Universidad Salesiana de BoliviaContaduría Pública

DOSSIER - GESTIÓN I – 2013

DATOS DE IDENTIFICACIÓN

INSTITUCIÓN UNIVERSITARIA: Universidad Salesiana de Bolivia RECTOR: R.P. Ph.D. Thelian A. Corona Cortes CARRERA: Contaduría Pública DIRECTOR DE CARRERA: Lic. Aud. Luz Mila Guzmán Antezana DOCENTE: Lic. Inf. Julio Rocabado Segales NIVEL DE LA MATERIA: Quinto Semestre ASIGNATURA: Análisis y Diseño de Sist. de Inf. Contable SIGLA: SIS- 314 PARALELO: 131,111 REQUISITO: SIS - 223 HORAS DE CLASES SEMANALES: 4 Hrs. E-MAIL: jrocabados@yahoo.com.ar

0

I N D I C EUNIDAD TEMATICA 1Propiedades Software.....................................................................................................................

Desarrollo de Software....................................................................................................................

La ingeniería de Software, visión genérica .....................................................................................

Modelos de Desarrollo de Software.................................................................................................

Mantenimiento de Software.............................................................................................................

UNIDAD TEMATICA 2Herramientas de Desarrollo de Software.........................................................................................

CASE...............................................................................................................................................

Lenguajes 4GL................................................................................................................................

Automatización de Procesos...........................................................................................................

Proceso Contable Automatizado ....................................................................................................

UNIDAD TEMATICA 3Seguridad de los Sistemas de Información.....................................................................................

Consulta no autorizada a las Bases de Datos y a las Aplicaciones................................................

Contraseñas o palabras de pase.....................................................................................................

Encriptación.....................................................................................................................................

Amenazas de Virus..........................................................................................................................

UNIDAD TEMATICA 4Auditoria a los Sistemas informatizados en Explotación.................................................................

Preparación del trabajo de la auditoria en un ambiente informatizado...........................................

Auditoria a la Función Informática en la entidad..............................................................................

Auditoria a las Bases de Datos.......................................................................................................

Auditoria a las Entradas...................................................................................................................

Auditoria a las Informaciones de Salida..........................................................................................

Subsistema de Auditoria..................................................................................................................

Métodos de Datos de Prueba..........................................................................................................

Métodos de Simulación Paralela.....................................................................................................

Informática Forense.........................................................................................................................

UNIDAD TEMATICA 5Sistemas de Información Gerencial.................................................................................................

Aplicaciones Informáticas específicas para el Contador Público....................................................

1

Aplicaciones Informáticas del ámbito Estatal Boliviano...................................................................

SINCOM – SIGMA – NEWTON - DA VINCI ...................................................................................

UNIDAD TEMATICA 6Gobierno Electrónico.......................................................................................................................

Banca Electrónica............................................................................................................................

Negocios Virtuales...........................................................................................................................

Procesamiento Electrónico de Datos...............................................................................................

Dinero Electrónico – Firma Digital – Certificado Digital...................................................................

Transferencia Electrónica de Fondos..............................................................................................

Técnicas de Auditoria Apoyadas por Computadoras......................................................................

UNIDAD TEMATICA 7Desafíos éticos y sociales de las Tecnologías de Información.......................................................

Sistemas de Información Gerencial y de apoyo a la toma de decisiones.......................................

Tecnologías de Inteligencia Artificial en la empresa.......................................................................

Aplicaciones y aspectos estratégicos en la Tecnología de Información.........................................

Administración de la Tecnología de Información.............................................................................

Manejo de las Tecnologías de Información global..........................................................................

UNIDAD TEMATICA 8Excel para Contadores....................................................................................................................

Hoja de Trabajo...............................................................................................................................

Tipos de datos.................................................................................................................................

Funciones........................................................................................................................................

Aplicaciones.....................................................................................................................................

Macros en Excel..............................................................................................................................

Funciones de Auditoria....................................................................................................................

Auditoria de fórmulas.......................................................................................................................

Tablas Dinámicas............................................................................................................................

2

I. PresentaciónII.

II OBJETIVOS DEL DOSSIERE

GENERAL

Presentar una guía teórica básica de los contenidos temáticos de la materia con la intencionalidad de que el estudiante pueda tener un referente teórico que le permita conocer de manera general el recorrido de la materia.

manera clara el concepto moderno del contador público contemporáneo en su relación con la Informática y las acciones relacionadas con los entornos computacionales que de él se desprenden. Mostrar la importancia de la relación Contaduría Pública – Informática, la cual debe permitirle adquirir la capacidad necesaria para utilizar un sistema de contabilidad informatizado

Dotar al alumno de los conocimientos informáticos necesarios para desenvolverse adecuadamente en su entorno laboral, bajo la mediación de un computador y en un entorno telemático que le permita la Instalación, manejo y evaluación de sistemas contables, para la renovación constante de la tecnología y logro de mayor eficiencia del uso de los sistemas contables automatizados.

Proporcionar al alumno métodos y técnicas para desarrollar Sistemas de Información Administrativo – Contable en instituciones públicas y privadas os y técnicas para realizar el Análisis y Diseño de Sistemas de Información General. ESPECÍFICOS

Mostrar claramente los entornos computacionales donde se desenvuelve la práctica laboral cotidiana del Contador Público contemporáneo

Capacitar en el manejo de los principales entornos de aplicaciones informáticas que se manejan en el estado boliviano

Elaboración de listas de funcionalidades para un sistema administrativo – contable informatizado

Introducir al alumno en el desarrollo de los sistemas administrativo – contables residentes en computadoras

Capacitar al Alumno en el uso de metodologías y técnicas de Ingeniería de Software para el desarrollo e implantación de sistemas orientados al Sistema Administrativo Contable.

Aplicar las metodologías y técnicas aprendidas en el análisis y desarrollo de sistemas de información y bases de datos en el desarrollo de un sistema de Información contable.

ADICIONAL

Implementar el Estilo Salesiano en el proceso enseñanza aprendizaje, enfatizando en los pilares

básicos: RAZÓN, AMOR Y RELIGIÓN

3

COMPETENCIAS

Reconoce la importancia del manejo de las Nuevas Tecnologías y los Entornos Telemáticos para los profesionales del siglo XXI, y puede aplicarlas en el desempeño laboral específico del Contador Público

Reconoce la importancia de la Información como un recurso de las organizaciones que es necesario administrar de manera óptima a través de los sistemas informáticos comunes

Conoce los nuevos entornos virtuales de negocios y comercio electrónico Analiza los procedimientos y métodos de los sistemas de información contable de las empresas

con la finalidad de diagnosticar fallas y procesos anómalos Diseña y planifica sistemas de información que reemplacen y/o complementen aquellos que no son

efectivo u óptimos Conoce y utiliza adecuadamente los recursos y servicios de las Tecnologías de Información y

Comunicación Maneja adecuadamente herramientas simples como la Hoja Electrónica Excel para la

programación y uso de aplicaciones contables Conoce las Técnicas de Auditoria Apoyadas por Computadoras (TAACs), y puede

desenvolverse de manera correcta en su ámbito de trabajo moderno Se desenvuelve de manera adecuada en los nuevos entornos de trabajo a través del

Comercio Electrónico y la Banca Electrónica Reconoce a las personas de su entorno de estudio y/o trabajo como iguales en derecho y

oportunidades Conoce y aplica valores éticos y sociales de manera transversal en su entorno cotidiano como una

forma de acercamiento hacia una vida impregnada de espiritualidad religiosa católica Sabe reconocer claramente los entornos computacionales donde se desenvuelve la práctica

laboral cotidiana del Contador Público contemporáneo Está capacitado y se desenvuelve correctamente en los principales entornos de aplicaciones

informáticas que se manejan en el estado boliviano

4

5

Unidad Temática 1

SoftwareDefinición y características del SW Software:

(1) instrucciones de computador que cuando se ejecutan cumplen una función y tienen unos comportamientos deseados,

6

(2) estructuras de datos que facilitan a los programadores la adecuada manipulación de la información, y

(3) documentos que describen la operación y el uso de los programas.

Características del software:(Que lo diferencian de otros objetos físicos que se pueden construir)

El software se desarrolla, no se fabrica o construye, en sentido estricto. Su modelo de gestión de desarrollo es muy diferente

El software no se estropea.

La mayoría del software se construye a medida.

Construcción de Objetos: Muchos fallos al principio, tiempo de vida estable, aumento de fallos. El Hardware comienza a estropearse.

Desarrollo de software: Muchos fallos al principio, tiempo de vida estable hasta la obsolescencia. El Software no se estropea!!!!

Durante su vida el Software sufre cambios (Mantenimiento), al hacer cambios se producen Defectos

La mayoría del Software se desarrolla a medida, en vez de ensamblar componentes existentes, pues no existen catálogos de partes de software, también se puede comprar como una unidad completa, ya desarrollado.

La Ingeniería del SoftwareProblemas del software.

La planificación y la estimación de costos son muy imprecisas.

La productividad es baja.

La calidad es mala.

El cliente queda insatisfecho.

Ingeniería del software: Establecimiento y uso de principios de ingeniería robustos, orientados a garantizar la obtención de software económico, fiable y eficiente sobre máquinas reales.

7

Visión genérica de la Ingeniería del Software.Definición. ¿Qué?

a Análisis del sistema.

i Establecer el ámbito del software.

b Análisis de requisitos del sistema de software.

i Definición detallada de la función del software.

c Planificación.

i Análisis de riesgos.

ii Asignación de recursos.

iii Definición de tareas.

iv Estimación de costos.

Desarrollo. ¿Cómo?

a Diseño.

i • Arquitectura de la aplicación.

ii • Estructura de los datos.

iii • Estructura interna de los programas.

iv • Diseño de las interfaces.

b Codificación.

c Pruebas.

Mantenimiento. ¿Qué cambia?

a Corrección de errores.

b Cambios en el entorno.

c Cambios en los requisitos.

El proceso Sommerville: “Un conjunto de actividades y resultados asociados que conducen a la creación de un

producto de software”

Pressman: “Marco de trabajo de las tareas que se requieren para construir software de alta calidad”

IEEE: “Aplicación de un enfoque sistemático, disciplinado y cuantificable hacia el desarrollo, operación y mantenimiento del software; es decir, la aplicación de ingeniería al software”

Enfoque de calidad: Cultura continua de mejoras de procesos

El Proceso: Define un marco de trabajo para un conjunto de áreas clave de proceso

Los Métodos: Indican cómo construir técnicamente el software

Las Herramientas: Proporcionan un soporte para el proceso y los métodos

Ingeniería del Software

8

Definición de Ingeniería del Software (IS). La IS es una disciplina o área de la Informática o Ciencias de la Computación, que ofrece métodos y técnicas para desarrollar, mantener y documentar software de calidad qué, resuelve problemas de todo tipo, se ejecuta en máquinas reales y satisface las necesidades del cliente.

La IS integra: Métodos, herramientas y procesos para el desarrollo del software bajo un enfoque de calidad.

Métodos Los métodos indican cómo construir técnicamente el software.

Tareas que componen los métodos.

Planificación; Estimación de proyectos.

Análisis de requerimientos del software y hardware.

Diseño de estructuras de datos, Arquitectura de los programas.

Procedimientos algorítmicos.

Codificación; Prueba; y Mantenimiento.

Herramientas y ProcesosLas herramientas son un soporte automático o semiautomático para el proceso y los métodos.

Microsoft Project (Planificación).

UML (Modelado).

Rational Rose, visio (Modelado soportan UML).

Designer 2000.

Erwin (Bases de datos).

MAGERIT (Seguridad).

Los procesos son los encargados de integrar los métodos y herramientas, además de definir la secuencia en la que se aplican los métodos, las entregas que requieren, los controles de calidad y las guías para el desarrollo.

Preguntas que debe Responder la IS ¿Cuál es el problema a resolver?

¿Cuáles son las características de la entidad (solución) que se utiliza para resolver el problema?

¿Cómo se realizará la solución?

¿Cómo se construirá la entidad?

¿Qué enfoque se va a utilizar para no contemplar los errores que se cometieron en el diseño y en la construcción de la solución?

¿Cómo se apoyará la solución cuando usuarios soliciten correcciones, adaptaciones y mejoras de la entidad?

Proceso del Software El proceso del software es un marco común para el proceso que define un pequeño número de actividades del marco de trabajo que son aplicables a todos los proyectos con independencia de su tamaño o complejidad.

9

Paradigma de la IS El modelo de proceso o paradigma de la IS es la estrategia que comprenden métodos, herramientas y procesos.

El ingeniero debe seleccionar un modelo de proceso para ingeniería del software según la naturaleza del proyecto y de la aplicación, los métodos, las herramientas a utilizar, y los controles y entregas que se requieren.

Los diferentes paradigmas lo que intentan es ordenar las actividades en el desarrollo del software, de manera que no sean llevadas a cabo de manera caótica.

Lenguajes de Programación:Lenguajes de Alto Nivel

Lenguajes de Nivel Medio

Lenguajes de Bajo Nivel

Generaciones de Lenguajes de Programación Lectura Complementaria

Primera Generación de Lenguajes

Segunda Generación de Lenguajes

Tercera Generación de Lenguajes

Cuarta Generación de Lenguajes

Quinta Generación de Lenguajes

Paradigmas de Programación

Un paradigma es un

Ciclo de vida del softwareEl término ciclo de vida del software describe el desarrollo de software, desde la fase inicial hasta la fase final. El propósito de este documento es definir las distintas fases intermedias que se requieren para validar el desarrollo de la aplicación, es decir, para garantizar que el software cumpla los requisitos para la aplicación y verificación de los procedimientos de desarrollo: se asegura de que los métodos utilizados son apropiados.

Estos programas se originan en el hecho de que es muy costoso rectificar los errores que se detectan tarde dentro de la fase de implementación. El ciclo de vida permite que los errores se detecten lo antes posible y por lo tanto, permite a los desarrolladores concentrarse en la calidad del software, en los plazos de implementación y en los costos asociados.

El ciclo de vida básico de un software consta de los siguientes procedimientos:

Definición de objetivos: definir el resultado del proyecto y su papel en la estrategia global.

Análisis de los requisitos y su viabilidad: recopilar, examinar y formular los requisitos del cliente y examinar cualquier restricción que se pueda aplicar.

Diseño general: requisitos generales de la arquitectura de la aplicación.

Diseño en detalle: definición precisa de cada subconjunto de la aplicación.

10

Programación (programación e implementación): es la implementación de un lenguaje de programación para crear las funciones definidas durante la etapa de diseño.

Prueba de unidad: prueba individual de cada subconjunto de la aplicación para garantizar que se implementaron de acuerdo con las especificaciones.

Integración: para garantizar que los diferentes módulos se integren con la aplicación. Éste es el propósito de la prueba de integración que está cuidadosamente documentada.

Prueba beta (o validación), para garantizar que el software cumple con las especificaciones originales.

Documentación: sirve para documentar información necesaria para los usuarios del software y para desarrollos futuros.

Implementación

Mantenimiento: para todos los procedimientos correctivos (mantenimiento correctivo) y las actualizaciones secundarias del software (mantenimiento continuo).

El orden y la presencia de cada uno de estos procedimientos en el ciclo de vida de una aplicación dependen del tipo de modelo de ciclo de vida acordado entre el cliente y el equipo de desarrolladores.

Modelos de Desarrollo de SoftwareModelos Prescriptivos: Ciclo de vida clásico – Modelo lineal secuencial – Modelo en cascada.

Modelos Incrementales: Modelo Incremental - Modelo DRA (RAD. Rapid Application Development).

Modelos Evolutivos de Proceso: Incremental - Espiral.

Modelos Prescriptivos de ProcesosCualquier organización de ingeniería de software debe describir un conjunto único de actividades dentro del marco de trabajo para el (los) proceso(s) de software que adopte. También debe llenar cada actividad del marco de trabajo con un conjunto de acciones de ingeniería de software, y definir cada acción en cuanto a un conjunto de tareas que identifiquen el trabajo, (y los productos del trabajo) que deben completarse para alcanzar las metas de desarrollo. Después, la organización debe adaptar el modelo de proceso resultante y ajustarlo a la naturaleza específica de cada proyecto, a las personas que lo realizarán, y al ambiente en el que se ejecutará el trabajo. Sin importar el modelo de proceso seleccionado, los ingenieros de software han elegido de manera tradicional un marco de trabajo genérico para el proceso, el cual incluye las siguientes actividades dentro del marco: comunicación, planeación, modelado, construcción y desarrollo.

Los modelos prescriptivos de procesos son denominados así porque prescriben un conjunto de elementos del proceso: actividades del marco de trabajo, acciones de ingeniería del software, tareas, productos del trabajo,, aseguramiento de la calidad, y mecanismos de control del cambio de cada proyecto. Cada modelo de proceso prescribe también un flujo de trabajo; esto es, la forma en la cual los elementos del proceso se interrelacionan entre sí.

Clave: Un modelo prescriptivo del proceso llena el marco de trabajo con conjuntos de tareas explícitas para las acciones de la ingeniería del software.¿Qué es?Los modelos prescriptivos de procesos definen un conjunto distinto de actividades, tareas, acciones fundamentos y productos de trabajo que se requieren para desarrollar software de alta calidad. Estos modelos de proceso no son perfectos, pero proporcionan una guía útil para el trabajo de la ingeniería de software.

¿Quién los hace?

11

Los ingenieros de software y sus gerentes adaptan un modelo prescriptito de proceso a sus necesidades y después la siguen. Además, la gente que ha solicitado el software tiene un papel por desempeñar conforme se ejecuta el modelo de software.

¿Por qué es importante?Porque proporciona estabilidad, control y organización a una actividad que si no se controla puede volverse caótica. Algunas veces los modelos de proceso descriptivo se han referido como “modelos rigurosos de proceso”, ya que a menudo incluyen las capacidades sugeridas por la IMCM. Sin embargo, todos los modelos de proceso se pueden adaptar para usarlos de forma efectiva y en un proyecto de software específico.

¿Cuáles son los pasos?El proceso conduce a un equipo de software a través de un conjunto de actividades del marco de trabajo que se organizan en un flujo de proceso, el cual puede ser lineal, incremental o evolutivo. La terminología y los detalles de cada modelo de proceso difieren, pero las actividades genéricas del marco de trabajo permanecen razonablemente consistentes

¿Cuál es el producto obtenido?Desde el punto de vista de un ingeniero de software, los productos de trabajo son los programas, documentos y datos que se producen como consecuencia de las actividades y tareas que define el proceso.

¿Cómo puedo estar seguro de que el proceso se ha hecho correctamente?Existe cierta cantidad de mecanismos para la evaluación del proceso de software que permite a las organizaciones determinar la “madurez” de sus respectivos procesos. Sin embargo, los mejores indicadores de la eficacia del proceso que se utiliza son la calidad, el tiempo de entrega y la viabilidad a largo plazo del producto que se construye.

Modelo en CascadaEl modelo en Cascada conocido también como modelo Lineal Secuencial, o Ciclo de vida Básico, nace alrededor de los años 70 como un refinamiento influenciado al modelo de etapas.

La idea principal de este modelo clásico es minimizar los costos que involucra el sobre exceso de trabajo involucrado en retroalimentaciones a través de muchas etapas

Sugiere un enfoque sistemático, secuencial de desarrollo de software que comienza en un nivel de sistemas y progresa con el análisis, diseño, codificación, pruebas y mantenimiento. Las fases adyacentes no comenzarán hasta que las demás no hayan finalizado, de ahí su concepto de secuencialidad y linealidad.

Algunos conceptos básicos que se requieren para utilizar este modelo son:

Planificar el proyecto antes de embarcarse en él. Significa que todo lo concerniente al proyecto debe ser minuciosamente estudiado.

Documentar los resultados de cada actividad. Este paso es sumamente importante, de esto dependerá que los atributos de calidad de software como la facilidad de comprensión o Visibilidad cumplan su objetivo.

Diseñar antes de empezar la codificación. Apunta directamente a recolectar todos los datos necesarios y plasmarlos en modelos de diseño y después comenzar a crear el código fuente.

Probar después de implementar. Una vez liberado el producto se realizarán todas las pruebas necesarias para asegurar su correcto funcionamiento.

Ventajas y Desventajas del Modelo Cascada.Una de las ventajas mas clara del modelo Cascada tiene relación con la idea de postular un marco de trabajo claro, que reconoce y define las actividades involucradas en el desarrollo de software, permitiendo

12

establecer relaciones de cooperación entre ellas. Corresponden, también, a los métodos más usados en desarrollo de software y que han sido exitosos durante décadas tanto en el desarrollo de grandes sistemas como en el de pequeños. La importancia de este método radica en su sencillez ya que sigue los pasos intuitivos necesarios a la hora de desarrollar el software.

Habitualmente los requerimientos son especificados al inicio del proyecto, y contrariamente el espacio donde se tiene la claridad suficiente para definir lo que se quiere es cuando se está en las últimas etapas de este. Esto es consecuencia, en general, de que los clientes no están familiarizados con la tecnología, con lo cual producen requerimientos muy vagos, que son interpretados arbitrariamente por los desarrolladores.

Otro factor importante de recalcar es que este método asume que una vez que los requerimientos han sido definidos entonces ellos no cambiarán más. Ahora, según la complejidad que tenga el proyecto, la implementación final puede ocurrir meses o, eventualmente, años después de que los requerimientos fueran especificados, no obstante, por la cantidad de tiempo transcurrido puede que las necesidades surgidas al principio hayan cambiado abruptamente.

Una desventaja importante en este modelo es que el sistema completo es registrado en papel, donde cada etapa o fase produce cierta cantidad de documentos. Si nos ponemos en el lugar que el sistema que se esta atacando es sumamente complejo, el volumen de requerimientos puede ser de cientos de páginas, explicando todos o cada uno de los detalles del sistema. Según este concepto, sería difícil poder vislumbrar con rapidez o claridad las características del sistema.

Se podría considerar desventaja también la paciencia que deberá tener el cliente durante el desarrollo del proyecto. Esto implica que hasta que no se llegue a las etapas finales del proyecto, no estará disponible una versión operativa del programa. Un error importante no detectado hasta que el programa este funcionando puede ser desastroso.

Se puede considerar además que el enfoque de linealidad de este método no fuera el adecuado para reflejar el proceso de desarrollo de software.

Esto por la sencilla razón que para algunos proyectos el modelo clásico conduce a seguir las etapas en orden incorrecto. Más aún, es posible que todas las etapas del proyecto, estén comprimidas dentro de cada una.

13

Etapas de un Modelo CascadaLas etapas que recorre un modelo Cascada durante el desarrollo de un proyecto son:

Ingeniería y Análisis del SistemaDebido a que el software es siempre parte de un sistema mayor el trabajo comienza estableciendo los requisitos de todos los elementos del sistema y luego asignando algún subconjunto de estos requisitos al software.

Es la interrelación con el Hardware, las personas, las bases de datos.

Análisis de los requisitosEl proceso de recopilación de los requisitos se centra e intensifica especialmente en el software. El ingeniero de software (Analistas) debe comprender el ámbito de la información del software, así como la función, el rendimiento y las interfaces requeridas.

DiseñoEl diseño del software se enfoca en cuatro atributos distintos del programa:

La estructura de los datos.

La arquitectura del software.

El detalle procedimental.

La caracterización de la interfaz.

El proceso de diseño traduce los requisitos en una representación del software con la calidad requerida antes de que comience la codificación.

CodificaciónEl diseño debe traducirse en una forma legible para la máquina. El paso de codificación realiza esta tarea. Si el diseño se realiza de una manera detallada la codificación puede realizarse mecánicamente.

PruebaUna vez que se ha generado el código comienza la prueba del programa. La prueba se centra en la lógica interna del software, y en las funciones externas, realizando pruebas que aseguren que la entrada definida produce los resultados que realmente se requieren.

MantenciónEl software sufrirá cambios después de ser liberado. Los cambios ocurrirán producto del surgimiento de errores, o bien que el software deba adaptarse a cambios del entorno externo (sistema operativo o dispositivos periféricos), o debido a que el cliente requiera ampliaciones funcionales o del rendimiento.

