seguridad en los sistemas de informacion
Vulnerabilidades de Internet
Redes publicas grandes, abiertas a cualquier persona.
Tamaño de los abusos de los medios de Internet pueden tener un amplio impacto.
El uso de direcciones fijas de Internet con módems de cable o DSL crea objetivos fijos para los hackers.
La mayoria del trafico de VoIP a traves de la red Internet publica no esta cifrada, por lo que cualquiera con una red puede escuchar las conversaciones.
E-mail, mensajería instantánea, P2P:
Intercepcion
Datos adjuntos con Software malicioso
Transmisión de los secretos comerciales
Encriptación:
Transforma texto o datos simples en texto cifrado que no puede leer nadie mas que el emisor y el receptor deseado.
Los dos métodos para cifrar el trafico de red en web son:
La capa de Sockets seguros (SSL) y su sucesor, seguridad de la capa de transporte.
El Protocolo de Transferencia de Hipertexto seguro (S-HTTP)
Sistema de Detención de Intrusos
Supervisar los puntos calientes en las redes corporativas para detectar y evadir a los intrusos de manera continua.
Software antivirus y antispyware
Revisa los sistemas computacionales para detectar la presencia de malware y, a menudo elimina el virus del área infectada.
Requiere de actualización continua.
Administración unificada de amenazas (UTM)
Sistemas de Gestión unificada de amenazas (UTM).
Firewalls
La combinación de hardware y software que evita que los usuarios no autorizados accedan a redes privadas.
Las tecnologías de filtrado de Firewall incluyen:
Filtrado de Paquetes estático
Traducción de Direcciones de Red (NAT)
Filtrado de Proxy de Aplicación
El fracaso de los sistemas informáticos pueden llevar a una pérdida significativa o total de la función empresarial.
Las empresas ahora son más vulnerables que nunca.
Datos confidenciales personales y datos financieros.
Los secretos comerciales, nuevos productos, estrategias.
Un fallo de seguridad puede cortar el valor de la empresa en el mercado de forma casi inmediata.
La seguridad y el control inadecuados también pueden dar lugar a serios problemas de responsabilidad legal
Está usted en facebook? Tenga cuidado!
*Facebook - red social mas grande del mundo.* problema -el robo de identidad. *ilustra : tipos. De ataques a la seguridad que enfrentan los consumidores
Requerimientos Legales y Regulatorios para la Administración de Registros Electrónicos
HIPAA: Ley de portabilidad y Responsabilidad de los Seguros Médicos.
Gramm-Leach-Bliley Act: Requiere que las Instituciones Financieras garanticen la seguridad y confidencialidad de los datos de los clientes.
Sarbanes-Oxley Act: Impone responsabilidad a las empresas y sus administraciones de salvaguardar la exactitud e integridad de la información financiera que se maneja de manera interna y que se emite al exterior.
Amenazas Internas: Los Empleados
Las amenazas de seguridad a menudo se originan en el interior de una organización.
Dentro de conocimientos
Procedimientos de seguridad poco rigurosos
Falta de conocimiento del usuario
Ingeniería Social (Social engineering):
Engañar a los empleados para que revelen sus contraseñas haciéndose pasar por miembros legítimos de la empresa en la necesidad de información
Vulnerabilidad del Software
El software comercial contiene defectos que no solo producen vulnerabilidades de desempeño y de seguridad.
Errores ocultos (defectos de código de programa)
Cero defectos no se puede lograr porque las pruebas completas no son posibles con programas grandes.
Los defectos pueden abrir las redes a los intrusos.
Parches (Patches)
Para corregir los defectos del software una vez que han sido identificados, el fabricante del software a creado pequeñas piezas para reparar defectos.
Sin embargo el Malware es creado con tanta rapidez que las empresas tienen muy poco tiempo para responder entre el momento en que se anuncia la existencia de una vulnerabilidad y el de su parche correspondiente
Objetivos de aprendizaje
Porque son los sistemas de informacion vulnerables a la destruccion, error ,y el abuso? *cual es el valor de negocio de la seguridad y el control? * cuales son los components de un marco organizativo para la seguridad y el control? *cuales son las herramientas mas importantes y tecnologias para la proteccion de los recursos de información.
Malware (software malicioso)
Virus (Viruses)
Programa de software malintencionado que se une a otros programas de software o archivos de datos para poder ejecutarse sin el conocimiento o permiso del usuario.
Gusanos (Worms)
Programas de computadora independientes que se copian a si mismos de una computadora a otras computadoras a través de una red.
Caballos de Troya (Trojan horses)
Programa de software que parece ser benigno, pero luego hace algo distinto de lo esperadol
Delitos por Computadora
Se define como: "cualquier violación de la ley penal que implique un conocimiento de la tecnología informática para su perpetración, investigación o enjuiciamiento“
La computadora puede ser objetivo de la delincuencia, por ejemplo:
Violar la confidencialidad de los datos informáticos protegidos.
Acceso a un sistema informático sin autorización.
La Computadora puede ser instrumento de la delincuencia, por ejemplo:
El robo de secretos comerciales.
