información ¿por qué hay que · pdf fileinformación ¿por...

Información ¿Por qué hay quecuidarla?Al igual que las finanzas, el personal y la cartera de clientes, hoy en

día uno de los activos mas valiosos de una organización es:

LA INFORMACIÓN Y EL CONOCIMIENTO

� Información sensible de clientes� Competitividad� Desarrollo� Soporte de decisiones� Reputación� Poder

Auditoria de SistemasAlgunas definiciones� Una recopilación, acumulación y evaluación de

evidencia sobre información y los sistemas de unaentidad.

� Una sistemática evaluación de las diversasoperaciones y controles de una organización, paradeterminar si se siguen políticas y procedimientosaceptados.

Pruebas

� De cumplimiento: Analizan y determinan loscontroles del sistema, trabajando directamente sobreel comportamiento del mismo.

� Sustantivas: Analizan el contenido residente enmedios de almacenamiento

Auditoría de sistemasTipos de controles:

} Preventivos: su finalidad es reducir la ocurrencia delhecho.

} Detectivos: descubren cuando sucedió el hecho

} Correctivos: una vez detectado, intentan corregir elhecho.

¿La seguridad absoluta es posible?Tipos de Riesgos

� Naturales

� Errores y Omisiones humanos

� Actos intencionales

Funciones (o finalidades) de laseguridad informática} Evitar

} Disuadir

} Prevenir

} Detectar

} Recuperar y corregir

Estrategia de seguridadCada sistema es único y por lo tanto la

política de seguridad a implementar no seráúnica

} Minimizando la posibilidad de ocurrencia

} Reduciendo al mínimo el perjuicio sufrido

} Diseño de métodos para la mas rápida recuperaciónde los daños experimentados

Analisis de RiesgosRisk management

Riesgo: Toda amenaza que puede atentarcontra el logro de un objetivo. ¿Qué puede fallar-pasar?

} Identifico Riesgos

} Evalúo y Mido riesgos

} Tomo decisiones

Beneficios del análisis de riesgo� Permite mejorar las decisiones de respuesta de riesgo

� Hace mas previsible a una organización

� Permite nivel adecuado de decisión

� Deslinda responsabilidad exclusiva del Management

Evaluación de riesgos� Medición inherente� Identificacion y evaluacion de controles� Medición residual

Medición inherente Medición residualCONTROLES

Matriz de Riesgo

� Impacto: Conjunto de posibles efectos negativos sobrela organización en todos sus niveles.

� Probabilidad de ocurrencia: Manifestaciónnumérica de la posible concreción de un hecho.

Riesgo

Riesgo Inherente Controles Tipo de control Reduce Riesgo Residual

Impa

cto

Prob

abili

dad

Valo

rri

esgo

Prev

enti

vo

Det

ecti

vo

Man

ual

Sist

é mic

o

Impa

cto

Prob

abili

dad

Impa

cto

Prob

abili

dad

Valo

rre

sidu

al

Posibilidadde queinformacióncrítica parala empresa,se destruyao modifique,accidental ointencional-mente.

A M A

- Copia deseguridaddiaria de lasoperaciones.

X X X

M M M

- Resguardoadecuado delas copias deseguridad.

X X X

Plan “Desastre”

Plan “Desastre”� Negocios dependen fuertemente de la tecnología

� Sistematización y automatización de procesos

� La interrupción de estos, podría causar serias pérdidasfinancieras, prestigio, clientes, etc.

¿Estamos realmente preparadospara una catástrofe?

Plan “Desastre”� Un plan de recuperación de desastres es una

declaración de acciones consecuentes que se debenrealizar antes, durante y después del desastre. Esteplan debe ser probado y registrado para asegurar lacontinuidad de las operaciones y la disponibilidad delos recursos necesarios en caso de desastre.

� Estructurar un plan antes de que se llegue a necesitar.