El ciclo de vida proporciona un modelo conveniente que sirve para dos propósitos. En primer lugar, permite representar los procesos de concepción y producción en una forma gráfica y lógica, y segundo, proporciona un marco de trabajo alrededor del cual las actividades de aseguramiento de calidad pueden ser construidas en una manera decidida y disciplinada.

El desarrollo de software desde el concepto inicial a través de la operación es un proceso involuntario. Es decir, se produce mediante etapas sucesivas de especificación, diseño y modificación. Cada evaluación de una parte del software se hace por una revisión de la documentación que describe los requerimientos, especificación, diseño o, después, por pruebas al código y área usada del sistema realizado da como resultado cambios. Idealmente, el proceso de desarrollo debe involucrar gradas sucesivas de especificación y diseño donde cada paso es verificado contra los requerimientos de la etapa precedente (Trazabilidad). Así un producto de software viable evoluciona con errores que se encuentran y corrigen conforme van sucediendo.

14

Modelos de proceso IncrementalesEn muchas situaciones los requisitos iniciales del software están bien definidos en forma razonable, pero el enfoque global del esfuerzo de desarrollo excluye un proceso puramente lineal. Además, quizás haya una necesidad imperiosa de proporcionar de manera rápida un conjunto limitado de funcionalidad para el usuario y después refinarla y expandirla en las entregas posteriores del software. En estos casos se elige un modelo de proceso diseñado para producir el software en forma incremental.

Clave: El modelo Incremental entrega una serie de lanzamientos, llamados incrementos, que proporcionan en forma progresiva más funcionalidad para los clientes a medida que se entrega cada uno de los incrementos.

El Modelo Incrementalo Combina elementos del modelo de cascada (aplicados repetitivamente) con la filosofía interactiva de construcción de prototipos. o El primer incremento es un producto esencial (núcleo), se afrontan requisitos básicos y muchas funciones extras (conocidas o no) quedan para los siguientes incrementos. o El cliente usa el producto central y en base a la utilización y/o evaluación se desarrolla un plan para el incremento siguiente. o Este proceso se repite hasta que se elabora el producto completo. o Es interactivo, al igual que el de construcción de prototipos y otros enfoques evolutivos. Pero a diferencia del modelo de construcción de prototipos, el modelo incremental entrega un producto operacional en cada incremento. o Es útil cuando la dotación de personal no está disponible para una implementación completa. El primer incremento se pueden implementar con pocas personas. Si el producto central es bien recibido, se puede añadir mas personal.

El Modelo DRA

15

Modelo RAD (Diseño Rápido de Aplicaciones)

Es un modelo de proceso de desarrollo de software de cascada que enfatiza un ciclo de desarrollo extremadamente corto.

Este modelo se puede usar si:

Se comprenden bien los requisitos y se limita el ámbito del proyecto.

Es fácil dividir al sistema en módulos.

Se utiliza un enfoque de construcción basado en objetos reusables.

El Modelo DRA consiste en un desarrollo rápido de aplicaciones basado en el modelo lineal secuencial, pero donde se enfatiza un ciclo de desarrollo extremadamente corto.

Es una adaptación a alta velocidad del modelo lineal secuencial, donde se puede aumentar la velocidad haciendo uso de componentes.

Si se comprenden bien los requisitos y se limita el ámbito del proyecto, el proceso DRA permite al equipo de desarrollo crear un sistema completamente funcional, dentro de periodos cortos de tiempo.

Tiene algunas desventajas:

Requiere recursos humanos suficientes como para crear el número necesarias para completar un sistema en un tiempo corto.

Para proyectos grandes necesitamos de recursos suficientes para formar los equipos necesarios.

Compromiso de colaboración entre desarrolladores y clientes.

No todas las aplicaciones son susceptibles de aplicar este modelo.

Cuando los riesgos técnicos son altos DRA no es apropiado.

Cuando el grado de interoperatividad con programas ya existentes es alto, no es apropiado.

El Desarrollo Rápido de Aplicaciones (DRA) es un modelo de proceso de software incremental que resalta un ciclo de desarrollo corto. El modelo DRA es una adaptación a “alta velocidad” del modelo en cascada,

16

en el que se logra el desarrollo rápido mediante un enfoque de construcción basado en componentes. Si se entienden bien los requisitos y se limita el ámbito del proyecto, el proceso DRA permite que un equipo de desarrollo cree un “sistema completamente funcional” dentro de un período de tiempo muy corto. (60-90 días)

Como otros modelos de proceso, el enfoque DRA cumple con las actividades genéricas del marco de trabajo que ya se han presentado. La comunicación, la planeación, el modelado, la construcción y el despliegue.

Cada gran función se puede abordar mediante un equipo de DRA por separado, para después integrarlas u formar un todo.

Modelos de proceso EvolutivosEl software como todos los sistemas complejos, evoluciona con el tiempo. Los requisitos de los negocios y productos a menudo cambian conforme se realiza el desarrollo; por lo tanto, la ruta lineal que conduce a un producto final no será real; las estrictas fechas tope del mercado imposibilitan la conclusión de un producto completo, por lo que se debe presentar una versión limitada para liberar la presión competitiva y de negocios; se tiene claro un conjunto de requisitos del producto o sistema esencial, pero todavía se deben definir los detalles de las extensiones del producto o sistemas. En estas y otras situaciones similares, los ingenieros de software necesitan un modelo de proceso que haya sido diseñado de manera explícita para incluir un producto que evolucione con el tiempo.

Los Modelos Evolutivos son iterativos; los caracteriza la forma en que permiten que los ingenieros de software desarrollen versiones cada vez más completas del software.

Clave: Los modelos de proceso evolutivos, producen una versión completa en forma incremental con cada iteración.

Esta familia de modelos se utiliza en las siguientes circunstancias: Si los requisitos cambian conforme el desarrollo avanza. Si las fechas de mercado hacen imposible tener un producto completo y hay que introducir una versión limitada. Si los requisitos centrales están bien definidos pero todavía hay que definir los detalles de las extensiones del producto.

Construcción de PrototiposA menudo un cliente define un conjunto de objetivos generales para el software, pero no identifica los requisitos detallados de entrada, procedimiento o salida. En otros casos, el responsable del desarrollo de software está inseguro de la eficacia de un algoritmo, de la adaptabilidad de un sistema operativo o de la forma que debería tomar la interacción humano-máquina. En estas, y en muchas otras situaciones, un “paradigma de construcción de prototipos” puede ofrecer el mejor enfoque.

A pesar de que la construcción de prototipos se puede utilizar como un modelo de proceso independiente dentro del contexto de cualquiera de los modelos de proceso expuestos, Sin importar la forma en que éste se aplique, el paradigma de construcción de prototipos ayuda al ingeniero de sistemas y al cliente a entender de mejor manera cuál será el resultado de la construcción cuando los requisitos estén satisfechos.

17

Este modelo comienza con la recolección de requisitos, el desarrollador y el cliente definen los objetivos globales para el software, originándose un diseño rápido que se centra en una representación de esos aspectos del software que sean visibles para el usuario/cliente. De este diseño surge la construcción de un prototipo y este es evaluado por el cliente/usuario. La interacción ocurre cuando el prototipo satisface las necesidades del cliente.

Desventajas:El cliente ve lo que parece una versión en funcionamiento del software, sin saber que el prototipo está

unido con “chicle” y “cable de embalar”, que por la prisa de hacerlo funcionar no se ha considerado la calidad del software.

A menudo el desarrollador establece compromisos de implementación para lograr que el prototipo funcione con rapidez. Tal vez utilice un sistema operativo o lenguaje de programación inadecuado sólo porque está disponible y es conocido. Es posible que la selección menos ideal se convierta en una parte integral del sistema.

Clave: Definir reglas de juego desde el principio; es decir, el cliente y el desarrollador se deben poner de acuerdo en que l prototipo se construya y sirva como un mecanismo para la definición de requisitos, en que se descarte, al menos en parte, y en que después se desarrolle el software real con un enfoque hacia la realidad.

Modelo de construcción de prototipos Este modelo es útil cuando:

El cliente no identifica los requisitos detallados.

El responsable del desarrollo no está seguro de la eficiencia de un algoritmo, sistema operativo o de la interfase hombre-máquina.

Su principal desventaja es que una vez que el cliente ha dado su aprobación final al prototipo y cree que está a punto de recibir el proyecto final, se encuentra con que es necesario reescribir buena parte del prototipo para hacerlo funcional, porque lo más seguro es que el desarrollador haya hecho compromisos de implementación para hacer que el prototipo funcione rápidamente. Es posible que el prototipo sea muy lento, muy grande, no muy amigable en su uso, o incluso, que esté escrito en un lenguaje de programación inadecuado.

18

Construcción del Prototipo

Modelado-Diseño Rápido

Plan RápidoComunicación

Desarrollo – Entrega y Retroalimentación

Los pasos necesarios para la construcción de prototipos son los siguientes: 1. Evaluar la solicitud del software para determinar si el sistema es candidato para la construcción de un prototipo. Considerando si es necesario presentar la interacción usuario-sistema y tomando en cuenta la complejidad del desarrollo del propio prototipo.

2. Elaborar una representación abreviada de los requisitos. Utilizando alguno de los modelos mencionados anteriormente.

3. Crear un conjunto de especificaciones de diseño para el prototipo. Centrándose en los aspectos de mas alto nivel y no en el detalle.

4. Crear y probar el software del prototipo. De ser posible utilizar herramientas automatizadas para tal efecto, como lenguajes de cuarta generación, módulos de código reusables, herramientas RAD o paquetes especializados en prototipos.

5. Presentar el prototipo al usuario y orientarlo a que sea él quien lo “opere”. Aquí es donde el usuario podrá validar sus propios requerimientos y sugerir las modificaciones necesarias.

6. Repetir los pasos 4 y 5 hasta que todos los requisitos queden formalizados. El modelo de construcción de prototipos se recomienda especialmente cuando los requerimientos cambian frecuentemente, cuando no se tiene la suficiente participación del usuario o cuando no se tienen suficientemente especificados los requerimientos. Una ventaja importante es que el usuario va “viendo” la evolución del sistema. El principal inconveniente es que se desconoce el tiempo que se tardará en crear un producto aceptable. No se sabe cuantas iteraciones se tendrán que realizar. Otro inconveniente es que se pueden adoptar prácticas de programación de prueba-y-error, sin un análisis y diseño formales previos.

En conclusiónDe manera general podemos decir que se utilizan los prototipos para que el cliente observe, confirme y mejore el producto.

19

Lo que añade este modelo es el concepto de prototipo. Para el desarrollo del software se combina con el modelo de cascada.

Antes de desarrollar el software con este modelo, debemos explicarle al cliente que vamos a trabajar con el modelo de prototipos, para que al final del desarrollo del prototipo el cliente no piense que este es el producto terminado.

Debemos utilizar este modelo generalmente cuando:

El cliente no tiene claro lo que quiere,Al cliente le gustaría ver algo similar para poder hacerse una idea de lo que obtendráEl que desarrolla el software

Mediante este modelo es factible reducir el coste del software produciendo sistemas de mayor calidad ya que se basa en reutilizar Diseños, programas, módulos y datos pero se debe poner un tope de tiempo para no caer en un círculo vicioso, dado si el usuario no acepta el diseño preliminar.

Se utiliza el concepto de prototipo en las fases del desarrollo del software correspondiente a:

Requerimiento de software Diseño preliminar Diseño detallado

Una vez que el prototipo ha sido probado, se presenta al cliente, el cuál conduce la prueba de la aplicación y sugiere modificaciones, luego se ser aprobado por el cliente pasa a la etapa del desarrollo del software.

Con los prototipos la velocidad de desarrollo es más importante que la eficiencia en el procesamiento

Y debemos tener en cuenta que un prototipo que haya sido concebido desde el inicio como desechable, no podemos reutilizarle para hacerlo prototipo evolucionario.

El Modelo Espiral

20

Es un modelo de proceso de software evolutivo que conjuga la naturaleza iterativa de la construcción de prototipos con los aspectos controlados y sistemáticos del modelo cascada. Proporciona el material para el desarrollo rápido de versiones incrementales del software.

Cuando se aplica el modelo en espiral, el software se desarrolla en una serie de entregas evolutivas. Durante las primeras iteraciones, la entrega tal vez sea un documento del modelo o un prototipo. Durante las últimas iteraciones se producen versiones cada vez más completas del sistema desarrollado.

Un proceso en espiral se divide en un conjunto de actividades del marco de trabajo que define la ingeniería de software. (Comunicación, Planeación, Modelado, Despliegue, Construcción)

Cuando comienza este proceso evolutivo el equipo de software realiza actividades implicadas en un circuito alrededor de la espiral que se inicia desde el centro. El riesgo es un factor considerado en cada revolución.

21

El primer circuito quizás genere el desarrollo de una especificación del producto; los pasos subsecuentes alrededor de la espiral se pueden aprovechar para desarrollar un prototipo y después en forma progresiva, versiones más elaboradas de software.. Cada paso a través de la región de planeación resulta en ajustes del plan del proyecto. Los costos y el itinerario se ajustan con base en la retroalimentación derivada de la relación con el cliente después de la entrega. Además el administrador del proyecto ajusta el número de iteraciones planeado que se requiere para completar el software.

En conclusión:Como el anterior modelo estudiado (Prototipos) se combinaba con el modelo cascada, este también presenta una adaptabilidad a otros modelos del proceso de desarrollo, como Cascada, Prototipos (evolutivo)

Este modelo hace hincapié al Análisis de Riesgos, permitiendo al desarrollador y al cliente entender y reaccionar a los riesgos en cada nivel de la espiral, la culminación del análisis de riesgo resulta en una decisión de "seguir o no seguir". Si los riesgos son demasiado grandes, se puede dar por terminado el proyecto.

Sin embargo, puede darse el caso de seguir alrededor del mismo ciclo de la espiral, con lo que conlleva a los desarrolladores en pérdida de tiempo, sin saber el progreso del desarrollo del software.

Por último, este modelo al ser complicado, no es aplicable a proyectos sencillos.

HERRAMIENTAS PARA EL DESARROLLO DE SISTEMAS (CASE)-(4GL)CASE IntroducciónHoy en día muchas empresas se han extendido a la adquisición de Herramientas Case (Ingeniería Asistida por Computadora), con el fin de Automatizar los aspectos clave de todo el proceso de desarrollo de Sistemas.

ConceptoSon usadas para automatizar o apoyar una o más fases del ciclo de desarrollo de sistemas.

Una herramienta CASE puede incluir:

22

Diccionario de datos.

Herramientas de diseño

Herramientas de desarrollo de modelo de datos.

Herramientas para el desarrollo de prototipos.

Tecnología

Esta tecnología supone la automatización del desarrollo del software y se plantea los siguientes objetivos:

Permitir la aplicación practica de metodologías estructuradas

Facilitar la realización de prototipos

Facilitar el mantenimientos de programas

Mejorar y estandarizar la documentación

Aumentar la portabilidad

Facilitar la Reutilización

Permitir el desarrollo de aplicaciones mediante utilización de gráficos

Componentes Diccionario, donde se almacenan los elementos definidos.

Meta Modelo, define las técnicas soportadas por la herramienta.

Carga o Descarga de Datos, cargan la herramienta con datos de otros sistemas o generar esquemas de bases de datos (Es un medio de Comunicación con otras Herramientas).

Comprobación de Errores, análisis de la exactitud, integridad y consistencia de los esquemas generados por la herramienta.

Interfaz de Usuario, consta de editores de texto, de diseño grafico para definir diagramas y matrices.

Estructura CASE de alto nivel: Herramientas que automatizan las fases finales o superiores del Ciclo de Vida de Desarrollo de Sistemas como Planificación, análisis y Diseño de Sistemas.

23

CASE de bajo nivel: Herramientas que automatizan las fases finales o inferiores del Ciclo de Vida de Desarrollo de Sistemas como Diseño, Implantación y Soporte de sistemas.

CASE cruzado de ciclo de vida: Herramienta que apoyan actividades que tienen lugar a lo largo de todo el ciclo de vida como la gestión de Proyectos y la Estimación.

Estado ActualHoy en día la tecnología CASE reemplaza el papel y el lápiz por la PC para transformar la actividad de desarrollar software en un proceso automatizado.

Automatizar:o Desarrollo de Software

o Documentación

o Generación del Código

o Chequeo de Errores

o Gestión del Proyecto

Permitir: La reutilización del software Portabilidad del software La estandarización de la documentación Integración

Evolucionan hacia tres tipos de integración:Integración de datos, permite disponer de herramientas CASE coja diferentes estructuras de diccionarios locales para el intercambio de datos.

Integración de presentación confiere a todas las herramientas CASE el mismo aspecto.

Integración de herramientas para disponer de herramientas CASE capaces de invocar a otras CASE de forma automática.

Clasificación De acuerdo a su amplitud se clasifican en:

TOOLKIT: Colección de herramientas para automatizar un conjunto de tareas como planificación estratégica, análisis, diseño y generación de programas.

WORKBENCH: Conjuntos integrados de herramientas que da soporte a la automatización del proceso de desarrollo del sistema. Cubre el ciclo de vida completo, el producto final aportado por ellas es un código ejecutable y su documentación.

De acuerdo a las fases del ciclo de vida que automatizan se clasifican en:

UPPER CASE: Planificación estratégica, requerimientos de desarrollo funcional de planes corporativos.

MIDDLE CASE: análisis y Diseño.

LOWER CASE: Generación de código, test de implantación.

24

Características deseablesUna herramienta CASE cliente/servidor provee: Modelo de datos, generación de código, registro del ciclo de vida de los proyectos y comunicación entre distintos ingenieros.

Las principales herramientas son:KnowledgeWare´s Aplication Development Woekbench (TI´s)

Information Engineering Facility (IEF) - Andersen Consulting´s Foundation for Cooperative Processing.

Lenguajes de Cuarta Generación (4GL)

Los lenguajes de cuarta generación son entornos de desarrollo de aplicaciones constituidos por un conjunto de herramientas integradas, entre las que se encuentran editores, compiladores, sistemas para el acceso a bases de datos, generadores de informes, generadores de pantallas (modo carácter, interfases gráficas), etc.

Son herramientas que por lo general funcionan sobre determinados tipos de SGBD y permiten construir a su alrededor potentes y productivos entornos de desarrollo de aplicaciones y sistemas de información. Las capacidades de los 4GL exceden ampliamente de las tradicionales facilidades de los SGBD, soportadas por los lenguajes de definición y manipulación de datos (DDL/DML) y de Consulta (SQL, QUEL y similares).

A diferencia de las herramientas CASE, los 4GL se centran fundamentalmente en las fases de construcción e implantación. En este aspecto, una herramienta CASE del tipo L-CASE tendría muchas semejanzas con un 4GL. De hecho, muchas herramientas U-CASE tienen interfases con un 4GL para completar el ciclo de vida del desarrollo de sistemas.

Los lenguajes que incorporan los 4GL suelen ser mezcla de lenguajes procedurales y no procedurales. La parte procedural se manifiesta en la definición de tipos de constantes, tipos de datos elementales, visibilidad de las variables (locales o globales), sentencias de control de flujo, definición de funciones y procedimientos, etc., mientras que la parte no procedural suele estar basada en el lenguaje SQL (Structured Query Language) o, como mínimo, en lenguajes de consulta de bases de datos relacionales.

Con los 4GL se consigue un aumento de productividad gracias a:

La utilización de funciones preprogramadas.

El entorno de desarrollo que facilita la realización de determinadas tareas como diseño de pantallas o informes.

25

Tipos de 4GL

Los 4GL, en función de su relación con un determinado gestor de base de datos, se pueden agrupar de la forma siguiente:

Lenguajes que están ligados a una base de datos. La mayoría de los gestores de bases de datos cuentan con un lenguaje de cuarta generación. Son lenguajes propietarios, lo que quiere decir que sirven únicamente para acceder a esa base de datos en particular. El aprovechamiento de los recursos del gestor es muy alto.

Lenguajes que son independientes del gestor de base de datos. Tienen la capacidad de acceder a diferentes bases de datos, generalmente aquellas que soportan un estándar común. No son lenguajes propietarios y por tanto no ligan al comprador a ninguna base de datos en particular. La necesidad de utilizar el 4GL, siguiendo estrictamente el estándar para asegurar la accesibilidad a diferentes bases de datos, impide sacar el máximo provecho de cada una de ellas.

Componentes y funcionalidades de un 4GL

Los principales componentes de un lenguaje de cuarta generación son:

Editor Donde se escriben las sentencias del lenguaje de programación. Puede contar con:

Ayuda de tratamiento de textos.

Facilidades para incorporar el nombre de variables, objetos o funciones.

Chequeo preliminar de errores de sintaxis.

Utilidades de selección, copia o movimiento de bloques.

Posibilidad de deshacer el último cambio.

Compilador Traduce las sentencias del lenguaje fuente a código binario o a un lenguaje intermedio. Las características más importantes de un compilador son:

Posibilidad de separar la interpretación del código fuente, de la generación del código. Esto permite la ejecución inmediata de una parte del código sin haber generado el fichero ejecutable.

Gestión avanzada de errores. Recuperación desde un estado erróneo del código, para poder continuar con el proceso de interpretación y así detectar el mayor número posible de errores en una única compilación.

Optimización del código. La traducción del código fuente va acompañada por una optimización del código (en tamaño y/o en rendimiento), a la hora de ejecutar la aplicación.

Módulo de acceso a base de datos

Incorpora la interfase con el gestor de base de datos. Facilita toda la comunicación con la base de datos, desde el diseño de las tablas hasta la construcción de sentencias para recuperar información. La mayoría de los 4GL soportan el lenguaje SQL estándar como lenguaje de acceso a base de datos relacionales, lo que garantiza la portabilidad.

Módulo de ayuda a las pruebas

26

Hay 4GL que permiten una ejecución controlada del código para poder aislar un error, con técnicas de ejecución paso a paso, localizando los puntos de parada y permitiendo la modificación del contenido de las variables durante la ejecución.

Generador de informes y pantallas

Los 4GL incorporan módulos para la construcción rápida de pantallas, ya sea en modo caracter o en modo gráfico. Asimismo, algunos cuentan con un módulo de generación de informes a través de consultas a la base de datos.

Diccionario

Algunos 4GL cuentan con un diccionario en el que almacenan la información referente a los objetos de la aplicación. Esto facilita la gestión de los objetos generados especialmente para trabajos en grupo.

Gestor de librerías

El gestor de librerías permite:

La distribución de los objetos por las librerías siguiendo los criterios que se establezcan.

La localización rápida de los objetos con el fin de analizar el impacto de una modificación o corregir un error.

La coordinación de los trabajos en equipo.

Módulo de control de versiones

Algunos lenguajes de cuarta generación incorporan facilidades para el control de versiones o tienen interfase con alguna herramienta del mercado para el control de versiones.

Biblioteca con funciones u objetos reutilizables en la aplicación.

La funcionalidad de este tipo de bibliotecas se describe en detalle en el apartado de otras herramientas, al hablar de bibliotecas de clases de objetos.

Tendencias Tecnológicas y del Mercado de Lenguajes de cuarta generación Independencia de plataformas hardware y software.

Independencia de estructuras de datos y acceso a información distribuida.

Interoperabilidad con herramientas ofimáticas.

Soporte para diferentes interfases gráficas de usuario.

Soporte para diferentes entornos de red.

La aplicación de forma más extendida del modelo cliente/servidor, tanto en el funcionamiento del propio 4GL como en las aplicaciones generadas.

Mayor apertura para la interfase con herramientas CASE.

Incorporación de la tecnología de orientación a objetos.

Aplicación de capacidades multimedia.

Unidad Temática 2 Automatización de Procesos

Guía para Computarizar Su Sistema Contable

27

Un sistema de administración financiera eficaz se basa en la disponibilidad de datos financieros fidedignos, exactos y oportunos. Por lo general estos datos son suministrados por el sistema contable de una organización. En respuesta a factores como expansión, nuevos requerimientos de rendición de informes, la necesidad de trabajar con miras a lograr una mayor autosuficiencia y la disponibilidad de una tecnología de costo relativamente bajo, un número cada vez mayor de organizaciones están adoptando sistemas de contabilidad computarizados que les suministrarán los datos que necesitan, en el momento que los necesitan. Planificar e adoptar un sistema de contabilidad computarizado eficiente podría parecer una tarea muy difícil y compleja para cualquier administrador. La intención de esta Guía es ayudarle a considerar algunos de los factores relevantes para tomar la decisión de computarizar o modernizar su sistema contable.

