segurosEl concepto de datos segurosSi se cumplen los principios vistos anteriormente, Si se cumplen los principios vistos anteriormente, diremos en general que los datos están protegidos diremos en general que los datos están protegidos y seguros.y seguros.

Confidencialidad Integridad Disponibilidad

Datos Seguros

DATOS DATOS

DATOS

DATOS

Esto se entiende en el siguiente sentido: los datos sólo pueden ser conocidos por aquellos usuarios que tienen privilegios sobre ellos, sólo usuarios autorizados los podrán crear o bien modificar, y tales datos deberán estar siempre disponibles.

Medio de Transmisor Transmisión Receptor

M C

Cifrador Mensaje cifrado Descifrador

Interceptación del mensajepor un intruso

T RMTC M

Sea cual sea el medio de transmisión o almacenamiento (enlace, red telefónica, red de datos, disco magnético, disco óptico, etc.), éste será siempre y por definición un medio inseguro. Por lo tanto, habrá que adaptarse a este medio usando el cifrado. Tal vez esto deje de ser cierto en los futuros sistemas con criptografía cuántica.

Usurpación de identidadpor un intruso

Sistema de cifraSistema de cifra

Protección lógica y física de los Protección lógica y física de los datosdatos

Los datos deben protegerse aplicando:Los datos deben protegerse aplicando: Seguridad LógicaSeguridad Lógica

– Uso de herramientas de protección de la información en Uso de herramientas de protección de la información en el mismo medio en el que se genera o transmite.el mismo medio en el que se genera o transmite.

– Protocolos de autenticación entre cliente y servidor.Protocolos de autenticación entre cliente y servidor.– Aplicación de herramientas de seguridad en redes.Aplicación de herramientas de seguridad en redes.– Se incluyen también medidas de prevención de riesgos y Se incluyen también medidas de prevención de riesgos y

la instauración de políticas de seguridad, de planes de la instauración de políticas de seguridad, de planes de contingencia, de recuperación ante desastres, aplicación contingencia, de recuperación ante desastres, aplicación de normativas, la legislación vigente, etc.de normativas, la legislación vigente, etc.

Seguridad FísicaSeguridad Física– Procedimientos de protección física del sistema: acceso Procedimientos de protección física del sistema: acceso

personas, incendio, agua, terremotos, etc.personas, incendio, agua, terremotos, etc.

La seguridad física en entornos de PCsLa seguridad física en entornos de PCs

Anclajes a mesas de trabajo.Anclajes a mesas de trabajo. CerradurasCerraduras en puertas en puertas.. Tarjetas con alarma.Tarjetas con alarma. Etiquetas con adhesivos especiales.Etiquetas con adhesivos especiales. Bloqueo de Bloqueo de unidades externasunidades externas.. Protectores de teclado.Protectores de teclado. Tarjeta de control de acceso al hardware.Tarjeta de control de acceso al hardware. Sistema de suSistema de suministro ministro continuo continuo de corriente.de corriente. Toma de tierra.Toma de tierra. Eliminación de la estática... etc.Eliminación de la estática... etc.

Temas a tener en cuenta en

un entorno de PCs

Análisis de riesgo: plan Análisis de riesgo: plan estratégicoestratégico

Es el proceso de identificación y evaluación del riesgo Es el proceso de identificación y evaluación del riesgo a sufrir un ataque y perder datos, tiempo y horas de a sufrir un ataque y perder datos, tiempo y horas de trabajo, comparándolo con el costo que significaría la trabajo, comparándolo con el costo que significaría la prevención de este suceso.prevención de este suceso.

Su análisis no sólo nos lleva a establecer un nivel Su análisis no sólo nos lleva a establecer un nivel adecuado de seguridad, sino que permite conocer adecuado de seguridad, sino que permite conocer mejor el sistema que vamos a proteger. mejor el sistema que vamos a proteger.

Le recomiendo descargar estas herramientas de libre distribución para el análisis de riesgo desde las direcciones que se indican:

Información del análisis de riesgoInformación del análisis de riesgo Información que se obtiene en un análisis de riesgo:Información que se obtiene en un análisis de riesgo:

– Determinación precisa de los recursos sensibles de la Determinación precisa de los recursos sensibles de la organización.organización.

– Identificación de las amenazas del sistema.Identificación de las amenazas del sistema.– Identificación de las vulnerabilidades específicas del Identificación de las vulnerabilidades específicas del

sistema.sistema.– Identificación de posibles pérdidas.Identificación de posibles pérdidas.– Identificación de la probabilidad de ocurrencia de una Identificación de la probabilidad de ocurrencia de una

pérdida.pérdida.– Derivación de contramedidas efectivas.Derivación de contramedidas efectivas.– Identificación de herramientas de seguridad.Identificación de herramientas de seguridad.– Implementación de un sistema de seguridad eficiente en Implementación de un sistema de seguridad eficiente en

costes y tiempo.costes y tiempo.

Planes de contingenciaPlanes de contingencia Un Plan de Contingencia consiste en un Un Plan de Contingencia consiste en un estudio y estudio y

análisis pormenorizado de las áreas que componen análisis pormenorizado de las áreas que componen lala organización organización y y que nos servirá para establecer que nos servirá para establecer una política de recuperación ante un desastre.una política de recuperación ante un desastre.