Seguridad Informática

¿Qué es la Seguridad Informática?• “Es un conjunto de métodos y herramientas destinadas a

proteger la información, sea cual fuere su tipología (digital, impresa, conocimientos) y a los procesos,personas, dispositivos, sistemas, etc. Que utilizan dediversas formas esta información, ante cualquier tipo deamenaza que pudiera atentar contra su Integridad,Confidencialidad y/o Disponibilidad”

• La seguridad informática no es un producto, sino unPROCESO CONTINUO E INTEGRAL en el cualparticipan diversos actores en forma permanente.(personas, tecnología, procesos)

Seguridad InformáticaTiende a conservar:

• Integridad: La información debe ser completa exacta y valida.Y tiene que ser protegida contra alteraciones, modificaciones, ocambios no autorizados, adicionalmente no debe ser perdida,modificada o corrompida.

• Confidencialidad: La información sensitiva debe ser reveladasolo a los individuos autorizados en el momento indicado. Esdecir, debe ser protegida de divulgación no autorizada oprematura.

• Disponibilidad: La característica de accesibilidad a lainformación para uso inmediato, implica que los sistemas deinformación funcionan de acuerdo a lo programado, los datosestán disponibles para su uso y son fácilmente recuperables encaso de pérdida.

Seguridad Física y LógicaNUNCA PASA NADA… HASTA QUE PASA

Seguridad Física� Principales Amenazas:

1. Desastres Naturales

2. Errores y Omisiones

3. Sabotajes internos y externos

Seguridad Física• Riesgo de Incendio

• Materiales ignífugos.

• Detectado por sensores de temperatura y de humo.

• La extinción se puede dar mediante matafuegos, Rociadores deagua (Sprinklers).

• Inundación del área con un gas especial (Bióxido de carbono,Halon 1301, etc.)

• No debe estar permitido fumar en el área de proceso.

Seguridad Física� Riesgo de Incendio

� Deben emplearse muebles incombustibles, y cestos metálicospara papeles. Deben evitarse los materiales plásticos einflamables.

� El piso y el techo en el recinto del centro de cómputo y dealmacenamiento de los medios magnéticos deben serimpermeables.

Seguridad Física• Pisos de Placas Extraíbles: Los cables de alimentación,

comunicaciones, interconexión de equipos, receptáculosasociados con computadoras y equipos de procesamiento dedatos pueden ser, en caso necesario, alojados en el espacio que,para tal fin se dispone en los pisos de placas extraíbles, debajodel mismo

• Cableado de Alto Nivel de Seguridad: cableados de redes quese recomiendan para instalaciones con grado de seguridad. Elobjetivo es impedir la posibilidad de infiltraciones y monitoreode la información que circula por el cable. Consta de un sistemade tubos (herméticamente cerrados) por cuyo interior circulaaire a presión y el cable. A lo largo de la tubería hay sensoresconectados a una computadora. Si se detecta algún tipo devariación de presión se dispara un sistema de alarma.

Seguridad Física• Riesgo de Terremotos e Inundaciones:

• Informes climatológicos que notifique la proximidad de unacatástrofe climática

• Corte de electricidad

• Construir un techo impermeable para evitar el paso de aguadesde un nivel superior

• Acondicionar las puertas para contener el agua que bajase porlas escaleras

Seguridad FísicaPrevención de robo, intrusión o asalto

� Circuito cerrado de televisión (CCTV).� Personal de seguridad.� Sensor de movimiento.� Barreras infrarrojas.� Edificios inteligentes.

SEGURIDAD LOGICALa Seguridad Lógica consiste en la "aplicación de barreras yprocedimientos que resguarden el acceso a los datos y sólo sepermita acceder a ellos a las personas autorizadas para hacerlo."

• Prevenir el acceso indebido a individuos no autorizados• Acceso a sistemas solo para determinadas tareasüControles de accesoüPerfiles de usuario

• Identificación: el usuario se da a conocer en el sistema• Autenticación: la verificación que realiza el sistema sobre esta

identificación.• Autorización

Autenticación EficazALGO QUE SOY

+

ALGO QUE TENGO

+

ALGO QUE SE

Algo que soyUtilización de sistemas biométricos:

üEmisión de Calor: Se mide la emisiónde calor del cuerpo (termograma),realizando un mapa de valores sobre laforma de cada persona.