La mayoría de las organizaciones pasan por una progresión de sistemas contables. Por lo general comienzan con un sistema manual (utilizando papel), luego avanzan a una mezcla de papel y herramientas basadas en hojas de cálculo computarizadas, y finalmente adoptan un sistema computarizado simple. A menudo este sistema computarizado incluirá una mezcla de varios sistemas o programas que ingresan datos en hojas de cálculo o bases de datos. Las mejoras del equipo y el software de computación facilitan más que nunca la transición de una mezcla de papel y herramientas basadas en hojas de cálculo a la implementación de un sistema computarizado, o la modernización de un sistema existente. Los costos bajos de las computadoras y del software también han logrado reducir el costo financiero que se requiere para realizar este cambio.

Esta guía está dirigida a los administradores que están considerando si deben o no computarizar sus sistemas contables, o que están en el proceso de preparación o implementación de una decisión previa con miras a computarizarlo. También podría ser útil para los administradores que están evaluando las necesidades de sus programas en lo que respecta a los sistemas contables computarizados, haciendo recomendaciones a sus oficinas regionales o centrales con respecto a la tecnología, o implantando nuevos sistemas automatizados o versiones nuevas del sistema contable.

La guía proporciona una visión panorámica de todas las fases de la automatización o modernización de un sistema contable, desde la toma de la decisión de computarizar, hasta la preparación para la computarización y la implementación de un proyecto de computarización, y toma como punto central un paso clave dentro de este proceso: la selección y adquisición del software. La guía proporciona también una lista de preguntas para ayudarle a identificar los problemas que tienen sus sistemas actuales y comprender si la computarización resolverá estos problemas o no. También proporciona una herramienta que le ayudará a evaluar los paquetes de programas así como a los vendedores de software y comprender en qué manera podrían cubrir o no sus necesidades.

Toma de Decisión de ComputarizarLa decisión de automatizar su sistema contable generalmente depende de su necesidad de contar con datos exactos, consistentes y oportunos en una diversidad de formatos para rendición de informes. ¿Tiene ya un buen sistema manual? ¿Se ha dado cuenta que el personal contable emplea demasiado tiempo en llenar las planillas manualmente? ¿Está frustrado porque no puede probar nuevas alternativas de costos empleando información nueva? ¿Demoran los donantes los desembolsos de fondos debido al retraso de su organización en la presentación de informes? Si usted respondió "si" a cualquiera de estas preguntas, su organización se podría beneficiar de la computarización o modernización de su sistema contable.

Examen de los Beneficios de la ComputarizaciónLa automatización de su sistema contable puede traer consigo muchos beneficios tangibles e intangibles. La siguiente tabla proporciona una visión panorámica rápida de los beneficios de un sistema contable computarizado que funciona bien.

Examen de la Computarización: Necesidades y BeneficiosNecesidades de los Administradores Beneficios de un Sistema Computarizado

Los administradores requieren información oportuna y exacta para tomar decisiones El sistema verifica automáticamente los números de las cuentas y rechaza los datos que no se adecuan a los criterios establecidos

28

Los cheques o comprobantes faltantes se ponen en evidencia inmediatamente

Los procesos tediosos de registro se automatizan

Se pueden generar diferentes informes rápidamente cuando se solicitan

Los administradores pueden consultar el sistema para obtener información ad hoc

El procesamiento y análisis de datos son más rápidos y más exactos

Los administradores deben identificar y resolver problemas Permite que los administradores reconozcan los problemas con mayor facilidad, como la recaudación lenta de las cuentas por cobrar, la disminución de las ventas o las necesidades de dinero en efectivo

Razones "Equivocadas" para Computarizar Su Sistema Contable

"Todos han ingresado a la era de la computación… es lo que está de última moda."

"Nuestras cuentas son un verdadero desastre… deberíamos computarizarlas y organizarnos."

"Nos acaban de donar computadoras… deberíamos utilizarlas."

"La oficina de finanzas es ineficiente… les toma demasiado tiempo hacer las cuentas."

"He visto un software nuevo anunciado en una revista… es lo último y ¡justo lo que necesitamos!"

Examen de los Límites y Peligros Latentes Potenciales A pesar de que se pueden derivar muchos beneficios de la computarización de un sistema contable, usted debería considerar cuidadosamente qué es lo que un sistema computarizado puede hacer por usted y cómo le podría ayudar a procesar los datos para tomar decisiones. Considere lo siguiente:

Un sistema computarizado requiere de datos exactos y actualizados. Simplemente por el hecho que su sistema esté computarizado esto no significa que esté actualizado y libre de errores. Usted debería actualizar y verificar sus datos regularmente.

Las computadoras no pueden resolver los problemas de su sistema contable. Un sistema computarizado, por sí solo, no puede conciliar sus libros, mejorar la estructura de su organización, mejorar su eficiencia financiera, o mejorar la administración de su programa. No resolverá problemas como el del personal carente de aptitudes o de motivación, una capacidad administrativa deficiente, políticas operativas inapropiadas, o condiciones externas desfavorables. La computarización no mejorará un sistema contable problemático, pero sí puede mejorar un sistema que funciona bien.

Computarizar su sistema contable podría requerir de nuevas aptitudes a nivel de su organización. Es posible que necesite contratar personal nuevo o capacitar al personal existente. Podría ser necesario que reorganice su departamento contable, despida a algunas personas o contrate nuevos administradores. Es muy probable que el personal se resista a estos cambios. Usted debe invertir tiempo y recursos para orientar al personal y explicarle la necesidad y los beneficios del nuevo sistema con el objeto de evitar retrasos o fallas en la implementación.

La computarización implica riesgos. Su personal debe mantenerse alerta ante los ataques de virus y otras amenazas que podrían afectar la integridad de los datos. La confidencialidad de cierta información podría constituir un problema que debe considerar y el acceso a cierta información quizás deba limitarse a algunas personas específicas. Errores de ingreso de datos podrían dar como resultado cálculos inexactos y una representación inexacta de la posición financiera de su organización. Estar consciente de estos tipos de riesgos le ayudará a minimizarlos.

La computarización podría tener costos ocultos. Estos costos incluyen los gastos de adquisición de equipo periférico (lectores de discos "zip", impresoras adicionales) y los suministros necesarios (toner, tinta, papel). Los costos futuros incluyen la modernización de su sistema, la obtención de apoyo técnico y el almacenamiento de datos.

29

Computarizar todo su sistema de golpe podría ser ineficiente. Intentar automatizar todo de golpe podría dar como resultado un sistema difícil de manejar, no confiable, ineficiente y con un efecto desmoralizador sobre el personal. Un enfoque gradual podría funcionar mejor.

Preparación para la ComputarizaciónMientras se prepara para la computarización, debe plantearse ciertas preguntas con respecto a la capacidad de su organización, los sistemas existentes, los recursos humanos, el espacio físico, los recursos financieros y las necesidades de información. Muy frecuentemente, las conversaciones referentes a la computarización de un sistema contable se limitan simplemente a la selección del software. Esta visión estrecha no toma en cuenta muchos otros factores que pueden hacer que la computarización tenga éxito o fracase en cubrir las necesidades de su organización. Particularmente usted deseará evaluar sus necesidades administrativas y contables con respecto a un sistema computarizado, y si su organización está lista para la computarización.

La siguiente tabla proporciona una lista breve de preguntas con las que usted debería empezar para poder prepararse para la computarización.

Preguntas Clave que Debe Plantearse Cuando Se Prepare para la Computarización¿Qué problemas comerciales o administrativos existentes podría resolver o minimizar la computarización?

¿Qué tipo de información necesita la organización del sistema contable computarizado para poder responder a interrogantes administrativas o de negocios y tomar decisiones administrativas?

¿Quién recibirá esta información y se beneficiará de la mayor disponibilidad y suministro oportuno de la misma? ¿Qué tipos de decisiones administrativas se podrán tomar con esta información?

¿Existe financiamiento disponible para la computarización? ¿Tiene límites su presupuesto? ¿Es que los requisitos impuestos por los donantes constituyen una barrera para la computarización? ¿Vale la pena incurrir en el costo de comprar, instalar y mantener el sistema computarizado simplemente para contar con información más oportuna y accesible?

¿Cuál es la capacidad actual de la tecnología informática de su organización, y puede ésta apoyar la computarización?

Evaluación de las Necesidades Administrativas y Contables Al prepararse para la computarización, debería considerar las necesidades administrativas de la organización y lo que ésta desea de su sistema contable. Trabaje con otros administradores en su organización para responder a estas preguntas, tal vez en sesiones de lluvia de ideas o a través de entrevistas individuales o en grupo. Muchas organizaciones encuentran que es beneficioso contratar un asesor para que trabaje con un grupo de administradores con el objeto de determinar las necesidades de la organización. Un asesor podría estar en condiciones de ayudar a identificar las verdaderas causas de los problemas administrativos, incluyendo aquellos que no serán resueltos por el simple hecho de computarizar el sistema contable.

La tabla a continuación proporciona preguntas modelo para evaluar sus necesidades de computarización. Estas preguntas son ilustrativas y las respuestas serán distintas para cada organización en particular.

Preguntas Modelo para Evaluar las Necesidades de Computarización¿Cómo contribuirá la computarización al logro de las metas de la organización?

¿Cuán compleja es la organización? La complejidad está relacionada con la magnitud del presupuesto, el volumen de transacciones mensuales y la cantidad de personal, donantes, monedas de curso legal que se emplean, lugares donde se prestan servicios, años fiscales y usuarios de la información contable.

¿Qué es lo que usted desea que su sistema contable haga?

Apoyar cotidianamente las tareas administrativas como el registro de los pacientes y la impresión de facturas

30

Registrar y reportar información contable

Registrar los tratamientos suministrados en forma gratuita

Administrar los bienes de consumo, los medicamentos y otros suministros

¿Qué desea saber sobre su sistema contable, y quién utilizará esta información?

¿Qué tipo de información requiere?

¿Qué tipos de informes se producirán?

¿Quién examinará estos informes?

¿Cuán frecuentemente se requieren estos informes?

¿Qué decisiones le ayudarán a tomar estos informes?

¿Qué es lo que los administradores no están obteniendo del sistema actual, como ser un acceso rápido a información administrativa exacta y útil?

¿Cuáles son sus mayores preocupaciones? ¿Cuál es la mayor pérdida de tiempo en su sistema contable actual?

¿Cuenta la organización con una lista de cuentas adecuada para encarar esta complejidad? ¿Mejoraría la calidad de los informes o la información financiera con una lista de cuentas ampliada y revisada?

¿Qué impacto desea que tenga la computarización? ¿Desea que ésta reduzca el tiempo de análisis, aumente la velocidad del ingreso y procesamiento de los datos, aumente la exactitud de los mismos, mejore los controles, muestre tendencias, o mejore la administración de las adquisiciones y pagos? ¿Vale la pena incurrir los costos para adoptar el nuevo sistema si se considera su probable impacto?

¿Qué tipo de información se ingresará al sistema?

¿Qué datos detallados se deberían ingresar al sistema computarizado?

¿Qué datos se deberían ingresar solamente en forma resumida?

¿Qué datos se deberían mantener en un sistema manual y no se deberían ingresar al sistema computarizado?

¿Se deberían contratar los servicios externos de terceros para algunas partes del sistema computarizado, como las planillas de sueldos?

¿Se computarizarán todas las oficinas y clínicas de la organización? ¿Estarán todas conectadas en red?

¿Se debería integrar el sistema contable con otros sistemas, como las planillas de sueldos y los inventarios de suministros? ¿Es esto necesario? Si así fuera, ¿cómo se vincularían los sistemas?

¿Podría resolver sus necesidades administrativas una ligera modernización de bajo costo del sistema actual?

¿Se han explorado otras soluciones posibles (por ejemplo, capacitación del personal, contratación de personal con diferentes aptitudes, modificación de los procedimientos operativos) para cubrir sus necesidades administrativas?

¿Se han identificado las necesidades actuales y futuras? (Este es un punto crítico; ¡muchas organizaciones invierten en un sistema que rápidamente deja de ser adecuado para sus necesidades!)

Evaluación del Estado de Preparación de Su Organización Si usted decide que la computarización realmente podrá cubrir las necesidades administrativas y contables de su organización, formule las siguientes preguntas para ayudarle a identificar si su organización está preparada para la computarización. Para cada pregunta, la tabla sugiere varias acciones de seguimiento.

Implementación de Su Proyecto de Computarización

31

Un proyecto de computarización debería contar con la participación de una amplia gama de integrantes del personal y afectar a muchos departamentos y niveles diferentes dentro de su organización. Usted debe formar un equipo del proyecto, determinar sus objetivos, celebrar reuniones regularmente, establecer los requisitos de rendición de informes, llevar a cabo una evaluación (incluyendo un análisis de costos), elaborar un presupuesto realista y desarrollar un cronograma susceptible de logro. La formación de un equipo, integrado por miembros de todas las áreas de la organización, es crucial para el éxito del proyecto. Esto reconoce el impacto que tendrá el proyecto sobre toda la organización y aumenta el grado de compromiso del personal con respecto al suministro de datos exactos y la utilización de los informes que generará el nuevo sistema.

Los siguientes pasos le ayudarán a implementar su proyecto de computarización:

Formar el equipo del proyecto;

Preparar los documentos que servirán de guía;

Examinar el sistema actual;

Desarrollar propuestas de modificaciones para el sistema;

Seleccionar y comprar el software;

Instalar los equipos de computación, los dispositivos y el software, e ingresar la información preliminar requerida;

Preparar y capacitar al personal;

Seguir paso a paso y evaluar el proyecto.

El momento en que se tomen estos pasos dependerá del tamaño y complejidad de su organización. Un cronograma ilustrativo se presenta en el cuadro de la página XX.

Posteriores secciones de este suplemento tratan con mayor detalle dos aspectos importantes referentes a la selección y compra del software para su proyecto de computarización: la definición de las necesidades de software y la evaluación del software y de los vendedores, a partir de la página XX.

Formación del Equipo del Proyecto Usted debería seleccionar un administrador del proyecto para que supervise todo el proceso: la coordinación de las reuniones con los proveedores de equipos, los asesores y el personal, y el seguimiento y el informe al personal gerencial de mayor jerarquía con respecto al avance logrado. El equipo del proyecto debería incluir miembros clave del personal del departamento de contabilidad, así como personal y administradores del programa de otros departamentos que emplearán los informes producidos por el nuevo sistema. Asegúrese de incluir al personal financiero que trabajará con el sistema en forma cotidiana, y no solamente al personal administrativo de mayor jerarquía. Si su organización ya cuenta con un departamento de computación, asegúrese de incluir al administrador del sistema. También incluya a los asesores, voluntarios y otras personas que administrarán o dirigirán el proyecto. Formar un equipo al comenzar el proceso asegurará que estén representadas todas las perspectivas. Preparación de los Documentos que Servirán de Guía

Invierta tiempo al inicio del proyecto para preparar documentos formales destinados a guiar el proceso de computarización. Tener estos documentos listos para que sean usados por el equipo al seguir los pasos de la implementación hará que el proceso sea más fluido en las etapas posteriores. Los documentos que servirán de guía deberían incluir:

Justificación de la necesidad de la compra;

Definición de objetivos;

Marco referencial para la revisión de los sistemas existentes;

Presupuesto;

Términos de referencia para el proveedor y los asesores, si se requiriese;

32

Cronograma, detallando al personal responsable de las diferentes tareas;

Plan de control y evaluación, incluyendo el seguimiento de los puntos de referencia y los indicadores de éxito.

Presupuesto. Asegúrese que el presupuesto sea comprensivo e incluya los recursos para la capacitación, suministros y reimpresión de formularios.

Cronograma. Al desarrollar el cronograma, fije plazos de tiempo susceptibles de cumplimiento, poniendo atención especial a ciertas tareas que dependen de la conclusión previa de otras tareas. Incluya el tiempo suficiente para realizar pruebas y modificar el sistema. La falta de cumplimiento de los plazos establecidos irreales podría afectar negativamente la moral del personal. Siempre que sea posible, evite implementar el proyecto en épocas de mucho trabajo, como el cierre de fin de año, para amortiguar el impacto del tiempo necesario para transferir los datos del sistema manual al computarizado.

Examen del Sistema Actual Antes de tomar cualquier decisión con respecto a la implementación de un sistema nuevo, el equipo del proyecto debe realizar un examen exhaustivo de los procedimientos internos y la documentación actual de la organización, sobre los que se apoya el sistema contable computarizado. Usted se debe asegurar que los libros del sistema manual estén conciliados y que la información sea exacta. El equipo debe examinar:

Las necesidades del personal y de todos los usuarios finales;

Los procedimientos en todos los puntos de servicio y de ingreso de datos;

La lista de cuentas, la clasificación de las cuentas y los centros de costos;

Los diseños de informes y presupuestos;

Las estructuras de codificación para los diferentes ítems como medicamentos, suministros para la planificación familiar y actividades del proyecto;

Archivos maestros, como cuentas, costos, proveedores, vendedores y expedientes de los pacientes;

Mecanismos de control para el ingreso de datos, como formularios y listas de verificación.

Desarrollo de Propuestas para Efectuar Modificaciones Basándose en los resultados del examen del sistema, el equipo del proyecto debe identificar las necesidades que no están cubiertas por el sistema actual y desarrollar propuestas para efectuar modificaciones que ayudarán a la organización a cubrir esas necesidades.

Para este paso, el equipo debería:

Modificar los procedimientos y formularios financieros, de acuerdo a necesidad;

Examinar la lista de cuentas y el esquema de codificación relacionado con el mismo;

Diseñar los informes administrativos.

Selección y Compra del Software Este paso incluye la determinación de sus necesidades de software, la evaluación de los módulos de software contable y la evaluación de los paquetes de software y de los vendedores.

Determinar las necesidades de software. Sus necesidades de software dependen de factores como el tamaño de su organización, el número y tipo de transacciones que deben ser ingresadas (como la cantidad de monedas con las que usted trabaja y el volumen de los servicios que usted está registrando), y sus requisitos de rendición de informes.

Desarrollar especificaciones para el software y el apoyo técnico;

Evaluar si usted necesita software especializado para organizaciones sin fines de lucro.

Evaluar módulos de software contable. Los módulos de software contable siguen los módulos de un sistema contable típico. El software simple contiene todos los módulos en un solo paquete, en tanto que los

33

paquetes más complejos los vende por separado, y usted compra e instala solamente los módulos que usted necesita. Al evaluar los módulos de software contable, usted debería:

Determinar que módulos de software contable cubren mejor sus necesidades;

Determinar si usted necesita un paquete simple o complejo.

Instalación de los Equipos y del Software e Ingreso de la Información PreliminarLa implementación de un proyecto de computarización puede llevar un año o más desde la instalación inicial hasta la transición gradual de los sistemas manuales o computarizados obsoletos. El vendedor del software puede prestarle asistencia en varios de los siguientes pasos:

Instalar los equipos, los dispositivos y otras mejoras tecnológicas de informática, si fuere necesario;

Instalar software adicional como el software para red de usuarios;

Instalar el software contable;

Ingresar los balances de apertura y otra información preliminar requerida, como la información referente a la organización, el vendedor y los clientes;

Hacer funcionar el sistema de computación en forma paralela con los sistemas existentes (como el sistema manual);

Corregir cualquier problema que pudiera existir con el software o los procedimientos de administración financiera;

Reducir el uso del sistema manual;

Eliminar gradualmente el sistema manual.

Preparación y Capacitación del Personal A menudo, una organización se concentra en el sistema en sí (equipos, dispositivos y software) durante la computarización y deja de lado la preparación y capacitación del personal que utilizará los resultados del sistema para la toma de decisiones. Es crucial que su personal comprenda el sistema.

Para este paso, la organización debería:

Proporcionar una sesión de capacitación u orientación preliminar con respecto al software antes de la implementación;

Contratar personal nuevo, como personal temporal para crear las bases de datos y para ingresar las transacciones previas;

Capacitar al personal existente;

Examinar los tipos de cargos, las descripciones, roles y responsabilidades de cada uno de ellos si fuere necesario;

Capacitar a un administrador de sistema en el mantenimiento del software, incluyendo mejoras, cambios en el sistema y archivos de respaldo;

Capacitar al personal contable en el uso de los módulos del sistema;

Capacitar al personal administrativo y del programa en la interpretación de los informes.

Control y Evaluación

Periódicamente compare el avance del proyecto con los puntos de referencia establecidos al inicio del proyecto para mantener al equipo del proyecto adecuadamente encaminado y mantener al personal informado y entusiasta con respecto a los cambios que se están implementando. Las reuniones periódicas proporcionarán una oportunidad para que el personal plantee cualquier duda sobre los aspectos relativos a la implementación, identifique los obstáculos y soluciones, y reasigne su tiempo y otros recursos de acuerdo a necesidad.

34

Selección y Compra del Software La selección y compra del software que usted utilizará para computarizar su sistema contable es la decisión más importante en el proceso de computarización. Usted necesita considerar cuidadosamente las características y la capacidad del software en relación con las necesidades de computarización de su organización. Necesita evaluar los módulos del software contable y determinar cuáles deberá instalar y utilizar. La evaluación de las opciones de software y de vendedores constituye otra parte importante de este proceso.

Determinación de las Necesidades de SoftwareSus necesidades de software dependen de diversos factores, como la cantidad de monedas de curso legal que su organización debe manejar y su necesidad de un sistema que pueda adecuar a la medida de sus necesidades. Los programas más simples están diseñados para los negocios pequeños. Están generalmente diseñados para un solo usuario, como el administrador o el contador. Los programas más complejos están diseñados para las empresas de mayor envergadura que lleva la contabilidad de cada departamento. Los programas más avanzados pueden tener múltiples usuarios a través de una red local de gran magnitud, o pueden conectar múltiples sitios a través de una red amplia.

Seguridad. Los programas simples pueden tener una contraseña para restringir el acceso al mismo, pero generalmente permitirán que el usuario modifique datos ingresados previamente. Aunque esto hace que estos programas sean útiles para las organizaciones que no están preocupadas por cuestiones de seguridad, podría constituir una gran desventaja para las organizaciones más grandes con personal contable múltiple. Los programas más complejos tienen más mecanismos de seguridad. El administrador puede restringir las tareas que cada usuario puede realizar.

Métodos de compra y costos. Los programas simples normalmente se venden como un solo producto, y es posible que usted tenga que comprar un paquete separado para cada usuario. Los programas más complejos normalmente se venden por módulos, y el precio podría variar de acuerdo al número planificado de usuarios.

Necesidad de software especializado para organizaciones sin fines de lucro. Algunos programas de software fueron desarrollados específicamente para las organizaciones sin fines de lucro. El punto fuerte de estos paquetes generalmente tiene que ver con la recepción de donativos, la contabilidad de fondos, y la rendición de informes a los donantes y generalmente permiten muchos niveles de subclasificaciones de cuentas.

UNIDAD TEMATICA 3Seguridad de los Sistemas de InformaciónEl logro de la seguridad y protección de los recursos informativos de la Entidad

Recursos Informativos de una Entidad: Las informaciones generadas interna o externamente en la entidad por el resultado de sus

operaciones internas o en relación con el entorno circundante: (Clientes, proveedores, competidores, agencias del gobierno, etc.) Son informaciones insustituibles pues se han producido para reflejar los hechos relacionados exclusivamente con la entidad o con la esfera de su interés.

Las informaciones de carácter general: Que interesan a la entidad y que ha obtenido por la consulta a fuentes informativas externas: Internet, servicios informativos especializados, medios masivos de información, etc.

Los programas de aplicación (software de aplicación) elaborados a solicitud de la entidad o adquiridos por ella con cierto carácter de exclusividad: Además de la documentación técnica y de utilización. Se pueden obtener nuevamente en caso de pérdida, pero a costa de grandes gastos.

El software de carácter general: Sistemas operativos, software utilitario. Pueden obtenerse fácilmente, con gastos de adquisición moderados.

35

El hardware construido específicamente para la entidad: En la actualidad es algo poco corriente, pues la oferta es muy amplia.