El uso del correo electrónico en busca de amenazas o acoso
Desafios de Seguridad Inalambrica
Bandas de radiofrecuencia fáciles de escanear
SSID (identificadores de conjunto de servicios)
Identifican los puntos de acceso en una red Wi-Fi
Se transmiten varias veces y los programas husmeadores de los intrusos pueden detectarlos facilmente.
War driving
Los espias conducen cerca de edificios y tratan de detectar el acceso SSID y tienen acceso a redes y demás recursos.
WEP (Privacidad Equivalente al Cableado)
Seguridad estándar de 802.11, el uso es opcional
Utiliza la contraseña compartida tanto para usuarios como punto de acceso.
Los usuarios a menudo no implementan sistemas WEP y quedan desprotegidos.
Administración de Identidad
Consiste en los procesos de negocios y las herramientas de software para identificar a los usuarios validos de un sistema y para controlar el acceso a los recursos del mismo.
Identificar y autorizar a distintas categorías de usuarios del sistema.
Especificar los sistemas o partes de los mismos
Autenticar usuarios y proteger sus identidades.
Identidad de los sistemas de gestión
Captura las reglas de acceso para los diferentes niveles de usuarios
Planificación de Recuperación de Desastres
Idea planes para restaurar los servicios de computo y comunicaciones después de haberse interrumpido.
Planificación de Continuidad de Negocios
Se centra en el restablecimiento de las operaciones de negocios después de que ocurre un desastre.
Ambos tipos de planes son necesarios para identificar los sistemas más críticos de empresa.
La gerencia debe determinar la máxima cantidad de tiempo que puede sobrevivir la empresa con sus sistemas inactivos.
La gerencia debe determinar qué sistemas se deben restaurar primero.
Auditoria de MIS
Examina el entorno general de seguridad de la empresa, así como los controles que rigen los sistemas de información individuales.
Revisa las tecnologías, procedimientos, documentación, formación y el personal.
Puede incluso simular un ataque o desastre para evaluar la respuesta de la tecnología, el personal de sistemas de información y los empleados de la empresa.
Enumera y clasifica a todas las debilidades de control; además estima la probabilidad de su ocurrencia.
Evalúa el impacto financiero y organizacional de cada amenaza
Existen dos métodos alternativos de Cifrado:
Cifrado de Clave Simétrica
El emisor y el receptor utilizan clave de cifrado única y compartida.
Cifrado de Clave Publica
Utiliza dos claves de naturaleza matemática relacionadas: clave pública y la clave privada.
El emisor cifra un mensaje con la clave pública del receptor.
El receptor usa su propia clave privada para descifrarlo
Certificados Digitales:
Archivo de datos que se utilizan para establecer la identidad de los usuarios y los activos electrónicos para proteger las transacciones en línea.
Utiliza una tercera parte de confianza, conocida como autoridad de certificado (CA), para validar la identidad de un usuario.
CA verifica la identidad de un usuario del certificado digital desconectada de Internet, almacena la información en el servidor de CA, el cual genera un certificado digital cifrado que contiene la información del propietario de identidad y copia de la clave pública del propietario.
Infraestructura de Clave Publica (PKI)
El uso de criptografía de clave pública para trabajar con certificado de autoridad (CA).
Se utiliza mucho en el Comercio Electrónico.
Asegurar la Disponibilidad del Sistema
Procesamiento de transacciones en línea requiere un 100% de disponibilidad, sin tiempo de inactividad.
Sistemas de Computadora tolerantes a fallas
Para conocer la disponibilidad continua, por ejemplo, los mercados de valores.
Contiene componentes redundantes de hardware, software y suministro de energía que crean un entorno en donde se provee un servicio continuo, sin interrupciones.
Computación de Alta Disponibilidad
Ayuda a las firmas a recuperarse con rapidez de un desastre.
Reduce al mínimo, el tiempo de inactividad no eliminado.
Aseguramiento de la calidad del software
La métrica de software consiste en las evaluaciones de los objetivos del sistema en formas de medidas cuantificadas.
Numero de transacciones
Tiempo de respuesta en línea
Cantidad de cheques de nomina impresos en una hora
Numero de errores por cada 100 líneas de código de programa.
Regular las primeras pruebas del software
Recorrido: La revisión de una especificación o un documento de diseño realizada por un pequeño grupo de personas seleccionadas con sumo cuidado.
Depuración: Cuando se descubren errores y se encuentra el origen de los mismos estos son eliminados.
Vulnerabilidades de Internet
Redes publicas grandes, abiertas a cualquier persona.
Tamaño de los abusos de los medios de Internet pueden tener un amplio impacto.
El uso de direcciones fijas de Internet con módems de cable o DSL crea objetivos fijos para los hackers.
La mayoria del trafico de VoIP a traves de la red Internet publica no esta cifrada, por lo que cualquiera con una red puede escuchar las conversaciones.
E-mail, mensajería instantánea, P2P:
Intercepcion
Datos adjuntos con Software malicioso
Transmisión de los secretos comerciales
c