üHuella Digital: Basado en el principiode que no existen dos huellas dactilaresiguales. El método es sumamenteconfiable.

Algo que soy

� Verificación de Voz: La dicción de una (o más) frase es grabada y enel acceso se compara la vos (entonación, diptongos, agudeza, etc.).Este sistema es muy sensible a factores externos como el ruido, elestado de animo y enfermedades de la persona, el envejecimiento,etc.

Distintos tonos de voz

Algo que soyüVerificación de Patrones Oculares: Estos modelos

pueden estar basados en los patrones del iris o de laretina y hasta el momento son los considerados másefectivos (en 200 millones de personas la probabilidadde coincidencia es casi 0).

Algo que soy� Verificación Automática de

Firmas (VAF): Mientras es posible paraun falsificador producir una buena copiavisual o facsímil, es extremadamentedifícil reproducir las dinámicas de unapersona.

La VAF, registra las emisiones acústicas del procesodinámico de firmar o de escribir, estas constituyen unpatrón único en cada individuo. El equipamiento decolección de firmas es de bajo costo y robusto.

ALGO QUE TENGONos permiten ingresar a un lugar o a un sistema

} Tarjetas magnéticas

} Una llave

} Identificación personal

} Token

ALGO QUE TENGO� Token: Es un dispositivo del tamaño de un pen drive, con una pantalla

de cristal liquido. Un Token OTP funciona mediante un mecanismoque genera una clave distinta y de un solo uso. ("One Time Password",OTP) el usuario ingresa una clave y luego el token muestra un ID quepuede ser usado para ingresar a una red. Los IDs cambian cada 60segundos.

ALGO QUE SEComo crear una Password Fuerte.. Y recordarla

} Escribir fonéticamente: magali= emeageaelei

} Cuanto más extensas, más eficientes.

} No utilizar caracteres secuenciales: 1234, qwerty, etc.

} Utilizar mayúsculas y minúsculas.

} Utilizar caracteres especiales y números.

} Utilizar una frase escondida: A las 6 am tomo café con leche = @6amTC+L

} RECURSO BARATO Y EFECTIVO.

ALGO QUE SEüPasswords:• Cambiarlas frecuentemente.

• NUNCA JAMÁS anotarlas enningún lugar, ni tampocotener un archivo con claves.

• NUNCA NUNCA JAMÁS decirlas o compartirlas.

Encriptación (Cifrado)� Encriptación: es un proceso para volver ilegible

información considera importante. La informaciónuna vez encriptada sólo puede leerse aplicándole unaclave.

.

Encriptación (Cifrado)� La clave es un valor que es independiente del texto o

mensaje a cifrar.

� El algoritmo va a producir una salida diferente para elmismo texto de entrada dependiendo de la claveutilizada.

Encriptación (Cifrado)Modelos� Convencional o de Clave Privada: Consta de dos partes, un

algoritmo y una clave. Una vez cifrado, el mensaje puede sertransmitido. El mensaje original puede ser recuperado a través de unalgoritmo de desencriptación y la clave usada para la encriptación.

40

Encriptación (Cifrado)Modelos� Criptografía de Clave Pública: Los algoritmos de

criptografía pública se basan en una clave paraencriptación y una clave relacionada pero distinta parala desencriptación.

Back up: Copia de seguridadØ Riesgo de pérdida o transformación de información

Ø Permite restaurar la información y su sistema después deuna catástrofe.

Ø Puedes restaurar datos después de que éstos hayan sidoeliminados o dañados imprevistamente.

Ø Los backups pueden hacerse en dispositivosexternos:CD, DVD, pendrives, discos rígidos o puedenrealizarse en un centro de respaldo propio medianteInternet.

Back up: Copia de Seguridad}Resguardo de back up en un lugar seguro

}No olvidar encriptar el back up!!

}Sincronización vs Back up: Sincronizar es tomar una“foto de la información” El back up es un procesocontinuo, en donde se pueden observar lastransformaciones de dicha información

}Dia internacional del back up : 31 de Marzohttp://www.worldbackupday.net/

}Frecuencia no mas de una semana

Firewall BeneficiosRiesgo: Desprotección contra

malware e intrusos al conectarse aInternet.