El hardware de carácter general: Computadoras, líneas de transmisión de datos, equipos de protección, etc.

El personal relacionado con el procesamiento de la información: operadores de computadoras, administradores de bases de datos, bibliotecarios de soporte, analistas de información, informáticos, programadores, etc. Recursos que cuestan mucho dinero formarlos e instruirlos.

El costo de perder las informaciones y bases de datos particulares es mayor que el de perder el hardware.

No se debe perder de vista que se está ante un sistema interrelacionado y la afectación a uno de ellos seguramente afectará a los otros.

Las amenazas a estos recursos pueden ser: Errores humanos Delitos o acciones malintencionadas Desastres naturales o artificiales Afectaciones electrónicas y de software

Un Sistema de Controles generales de PED puede disminuir o erradicar estas amenazas.

El objetivo de estos controles no se debe limitar al ambiente informático únicamente, debe aplicarse al sistema Informativo de la entidad desde el lugar donde surgen las informaciones iniciales hasta donde se aplican: procesos de planificación, organización, toma de decisiones y control de la entidad, almacenamiento y procesamiento.La seguridad y protección no es un concepto absoluto que debe ser lograda a toda costa: se relaciona íntimamente con la problemática Informativa de la entidad y lo es también de costo beneficio.

Es tarea del auditor financiero contemporáneo contribuir al diseño de un sistema de seguridad y protección de los recursos informativos acorde a las necesidades y posibilidades de las entidades con las que se relacione profesionalmente.La seguridad y protección deben enfocarse a la consecución de la Misión y al logro de los objetivos de la misma.

Medidas de protección de activos tangibles y mucho más. La seguridad y protección deben ser parte de los hábitos comunes de trabajo, de su cultura técnico-

organizacional

La seguridad y protección es un proceso que debe diseñarse a partir de un detallado análisis de las necesidades y posibilidades de la entidad, no debe verse como un proceso burocrático que “hay que cumplir”Exige la participación activa de la gerencia en todos sus niveles y la participación de los usuarios es básica para su garantía.El auditor financiero debe controlar la aplicación adecuada de ésas políticas. La seguridad y protección es una responsabilidad de todas aquellas personas involucradas en los procesos de tratamiento de la información y su utilización.Esta responsabilidad integral requiere de su implementación sistémica en la entidad. Cada persona involucrada debe estar imbuida de su importancia y el rol que juega puede garantizar todos los procesos

36

productivos: de servicios, económicos, financieros y de gestión. Deben estar informados de las amenazas y peligros existentes y de qué hacer para evitarlos.Los controles y medidas deben estar reflejados explícitamente en documentos de trabajo (normativas, manuales, ayudas en línea en las aplicaciones, etc.) Las medidas y controles generales de PED y los controles de su aplicación deben estar diseñados con un criterio integral, pues todas las aplicaciones soluciones problemas similares en forma similar. Consistencia en la solución de problemas. (“lo similar siempre se soluciona de igual forma”)La seguridad y protección se implantará a través de un Programa o Plan de de seguridad y Protección, en el cual se reflejen las tareas concretas a realizar con las responsabilidades bien definidas en cuanto a dirección y ejecución.

Plan de Seguridad y Protección de los Recursos InformativosEste plan debe orientarse para ser aplicado en las siguientes áreas de trabajo:

Área de Proceso Informático de la Información Área de captación de la información primaria Canales de Transmisión de Datos por líneas de comunicación Actividad de traslado físico de información (formularios, informes y reportes impresos) Biblioteca de soportes magnéticos Área de toma de decisiones y control, mediante la información que brinda el sistema Áreas físicas circundantes

Debe incluir un Sistema de Medidas de Seguridad y Protección relacionadas con: El software La construcción y reconstrucción de oficinas, locales en general y edificios La instalación de equipos de seguridad y protección Las medidas organizativas y de dirección Las medidas educativas y culturales Las medidas legales

Plan o Programa para Contingencias y Catástrofes. Donde se establece claramente qué hacer en caso de determinados desastres que puedan afectar los recursos informáticos. Allí se incluyen medidas para evitar y recuperar los recursos afectados y qué hacer para continuar el trabajo en esas condiciones excepcionales.Este plan requiere activar medidas educativas y organizativas para que sean conocidos por todos los implicados y todos sepan qué hacer en determinado caso.

Proceso de elaboración y aplicación del Sistema de Medidas de Seguridad y Protección de los recursos informativos

Proceso de elaboración y aplicación del Sistema de Medidas de Seguridad y Protección de los recursos informativos debe ser elaborado a partir de las necesidades de la entidad y de sus posibilidades técnicas, organizativas, de personal y económicas.Por lo que debe haber un estudio detallado que identifique las causas potenciales de riesgos y determine los controles de carácter general o de aplicación que se van a diseñar e implementar, para disminuir o eliminar dichas causasDebe ser racional y práctico, debe contemplar la relación costo beneficio de los recursos que se desea proteger

37

Este proceso se realizará por etapas donde muchas de esas funciones recaen sobre el mismo empleado y donde no hay posibilidades económicas de segregar y dividir funciones, deben aplicarse las medidas posibles.

Etapas:1- Establecimiento de los objetivos de seguridad y protección de los recursos informativos de la

entidad: Se define por la alta gerencia, los auditores y responsables de la seguridad y protección. Se definirá: qué se pretende, qué se quiere proteger, qué están dispuestos o no a permitir en caso de una contingencia.

2- Garantizar la participación de todos los implicados: Aquí hay una gran carga de trabajo cultural educativo: conferencias, explicaciones, ubicación de afiches, etc. Los auditores y los responsables deben difundir la necesidad de adquirir hábitos saludables para lograr seguridad y protección. También se requerirá soporte administrativo, organizativo y legal.

3- Análisis de las causas de riesgos: Es una etapa técnica, implica detectar aquellos puntos que ofrecen peligros o amenazas contra los recursos informativos.

4- Diseño de medidas necesarias: división en medidas o controles generales y de aplicación. Diseño del plan para contingencias y catastrotes: Tiene dos partes: a) Diseño del sistema de medidas o controles generales de aplicación. Y se establecen las directivas generales a seguir por los diseñadores de cada aplicación informática. B) Diseño del plan para contingencias o catástrofes. Se analizan un conjunto particular de causas de riesgos (Catástrofes naturales o artificiales) que pueden propiciar la pérdida de todos o parte de los recursos informativos

5- Documentar el plan de medidas: Obedece no a burocratizar, sino a la formalización que implica escribir el plan de medidas contribuye a su logro y a su accionar práctico. Evita confusiones y malas interpretaciones. Garantiza la realización de las auditorias. La forma de documentar las el plan de medidas depende de las características de la entidad, de las preferencias de auditores, usuarios, etc. Una forma adecuada es dividirla en: Medidas relacionadas con los controles generales de PED Medidas relacionadas con los controles de aplicación de PED Medidas relacionadas con las contingencias y desastres

6- Aplicación del sistema de medidas. Acciones necesarias para aplicar las medidas: Implica tomar las acciones necesarias para activar el sistema de medidas diseñado y documentado. Es una etapa fundamental pues si no se realiza convenientemente, todo el proceso puede quedar en un mero ejercicio burocrático. El jefe de diseño y elaboración de sistemas tiene que implementar todas las medidas y controles recomendados y procedentes a los sistemas de aplicación que se estén elaborando. Cada medida o control a aplicar puede exigir esfuerzos diferentes: puede requerirse la instalación de una nueva puerta más segura, candados de seguridad a cada máquina o simplemente trasladar la computadora a otro lugar.

7- Controlar la aplicación del plan de medidas y el plan para contingencias y catástrofes: El método fundamental es la observación científica y rigurosa que ejecuten los auditores con el objetivo de: garantizar que se cumplan los planes elaborados y que los sistemas diseñados e implantados es eficaz y eficiente, brindando así un nivel adecuado de seguridad y protección.

8- Análisis sistemático de la adecuación de los planes a la realidad. Modificación y actualización de los mismos: Su objetivo es adecuar el sistema de medidas elaborado a los cambios del medio ambiente y a las nuevas exigencias. Para realizarlas deben basarse en: Experiencias obtenidas durante la aplicación del sistema de medidas, aspectos positivos y negativos,

resultados. Cambios en la misión y los objetivos de la entidad Cambios en el hardware y el software general Necesidades de los nuevos sistemas de aplicación que se diseñan o se desean adquirir Modificaciones a los sistemas de aplicación que se encuentran en explotación.

38

Algunas medidas generales de seguridad y protección de Recursos Informativos Medidas de protección mediante la construcción-remodelación de locales: . Medidas de seguridad y protección a través de la instalación de equipos: . Medidas organizativas y de dirección: Medidas educativas y culturales Medidas legales de Protección Medidas de Protección a través del software

Consulta no autorizada a las Bases de DatosArquitectura interna de una BD.La arquitectura de un sistema de base de datos se divide en 3 niveles comunes, nivel interno, conceptual y externo.

Nivel Interno: Es el mas cercano al almacenamiento físico, es decir, es el que se ocupa de la forma como se almacenan físicamente los datos.

Nivel Externo: Es el mas cercano a los usuarios, es decir, es el que se ocupa de la forma como los usuarios reciben los datos.

Nivel Conceptual: Es el nivel de mediación entre los 2 anteriores:

Externo (aplicaciones)

Conceptual (modelo, (entidad/relación))

Interno (Hardware)

Definición de Base de DatosTodo buen curso necesita empezar con algunos conceptos básicos para el mejor entendimiento del mismo, por lo tanto empezaremos con las definiciones que involucran a las bases de datos:

Dato: Conjunto de caracteres con algún significado, pueden ser numéricos, alfabéticos o alfanuméricos.

Información: Es un conjunto ordenado de datos los cuales son manejados según la necesidad del usuario, para que un conjunto de datos pueda ser procesado eficientemente y pueda dar lugar a información, primero se debe guardar lógicamente en archivos.

Conceptos básicos de archivos computacionalesCampo: Es la unidad más pequeña a la cual uno puede referirse en un programa. Desde el punto de vista del programador representa una característica de un individuo u objeto.

Registro: Colección de campos de iguales o diferentes tipos.

Archivo: Colección de registros almacenados siguiendo una estructura homogénea.

Base de datos: Es una colección de archivos interrelaciónales, son creados con un DBMS. El contenido de una base de datos engloba a la información concerniente (almacenadas en archivos) de una organización, de tal manera que los datos estén disponibles para los usuarios, una finalidad de la bases de datos es eliminar la redundancia o al menos minimizarla. Los tres componentes principales de un sistema de base de datos son el hardware, software DBMS y los datos a manejar, así como el personal encargado del manejo del sistema.

Sistema Manejador de Base de Datos. (DBMS)Interrelacionadas, cada una de las cuales es responsable de una tarea especifica.

39

El objetivo primordial de un sistema manejador base de datos es proporcionar un contorno que sea a la vez conveniente y eficiente para ser utilizado al extraer, almacenar y manipular información de la base de datos.

Todas las peticiones de acceso a la base, se maneja centralizadamente por medio del DBMS, por lo que este paquete funciona como interfase entre los usuarios y la base de dato.

Esquema de base de datos: Es la estructura por la que esta formada la base de datos, se especifica por medio de un conjunto de definiciones que se expresa mediante un lenguaje especial llamado lenguaje de definición de datos. (DDI).

Administrador de base de datos (DBA): Es la persona o equipo de personas profesionales responsables del control y manejo del sistema de base de datos, generalmente tienen experiencia en DBMS, diseño de bases de datos, sistemas operativos, comunicación de datos, hardware y programación.

Los sistemas de base de datos se diseñan para manejar grandes cantidades de información, la manipulación de los datos involucra tanto la definición de estructuras para el almacenamiento de la información como la provisión de mecanismos para la manipulación de la información, además un sistema de base de datos debe de tener implementados mecanismos de seguridad que garanticen la integridad de la información, a pesar de caídas del sistema o intentos de accesos no autorizados.

Un objetivo principal de un sistema de base de datos es proporcionar a los usuarios finales una visión abstracta de los datos, esto se logra escondiendo ciertos detalles de cómo se almacenan y mantienen los datos.

Objetivos de los sistemas de bases de datos Los objetivos principales de un sistema de bases de datos es disminuir los siguientes aspectos:

Redundancia e inconsistencia de datos: Puesto que los archivos que mantienen almacenada la información son creados por diferentes tipos de programas de aplicación existe la posibilidad de que si no se controla detalladamente el almacenamiento, se pueda originar un duplicado de información, es decir que la misma información sea más de una vez en un dispositivo de almacenamiento. Dificultad para tener acceso a los datos: Un sistema de base de datos debe contemplar un entorno de datos que le facilite al usuario el manejo de los mismos. Supóngase un banco, y que uno de los gerentes necesita averiguar los nombres de todos los clientes que viven dentro del código postal 787333 de la ciudad. El gerente pide al departamento de procesamiento de datos que genere la lista correspondiente.

Puesto que esta situación no fue prevista en el diseño del sistema, no existe ninguna aplicación de consulta que permita este tipo de solicitud, esto ocasiona una deficiencia del sistema.

Aislamiento de los datos: Puesto que los datos están repartidos en varios archivos, y estos no pueden tener diferentes formatos, es difícil escribir nuevos programas de aplicación para obtener los datos apropiados.

Anomalías del acceso concurrente: Para mejorar el funcionamiento global del sistema y obtener un tiempo de respuesta más rápido, muchos sistemas permiten que múltiples usuarios actualicen los datos simultáneamente. En un entorno así la interacción de actualizaciones concurrentes puede dar pos resultado datos inconsistentes. Para prevenir esta posibilidad debe mantenerse alguna forma de supervisión en el sistema.

Problemas de seguridad: La información de toda empresa es importante, aunque unos datos lo son mas que otros, por tal motivo se debe considerar el control de acceso a los mismos, no todos los usuarios pueden visualizar alguna información, por tal motivo para que un sistema de base de datos sea confiable debe de mantener un grado de seguridad que garantice la autentificación y protección de los datos. En un banco por ejemplo, el personal de nominas solo necesita empleados del banco y no a otro tipo de información.

Problemas de integridad: Los valores de datos almacenados en la base de datos deben satisfacer cierto tipo de restricciones de consistencia. Esta restricciones se hacen cumplir en el sistema añadiendo códigos apropiados en los diversos programas de aplicación.

40

La información es uno de los activos más importantes de las entidades.Es indudable que cada dia las entidades dependen de mayor medida de la información y de la tecnologia, y que los sistemas de información están más soportadas por la tecnologia,frente a la realidad de hace pocas décadas.

Por otra parte, hace unos años la protección era más fácil, con arquitecturas centralizadas y terminales no inteligentes , pero hoy en día los entornos son realmente complejos, con diversidad de plataformas y proliferación de redes, no sólo internas sino también externas, incluso con enlaces internacionales.

Entre las plataformas físicas (hardware) pueden estar: ordenadores grandes y medios ordenadores departamentales y personales, solos o formando parte de red, e incluso ordenadores portátiles. Esta diversidad acerca la información a los usuarios, si bien hace mucho más difícil proteger los datos, especialmente porque los equipos tienen filosofías y sistemas operativos diferentes, incluso a veces siendo del mismo fabricante.

Al hablar de seguridad hemos preferido centrarnos en la información misma, aunque a menudo se hable de seguridad informática, de seguridad de los sistemas de información o de seguridad de las tecnologías de la información.

En cualquier caso hay tres aspectos principales, como distintas vertientes de la seguridad.

La confidencialidad: se cumple cuando solo las personas autorizadas (en su sentido amplio podríamos referirnos también a sistemas)pueden conocer los datos o la información correspondiente.

Podemos preguntarnos ¿qué ocurriría si un soporte magnético con los datos de nuestros empleados o clientes fuera cedido a terceros? ¿Cuál podría ser su uso final?¿habrá una cadena de cesiones o ventas incontroladas de esos datos, que podría incluir datos como domicilios o perfil económico, o incluso datos médicos? ¡y si alguien se hiciera con un disquete con lo que perciben los directivos de nuestra entidad?.

La integridad: consiste en que sólo las personas autorizadas puedan variar (modificar o borrar) los datos. Además deben quedar pistas para control posterior y para auditoria.

Pensemos que alguien variara datos de forma que perdiéramos la información de determinadas deudas a cobrar (o que sin perderla tuviéramos que recurrir a la información en papel), o que modificara la última parte de los domicilios de algunos clientes.

Algunas de estas acciones se podrían tardar en detectar, y tal vez las diferentes copias de seguridad hechas a lo largo del tiempo estarían viciadas (corruptas decimos a veces), lo que haría difícil la reconstrucción.

La disponibilidad: se cumple si las personas autorizadas pueden acceder a tiempo a la información.

El disponer de la información después del momento necesario puede equivaler a al no disponibilidad. Otro tema es disponer de la información a tiempo pero que esta no sea correcta, e incluso que no se sepa, lo que puede originar la toma de decisiones erróneas.

Otro caso grave es la no disponibilidad absoluta. Por haberse producido algún desastre. En este caso a medida que pasa el tiempo el impacto será mayor, hasta llegar a suponer la no continuidad de la entidad, como ha pasado en muchos de los casos producidos (más de un 80% según estadísticas), ya que las incidencias son frecuentes, y tenemos cercano el caso de los daños en el área de Acapulco.

Niveles de Protección El CONTROL INTERNO basado en los objetivos de control y llevado a cabo por los supervisores a

distintos nivele.

La AUDITORIA DE SISTEMAS DE INFORMACIÓN INTERNA, objetiva e independiente y con una preparación adecuada, como control del control.

La AUDITORIA DE SISTEMAS DE INFORMACIÓN EXTERNA, contratada cuando se considera necesaria, y como un nivel de protección más. Igualmente objetiva e independiente.

41

Contraseñas o palabras de pase

Verificar la Fortaleza de sus Contraseñas

Un viejo "chiste" reza: ¿Cuál es el eslabón más débil de la cadena de seguridad en sistemas informáticos?.

El usuario final.

Si usted se sintió afectado, por favor preguntase si la clave para acceder a su sistema tiene algo que lo relacione con usted mismo. Por ejemplo: si usted se llama Alberto y tiene 42 años de edad, esta casado con Alicia y su hija se llama Rosana, ¿su password es "alber_42" o "AAR" o "alalro"?

En sistemas informáticos, mantener una buena política de seguridad de creación, mantenimiento y recambio de claves es un punto crítico para resguardar la seguridad y privacidad.

Comencemos por ver la forma en que nuestras claves pueden caer en manos de personas non-sanctas, mediante un antiguo método denominado "Fuerza Bruta" donde el atacante simplemente prueba distintas combinaciones de palabras hasta dar con la clave del usuario.

Muchas passwords de acceso son obtenidas fácilmente porque involucran el nombre u otro dato familiar del usuario y, además, esta nunca (o rara vez) se cambia. En esta caso el ataque se simplifica e involucra algún tiempo de prueba y error. Otras veces se realizan ataques sistemáticos (incluso con varias computadoras a la vez) con la ayuda de programas especiales y "diccionarios" que prueban millones de posibles claves, en tiempos muy breves, hasta encontrar la password correcta.

Los diccionarios son archivos con millones de palabras, las cuales pueden ser posibles passwords de los usuarios. Este archivo es utilizado para descubrir dicha password en pruebas de fuerza bruta. Actualmente es posible encontrar diccionarios de gran tamaño orientados, incluso, a un área específica de acuerdo al tipo de organización que se este atacando.

A contiuación podemos observar el tiempo de búsqueda de una clave de acuerdo a su longitud y tipo de caracteres utilizados. La velocidad de búsqueda se supone en 100.000 passwords por segundo, aunque este número suele ser mucho mayor dependiendo del programa utilizado.

Cantidad de Caracteres

26 - Letras Minúsculas

36 - Letras y Dígitos

52 - Mayúsculas y Minúsculas

96 - Todos los Caracteres

6 51 minutos 6 horas 2,3 días 3 meses

7 22,3 horas 9 días 4 meses 24 años

8 24 días 10,5 meses 17 años 2.288 años

42

9 21 meses 32,6 años 890 años 219.601 años

10 54 años 1.160 años 45.840 años 21.081.705 años

Aquí puede observarse que si se utilizara una clave de 8 caracteres de longitud, con los 96 caracteres posibles, puede tardarse 2.288 años en descifrarla. Esto se obtiene a partir de las 968 (7.213.895.789.838.340) claves posibles de generar con esos caracteres.

Partiendo de la premisa en que no se disponen de esa cantidad de años para analizarlas por fuerza bruta, se deberá comenzar a probar con las claves más posibles, comúnmente llamadas Claves Débiles.

Según demuestra un análisis realizado sobre 2.134 cuentas y probando 227.000 palabras por segundo:

Con un diccionario 2.030 palabras, se obtuvieron 36 cuentas en solo 19 segundos (1,77%).

Con un diccionario de 250.000 palabras, se obtuvieron 64 cuentas en 36:18 minutos (3,15%).

Otro estudio muestra el resultado obtenido al aplicar un ataque, mediante un diccionario de 62.727 palabras, a 13.794 cuentas:

En un año se obtuvieron 3.340 contraseñas (24,22%).

En la primera semana se descubrieron 3.000 claves (21,74%).

En los primeros 15 minutos se descubrieron 368 palabras claves (2,66%).

Según lo observado en la tabla, sería válido afirmar que: es imposible encontrar ¡36 cuentas en 19 segundos!. También debe observarse, en el segundo estudio, que el porcentaje de hallazgos casi no varía entre un año y una semana.

Esto sucedió porque existían claves nulas; que corresponde al nombre del usuario; a secuencias alfabéticas tipo 'abcd'; a secuencias numéricas tipo '1234'; a secuencias observadas en el teclado tipo 'qwer'; a palabras que existen en un diccionario del lenguaje del usuario; a que el usuario se llama Alberto y su clave es 'Alber'.

Este simple estudio confirma nuestra mala elección de contraseñas, y el riesgo se incrementa si el atacante conoce algo sobre la víctima, ya que podrá probar palabras relacionadas a su persona o diccionarios orientados.

Normas de Elección de Claves

Se debe tener en cuenta los siguientes consejos:

1. No utilizar contraseñas que sean palabras (aunque sean extranjeras), o nombres (el del usuario, personajes de ficción, miembros de la familia, mascotas, marcas, ciudades, lugares, u otro relacionado).

43

2. No usar contraseñas completamente numéricas con algún significado (teléfono, D.N.I., fecha de nacimiento, patente del automóvil, etc.).

3. No utilizar terminología técnica conocida.

4. Elegir una contraseña que mezcle caracteres alfabéticos (mayúsculas y minúsculas) y numéricos.

5. Deben ser largas, de 8 caracteres o más.

6. Tener contraseñas diferentes en máquinas diferentes y sistemas diferentes. Es posible usar una contraseña base y ciertas variaciones lógicas de la misma para distintas máquinas. Esto permite que si una password de un sistema cae no caigan todos los demás sistemas por utilizar la misma password.

7. Deben ser fáciles de recordar para no verse obligado a escribirlas. Algunos ejemplos son:

o Combinar palabras cortas con algún número o carácter de puntuación: soy2_yo3

o Usar un acrónimo de alguna frase fácil de recordar: A río Revuelto Ganancia de Pescadores: ArRGdP

o Añadir un número al acrónimo para mayor seguridad: A9r7R5G3d1P

o Mejor incluso si la frase no es conocida: Hasta Ahora no he Olvidado mi Contraseña: aHoelIo

o Elegir una palabra sin sentido, aunque pronunciable: taChunda72, AtajulH, Wen2Mar

o Realizar reemplazos de letras por signos o números: En Seguridad Más Vale Prevenir que Curar: 35M\/Pq<

Normas para proteger una password

La protección de la contraseña recae tanto sobre el administrador del sistema como sobre el usuario, ya que al comprometer una cuenta se puede estar comprometiendo todo el sistema.

RECORDAR:

"Un password debe ser como un cepillo de dientes. Úsalo cada día; cámbialo regularmente; y NO lo compartas con tus amigos".

Algunos consejos a seguir:

1. No permitir ninguna cuenta sin contraseña. Si se es administrador del sistema, repasar este hecho periódicamente (auditoría).

2. No mantener las contraseñas por defecto del sistema. Por ejemplo, cambiar las cuentas de Administrador, Root, System, Test, Demo, Guest, InetUser, etc.