– Es un conjunto de datos estratégicos de la Es un conjunto de datos estratégicos de la empresa y que se plasma en un documento con empresa y que se plasma en un documento con el fin de protegerse ante eventualidades.el fin de protegerse ante eventualidades.

• Además de aumentar su seguridad, con un plan estratégico la empresa también gana en el conocimiento de sus fortalezas y sus debilidades.

• Pero si no lo hace, se expone a sufrir una pérdida irreparable mucho más costosa que la implantación de este plan.

Acciones a realizar en un SGSIAcciones a realizar en un SGSIEl Plan de Contingencia será una herramienta imprescindible en un El Plan de Contingencia será una herramienta imprescindible en un Sistema de Gestión de la Seguridad Informática (SGSI). Acciones:Sistema de Gestión de la Seguridad Informática (SGSI). Acciones:

Planificar: estudiar la implantación de la política de seguridad Planificar: estudiar la implantación de la política de seguridad adoptada, alcances que tendrá la gestión, análisis de riesgos que se adoptada, alcances que tendrá la gestión, análisis de riesgos que se harán, establecimiento de controles que activaremos, etc.harán, establecimiento de controles que activaremos, etc.

Hacer: implantar el sistema de gestión, poner y activar los Hacer: implantar el sistema de gestión, poner y activar los controles, registros e indicadores. Toma de datos del estado de la controles, registros e indicadores. Toma de datos del estado de la seguridad.seguridad.

Verificar: realizar una auditoría interna para comprobar el grado de Verificar: realizar una auditoría interna para comprobar el grado de cumplimiento de nuestro sistema.cumplimiento de nuestro sistema.

Actuar: realizar el seguimiento de la gestión y tomar las medidas Actuar: realizar el seguimiento de la gestión y tomar las medidas correctivas así como las acciones preventivas correspondientes.correctivas así como las acciones preventivas correspondientes.

Se cierra el ciclo ajustando las acciones planificadas si fuera el caso.Se cierra el ciclo ajustando las acciones planificadas si fuera el caso.

Ciclo más conocido por las siglas PDCA (Plan - Do - Check - Act)Ciclo más conocido por las siglas PDCA (Plan - Do - Check - Act)

Vandalismo informático y su Vandalismo informático y su prevenciónprevención

TerrorismoTerrorismo SabotajeSabotaje RoboRobo

VirusVirus ChantajeChantaje

informáticoinformático Programas Programas

malignosmalignos

Medidas de prevenciónMedidas de prevención– Fortificación Fortificación de de entradasentradas– Guardia JuradoGuardia Jurado– PatrullasPatrullas de seguridad de seguridad– Circuito cerrado TVCircuito cerrado TV– Control Control físico físico de accesosde accesos

– Protección de software y Protección de software y hardware con antivirus, hardware con antivirus, cortafuegos, cortafuegos, detección detección de intrusos, de intrusos, etc.etc.

– Seguimiento de las Seguimiento de las políticas de seguridad de políticas de seguridad de la empresa.la empresa.

¿Qué sucede si se produce un ¿Qué sucede si se produce un desastre?desastre?

Las empresas dependen hoy en día de los Las empresas dependen hoy en día de los equipos informáticos y de todos los datos que equipos informáticos y de todos los datos que hay allí almacenados (nóminas, clientes, hay allí almacenados (nóminas, clientes, facturas, ...).facturas, ...).

Dependen también cada vez más de las Dependen también cada vez más de las comunicaciones a través de comunicaciones a través de las las redes de redes de datos.datos.

Si falla el sistema informático y éste no puede Si falla el sistema informático y éste no puede recuperarse, la empresa puede desaparecer recuperarse, la empresa puede desaparecer porque no tiene tiempo de salir nuevamente porque no tiene tiempo de salir nuevamente al mercado con ciertas expectativas de éxito, al mercado con ciertas expectativas de éxito, aunque conserve a todo su personal.aunque conserve a todo su personal.

Pérdidas por no contar con plan Pérdidas por no contar con plan estratégicoestratégico

Pérdida de clientes.Pérdida de clientes. Pérdida de imagen.Pérdida de imagen. Pérdida de ingresos por beneficios.Pérdida de ingresos por beneficios. Pérdida de ingresos por ventas y cobros.Pérdida de ingresos por ventas y cobros. Pérdida de ingresos por producción.Pérdida de ingresos por producción. Pérdida de competitividadPérdida de competitividad en el en el

mercadomercado.. Pérdida de credibilidad en el sector.Pérdida de credibilidad en el sector.

Alternativas del plan de continuidadAlternativas del plan de continuidad Instalaciones alternativasInstalaciones alternativas

– Oficina de servicios propiaOficina de servicios propia– Acuerdo con empresa vendedora de HW y Acuerdo con empresa vendedora de HW y

SWSW– Acuerdo recíproco entre dos o más empresasAcuerdo recíproco entre dos o más empresas– Arranque en fríoArranque en frío:: sala vacía propia sala vacía propia– Arranque en caliente: centro equipadoArranque en caliente: centro equipado– Sistema Up Start: caravana, unidad móvilSistema Up Start: caravana, unidad móvil– Sistema Hot Start: centro gemeloSistema Hot Start: centro gemelo

Algunas soluciones pueden resultar de muy alto costo. Su elección dependerá entonces de las características de nuestra empresa y qué tan crítico debe ser ese plan de continuidad acorde con ello.

GraciasGracias