Manejan el acceso entre dos redes, y si no existiera,todas las computadoras de la red estarían expuestas aataques desde el exterior. Esto significa que la seguridadde toda la red, estaría dependiendo de que tan fácil fueraviolar la seguridad local de cada maquina interna.

Firewall Beneficios

}Ancho de banda "consumido" por el trafico de lared se utiliza para economizar.

}Monitorear la seguridad de la red y generaralarmas de intentos de ataque, el administrador seráel responsable de la revisión de estos monitoreos.

Firewall - Limitaciones

�Es el hueco que no se tapa y que coincidentemente o no, esdescubierto por un intruso.

�No son sistemas inteligentes, actúan de acuerdo aparámetros introducidos por su diseñador

�NO es contra humanos", es decir que si un intruso lograentrar a la organización y descubrir passwords o los huecosdel Firewall y difunde esta información, el Firewall no se darácuenta.

Firewall - Limitaciones�El Firewall tampoco provee de herramientas contra la filtraciónde software o archivos infectados con virus, aunque es posibledotar a la máquina, donde se aloja el Firewall, de antivirusapropiados.

�Finalmente, un Firewall es vulnerable, él NO protege de la genteque está dentro de la red interna. El Firewall trabaja mejor si secomplementa con una defensa interna.

�Cuanto mayor sea el tráfico de entrada y salida permitidopor el Firewall, menor será la resistencia contra los paquetesexternos. El único Firewall seguro (100%) es aquel que semantiene apagado

CorporacionesAmenazas y Riesgos:

} Infección por virus, gusanos, troyanos, etc.

} Espionaje de información por el uso de Spyware; Robode identidad; invasión a la privacidad

} Quedar en lista negra por “Spammer”

} Adulteración, desvío o destrucción de la información

Corporaciones} Realizar delitos a terceros con recursos de la empresa,

perjudicando la imagen de la firma

} Transferencias de fondos no deseadas

} Interrupción de las operaciones

} Intervención de telecomunicaciones

} Pérdida de clientes

Ingeniería SocialEl factor mas inseguro es el HUMANOAprovechamiento del comportamiento humano para la

obtención de información:} Exceso de confianza y credibilidad} Desatención} Desprolijidad} Curiosidad} Deshonestidad} Despecho u odio hacia la organización} Temor ante acciones de superiores} Existencia de información pública

Ingeniería SocialAcciones especificas sobre la futura victima:

� Seguimiento

� Búsquedas en internet

� Phishing

� Shoulder surfing

Anti Virus� Formas de contagio:

� Instalación por el usuario, ejecuta el programa sindarse cuenta

� Los gusanos, con los que el programa malicioso actúareplicándose a través de las redes.

Anti Virus TIPOS� Sólo detección: sólo actualizan archivos infectados,

no pueden eliminarlos o desinfectarlos.

� Detección y desinfección: detectan archivosinfectados y que pueden desinfectarlos.

� Detección y aborto de la acción: detectan archivosinfectados y detienen las acciones que causa el virus.

Anti Virus� Invocado por el usuario: se

activan instantáneamente conel usuario.

� Invocado por la actividad delsistema: se activaninstantáneamente por laactividad del sistema operativo.

Phishing

� ¿Qué es? Es una modalidad de estafa con el objetivo deintentar obtener de un usuario sus datos, claves, cuentasbancarias, números de tarjeta de crédito, identidades, paraluego ser usados de forma fraudulenta.

Phishing� ¿En que consiste? Suplantando la imagen de una

empresa o entidad publica, de esta manera hacen creera la posible víctima que realmente los datos solicitadosproceden del sitio "Oficial" cuando en realidad no loes.

Phishing

Phishing� Software anti phishing muestra el dominio real

visitado

� Filtros anti spam, reduce el numero de emails phishing

� Spear Phishing

La seguridad informática es tan fuertecomo su eslabón mas débil

}¡Gracias!}Preguntas?

} Tecnología de la Información} FCE – UBA

} 2011