3. Nunca compartir con nadie la contraseña. Si se hace, cambiarla inmediatamente.

4. No escribir la contraseña en ningún sitio. Si se escribe, no debe identificarse como tal y no debe identificarse al propietario en el mismo lugar.

5. No teclear la contraseña si hay alguien observando. Es una norma tácita de buen usuario no mirar el teclado mientras alguien teclea su contraseña.

44

6. No enviar la contraseña por correo electrónico ni mencionarla en una conversación. Si se debe mencionar no hacerlo explícitamente diciendo: "mi clave es...".

7. No mantener una contraseña indefinidamente. Cambiarla regularmente. Disponer de una lista de contraseñas que puedan usarse cíclicamente (por lo menos 5).

Passwords en los sistemas

Muchos sistemas incorporan ya algunas medidas de gestión y protección, que obliga al cambio periódico y chequea su nivel de dificultad. Entre ellas podemos citar las siguientes:

1. Número de intentos limitado. Tras un número de intentos fallidos, pueden tomarse distintas medidas:

o Obligar a reescribir el nombre de usuario (lo más común).

o Bloquear el acceso durante un tiempo.

o Enviar un mensaje al administrador y/o mantener un registro especial.

2. Longitud mínima. Las contraseñas deben tener un número mínimo de caracteres (se recomienda 7 u 8 como mínimo).

3. Restricciones de formato. Las contraseñas deben combinar un mínimo de letras y números, no pueden contener el nombre del usuario ni ser un blanco.

4. Envejecimiento y expiración de contraseñas. Cada cierto tiempo se fuerza a cambiar la contraseña. Se obliga a no repetir ciertas cantidad de las anterior. Se mantiene un periodo forzoso entre cambios, para evitar que se vuelva a cambiar inmediatamente y se repita la anterior.

5. Ataque preventivo. Muchos administradores utilizan crackeadores para intentar atacar las contraseñas de su propio sistema en busca de debilidades.

Passwords en la BIOS

Esta utilidad resulta de extremado interés en entornos multiusuario, pero tambien puede resultar un arma de doble filo que induce una falsa sensación de seguridad. Digo esto ya que muchos fabricantes de BIOS suelen utilizar puertas traseras, que aunque teóricamente sólo deberían conocer ellos, terminan saliendo a la luz. Por ejemplo: AWARD BIOS, utiliza/aba "AWARD_SW" o "AWARD_PW".

Otras opciones válidas para franquear esta barrera es resetear la memoria de la BIOS quitando la pila de la placa base y volviéndola a conectar, cambiar un jumper de lugar o utilizar programas para saltar/descubrir la clave.

Auditoria de passwords

En el mercado existen múltiples herramientas que nos informan sobre la complejidad de las claves elegidas.

Estas herramientas pueden ser ejecutadas cada ciertos períodos de tiempo, analizando las claves existentes y su complejidad, o bien ser incorporadas a los sistemas de forma que no se permita la existencia de passwords débiles.

45

Conclusión

Una parte fundamental de nosotros mismos y de nuestro trabajo depende de las passwords elegidas y de su complejidad.

La implementación de passwords seguras deberia ser el principal objetivo cuando decidimos ("nos damos cuenta") que lo que somos y hacemos es importante.

Esta implemntación depende de la educación que cada usuario recibe, de las políticas de seguridad aplicadas y de auditorias permanentes.

La seguridad existe... simplemente depende de la imaginación que tengamos a la hora de elegir nuestras claves.BIBLIOGRAFIA GENERAL

Es posible señalar lecturas específicas para cada tema o dependiendo de la materia incluir bibliografía general.

La bibliografía debe cumplir con las siguientes características

En caso de obras o textos deben llevar:

El autor/es; título de la obra en negrilla y comillas, editorial, edición y año.

En caso de páginas web deben llevar:

La dirección: http. www……luego el autor o autores del texto, el titulo.

GLOSARIO

El glosario es una estrategia que tiene el propósito de construir un lenguaje común en el grupo de clase, tanto en su concepción teórica, como metodológica. En este sentido, debe tener las siguientes características:

Debe estar organizado por orden alfabético.

Deben ser términos “técnicos” utilizados en el desarrollo de los contenidos de clase y que requiera una aclaración conceptual.

46

Los términos deben explicados de manera clara y concreta, evitando cualquier confusión.

Encriptacion

¿Qué es Encriptación?

Encriptación es el proceso mediante el cual cierta información o texto sin formato es cifrado de forma que el resultado sea ilegible a menos que se conozcan los datos necesarios para su interpretación. Es una medida de seguridad utilizada para que al momento de almacenar o transmitir información sensible ésta no pueda ser obtenida con facilidad por terceros. Opcionalmente puede existir además un proceso de desencriptación a través del cuál la información puede ser interpretada de nuevo a su estado original, aunque existen métodos de encriptación que no pueden ser revertidos. El término encriptación es traducción literal del inglés y no existe en el idioma español. La forma más correcta de utilizar este término sería cifrado.

Criptología La encriptación como proceso forma parte de la criptología, ciencia que estudia los sistemas utilizados para ocultar la información.

La criptología es la ciencia que estudia la transformación de un determinado mensaje en un código de forma tal que a partir de dicho código solo algunas personas sean capaces de recuperar el mensaje original.

La mayoría de los algoritmos modernos del cifrado se basan en una de las siguientes dos categorías de procesos:

Problemas matemáticos que son simples pero que tienen una inversa que se cree (pero no se prueba) que es complicada

Secuencias o permutaciones que son en parte definidos por los datos de entradas.

47

La primera categoría, que resume la mayoría de los métodos del cifrado de clave pública, sufre de la incapacidad de probar la dificultad de los algoritmos. El segundo método, que contiene a la mayoría de los códigos, sufre a menudo de correlaciones teóricas entre la entrada ("texto de entrada") y la salida ("texto cifrado").

Publicado por Gretel, Abdaleis y Analida en 16:00 No hay comentarios: Usos de la Encriptación Algunos de los usos más comunes de la encriptación son el almacenamiento y transmisión de

información sensible como contraseñas, números de identificación legal, números de tarjetas de crédito, reportes administrativo-contables y conversaciones privadas, entre otros.Como sabemos, en un Sistema de Comunicación de Datos, es de vital importancia asegurar que la Información viaje segura, manteniendo su autenticidad, integridad, confidencialidad y el no repudio de la misma entre otros aspectos.Estas características solo se pueden asegurar utilizando las Técnicas de Firma Digital Encriptada y la Encriptación de Datos.Publicado por Gretel, Abdaleis y Analida en 15:52 No hay comentarios: Métodos de Encriptación Para poder Encriptar un dato, se pueden utilizar tres procesos matemáticos diferentes:Los algoritmos HASH, los simétricos y los asimétricos.

1. Algoritmo HASH:Este algoritmo efectúa un cálculo matemático sobre los datos que constituyen el documento y da como resultado un número único llamado MAC. Un mismo documento dará siempre un mismo MAC.

2. Criptografía de Clave Secreta o SimétricaUtilizan una clave con la cual se encripta y desencripta el documento. Todo documento encriptado con una clave, deberá desencriptarse, en el proceso inverso, con la misma clave. Es importante destacar que la clave debería viajar con los datos, lo que hace arriesgada la operación, imposible de utilizar en ambientes donde interactúan varios interlocutores.Los criptosistemas de clave secreta se caracterizan porque la clave de cifrado y la de descifrado es la misma, por tanto la robustez del algoritmo recae en mantener el secreto de la misma.Sus principales características son:

rápidos y fáciles de implementar clave de cifrado y descifrado son la misma cada par de usuarios tiene que tener una clave secreta compartida

48

una comunicación en la que intervengan múltiples usuarios requiere muchas claves secretas distintas

Actualmente existen dos métodos de cifrado para criptografía de clave secreta, el cifrado de flujo y el cifrado en bloques.

Cifrado de flujoEl emisor A, con una clave secreta y un algoritmo determinístico (RKG), genera una secuencia binaria (s) cuyos elementos se suman módulo 2 con los correspondientes bits de texto claro m, dando lugar a los bits de texto cifrado c, Esta secuencia (c) es la que se envía a través del canal. En recepción, B, con la misma clave y el mismo algoritmo determinístico, genera la misma secuencia cifrante (s), que se suma modulo 2 con la secuencia cifrada (c) , dando lugar a los bits de texto claro m.Los tamaños de las claves oscilan entre 120 y 250 bits

Cifrado en bloqueLos cifrados en bloque se componen de cuatro elementos:- Transformación inicial por permutación.- Una función criptográfica débil (no compleja) iterada r veces o "vueltas".- Transformación final para que las operaciones de encriptación y desencriptación sean simétricas.- Uso de un algoritmo de expansión de claves que tiene como objeto convertir la clave de usuario, normalmente de longitud limitada entre 32 y 256 bits, en un conjunto de subclaves que puedan estar constituidas por varios cientos de bits en total.

3. Algoritmos Asimétricos (RSA):

49

Requieren dos Claves, una Privada (única y personal, solo conocida por su dueño) y la otra llamada Pública, ambas relacionadas por una fórmula matemática compleja imposible de reproducir. El concepto de criptografía de clave pública fue introducido por Whitfield Diffie y Martin Hellman a fin de solucionar la distribución de claves secretas de los sistemas tradicionales, mediante un canal inseguro. El usuario, ingresando su PIN genera la clave Publica y Privada necesarias. La clave Publica podrá ser distribuida sin ningún inconveniente entre todos los interlocutores. La Privada deberá ser celosamente guardada. Cuando se requiera verificar la autenticidad de un documento enviado por una persona se utiliza la Clave Publica porque el utilizó su Clave Privada.

Publicado por Gretel, Abdaleis y Analida en 15:24 No hay comentarios: Firma Digital Origen:

El concepto de firma digital nació como una oferta tecnológica para acercar la operatoria social usual de la firma ológrafa (manuscrita) al marco de lo que se ha dado en llamar el ciberespacio o el trabajo en redes.

Concepto:Es la transformación de un mensaje utilizando un sistema de cifrado asimétrico de manera que la persona que posee el mensaje original y la clave pública del firmante, pueda establecer de forma segura, que dicha transformación se efectuó utilizando la clave privada correspondiente a la pública del firmante, y si el mensaje es el original o fue alterado desde su concepción.

CriptografíaSaltar a: navegación, búsqueda

La máquina alemana de cifrado Lorenz, usada en la Segunda Guerra Mundial para el cifrado de los mensajes para los generales de muy alto rango.

Criptografía (del griego κρύπτω krypto, «oculto», y γράφως graphos, «escribir», literalmente «escritura oculta») tradicionalmente se ha definido como la parte de la criptología que se ocupa de las técnicas, bien sea aplicadas al arte o la ciencia, que alteran las representaciones lingüísticas de mensajes, mediante técnicas de cifrado y/o codificado, para hacerlos ininteligibles a intrusos (lectores no autorizados) que intercepten esos mensajes. Por tanto el único objetivo de la

50

criptografía era conseguir la confidencialidad de los mensajes. Para ello se diseñaban sistemas de cifrado y códigos. En esos tiempos la única criptografía que había era la llamada criptografía clásica.

La aparición de la Informática y el uso masivo de las comunicaciones digitales han producido un número creciente de problemas de seguridad. Las transacciones que se realizan a través de la red pueden ser interceptadas. La seguridad de esta información debe garantizarse. Este desafío ha generalizado los objetivos de la criptografía para ser la parte de la criptología que se encarga del estudio de los algoritmos, protocolos (se les llama protocolos criptográficos) y sistemas que se utilizan para proteger la información y dotar de seguridad a las comunicaciones y a las entidades que se comunican.

Para ello los criptógrafos investigan, desarrollan y aprovechan técnicas matemáticas que les sirven como herramientas para conseguir sus objetivos. Los grandes avances que se han producido en el mundo de la criptografía han sido posibles gracias a los grandes avances que se ha producido en el campo de las matemáticas y la informática.

Índice

1 Objetivos de la criptografía 2 Terminología 3 Evaluación de la seguridad

o 3.1 Hacer público o noo 3.2 Grado de seguridad

3.2.1 Seguridad incondicional 3.2.1.1 Limitaciones

3.2.2 Seguridad condicionalo 3.3 Puntos de vista desde los que evaluar la seguridad

3.3.1 Enfoque basado en la teoría de la información 3.3.2 Enfoque basado en la teoría de la complejidad 3.3.3 Enfoque basado en la práctica

4 Historia de la criptografía 5 La Criptografia en el Correo Electrónico 6 Véase también

o 6.1 Algoritmoso 6.2 Protocoloso 6.3 Aplicaciones

7 Referencias 8 Enlaces externos

Objetivos de la criptografía

La criptografía actualmente se encarga del estudio de los algoritmos, protocolos y sistemas que se utilizan para dotar de seguridad a las comunicaciones, a la información y a las entidades que se comunican.1 El objetivo de la criptografía es diseñar, implementar, implantar, y hacer uso de sistemas criptográficos para dotar de alguna forma de seguridad. Por tanto el tipo de propiedades de las que se ocupa la criptografía son por ejemplo:

51

Confidencialidad. Es decir garantiza que la información está accesible únicamente a personal autorizado. Para conseguirlo utiliza códigos y técnicas de cifrado.

Integridad. Es decir garantiza la corrección y completitud de la información. Para conseguirlo puede usar por ejemplo funciones hash criptográficas MDC, protocolos de compromiso de bit, o protocolos de notarización electrónica.

No repudio. Es decir proporcionar protección frente a que alguna de las entidades implicadas en la comunicación, pueda negar haber participado en toda o parte de la comunicación. Para conseguirlo se puede usar por ejemplo firma digital. En algunos contextos lo que se intenta es justo lo contrario: Poder negar que se ha intervenido en la comunicación. Por ejemplo cuando se usa un servicio de mensajería instantánea y no queremos que se pueda demostrar esa comunicación. Para ello se usan técnicas como el cifrado negable.

Autenticación. Es decir proporciona mecanismos que permiten verificar la identidad del comunicante. Para conseguirlo puede usar por ejemplo función hash criptográfica MAC o protocolo de conocimiento cero.

Soluciones a problemas de la falta de simultaneidad en la telefirma digital de contratos. Para conseguirlo puede usar por ejemplo protocolos de transferencia inconsciente.

Un sistema criptográfico es seguro respecto a una tarea si un adversario con capacidades especiales no puede romper esa seguridad, es decir, el atacante no puede realizar esa tarea específica.

Terminología

En el campo de la criptografía muchas veces se agrupan conjuntos de funcionalidades que tienen alguna característica común y a ese conjunto lo denominan 'Criptografía de' la característica que comparten. Veamos algunos ejemplos:

Criptografía simétrica.- Agrupa aquellas funcionalidades criptográficas que se apoyan en el uso de una sola clave.

Criptografía de clave pública o Criptografía asimétrica.- Agrupa aquellas funcionalidades criptográficas que se apoyan en el uso de parejas de claves compuesta por una clave pública , que sirve para cifrar, y por una clave privada , que sirve para descifrar.

Criptografía con umbral.- Agrupa aquellas funcionalidades criptográficas que se apoyan en el uso de un umbral de participantes a partir del cual se puede realizar la acción.

Criptografía basada en identidad.- Es un tipo de Criptografía asimétrica que se basa en el uso de identidades.

Criptografía basada en certificados Criptografía sin certificados Criptografía de clave aislada

Evaluación de la seguridad

El objetivo de un sistema criptográfico es dotar de seguridad. Por tanto para calibrar la calidad de un sistema criptográfico es necesario evaluar la seguridad que aporta dicho sistema.

Hacer público o no

Al evaluar la seguridad un sistema criptográfico se puede poner de manifiesto sus debilidades. Si estas debilidades se hacen públicas entonces se dispara el riesgo a que esas debilidades sean

52

aprovechadas por un atacante. Por eso hay mucha polémica en relación a hacer públicos o no los entresijos de los sistemas criptográficos. Si se hace público el funcionamiento del sistema cualquier persona puede evaluar la seguridad (con lo que mejora la evaluación de la seguridad) lo que provoca una mayor exposición a ataques. Si no se publica el funcionamiento del sistema entonces se restringen las personas que pueden evaluar el sistema (los resultados pueden no haber detectado ciertas debilidades) pero como contraprestación se tiene de que los posibles atacantes no tienen disponibles toda la información disponible para utilizarla en un ataque.

Se considera que la seguridad de un sistema criptográfico debe descansar sobre el tamaño de la claves utilizadas y no sobre el secreto del algoritmo. Esta consideración se formaliza en el llamado principio de Kerckhoffs. Esto no quiere decir que cuando usemos criptografía tengamos que revelar los algoritmos, lo que quiere decir es que el algoritmo tiene que ser seguro aunque éste sea difundido.

La difusión del algoritmo permite que la comunidad criptográfica evalúe la seguridad de dicho algoritmo y por tanto verifique si el algoritmo en sí es seguro. Evidentemente si un sistema criptográfico es seguro aún revelando su algoritmo, entonces será aún más seguro si no lo revelamos. Sin embargo si un sistema tiene una debilidad latente, si no se hace público el funcionamiento interno, se dificulta al atacante el descubrimiento de dicha debilidad. Es decir, se consigue la seguridad por oscuridad, no por el sistema en sí. Por esta razón algunas organizaciones (Ej. NSA o MI6) disponen de algoritmos criptográficos no revelados (que pueden aprovechar algunos conocimientos de otros algoritmos públicos) que sólo han sido sujetos a una verificación interna. Los consideran seguros y no quieren revelarlos para que no puedan ser estudiados por criptoanalistas y de esa forma no sean hechas públicas sus posibles debilidades.

Grado de seguridad

Cuando se evalúa la seguridad de un sistema criptográfico se puede calibrar la seguridad que aporta en función de si éste es seguro de forma incondicional o si es seguro sólo si se cumplen ciertas condiciones.

Seguridad incondicional

2 Se dice que un sistema criptográfico tiene una seguridad incondicional (en inglés unconditional security) sobre cierta tarea si un atacante no puede resolver la tarea aunque tenga infinito poder computacional.

3 4 5 En función de la tarea sobre la que se dice que el sistema criptográfico es incondicionalmente seguro, podemos hablar por ejemplo de:

Criptosistemas incondicionalmente seguros (cifrado). Autenticación incondicionalmente segura (autenticación). Distribución de claves incondicionalmente segura. Firma digital incondicionalmente segura (firma digital).

Es habitual que los sistemas incondicionalmente seguros tengan inconvenientes importantes como por ejemplo en la longitud de las claves (libreta de un solo uso).

Para certificar una seguridad incondicional los criptólogos se suelen basar en la teoría de la información y, por tanto, en la teoría de la probabilidad.

53

Limitaciones

El que un sistema tenga seguridad incondicional no quiere decir que su seguridad sea inviolable. Veamos dos consideraciones

6 Los sistemas son incondicionalmente seguros desde un punto de vista probabilístico: El oponente siempre tiene una probabilidad mayor que cero de romper la seguridad. Sin embargo, esta probabilidad puede ser muy muy pequeña. Esto es lo que sucede con los sistemas incondicionalmente seguros.

7 En la mayoría de los estudios sobre la seguridad de un sistema se hace la suposición de que los atacantes tienen sólo un intento para atacar la seguridad del sistema. El éxito o el fracaso están determinados por el éxito o fracaso de ese intento. Esta suposición es válida, por ejemplo, en ciertos problemas de comunicación segura donde el enemigo no tiene oportunidad de verificar si el mensaje estimado es correcto o no. Sin embargo hay otros tipos de problemas donde esta suposición no tiene sentido. Por ejemplo, en un sistema de autenticación con usuario y contraseña para entrar en una cuenta restringida, el atacante puede realizar varios intentos. Además, en algunos casos, los intentos fallidos anteriores dan información para hacer una estimación mejor para los intentos siguientes.

8 Cuando decimos que un sistema criptográfico es incondicionalmente seguro, nos estamos refiriendo a nivel teórico. Sin embargo cuando es implementado en la práctica puede no mantenerse esa seguridad. Hay muchos tipos de ataques que sólo se aplican cuando los sistemas están implementados en un sistema concreto. Ejemplos:

o Explotación de canales ocultos. Los canales ocultos son canales de comunicación no intencionados y de difícil detección, que permiten la transferencia de información de forma que viola la política de seguridad del sistema. En un computador real los procesos al ejecutarse producen una serie de efectos y fenómenos que pueden ser medidos y explotados para revelar información relevante que puede ser utilizada para romper el sistema (Ej. pistas sobre la clave). Este problema es inherente y no puede ser evitado mediante técnicas criptográficas. Son ejemplos típicos de este tipo de canales los canales ocultos generados por análisis de temporizaciones, por análisis de consumos de energía o por análisis de consumos de radiaciones electromagnéticas o por análisis de consumo de espacio de almacenamiento.

o Malos diseños o implementaciones del software o el hardware pueden hacer que la solución práctica sea insegura. Ejemplos de ataques que se aprovechan de debilidades producidas por un mal diseño o implementación: desbordamiento de buffer, Inyección SQL, Cross Site Scripting, ataques basados en deficiencias del hardware.

Seguridad condicional

9 Se dice que un sistema criptográfico tiene una seguridad condicional (en inglés conditional security) sobre cierta tarea si un atacante puede teóricamente resolver la tarea, pero no es computacionalmente factible para él (debido a sus recursos, capacidades y acceso a información). Hay un tipo especial de seguridad condicional llamada seguridad demostrable (en inglés provable security). La idea es mostrar que romper un sistema criptográfico es computacionalmente equivalente a resolver un problema matemático considerado como difícil. Esto es, que se cumplen las dos siguientes sentencias:

54

Si el problema difícil puede ser resuelto, entonces el sistema criptográfico puede ser roto Si el sistema criptográfico puede ser roto, entonces el problema difícil puede ser resuelto.

10 La seguridad demostrable es difícil de lograr para sistemas criptográficos complejos. Se ha desarrollado una metodología (modelo de oráculo aleatorio) para diseñar sistemas que no tienen realmente una seguridad demostrable, pero que dan unas buenas sensaciones respecto a su seguridad. La idea básica es diseñar un sistema ideal que usa una o varias funciones aleatorias -también conocidas como oráculos aleatorios- y probar la seguridad de este sistema sistema matemático. A continuación el sistema ideal es implementado en un sistema real reemplazando cada oráculo aleatorio con una buena y adecuada función pseudoaleatoria conocida -típicamente un código de detección de manipulaciones como SHA-1 o MD5-. Si las funciones pseudoaleatorias utilizadas tiene buenas propiedades, entonces uno puede esperar que la seguridad probada del sistema ideal sea heredada por el sistema real. Observar que esto ya no es una prueba, sino una evidencia sobre la seguridad del sistema real. Se ha demostrado que esta evidencia no siempre es cierta y que es posible romper sistemas criptográficos cuya seguridad se apoya en el modelo de oráculo aleatorio.

Puntos de vista desde los que evaluar la seguridad

Para evaluar la seguridad de un esquema criptográfico se suelen usar tres enfoques principales.11

Cada enfoque difiere de las suposiciones acerca de las capacidades de los oponentes criptoanalistas. El primer método está basado en la teoría de la información, y ofrece una seguridad incondicional y por tanto una seguridad independiente del poder de computación de los adversarios. El enfoque basado en la teoría de la complejidad comienza a partir de un modelo abstracto para la computación, y asume que el oponente tienen un poder limitado de computación. El tercer enfoque intenta producir soluciones prácticas. Para ello estima la seguridad basándose en el mejor algoritmo conocido para romper el sistema y estima de forma realista el poder necesario de computación o de hardware para romper el algoritmo. A este enfoque se le suele llamar enfoque basado en la práctica

Enfoque basado en la teoría de la información

En este enfoque se evalúa la seguridad del sistema utilizando las herramientas que proporciona la teoría de la información. Permite declarar sistemas incondicionalmente seguros, es decir, sistemas seguros independientemente del poder de computación del atacante.

La teoría de la información proporciona valiosas herramientas para analizar la seguridad de los sistemas criptográficos. Por ejemplo está la entropía, distancia de unicidad, el concepto de secreto perfecto etc.

Enfoque basado en la teoría de la complejidad

12 En este enfoque se evalúa la seguridad de los sistemas criptográficos en función de la cantidad de trabajo computacional requerido para romperlo. Para estimar esa cantidad de trabajo se estudia la complejidad computacional de los mejores métodos conocidos hasta ahora para realizar esa tarea. En función de los resultados de este estudio y del poder computacional límite estimado para el atacante, se decide si esa cantidad de trabajo es realizable por un atacante. Si ese trabajo no es realizable se dice que el sistema es seguro desde un punto de vista computacional (seguridad computacional, en inglés computationally security).

55

Este tipo de enfoque para evaluar la seguridad es muy usado en la criptografía asimétrica. En concreto, la seguridad de muchos de los algoritmos de la criptografía asimétrica están basados en el análisis de complejidad de los métodos conocidos para el cálculo de factorización de enteros y del logaritmo discreto.

Por definición el tipo de seguridad que aporta este tipo de enfoque es una seguridad condicional basada en los métodos de resolución de problemas evaluados. En este punto hay que tener en cuenta dos consideraciones:13

Actualmente no se puede considerar que como buenos los algoritmos que se usan para estimar la complejidad de la resolución de los problemas. Se considera que hay algoritmos mucho mejores. Especialmente en el campo de la criptografía. Por tanto las estimaciones sobre el poder de computación necesario para romper el sistema no se consideran fiables.

Se ha demostrado que algunos de los problemas (Ej. factorización de enteros y el logaritmo discreto) en los que se sustenta la seguridad (computacional) de muchos algoritmos, pueden resolverse con algoritmos con una complejidad computacional de peor calidad usando computadores cuánticos. Si alguien pudiera disponer de un computador cuántico muchos de los sistemas criptográficos que se consideran seguros (con seguridad condicional) habría que catalogarlos como inseguros.

Enfoque basado en la práctica

14 El objetivo de este enfoque es producir soluciones prácticas a partir del estudio de sistemas concretos y de la experiencia acumulada. Es un enfoque de prueba-error donde se proponen soluciones basándose en la experiencia y luego se somete esa solución a un proceso intensivo en el que se intenta romper su seguridad. A partir de este enfoque se han hecho importantes avances en conseguir sistemas robustos ya que los criptógrafos diseñan ataques y posteriormente adaptan los sistemas para anular dichos ataques. Por ejemplo, de esta forma se han conseguido importantes avances en la seguridad frente a ataques basados en estudios estadísticos y ataques meet in the middle.

Es típico en este tipo de enfoque diseñar bloques con ciertas propiedades demostradas estableciendo una biblioteca de bloques disponibles. Ejemplos de propiedades buenas para este tipo de bloques pueden ser: buenas propiedades estadísticas, buenas propiedades para la confusión y difusión, o de no linealidad. Posteriormente estos bloques se ensamblan para la construcción de sistemas criptográficos que aprovechan sus propiedades para dotar de mayor seguridad.

Este enfoque permite llegar a establecer sistemas que tienen seguridad condicional. Este tipo de sistemas tienen una seguridad computacional

Historia de la criptografíaArtículo principal: Historia de la criptografía.

La historia de la criptografía es larga y abunda en anécdotas. Ya las primeras civilizaciones desarrollaron técnicas para enviar mensajes durante las campañas militares, de forma que si el mensajero era interceptado la información que portaba no corriera el peligro de caer en manos del enemigo.El primer método de criptografía fue en el siglo V a.C, era conocido como "Escítala". El segundo criptosistema que se conoce fue documentado por el historiador griego Polibio: un

56

sistema de sustitución basado en la posición de las letras en una tabla. También los romanos utilizaron sistemas de sustitución, siendo el método actualmente conocido como César, porque supuestamente Julio César lo empleó en sus campañas, uno de los más conocidos en la literatura (según algunos autores, en realidad Julio César no usaba este sistema de sustitución, pero la atribución tiene tanto arraigo que el nombre de este método de sustitución ha quedado para los anales de la historia). Otro de los métodos criptográficos utilizados por los griegos fue la escítala espartana, un método de trasposición basado en un cilindro que servía como clave en el que se enrollaba el mensaje para poder cifrar y descifrar.

En 1465 el italiano Leon Battista Alberti inventó un nuevo sistema de sustitución polialfabética que supuso un gran avance de la época. Otro de los criptógrafos más importantes del siglo XVI fue el francés Blaise de Vigenère que escribió un importante tratado sobre "la escritura secreta" y que diseñó una cifra que ha llegado a nuestros días asociada a su nombre. A Selenus se le debe la obra criptográfica "Cryptomenytices et Cryptographiae" (Luneburgo, 1624). En el siglo XVI María Estuardo, reina de Escocia, fue ejecutada por su prima Isabel I, reina de Inglaterra, al descubrirse un complot de aquella tras un criptoanálisis exitoso por parte de los matemáticos de Isabel. Durante los siglos XVII, XVIII y XIX, el interés de los monarcas por la criptografía fue notable. Las tropas de Felipe II emplearon durante mucho tiempo una cifra con un alfabeto de más de 500 símbolos que los matemáticos del rey consideraban inexpugnable. Cuando el matemático francés François Viète consiguió criptoanalizar aquel sistema para el rey de Francia, a la sazón Enrique IV, el conocimiento mostrado por el rey francés impulsó una queja de la corte española ante del papa Pío V acusando a Enrique IV de utilizar magia negra para vencer a sus ejércitos.

Durante la Primera Guerra Mundial, los Alemanes usaron el cifrado ADFGVX. Este método de cifrado es similar a la del tablero de ajedrez Polibio. Consistía en una matriz de 6 x 6 utilizado para sustituir cualquier letra del alfabeto y los números 0 a 9 con un par de letras que consiste de A, D, F, G, V, o X.

La máquina Enigma utilizada por los alemanes durante la II Guerra Mundial.

57

Desde el siglo XIX y hasta la Segunda Guerra Mundial, las figuras más importantes fueron la del holandés Auguste Kerckhoffs y la del prusiano Friedrich Kasiski. Pero es en el siglo XX cuando la historia de la criptografía vuelve a experimentar importantes avances. En especial durante las dos contiendas bélicas que marcaron al siglo: la Gran Guerra y la Segunda Guerra Mundial. A partir del siglo XX, la criptografía usa una nueva herramienta que permitirá conseguir mejores y más seguras cifras: las máquinas de cálculo. La más conocida de las máquinas de cifrado posiblemente sea la máquina alemana Enigma: una máquina de rotores que automatizaba considerablemente los cálculos que era necesario realizar para las operaciones de cifrado y descifrado de mensajes. Para vencer al ingenio alemán, fue necesario el concurso de los mejores matemáticos de la época y un gran esfuerzo computacional. No en vano, los mayores avances tanto en el campo de la criptografía como en el del criptoanálisis no empezaron hasta entonces.

Tras la conclusión de la Segunda Guerra Mundial, la criptografía tiene un desarrollo teórico importante, siendo Claude Shannon y sus investigaciones sobre teoría de la información esenciales hitos en dicho desarrollo. Además, los avances en computación automática suponen tanto una amenaza para los sistemas existentes como una oportunidad para el desarrollo de nuevos sistemas. A mediados de los años 70, el Departamento de Normas y Estándares norteamericano publica el primer diseño lógico de un cifrador que estaría llamado a ser el principal sistema criptográfico de finales de siglo: el Estándar de Cifrado de Datos o DES. En esas mismas fechas ya se empezaba a gestar lo que sería la, hasta ahora, última revolución de la criptografía teórica y práctica: los sistemas asimétricos. Estos sistemas supusieron un salto cualitativo importante, ya que permitieron introducir la criptografía en otros campos que hoy día son esenciales, como el de la firma digital.

La Criptografia en el Correo Electrónico

Si un correo electrónico es enviado por internet sin seguridad alguna, la información que conlleva es frágil y descifrable. Para ello, se usa la criptografia en el correo electrónico. Entre las varias ventajas que tiene usar un certificado al enviar un email, podríamos destacar la seguridad que nos aporta ya que asi evita que terceras personas (o Hackers) puedan leer su contenido, o bien que tenemos la certeza de que el remitente este correo electrónico es realmente quien dice ser.

Amenazas de Virus

Virus y Programas MaliciososINTRODUCCIÓN

¿Qué son los virus?

Los virus son programas maliciosos creados para manipular el normal funcionamiento de los sistemas, sin el conocimiento ni consentimiento de los usuarios.

Actualmente, por sencillez, el término virus es ampliamente utilizado para referirse genéricamente a todos los programas que infectan un ordenador, aunque en realidad, los virus son sólo un tipo específico de este tipo de programas. Para referirse a todos ellos también se suelen emplear las palabras: código malicioso, software malicioso, software malintencionado, programas maliciosos o, la más usual, malware que procede de las siglas en inglés malicious software.

58

Los programas maliciosos pueden alterar tanto el funcionamiento del equipo como la información que contienen o se maneja en ella. Las acciones realizadas en la máquina pueden variar desde el robo de información sensible o el borrado de datos hasta el uso del equipo como plataforma para cometer otro tipo de actividades ilegales –como es el caso de las redes zombies-, pudiendo llegar incluso a tener sus respectivas consecuencias legales.

En sus comienzos la motivación principal para los creadores de virus era la del reconocimiento público. Cuanta más relevancia tuviera el virus, más reconocimiento obtenía su creador. Por este motivo las acciones a realizar por el virus debían ser visibles por el usuario y suficientemente dañinas como para tener relevancia, por ejemplo, eliminar ficheros importantes, modificar los caracteres de escritura, formatear el disco duro, etc.

Sin embargo, la evolución de las tecnologías de la comunicación y su penetración en casi todos los aspectos de la vida diaria ha sido vista por los ciberdelincuentes como un negocio muy lucrativo. Los creadores de virus han pasado a tener una motivación económica, por lo que actualmente son grupos mucho más organizados que desarrollan los códigos maliciosos con la intención de que pasen lo más desapercibidos posibles, y dispongan de más tiempo para desarrollar sus actividades maliciosas.

¿A qué afectan los códigos maliciosos?

Los programas maliciosos afectan a cualquier dispositivo que tenga un Sistema Operativo que pueda entender el fichero malicioso, es decir:

Ordenadores personales Servidores Teléfonos Móviles PDAs Videoconsolas

Esto implica que para utilizar cualquiera de estos dispositivos de manera segura debemos verificar que no está infectado, además de tomar las medidas necesarias para prevenir una infección en el futuro.

¿Por qué hay gente que crea programas maliciosos?

Cuando surgieron los primeros virus y programas maliciosos solía ser muy sencillo darse cuenta de que el ordenador estaba infectado, ya que los virus generalmente realizaban alguna acción visible en el equipo, por ejemplo, borrar ficheros, formatear el disco duro, cambiar los caracteres de escritura, etc.

Actualmente los programas maliciosos han evolucionado y suelen perseguir un fin lucrativo. Para lograr más fácilmente su cometido suelen pasar desapercibidos para el usuario, por lo que son más difíciles de detectar de forma sencilla. Hay varias formas en las que el creador del programa malicioso puede obtener un beneficio económico, las más comunes son:

59

Robar información sensible del ordenador infectado, como datos personales, contraseñas, credenciales de acceso a diferentes entidades…

Crear una red de ordenadores infectados -generalmente llamada red zombie o botnet- para que el atacante pueda manipularlos todos simultáneamente y vender estos servicios a entidades sin escrúpulos que puedan realizar acciones poco legítimas como el envío de SPAM, envío de mensajes de phishing, realizar ataques de denegación de servicio, etc.

Vender falsas soluciones de seguridad que no realizan las acciones que afirman hacer, por ejemplo, falsos antivirus que muestran mensajes con publicidad informando de que el ordenador está infectado cuando en realidad no es así, la infección que tiene el usuario es el falso antivirus.

Cifrar el contenido de los ficheros del ordenador y solicitar un “rescate” al usuario del equipo para recuperar la información, como hacen los criptovirus.

TIPOS DE VIRUS

Los distintos códigos maliciosos que existen pueden clasificarse en función de diferentes criterios, los más comunes son:

por su capacidad de propagación por las acciones que realizan en el equipo infectado.

Algunos de los programas maliciosos tienen alguna característica particular por la que se les suele asociar a un tipo concreto mientras que a otros se les suele incluir dentro de varios grupos a la vez. También cabe mencionar que muchas de las acciones que realizan los códigos maliciosos, en algunas circunstancias se pueden considerar legítimas, por lo tanto, como dijimos anteriormente, sólo se considera que un programa es malicioso cuando actúa sin el conocimiento ni consentimiento del usuario.

Los posibles tipos de virus y sus clasificaciones son los siguientes:

Según su capacidad de propagación

Atendiendo a su capacidad de propagación, o mejor dicho de autopropagación, existen tres tipos de códigos maliciosos:

Virus: Su nombre es una analogía a los virus reales ya que infectan otros archivos, es decir, sólo pueden existir en un equipo dentro de otro fichero. Los ficheros infectados generalmente son ejecutables: .exe, .src, o en versiones antiguas .com, .bat; pero también pueden infectar otros archivos, por ejemplo, un virus de Macro infectará programas que utilicen macros, como los productos Office.

Los virus se ejecutan cuando se ejecuta el fichero infectado, aunque algunos de ellos además están preparados para activarse sólo cuando se cumple una determinada condición, por ejemplo que sea una fecha concreta. Cuando están en ejecución, suelen infectar otros ficheros con las mismas características que el fichero anfitrión original. Si el fichero que infectan se encuentra dentro de un dispositivo extraíble o una unidad de red, cada vez que un nuevo usuario acceda al fichero infectado, su equipo también se verá comprometido.

Los virus fueron el primer tipo de código malicioso que surgió, aunque actualmente casi no se encuentran nuevos virus pasando a hallarse en los

60

equipos otros tipos de códigos maliciosos, como los gusanos y troyanos que se explican a continuación.

Gusanos: Son programas cuya característica principal es realizar el máximo número de copias de sí mismos posible para facilitar su propagación. A diferencia de los virus no infectan otros ficheros. Los gusanos se suelen propagar por los siguientes métodos:

o Correo electrónicoo Redes de compartición de ficheros (P2P)o Explotando alguna vulnerabilidado Mensajería instantáneao Canales de chat

Generalmente los gusanos utilizan la ingeniería social para incitar al usuario receptor a que abra o utilice determinado fichero que contiene la copia del gusano. De este modo, si el gusano se propaga mediante redes P2P, las copias del gusano suelen tener un nombre sugerente de, por ejemplo, alguna película de actualidad; para los gusanos que se propagan por correo, el asunto y el adjunto del correo suelen ser llamativos para incitar al usuario a que ejecute la copia del gusano.

Eliminar un gusano de un ordenador suele ser más fácil que eliminar un virus. Al no infectar ficheros la limpieza del código malicioso es más sencilla, no es necesario quitar sólo algunas partes del mismo basta con eliminar el archivo en cuestión.

Por otro lado, como los gusanos no infectan ficheros, para garantizar su autoejecución suelen modificar ciertos parámetros del sistema, por ejemplo, pueden cambiar la carpeta de inicio con el listado de todos los programas que se tienen que ejecutar al arrancar el ordenador, para incluir en el listado la copia del gusano; o modificar alguna clave del registro que sirva para ejecutar programas en determinado momento, al arrancar el ordenador, cuando se llama a otro programa…

Troyanos: Carecen de rutina propia de propagación, pueden llegar al sistema de diferentes formas, las más comunes son:

o Descargado por otro programa malicioso.o Descargado sin el conocimiento del usuario al visitar una página Web maliciosa.o Dentro de otro programa que simula ser inofensivo.

Según las acciones que realizan

Según las acciones que realiza un código malicioso, existen varios tipos, es posible que un programa malicioso pertenezca a un tipo en concreto, aunque también puede suceder que pertenezca a varias de estas categorías a la vez.

Los diferentes tipos de códigos maliciosos por orden alfabético son:

61

Adware: Muestra publicidad, generalmente está relacionado con los espías, por lo que se suelen conectar a algún servidor remoto para enviar la información recopilada y recibir publicidad.

Algunos programas en sus versiones gratuitas o de evaluación muestran este tipo de publicidad, en este caso deberán avisar al usuario que la instalación del programa conlleva la visualización de publicidad.

Bloqueador: Impide la ejecución de determinados programas o aplicaciones, también puede bloquear el acceso a determinadas direcciones de Internet. Generalmente impiden la ejecución de programas de seguridad para que, de este modo, resulte más difícil la detección y eliminación de programas maliciosos del ordenador. Cuando bloquean el acceso a direcciones de Internet, éstas suelen ser de páginas de seguridad informática; por un lado logran que los programas de seguridad no se puedan descargar las actualizaciones, por otro lado, en caso de que un usuario se quiera documentar de alguna amenaza informática, no podrá acceder a las direcciones en las que se informa de dicha amenaza.

Bomba lógica: Programa o parte de un programa que se instala en un ordenador y no se ejecuta hasta que se cumple determinada condición, por ejemplo, ser una fecha concreta, ejecución de determinado archivo…

Broma (Joke): No realiza ninguna acción maliciosa en el ordenador infectado pero, mientras se ejecuta, gasta una “broma” al usuario haciéndole pensar que su ordenador está infectado, por ejemplo, mostrando un falso mensaje de que se va a borrar todo el contenido del disco duro o mover el ratón de forma aleatoria.

Bulo (Hoax): Mensaje electrónico enviado por un conocido que intenta hacer creer al destinatario algo que es falso, como alertar de virus inexistentes, noticias con contenido engañoso, etc, y solicitan ser reenviado a todos los contactos. Algunos de estos mensajes pueden ser peligrosos por la alarma innecesaria que generan y las acciones que, en ocasiones, solicitan realizar al usuario, por ejemplo, borrando ficheros del ordenador que son necesarios para el correcto funcionamiento del equipo.

Capturador de pulsaciones (Keylogger): Monitoriza las pulsaciones del teclado que se hagan en el ordenador infectado, su objetivo es poder capturar pulsaciones de acceso a determinadas cuentas bancarias, juegos en línea o conversaciones y mensajes escritos en la máquina.

Clicker: Redirecciona las páginas de Internet a las que intenta acceder el usuario, de este modo logra aumentar el número de visitas a la página redireccionada, realizar ataques de Denegación de Servicio a una página víctima o engañar al usuario sobre la página que está visitando, por ejemplo, creyendo que está accediendo a una página legítima de un banco cuando en realidad está accediendo a una dirección falsa.

Criptovirus (ransomware): Hace inaccesibles determinados ficheros en el ordenador y coacciona al usuario víctima a pagar un “rescate” (ransom en inglés) para poder acceder a la información. Generalmente lo que se hace es cifrar los ficheros con los que suela trabajar el usuario, por ejemplo, documentos de texto, hojas Excel, imágenes…

62

Descargador (Downloader): Descarga otros programas (generalmente también maliciosos) en el ordenador infectado. Suelen acceder a Internet para descargar estos programas.

Espía (Spyware): Roba información del equipo para enviarla a un servidor remoto. El tipo de información obtenida varía según el tipo de espía, algunos recopilan información relativa a los hábitos de uso del ordenador, como el tiempo de uso y páginas visitadas en Internet; sin embargo, otros troyanos son más dañinos y roban información confidencial como nombres de usuario y contraseñas.

A los espías que roban información bancaria se les suele llamar Troyanos Bancarios.

Exploit: Tipo del software que se aprovecha de un agujero o de una vulnerabilidad en el sistema de un usuario para tener el acceso desautorizado al sistema.

Herramienta de fraude: Simula un comportamiento anormal del sistema y propone la compra de algún programa para solucionarlo. Los más comunes son los falsos antivirus, que informan de que el ordenador está infectado, cuando en realidad el principal programa malicioso que tiene es la herramienta fraudulenta.

Instalador (Dropper): Instala y ejecuta otros programas, generalmente maliciosos, en el ordenador.

Ladrón de contraseñas (PWStealer): Roba nombres de usuario y contraseñas del ordenador infectado, generalmente accediendo a determinados ficheros del ordenador que almacenan esta información.

Marcador (Dialer): Actúa cuando el usuario accede a Internet, realizando llamadas a Números de Tarificación Adicional (NTA), lo que provoca un considerable aumento en la factura telefónica del usuario afectado. Este tipo de programas está actualmente en desuso porque sólo funcionan si la conexión a Internet se hace a través del Módem, no se pueden realizar llamadas a NTA en conexiones ADSL o WiFi.

Puerta trasera (Backdoor): Permite el acceso de forma remota a un sistema operativo, página Web o aplicación, haciendo que el usuario evite las restricciones de control y autenticación que haya por defecto. Puede ser utilizado por responsables de sistemas o webmasters con diversos fines dentro de una organización, pero también puede ser utilizados por atacantes para realizar varias acciones en el ordenador infectado, por ejemplo:

o Utilizar los ficheros que desee para leer su información, moverlos, subirlos al ordenador, descargarlos, eliminarlos…

o Reiniciar el ordenadoro Obtener diversa información de la máquina infectada: nombre del ordenador, dirección MAC, sistema operativo

instalado…o etc.

Rootkit: Toma control de Administrador (“root” en sistemas Unix/Linux) en el sistema, generalmente para ocultar su presencia y la de otros programas maliciosos en el equipo infectado; la ocultación puede ser para esconder los ficheros, los procesos generados, conexiones creadas… También pueden permitir a un atacante remoto tener permisos de Administrador para realizar las acciones que desee.

63

Cabe destacar que los rootkits hay veces que se utilizan sin fines maliciosos.

Secuestrador del navegador (browser hijacker): Modifica la página de inicio del navegador, la página de búsqueda o la página de error por otra de su elección, también pueden añadir barras de herramientas en el navegador o incluir enlaces en la carpeta de “Favoritos”. Todas estas acciones las realiza generalmente para aumentar las visitas de la página de destino.

Otras clasificaciones

Debido a la gran cantidad y diversidad de códigos maliciosos que existen, y que muchos de ellos realizan varias acciones y se pueden agrupar varios apartados a la vez, existen varias clasificaciones genéricas que engloban varios tipos de códigos maliciosos, son las siguientes:

Ladrones de información (Infostealers): Agrupa todos los tipos de códigos maliciosos que roban información del equipo infectado, son los capturadores de pulsaciones, espías y ladrones de contraseñas.

Código delictivo (crimeware): Hace referencia a todos los programas que realizan una acción delictiva en el equipo, básicamente con fines lucrativos. Engloba a los ladrones de información, mensajes de phishing y clickers que redireccionen al usuario a falsas páginas bancarias o de seguridad. Las herramientas de fraude, marcadores y criptovirus también forman parte de esta categoría.

Greyware (grayware): Engloba todas las aplicaciones que realizan alguna acción que no es, al menos de forma directa, dañina, tan sólo molesta o no deseable. Agrupa el adware, espías que sólo roben información de costumbres del usuario (páginas por las que navegan, tiempo que navegan por Internet…), bromas y bulos.

Programas no recomendables

Por otro lado existen algunos programas que, sin realizar directamente ninguna acción dañina en el equipo, generalmente se consideran maliciosos, son los siguientes:

Programas que realizan acciones ilegales

Generador de claves (keygen): Genera las claves necesarias para que funcione determinado programa de pago de forma gratuita. El generador es un programa independiente del programa de pago.

Crack: Parche informático que se desarrolla para que determinado programa de pago funcione de forma gratuita. A diferencia de los generadores de claves, aquí lo que se hace es modificar el programa de pago.

Herramienta de creación de malware (constructor): No realiza ninguna acción maliciosa en el ordenador. Es empleado por programadores maliciosos para crear programas dañinos personalizados, por ejemplo, acciones perjudiciales que va a realizar en el ordenador infectado, cuándo y cómo se va a ejecutar…

64

El uso y pertenencia de estos programas, no sólo están tipificados como delito por la legislación española sino que, además, suelen ser utilizados para propagar otros programas maliciosos que están ocultos para el usuario que ejecuta el archivo.

Cookies maliciosas

Existe un tipo de ficheros que según el uso que tengan, pueden o no ser peligrosos, son las cookies. Las cookies son pequeños ficheros de texto que se crean en el navegador al visitar páginas Web; almacenan diversa información que, por lo general, facilitan la navegación del usuario por la página Web que se está visitando y lo más importante no tienen capacidad para consultar información del ordenador en el que están almacenadas. Sin embargo existen un tipo de cookies llamadas cookies maliciosas que su cometido no es facilitar la navegación por determinadas páginas, sino monitorizar las actividades del usuario en Internet con fines maliciosos, por ejemplo capturar los datos de usuario y contraseña de acceso a determinadas páginas Web o vender los hábitos de navegación a empresas de publicidad.

Por último, nos queda indicar que existen algunas amenazas que pueden afectar a un ordenador sin que la máquina esté infectada; son los denominados ataques en red, correo no deseado, fraude en Internet... En la sección de Amenazas se explican todas ellas.

Cómo llegan al ordenador y cómo prevenirlos

Existen gran variedad de formas por las que los virus, gusanos y troyanos pueden llegar a un ordenador; en la mayoría de los casos prevenir la infección resulta relativamente fácil siguiendo unas sencillas pautas. Las formas en que un programa puede llegar al ordenador son las siguientes:

Explotando una vulnerabilidad: cualquier programa del ordenador puede tener una vulnerabilidad que puede ser aprovechada para introducir programas maliciosos en el ordenador. Es decir, todos los programas que haya instalados en el equipo, ya sean: Sistemas Operativos -Windows, Linux, MAC OS, etc-, navegadores Web -Internet Explorer, Firefox, Opera, Chrome, etc-, clientes de correo –Outlook, Thunderbird, etc- o cualquier otra aplicación –reproductores multimedia, programas de ofimática, compresores de ficheros, etc-, es posible que tengan alguna vulnerabilidad que sea aprovechada por un atacante para introducir programas maliciosos. Para prevenir quedarse infectado de esta forma, recomendamos tener siempre actualizado el software el equipo.

Ingeniería social: apoyado en técnicas de ingeniería social para apremiar al usuario a que realice determinada acción. La ingeniería social se utiliza sobre todo en correos de phishing, pero puede ser utilizada de más formas, por ejemplo, informando de una falsa noticia de gran impacto, un ejemplo puede ser alertar del comienzo de una falsa guerra incluyendo un enlace en que se puede ver más detalles de la noticia; a donde realmente dirige el enlace es a una página Web con contenido malicioso. Tanto para los correos de phishing como para el resto de mensajes con contenido generado con ingeniería social, lo más importante es no hacer caso de correos recibidos de remitentes desconocidos y

65

tener en cuenta que su banco nunca le va a pedir sus datos bancarios por correo.

Por un archivo malicioso: esta es la forma que tienen gran cantidad de troyanos de llegar al equipo. El archivo malicioso puede llegar como adjunto de un mensaje, por redes P2P, como enlace a un fichero que se encuentre en Internet, a través de carpetas compartidas en las que el gusano haya dejado una copia de sí mismo…La mejor forma de prevenir la infección es analizar con un antivirus actualizado todos los archivos antes de ejecutarlos, a parte de no descargar archivos de fuentes que no sean fiables.

Dispositivos extraíbles: muchos gusanos suelen dejar copias de sí mismos en dispositivos extraíbles para que automáticamente, cuando el dispositivo se conecte a un ordenador, ejecutarse e infectar el nuevo equipo. La mejor forma de evitar quedarse infectados de esta manera, es deshabilitar el autoarranque de los dispositivos que se conecten al ordenador.

Aunque, como se ha visto, existen gran cantidad de códigos maliciosos, es muy fácil prevenir quedarse infectado por la mayoría de ellos y así poder utilizar el ordenador de forma segura, basta con cumplir estas dos normas:

Seguir las recomendaciones de seguridad Estar informado de las amenazas y alertas de seguridad

Tecnología Global Threat Intelligence

McAfee Global Threat Intelligence ofrece la protección más completa del mercado para detener las amenazas de seguridad más recientes que proceden de Internet. Con visibilidad en todos los vectores de amenazas principales (archivos, Web, correo electrónico y redes) y una visión de las últimas vulnerabilidades en toda la industria de TI, correlacionamos los datos reales recogidos de millones de sensores en todo el mundo y proporcionamos protección en tiempo real mediante nuestra suite de soluciones de seguridad de McAfee.

Servicios de reputación y categorización McAfee GTI

Información sobre amenazas

Obtenga información detallada en tiempo real acerca de las amenazas y vulnerabilidades más recientes, además de útiles herramientas de seguridad.

Amenazas de malware más recientes

Feb 28, 2013Generic.bfr!441622B193B9 Feb 28, 2013W32/Ipamor.d!DC11218234F2 Feb 28, 2013Ransom-AAP!DC2BC156A2B9 Feb 28, 2013W32/Ramnit.DR!DF2020CF7E51 Feb 28, 2013W32/Sality.dr!12B4284A9F8C

Detailed Threat Information

Top Spam Senders Top Intrusion Attackers

66

Latest Malware

Popular Web Domains Top Network Intrusion Activity

 

Unidad Temática 4

Auditoria a los Sistemas InformatizadosPreparación del trabajo del AuditorAuditoría a la Función Informática en la entidadAuditoría a las bases de datosAuditoría a las entradasAuditoría a las Informaciones de salida

Subsistema de Auditoria

Métodos de Datos de Prueba

Métodos de Simulación Paralela

Informática Forense

Informática Forense¿Qué es la informática forense o Forensic?El valor de la información en nuestra sociedad, y sobre todo en las empresas, es cada vez más importante para el desarrollo de negocio de cualquier organización. Derivado de este aspecto, la importancia de la Informática forense –sus usos y objetivos- adquiere cada vez mayor trascendencia. ¿En qué consiste esta técnica relativamente reciente?

Productos recomendados

Le recomendamos que utilice un buen CRM para conseguir una perfecta sincronización con sus clientes.

Si desea que le informen de forma gratuita y sin compromiso sobre CRM puede hacerlo desde nuestro

formulario

Resumen

1. Si como empresa ha sufrido -o quiere evitar sufrir- vulneraciones derivadas del uso que sus

empleados hacen de sus sistemas de información, la respuesta está en la Informática forense.

Aquí una guía orientativa sobre las cuestiones básicas principales: para qué sirve, en qué consiste,

cuáles son sus objetivos y su metodología y cómo ha de llevarse a cabo para adecuarse al

derecho.

La Informática forense permite la solución de conflictos tecnológicos relacionados con seguridad

informática y protección de datos. Gracias a ella, las empresas obtienen una respuesta a problemas de

67

privacidad, competencia desleal, fraude, robo de información confidencial y/o espionaje industrial

surgidos a través de uso indebido de las tecnologías de la información. Mediante sus procedimientos se

identifican, aseguran, extraen, analizan y presentan pruebas generadas y guardadas electrónicamente para

que puedan ser aceptadas en un proceso legal.

Informática Forense o Forensic- ¿Para qué sirve? Para garantizar la efectividad de las políticas de seguridad y la protección tanto de la

información como de las tecnologías que facilitan la gestión de esa información.

- ¿En qué consiste? Consiste en la investigación de los sistemas de información con el fin de detectar

evidencias de la vulneración de los sistemas.

- ¿Cuál es su finalidad? Cuando una empresa contrata servicios de Informática forense puede perseguir

objetivos preventivos, anticipándose al posible problema u objetivos correctivos, para una solución

favorable una vez que la vulneración y las infracciones ya se han producido.

- ¿Qué metodologías utiliza la Informática forense? Las distintas metodologías forenses incluyen la

recogida segura de datos de diferentes medios digitales y evidencias digitales, sin alterar los datos de

origen. Cada fuente de información se cataloga preparándola para su posterior análisis y se documenta

cada prueba aportada. Las evidencias digitales recabadas permiten elaborar un dictamen claro, conciso,

fundamentado y con justificación de las hipótesis que en él se barajan a partir de las pruebas recogidas.

- ¿Cuál es la forma correcta de proceder? Y, ¿por qué? Todo el procedimiento debe hacerse tenido en

cuenta los requerimientos legales para no vulnerar en ningún momento los derechos de terceros que

puedan verse afectados. Ello para que, llegado el caso, las evidencias sean aceptadas por los tribunales y

puedan constituir un elemento de prueba fundamental, si se plantea un litigio, para alcanzar un resultado

favorable.

Objetivos de la Informática forenseEn conclusión, estamos hablando de la utilización de la informática forense con una finalidad preventiva, en

primer término. Como medida preventiva sirve a las empresas para auditar, mediante la práctica de

diversas pruebas técnicas, que los mecanismos de protección instalados y las condiciones de seguridad

aplicadas a los sistemas de información son suficientes. Asimismo, permite detectar las vulnerabilidades de

seguridad con el fin de corregirlas. Cuestión que pasa por redactar y elaborar las oportunas políticas sobre

uso de los sistemas de información facilitados a los empleados para no atentar contra el derecho a la

intimidad de esas personas.

Por otro lado, cuando la seguridad de la empresa ya ha sido vulnerada, la informática forense permite

recoger rastros probatorios para averiguar, siguiendo las evidencias electrónicas, el origen del ataque (si es

una vulneración externa de la seguridad) o las posibles alteraciones, manipulaciones, fugas o

destrucciones de datos a nivel interno de la empresa para determinar las actividades realizadas desde uno

o varios equipos concretos.

68

Cuestiones técnicas y legales de la informática forensePara realizar un adecuado análisis de Informática forense se requiere un equipo multidisciplinar que incluya

profesionales expertos en derecho de las TI y expertos técnicos en metodología forense. Esto es así

porque se trata de garantizar el cumplimiento tanto de los requerimientos jurídicos como los requerimientos

técnicos derivados de la metodología forense.

Unidad Temática 5Sistemas de Información Gerencial - Aplicaciones Informáticas específicas para el Contador Público - Aplicaciones Informáticas del ámbito Estatal Boliviano - SINCOM – SIGMA – NEWTON - DA VINCI Unidad I Gobierno Electrónico - Banca Electrónica - Negocios Virtuales - Procesamiento Electrónico de Datos – Dinero Electrónico – Firma Digital – Certificado Digital - Transferencia Electrónica de Fondos - Técnicas de Auditoria Apoyadas por Computadoras.

Unidad IIUnidad III Unidad Temática 6

GOBIERNO ELECTRÓNICOINTRODUCCIÓNPese a que la tecnología no es el ingrediente decisivo de las reformas estatales pendientes, es indudable que los nuevos desafíos de la era del conocimiento vienen convirtiendo a la capacidad tecnológica en un factor importante para todas las sociedades, sobre todo para aquellas como la boliviana, que viven coyunturas de transformación.

Varios gobiernos han empezado a usar y aplicar nuevas tecnologías, no sólo para fomentar nuevos productos, procesos y formas de organización productiva, sino también para expandir la creación de riqueza, difundir beneficios con más eficiencia, promover sistemas de conocimientos, insertarse en el mundo globalizado y maximizar sus beneficios. Aquellos países son justamente los que tienen más posibilidad de incrementar su productividad y competitividad, y sobre esa base mejorar las condiciones de vida de sus habitantes y la calidad de su gobernabilidad democrática.

Al contrario de lo que generalmente se piensa, el uso y la aplicación de tecnologías no implican menos intervención del Estado, cuyo rol en temas como éste no sólo es esencial, sino imprescindible en cada una de las etapas de una buena estrategia tecnológica. Por ejemplo en, la conceptualización, implementación y evaluación de estrategias; en determinar las políticas y estructuras de regulación; en la entrega de programas y servicios a la ciudadanía; en el uso de la infraestructura de información para mejorar las prácticas administrativas y en fomentar la participación e interacción de la ciudadanía.

Los caminos hacia la sociedad de la información pueden ser múltiples, dependiendo de los objetivos y la estrategia. Sin embargo, la inserción de una sociedad en la era de la información tiene algunos requisitos básicos.

Por ejemplo, la infraestructura física. Es decir, desde computadoras, televisores, teléfonos fijos y celulares y uso y aplicación del Internet, hasta redes de fibra óptica, redes inalámbricas, electricidad e Intranet. Otro requisito básico son los medios que permiten que esta infraestructura pueda ser usada apropiadamente. Aquí nos referimos a las aplicaciones de software, los servicios de almacenamiento remoto en línea, programas multimedia y páginas web, además de iniciativas de gobierno-electrónico (gobierno-e).

La construcción de una sociedad de la información no se puede hacer en un vacío, ni mucho menos genera resultados automáticamente.

El alcance y resultados de estas políticas públicas dependen de las características y condiciones sobre las que se construyen.

69

La construcción de la sociedad de la información es también un proceso evolutivo, por lo tanto, la adaptación en cada sociedad dependerá de sus rasgos peculiares y del tipo y nivel de desarrollo.

1. DEFINICIÓN GENERAL Y ESPECÍFICA.DEFINICIÓN GENERAL.El Gobierno Electrónico (e-government) es un concepto de gestión que fusiona el empleo intensivo de Tecnologías de la Información y Comunicación (TIC), con modalidades de gestión y administración pública, como una nueva forma de Gobierno.

DEFINICIÓN ESPECÍFICA. “Es la mejora continua en la prestación de servicios e información desde el gobierno a la sociedad, con base en el uso de las nuevas tecnologías de información y comunicación (NTIC), buscando mejorar cualitativa y cuantitativamente los servicios e información ofrecidos, aumentar la efectividad de la gestión pública e incrementar sustantivamente la transparencia del sector público y la participación de los ciudadanos”.

OBJETIVOS DEL GOBIERNO ELECTRÓNICOOBJETIVO GENERALFortalecer el desempeño de la administración estatal, la participación ciudadana y el control social mediante el uso de las TIC’s y una administración integral orientada al servicio ciudadano.OBJETIVOS ESPECÍFICOS1) Aumentar la eficiencia y la eficacia en la Administración y Gestión pública.

2) Incrementar sustancialmente la transparencia y participación de los ciudadanos en el sector público.

Fortalecer la democracia

Aumentar niveles de eficiencia en la gestión pública.

Disminución significativa de costos de transacción y coordinación en la interacción entre entes públicos y además de ciudadanos.

Generación de incentivos y prácticas que faciliten modalidades de gestión innovadora y creativa.

Mantención y constante superación de los grados de transparencia de esas actividades.

Acelerar el tránsito hacia una administración centrada en el ciudadano.

Mejorar calidad de los servicios públicos que se proveen y las modalidades de provisión.

Facilitar cumplimiento de las obligaciones de los ciudadanos.

Disminuir significativamente los costos de transacción entre ciudadanos y agentes públicos.

70

Suprimir paulatinamente barreras, ineficiencias e irracionalidad en la interacción entre privados y sector público.

Facilitar el escrutinio ciudadano de la información, actividad y calidad de la operación presentes en el sector público.

CARACTERÍSTICASLas principales características del Gobierno Electrónico son:

Fácil de usar, conectando a la gente a los distintos niveles de gobierno nacional e internacional, de acuerdo a sus preferencias y necesidades.

Disponible y de acceso universal, en la casa, el trabajo, los centros educativos, las bibliotecas y otras localidades apropiadas a cada comunidad.

Privacidad y seguridad, además de autenticación, que generen confianza.

Innovador y enfocado a resultados, enfatizando velocidad y capacidad de absorber y/o adaptar avances tecnológicos.

Colaboración, con soluciones desarrolladas entre aliados públicos, privados, no-gubernamentales y centros de investigación.

Óptimo en costos y beneficios, a través de una estrategia de inversión que produzca ahorros, ganancias, y beneficios a largo plazo.

Transformacional, fomentando tecnología a través de liderazgo personal y organizacional para cambiar la forma de hacer gobierno, y no solo automatizando las prácticas y procesos existentes.

El gobierno electrónico involucra una amplia gama de actores, actividades, y sectores. En cuanto a los actores tenemos:

Estado, es el principal actor, que lidera el proceso. Dentro de éste obviamente se debe destacar a los líderes gubernamentales de turno, quienes a través de su capacidad y voluntad política pueden construir una visión integrada de gobierno electrónico, consensuarla e implementarla.

Funcionario público quien con su capacidad de adaptación y aprendizaje puede convertirse en el principal operador de las iniciativas.

Empresario e industrial, es otro actor principal, especialmente aquel que cree en la innovación, al igual que aquel que enfrenta al riesgo con visión y holgura.

La ciudadanía, no hay duda que es uno de los principales actores en general, en particular aquella que no sólo demanda más eficiencia y transparencia gubernamental, sino la que está interesada en involucrase en los asuntos públicos.

Investigadores, técnicos y científicos, quienes apoyados por una infraestructura adecuada, pueden convertirse en agentes de conocimiento y cambio.

El gobierno electrónico implica también innovaciones en otras áreas claves como el liderazgo, la deliberación, la inversión productiva, la educación y la ciudadanía. Además puede fomentar la automatización, la informatización y la transformación, lo cual puede traducirse en una mejora en el buen gobierno, y por ende en más confianza.

Por ejemplo, este último puede incidir en la eficiencia gubernamental, produciendo lo mismo a menor costo; en la productividad, generando más al mismo costo; y en la velocidad, produciendo más, de manera más rápida y al mismo costo. También puede incidir en la efectividad, en cuanto el gobierno no sólo puede producir más, más rápido y al mismo costo, sino también producir algo de mayor calidad, novedoso e innovador.

Aunque el gobierno electrónico involucra una gama amplia de actividades y de actores que interaccionan vertical y horizontalmente en dimensiones políticas, económicas, y sociales, tiene una vinculación estratégica de tres dimensiones:

71

1) Gobierno a gobierno: En muchos aspectos la vinculación intragubernamental representa la columna vertebral del gobierno electrónico. Antes de interactuar y ofrecer servicios más eficientes a la ciudadanía y al empresariado, el gobierno debe mejorar y actualizar su propio sistema interno (back office).

2) Gobierno a empresa: Esta dimensión implica tanto la venta de productos y servicios gubernamentales al público (front office), como también la compra de productos y servicios del sector privado (licitación y compras, enfatizando la comodidad, la transparencia y la competencia). Es decir, tiene que ver con la interacción entre el sector gubernamental y empresarial, y con reducir prácticas clientelares y el uso de medios corruptos para acelerar transacciones.

3) Gobierno a ciudadano: Se trata de hacer de las transacciones gubernamentales lo menos burocráticas, ganando en rapidez y facilidad. Implica también mejoras en el acceso a la información pública, a través del uso de herramientas de diseminación, como sitios web y/o kioscos informativos. El principal objetivo del gobierno electrónico es facilitar la interacción entre el ciudadano y el gobierno. Es decir, puede ayudar a mitigar el centralismo burocrático a través de la creación de ventanillas únicas, donde el ciudadano pueda obtener soluciones e información en varios temas, en un solo lugar, sin necesidad de interacciones físicas con un representante de cada una de las agencias gubernamentales involucradas.

3. VENTAJAS Y DESVENTAJAS DEL GOBIERNO ELECTRÓNICO.VENTAJASLos beneficios que se pueden llegar a tener partir de este nuevo modelo gubernamental se enfocan en dos sentidos.

1. Hacia el gobierno: consisten en el ahorro de recursos, aumento de ingresos y una mejor administración como se puede reflejar a través de las siguientes acciones.

Reducción de costos en empleo de tiempo.

Mejora la productividad, rendición de cuentas y hace más eficientes a las instituciones.

Incrementa la transparencia de la gestión gubernamental

Fortalece el sistema legal, cumplimiento de la ley y amplía la participación ciudadana.

2. Hacia los ciudadanos: se relaciona con el desarrollo económico y reducción de la brecha digital. Mayor acceso a la información por parte de la ciudadanía.

Mayor calidad y valor agregado a los servicios que reciben

Incrementa la productividad de la sociedad y sector privado

Mejora la calidad de vida de la sociedad.

Acciones promotoras de un Gobierno Electrónico.Considera que son varias las acciones que pueden implantarse con objeto de integrar las TIC con la administración pública, entre las que se encuentran.

Acceso ciudadano a diversos tipos de información: la cual consiste en información que el gobierno puede distribuir como políticas, regulaciones, información que recopila para su uso, pero que puede compartir como datos geográficos y socioeconómicos, así como la información que está obligado a proporcionar: como indicadores de desempeño, datos personales, entre otros. Los beneficios de estas acciones es la reducción de costos de distribución y disposición de servicios las 24 horas del día accediendo desde cualquier punto y hace al gobierno más transparente.

Transacciones con el gobierno: refuerzan la eficiencia administrativa a través de un gobierno más pequeño, barato, fácil de gestionar y que está orientado al cliente.

Prestación de servicios públicos. Estos servicios en línea se adaptan mejor a los usuarios y cumplen con sus expectativas ya que eliminan distancias y desigualdades de zonas, económicas y físicas. Los ejemplos se ven reflejados en la telemedicina y educación a distancia.

72

Participación ciudadana: la adopción de nuevas técnicas dan lugar a cambios en la relación de los ciudadanos y el Estado, y de éste con otros Estados, modificando sus estructuras y procedimientos. Ejemplos de ello son la votación electrónica y la interacción electrónica con el parlamento

DESVENTAJAS Personal técnico y calificado reducido en el país.

Diversidad y hasta obsolescencia del software propietario de gestión en las diferentes entidades

La resistencia al cambio de la burocracia

Desconocimiento y poca capacitación en TICs

Vinculación de la aplicación de las tecnologías de la información a la administración del Estado, específicamente en los ámbitos aduanero, fiscal y tributario y de mejores prácticas en materias de compras gubernamentales

Deficiente administración de recursos económicos

4. PRINCIPIOS DEL GOBIERNO ELECTRÓNICOSin duda que toda teoría ha de basarse en principios filosóficos jurídicos que demuestren un accionar de beneficio para la colectividad, por lo que los principios en los que se basa el Gobierno Electrónico, son los siguientes:

1) Responsabilidad. Desde la perspectiva del Estado y de los ciudadanos. El estado tiene el deber de informar en el marco de la transparencia de sus actos administrativos y sus negocios jurídicos. Los ciudadanos tienen el deber de efectuar el control y seguimiento de los mismos y de informar cuando sea necesario.

2) Eficiencia. Los servidores públicos alcanzarán sus metas y objetivos previstos en los programas de operación conforme las condiciones imperantes en su gestión, aprovechando o neutralizando los efectos de factores que pudieran considerarse de impacto o magnitud, a través de los medios virtuales.

3) Eficacia. El servidor público podrá demostrar por medio de la red, el adecuado uso de los recursos invertidos y los resultados obtenidos.

4) Oportunidad. La información podrá obtenerse en el momento preciso a través de la web, por estar sometida a actualización permanente.

5) Economía. El servidor público podrá demostrar la relación existente entre el costo de sus acciones y los resultados obtenidos. En tanto que el usuario podrá acceder a esta información a bajo costo, por la expansión del servicio.

6) Transparencia. Los actos administrativos públicos adquirirán credibilidad al ser generados y transmitidos en forma útil, oportuna, pertinente, completa, confiable y verificable. Asimismo, se preservarán en archivos magnéticos y documentales para efectos de prueba, para ser difundida y proporcionar la información ya procesada a quien lo solicite.

7) Conectividad. Que permite a los servidores públicos y al propio Estado, mantener contacto directo con todo el aparato estatal, producir y transmitir información conjunta.

Si bien los principios delineados se basan en la difusión de la información generada en el Gobierno central, no perdamos de vista, la existencia de información considerada confidencial, que por contar con características especiales, naturalmente no podrá ser informada sino hasta cuando lo decida la autoridad correspondiente. Ese tipo de información se encuentra contenida en normas especiales contemplando también responsabilidad para sus actores; reserva que no contradice lo expuesto.

Como se advierte, el principio de la responsabilidad de los servidores públicos para generar y difundir información a través del Gobierno en línea, es la base jurídica esencial para determinar los límites y alcances de su actividad, así como la imposición de sanciones cuando corresponda. En consecuencia, la aplicación de las normas administrativas por analogía es válida, así no se regule expresamente. En razón a

73

que el servidor público seguirá siendo responsable por sus actos en tanto y en cuanto tenga esa calidad. La responsabilidad podrá ser administrativa, ejecutiva, civil o penal.

Ninguno de los principios anotados actúa de manera aislada, todos se complementan para efectos de lograr el mayor acceso a la información y a los servicios que presta el Estado, cuyos resultados permitirán mejorar la calidad de los mismos y ofrecer oportunidades de participación democrática institucional.

5. GOBIERNO ELECTRONICO EN BOLIVIASegún el Glosario de Términos elaborado por el Programa Nacional de Gobierno – PRONAGOB, el Gobierno Electrónico es “Toda actividad basada en las Nuevas Tecnologías de la Información y la Comunicación, que el Estado desarrolla para aumentar la eficiencia de la gestión pública, mejorar los servicios ofrecidos a los ciudadanos y proveer a las acciones de la administración gubernamental de un marco de la mayor transparencia posible” (Abril 2002 – La Paz Bolivia)

¿Cuál es el resultado de esta profunda transformación estatal?

Un Estado capaz de procesar las discrepancias de la sociedad y convertirla, a su vez, en un actor reforzado en el mundo es justamente el equivalente a uno que actúa en red, acumulando fuerzas ajenas y contribuyendo con las propias a la consecución de metas colectivas relevantes.

Sólo removiendo las causas que alientan el patrimonialismo, es decir, la privatización abusiva del espacio público, es posible pensar en contar con un capital institucional digno de una sociedad activa y autorregulada. Y sólo mediante esos profundos cambios institucionales es posible imaginar un Estado-red boliviano, descentralizado.

En la coyuntura actual de Bolivia, la ampliación y mejora de los flujos de información y comunicación podría promover, por ejemplo, una reforma del Estado patrimonial y cambiar la dependencia económica de los recursos naturales.

Pasos hacia el cambio El primer paso hacia el cambio requerido consiste en definir los principios que debieran orientar la reflexión sobre la transición hacia una sociedad de la información.

El segundo paso consiste en formular una estrategia.

Es decir, se trata de diseñar una acción con un enfoque armonioso y secuencial. A medida que la sociedad global de la información evoluciona, es evidente que la cuestión para países en desarrollo como Bolivia no es si implementar o no políticas e iniciativas tecnológicas, sino más bien cuándo y cómo.

Las actuales condiciones económicas, políticas y sociales vigentes en Bolivia y un serio vacío institucional han desfavorecido el diseño de una política institucional la que antes que nada debe ser el resultado de una decisión política. En el último año, las actividades hacia el gobierno-e en Bolivia han estado impulsadas principalmente por asistencia técnica de donantes como el Banco Interamericano de Desarrollo (BID) y el Programa de las Naciones Unidas para el Desarrollo (PNUD) y corporaciones como Microsoft, y se han concentrado en actividades que servirán de insumos para una eventual estrategia de gobierno digital.

6. ASPECTOS JURIDICOS Y LEGALES DEL GOBIERNO ELECTRONICOActualmente no se cuenta todavía en Bolivia con ningún reglamento expreso o ley para el comercio electrónico. Sin embargo, existen seis disposiciones legales relacionadas con el tema:

1. La ley SIRESE.

2. La ley de telecomunicaciones.

3. La ley de derechos de autor.

4. El código penal.

5. Las modificaciones al código penal.

74

6. Los decretos 25.704 y 25.870 sobre el gravamen arancelario a las importaciones.

Por otro lado, el decreto 26.455, relacionado al proyecto SIGMA, es lo más cercano que Bolivia tiene a una ley de firma digital.

Se tiene un proyecto sobre un capítulo de “Disposiciones Generales en Comercio Electrónico,” el mismo que será incorporado al Código de Comercio. Sin embargo no existe un marco legal adecuado para la protección intelectual y contra la piratería, la cual ha crecido mucho en los últimos años.

Recién en marzo del 2002 se oficializó en Bolivia un marco para una eventual estrategia e gobierno-e, cuando se promulgó el decreto 26.553 y estableció el marco legal e institucional básico para la implementación de nuevas tecnologías. Este mismo decreto creó la Agencia para el Desarrollo de la Sociedad de la Información en Bolivia (ADSIB), entidad descentralizada, bajo tuición de la Vicepresidencia de la República, que es la responsable de proponer establecer e implementar la estrategia de políticas informacionales en Bolivia, incluyendo la de gobierno-e (http://www.bolnet.bo/).

A pesar de ese importante avance, no existe todavía en Bolivia una estrategia integrada de gobierno-e debido a la falta de liderazgo político y la ausencia de políticas.

Por ejemplo, se han elaborado los “Lineamientos para la Estrategia de Bolivia en la Era Digital”. Se aprobó también el decreto 26.624, que dispone que todas las redes y portales gubernamentales deban registrarse bajo el dominio “gov.bo.” Además, se aprobó la creación oficial del Registrador de Dominio Internet en Bolivia bajo la responsabilidad de la Red Boliviana de Comunicación de Datos (BOLNET), responsable de reglamentar y ordenar el registro de los nombres de dominio Internet en el país. Complementario a esto, bajo resolución suprema 22.116 de mayo de 2002, se dispuso que todos los funcionarios públicos dependientes del Poder Ejecutivo cuenten con una dirección personal de correo electrónico.

De lo expuesto, se podría señalar que la naturaleza jurídica del Gobierno Electrónico, se basa en los siguientes aspectos:

La información que brinda el Estado a la ciudadanía, genera responsabilidad administrativa de los servidores públicos, en el caso de Bolivia se cuenta con la Ley de Administración y Control Gubernamental – SAFCO, sus Decretos Reglamentarios, Sistema de Administración y Contratación de Bienes y Servicios, Ley de Procedimientos Administrativos y su Decreto Reglamentario, además de otras normas conexas y complementarias.

La información es única, es la misma de los documentos que sirvieron de base para ella. En caso de ser alterada, el responsable será pasible a la sanción que corresponda, según la gravedad del hecho.

Los ciudadanos o beneficiarios finales, se convierten en agentes de control social de la administración gubernamental. En caso de actos fraudulentos o ilícitos, están obligados a reportarlos a la MAE, de no hacerlo pueden convertirse en cómplices o encubridores. Así, nace la responsabilidad ciudadana.

Al transparentar los actos administrativos y los negocios jurídicos del Estado, se constituye en un factor importante en la lucha contra la corrupción, tal vez más pronto de lo que imaginamos producirá un cambio de conducta basado en la ética y la moral.

2. CONCLUSIONESEl Gobierno en línea y todo lo relacionado con el accionar del Estado, al estar al alcance de los ciudadanos como medio fundamental de la información, se constituye en un instrumento eficaz de control y seguimiento, así como de lucha contra la corrupción.

Por tanto, el Gobierno Electrónico como medio de información cumple dos propósitos:

1. Involucrar a los ciudadanos en el accionar estatal, convirtiéndolo en agente de control y seguimiento.

2. Reducir la brecha digital existente.

75

El Gobierno ya no es más el ente que desarrolla sus actividades en círculos estrechos, dejará atrás la sensibilidad que producen las contrataciones, por los hechos que son de conocimiento público y que han generado la pérdida de la credibilidad en los ejecutivos gubernamentales.

La transparencia inserta en las normas legales, será un hecho evidente en cuyo marco se desenvolverán los servidores públicos. Aunque los medios tecnológicos no son el único factor de ella, para recobrar la credibilidad tendrá que acompañarse con la adecuada selección de sus recursos humanos, en suma, se trata de generar una nueva cultura de la administración estatal, tanto de su planta ejecutiva como de los servidores públicos.

Banca ElectrónicaNegocios VirtualesUnidad Temática 7

Desafíos éticos y sociales de las Tecnologías de InformaciónSistemas de Información Gerencial y de apoyo a la toma de decisionesTecnologías de Inteligencia Artificial en la empresaAplicaciones y aspectos estratégicos en la Tecnología de InformaciónAdministración de la Tecnología de InformaciónManejo de las Tecnologías de Información global

Tecnologías de información para E-business (ERP, SCM, CRM, KM, BI)A lo largo de los años han surgido diversas tecnologías, tecnologías que en su tiempo fueron

disruptivas y que lograron cambios sorprendentes en la humanidad en las distintas áreas que la conforman. (Norris et al, 2000). Una de estas tecnologías que ha impactado considerablemente al mundo entero es el Internet. Desde finales del siglo XIX e inicios del siglo XX, se ha llevado a cabo un drástico y turbulento proceso de reacomodo en diversos sectores de la sociedad e industria y cada uno de ellos resultó afectado por esta tecnología. (Kalakota y Robinson, 2001)

Brenix (2003), comenta que a raíz de esta tecnología, se crearon y abrieron nuevas oportunidades para cada uno de los negocios, pero al mismo tiempo, muchos problemas surgieron, salieron a la luz, y era necesario enfrentarlos. También Faramarz (2001) comenta que debido a este nuevo cambio, se creó un nuevo entorno, un entorno en el cual solo existían dos opciones, entrar o no entrar. Para entrar a este, era necesario adaptarse al mismo, adaptarse a los nuevos valores, las nuevas reglas, pero sobre todo y muy importante la nueva forma de hacer negocio. Siebel2 (2003), Brenix (2003), Faramarz, 2001)

Faramarz (2201) y Brenix (2003), comentan que dentro de lo nuevo que surgió a raíz de este cambio, fueron ciertos niveles de problema como son la dependencia a la tecnología de información, clientes más exigentes, clientes mas informados, estrategias, entorno dinámico, etc. Dowding (2001) complementa es panorámica al comentar que en este acelerado ambiente de negocios es necesario contar con una estrategia que guíe a la empresa ya que la velocidad y la complejidad hará extremadamente difícil afrontar las circunstancias actuales y responder a las oportunidades.

Todo este cambio, esta nueva forma de hacer negocios es llamada, e-business, negocios electrónicos, el cual no es una simple forma de hacer negocio o un canal de venta y relación entre la organización y el cliente, sino que va más allá, es una iniciativa de negocio que transforma las relaciones de negocio, es una nueva forma de gestionar la eficiencia, la innovación, la velocidad y la creación de valor a la empresa. (Garza Pérez, 2003, citando a Hartman, Sifones y Kador 2000).

De acuerdo a esta perspectiva, y tomando en cuenta lo anterior y recapitulando, es una iniciativa de negocio, es una nueva forma de hacer negocio, por lo tanto, necesita de herramientas que constituyan esta forma de negocio. (Dowding Hill, 2001). Estas herramientas, son tecnologías que forman parte clave o indispensable dentro de un negocio electrónico, sin ellas no puede existir o desarrollarse. Estas tecnologías son la Administración de la Relación con el Cliente (Siebel2, 2003), la Administración de la Cadena de Suministros (Larson, 2001), la Inteligencia del Negocio (Raymond, 2003), la Administración del

76

Conocimiento (Allard Suize y Holsapple Clyde, 2002), y la Planeación de Recursos Empresariales (Kuei Chu-Hua, 2002).

El Internet ha llegado para quedarse, para desarrollarse para impactar a cada una de las organizaciones, como lo menciona Dowding (2001), asimismo, Faramarz (2001) comenta que este impacto se da al tener las expectativas de que todo es hacerlo más rápido, mejor y barato.

Para obtener el éxito en esta economía, la economía del Internet, tal como dice Dowding (2001) es necesario integrar un modelo disciplinado de negocio electrónico dentro de la organización aunado a una metodología estructurada. Sin embargo, mucho de los negocios no lo han hecho así y se han hundido en un problema, ya que tratan de alcanzar el e-business sin considerar estrategias para su adecuado desarrollo, según Faramarz (2001).

En la actualidad, es esencial distinguir entre la implementación de un e-commerce y un e-business, ya que este, también ha sido un factor que ha las empresas no han sabido diferenciar. Como lo declara Frick citado por Hernández Sosa (2003) el negocio electrónico es utilizar la red para mejorar los procesos de negocios y tener un mejor desempeño, no forzosamente implica vender algo por Internet, como es el caso del e-commerce (Hartman et al, 2000, citado por Garza Pérez, 2003).

En el desarrollo del artículo se presenta de manera general la diferencia entre estos dos conceptos, así como las tecnologías de información de e-business la cuales son indispensables para la implementación del mismo.

1. e-CommerceKalakota y Robinson (1999) describen al e-commerce desde la perspectiva de un proceso de

negocio como la aplicación de la tecnología hacia la automatización de las transacciones de los negocios y el flujo del trabajo.

E-commerce es definido en el trabajo de Gómez (1998) como una tecnología moderna comercial que consigna las necesidades semejantes de las organizaciones mercantiles y consumidores de disminuir costos mientras se mejora también la calidad de bienes y servicios y se incrementa la rapidez del servicio de entrega.

2. e-BusinessGarza Pérez (2003) citando a Hartman et al (2000) menciona que e-business es cualquier iniciativa

en Internet que transforma las relaciones de negocio, sean éstas, relaciones business-to-business, business-to-customer, intraempresariales o entre dos consumidores. El e-business es una nueva manera de gestionar las eficiencias, la velocidad, la innovación y la creación nuevo valor en una empresa.

El e-business se le es llamado la tercera fase del e-commerce, como lo mencionan Kalakota y Robinson (2001). Esto incluye todas las aplicaciones y procesos que permiten a una compañía efectuar una transacción del negocio.

Además de abarcar el e-commerce, el e-business incluye tanto las aplicaciones front-and-back-office que forman el núcleo de los negocios modernos. Así, el e-business no es solamente una transacción de e-commerce o comprar-y-vender sobre el Web (Kalakota y Robinson, 2001, Siebel Thomas (2001,), es la estrategia global de redefinir antiguos modelos de negocios, con la ayuda de tecnología para maximizar valor del cliente y ganancias. (Kalakota y Robinson, 2001). Siebel Thomas (2001) menciona que el e-business incorpora el uso estratégico de las tecnologías de la información y la comunicación (incluyendo, pero no limitándose, a Internet) para interactuar con clientes, proyectos, y socios a través de la comunicación múltiple y los canales de distribución.

3. TI de e-BusinessPara tener un e-Business, es necesario contar con todo un respaldo de una serie de tecnologías de

información, así como indiscutiblemente es imprescindible la estrategia debido a que el empleo del Internet en la organización es una proposición de alto riesgo. Puede ser un arma de dos filos, puede capturar un enorme mercado o puede ser un asesino de la compañía, es por ello que debe estar ligado con una disciplina y un proceso estructurado. Sin embargo, esto no lo es todo, es necesaria una Metodología enfocada a los problemas y oportunidades. (Dowding Hill, 2001).

77

Reafirmando lo anterior, Brenix (2003), indica que para lograr el desarrollo del e-business en la organización son utilizadas una serie de herramientas que permiten a la organización desenvolverse más rápidamente y obtener la satisfacción en sus diferentes canales.

Asimismo, Siebel2 (2003) declara que es de gran importancia para la organización contar con diferentes tecnologías que le proporcionen estos beneficios, para mantener efectiva cada una de las partes de la misma.

Las tecnologías de información para e-business, a los cuales se referían cada uno de estos autores, son los siguientes: CRM, Administración de la Relación con el Cliente (Customer Relationship Management). (Siebel2,

2003). SCM, Administración de la Cadena de Suministros (Supply Chain Management), (Larson, 2001). BI, Inteligencia del Negocio, (Business Intelligence). (Raymond, 2003). KM, Administración del Conocimiento, (Knowledge Management), Allard Suzie y Holsapple Clyde

(2002). ERP, Planeación de los Recursos Empresariales (Enterprise Resource Planning), (Kuei Chu-Hua,

2002)3.1 CRM, Administración de la Relación con el Cliente (Customer Relationship Management).

Es una metodología para identificación, adquisición y retención de clientes, permitiendo a organizaciones administrar y coordinar interacciones de cliente a través de canales múltiples, departamentos, líneas de negocios y geografía. (Siebel2, 2003)

El Software de CRM proporciona una gran cantidad de beneficios a la organización (Siebel1, 2003) logrando con esto, mantener una relación estable con la cadena de relación de clientes, otorgando un mayor resultado, con menores costos, entregándolos en el tiempo acordado y con una alta calidad (Brenix, 2003).

Es una metodología integrada para identificación, adquisición y retención de clientes, permitiendo a las organizaciones administrar y coordinar interacciones de cliente a través de los canales múltiples, departamentos, líneas de negocio y geografía. (Siebel2, 2003)

A continuación se presentan algunas compañías vendedoras de soluciones de CRM: Siebel http://www.siebel.com/ SAP CRM http://www.sap.com/solutions/crm/index.asp Oracle http://www.oracle.com/applications/customermgmt/

3.2 SCM, Administración de la Cadena de Suministros (Supply Chain Management).Es la identificación y administración de la cadena de suministros específica, que son críticos para

las operaciones de compra de una organización. (Larson, 2001) Supply Chain Management. La administración de la cadena de suministros, puede y debe jugar un role vital en la administración de los procesos de la cadena de suministros que pertenece a los proveedores. (Larson, 2002).

Una tecnología de información que también es clave dentro de la implementación del e-business es el SCM, Supply Chain Management, según Rock (2000) este término puede no estar tan de moda como los e-términos y los i-términos, pero como la administración de la cadena de suministros se desarrolla para soportar los nuevos modelos de negocios incluyendo las maneras innovadoras de acoplar al cliente, administrar los riesgos, dirigir las información y las finanzas y deliberar el entusiasmo del producto para la practica continua de mejora continua.

A continuación se presentan algunas compañías vendedoras de soluciones de SCM: Oracle http://www.oracle.com/applications/B2B/index.html?content.html Baan http://www.baan.com/solutions/scm/index.aspx PeopleSoft http://www.peoplesoft.com/corp/en/products/ent/scm/index.jsp

3.3 BI, Inteligencia del Negocio, (Business Intelligence)La Globalización, la internacionalización de los mercados, la nueva economía y los negocios

electrónicos, son una interrelación de fenómenos los cuales emergen con retos de nuevas actitudes de supervivencia y de adaptación. (Raymond, 2003)

Por lo tanto, según Raymond (2003) resulta esencial detectar las tendencias y entender las estrategias que provienen de una economía global de conocimiento, esto es, actividades de la inteligencia de negocios por la cual los ambientes económico, tecnológico y social son explorados.

78

Existen diversos vendedores de soluciones para BI, a continuación se mencionan alguno de ellos: COGNOS http://www.cognos.com/products/businessintelligence/index.html HYPERION http://www.hyperion.com/

3.4 KM, Administración del Conocimiento, (Knowledge Management)KM (Knowledge Management, Administración del Conocimiento), Allard et al (2002) define que para

estudiar sistemáticamente, desarrollar y aplicar tales tecnologías para el negocio electrónico, es esencial adoptar una perspectiva que de una representación bastante comprensiva de la administración del conocimiento.

Reafirmando esto, Garza Perez (2003) citando a Raman (2002) dice que en una economía global, obtener ventajas resulta de una adecuada administración del conocimiento de la empresa. Esto se refiere a Administrar tres aspectos principales que son las personas, los procesos y la tecnología. Es por ello que las empresa se han dado cuenta que el conocimiento que se encuentre en sus empleados es un recurso sumamente importante para la empresa y por ende, puede y debe ser administrado.

Entre las compañías vendedoras de soluciones de KM, se mencionan algunas a continuación: CORPORUM http://www.cognit.no/home_multi/html/index.asp ARIKUS http://www.arikus.com/ ASINC http://www.asinc.com/

3.5 ERP, Planeación de los Recursos Empresariales (Enterprise Resource Planning)La tecnología, particularmente el Internet y el ERP, permiten a las compañías desarrollar nuevas

formas para hacer y mover productos, para administrar los procesos de negocios en todos los niveles y comunicarse con clientes y/o proveedores en tiempo real (Kuei Chu-Hua, 2002).

Asimismo, Norris et al (200) comentan que el ERP es un enfoque estructurado para optimizar la cadena de valor interna de una compañía. En otras palabras, ERP dentro de la organización lo que hace es organizar, codificar y estandarizar procesos y datos de negocios de la empresa, como lo comenta Norris et al (2000).

Entre los principales vendedores de soluciones de ERP, encontramos: SAP http://www.sap.com/ BAAN http://www.baan.com/solutions/erp/index.aspx Oracle http://www.oracle.com/

CONCLUSIÓNCon toda la información recabada en cada uno de los artículos podemos concluir que los negocios

electrónicos, e-business, día a día ha ido y siguen cobrando fuerza de manera sorprendente y se han encuentran en nuestra realidad.

Los negocios actualmente son el resultado de un cambio drástico de su forma de realizase, de la manera de pensar, de la manera de actual, de su forma de relacionarse, de vivir. Es por ello, que el negocio electrónico no es una alternativa, es un hecho imperativo, hecho que cada empresa, cada organización debe buscar y lograr, podemos decir, una meta que es indispensable alcanzar. Sin embargo, por el afán de alcanzar y lograr esta meta, podemos caer en caminar a la deriva, en perder la orientación, es por ello que es indispensable contar con una estrategia que permita el desenvolvimiento del mismo.

Para lograr esta meta, es utilizada una serie de tecnologías que permiten el logro del mismo, estas tecnologías son, CRM, SCM, KM, BI y ERP. Sin embargo, hay que ser muy cautelosos, ya que no existe una “receta de cocina” que se utilice para guiar a la organización para implementar un negocio electrónico.

Es por ello que surge la necesidad de estudiar y poner especial en los Factores Críticos de Éxito y de esta manera estar al pendiente y expectantes de los acontecimientos y ser precavidos para el momento en el cual sea necesario actuar.

Resumiendo, la realidad es que toda empresa, de cualquier tamaño, en cualquier industria y lugar del mundo tiene que cambiar su manera de hacer negocios, reconocer que Internet es la fuerza principal que comunica tanto a las empresas como a las personas.

PALABRA CLAVE:e-Business, Negocios electrónicos, Tecnologías de información, ERP, SCM, CRM, KM, BI

79

Unidad Temática 8

Unidad IV Excel para Contadores - Hoja de Trabajo - Tipos de datos - Funciones – Aplicaciones - Macros en Excel - Funciones de Auditoria - Auditoria de fórmulasCURSO EXCEL

El curso de Excel 2000, la hoja de cálculo más popular del mundo, es una herramienta básica y fundamental en los conocimientos de ofimática y necesaria para todos los trabajos.

En Aula Tutorial entendemos que la formación debe ser continuada para todos los ámbitos profesionales, y por ello ponemos a disposición de nuestros alumnos unos contenidos perfectamente estructurados. El sistema de aprendizaje de todos nuestros cursos de formación continua se organiza a partir de dos modelos: A distancia y Online.

En la modalidad a distancia, el alumno contará con un temario actual y completo, además de un acompañamiento constante en sus progresos a través de un sistema de tutorías (vía telefónica o por correo electrónico) durante el periodo en el que transcurran los cursos.

En la modalidad Online, nuestros cursos de formación continua cuentan con múltiples herramientas donde el alumno encontrará los cursos organizados por semanas, adjudicando a cada una de ellas las tareas que deberán ir cumpliendo. A través de la ficha de seguimiento, el alumno es conocedor de todos los trabajos que va superando y de los que le quedan por superar. Dentro de cada semana el alumno deberá estudiar los contenidos preestablecidos por su tutor, al igual que deberá realizar los correspondientes test y ejercicios que le permitan ejercitarse, poniendo en práctica los conocimientos teóricos adquiridos. Finalizando cada 5 temas efectuando un repaso conjunto de los contenidos, con el objetivo de ir afianzando el temario aprendido.

En la modalidad Online con tutoría, además de lo ya citado en el sistema anterior, el alumno va a tener un seguimiento más directo por parte del profesorado, contando además con la posibilidad de realizar cualquier tipo de consulta sobre los contenidos.

La calidad de los contenidos, la versatilidad de los recursos tecnológicos y la profesionalidad de los tutores, terminan de conformar el conjunto de elementos necesarios para que el alumno pueda alcanzar con facilidad su objetivo marcado.

OBJETIVOS

Actualizar conceptos básicos de Excel.

Implantación de funciones en Excel.

Diseño de plantillas y formularios.

Trabajo con Bases de datos.

Creación de Macros y enlaces con Internet

PROGRAMA

INICIACIÓN A EXCEL 20001. Introducción a Excel 2. Conceptos básicos de Excel

80

3. Primeros pasos en Excel 4. Formato de hojas de cálculo 5. Configuración e impresión de la hoja 6. Operaciones con rangos. Almacenamiento intermedio 7. Operaciones varias 8. Objetos en Excel 9. Gráficos y mapas en Excel

81